Cisco设备网络安全系列-3：远程访问虚拟专用网、站点间虚拟专用网与Cisco SD-WAN安全

📑 知识精讲

本课程讲解远程访问虚拟专用网、站点间虚拟专用网、IPSec框架的核心组件与架构，介绍了思科SD-WAN安全架构，梳理了不同虚拟专用网的适用场景与安全特性。

远程访问虚拟专用网基础

• 应用背景：远程办公普及后，企业需要为分布在任意位置的员工提供安全的企业内网接入方式，远程访问虚拟专用网可以让远程用户如同物理在办公室内一样安全访问企业内部资源，降低数据泄露风险。

  • 核心目标：为远程员工提供安全、加密、已认证的连接，在保障访问流畅性的同时降低网络安全风险。

• 🚩核心统计数据：约70%的移动工作者明年将使用个人设备办公；平均每位工作者拥有3台设备，全球总计约150亿台联网设备；75%的移动设备在过去12个月曾遭遇恶意攻击。

• 🚩核心目的：

  • 允许远程用户安全访问私有网络；

  • 从任意位置提供对企业资源的安全访问。

Cisco Secure Client模块架构

• 核心定位：Cisco Secure Client是模块化的多平台终端安全软件，不仅仅是虚拟专用网客户端，可提供多种终端安全能力，支持Windows、Android、iOS、Chrome等多平台。

• 🚩重点：核心模块功能：

  1. AnyConnect虚拟专用网：提供虚拟专用网自动连接/重连功能，支持DTLS、IPsec IKEv2，可对移动设备强制虚拟专用网接入。

  2. AnyConnect虚拟专用网管理隧道：开机后自动建立隧道，支持对离线终端进行补丁管理。

  3. 零信任访问模块：通过隐藏应用减少攻击面，提升网络访问可控性。

  4. Cisco Secure Endpoint：统一原AMP for Endpoints功能，提供终端恶意防护，支持云管理。

  5. 云管理模块：支持云端部署Cisco Secure Client，可轻量化分发客户端。

  6. Network Visibility Module：持续收集终端与用户行为流数据。

  7. Umbrella Roaming Security模块：未激活虚拟专用网时提供DNS层安全防护，整合Cisco Umbrella能力。

  8. ISE Posture模块：执行终端侧合规评估，将结果返回头端判定接入权限。

  9. Network Access Manager：仅Windows可用，保障二层网络安全接入。

  10. Secure Firewall Posture：接入前对终端进行安全合规检测，不支持移动设备。

• **随堂测验考点：**哪一个模块负责持续收集终端和用户行为、收集内外网流数据？正确答案：Network Visibility module。

SSL虚拟专用网协议原理

• 🚩重点：常见误区纠正 ：SSL 虚拟专用网是通用名称，实际现代实现不使用过时的SSL，而是使用TLS（传输层安全）和DTLS（数据报传输层安全）。

  • SSL发展历史：SSL 2.0（1995）、SSL 3.0（1996）均已废弃；之后演进为TLS 1.0（1999）、TLS 1.1（2006）、TLS 1.2（2008）、TLS 1.3（2018）。

  • 协议特性：DTLS基于UDP传输，适合实时音视频这类 bulk数据传输，性能优于TCP承载的TLS；若DTLS协商失败，会自动回退到TLS。

• 🚩端口要求：客户端需要同时支持TCP和UDP的443端口才能完整使用SSL虚拟专用网功能。

IPsec 虚拟专用网支持

• 协议对比：

  • SSL（实际DTLS/TLS）虚拟专用网：配置更简单，性能更好，更容易穿越代理和防火墙，是企业首选；SSL 虚拟专用网隧道可通过大部分远程站点的防火墙/代理，适配性更好。

  • IPsec 虚拟专用网：部分企业出于合规要求强制使用，Cisco Secure Client仅支持IKEv2版本，不支持旧版IKEv1，使用IKEv2协商隧道，使用ESP封装流量。

• 随堂测验考点：远程访问虚拟专用网常用哪两种安全协议？正确答案：IPsec、SSL/TLS。

远程访问VPN证书要求

• **认证流程------**Cisco Secure Client连接虚拟专用网头端的流程和浏览器通过HTTPS连接网站类似：

  1. 虚拟专用网头端向客户端出示由可信CA签名的数字证书，客户端验证证书有效性。

  2. 客户端验证通过后，提交自身身份凭证完成认证。

• 可选方案：自签名证书不需要CA，初始配置和维护成本低，仅适用于实验环境和概念验证场景。

站点到站点虚拟专用网

• 核心定位 ：用于企业多个分支机构之间通过互联网建立安全互联，核心设备是虚拟专用网网关。

• 虚拟专用网关角色：虚拟专用网网关可以是路由器、防火墙、服务器，具备互联网互联、数据加密转发能力，负责对端网关认证、建立虚拟专用网隧道、加密跨公网的站点间流量。

