第2章 边界安全概述：防火墙、VPN、负载均衡器中的密钥角色

边界设备是内网的第一道防线，也是最后一道。我干了十年运维，见过太多因为密钥配置翻车的事故。

说白了，防火墙、VPN、负载均衡器这些设备，都得靠密钥来证明“你是谁”“能不能过”。你想想看，要是密钥配错了，要么业务全断，要么开了个后门给别人进。

边界设备的“三道门”

我习惯把边界设备比作三道门：

• 防火墙 — 包过滤 + 应用层检测，但SSL解密的密钥是关键。
• VPN — 加密隧道，没有预共享密钥或证书，隧道根本建不起来。
• 负载均衡器 — SSL终止、后端加密，证书一过期整个页面变红。

记得有一次，客户说VPN连不上。我查了一圈，发现是预共享密钥里多了个空格。嗯，就那个空格，花了半天。

防火墙中的密钥角色

防火墙这两年都在做“SSL解密”。流量进来，防火墙用中间人证书解开HTTPS，检查完再重新加密发出去。这个中间人证书要是没配好，浏览器直接报不安全。

我曾经在FortiGate上配过SSL解密，忘了把根证书下发到用户浏览器，结果全公司都弹安全警告。从那以后我每次都会加一句：证书得推下去。

VPN中的密钥角色

VPN分两种：IPsec VPN 和 SSL VPN。IPsec 依赖预共享密钥或证书，SSL VPN 依赖服务器证书。

1. 预共享密钥 (PSK) — 两边都得配一模一样的字符串，简单但易泄露。
2. 证书认证 — 用CA签发证书，更安全，但证书管理麻烦。
3. Diffie-Hellman 交换 — 每次会话生成临时密钥，保证前向安全。

我建议IPsec VPN 优先用证书而不是PSK。PSK 一旦被泄露，攻击者可以轻易冒充。你想想看，那么多设备，PSK 明文写在配置里，难免有人截图发群里。

openssl x509 -in client.crt -noout -dates

负载均衡器中的密钥角色

负载均衡器最典型的应用是SSL终止 —— 把客户端HTTPS解密，拿到明文请求再分发到后端。这时候负载均衡器上必须挂服务器证书。

常见边界设备密钥类型一览

我把边界设备里用到的密钥类型理了一个表，方便你对照检查。

这张表不是我瞎编的，是踩坑踩出来的。你保存下来，以后排查边界设备密钥问题时翻一翻。

避坑指南（经验之谈）

• 证书链不完整 — 负载均衡器上只挂了服务器证书，没挂中间证书。我曾经遇到过Chrome报“NET::ERR_CERT_AUTHORITY_INVALID”，查了两小时发现少了一个中间CA。
• PSK更新不及时 — 很多公司PSK写在运维脚本里，换了设备忘了改，结果VPN连不上。我建议用密钥管理服务（KMS）统一存储。
• 密钥长度过时 — 1024位RSA已经不安全了，2025年的今天，至少2048位或上ECC。我见过一堆旧防火墙还在用1024位，相当于给门上了把塑料锁。

最后说一句，边界密钥管理不是什么高深技术，但漏一个细节就可能出事。我现在的习惯是：每季度对边界设备做一次密钥审计，用脚本扫证书有效期、密钥长度、PSK是否变更。把这些检查写进监控系统，比靠人记管用多了。