走出SSL VPN的认识误区

　　今年以来，SSL VPN市场出现了走出概念，进入应用市场，并呈突飞猛进的势头。有关SSL VPN产品及应用的报道很多，大多是正面推进SSL VPN的应用，但我们也看到了目前还存在着一些关于SSL VPN的误区，随便在网上搜索，就可以看到有待商榷的说法，比如：“SSL VPN和IPSec VPN各有优缺点，SSL VPN只能适用于Web应用”，“市场出现集IPSec VPN与SSL VPN于一体的设备，必将大大促进VPN的市场推广，这就引入了几个问题：1、究竟SSL VPN有哪些功能？是否只能解决Web应用？2、什么样的产品才是一个真正的SSL VPN产品？怎样区别市场上林林总总的SSL VPN产品？3、如何衡量SSL VPN产品的性能？为此，我们走访了有关专家，并整理了访谈资料，希望对读者客观认识SSL VPN有所帮助。

　　问：究竟SSL VPN有哪些功能？是否只能解决Web应用？

　　答：SSL VPN的出现是为了解决IPSec VPN的固有缺点，SSL VPN继承了IPSec VPN的远程使用与内网使用体验一致、与应用无关的优点，避免了因客户端而导致的使用维护不便、某些网络条件下无法接通、带来大量病毒和蠕虫的入侵、无法与企业现有认证服务器结合、无法审计等问题。SSL VPN功能主要包括网络访问、网上应用程序、Windows文件共享、移动电子邮件、应用程序访问、传统主机、终端服务器等功能。因此，SSL VPN可以提供C/S应用和B/S应用访问，并非只能解决Web应用。这其中最为重要的是网络访问功能，SSL VPN的网络访问功能避免了IPSec VPN的缺点而又继承了IPSec VPN的优点。

　　记者问：什么样的产品是一个真正的SSL VPN产品？怎样区别市场上林林总总的SSL VPN产品？

　　专家答：现在有很多厂商声称自己的产品是SSL VPN，或者说融合了IPSec VPN和SSL VPN的功能，实际上大部分的厂商只是实现了SSL VPN中的网上应用程序，也就是Web反向代理的功能。比如，某厂商介绍其产品是集IPSec VPN与SSL VPN于一体的设备，也只是在原有的IPSec VPN设备上增加了Web反向代理的功能，还不能称之为真正的SSL VPN产品。那么什么样的产品才是一个真正的SSL VPN产品？

　　前面提到，SSL VPN的功能包括网络访问、网上应用程序、Windows文件共享、移动电子邮件、应用程序访问、传统主机、终端服务器等，其中网络访问是SSL VPN最为重要和标志性的功能，只有具备了网络访问这个看似是IPSec VPN而又从根本上解决了IPSec VPN缺陷的功能，才称得上是一款真正的SSL VPN产品。诚然，为了安全性考虑的终端安全检查和审计、与企业认证服务器的结合等功能也是一款优秀SSL VPN的必备功能。

　　www.vpnc.org中有通过该组织认证的SSL VPN厂商列表，在这儿可以查到SSL VPN厂商的相关产品，有助于用户了解真正的SSL VPN产品。

　　问：如何衡量SSL VPN产品的性能？

　　答：谈到SSL VPN产品的性能，首先要区分的是SSL Server和SSL VPN两者的概念，SSL Server相当于SSL VPN中的反向代理功能，二者的要求是不一样的。SSL Server面对的是业务系统，如电子商务网站、网上银行等等，它强调的是性能，目前国内可见的SSL Server产品性能可达20000TPS和400万同时在线用户数；而SSL VPN面向的是远程接入即管理系统，它强调的是易于使用和管理、安全性等等。一个SSL VPN用户的登录包括SSL握手、认证、授权、记录日志等过程，其中认证、授权、记录日志所耗费的时间远远高于SSL握手，不可能达到SSL Server那样高的性能，如果需要非常高的性能，要使用多台SSL VPN堆叠来实现。

　　Spirent Avalanche是一款优秀的基于Web应用的测试仪器， 比较适用于SSL Server的性能测试，对SSL VPN的性能测试不甚适用。举例来说，某厂商的设备集合了SSL Server 和SSL VPN的功能，在测试中SSL Server的指标显然会高于SSL VPN，不能凭此作出孰强孰弱的结论，更不能因此引起SSL Server和SSL VPN之间的混淆。利用Spirent Avalanche的测试结果证明自己的SSL VPN具有很高的性能，有失片面，因为测试的只是其中SSL Server的性能。

　　SSL VPN的性能测试，因为涉及建立VPN隧道，非常复杂，应该使用业界某些测试软件如LoadRunner 加上厂家自己的动态库来实现，在厂家自己的测试实验室来做。只用某种测试仪器来统一测试所有厂家的SSL VPN性能是值得探讨的问题，基于这种情况，目前更多的是要参考各个厂家自己提供的性能。相信有责任感的厂家提供的产品性能是可信的。

　　在SSL VPN应用中有争议、有探讨不是件坏事，“兼听则明，偏听则暗。”也许经过专家指点迷津，能帮助我们走出认识误区，并最终将实惠落实到用户身上。