【正文】 深信服科技SSL VPN產(chǎn)品白皮書 深信服科技有限公司2010年10月版權(quán)聲明深圳市深信服電子科技有限公司版權(quán)所有，并保留對本文檔及本聲明的最終解釋權(quán)和修改權(quán)。 本文檔中出現(xiàn)的任何文字?jǐn)⑹觥⑽臋n格式、插圖、照片、方法、過程等內(nèi)容，除另有特別注明外，其著作權(quán)或其它相關(guān)權(quán)利均屬于深圳市深信服電子科技有限公司。未經(jīng)深圳市深信服電子科技有限公司書面同意，任何人不得以任何方式或形式對本文檔內(nèi)的任何部分進(jìn)行復(fù)制、摘錄、備份、修改、傳播、翻譯成其他語言、將其全部或部分用于商業(yè)用途。免責(zé)條款 本文檔僅用于為最終用戶提供信息，其內(nèi)容如有更改，恕不另行通知。 深圳市深信服電子科技有限公司在編寫本文檔的時候已盡最大努力保證其內(nèi)容準(zhǔn)確可靠，但深圳市深信服電子科技有限公司不對本文檔中的遺漏、不準(zhǔn)確、或錯誤導(dǎo)致的損失和損害承擔(dān)責(zé)任。信息反饋 如果您有任何寶貴意見，請反饋： 信箱：廣東省、深圳市、南山區(qū)麒麟路1號創(chuàng)業(yè)中心四樓 郵編：518052電 話：075526581949傳 真：075526581959 您也可以訪問深信服科技網(wǎng)站： 深信服SSL VPN產(chǎn)品白皮書 文檔密級：公開目錄第1章 序言 1第2章 SANGFOR SSL VPN網(wǎng)關(guān)簡介 4第3章 SANGFOR SSL VPN網(wǎng)關(guān)技術(shù) 5 更安全的SSL VPN為業(yè)務(wù)互聯(lián)保駕護(hù)航 5 豐富的認(rèn)證方式 5 混合認(rèn)證保護(hù)機(jī)制 5 動態(tài)身份認(rèn)證提供多重保證 6 內(nèi)置的CA中心提供完整認(rèn)證體系 8 與LDAP（AD）結(jié)合 9 與Radius結(jié)合 10 與第三方CA結(jié)合 10 開放數(shù)據(jù)接口提供二次開發(fā) 11 與其他第三方認(rèn)證系統(tǒng)結(jié)合，保護(hù)前期投資 11 圖形碼驗證功能 11 軟鍵盤功能 11 會話超時控制功能 11 全面的密碼安全保障 12 客戶端安全檢查從端點(diǎn)開始保障您的網(wǎng)絡(luò)安全 12 強(qiáng)化的網(wǎng)絡(luò)防護(hù)－VPN虛擬專線功能 13 零痕跡訪問功能避免安全漏洞 13 真正的SSL 協(xié)議加密傳輸 14 訪問權(quán)限控制功能提供最細(xì)致的權(quán)限管理 15 完善的日志系統(tǒng) 15 豐富的日志信息 16 強(qiáng)大的實(shí)時監(jiān)控能力 16 沙盒技術(shù)安全桌面 17 集成企業(yè)級狀態(tài)防火墻 18 更快的SSL VPN提升業(yè)務(wù)辦公效率 19 多線路智能選路解決您的網(wǎng)絡(luò)延遲問題 19 多線路帶寬疊加技術(shù)，擴(kuò)大出口帶寬 20 HTP技術(shù)，提高無線和惡劣環(huán)境下的訪問速度 21 動態(tài)壓縮技術(shù)，全面提高傳輸速度 21 基于Web的壓縮技術(shù)，進(jìn)一步提高傳輸效率 22 流緩存技術(shù)大幅減少數(shù)據(jù)冗余碎片 22 強(qiáng)大的硬件加速卡，更快的SSL處理速度 23 更好用的SSL VPN 23 能支持您的所有網(wǎng)絡(luò)應(yīng)用 24 B/S正則替換，全面適應(yīng)各種平臺 24 提供IPSec/SSL一體化選擇 24 虛擬門戶 25 遠(yuǎn)程應(yīng)用發(fā)布功能 26 配置向?qū)Ш喕芾韱T的操作過程 26 隱藏服務(wù)模式 