เทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนหรือวีพีเอ็น ถูกใช้สำหรับการเชื่อมต่อเครือข่ายภายนอกเข้ากับเครือข่ายภายในของบริษัท หรือสำนักงานโดยใช้เครือข่ายอินเทอร์เน็ตแทนการเชื่อมต่อด้วยเทคโนโลยีวงจรเช่า เฟรมรีเลย์ หรือเอทีเอ็ม ที่เป็นการเชื่อมต่อแบบจุดต่อจุด ซึ่งหากการเชื่อมต่อดังกล่าวอยู่ห่างไกลกัน การเชื่อมต่อดังกล่าวอาจทำได้ยากและมีค่าใช้จ่ายสูง เทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนหรือวีพีเอ็นจึงเข้ามาตอบสนองปัญหาดังกล่าว โดยทำให้ผู้ใช้สามารถใช้งานทรัพยากรข้อมูลขององค์กรจากระยะไกลได้โดยไม่จำกัดระยะทาง เสมือนเป็นการทำงานโดยใช้เครื่องคอมพิวเตอร์ที่อยู่ ณ เครือข่ายปลายทาง โดยการเข้าใช้งานทำได้โดยผ่านการใช้เครือข่ายอินเทอร์เน็ตซึ่งเป็นเครือข่ายขนาดใหญ่และมีกระจายอยู่ทั่วไปทำให้สามารถเข้าใช้งานได้แม้ว่าจะใช้เครื่องคอมพิวเตอร์เพื่อเข้าใช้งานจากที่พักอาศัย ขณะเดินทางอยู่บนยานพาหนะ หรืออยู่ภายนอกอาคารสำนักงาน แต่เนื่องจากการสื่อสารโดยผ่านเครือข่ายอินเทอร์เน็ตอาจมีผู้ดักจับข้อมูลได้ง่ายแตกต่างจากการเชื่อมต่อโดยตรงของเทคโนโลยีวงจรเช่า ทำให้เทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนมีการนำเทคนิคเข้ามาช่วยให้การสื่อสารข้อมูลมีความปลอดภัย โดยอาศัยการสร้างท่อเสมือน การเข้ารหัสลับและการพิสูจน์ตัวตน     ซึ่งจะทำให้การรับส่งข้อมูลมีความปลอดภัย ความเป็นส่วนตัวและความถูกต้อง เทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนมีมาตรฐานหลากหลาย เช่น โพรโทคอลพีพีทีพี โพรโทคอลแอลทูพีที และไอพีซีเคียวริตี้ เป็นต้น ซึ่งมีลักษณะที่แตกต่างสำหรับการใช้งานในแต่ละประเภท

         Virtual private network (VPN) is a kind of technology that allows users to access remotely through internet to the local or company network as if it is working in the same place. For instance, users who stay far beyond the service area may need to use those functions or resources of the office network. This is possible by using VPN technologies. Basically, the internet is a public network which can be intercepted by unwanted users. For this reason, VPN provides the key mechanisms to create secure connection by using tunneling, encryption, and authentication. There are many VPN applications such as remote access VPN, Intranet VPN and Extranet VPN. All of these applications could be supported by point-to-point tunneling protocol (PPTP), layer 2 tunneling protocol (L2TP), and IP security (IPsec).

