我们正在IIS 7.5上安装供应商提供的ASP.net应用程序，可以访问敏感的客户详细信息以供我们的员工进行远程访问。 我想知道是否有必要使用VPN来保护它。 对于员工来说，使用VPN将会更加不方便，并为连接的客户端提供更多的访问权限，而不是我想要的。
没有VPN，应用程序将通过使用TLS的HTTPS进行保护。 应该可以在networking上访问的软件的唯一部分将是login页面。 应用程序可以设置为使用完全内置的身份validation方法或通过NTLM（可能最好）的Active Directory身份validation。
我稍微担心应用程序的安全性。 开发者没有进行任何第三方渗透testing，从我的调查中可以看出，内置身份validation的密码是以可逆encryption方式存储的，而不是哈希值。
您认为使用VPN可以提供多less额外的安全性，而不是依靠HTTPS和应用程序的身份validation？ 是否有任何问题我可以问开发商或我可以testing应用程序来检查漏洞的方式？
VPN安全性与简单的旧TLS – 类似的问题是有用的，但不专注于评估提供的应用程序
我会说，如果无法certificate和certificate应用程序是100％安全的，而不需要额外的层，那么请继续使用VPN。
您将承担VPN的开销，取决于使用的encryption级别，但会为您提供安心。
基本上要回答原来的问题。 当Web应用程序显示为可信时，它可以被信任。
“VPN”和“HTTPS”都没有固有的安全性。 您必须指定每个确保连接所需的最低安全措施。 两者之一的configuration是您需要确定哪种信息适合您的情况的重要信息。
因此，要弄清楚AES-128encryption，SHA-1完整性和某种身份validation（NTLM比较弱，我build议使用HTTP-DIGEST或Kerberos，如果可以的话），要求的最低安全措施是什么。
然后将该要求与每种连接所允许的最低安全性进行比较。 HTTPS将会更方便，所以如果最低要求达到或超过您的要求，应该使用它。 如果VPN和HTTPS都不符合您的要求，请重新评估您的要求或供应商的产品。
你提到的安全问题实际上并不适用于讨论IPSec VPN和SSL。
如果供应商使用不好的做法来保护他们的应用程序，他们也可能在其他方面吝啬。
如果你说你担心客户的SSL会话遭到劫持，那么这可能是一个支持IPSec VPN的理由。