水利水電建設集團vpn解決方案-(存儲版)

　　

【正文】 司 13利用 QuidView 提供的解決方案可以輕易實現(xiàn)對于 VPN 網(wǎng)絡的信息監(jiān)視。配合防火墻、AAA 、 NAT、QoS 等技術，安全網(wǎng)關可以確保在開放的 Inter 上實現(xiàn)安全的、滿足可靠質(zhì)量要求的私有網(wǎng)絡。在每個分公司部署 1 臺 SecPath100FE，連接運營商的 Inter 專線，通過與總公司SecPath1000F 之間建立 IPsec VPN 隧道，實現(xiàn)分支機構的廣域網(wǎng)接入，完成業(yè)務數(shù)據(jù)、語音 /.視頻，OA 等數(shù)據(jù)的 VPN 線路承載；SecPath100FE 還可兼做分公司出口防火墻，如果分公司內(nèi)部已經(jīng)有了防火墻，VPN 的部署位置可以放置在防火墻之后進行雙臂串行部署，如果分配VPN 設備的 IP 地址為內(nèi)網(wǎng)地址，這個時候需要 VPN 設備使用 IPSec 協(xié)議通過防火墻做 NAT 穿越。 IPSec 的特點是較為適用于各分支機構之間的互聯(lián)，對于 IP 地址要求做較為完善的規(guī)劃，在一定程度上制約了 IPSec 的應用范圍。IPSec 提供了如何使敏感數(shù)據(jù)在開放的網(wǎng)絡（如 Inter）中傳輸?shù)陌踩珯C制。與 AH 不同的是，ESP 認證功能不對 IP 數(shù)據(jù)報頭中的源和目的以及其它域認證，這為 ESP 帶來了一定的靈活性。當運營商向多個用戶提供這種方式的 VPN業(yè)務時會存在地址沖突的可能性。目前有多數(shù)廠商的網(wǎng)絡設備均支持 GRE 隧道協(xié)議。3. 能夠?qū)崿F(xiàn)網(wǎng)絡計費的靈活性，可以在 LAC 和 LNS 兩處同時計費，即 ISP 處（用于產(chǎn)生賬單）及企業(yè)處（用于付費及審記）。利用公共網(wǎng)絡進行信息通訊，一方面使企業(yè)以明顯更低的成本連接遠地辦事機構、出差人員和業(yè)務伙伴，另一方面極大的提高了網(wǎng)絡的資源利用率。從 VPN 用戶角度看來，使用 VPN 與傳統(tǒng)專網(wǎng)沒有區(qū)別。缺點在于網(wǎng)絡連接性能低，不提供 QOS 保障，無法保證對實時業(yè)務的支持，無法滿足復雜業(yè)務處理的需求；網(wǎng)絡數(shù)據(jù)在 PSTN 傳輸，沒有任何安全措施，數(shù)據(jù)在傳輸過程中存在很大的安全風險；缺少足夠的訪問控制能力以及日志記錄能力，不能滿足事后審計需求。這種方式的優(yōu)點在于比較靈活，PSTN 電話線路資源比較容易獲得。VPN 只為特定的企業(yè)或用戶群體所專用。這一優(yōu)勢對于實現(xiàn)電子商務或金融網(wǎng)絡與通訊網(wǎng)絡的融合將有特別重要的意義。2. L2TP 支持內(nèi)部地址分配，LNS 可以放置于企業(yè)網(wǎng)的防火墻之后，它可以對于遠端用戶的地址進行動態(tài)的分配和管理，可以支持DHCP 和私有地址應用等方案。GRE VPN 技術 ：GRE(通用路由協(xié)議封裝）是由 Cisco 和 Netsmiths 等公司于 1994 年提交給 IETF 的，標號為 RFC1701 和 RFC1702。企業(yè)使用 GRE 的唯一理由應該是對內(nèi)部地址的封裝。Encapsulating Security Payload（ESP ）協(xié)議，通過對數(shù)據(jù)包的全部數(shù)據(jù)和加載內(nèi)容進行全加密，進而提供數(shù)據(jù)保密性、有限的數(shù)據(jù)流保密性，數(shù)據(jù)源認證，無連接的完整性，以及抗重放服務。IPSec 適應向 IPv6 遷移，它提供所有在網(wǎng)絡層上的數(shù)據(jù)保護，進行透明的安全通信。但這并不等于說它就是與網(wǎng)絡服務提供商無關的，我們可以作為網(wǎng)絡服務維護者的角度，幫助客戶建立并維護 VPN網(wǎng)絡，使得用戶不必投入人力資源去維護一個 VPN 網(wǎng)絡。SecPath10FSecPath10FESecPath10FEVPNSecPath10FESecPoint＋ SecKy水 利 水 電 集團 總 公 司省 分 公 司 移 動 辦 公網(wǎng) 管 系 統(tǒng)VPN管 理 平 臺BIMS系 統(tǒng)SecPath10FEVN VPN省 分 公 司 省 分 公 司在總公司部署 2 臺 SecPath1000F，分別連接不同運營商的 Inter 專線，實現(xiàn)總公司接入網(wǎng)關的互備和負載分擔，同時還可以實現(xiàn)對通過不同運營商線路上聯(lián)的分支機構的最優(yōu)接入；SecPath1000F 還兼做總公司的出口防火墻。 SecPath 系列 VPN 安全網(wǎng)關是華為 3Com 公司面向企業(yè)用戶開發(fā)的新一代專業(yè)安全網(wǎng)關設備；支持防火墻、AAA、NAT、QoS 等技術，可以確保在開放的 Inter 上實現(xiàn)安全的、滿足可靠質(zhì)量要求的私有網(wǎng)絡；支持多種 VPN 業(yè)務，如 L2TP VPN、IPSec VPN、GRE VPN、華為動態(tài) VPN、MPLS VPN、SSL VPN 等，可以針對客戶需求通過撥號、租用線、VLAN 或隧道等方式接入遠端用戶，構建 Inter、Intra 、Access 等多種形式的 VPN。