Cisco 2600與3600系列模塊化多服務路由器虛擬專用網模塊（VPN模塊）為虛擬專用網（VPN）優化了平臺。通過卸載路由器中心處理元件的加密處理，Cisco 2600與3600系列VPN模塊提供了比純軟件加密高10倍的性能。

該產品適用于企業分支機構，用于連接遠程辦公室、移動用戶、合作伙伴外部網或服務供給商治理的服務客戶端設備（CPE），它提供了大量集成的路由、防火墻、入侵檢測與VPN功能。作為Cisco VPN解決方案不可分割的一部分，Cisco 2600與3600系列VPN模塊提供了業界標準的加密（ipSec）、應用感知服務質量（QoS）、帶寬治理和強大的安全功能。

圖1 Cisco 2600與3600系列VPN模塊

VPN模塊硬件有四種形式：

• Cisco 2600 AIM-VPN/基本性能（BP）--這一先進的接口模塊（AIM）可以添加到所有當前的Cisco 2600系列產品中（包括Cisco 2650），以10Mbps 3重數據加密標準（3DES）性能（基于1400字節的分組）提供基于硬件的加密服務。
• Cisco 2600 AIM-VPN/改進性能（EP）--這一先進的接口模塊（AIM）VPN模塊可以添加所有當前的Cisco 2600系列產品中，但該模塊主要面向Cisco 2650高性能路由器。這一型號能夠以14Mbps 3重數據加密標準（3DES）性能（基于1400字節的分組）在 Cisco 2650中提供基于硬件的加密服務。這一模塊要求最低12.2 (2) T的IOS。
• Cisco 3620與3640網絡模塊（NM）－VPN/中等性能（MP）--這一NM受現在所有的Cisco 3620與3640平臺的支持，能夠以18Mbps的3DES性能（基于1400字節分組）提供基于硬件的加密服務。
• Cisco 3660 AIM-VPN/高性能（HP）--這一NM受現在所有的Cisco 3660平臺的支持，能夠以40Mbps的3DES性能（基于1400字節分組）提供基于硬件的加密服務。

除加密處理外，Cisco 2660與3600系列VPN模塊還能夠處理各種其它與IPSec相關的任務－散列、密鑰交換以及安全關系的存儲，這樣就分擔了主處理器與內存的任務，從而令其可以執行其它的路由器、語音、防火墻和入侵檢測功能。

特性

Cisco完全支持所有描述IPSec和相關協議的評論請求（RFC），即RFC 2401-2410。

Cisco具體支持以下特性：

• IPSec--利用加密技術提供了一個專有網絡中各個對等之間的數據保密性、完整性與真實性。Cisco完全支持封裝安全有效負載（ESP）和驗證報頭（AH）。
• IKE--根據互聯網安全關系密鑰治理協議或ISAKMP/Oakley，IKE提供了安全關系治理。IKE將對一個IPSec交易中的每個對進行驗證，協商安全策略并處理會話密鑰的交換。
• 認證治理--Cisco完全支持X509.V3認證系統，用于設備驗證和簡單認證注冊協議（SCEP），這一協議專門用于與認證權威機構進行通信。有幾家廠商（包括Verisign, Entrust Technologies和Microsoft）支持SCEP并可與Cisco設備進行互操作。
• DES與3DES--所有目的地為IPSec隧道的分組均要求DES或3DES加密。Cisco 2600與3600系列VPN模塊利用DES或3DES加密數據，同時使主處理器能夠處理其它任務。
• RSA簽名與Diffie-Hellman--在每次建立IPSec隧道時使用，用于驗證IKE SA。Diffie-Hellman用于衍生共享的加密密鑰，以保護IKE SA上的數據，包括IPSec策略的協商。
• 增強的安全性--基于硬件的密碼方法比基于軟件的解決方案有更多的安全優勢，包括增強了對密鑰的保護。

Cisco 2600與3600系列和VPN模塊已提交FIPS 140-1 2級安全性申請，但現在尚未獲得批準。Cisco IOS IPSec軟件已獲得FIPS 140-1 2級認證。

用于IPSec VPN的Cisco治理軟件

用于基于企業的VPN網絡的治理工具

Config Maker

Config Maker是一種易于使用的獨立式Windows GUI，可使用戶執行與控制臺端口直接相連的或基于Telnet的簡單IPSec配置規則。注冊用戶可以從www.cisco.com的Cisco軟件中心免費下載Config Maker。Config Maker適用于那些Cisco CLI經驗較少而且計劃部署一個簡單的VPN（3到10個設備）的用戶。

