【文章內(nèi)容簡(jiǎn)介】 用 IPv4 保留的私有地址對(duì)主機(jī)進(jìn)行地址分配，同時(shí)在 NAT 網(wǎng)關(guān)處將所有的內(nèi)部網(wǎng)絡(luò)地址以某種方式動(dòng)態(tài)映射為一個(gè)或多個(gè)因特網(wǎng)合法 IP 地址（通常為 NAT 網(wǎng)關(guān)的外網(wǎng)口地址）。目前 NAT 技術(shù)以其簡(jiǎn)單實(shí)用的特點(diǎn)在國(guó)內(nèi)得到了非常廣泛的應(yīng)用，比如：企業(yè)局域網(wǎng)通過代理或防火墻共享上網(wǎng)，小區(qū)和智能大廈提供的寬帶接入，寬帶城域網(wǎng)接入業(yè)務(wù)等等；而且在很多地方用戶訪問因特網(wǎng)的數(shù)據(jù)往往通過了多層 NAT 網(wǎng)關(guān)的轉(zhuǎn)換。 在多數(shù)情況下 NAT 的處理對(duì)用戶使用是完全透明的，但是當(dāng)希望使用 IPSec技術(shù)組建VPN 網(wǎng)絡(luò)時(shí)， NAT 卻帶來了很大的麻煩。由于 NAT 處理過程是需要修改 IP 數(shù)據(jù)報(bào)文的 IP頭數(shù)據(jù)、傳輸層報(bào)文頭數(shù)據(jù)甚至傳輸數(shù)據(jù)的內(nèi)容（如 FTP 應(yīng)用），而在 IPSec 協(xié)議中是對(duì)整個(gè) IP 報(bào)文數(shù) 據(jù)進(jìn)行了加密和完整性認(rèn)證處理的，所以一旦經(jīng)過 IPSec 處理的 IP 包穿過NAT 網(wǎng)關(guān)時(shí)，包內(nèi)容被網(wǎng)關(guān)所改動(dòng)，改數(shù)據(jù)包到達(dá)目的主機(jī)后其解密或完整性認(rèn)證處理就會(huì)失敗，于是這個(gè)報(bào)文被認(rèn)為是非法數(shù)據(jù)而被丟棄。這就是組建 VPN 網(wǎng)關(guān)最常見的 “IPSec與 NAT 協(xié)調(diào)工作 ”的問題。 為了解決這個(gè)問題 IETF 專門為 IPSec 制定的 “NAT 穿越（ NATT） ”的協(xié)議草案，目前該草案的最新版本為 ，是 2020 年剛剛提出的。協(xié)議中解決 NAT 穿越問題的基本思路是在 IPSec 封裝好的數(shù)據(jù)包外再進(jìn)行一次 UDP 的數(shù)據(jù)封裝，這樣當(dāng)此數(shù)據(jù)包穿 過 NAT 網(wǎng)關(guān)時(shí)，被修改的只是最外層的 IP/UDP 數(shù)據(jù)，而對(duì)其內(nèi)部真正的 IPSec 數(shù)據(jù)沒有進(jìn)行改動(dòng)；在目的主機(jī)處再把外層的 IP/UDP 封裝去掉，就可以獲得完整的 IPSec 數(shù)據(jù)包。 由于 NATT 協(xié)議標(biāo)準(zhǔn)制定的時(shí)間還比較短，而且還沒有最終形成 RFC的標(biāo)準(zhǔn)，所以目前國(guó)內(nèi) VPN廠商真正支持這個(gè)標(biāo)準(zhǔn)的產(chǎn)品幾乎沒有，國(guó)外的 VPN 廠商也只有象 NetScreen這樣的大型的 VPN 設(shè)備供應(yīng)商才支持 NATT 標(biāo)準(zhǔn)。華盾 VPN 的全系列產(chǎn)品（從網(wǎng)關(guān)到移動(dòng)客戶端軟件）都支持最新的 NATT 標(biāo)準(zhǔn)。由于 NAT 技術(shù)在國(guó)內(nèi)的廣泛應(yīng)用，所以用戶在選 用 VPN 設(shè)備時(shí)應(yīng)該將這一功能作為一個(gè)重要的考核指標(biāo)。 第二章 APN GW 產(chǎn)品 介紹 APN GW是新一代的 VPN。它最大的特點(diǎn)是形成網(wǎng)狀連接、費(fèi)用低，穩(wěn)定可靠，無需專線，無需固定 IP 地址?？梢灾С侄喾N上網(wǎng)方式，如撥號(hào)、寬帶、 ISDN、 ADSL。 ? 產(chǎn)品特征 ? APN GW 是解決網(wǎng)絡(luò)安全傳輸?shù)淖罡咝?