apngw產品技術白皮書(編輯修改稿)

　

【文章內容簡介】 用 IPv4 保留的私有地址對主機進行地址分配，同時在 NAT 網關處將所有的內部網絡地址以某種方式動態映射為一個或多個因特網合法 IP 地址（通常為 NAT 網關的外網口地址）。目前 NAT 技術以其簡單實用的特點在國內得到了非常廣泛的應用，比如：企業局域網通過代理或防火墻共享上網，小區和智能大廈提供的寬帶接入，寬帶城域網接入業務等等；而且在很多地方用戶訪問因特網的數據往往通過了多層 NAT 網關的轉換。 在多數情況下 NAT 的處理對用戶使用是完全透明的，但是當希望使用 IPSec技術組建VPN 網絡時， NAT 卻帶來了很大的麻煩。由于 NAT 處理過程是需要修改 IP 數據報文的 IP頭數據、傳輸層報文頭數據甚至傳輸數據的內容（如 FTP 應用），而在 IPSec 協議中是對整個 IP 報文數 據進行了加密和完整性認證處理的，所以一旦經過 IPSec 處理的 IP 包穿過NAT 網關時，包內容被網關所改動，改數據包到達目的主機后其解密或完整性認證處理就會失敗，于是這個報文被認為是非法數據而被丟棄。這就是組建 VPN 網關最常見的 “IPSec與 NAT 協調工作 ”的問題。 為了解決這個問題 IETF 專門為 IPSec 制定的 “NAT 穿越（ NATT） ”的協議草案，目前該草案的最新版本為 ，是 2020 年剛剛提出的。協議中解決 NAT 穿越問題的基本思路是在 IPSec 封裝好的數據包外再進行一次 UDP 的數據封裝，這樣當此數據包穿 過 NAT 網關時，被修改的只是最外層的 IP/UDP 數據，而對其內部真正的 IPSec 數據沒有進行改動；在目的主機處再把外層的 IP/UDP 封裝去掉，就可以獲得完整的 IPSec 數據包。 由于 NATT 協議標準制定的時間還比較短，而且還沒有最終形成 RFC的標準，所以目前國內 VPN廠商真正支持這個標準的產品幾乎沒有，國外的 VPN 廠商也只有象 NetScreen這樣的大型的 VPN 設備供應商才支持 NATT 標準。華盾 VPN 的全系列產品（從網關到移動客戶端軟件）都支持最新的 NATT 標準。由于 NAT 技術在國內的廣泛應用，所以用戶在選 用 VPN 設備時應該將這一功能作為一個重要的考核指標。 第二章 APN GW 產品 介紹 APN GW是新一代的 VPN。它最大的特點是形成網狀連接、費用低，穩定可靠，無需專線，無需固定 IP 地址。可以支持多種上網方式，如撥號、寬帶、 ISDN、 ADSL。 ? 產品特征 ? APN GW 是解決網絡安全傳輸的最高效，最節省的組網技術。 ? APN GW 能使用動態 IP 接入 Inter 的 LAN 之間進行互聯。 ? APN GW 能形成網狀的網絡連接，通訊無中心瓶頸，構建高效的即時通訊平臺； ? 以最低成本接入， 最低通訊成本提供高性能高可靠性的企業專網的計算機網絡技術。 ? APN GW支持 ADSL ISDN DDN Dialup方式，靜態 /動態 IP 接入。在相同的通訊帶寬下，節省 80%通訊費用。 ? APN GW 能使普通企事業也能通過 Inter 組建自己的企業專網。使企業所有于局域網上應用的網絡應用以最低的成本應用至 Inter 所及的范圍 。 ? 技術要點 ? 協議： TCP/IP ? 基于 IPSec 國際標準 ? 完善的路由功能 ? 完善的寬帶代理服務器。 NAT/PAT 地址轉換技術保護內部網絡。 ? DHCP 服務器 ? DNS 服務器 ? 設 備是一個高性能的防火墻 ? 內置 PPPoE ? Tel or VT100 終端控制端口命令行 ? 硬件接口 ? Console 接口：系統配置及系統監測，通過 RS232 (9600, 8N1)進行通訊 ? 局域網接口： Ether Interface, 10/100BASET ? 廣域網接口： Ether Interface 10/100BASET) / PPPoE 通訊口接口 ( 用于接 ADSL Cable Modem) ? 廣域網接口： RS232, 外置 Dialup Modem / ISDN TA ? Flash 擴展槽（ RSA硬件密鑰接口）、硬件加密卡接口（部分型號） ? 物理規范 ? 輸入電壓： 110V~230V ? 功率：最大約 40W (GW1000/2020) GW200 小于 2W ? 使用環境溫度： 0~45 ℃ ? 使用環境濕度： 5~95% ? 加密算法 數據傳輸可自由選擇 ? AES/128 位加密算法 ? 3DES/168 位加密算法 ? SERPENT/128 位加密算法 ? BLOWFISH/128 位加密算法 ? TWOFISH/128 位加密算法 ? 國家密碼委員會指定的硬件加密卡 、加密器 或第三方算法 保證數據完整可自由選擇 ? MD596 ? SHA196 ? SHA2256 ? SHA2512 身份認證支持 ? RSA 2048 ? Preshare Key ? 