許多公司使用VPN向公司外部的員工提供企業(yè)網(wǎng)絡接入。目前，大多數(shù)遠程接入VPN都使用IP安全擴展(IPsec)加密在公共IP網(wǎng)絡上傳輸?shù)膶Ｓ肐P數(shù)據(jù)包。然而，隨著員工隊伍的增長和多元化，IPsec VPN客戶對于最終用戶來說是很麻煩的，對于網(wǎng)絡管理員來說是成本是很高的。通過利用廣泛應用的網(wǎng)絡瀏覽器作為一個客戶平臺，SSL VPN設備將是提供一種簡單而安全的外點訪問專用企業(yè)服務和數(shù)據(jù)的有希望的替代方法。
為什么使用SSL VPN設備?
市場研究公司Gartner預測，到2008年，SSL VPN將成為主要的遠程接入方式。三分之二以上的遠程工作員工、四分之三的承包商和90%以上的需要隨機訪問企業(yè)網(wǎng)絡的雇員都將采用這種方式。作為一個基于瀏覽器的解決方案，SSL VPN幾乎能在任何系統(tǒng)上快速啟動，不需要安裝永久性的客戶端軟件。對于那些對管理旅行者和遠程工作者的筆記本電腦感到厭煩以及那些需要不增加已經(jīng)很沉重的IT工作量來擴大遠程接入的企業(yè)來說，上述好處是有吸引力的。
用戶通?？梢允褂靡慌_SSL VPN設備從家里的或者公共的PC上加入網(wǎng)絡，在任何可用的互聯(lián)網(wǎng)連接上獲得直接的訪問。一旦用戶通過身份識別，組或者單個規(guī)則便允許訪問SSL VPN設備后面的代表系統(tǒng)、服務和數(shù)據(jù)的URL。目標應用一般通過一個瀏覽器的窗口顯示出來，由下載的ActiveX控件或者Java程序實施的。SSL或者其IETF(互聯(lián)網(wǎng)工程任務組)的繼任者TLS(傳輸層安全)將用于數(shù)據(jù)壓縮、散列、加密和在用戶和VPN設備之間的傳輸全部信息?？傊琒SL VPN設備能夠提供安全的訪問，較少地依賴客戶端軟件。
應用SSL VPN設備
深入挖掘這個漂亮的外表，你將會發(fā)現(xiàn)SSL和IPsec VPN之間的巨大差別。例如，IPsec VPN提供訪問具體的子網(wǎng)或者整個企業(yè)網(wǎng)絡。連接的主機必須分配一個這個專用網(wǎng)絡地址空間中的IP地址。因為SSL VPN提供具體URL地址的訪問，資源規(guī)則可以更詳細并且能過更容易地隱藏內(nèi)部網(wǎng)絡的結構。從網(wǎng)絡工程師的觀點看，SSL VPN整合更簡單，因為這種設備能夠在你防火墻的隔離區(qū)中使用，不用增加IP子網(wǎng)或者重新為IP子網(wǎng)編號。
另一方面，IPsec VPN創(chuàng)建一個支持任何基于IP的應用程序的強大的、通用的應用程序。根據(jù)其設計，SSL VPN設備可能需要逐步努力支持新的應用。例如，詳細的設置可能需要把URL鏡像為應用對象，并且重寫URL以便隱藏內(nèi)部信息。每一個SSL VPN設備都支持通用商務應用程序，如企業(yè)電子郵件和網(wǎng)絡文件系統(tǒng)訪問等。但是，專有的或者復雜的應用需要客戶介入開發(fā)或者需要客戶方面的端口轉發(fā)代碼。因此，許多公司最初都使用SSL VPN來增強其IPsec VPN，把僅需要訪問電子郵件的員工增加到SSL VPN網(wǎng)絡，同時保留IPsec VPN以滿足真正需要廣泛的網(wǎng)絡層訪問的員工的需求。
在SSL VPN設備中尋求什么
當然，SSL VPN設備必須有增強的平臺的操作系統(tǒng)，并且通過安全界面進行管理。雖然早期的SSL VPN性能與IPsec相比還不是很好，但是，目前的企業(yè)設備能夠使用硬件加速和高可用性等技術可靠地支持每一個大型的員工隊伍。但是，除了對任何網(wǎng)絡安全設備的這些基本的考慮之外，當你選擇一臺SSL VPN設備的時候，你應該考慮什么功能和因素呢?