，最?jié)省的組網(wǎng)技術(shù)。 ? APN GW 能使用動(dòng)態(tài) IP 接入 Inter 的 LAN 之間進(jìn)行互聯(lián)。 ? APN GW 能形成網(wǎng)狀的網(wǎng)絡(luò)連接，通訊無中心瓶頸，構(gòu)建高效的即時(shí)通訊平臺(tái)； ? 以最低成本接入， 最低通訊成本提供高性能高可靠性的企業(yè)專網(wǎng)的計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)。 ? APN GW支持 ADSL ISDN DDN Dialup方式，靜態(tài) /動(dòng)態(tài) IP 接入。在相同的通訊帶寬下，節(jié)省 80%通訊費(fèi)用。 ? APN GW 能使普通企事業(yè)也能通過 Inter 組建自己的企業(yè)專網(wǎng)。使企業(yè)所有于局域網(wǎng)上應(yīng)用的網(wǎng)絡(luò)應(yīng)用以最低的成本應(yīng)用至 Inter 所及的范圍 。 ? 技術(shù)要點(diǎn) ? 協(xié)議： TCP/IP ? 基于 IPSec 國(guó)際標(biāo)準(zhǔn) ? 完善的路由功能 ? 完善的寬帶代理服務(wù)器。 NAT/PAT 地址轉(zhuǎn)換技術(shù)保護(hù)內(nèi)部網(wǎng)絡(luò)。 ? DHCP 服務(wù)器 ? DNS 服務(wù)器 ? 設(shè) 備是一個(gè)高性能的防火墻 ? 內(nèi)置 PPPoE ? Tel or VT100 終端控制端口命令行 ? 硬件接口 ? Console 接口：系統(tǒng)配置及系統(tǒng)監(jiān)測(cè)，通過 RS232 (9600, 8N1)進(jìn)行通訊 ? 局域網(wǎng)接口： Ether Interface, 10/100BASET ? 廣域網(wǎng)接口： Ether Interface 10/100BASET) / PPPoE 通訊口接口 ( 用于接 ADSL Cable Modem) ? 廣域網(wǎng)接口： RS232, 外置 Dialup Modem / ISDN TA ? Flash 擴(kuò)展槽（ RSA硬件密鑰接口）、硬件加密卡接口（部分型號(hào)） ? 物理規(guī)范 ? 輸入電壓： 110V~230V ? 功率：最大約 40W (GW1000/2020) GW200 小于 2W ? 使用環(huán)境溫度： 0~45 ℃ ? 使用環(huán)境濕度： 5~95% ? 加密算法 數(shù)據(jù)傳輸可自由選擇 ? AES/128 位加密算法 ? 3DES/168 位加密算法 ? SERPENT/128 位加密算法 ? BLOWFISH/128 位加密算法 ? TWOFISH/128 位加密算法 ? 國(guó)家密碼委員會(huì)指定的硬件加密卡 、加密器 或第三方算法 保證數(shù)據(jù)完整可自由選擇 ? MD596 ? SHA196 ? SHA2256 ? SHA2512 身份認(rèn)證支持 ? RSA 2048 ? Preshare Key ? 符合標(biāo)準(zhǔn) ? RFC2401 Security Architecture for the Inter Protocol ? RFC2411 IP Security Document Roadmap ? RFC2402 IP Authentication Header ? RFC2406 IP Encapsulating Security Payload (ESP) ? RFC2367 PF_KEY Key Management API, Version 2 ? RFC2407 The Inter IP Security Domain of Interpretation for ISAKMP ? RFC2408 Inter Security Association and Key Management Protocol (ISAKMP) ? RFC2409 The Inter Key Exchange (IKE) ? RFC2412 The OAKLEY Key Determination Protocol ? RFC2528 Inter Public Key Infrastructure ? RFC2085 