2024年10月2日发(作者：军水悦)
科技信息 计算机与网络
Ｉ ＰＳＥＣ ＶＰＮ在高校多救区财务信息化建设巾的应用研究
河南理工大学计算机科学与技术学院 陈琳
［摘 要］ＶＰＮ（虚拟专用网）技术提供了一种既安全可靠又节约成本的新型组网方式。本文主要介绍了ＩＰＳＥＣ ＶＰＮ的技术核心及工
作原理，提出了基于ＩＰＳＥＣ ＶＰＮ技术的高校多校区财务信息化建设方案。
［关键词］ＶＰＮ ＩＰＳｅｃ 财务信息化 安全
１、引言
新的ＩＰ数据包中。
随着高等教育的发展，高校办学规模不断扩大，许多高校都在实施
校多区的办学模式。在多校区办学模式中，由于校区之间地域上的隔
离，使得财务部门各个校区的会计核算系统、学生收费系统等财务业务
处理平台没有统一的数据服务器，造成数据不能同步，教职工报销、学
一
（５）Ｉｎｔｅｒｎｅｔ密钥交换协议（ｔＫＥ）：ｌｎｔｅｍｅｔ密钥交换协议（ＩＫＥ）是
ＩＰＳｅｅ默认的安全密钥协商方法。ＩＫＥ通过一系列报文交换为两个实体
（如网络终端或网关）进行安全通信派生会话密钥。ＩＫＥ建立在Ｉｎｔｅｍｅｔ
安全关联和密钥管理协议（ＩｓＡＫＭＰ）定义的一个框架之上。ＩＫＥ是ＩＰＳｅｃ
生缴费等都受校区的限制，给日常财务管理工作带来了极大的不便。如
何解决校区之间财务信息资源的共享和交流，安全快捷地传送各种信
息资源，成为财务部门当前财务网络建设和财务管理信息化建设所面
临的重要问题。随着网络技术的发展，尤其是ＶＰＮ技术的成熟，为解决
此问题提供了一个可行的方法。通过ＶＰＮ技术手段能有效解决多校区
办学模式下的财务数据同步问题，实现统一、有效的异地财务管理，保
证安全、可靠地进行异地财务数据传输。笔者结合我校多校区办学的实
际情况，提出了一个将ＩＰＳＥＣ ＶＰＮ技术应用于高校多校区财务信息化
建设的方案。
２、ＶＰＮ概述
ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ：虚拟专用网），其英文定义为：Ｅｍｕｌａｔｉｏｎ
ｏｆ ａ Ｐｒｉｖａｔｅ Ｗｉｄｅ Ａｒｅａ ＮｅｔｗｏｒｋｆＷＡＮ）ｆａｃｉｌｉｔｉｅｓ ｕｓｉｎｇ ＩＰ ｆａｃｉｌｉｔｉｅｓ。它是利用
现有的公共网络，通过资源配置以及虚电路的建立，采用如加密技术、
隧道技术、ＭＰＬＳ技术等搭建而成的逻辑网络。能够用于构建ＶＰＮ的公
共网络包括Ｉｎｔｅｒｎｅｔ和服务提供商所提供的帧中继、ＡＴＭ等，构建在这
些公共网络上的ＶＰＮ将象当前企业私有的网络一样提供安全性、可靠
性和可管理性等。 ．
２．１ ＩＰＳｅｅ的定义
ｌＥＦＴ ＩＰＳｅｅ工作组于１９９８年改善，制定了一系列基于密码学的、开
放的网络安全协议，总称ＩＰ安全（ＩＰＳｅｃｕｒｉｔｙ）体系结构，简称ＩＰＳｅｃ。ＩＰｓｅｃ
工作在ＩＰ层，为ＩＰ层及其上层协议（载荷）提供访问控制、无连接的完成
性、数据来源验证、防重放保护、保密性、自动密钥管理等安全服务。
ＩＰＳｅｅ的基本目的是把密码学的安全机制引入ＩＰ协议，通过使用
现代密码学方法支持保密和认证服务，使用户能有选择地使用，并得到
所期望的安全服务。ＩＰＳｅｅ是随着ＩＰｖ６的制定而产生的，鉴于ＩＰｖ４的应
用仍然很广泛，所以后来在ＩＰＳｅｃ的制定中也增加了对ＩＰｖ４的支持。
ＩＰＳｅｃ在ＩＰｖ６中是必须支持的。
２．２ ＩＰＳｅｃ体系结构
ＩＰＳｅｅ将几种安全技术结合形成一个完整的安全体系，它包括安全
协议部分和密钥协商部分。
（１）安全关联和安全策略：安全关联（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ，ＳＡ）是构
成ＩＰＳｅｃ的基础，是两个通信实体经协商建立起来的一种协定，它们决
定了用来保护数据包安全的安全协议（ＡＨ协议或者ＥＳＰ协议）、转码
方式、密钥及密钥的有效存在时间等。
（２）ＩＰＳｅｅ协议的运行模式：ＩＰＳｅｅ协议的运行模式有两种，ＩＰＳｅｅ隧
道模式及ＩＰＳｅｃ传输模式。隧道模式的特点是数据包最终目的地不是安
全终点。通常情况下，只要ＩＰＳｅｅ双方有一方是安全网关或路由器，就必
须使用隧道模式。传输模式下，ＩＰＳｅｅ主要对上层协议即ＩＰ包的载荷进
行封装保护，通常情况下，传输模式只用于两台主机之间的安全通信。