符合標準 ? RFC2401 Security Architecture for the Inter Protocol ? RFC2411 IP Security Document Roadmap ? RFC2402 IP Authentication Header ? RFC2406 IP Encapsulating Security Payload (ESP) ? RFC2367 PF_KEY Key Management API, Version 2 ? RFC2407 The Inter IP Security Domain of Interpretation for ISAKMP ? RFC2408 Inter Security Association and Key Management Protocol (ISAKMP) ? RFC2409 The Inter Key Exchange (IKE) ? RFC2412 The OAKLEY Key Determination Protocol ? RFC2528 Inter Public Key Infrastructure ? RFC2085 HMACMD5 IP Authentication with Replay Prevention ? RFC2104 HMAC: KeyedHashing for Message Authentication ? RFC2202 Test Cases for HMACMD5 and HMACSHA1 ? RFC2207 RSVP Extensions for IPSEC Data Flows ? RFC2403 The Use of HMACMD596 within ESP and AH ? RFC2404 The Use of HMACSHA196 within ESP and AH ? RFC2405 The ESP DESCBC Cipher Algorithm With Explicit IV ? RFC2410 The NULL Encryption Algorithm and Its Use With IPsec ? RFC2451 The ESP CBCMode Cipher Algorithms ? RFC2521 ICMP Security Failures Messages ? APN GW 產品列表 APN GW ID Product Product Description GW200 Series GW00200 APN GW200 2 Eth 10/100 BaseT NIC,1 232Com接口（與 Console接口共用）； 8M Flash, MIPS CPU Based on IPSec Tunnels 適用于運用 VOIP 和視頻會議，數據，簡單防火墻功能 GW2020 Series GW20200 APN GW2020 2 Eth 10/100 Based NIC,1 232Com接口； 1Console接口； 8M Flash,243MHz CPU With AOS with Firewall /3DES/AES/BLOWFISH/TWOFISH MD5 /Preshare Key 基于 IPSec，多種加密算法可選，身份驗證用 PRK GW20500 APN GW2500 3 Eth 10/100 Based NIC,1 232Com接口； 1Console接口； 32M Flash； 1 Flash Slot,C533MHzCPU, 1 Licenses Key,With AOS ,With Firewall MD5 /Preshare Key RSA 適用于數據流量大公司，或要求國家加密算法的行業用戶 基于 IPSec，多種加密算法可選，身份驗證用 PRK 和RSA，支持硬件加密卡 GW5000 Series GW50100 APN GW5000 3 Eth 10/100 Based NIC,1Console接口； 32M Flash；可擴展 1 Flash Slot,800MHzCPU, With AOS ,With Firewall MD5 /Preshare Key RSA 適用于集團公司 VDN 服務、 IPSEC 通訊。 PPTP Options for All version but 100 PT20200 PPTP Server PPTP Server For APN 可以在線 update PT20200 PPTP Client For Windows 2020/ PPTP APN GW Hardware Options Cable CB10100 Console cable APN Console Cable CB10101 Console cable VOIP Console Cable VOIP VO10100 APN GW VOIPO 4 路 VOIP， FXO 接口 VS10100 APN GW VOIPS 4 路 VOIP， FXS 接口 APN GW 2500 Hardware Options 硬件加密卡 SJ20200 2020 SJW － 1 Card 經 “國家密碼管理委員會辦公室 ”批準的加密算法的VPN 隧道加密卡 31M，簽名 13 次 /秒 SJ20201 2020 SJW － 2 Card 經 “國家密碼管理委員會辦公室 ”批準的加密算法的VPN 隧道加密卡 50M，簽名 13 次 /秒 SJ20202 2020 SJW － 3 Card 經 “國家密碼管理委員會辦公室 ”批準的加密算法的VPN 隧道加密卡 50M，簽名 60 次 /秒 CF20200 2020CFK 2020 密鑰存儲器（標配已有） GW200 APNGW 2020 外觀 GW2500 及其內部構造：支持硬件加密卡 GW2500在背部支持 RSA Key,可以用 RSA2048 位密碼驗證 GW5000 ? APN GW 系列產品性能 指標 產品名稱 APNGW1000/2020/2500/5000 產品定位 需要最高性能和可靠性的大型組織機構企業 /大型網狀的連接、從企業級、電信級用戶 防火墻 緊密集成 /支持分組管理、 VPN通道中的用戶管理和上網管理等多個模塊，基于包過濾的狀態檢