计算机网络知识点总结第四章网络层

　　第四章：网络层虚电路服务和数据报服务的对比
　　分类的IP地址我们把整个互联网看成为一个单一的、抽象的网络。IP地址就是给每个连接在互联网上的主机（或路由器）分配一个在全世界范围是唯一的32位的标识符。IP地址现在由互联网名字和数字分配机构ICANN（InternetCorporationforAssignedNamesandNumbers）进行分配。
　　IP地址的编址方法：分类的IP地址。最基本的编址方法，在1981年就通过了相应的标准协议。子网的划分。对最基本的编址方法的改进，其标准〔RFC950〕在1985年通过。构成超网。比较新的无分类编址方法。1993年提出后很快就得到推广应用。
　　分类IP地址：将IP地址划分为若干个固定类。每一类地址都由两个固定长度的字段组成，其中一个字段是网络号netid，它标志主机（或路由器）所连接到的网络，而另一个字段则是主机号hostid，它标志该主机（或路由器）。主机号在它前面的网络号所指明的网络范围内必须是唯一的。由此可见，一个IP地址在整个互联网范围内是唯一的。这种两级的IP地址结构如下：
　　这种两级的IP地址可以记为：
　　各类IP地址的网络号字段和主机号字段：
　　点分十进制记法：
　　常用的三种类别的IP地址
　　IP地址的指派范围：
　　一般不使用的特殊的IP地址：
　　IP地址的一些重要特点：
　　（1）IP地址是一种分等级的地址结构。分两个等级的好处是：第一，IP地址管理机构在分配IP地址时只分配网络号，而剩下的主机号则由得到该网络号的单位自行分配。这样就方便了IP地址的管理。第二，路由器仅根据目的主机所连接的网络号来转发分组（而不考虑目的主机号），这样就可以使路由表中的项目数大幅度减少，从而减小了路由表所占的存储空间。
　　如，路由器重要知道netid128。167。1。0，去往任何一个128。167。1。的IP都知道怎么走了。
　　（2）实际上IP地址是标志一个主机（或路由器）和一条链路的接口。当一个主机同时连接到两个网络上时，该主机就必须同时具有两个相应的IP地址，其网络号netid必须是不同的。这种主机称为多归属主机（multihomedhost）。由于一个路由器至少应当连接到两个网络（这样它才能将IP数据报从一个网络转发到另一个网络），因此一个路由器至少应当有两个不同的IP地址。（3）用转发器或网桥连接起来的若干个局域网仍为一个网络，因此这些局域网都具有同样的网络号netid。（4）所有分配到网络号netid的网络，无论是范围很小的局域网，还是可能覆盖很大地理范围的广域网，都是平等的。
　　3。IP地址与硬件地址IP地址与硬件地址是不同的地址。
　　从层次的角度看：硬件地址（或物理地址）是数据链路层和物理层使用的地址。IP地址是网络层和以上各层使用的地址，是一种逻辑地址（称IP地址是逻辑地址是因为IP地址是用软件实现的）。
　　在IP层抽象的互联网上只能看到IP数据报。图中的IP1IP2表示从源地址IP1到目的地址IP2。两个路由器的IP地址并不出现在IP数据报的首部中。路由器只根据目的站的IP地址的网络号进行路由选择。在具体的物理网络的链路层只能看见MAC帧而看不见IP数据报。IP层抽象的互联网屏蔽了下层很复杂的细节。在抽象的网络层上讨论问题，就能够使用统一的、抽象的IP地址研究主机和主机或主机和路由器之间的通信。
　　4。地址解析协议ARP通信时使用了两个地址：IP地址（网络层地址）MAC地址（数据链路层地址）
　　ARP协议：完成主机或路由器IP地址到MAC地址的映射。解决下一跳走哪的问题
　　ARP协议使用过程：当主机A欲向本局域网上的某个主机B发送IP数据报时，就先在其ARP高速缓存中查看有无主机B的IP地址。如有，就可查出其对应的硬件地址，再将此硬件地址写入MAC帧，然后通过局域网将该MAC帧发往此硬件地址。如没有，则用目的MAC地址为FFFFFFFFFFFF的帧封装并广播ARP请求分组，同一局域网中所有主机都能收到该请求。目的主机收到请求后就会向源主机单播一个ARP响应分组，源主机收到后将此映射写入ARP高速缓存（1020min更新一次）。地址解析协议ARP要点：不管网络层使用的是什么协议，在实际网络的链路上传送数据帧时，最终还是必须使用硬件地址。每一个主机或路由器都设有一个ARP高速缓存（ARPcache），里面有所在的局域网上的各主机和路由器的IP地址到硬件地址的映射表。
