问：我们的企业在城市里有一主要的办事处，在距离主办事处约150英里远的地方有一个分支机构。我们需要非常安全的企业内部网络。传统的观点似乎是这样的：我们应该在主办事处配置一个单一的、带有防火墙的而且非常安全的因特网接入点。是否有不同的、更好一点的配置呢？如果考虑另一种配置，我应该注意哪些与安全有关的因素呢？
答：你所说的传统策略是一个常见的办法，它可以在一个接入点上小心的控制网络通信。然而，它也带来一些弊端：首先，它使得网络延迟了（用户感觉明显），因为它强制所有的网络流量都要经过主办事处的网络；其次，它有单点故障的风险，如果主办事处与网络失去了连接，那么分支机构办事处的网络也同样会失效。这不是一个好的拓扑结构，尤其是当你把分支机构办事处网站作为主办事处潜在的备份网站的时候。
我建议在两个办事处都配置因特网连接，并用VPN技术建立两个办公室之间沟通的安全通道。还有，你需要在两个地方都设置同样的防火墙和内容过滤机制，这样做可以充分保障两边的网络不会出现上面所提到的缺陷。
【编辑推荐】
