【文章內(nèi)容簡介】 和ADSL上網(wǎng)提供的上網(wǎng)速率一般都有幾兆以上，遠遠大于DDN和MODEM的速度。天融信VPN設(shè)備的加密速率最高可達400兆以上。安全性高：采用證書認證及1024位非對稱加密的方式保護密鑰的交換，對稱加密算法可選的靈活性高，有國密辦審批的各種硬件加密算法，亦有192位的3DES加密算法可以選擇?？蓪崿F(xiàn)網(wǎng)狀通信。無縫的支持NAT穿越（NATT）。可兼帶實現(xiàn)動態(tài)帶寬管理。天融信VPN設(shè)備支持集中分級管理方案，由網(wǎng)絡(luò)管理員在安全管理中心進行集中VPN設(shè)備管理。 關(guān)于天融信VPN解決方案1. 天融信VPN解決方案的特點 豐富完整的軟硬件產(chǎn)品線天融信VPN集中管理中心、天融信VPN客戶端軟件、天融信VPN軟件網(wǎng)關(guān)和高、中、低端硬件網(wǎng)關(guān)產(chǎn)品構(gòu)成了完整的天融信VPN產(chǎn)品線。從2M到400M的隧道加密速度(3DES)，從10條到5000條并發(fā)隧道，從5000到100萬個并發(fā)會話，天融信VPN可以滿足不同用戶的性能和擴展需求,提供完整的解決方案,具有很好的伸縮性——我們可以根據(jù)XXXX招標公司信息網(wǎng)的規(guī)模、資金投入和應(yīng)用系統(tǒng)需求，量體裁衣，制定切實可行的VPN解決方案。 天融信VPN網(wǎng)關(guān)的基本功能所有型號的天融信VPN硬件網(wǎng)關(guān)都支持的基本功能：功能分類功能描述接入方式支持小區(qū)寬帶接入、ADSL寬帶接入、CABLE MODEM寬帶接入、專線接入、電話撥號等多種Internet接入方式。IPSec標準支持標準IPSec ESP AH的隧道模式封裝和傳輸模式封裝支持DES、3DES、AES、MDSHA1等通用加密算法以及SSP02等國家密碼管理機構(gòu)批準的高強度算法支持IKE主模式/野蠻模式的自動密鑰協(xié)商協(xié)議支持預(yù)共享密鑰、數(shù)字證書的身份認證，支持最新的NAT穿越協(xié)議，支持雙向NAT穿越支持隧道數(shù)據(jù)壓縮移動用戶認證和授權(quán)用戶名/口令認證證書認證“用戶名/口令+證書”雙重認證RADIUS協(xié)議認證硬件特征碼綁定和認證支持移動用戶的訪問授權(quán)控制防火墻功能完備的防火墻功能；雙向NAT功能MAC地址綁定功能ARP代理功能透明應(yīng)用代理功能時段訪問控制防止半連接、拒絕服務(wù)、IP碎片等常見攻擊功能組網(wǎng)方式支持星型、樹型和網(wǎng)狀VPN組網(wǎng)方式支持全動態(tài)IP地址的VPN組網(wǎng)方案網(wǎng)絡(luò)特性和服務(wù)支持靜態(tài)路由協(xié)議支持多線路綁定和負載平衡支持L2TP over IPSec的二層隧道建立內(nèi)置DHCP服務(wù)器，可以完成企業(yè)內(nèi)部網(wǎng)主機IP地址的動態(tài)分配支持DHCP over IPSec，為移動用戶動態(tài)分配企業(yè)內(nèi)部地址支持DDNS的動態(tài)域名解析功能支持SNMPv2/v3網(wǎng)管協(xié)議帶寬管理隧道信息和非隧道信息的帶寬管理隧道內(nèi)的帶寬管理基于流量的動態(tài)帶寬管理策略基于策略（地址、協(xié)議）的帶寬管理基于優(yōu)先級（8級）的帶寬管理管理模式支持天融信VPN安全管理中心的集中管理或分級管理支持VPN策略的集中制定和下發(fā)，實現(xiàn)分支機構(gòu)和移動用戶的“零配置” 符合國家密碼管理政策及相關(guān)管理政策規(guī)定天融信公司是國家密碼管理機構(gòu)指定的商用密碼產(chǎn)品定點生產(chǎn)單位。