　　ARP请求分组：包含发送方硬件地址发送方IP地址目标方硬件地址（未知时填0）目标方IP地址。本地广播ARP请求（路由器不转发ARP请求）。ARP响应分组：包含发送方硬件地址发送方IP地址目标方硬件地址目标方IP地址。ARP分组封装在物理网络的帧中传输。
　　ARP高速缓存的作用：存放最近获得的IP地址到MAC地址的绑定，以减少ARP广播的数量。
　　5。IP数据报的格式一个IP数据报由首部和数据两部分组成。首部的前一部分是固定长度，共20字节，是所有IP数据报必须具有的。在首部的固定部分的后面是一些可选字段，其长度是可变的。
　　【例41】IP数据报分片：一数据报的总长度为3820字节，其数据部分的长度为3800字节（使用固定首部），需要分片为长度不超过1420字节的数据报片。由于MTU的限制，因此每个数据报片的数据部分长度不能超过1400字节。于是分为3个数据报片，其数据部分的长度分别为1400、1400和1000字节。原始数据报首部被复制为各数据报片的首部，但必须修改有关字段的值。
　　6。IP层转发分组的流程假设：有四个A类网络通过三个路由器连接在一起。每一个网络上都可能有成千上万个主机。可以想象，若按目的主机号来制作路由表，每一个路由表就有4万个项目，即4万行（每一行对应于一台主机），则所得出的路由表就会过于庞大。但若按主机所在的网络地址来制作路由表，那么每一个路由器中的路由表就只包含4个项目（每一行对应于一个网络），这样就可使路由表大大简化。
　　必须强调指出：IP数据报的首部中没有地方可以用来指明下一跳路由器的IP地址。当路由器收到待转发的数据报，不是将下一跳路由器的IP地址填入IP数据报，而是送交下层的网络接口软件。网络接口软件使用ARP负责将下一跳路由器的IP地址转换成硬件地址，并将此硬件地址放在链路层的MAC帧的首部，然后根据这个硬件地址找到下一跳路由器。
　　路由器分组转发算法：从数据报的首部提取目的主机的IP地址D，得出目的网络地址为N。若网络N与此路由器直接相连，则把数据报直接交付目的主机D；否则是间接交付，执行（3）。若路由表中有目的地址为D的特定主机路由，则把数据报传送给路由表中所指明的下一跳路由器；否则，执行（4）。若路由表中有到达网络N的路由，则把数据报传送给路由表指明的下一跳路由器；否则，执行（5）。若路由表中有一个默认路由，则把数据报传送给路由表中所指明的默认路由器；否则，执行（6）。报告转发分组出错。
　　7。划分子网子网掩码是否可以运用32位的IP地址，来划分netid，subnetid和hostid？从一个IP数据报的首部并无法判断源主机或目的主机所连接的网络是否进行了子网划分。使用子网掩码（subnetmask）可以找出IP地址中的子网部分。
　　规则：子网掩码长度32位子网掩码左边部分的一连串1，对应于网络号和子网号子网掩码右边部分的一连串0，对应于主机号
　　2。划分子网划分子网只是把IP地址的主机号hostid这部分进行再划分，而不改变IP地址原来的网络号netid。
　　子网划分方法：有固定长度子网和变长子网两种子网划分方法。在采用固定长度子网时，所划分的所有子网的子网掩码都是相同的。虽然根据已成为互联网标准协议的RFC950文档，子网号不能为全1或全0，但随着无分类域间路由选择CIDR的广泛使用，现在全1和全0的子网号也可以使用了，但一定要谨慎使用，确认你的路由器所用的路由选择软件是否支持全0或全1的子网号这种较新的用法。
　　3。使用子网时分组的转发在不划分子网的两级IP地址下，从IP地址得出网络地址是个很简单的事。但在划分子网的情况下，从IP地址却不能唯一地得出网络地址来，这是因为网络地址取决于那个网络所采用的子网掩码，但数据报的首部并没有提供子网掩码的信息。因此分组转发的算法也必须做相应的改动。
　　在划分子网情况下路由器转发分组的算法：
