如果我有思科设备，有谁知道通过 Internet 将 2 个或更多分支机构与总部安全连接，并允许所有分支机构之间进行通信（因此任何人都可以联系任何人）的最佳做法是什么？我应该使用 ASA 制作多站点 VPN 并在路由器中包含 GRE 隧道吗？我有哪些选择？如果有人有配置示例，那就太好了。
通过 Internet 在多个站点之间进行安全通信
网络工程
路由器
思科-ASA
虚拟专用网
ipsec
格雷
2022-02-05 21:48:03
1个回答
如果您办公室之间的唯一连接是通过 Internet，那么您别无选择，只能运行 VPN。如果您有光纤或以太网连接来互连它们，那会简单得多。
除非您有安全原因，例如中央互联网内容过滤器或其他东西，否则我会让分支机构直接访问互联网，并且只通过 VPN 运行办公室到办公室的流量。
VPN 需要具有内置 VPN 功能的路由器或网关。您会发现大多数 VPN 解决方案还支持对办公室外用户的远程访问；例如，当您的员工在酒店、机场甚至他们的家中使用 WiFi 热点时。这要求他们的计算机或移动设备支持与您公司的 VPN 解决方案相同的 VPN 方法。
以下是您可以找到的主要 VPN 协议或方法：
PPTP：通常是最不安全的方法。但是，为了向办公室外的用户提供远程访问，PPTP 在 Windows 和大多数其他操作系统和移动设备上受到原生支持。但是，当员工从不允许 VPN 直通的网络连接时，可能会出现连接问题。
L2TP/IPsec：比 PPTP 更好的安全性，但通常设置起来更复杂。为了向办公室外的用户提供远程访问，大多数计算机和移动设备都原生支持它，但也存在与 PPTP 类似的连接问题。
SSL：通常设计用于为办公室外的用户提供远程 VPN 访问，而不是连接整个网络。连接是通过 Web 浏览器建立的，不需要计算机或设备上的 VPN 客户端。
OpenVPN：通常仅包含在具有开源固件或操作系统的路由器上。要为办公室外的用户提供远程访问，用户必须在其设备上安装 OpenVPN 客户端，因为 Windows、Mac OS X 或移动设备本身不支持它。但它不受 PPTP 和 L2TP/IPsec 的连接问题的影响。
Cisco EasyVPN： Easy VPN 是一种中心辐射型 VPN 拓扑，可用于各种路由器、PIX 和 ASA 设备。策略主要在集线器上定义并推送到远程分支 VPN 设备，确保客户端在建立安全连接之前拥有最新的策略。Easy VPN 简化了远程办公室的 VPN 部署。使用 Easy VPN，在前端定义的安全策略被推送到远程 VPN 设备，确保客户端在建立安全连接之前拥有最新的策略。
有许多内置 VPN 功能的网络路由器（有线和无线），也可以称为 VPN 网关或 VPN 防火墙。这些非常适合长期可靠使用，并且需要最少的努力。他们通常还支持在办公室外需要 VPN 访问的员工的远程连接。
思科配置示例。
IPsec
https://supportforums.cisco.com/t5/vpn/setup-vpn-connection-with-cisco-2821-router/td-p/1401798
易VPN
https://www.cisco.com/en/US/docs/routers/access/800/850/software/configuration/guide/vpnezvpn.html
https://www.cisco.com/c/en/us/td/docs/security/asa/asa72/configuration/guide/conf_gd/ezvpn505.html
其它你可能感兴趣的问题