（３）ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉ０ｎ Ｈｅａｄｅｒ，认证头）协议：设计ＡＨ认证协议的
目的是用来增加ＩＰ数据报的安全性。ＡＨ协议提供无连接的完整性、数
据源认证和抗重放保护服务，但是ＡＨ不提供任何保密性服务。ＩＰＳｅｅ
验证报头ＡＨ是个用于提供ＩＰ数据报完整性、身份认证和可选的抗重
传攻击的机制，但是不提供数据机密性保护。验证报头的认证算法有两
种：一种是基于对称加密算法（如ＤＥＳ），另一种是基于单向哈希算法
（如ＭＤ５或ＳＨＡ一１）。验证报头的工作方式有传输模式和隧道模式。传
输模式只对上层协议数据（传输层数据）和ＩＰ头中的固定字段提供认
证保护，把ＡＨ插在ＩＰ报头的后面，主要适合于主机实现。隧道模式把
需要保护的ＩＰ包封装在新的ＩＰ包中，作为新报文的载荷，然后把ＡＨ
插在新的ＩＰ报头的后面。隧道模式对整个ＩＰ数据报提供认证保护。
（４）ＥＳＰ（ＥｎｃａＤＳＵｌａｔｅ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ，封装安全载荷）协议：封装安
全载荷（ＥＳＰ）用于提高Ｉｎｔｅｒｎｅｔ协议（ＩＰ）协议的安全性。它可为ＩＰ提
供机密性、数据源验证、抗重放以及数据完整性等安全服务。ＥＳＰ属于
ＩＰＳｅｃ的机密性服务。其中，数据机密性是ＥＳＰ的基本功能，而数据源身
份认证、数据完整性检验以及抗重传保护都是可选的。ＥＳＰ主要支持ＩＰ
数据包的机密性，它将需要保护的用户数据进行加密后再重新封装到
．．——
２３０．．——
目前正式确定的密钥交换协议，ＩＫＥ为ＩＰＳｅｃ的ＡＨ和ＥＳＰ协议提供密
钥交换管理和ＳＡ管理，同时也为ＩＳＡＫＭＰ提供密钥管理和安全管理。
ＩＫＥ具有两种密钥管理协议（Ｏａｋｌｅｙ和ＳＫＥＭＥ安全密钥交换机制）的一
部分功能，并综合了Ｏａｋｌｅｙ和ＳＫＥＭＥ的密钥交换方案，形成了自己独
一
无二的受鉴别保护的加密材料生成技术。
３、具体方案
下面以笔者所在院校构建财务ＶＰＮ网络系统为例，说明ＩＰＳｅｅ ＶＰＮ
技术在多校区办学模式下高校财务信息化建设中的应用。
３．１需求分析
我校目前由两个校区组成，分别是新校区和老校区，新校区为主校
区．老校区距离主校区十几公里，财务机房设置在新校区财务处。新老
校区共有４个报账点：财务处、后勤处、北校区、一号宿舍楼，每个报账
点均要实现收取学生学费和对外报账功能，并且各报账点的客户机都能
实时地连接财务中心机房的服务器，达到所有的账务凭证和收费单据均
写入同一数据库当中。与此同时，发布服务器要对外发布财务信息，学生
收费信息要与教务管理系统、学校校园网络计费认证系统实现数据同
步，以达到财务数据安全稳定可靠地传输，财务信息在保证安全的前提
下在一定程度上与学校其他业务处理系统资源共享。
３．２方案设计
鉴于学校校园网已建成规模，因此财务ＶＰＮ网络可以通过搭建在
校园网网络平台上，这样既可以提高数据传输的稳定性，也可以使整个
财务ＶＰＮ网络处于学校防火墙的保护，进一步提升ＶＰＮ系统的安全
性。具体网络拓扑结构如下图所示：
北校区
学校ＩＰＳＥＣ ＶＰＮ网络拓扑结构图
具体实施步骤：
（１）划分网络段，每个在不同报账点的电脑要设置按照下列方法划
分出的网段中的ＩＰ地址。
在四个报账点，我们分别划出四个私有网段：Ｉ７２．１６．０．０／２６，
１７２．１６．０．６４／２６．１７２．１６．０．１２８／２６．１７２．１６．０．１９２／２６。每个网络里面可使用６２
个ＩＰ地址（以后可根据报账点的增加继续增加网络段）。
财务中心：１７２．１６．０．０／２６；后勤处：１７２．１６．０．６４／２６；一号宿舍：１７２．１６．０．
１２８／２６；￣校区：１７２．１６．０．１９２／２６。
（２）地址的分配
在四个网段中，每个网段的第一个可用ＩＰ地址为本网段的网关。
网关地址为：
财务中心：１ １７２．１６．０．１；后勤处：１ １７２．１６．０．６５；一号宿舍：１ １７２．１６．０．１２９；
北校区：１１７２．１６．０．１９３子网掩码均为：２５５．２５５．２５５．１９２。
（３）服务器地址的更改
在基于ＩＰ协议的财务软件中，我们将服务器的ＩＰ地址更改为