• 工作流程：分支机构客户端访问总部资源时不需要安装额外虚拟专用网客户端，由本地虚拟专用网网关对原始IP报文加密封装后，通过互联网发送到总部虚拟专用网网关，总部网关解封装解密后转发给内部服务器，整个过程使用IPsec加密保护流量。

• 🚩重点：三种拓扑类型：

  1. 点对点（Point-to-Point）：两个站点直接建立虚拟专用网隧道，常用于企业和合作伙伴的资源共享，并发隧道数量受虚拟专用网网关性能限制。

  2. 星型（Hub-Spoke）：一个中心枢纽（总部）连接所有分支节点，分支之间互访需要通过中心枢纽中转，适合大型企业分支访问总部资源的场景。

  3. 全网状（Full Mesh）：所有站点两两互联，适合分支机构需要频繁互访的场景（如跨分支IP电话），不占用总部带宽，性能最优，但部署复杂度最高。

IPsec框架核心组件

• 框架定位：IPsec是在IP层提供安全服务的加密框架，用于站点间虚拟专用网的流量保护，由三个协议组成，其中认证头AH已过时，思科安全防火墙不支持，常用的为IKE和ESP。

  IKE（互联网密钥交换） ：负责虚拟专用网网关互相认证、协商安全策略、动态生成共享会话密钥。IKE分为v1和v2两个版本，二者不兼容，建立隧道时两端必须使用相同版本。

  • 🚩IKE策略必须匹配的五个参数：认证方法、加密方法、HMAC（哈希消息认证码）、DH密钥交换组、生命周期。

  • ESP（封装安全载荷） ：负责封装加密流量，分为两种模式：

    1. 传输模式：仅封装传输层数据，一般不用于站点间虚拟专用网。

    2. 🚩隧道模式：封装保护整个原始IP报文，推荐使用，可让分支使用私有IP直接和总部通信，不需要NAT，新IP报文头使用虚拟专用网网关的公网地址。

  • 加密算法：使用对称加密算法加密流量，常用算法包括AES、DES、3DES等，密钥越长安全性越高，但会占用更多性能，降低转发速率。

Cisco SD-WAN安全架构

• 传统架构痛点：传统架构将所有分支流量回传到数据中心统一处理，成本高、延迟高、存在瓶颈，且多设备管理复杂，难以适配移动办公和BYOD趋势。

• 集成安全方案：将所有安全能力集成到思科SD-WAN边缘路由器，不需要额外购买多个安全设备，降低成本和复杂度，可提供的能力包括：应用感知状态防火墙、入侵检测/防御、URL过滤、反恶意软件、DNS层安全、TLS/SSL解密。

• 云安全方案（Cisco Umbrella）：提供SASE（安全访问服务边缘）架构的云原生安全，能力包括：

  1. DNS/网页层安全，拦截恶意域名；

  2. SWG安全网关，提供内容分类过滤；

  3. 云交付防火墙；

  4. CASB（云访问安全代理），管控SaaS应用使用风险；

  5. 依托思科Talos情报，提前发现恶意资源。

📖 课堂实录

**远程访问虚拟专用网学习目标：**本课程讲解实现远程访问虚拟专用网所需的核心组件，掌握这些组件可以更高效地部署远程访问虚拟专用网。远程办公普及后，分布式接入模式下保障企业网络安全、合规接入存在诸多挑战，仅靠杀毒软件和防火墙策略不足以保障安全，还需要规划员工接入企业数据的安全方式。

**远程访问虚拟专用网核心定义与加密协议：**通过互联网实现远程用户安全接入企业网络，需要使用虚拟专用网技术，在互联网这类不安全的网络上，虚拟专用网使用SSL（安全套接层）或IPsec（互联网协议安全）对数据进行加密保护。

**远程访问虚拟专用网基础组件概述：**基础核心组件为------安装在终端的Cisco Secure Client、作为虚拟专用网网关的安全防火墙；根据SSL或IPsec部署需求，还需要额外组件：证书颁发机构、身份证书、用户数据库（如Active Directory）、虚拟专用网连接预留IP地址池。

**Cisco Secure Client核心特性：**Cisco Secure Client是支持多平台的模块化应用，不止是虚拟专用网客户端，还提供多个不同安全能力的模块，例如配合Cisco Identity Services Engine或安全防火墙对终端进行安全评估，或配合Cisco Umbrella提供DNS查询安全防护。本课程聚焦其建立虚拟专用网隧道的核心能力。

