apngw產品技術白皮書-預覽頁

　

【正文】 ........................ 19 ? 節點可定義 ...................................................................................................... 20 ? 再生功 能 .......................................................................................................... 20 ? 隧道自動愈合 ................................................................................................... 20 ? 穩定可靠： ...................................................................................................... 20 ? 良好兼容 .......................................................................................................... 20 ? 集中管理 .......................................................................................................... 21 ? 易于維護 .......................................................................................................... 21 第四章 應用介紹與成功案例 .......................................................................................... 22 ? 基 于 APN GW 的物流解決方案 ......................................................................... 22 ? 數據共享、 VOIP 和視頻會議方案 ..................................................................... 24 ? OA系統、財務軟件遠程實時運行方案 ............................................................. 26 ? 現有專線線 路的備份線路和融合 ....................................................................... 27 ? 與 Citrix結合的一體化解決方案 ....................................................................... 30 第一章 VPN技術簡介 ? VPN 概念 虛擬專用網（ Virtual Private Network）被定義為通過一個公用網絡（通常是 Inter）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。 ? VPN 協議簡介 要使數據順利地被封裝、傳送及解封裝，通信協議是保證的核心。 1．點到點隧道協議 —PPTP PPTP 協議將控制包與數據包分開，控制包采用 TCP 控制，用于嚴格的狀態查詢及信令信息；數據包部分先封裝在 PPP 協議中，然后封裝到 GRE V2 協議中。 3． IPSec 協議 IPSec 協議是一個范圍廣泛、開放的 VPN 安全協議，工作在 OSI 模型中的第三層 ——網絡層。傳輸模式是為了保護端到端的安全性，不會隱藏路由信息。鑒于 IPv4 的應用仍然很廣泛，所以后來在 IPSec的制定中也增添了對 IPv4 的支持。當接收到一個 IP 數據包時，包過濾防火墻使用其頭部在一個規則表中進行匹配。但是 IPSec不同于包過濾防火墻的是，對 IP 數據包的處理方法除了丟棄，直接轉發（繞過 IPSec）外，還有一種，即進行 IPSec 處理。但是包過濾防火墻不能保證自內部網絡出去的數據包不被截取，也不能保證進入內部網絡的數據包未經過篡改。 傳輸模式，如圖 2 所示，只對 IP 數據包的有效負載進行加密或認證。 IPSec中的三個主要協議 前面已經提到 IPSec 主要功能為加密和認證，為了進行加密和認證 IPSec 還需要有密鑰的管理和交換的功能，以便為加密和認證提供所需要的密鑰并對密鑰的使用進行管理。 AH 和 ESP 都需要使用 SA，而 IKE 的主要功能就是 SA的建立和維護。 SA 就是能向其上的數據傳輸提供某種 IPSec 安全保障的一個簡單連接，可以由 AH 或 ESP 提供。 ESP是與具體的加密算法相獨立的，幾乎可以支持各種對稱密鑰加密算 法，例如 DES，TripleDES， RC5 等。使用 ESP 進行安全通信之前，通信雙方需要先協商好一組將要采用的加密策略，包括使用的算法、密鑰以及密鑰的有效期等。其中 “下一個頭部（ Next Header） ”用來指出有效負載部分使用的協議，可能是傳輸層協議（ TCP 或 UDP），也可能還是 IPSec 協議（ ESP 或 AH）。當 ESP 工作在傳輸模式時，采用當前的 IP 頭部。