       โดยพื้นฐานเทคโนโลยีข่ายงานบริเวณกว้าง (WAN) สำหรับเชื่อมโยงการสื่อสารข้อมูล สำหรับเครือข่ายที่ครอบคลุมพื่นที่กว้างขวาง เช่น ถูกใช้ในลักษณะของการเชื่อมต่อเครือข่าย ระหว่างสำนักงานใหญ่กับสำนักงานสาขาย่อย เพื่อให้สำนักงานสาขาสามารถ เข้าถึงทรัพยากรหรือข้อมูลที่อยู่ที่สำนักงานใหญ่ได้ เมื่อมีการขยายสาขาจะต้องจัดหาการเชื่อมต่อเครือข่ายย่อยกับสำนักงานใหญ่ เช่น การใช้วงจรเช่า (Leased line) เฟรมรีเลย์ (Frame relay) หรือเอทีเอ็ม (ATM) ซึ่งมีค่าใช้จ่ายเพิ่มสูงขึ้น โดยเฉพาะอย่างยิ่งหากสำนักงานสาขาอยู่ต่างประเทศหรือมีระยะทางไกล ทำให้องค์กรขนาดกลางและเล็กขยายสาขาได้อย่างมีขีดจำกัดเนื่องจากต้องเสียค่าใช้จ่ายที่เพิ่มขึ้นมาก
       เนื่องจากการขยายตัวของเครือข่ายอินเทอร์เน็ตซึ่งเป็นเครือข่ายสาธารณะที่มีขนาดใหญ่และมีเครือข่ายการเชื่อมต่ออยู่ทั่วไปผู้ใช้งานสามารถเข้าถึงเครือข่ายได้ทั้งแบบมีสาย (Wire) หรือไร้สาย (Wireless) รองรับรูปแบบบริการที่หลากหลาย และด้วยเทคโนโลยีของอินเทอร์เน็ตความเร็วสูง (Broadband Internet) ทำให้มีการนำเครือข่ายอินเทอร์เน็ตที่มีอยู่มาใช้เชื่อมต่อระหว่างสำนักงานใหญ่ กับสำนักงานสาขาเพื่อใช้ในการสื่อสารข้อมูลแทนการเชื่อมต่อด้วยวิธีการใช้วงจรเช่ามากขึ้นหรือทดแทนกันได้ แต่เนื่องจากเครือข่ายอินเทอร์เน็ตเป็นเครือข่ายสาธารณะ ซึ่งผู้ใช้อื่นสามารถเข้าใช้งานเครือข่ายได้เช่นเดียวกัน ทำให้เกิดแนวคิดการนำเครือข่ายอินเทอร์เน็ตดังกล่าวมาใช้ในการเชื่อมต่อ ระหว่างสำนักงานใหญ่กับสำนักงานสาขาซึ่งอยู่ในสถานที่ต่างกัน แต่เนื่องจากการส่งข้อมูล ผ่านเครือข่ายอินเทอร์เน็ตนั้น ผู้ใช้อื่นที่ใช้เครือข่ายอินเทอร์เน็ตเช่นเดียวกัน สามารถดักจับข้อมูลได้ จึงทำให้เกิดเทคโนโลยีเครือข่ายส่วนตัวแบบเสมือน ซึ่งนำเทคนิคการรักษาความปลอดภัยข้อมูล เช่น การเข้ารหัส เพื่อสร้างการเชื่อมต่อเสมือนเป็นครือข่ายส่วนตัว นอกจากนี้หากข้อมูลที่ต้องการรับส่งกันในเครือข่ายแม้ว่าจะเป็นการสื่อสารอยู่ในองค์กรเดียวกัน หากผู้รับและผู้ส่งต้องการความเป็นปลอดภัยในระหว่างการรับส่งข้อมูล ก็สามารถนำเทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนมาใช้งานในลักษณะดังกล่าวได้เช่นเดียวกัน
       เทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนมีการใช้งานเครือข่ายสาธารณะร่วมกัน โดยใช้เครือข่ายทั้งอินเทอร์เน็ตและอินทราเน็ตเดิมที่มีอยู่ ทำให้ลดค่าใช้จ่ายของการดำเนินงาน องค์กรขนาดกลาง และเล็กเพิ่มโอกาส ในการขยายสาขาได้สะดวกขึ้น มีวิธีการรักษาความเป็นส่วนตัว (Privacy) ความปลอดภัย (Security) และความน่าเชื่อถือ (Trusted) ของการรับส่งข้อมูลที่หลากหลายที่พัฒนาเพิ่มมากขึ้น ทำให้สามารถเลือกใช้ได้ตามความเหมาะสมและความต้องการของแต่ละองค์กร และสามารถควมคุมสิทธิการใช้งานและการเข้าถึงทรัพยากรได้ (Policy Management) จากส่วนกลาง
       การรับส่งข้อมูลในเครือข่ายเสมือนส่วนตัวต้องการความเป็นส่วนตัว ความปลอดภัย ความน่าเชื่อถือ และการพิสูจน์ตัวตนผู้ใช้ เนื่องจากการส่งข้อมูลที่สำคัญผ่านอินเทอร์เน็ตซึ่งเป็นเครือข่ายสาธารณะมีความเป็นไปได้ที่ข้อมูลที่ส่งจะถูกดักจับข้อมูลระหว่างทางและนำข้อมูลไปใช้หรือนำไปดัดแปลงแก้ไข ทำให้เกิดความเสียหายต่อองค์กรได้
    อย่างไรก็ตาม เทคโนโลยีเครือข่ายส่วนตัวแบบเสมือน ซึ่งส่งข้อมูลผ่านเครือข่ายอินเทอร์เน็ต จะมีความไม่คงที่ของปริมาณ การรับส่งข้อมูล(Bandwidth) ในแต่ละช่วงเวลา เนื่องจากบางช่วงเวลาอาจมีการใช้งานอินเทอร์เน็ตสูง เมื่อเปรียบเทียบกับการใช้งานวงจรเช่า นอกจากนี้กลุ่มข้อมูลหรือแพกเกตที่ส่งในเครือข่ายส่วนตัวแบบเสมือนมีการเพิ่มส่วนเฮดเดอร์ (Header) กับข้อมูลเดิม ทำให้ต้องเสียแบนวิดท์หรือขนาดช่องสัญญาณที่สามารถใช้ในการส่งข้อมูลแบ่งมาใช้สำหรับการส่งเฮดเดอร์ส่งผลให้ปริมาณข้อมูลที่ส่งจริงลดลง
       การใช้งานโดยทั่วไปในองค์กรขนาดใหญ่จะใช้วงจรเช่าจากผู้ให้บริการ เป็นเส้นทางหลักในการรับส่งข้อมูล (Main link) ส่วนเครือข่ายส่วนตัวแบบเสมือนใช้เป็นเส้นทางสำรอง (Backup link) แทนในกรณีที่เส้นทางหลักใช้งานไม่ได้ หรือใช้ในการเข้ามาใช้ทรัพยากรเครือข่ายภายในจากเครือข่ายภายนอกอื่น สำหรับองค์กรขนาดกลางและเล็กสามารถใช้เครือข่ายส่วนตัวแบบเสมือนเป็นเส้นทางหลักในการสื่อสารเนื่องจากประหยัดค่าใช้จ่ายมากกว่า