**Cisco Secure Client支持的虚拟专用网传输类型：**支持IPsec和SSL两种传输类型------基于SSL的隧道复杂度更低、性能更好，通常更受青睐；需要注意的是，SSL虚拟专用网只是通用名称，实际建立隧道使用的是TLS和DTLS。部分企业出于合规要求会选择IPsec，IPsec隧道建立和ESP封装通过IKEv2协议协商。

**虚拟专用网认证与证书机制：**无论使用哪种隧道，客户端和认证服务器/虚拟专用网网关之间都需要认证流程，需要私钥或数字证书防止身份窃取；虚拟专用网网关需要向客户端出示证书完成自身认证，最简单的实现方式是由可信CA（公开或内部CA）对网关证书进行数字签名，客户端在提交凭证前会验证证书签名，验证通过后才会提交身份凭证完成连接。另一种方案是自签名证书，该方案不需要CA参与，初始配置和维护没有额外管理开销，仅适用于实验环境和概念验证。

**用户身份验证流程：**客户端向防火墙提交凭证后，防火墙开始验证凭证；防火墙需要配置RADIUS或LDAP服务器对接用户身份凭证，小型部署中也可以直接使用防火墙的本地数据库做认证。凭证验证通过后，安全防火墙会为客户端分配内网IP地址，虚拟专用网隧道正式建立。

**站点到站点虚拟专用网：**介绍站点到站点虚拟专用网的学习目标，企业存在多站点办公场景时，需要让所有位置的用户都能安全访问企业资源，解决方案是在思科安全防火墙上部署站点到站点虚拟专用网。

**虚拟专用网网关核心角色：**站点到站点虚拟专用网互联的核心是虚拟专用网网关，虚拟专用网网关可以是路由器、服务器、防火墙，具备互联网互联、数据加密和传输能力；思科安全防火墙完整支持站点到站点虚拟专用网的所有能力，可保障受保护网络之间的通信安全。虚拟专用网网关需要对对等网关完成认证，建立站点到站点虚拟专用网隧道，在互联网这类不可信网络中加密站点之间的流量。

**站点到站点虚拟专用网工作流程：**例如分支机构用户需要访问总部企业资源------分支机构使用路由器作为虚拟专用网网关，总部使用安全防火墙作为虚拟专用网网关；远程客户端访问总部服务器不需要安装虚拟专用网客户端，由分支机构虚拟专用网网关对数据包加密封装，通过互联网发送到防火墙的公网IP；防火墙收到封装包后，解封装并解密，将原始数据包转发给目标服务器，整个封装过程使用IPsec加密，流量在公网传输时受到保护，解密后才会以明文形式发送给目标。

站点到站点虚拟专用网拓扑类型：

1. 点对点虚拟专用网连接：两个站点通过安全虚拟专用网路径直接互联，常用于企业和合作伙伴共享特定资源，只要并发隧道数量不超过虚拟专用网网关性能限制，就可以配置多个点对点连接。

2. 星型（Hub-Spoke）拓扑：一个中心站点作为Hub，所有其他分支（Spoke）仅和中心站点连接，适合大型企业分支访问总部资源的场景；如果分支需要访问其他分支的资源，可以配置Hub作为中转，实现分支之间通过Hub通信。

3. 全网状拓扑：所有虚拟专用网网关两两互联，适合远程办公点需要同时和总部、其他远程站点通信的场景，典型例子是跨分支IP电话；分支之间通信直接走独立路径，不会占用总部带宽，相比星型拓扑性能更好。

**IPsec框架核心定位：**两个虚拟专用网网关建立站点到站点虚拟专用网隧道时，使用IPsec框架在IP层提供安全服务；思科安全防火墙通过IPsec选择安全协议、确定算法、建立虚拟专用网隧道，使用加密密钥保护隧道内的流量，IPsec整合了三个协议形成完整安全框架：IKE（互联网密钥交换）、AH（认证头）、ESP（封装安全载荷）。AH已经过时，不符合当前安全标准，思科安全防火墙不支持，因此本部分只讲解IKE和ESP。

