bbigras Asked: 2014-10-06 10:03:21 +0800 CST2014-10-06 10:03:21 +0800 CST 2014-10-06 10:03:21 +0800 CST 站点到站点 IPSEC vpn 是否需要始终在线连接？ 772 站点到站点 IPSEC vpn 是否需要始终连接/隧道与 keepalives，或者是否可以仅在需要时加密数据包（当它匹配路由或类似的东西时）？ vpn 1 个回答 Voted Best Answer DTK 2014-10-06T11:33:20+08:002014-10-06T11:33:20+08:00 您可以进行机会加密（即，仅在需要时启用隧道），但需要注意以下几点： 您将需要积极维护访问列表，以了解哪些流量被认为是“有趣的” 您必然会导致路由抖动，因为路径在您的 RIB 中出现和消失，然后通过您用于在路由器之间通信的任何路由协议在两个站点中传播；阻尼将成为您的朋友，以免慢慢混淆和烧毁您的路由器 您的监控学科必须成熟，因为您不能再只看“隧道接口是否启动？”，您需要查看“隧道接口是否启动，我是否预期它会启动？” 最后，由于隧道初始化时间的原因，您只想对可靠服务使用机会加密，因为在等待隧道形成和路由时，通信的第一个数据包可能会超时或丢失到远端可用 为了缓解其中的大部分问题，请将其配置为在最后一个“有趣”数据包之后保持几分钟，因此如果不久之后另一个“有趣”对话开始，您已经有了一个途径。 找到一本旧的 Cisco BCRAN 教科书并阅读按需拨号路由的含义可能不会有什么坏处；这本质上是一样的，只是使用加密而不是 PSTN/ISDN。 出于好奇，使隧道接口关闭并仅在需要时才建立它的驱动程序是什么？由于隧道本质上是免费的（不像旧的 PSTN/ISDN/PRI 那样按分钟计费），因此在维护和支持方面，将其固定并定期进行检测可能会更便宜。
您可以进行机会加密（即，仅在需要时启用隧道），但需要注意以下几点：
找到一本旧的 Cisco BCRAN 教科书并阅读按需拨号路由的含义可能不会有什么坏处；这本质上是一样的，只是使用加密而不是 PSTN/ISDN。
出于好奇，使隧道接口关闭并仅在需要时才建立它的驱动程序是什么？由于隧道本质上是免费的（不像旧的 PSTN/ISDN/PRI 那样按分钟计费），因此在维护和支持方面，将其固定并定期进行检测可能会更便宜。