《防火墙与VPN原理与实践》以一个对基本网络与计算机安全概念的复习单元开始,着重介绍网络和数据链路层以及TCP和LJDP传输协议,防火墙安装和配置实践,特定的防火墙技术、工具和技巧,虚拟专用网技术,日常防火墙的维护等。 《防火墙与VPN原理与实践》中的实例、练习以及工程题均使用了低成本、易获得的硬件来创建小型网络,帮助读者理解和学习防火墙和虚拟专用网。
在传统的企业场景中,VPN是不可能用于“翻墙”服务的,其原因在于,企业内网服务器为了保证安全,应当遵循最小特权(Least Privilege)原则,限制内网的Internet服务,以减少IP地址暴露于公网进而遭受攻击的可能性。这一点,从Windows Server内IE浏览器中默认的增强安全配置(ESC)中亦可见一斑——当你使用Windows服务器系统使用浏览器,会发现访问任何网站都需要手动授权,否则将断开连接,这一功能便起到了保护服务器的作用。<br>显然,翻墙服务的运营特征完全违背了“闭合用户群”的要求。虽然VPN和proxy server通常皆为“用户端-服务端”架构,然而后者建立的系一项完全开放的网络,而非像VPN那样的局域网。从技术层面看,更明显的区别在于:<br>“VPN方式是将客户端和服务器配置在一个LAN域,所有在配置VPN服务器时要求给服务器指定LAN于内的IP,且声明可以用于分配给客户端的IP范围,每个客户端连接VPN后,会分配到一个特定的IP地址,可以通过ipconfig/ifconfig查看到。代理方式,服务器只接受客户端的请求数据包,然后转发,客户端不会分配得到特定的IP地址。”(载于《浅谈VPN和代理》via blackwolfsec.cc)<br>然而作为“翻墙”服务的VPN代理,却使得供应商必须完全开放内网对Internet的访问权限,此种运营模式本身与传统企业私人网络的应用场景产生了分立,完全与VPN代理的初衷渐行渐远。更直白地说,此类衍生的VPN服务,天生就是为了规避GFW这样的审查系统而存在的。因此,维基百科“VPN”词条首段的定义,就毫不掩饰VPN技术衍生出了规避网络审查的功能。<br>这是一个老生常谈的问题,即,将翻墙工具等同于VPN,系一项非常大的误解。若这种概念的混淆始终得不到解决,那么在此基础上的一切讨论都将是儿戏。<br>因此必须再次强调的是,“虚拟专用网业务”和翻墙服务完全是两种性质截然不同的东西。严格意义上,翻墙服务所对应的业务特征,并不能和2015版工信部出台的电信业务分类目录中的任何一项完全吻合。<br>笔者下此结论或许有些武断,但实际上这是非常符合逻辑的结论——在一个“司法实践中通常将翻墙工具认定为侵入计算机信息系统的工具”的时代,翻墙业务本身不可能成为一项单独存在的、正式的、明文规定的业务,否则其将与刑