１７２．１６．０．２．１７２．１６．０．３．１７２．１６．０．４。子网掩码为２５５．２５５．２５５．１９２。
（４）基于ｎｅｔｂｉｏｓ协议的地址更改
由于部分财务软件是基于ｎｅｔｂｉｏｓ协议的，在这 （下转第２３２页）
科技信息． 计算机与网络
ＩＯＰＣＳｅｒｖｅｒ接ＩＳｌ的ＡｄｄＧｒｏｕｐ（）方法可以创建一个指定名称和属性
的ＯＰＣ组。代码如下：
ｒｌ＝ｍ＿ＩＯＰＣＳｅｒｖｅｒ一＞ＡｄｄＧｍｕｐ（Ｌ“ｇｒｐｌ”，ＴＲＵＥ，５００，ｌ，＆ＴｉｍｅＢｉａｓ，
＆ＰｅｒｃｅｎｔＤｅａｄｂａｎｄ，ＬＯＣＡ１ Ｅ
—
据库服务器中的实时和历史数据库，可以实时监控生产情况同时也可
以查询统计历史事件。
４、ＯＰＧ客户端的程序实现
在ＶＣ环境中使用子定义接口开发ＯＰＣ客户应用程序，下面是程
序实现的关键步骤：
４．１包含ＯＰＣ头文件
开发ＯＰＣ客户应用程序，需要在程序中包含ＯＰＣ标准库文件：
＃ｉｎｃｌｕｄｅ“ＯＰＣｄａ．ｈ”
＃ｉｎｃｌｕｄｅ“ＯＰＣｄａ ｉ．ｅ’’
＃ｉｎｃｌｕｄｅ“ＯＰＣｃｏｍｎ ｉ．”
＃ｉｎｃｌｕｄｅ“ＯＰＣｃｏｍｎ．ｈ”
ＩＤ，＆ｍＧｒｐＳｒｖＨａｎｄｌｅ，＆ＲｅｖｉｓｅｄＵｐｄａｔｅＲ—
—
ａｔｅ，ｌｉＤ
ＩＯＰＣｈｅｍＭｇｔ，（ＬＰＵＮＫＮＯＷＮ３）＆ｍ—ＩＯＰＣｈｅｍＭｇｔ）。
４．５添加数据项
—
ＩＯＰＣ ｈｅｍＭｇｔ接口的Ａｄｄ Ｉｔｅｍｓ（）方法可以添加具有特殊属性的指
定项目数量的数据项。代码如下：
＆ｍ
＿
ｒｌ＝ｍ ＩＯＰＣｈｅｍＭｇｔ一＞Ａｄｄ ｈｅｍｓ（Ｃｏｕｎｔ，ｍ Ｉｔｅｍｓ，＆ｍ—ｈｅｍＲｅｓｕｈ，
ｐＥｒｒｏｒｓ）；
４．２初始化ＣＯＭ库
由于ＯＰＣ是基于ＣＯＭ技术的，所以在使用接口类之前必须首先使
用Ｃｏ Ｉｎｉｔｉａｌｉｚｅ（ＮＵＬＬ）函数初始化ＣＯＭ库，如果成功，返回Ｓ ＯＫ．代码
如下所示：
ｒｌ＝Ｃｏ Ｉｎｉｔｉａｌｉｚｅ（ＮＵＬＬ）；
ｉｆ（ｒｌ！：Ｓ—ＯＫ）
数据交换
成功地添加完所需要的数据项后，ＯＰＣ客户ｆｖｃ应用程序）和ＯＰＣ
服务器（ｗ ｉｎＣＣ ＯＰＣ ＳＥＲＶＥＲ）就可以进行数据交换。因为数据量不大，
使用同步接口ＩＯＰＣＳｙｎｃ ＩＯ的Ｗｒｉｔｅ（）和Ｒｅａｄ（）进行数据的读写操作，
实现ＯＰＣ客户和ＯＰＣ Ｓｅｒｖｅｒ服务器之间的数据交换。代码如下：
ｒｌ＝ｍ
ＩＯＰＣｈｅｍＭｇｔ一＞Ｑｕｅｒｙｌｎｔｅｒｆａｃｅ（ＩＩＤ—ＩＯＰＣＳｙｎｃ ＩＯ，（ｖｏｉｄ ）＆ｍ—
—
（
ＡｆｘＭｅｓｓａｇｅＢｏｘ（“ＣＯＭ初始化失败”）；
Ｊ
ｅｌｓｅ
ＩＯＰＣＳｙｎｃ ＩＯ）；
ｒｌ＝ｍ
ＩＯＰＣＳｙｎｃ ＩＯ一＞Ｒｅａｄ（ＯＰＣ—ＤＳ—ＣＡＣＨＥ，Ｃｏｕｎｔ，ｐｈＳｅｒｖｅｒ，＆ｐｈｅｍ
Ｖａｌｕｅ，＆ｐＥｒｒｏｒｓ）；
ｒｌ：ｍ
ＩＯＰＣＳｙｎｃ ＩＯ一＞Ｗｒｉｔｅ（Ｃｏｕｎｔ，ｐｈＳｅｒｖｅｒ，ｖａｌｕｅｓ，＆ｐＥｒｒｏ￣）；
释放接口函数
—
｛
ＡｆｘＭｅｓｓａｇｅＢｏｘ（“ＣＯＭ已经初始化”）；
ｒｅｔｕｒｎ；
在ＶＣ应用程序停止运行之前必须使用Ｒｅｌｅａｓｅ（）函数删除已经创
建的数据项、组等ＯＰＣ对象并释放内存。代码如下：
ｒｌ＝ｍ
）
４＿３连接ＯＰＣ服务器
ＯＰＣ客户能够连接到ＯＰＣ服务器上，并建立ＯＰＣ组和数据项，这是
ＯＰＣ数据访问的基础。连接ＯＰＣ服务器，如果服务器和客户不在同一台
计算机上，则ＯＰＣ客户端程序需要首先指定服务器的计算机名，如果服
务器和客户在同一台计算机上，ＯＰＣ客户端程序只需指定ＯＰＣ数据访
问服务器名（ＷｉｎＣＣ作为ＯＰＣＳｅｒｖｅｒ时，服务器名为ＯＰＣＳｅｒｖｅｒ．ＷｉｎＣＣ），
代码如下：
ｒｌ＝ＣＬＳＩＤＦｒｏｍＰｒｏｇｌＤ（Ｌ“ＯＰＣＳｅｒｖｅｒ．ＷｉｎＣＣ”，＆ｅｌｓｉｄ）；
ｉｆ（ｒｌ！＝Ｓ＿ＯＫ）
Ｉ
ＩＯＰＣｈｅｍＭｇｔ一＞Ｒｅｍｏｖｅｈｅｍｓ（Ｃｏｕｎｔ，ｐｈＳｅｒｖｅｒ，＆ｐＥｒｒｏｒｓ）；
ｍ ＩＯＰＣＳｙｎｃ ＩＯ一＞Ｒｅｌｅａｓｅ（）；
ｍ
ＩＯＰＣｈｅｍＭｇｔ一＞Ｒｅｌｅａｓｅ（）；
—
—
ｒｌ：ｍ
ｍ
—
ＩＯＰＣＳｅｒｖｅｒ一＞ＲｅｍｏｖｅＧｒｏｕｐ（ｍ—ＧｒｐＳｒｖＨａｎｄｌｅ，ＴＲＵＥ）；
ＩＯＰＣＳｅｒｖｅｒ一＞Ｒｅｌｅａｓｅ（）；
ＣｏＵｎｉｎｉｔｉａｌｉｚｅ（）。
５、结束语
