链路均衡设备的NAT和ipsec vpn-2.docxVIP

链路均衡设备的NAT和ipsec vpn 之续篇 2012-03-18 20:59:43 标签： 链路负载均衡 NAT IPSec VPN 添加标签 原创作品，允许转载，转载时请务必以超链接形式标明文章 原始出处 、作者信息和本声明。否则将追究法律责任。 /3027116/809867 前面有了关于链路负载均衡NAT和IPSec VPN的描述，包括IPSec VPN的隧道模式和野蛮模式的解释。还有，在一总部多分支的这种部署环境下的隧道模式该如何让site to site的隧道能正常建立，如DSR的方式。采用DSR的方式的确能在尽可能少的改动原防火墙的配置，只需要添加loopback ip（与virtual server IP相同），在负载均衡设备旁挂的情况下，就能让site to site的隧道建立正常。 我们知道，在IPSec VPN做安全协议校验时有两种模式：传输模式和隧道模式。传输模式需要在IP报文头部和高层协议报文头部之间插入IPSec VPN的报文头部，IPSec的报文头部和数据都做了加密，默认为目的地址可达，所以只能用于IP端点与IPSec端点一致的情形，如两个移动终端之间。因为传输模式不能进行NAT转换，所以site to site VPN更多采用隧道模式（保留原始IP报文头部，写入新的报文头部）。这里再详细分析一下IPSec VPN隧道