深信服移动VPN安全接入方案

《深信服移动VPN安全接入方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、.VPN安全接入方案深信服科技有限公司2010年12月14日互联网安全接入方案目录第1章行业问题及挑战1第2章整体方案设计12.1深信服SSLVPN解决方案1第3章方案技术特点23.1更安全，快速的SSLVPN23.1.1身份认证安全23.1.1.1多种方式混合认证23.1.2数据传输安全33.1.3权限划分安全33.1.4应用访问审计安全33.1.5数据加速技术53.1.5.1基于码流特征的数据优化53.2更易用的SSLVPN73.2.1SSL/IPSecVPN一体化选择73.2.2支持所有B/S、C/S应用83.2.3应用系统单点登录功

2、能（SSO）83.2.4系统托盘功能—防止误关闭IE93.2.5支持内网DNS、外网DNS103.2.6多虚拟IP池支持113.2.7默认服务页面113.2.8扩展易用功能123.2.9匿名登录功能143.2.10智能递推153.3更稳定的SSLVPN163.3.1Webagent技术实现动态IP组网16ii深信服科技版权所有www.sangfor.com.cn互联网安全接入方案3.3.2多线路备份163.3.3集群技术173.4高管理性的SSLVPN183.4.1流量管理和会话限制183.4.2用户分级管理183.4.3管理员分级管理20

3、第4章方案价值214.1安全、稳定的业务发布214.2快速访问提升工作效率214.3便捷的用户使用体验，降低管理工作量224.4高性价比组网、扩容方便22第5章典型客户案例225.1中国人民银行总行选择深信服SSLVPN225.2中国航天科技集团应用深信服VPN组网方案245.3中国海油构建分布式VPN远程访问系统275.4更多成功客户列表29第6章深信服售后服务体系306.1售后服务体系概述306.2技术支持及服务内容346.3专业的CTI中心，完善的用户档案系统35第7章深信服科技介绍35ii深信服科技版权所有www.sangfor.c

4、om.cn互联网安全接入方案第1章行业问题及挑战风险管理一直是银行行业内控流程当中的重要环节，在IT风险管理层面，管理员需要及时应对网络/应用系统可能出现的风险及隐患，并设法将其危害降至最低。在行业监管方面,相关的监管部门陆续出台了相应的IT技术指引,要求银行公司加强员工网络行为的管理及留痕,加强网络安全建设。第2章整体方案设计2.1深信服SSLVPN解决方案结合兴业银行实际网络及应用情况，我们推荐采用深信服SSLVPN设备进行全网组网，具体网络部署如下图所示：方案说明：在核心交换上以单臂方式部署一台深信服SSLVPN，实现内网服务器区应用

5、系统的安全公网发布。通过上述的方案部署，可实现：²银行应用办公平台移动办公采用SSLVPN对应用进行安全发布，避免需要将服务器直接挂在公网上造成的风险。用户在外需要进行内网接入时，可直接通过浏览器打开网页完成SSLVPN登录及安全隧道的建立，如同登录网银、邮箱一般符合日常的网络使用习惯，容易上手。而SSL协议是目前公认安全等级较高的网络安全协议之一，现今网上银行基本都采用SSL协议进行数据传输保护，对于数据传输采用标准的AES、RSA、RC4等加密算法对传输数据进行加密，安全性有保障。22深信服科技版权所有www.sangfor.com.c

6、n互联网安全接入方案²应用系统安全加固在系统安全加固方面，采用登录SSLVPN身份验证、权限划分、登录应用身份验证的主线进行保障。SSLVPN接入认证方式可采用用户名密码、USBKEY、短信认证、动态令牌、CA认证、LDAP认证、RADIUS认证等两种或多种认证的组合，多重组合软硬结合确保接入身份的确定性。在用户接入SSLVPN后进行应用访问权限的划分对于享有访问权限的应用系统采用主从账号绑定SSLVPN登录账号和应用系统账号。用户只可采用指定的账号访问应用系统。由于登录SSLVPN的身份已通过多重认证的确认，而后又进行指定应用账号访问，即

7、可保障登录应用系统的人员的身份。第1章方案技术特点1.1更安全，快速的SSLVPNSANGFORSSLVPN身份认证安全、终端访问安全、数据传输安全、权限划分安全、应用访问审计安全五大安全体系，由头至尾保证整个SSLVPN接入访问的安全性。1.1.1身份认证安全1.1.1.1多种方式混合认证许多部署在局域网内重要的应用都是采用最简单的用户名密码进行验证。使用单一用户名密码进行验证存在帐号密码遭人盗用而导致越权访问的问题，尤其对于重要的应用系统如财务、客户信息等限定在特定部门、特定人员访问的核心系统，一旦遭遇用户名密码被盗窃，其后果所造成的威

8、胁将是不可估量的。SANGFORSSLVPN支持多种认证方式的多因素组合认证，除了最基本的用户名密码认证之外，还支持LDAP/AD、Radius、CA等第三方认证，支持USBKE