       เครือข่ายส่วนตัวแบบเสมือนมีลักษณะองค์ประกอบที่สำคัญสามส่วน [๑] ดังนี้

      ก) ท่อเสมือน(Tunneled VPN)มีการสร้างท่อเสมือนสำหรับใช้เป็นช่องทางในการส่งข้อมูลระหว่างผู้ส่งและผู้รับปลายทางผ่านเครือข่ายสาธารณะ เช่น อินเทอร์เน็ต ทำให้เกิดลักษณะการเชื่อมต่อส่วนตัวเสมือนจากผู้ส่งและผู้รับปลายทางแล้วนำข้อมูลส่งผ่านทางท่อเสมือนที่สร้างขึ้น ดังรูปที่ ๔.๑

        ข) การเข้ารหัส (Encryption) การนำเทคนิคการเข้ารหัสโดยข้อมูลต้นฉบับ จะถูกเข้ารหัสก่อนที่จะส่งข้อมูลผ่านเครือข่ายสาธารณะ เช่นอินเทอร์เน็ต เมื่อข้อมูลถึงปลายทางแล้วจะนำมาถอดรหัสเพื่อให้ได้ข้อมูลต้นฉบับดังเดิม วิธีการเข้ารหัสทำให้สามารถป้องกันการอ่านหรือแก้ไขเนื้อหาของข้อมูล แม้ว่ามีผู้ดักจับข้อมูลในเครือข่าย ก็จะไม่สามารถอ่านข้อความที่ดักจับได้ ทำให้ข้อมูลที่ส่งผ่านอินเทอร์เน็ตเป็นความลับและมีความน่าเชื่อถือ ดังรูปที่ ๔.๒

       การสร้างท่อเสมือนประกอบด้วยโพรโทคอลสามส่วนสำคัญ [๒] คือ

       ก) โพรโทคอลตัวนำสื่อสาร (Carrier Protocol) เป็นโพรโทคอลซึ่งถูกใช้โดยเครือข่ายในการส่งข้อมูลผ่านเครือข่าย เช่น ไอพี (IP Protocol) พีพีพี (Point-to-Point Protocol: PPP) เป็นต้น

       ข)โพรโทคอลการห่อหุ้ม (Encapsulating Protocol) เป็นส่วนสำคัญที่ทำให้เกิดท่อเสมือน โดยการเพิ่มเฮดเดอร์ (Header) ซึ่งจะประกอบด้วยข้อมูลบอกประเภทของโพรโทคอลการห่อหุ้มแบบต่าง ๆ ซึ่งทำให้เกิดความเป็นส่วนตัวของข้อมูล สถานะและกระบวนการต่าง ๆ ทั้งตอนเริ่มสร้างท่อเสมือน การรับส่งข้อมูลในท่อเสมือน การสิ้นสุดการใช้งานของท่อเสมือน และในแต่ละกระบวนการ จะมีการแลกเปลี่ยนข้อมูลใดบ้าง รวมถึงประเภทข้อมูลที่รับส่งทางท่อเสมือน เป็นต้น
 
       ค) โพรโทคอลข่าวสาร (Passenger Protocol) เป็นข้อมูลที่อยู่ในท่อเสมือน ซึ่งเป็นเนื้อหาข้อมูลที่ใช้งานหรือต้องการสื่อสารแลกเปลี่ยนจริงๆ ในเครือข่ายส่วนตัวแบบเสมือน เช่น แพกเกตไอพี (IP Packet) ไอพีเอกซ์ (IPX) แอปเปิลทอลก์ (AppleTalk) เป็นต้น

       การทำงานจะเริ่มจากแพกเกตข้อมูลต้นฉบับตามโพรโทคอล ข่าวสารจะถูกห่อหุ้มไว้ด้วยโพรโทคอลการห่อหุ้ม แล้วถูกเพิ่มด้วยเฮดเดอร์ตัวนำสื่อสาร
เช่น ไอพี สำหรับส่งผ่านเครือข่ายสาธารณะ ซึ่งในการห่อหุ้มด้วยโพรโทคอลการห่อหุ้มโดยทั่วไปจะมีการเข้ารหัสข้อมูลข่าวสารโพรโทคอลการห่อหุ้มซึ่งมีส่วนสำคัญในการสร้างเครือข่ายส่วนตัวแบบเสมือน

       ๕.๑ จีอาร์อี (Generic Routing Encapsulation : GRE)

      เป็นโพรโทคอลพื้นฐานของเครือข่ายส่วนตัวแบบเสมือน เพราะไม่ต้องทำการพิสูจน์ตัวตน ไม่มีการเข้ารหัสข้อมูล มีเพียงการสร้างท่อเสมือนเพียงอย่างเดียว อาจเรียกได้ว่าเป็นโพรโทคอลพื้นฐานต้นแบบ[๔] ได้รับการพัฒนาขึ้นโดยบริษัทซิสโก้ (Cisco systems) และเนตสมิทธ (Netsmiths) หลักการทำงานโดยทั่วไป คือ การนำข้อมูลที่ต้องการส่งเพิ่มเข้าไปในโพรโทคอล ตัวนำสื่อสารที่เป็นโพรโทคอลอไอพี และเพิ่มโพรโทคอลการห่อหุ้มเพื่อบ่งบอกให้ทราบว่าข้อมูลที่อยู่ในท่อเป็นข้อมูลชนิดใด การใช้งานโดยทั่วไป จะใช้ในการรับส่งข้อมูล จากอุปกรณ์จัดเส้นทาง (Router) จากต้นทางไปยัง
อุปกรณ์จัดเส้นทางปลายทางโดยโพรโทคอลของข้อมูลที่สามารถใช้ได้กับวิธีนี้ เช่น แพกเกตไอพี ไอพีเอกซ์ แอปเปิลทอล์ก เป็นต้น

