1.6 VPN：选择解决方案
Cisco VPN完全配置指南
就像您在1.5节中看到的，实际上有很多VPN解决方案可供选择。在对您公司的网络选择正确的VPN解决方案时，您应当采用几个标准。它可能会不止一个解决方案，例如IPSec和SSL，或者是IPSec和L2TP/IPSec。
为了简化这个过程，在选择一个VPN解决方案时，我评估了下面的这些标准：
安全性；
实施、管理和支持；
高可靠性；
扩展性和灵活性；
费用。
下面的小节将更深入的讨论这些标准。
1.6.1 安全性
VPN解决方案中我考虑的第一件事情就是安全性。为了这个目标，我问了下面这些问题：
我需要保护什么？
需要什么类型的保护？
需要保护的程度是什么？
就像前面列出的，我首先需要决定什么样的流量需要被保护。我是否需要保护特定的应用程序的流量，例如E-mail、数据库访问、文件传输，还是其他的？我需要保护某些特定主机的流量吗？我需要保护来自某个特定的网段的流量吗？如果我只需要保护某个特定的应用程序的流量，我将会首先看一下SSL VPN是否可以提供对这个应用程序或者其他需要保护的应用程序的解决方案。否则的话，我将会查看其他的VPN解决方案。
其次，需要什么类型的保护？流量需要加密吗？我需要执行数据包完整性检查吗？去核实一台设备的身份到底有多重要？一旦我回答了这些问题，我就可以锁定在某些更特定的VPN解决方案上了。例如，如果我需要加密，我可以立刻排除GRE。
最后，需要保护到什么程度？例如，如果我需要加密来提供数据的机密性，那么这个加密算法需要有多强？我可以使用DES，还是必须使用一个更强大的加密算法，例如3DES。对于设备验证，我可以使用预共享密钥，还是我应当使用数字签名？我还是通过这些问题来缩小我对更适合的VPN解决方案的选择范围。
1.6.2 实施、管理和支持
网络管理员在选择一个VPN解决方案时，经常忘记了将实施、管理和维护考虑进去。例如，如果将SSL VPN和IPSec相比，我发现建立、管理和故障诊断与排除SSL VPN会比IPSec更容易。
作为一个例子，您可能只需要保护HTTP的流量。SSL和IPSec VPN都可以完成这件事情；然而，IPSec解决方案会比SSL解决方案在实施、管理和维护方面做更多的工作，SSL是一个费用更低，更具有扩展性的解决方案。这种区别会在您看完本书的集中器、路由器以及PIX和ASA安全设备上的IPSec和SSL的组件后，您就会更加清楚了。
1.6.3 高可靠性
就像1.4.3小节中所提到的，冗余可能是在您的VPN实施中所期望的或者是所需要的组成部分。某些VPN实施对冗余支持得非常好，而某些却不能。当评估一个冗余的解决方案时，您需要决定您所需要的冗余类型（机箱冗余和/或者连接冗余），以及您的VPN实施如何处理您的冗余类型。在此之上，一个网络厂商可能有特殊的私有的冗余特性，例如Cisco的虚拟簇代理（VCA），它并没有和某一个特定的VPN实施绑定到一起，所以您可能想了解网络厂商在他们的VPN解决方案中所提供的冗余的好处。
总之，您需要熟悉冗余解决方案的好处和限制。例如，Cisco的VCA特性，将在第10章中讨论，第22章所讨论的内容只支持Cisco的3000集中器和ASA安全设备。VCA可以用来负载均衡远程访问VPN连接，它不能用于站点到站点的连接。
1.6.4 扩展性和灵活性
当选择VPN实施方案时，您需要确保您所选择的方案是可扩展的和灵活的。这个方案需要具备扩展性以便适应将来网络的增长，而灵活性是能处理您的网络内发生变化的一种能力。
换句话说，如果您需要在您的VPN设计中增加3个或者更多的站点，您需要做多少工作来适应这种变化？您需要配置或重新配置多少台设备？在这些设备上您需要做多少配置？这会在现有的设备上额外增加多少开销？一种好的设计方案会解决这些问题。我在第17章中将讨论一种Cisco的站点到站点的连接方案，叫做动态多点VPN（DMVPN）。
1.6.5 费用
当然，您不会忘记一种VPN解决方案将会耗费多少公司的金钱。需要评估的费用有：
硬件设备；
软件产品，包括远程访问客户端和管理（某些厂商对远程访问客户端软件收费，有些不收费—Cisco对它们的基于IPSec的远程访问VPN客户端软件不收费）；
网络厂商的维护和支持费用；
人员和人员培训费用；
VPN流量和开销占用的带宽，普通流量占用的带宽。
在许多情况下，您将会使用VPN来替代现有的私有广域网，例如帧中继、ATM或者专用租赁电路。所以将您对私有WAN方案的完全所有权和您正在考虑的VPN实施方案进行比较。