水利水電建設集團vpn解決方案--全文預覽

　　

【正文】 軟件支持豐富的功能特性，支持 L2TP 、IPSec、L2TP+IPSec等多種模式，支持備份 LNS 服務器；? 支持對接入用戶進行精細訪問控制，可以根據接入用戶/用戶組，靈活控制其可以訪問的網絡資源的范圍，極大的滿足了企業的靈活的安全控制需求。　　6. 目前所有單位都已經接入了 Internt，VPN 的部署應該對當前網絡拓樸的影響最小。Q　　1. IPSecVPN 網關的部署位置，比如是否能夠放置在 DMZ、內網？貴公司推薦的最佳部署位置在哪里？　　2. 集團公司總部內網是雙核心作負載均衡和冗余，VPN 網關將采用兩臺設備作負載均衡和冗余，如何部署？　　3. 各個成員企業內網有的是雙核心作負載均衡，有的是單核心，但我們都只為其配置一臺 VPN 網關，如何部署？提出具體的方案，并推薦必要的相關設備，比如交換機等。這也就是意味著，私鑰從生成的時候開始就一直保存在 SecKey 內部，即使是私鑰的所有者也沒有權限讀取私鑰的內容。SecKey 中所有數據存儲在智能卡芯片中，讀寫由 COS 控制，只能根據 PIN 碼權限進行相應訪問；每個 SecKey 最多只支持一個進程訪問，只要關閉對 SecKey 的訪問進程，所有權限即復位到初始狀態，以上技術手段可以使 SecKey 自身安全性得到最好保證。支持配置文件的導入導出，極大地方便了用戶的管理。SecPoint VPN 客戶端軟件支持與 Quidway174。 SecPoint，SecPoint VPN 客戶端軟件是華為 3Com 公司自行設計開發的應用在 PC 上的 VPN 客戶端軟件。設備側和管理中心側采用 協議進行通信，BIMS 管理中心側作為 Server，設備側作為 Client，設備通過定期訪問管理中心側來實現相互通信并完成設備的管理。網管通過一個固定的、全網唯一的 ID 來識別設備，而不再依賴于設備的 IP 地址，所以設備擁有公網或私網 IP 地址或 IP 地址經常變化都不會影響網管對設備的識別。如果設 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 14備的 IP 地址不固定，就增加了主動管理的難度；如果設備位于 NAT 網關后面，基本上沒有什么有效的管理手段。QuidView VMM 組件可以有效監視 IPSec 設備的運行性能，提供豐富的性能管理功能。為了管理方便，以網絡域為配置單位，減少配置操作，對網絡域的配置會自動賦予網絡域內的全部設備，用戶可一次性對網絡域內所有設備進行相同配置部署。華為 3Com VPN Manager 系統：以用戶實際配置任務為驅動，提供 IPSec VPN 業務配置向導，指導用戶進行 IPSec VPN 設備配置，構建 VPN 網絡。Quidway174。作為 VPN 互聯方案非常重要的一部分，還需要在總公司部署 VPN Manager 管理系統和BIMS（分支節點設備配置管理系統）。 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 10四、水利水電建設集團 VPN 解決方案華為 3Com VPN 解決方案通過組合采用 L2TP VPN、IPSec VPN 以及 SSL VPN 等多種方式，實現了用低成本，高安全性的 VPN 連接，可以靈活的構建多種模式的 VPN 網絡，全面適應不同網絡數據流動的需求。總之，IPsec 三層隧道技術與 L2TP 二層隧道技術相比，優勢在于它的安全性、可擴展性與可靠性。因此，它的實現是一種與接入網絡無關的 VPN 技術。 IPsec 是主要用于在網絡層實現 VPN 的技術。IPSec 協議是一個應用廣泛、開放的 VPN 安全協議。大部分的應用案例都采用了 ESP 或同時使用 ESP 和 AH。AH 認證整個 IP 頭，不過由于 AH 不能加密數據包所加載的內容，因而它不保證任何的機密性。如 IPX包最多可以轉發 16 次（即經過 16 個路由器），而在一個隧道連接中看上去只經過一個路由器。