主要是處理數據對，可以對IP 頭部進行認證，而 ESP 的認證功能主要是面對 IP 的有效負載。 ? 方 便的密鑰交換機制（這可能需要周期性的進行）。 IPSec 的主要特征 在于它可以對所有 IP 級的通信進行加密和認證，正是這一點才使IPSec 可以確保包括遠程登錄、客戶 /服務器、電子郵件、文件傳輸及 Web 訪問在內多種應用程序的安全。下面 為 IPSec 的一些優點： ? IPSec 在傳輸層之下，對于應用程序來說是透明的。 ? 如果需要的話， IPSec 可以為個體用戶提供安全保障，這樣做就可以保護企業內部的敏感信息。 傳送模式通常當通訊發生在主機（客戶機或服務器）之間時使用。在隧道模式下， AH 或 ESP 被插在原始 IP 頭之前，同時生成一個新的 IP 頭，并用自己的地址作為源地址加入到新的 IP 頭。目前 NAT 技術以其簡單實用的特點在國內得到了非常廣泛的應用，比如：企業局域網通過代理或防火墻共享上網，小區和智能大廈提供的寬帶接入，寬帶城域網接入業務等等；而且在很多地方用戶訪問因特網的數據往往通過了多層 NAT 網關的轉換。 為了解決這個問題 IETF 專門為 IPSec 制定的 “NAT 穿越（ NATT） ”的協議草案，目前該草案的最新版本為 ，是 2020 年剛剛提出的。由于 NAT 技術在國內的廣泛應用，所以用戶在選 用 VPN 設備時應該將這一功能作為一個重要的考核指標。 ? 產品特征 ? APN GW 是解決網絡安全傳輸的最高效，最節省的組網技術。在相同的通訊帶寬下，節省 80%通訊費用。 NAT/PAT 地址轉換技術保護內部網絡。 比較項目 \產品 APN GW 其他 VPN 設計初衷 互聯互通，資源共享，分布運算，集中管理 基于 IPSec 的固定 IP 的安全通訊網關 技術架構 基于 VDN 平臺的可管理的架構，可以按照要求定義 VPN，可以運用于大型企業和 ISP/IDC 的運營。基于 IPSec 的標準 ―― 這是業界公認的最安全的 VPN 協議。由于采用了統一管理和獨有的虛擬域管理機制，可以在任何時候延伸擴展原來的 VPN 網絡而不需要對原來的節點做任何設置上的改動。而且任何兩點之間可以直接通訊，沒有通訊瓶頸。其它 VPN 產品大多數的配置要了解 IPSec 的細節，要由操作者選擇包的格式，是 AH 或是 ESP，還要設定數據包是否壓縮，通訊是 Tunnel 還是 translate 方式。使用起來非常不方便。而 APN GW把最優化的配置做到了系統的配置之中，用戶無須去配置煩瑣的 VPN 功能的詳細配置。而且這個網 絡結構可以按照需要隨時做新的調整。 ? 再生功能 獨家設計系統再生功能、 update 功能，把設備的升級分為系統升級和功能升級兩大部分。獨創設計 。同時也在推廣使用的過程中，發現了各地 ISP 之間的差異而對產品功能模塊做了新的調整。而且可以由平臺統一調配這些域和網絡架構。例如星狀、網狀、組合形狀等。 網點分布：一般客戶的公司結構都是分布全國各地，部分子公司還分布到縣、鎮，這就決定了許多地方上網方式的多樣性； 網絡結構：軟件一 般采用 C/S 結構或 B/S 結構。所以部分軟件公司利用采用 Email 方式來實現數據傳 輸，但這樣造成的傳輸不及時，無法在程序里實現實時的回執；有的是采用托管一個服務器，同時采用 B/S 結構，這樣數據交換緩慢，而且這在安全、維護方面存在隱患。 支持移動用戶：可以采用我們的 client軟件，通過筆記本電腦直接聯入公司網絡。 其他 VPN解決方案沒有的特點 1. 可擴展性：在安裝了 n個點之后，以后如果擴展，只需要在新加的點里設置即可。例如跨省、跨地區、跨國的企業，尤其是在珠江三角洲地帶的眾多的港資、臺資企業。 對于企業用戶來說，通過 IP 網關傳送長途電話 /傳真，具有重要的意義 : 1．節省長途電話費用 用 IP 網絡完成所有話音 /傳真的傳送，能極大地降低了公司內部跨地域、跨國界的電話/傳真成本。 建立虛擬專網后，再加上 APNGW VOIP 系列語音產品，可以實現任意分公司、任何人的無需支付話費的高清晰話質的通話。 1．內部電話、傳真 ：香港的 A先生與深圳的 B先生在上班時通話，因為走的是 Inter，所以通話是免費的。 實時 視訊會議 APN 構建了一個基于 TCP/IP 的網絡，任何基于該協議族的應用皆可流暢應用。 成功案例 ? 香港中聯集團（香港上市公司） ? 香港華威環球企業有限公司 ? 香港威業科技有限公司 ? 香港地球光學有限公司 ? 深圳宇迅通科技發展有限公司 ? 廣州泰力普通訊技術有限公司 ? Unisen Group ? 香港利林 (Laylim)公司 ? OA系統、財務軟件遠程實時運行方案 適用客戶 可用于任何有分支機構、分公司、分店的行業。還可以進行 VOIP、視頻會議、內部文件共享。 成功案例 ? 深圳康佳集團 ? 麥當勞（中國）有限公司 ? 格蘭仕有限公司 ? 深圳創維集團 ? 優美軒世界時裝有限公司 ? 香港地球光學有限公司 ? 深圳航嘉電源廠 ? PINE 松景科技有限公司（香港上市公司） ? 現有專線線路的備份線路和融合 適用客戶 可用于已有專線的用戶。 1. 原有線路不做任何改動； 2. 在專線不可到達的地方，安裝 APN。 Citrix在國外有許多的成功案例，但是在中國接觸的人極少。 獨立計算結構 ICA Citrix技術區別于常規的 Client/Server 計算模式，而采用新的網絡計算模式 —基于服務器的計算模式。 Citrix的客戶包括 MCI World、 Qantas、朗訊、北方電信、摩托羅拉、諾基亞、香港電信、渣打銀行、 JPMan、雀巢公司、殼牌集團、 UCLA（加利福尼亞大學洛杉磯分校）、香港大學，等等。 采用 Citrix＋ APNGW方案特點總結 ? 集中化管理：所有的數據在總部運行，方便維護、高效管理。運行過程中，數據庫在總部，運行過程中不會導致數據