　　从收到的分组的首部提取目的IP地址D。先用各网络的子网掩码和D逐位相与，看是否和相应的网络地址匹配。若匹配，则将分组直接交付。否则就是间接交付，执行（3）。若路由表中有目的地址为D的特定主机路由，则将分组传送给指明的下一跳路由器；否则，执行（4）。对路由表中的每一行，将子网掩码和D逐位相与。若结果与该行的目的网络地址匹配，则将分组传送给该行指明的下一跳路由器；否则，执行（5）。若路由表中有一个默认路由，则将分组传送给路由表中所指明的默认路由器；否则，执行（6）。报告转发分组出错。
　　8。无分类域间路由CIDRCIDR消除了传统的A类、B类和C类地址以及划分子网的概念，因而可以更加有效地分配IPv4的地址空间。（如何理解？）CIDR使用各种长度的网络前缀（networkprefix）来代替分类地址中的网络号和子网号。（让netid长度也可变）IP地址从三级编址（使用子网掩码）又回到了两级编址。
　　CIDR使用斜线记法（slashnotation），它又称为CIDR记法，即在IP地址后面加上一个斜线，然后写上网络前缀所占的位数（这个数值对应于三级编址中子网掩码中1的个数）。例如：220。78。168。024
　　CIDR地址块：CIDR把网络前缀都相同的连续的IP地址组成CIDR地址块。128。14。32。020表示的地址块共有212个hostid（因为斜线后面的20是网络前缀的位数，所以这个地址的主机号是12位）。
　　（1）这个地址块的起始地址是128。14。32。0。
　　（2）在不需要指出地址块的起始地址时，也可将这样的地址块简称为20地址块。
　　（3）128。14。32。020地址块的最小地址：128。14。32。0
　　（4）128。14。32。020地址块的最大地址：128。14。47。255
　　（5）全0和全1的主机号地址一般不使用。
　　路由聚合（routeaggregation）：一个CIDR地址块可以表示很多地址，这种地址的聚合常称为路由聚合，它使得路由表中的一个项目可以表示很多个（例如上千个）原来传统分类地址的路由。路由聚合有利于减少路由器之间的路由选择信息的交换，从而提高了整个互联网的性能。路由聚合也称为构成超网（supernetting）。CIDR虽然不使用子网了，但仍然使用掩码这一名词（但不叫子网掩码）。对于20地址块，它的掩码是20个连续的1。斜线记法中的数字就是掩码中1的个数。
　　最长前缀匹配：使用CIDR时，路由表中的每个项目由网络前缀和下一跳地址组成。在查找路由表时可能会得到不止一个匹配结果。应当从匹配结果中选择具有最长网络前缀的路由：最长前缀匹配（longestprefixmatching）。网络前缀越长，其地址块就越小，因而路由就越具体（morespecific）。最长前缀匹配又称为最长匹配或最佳匹配。
　　9。网际控制报文协议（ICMP）为了更有效地转发IP数据报和提高交付成功的机会，在网际层使用了网际控制报文协议ICMP（InternetControlMessageProtocol）。ICMP是互联网的标准协议。ICMP允许主机或路由器报告差错情况和提供有关异常情况的报告。但ICMP不是高层协议（看起来好像是高层协议，因为ICMP报文是装在IP数据报中，作为其中的数据部分），而是IP层的协议。
　　ICMP报文的格式：
　　ICMP报文的种类ICMP报文的种类有两种，即ICMP差错报告报文和ICMP询问报文。ICMP报文的前4个字节是统一的格式，共有三个字段：即类型、代码和检验和。接着的4个字节的内容与ICMP的类型有关。
　　ICMP差错报告报文共有4种：
　　不应发送ICMP差错报告报文的几种情况：对ICMP差错报告报文不再发送ICMP差错报告报文。对第一个分片的数据报片的所有后续数据报片都不发送ICMP差错报告报文。对具有多播（组播）地址的数据报都不发送ICMP差错报告报文。对具有特殊地址（如127。0。0。0或0。0。0。0）的数据报不发送ICMP差错报告报文。
　　ICMP询问报文有两类回送请求和回答报文时间戳请求和回答报文
　　2。ICMP的应用举例
　　（1）PING（PacketInterNetGroper）PING用来测试两个主机之间的连通性。PING使用了ICMP回送请求与回送回答报文。PING是应用层直接使用网络层ICMP的例子，它没有通过运输层的TCP或UDP。