天融信VPN產(chǎn)品是經(jīng)國家密碼管理機構(gòu)批準的商用密碼產(chǎn)品，支持多種國內(nèi)自主研制的硬件密碼算法模塊，產(chǎn)品的安全性和合法性有充分的保障。 全面支持IPSec協(xié)議標準IPSec作為一個全球性的安全標準，要求所有IPSec的實現(xiàn)必須嚴格遵循其各種協(xié)議規(guī)范，以便實現(xiàn)不同產(chǎn)品之間的互通。天融信VPN產(chǎn)品經(jīng)過嚴格的互通性測試，和CISCO、NetScreen、MicroSoft等著名廠家的VPN產(chǎn)品可以實現(xiàn)互通（采用標準算法）。 支持最新的NAT穿越（NATT）協(xié)議NAT技術(shù)是目前國內(nèi)企業(yè)共享上網(wǎng)、小區(qū)和智能大廈寬帶接入、城域網(wǎng)寬帶接入所使用的主流技術(shù)；NAT與IPSec協(xié)議存在著原理上的矛盾；所以在應(yīng)用IPSec技術(shù)組建VPN網(wǎng)絡(luò)時，一定要考慮選用的VPN設(shè)備是否具有“NAT穿越”的功能。天融信VPN的全系列產(chǎn)品均支持最新的NATT ，天融信VPN解決NAT穿越問題的基本原理是在IPSec封裝好的數(shù)據(jù)包外再進行一次UDP的數(shù)據(jù)封裝，這樣當此數(shù)據(jù)包穿過NAT網(wǎng)關(guān)時，被修改的只是最外層的IP/UDP數(shù)據(jù)，而對其內(nèi)部真正的IPSec數(shù)據(jù)沒有進行改動；在目的主機處再把外層的IP/UDP封裝去掉。 集成防火墻功能天融信VPN網(wǎng)關(guān)中集成了防火墻功能，并進行了友好易用的用戶界面封裝，提供專用防火墻產(chǎn)品主要的功能： 完備的動態(tài)包過濾功能； 雙向NAT功能； MAC地址綁定功能； ARP代理功能； 透明應(yīng)用代理功能； 防止半連接、拒絕服務(wù)、IP碎片等常見攻擊功能； 支持雙動態(tài)IP地址間建立VPN隧道目前國內(nèi)常用的因特網(wǎng)接入方案（包括電話撥號、ISDN撥號、ADSL寬帶接入等等）都是由ISP為接入用戶動態(tài)分配臨時IP地址。如果XXXX招標公司的分支均采用動態(tài)IP地址方式接入因特網(wǎng)，那么這兩個分支機構(gòu)之間的VPN隧道策略參數(shù)必須進行動態(tài)調(diào)整，這一過程對目前市場大部分的VPN產(chǎn)品（包括國內(nèi)產(chǎn)品和國外產(chǎn)品）都無法自動完成，這為企業(yè)VPN網(wǎng)絡(luò)的廣泛應(yīng)用和管理人員的維護工作帶來很大麻煩。天融信VPN網(wǎng)關(guān)產(chǎn)品通過集中的VPN策略管理方式成功解決了雙動態(tài)IP之間自動建立VPN隧道的問題。網(wǎng)關(guān)接入因特網(wǎng)之后首先向XXXX招標公司部署的“天融信VPN安全管理中心”進行注冊和身份認證，然后從VPN安全管理中心下載屬于它自己的VPN策略；同時VPN安全管理中心負責當策略參數(shù)發(fā)生改變時，實時通知在線的網(wǎng)關(guān)產(chǎn)品更新策略。從而確保所有的網(wǎng)關(guān)都能夠獲得最新的策略參數(shù)變化情況。 支持動態(tài)域名解析（DDNS）天融信VPN產(chǎn)品支持XXXX招標公司以全靜態(tài)IP地址、單靜態(tài)IP地址＋動態(tài)IP地址以及全動態(tài)IP地址的方式接入因特網(wǎng)。對于XXXX招標公司內(nèi)部全動態(tài)IP地址接入的情況，部署在XXXX招標公司的天融信VPN網(wǎng)關(guān)（內(nèi)置安全策略服務(wù)器）可以啟動內(nèi)置的動態(tài)域名解析功能（DDNS），從而使各個分支網(wǎng)關(guān)能夠通過中心網(wǎng)關(guān)的域名來下載安全策略。對于XXXX招標公司VPN產(chǎn)品無疑是一個最佳的選擇。 