       ข้อดีของโพรโทคอลดังกล่าว คือ สามารถรองรับการใช้รับส่งข้อมูลได้หลากหลายโพรโทคอล มีความง่ายในการสร้างท่อเสมือน มีส่วนของเฮดเดอร์น้อย สำหรับข้อเสียคือไม่มีการเข้ารหัสข้อมูลโดยต้องใช้โพรโทคอลอื่นร่วมด้วยหากต้องการเพิ่มความปลอดภัยในการรับส่งข้อมูล

       ๕.๒ แอลทูเอฟ (Layer 2 Forwarding: L2F)

       ได้รับการพัฒนาขึ้นโดยบริษัทซิสโก้ (Cisco Systems) [๔] ใช้แพกเกตไอพีและพอร์ตยูดีพี (UDP port) ๑๗๐๑ เป็นโพรโทคอลตัวนำสื่อสาร และเพิ่มเฮดเดอร์ของโพรโทคอลแอลทูเอฟสำหรับการควบคุมท่อ และเพิ่มโพรโทคอลพีพีพี หรือสลิป (Serial Line Internet Protocol: SLIP) เข้าไปอีกชั้นหนึ่ง ถูกใช้ในรับส่งข้อมูลจากอุปกรณ์จัดเส้นทาง จากต้นทาง ไปยังอุปกรณ์จัดเส้นทางปลายทาง

        ๕.๓ พีพีทีพี (Point-to-point Tunneling Protocol: PPTP)

       ได้รับการพัฒนาโดยบริษัทไมโครซอฟ์ท (Microsoft Corporation) ร่วมกับบริษัทอื่น ได้แก่ ทรีคอม (3Com) อะเซ็นด์คอมมูนิเคชั่น (Ascend
Communications) คอปเปอร์เมาท์เทนเน็ตเวิรก์ (Copper Mountain Networks) และอีซีไอเทเลเมติกซ์ (ECI Telematics) เป็นการปรับปรุงพัฒนาเพิ่ม
เติมจากโพรโทคอลพีพีพี โดยผู้ใช้งานทำการเรียกเลขหมาย (Dial-up) ครั้งแรกเพื่อเชื่อมต่อกับเครือข่ายอินเทอร์เน็ต เมื่อเชื่อมต่อกับเครือข่ายอินเทอร์เน็ตได้แล้ว ผู้ใช้บริการจะต้องเรียกเลขหมายอีกครั้งโดยใช้หมายเลขที่อยู่ไอพีไปยังเครื่องให้บริการเครือข่ายส่วนตัวแบบเสมือน โดยใช้โพรโทคอลไอพีที่ ๔๗ และพอร์ตทีซีพี (TCP Port) ที่ ๑๗๒๓ การเรียกเลขหมายครั้งที่สองนี้ ต้องมีการพิสูจน์ตัวตนและตรวจสอบสิทธิผู้ใช้งานโดยใช้โพรโทคอลพีเอพี
Password Authentication Protocol: PAP) ซีเอชเอพี (Challenge Handshake Authentication Protocol:CHAP) เอ็มเอส-ซีเอชเอพี (Microsoft
Challenge Handshake Authentication Protocol: MS-CHAP) เป็นต้น ซึ่งมีการใช้ชื่อผู้ใช้ (Username) และรหัสผ่านส่วนตัว (Password) เพื่อพิสูจน์
ตัวตน เมื่อผ่านการตรวจสอบตัวตนและสิทธิแล้ว ท่อเสมือนส่วนตัวจะถูกสร้างขึ้น หลังจากนั้นจึงสามารถรับส่งข้อมูลผ่านท่อดังกล่าว [๒]