ＣｏＵｎｉｎｉｔｉａｌｉｚｅ（）；
ｒｅｔｕｒｎ；
在ＯＰＣ规范下，控制系统软件可以高效、稳定地对硬件设备进行
数据存取，系统应用软件之间也可以灵活地进行信息交互，极大地提高
了控制系统的互操作性和适应性。应用ＯＰＣ技术能够实现了某油库综
合自动化系统控制网与管理网之间的数据交换，数据访问实例符合
ＯＰＣ规范，实现了对数据的实时读取存储，具有实用价值。文中采用的
方法简单有效、通讯稳定，提高了控制系统的互操作性和适应性，具有
实际应用意义。
参考文献
［１］ＯＰＣ基金会ＯＰＣ Ｄａｔａ Ａｃｃｅｓｓ Ｃｕｓｔｏｍ Ｉｎｔｅｒｆａｃｅ Ｓｔａｎｄａｒｄ，ＶＥＲ—
ＳＩｏＮ ２．０．
｝
ｒｌ＝ＣｏＣｒｅａｔｅ Ｉｎｓｔａｎｃｅ（ｃｌｓｉｄ，ＮＵＬＬ，ＣＬＳＣＴＸ＿ＬＯＣＡＬ＿ＳＥＲＶＥＲ，
ＩＯＰＣＳｅｒｖｅｒ，（ｖｏｉｄ３ ３）＆ｍ—ＩＯＰＣＳｅｒｖｅｒ）；
．ｆ（ｒｌ！：Ｓ＿ＯＫ）
ｌｉＤ
｛
ｍ
—
［２］ＯＰＣ基金会．ＯＰＣ Ｄａｔａ Ａｃｃｅｓｓ Ａｕｔｏｍａｔｉｏｎ Ｉｎｔｅｒｆａｃｅ Ｓｔａｎｄａｒｄ，
ＩＯＰＣｓｅｒｖｅｒ＝ＮＵＬＬ；
ＶＥＲＳＩｏＮ ２．０．
ＣｏＵｎｉｎｉｔｉｌａｉ￣（）；
ｒｅｔｕｒｎ；
［３］苏昆哲．深入浅出西门子ＷｉｎＣＣ Ｖ６［Ｍ］．北京：北京航空航天大
学出版社，２００６．
）
［４］苏浩．ＯＰＣ技术规范的研究及其与ＨＭＩ接口技术［Ｊ］．大连理
工大学学报，２００５年
４．４创建ＯＰＣ组
（上接第２３０页） 类软件中首先将网络属性中的ｎｅｔｂｉｏｓ协议绑定到
ＴＣＰ／ＩＰ协议上。然后更改客户机ＩＰ地址。在ｗｉｎｄｏｗｓ目录下查找到文件
ｌｍｈｏｓｔ．ｓａｍ，用记事本打开此文件，在文件的最后一行添加如下类似配
置：１７２．１６．０．２ ｓｅｒｖｅｒ４
其中ｓｅｒｖｅｒ４为本客户机需要访问的服务器名称，１７２．１６．０．２为客
户机访问服务器的ＩＰ地址。最后，将ｌｍｈｏｓｔ．ｓａｍ文件的扩展名称ｓａｎｌ去
掉．也就是将文件名ｌｍｈｏｓｔ．ＳａＩＤ更改为ｌｍｈｏｓｔ。基于以上四步的设置，财
务软件即可正常使用。
３．３注意事项
（１）在网络设置完成之后，必须记录下每台机器的设置内容，以便
以后查询。
（２）在网络使用过程中，要确保网络线路的连通，不要随意将网络
的线路进行插拔，造成网络的波动。
（３）更改配置后的电脑在以后使用中不能随意更改个人网络设置，
否则可能导致无法连接到服务器，影响到正常财务软件系统的使用。
（４）在基于ｎｅｔｂｉｏｓ的财务软件的机器上，注意ｌｍｈｏｓｔ文件的保存。
（５）如果由于操作等其他原因导致本机操作系统出现故障的，在重
新安装操作系统之后，所有网络方面的配置需要和之前设置一样。
４、结束语
计算机和网络系统的安全取决于多种因素，包括人员的、物理的、
程序的、安全扩散的危害以及应用等。因此ＩＰＳｅｃ ＶＰＮ仅是整个网络安
全体系的一个环节不能简单的认为部署了ＩＰＳｃｅ ＶＰＮ，系统就安全了。
．．——
同时，我们也看到以ＶＰＮ技术组建的财务专网为多校区财务管理工作
实现计算机信息统一管理和维护提供了很好的网络基础平台，为财务信
息化建设的进一步发展提供了强有力的技术保障。随着高校进一步的
发展，ＶＰＮ技术不但适用于财务的信息化建设，在整个学校信息化的发
展过程中，必将有非常广阔的应用前景。
参考文献
［１］何宝宏，田辉．ＩＰ虚拟专用网络技术人民邮电出版社，２００８．
［２］王达．虚拟专用网（ｖｐＮ）精解清华大学出版社，２００４．
［３］章寒芳．ＶＰＮ在电子商务中的应用与研究．微电子学与计算机，
２００５－２２－１０．
［４］黄陶明，蔡昭权，卢庆武，昊莉娅．ＩＰＳｅｃＶＰＮ与ＳＳＬＶＰＮ的技术探
讨ｌＩ Ｊ．ＩＰ技术，２００５，（４）：２３—２６．
『５］ＶＰＮ技术在实际中的应用科技咨询导报，２００７．０６
［６］姜瑜．基于校园网的ＶＰＮ技术研究ｌ网络安全技术与应用，２００５
（７）．
［７］彭建，邓广慧．一种基于校园网的ＶＰＮ应用方案［Ｊ］．陕西科技大
学学报，２００５，２３（２）：９７—１００．
［８］刘真祥，张文勇．公共网络上基于ＩＰＳｅｃ技术城域网ＶＰＮ的实现
『Ａ］．全球化制造高级论坛暨２１世纪仿真技术研讨会论文集［Ｃ］２００４，
２３２．－－——