完善的VPN網(wǎng)絡(luò)集中分級管理功能對XXXX招標公司來說,網(wǎng)絡(luò)系統(tǒng)中的關(guān)鍵數(shù)據(jù)具有較高的安全性要求，因此對接入集團VPN網(wǎng)絡(luò)的部門及個人必須進行集中嚴格的身份認證，控制非授權(quán)人員進入集團內(nèi)部網(wǎng)絡(luò)，對業(yè)務(wù)系統(tǒng)的安全運行造成威脅；其次，在網(wǎng)絡(luò)中傳遞的主要是業(yè)務(wù)數(shù)據(jù)，而業(yè)務(wù)數(shù)據(jù)對實時性要求很高，一旦某個點的VPN網(wǎng)絡(luò)發(fā)生故障數(shù)據(jù)不能及時上傳，就可能造成很大的負面影響。所以需要對整個VPN網(wǎng)絡(luò)的運行情況進行集中監(jiān)控和遠程管理，及時發(fā)現(xiàn)網(wǎng)絡(luò)故障并排除，保證業(yè)務(wù)系統(tǒng)的順利運行。綜合以上分析的VPN網(wǎng)絡(luò)管理需求，天融信VPN系列產(chǎn)品采用了“統(tǒng)一認證、集中監(jiān)控、分級管理”的VPN網(wǎng)絡(luò)管理方案：統(tǒng)一認證：天融信VPN全系列產(chǎn)品（包括網(wǎng)關(guān)和軟件包）均支持目前最安全的身份認證方式――數(shù)字電子證書認證，采用1024bits密鑰的RSA算法進行數(shù)字證書簽名，數(shù)字證書的發(fā)放、認證過程由“天融信VPN安全管理中心”軟件完成；在XXXX招標公司部署“天融信VPN安全管理中心”，負責對全網(wǎng)VPN網(wǎng)絡(luò)的入網(wǎng)設(shè)備發(fā)放數(shù)字證書，只有擁有合法數(shù)字證書并通過VPN安全管理中心認證的VPN設(shè)備才能接入集團VPN網(wǎng)絡(luò)。集中監(jiān)控：通過“天融信VPN安全管理中心”軟件，可以對整個集團VPN網(wǎng)絡(luò)中部署的天融信VPN產(chǎn)品（包括硬件和軟件）完成實時在線狀態(tài)監(jiān)控，可以及時、清楚的獲取當前在線VPN設(shè)備的各種狀態(tài)參數(shù)；同時天融信VPN網(wǎng)關(guān)產(chǎn)品均具有安全的遠程管理的功能，無論該設(shè)備以何種方式接入XXXX招標公司VPN虛擬網(wǎng)，都可以對其進行遠程配置，因此當通過狀態(tài)查看發(fā)現(xiàn)某個網(wǎng)關(guān)設(shè)備工作不正常時，中心管理員可以及時遠程修改該設(shè)備的各種配置參數(shù)，以保證整個VPN系統(tǒng)的運轉(zhuǎn)正常。分級管理：天融信VPN系列產(chǎn)品（包括網(wǎng)關(guān)和軟件包）在安全管理上一個重要的特性是，所有的VPN隧道配置都在“安全策略服務(wù)器”上進行設(shè)置，各種天融信VPN設(shè)備接入因特網(wǎng)后都會從指定的“安全策略服務(wù)器”處下載與自己相關(guān)的VPN隧道配置信息，然后再根據(jù)配置信息與其它設(shè)備建立VPN隧道；安全策略服務(wù)器被內(nèi)置在天融信VPN硬件網(wǎng)關(guān)設(shè)備上，通過圖形界面的“安全策略編輯器”對安全策略服務(wù)器上的VPN策略進行編輯；在XXXX招標公司的VPN網(wǎng)絡(luò)中可以啟用多級安全策略服務(wù)器，XXXX招標公司的VPN策略由管理員負責編輯維護，其只負責配置直接與XXXX招標公司有數(shù)據(jù)通訊關(guān)系的VPN隧道；在這種管理模式下，大大減輕了XXXX招標公司網(wǎng)絡(luò)管理人員的工作強度，提高整個VPN網(wǎng)絡(luò)的可伸縮性。 