27 支持動態(tài)IP 27 管理員分級分權(quán)限管理 27 定制登錄界面功能 28 單點(diǎn)登錄功能（SSO） 28 移動終端設(shè)備的完美支持 29 內(nèi)網(wǎng)DNS支持 29 多虛擬IP池支持 29 User權(quán)限下正常訪問 29 默認(rèn)服務(wù)頁面 30 系統(tǒng)托盤 30 全網(wǎng)資源智能遞推 31 更穩(wěn)定的SSL VPN 31 多線路技術(shù)實(shí)現(xiàn)線路備份，保證VPN線路穩(wěn)定 31 資源服務(wù)器的智能負(fù)載功能 32 雙機(jī)熱備，保證VPN網(wǎng)絡(luò)穩(wěn)定性 32 會話自動恢復(fù)，提高網(wǎng)絡(luò)適應(yīng)能力 33 非對稱集群功能，滿足大并發(fā)接入 33第4章 SANGFOR SSL VPN部署模式及用戶使用 34 SANGFOR SSL VPN部署模式 34 客戶端登錄和使用界面 35 缺省登錄界面 35 可用資源界面 36第5章 深信服公司簡介 37第6章 附錄VPN技術(shù)背景知識 38 VPN簡介 38 SSL 協(xié)議介紹 41 SSL VPN技術(shù) 4236深信服科技版權(quán)所有 第1章 序言隨著互聯(lián)網(wǎng)數(shù)據(jù)技術(shù)的進(jìn)步和商務(wù)模式的發(fā)展，在互聯(lián)網(wǎng)技術(shù)的幫助下提升業(yè)務(wù)效率已經(jīng)是必然的選擇：利用信息化，加速業(yè)務(wù)流程；利用互聯(lián)網(wǎng)，實(shí)現(xiàn)隨時隨地的業(yè)務(wù)響應(yīng)?；ヂ?lián)網(wǎng)技術(shù)已經(jīng)徹底改變了傳統(tǒng)的業(yè)務(wù)辦理模式，借助信息化，相關(guān)業(yè)務(wù)信息實(shí)現(xiàn)快速的處理和共享，人員無論在何時何地，只要能連上互聯(lián)網(wǎng)，就能實(shí)現(xiàn)業(yè)務(wù)的及時處理。與此同時，業(yè)務(wù)信息網(wǎng)絡(luò)化另外一方面是帶來了安全的威脅：企業(yè)本身的商業(yè)數(shù)據(jù)、企業(yè)的客戶數(shù)據(jù)信息等一旦被泄露，則會帶來難以估計的損失，而一旦通訊或存儲的信息被篡改，則更會帶來難以估計的后果。由此，業(yè)務(wù)信息化，首先需要解決的是安全問題。在計算機(jī)網(wǎng)絡(luò)中，除了建設(shè)物理隔離的業(yè)務(wù)網(wǎng)絡(luò)之外，還擁有更具性價比的解決方案，使用VPN（Virtual Private Network 虛擬專用網(wǎng)）技術(shù)來構(gòu)建安全的業(yè)務(wù)網(wǎng)絡(luò)。VPN利用的是包括認(rèn)證、加密、安全檢測、權(quán)限分配、訪問記錄等一系列手段來構(gòu)建安全的業(yè)務(wù)網(wǎng)絡(luò)。過去，大多數(shù)公司都是使用傳統(tǒng)的IPSec VPN來解決遠(yuǎn)程接入的問題。但是IPSec VPN最初是為了解決Lan To Lan（網(wǎng)對網(wǎng)）的安全問題而制定的協(xié)議，因此在此基礎(chǔ)上建立的遠(yuǎn)程接入方案在面臨越來越多的End To Lan（點(diǎn)對網(wǎng)）應(yīng)用情況下已經(jīng)力不從心。IPSec VPN應(yīng)用于端點(diǎn)接入的不便：l 首先是客戶端配置問題在每個遠(yuǎn)程接入的終端都需要安裝相應(yīng)的IPSec客戶端，并且需要做復(fù)雜的配置，隨著這種遠(yuǎn)程接入客戶端數(shù)量的增多將給網(wǎng)絡(luò)管理員帶來巨大的挑戰(zhàn)。