对比IPSec 和SSL 的安全风险

虚拟专用网络()已经成为公司合作伙伴或员工远程安全访问公司资源的事实标准。本文将试图解释两种特定类型，即IPSec和SSL，以及如何选择。

然而，在深入研究这两种不同类型之前，有必要对技术做一个简要的概述。是指一系列有利于远程访问公司资源的技术。该技术的主要用户是试图在家或其他公共场所访问公司资源的员工，以及在公司基础设施中支持各种系统的合作伙伴或第三方。一般来说，通过在远程网站和公司网络之间建立加密渠道，利用公共长途IP网络传输数据，包括员工或第三方系统。

关键技术

目前，最流行的两种技术是基于传统网络安全协议(IPsec)技术和安全套接字层(SSL)技术。前者主要作用于网络层，后者主要作用于应用层。它们的区别在于使用的底层技术不同，服务的功能不同，潜在的安全风险也不同。

IPsec最初的设计是提供点到点的，在远程站点和中央办公室资源之间进行不间断的连接。在这种情况下，客户端可以是分公司或者供应商。这个协议被设计为工作在网络堆栈的更底层(第3层，网络层)，并可以用来传输任何基于IP的协议报文，而不用理会应用程序所产生的流量。随着移动办公时代的到来，IPsec已经得到扩展，用户通过使用一个安装在移动设备上的专用应用程序(客户端)就可以进行远程访问。

另一方面，SSL在设计时考虑了移动办公。其预期目标是提供无缝连接、无客户端的远程访问方式。这样，SSL可以被视为应用代理，远程用户可以使用浏览器以某种粒度访问公司的特定资源，而不需要安装客户端。

优势与劣势

IPsec的关键优势在于它在网站之间提供了永久连接的能力。工作在网络层(网络堆栈的第三层)也使其与应用无关:任何基于IP的协议都可以通过它传输。这使得IPsec相对于那些昂贵的租赁线路或专用线路来说是一个非常有吸引力的替代品。也可以作为备份链接，即在连接远程网站和中央办公室的主租赁线路或专用线路崩溃时发挥作用。

然而，IPsec中与应用无关的设计也是其弱点。虽然它提供认证、授权和加密，基本上将公司网络扩展到任何远程用户，但它不能在一定的粒度级别上限制资源的访问。一旦隧道建立，远程用户通常可以访问公司的任何资源，就像他们直接连接到公司网络一样。由于移动办公需要允许非托管IT设备如家用访问公司资源，这些安全问题更加严重。IT部门对这些设备没有可视性和控制权，不能保证这些设备符合托管设备上通常实施的安全水平。

此外，IPsec还需要更多的维护。除了需要建立终止通道的设备，还需要额外的配置和维护来支持远程用户群。在公司使用网址分析(NAT)的情况下，需要特殊配置来保证IPsec和NAT设置的充分协调。

相比之下，SSLs从设计开始就支持远程访问。他们不需要安装任何特殊的软件。远程访问是通过使用基于浏览器的避孕套接口(SSL)的对话来实现的。SSL还为企业提供粒度访问控制能力。特定身份验证和访问应用的授权方案可以限制在特定的用户群中。内置的日志记录和审核能力可以满足各种合规要求。SSLs还具备在连接到企业的远程设备上运行主机合规性检查的能力，以验证其配置合适的安全软件，并安装最新的补丁。

但是，这并不意味着SSL是所有IPsec缺点的灵丹妙药。SSL不是一个远程网站需要与主办公室建立不间断连接的合适解决方案。与应用程序无关的IPsec可以以最低的成本支持大量传统的协议和传统的客户/服务应用程序。这不同于基于Web应用程序构建的SSL。许多SSLss通过在远程设备上安装Java或基于ActiveX的代理控件来解决这个缺点。通常，远程设备成功通过SSL设备验证后，相关安装会准确实现，但值得注意的是，ActiveX和Java都有自己的安全缺陷，这也是攻击者通常试图使用的一点。

IPsec还是SSL？

每一业中，每个方案都有它的用途。理想情况下，由于SSL和IPsechs服务于不同的目的，具有优势互补的特点，应该采用。IPsec应在需要与远程办公场所或合作伙伴/供应商建立不间断连接时使用。在这种情况下，粒度访问控制限制和缺失的主机检查能力应通过网络访问控制系统来增加，这可以确保只有经过验证的远程主机才能连接到企业。在粒度访问控制能力、审核和日志记录、安全策略控制等因素至关重要的移动办公情况下，企业应主要使用SSLhs作为远程访问方案。但是，请记住，无论您的选择或具体需求如何，一个都必须更新、测试和性能测试，它是综合策略和各种网络安全技术深度保护策略的一部分。

微云网络&网络综合解决方案提供商帮助企业信息化建设、数字化转型和全球互联网。SD-WAN方案可以加速全球访问、SaaS访问、海外视频和海外分支网络，有效提高国际沟通效率，帮助中国企业开拓国际市场…热线：400-028-9798，欢迎来电咨询。