支持動態(tài)帶寬管理功能VPN網(wǎng)關(guān)設(shè)備作為企業(yè)內(nèi)部網(wǎng)絡(luò)與因特網(wǎng)的互聯(lián)設(shè)備，通常需要完成兩個主要功能：代理內(nèi)部網(wǎng)絡(luò)用戶訪問因特網(wǎng)；隧道封裝內(nèi)部網(wǎng)絡(luò)用戶訪問遠端內(nèi)部網(wǎng)主機的數(shù)據(jù)流。因此合理分配有限的因特網(wǎng)接入帶寬資源，確保內(nèi)部的業(yè)務(wù)數(shù)據(jù)流快速實時地進行傳輸是VPN網(wǎng)關(guān)設(shè)備必不可少的一項功能。天融信VPN網(wǎng)關(guān)系列產(chǎn)品均提供精確的動態(tài)帶寬管理功能。其可根據(jù)因特網(wǎng)接入的總帶寬，定量的控制因特網(wǎng)瀏覽和企業(yè)VPN數(shù)據(jù)流所占用的帶寬比例；而且可以對上述兩種類型的數(shù)據(jù)流進行更為細致的劃分，例如：可以控制VPN數(shù)據(jù)流中流向XXXX招標公司的帶寬比例；另外天融信VPN網(wǎng)關(guān)對帶寬控制采用了自適應(yīng)的動態(tài)管理策略，例如：當VPN數(shù)據(jù)流不大時，因特網(wǎng)瀏覽數(shù)據(jù)可以自動借用剩余的VPN數(shù)據(jù)帶寬，動VPN數(shù)據(jù)流加大時，因特網(wǎng)瀏覽數(shù)據(jù)又會自動讓出占用的VPN數(shù)據(jù)帶寬，從而即可以確保VPN數(shù)據(jù)的通訊質(zhì)量，又不會造成不必要的帶寬資源浪費。 提供豐富的冗余備份方案天融信VPN網(wǎng)關(guān)提供兩種冗余備份解決方案，為保證VPN網(wǎng)絡(luò)的穩(wěn)定性提供了強有力的工具。具體方案如下：雙機單線路主從備份在這種方案中，正常情況下僅有工作機進行工作，備份機處于熱等待狀態(tài)，并使用心跳信號實時偵聽工作機的運轉(zhuǎn)狀態(tài)；當工作機出現(xiàn)故障時，備份機自動接替工作機的工作，完成VPN隧道的加解密和數(shù)據(jù)隧道封裝工作；當工作機恢復(fù)正常后，備份重新進入熱等待狀態(tài)。雙機雙線路鏡像備份在這種方案中兩臺VPN設(shè)備均為工作狀態(tài)，而且各種配置信息完全自動鏡像，數(shù)據(jù)流選擇主線路還是備份線路是由路由器的HSRP備份協(xié)議自動協(xié)商完成的。同時，天融信VPN軟件網(wǎng)關(guān)作為極低成本的備份方案，更是受到了廣大客戶的青睞. 多線路捆綁和隧道級負載均衡？多線路捆綁是將多條出口線路（通常指ADSL線路）連至同一臺VPN設(shè)備，以提高出口帶寬。如果多出口帶寬僅僅用于提高內(nèi)部主機上網(wǎng)瀏覽速度，那么這是一個純粹的網(wǎng)絡(luò)通訊技術(shù)，和VPN沒有太大關(guān)系。天融信VPN網(wǎng)關(guān)實現(xiàn)了多線路接入情況下隧道級的負載均衡。上網(wǎng)數(shù)據(jù)流和VPN隧道數(shù)據(jù)流都可以享受多線路帶來的高帶寬和高冗余性的好處。天融信VPN網(wǎng)關(guān)可以支持4條線路的捆綁和負載均衡，這取決于硬件網(wǎng)關(guān)的物理網(wǎng)口數(shù)。 提供功能強大的VPN軟件包作為完整的VPN解決方案，提供支持移動辦公用戶遠程訪問VPN系統(tǒng)的客戶端軟件包是必不可少的。 工作在應(yīng)用層的VPN客戶端軟件包作為完整的VPN解決方案，支持移動辦公用戶遠程訪問XXXX招標公司內(nèi)網(wǎng)的VPN客戶端軟件包是必不可少的。但現(xiàn)在絕大多數(shù)的VPN客戶端軟件都需要在操作系統(tǒng)內(nèi)核中嵌入一個龐大的墊片，經(jīng)常導(dǎo)致與個人防火墻、防病毒等軟件的沖突。天融信VPN客戶端軟件則采用獨有的非核心層IPSec實現(xiàn)方案，與其它桌面軟件的兼容性極佳。天融信VPN客戶端軟件不但提供完整的IPSec協(xié)議實現(xiàn)，而且為移動用戶提供基于用戶名/口令、證書、動態(tài)令牌卡等多種認證方式，支持與MAC地址等硬件特征碼綁定的安全措施，安裝配置簡單，其操作過程類似配置windows的撥號網(wǎng)絡(luò)，只需輸入接入網(wǎng)關(guān)地址、用戶名、口令即可。
