中國(guó)移動(dòng)nortelcontivity1700vpn產(chǎn)品(文件)
【正文】 c 19 / 2520 / 25(三) servicespptp (四) servicesl2tp 21 / 25(五) servicesl2f 22 / 25(六) servicesradius (七) Servicesfirewall/nat 23 / 25(八) Servicessyslog (九) routingaccess list (十) Profilesnat24 / 25(十一) Servers –user ip addr(十二) Adminadministrator 25 / 25。具體配置參見下節(jié)相應(yīng)配置示意圖。具體配置參見下節(jié)相應(yīng)配置示意圖。14 Profilesgroups 管理用戶組，可在此將用戶按需分類。詳細(xì)配置參見下節(jié)相應(yīng)配置示意圖。詳細(xì)配置參見下節(jié)相應(yīng)配置示意圖。詳細(xì)配置參見下節(jié)相應(yīng)配置示意圖。詳細(xì)配置參見下節(jié)相應(yīng)配置示意圖。詳細(xì)配置參見下節(jié)相應(yīng)配置示意圖。對(duì)內(nèi)網(wǎng)接入 IP 沒(méi)有設(shè)置任何接口過(guò)濾條件；對(duì)外網(wǎng)接入 IP 沒(méi)有設(shè)置任何接口過(guò)濾條件。企業(yè)信息發(fā)布系統(tǒng)服務(wù)器激活動(dòng)態(tài)密碼產(chǎn)生服務(wù)程序，產(chǎn)生一個(gè)動(dòng)態(tài)密碼；并將產(chǎn)生的動(dòng)態(tài)密碼和用戶信息傳給 Radius 認(rèn)證服務(wù)器，并通過(guò)企業(yè)信息發(fā)布系統(tǒng)的短信接口發(fā)送到用戶手機(jī)上。15 / 25第二章 VPN 的安全管理與配置 服務(wù)器安全策略詳見服務(wù)器配置圖例： 日志審計(jì)及控制動(dòng)態(tài)密碼 VPN 具有兩部分的日志，一是向 Radius 服務(wù)器請(qǐng)求動(dòng)態(tài)密碼的日志記錄，一是北電 Contivity 1700 系統(tǒng)提供的訪問(wèn)情況日志，包括系統(tǒng)日志、配置日志、事件日志、安全日志。? 擴(kuò)展性：VPN 管理需要對(duì)日益增多的客戶和合作伙伴作出迅捷的反應(yīng)，包括網(wǎng)絡(luò)硬、軟件的升級(jí)、網(wǎng)絡(luò)質(zhì)量保證、安全策略維護(hù)等。雖然可以將一些次要的網(wǎng)絡(luò)管理任務(wù)交給服務(wù)提供商去完成，企14 / 25業(yè)自己仍需要完成許多網(wǎng)絡(luò)管理任務(wù)。ACL 就是流分類的手段之一。廣域網(wǎng)流量的不確定性使其帶寬的利用率很低，在流量高峰時(shí)引起網(wǎng)絡(luò)阻塞，產(chǎn)生網(wǎng)絡(luò)瓶頸，使實(shí)時(shí)性要求高的數(shù)據(jù)得不到及時(shí)發(fā)送；而在流量低谷時(shí)又造成大量的網(wǎng)絡(luò)帶寬空閑。通過(guò) AAA，路由器可以提供用戶驗(yàn)證、訪問(wèn)級(jí)別以及必要的訪問(wèn)記錄等功能。在安全性要求更高的場(chǎng)合應(yīng)用加密隧道則進(jìn)一步保護(hù)了數(shù)據(jù)的私有性，使數(shù)據(jù)在網(wǎng)上傳送而不被非法窺視與篡改。 安全部署原則VPN 的設(shè)計(jì)包含以下原則：? 安全性? 網(wǎng)絡(luò)優(yōu)化? VPN 管理 安全性VPN 直接構(gòu)建在公用網(wǎng)上，實(shí)現(xiàn)簡(jiǎn)單、方便、靈活，但同時(shí)其安全問(wèn)題也更為突出。 