水利水電建設集團vpn解決方案--免費閱讀

　　

【正文】 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 24七、VPN 設備配置建議配置內容主要包括：? VPN 網關設備：SecPath100FE/1000F? VPN 客戶端：SecPoint 介質+Licence? 管理部署系統：VPN Manager 以及 BIMS? 其他附件：SecKey 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 25八、相關案例 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 26 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 27 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 28九、Famp。SecKey 可以減少 SecPoint 用戶身份信息被盜用的風險，使用雙因素方式提高用戶身份驗證安全性，同時通過減少 SecPoint 的配置管理工作來提高用戶的工作效率，最終可以幫助企業實現優化大規模遠程訪問 VPN 用戶的部署工作，經濟有效地管理用戶的移動能力和安全策略，減少企業的 IT 運營成本。IPSec 使特定的通信方之間在 IP 層通過加密與數據源驗證等方式，來保證數據報在網絡上傳輸時的私有性、完整性、真實性和防重放。BIMS 管理解決方案分兩部分，分支網點設備側和管理中心側，分支網點設備包括華為SecPath10/100 系列安全網關、3Com AR 系列接入路由器等，管理中心側由 Quidview BIMS管理組件實現。傳統網管主要通過 SNMP、Tel 等協議來實現對網絡設備的管理，這要求網管側知道被管設備的 IP 地址，并且可以主動向設備發起請求并建立連接。為了避免在設備上留下冗余的配置信息，支持“清除” 功能，能夠在重新配置以及配置命令下發過程中出現失敗的情況下，清除設備已配置的信息。華為 3Com 推出了全系列的專用 VPN 網關設備，具有非常高的性能特性以及豐富的功能特性。一般地，二層隧道協議和三層隧道協議都是獨立使用的，如果合理地將這兩層協議結合起來使用，將可能為用戶提供更好的安全性（如將 L2TP 和 IPSec 協議配合使用）和更佳的性能。IPSec 的實現是靠兩個 IPSec 的對端維系的，因此它實際上是一種端到端的安全實現，從技術的角度上說，在端到端客戶的路由器上實現是最安全合理的方式，中間任何一個路由器都不需要做相應設置。IPSec 規定了如何在對等層之間選擇安全協議、確定安全算法和密鑰交換，向上提供了訪問控制、數據源驗證、數據加密等網絡安全服務。IPSec 協議不是一個單獨的協議，它給出了應用于 IP 層上網絡數據安全的一整套體系結構，它包括：網絡安全協議：Authentication Header（AH）協議，提供數據源認證，無連接的完整性，以及一個可選的抗重放服務。GRE 協議的主要用途有兩個：企業內部協議封裝和私有地址封裝。 端點用戶需要在連接前手工建立加密信道。L2TP VPN(VPDN)是一種典型的遠程撥號訪問企業 VPN 的組網模式，在下圖中，LAC 表示 L2TP 訪問集中器（L2TP Access Concentrator ），是附屬在交換網絡上的具有接入功能和 L2TP 協議處理能力的設備，LAC 一般就是一個網絡接入服務器 NAS（Network Access Server），它通過PSTN/ISDN 為用戶提供網絡接入服務；LNS 表示 L2TP 網絡服務器（L2TP Network Server），是用于處理 L2TP 協議服務器端的軟件。在遠程辦公室增加 VPN 能力也很簡單，只需通過作適當的設備配置就可。“虛擬”主要指這種網絡是一種邏輯上的網絡。各各省分公司網絡同樣已經接入 Inter，隨著水利水電集團公司自身業務的不斷反展，現在需要建立一張廣域網絡將各各省分公司的局域網絡接入到總公司，以完成 OA，項目監理，財務等業務開展，現在需要采用低成本的接入方式，實現廣域網絡的建設和連接。隨著 VPN 技術的發展，VPN 技術已經成為一種非常成熟的網絡連接方式，VPN 具有高性價比、強適應能力、具備很強的網絡安全特性以及動態的擴展能力等優勢，已經被廣泛替代專線用來進行廣域網絡的銜接，下面我們將以 VPN 模式為核心，提供華為 3 全面的 VPN 解決方案。VPN 技術優勢，低成本，通過公用網來建立 VPN，就可以節省大量的通信費用。這使得 VPN 的應用具有很大靈活性。同任何一種技術一樣，L2TP VPN 也存在著一定的的缺點： L2TP 的缺點是封裝層次多，在數據包上依次封裝了 PPPUDPIP 三層，因而效率較低。GRE 的隧道由兩端的源 IP 地址和目的 IP 地址來定義，允許用戶使用 IP 包封裝IP、IPX、AppleTalk 包，并支持全部的路由協議（如 RIPOSPF 等）。如 IPX包最多可以轉發 16 次（即經過 16 個路由器），而在一個隧道連接中看上去只經過一個路由器。大部分的應用案例都采用了 ESP 或同時使用 ESP 和 AH。 IPsec 是主要用于在網絡層實現 VPN 的技術。總之，IPsec 三層隧道技術與 L2TP 二層隧道技術相比，優勢在于它的安全性、可擴展性與可靠性。作為 VPN 互聯方案非常重要的一部分，還需要在總公司部署 VPN Manager 管理系統和BIMS（分支節點設備配置管理系統）。華為 3Com VPN Manager 系統：以用戶實際配置任務為驅動，提供 IPSec VPN 業務配置向導，指導用戶進行 IPSec VPN 設備配置，構建 VPN 網絡。QuidView VMM 組件可以有效監視 IPSec 設備的運行性能，提供豐富的性能管理功能。網管通過一個固定的、全網唯一的 ID 來識別設備，而不再依賴于設備的 IP 地址，所以設備擁有公網或私網 IP 地址或 IP 地址經常變化都不會影響網管對設備的識別。 SecPoint，SecPoint VPN 客戶端軟件是華為 3Com 公司自行設計開發的應用在 PC 上的 VPN 客戶端軟件。支持配置文件的導入導出，極大地方便了用戶的管理。這也就是意味著，私鑰從生成的時候開始就一直保存在 SecKey 內部，即使是私鑰的所有者也沒有權限讀取私鑰的內容。　　6. 目前所有單位都已經接入了 Internt，VPN 的部署應該對當前網絡拓樸的影響最小。使用 SecKey 可以保障數字證書無法被復制，所有密鑰運算由 SecKey 實現，用戶密鑰不在計算機內存出現也不在網絡中傳播，只有 SecKey 的持有人才能夠對數字證書進行操作，安全性有了保障。SecPoint VPN 客戶端軟件支持與路由器的握手機制、備份 LNS 服務器，支持 VPN 隧道的多種認證方式，可以配合 RSA SecurID 實現一分鐘一密的高安全性認證。設備主動訪問 BIMS 管理中心時，上報設備當前的配置文件、設備軟件的特征信息，由 BIMS 管理中心來判斷是否需要對設備進行更新，更新規則體現了該解決方案的智能性和易于管理的特點。BIMS 采用一種被動的方式對設備進行管理，即網管作為 Server，設備作為 Client，依靠設備周期性的主動訪問網管來實現對設備的管理。 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公