广西企业远程访问接入解决方案

《广西企业远程访问接入解决方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、企业远程安全访问接入解决方案广州神州数码有限公司2005年11月目录第一章简介2第二章需求分析32.1具体需求分析4第三章SSL-VPN解决方案53.1网络拓补图53.2方案分析5第四章SSLVPN产品选型84.1F5FirePass的关键技术84.2F5FirePass系统设备型号选择11第五章成功案例15第一章简介Ø什么是VPN:VPN就是指利用公共网络，如公共分组交换网、帧中继网、ISDN或Internet等的一部分来发送专用信息，形成逻辑上的专用网络。VPN实际上就是一种服务，用户感觉好象直接和他们的个人网络相连，但实际上是通过服务商来实现连接的Ø用

2、户、企业的需求正是VPN技术诞生的直接原因：l高效的管理及信息的即时获取需要随时随地的访问l需要强的安全控制l需要容易部署和管理ØVPN实现安全接入的两种主要办法lIPSecVPNlSSLVPNØSSLVPN将成为远程访问技术主流l降低维护费用并提高效率l与IPSec相比采用SSLVPN在三年的时间内节省$80,000到$260,000(BreakawayMarketingGroupAugust2004)l丰富的客户端活动日志和审计功能l优异的安全性l精确适当的访问权限lIPSec用来为子网对子网的安全通道而设计，不适用于远程客户端访问Ø远程访问系统是管理系

3、统而非纯业务系统第二章需求分析某企业的总公司设在南宁，南宁本地也有自己的分公司，另在全国各地有24家办事处，七百多业务员：²通过VPN实现总部和分公司及各办事处的互联²VPN主要跑ERP数据和OA系统²业务员通过OA发送销售日报、周报、月报回总公司²业务员会在公共场所发送数据，要确保数据的安全性，可行性²不需在客户端安装软件即能实现VPN的连接2.1具体需求分析根据客户的SSLVPN的要求,我们总结出来，具体需求如下:1．通过SSLVPN来实现对总局内部网络的无客户端软件访问模式，实现方便快捷的访问；2．SSL　VPN用户最大并发的SSLVPN访问人数可能达

4、到700人；以后随着业务的增长，并发数有可能继续增长；3．保证业务员在公共场所发送数据的安全性。用户的认证管理既可以使用Firepass自身的用户数据库进行管理，也支持使用用户已有的用户数据库进行认证，并且支持多种认证方式，包括外部RadiusServer认证管理模式以及双因数认证方式，例如RSA的SecuID和RAINBOW的IEKY；5．通过SSLVPN接入总公司内部以后，可以支持总公司内部资源的访问及其它典型应用。6．灵活的扩展空间，根据实际应用的需求灵活投资，提高整体服务能力第三章SSL-VPN解决方案3.1网络拓补图移动用户Internet移动用户

5、应用服务器组F5-FirePass3.2方案分析将F5FirePass连接到总公司的核心交换机上，利用原有存在防火墙，在防火墙上映射一个合法可路由的IP地址为FirePassVPN设备，并添加相应的安全策略，在FirePassvpn设备上添加用户组，并且为每个用户组添加相应的用户（如广州办、福州办等），为每个用户组设置相应的访问权限。远程分之机构用户、移动用户只需要在本机的IE浏览器输入映射的IP地址或者域名即可访问到FirePassvpn的首页内容，然后输入分配的用户名和密码，即可访问相应的内部资源。该方案有以下优点：1、适宜具体需求，满足用户的应用；2、

6、可行性强，实施方便，减少整体投资，具有良好的性能价格比；3、系统可扩展性强，因为VPN是建立在公网上的私有连接，因此当网络拓扑改变时，不依附于资源提供商和物理设备；可以很好适宜各种网络结构，对网络的调整减少到最小；5、数据高度保密,提供最高级别的安全保护；6、可以设定每条vpn通道的策略，确保每个连接权限；7、易用性和灵活性好，用户可以通过固定网络（ADSL/DDN/FR/ISDN）或拨号随时随地通过VPN访问数据。如果专线出现问题或若分支机构地点改变不会影响同网络安全及VPN中心信息交换，这很好解决由于专线出故障无法同网络安全及VPN中心信息交换的问题。方

7、案具体说明：将F5FirePass连接到防火墙的DMZ区上，利用防火墙，在防火墙上映射一个合法可路由的IP地址为FirePassVPN设备，并添加相应的安全策略，可实现下列的安全远程访问：1、ERP及OA系统的应用1)可以通过网络访问方式或者通过网站访问入口方式实现访问总公司的ERP及OA应用系统，进行日报、周报、月报的工作，并能支持各种正常的B/S结构访问处理；2)可以沿用网络中心对总公司资源的访问控制方式，在原有基础上，定义一个固定网段的地址范围才能访问总公司资源，而这个地址范围为Firepass为通过认证的用户分配的虚拟地址池2、日后扩展的办公自动化系

8、统的应用通过INTERNET，访问总公司内部的资源，