SSL VPN:卧榻之侧岂容IPSec

编者按：SSL VPN和IPSec VPN之争已经比较久了，作者支持SSL VPN的结论也已经没有什么新意，不过的倒是作者为了得出这个结论对两个产品进行的全面比较值得我们思考。

集成SSL网络的拓扑结构

随着互联网的发展，越来越多的网络应用系统从专用或内部网扩展到互联网上。为保护网络自身和网络上关键业务的安全可靠，VPN技术被广泛应用。曾经占据绝对主导地位的IPSec VPN技术由于在安全性、易部署和维护性、寿命成本等方面存在不足，其市场地位正受到SSL VPN的猛烈冲击。

访问更安全

安全性是大多数公司愿意推动SSL VPN使用的主要原因。80%的企业用户表示，SSL能够限制用户访问一些具体的应用程序或者数据源，并且在应用层完成了这种限制，这相比IPsec安全有所改进。IPsec VPN在第三层工作，当用户登录时，设备就可以像物理上连接到局域网上那样工作。SSL VPN在第四层的应用层工作，SSL VPN让用户通过网络浏览器访问应用程序，管理员可以通过应用程序控制访问。SSL还能够减少网络故障的时间，因为在其它访问方式失败时，它能够方便快捷地设置成为一个灾难恢复的解决方案。此外，能够启用没有客户机的VPN、能够提高网络容量或者性能、开展远程用户协作、延长网络的寿命、能够启用一些应用程序、能让雇员使用掌上电脑访问网络、能让雇员用其他人的计算机访问网络都是企业选择SSL VPN的重要原因。

产品更齐全

在SSL VPN的发展过程中，一些厂商的产品支持应用种类少、数据传输安全性能差以及响应速度较慢等问题，使一些人认为SSL VPN和IPsec VPN各有千秋，SSL VPN无法取代IPsec VPN。随着技术的发展，SSL VPN不仅支持Web应用，满足E-mail、企业内部网页浏览等B/S应用和访问FTP服务的需要，而且可以支持OA、CRM/ERP等C/S系统应用。目前已经有了能够全面替代IPsec远程访问的SSL产品。另外，硬件加速和负载均衡技术的引入有效解决了一直困扰SSL VPN的网络响应速度、可扩展性等难题，大大提高了SSL VPN网络的运行效率和实用性。如国内VPN企业――上海冰峰网络公司先后推出的由标准Web SSL产品、隧道式SSL VPN产品及具备负载均衡的高性能Web SSL产品组成的产品线，不仅满足了各层次用户的需求，使用户可以用SSL VPN彻底取代IPsec VPN，而且使网络的易用性、使用成本大大优化，使用体验也和IPsec VPN差不多，甚至更佳。

扩充更方便

可扩充性是网络设计必须考虑的问题。在大型网络的SSL的应用时，经常会出现动辄面对几千并发要求，这样既要对服务器能力进行扩充，也要对服务器资源进行有效管理。在绝大多数企业采取的服务器集群环境中，负载均衡是必须解决的问题，购买一台负载均衡器是一个解决办法，但如果能够把SSL产品和负载均衡器功能集成在一起当然就是一个更好的解决办法。

SSL加速技术能使服务器CPU从繁重的加密/解密过程中解脱出来，这样系统能处理的安全并发连接数可由原来几十个增长到数百个。带宽管理的功能能够按照用户的实际应用按照任务的关键性和时间的敏感性分级，因此可以加大关键业务的带宽，同时产品可以提供网络报告，使网络管理员可以根据具体数字进行容量规划并评估配置变化所产生的影响。