　　（2）Traceroute的应用举例在Windows操作系统中这个命令是tracert。用来跟踪一个分组从源点到终点的路径。它利用IP数据报中的TTL字段和ICMP时间超过差错报告报文实现对从源点到终点的路径的跟踪。
　　10。路由选择协议
　　静态和动态路由选择
　　若源站和目的站处在不同的自治系统中，当数据报传到一个自治系统的边界时，就需要使用一种协议将路由选择信息传递到另一个自治系统中。这样的协议就是外部网关协议EGP。在外部网关协议中目前使用最多的是BGP4。
　　2。内部网关协议IGP在一个自治系统内部使用的路由选择协议。目前这类路由选择协议使用得最多，如RIP和OSPF协议。（1）RIP协议：RIP是一种分布式的、基于距离向量的路由选择协议。RIP协议要求网络中的每一个路由器都要维护从它自己到其他每一个目的网络的距离记录。
　　距离的定义：从一个路由器到直接连接的网络的距离定义为1。从一个路由器到非直接连接的网络的距离定义为所经过的路由器数加1。RIP协议中的距离也称为跳数（hopcount），因为每经过一个路由器，跳数就加1。RIP认为一个好的路由就是它通过的路由器的数目少，即距离短。RIP允许一条路径最多只能包含15个路由器。距离的最大值为16时即相当于不可达。可见RIP只适用于小型互联网。RIP不能在两个网络之间同时使用多条路由。RIP选择一个具有最少路由器的路由（即最短路由），哪怕还存在另一条高速（低时延）但路由器较多的路由。RIP协议的三个特点：和谁交换仅和相邻路由器交换信息。交换什么交换的信息是当前本路由器所知道的全部信息，即自己的路由表。交换频率按固定的时间间隔交换路由信息，例如，每隔30秒。当网络拓扑发生变化时，路由器也及时向相邻路由器通告拓扑变化后的路由信息。
　　路由表的建立：
　　路由器在刚刚开始工作时，只知道到直接连接的网络的距离（此距离定义为1）。它的路由表是空的。
　　以后，每一个路由器也只和数目非常有限的相邻路由器交换并更新路由信息。
　　经过若干次更新后，所有的路由器最终都会知道到达本自治系统中任何一个网络的最短距离和下一跳路由器的地址。即收敛。
　　RIP协议的收敛（convergence）过程较快。收敛就是在自治系统中所有的结点都得到正确的路由选择信息的过程。
　　距离向量算法：
　　RIP协议的优缺点：优点：实现简单，开销较小。缺点：RIP限制了网络的规模，它能使用的最大距离为15（16表示不可达）。路由器之间交换的路由信息是路由器中的完整路由表，因而随着网络规模的扩大，开销也就增加。坏消息传播得慢，使更新过程的收敛时间过长。
　　（2）OSPF协议：开放最短路径优先OSPF（OpenShortestPathFirst）是为克服RIP的缺点在1989年开发出来的。OSPF的原理很简单，但实现起来却较复杂。OSPF协议的基本特点：开放表明OSPF协议不是受某一家厂商控制，而是公开发表的。最短路径优先是因为使用了Dijkstra提出的最短路径算法SPF采用分布式的链路状态协议（linkstateprotocol）。注意：OSPF只是一个协议的名字，它并不表示其他的路由选择协议不是最短路径优先。三个要点：和谁交换向本自治系统中所有路由器发送信息，这里使用的方法是洪泛法。最终整个区域内所有路由器都得到了这个信息的一个副本。交换什么发送的信息就是与本路由器相邻的所有路由器的链路状态，但这只是路由器所知道的部分信息。链路状态就是说明本路由器都和哪些路由器相邻，以及该链路的度量
　　（metric）代价费用、距离、时延、带宽等）。交换频率只有当链路状态发生变化时，路由器才用洪泛法向所有路由器发送此信息（克服坏消息传的慢）。
　　链路状态数据库（linkstatedatabase）：由于各路由器之间频繁地交换链路状态信息，因此所有的路由器最终都能建立一个链路状态数据库。这个数据库实际上就是全网的拓扑结构图，它在全网范围内是一致的（这称为链路状态数据库的同步）
　　OSPF的区域（area）为了使OSPF能够用于规模很大的网络，OSPF将一个自治系统再划分为若干个更小的范围，叫做区域。每一个区域都有一个32位的区域标识符（用点分十进制表示）。区域也不能太大，在一个区域内的路由器最好不超过200个。