雖然一些領(lǐng)先的公司已經(jīng)解決了IPSec 客戶端難以配置和維護(hù)的問題，但是還是無法避免在每個終端上安裝客戶端的麻煩，即使這些客戶端很少出問題，但隨著用戶數(shù)量的增多，每天需要維護(hù)的客戶端絕對數(shù)量也不少。l 其次是IPSec VPN自身安全問題往往傳統(tǒng)的IPSec 解決方案都沒有很好的解決移動用戶接入到私有網(wǎng)絡(luò)的安全控制問題，這樣就為病毒傳播和黑客入侵提供了很多可能的途徑深信服科技的IPSec VPN已經(jīng)比較好的解決了這個問題, 很信服科技使用硬件鑒權(quán)認(rèn)證來實(shí)現(xiàn)設(shè)備的認(rèn)證接入，使用VPN專線功能來實(shí)現(xiàn)和互聯(lián)網(wǎng)的邏輯隔離，來保證入侵安全性。如果僅僅在受控的電腦上，比如員工辦公電腦上使用IPSec客戶端則可以通過部署統(tǒng)一的安全策略來解決該問題，但如果要讓合作伙伴或者客戶的電腦接入，就難以控制了。l 然后是對網(wǎng)絡(luò)的支持問題傳統(tǒng)的IPSec VPN在網(wǎng)絡(luò)適應(yīng)性上都存在一些問題，雖然一些領(lǐng)導(dǎo)廠商已經(jīng)或正在解決網(wǎng)絡(luò)兼容性問題，但由于IPSec VPN對防火墻的安全策略的配置較為復(fù)雜（往往要開放一些非常用端口），因此客戶端的網(wǎng)絡(luò)適應(yīng)性還是不能做到百分之百完美。l 最后是移動設(shè)備支持問題隨著未來通訊技術(shù)的發(fā)展，移動終端的種類將會越來越多，IPSec 客戶端需要有更多的版本來適應(yīng)這些終端，但隨著終端種類的爆炸性增長，這幾乎是不可能的。因此SSL VPN技術(shù)就孕育而生了，SSL VPN的突出優(yōu)勢在于Web安全和移動接入，它可以提供遠(yuǎn)程的安全接入，而無需安裝或設(shè)定客戶端軟件。SSL在Web的易用性和安全性方面架起了一座橋梁。目前，對SSL VPN公認(rèn)的三大好處是：首先是它的簡單性，它不需要復(fù)雜配置，可以立即安裝、立即生效；第二個好處是不需要安裝客戶端，直接利用瀏覽器中內(nèi)嵌的SSL協(xié)議就行；第三個好處是兼容性好，可以適用于任何的終端及操作系統(tǒng)。但SSL VPN并不能完全取代IPSec VPN，這兩種技術(shù)目前應(yīng)用在不同的領(lǐng)域，是可以進(jìn)行互補(bǔ)的。SSL VPN考慮的是單點(diǎn)接入網(wǎng)絡(luò)，是應(yīng)用在點(diǎn)對網(wǎng)結(jié)構(gòu)的接入模式；而IPSec VPN是在兩個局域網(wǎng)之間通過Internet建立的安全連接，保護(hù)的是網(wǎng)對網(wǎng)之間的通信。在現(xiàn)代的商業(yè)機(jī)構(gòu)模式中，普遍都存在著這兩種需求，所以我們在選擇VPN技術(shù)的時候應(yīng)該根據(jù)實(shí)際的業(yè)務(wù)需求出發(fā)，選擇某一種或者二合一的VPN技術(shù)。SSL VPN給您帶來的價值安全護(hù)航，保證業(yè)務(wù)信息安全SSLVPN采用嚴(yán)謹(jǐn)?shù)恼J(rèn)證方式，高強(qiáng)度的加密模式，細(xì)致的權(quán)限分配和訪問記錄，實(shí)現(xiàn)對業(yè)務(wù)訪問過程的全場護(hù)航，保證業(yè)務(wù)暢通無阻的同時規(guī)避網(wǎng)絡(luò)安全風(fēng)險。提高辦公效率，提升組織響應(yīng)能力為了實(shí)現(xiàn)隨時隨地地辦公，進(jìn)一步提高辦公效率。