VPN 移动办公解决方案模板.doc

《VPN 移动办公解决方案模板.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、VPN移动办公解决方案华为3Com技术有限公司安全产品行销部田灼02059概述VPN(VirtualPrivateNetwork，虚拟专用网)，是构建在公网Internet之上的逻辑网络，通过在两台网关设备之间建立一条虚拟专用连接进行数据传输。对用户来说，感觉到的是专有网络的服务。VPN技术正促使企业网络无限延展，使异地分支机构实现同步办公，移动用户安全接入企业网络已经变成现实。华为3Com移动办公解决方案通过采用IPSecVPN方式，实现了用低成本，高安全性的方式，使企业员工在移动办公期间接入公司内部网络的需求。V

2、PN移动办公解决方案工作流程：移动办公用户客户端上安装华为“SecPoint”VPN拨号软件，用户首先联入Internet，然后通过“SecPoint”与VPN网关进行L2TP＋IPSecVPN连接，连接过程中可以选择“静态密码”、“RSA动态口令卡”、“SecKeyUSBToken”等方式,用户接入VPN后直接获得企业私网IP地址，从而达到访问企业内部网络的需求。华为3ComVPN移动办公方案华为3Com移动办公解决方案，由移动终端拨号子系统、VPN接入安全网关子系统、认证计费管理子系统、VPN管理子系统四个部分组

3、成。移动终端拨号子系统移动终端拨号子系统负责移动终端VPN拨入功能，在客户移动终端上安装华为SecPointVPN客户端软件。移动用户通过某种方式如拨号、ADSL和小区宽、GPRS、CDMA1X带等接入到Internet，就可以通过SecPoint和VPN网关之间建立IPSec隧道，访问公司企业内部网（Intranet）上的相关资源。SecPoint还提供了强大的安全策略，包括IPSec、IKE和NAT穿越等，大大强化了VPN系统的安全性。IPSec使特定的通信方之间在IP层通过加密与数据源验证等方式，来保证数据报在

4、网络上传输时的私有性、完整性、真实性和防重放。SecPoint软件可以通过PPP协商向VPN申请IP地址。由于此IP地址的分配是由VPN隧道对端分配的，其保密性更高，被攻击的可能性也更小。同时SecPoint软件支持IPSec/IKE加密。IPSec为IP协议栈提供在IP层实施的一系列安全服务,为IP及其上层提供保护。SecPoint软件通过支持IPSec提供数据加密，数据完整性验证，数据身份验证，以及防重放功能。SecPoint软件支持IPSec隧道模式和传输模式，从安全性来讲，隧道模式优于传输模式。它可以完全地对

5、原始IP数据报进行验证和加密；此外，可以使用IPSec对等体的IP地址来隐藏客户机的IP地址。与此同时SecPoint软件和RSASecurID动态密钥、USBSecKey配合使用，可以更安全的验证用户的身份。SecPoint软件支持与网关侧设备的握手机制。当VPN隧道建立之后，SecPoint软件会根据用户配置，定时向网关侧设备发送握手。如果一定时间收不到握手，网关侧设备认为对端已经离线，自动将状态设置为断开。如果用户需要再使用VPN隧道资源，需要重新认证。握手机制能够增加安全性，防止身份冒充。SecPoint软件

6、不仅支持局域网用户，同时也支持拨号用户、ADSL用户、WLAN用户。相对于局域网用户，SecPoint软件能够让拨号用户使用IPSec/IKE加密。为保证数据安全，建立VPN隧道时使用IKE协商为IPSec提供密钥供IPSec加密使用。但是在一般使用IKE协商时，要求两端设备配置对端IP地址信息。但是，由于使用VPN`客户端软件的用户经常处于拨号上网的状态，而每次上网时其IP地址是不固定的，如果要求VPN隧道的网关侧设备每次都修改对端IP地址，其维护量就可想而知了。SecPoint软件通过支持IKE的Aggressi

7、ve模式（野蛮模式）成功地解决这个问题，在这种模式下，IKE协商时允许协商的两端不使用IP地址信息，而代之以使用双方的name。这样当拨号用户使用动态IP地址，只要正确的配置对端name，而网关侧设备也接受次name，就可以进行IKE协商。从而实现IPSec加密。SecPoint软件支持对VPN隧道对端多个网段的访问。在实际应用中，VPN隧道对端即公司本部组网中包含很多网段，例如，公司所有的服务器的IP为172.20.*.*，研发部门的IP为10.153.*.*，财务部门的IP为10.150.*.*。当用户通过Sec

8、Point软件和网关建立VPN隧道之后，通过协议从公司本部分配了一个IP地址10.151.*.*，掩码为255.255.255.0。如果用户需要访问公司的内部DNS服务器，IP为172.20.1.120，由于用户计算机上没有针对DNS服务器的路由，所以用户无法访问DNS服务器。而SecPoint软件成功地解决了这个问题，只需要用户在使用登录之前