SSL服务模块是集成在Cisco Catalyst 6500系列交换机和Cisco 7600系列路由器上的一个服务模块， 它可以完成及其消耗主机处理器资源的安全套接字（SSL）计算任务，从而增加网站同时支持的安全连接数量，并减少高性能网站服务器群运行的复杂性。 服务模块的主要特性包括：
在每个机箱内最多可以安装4块SSL服务模块，提供业界最快的SSL对话建立速度和最高的加密吞吐量， 支持最高数量的并发连接：
能同时保留64,000条并发的客户机连接（每个机箱256,000个） 图1
SSL服务模块能够卸载SSL计算，使后台的Web和电子商务服务器能处理更多的内容请求和交易请求 － 使电子商务应用的性能大大提高，同时也使用加密算法保证了网站的安全。 随着电子商务应用的发展，牵涉到越来越多的应用，B2C和B2B交易的安全性成为最重要的考虑。在B2C交易中，分析家估计有超过70％的消费者由于害怕有人会盗用他们的信用卡号码而不敢在网上交易。这也导致了SSL成为保护电子商务交易安全的业界标准。 企业在利用Internet来提高运行效率，改善客户服务并提高销售率。企业也把传统的应用转移到Web应用，并把应用开放到内部网和外联网 － 这需要提供对保密数据的高速度、安全并经认证的访问。越来越多的企业现在在使用SSL加速设备来进行认证、加密和解密处理。 SSL服务模块的主要优点在传统的客户机/服务器SSL模型中，SSL的处理是通过集成在服务器里的SSL网卡来完成的。这种传统方式的缺点包括：
Cisco提供向用户提供集成的SSL服务模块解决了上述缺点，并提供以下的优点： 低成本的方案SSL服务模块提供了业界最好的性能价格比。维护的成本包括在Cisco Catalyst交换机的维护服务合同中，使用户在每年的服务合同中节约了成本。 通过把消耗处理器资源的SSL计算负担卸载到SSL服务模块上，用户不需要购买多余的服务器。一个机箱里可以安装多块SSL服务模块，节约了机架空间，这对机架空间紧张的用户来说尤其重要。 卸载服务器计算通过把消耗处理器资源的SSL计算负担卸载到SSL服务模块上，用户的Web服务器可以增加处理性能。可以通过使用内容交换机，如Cisco CSM，在多块SSL服务模块间使用标准的负载均衡算法进行均衡负载以进一步实现性能的提高，并且维持SSL 会话 ID的永久连接。 性能扩展集成的内容交换模块和外置的负载均衡设备可以把安全的HTTPS内容请求在多块Cisco SSL服务模块之间做负载均衡 － 这使SSL计算的性能最大化并提供了SSL性能的扩展。通过把消耗处理器资源的SSL计算负担从Web服务器卸载到SSL服务模块上，使Web服务器在不牺牲用户性能的情况下可以处理更多高峰时期的流量请求。因为SSL处理在交换机中集中进行，用户可以很方便地增加新模块，不需要中断当前的处理。 永久连接在集成模式中，当用户端浏览器重新协商SSL ID和源IP地址改变时（这种情况经常在无线网络和经过网关的流量中发生），SSL服务模块和CSM保持了永久的客户端-SSL设备会话信息。SSL服务模块和CSM通过使用sticky cookie来维持用户到Web服务器的永久连接 － 优化了用户的网上浏览经历。当SSL模块工作在冗余配置模式下时，即使发生硬件故障用户的会话状态也不会丢失。 管理配置容易SSL服务模块把SSL计算集成在网络基础架构中，这可以使Cisco Catalyst 6500交换机上的任意一个端口都可以成为SSL端口。SSL服务模块简化了安全管理，可以对用户数据到Web服务器进行加密从而提供了保密性，也可以支持多种证书包括Netscape和Verisign。 高可用性当SSL服务模块和CSM模块都安装在Catalyst 6500交换机中时，当硬件故障发生时SSL流量可以维持。SSL模块的failover功能和CSM模块提供了极强的容错方案。 降低证书成本SSL证书在Cisco SSL模块上，集中了证书管理，无须为每台服务器购买证书，从而降低了证书的成本。
配置模式和数据流Cisco SSL服务模块可以工作在两种模式下:
集成模式配置如图2所示，SSL模块和CSM相集成，在客户端和服务器之间提供加密的数据和连接的负载均衡。 Figure 2 SSL模块集成模式
客户端通过标准的SSL端口，TCP 443端口发送加密数据。 CSM监听443端口并把加密数据负载均衡地分配到内部的“服务器群”SSL模块上。被选定的SSL服务模块解密数据，在数据上标识SSL会话ID，打开一个明文的连接到CSM的VIP处理器上，然后把数据用配置的接收“解密SSL数据”的端口发送出去，如TCP端口81。 CSM模块接收到解密的数据，根据负载均衡算法选择一个Web服务器，然后转发数据。当CSM收到从Web服务器返回的数据时，它会通过到SSL服务模块的明文的连接把数据转发给SSL服务模块。 SSL服务模块接收到为加密的数据，加密数据并通过443端口发送给CSM模块。CSM模块接收到加密的数据然后转发给客户端。 注释: 被选定的SSL服务模块和客户端对所有的TCP连接使用SSL 会话ID。 CSM也使用一部分的SSL会话ID 来使选定的SSL服务模块和客户端建立永久连接。如果客户端向SSL服务模块请求新的SSL 会话 ID, CSM可以把客户端和选定的SSL服务模块绑定在一起 独立模式配合内容交换机和其他服务器负载均衡设备在独立模式中, 如图3, SSL 服务模块安装在Cisco Catalyst 6500 机箱中， 同一机箱中没有负载均衡设备（无论软件或硬件） Figure 3 SSL服务模块独立模式
Cisco Catalyst 6500 交换机使用访问控制列表中的IP地址和端口号定向用户到SSL服务模块的数据和SSL服务模块到服务器之间的数据。在客户端到服务器方向，访问控制列表识别需要被定向到TCP端口443的SSL数据。 Cisco Catalyst 6500 交换机可以让普通数据流直接到目的服务器， 不须让所有流量都经过SSL服务模块。 独立模式和集成模式的数据流很类似，但有以下不同：
|
Guest
