中國移動nortelcontivity1700vpn產(chǎn)品(文件)
【正文】 c 19 / 2520 / 25(三) servicespptp (四) servicesl2tp 21 / 25(五) servicesl2f 22 / 25(六) servicesradius (七) Servicesfirewall/nat 23 / 25(八) Servicessyslog (九) routingaccess list (十) Profilesnat24 / 25(十一) Servers –user ip addr(十二) Adminadministrator 25 / 25。具體配置參見下節(jié)相應(yīng)配置示意圖。具體配置參見下節(jié)相應(yīng)配置示意圖。14 Profilesgroups 管理用戶組，可在此將用戶按需分類。詳細配置參見下節(jié)相應(yīng)配置示意圖。詳細配置參見下節(jié)相應(yīng)配置示意圖。詳細配置參見下節(jié)相應(yīng)配置示意圖。詳細配置參見下節(jié)相應(yīng)配置示意圖。詳細配置參見下節(jié)相應(yīng)配置示意圖。對內(nèi)網(wǎng)接入 IP 沒有設(shè)置任何接口過濾條件；對外網(wǎng)接入 IP 沒有設(shè)置任何接口過濾條件。企業(yè)信息發(fā)布系統(tǒng)服務(wù)器激活動態(tài)密碼產(chǎn)生服務(wù)程序，產(chǎn)生一個動態(tài)密碼；并將產(chǎn)生的動態(tài)密碼和用戶信息傳給 Radius 認證服務(wù)器，并通過企業(yè)信息發(fā)布系統(tǒng)的短信接口發(fā)送到用戶手機上。15 / 25第二章 VPN 的安全管理與配置 服務(wù)器安全策略詳見服務(wù)器配置圖例： 日志審計及控制動態(tài)密碼 VPN 具有兩部分的日志，一是向 Radius 服務(wù)器請求動態(tài)密碼的日志記錄，一是北電 Contivity 1700 系統(tǒng)提供的訪問情況日志，包括系統(tǒng)日志、配置日志、事件日志、安全日志。? 擴展性：VPN 管理需要對日益增多的客戶和合作伙伴作出迅捷的反應(yīng)，包括網(wǎng)絡(luò)硬、軟件的升級、網(wǎng)絡(luò)質(zhì)量保證、安全策略維護等。雖然可以將一些次要的網(wǎng)絡(luò)管理任務(wù)交給服務(wù)提供商去完成，企14 / 25業(yè)自己仍需要完成許多網(wǎng)絡(luò)管理任務(wù)。ACL 就是流分類的手段之一。廣域網(wǎng)流量的不確定性使其帶寬的利用率很低，在流量高峰時引起網(wǎng)絡(luò)阻塞，產(chǎn)生網(wǎng)絡(luò)瓶頸，使實時性要求高的數(shù)據(jù)得不到及時發(fā)送；而在流量低谷時又造成大量的網(wǎng)絡(luò)帶寬空閑。通過 AAA，路由器可以提供用戶驗證、訪問級別以及必要的訪問記錄等功能。在安全性要求更高的場合應(yīng)用加密隧道則進一步保護了數(shù)據(jù)的私有性，使數(shù)據(jù)在網(wǎng)上傳送而不被非法窺視與篡改。 安全部署原則VPN 的設(shè)計包含以下原則：? 安全性? 網(wǎng)絡(luò)優(yōu)化? VPN 管理 安全性VPN 直接構(gòu)建在公用網(wǎng)上，實現(xiàn)簡單、方便、靈活，但同時其安全問題也更為突出。 基于以上分析，我們推薦使用 IPSec VPN 認證方式。對于一個企業(yè)來說（哪怕是 IT 企業(yè)）證書的管理也是一件相當(dāng)復(fù)雜的工作。SSL VPN 的另一個主要局限在于用戶只能訪問基于 Web 服11 / 25務(wù)器的應(yīng)用，而 IPSec VPN 卻幾乎可以為所有的應(yīng)用提供訪問，包括客戶端/服務(wù)器模式和某些傳統(tǒng)的應(yīng)用。 SSL VPN 只能進行認證和加密，不能實施訪問控制，建立隧道后，管理員對用戶不能進行任何的限制。在部署方式、保護范圍、認證方式上限制很多。對 Email和 Intra 而言，SSL VPN 是很好；但對需要較高安全級別、較為復(fù)雜的應(yīng)用而言，就需要 IPSec VPN。 因為最終用戶避免了攜帶便攜式電腦，通過與因特網(wǎng)連接的任何設(shè)備就能獲得訪問，SSL 更容易滿足大多數(shù)員工對移動連接的需求。 除此之外，SSL VPN 還有其它經(jīng)常被提到的特性，包括降低部署成本、減小對日常性支持和管理的需求。然而，典型的 SSL VPN 被認為最適合于普通遠程員工訪問基于 Web 的應(yīng)用。好處就擺在那里，但管理成本很高。但是兩種加密協(xié)議都各有利弊。此外，還可以利用 Entrust 和 VeriSign 在整個生命周期內(nèi)提供的數(shù)字證書鑒權(quán)。所有連接均進行加密，以保證私密性，而且所有交易均被記錄。 Contivity VPN 特點與局限性 易于部署和管理 Contivity VPN 交換機具有全面的特性，可用于構(gòu)建高性能、可擴展、安全的 VPN 接入。其次，用戶名和密碼在網(wǎng)上傳輸中很容易被竊取，現(xiàn)在已經(jīng)有很多黑客軟件，例如各種版本的網(wǎng)絡(luò)嗅探器，通過網(wǎng)絡(luò)監(jiān)聽就很容易截取用戶名和密碼。由于移動辦公用戶需要通過撥號（或其他設(shè)備）接入 Inter，訪問該企業(yè)的 Web 服務(wù)器，實現(xiàn)信息交互。? 單種設(shè)備可用作 IP 接入路由器、專用 VPN 設(shè)備或防火墻。需要提供內(nèi)部信息安全訪問通道，為內(nèi)部工作人員及經(jīng)常外出的工作人員提供信息傳遞及信息查詢。在 Access VPN 的應(yīng)用中，利用了二層網(wǎng)絡(luò)隧道技術(shù)在公用網(wǎng)絡(luò)上建立 VPN 隧道（Tunnel）連接來傳輸私有網(wǎng)絡(luò)數(shù)據(jù)。密 級：文檔編號：項目代號：中國移動 Nortel Contivity1700 VPN產(chǎn)品安全配置手冊Version 中國移動通信有限公司二零零四年十二月2 / 25擬 制:審 核:批 準(zhǔn):會 簽:標(biāo)準(zhǔn)化:4 / 25版本控制版本號 日期 參與人員 更新說明分發(fā)控制編號 讀者 文檔權(quán)限 與文檔的主要關(guān)系5 / 25目 錄目 錄 ......................................
公司管理相關(guān)推薦
鄂ICP備17016276號-1