同時，用戶也可指定某個設備的特殊配置。BIMS（Branch Intelligent Management System）就是要解決上述問題，實現(xiàn)對動態(tài)獲取 IP 地址的設備或位于 NAT 網(wǎng)關后面的分支網(wǎng)點設備的集中、有效的監(jiān)控和管理，尤其在對業(yè)務應用基本相同、數(shù)量龐大并且分布廣泛的網(wǎng)絡終端設備進行管理時，BIMS 會極大提高管理的效率，大大節(jié)約管理成本。設備和管理中心采用 協(xié)議進行通信的優(yōu)勢在于其可穿透絕大多數(shù)的防火墻，而且協(xié)議簡單、易擴展。 SecKey 認證方式結合，通過 USB Key 的方式存儲用戶的密鑰或數(shù)字證書、SecPoint VPN 客戶端配置信息等，加強身份認證的安全強度，減少 SecPoint 用戶身份信息被盜用的風險，同時減少 SecPoint 的配置管理工作，最終可以幫助企業(yè)實現(xiàn)優(yōu)化大規(guī)模移動 VPN 用戶接入的部署工作。用戶可以將數(shù)字證書 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 17或者用戶名/密碼保存到 SecKey 中來確保這些信息的安全，解決了身份認證信息安全存儲中的薄弱環(huán)節(jié)――存儲介質(zhì)安全性的問題。　　4. 是否支持集中式管理？集中管理平臺的報價？　　5. VPN 軟客戶端的報價，要求全網(wǎng)支持 1000 個 VPN 軟客戶端，可以在全網(wǎng)任意使用，即 VPN 軟客戶端可以和全網(wǎng)內(nèi)的任意一個 VPN 網(wǎng)關進行連接，不能針對每個 VPN網(wǎng)關作 License 限制。同時由于 SecKey 專用芯片所使用的安全封裝技術，使得從 SecKey 中強行獲取用戶私鑰的信息的嘗試變得不可能。 水利水電建設集團 VPN 安全接入方案 華為 3Com 技術有限公司 16華為 3Com 公司堅持以客戶需求為導向，新推出的基于智能卡安全技術的 Quidway174。通過安裝本軟件，可以使 PC 機通過多種方式與華為 3Com 公司的網(wǎng)絡設備（如 SecPath 系列安全網(wǎng)關及路由器設備等）進行 VPN 互聯(lián)，并最終實現(xiàn)遠端 PC 能夠安全、快捷地通過 Inter 訪問相應企業(yè)總部 VPN 的目的； SecPoint 提供了 L2TP 客戶端功能，只要遠端用戶能夠通過某種方式如撥號、ADSL 和小區(qū)寬帶等接入到 Inter，就可以和總部的 VPN 網(wǎng)關之間建立 L2TP 隧道，訪問公司企業(yè)內(nèi)部網(wǎng)（Intra ）上的相關資源。BIMS 網(wǎng)管側(cè)與設備側(cè)之間通過HTTP 協(xié)議進行通訊，采用 HTTP 進行通信的優(yōu)勢在于其可方便的穿透防火墻，而且協(xié)議簡單、易擴展。包括支持對 IPSec VPN 網(wǎng)關 CPU 利用率等關鍵指標的監(jiān)視；支持對 IPSec、IKE 隧道的監(jiān)視； 支持對協(xié)商過程的監(jiān)視；并提供折線圖、直方圖、餅圖等多種顯示方式直觀的把 VPN 性能數(shù)據(jù)顯示給用戶；支持 At a Glance、TopN 功能，使用戶能夠?qū)?CPU 利用率、流量等關鍵指標一目了然；提供報表導出和基于歷史數(shù)據(jù)的分析，為用戶網(wǎng)絡擴容、及早發(fā)現(xiàn)網(wǎng)絡隱患提供保障；支持對用戶關心的性能參數(shù)設定閾值，當超過設定的閾值后，系統(tǒng)將會發(fā)送性能告警，使網(wǎng)絡管理人員及時發(fā)現(xiàn)和消除網(wǎng)絡中的隱患。在配置業(yè)務中，提供預定義配置參數(shù)功能，以方便高級用戶預定義、重用配置信息。VPN Manager 實現(xiàn)設備管理、拓撲管理、VPN 監(jiān)控、VPN 引導部署、連接監(jiān)控以及網(wǎng)絡管理等功能，BIMS 完成設備配置文件管理、配置文件自動更新以及 VRP 版本管理等功能。從安全性的角度看，由于 L2TP 一般終止在用戶側(cè)設備上，對用戶網(wǎng)的安全及防火墻技術提出十分嚴峻的挑戰(zhàn)；而 IPsec 技術一般終止在網(wǎng)關上，因此不會對用戶網(wǎng)的安全構成威脅。根據(jù)用戶對在內(nèi)部網(wǎng)絡中傳輸數(shù)據(jù)的安全性和處理速度要求的情況，可采用 IPsec 技術組建企業(yè) VPN。密鑰管理協(xié)議：Inter Key Exchange （IKE）協(xié)議，實現(xiàn)安全協(xié)議的自動安全參數(shù)協(xié)商，可協(xié)商的安全參數(shù)包括數(shù)據(jù)加密及鑒別算法、加密及鑒別的密鑰、通信的保護模式、密鑰的生存周期等，這些安