【正文】 XX 目前網(wǎng)絡及應用狀況 12 XXX 遠程安全接入面臨的問題 12 XXX 遠程安全接入的需求 13五．XXX 遠程安全接入解決方案 15 SSL VPN 網(wǎng)關部署 15 方案簡介 16 全應用支持 17 17 瘦應用支持 17 Windows文件共享支持 18 WEB訪問支持 19 全權(quán)限訪問支持 19 企業(yè)應用支持舉例 20 SGX對企業(yè)ERP系統(tǒng)的支持 20 SGX對企業(yè)OA系統(tǒng)的支持 22六. 新安捷SGX系列的優(yōu)勢及特點 26 專利技術(shù) 26 VPN－Plus的功能特點 26七. SSL VPNPlus安全接入對企業(yè)的益處 30 提高了信息安全 30 靈活的用戶管理和訪問控制 31 實施方便，配置簡單 31 降低管理和維護成本 32 高度的擴展性和靈活性 32八．NeoAccel 廠家技術(shù)支持和售后服務體系 33附錄：公司簡介 35 美國新安捷有限公司一. 前言目前，隨著企業(yè)信息化處理不斷地深入，企業(yè)資源管理的復雜度也在不斷增加。作為一項新近發(fā)展起來的新技術(shù)，由于SSL VPN無須安裝客戶端的便捷性和由此帶來的大幅降低的實施管理成本，在國內(nèi)外得到了迅速的應用和發(fā)展。此外，隨著軟件系統(tǒng)規(guī)模的不斷增大，系統(tǒng)中的安全漏洞或“后門”也不可避免的存在并增加著。但它容量有限，當很多用戶同時訪問時會經(jīng)常發(fā)生連接不上的情況。但是，部署IPSec需要對網(wǎng)絡基礎設施進行重大改造，花費的人力物力甚巨，同時IPSec VPN在解決遠程安全訪問時有幾個比較大的缺點:安全性低 雖然數(shù)據(jù)在傳輸過程中是加密的，但是IPSecVPN對于終端安全檢查卻是零，這一點相信企業(yè)的網(wǎng)絡管理者深有感觸，其表現(xiàn)為：第一、IPSec的用戶驗證方式單一并且簡單，它無法明確區(qū)分使用該終端的人是否是可 授權(quán)的指定用戶，管理員無法準確知曉究竟是誰在利用VPN使用內(nèi)網(wǎng)資源；第二、IPSec無法對終端設備軟件系統(tǒng)的安全性做出評估，無法檢查終端用戶的應用環(huán)境，斷開VPN連接后，所有曾經(jīng)訪問過的cookie、URL等均保留在終端，增加了不安全因素；第三、IPSec VPN隧道一旦建立，用戶的PC機就像在公司局域網(wǎng)內(nèi)部一樣，用戶能夠直接訪問公司全部的應用，由此會大大增加風險；第四、VPN登陸之后的所有操作都是直接作用在被訪問資源上的，由于缺乏必要的終端檢查，致使內(nèi)網(wǎng)資源受損的幾率很高；第五、IPSec針對用戶或用戶組的授權(quán)訪問，實現(xiàn)起來非常困難，無法根據(jù)用戶性質(zhì)進行分權(quán)，這是管理員很頭疼的問題，無法實現(xiàn)分權(quán)就只能有限地開放網(wǎng)絡資源，網(wǎng)絡不能有效地用于生產(chǎn)生活。另外，如果黑客侵入了這臺沒有保護的PC，他就獲得了經(jīng)過IPSec VPN隧道訪問公司局域網(wǎng)的能力。 客戶端安全檢查和授權(quán)訪問等操作，實現(xiàn)起來更加方便。 第三代VPN — SSL VPNPlus為了從根本上解決SSL VPN性能瓶頸，以新安捷（NeoAccel,INC）為代表的專業(yè)安全接入廠商，憑借強大的研發(fā)實力，經(jīng)過刻苦的攻關，終于研制出了新一代SSL VPN構(gòu)架——SSL VPNPlus。數(shù)據(jù)驗證使接收方可識別這種篡改，保證了數(shù)據(jù)的完整性。遠程安全接入設計在滿足以上要求的同時還必須做到經(jīng)濟實用，以節(jié)約投資，必須以有限的投資獲得較高的性能，即系統(tǒng)應該具有較高的性能價格比。為了保護現(xiàn)有投資，也為了滿足用戶的需要，提供優(yōu)質(zhì)服務，必須保證組建的系統(tǒng)很容易擴展。 XXX 遠程安全接入面臨的問題 根據(jù)對XXX目前的網(wǎng)絡及應用分析，我們認為存在以下幾個問題及隱患：安全性低 對用戶及其訪問的內(nèi)容沒有審計；通過這些檢測來分配用戶區(qū)域以及授權(quán)訪問； 不需或最少量的對現(xiàn)有的網(wǎng)絡拓撲進行修改；所有VPN用戶必須登陸此門戶站點才能訪問內(nèi)部服務器組，同時每個用戶必須有有效的帳號、口令并享有訪問SSL VPN各種資源的相應權(quán)限。 Windows文件共享支持在企業(yè)日常的運作中，會經(jīng)常有文件或主機共享的需求，SGX的文件共享功能可以完全滿足這方面需要，安全開放內(nèi)網(wǎng)主機的文件夾或主機本身，供遠程用戶訪問。PHAT方式需要安裝客戶端，安裝過程簡單且快速，用戶端不需要做任何設置，只需要按照提示點擊安裝即可。 SGX更容易滿足大多數(shù)員工對移動連接的需求。但這對于ERP系統(tǒng)的安全是遠遠不能滿足的，例如防止病毒入侵、數(shù)據(jù)的加密、用戶的認證和分權(quán)、緩存清除等。