如何使科学集中器与防火墙共处

科学作为虚拟专用同道大大提高了企业在网络连接上的成本与安全性，思科所生产的科学集中器通过远程接入来为用户提供服务。但是在配置科学集中器的时候，网络安全管理员需要考虑科学集中器如何才能跟防火墙和平共处。

由于科学集中器可以防止在网络不同的位置中。如可以跟防火墙并行防止，也可以防止防火墙的外围，也可以放在内部等等。虽然其位置没有限制，但是在部署的时候，网络管理员需要注意其与防火墙位置的不同，要求与功能也略有差异。网络设计人员需要注意这些差异，才能给科学集中器选择一个合适的位置让其安家。也只有如此，科学集中器才能够发挥其应有的作用。

位置一：把科学集中器放置在防火墙外面

其实，科学集中器也有部分防火墙的保护功能，所以把其放置在防火墙的外面可以提供额外的安全保障。因为通过科学集中器连接企业的内外网，可以在集中器的接入口使用相关的访问规则来提高企业网络的安全性。也就是说，科学集中器可以实现部分防火墙功能。当远程用户通过互联网接入到科学集中器时，这是一种非常行之有效的解决方案。因为若如此配置的话，本地站点并不需要外部因特网接入。

如果采用这种配置方式的话，网络管理员需要注意两点。

一是对于网络安全不是特别苛刻的企业，有时候甚至可以利用科学集中器来代替防火墙。因为在其接入口本身就可以配置相关的访问规则，来提到防火墙的部分功能，保护企业网络的安全。故企业如果有了科学集中器的话，还可以省去防火墙的投资。所以，这对部分企业来说，是一个不错的选择。

二是需要注意流量的问题。上面说到的这一点可以说是这么部署的好处。那么现在这个流量问题则是其不足之处了。如果按照上面这么部署的话，有一个很大的缺点，就是企业内外网络数据的交换都需要通过集中器来处理，因为此时集中器在企业内外商数据交换的主干通道上。故道企业内外数据交换比较频繁的话，则会给集中器性能带来比较大的压力。若企业真的准备这么部署的话，那网络管理员就需要根据企业的实际情况，选择合适的科学集中器。如果有比较频繁的数据交换，如视频会议、电子商务等等网络应用比较频繁的话，那最好能够选择配置高一点的科学集中器。

位置二：把科学集中器放置在防火墙的内部

网络管理员也可以把防火墙放置在防火墙的内部，即防火墙与企业边界路由器之间。当把集中器部署在防火墙内部的话，那么防火墙将是直接接触企业外网设备。也就是说，防火墙是保障企业内网安全的第一道防线。不过话说回来，虽然防火墙已经起到了保护企业内部网络的目的，但是，科学集中其仍然需要进行一些接入规则的配置，来提高科学网络的安全性。如要在接入规则上，对接入用户的访问权限进行控制。普通用户不能够修改科学集中器的配置等等。也就是说，关于科学接入的相关安全控制，仍然需要科学集中器来实现。这有利于科学接入的管理，有利于提高科学的安全性，为企业提供一个比较安全的远程网络访问环境。

另外，如果采用这种部署方式的话，由于科学集中器仍然处在企业内外网数据交互的唯一通道上。所以，企业内外网需要进行数据交换时，所有的数据都要通过科学集中器。当科学远程访问与企业内外网数据交换同时大量发生时，就将给科学集中器带来比较大的压力。这跟第一种部署方式的通病是一样的。

再者，这种部还是需要注意一点。由于防火墙放置在科学集中器的前面。这也就是说，如果用户需要进行远程访问的话，那么这个远程连接的请求必须要先通过防火墙。所以为了远程用户能够顺利连接到科学集中器中，必须要在防火墙上进行一些额外的配置，允许科学连接请求顺利通过防火墙。如远程访问者有固定的IP地址，则在防火墙配置中要允许这个IP地址的通信流量通过。这种情况往往出现在公司不同局域网之间的互联。如远程办事处等等，他们往往有固定的IP地址。但是，有些情况也可能没有固定的IP地址。如一些个人用户，他们出差时不知道在哪里。为此，防火墙就要允许所有源地址的IKE等数据流通过防火墙。否则的话，远程用户就有可能无法连接到科学集中器上，因为其连接请求直接被防火墙所阻挡。故如果网络管理员要采用这种布置的话，就必须对防火墙进行额外的配置。同时，为了企业内部网络的安全，如果企业主要利用科学来进行不同局域网之间的连接，那么最好在防火墙配置的时候，进行IP地址的限制。不要因为科学虚拟专用网的应用而降低了企业内部网络的安全性。

【编辑推荐】