【正文】 Xcess 寬帶接入統(tǒng)一客戶端用戶10000，網(wǎng)絡(luò)硬盤用戶 3000 ，WLAN 認證用戶 20xx 20xx~20xx 中國電信 一個市公司 Xcess 統(tǒng)一客戶端 Xcess 統(tǒng)一客戶端用戶 10000 有線公司 一個市公司 Xcess 統(tǒng)一認證系統(tǒng) + Xcess 統(tǒng)一客戶端用戶 10000 以上 20xx 注：由于本公司與上述公司簽訂了保密協(xié)議，不便透露上述公司名稱。以下是中國移動某省實施 Xcess 身份認證系統(tǒng)的實施案例說明。 如果終端營業(yè) PC 上已安裝 Xcess 客戶端軟件，但是沒有登陸認證服務(wù)器訪問 BOSS 系統(tǒng)，當(dāng)客戶斷流量到達 Xcess 強制認證網(wǎng)關(guān)，強制認證網(wǎng)關(guān)檢測到該流量的源 IP 地址在 Xcess 認證服務(wù)器上沒有登陸信息，并掃描客戶端 TCP5100 端口，雖然營業(yè)廳 PC安裝了 Xcess 客戶端軟件，但是沒有登陸驗證服務(wù)器，客戶端的 TCP 5100 端口也沒有打開。證書認證服務(wù)器支持多機集群式架構(gòu)，可以同時實現(xiàn)可用性（ High Availability）和負載分擔(dān)（ Load Balancing），使得 Xcess 系統(tǒng)理論上可以支持無 限多的用戶。所以 BOSS 系統(tǒng)對網(wǎng)絡(luò)病毒的抵御對于河北移動的業(yè)務(wù)運營至關(guān)重要。靜態(tài)密碼存在很多缺陷，如：密碼容易被人猜測或通過交際工程學(xué)、社會工程師等途徑獲取，輸入密碼時容易被人窺視，密碼容易被很多工具破解，存在著沒有被檢測到的缺陷和漏洞，密碼可以在網(wǎng)絡(luò)離線時被窺測，密碼和文件容易從 PC 和服務(wù)器上被轉(zhuǎn)移等等。在業(yè)務(wù)快速發(fā)展的同時，公司重視信息化建設(shè)，以信息網(wǎng)絡(luò)為基礎(chǔ)，為公司管理和業(yè)務(wù)提供強有力支撐，在通信運營領(lǐng)域，公司的信息化建設(shè)不論在思想上、技術(shù)上，都走在同行前列。 河北移動營業(yè)廳 BOSS 系統(tǒng)使用現(xiàn)狀 BOSS系統(tǒng)是河北移動的企業(yè)支撐系統(tǒng)的核心，是利用計算機主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件，實現(xiàn)移動各分公司業(yè)務(wù)支撐、決策支持的技術(shù)合理、數(shù)據(jù)集中、軟件實時的平臺?，F(xiàn)階段河北移動 營業(yè)員在任意計算機上都可以登錄BOSS，容易造成信息的遺留和泄露。銘寰科技 Xcess 產(chǎn)品為企業(yè)提供了一個統(tǒng)一 身份認證與安全策略管理系統(tǒng)。進而檢驗此 ROUTER 下的網(wǎng)絡(luò)客戶端是否安裝并運行了 Xcess 客戶端軟 件。網(wǎng)關(guān)收到用戶證書后，驗證其合法性（），如果用戶證書無效，則網(wǎng)關(guān)斷開與客戶端的連接；如果用戶證書有效，則網(wǎng)關(guān)記錄此客戶端的 IP 地址，允許客戶端的流量轉(zhuǎn)向 BOSS 系統(tǒng)進行數(shù)據(jù)的傳輸。網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示： 中國最大的管理資源中心 (大量免費資源共享 ) 第 13 頁 共 14 頁 在上圖所示的網(wǎng)絡(luò)結(jié)構(gòu)中，各個合作營業(yè)廳采用寬帶網(wǎng)絡(luò)上網(wǎng)，其 PC 終端上安裝銘寰科技的帶 VPN 功能的 Xcess 寬帶接入軟件（在該軟件已經(jīng)內(nèi)置了 ISC VPN 客戶端）。 公司 核心成員擁有多個博、碩士學(xué)位，均在美國硅谷和加拿大專業(yè)網(wǎng)絡(luò)公司以及亞信公司（ Asiainfo）從業(yè)多年，在網(wǎng)絡(luò)傳輸、網(wǎng) 絡(luò)安全和 VPN 方面有很深的造詣，一直從事網(wǎng)絡(luò)核心技術(shù)開發(fā)、產(chǎn)品管理和技術(shù)方案服務(wù)，是資深網(wǎng)絡(luò)協(xié)議和工業(yè)標(biāo)準(zhǔn)的專家。另外要求對每一個 ISC VPN 網(wǎng)關(guān)和 Xcess 管理服務(wù)器配置一個公共 IP 地址。 客戶端去 Xcess 管理服務(wù)器進行登陸，并下載新的客戶端安全策略，強制執(zhí)行該客戶端策略，以防范 DOS 和蠕蟲病毒的攻擊，阻止 BOSS 訪問和 Inter 通路的共存。 中國最大的管理資源中心 (大量免費資源共享 ) 第 10 頁 共 14 頁 1) 營業(yè)廳 Xcess 客戶端系統(tǒng)身份驗證原理 實施河北移動 Xcess 身份認證系統(tǒng)，必須在每個終端營業(yè) PC上安裝銘寰 Xcess 客戶端軟件，在獲得軟件的時候，終端用戶會獲得現(xiàn)在證書使用的初始的帳戶名和密碼 ，軟件安裝完成后，Xcess 客戶端會起用一個白名單策略，該策略只允許目的地址是 Xcess 管理服務(wù)器的網(wǎng)絡(luò)流量。 中國最大的管理資源中心 (大量免費資源共享 ) 第 7 頁 共 14 頁 認證功能 LDAP 支持 LDAP，允許企業(yè)用戶直接利用現(xiàn)有基于 LDAP 協(xié)議的用戶認證系統(tǒng)。其中，首當(dāng)其沖的就是令廣大用戶深惡痛絕的病毒和網(wǎng)絡(luò)攻擊。而調(diào)查表明，有 60%的系統(tǒng)首先被攻擊和突破的地方是口令。 中國最大的管理資源中心 (大量免費資源共享 ) 第 1 頁 共 14 頁 河北移動 BOSS 系統(tǒng) Xcess 身份認證 系統(tǒng)解決方案 北京銘寰科技有限公司 目 錄