科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道集中管理下的VPN

集中管理下的VPN

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

某大型运输企业在行政上分为总公司、分公司、营业部三级,全国共有130个分支机构,相对应的网络也有三级,是一个覆盖全国的复杂的大型广域网系统。集成访问控制,确保网络整体安全 联想SJW44除提供加密隧道外,还提供了防火墙功能,实现明文与密文相结合。

作者:中国IT实验室 2007年9月14日

关键字: VPN 虚拟专用网 SSL VPN IPSecVPN

  • 评论
  • 分享微博
  • 分享邮件

某大型运输企业在行政上分为总公司、分公司、营业部三级,全国共有130个分支机构,相对应的网络也有三级,是一个覆盖全国的复杂的大型广域网系统。该企业的各分支网络技术差异较大,有DDN专线、动态ADSL、ISDN、CABLE MODEM等接入,也有PSTN电话接入。拟建的虚拟专用网要连接总公司、各分公司及营业部,实现各地之间业务数据的加密传输,形成一个统一的网络视图,实现对整个公司的业务统一管理。

重点要解决的问题

该运输公司信息网络应用系统包括办公系统、物流系统、视频会议、ERP系统、内部网站、语音通信等。这些应用系统所承载的数据涉及到公司的商业秘密,是公司的重要财富。公司在公网上传输数据时,希望重点解决网间互联所带来的以下安全问题:

访问控制 采用IP包过滤、密码同步、密钥协商及其控制管理等多重安全技术,阻止系统以外的网络或设备对自身网络的非法访问、非法连接,抵御来自公网上的攻击,保护网络资源安全。

传输数据保密 所有进入公网的数据必须经过密码加密后才能进行传输,使得在公网间传输的信息或数据均是不可读的密文,防止了搭线窃听,从而保证数据的安全性。

数据来源正确性鉴别 通过网络传输协议,虽然可以判别信息来源的地址或物理位置,但利用传输协议的漏洞、地址欺诈很容易实现。利用密码及密钥分割技术,结合数据中的标识信息,可准确地判别数据的来源或数据发送方的身份。同时也可防止重放攻击。

数据完整性鉴别 公网并非只是由线路组成,在公网中还有大量的路由交换设备和服务器设备,从技术上讲,途经公网的IP数据包的内容是比较容易被更改的。使用密码技术保护的数据,在传输途中一旦被篡改,加密设备立刻就能鉴别出来。

采用IPsec/VPN方案

针对企业用户安全通信需求,联想选择了基于IPsec的VPN产品。其思路为: IPsec是一个便于扩展的标准协议,同时与链路密码机和物理线路无关,其加密对各种应用层透明,而对于MPLS VPN,设备与策略自主可控,适应性较强(虚拟专用网系统方案如下图所示)。

  

该系统分为四部分:安全管理系统、子网互连系统、远程拨号接入系统、访问控制系统。公司总部网络中心配备一套安全管理中心,负责整个网络的密钥管理、证书管理、网关管理、隧道管理,同时制定访问控制规则,负责动态IP网关的检测与控制;配备2台加密速度为60Mbps,隧道数为2000的SJW44 VPN加密网关,构成一个集群,实现负载均衡和双机热备,确保不出现单点故障,并提高接入点的处理能力。

系统的子网互连系统和访问控制系统由联想的SJW44网络密码机实现。针对拥有四台以上计算机的各分公司,对光纤、ADSL、CABLE MODEM的接入方式,各配备一台加密速度为20Mbps,隧道数为100的SJW44 VPN加密网关; 针对拥有三台以下计算机的各分公司和移动办公用户,由于每天上线时间较短,主要访问上级数据,从成本考虑,采用电话拨号方式或ADSL方式,用户安装SJW44网关的软件VPN 客户端。

如何实现VPN的安全管理?

集中管理,降低管理和部署成本 由于系统涉及一百多个遍布全国的VPN节点,分散的管理体系暴露出使用不便、难于维护、效率低下等缺陷,为此,联想提供了“网御VPN”加密网关集中管理系统,该系统基于PKI密钥管理框架,通过实时在线的安全信道,以最少量的操作高效地组建虚拟专用网,并进行密钥管理、网关管理、隧道管理、策略管理、证书管理、各种状态监控,使整个系统部署灵活,易于扩展。

动态VPN支持,解决复杂的接入方式 在中国当前的网络环境中,有各种各样的接入方式,每种接入方式又有多种实现方法,如ADSL接入就有专线、桥接、PPPOE等方式,PPPOE又与NAT结合,为此,联想提出动态VPN方案,将网关与管理中心、动态域名解析方式进行整体设计,完全解决了各种情况下的端对端的安全问题。所谓动态VPN,有两层含义,一层是作为VPN节点的VPN网关或VPN客户端的IP地址的动态性(如ADSL接入地址就是动态的);另外一层含义是访问控制策略的动态性,与VPN所保护的业务动态性相对应。

安全管理中心管理系统和动态域名解析安装在总公司,初始时由安全管理中心为每台VPN网关生成包含此网关属性的唯一标识证书,当ADSL接入的网关拨号取得动态IP后,则首先向安全管理中心汇报已经接入Internet,安全管理中心根据其证书判断此网关的属性和相应的隧道规则,再根据其他网关接入Internet情况,进而进行隧道建立、隧道启动、证书和密钥交换等管理工作,其过程完全遵守IPsec协议。

集成访问控制,确保网络整体安全 联想SJW44除提供加密隧道外,还提供了防火墙功能,实现明文与密文相结合。SJW44实现了基于协议、端口、地址的包过滤,实现了MAC地址绑定、地址转换NAT、反向地址转换等访问控制,防止对各分支网络的非授权访问,防止非法入侵等,达到了隔离公共网络和内部网络、各分支内部网络之间通信的目的。使用SJW44后,大部分分支机构不用再部署防火墙之类的访问控制设备,从而节省投资,简化管理。

协同管理+动态技术

在该方案中,由于某企业具有130个分支机构,VPN系统涉及到100多个节点,分散的管理体系暴露出使用不便、难于维护、效率低下等缺陷。因此,对于VPN系统的设计与部署来说,真正的挑战是让所有设备在一个全面的安全策略下协同工作。联想所提供的“网御VPN”加密网关集中管理系统,基于PKI的密钥管理框架,通过实时在线的安全信道,以最少量的操作,安全高效地组建虚拟专用网,并进行密钥管理、网关管理、隧道管理、策略管理、证书管理、各种状态监控,使整个系统部署灵活,易于管理和扩展。

在中国目前的网络环境中,有各种各样的接入方式,每种接入方式又有多种实现方法,在实际应用中,一个不容忽视的现象是,NAT和NAPT的普遍应用。由于NAT(网络地址翻译)协议IKE与VPN协议IPsec互不兼容,使得传统的静态VPN在实际应用中受到很多限制,而联想的动态VPN技术是为解决此类问题而设计,将网关与管理中心、动态域名解析方式进行整体设计,解决了各种情况下的端对端的安全问题。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章