通過(guò)SSL VPN，用戶可以從任何遠(yuǎn)程設(shè)備的Web瀏覽器上訪問(wèn)公司資源，從而不需要IT安裝VPN客戶軟件。有些VPN供應(yīng)商正在嘗試通過(guò)使用簡(jiǎn)單的站點(diǎn)到站點(diǎn)SSL VPN連接來(lái)替代常用的IPsec通道，以擴(kuò)展SSL VPN技術(shù)的用例。這個(gè)替換不可能替換所有企業(yè)WAN的IPsec通道，但是在某些特定的應(yīng)用程序上，SSL VPN可能是創(chuàng)建安全的站點(diǎn)到站點(diǎn)連接的唯一選擇。

SSL VPN提供了一個(gè)創(chuàng)建VPN連接的簡(jiǎn)單方法

無(wú)處不在的 Secure Sockets Layer協(xié)議使站點(diǎn)到站點(diǎn)的SSL VPN大受歡迎。SSL VPN連接采用與所有安全網(wǎng)站相同的協(xié)議和加密方法進(jìn)行傳輸。很多企業(yè)會(huì)在防火墻上開(kāi)啟端口443，Web流量的加密端口80——來(lái)保證網(wǎng)上交易的安全，如在線銀行和在線零售。SSL VPN會(huì)利用這些開(kāi)放端口，實(shí)現(xiàn)任意位置的遠(yuǎn)程訪問(wèn)和支持站點(diǎn)到站點(diǎn)VPN。相反，有些ISP、公司防火墻甚至外國(guó)政府會(huì)阻擋端口50、51和5000，限制訪問(wèn)，而這些端口是IPsec通道常用的。

根據(jù)Astaro的資深技術(shù)工程師Bill Prout的看法，創(chuàng)建和配置一個(gè)SSL VPN比有相同作用的IPsec更簡(jiǎn)單。例如，在Astaro的Security Gateway中，管理員可以創(chuàng)建一個(gè)配置文件，將它上傳到遠(yuǎn)程網(wǎng)關(guān)，從而建立SSL VPN連接。這種簡(jiǎn)單性特別受到小型企業(yè)的青睞，因?yàn)樗麄兛赡苋鄙僭诰W(wǎng)站之間調(diào)整防火墻策略和建立IPsec通道的IT技能組。

SSL VPN供應(yīng)商鎖定和站點(diǎn)到站點(diǎn)連接的性能問(wèn)題

然而，使用SSL實(shí)現(xiàn)站點(diǎn)到站點(diǎn)VPN連接存在大量的缺陷。與IPSec不同的是，站點(diǎn)到站點(diǎn)的SSL VPN連接沒(méi)有行業(yè)標(biāo)準(zhǔn)，同時(shí)供應(yīng)商產(chǎn)品之間不存在互操作性。雖然Astaro的SSL VPN產(chǎn)品以開(kāi)源 OpenVPN 產(chǎn)品為基礎(chǔ)，但是Prout承認(rèn)管理員可能很難將Astaro的產(chǎn)品與運(yùn)行OpenVPN的服務(wù)器連接。

“站點(diǎn)到站點(diǎn)SSL VPN在供應(yīng)商之間完全不存在標(biāo)準(zhǔn)，這意味著用戶得固定使用某個(gè)供應(yīng)商的產(chǎn)品。”咨詢和信息技術(shù)公司Opus One的資深伙伴Joel Snyder說(shuō)道。另外一個(gè)選擇是，市場(chǎng)上幾乎所有防火墻，包括最小型的SMB解決方案，都可以創(chuàng)建一個(gè)IPsec 通道連接任何供應(yīng)商的任何產(chǎn)品。

除了互操作性問(wèn)題，與站點(diǎn)到站點(diǎn)SSL VPN連接相關(guān)的網(wǎng)絡(luò)過(guò)載可能會(huì)影響分支部署的性能。“雖然通過(guò)IP傳輸TCP流量通常被認(rèn)為是一個(gè)糟糕的想法，但是站點(diǎn)到站點(diǎn)VPN恰好存在這個(gè)問(wèn)題，”Snyder說(shuō)道。

雖然遠(yuǎn)程訪問(wèn)部署中也存在流量過(guò)載問(wèn)題，但是對(duì)于個(gè)人遠(yuǎn)程用戶的影響較不明顯，基于瀏覽器登錄接入的方便性可以抵消一部分的過(guò)載。另外一方面，IPsec VPN是設(shè)計(jì)來(lái)減小過(guò)載的，而且能夠在不同位置之間更加有效的流量傳輸。

何時(shí)使用SSL VPN實(shí)現(xiàn)站點(diǎn)到站點(diǎn)連接

鑒于這些互操作性和性能問(wèn)題，大多數(shù)專家和供應(yīng)商都認(rèn)為站點(diǎn)到站點(diǎn)SSL VPN不應(yīng)該成為分公司W(wǎng)AN連接設(shè)計(jì)時(shí)的首選。然而，在一些情況中，站點(diǎn)到站點(diǎn)SSL VPN連接是很有意義的，特別是當(dāng)端口50、51和5000被禁用，或者由于國(guó)際、地理限制、ISP禁用端口。同樣的，如果一個(gè)企業(yè)在另一個(gè)公司的企業(yè)防火墻內(nèi)創(chuàng)建一個(gè)安全的分支網(wǎng)絡(luò)，那么標(biāo)準(zhǔn)的IPsec VPN通道將無(wú)法工作，但是SSL VPN通道卻可以。在WAN管理員嘗試在他們獨(dú)特網(wǎng)絡(luò)環(huán)境中建立傳統(tǒng)的IPsec通道，SSL VPN是一個(gè)連接這些非典型遠(yuǎn)程位置的有效替代選擇。