（３）安全策略
ＳＲＴ答應每個用戶、用戶組或分支辦公室分別使用各自的安全性配置文件設置 。該配置文件保存?zhèn)€人信息，不管他是在家中還是在辦公室，而且，不管是運行在隧道化還是非隧道化連接上，都以同樣的方式應用鑒權和接入權限 。
（４）安全治理
Ｃｏｎｔｉｖｉｔｙ的設計中沒有“后門” 。通過安全加密隧道進行配置是Ｃｏｎｔｉｖｉｔｙ因特網(wǎng)（或公共）接口支持的唯一模式，在該接口中內(nèi)置了拒絕服務（ＤｏＳ）保護 。Ｃｏｎｔｉｖｉｔｙ還記錄所有的安全性／鑒權事務處理和事件，它們可存儲在Ｃｏｎｔｉｖｉｔｙ的本地硬盤驅動器中或存儲在設備以外的介質中，依靠于企業(yè)的安全性實踐 。
單一硬件設備以一種高度集成的方式提供ＩＰ路由、ＶＰＮ、狀態(tài)防火墻、加密、鑒權、策略服務、ＱｏＳ和帶寬治理業(yè)務 。利用其全面的ＩＰ服務，單一Ｃｏｎｔｉｖｉｔｙ設備可以解決處理通常需要多個專用ＩＰ和安全性設備來解決的問題 。此外，靈活的軟件許可系統(tǒng)答應企業(yè)在需要時增加多種ＩＰ業(yè)務 。
Ｃｏｎｔｉｖｉｔｙ構建于北電網(wǎng)絡安全路由技術（ＳＲＴ）框架之上，ＳＲＴ集成了Ｃｏｎｔｉｖｉｔｙ的主要功能組件（如治理、接入、路由、和策略），在這些設備上編織了一個堅固的安全架構 。即使是在同一個設備上運行多種ＩＰ業(yè)務，它也可提供擴展性和較高的性能 。
ＳＲＴ同時還能實現(xiàn)密鑰功能，如安全ＩＰＳｅｃ隧道上的動態(tài)路由（ＲＩＰ／ＯＳＰＦ）、ＶＰＮ、防火墻和路由業(yè)務的公共用戶安全策略，以及在需要時增加新的ＩＰ設備而不影響總體性能 。
北電網(wǎng)絡安全路由技術能將ＶＰＮ集成到現(xiàn)有路由器中，升級軟件以便通過安全協(xié)議來處理話務；為每個設備添加加密卡支持和實施上述網(wǎng)絡升級 。
２．安全路由技術的發(fā)展
要實現(xiàn)ＩＰＳｅｃ ＶＰＮ及安全路由技術大面積的推廣，還需確保ＩＰＳｅｃ ＶＰＮ實現(xiàn)網(wǎng)絡地址轉換的功能，遠端節(jié)點極有可能處于保留地址段，該遠端節(jié)點若要采用ＩＰＳｅｃ ＶＰＮ連接中心節(jié)點，必須實現(xiàn)網(wǎng)絡地址轉換（ＮＡＴ）的功能 。
由于 ＩＰＳｅｃ ＶＰＮ協(xié)議架構本身的原因以及缺乏支持ＩＰＳｅｃ 的ＮＡＴ設備，當ＩＰＳｅｃ和ＮＡＴ在一起運行時就會出現(xiàn)很多問題 。
ＮＡＴ 有靜態(tài)ＮＡＴ和動態(tài)ＮＡＴ兩種類型 。其中靜態(tài)ＮＡＴ答應數(shù)據(jù)主動進出網(wǎng)絡，而動態(tài)ＮＡＴ只答應數(shù)據(jù)主動流出網(wǎng)絡，出網(wǎng)時把源地址轉換為合法地址，進網(wǎng)時則把目標地址轉換為原來的內(nèi)部地址，以達到與公網(wǎng)互通的目的 。
ＩＰＳｅｃ 的許多特性阻止了ＮＡＴ的運行，如ＩＫＥ 必需保證源ＵＤＰ端口＝目的ＵＤＰ端口＝５００，此特性阻止了ＰＡＴ多對一的運行，ＩＰＳｅｃ ＡＨ 方式不答應改變?nèi)魏危桑?地址，以滿足認證功能與完整性功能，因此阻止了任何類型ＮＡＴ的運行 。在ＥＳＰ 傳輸模式下，ＮＡＴ設備無法修改ＴＣＰ ＣＨＥＣＫＳＵＭ，因此也無法運行ＮＡＴ 。這些限制嚴重阻礙了ＩＰＳｅｃ ＶＰＮ的普及，無法把ＩＰＳｅｃ推向網(wǎng)絡邊緣 。而北電網(wǎng)絡Ｃｏｎｔｉｖｉｔｙ解決方案成功解決了該問題，讓ＩＰＳｅｃ ＶＰＮ 走向網(wǎng)絡邊緣成為可能 。保證了建網(wǎng)的靈活性 。
北電網(wǎng)絡推出五種Ｃｏｎｔｉｖｉｔｙ安全ＩＰ業(yè)務網(wǎng)關，其中Ｃｏｎｔｉｖｉｔｙ １０１０，１０５０和１１００可為要求站點間或遠程接入ＶＰＮ應用及簡單因特網(wǎng)連接的小型分支機構、家庭辦公室及小型企業(yè)提供經(jīng)濟高效、安全的一體化解決方案；Ｃｏｎｔｉｖｉｔｙ １７００和２７００則適用于大中型分支機構 。
推薦閱讀
- Cisco路由器安全配置
- 路由器的類型
- CIDR 細述無類別域間路由技術
- 選擇安全路由器的標準
- 連接一個終端到Cisco路由器
- 路由器能否取代防火墻？
- 路由器的安全設計
- 基本的CISCO路由器安全配置
- 路由器的安全與可靠的問題
- 2505路由器HUB端口的安全性配置