业务合作伙伴要求build立一个站点到站点的VPN，以便less数服务器可以通过HTTPS相互通信。 我相信这是没有必要的，甚至是不可取的。 公平地说，它必须是更广泛政策的一部分，甚至可能是法律要求。 不过，我想说服他们仅仅向我们（和我们）提供一个IP，并为他们select一个HTTPS端口。
有没有人有类似的经验，或不得不拿出一个反对VPN的铸铁论点？
请允许我稍微扩展一下 – 我们有一个Web服务，它使用encryption的HTTP连接启动与伙伴相应服务的连接。 连接使用客户端证书进行身份validation。 连接是防火墙，所以只有我们的IP可以联系服务。 那么为什么VPN是必要的？
我会说VPN可以被认为是深度防御。 查看所有最近针对SSL和HTTPS的攻击，这些攻击使通信易受攻击。 如果您在不是基于SSL的站点之间有VPN，那么您只是添加了另一层防线。
另外，如果他们想在未来扩展HTTPS（他们很可能会这样做），那么VPN就可以适应这一点。
我会第二次Alnitak的build议做与SSL的相互authentication，所以这将需要双方的证书。
那么，在VPN上层叠HTTPS似乎有点过分，因为它将所有的东西都encryption了两次，但只是略微过分。
如果你们双方同意在没有VPN的情况下使用HTTPS，那么至less应该使用客户端证书，而不是仅仅使用密码。 这比只允许任一站点的任何机器连接更安全，并且可以防止偶然发现密码的人访问系统。
国际海事组织（IMO），当你想在两个networking之间进行通信时，VPN是强制性的，HTTPS是“可选的”（但是如果仅仅是为了“纵深防御”的话）仍然是可取的。
一旦你运行了VPN，很容易就可以运行你想要的任何服务，并且所有与安全相关的工作都已经完成，包括任何NAT问题，并且也从外部隐藏你的端口。
想想未来，如果你以后想要添加更多的服务呢？ 你会搭载你的HTTPS webservice吗？ 或使用另一个端口，并重复所有必需的安全validation？ 使用VPN，这个过程非常简单。
VPN 应该可以比HTTPS更安全，但是如果不是真的很慢的话，那么两者一起就不会有问题。 我只是接受复杂的知道你会是水密的。
如果这是为了这个目的预算一个单独的VPN设备的借口，select一个，并与它（我喜欢瞻博networking）。 新的请求不是免费的。 不要忘记得到一个容错组合。
我会selectVPN – 只要确保为公司增加的资本支出/运营成本，因为要求不会被沉默地吸收 – 确保清楚。
这里的大部分问题都无法为你自己解决 – 技术上HTTPS应该是足够安全的，如果他们做得对，但是pipe理方面可能还有其他的一些问题，谁知道什么使VPN更具吸引力。 也许他们只是想在私有IP空间而不是公开的空间运行。
这很可能是监pipe，在这种情况下，他们可能需要做各种你不能预料的事情。
在TLS上使用HTTP或在IPsec上使用HTTP，但不能同时使用，因为这是开销。 TLS和IPsecpipe道都不能完全保护。 IPsecpipe道在边缘路由防火墙中断，而TLSpipe道在DMZ区域内某处断开。 要增加networking服务调用的安全性，您将不得不添加有效负载（应用程序）级别的encryption和身份validation。 HTTPS的问题在于，只有满足以下所有条件，用户才能信任HTTPS连接到网站：用户相信浏览器软件正确地使用正确预安装的证书颁发机构实现了HTTPS。 用户相信证书颁发机构只为合法网站提供担保。 该网站提供了一个有效的证书，这意味着它是由一个受信任的权威机构签署。 证书正确识别网站。 互联网上的中介跳是可信的，或者用户相信协议的encryption层（TLS / SSL）对于窃听者是足够安全的。