        โพรโทคอลพีพีทีพีเป็นโพรโทคอลเครือข่ายส่วนตัว แบบเสมือนแรก ที่ใช้ในเครื่องคอมพิวเตอร์ ที่ใช้ระบบปฏิบัติการวินโดวส์  ต่อมามีการพัฒนาให้
สามารถใช้ได้กับระบบปฏิบัติอื่นเพิ่มเติม เช่นลินุกซ์ (Linux) เป็นต้น

         ๕.๔ แอลทูพีที (Layer 2 Tunneling Protocol : L2TP)

         เป็นโพรโทคอลที่ใช้แพกเกตไอพีและพอร์ตยูดีพี ๑๗๐๑ เป็นโพรโทคอลตัวนำสื่อสารเช่นเดียวกับโพรโทคอลแอลทูพีที การทำงานเริ่มจากการร้องขอการสร้างท่อเสมือนส่วนตัว จากแอลเอซี (L2TP Access Concentrator : LAC) ไปยังแอลเอ็นเอส (L2TP Network Server: LNS) จากนั้นจึงเข้าสู่กระบวนการแลกเปลี่ยนและตกลงค่าตัวแปร (Attribute-Value Pair:APV) ในการสร้างท่อเสมือน เมื่อท่อเสมือนได้ถูกสร้างขึ้น แล้วจะทำการพิสูจน์ตัวตนและตรวจสอบสิทธิการใช้งานของผู้ใช้งาน ท่อเสมือนที่สร้างขึ้นประกอบด้วยช่องทางย่อย คือ ช่องทางสำหรับใช้รับส่งข้อมูล และช่องทางสำหรับใช้รับส่งการควบคุมการทำงานของท่อเสมือน [๔] ดังรูปที่ ๕.๑

รูปที่ ๕.๑ องค์ประกอบและลักษณะของท่อเสมือนของโพรโทคอลแอลทูทีพี
 

        การสร้างท่อเสมือนของโพรโทคอล L2TP มีสองลักษณะคือ

        ก) การสร้างท่อเสมือนแบบเต็มใจ (Voluntary Tunneling)
เป็นการสร้างท่อเสมือนโดยตรงจากเครื่องผู้ใช้งานกับเครื่องให้บริการเครือข่ายส่วนตัวแบบเสมือน ซึ่งทำให้เครื่องผู้ใช้งานต้องติดต่อกับเครื่องให้บริการอยู่ตลอดเวลา ดังรูปที่ ๕.๑ (ก)

       ข) การสร้างท่อเสมือนแบบบังคับ (Compulsory Tunneling) เป็นการสร้างท่อเสมือนที่ไม่ได้เกิดจากเครื่องผู้ใช้โดยตรง โดยเครื่องผู้ใช้จะทำการเรียกหมายเลขไปยังผู้ให้บริการท่อเสมือนก่อน จากนั้นอุปกรณ์ตัวรับแอลเอซีของผู้ให้บริการจะสร้างท่อเสมือน ไปยังเครื่องให้บริการแอลเอ็นเอส ขององค์กร ดังรูปที่ ๕.๑ (ข)
 
      ทั้งแอลเอซีและแอลเอ็นเอสสามารถ มีจำนวนท่อเสมือนได้หลายท่อเสมือนและสามารถมีท่อเสมือนย่อยภายในซึ่งเป็นของผู้ใช้แต่ละรายได้สำหรับการสิ้นสุดการทำงานของท่อเสมือนในโพรโทคอลแอลทูทีพีเกิดขึ้นได้ดังนี้ คือ เมื่อเกิดการสั่งยกเลิกจากแพกเกตควมคุมการทำงานของท่อดังรูปที่ ๕.๑
 หรือการที่เครื่องให้บริการเครือข่ายส่วนตัวแบบเสมือนไม่สามารถรับแพกเกตควบคุมการทำงานของท่อเสมือนได้ภายในระยะเวลาที่กำหนด
 