　　l划分区域划分区域的好处就是将利用洪泛法交换链路状态信息的范围局限于每一个区域而不是整个的自治系统，这就减少了整个网络上的通信量。在一个区域内部的路由器只知道本区域的完整网络拓扑，而不知道其他区域的网络拓扑的情况。OSPF使用层次结构的区域划分。在上层的区域叫做主干区域（backbonearea）。主干区域的标识符规定为0。0。0。0。主干区域的作用是用来连通其他在下层的区域。
　　OSPF直接用IP数据报传送OSPF不用UDP而是直接用IP数据报传送。OSPF构成的数据报很短。这样做可减少路由信息的通信量。数据报很短的另一好处是可以不必将长的数据报分片传送。
　　OSPF分组类型1，问候（Hello）分组。类型2，数据库描述（DatabaseDescription）分组。类型3，链路状态请求（LinkStateRequest）分组。类型4，链路状态更新（LinkStateUpdate）分组，用洪泛法对全网更新链路状态。类型5，链路状态确认（LinkStateAcknowledgment）分组。
　　OSPF的其他特点OSPF还规定每隔一段时间，如30分钟，要刷新一次数据库中的链路状态。OSPF没有坏消息传播得慢的问题，据统计，其响应网络变化的时间小于100ms。
　　链路状态路由算法每个路由器发现它的邻居结点【HELLO问候分组】，并了解邻居节点的网络地址。设置到它的每个邻居的成本度量metric。构造【DD数据库描述分组】，向邻站给出自己的链路状态数据库中的所有链路状态项目的摘要信息。如果DD分组中的摘要自己都有，则邻站不做处理；如果有没有的或者是更新的，则发送【LSR链路状态请求分组】请求自己没有的和比自己更新的信息。收到邻站的LSR分组后，发送【LSU链路状态更新分组】进行更新。更新完毕后，邻站返回一个【LSAck链路状态确认分组】进行确认。只要一个路由器的链路状态发生变化：泛洪发送【LSU链路状态更新分组】进行更新。更新完毕后，其他站返回一个【LSAck链路状态确认分组】进行确认使用Dijkstra根据自己的链路状态数据库构造到其他节点间的最短路径。
　　3。外部网关协议EGPBGP是不同自治系统的路由器之间交换路由信息的协议。BGP较新版本是2006年1月发表的BGP4（BGP第4个版本），即
　　RFC42714278。每一个自治系统的管理员要选择至少一个路由器作为该自治系统的BGP可以将BGP4简写为BGP。
　　BGP发言人：一般说来，两个BGP发言人都是通过一个共享网络连接在一起的，而BGP发言人（BGPspeaker）。发言人往往就是BGP边界路由器，但也可以不是BGP边界路由器。
　　BGP协议的特点和谁交换相邻BGP发言人之间互相交换信息。BGP协议交换路由信息的结点数量级是自治系统数的量级，这要比这些自治系统中的网络数少很多。交换什么交换发言人的路由表。BGP支持CIDR，因此BGP的路由表也就应当包括目的网络前缀、下一跳路由器，以及到达该目的网络所要经过的各个自治系统序列。交换频率在BGP刚刚运行时，BGP的邻站是交换整个的BGP路由表。但以后只需要在发生变化时更新有变化的部分。这样做对节省网络带宽和减少路由器的处理开销都有好处。
　　BGP交换路由信息BGP所交换的网络可达性的信息就是要到达某个网络所要经过的一系列
　　AS。当BGP发言人互相交换了网络可达性的信息后，各BGP发言人就根据所采用的策略从收到的路由信息中找出到达各AS的较好路由。
　　BGP发言人交换路径向量
　　BGP4共使用四种报文打开（OPEN）报文，用来与相邻的另一个BGP发言人建立关系。更新（UPDATE）报文，用来发送某一路由的信息，以及列出要撤消的多条路由。保活（KEEPALIVE）报文，用来确认打开报文和周期性地证实邻站关系。
　　4。通知（NOTIFICATION）报文，用来发送检测到的差错。
　　4。路由器的构成路由器是互联网中的关键设备。路由器的主要作用是：连通不同的网络。选择信息传送的线路。选择通畅快捷的近路，能大大提高通信速度，减轻网络系统通信负荷，节约网络系统资源，提高网络系统畅通率，从而让网络系统发挥出更大的效益来。
