Расположение VPN-серверов
В большинстве случаев наиболее приемлемым является совмещение конечной точки VPN и firewall’а. Как правило, firewall использует IPSec для соединения с удаленными системами и передает незашифрованный трафик firewall’а к внутренней сети. При размещении конечной точки VPN позади firewall’а будет требоваться, чтобы VPN-трафик передавался вовне через firewall в зашифрованном виде; при этом firewall не будет иметь возможность анализировать входящий или исходящий трафик, выполнять управление доступом, создавать логи, сканировать на вирусы и т.п. На рис. 2.4 показана VPN, которая заканчивается firewall’ом, обеспечивая логическое расширение внутренней защищенной сети.
Однако такая топология имеет и свои негативные стороны. Одним из таких недостатков является высокая стоимость. Также, так как VPN- трафик должен быть зашифрован, то это существенно уменьшает производительность шлюза. Выполнение шифрования в аппаратуре существенно увеличивает производительность. Для окружений DMZ дополнительная функциональность, связанная с VPN, может потребовать дополнительных ресурсов, как процессорных, так и памяти.