使用QAT模式時，客戶端將使用Java Applet做為TCP PROXY，所有基于TCP的ERP應用，都可以實現(xiàn)訪問，比通過隧道方式實現(xiàn)要安全的多。對于OWA接入：可以使用WAT模式來實現(xiàn)安全訪問，可以實現(xiàn)： IBM Lotus Domino 系統(tǒng)IBM Lotus Domino 是一個世界級的消息服務解決方案，同時，它還是快速開發(fā)平臺，用戶可以基于此平臺快速開發(fā)協(xié)作應用。 支持URLNAT：URL的動態(tài)重寫，提高安全性；從根本上解決了TCP崩潰引起的傳輸速度問題。例如：內(nèi)網(wǎng)的WEB、web outlook、word等。有40多種預設供管理員選擇，例如： Microsoft Windows Service Packs (是否存在及最新)、安全補?。ㄊ欠翊嬖诩白钚拢?、防火墻是否激活、自動更新是否激活、防垃圾郵件是否激活以及對Internet Explorer的安全設置進行檢查等。這樣可以防止有人在偷竊了其他人的登陸密碼后在未被綁定的機器上登陸。 支持Syslog 無需對任何客戶端進行安裝及管理；新安捷的安全接入解決方案具有以下優(yōu)點： 提高了信息安全 防止信息泄漏 　　由于客戶端與SSL VPN網(wǎng)關之間實現(xiàn)高強度的加密信息傳輸，因此雖然信息傳輸是通過公網(wǎng)進行的，但是其安全性是可以得到保證的。 　　防止用戶假冒 　　SGX支持多種認證和授權(quán)方式，包括本地用戶數(shù)據(jù)庫，并且可以和其他更加強大的認證系統(tǒng)結(jié)合起來，如AD，Radius，RSA SecurID等。同時此項操作簡單易學，適合不同層次的管理人員，這是一般基于網(wǎng)絡的VPN所辦不到的。 SGX的無客戶端訪問模式，只需要用戶會使用標準瀏覽器操作；客戶端方式的訪問也只需要從網(wǎng)關設備上下載安裝，不需要額外的配置。2) 系統(tǒng)集成商工程師或用戶直接撥打NeoAccel支持熱線。l 熱線服務：設立技術(shù)支持熱線，及時響應用戶的要求，解答用戶咨詢。巡檢內(nèi)容:1. 設備CONSOLE是否正常工作 接口地址 NeoAccel 設備向外PING NeoAccel 的冗余狀態(tài)是否正常附錄：公司簡介美國新安捷（NeoAccel）公司是新一代網(wǎng)絡安全解決方案的開拓者。他不斷地將他對科學和革新的熱情實施于日益變化的商務應用中。目前世界上有75%的網(wǎng)頁流量是通過它來處理的，Netscaler公司不久前被Citrix公司以3億美元收購。VPNPlus和真正意義的內(nèi)網(wǎng)應用訪問控制器 — NAMPlus GateKeeper，從而克服了前代同類產(chǎn)品所固有的性能嚴重流失和功能性、安全性的不足。l 根據(jù)用戶的需求，由資深工程師定期對系統(tǒng)運行情況進行檢查，對運行中發(fā)現(xiàn)的問題及時予以解決。售后服務與支持中心客戶代表詳細記錄客戶的姓名、聯(lián)系方式，請客戶等待售后服務與支持中心工程師的進一步聯(lián)絡。 高度的擴展性和靈活性 新安捷的SGX產(chǎn)品線共有四種：SGX800、SGX1200、SGX2400、SGX4800。 SGX的配置操作也很簡單，既有WEB配置又有命令行方式，適合不同層次管理者。 靈活的用戶管理和訪問控制 完備的用戶端安全檢查 　　SGX具有完備的客戶端安全檢查程序，且設置操作簡單。因此敏感的信息如業(yè)務帳號等被保護起來，杜絕了有效信息的泄露。多層安全控制機制 Emergency, Alert, Critical, Error, Warning, Notice, Info, Debug即使選擇安裝客戶端的“全訪問權(quán)限”模式，也無需像IPSec那樣進行復雜；SSL VPNPlus的加密連接不會受到網(wǎng)絡地址轉(zhuǎn)換（NAT）或網(wǎng)關代理設備（proxy）的影響，同時支持SitetoSite端到端的SSL加密訪問，所以終端用戶可以在任何地點使用任何設備都可以安全地對內(nèi)網(wǎng)任何開放的資源進行訪問。同時也能使網(wǎng)管員放心讓用戶接入。只使用Sessiononly 的Java Applets，無需安裝客戶端。最優(yōu)化地處理SSL數(shù)據(jù)包傳輸,聯(lián)合硬件處理器,使 SSL VPNPlus具有最佳的性能。 隱藏內(nèi)部資源：可以隱藏Intranet的資源路徑，提高整體安全性。 內(nèi)置核心任務 (郵件、日歷、目錄、安全、Web服務等) ；集成Domino管理、統(tǒng)計、監(jiān)控等功能 支持URLNAT：URL的動態(tài)重寫，提高安全性；此訪問模式是在客戶端和SGX之間通過SSL的連接建立一條VPN通道，客戶主機將會被配置一個和企業(yè)內(nèi)網(wǎng)地址一致的網(wǎng)址，并通過這條VPN通道直連到企業(yè)內(nèi)網(wǎng)，就好像在企業(yè)內(nèi)部一樣。用戶的認證和授權(quán)，對于ERP系統(tǒng)本身來說，實現(xiàn)起來很不容易。SGX性能更高。 企業(yè)應用支持舉例 SGX對企業(yè)ERP