       ข้อดีของแอลทูพีทีคือมีความปลอดภัยของท่อเสมือนสูงโดยการใช้ไอพีซีเคียวริตี้ (Internet Protocol Security: IPSec) สามารถรับส่งข้อมูลได้หลายโพรโทคอล และเป็นโพรโทคอลมาตรฐานพื้นฐานที่มีในอุปกรณ์ต่าง ๆ ทำให้สามารถนำไปใช้งานได้ทันที สำหรับข้อเสียคือมีการส่งแพกเกตควบคุมการทำงานตลอดเวลา ทำให้สิ้นเปลืองแบนวิดท์

         ๕.๕ ไอพีซีเคียวริตี้ (IP security: IPsec)

      เป็นการรวมมาตรฐานของความปลอดภัยหลายวิธีที่ใช้ในอินเทอร์เน็ตมาใช้ร่วมกันโดยจะใช้การเข้ารหัสข้อมูลเพื่อสร้างความปลอดภัยของข้อมูล แตกต่างจากเครือข่ายส่วนตัวแบบเสมือนอื่น ที่ใช้วิธีการสร้างท่อเสมือน เพื่อสร้างความปลอดภัยของข้อมูล การทำไอพีซีเคียวริตี้ เพื่อให้ข้อมูลที่รับส่งมาจาก
แหล่งที่เชื่อถือได้เท่านั้น (Authenticated Peer) และข้อมูลที่รับส่งเป็นความลับ (Confidential) ผู้อื่นไม่สามารถเข้าใจเนื้อหาของข้อมูลได้นอกจากผู้รับและผู้ส่งเท่านั้น มีวิธีการป้องกันไม่ให้ข้อมูลถูกแก้ไขระหว่างการสื่อสาร (Integrity) และป้องกันการใช้ข้อมูลเดิมวนใช้ซ้ำได้ (Anti-Reply) หรือป้องกันการนำไปใช้อีกครั้งได้โดยการแก้ไขหมายเลขที่อยู่ไอพี (IP Anti-Spoofing)

        รูปแบบของการใช้งานไอพีซีเคียวริตี้มีสองรูปแบบ แสดงดังรูปที่ ๕.๒ คือ

        ก) โหมดการขนส่ง (Transport Mode)
เป็นการใช้ไอพีซีเคียวริตี้ในการส่งข้อมูลจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่ง (host-to-host) โดยไม่มีการเพิ่มเฮดเดอร์ไอพี

        ข) โหมดการสร้างท่อ (Tunnel Mode)
ใช้ในการส่งข้อมูลผ่านท่อของไอพี (IP Tunnel) โดยการเพิ่มเฮดเดอร์ไอพีใหม่ครอบซ้อนแพกเกตเดิมอีกชั้นหนึ่ง ใช้ในการสื่อสารผ่านระหว่างไฟร์วอลล์ กับไฟล์วอลล์ หรือไฟร์วอลล์กับเครื่องผู้ใช้งาน

