迈普SOHO方案：建VPN便宜又安全

迈普公司推出的MPSec系列网络安全产品（包括防火墙、VPN网关、系列安全路由器以及设备证书管理系统），可以提供各种网络的安全解决方案。近日，迈普公司又推出了系列SOHO网络安全产品（MPSec FW505、MPSec VPN3005以及MP800系列安全路由器）。SOHO网络安全产品的推出，解决了采用ADSL等使用动态IP地址的网络环境下组建VPN的问题。

网络结构

如图所示，利用MPSec FW520、MPSec VPN3005、MPSec VPN VRC和MP800安全路由器组建星型VPN网。在该VPN网络中，分支结构的用户投资非常少。此方案支持固定、动态IP地址的分配方式，适用于不同线路类型用户的接入，上端MPSec-FW520可以完成对网络的流量管理、计费等功能。

 网络方案

中心结点 　　

在方案中，网络中心放置一台MPSec-FW520(带VPN模块)或MPSec VPN3020作为中心结点，提供VPN接入功能。该设备的IP地址采用固定的外网IP地址，以便下端采用动态IP地址的结点访问。所有下端分支办分室相互之间的通信需要通过MPSec-FW520来转发完成。

迈普公司动态IP地址网络VPN解决方案图　　　

MPSec-FW520与两个分支办公室分别建立VPN隧道，并将报文在两个隧道内转发。它实现IPSec建安全隧道，并通过IKE实现密钥协商和用户认证。MPSec FW520支持迈普公司独创的安全域技术，可以将不同的分支结构划分为不同的安全域，同一个安全域中的不同结点之间可以进行通信，不同安全域之间不能通信。在一个安全域中，所有的结点网络的IP地址采用统一规划，不同安全域各自采用的IP地址可以重复。　　　

中心结点可采用双机热备份功能增强系统的可靠性。备份机与主机共用一个IP地址，之间采用心跳协议进行自动备份探测，两台相互备份的设备之间可以自动对配置文件进行备份。MPSec-FW520可以工作在路由方式或透明方式下，还支持防火墙功能。　　　

边沿结点 　　

分支用户使用MPSec VPN3005或MP800安全路由器，作为接入网络的设备。这两款分支接入设备都支持ADSL、以太网络的网络接入方式，均采用标准IPSec实现VPN，并支持IKE以及迈普设备证书管理系统的在线证书管理并且支持第三方的证书。　　　

在网络中，边沿网络设备可以采用固定IP地址或接受ISP分配的临时动态IP地址。采用固定IP地址时，在设备上需要指定中心结点的IP地址，在中心结点上也需要设置分支结构的IP地址；当采用动态IP地址时，只需要在分支结构的设备上设置中心结点的IP地址，然后在中心结点给每一个分支机构分配一个用户名、口令即可。　　

MPSec VPN3005支持DHCP Server/Client，在需要时可以为接在信任端口的内网主机分配IP地址，实现多台PC同时上网，并支持防火墙功能。对于接在分支网络的用户，可以选择上Internet或VPN进入公司内部网络。当需要进入公司内部网络时，网络中的PC需要通过认证程序通过MPSec VPN3005/MP800的用户认证。　　　

移动用户的接入 　　

移动用户运行专用客户端软件，其他连接方式与其他分支用户相同。　　

方案优势 　　

方案解决了分支机构在采用动态IP地址接入网络环境下实现VPN的问题，使用户既可以采用便宜的ADSL等宽带接入方式保障带宽，又可以采用硬件加密技术实现网络通信保密。　　　

采用IPSec进行报文的隧道封装，提供数据完整性保护和机密性保护。对数据的加密采用国密办批准的SSP02A加密算法实现。　　　

进行隧道封装时，提供多种强度隧道的选择，可选择只进行完整性保护、机密性保护或同时进行两种保护，并提供多种算法供选择。还可根据用户要求嵌入用户自已的算法。对于不同的用户也可以采用不同的加密强度。　　

投资少，用户只需在中心结点选择一台高性能的设备，边沿结点只需要选择迈普公司的SOHO网络安全设备即可。在这种应用下，边沿结点的用户只需与中心结点建立一个隧道，即可完成与所有用户的通信，因此对于边沿结点的VPN设备性能要求不高。　　

可扩展性好。该方案由于每个结点都与中心结点连接，不存在相互建立连接的过程。因此添加设备时，不会对网络造成结构上的影响，只须改变新加结点和中心结点的部分配置即可实现网络的扩充。　　　

中心结点支持流量管理和计费功能，可以以用户方式对下端进行控制。　　　

支持多种IP地址分配方式和多种类型的线路接入，适用于固定IP和动态IP，解决了动态IP接入的问题。