2024年10月2日发(作者：军水悦)
科技信息 计算机与网络
Ｉ ＰＳＥＣ ＶＰＮ在高校多救区财务信息化建设巾的应用研究
河南理工大学计算机科学与技术学院 陈琳
［摘 要］ＶＰＮ（虚拟专用网）技术提供了一种既安全可靠又节约成本的新型组网方式。本文主要介绍了ＩＰＳＥＣ ＶＰＮ的技术核心及工
作原理，提出了基于ＩＰＳＥＣ ＶＰＮ技术的高校多校区财务信息化建设方案。
［关键词］ＶＰＮ ＩＰＳｅｃ 财务信息化 安全
１、引言
新的ＩＰ数据包中。
随着高等教育的发展，高校办学规模不断扩大，许多高校都在实施
校多区的办学模式。在多校区办学模式中，由于校区之间地域上的隔
离，使得财务部门各个校区的会计核算系统、学生收费系统等财务业务
处理平台没有统一的数据服务器，造成数据不能同步，教职工报销、学
一
（５）Ｉｎｔｅｒｎｅｔ密钥交换协议（ｔＫＥ）：ｌｎｔｅｍｅｔ密钥交换协议（ＩＫＥ）是
ＩＰＳｅｅ默认的安全密钥协商方法。ＩＫＥ通过一系列报文交换为两个实体
（如网络终端或网关）进行安全通信派生会话密钥。ＩＫＥ建立在Ｉｎｔｅｍｅｔ
安全关联和密钥管理协议（ＩｓＡＫＭＰ）定义的一个框架之上。ＩＫＥ是ＩＰＳｅｃ
生缴费等都受校区的限制，给日常财务管理工作带来了极大的不便。如
何解决校区之间财务信息资源的共享和交流，安全快捷地传送各种信
息资源，成为财务部门当前财务网络建设和财务管理信息化建设所面
临的重要问题。随着网络技术的发展，尤其是ＶＰＮ技术的成熟，为解决
此问题提供了一个可行的方法。通过ＶＰＮ技术手段能有效解决多校区
办学模式下的财务数据同步问题，实现统一、有效的异地财务管理，保
证安全、可靠地进行异地财务数据传输。笔者结合我校多校区办学的实
际情况，提出了一个将ＩＰＳＥＣ ＶＰＮ技术应用于高校多校区财务信息化
建设的方案。
２、ＶＰＮ概述
ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ：虚拟专用网），其英文定义为：Ｅｍｕｌａｔｉｏｎ
ｏｆ ａ Ｐｒｉｖａｔｅ Ｗｉｄｅ Ａｒｅａ ＮｅｔｗｏｒｋｆＷＡＮ）ｆａｃｉｌｉｔｉｅｓ ｕｓｉｎｇ ＩＰ ｆａｃｉｌｉｔｉｅｓ。它是利用
现有的公共网络，通过资源配置以及虚电路的建立，采用如加密技术、
隧道技术、ＭＰＬＳ技术等搭建而成的逻辑网络。能够用于构建ＶＰＮ的公
共网络包括Ｉｎｔｅｒｎｅｔ和服务提供商所提供的帧中继、ＡＴＭ等，构建在这
些公共网络上的ＶＰＮ将象当前企业私有的网络一样提供安全性、可靠
性和可管理性等。 ．
２．１ ＩＰＳｅｅ的定义
ｌＥＦＴ ＩＰＳｅｅ工作组于１９９８年改善，制定了一系列基于密码学的、开
放的网络安全协议，总称ＩＰ安全（ＩＰＳｅｃｕｒｉｔｙ）体系结构，简称ＩＰＳｅｃ。ＩＰｓｅｃ
工作在ＩＰ层，为ＩＰ层及其上层协议（载荷）提供访问控制、无连接的完成
性、数据来源验证、防重放保护、保密性、自动密钥管理等安全服务。
ＩＰＳｅｅ的基本目的是把密码学的安全机制引入ＩＰ协议，通过使用
现代密码学方法支持保密和认证服务，使用户能有选择地使用，并得到
所期望的安全服务。ＩＰＳｅｅ是随着ＩＰｖ６的制定而产生的，鉴于ＩＰｖ４的应
用仍然很广泛，所以后来在ＩＰＳｅｃ的制定中也增加了对ＩＰｖ４的支持。
ＩＰＳｅｃ在ＩＰｖ６中是必须支持的。
２．２ ＩＰＳｅｃ体系结构
ＩＰＳｅｅ将几种安全技术结合形成一个完整的安全体系，它包括安全
协议部分和密钥协商部分。
（１）安全关联和安全策略：安全关联（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ，ＳＡ）是构
成ＩＰＳｅｃ的基础，是两个通信实体经协商建立起来的一种协定，它们决
定了用来保护数据包安全的安全协议（ＡＨ协议或者ＥＳＰ协议）、转码
方式、密钥及密钥的有效存在时间等。
（２）ＩＰＳｅｅ协议的运行模式：ＩＰＳｅｅ协议的运行模式有两种，ＩＰＳｅｅ隧
道模式及ＩＰＳｅｃ传输模式。隧道模式的特点是数据包最终目的地不是安
全终点。通常情况下，只要ＩＰＳｅｅ双方有一方是安全网关或路由器，就必
须使用隧道模式。传输模式下，ＩＰＳｅｅ主要对上层协议即ＩＰ包的载荷进
行封装保护，通常情况下，传输模式只用于两台主机之间的安全通信。
