Cisco IOS:简化分支路由器管理

　　对于中小企业来说，采用VPN方式可以建立专用而安全的内部网络，但以往建立和管理VPN时所面临的繁杂工作常常令人望而却步。 　　对管理和支持移动及远程办公的网管员来说，企业网中分支路由器的管理一般会占据工作量中很大的一部分，而VPN正是基于分支路由器来构建企业网络的。为此，Cisco IOS软件新增加了两个特性，即Easy VPN Server和Easy VPN Remote。这两种特性简化了VPN的配置和管理，大大简化了企业间VPN的建立和维护。 　　Easy VPN Remote简化了与VPN配置有关的许多繁琐工作，大多数VPN参数的定义在企业总部就可以完成，之后再下传到本地路由器。Easy VPN Server是一个VPN软件服务程序，利用作为VPN客户端的其它Cisco产品，如VPN 3002硬件客户端程序或PIX 501防火墙，允许IOS路由器为远程和移动工作人员发出的VPN会话提供终端服务。这两种新特性尤其使中小型企业环境下VPN连接的配置和管理变得更简单，使中小企业与大型企业的应用变得一样简单，使中小型企业的员工与大型企业的员工一样能应付自如。随着移动工作人数的增长，对于承担着为移动工作人员提供安全和远程网络接入任务的中小型企业IT人员来说，这无疑是一个好消息。 　　Easy VPN Remote特性可在多种IOS路由器之上实施，包括Cisco 800、1700和uBR900系列等。1700系列接入路由器特别适用于中小型企业及其分支的需要，可提供VPN、安全防火墙、商用DSL以及综合了数据、语音、视频和传真的多种服务，这种电子商务平台的灵活性和易管理性，已使它成为世界上应用最为广泛的路由器之一。基于Easy VPN Remote特性，网络管理员拥有了解决远程接入、安全维护和降低费用等问题的工具，可以扩展1700作为VPN远程终端的能力，使公司总部VPN管道的维护过程更加合理化。基于Cisco 1721、1751和1760模块化路由器平台的5种新的VPN路由器也已推出。这些VPN安全设施包括基本路由器、用于加速性能的VPN加速模块、存储器升级以及IOS软件，它们不仅提供了必需的VPN性能，而且还提供了能将Cisco 1700系列路由器转变成稳定防火墙的IOS防火墙。 　　提供终端服务 　　对移动和远程工作人员来说，拥有与Internet高性能的连接还远远不够。要实现真正的高效性，这些用户必须能完全而安全地访问总公司的网络资源，这就意味着需要利用高级认证和数据加密能力来建立VPN连接。随着Easy VPN Server特性的发布，现在中小型企业及其分支的远程工作人员已经可以建立一个VPN，通过公共Internet来直接访问总公司资源，这使他们所需的高速网络资源的费用仅仅是安全连接费用的一小部分。在Easy VPN Server特性出现之前，为远程工作人员提供与总公司的安全接入通常必须通过PPTP协议来完成。虽然这种方法允许用户以终端的方式建立一个与总公司的安全连接，但PPTP管道并没有提供基于用户的认证，这将大大降低连接的整体安全性。建立安全连接是一种可供选择的替代方法，但是这种方法也非常有限，因为它们不支持通过网络的所有平台。除了Cisco 800、1700和uBR900系列路由器之外，作为Cisco VPN架构的产品，Easy VPN Server支持并维持更大范围平台上VPN的连通性，其中包括PIX防火墙和它们支持的VPN 客户端VPN 3000系列集线器。 　　当远程工作人员访问公司网络时，他们必须在公共网上建立一个Internet连接，然后利用VPN软件客户端向总公司发出一个VPN会话，其中VPN软件客户端是Windows和其它操作系统都支持的一种应用。企业分支IOS路由器直接作为VPN管道的远程终端，意味着员工对公司网络资源的完全访问。利用Easy VPN Remote特性，企业分支路由器也可直接作为SOHO用户初始化的VPN管道的远程终端。 　　减少分支配置工作 　　Cisco VPN架构大大减少了企业分支和中心站点VPN参数配置及协调过程中的许多繁琐工作。一般来说，中心站点路由器必须建立安全策略，决定哪些VPN参数（如加密算法和认证算法）用于与远程设备进行通信。然后，这些安全策略被送到具有最小配置的远程设备。 　　Easy VPN Remote特性允许VPN 3000系列集线器或其它具有Easy VPN Server特性的Cisco产品来自动定义大多数企业分支路由器的VPN参数。在这种方案中，VPN 3000系列集线器作为一个IPSec服务器，而企业分支的路由器则作为IPSec的客户端。 　　VPN参数的自动配置包括：内部IP地址、内部子网掩码、内部DHCP服务器地址、内部WINS服务器地址、拆分管道允许标识。通过Easy VPN Remote特性对企业分支的1700系列路由器进行配置之后，VPN的配置就得到了简化，它与企业中心3000系列集线器相连接。Easy VPN Remote特性初始化了VPN与Easy VPN Server的连接，这促进了1700系列路由器IPSec参数和策略的设置，也产生了相应的VPN管道连接。由于与建立VPN连接有关的许多详细任务都已自动化，因此利用Easy VPN Remote特性，大大简化了建立连接的过程。 　　为了满足不同用户的建网需要，可通过两种不同方式来配置Easy VPN Remote特性：客户端模式，这是默认配置，仅允许客户端设备访问中心站点资源（VPN 3000 集线器或其它VPN服务器都位于中心站点），但中心站点不能访问客户端的网络资源；网络扩展模式，中心站点和客户端用户可互相访问各自的网络资源。 　　　 　　图1 有了Easy VPN Server特性，利用VPN软件客户端程序，Cisco 1700系列等路由器可以为远程和移动用户发出的VPN会话提供终端服务，或者利用Easy VPN Remote特性为SOHO的VPN用户实现终端会话的初始化。 　　 　　图2 利用Easy VPN Remote特性，Cisco 1700建立了与企业中心VPN 3000 集线器、IOS路由器或PIX防火墙的连接。 可通过上面的任一设备用“PUSH”方式将配置参数送到Cisco 1700系列路由器，连接到路由器的PC机和主机可安全地访问企业中心，使整个企业网络轻松实现无缝扩展。