IPSec VPN的測試

1引言

利用IPSecVPN技術(shù)，企業(yè)能夠將Internet作為其通信網(wǎng)絡(luò )基礎的骨干，實(shí)現全球通達，并大大節約成本，同時(shí)保持內部通信的安全。然而，成功的IPSec產(chǎn)品開(kāi)發(fā)與實(shí)施面臨嚴峻的挑戰，即如何確保IPSec協(xié)議的一致性，并在網(wǎng)絡(luò )性能和功能方面管理IPSecVPN的效果。正確的測試方法能夠絕妙地應對挑戰，思博倫通信的IPSec一致性與性能測試方法便是一個(gè)例證。

2IPSec一致性測試的重要性

盡管IETF確立IPSec協(xié)議標準已有數年之久，但是早期的實(shí)施并不完全符合標準，因而無(wú)法一致。對IPSecVPN服務(wù)的實(shí)施者來(lái)說(shuō)，這是無(wú)法接受的。

從IPSec網(wǎng)關(guān)廠(chǎng)商的角度來(lái)看，服務(wù)提供商和網(wǎng)絡(luò )管理員需要IPSec與標準保持一致，他們經(jīng)常自行校驗，以確保一致性。在競爭激烈的市場(chǎng)環(huán)境中，廠(chǎng)商無(wú)法負擔被客戶(hù)查證出錯誤的后果。除了確保一致性之外，一致性測試不僅能夠確保產(chǎn)品的質(zhì)量，而且還能夠縮短產(chǎn)品的開(kāi)發(fā)周期，因為在開(kāi)發(fā)周期中如果發(fā)現一個(gè)程序錯誤或者更正一個(gè)設計逆流，都將會(huì )對產(chǎn)品的最終質(zhì)量產(chǎn)生重大影響。

對于服務(wù)提供商和網(wǎng)絡(luò )管理員來(lái)說(shuō)，多廠(chǎng)商環(huán)境是現實(shí)的，如果沒(méi)有基于標準的實(shí)施，這種現實(shí)性將無(wú)法管理。由于他們還定期升級自己的IPSecVPN，因此確保這些升級不會(huì )打破現有的服務(wù)就變得非常重要。雖然并非所有的一致性要求都是針對IPSec的，但是將IPSec加載到網(wǎng)絡(luò )上增加了一致性測試的復雜性和必要性。

3可擴展性與性能測試的重要性

IPSec要求在發(fā)送數據之前先在站點(diǎn)之間或客戶(hù)端與網(wǎng)關(guān)之間建立隧道。使用IPSecVPN服務(wù)的用戶(hù)或站點(diǎn)數量可依照網(wǎng)關(guān)所能支持的隧道數量進(jìn)行擴展。隧道所能支持的最大數，或稱(chēng)隧道容量，是廠(chǎng)商用以區別自己的產(chǎn)品與其它同類(lèi)競爭產(chǎn)品的一個(gè)關(guān)鍵衡量標準。其中一個(gè)常常被忽視的相關(guān)衡量標準就是隧道建立速率(TunnelSetupRate)，或者說(shuō)是一個(gè)設備每秒鐘所能建立的隧道數目。對于擁有眾多站點(diǎn)或用戶(hù)的電信公司級大型IPSec網(wǎng)關(guān)來(lái)說(shuō)，隧道容量和隧道建立速率尤其重要。

增強安全就要以犧牲性能為代價(jià)，在IPSec的實(shí)施過(guò)程中，安全與性能往往會(huì )顧此失彼。IPSec會(huì )增加延遲和降低吞吐量。在建立隧道之后，IPSec網(wǎng)關(guān)將對輸出的業(yè)務(wù)負載進(jìn)行加密，并對輸入網(wǎng)絡(luò )的業(yè)務(wù)負載進(jìn)行解密。加密和解密原本就需要大量的計算——這也是為什么加密數據能夠保證安全的部分原因。然而，計算的開(kāi)銷(xiāo)意味著(zhù)通過(guò)IPSec隧道的吞吐量將受到網(wǎng)關(guān)的加密與解密能力的限制。此外，加密與解密還會(huì )大大增加延遲。