基于以上分析，我們推薦使用 IPSec VPN 認(rèn)證方式。對(duì)于一個(gè)企業(yè)來(lái)說(shuō)（哪怕是 IT 企業(yè)）證書的管理也是一件相當(dāng)復(fù)雜的工作。SSL VPN 的另一個(gè)主要局限在于用戶只能訪問(wèn)基于 Web 服11 / 25務(wù)器的應(yīng)用，而 IPSec VPN 卻幾乎可以為所有的應(yīng)用提供訪問(wèn)，包括客戶端/服務(wù)器模式和某些傳統(tǒng)的應(yīng)用。 SSL VPN 只能進(jìn)行認(rèn)證和加密，不能實(shí)施訪問(wèn)控制，建立隧道后，管理員對(duì)用戶不能進(jìn)行任何的限制。在部署方式、保護(hù)范圍、認(rèn)證方式上限制很多。對(duì) Email和 Intra 而言，SSL VPN 是很好；但對(duì)需要較高安全級(jí)別、較為復(fù)雜的應(yīng)用而言，就需要 IPSec VPN。 因?yàn)樽罱K用戶避免了攜帶便攜式電腦，通過(guò)與因特網(wǎng)連接的任何設(shè)備就能獲得訪問(wèn)，SSL 更容易滿足大多數(shù)員工對(duì)移動(dòng)連接的需求。 除此之外，SSL VPN 還有其它經(jīng)常被提到的特性，包括降低部署成本、減小對(duì)日常性支持和管理的需求。然而，典型的 SSL VPN 被認(rèn)為最適合于普通遠(yuǎn)程員工訪問(wèn)基于 Web 的應(yīng)用。好處就擺在那里，但管理成本很高。但是兩種加密協(xié)議都各有利弊。此外，還可以利用 Entrust 和 VeriSign 在整個(gè)生命周期內(nèi)提供的數(shù)字證書鑒權(quán)。所有連接均進(jìn)行加密，以保證私密性，而且所有交易均被記錄。 Contivity VPN 特點(diǎn)與局限性 易于部署和管理 Contivity VPN 交換機(jī)具有全面的特性，可用于構(gòu)建高性能、可擴(kuò)展、安全的 VPN 接入。其次，用戶名和密碼在網(wǎng)上傳輸中很容易被竊取，現(xiàn)在已經(jīng)有很多黑客軟件，例如各種版本的網(wǎng)絡(luò)嗅探器，通過(guò)網(wǎng)絡(luò)監(jiān)聽就很容易截取用戶名和密碼。由于移動(dòng)辦公用戶需要通過(guò)撥號(hào)（或其他設(shè)備）接入 Inter，訪問(wèn)該企業(yè)的 Web 服務(wù)器，實(shí)現(xiàn)信息交互。? 單種設(shè)備可用作 IP 接入路由器、專用 VPN 設(shè)備或防火墻。需要提供內(nèi)部信息安全訪問(wèn)通道，為內(nèi)部工作人員及經(jīng)常外出的工作人員提供信息傳遞及信息查詢。在 Access VPN 的應(yīng)用中，利用了二層網(wǎng)絡(luò)隧道技術(shù)在公用網(wǎng)絡(luò)上建立 VPN 隧道（Tunnel）連接來(lái)傳輸私有網(wǎng)絡(luò)數(shù)據(jù)。密 級(jí)：文檔編號(hào)：項(xiàng)目代號(hào)：中國(guó)移動(dòng) Nortel Contivity1700 VPN產(chǎn)品安全配置手冊(cè)Version 中國(guó)移動(dòng)通信有限公司二零零四年十二月2 / 25擬 制:審 核:批 準(zhǔn):會(huì) 簽:標(biāo)準(zhǔn)化:4 / 25版本控制版本號(hào) 日期 參與人員 更新說(shuō)明分發(fā)控制編號(hào) 讀者 文檔權(quán)限 與文檔的主要關(guān)系5 / 25目 錄目 錄 ......................................
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1