現(xiàn)在大部分虛擬局域網(wǎng)的組建都通過IPSec的方式，其實(shí)用openvpn來組網(wǎng)也是很不錯(cuò)的方案。跟IPSec相比，openvpn的功能更加強(qiáng)大和靈活：
可以修改端口和通訊方式。
可以實(shí)現(xiàn)用戶名認(rèn)證和證書認(rèn)證兩種認(rèn)證方式。
可以對(duì)客戶端分配IP，從而實(shí)現(xiàn)更加細(xì)致的防火墻權(quán)限控制。
本文將簡(jiǎn)單介紹openvpn組網(wǎng)的一些簡(jiǎn)單步驟，如果您要用openvpn實(shí)現(xiàn)遠(yuǎn)程辦公撥入，請(qǐng)參考：如何用OpenVPN實(shí)現(xiàn)遠(yuǎn)程辦公？
IPSec VPN 技術(shù)在IP傳輸上通過加密隧道，在用公網(wǎng)傳送內(nèi)部專網(wǎng)的內(nèi)容的同時(shí)，保證內(nèi)部數(shù)據(jù)的安全性，從而實(shí)現(xiàn)企業(yè)總部與各分支機(jī)構(gòu)組建虛擬局域網(wǎng)的需要。IPSec組網(wǎng)的具體步驟，請(qǐng)參考：一次典型的IPSec VPN組網(wǎng)方案。很多情況下，我們還需要控制對(duì)端的訪問權(quán)限。在本文中，我將介紹WFilter NGF中的IPSec VPN訪問權(quán)限。
IPSec隧道的配置中，”防火墻規(guī)則“有“自動(dòng)”和“手動(dòng)”兩個(gè)選項(xiàng)：
在本文中，我將介紹如何在RouterOS和WSG上網(wǎng)行為管理網(wǎng)關(guān)之間使用openvpn組建site-to-site VPN。網(wǎng)絡(luò)拓?fù)鋱D如下：
本例中，我們把WSG作為openvpn的服務(wù)端，RouterOS作為openvpn的客戶端。反過來的配置也基本類似。
在本文中，我將介紹如何在RouterOS和WSG上網(wǎng)行為管理網(wǎng)關(guān)之間創(chuàng)建IPSec隧道。網(wǎng)絡(luò)拓?fù)鋱D如下：
本例中，我們把WSG作為IPSec的服務(wù)端，RouterOS作為IPSec的客戶端。反過來的配置也基本類似。
由于公網(wǎng)IP地址不夠用，一些網(wǎng)絡(luò)運(yùn)營(yíng)商只給撥號(hào)用戶提供二級(jí)IP地址。換句話說，你的網(wǎng)關(guān)獲取到的只是一個(gè)內(nèi)網(wǎng)IP地址，在公網(wǎng)上是不可達(dá)的。這個(gè)事實(shí)，會(huì)給撥號(hào)上網(wǎng)的企業(yè)帶來如下問題：
無法實(shí)現(xiàn)依賴端口映射的業(yè)務(wù)功能。
無法實(shí)現(xiàn)直接VPN組網(wǎng)。
在本文中，我將介紹一種通過云主機(jī)來進(jìn)行中轉(zhuǎn)的VPN組網(wǎng)方式。你只需要購(gòu)買一臺(tái)有固定IP地址的云主機(jī)，即可實(shí)現(xiàn)多地VPN組網(wǎng)。既節(jié)省了專線的費(fèi)用，而且云主機(jī)還可以用來搭建Web服務(wù)或者其他服務(wù)。網(wǎng)絡(luò)拓?fù)鋱D如下：
企業(yè)為了滿足出差人員，在家人員的辦公需要，往往需要開通遠(yuǎn)程辦公功能。使得員工可以通過互聯(lián)網(wǎng)連接到公司內(nèi)網(wǎng)進(jìn)行工作。在WFilter NGF中，“OpenVPN服務(wù)端“和“PPTP服務(wù)端”這兩個(gè)模塊都可以滿足遠(yuǎn)程辦公的需要。相對(duì)而言，OpenVPN的配置復(fù)雜，但是安全性更高一些。
本例中，我將演示如何用WFilter NGF的OpenVPN服務(wù)端模塊來實(shí)現(xiàn)遠(yuǎn)程辦公。
分支結(jié)構(gòu)和總部之間的數(shù)據(jù)通訊現(xiàn)在一般都通過VPN線路來實(shí)現(xiàn)，如果總部只有一條VPN線路，那么當(dāng)總部線路故障時(shí)，就會(huì)導(dǎo)致分支機(jī)構(gòu)數(shù)據(jù)無法上傳，影響正常的辦公需要。其解決辦法，一般是通過多條VPN線路的方式，來實(shí)現(xiàn)VPN線路備份，一條線路不通時(shí)，會(huì)自動(dòng)切換到另外一條線路，從而實(shí)現(xiàn)不間斷的VPN連接。
本文將介紹用WFilter NGF中的Open VPN（SSL VPN）組建site-to-site VPN，并且實(shí)現(xiàn)高可用性的VPN線路備份。
支持遠(yuǎn)程撥入的VPN技術(shù)，使員工在出差、下班時(shí)可以連接到公司的局域網(wǎng)處理工作，給工作帶來了很大的便利。所以現(xiàn)在很多公司都支持VPN遠(yuǎn)程撥入。本文將簡(jiǎn)單介紹VPN的幾種組建方式，以及相關(guān)的安全問題。如果您需要?jiǎng)?chuàng)建site-to-site的VPN，請(qǐng)參考：Ipsec VPN
PPTP（Point to Point Tunneling Protocol），即點(diǎn)對(duì)點(diǎn)隧道協(xié)議。該協(xié)議是在PPP協(xié)議的基礎(chǔ)上開發(fā)的一種新的增強(qiáng)型安全協(xié)議，支持多協(xié)議虛擬專用網(wǎng)（VPN），可以通過密碼驗(yàn)證協(xié)議（PAP）、可擴(kuò)展認(rèn)證協(xié)議（EAP）等方法增強(qiáng)安全性?？梢允惯h(yuǎn)程用戶通過撥入ISP、通過直接連接Internet或其他網(wǎng)絡(luò)安全地訪問企業(yè)網(wǎng)。
WFilter NGF的IPSec VPN模塊，可以很方便的在企業(yè)總部和分支機(jī)構(gòu)之間創(chuàng)建VPN局域網(wǎng)，利用現(xiàn)有的互聯(lián)網(wǎng)出口，虛擬出一條“專線”，將組織的分支機(jī)構(gòu)和總部連接起來，組成一個(gè)大的局域網(wǎng)。網(wǎng)絡(luò)拓?fù)鋱D如下：
IPSec隧道建立成功后，總部以及各分支的內(nèi)網(wǎng)之間就可以直接互相訪問。下面是具體的配置步驟：
雖然WSG網(wǎng)關(guān)（WFilter NGF）支持IPSec的site to site隧道，以及openVPN。仍然有些用戶部署WSG網(wǎng)關(guān)后，并不想替換現(xiàn)有的VPN。這種情況下，需要把現(xiàn)有的VPN做單臂部署。本文將做一個(gè)簡(jiǎn)單介紹。
使用WFilter ROS的“VPN客戶端”和“多線均衡”模塊，可以實(shí)現(xiàn)自動(dòng)切換VPN線路和寬帶線路。利用此功能，無需在客戶端進(jìn)行任何配置，即可實(shí)現(xiàn)VPN上外網(wǎng)。并且支持如下功能：
基于本地IP自動(dòng)切換
基于目的IP自動(dòng)切換
基于目的域名自動(dòng)切換