（３）ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉ０ｎ Ｈｅａｄｅｒ，认证头）协议：设计ＡＨ认证协议的
目的是用来增加ＩＰ数据报的安全性。ＡＨ协议提供无连接的完整性、数
据源认证和抗重放保护服务，但是ＡＨ不提供任何保密性服务。ＩＰＳｅｅ
验证报头ＡＨ是个用于提供ＩＰ数据报完整性、身份认证和可选的抗重
传攻击的机制，但是不提供数据机密性保护。验证报头的认证算法有两
种：一种是基于对称加密算法（如ＤＥＳ），另一种是基于单向哈希算法
（如ＭＤ５或ＳＨＡ一１）。验证报头的工作方式有传输模式和隧道模式。传
输模式只对上层协议数据（传输层数据）和ＩＰ头中的固定字段提供认
证保护，把ＡＨ插在ＩＰ报头的后面，主要适合于主机实现。隧道模式把
需要保护的ＩＰ包封装在新的ＩＰ包中，作为新报文的载荷，然后把ＡＨ
插在新的ＩＰ报头的后面。隧道模式对整个ＩＰ数据报提供认证保护。
（４）ＥＳＰ（ＥｎｃａＤＳＵｌａｔｅ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ，封装安全载荷）协议：封装安
全载荷（ＥＳＰ）用于提高Ｉｎｔｅｒｎｅｔ协议（ＩＰ）协议的安全性。它可为ＩＰ提
供机密性、数据源验证、抗重放以及数据完整性等安全服务。ＥＳＰ属于
ＩＰＳｅｃ的机密性服务。其中，数据机密性是ＥＳＰ的基本功能，而数据源身
份认证、数据完整性检验以及抗重传保护都是可选的。ＥＳＰ主要支持ＩＰ
数据包的机密性，它将需要保护的用户数据进行加密后再重新封装到
．．——
２３０．．——
目前正式确定的密钥交换协议，ＩＫＥ为ＩＰＳｅｃ的ＡＨ和ＥＳＰ协议提供密
钥交换管理和ＳＡ管理，同时也为ＩＳＡＫＭＰ提供密钥管理和安全管理。
ＩＫＥ具有两种密钥管理协议（Ｏａｋｌｅｙ和ＳＫＥＭＥ安全密钥交换机制）的一
部分功能，并综合了Ｏａｋｌｅｙ和ＳＫＥＭＥ的密钥交换方案，形成了自己独
一
无二的受鉴别保护的加密材料生成技术。
３、具体方案
下面以笔者所在院校构建财务ＶＰＮ网络系统为例，说明ＩＰＳｅｅ ＶＰＮ
技术在多校区办学模式下高校财务信息化建设中的应用。
３．１需求分析
我校目前由两个校区组成，分别是新校区和老校区，新校区为主校
区．老校区距离主校区十几公里，财务机房设置在新校区财务处。新老
校区共有４个报账点：财务处、后勤处、北校区、一号宿舍楼，每个报账
点均要实现收取学生学费和对外报账功能，并且各报账点的客户机都能
实时地连接财务中心机房的服务器，达到所有的账务凭证和收费单据均
写入同一数据库当中。与此同时，发布服务器要对外发布财务信息，学生
收费信息要与教务管理系统、学校校园网络计费认证系统实现数据同
步，以达到财务数据安全稳定可靠地传输，财务信息在保证安全的前提
下在一定程度上与学校其他业务处理系统资源共享。
３．２方案设计
鉴于学校校园网已建成规模，因此财务ＶＰＮ网络可以通过搭建在
校园网网络平台上，这样既可以提高数据传输的稳定性，也可以使整个
财务ＶＰＮ网络处于学校防火墙的保护，进一步提升ＶＰＮ系统的安全
性。具体网络拓扑结构如下图所示：
北校区
学校ＩＰＳＥＣ ＶＰＮ网络拓扑结构图
具体实施步骤：
（１）划分网络段，每个在不同报账点的电脑要设置按照下列方法划
分出的网段中的ＩＰ地址。
在四个报账点，我们分别划出四个私有网段：Ｉ７２．１６．０．０／２６，
１７２．１６．０．６４／２６．１７２．１６．０．１２８／２６．１７２．１６．０．１９２／２６。每个网络里面可使用６２
个ＩＰ地址（以后可根据报账点的增加继续增加网络段）。
财务中心：１７２．１６．０．０／２６；后勤处：１７２．１６．０．６４／２６；一号宿舍：１７２．１６．０．
１２８／２６；￣校区：１７２．１６．０．１９２／２６。
（２）地址的分配
在四个网段中，每个网段的第一个可用ＩＰ地址为本网段的网关。
网关地址为：
财务中心：１ １７２．１６．０．１；后勤处：１ １７２．１６．０．６５；一号宿舍：１ １７２．１６．０．１２９；
北校区：１１７２．１６．０．１９３子网掩码均为：２５５．２５５．２５５．１９２。
（３）服务器地址的更改
在基于ＩＰ协议的财务软件中，我们将服务器的ＩＰ地址更改为