**IKE协议核心功能：**以分支和总部建立站点到站点虚拟专用网为例，两个虚拟专用网网关需要互相认证，协商生成共享会话密钥，供IPsec封装和加密算法使用，将明文流量转换为密文。IKE是建立站点到站点隧道使用的第一个协议，包含ISAKMP等子协议，负责定义对等网关认证流程、协商安全策略、动态建立对等网关之间的安全联盟。配置站点到站点虚拟专用网策略时，对等网关需要协商匹配IKE策略，包含五个参数------认证方法、加密方法、HMAC（哈希消息认证码）、DH密钥交换组、生命周期；防火墙可以配置多个IKE策略，但两端必须协商出一个同时匹配的策略才能建立连接。IKE存在v1和v2两个版本，二者不兼容，建立隧道时两端必须使用相同版本；IKE是站点到站点虚拟专用网的基础，负责对等网关认证，安全交换双方加密流量使用的密钥。

**ESP协议核心功能：**ESP负责将加密流量封装到新的IP数据包中，ESP有两种工作模式：传输模式和隧道模式；🚩推荐始终使用隧道模式获得最高安全性，隧道模式会封装保护整个IP数据包，封装原始IP头后，分支内网主机可以直接使用私有IP和总部服务器通信，不需要NAT，新IP头使用虚拟专用网网关的公网地址。

**IPsec加密算法：**防火墙使用对称加密密钥加解密网络流量，可选择多种加密算法，例如AES、DES、3DES等；密钥越长安全性越高，但会消耗更多性能，降低转发速率。

**Cisco SD-WAN安全概述：**Cisco SDN安全的应用场景------如果需要保障互联网流量安全、分支到数据中心/总部的流量安全、让远程用户通过远程访问虚拟专用网访问核心应用，都需要Cisco SDN安全。

**传统网络架构痛点：**传统架构中，应用都托管在数据中心，分支通过MPLS这类私有专线传输流量，虽然安全但成本很高；如果替换为成本更低的互联网传输，就需要在每个分支部署额外的安全设备，反而抵消了成本优势，架构也更复杂；同时终端设备多样性增加，安全工程师难以管控远程用户安装的软件，难以保证设备符合企业安全策略，即使配置虚拟专用网，所有流量都回传到数据中心也会造成瓶颈，降低应用体验。

**Cisco SD-WAN安全解决方案：**Cisco SD-WAN安全可以解决上述问题，架构支持集中化和本地部署两种模式，核心安全能力包括：应用感知状态防火墙、入侵检测/防御系统、Cisco URL过滤、反恶意软件（带沙箱检测未知文件）、DNS层安全、TLS/SSL解密。不需要购买多个独立的物理/虚拟设备，所有能力都可以集成到Cisco SD-WAN边缘路由器中，由一台路由器同时完成路由和安全能力，这就是思科SD-WAN的集成安全方案。如果没有CX路由器，需要互联网接入+安全能力，可以使用Cisco Umbrella云安全方案，Cisco Umbrella是按需提供的统一云原生安全解决方案，可保护终端、远程用户和分布式站点，核心能力包括：

• DNS和网页层安全，拦截和恶意软件关联的域名；

• SWG（安全网页网关），按分类/URL过滤内容，拦截违反策略和合规要求的访问；

• 云交付防火墙；

• CASB（云访问安全代理），发现企业环境中使用的云应用，拦截风险应用和活动；

• 结合Cisco Talos情报分析DNS流量，在攻击发生前发现恶意域名、IP和URL。

• 上述能力共同构成了SASE（安全访问服务边缘）架构，可适配不同的部署需求------回传到数据中心的集中化方案、边缘集成方案、云交付安全方案，都可以通过Cisco SD-WAN Security实现。

🖍️ 重点速览

🚩 考点重点

• 核心组件功能：要求能准确匹配每个组件对应的功能，会以选择题形式考察。

• SSL 虚拟专用网协议误区：SSL 虚拟专用网实际使用TLS/DTLS，原生SSL已废弃，这是高频考点。

• 站点到站点虚拟专用网拓扑：要求能区分三种拓扑的适用场景，为高频考点。

• IKE策略参数：需要记住IKE策略必须匹配的五个参数，为核心考点。

• ESP工作模式：站点到站点虚拟专用网推荐使用隧道模式，为常考知识点。

• Cisco Secure Client模块：要求能对应模块和功能，随堂测验已考察Network Visibility Module的功能，为核心考点。

💡 核心概念

• 远程访问虚拟专用网：为远程员工提供安全加密的企业内网接入，让远程用户如同物理在办公室一样访问内部资源的虚拟专用网技术。

• Cisco Secure Client：思科推出的模块化多平台终端安全软件，除虚拟专用网客户端外还提供多种终端安全能力。

• 站点到站点虚拟专用网：通过公网连接企业多个分支机构的虚拟专用网技术，不需要终端安装客户端，由虚拟专用网网关完成加密封装。

• IPsec：在IP层提供安全服务的加密框架，用于虚拟专用网流量保护，核心组件为IKE和ESP。

• SASE（安全访问服务边缘）：将安全能力交付到云端的新型网络安全架构，由Cisco Umbrella提供云原生安全能力。

• TLS/DTLS：现代SSL 虚拟专用网实际使用的安全协议，TLS基于TCP，DTLS基于UDP，适合实时流量传输。

✨ 课堂金句

• "SSL Virtual Private Network is just a name, while actually Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS) are the ones used in establishing tunnels."

