如何使VPN集中器與防火墻共處
VPN作為虛擬專用同道大大提高了企業在網絡連接上的成本與安全性，思科所生產的VPN集中器通過遠程接入來為用戶提供服務。但是在配置VPN集中器的時候，網絡安全管理員需要考慮VPN集中器如何才能跟防火墻和平共處。
由于VPN集中器可以防止在網絡不同的位置中。如可以跟防火墻并行防止，也可以防止防火墻的外圍，也可以放在內部等等。雖然其位置沒有限制，但是在部署的時候，網絡管理員需要注意其與防火墻位置的不同，要求與功能也略有差異。網絡設計人員需要注意這些差異，才能給VPN集中器選擇一個合適的位置讓其安家。也只有如此，VPN集中器才能夠發揮其應有的作用。
位置一：把VPN集中器放置在防火墻外面
其實，VPN集中器也有部分防火墻的保護功能，所以把其放置在防火墻的外面可以提供額外的安全保障。因為通過VPN集中器連接企業的內外網，可以在集中器的接入口使用相關的訪問規則來提高企業網絡的安全性。也就是說，VPN集中器可以實現部分防火墻功能。當遠程用戶通過互聯網接入到VPN集中器時，這是一種非常行之有效的解決方案。因為若如此配置的話，本地站點并不需要外部因特網接入。
如果采用這種配置方式的話，網絡管理員需要注意兩點。
一是對于網絡安全不是特別苛刻的企業，有時候甚至可以利用VPN集中器來代替防火墻。因為在其接入口本身就可以配置相關的訪問規則，來提到防火墻的部分功能，保護企業網絡的安全。故企業如果有了VPN集中器的話，還可以省去防火墻的投資。所以，這對部分企業來說，是一個不錯的選擇。
二是需要注意流量的問題。上面說到的這一點可以說是這么部署的好處。那么現在這個流量問題則是其不足之處了。如果按照上面這么部署的話，有一個很大的缺點，就是企業內外網絡數據的交換都需要通過集中器來處理，因為此時集中器在企業內外商數據交換的主干通道上。故道企業內外數據交換比較頻繁的話，則會給集中器性能帶來比較大的壓力。若企業真的準備這么部署的話，那網絡管理員就需要根據企業的實際情況，選擇合適的VPN集中器。如果有比較頻繁的數據交換，如視頻會議、電子商務等等網絡應用比較頻繁的話，那最好能夠選擇配置高一點的VPN集中器。
位置二：把VPN集中器放置在防火墻的內部
網絡管理員也可以把防火墻放置在防火墻的內部，即防火墻與企業邊界路由器之間。當把集中器部署在防火墻內部的話，那么防火墻將是直接接觸企業外網設備。也就是說，防火墻是保障企業內網安全的第一道防線。不過話說回來，雖然防火墻已經起到了保護企業內部網絡的目的，但是，VPN集中其仍然需要進行一些接入規則的配置，來提高VPN網絡的安全性。如要在接入規則上，對接入用戶的訪問權限進行控制。普通用戶不能夠修改VPN集中器的配置等等。也就是說，關于VPN接入的相關安全控制，仍然需要VPN集中器來實現。這有利于VPN接入的管理，有利于提高VPN的安全性，為企業提供一個比較安全的遠程網絡訪問環境。
另外，如果采用這種部署方式的話，由于VPN集中器仍然處在企業內外網數據交互的唯一通道上。所以，企業內外網需要進行數據交換時，所有的數據都要通過VPN集中器。當VPN遠程訪問與企業內外網數據交換同時大量發生時，就將給VPN集中器帶來比較大的壓力。這跟第一種部署方式的通病是一樣的。
再者，這種部還是需要注意一點。由于防火墻放置在VPN集中器的前面。這也就是說，如果用戶需要進行遠程訪問的話，那么這個遠程連接的請求必須要先通過防火墻。所以為了遠程用戶能夠順利連接到VPN集中器中，必須要在防火墻上進行一些額外的配置，允許VPN連接請求順利通過防火墻。如遠程訪問者有固定的IP地址，則在防火墻配置中要允許這個IP地址的通信流量通過。這種情況往往出現在公司不同局域網之間的互聯。如遠程辦事處等等，他們往往有固定的IP地址。但是，有些情況也可能沒有固定的IP地址。如一些個人用戶，他們出差時不知道在哪里。為此，防火墻就要允許所有源地址的IKE等數據流通過防火墻。否則的話，遠程用戶就有可能無法連接到VPN集中器上，因為其連接請求直接被防火墻所阻擋。故如果網絡管理員要采用這種布置的話，就必須對防火墻進行額外的配置。同時，為了企業內部網絡的安全，如果企業主要利用VPN來進行不同局域網之間的連接，那么最好在防火墻配置的時候，進行IP地址的限制。不要因為VPN虛擬專用網的應用而降低了企業內部網絡的安全性。
【編輯推薦】
