【正文】 VPN 還增強(qiáng)了對(duì)內(nèi)網(wǎng)的安全設(shè)置，保障了第三個(gè)層次――內(nèi)網(wǎng)資源訪(fǎng)問(wèn)的安全。所以， SSL VPN 系統(tǒng)的穩(wěn)定性必須足夠滿(mǎn)足企業(yè)的業(yè)務(wù)應(yīng)用需要，而不能出現(xiàn)經(jīng)常性的網(wǎng)絡(luò)中斷，導(dǎo)致業(yè)務(wù)的中斷。但越穩(wěn)定的產(chǎn)品、整體的成本肯定會(huì)越高，企業(yè)在選擇時(shí)也必須考慮適合自身的穩(wěn)定級(jí)別。 Sinfor SSL VPN 運(yùn)行于應(yīng)用層，通過(guò)瀏覽器內(nèi)嵌的 SSL 協(xié)議進(jìn)行工作，方便性同等于上網(wǎng)瀏覽，穩(wěn)定性和操作系統(tǒng)是同一個(gè)級(jí)別，經(jīng)過(guò)大規(guī) 模的用戶(hù)實(shí)際運(yùn)行，完全可以做到長(zhǎng)時(shí)間的穩(wěn)定運(yùn)行，滿(mǎn)足了用戶(hù)對(duì)穩(wěn)定性要求高、但不希望用過(guò)于昂貴的成本使用專(zhuān)線(xiàn)的用戶(hù)需求。高端的 VPN 處理速度快，而低端的設(shè)備由于處理器性能較差極大的影響了 VPN 速度。 Sinfor SSL VPN 為滿(mǎn)足這些用戶(hù)的需求，特別增加了多線(xiàn)路負(fù)載均衡功能。 舉個(gè)簡(jiǎn)單的例子， SSL VPN 對(duì)各種新型的 Inter 接入方式能否同步支持，就是關(guān)系到企業(yè) SSL VPN 網(wǎng)絡(luò)擴(kuò)展的重要問(wèn)題。如果 SSL VPN 網(wǎng)絡(luò)不能跟上Inter 的發(fā)展，很快就會(huì)使得企業(yè)的網(wǎng)絡(luò)受到相應(yīng)的限制。如何對(duì)整個(gè) SSL VPN 網(wǎng)絡(luò)進(jìn)行有效的管理、維護(hù)和監(jiān)控，并能自主的管理至關(guān)重要的基礎(chǔ)網(wǎng)絡(luò) xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 9 平臺(tái)，也是企業(yè) IT 人員非常重視的問(wèn)題。首先，在總部能夠?qū)崟r(shí)監(jiān)控各分支機(jī)構(gòu)的接入狀況和當(dāng)前狀態(tài)；同時(shí)能在總部對(duì)各分支節(jié)點(diǎn)進(jìn)行遠(yuǎn)程的配置、備份和恢復(fù)；另外還可以直接操作遠(yuǎn)程節(jié)點(diǎn)的計(jì)算機(jī)，實(shí)時(shí)的管理和控制。而事實(shí)上，目前的部分 VPN 產(chǎn)品留下了 一些隱患。但很多解決方案的動(dòng)態(tài)尋址解析都是由廠(chǎng)商封閉提供，沒(méi)有向客戶(hù)開(kāi)放；也有些是依賴(lài)于其他的動(dòng)態(tài)尋址方式，企業(yè)未能自己來(lái)監(jiān)控和管理。為了保證穩(wěn)定性，還支持以主、備雙機(jī)的方式運(yùn)行，實(shí)時(shí)動(dòng)態(tài)切換，既解決了靜態(tài) IP 地址的高成本問(wèn)題，也避免了尋址不透明給客戶(hù)帶來(lái)的風(fēng)險(xiǎn)。 性能保證 SSL VPN 產(chǎn)品的性能將會(huì) 影響 SSL VPN 所能容納的計(jì)算機(jī)和網(wǎng)絡(luò)容量，如最多支持的局域網(wǎng)內(nèi)計(jì)算機(jī)數(shù)量、能同時(shí)建立的 SSL VPN 隧道數(shù)量、能同時(shí)接入的 SSL VPN 用戶(hù)數(shù)量等等。上述系統(tǒng)性能基本能夠滿(mǎn)足中 XX 的需要。 （ 4） 針對(duì)總部需開(kāi)放資源情況設(shè)定總部 VPN 內(nèi)網(wǎng)服務(wù)設(shè)置，以便為各接入 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 12 用戶(hù)分配相應(yīng)權(quán)限（如物流系統(tǒng)、財(cái)務(wù)、辦公系統(tǒng)、 OA、 EIP、內(nèi)部網(wǎng)頁(yè)、郵件等不同系統(tǒng)的訪(fǎng)問(wèn)權(quán)限）； （ 5） 對(duì)于移動(dòng)用戶(hù)，管理員設(shè)定該移動(dòng)用戶(hù)的認(rèn)證方式：如動(dòng)態(tài)令牌、DKEY、短信認(rèn)證等。 （ 2） 容易部署： SSL VPN 最大的好處之一就是不需要安裝客戶(hù)端程序，遠(yuǎn)程用戶(hù)可以隨時(shí)隨地從任何瀏覽器上安全的接入到內(nèi)部網(wǎng)絡(luò)，安全地訪(fǎng)問(wèn)應(yīng)用程序，因此降低了管理員維護(hù)客 戶(hù)端的成本。 SINFOR M5400S 內(nèi)置有 LDAP/AD、 Radius、 SecurID、短信認(rèn)證等多種安全認(rèn)證方式，可以根據(jù)相應(yīng)的安全級(jí)別，對(duì)客戶(hù)端組合幾種認(rèn)證方式，最大限度地保證了接入用戶(hù)的合法性。基于角色的訪(fǎng)問(wèn)限制為企業(yè)網(wǎng)絡(luò)提供了較強(qiáng)的安全性。同時(shí)，M5400S 集成了組用戶(hù)并發(fā)限制、公用帳號(hào)并發(fā)限制和用戶(hù)流量限制等多種方式，保證了用戶(hù)合理地使用 VPN 資源。 （ 6） 備份線(xiàn)路 ：總部或者分支機(jī)構(gòu)由 于計(jì)算機(jī)或 Inter 線(xiàn)路造成的故障均可通過(guò)備份設(shè)備、備份線(xiàn)路或多線(xiàn)路帶寬復(fù)用的方式實(shí)現(xiàn)切換，由于可實(shí)現(xiàn)平滑切換，確保 VPN 應(yīng)用不因主機(jī)故障或 Inter 線(xiàn)路故障 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 14 受到影響。效果圖如下（深圳大百匯公司利用 Sinfor SSLVPN 建立的登陸平 臺(tái)）： xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 15 （ 9） SSLVPN 用戶(hù)數(shù)據(jù)中心： 可以針對(duì) SSLVPN 使用情況，提供詳盡的日志數(shù)據(jù)，包含日志查詢(xún)，對(duì)服務(wù)統(tǒng)計(jì)，對(duì)用戶(hù)統(tǒng)計(jì)，系統(tǒng)設(shè)置等四大方面。 （ 4） 便于擴(kuò)展：通過(guò)序列號(hào)進(jìn)行授權(quán)，如果需要添加用戶(hù)并發(fā)數(shù)量，只需要修改序列號(hào)即可輕松達(dá)成。 防御能力 URL 內(nèi)容過(guò)濾 支持 郵件過(guò)濾 支持 防御的攻擊種類(lèi) 使用狀態(tài)檢測(cè)功能，能防御包括 Dos,Synflood,Icmpflood,碎片攻擊等多種攻擊。 提供實(shí)時(shí)入侵的防范 自動(dòng)封禁 IP 高可靠設(shè)計(jì) 自動(dòng)恢復(fù) 看門(mén)狗提供自動(dòng)恢復(fù)功能。 支持查找、定位。 可擴(kuò)展性 通過(guò)序列號(hào)修改授權(quán)數(shù) 本地和遠(yuǎn)程升級(jí) Sinfor OS 和 Sinfor SSL VPN 模塊，獲得新特性 動(dòng)態(tài)令牌認(rèn)證系統(tǒng)說(shuō)明 動(dòng)態(tài)令牌是技術(shù)領(lǐng)先的一種雙因素強(qiáng)身份認(rèn)證體系，采用用戶(hù) PIN 碼 +動(dòng)態(tài)令牌碼構(gòu)成完整用戶(hù)口令，令牌碼由令牌內(nèi)置唯一種子和當(dāng)前時(shí)間通過(guò)偽隨機(jī)算法生成，每分鐘改變一次，而且是一次性密碼（密碼使用后立即失效，不能重復(fù)使用）。其三，通過(guò) SecurID雙因素身份認(rèn)證進(jìn)入系統(tǒng)的管理員或用戶(hù)，系統(tǒng)將記載是哪位 VPN 用戶(hù)，在什么時(shí)候進(jìn)入，使用的是哪塊令牌進(jìn)入等事件， ACE/Server 將 記載這些操作過(guò)程。 