• "An encryption protocol with a longer key provides higher security, but lower performance."

🎯 课后总结

🔍 课程概述

• 核心目标 ：设计、实施和管理虚拟专用网与隧道解决方案，解决远程办公、跨地域站点数据传输慢、云应用性能瓶颈等问题，确保网络安全、可靠和优化。

• 关键技能：

  • 部署远程访问虚拟专用网保障远程workforce安全接入；

  • 应用IPSec加密 保护敏感数据，利用MPLS实现高效流量工程；

  • 识别虚拟专用网拓扑、安全协议及合规最佳实践；

  • 掌握SD-WAN与云隧道基础，提升应用性能与网络敏捷性。

🌐 远程访问虚拟专用网

• 定义：允许远程用户（如居家、酒店、公共Wi-Fi环境）通过加密隧道安全访问企业内网，逻辑上等同于物理接入办公网络。

• 核心价值：

  • 安全保障：加密传输、身份认证、端点合规性检查；

  • 灵活接入：支持多设备（PC/移动）、多地点办公；

  • 业务连续性：疫情等场景下维持远程工作能力（如金融分析师Sarah通过Cisco Secure Client安全访问内部数据库）。

• 关键挑战：

  • 移动办公趋势：约70%移动工作者使用个人设备，人均15B设备中3台/人；

  • 安全威胁：75%移动设备近12个月遭遇恶意软件攻击；

  • BYOD与泛在办公（办公室/居家/机场等）增加访问控制复杂度。

🛠️ RAVPN组件与技术

组件	功能描述
封装协议	采用SSL/TLS （实际使用TLS 1.2/1.3或DTLS）或IPSec（IKEv2+ESP） 加密数据包
虚拟专用网客户端	安装Cisco Secure Client的终端设备，建立与企业网关的安全隧道
虚拟专用网头端（Headend）	企业侧防火墙/集中器（如Cisco Secure Firewall Threat Defense），终止虚拟专用网隧道
证书机构（CA）	第三方或企业控制的CA，验证头端设备与客户端证书有效性
认证服务器	通过RADIUS/Active Directory/LDAP验证用户身份与设备凭证

• 隧道类型：

  • Full-tunnel：客户端分配企业私有IP，所有流量经隧道传输；

  • Per-App 虚拟专用网：仅特定应用流量通过隧道（支持iOS/Android/Samsung Knox）。

📱 Cisco Secure Client功能

• 模块化安全组件：

  • AnyConnect 虚拟专用网：支持TLS/DTLS/IPSec，智能选择最优接入点与协议；

  • 零信任访问模块：隐藏应用、缩小攻击面、增强网络可见性；

  • 端点安全模块：集成反恶意软件、阻止受感染文件运行；

  • 网络可见性模块（NVM）：持续收集端点流量数据与上下文信息（用户/应用/位置）；

  • Umbrella漫游安全：DNS层防护、内容过滤、Web安全网关（SWG）。

• 核心优势：

  • 跨平台支持（Windows/macOS/iOS/Android/ChromeOS）；

  • 端点状态检查（OS版本、杀毒签名更新）；

  • 管理隧道：设备开机即建立连接，支持远程补丁管理。

🔒 加密协议对比

• SSL/TLS 虚拟专用网：

  • 实际使用TLS 1.2/1.3 （TCP）或DTLS（UDP，低延迟适合实时音视频）；

  • 优势：穿透防火墙/代理能力强，部署简单。

• IPSec 虚拟专用网：

  • 使用IKEv2 协商隧道，ESP封装流量；

  • 优势：合规性要求场景下的标准选择，Cisco Secure Client仅支持IKEv2；

• 注意：SSL协议已过时（SSL 2.0/3.0分别于2011/2015年废弃），现代实现均基于TLS。

❓ 核心问题与答案

1. 远程访问虚拟专用网的两大关键用途：

   • 允许远程用户安全访问私有网络；

   • 从任何位置提供企业资源的安全接入。

2. 远程访问虚拟专用网的主要加密协议：IPSec、SSL/TLS（含DTLS）。

3. 监控端点与用户行为的Cisco模块：网络可见性模块（NVM）。