１７２．１６．０．２．１７２．１６．０．３．１７２．１６．０．４。子网掩码为２５５．２５５．２５５．１９２。
（４）基于ｎｅｔｂｉｏｓ协议的地址更改
由于部分财务软件是基于ｎｅｔｂｉｏｓ协议的，在这 （下转第２３２页）
科技信息． 计算机与网络
ＩＯＰＣＳｅｒｖｅｒ接ＩＳｌ的ＡｄｄＧｒｏｕｐ（）方法可以创建一个指定名称和属性
的ＯＰＣ组。代码如下：
ｒｌ＝ｍ＿ＩＯＰＣＳｅｒｖｅｒ一＞ＡｄｄＧｍｕｐ（Ｌ“ｇｒｐｌ”，ＴＲＵＥ，５００，ｌ，＆ＴｉｍｅＢｉａｓ，
＆ＰｅｒｃｅｎｔＤｅａｄｂａｎｄ，ＬＯＣＡ１ Ｅ
—
据库服务器中的实时和历史数据库，可以实时监控生产情况同时也可
以查询统计历史事件。
４、ＯＰＧ客户端的程序实现
在ＶＣ环境中使用子定义接口开发ＯＰＣ客户应用程序，下面是程
序实现的关键步骤：
４．１包含ＯＰＣ头文件
开发ＯＰＣ客户应用程序，需要在程序中包含ＯＰＣ标准库文件：
＃ｉｎｃｌｕｄｅ“ＯＰＣｄａ．ｈ”
＃ｉｎｃｌｕｄｅ“ＯＰＣｄａ ｉ．ｅ’’
＃ｉｎｃｌｕｄｅ“ＯＰＣｃｏｍｎ ｉ．”
＃ｉｎｃｌｕｄｅ“ＯＰＣｃｏｍｎ．ｈ”
ＩＤ，＆ｍＧｒｐＳｒｖＨａｎｄｌｅ，＆ＲｅｖｉｓｅｄＵｐｄａｔｅＲ—
—
ａｔｅ，ｌｉＤ
ＩＯＰＣｈｅｍＭｇｔ，（ＬＰＵＮＫＮＯＷＮ３）＆ｍ—ＩＯＰＣｈｅｍＭｇｔ）。
４．５添加数据项
—
ＩＯＰＣ ｈｅｍＭｇｔ接口的Ａｄｄ Ｉｔｅｍｓ（）方法可以添加具有特殊属性的指
定项目数量的数据项。代码如下：
＆ｍ
＿
ｒｌ＝ｍ ＩＯＰＣｈｅｍＭｇｔ一＞Ａｄｄ ｈｅｍｓ（Ｃｏｕｎｔ，ｍ Ｉｔｅｍｓ，＆ｍ—ｈｅｍＲｅｓｕｈ，
ｐＥｒｒｏｒｓ）；
４．２初始化ＣＯＭ库
由于ＯＰＣ是基于ＣＯＭ技术的，所以在使用接口类之前必须首先使
用Ｃｏ Ｉｎｉｔｉａｌｉｚｅ（ＮＵＬＬ）函数初始化ＣＯＭ库，如果成功，返回Ｓ ＯＫ．代码
如下所示：
ｒｌ＝Ｃｏ Ｉｎｉｔｉａｌｉｚｅ（ＮＵＬＬ）；
ｉｆ（ｒｌ！：Ｓ—ＯＫ）
数据交换
成功地添加完所需要的数据项后，ＯＰＣ客户ｆｖｃ应用程序）和ＯＰＣ
服务器（ｗ ｉｎＣＣ ＯＰＣ ＳＥＲＶＥＲ）就可以进行数据交换。因为数据量不大，
使用同步接口ＩＯＰＣＳｙｎｃ ＩＯ的Ｗｒｉｔｅ（）和Ｒｅａｄ（）进行数据的读写操作，
实现ＯＰＣ客户和ＯＰＣ Ｓｅｒｖｅｒ服务器之间的数据交换。代码如下：
ｒｌ＝ｍ
ＩＯＰＣｈｅｍＭｇｔ一＞Ｑｕｅｒｙｌｎｔｅｒｆａｃｅ（ＩＩＤ—ＩＯＰＣＳｙｎｃ ＩＯ，（ｖｏｉｄ ）＆ｍ—
—
（
ＡｆｘＭｅｓｓａｇｅＢｏｘ（“ＣＯＭ初始化失败”）；
Ｊ
ｅｌｓｅ
ＩＯＰＣＳｙｎｃ ＩＯ）；
ｒｌ＝ｍ
ＩＯＰＣＳｙｎｃ ＩＯ一＞Ｒｅａｄ（ＯＰＣ—ＤＳ—ＣＡＣＨＥ，Ｃｏｕｎｔ，ｐｈＳｅｒｖｅｒ，＆ｐｈｅｍ
Ｖａｌｕｅ，＆ｐＥｒｒｏｒｓ）；
ｒｌ：ｍ
ＩＯＰＣＳｙｎｃ ＩＯ一＞Ｗｒｉｔｅ（Ｃｏｕｎｔ，ｐｈＳｅｒｖｅｒ，ｖａｌｕｅｓ，＆ｐＥｒｒｏ￣）；
释放接口函数
—
｛
ＡｆｘＭｅｓｓａｇｅＢｏｘ（“ＣＯＭ已经初始化”）；
ｒｅｔｕｒｎ；
在ＶＣ应用程序停止运行之前必须使用Ｒｅｌｅａｓｅ（）函数删除已经创
建的数据项、组等ＯＰＣ对象并释放内存。代码如下：
ｒｌ＝ｍ
）
４＿３连接ＯＰＣ服务器
ＯＰＣ客户能够连接到ＯＰＣ服务器上，并建立ＯＰＣ组和数据项，这是
ＯＰＣ数据访问的基础。连接ＯＰＣ服务器，如果服务器和客户不在同一台
计算机上，则ＯＰＣ客户端程序需要首先指定服务器的计算机名，如果服
务器和客户在同一台计算机上，ＯＰＣ客户端程序只需指定ＯＰＣ数据访
问服务器名（ＷｉｎＣＣ作为ＯＰＣＳｅｒｖｅｒ时，服务器名为ＯＰＣＳｅｒｖｅｒ．ＷｉｎＣＣ），
代码如下：
ｒｌ＝ＣＬＳＩＤＦｒｏｍＰｒｏｇｌＤ（Ｌ“ＯＰＣＳｅｒｖｅｒ．ＷｉｎＣＣ”，＆ｅｌｓｉｄ）；
ｉｆ（ｒｌ！＝Ｓ＿ＯＫ）
Ｉ
ＩＯＰＣｈｅｍＭｇｔ一＞Ｒｅｍｏｖｅｈｅｍｓ（Ｃｏｕｎｔ，ｐｈＳｅｒｖｅｒ，＆ｐＥｒｒｏｒｓ）；
ｍ ＩＯＰＣＳｙｎｃ ＩＯ一＞Ｒｅｌｅａｓｅ（）；
ｍ
ＩＯＰＣｈｅｍＭｇｔ一＞Ｒｅｌｅａｓｅ（）；
—
—
ｒｌ：ｍ
ｍ
—
ＩＯＰＣＳｅｒｖｅｒ一＞ＲｅｍｏｖｅＧｒｏｕｐ（ｍ—ＧｒｐＳｒｖＨａｎｄｌｅ，ＴＲＵＥ）；
ＩＯＰＣＳｅｒｖｅｒ一＞Ｒｅｌｅａｓｅ（）；
ＣｏＵｎｉｎｉｔｉａｌｉｚｅ（）。
５、结束语