2. 天融信解決方案的優(yōu)勢天融信VPN解決方案的優(yōu)勢包括：1) 天融信VPN產(chǎn)品由于開發(fā)早，應(yīng)用面廣，目前其市場占有率、客戶數(shù)目、在線工作的機器數(shù)量等領(lǐng)先于同類產(chǎn)品，產(chǎn)品成熟度和工程實施經(jīng)驗明顯居于前列。2) 由于采用了切合實際的設(shè)計理念，其產(chǎn)品的結(jié)構(gòu)合理性和網(wǎng)絡(luò)適應(yīng)性得到有效保證。3) 作為VPN類產(chǎn)品，它完整地通過了國家密碼管理委員會立項、安全審查、技術(shù)鑒定全過程。4) 無縫支持NAT穿越（NATT）。5) 支持動態(tài)域名解析。6) 支持星形、網(wǎng)狀互聯(lián)。7) 完善的集中管理功能。8) 提供功能強大的軟件安全包。9) 完整的QoS功能。10) 集成完善的防火墻功能。 網(wǎng)絡(luò)物理安全規(guī)劃概述以Internet為代表的全球性信息化浪潮迅猛發(fā)展，信息網(wǎng)絡(luò)技術(shù)的應(yīng)用正日益普及和廣泛，應(yīng)用層次正在深入，應(yīng)用領(lǐng)域也從傳統(tǒng)的、小型業(yè)務(wù)系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)擴展，典型的如行政部門業(yè)務(wù)系統(tǒng)、金融業(yè)務(wù)系統(tǒng)、企業(yè)商務(wù)系統(tǒng)等。伴隨網(wǎng)絡(luò)的普及，越來越多的企業(yè)、個人通過互聯(lián)網(wǎng)進行重要數(shù)據(jù)的傳輸、商務(wù)活動的實現(xiàn)。因此網(wǎng)絡(luò)安全問題也更加關(guān)鍵和重要。因為在開放的Internet上有形形色色的人，他們的意圖也是多種多樣的。如何使網(wǎng)絡(luò)信息系統(tǒng)不受黑客和工業(yè)間諜的入侵，已成為政府機構(gòu)、企事業(yè)單位信息化健康發(fā)展所必需考慮和解決的重要問題。XXXX招標公司計算機網(wǎng)絡(luò)網(wǎng)絡(luò)連接，它的作用是為XXXX招標公司在決策工作中提供完整、準確、及時的各項數(shù)據(jù)和分析結(jié)果，是其決策科學化的重要工具和手段。因此在現(xiàn)在這樣一個信息化高速發(fā)展的世紀必須做好安全工作，包括網(wǎng)絡(luò)安全。同時由于其廣域網(wǎng)跨越電信部門的公共網(wǎng)絡(luò)，而且在網(wǎng)上傳輸?shù)男畔⒖赡苡猩婷苄畔?，所以其信息安全問題，如敏感信息的泄露、黑客的侵擾、網(wǎng)絡(luò)資源的非法使用以及計算機病毒等都將對其構(gòu)成安全威脅。為保證某網(wǎng)絡(luò)安全，有必要對其網(wǎng)絡(luò)進行專門安全設(shè)計。北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司是我國最早專業(yè)從事因特網(wǎng)（Internet）及計算機通信網(wǎng)絡(luò)信息安全研究、產(chǎn)品開發(fā)與系統(tǒng)集成的高新技術(shù)企業(yè)。天融信公司已成功開發(fā)出了防火墻系統(tǒng)、加密機（VPN）系統(tǒng)及信息審計系統(tǒng)等網(wǎng)絡(luò)安全產(chǎn)品，并分別獲得了公安部、國家安全部、國家保密局、國家密碼管理