不论是运营商，还是终端用户，每个人都在谈论VPN，即虚拟专用网。但是，什么是VPN呢？VPN没有一个技术层面上的定义，只有一个从应用角度的描述，即VPN是建立在公共网络上的，可以提供类似于专网一样的，具有可靠性、安全性的网络业务。于是，运营商在建网时就不可避免的有一个很大的疑问：宽带网络用户对VPN的期望是什么，而满足这个期望的VPN网络是什么样的？

运营商在为企业用户提供解决方案时必须能够提供三种业务，即远程接入服务、点到点的网内互联和外网互联。当企业用户考虑用VPN来建设其网络时，其可以选择两种方式，一是自己建设VPN网络，即企业自己通过购买设备，利用运营商宽带网络的高速和成本优势，自己组建其网络。另外一种方式是企业向运营商外包自己的网络业务，即运营商通过业务租赁的方式来帮助企业用户建网。对于运营商来讲，外包业务是最符合其利益的，它可以实现其宽带基础网络的升值，因此运营商应努力提升网络以保证其可以提供基于网络的业务。

但是，对于实现基于网络的业务来讲，所用设备可以是用户端设备（CPE设备），如具有VPN功能的路由器、VPN网关等，也可以是一些大型网络设备，如大型路由器、宽带业务网关等。站在运营商的角度，其目标应该是提供外包业务，而用户端设备或者大型网络设备都可以帮助其实现外包服务。如将一些VPN网关出租给企业用户，并帮助企业用户管理这些设备同样也是一种外包模式。因此，在运营商为企业用户提供外包服务时，其解决方案应该是一种综合的解决方案，应同时考虑用户端设备和网络设备的共同使用。

VPN业务的实现终究还是要基于技术，目前可以提供VPN服务的技术有很多，如ATM、FrameRelay、IPSec、MPLS等等。从METAGroup的调查结果我们可以看出没有任何一种技术是最完美的，每一种技术只能在特定方面具有自己的优势。包括目前大家谈论得最多的MPLSVPN技术也在很多方面不尽如人意。

低价是不是VPN业务的制胜法宝？答案是否定的！InfoneticsResearch公司在2002年对美国和加拿大的大约500家企业用户进行了关于VPN业务的调查。在用户对运营商的VPN业务进行选择时，VPN的网络覆盖、是否基于宽带网和是否具有可管理的安全业务三项指标排在了前三位。

根据以上分析，我们可以得出以下结论：远程接入是VPN业务中最大的市场需求；企业在建设其VPN时，会选择自己建网和向运营商外包/租赁的方式；VPN业务的提供可以分为基于CPE方式和基于网络的方式；没有任何一种VPN技术是完全满足用户需求的；单纯的VPN连接业务受价格、安全等影响并不能给运营商带来收益；VPN网络覆盖是用户选择运营商VPN网络的最主要考虑因素。

根据以上结论，北电网络建议运营商在建设其VPN网络时可以应根据网络情况和市场需求情况按照以下六个步骤进行建网。

1.首先满足69.3％的企业用户的远程接入需求。企业绝大部分的VPN需求是移动用户的接入需求，他们面临着跨地域、跨运营商网络、不同的接入条件的限制，这时他们可以通过IPSecClientTermination技术接入到公司总部。

2.立足于TimeToMarket的考虑，基于标准的IP网络，在不需要对网络进行升级的情况下，提供跨地域、跨运营商的分支机构间的VPN连接。这对于那些位于其他省市或者通过其它运营商网络接入宽带网的分支节点连接公司内部网是十分重要的，因此必须找到另外一种对于其他运营商网络透明的VPN技术，IPSec是一个非常好的选择，它可以保证那些远端的分支节点无障碍地接回企业内部网。一般来讲需要运营商为企业部署CPE设备以完成该服务。

3.为企业用户同时提供VPN和Internet访问功能，即在提供VPN＋Internet业务的同时，还可以完成Extranet服务，需要防火墙和NAT功能提供安全保证和地址转换功能。

4.在使得用户可以无障碍地进行VPN联网之后，再逐步地将此种服务过渡为运营商可管理的、基于CPE方式的VPN业务，以完善运营商的VPN业务提供。

5.为某些希望完全外包VPN服务的客户，建设基于网络的，基于MPLSVPN的VPN网络以完成企业分支机构之间的互联。MPLSVPN作为网络VPN的标准，提供了多厂商VPN业务互通的保障。提供MPLSVPN的设备必须支持多种用户接入方式，多种IP业务以保证MPLSVPN的业务成功。

6.在基本的VPN连接服务之上，为所有VPN用户提供基于网络的安全和服务质量保证服务，这对于运营商来讲是VPN服务是否能够成功的一个重要保障。

通过以上分析，我们可以看出，运营商应该从整体上把握VPN业务，通过各种资源的利用来提供一个全套的VPN服务。在这一点上，北电网络公司充分考虑了终端用户对于VPN的业务需求和运营商对于VPN的经营需求，提出了Shasta宽带业务节点结合ContivityIP业务网关的综合VPN解决方案。首先，Shasta与Contivity的IPSecTermination功能保证移动用户不受地域以及网络条件的限制可以进入公司内部网络。其次，Contivity通过IPSec可以提供企业的各个分支机构间的互联。以上两种实现方式，通过IPSec技术的使用保证了运营商为企业提供VPN时可以不受网络条件、地域以及跨运营商的限制。在保证提供企业VPN联网的同时，Shasta以及Contivity强大的防火墙、QoS保证机制还可以提供VPN＋Internet、Extranet功能。对于部分企业的外包要求，Contivity的专用管理隧道以及快速安装功能都保证运营商可以替代企业用户来维护Contivity的网络配置，即使得运营商可提供可管理的业务，满足用户所要求的外包服务。最后，对于那些完全外包的企业用户，Shasta作为PE，通过MPLSVPN可以为企业的分支机构之间提供联网。与传统路由器相比，Shasta作为PE其主要优点体现在两个方面：一是对于运营商来讲，通过其特有的图形化管理界面可以非常方便地配置MPLSVPN用户；二是通过Shasta不仅仅可以为专线用户提供MPLSVPN服务，同时可以为拨号用户提供MPLSVPN服务，这对于那些通过ADSL接入的小型分支机构是非常重要的。 （北电网络运营商数据网络部高级经理 郑燕翔）