20CN网络安全小组论坛 - 系统集成

论坛: 系统集成标题: VPN建设十项注意点

作者: cimsxiyang [cimsxiyang]

版主

VPN建设十项注意点
1.兼容性

　　在购买VPN系统产品时, 你需针对大多数计算机操作系统平台(例如UNIX，Linux、Windows 2000以及Windows NT等)向VPN供应商描述你的VPN服务所需要的兼容特性, 并需向供应商询问: 在使用特殊的VPN服务时, 它所提供的服务是否要求你为你的操作系统加载额外的驱动程序? 这些附加的驱动程序会对操作系统中其它子系统(例如你的应用协议或你的适配器驱动程序)及你的应用产生哪些影响? 它们之间是否能够无缝地加以集成? 或你是否必须修改你的应用才能使它们与VPN 协同运作? 为此, 你应选择那些可以很好回答这些问题的供应商。它们将会告诉你, 你是否需要为那些在你的网络上运行的应用采取额外的措施。

2.体系结构

　　你需搞清楚你即将采用的VPN服务或产品将如何支持下列的通信需求: 每一远程通信用户与公司总部/数据中心之间的通信; 召开文档会议的双方在其信息不流经公司总部/数据中心的情况下的相互通信; 与公司总部相连的分支网络之间的通信; 城市Intranet(为了公司LAN的安全, 内部使用VPN)之间以及企业内部电子商务活动之间的通信。

　　上述的每一种通信环境均需分别加以考虑, 因为许多VPN产品和服务很可能仅可以解决你企业网络所需的部分问题, 或许还要求你进行大量的定制化工作。如果某一定制化服务不属于供应商服务中的一部分, 那么你还需要为集成不同的VPN服务支付额外的开销。另外, 在与可满足不同体系结构需求的多个VPN相连时, 你还必须密切关注由此产生的不同价格和使用模式方面的限制。你需清楚地知道供应商是否能提供可与你当前定制化的网络设计实现最佳匹配的VPN体系结构? 以及你将需要如何把多种类型的VPN体系结构加以集成?

3.避免全面性升级

　　为了支持你的VPN服务, 你需在多大程度上升级现存的网络设备? 在采用供应商的VPN服务时是否要求你对路由器、交换机、防火墙以及服务器等设备所需的软件进行全面性升级? 尽管软件升级的开销通常低于硬件升级的开销, 但你不应忘记询问你的VPN供应商: 你所添加的功能是否会影响现存硬件设备的运行? 为了维持与先前同等的设备运行水平, 你是否将需要对系统进行额外的硬件方面的改动?

4.安全保障

　　你需要向VPN服务供应商了解其服务可在多大程度上符合那些符合工业标准的安全特性? 工业标准的安全特性可减少你的用户和生意伙伴 (例如客户与供应商) 之间可能出现的互操作性问题。符合工业标准的安全系统将可使你的网络具有较高水平的安全保障, 并可更有效地发现那些潜在的安全隐患。

5.遂道协议

　　在创建安全遂道方面, 存在着众多的遂道协议, 例如IPsec、PPTP以及L2TP等。然而, 并非所有的产品和服务都能够支持这些协议。另外, 某些针对这些协议的标准仍在制定过程中, 因此你应告诉你的供应商, 希望它能支持哪些遂道协议。对于那些标准目前仍未最终确立的协议, 应弄清你的 VPN供应商打算向你提供何种保证以支持即将批准的标准?
6.加密策略

　　你需询问VPN供应商, 什么样的加密级别适用于你的关键任务? 供应商的加密软件对你的应用的性能将会产生什么样的影响? 每一加密算法都拥有其各自的优、缺点, 并需消耗VPN系统各层面上的资源。因此你应搞清楚: 你的VPN供应商所提供加密算法到底有哪些优、缺点, 以及它们将会对你的网络资源产生什么样的影响?

7.传统设备的集成

　　你需询问VPN供应商: 应如何集成那些不能支持VPN的设备, 例如大型机/前端处理机或OS/2设备等? 对于一个成功的公司范围的VPN实现来说, 确保公司中所有资源能够真正支持VPN, 将是至关重要的。你应该清楚: 你的VPN供应商是否可提供对你所有关键网络产品的支持? 谁将负责把这些产品集成于你的VPN基础设施,是服务供应商还是设备制造商? 公司是否必须令每一资源和应用都支持VPN? 以及使用哪些方法可把VPN产品外部地施用于那些不支持VPN的设备?

8.管理步骤

　　应该清楚, VPN供应商的管理平台可向你提供何种级别的集成? 你需令供应商描述用户可在多大程度上获得监督 VPN服务的能力以及用户是否能有效管理他们驻留在这些服务上的数据。良好性能监督, 是确保你的VPN 服务供应商能够按谈判好的服务条款向你提供优质服务的重要条件。

　　与使用独立的管理平台相比, 集成化的管理平台不仅可以减少公司IT人员的数目, 而且还能够减少公司培训IT人员的开销。因此你应搞清楚: VPN 产品供应商是否可向你提供一个完全集成化的方案? 或它是否要求你为相互独立的应用配置和监督不同的VPN子系统? VPN管理平台如何与你当前的管理平台相集成? 你是否需要支持两个相互独立的管理系统或你是否能对你当前的系统进行升级, 以使其支持 VPN管理?

9.服务质量

　　你所选择的VPN服务是否可向你提供良好的服务质量 (QoS)? 你应让VPN供应商认真描述其VPN服务所提供的QoS的详细情况。良好的QoS可确保你的VPN能够向你提供与通常租赁线路相同的性能和计时特性。因此你应搞清楚: 你的服务供应商是否能保证其VPN的QoS? 其QoS是否能达到合同协议的要求? 是否可提供性能监视服务?你的服务供应商在向你提供服务时是完全使用它自己的网络, 还是需从其它ISP 那里转包带宽和系统资源? 另外, 你还应知道: 你所选定的VPN服务供应商网络的QoS历史以及网络的整体可靠性信息?

10.存取控制

　　你应清楚地知到道你所选择的VPN供应商是否已把VPN的存取/认证服务与其现存的网络存取控制服务集成在一起? 如果你的 VPN不能很好地与你专用的存取控制系统集成在一起, 那么公司的IT雇员将需付出额外的努力和开销, 以维护一系列相互独立的安全系统。另外, 你还应问清楚: 你的VPN 供应商是否提供可把第三方存取控制数据库并入其自己的安全系统中的设施? 其认证服务是否符合工业标准? 以及其认证方案能够支持何种工业标准的认证服务?

地主发表时间: 07/31 00:18

回复: ricky [ricky]

版主

夕阳啊，你在南通真的是有点浪费了，有机会到上海来工作吧

B1层发表时间: 07/31 09:06

回复: cimsxiyang [cimsxiyang]

版主

其实，我现在也想跳槽，只是苦于暂时没有地方去。如果有地方可以去，我立刻就滚蛋，反正现在刚好合同到期了，我正在拖着不想签。
水平还不行。真的还需要努力。
顺便说一句，哪位兄弟那里需要人扫地倒水的，不妨和我联系，我最喜欢那些工作了，总比在这里整天给领导打字来的好。
：）

[此贴被夕阳(cimsxiyang) 在 7月31日9时27分编辑过]

B2层发表时间: 7/31 9:26