大年夜大都企業(yè)都需要呵護(hù)互聯(lián)網(wǎng)通信。對(duì)良多企業(yè)來(lái)講，呵護(hù)通信最簡(jiǎn)單的編制是操縱虛擬專(zhuān)用收集(VPN)在需要通信的系統(tǒng)之間成立加密通道。
VPN最多見(jiàn)的用例包含連接長(zhǎng)途工作人員到中間數(shù)據(jù)中間，讓他們安然拜候其工作所需的內(nèi)部資本，在物理分手的位置之間成立永久連接，并呵護(hù)內(nèi)部系統(tǒng)或收集區(qū)域之間的連接。
當(dāng)然有良多變型，但盡大年夜大都VPN首要分為兩種手藝類(lèi)型。第一種操縱安然套接字層(SSL)手藝，經(jīng)由過(guò)程SSL或可托層安然(TLS)證書(shū)來(lái)加強(qiáng)連接。第二種是基于互聯(lián)網(wǎng)和談安然(IPSec)的VPN來(lái)供給更高級(jí)的安然選項(xiàng)。
SSL VPN
在大年夜大都環(huán)境下，SSL VPN首要為需要安然拜候利用和系統(tǒng)的員工供給連接。良多SSL VPN供給商供給本地集成和建設(shè)選項(xiàng)來(lái)措置常見(jiàn)利用，這些常見(jiàn)利用包含電子郵件、辦公東西、文件共享和凡是經(jīng)由過(guò)程瀏覽為拜候的web利用。這些VPN的優(yōu)勢(shì)是它們不需要在連接端點(diǎn)安裝任何客戶(hù)端，并且，當(dāng)拜候常見(jiàn)利用時(shí)，安裝和建設(shè)很是簡(jiǎn)單。
IPSec VPN
對(duì)非web利用和更復(fù)雜的安然需求，IPSec VPN多是更好的選擇。當(dāng)然有其他長(zhǎng)途拜候VPN和談，例如點(diǎn)對(duì)點(diǎn)通道和談和2層收集通道和談，但不合的是，IPSec完全封裝了端點(diǎn)和安然網(wǎng)關(guān)之間(或兩個(gè)安然網(wǎng)關(guān)之間)所有IP和談流量，并供給更強(qiáng)的加密選項(xiàng)。IPSec是一組更復(fù)雜的和談，它為企業(yè)供給了更矯捷的編制來(lái)在網(wǎng)關(guān)和系統(tǒng)之間成立專(zhuān)用通道，以措置大年夜大都類(lèi)型的通信。大年夜大都企業(yè)級(jí)VPN都被作為硬件設(shè)備擺設(shè)，但其實(shí)，較小型企業(yè)可以選擇在傳統(tǒng)辦事器硬件上安裝VPN軟件。
架構(gòu)不合，但都依托于防火墻背后的辦事器
我們有幾種類(lèi)型的架構(gòu)可用于擺設(shè)VPN平臺(tái)。用于長(zhǎng)途拜候的最多見(jiàn)架構(gòu)觸及在隔離區(qū)(DMZ)的外圍防火墻背后成立VPN辦事器，承諾特定端口或網(wǎng)址經(jīng)由過(guò)程防火墻拜候辦事器。DMZ可以設(shè)置在兩個(gè)不合防火墻之間(或在連接到一個(gè)防火墻的單個(gè)網(wǎng)段上)，VPN辦事器則位于該子網(wǎng)內(nèi)?？蛻?hù)端連接到VPN辦事器，然后VPN辦事器按照用戶(hù)的角色和身份驗(yàn)證根據(jù)來(lái)將用戶(hù)連接到內(nèi)部利用和辦事。在某些擺設(shè)中，VPN和防火墻多是不異的設(shè)備，只要同時(shí)連接的數(shù)量可以獲得治理，而不會(huì)對(duì)機(jī)能帶來(lái)較著影響。
這類(lèi)架構(gòu)已承受住了時(shí)候的考驗(yàn)，此刻大年夜大都擺設(shè)方案觸及“VPN+防火墻”或“DMZ中VPN”模式。這類(lèi)模式的首要錯(cuò)誤謬誤是需要信賴(lài)來(lái)自VPN平臺(tái)的流量，在良多環(huán)境下這些流量沒(méi)有進(jìn)行內(nèi)部加密。不外，傳統(tǒng)收集監(jiān)控東西(進(jìn)侵檢測(cè)系統(tǒng))可以監(jiān)控這類(lèi)流量。
第二種VPN架構(gòu)是兩個(gè)物理位置之間的站點(diǎn)到站點(diǎn)連接，這凡是建設(shè)在外圍網(wǎng)關(guān)設(shè)備(凡是是路由器)之間。對(duì)這類(lèi)架構(gòu)，最關(guān)頭的安然標(biāo)題問(wèn)題是長(zhǎng)途VPN平臺(tái)和收集的可托度。這是因?yàn)?，這類(lèi)連接凡是是永久性的。
最后，還有一個(gè)所謂的內(nèi)部VPN，這是在更進(jìn)步前輩的安然架構(gòu)中最多見(jiàn)的架構(gòu)。在這類(lèi)編制中，VPN辦事器作為通往關(guān)頭收集區(qū)域及系統(tǒng)的網(wǎng)關(guān)。成立內(nèi)部網(wǎng)關(guān)來(lái)節(jié)制對(duì)敏感數(shù)據(jù)和資本的拜候可以幫忙企業(yè)知足合規(guī)要求，并可以監(jiān)控特權(quán)用戶(hù)行動(dòng)。
杰出VPN設(shè)計(jì)的共同屬性
不管擺設(shè)哪一種架構(gòu)，我們有良多建設(shè)選項(xiàng)可用于鎖定VPN平臺(tái)及其供給的功能。所有VPN擺設(shè)應(yīng)當(dāng)具有下面這些特點(diǎn)：
身份驗(yàn)證和拜候節(jié)制：SSL VPN利用SSL/TLS證書(shū)來(lái)對(duì)端點(diǎn)進(jìn)行身份驗(yàn)證，以成立一個(gè)加密通道，然后凡是還會(huì)供給一個(gè)web界面，撐持暗碼或多身分編制(令牌、客戶(hù)端證書(shū)或一次性暗碼或代碼)的傳統(tǒng)身份驗(yàn)證。IPSec VPN凡是預(yù)建設(shè)了網(wǎng)關(guān)和客戶(hù)端之間的身份驗(yàn)證選項(xiàng)，長(zhǎng)途用戶(hù)可以供給用戶(hù)名和暗碼、令牌代碼等來(lái)驗(yàn)證身份。
驗(yàn)證終端設(shè)備安然和可托度：在過(guò)往幾年，VPN產(chǎn)品逐步增加了終端設(shè)備安然評(píng)估功能。良多VPN此刻可以肯定終端設(shè)備的把持系統(tǒng)、補(bǔ)丁修復(fù)程度、瀏覽器版本和安然設(shè)置，和是不是安裝了反歹意軟件(還有擺設(shè)了甚么簽名版本)。
奧秘性和完全性：SSL VPN撐持分組暗碼和流加密算法，包含3DES、RC4、IDEA和AES等。IPSec VPN只撐持分組暗碼進(jìn)行加密。這兩種類(lèi)型的VPN都撐持哈希暗碼進(jìn)行完全性驗(yàn)證，并且都有不合的編制來(lái)檢測(cè)數(shù)據(jù)包竄改和重放報(bào)復(fù)打擊—經(jīng)由過(guò)程序列號(hào)和哈?；騽?dòng)靜身份驗(yàn)證。