可以將用戶(hù)的身份認(rèn)證配置成通過(guò) RADIUS 認(rèn)證的方式，并把認(rèn)證指向安盟的認(rèn)證服務(wù)器，當(dāng)用戶(hù)試圖訪(fǎng)問(wèn) Oracle 數(shù)據(jù)庫(kù)時(shí)，必須通過(guò)安盟雙因素身份認(rèn)證的系統(tǒng)的身份認(rèn)證，所有基 于 Oracle 數(shù)據(jù)庫(kù)的應(yīng)用程序均可以得到由安盟身份認(rèn)證 提供的強(qiáng)身份認(rèn)證。 為了提供更好的客戶(hù)服務(wù)、 更好的 幫助您有效解決使用 SINFOR 產(chǎn)品時(shí)遇到的問(wèn)題， 深信服科技 花巨資 啟用客戶(hù)服務(wù)呼叫中心 CTI 系統(tǒng)。建立合理的項(xiàng)目建設(shè)機(jī)制，保證工程的安裝服務(wù)質(zhì)量。 保修維護(hù)服務(wù) 對(duì)在保修期內(nèi)的軟硬件產(chǎn)品設(shè)備提供保修服務(wù)（火災(zāi)、地震等人力不可抗拒的因素造成的設(shè)備損壞除外）： 提供 7*24 維修服務(wù)，提供 7*24 小時(shí)響應(yīng)的聯(lián)系電話(huà)及聯(lián)系人，提供遠(yuǎn)程訪(fǎng)問(wèn)維護(hù)功能，隨時(shí)受理電話(huà)咨詢(xún)，一旦有故障能隨時(shí)聯(lián)系到人 。因此定期派系統(tǒng)工程師上門(mén)或者遠(yuǎn)程拔號(hào)接入對(duì)整個(gè)系統(tǒng) xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 30 的資源進(jìn)行測(cè)試、維護(hù)和優(yōu)化（包括對(duì)系統(tǒng)軟硬件設(shè)備的清理、網(wǎng)絡(luò)性能的維護(hù)、優(yōu)化、性能調(diào)試等等維護(hù)服務(wù)，以使系統(tǒng)能夠長(zhǎng)久、可靠安全的運(yùn)行。系統(tǒng)管理和技術(shù)人員的培訓(xùn)由深信服科技公司負(fù)責(zé)組織，根據(jù)人員的知識(shí)結(jié)構(gòu)情況制定具體的培訓(xùn)計(jì)劃。 安裝培訓(xùn)目的是讓經(jīng)過(guò)專(zhuān)業(yè)培訓(xùn)的人員學(xué)以致用，理論結(jié)合實(shí)際，盡快掌握實(shí)際使用中產(chǎn)品設(shè)備的特性，以利于系統(tǒng)的使用和維護(hù)。 專(zhuān)業(yè)培訓(xùn)： 對(duì)相關(guān)技術(shù)人員，我們提供現(xiàn)場(chǎng)培訓(xùn)和專(zhuān)業(yè)培訓(xùn)，先進(jìn)行專(zhuān)業(yè)培訓(xùn)，提供系統(tǒng)的理論知識(shí)、再進(jìn)行現(xiàn)場(chǎng)培訓(xùn)，以利于系統(tǒng)的掌握和今后系統(tǒng)的開(kāi)發(fā)升級(jí)。 M5100 性能不夠， M5100 單獨(dú)用于 SSLVPN 最多支持 200 個(gè)用戶(hù)同時(shí)在線(xiàn)，如果還需要估計(jì) IPSEC 方面，性能大打折扣，不適合中 XX 的長(zhǎng)遠(yuǎn)發(fā)展?？?以說(shuō)是一套認(rèn)證體系保護(hù)整體安全（ B/S、 C/S 甚至是 Web 都可以輕松實(shí)現(xiàn)保護(hù)）。因此帶硬件加速卡產(chǎn)品，會(huì)有效的提升相應(yīng)速度。 M5400P 帶加速卡產(chǎn)品好處： SSLVPN 面對(duì)大并發(fā)量用戶(hù)，最突出的問(wèn)題是相應(yīng)時(shí)間，處理速度。 動(dòng)態(tài)令牌：動(dòng)態(tài)令牌每分鐘變更一次密碼，并且該密碼在這個(gè)時(shí)間（一分鐘內(nèi)）全球唯一。對(duì)于此次存在的大規(guī)模單點(diǎn)接入用戶(hù)，目前的平臺(tái)無(wú)法滿(mǎn)足，因此推薦中心端另購(gòu)一臺(tái)或兩臺(tái)（雙機(jī)熱備，保障穩(wěn)定性） M5400S 或者 M5400P（為今后大并發(fā)量用戶(hù)做準(zhǔn)備，以免到時(shí)處理速度不夠。 ，各個(gè)管理人員對(duì)操作流程進(jìn) 行實(shí)際演練，以確保安裝過(guò)程中的知識(shí)學(xué)以致用。