VPN架構——SSL VPN設備是多種多樣的：
·Web代理設備僅支持Web應用程序。瀏覽器把普通的HTTP包在SSL中并且發(fā)送給這臺設備。這臺設備檢查政策、鏡像URL并且把HTTP請求轉發(fā)給目標互聯(lián)網(wǎng)服務器。
·應用解析設備讓用戶通過ActiveX或者Java接口與應用程序互動。這種Java接口模仿本地的應用程序圖形用戶界面，但是以HTTP格式發(fā)送請求。這臺設備在把這個請求轉發(fā)到目標服務器(非Web服務器)之前必須要把HTTP解析為每一個應用程序的本地協(xié)議。
·端口轉發(fā)設備通過使用一個客戶端代理在SSL隧道中轉發(fā)本地應用協(xié)議來支持TCP客戶機/服務器應用程序。這個代理與遠程主機的應用端口連接在一起，同時，這臺設備轉發(fā)內(nèi)部服務器(非Web服務器)發(fā)出和接收的信息。
·網(wǎng)絡擴展設備通過使用一個客戶端代理在一個SSL隧道中轉發(fā)IP數(shù)據(jù)來支持任何IP應用程序。一個安裝的代理攔截并且把出網(wǎng)的IP數(shù)據(jù)傳送給這個設備。這臺設備像一臺網(wǎng)絡層網(wǎng)關一樣工作，在結構上與IPsec相似，但是沒有標準IPsec的限制。
任何指定的設備可能都支持一個以上的結構。但是，從這里開始，將幫助你理解產(chǎn)品的客戶和應用程序支持。
客戶支持：每一個SSL VPN使用Web瀏覽器當作一個客戶平臺。但是，許多下載的客戶端代碼限制在公共PC、非Windows主機、移動設備以及外部網(wǎng)合作伙伴的系統(tǒng)上使用。你能夠滿足客戶的要求嗎，例如客戶對瀏覽器廠商/版本或者啟用ActiveX的要求?這種設備能為現(xiàn)值的客戶提供減少的功能，同時為使用VPN門戶網(wǎng)頁自己安裝代理軟件的雇員提供更多的功能嗎?
應用程序支持：除了電子郵件和文件共享之外，考慮你的員工隊伍需要的應用程序，這種設備是否/如何支持這些應用程序以及實現(xiàn)這些應用所需要的努力。例如，端口轉發(fā)設備通常不需要客戶化就能夠支持許多客戶機/服務器。但是，實時的應用(如VoIP)可能需要網(wǎng)絡擴展設備。確認你理解了在URL鏡像和為你需要的應用程序進行協(xié)議解析都涉及到什么。
用戶身份識別：SSL VPN在提供授權服務之前必須要識別用戶的身份。確認這種設備支持你需要的用戶身份識別方式以及現(xiàn)有的身份識別服務器和用戶數(shù)據(jù)庫(如, RADIUS、主動目錄和LDAP)。此外，你要考慮這種設備是否能夠從用戶賬戶提取授權屬性，并且考慮建立這種工作流所涉及的整合努力。
授權：SSL VPN通常有能力強制執(zhí)行控制用戶(或者組)能夠訪問什么內(nèi)容的詳細規(guī)則。評估支持每一個需要的應用程序/資源的授權詳細規(guī)則，蘋果這種設備是否支持你定義的安全政策。例如，一些SSL VPN能夠識別遠程設備身份，讓你限制那些在公共或者家庭PC上的用戶的功能。
端點安全：在批準訪問之前評估端點安全狀況和一臺設備的狀況也是很有用的。SSL VPN支持是為NAC、NAP、TNC和產(chǎn)品具體界面開發(fā)的，使它能夠檢查和/或者強制執(zhí)行端點安全。采取的方法是要求在端點使用當前的安全補丁或者殺毒軟件，或者限制不符合規(guī)定的端點能夠訪問的資源?？紤]這種設備如何更好地適應你們公司的端點安全戰(zhàn)略和實施。如果你計劃支持沒有管理的端點，你要評估對客戶端安全措施的支持，如瀏覽器緩存、cookie和歷史記錄的清除以及"沙盒處理"(sandboxing)。
審計與報告：最后，你要考慮這種設備如何跟蹤和存檔用戶訪問企業(yè)資源，并且考慮這種信息是否足以滿足你的公司內(nèi)部/外部報告的需求。
尋找SSL VPN設備
據(jù)市場研究公司Synergy Research Group稱，2006年全球SSL VPN年銷售收入達到了2.50億美元。這個市場領先的廠商是Juniper、Citrix、F5、Aventail、北電網(wǎng)絡、Whale和Array。在經(jīng)歷了快速增長和收購活動的市場中，跟上廠商和產(chǎn)品名稱的變化以及新進入這個市場的廠商是很困難的。那些希望現(xiàn)在購買SSL VPN設備的人至少應該考慮下列競爭的產(chǎn)品：
Array Networks SPX Series
Aventail EX Series
Caymas Systems ID-Driven網(wǎng)關
Check Point Connectra
思科ASA 5500系列產(chǎn)品
Citrix Systems接入網(wǎng)關
F5 Networks FirePass
Juniper Networks Secure Access
諾基亞SSL VPN
北電網(wǎng)絡VPN網(wǎng)關
Blue Coat RA
SonicWALL SSL VPN
Whale通訊公司(微軟) 智能應用網(wǎng)關