但是網(wǎng)絡(luò)中無處不在的網(wǎng)絡(luò)延時、網(wǎng)絡(luò)丟包導(dǎo)致業(yè)務(wù)訪問速度急劇下降，原本需要幾秒處理的事情，現(xiàn)在卻拖延到了幾分鐘，嚴(yán)重影響了辦公效率。深信服針對網(wǎng)絡(luò)中存在的問題，通過深信服的HTP技術(shù)、動態(tài)壓縮技術(shù)、多線路智能選路技術(shù)、不斷加入的廣域網(wǎng)優(yōu)化技術(shù)將進(jìn)一步解決惡劣環(huán)境下訪問速度慢的問題，全面提高遠(yuǎn)程接入訪問的辦公效率。降低管理成本，提升組織經(jīng)營效益由于SSL VPN無需安裝客戶端，對于使用端透明，無需安排專門的人員進(jìn)行維護(hù)，針對于傳統(tǒng)的IPSEC需要安裝客戶端，一旦出現(xiàn)意外需要遠(yuǎn)程進(jìn)行維護(hù)，不管是派專人維護(hù)還是遠(yuǎn)程維護(hù)必將增加維護(hù)成本，對于一兩個點(diǎn)接入的情況這樣的維護(hù)成本還可以接受，但是面對成千上百個點(diǎn)來說，那將是一筆巨大的維護(hù)成本，而且極容易造成業(yè)務(wù)效率的下降。SSL VPN無需安裝客戶端，僅僅依托于瀏覽器，不依賴網(wǎng)絡(luò)環(huán)境（只要能上網(wǎng)均可訪問），這三大特點(diǎn)將進(jìn)一步降低組織的維護(hù)運(yùn)維成本，從而進(jìn)一步降低整體管理成本。保障組織信息安全，防止核心信息外泄隨著組織規(guī)模的擴(kuò)大，業(yè)務(wù)系統(tǒng)也在不斷增多，也有越來越多外部人員需要訪問內(nèi)部的應(yīng)用系統(tǒng)，但是通過廣域網(wǎng)訪問存在的安全隱患讓組織非常害怕這些關(guān)鍵業(yè)務(wù)數(shù)據(jù)的泄密，因此需要建立一種安全可靠的遠(yuǎn)程接入訪問機(jī)制，針對眾多的應(yīng)用系統(tǒng)提供細(xì)致的權(quán)限劃分、高效的數(shù)據(jù)加密機(jī)制、豐富多樣的身份認(rèn)證手段、全面的單點(diǎn)接入安全檢查、完整的日志審計，全面防止內(nèi)部核心應(yīng)用系統(tǒng)的數(shù)據(jù)泄密，保護(hù)組織信息安全第2章 SANGFOR SSL VPN網(wǎng)關(guān)簡介作為中國SSL VPN市場的第一品牌，深信服科技致力于為客戶提供最快、最安全、最好用的SSL VPN產(chǎn)品，保護(hù)客戶的業(yè)務(wù)安全可靠，提高客戶的業(yè)務(wù)效率，從而實(shí)現(xiàn)共同成長。更懂客戶業(yè)務(wù)的創(chuàng)新方案從為客戶創(chuàng)造價值的目標(biāo)出發(fā)，在深入了解客戶業(yè)務(wù)情況的基礎(chǔ)上，深信服科技運(yùn)用最為創(chuàng)新性的方案，為客戶有效地解決業(yè)務(wù)在互聯(lián)網(wǎng)轉(zhuǎn)化的過程中所遇到的問題。除了像移動辦公方案和多方接入的權(quán)限分配方案這些傳統(tǒng)SSL VPN應(yīng)用之外，深信服科技還不斷提出創(chuàng)新性的運(yùn)用，比如使用SSL安全特性為客戶解決原有關(guān)鍵系統(tǒng)安全保障問題；運(yùn)用SSL加密和邏輯隔離的特性為客戶的核心數(shù)據(jù)實(shí)現(xiàn)安全防泄密。另外，結(jié)合深信服科技在前沿網(wǎng)絡(luò)領(lǐng)域中完善的技術(shù)，為客戶提供了更具價值的整體解決方案，比如SSL VPN和IPSec VPN二合一的解決方案，加速VPN解決方案等。通過大量的成功客戶案例，證明了深信服科技在以客戶為導(dǎo)向理念下，已經(jīng)獲得了市場的高度認(rèn)可。業(yè)界持續(xù)領(lǐng)先的技術(shù)理念為了給客戶提供最為完善的SSL VPN 產(chǎn)品，深信服科技持續(xù)引領(lǐng)著業(yè)界內(nèi)的技術(shù)創(chuàng)新。