        วิธีการห่อหุ้มแพกเกตในระบบไอพีซีเคียวริตี้แบ่งได้เป็นสองแบบ คือ
 
        ก) เอเอช (Authentication Header: AH) วิธีการนี้จะใช้บางส่วนของเฮดเดอร์ไอพีในแพกเกตไอพีเดิมมาทำการเข้าฟังก์ชันแฮช (Hash Function) แล้วนำข้อมูล  ที่ได้รวมกับวิธีการควบคุม เพิ่มเข้าไปที่ตอนท้าย ของแพกเกตไอพีเดิม แล้วทำการเปลี่ยนแปลงเฮดเดอร์ไอพีเดิม ในส่วนของหมายเลข
โพรโทคอล (IP Protocol Number) เป็น ๕๑ ซึ่งวิธีการนี้จะไม่เปลี่ยนแปลงข้อมูลที่ถัดจากเฮดเดอร์ไอพีแต่ประการใด การทำเช่นนี้เป็นการรับรองว่าที่มาของข้อมูลมาจากแหล่งที่เชื่อถือได้ แต่ไม่ได้รักษาความลับของข้อมูลดังนั้นการปลอมไอพี (IP Spoofing) และการวนใช้ซ้ำของแพกเกตไอพีจะไม่
สามารถทำได้ (anti-replay) เทคนิคการเข้าฟังก์ชันแฮชที่ใช้ได้แก่ เอ็มดี ๕ (Message-Digest : MD5) และเอสเอชเอ ๑ (Secure Hash Algorithm 1 : SHA1)
 
        ข) อีเอสพี (Encapsulating Security Payload : ESP) วิธีการนี้จะใช้การเข้ารหัสของข้อมูลที่อยู่หลังเฮดเดอร์ไอพีทั้งหมด เมื่อข้อมูลถึงปลายทางจะทำกระบวนการย้อนกลับเพื่อให้ได้ข้อมูลเดิมกลับมาทำให้ข้อมูลที่อยู่ระหว่างการรับส่งแม้จะถูกดักจับข้อมูลก็จะไม่สามารถใช้งานได้ การทำเช่นนี้ข้อมูลจะเป็นความลับแต่ยังคงขาดความน่าเชื่อถือ เนื่องจากเฮดเดอร์ไอพีไม่ได้รับการพิสูจน์ตัวตนว่ามาจากแหล่งที่เชื่อถือได้ อาจมีการเปลี่ยนแปลงเฮดเดอร์ไอพีในระหว่างการรับส่งได้
 
        สำหรับการใช้งานไอพีซีเคียวริตี้ทั้งสองแบบใช้เทคนิคการเข้ารหัส ซึ่งประกอบด้วย “รหัสลับ” (Secret Key) โดยต้องใช้รหัสลับที่สอดคล้องกันและวิธีการเข้ารหัสแบบเดียวกัน จึงจะสามารถถอดรหัสข้อความที่เข้ารหัสมาแล้วได้ โดยมีการรับส่งแลกเปลี่ยนรหัสลับ ในระหว่างฝั่งส่งและฝั่งรับกันก่อนที่จะเข้ารหัสข้อมูล การแลกเปลี่ยนรหัสลับระหว่างกันจะต้องมีความปลอดภัยด้วยไม่ เช่นนั้น ถ้ามีผู้ทราบรหัสแล้วการรับส่งข้อมูลที่น่าเชื่อถือและถูกต้องก็จะเป็นไปไม่ได้ จึงต้องมีระบบการรับส่งรหัสลับให้ปลอดภัยด้วย เช่นมาตรฐานไอเคอี (Internet Key Exchange: IKE) เป็นต้น

        เหตุการณ์สำคัญของเทคโนโลยีเครือข่ายส่วนตัวแบบเสมือนถูกรวบรวมและแสดงดังตารางที่ ๗.๑

            ตารางที่ ๗.๑ เหตุการณ์สำคัญของเทคโนโลยีเครือข่ายส่วนตัวแบบเสมือน

[๑] Bates, Regis J., Broadband telecommunications handbook. 2nd edition, USA: McGraw-Hill, 2002.

[๒] Martin P. Clark, Data Networks, IP and the Internet: Protocols, Design and Operation. UK: Wiley, 2003.

[๓] Metz, C., “The latest in virtual private networks: part I,” Internet Computing, IEEE, vol. 7, Issue 1, pp. 87 – 91, Jan.-Feb. 2003.

[๔] Andrew Mason, Cisco Secure Virtual Private Networks. USA: Cisco Press, 2002