Cisco IPSec VPN 设计总结

1.Site - to - Site、2.Remote Access、3.Site - to - Site＋Remote Access IPSec VPN 设计指南：
　　1. Site - to - Site IPSec VPN 设计指南：
　　
　　1.1 全网状设计：
　　
　　所有设备均支持全网状设计，但全网状设计其可扩展性不好，配置复杂，不推荐超过5~10个Site。
　　
　　1.2 Hub and Spoke 设计指南：
　　
　　1.2.1 普通设计要求：
　　
　　IOS 路由器：可以支持Hub和Spoke之间，以及Spoke和Spoke之间通过Hub的通讯。
　　
　　PIX：
　　1) 若Hub PIX只用一个物理端口与所有Spoke相连，则只能实现各个Spoke与Hub的通讯，Spoke之间的通讯不能实现；
　　2) 若要实现Spoke之间的通讯，有两个办法：一）在所有PIX上配置到所有其它PIX的ACL，也就是配置成全网状模式，但这样扩展性不好（不推荐超过5个）；二）在Hub PIX上为每个Spoke PIX配置一个独立的物理端口，这样可扩展性仍然不好。
　　
　　1.2.2 高可用性设计要求：
　　
　　IOS路由器：可以利用 i) IKE keep-alive 、DPD；ii)IPSec+GRE+动态路由协议；iii)HSRP端口运行IPSec 来实现；首选IPSec+GRE＋动态路由协议的方法（若路由器到路由器IPSec方式）；若远端设备不支持任何IKE keep－alive或DPD，则可以选用iii)的方法；否则采用i)的方法。
　　
　　PIX：只能采用IKE keep-alive 或 DPD的方法；若远端设备不支持，或不兼容高可用特性，则无法实现（只能等待IPSec SA的生存时间到后，才可能切换，不推荐修改缺省的时间值）。
　　
　　1.2.3 增值设计考虑：
　　
　　1)NAT / PAT: 若在IPSec 建立通道的途中，在SP端有1:1的NAT，则IPSec采用ESP加密和Tunnel封装模式下，可以成功建立IPSec通道；但若存在PAT，则不能。
　　IOS路由器和PIX均遵循此规则，但VPN3000可以采用IPSec through NAT的方式成功建立通道；IOS可能会在将来支持此功能。
　　
　　2)动态路由协议、多媒体应用支持：必须支持组播，要求有GRE或L2TP＋IPSec，只有IOS路由器支持，PIX不支持。
　　
　　3)QoS: 若需运行Voice、Video的IP包，需要足够的QoS，包括在Crypto Engine上的QoS支持，IOS路由器将支持Crypto Engine的LLQ，PIX、VPN3000不支持。V3PN的实现也依赖于IOS设备。
　　
　　2. Remote Access IPSec VPN 设计指南：
　　
　　最佳的远程接入IPSec VPN设备是VPN3000，支持IPSec through NAT，Crypto Engine支持多线程，可以同时提供大量的IKE SA建立请求；IOS 和PIX的Crypto Engine均为单线程，IOS会开发NBI（Non Blocking IKE），预计可以每秒支持45个IKE SA的建立。
　　
　　若某些场合VPN3000不可用，可以推荐在PIX上实现Remote Access VPN接入，因这种场合下，用户对QoS的需求不高，故可以采用PIX。
　　
　　
　　3. Site-to-Site ＋ Remote Access IPSec VPN设计指南：
　　
　　目前阶段（在思科V3PN第五阶段实现之前）：
　　
　　1)最佳的设计方式是：用IOS实现Site-to-Site，IPSec+GRE，支持所有的特性；用VPN3000实现Remote Access，支持IPSec through NAT，提供远程用户在任何情况下的接入。
　　
　　2)若VPN3000不可用：用IOS实现Site-to-Site，IPSec+GRE，支持所有的特性；用PIX实现Remote Access，配合Easy VPN提供远程用户的简单配置与方便接入。