绝对加密一切，即使在局域网内

Question

有没有人已经尝试过这种方法？我真的在考虑：不是依赖基于网络的 IDS 等，每个数据包都必须使用由我自己的 CA 颁发的证书发起的加密。

• 每个客户端都获得一个唯一的客户端证书
• 每台服务器都获得一个唯一的服务器证书
• 每个服务都需要登录。

SSL 和 SSH 都可以。对互联网的访问将通过通往网关的 SSL 隧道完成。

可行吗？它会产生实际问题吗？如何实现和执行？你怎么认为？

更多细节

我的目标是简化LAN 的安全概念 - 我还不确定，如果这是一个疯狂的想法！但我觉得，保护 HTTPS 或 SSH 服务器免受互联网威胁（如果使用相互身份验证）有时比监控 LAN 的狂野世界中可能发生的一切更容易。

在未加密的 LAN 上，我觉得要领先于潜在攻击者真的很难，因为存在以下威胁：

• 低级别攻击，如 ARP 欺骗、端口窃取、...
• WLAN 访问（例如，每个开发人员都将被允许从 (W)LAN 访问 SVN 服务器 - 我认为不会通过 VPN...）

=> 为简单起见，假设 LAN 中始终存在攻击者不是更容易吗？

=> 我是否可以通过将其视为 WAN 来简化（小公司的）LAN 安全概念？或者我宁愿让它复杂化？

IPSec 和替代方案

IPSec 听起来很有前途，但我也对 IPSec 的替代方案感兴趣 - 每个服务单独使用 SSL/SSH 并为网关创建 Stunnel？也许使用 Kerberos？... IPSec 或其他的优势是什么？

如果您能帮助我更好地掌握 IPSec，请参阅我专门针对 IPSec 的后续问题。

Answer 1

IPSec 是这方面的标准。它有不同的形式，有很多词汇。

我向您推荐本 IPSec 指南以帮助您入门。

Answer 2

我在这里使用 IPsec。理由是，无论如何大多数攻击都是由内部人员发起的——坏的一面/好的一面的想法是有缺陷的。（如果有人使用服务器，他们可以在尝试破解全盘加密时玩得开心，所以也没有问题。）

毫无顾虑地使用 telnet、NIS、NFS 和 FTP 也很有趣 - 感觉就像过去的美好时光！:-)