IPSecVPN与SSLVPN.doc

虚拟专用网络SSLVPN与IPSecVPN简介虚拟专用网络 (VPN：Virtual Private Network )：通过公用网络（如Internet）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。VPN有多种，每种都能满足特定的需求。下面是三种主要的VPN：1、 接入VPN：接入VPN让移动办公者和小型办公室/家庭办公室SOHO能通过基础的共享设施远程接入总部的内部网和外联网。l “外联网(Extranet)”是不同单位间为了频繁交换业务信息，而基于互联网或其他公网设施构建的单位间专用网络通道。因为外联网涉及到不同单位的局域网，所以不仅要确保信息在传输过程中的安全性，更要确保对方单位不能超越权限，通过外联网连入本单位的内网。2、内部网VPN：内部网VPN使用专用连接通过共享基础设施将地区性办事处和远程办公室与总部的内部网络连接起来。内部网VPN与外联网VPN区别在于，前者只允许企业的雇员访问。3、外联网VPN：处联网VPN使用专用连接通过共享基础设施将商业伙伴与总部网络连接起来。外联网VPN与内部网VPN的区别在于，前者允许企业以外的用户访问虚拟专用网，可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时这也将简化网络的设计和管理SSL VPN与IPSec VPNSSL VPN提供安全、可代理连接，只有经认证的用户才能对资源进行访问。SSL VPN能对加密隧道进行细分，从而使得终端用户能够同时接入Internet和访问内部企业网资源，也就是说它具备可控功能。另外，SSL VPN还能细化接入控制功能，易于将不同访问权限赋予不同用户，实现伸缩性访问；这种精确的接入控制功能对远程接入IPSec VPN来说几乎是不可能实现的。IPSec VPN通过在两站点间创建隧道提供直接（非代理方式）接入，实现对整个网络的透明访问；一旦隧道创建，用户PC就如同物理地处于企业LAN中。就通常的企业高级用户（Power User）和LAN-to-LAN连接所需要的直接访问企业网络功能而言，IPSec无可比拟。然而，典型的SSL VPN被认为最适合于普通远程员工访问基于Web的应用。SSL VPN不需要在最终用户的PC和便携式电脑上装入另外的客户软件。有些公司之所以选择SSL而不是IPSec，这项不需要客户软件的功能正是一个重要因素。因为最终用户避免了携带便携式电脑，通过与因特网连接的任何设备就能获得访问，SSL更容易满足大多数员工对移动连接的需求。但SSL VPN也有其缺点。业内人士认为，这些缺点通常涉及客户端安全和性能等问题。对E-mail和Intranet而言，SSL VPN是很好；但对需要较高安全级别（SSL VPN的加密级别通常不如IPSec VPN高）、较为复杂的应用而言，就需要IPSec VPN。IPSec是提供站点到站点连接的首要工具，通过这种连接，你可以在广域网（WAN）上实现基础设施到基础设施的通信。而SSL VPN不需要客户软件的特性有助于降低成本、减缓远程桌面维护方面的担忧。但是，SSL的局限性在于，只能访问通过网络浏览器连接的资源。所以，这要求某些应用要有小应用程序，这样才能够有效地访问。如果企业资产或应用没有小应用程序，要想连接到它们就比较困难。因而，你无法在没有客户软件的环境下运行，因为这需要某种客户软件丰富（Client-Rich）的交互系统。SSL这种方案可以解决OS客户软件问题、客户软件维护问题，但肯定不能完全替代IPSec VPN，因为他们各自所要解决的是几乎没多少重叠的两种不同问题：1、SSL优势其实主要集中在VPN客户端的部署和管理上，我们知道SSL无需安装客户端，主要是由于浏览器内嵌了SSL协议，也就是说是基于B/S结构的业务时，可以直接使用浏览器完成SSL的VPN建立；但如果客户的应用系统采用的是C/S结构的话，仍然需要安装Client软件；2、目前进行VPN部署的用户大部分都是要求对现有业务需要支持的用户，而据统计这样的用户95以上都有基于C/S架构的重要应用系统，也就是说其“Client软件无需安装”的优势是有很大局限性的；3、基于B/S结构的安全性劣于基于C/S结构；4、基于IPSec的VPN虽然在业务应用基于B/S上没有基于SSL的方便，但在业务应用基于C/S方面却存在很大优势。l 浏览器/服务器（Browser/Server）结构，简称B/S结构，与C/S结构不同，其客户端不需要安装专门的软件，只需要浏览器即可，浏览器通过Web服务器与数据库进行交互，可以方便的在不同平台下工作。l 客户机/服务器（Client/Server）结构，简称C/S结构。服务器通常采用高性能的PC、工作站或小型机，并采用大型数据库系统，如ORACLE、SYBASE、SQL Server。客户端需要安装专用的客户端软件来实现与服务器端进行交互。IPSec VPN与SSL VPN优劣比较SSL VPN与IPSec VPN是目前流行的两类Internet远程安全接入技术，它们具有类似功能特性，但也存在很大不同。SSL的“零客户端”解决方案被认为是实现远程接入的最大优势，这对缺乏维护大型IPSec配置资源的用户来说的确如此。但SSL方案也有不足，它仅支持以代理方式访问基于Web或特定的客户端/服务器的应用。由服务器直接操纵的应用，如Net Meeting以及一些客户书写的应用程序，将无法进行访问。1. IPSec方案安全级别高基于Internet实现多专用网安全连接，IPSec VPN是比较理想的方案。IPSec工作于网络层，对终端和站点间所有传输数据进行保护，而不管是哪类网络应用。它在事实上将远程客户端“置于”企业内部网，使远程客户端拥有内部网用户一样的权限和操作功能。IPSec VPN要求在远程接入客户端适当安装和配置IPSec客户端软件和接入设备，这大大提高了安全级别，因为访问受到特定的接入设备、软件客户端、用户认证机制和预定义安全规则的限制。IPSec VPN还能减轻网管负担。如今一些IPSec客户端软件能实现自动安装，不需要用户参与。VPN服务器能够为终端用户接入设备自动安装和配置客户端软件包，因而无论对网管还是终端用户，安装过程都大为简化。2. IPSec VPN应用优势SSL用户仅限于运用Web浏览器接入，这对新型基于Web的商务应用软件比较合适，但它限制了非Web应用访问，使得一些文件操作功能难于实现，如文件共享、预定文件备份和自动文件传输。用户可以通过升级、增加补丁、安装SSL网关或其它办法来支持非Web应用，但实现成本高且复杂，难以实现。IPSec VPN能顺利实现企业网资源访问，用户不一定要采用Web接入（可以是非Web方式），这对同时需要以两种方式进行自动通信的应用程序来说是最好的方案。IPSec方案能实现网络层连接，任何LAN应用都能通过IPSec隧道进行访问，因而在用户仅需要网络层接入时，IPSec是理想方案。如今有的机构同时采用IPSec和SSL远程接入方案，IT主管利用IPSec VPN实现网络层接入，进行网络管理，其他人员要访问的资源有限，一般也就是电子邮件、传真，以及接入公司内部网（Web浏览），因而采用SSL方案。这正是充分利用了IPSec的网络层接入功能。3. IPSec VPN与SSL VPN优劣比较IPSec VPN和SSL VPN各有优缺点。IPSec VPN提供完整的网络层连接功能，因而是实现多专用网安全连接的最佳选项；而SSL VPN的“零客户端”架构特别适合于远程用户连接，用户可通过任何Web浏览器访问企业网Web应用。SSL VPN存在一定安全风险，因为用户可运用公众Internet站