【论IPSec,VPN和SSL,VPN的优劣及适应性】

　　摘要：主要介绍了VPN的各种发展技术。重点介绍了目前VPN应用中使用比较广泛的两种方式：由站点到站点IPSec VPN和面向web及应用的SSL VPN构建的远程网络安全访问方式。同时针对广泛使用两种VPN方式，就两者之间的优劣分五个方面进行详细的剖析。适当穿插介绍了具体的IPsec VPN和SSL VPN在各种范围内的适用性。
　　关键词：IPSec VPN；SSL VPN；VPN；虚拟专用网络
　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)21-5088-04
　　 1虚拟专用网络
　　1.1虚拟专用网络(VPN：Virtual Private Network)
　　VPN是通过公用网络（如Internet）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。随着网络，尤其是网络经济的发展，企业规模日益扩大，客户分布日益广泛，合作伙伴日益增多，传统企业网基于固定地点的专线连接方式，已难以适应现代企业的需求。于是企业在自身网络的灵活性、安全性、经济性、扩展性等方面提出了更高的要求。虚拟专用网（VPN）以其独具特色的优势，可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。因此，虚拟专用网赢得了越来越多的企业的青睐，通过将数据流转移到低成本的网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时这也将简化网络的设计和管理。令企业可以较少地关注网络的运行与维护，更多地致力于企业商业目标的实现。如下图可以清楚的看到目前流行的，应用比较广泛两种VPN的连接方式——IPsec VPN和SSL VPN。
　　图1
　　1.2 VPN有多种，每种都能满足特定的需求
　　下面是二种主要的VPN：
　　1）内部网接入VPN：接入VPN让移动办公者和小型办公室/家庭办公室SOHO能通过基础的共享设施远程接入总部的内部网和外联网。该方式使用专用连接通过共享基础设施将地区性办事处和远程办公室与总部的内部网络连接起来。内部网接入VPN与外联网VPN区别在于，前者只允许企业的雇员访问。
　　2）外联网VPN：（“外联网(Extranet)”是不同单位间为了频繁交换业务信息，而基于互联网或其他公网设施构建的单位间专用网络通道。因为外联网涉及到不同单位的局域网，所以不仅要确保信息在传输过程中的安全性，更要确保对方单位不能超越权限，通过外联网连入本单位的内网。）外联网VPN使用专用连接通过共享基础设施将商业伙伴与总部网络连接起来。外联网VPN与内部网VPN的区别在于，前者允许企业以外的用户访问。
　　1.3 IPSec VPN
　　IPSec是现在企业网络通讯应用中被广泛使用的加密及隧道技术，同时也是在不牺牲安全性前提下，被选用来在网络第三层建立IP-VPN的方法，特別是对于无法负担Frame Relay或ATM高額费用的中小企业而言，IPSec的应用是一项福音。而目前SSL VPN以其设置简单无需安装客户端的优势，越来越受到企业的欢迎，可望成为未来企业确保信息安全的新宠。
　　IPSec VPN即指采用IPSec协议来实现远程接入的一种VPN技术,IPSec是IETF(Internet Engineer Task Force)正在完善的安全标准，相对于SSL VPN而言应用较早的一种VPN技术。IPSec协议是一个范围广泛、开放的虚拟专用网安全协议,它提供所有在网络层上的数据保护，提供透明的安全通信。IPSec是基于网络层的，不能穿越通常的NAT、防火墙。
　　1）IPsec协议
　　IP_SECURITY协议(IPSec)，通过相应的隧道技术，可实现VPN。IPSec有两种模式：隧道模式和传输模式。IPSec协议不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协Authentication Header(AH)、封装安全载荷协议Encapsulating Security Payload(ESP)、密钥管理协议Internet Key Exchange(IKE)和用于网络认证及加密的一些算法等。IPSec规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。
　　2）IPSec VPN接入
　　通过在两站点间创建隧道提供直接（非代理方式）接入，实现对整个网络的透明访问；一旦隧道创建，用户PC就如同物理地处于企业LAN中。就通常的企业高级用户（Power User）和LAN-to-LAN连接所需要的直接访问企业网络功能而言，IPSec无可比拟。然而，典型的SSL VPN被认为最适合于普通远程员工访问基于Web的应用。SSL VPN不需要在最终用户的PC和便携式电脑上装入另外的客户软件。有些公司之所以选择SSL而不是IPSec，这项不需要客户软件的功能正是一个重要因素。因为最终用户避免了携带便携式电脑，通过与因特网连接的任何设备就能获得访问，SSL更容易满足大多数员工对移动连接的需求。但SSL VPN也有其缺点：业内人士认为，这些缺点通常涉及客户端安全和性能等问题。对E-mail和Intranet而言，SSL VPN是很好；但对需要较高安全级别（SSL VPN的加密级别通常不如IPSec VPN高）、较为复杂的应用而言，就需要IPSec VPN。
　　3）IPSec VPN的应用
　　是提供站点到站点连接的首要工具，通过这种连接，你可以在广域网（WAN）上实现基础设施到基础设施的通信。而SSL VPN不需要客户软件的特性有助于降低成本、减缓远程桌面维护方面的担忧。但是，SSL的局限性在于，只能访问通过网络浏览器连接的资源。所以，这要求某些应用要有小应用程序，这样才能够有效地访问。如果企业资产或应用没有小应用程序，要想连接到它们就比较困难。因而，你无法在没有客户软件的环境下运行，因为这需要某种客户软件丰富（Client-Rich）的交互系统。