我们正在 IIS 7.5 上安装供应商提供的 ASP.net 应用程序，以便我们的员工可以远程访问敏感的客户详细信息。我想知道是否有必要使用 VPN 来保护它。使用 VPN 会给员工带来很大的不便，并为连接的客户端提供比我想要的更多的对网络其余部分的访问权限。
如果没有 VPN，应用程序将使用 TLS 通过 HTTPS 进行保护。软件中唯一应该可供整个网络访问的部分是登录页面。应用程序可以设置为使用完全内置的身份验证方法或通过 NTLM 进行 Active Directory 身份验证（可能更可取）。
我有点担心该应用程序的安全性。开发人员尚未进行任何第三方渗透测试，而且根据我的调查，内置身份验证的密码是以可逆加密而不是哈希加密存储的。
您认为使用 VPN 比依赖 HTTPS 和应用程序身份验证能提供多少额外的安全性？我可以问开发人员什么问题，或者我可以测试应用程序以检查漏洞的方法是什么？
VPN 安全性与传统 TLS 的比较- 类似的问题很有用，但不是重点评估所提供的申请
答案1
我想说，如果无法证明并证实应用程序来自供应商的 100% 安全且不需要额外的层，那么请继续使用 VPN。
根据所使用的加密级别，您将承担 VPN 的开销，但这会让您安心。
基本上，回答最初的问题。当 Web 应用程序被证明是可信的时，它就是可信的。
答案2
“VPN”和“HTTPS”都没有固有的安全性。您必须指定每种方法在保护连接时采取的最低安全措施。两者的配置都是您需要的重要信息，以便确定哪种方法适合您的情况。
因此，弄清楚您所需的最低安全措施是什么，比如 AES-128 加密、SHA-1 完整性和某种身份验证（NTLM 较弱；我建议使用 HTTP-DIGEST 或 Kerberos，如果您可以使用的话）。
然后将该要求与每种连接类型允许的最低安全性进行比较。HTTPS 会更方便，因此如果它的最低要求等于或高于您的要求，则应该使用它。如果 VPN 和 HTTPS 都不符合您的要求，则需要重新评估您的要求或供应商的产品。
答案3
您提到的安全问题实际上与 IPSec VPN 与 SSL 的讨论不相关。
如果供应商采用不良做法来保护其应用程序的安全，那么他们可能也会在其他方面偷工减料。
如果您说您担心客户的 SSL 会话被劫持，这可能是支持 IPSec vpn 的一个论据。