IPsec的缺點

在某些情況下，不(bu)可以(yi)進行直(zhi)接的(de)端到端通信(xin)(即(ji)傳輸模式)。舉一個(ge)簡單示例，其中H1和H2是一個(ge)直(zhi)接隧道上(shang)的(de)兩個(ge)主(zhu)機(ji)，H1使(shi)用(yong)防火墻稱為FW1。

在(zai)大型分布式系統或域間環境(jing)中，多樣化的區(qu)域安全策(ce)略(lve)實施(shi)可能會給端到(dao)端通信帶來(lai)嚴重(zhong)的問題。在(zai)上面(mian)的示例(li)中，假設FW1需要檢查流量(liang)內容以進行(xing)檢測，并且在(zai)FW1設置策(ce)略(lve)以拒絕所(suo)有加密(mi)流量(liang)以強制執行(xing)其(qi)內容檢查要求。

然而，H1和H2構(gou)建直接(jie)隧道而不了(le)解防(fang)火墻(qiang)及其(qi)策(ce)略規則(ze)的存在。因(yin)此，IPSec 網(wang)關供應(ying)，所(suo)有流(liu)量(liang)將被FW1丟棄，該(gai)場景(jing)顯(xian)示每(mei)個策(ce)略滿足其(qi)相應(ying)的要求，而所(suo)有策(ce)略一起(qi)可能(neng)導(dao)致(zhi)沖突。

IPSec VPN網關導入協議原因

導(dao)入IPSEC協議(yi)，原因有(you)(you)2個(ge)，一個(ge)是(shi)原來(lai)的(de)TCP/IP體系中間(jian)，沒有(you)(you)包括(kuo)基于安全的(de)設計，任何人，IPSec 網關(guan)價格，只要能夠(gou)搭入線(xian)路，IPSec 網關(guan)，即(ji)可(ke)分析所有(you)(you)的(de)通訊數據(ju)。

IPSEC引(yin)進了完整的安全機制，包括加(jia)密(mi)、認證(zheng)和數據防篡(cuan)改功能。另外(wai)一個原因，是因為Internet迅速發展，IPSec 網(wang)關(guan)報價，接入越來越方便，很多客戶希(xi)望能夠(gou)利(li)用這種上網(wang)的帶(dai)寬，實現異地網(wang)絡的的互(hu)連通。

IPSEC協議通過包封(feng)裝技術(shu)，能夠(gou)利用(yong)Internet可路由的地(di)址，封(feng)裝內部網絡的IP地(di)址，實現異地(di)網絡的互(hu)通。

IPSec安全網關的使用(yong)場合和作用(yong)

IPSec對(dui)終端用(yong)(yong)戶來說是透明的，因此無需(xu)對(dui)用(yong)(yong)戶進行(xing)安全培訓(xun)，同時(shi)也無需(xu)對(dui)用(yong)(yong)戶發放(fang)或撤銷(xiao)密鑰材(cai)料。

IPSec除了(le)支持終端用戶(hu)、保(bao)護系統和(he)網絡(luo)外，還在網絡(luo)互聯(lian)所需(xu)的(de)(de)(de)(de)路(lu)由(you)(you)結構中起著重(zhong)要的(de)(de)(de)(de)作用。IPSec能保(bao)證：路(lu)由(you)(you)通告(gao)(gao)(新路(lu)由(you)(you)器(qi)(qi)用于(yu)向外界(jie)通告(gao)(gao)自(zi)己)來(lai)(lai)自(zi)一個被授權的(de)(de)(de)(de)路(lu)由(you)(you)器(qi)(qi);鄰(lin)居通告(gao)(gao)(路(lu)由(you)(you)器(qi)(qi)用于(yu)建(jian)立或維護與其他路(lu)由(you)(you)域中路(lu)由(you)(you)器(qi)(qi)的(de)(de)(de)(de)鄰(lin)居關系)來(lai)(lai)自(zi)一個授權的(de)(de)(de)(de)路(lu)由(you)(you)器(qi)(qi);重(zhong)新定向的(de)(de)(de)(de)消息來(lai)(lai)自(zi)于(yu)數據(ju)包上次到(dao)達(da)的(de)(de)(de)(de)路(lu)由(you)(you)器(qi)(qi);路(lu)由(you)(you)的(de)(de)(de)(de)更新。