有人试过这种方法吗？ 我真的在考虑：不是依靠基于networking的IDS等，每个数据包都必须使用由我自己的CA颁发的证书启动的encryption。
SSL和SSH都可以。 访问互联网将通过到隧道的SSL隧道完成。
这可行吗？ 它是否会造成实际问题？ 怎么可能做到和执行？ 你怎么看？
我的目标是简化局域网的安全概念 – 我还不确定，如果这是一个疯狂的想法！ 但我觉得，保护HTTPS或SSH服务器免受networking威胁（如果使用双向身份validation），有时比监视局域网野外世界中可能发生的一切更容易。
在一个非encryption的局域网上，我觉得很难成为潜在攻击者的一个好兆头，因为这样的威胁是：
=>为了简单起见，假设是否更容易，LAN中总是存在攻击者？
=>我可以最终简化一个（小公司）的局域网安全概念，把它当作广域网来对待吗？ 或者我会让它更复杂？
IPSec听起来很有希望，但我也会对IPSec的替代品感兴趣 – 每个服务单独使用SSL / SSH并为网关创build一个Stunnel？ 使用Kerberos也许？ …什么是IPSec或其他的优点？
如果您可以帮助我更好地掌握IPSec，请在IPSec 上专门查看我的后续问题 。
我在这里使用IPsec的一切。 理由是大多数攻击都是由内部人员做出的 – 坏的一面/好的一面的思想是有缺陷的。 （如果有人用服务器搞定，他们可以试试打破全磁盘encryption，所以没有问题。）
使用telnet，NIS，NFS和FTP也很有趣 – 没有任何问题 – 感觉就像过去的美好时光！ 🙂
IPSec是这个的标准。 它有不同的forms，有很多词汇。
我向IPSec推荐本指南以帮助您入门。
您是否有一个威胁模型，可以无限制地访问您的LAN基础设施？ 如果是这样，是的，将IPSEC部署到所有端点可能是你想要的。
但是，在大多数威胁模型中，有足够的外围安全性，您可以将LAN基础架构视为廉价的访问方法。
如果您安装了WiFi，画面会发生变化，您需要在WiFinetworking和有线networking之间进行一些操作，以确保您不会通过该路线泄漏任何信息。
在Windows端，你正在寻找的是域和服务器隔离 。 你可以使用这个labcast玩它
我的默认窗口实施计划为新的安装包括这。 在Windows中，设置并不困难，并且提供了很多额外的安全性（并且实际上没有“额外”pipe理，您可能需要更多的安全组）。
NAP不需要IPsec（甚至是PKI – 只有当你想运行本地模式时）。 SCCM是一个额外的产品，不需要额外的域和服务器隔离。 NAP主要用于发送有关客户端的“健康”信息，如果客户端没有通过您的“健康”检查，则延迟仅与补救服务器进行通信。 健康被定义为补丁需求AV设置，安全设置等等。您当然可以使用SCCM来设置IPSEC，但这不是必需的。
有了域和服务器隔离，我无法检查这些“健康” – 也不是重点。 当它被设置时，我正在encryptionstream量并确保并且另外保证服务器和客户端仅被允许与该业务function所需的服务器和客户端进行通信（例如，HR工作站是被允许与HR服务器通信的唯一工作站）。
安全术语是“保护传输中的数据”。 是的，有这样的组织，是的，在某些方面，它确实简化了局域网的安全。 IPSEC和IPv6可以用来支持这一点。
互补的概念是“保护静止的数据”，这意味着encryption磁盘。
不知道你正在使用什么系统和基础设施，但是微软的系统中心configurationpipe理器 （SCCM）有一个networking访问保护 （NAP）组件，它完全符合你的要求。
它将PKIencryption所有的客户端服务器stream量，并将未经authentication的机器置于实际上是DMZ的地方，在那里他们无法与没有专门设置在DMZ中的任何服务器/机器/系统通话。 它也可以允许预先检查机器的补丁级别，防病毒，安全等设置之前，让他们到主局域网（显然在这种情况下，你会有一个更新服务器或两个坐在DMZ。
一步一步的指导来设置这个演示/testing在这里。