IPSEC支持NAT穿越

同样对于IPSEC VPN，有些分支机构或移动办公用户上网时是通过NAT设备进入Internet。因为IPSEC加密的特点，用户数据包不能被随意篡改，否则对端接收后不能正确解密。而NAT设备需要修改报文IP头信息，这样经过NAT设备后加密报文就不能被正常解密。Quidway SecPath VPN安全网关通过在IPSEC报文前增加一层UDP报文头的方式解决了IPSEC支持NAT穿越的问题，NAT设备只修改封装的UDP头，但是没有影响IPSEC数据报文的内容，即使经过NAT转换，仍然可以正常建立IPSEC隧道连接。

动态VPN

企业建立VPN的模式一般是加油站接入，中心节点汇聚的模式。由于加油站数量巨大，如果各个加油站之间需要通信就存在问题。因为各个加油站之间一般是不直接互连的，而是通过中心节点连接在一起，如果两个加油站需要传输数据，需要从中心节点网关中转，这样所有加油站的数据都通过中心节点转接，一方面会造成中心节点网关的流量瓶颈影响，另一方面容易形成单点故障，一旦中心网关节点瘫痪，整个VPN网络都会陷于瘫痪。

如何解决这个问题，一个办法是所有加油站之间都建立VPN连接，但是这样造成网络复杂度大大提高，连接数是N*(N-1)/2，网络维护及其困难。另一方面两个加油站都是动态地址的情况不能实现IPSEC VPN的连接。

Quidway SecPath VPN安全网关同样很好地解决了这一难题。 采用专利技术动态VPN方案，通过在企业中心设置服务器，所有分支节点网关统一注册。分支节点之间动态建立VPN连接。所谓动态是指分支节点之间在有数据触发时可以按需动态建立VPN连接。而通过在中心服务器的注册，分支节点之间建立VPN连接不需要本地维护对端IP地址信息，通过域名信息可以查询到对端实时的地址信息，从而根据获得的实时地址信息建立VPN连接。

VPN链路备份提供可靠保证

为保证VPN链路可靠性，避免单点故障，往往在中心或核心网点采用双机备份的组网。但是，如何保证主备链路及时切换，保证业务受链路中断影响最小，是需要解决的问题。Quidway SecPath VPN安全网关引入动态路由协议的技术解决链路快速切换问题。采用GRE+IPSEC+OSPF的技术，中心设置两台网关设备，分支设备到中心设备建立两条VPN链路，接口之间运行OSPF协议。通过路由协议感知链路状态，当主链路断开时可以及时地把数据流切换到备用线路上，保证了数据业务顺畅进行，有效地提高了网络的可靠性。

服务质量（QoS）保证

VPN隧道上可以承载多种业务：数据、语音以及视频。为保证服务质量（QoS），Quidway SecPath VPN安全网关可以对于用户的关键性、实时性高的数据流提供资源预留、优先传输、拥塞控制等机制，充分保证按照业务优先极来提供高质量的传输性能。可以采用的技术包括业务等级划分与标记、先进的队列机制、流量限制、拥塞避免、流量整形及流量工程等。

VPN的管理

针对加油站VPN联网，H3C公司同时推出了完善的VPN产品和业务管理和部署解决方案。下面分别介绍。

◆ VPN Manager

VPN Manager(QuidView组件)是VPN网络的控制管理部件，可以对VPN网关设备进行集中管理和控制。管理员可以在VPN隧道上操纵各个VPN网关：IPSEC策略的设置，监控隧道状态信息，远程调整隧道的建立。根据企业的实际需求制定全局策略，保证VPN网关隧道连接的可靠性和安全性。通过VPN Manager管理员可以进行全网VPN设备的部署和设置，同时可以通过实时监控对链路进行调整。真正实现VPN网络的Easy Manage。如图1所示

◆ BIMS(Branch Intelligent Management System)

BIMS（QuidView组件）智能管理系统实现从网络管理中心来集中对网络设备的管理，如配置文件下发、设备软件升级等。BIMS分两部分：设备侧和管理中心侧，设备侧和管理中心侧采用http协议进行通信， BIMS管理中心侧作为http server，设备侧作为http client，设备通过定期访问管理中心侧来实现相互通信并完成设备的管理。设备和管理中心采用http协议进行通信的优势在于其可穿透绝大多数的防火墙，而且协议简单、易扩展。设备主动访问BIMS管理中心时，上报设备当前的配置文件、设备软件的特征信息，由BIMS管理中心来判断是否需要对设备进行更新，更新规则体现了该解决方案的智能性和易于管理的特点。

BIMS可以解决对获取的是动态IP地址或NAT网关后面的设备的集中管理，尤其是在对业务应用基本相同、数量庞大并且分布广泛的接入VPN网络终端设备进行管理时，该系统会极大提高管理的效率，大大节约管理成本，另外，管理界面直观友好，维护简单方便。如图2所示。

总结

通过Internet构建 VPN具备低成本、高安全、易管理的特点，使得该技术非常适合用于加油站联网。Quidway SecPath VPN安全网关为石油石化企业用户量身定制的以上特色业务在加油站联网中已经得到很好的应用，例如中石油大连石油公司就采用了H3C公司的SecPath设备用于加油站联网。系列化的产品以及完善的解决方案，可以为石油石化行业用户构建一个功能强大而且的灵活VPN网络。一切从用户需求出发的设计理念，保证了产品及方案最大化地贴近用户需求，真正使得网络安全可靠，用户使用放心。VPN技术的发展和应用，在加油站联网领域为人们描绘了一幅美好蓝图。