企業(yè)虛擬專用網(wǎng)絡構(gòu)建方案的設計_論文-文庫吧
2025-06-22 16:48 本頁面
【正文】 及細粒度的訪問控制。通過該技術(shù)的應用，我們可真正實現(xiàn) “ 在任何時候、任何地點、通過任何設備安全地接入公司內(nèi)部網(wǎng) ” 的目標。 SSL VPN技術(shù)應用具有以下優(yōu)勢和特點：通過點到應用的保護，對每一個應用都可以設定安全策 略；無需手動安裝任何 VPN 客戶端軟件；兼容性好，支持各種操作系統(tǒng)和終端 (如 PDA、 Smart Phone 等 )。 在遠程訪問領域， SSL VPN 正逐步取代 IPSec VPN。但是，作為傳統(tǒng)的站點到站點安全聯(lián)接的主流技術(shù)， IP Sec VPN 仍然是不可取代的。當前， VPN 領域的共識是： IPSec VPN 更適合于站點到站點安全聯(lián)接，SSL VPN 是實現(xiàn)安全遠程訪問的最佳技術(shù)。 就目前的技術(shù)而言， VPN 的發(fā)展到現(xiàn)在沒有所謂最佳的選擇，到底選擇那種 VPN 必須根據(jù)遠程訪問的需求與目標而定。當企業(yè)需要安全的點對點連接時， IP Sec 可能是最適合的解決方案，即 IP Sec 更加適合用來解決網(wǎng)到網(wǎng)的互聯(lián)問題。 SSL VPN 則更適合下述情況：移動用戶通過互聯(lián)網(wǎng)來訪問企業(yè)內(nèi)部獲取廣泛而全面性的信息，管理員希望精確的了解接入用戶的訪問情況， SSL VPN 在這方面更勝一籌。 如果一個企業(yè)會同時存在網(wǎng)間互聯(lián)和點到網(wǎng)的互聯(lián)需求，我們就需要的是一臺設備同時支持這兩種 VPN 技術(shù)，在需要網(wǎng)到網(wǎng)互聯(lián)的時候使用 IP Sec、在需要點到網(wǎng)互聯(lián)的時候使用 SSL，用最合適的技術(shù)來滿足用戶的需求。 綜合的說，以上兩種技術(shù)有如下差異： IP Sec VPN 多用于 “ 網(wǎng) —— 網(wǎng) ” 連接， SSL VPN 用于 “ 移動客戶 —— 網(wǎng) ” 連接。 SSLVPN 的移動用戶使用標準的瀏覽器，無需安裝客戶端程序，即可通過 SSLVPN 隧道接入內(nèi)部網(wǎng)絡；而 IP Sec VPN 的移動用戶需要安裝專門的 IP Sec 客戶端軟件。 SSL VPN 是基于應用層的 VPN，而 IP Sec VPN 是基于網(wǎng)絡層的VPN。 IP Sec VPN 對所有的 IP 應用均透明；而 SSL VPN 保護基于 Web的應用更有優(yōu)勢，當然好的產(chǎn)品也支持 TCP/UDP 的 C/S 應用，例如文件共享、網(wǎng)絡鄰居、 Ftp、 Tel、 Oracle 等。 SSL VPN 用戶不受上網(wǎng)方式限制， SSL VPN 隧道可以穿透Firewall；而 IPSec 客戶端需要支持 “NAT 穿透 ” 功能才能穿透Firewall，而且需要 Firewall 打開 UDP500 端口。 SSL VPN 只需要維護中心節(jié)點的網(wǎng)關(guān)設備，客戶端免維護，降低了部署和支持費用。而 IPSec VPN 需要管理通訊的每個節(jié)點，網(wǎng)管 4 專業(yè)性較強。 SSL VPN 更容易提供細粒度訪問控制，可以對用戶的權(quán)限、資源、服務、文件進行更加細致的控制，與第三方認證系統(tǒng) (如： radius、AD 等 )結(jié)合更加便捷 。而 IPSec VPN 主要基于 IP 五元組對用戶進行訪問控制。 正是出于 SSLVPN 的這些獨特優(yōu)勢， SSL VPN 越來越被一些客戶所接受。 多協(xié)議標簽交換 MPLS MPLS(Multi protocol Label Switch)最初是用來提高路由器的轉(zhuǎn)發(fā)速度而提出的一個協(xié)議，但是由于 MPLS 在流量工程和 VPN 這一在目前 IP 網(wǎng)絡中非常關(guān)鍵的兩項技術(shù)中表現(xiàn)， MPLS 已日益成為擴大 IP 網(wǎng)絡規(guī)模的重要標準。 MPLS 協(xié)議的關(guān)鍵是引入了標簽 (Label)的概念。它是一種短的、易于處理的、不包含拓撲信息、只具有局 部意義的信息內(nèi)容。 Label 短是為了易于處理，通常可以用索引直接引用。只具有局部意義是為了便于分配。熟悉 ATM 的人可能很自然的想到 ATM 中的 VPI/VCI。可以這么說， ATM 中的 VPI/VCI 就是一種標簽，所以說ATM實際上就是一種標簽交換。一個 MPLS標簽是一個長度固定的數(shù)值，由報文的頭部攜帶，不含拓撲信息，只有局部意義。 在 MPLS 網(wǎng)絡中， IP 包在進入第一個 MPLS 設備時， MPLS 邊緣路由器就用標簽封裝起來。 MPLS 邊緣路由器分析 IP 包的內(nèi)容并且為這些IP 包選擇合適的標簽，相對于傳統(tǒng)的 IP 路由分析， MPLS 不僅分析 IP包頭中的目的地址信息。它還分析 IP 包頭中的其他信息，如 TOS 等。之后所有 MPLS 網(wǎng)絡中節(jié)點都是依據(jù)這個簡短標簽來作為轉(zhuǎn)發(fā)判決依據(jù)。當該 IP 包最終離開 MPLS 網(wǎng)絡時，標簽被邊緣路由器分離。 IP+ATM 怎樣不同于簡單地在 ATM 骨干上運行 IP 呢 ?答案就是MPLS。 MPLS 是商業(yè) IP 網(wǎng)絡關(guān)鍵技術(shù)，它允許服務提供商首次在單一網(wǎng)絡上獲得 IP， ATM， FR 的綜合利潤。因為 MPLS 提供 IP 的靈活連接和可擴展性，以及 FR 和 ATM 的私有性和 QOS，它已變成廣泛被接收的標準。運用 MPLS， IP 服務能通過以下的過 程在具有選路和多業(yè)務的交換網(wǎng)絡上進行傳送： 網(wǎng)絡決定包的選路和 QOS 需求；標記被分配給每個包，告訴交換機或路由器哪兒、怎樣去發(fā)送這個包，每個包的特定的服務屬性： QOS，私有性等等；包在沒有額外的選路的情況下，在網(wǎng)絡骨干上被交換。 基于 MPLS 的解決方案使得新的網(wǎng)絡世界的服務成為可能，如具有QOS 的 VPN。 MPLS 標記的主要好處是能夠為單個數(shù)據(jù)流區(qū)別服務類。 5
研究報告相關(guān)推薦
鄂ICP備17016276號-1