虚拟专用网络(VPN)已经成为了公司合作伙伴或员工远程安全访问公司资源的事实标准。在本文中，我们将试图解释两种特定的VPN类型，即IPSec VPN和SSL VPN，以及这两种类型应该如何选择。

　　然而，在深入研究这两个不同类型之前，需要首先对VPN技术进行一个简要的概述。VPN是指有利于远程访问公司资源的一系列技术。这种技术的主要用户，是试图在家或者其他公共场所访问公司资源的公司雇员，以及在公司的基础架构内支持各种系统的合作伙伴或第三方。VPN一般通过在远程站点和公司网络之间建立一个加密通道的方式，利用公共长途IP网络来进行数据传输，这些远程站点包括雇员的笔记本电脑或者第三方系统。

　　关键技术

　　当前，最为普及的两种VPN技术分别是基于传统网络安全协议(IPsec)的VPN技术和安全套接字层(SSL)VPN技术，前者主要作用于网络层，而后者主要作用于应用层。它们的不同之处在于：使用的底层技术不同，所服务的功能不同，以及潜在的VPN安全风险不同。

　　IPsec最初的设计是提供点到点的，在远程站点和中央办公室资源之间进行不间断的连接。在这种情况下，客户端可以是分公司或者供应商。这个协议被设计为工作在网络堆栈的更底层(第3层，网络层)，并可以用来传输任何基于IP的协议报文，而不用理会应用程序所产生的流量。随着移动办公时代的到来，IPsec已经得到扩展，用户通过使用一个安装在移动设备上的专用VPN应用程序(客户端)就可以进行远程访问。

　　另一方面，SSL VPN在设计时就考虑到了移动办公。它的预期目标是提供一个无缝连接的、无客户端的远程访问方式。这样，SSL VPN可以被看做一个应用程序代理，远程用户使用浏览器就可以以某种粒度访问公司的特定资源，而不再需要安装客户端。

　　优势与劣势

　　IPsec的关键优势在于它在站点之间提供一个永久连接的能力。工作在网络层(网络堆栈的第3层)也使其与应用程序无关：任何基于IP的协议都能够通过它进行传输。这使得IPsec相对于那些昂贵的租用线路或者专用线路，是一个相当有吸引力的替代品。它也可以作为一个备份链路，即在连接远程站点和中央办公室的主租用线路或专用线路崩溃时起作用。

　　然而，IPsec中与应用程序无关的设计也是它的弱点。虽然它提供了认证、授权和加密，同时还基本上把公司网络拓展到任何远程用户，但是它没有能在一定粒度级别上限制对资源的访问。一旦隧道建立，远程用户通常可以访问公司的任何资源，就像他们是直接连接到公司网络一样。因为移动办公需要允许诸如智能手机和家用电脑等非托管的IT设备访问公司资源，所以这些安全问题显得更加严重。IT部门对这些设备没有任何可视性和控制权，而且不能保证这些设备符合通常在托管设备上实施的安全水平。

　　另外，IPsec也需要更多的维护。除了需要建立终止通道的设备，还需要额外的配置和维护来支持远程用户群。在公司使用网络地址解析(NAT)的情况下，还需要特殊的配置确保IPsec与NAT设置充分协调。