远程访问办公室内部网络资源是各个公司的IT部门最头疼的一件事情，而且这样的头疼由来已久了。

每天都有成千上万的网络管理员会收到大量要求解决他们网络VPN 安装设置问题的用户电话。被搞得焦头烂额的用户在他们的机器上执行了一些操作，使机器突然之间不能与他们的IPSec VPN连接了。是因为他们外出所在酒店或旅馆的NAT 或防火墙设置问题吗？这些设置总是千变万化，公司管理员们真的已经厌倦了做这些费力不讨好的事。

对于改变防火墙和内部结构设置，为了与外部人员区分开，公司网络管理员要花费大量时间和精力给公司内部员工进行VPN 客户端配置工作。如何让外出公干的销售人员成功实现安全远程内部访问着实让网管人员费了些心思，如何让他们使用自己的电脑实现在家时查阅email 或访问公司内部重要数据呢？是否管理员要发给他们一张CD 并指导他们如何进行安装设置呢？直到现在，许多公司的网管人员还在被这个问题纠缠着，最近就有一个网络管理员这样说：“要在员工家里的计算机上安装VPN 客户端必须做的工作实在是太多了，为此我们不得不再发给员工另外一台配置好的电脑，让它专门在家里使用。这样做的花费比指导员工自行安装来得要少些。”

公司企业需要易于使用的安全远程访问连接，看起来IPSec VPN 实在是太麻烦了！他们不能轻而一举地给客户或是合作伙伴配置让他们安全访问内部数据。我们的最终目的就是在简单易用的前提下提供高性能的安全远程数据访问能力。公司该如何应对这种情况呢？答案到底在哪里？

SSL VPN 之RAP“遥访门”

一、 SSL VPN的技术演变

演化过程

随着应用程序从C/S 结构向Web 的迁移，企业必须面对一个新的挑战，就是如何在不影响最终用户使用的前提下实现在任何地方灵活访问这些应用程序。在最近20 年间，用户和管理层听到因为安全原因不能够在公司以外访问内部应用程序的声音不绝于耳。在70 年代，人们对远程访问概念几乎等同于从远端的办公地点访问应用程序，这需要设置非常昂贵的WAN 网并租用连接线路。

到了80 年代，一小部分用户可以使用调制解调器直接拨号到modem banks 或他们自己的PC 上，但是使用费用相当高昂只能有非常有限的小部分人使用。而且在那时候，在家使用个人电脑才刚刚成为主流，远程访问需求还不是很大。随着90 年代的来临， 在家用PC 盛行的同时，移动电脑开始显现，在家办公也开始兴起。公司管理者和销售员们开始在外出出差的时候携带他们的笔记本电脑，他们需要实时访问公司内部信息，设立IPSec VPN 可以保护用户远程访问。它可以提供足够的安全性，但是问题是安装和维护相当麻烦。任何在PC 上的改变对VPN 而言可能都是一场灾难，最终用户不得不硬着头皮忍受这些变化，因为他们别无选择。即使是现在，你也很难找到一个用户，他的VPN 一点儿问题也没有。从管理员的角度来讲，使用IPSec VPN 不仅仅意味着要对客

户端进行安装和调试，而且还需要调整整个网络的结构。在数据包进行传输时NAT 不能完全工作正常，有时候会出现连接断开的现象，改变防火墙设置可以解决这一问题但是必须要做大量的管理工作。如果IT 管理部门可以完全控制从后端到客户的网络结构，其管理复杂性可以忍受；当IT 管理部门不能完全控制时，管理复杂性就要成倍增加。这种情况同样发生在本地NAT 和防火墙对合作伙伴，在家里或在酒店。

如今， 公司开始把眼光放在他们是否选择了合适的安全远程访问系统上。使用IPSec VPN 和租用WAN 线路对于不经常更改网络结构的用户来说是非常好的选择。如果情况并非如此，用户就需要另做选择。现在，已经有公司开始考虑使用架构在因特网上的SSL 协议，在不破坏已有网络布局的前提下进行安全远程访问。SSL 是通过因特网进行加密传输保护一种常用方法，许多公司对他们的内部网和外部网执行了SSL 设置，通过SSL VPN 进行访问控制。