　　转发（forwarding）就是路由器根据转发表将用户的IP数据报从合适的端口转发出去。路由选择（routing）则是按照分布式算法，根据从各相邻路由器得到的关于网络拓扑的变化情况，动态地改变所选择的路由。路由表是根据路由选择算法得出的。而转发表是从路由表得出的。在讨论路由选择的原理时，往往不去区分转发表和路由表的区别。
　　11。IPv6
　　IPv6和IPv4的对比：IPv6将地址从32位（4B）扩大到128位（16B），更大的地址空间。IPv6将IPv4的校验和字段彻底移除，以减少每跳的处理时间。IPv6将IPv4的可选字段移出首部，变成了扩展首部，成为灵活的首部格式，路由器通常不对扩展首部进行检查，大大提高了路由器的处理效率。IPv6支持即插即用（即自动配置），不需要DHCP协议。IPv6首部长度必须是8B的整数倍，IPv4首部是4B的整数倍。IPv6只能在主机处分片，IPv4可以在路由器和主机处分片。ICMPv6：附加报文类型分组过大。IPv6支持资源的预分配，支持实时视像等要求，保证一定的带宽和时延的应用。IPv6取消了协议字段，改成下一个首部字段。IPv6取消了总长度字段，改用有效载荷长度字段。11。IPv6取消了服务类型字段。
　　IPV6地址表示形式：
　　IPV6基本地址类型
　　IPV6向IPV4过渡的策略
　　隧道技术：在IPv6数据报要进入IPv4网络时，把IPv6数据报封装成为IPv4数据报，整个的
　　IPv6数据报变成了IPv4数据报的数据部分。当IPv4数据报离开IPv4网络中的隧道时，再把数据部分（即原来的IPv6数据报）交给主机的IPv6协议栈。
　　12。IP多播在互联网上进行多播就叫做IP多播。互联网范围的多播要靠路由器来实现。能够运行多播协议的路由器称为多播路由器（multicastrouter）。多播路由器也可以转发普通的单播IP数据报。从1992年起，在互联网上开始试验虚拟的多播主干网MBONE（MulticastBackboneOntheInterNEt）。
　　13。虚拟专用网VPN
　　本地地址与全球地址本地地址仅在机构内部使用的IP地址，可以由本机构自行分配，而不需要向互联网的管理机构申请。全球地址全球唯一的IP地址，必须向互联网的管理机构申请。问题：在内部使用的本地地址就有可能和互联网中某个IP地址重合，这样就会出现地址的二义性问题。解决：RFC1918指明了一些专用地址（privateaddress）。专用地址只能用作本地地址而不能用作全球地址。在互联网中的所有路由器，对目的地址是专用地址的数据报一律不进行转发。
　　RFC1918指明的专用IP地址
　　专用网采用这样的专用IP地址的互连网络称为专用互联网或本地互联网，或更简单些，就叫做专用网。因为这些专用地址仅在本机构内部使用。专用IP地址也叫做可重用地址（reusableaddress）。
　　虚拟专用网VPN利用公用的互联网作为本机构各专用网之间的通信载体，这样的专用网又称为虚拟专用网VPN（VirtualPrivateNetwork）。专用网是因为这种网络是为本机构的主机用于机构内部的通信，而不是用于和网络外非本机构的主机通信。虚拟表示好像是，但实际上并不是，因为现在并没有真正使用通信专线，而VPN只是在效果上和真正的专用网一样。
　　虚拟专用网VPN构建如果专用网不同网点之间的通信必须经过公用的互联网，但又有保密的要求，那么所有通过互联网传送的数据都必须加密。一个机构要构建自己的VPN就必须为它的每一个场所购买专门的硬件和软件，并进行配置，使每一个场所的VPN系统都知道其他场所的地址。
　　用隧道技术实现虚拟专用网
　　远程接入VPN远程接入VPN（remoteaccessVPN）可以满足外部流动员工访问公司网络的需求。在外地工作的员工拨号接入互联网，而驻留在员工PC机中的VPN软件可在员工的PC机和公司的主机之间建立VPN隧道，因而外地员工与公司通信的内容是保密的，员工们感到好像就是使用公司内部的本地网络。
　　内联网intranet和外联网extranet它们都是基于TCPIP协议的。由部门A和B的内部网络所构成的虚拟专用网VPN又称为内联网（intranet），表示部门A和B都是在同一个机构的内部。一个机构和某些外部机构共同建立的虚拟专用网VPN又称为外联网（extranet）。