在國內，由于企業網幾乎全部采用的是 TCP/IP 協議，因此在中國建立隧道時沒有對企業內部協議封裝的市場需求。GRE 的隧道由兩端的源 IP 地址和目的 IP 地址來定義，允許用戶使用 IP 包封裝IP、IPX、AppleTalk 包，并支持全部的路由協議（如 RIPOSPF 等）。認證和加密受到限制，沒有強加密和認證支持。同任何一種技術一樣，L2TP VPN 也存在著一定的的缺點： L2TP 的缺點是封裝層次多，在數據包上依次封裝了 PPPUDPIP 三層，因而效率較低。 L2TP VPN 服務具有如下幾個優點：。這使得 VPN 的應用具有很大靈活性。在遠端用戶、分支機構、合作伙伴與公司總部之間建立可靠的安全連接，保證數據傳輸的安全性。VPN 技術優勢，低成本，通過公用網來建立 VPN，就可以節省大量的通信費用。VPN 有別于傳統網絡，它并不實際存在，而是利用現有公共網絡，通過資源配置而成的虛擬網絡，是一種邏輯上的網絡。隨著 VPN 技術的發展，VPN 技術已經成為一種非常成熟的網絡連接方式，VPN 具有高性價比、強適應能力、具備很強的網絡安全特性以及動態的擴展能力等優勢，已經被廣泛替代專線用來進行廣域網絡的銜接，下面我們將以 VPN 模式為核心，提供華為 3 全面的 VPN 解決方案。 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 4二、網絡構建可行模式分析構建上面我們描述數據通信模式的網絡結構一種可行的方案是專線網絡連接的備份鏈路方式，其基本方式是進行每個層次之間的專線方式的網絡連接即可，通過這種方式可以實現的星形結構的全局網絡連接，全面滿足我們在前面描述的數據流動模式的需求，但是這種方式存在非常大的缺點：專線方式的網絡連接需要支付高昂的專線租用費用；另外一種方式是通過撥號的方式，通過利用 PSTN/ISDN 的模擬電話線路，移動用戶主機配置的調制解調器，采用撥號的方式，登錄到總公司內部的撥號服務器，實現遠程對公司內部資源的訪問。各各省分公司網絡同樣已經接入 Inter，隨著水利水電集團公司自身業務的不斷反展，現在需要建立一張廣域網絡將各各省分公司的局域網絡接入到總公司，以完成 OA，項目監理，財務等業務開展，現在需要采用低成本的接入方式，實現廣域網絡的建設和連接。而且只能提供單個用戶的接入，無法銜接兩個獨立的網絡。“虛擬”主要指這種網絡是一種邏輯上的網絡。VPN 作為私有專網，一方面與底層承載網絡之間保持資源獨立性，即在一般情況下，VPN 資源不會被承載網絡中的其它 VPN 或非該 VPN 用戶的網絡成員所使用；另一方面，VPN 提供足夠安全性，確保 VPN 內部信息不受外部的侵擾。在遠程辦公室增加 VPN 能力也很簡單，只需通過作適當的設備配置就可。只需要通過軟件配置就可以增加、刪除 VPN 用戶，無需改動硬件設施。L2TP VPN(VPDN)是一種典型的遠程撥號訪問企業 VPN 的組網模式，在下圖中，LAC 表示 L2TP 訪問集中器（L2TP Access Concentrator ），是附屬在交換網絡上的具有接入功能和 L2TP 協議處理能力的設備，LAC 一般就是一個網絡接入服務器 NAS（Network Access Server），它通過PSTN/ISDN 為用戶提供網絡接入服務；LNS 表示 L2TP 網絡服務器（L2TP Network Server），是用于處理 L2TP 協議服務器端的軟件。4. L2TP 具有較高的可靠性，可以支持備份 LNS，當一個主 LNS 不可達之后，LAC 可以重新與備份 LNS 建立連接，這樣增加了 VPN 服務的可靠性和容錯性。 端點用戶需要在連接前手工建立加密信道。GRE 規定了 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 7如何用一種網絡協議去封裝另一種網絡協議的方法，GRE VPN 技術屬于三層隧道 VPN 技術。GRE 協