采用互联网连接的分支网络安全

现在企业广域网(WAN)正逐渐使用宽带互联网作为常规连接方式，IT组织必须保证采用互联网连接的分支网络安全性。本文将介绍适用于保证企业分支网络安全性的互联网安全措施。

越来越多的组织使用互联网作为新的企业WAN。Nemertes研究集团发现，各种行业和规模的企业都越来越关注这个领域。在一些情况中，这意味着互联网连接和WAN连接同时存在——甚至出现了一种“分割线路”，即将MPLS链接的一部分作为WAN访问，另一部分则通过运营商的云（而非WAN和数据中心）连接互联网。

在另一些情况中，互联网访问可能是唯一的网络链路。一些分公司只有互联网链路，他们将互联网链路作为连接VPN与WAN的唯一方式；另一些分则使用它实现VPN链路和互联网访问，从而不需要通过数据中心回送流量；还有一些则只将该链路用于宽带互联网访问，他们的用户通过互联网访问公司资源，访问方式与其他互联网用户完全一样。

假设互联网链路不仅仅用于创建VPN连接，那么IT就必须规划分公司的安全措施，避免它遭受来自互联网的攻击。有三种方法可以实现分公司的互联网安全性：使用专用设备、使用云服务和使用混合方法。最基本的原则是，只有在安全解决方案通过测试和允许部署时，IT才能够使用这个连接访问互联网VPN。

通过设备保证由互联网连接的分支网络安全性

设备模型的主要优点是IT已经掌握实施方法和所有技能，这是很大的优势。其重要性在于掌握了一种解决问题的有效方法。但它的主要缺点是，IT可能不准备使用路由器集成的安全特性，而是必须在每一个位置部署一台设备。这样既增加投入和运营成本，也增加了分公司基础架构的复杂性，从而增加了由于错误配置和设备故障造成中断的风险。

建议：如果没有策略驱动和高级自动化的集中管理方法，那么IT不应该部署基于设备的解决方案。如果必须逐一管理各个设备，那么基于设备的策略就很难扩展到大规模站点上。要寻找一种能够解决大范围安全威胁的解决方案，确定您是否能够将安全性与路由、管理或其他功能整合在一起。

通过云来保证由互联网连接的分支网络安全性

云方法将安全扫描操作转移到其他人的网络设备上，通常是你的连接提供商，但是也可能是第三方公司。例如，在分割线路中，它就是MPLS。

它的优点是，由于分公司不需要部署设备，所以这种策略能够保证分支网络灵活简单。启动时间短（有时候这些服务可以按需启动）、移植简单和不需要资金投入，都让解决方案更灵活。

它的缺点是，大多数IT部门还不熟悉这种安全模型，他们需要掌握特定的专业知识，才能真正符合组织的安全要求。此外，IT会对安全性的控制更少，实现的可见性也更少。最后，这种方法经常不可实现：只有一些运营商和少数第三方服务提供商提供了“云防火墙”和基于云的分支网络保护服务。

建议：IT应该考虑云安全性，如果组织的安全策略和风险管理政策允许，要寻找和测试符合需求的供应商。它的优势之一是按使用付费；有时候甚至可以“购买前先试用”。而且，它很容易启用和关闭，所以可以试用多个提供商的服务。

使用混合解决方案保证由互联网连接的分支网络安全性

混合方法组合了设备和云解决方案的特点。它使用本地设备提供本地服务，但是由云提供商负责管理和更新，甚至还增加额外一层功能。例如，设备可以通过云服务对第一次遇到的URL进行安全评估。

它的优点是，云管理能够减少运营开支，而本地设备能够提升处理性能，而且也更容易满足本地安全要求。

它的缺点是，这种模型依赖于云服务，服务中断可能会暂时严重影响或破坏他们的设备。它需要在每个站点配备设备，这增加了每个分支网络的设备数量。有一些提供商会完全操作成本——把设备费用包括在服务价格中（并非所有提供商都这样），有时候IT必须购买一些设备。

建议：如果您的组织允许使用云安全解决方案，那么IT应该选择混合解决方案，作为提高性能的方法（特别是大的分支网络）。

大多数拥有大量分公司的公司都会变成混合使用WAN与互联网连接的分支网络。IT需要评估直接访问互联网的安全方法——设备、云和混合方法。