我們提供的培訓(xùn)服務(wù)分現(xiàn)場(chǎng)培訓(xùn)和專(zhuān)業(yè)培訓(xùn)，先進(jìn)行專(zhuān)業(yè)培訓(xùn)，提供系統(tǒng)的理論知識(shí)、再進(jìn)行現(xiàn)場(chǎng)培訓(xùn)，以利于系統(tǒng)的掌握和今后系統(tǒng)的開(kāi)發(fā)升級(jí)。 用戶(hù)培訓(xùn) 深信服科技公司將負(fù)責(zé)對(duì)用戶(hù)進(jìn)行網(wǎng)絡(luò)安全系統(tǒng)的技術(shù)培訓(xùn)。 后期維護(hù)服務(wù) 系統(tǒng)錯(cuò)誤有可能在長(zhǎng)時(shí)間的運(yùn)行之后才能暴露出來(lái)，才能更容易的對(duì)問(wèn)題進(jìn)行孤立和查找。 配件服務(wù) 提供配件服務(wù)，使故障設(shè)備得到維護(hù)。 呼叫中心 CTI 系統(tǒng)將智能識(shí)別來(lái)電客戶(hù)、檢索客戶(hù)歷史故障，快速解決客戶(hù)問(wèn)題；還提供了語(yǔ)音留言、呼叫等待等多種功能。 電子郵件系統(tǒng)的保護(hù) 采用動(dòng)態(tài)令牌認(rèn)證系統(tǒng)能對(duì) Exchange、 Lotus Notes、基于 Linux 的郵件系統(tǒng)提供強(qiáng)身份認(rèn)證保護(hù)。 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 28 UNIX/Linux 主機(jī)保護(hù) 動(dòng)態(tài)令牌認(rèn)證系統(tǒng)能對(duì) UNIX/Linux 主機(jī)提供強(qiáng)身份認(rèn)證保護(hù)，當(dāng)用戶(hù)通過(guò)遠(yuǎn)程 Tel 或本地登錄到 UNIX/Linux 主機(jī)時(shí)，主機(jī)首先提示用戶(hù)輸入正確的用戶(hù)名 和口令，當(dāng)用戶(hù)正確輸入以后， UNIX/Linux 主機(jī)根據(jù)用戶(hù)名定位其記錄，確認(rèn)其是否需要雙因素強(qiáng)認(rèn)證，如果是，則提示用戶(hù)輸入正確的口令碼，只有用戶(hù)輸入了正確的 PIN 和令牌碼以后，才能進(jìn)入到主機(jī)系統(tǒng)，否則就會(huì)被拒絕在外。 動(dòng)態(tài)令牌認(rèn)證的應(yīng)用范圍有： VPN 訪(fǎng)問(wèn) 通過(guò)使用動(dòng)態(tài)令牌認(rèn)證系統(tǒng)，提供 VPN 用戶(hù)可信 度保證的同時(shí)也很好的解決了一序列問(wèn)題：其一，密碼無(wú)需設(shè)置的很麻煩，也無(wú)需每月或每周甚至每日進(jìn)行密碼更換；其二，此密碼是以密文形式在互聯(lián)網(wǎng)上傳輸，采用的是一種非對(duì)稱(chēng)的加密技術(shù)進(jìn)行加密的，即使黑客在傳輸過(guò)程當(dāng)中截獲或竊聽(tīng)了，他們只有在一分鐘之內(nèi)解開(kāi)，且解開(kāi)之后，如果后于用戶(hù)或管理員進(jìn)入系統(tǒng)，則即使將此密文解密了也無(wú)濟(jì)于事。 日志備份 可安裝獨(dú)立的日志備份服務(wù)器，對(duì)日志容量無(wú)限制。 12M 內(nèi)置歷史日志容量。 NAT 訪(fǎng)問(wèn)權(quán)限支持MAC 地址 綁定，時(shí)段訪(fǎng)問(wèn)，用戶(hù)規(guī)則等。 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁(yè) 共 34 頁(yè) 23 第四章 SINFOR 產(chǎn)品圖片和參數(shù)說(shuō)明 SINFOR M5400S 產(chǎn)品圖片 SINFOR M5400S 性能指標(biāo) 分類(lèi) 功能 詳細(xì)指標(biāo) IPSec VPN 性能參數(shù) IPSec VPN 加密速度（ AES 128bits） 312 Mbps IPSec VPN 隧道數(shù) 3000 條 IPSec VPN 轉(zhuǎn)發(fā)時(shí)延 ms 并發(fā) IPSec 客戶(hù)端數(shù) 3000 SSL VPN 性能參數(shù) SSL VPN 加密速度（ RC4