3COM隧道交換機VPN方案

2019-11-04 21:40:08

字體：大中小

來源：轉載

供稿：網友

　　隧道交換機是3COM公司主要VPN產品解決方案的核心，也是3COM公司VPN技術的核心所在，所以3COM公司的隧道交換機VPN方案具有非常鮮明的特色，因為在一般的VPN通信中，路由器是VPN隧道的開啟和終止器，而3COM的隧道交換機VPN方案中，VPN隧道的開啟和終止器是由隧道交換機擔當的。下面先來簡單了解一下3COM公司的隧道交換機。
　　
　　一、3COM VPN隧道交換機概述
　　
　　3COM的VPN隧道交換機是3COM VPN硬件解決方案中的主要設備，隧道交換機是VPN隧道啟動器/終結器的結合體。目前3COM公司主要有S400和S500兩個系列，多款產品。3COM的隧道交換機可以用于將隧道從一個網絡擴展到另一個網絡，例如將隧道從 ISP的網絡擴展到企業網上；也可以用來將點到點的連接變成從點連接到交換設施，再到點的連接，盡管發生在有路由選擇的網絡上，運行起來卻仍象是一種專用電話的交換電路。
　　
　　網絡服務供給商（NSP）可以用隧道交換機，根據不同用戶的情況，靈活有效地直接向用戶提供服務，甚至可以通過適當的端點和服務質量（QoS）處理，將同一帳戶的不同用戶放入隧道中。如NSP可以將優先級較高的用戶放入高速光纖或用隧道交換機來避免網絡站點堵塞。在NSP中，利用VPN隧道交換機組建VPN網絡的結構如圖1所示。
　　
　　　

　　
　　圖1
　　
　　企業也能從隧道交換機中獲益。例如，公司增強了治理其遠程接入網絡資源的能力，同時又可以相應地提高防火墻的安全性。根據用戶的姓名可以在 RADIUS中查找到信息，交換機便啟動一個隧道，穿過防火墻，連接到特定的內部服務器上。交換過程增加了網絡應用和資源的接入機會，同時又保證了防火墻的完整性，提高了防火墻的性能。企業獲得的益處還有對服務器接入 VPN業務負載的平衡功能、增加 ip尋址的靈活性等。
　　
　　隧道交換機含有隧道終止器和隧道開通器，通常設置在非軍事區中，也就是公司內、外部防火墻之間，這樣既使遠程用戶可以訪問防火墻后面的某些資源，又可以增加VPN的安全性。在企業內部使用VPN隧道交換機組建VPN網絡的結構如圖2所示。
　　
　　

　　
　　圖2
　　
　　在如圖2所示結構網絡中，隧道交換機在收到VPN信息流之后，將對用戶進行RADIUS（遠程授權撥入用戶服務）檢查，查驗合格后就開通一條穿過防火墻的新隧道，直達指定的內部服務器，把VPN信息流送到這個服務器。這些服務器是隧道的最后終點，其中含有用戶的具體情況和訪問權限等信息，因而可對VPN數據進行更嚴格的合法性檢查，并可提供更多的服務。
　　
　　隧道交換機帶來以下的好處：
　　
　　（1）為了支持許多VPN應用，防火墻只需打開一個通道。由于各種IP應用（如FTP、Telnet等）都被封裝在隧道協議里，并經由隧道交換機向內部網絡延伸。
　　
　　（2）很輕易區別對待遠程職工的信息流和合作伙伴與客戶的信息流。隧道交換機能夠把不同類型用戶經由同樣的Internet接口傳來的隧道轉接到不同的地點，于是便可以對它們執行不同的安全政策。這使網絡治理人員很輕易查看和控制Extranet的活動，并根據本企業與合作伙伴的關系迅速作出調整。
　　
　　（3）各部門既可以共用一個Internet接口，又可以各自執行自己的用戶審批與訪問控制政策。隧道交換機把隧道逼到每個部門的LAN，再由各個部門按自己的方式去控制遠程用戶的訪問權。
　　
　　（4）可以最終利用IP地址空間。隧道交換機使VPN信息流可以進入內部網絡，那里的地址空間比非軍事區的地址空間大得多。但企業為這些隧道終點設定的地址是NSP無法知道的，這提高了VPN的安全性。
　　
　　使遠程用戶很輕易成為VLAN（虛擬LAN）的成員。VLAN可以改善網絡的效率，這是因為不管用戶走到哪里，他所需的信息就能送到哪里。但是，假如在VPN中沒有隧道交換機的話，所有輸入的VPN信息流只能送到同一個VLAN，因為VLAN通常是根據用戶接入的集線器端口來指定VLAN成員的。隧道交換機可以把隧道信息流送到不同地點的不同隧道終止器，也就是能夠把遠程用戶接入不同的端口，因而很輕易把遠程用戶分配到不同的VLAN。

上一篇：思科65系列高端防火墻解決方案應用

下一篇：雙因素認證基本概念和解決方案概述