從2005年在全球第一家推出IPsec/SSL二合一的產(chǎn)品，2006年率先提供了包括短信、HardCA硬件鑒權(quán)、動態(tài)令牌、SSL VPN隧道邏輯隔離等安全技術(shù)，2007年根據(jù)中國實(shí)際網(wǎng)絡(luò)環(huán)境率先實(shí)現(xiàn)跨運(yùn)營商線路加速、SSL隧道自動愈合等技術(shù)，2008創(chuàng)新性地實(shí)現(xiàn)混合認(rèn)證、動態(tài)壓縮、無線線路優(yōu)化等技術(shù)，2009年在全球首家實(shí)現(xiàn)非對稱集群、智能隧道選路等技術(shù)，2010年更是推出了業(yè)內(nèi)的最快SSL——流緩存加速技術(shù)。深信服科技，運(yùn)用最為創(chuàng)新的SSL VPN技術(shù)理念，為客戶提供最好的VPN，并主導(dǎo)了中華人民共和國國家VPN標(biāo)準(zhǔn)制定。最廣泛的客戶認(rèn)可度深信服科技SSL VPN到2010年初為止，已經(jīng)服務(wù)于超過一萬家的用戶，值得一提的是：世界五百強(qiáng)中的中國企業(yè)70%都選用深信服科技的VPN解決方案。深信服科技SSL VPN從2008年開始，便以超過三分之一的市場，一直占據(jù)中國市場第一的位置，而且份額還在不斷擴(kuò)大。第3章 SANGFOR SSL VPN網(wǎng)關(guān)技術(shù)作為中國市場占有率第一的SSLVPN解決方案供應(yīng)商，深信服科技推出的IPSec/SSL一體化網(wǎng)關(guān)有以下多種功能和技術(shù)特色： 更安全的SSL VPN為業(yè)務(wù)互聯(lián)保駕護(hù)航 豐富的認(rèn)證方式在SANGFOR SSL VPN安全網(wǎng)關(guān)支持LocalDB、LDAP/AD、Radius、第三方CA、自建CA、Dkey、短信認(rèn)證（短信貓和短信網(wǎng)關(guān)）、硬件特征碼、動態(tài)令牌多種安全認(rèn)證方式，最大限度地保證了接入用戶的合法性。 混合認(rèn)證保護(hù)機(jī)制單一的認(rèn)證方式易被竊取，為了進(jìn)一步提高身份認(rèn)證的安全性，深信服創(chuàng)新性提出混合認(rèn)證，針對上面提到的用戶名和密碼、CA數(shù)字證書、LDAP/AD、Radius、Dkey、硬件特征碼、短信認(rèn)證可以進(jìn)行五個因素以上的捆綁認(rèn)證，這幾種認(rèn)證方式必須同時滿足才能夠接入SSL VPN系統(tǒng)。如果需要幾種接入方式做備份接入選擇，那么深信服創(chuàng)新性提出或組合，對于以上幾種認(rèn)證方式進(jìn)行或組合，只要通過一種認(rèn)證方式即可接入到SSL VPN系統(tǒng)中。多種認(rèn)證方式、完善的認(rèn)證體系，使得企業(yè)在選擇的時候，可以根據(jù)相應(yīng)的安全級別，對客戶端的認(rèn)證方式進(jìn)行組合，最大限度地保證了接入用戶的合法性和企業(yè)內(nèi)網(wǎng)資源的高度安全。 動態(tài)身份認(rèn)證提供多重保證當(dāng)前間諜軟件、木馬等安全威脅日益嚴(yán)重，傳統(tǒng)的基于口令的認(rèn)證方式容易被竊取，一旦泄漏將造成企業(yè)數(shù)據(jù)的安全隱患。深信服科技采用了多種動態(tài)身份認(rèn)證系統(tǒng)來消除該隱患，保證了用戶使用SSL VPN訪問總部資源時的安全性。l DKEY認(rèn)證SANGFOR SSL VPN安全網(wǎng)關(guān)采用SSL協(xié)議加密建立安全的專用加密通道，除了使用標(biāo)準(zhǔn)SSL協(xié)議