起订:1
发货:3天内
IPsec的缺点
在某些情况下,不可以进行直接的端到端通信(即传输模式)。举一个简单示例,其中H1和H2是一个直接隧道上的两个主机,H1使用防火墙称为FW1。
在大型分布式系统或域间环境中,多样化的区域安全策略实施可能会给端到端通信带来严重的问题。在上面的示例中,假设FW1需要检查流量内容以进行检测,并且在FW1设置策略以拒绝所有加密流量以强制执行其内容检查要求。
然而,H1和H2构建直接隧道而不了解防火墙及其策略规则的存在。因此,所有流量将被FW1丢弃,该场景显示每个策略满足其相应的要求,而所有策略一起可能导致冲突。
IPSec VPN网关产品特点
安全接入与安全防护无缝结合
IPSec VPN网关作为网络边界设备,除了完成远端网络或移动用户的远程接入功能外,还对用户网络边界提供安全防护。IPSec VPN网关集成了业内的防火墙功能模块,能够为用户的VPN网络提供高等级的边界安全防护与访问控制。
IPSec VPN网关支持完善的基于完全内容检测的访问控制技术,可实时将网络层数据还原为完整的应用层对象(如文件、网页、邮件等),并对这些完整内容进行检查,实现内容防护。
IPSec安全网关的使用场合和作用
IPSec对终端用户来说是透明的,因此无需对用户进行安全培训,同时也无需对用户发放或撤销密钥材料。
IPSec除了支持终端用户、保护系统和网络外,还在网络互联所需的路由结构中起着重要的作用。IPSec能保证:路由通告(新路由器用于向外界通告自己)来自一个被授权的路由器;邻居通告(路由器用于建立或维护与其他路由域中路由器的邻居关系)来自一个授权的路由器;重新定向的消息来自于数据包上次到达的路由器;路由的更新。
IPSec VPN网关建立隧道
建立隧道说起来简单,做起来不容易。如果两个设备都有合法的公网IP,那么建立一个隧道是比较容易的。
如果一方在nat之后,那就比较麻烦了。一般通过内部的vpn节点发起一个udp连接,再封装一次ipsec,送到对方,因为udp可以通过防火墙进行记忆,因此通过udp再封装的ipsec 包,可以通过防火墙来回传递。
建立隧道以后,就确定隧道路由,即到哪里去,走哪个隧道。很多VPN隧道配置的时候,就定义了保护网络,这样,隧道路由就根据保护的网络关系来决定。
但是这丧失了一定的灵活性。所有的ipsec VPN展开来讲,实现的无非就是以上几个要点,具体各家公司,各有各的做法。但是可以肯定,目前在市场销售的VPN,肯定都已经解决了以上的问题。