ＣｏＵｎｉｎｉｔｉａｌｉｚｅ（）；
ｒｅｔｕｒｎ；
在ＯＰＣ规范下，控制系统软件可以高效、稳定地对硬件设备进行
数据存取，系统应用软件之间也可以灵活地进行信息交互，极大地提高
了控制系统的互操作性和适应性。应用ＯＰＣ技术能够实现了某油库综
合自动化系统控制网与管理网之间的数据交换，数据访问实例符合
ＯＰＣ规范，实现了对数据的实时读取存储，具有实用价值。文中采用的
方法简单有效、通讯稳定，提高了控制系统的互操作性和适应性，具有
实际应用意义。
参考文献
［１］ＯＰＣ基金会ＯＰＣ Ｄａｔａ Ａｃｃｅｓｓ Ｃｕｓｔｏｍ Ｉｎｔｅｒｆａｃｅ Ｓｔａｎｄａｒｄ，ＶＥＲ—
ＳＩｏＮ ２．０．
｝
ｒｌ＝ＣｏＣｒｅａｔｅ Ｉｎｓｔａｎｃｅ（ｃｌｓｉｄ，ＮＵＬＬ，ＣＬＳＣＴＸ＿ＬＯＣＡＬ＿ＳＥＲＶＥＲ，
ＩＯＰＣＳｅｒｖｅｒ，（ｖｏｉｄ３ ３）＆ｍ—ＩＯＰＣＳｅｒｖｅｒ）；
．ｆ（ｒｌ！：Ｓ＿ＯＫ）
ｌｉＤ
｛
ｍ
—
［２］ＯＰＣ基金会．ＯＰＣ Ｄａｔａ Ａｃｃｅｓｓ Ａｕｔｏｍａｔｉｏｎ Ｉｎｔｅｒｆａｃｅ Ｓｔａｎｄａｒｄ，
ＩＯＰＣｓｅｒｖｅｒ＝ＮＵＬＬ；
ＶＥＲＳＩｏＮ ２．０．
ＣｏＵｎｉｎｉｔｉｌａｉ￣（）；
ｒｅｔｕｒｎ；
［３］苏昆哲．深入浅出西门子ＷｉｎＣＣ Ｖ６［Ｍ］．北京：北京航空航天大
学出版社，２００６．
）
［４］苏浩．ＯＰＣ技术规范的研究及其与ＨＭＩ接口技术［Ｊ］．大连理
工大学学报，２００５年
４．４创建ＯＰＣ组
（上接第２３０页） 类软件中首先将网络属性中的ｎｅｔｂｉｏｓ协议绑定到
ＴＣＰ／ＩＰ协议上。然后更改客户机ＩＰ地址。在ｗｉｎｄｏｗｓ目录下查找到文件
ｌｍｈｏｓｔ．ｓａｍ，用记事本打开此文件，在文件的最后一行添加如下类似配
置：１７２．１６．０．２ ｓｅｒｖｅｒ４
其中ｓｅｒｖｅｒ４为本客户机需要访问的服务器名称，１７２．１６．０．２为客
户机访问服务器的ＩＰ地址。最后，将ｌｍｈｏｓｔ．ｓａｍ文件的扩展名称ｓａｎｌ去
掉．也就是将文件名ｌｍｈｏｓｔ．ＳａＩＤ更改为ｌｍｈｏｓｔ。基于以上四步的设置，财
务软件即可正常使用。
３．３注意事项
（１）在网络设置完成之后，必须记录下每台机器的设置内容，以便
以后查询。
（２）在网络使用过程中，要确保网络线路的连通，不要随意将网络
的线路进行插拔，造成网络的波动。
（３）更改配置后的电脑在以后使用中不能随意更改个人网络设置，
否则可能导致无法连接到服务器，影响到正常财务软件系统的使用。
（４）在基于ｎｅｔｂｉｏｓ的财务软件的机器上，注意ｌｍｈｏｓｔ文件的保存。
（５）如果由于操作等其他原因导致本机操作系统出现故障的，在重
新安装操作系统之后，所有网络方面的配置需要和之前设置一样。
４、结束语
计算机和网络系统的安全取决于多种因素，包括人员的、物理的、
程序的、安全扩散的危害以及应用等。因此ＩＰＳｅｃ ＶＰＮ仅是整个网络安
全体系的一个环节不能简单的认为部署了ＩＰＳｃｅ ＶＰＮ，系统就安全了。
．．——
同时，我们也看到以ＶＰＮ技术组建的财务专网为多校区财务管理工作
实现计算机信息统一管理和维护提供了很好的网络基础平台，为财务信
息化建设的进一步发展提供了强有力的技术保障。随着高校进一步的
发展，ＶＰＮ技术不但适用于财务的信息化建设，在整个学校信息化的发
展过程中，必将有非常广阔的应用前景。
参考文献
［１］何宝宏，田辉．ＩＰ虚拟专用网络技术人民邮电出版社，２００８．
［２］王达．虚拟专用网（ｖｐＮ）精解清华大学出版社，２００４．
［３］章寒芳．ＶＰＮ在电子商务中的应用与研究．微电子学与计算机，
２００５－２２－１０．
［４］黄陶明，蔡昭权，卢庆武，昊莉娅．ＩＰＳｅｃＶＰＮ与ＳＳＬＶＰＮ的技术探
讨ｌＩ Ｊ．ＩＰ技术，２００５，（４）：２３—２６．
『５］ＶＰＮ技术在实际中的应用科技咨询导报，２００７．０６
［６］姜瑜．基于校园网的ＶＰＮ技术研究ｌ网络安全技术与应用，２００５
（７）．
［７］彭建，邓广慧．一种基于校园网的ＶＰＮ应用方案［Ｊ］．陕西科技大
学学报，２００５，２３（２）：９７—１００．
［８］刘真祥，张文勇．公共网络上基于ＩＰＳｅｃ技术城域网ＶＰＮ的实现
『Ａ］．全球化制造高级论坛暨２１世纪仿真技术研讨会论文集［Ｃ］２００４，
２３２．－－——