Cisco Secure Policy Manager

Cisco Secure Policy Manager (CSPM)是一種基于Windows NT的軟件工具。CSPM 2.3版是Cisco安全策略治理工具的最新版本，利用這一工具，客戶可以從一個中心地點定義、分布、執行并檢查網絡中的安全策略。CSPM簡化了對復雜網絡安全要素的治理，例如基于IPSec的VPN。除治理Cisco VPN路由器外，CSPM還能夠治理Cisco PIX防火墻和Cisco入侵檢測系統（IDS）。CSPM能夠為企業客戶大幅度簡化Cisco IOS防火墻以及Cisco IOS IPSec VPN部署，使治理員也能利用一個中心工具定義高級的安全策略。

用于服務供給商VPN網絡的治理工具

VPN Solution Center 2.0

Cisco VPN Solution Center (VPNSC) 2.0版的推出使供給商能夠用一個工具治理IPSec和基于MPLS的IP VPN。此外，VPNSC還提供了一套服務治理解決方案，使服務供給商能夠針對VPN服務進行有效的計劃、配置、運行與計費。

在服務供給商構建包括WAN交換機、路由器、防火墻、VPN集中器和Cisco IOS軟件時，他們需要在網絡基礎設施中無縫地治理這些設備并為客戶提供服務水平協議（SLA）。他們還需要使企業客戶能夠對網絡服務和應用進行個性化訪問。VPNSC為服務供給商提供了第一個經濟有效的電信級VPN服務治理方案，使其能夠快速部署許多企業現在需要的外包VPN服務。該產品在面向每個地點的平臺上將強大的IPSec VPN服務與Cisco IOS軟件的所有其它特性結合在了一起，這些地點包括小型機構和公司總部。

VPNC 2.0支持作為MPLS客戶端設備（CPE）和作為IPSec設備的Cisco 2600系列路由器。這樣供給商就可以同時治理IPSec與基于MPLS的IP VPN。

VPNSC 2.0也支持作為MPLS客戶端設備（CPE）和IPSec設備的Cisco 3600系列路由器。此外，Cisco 3640與3660作為供給商邊緣PE設備也受VPNSC 2.0的支持。

Cisco 2600與3600系列VPN模塊軟件

Cisco 2600與3600系列VPN模塊受Cisco IOS軟件12.1 (5) T及后續版本的支持。Cisco IOS IP防火墻plus IPSec 3DES軟件包含Cisco IOS軟件所有的IPSec、防火墻和plus特性，同時支持3DES與DES（56位）加密，而IPSec 56版軟件支持DES（56位）加密。關于12.2 (2) T的內存要求請參見表3。

安裝了VPN模塊的Cisco 2600或3600系列路由器針對Cisco IOS 12.1 (5) T及后續版本軟件支持任何特性集，但這種模塊只與IPSec特性集共同使用。例如，Cisco 2600與3600系列Cisco IOS IP軟件（12.1 (2) T）可在一個安裝了VPN模塊的Cisco 2600與3600系列路由器上運行，但它不支持IPSec，也不會使用VPN模塊的特性。

VPN模塊的出口規定

用于VPN模塊的DES與3DES軟件受美國加密產品出口規定的管轄。模塊本身不受管轄，但按照美國規定，必須記錄DES與3DES軟件接收方的名稱和地址。針對DES和3DES軟件的Cisco訂購流程符合這些要求。如需具體信息請訪問：http://www.cisco.com/wwl/eXPort/encrypt.Html.

規格

產品編號與說明

• AIM-VPN/BP-DES/3DES VPN Encryption AIM for 2600-基本性能o
• AIM-VPN/EP-DES/3DES VPN Encryption AIM for 2600-改進性能
• NM-VPN/MP-DES/3DES VPN Encryption NM for 3620/3640-中等性能
• AIM-VPN/HP-DES/3DES VPN Encryption AIM for 3660-高性能

標準 (Cisco IOS IPSec)

• IPSec (RFCs 2401-2410)
• IPSec 封裝安全有效負載 (ESP)，使用DES/3DES (RFC 2406)
• IPSec Authentication Header (AH) ，使用MD5或SHA (RFCs 2403-2404)
• 互聯網密鑰交換 (IKE) (RFCs 2407-2409)

環境

• 工作溫度: 32-104°F (0 -40℃)
• 非工作溫度: -4 -149°F (-20-65℃)
• 相對濕度: 10-85%，非冷凝（工作時）；5-95%，非冷凝（非工作時）

規定的符合情況，安全，EMC，Telecom，網絡確認情況

安裝在一個Cisco 2600與3600路由器中以后，VPN模塊不會改變路由器的標準（規定的符合情況，安全，EMC，Telecom，網絡確認）。請參見Cisco 2600與3600路由器的產品資料。