HMACMD5 IP Authentication with Replay Prevention ? RFC2104 HMAC: KeyedHashing for Message Authentication ? RFC2202 Test Cases for HMACMD5 and HMACSHA1 ? RFC2207 RSVP Extensions for IPSEC Data Flows ? RFC2403 The Use of HMACMD596 within ESP and AH ? RFC2404 The Use of HMACSHA196 within ESP and AH ? RFC2405 The ESP DESCBC Cipher Algorithm With Explicit IV ? RFC2410 The NULL Encryption Algorithm and Its Use With IPsec ? RFC2451 The ESP CBCMode Cipher Algorithms ? RFC2521 ICMP Security Failures Messages ? APN GW 產(chǎn)品列表 APN GW ID Product Product Description GW200 Series GW00200 APN GW200 2 Eth 10/100 BaseT NIC,1 232Com接口（與 Console接口共用）； 8M Flash, MIPS CPU Based on IPSec Tunnels 適用于運(yùn)用 VOIP 和視頻會(huì)議，數(shù)據(jù)，簡(jiǎn)單防火墻功能 GW2020 Series GW20200 APN GW2020 2 Eth 10/100 Based NIC,1 232Com接口； 1Console接口； 8M Flash,243MHz CPU With AOS with Firewall /3DES/AES/BLOWFISH/TWOFISH MD5 /Preshare Key 基于 IPSec，多種加密算法可選，身份驗(yàn)證用 PRK GW20500 APN GW2500 3 Eth 10/100 Based NIC,1 232Com接口； 1Console接口； 32M Flash； 1 Flash Slot,C533MHzCPU, 1 Licenses Key,With AOS ,With Firewall MD5 /Preshare Key RSA 適用于數(shù)據(jù)流量大公司，或要求國(guó)家加密算法的行業(yè)用戶 基于 IPSec，多種加密算法可選，身份驗(yàn)證用 PRK 和RSA，支持硬件加密卡 GW5000 Series GW50100 APN GW5000 3 Eth 10/100 Based NIC,1Console接口； 32M Flash；可擴(kuò)展 1 Flash Slot,800MHzCPU, With AOS ,With Firewall MD5 /Preshare Key RSA 適用于集團(tuán)公司 VDN 服務(wù)、 IPSEC 通訊。 PPTP Options for All version but 100 PT20200 PPTP Server PPTP Server For APN 可以在線 update PT20200 PPTP Client For Windows 2020/ PPTP APN GW Hardware Options Cable CB10100 Console cable APN Console Cable CB10101 Console cable VOIP Console Cable VOIP VO10100 APN GW VOIPO 4 路 VOIP， FXO 接口 VS10100 APN GW VOIPS 4 路 VOIP， FXS 接口 APN GW 2500 Hardware Options 硬件加密卡 SJ20200 2020 SJW － 1 Card 經(jīng) “國(guó)家密碼管理委員會(huì)辦公室 ”批準(zhǔn)的加密算法的VPN 隧道加密卡 31M，簽名 13 次 /秒 SJ20201 2020 SJW － 2 Card 經(jīng) “國(guó)家密碼管理委員會(huì)辦公室 ”批準(zhǔn)的加密算法的VPN 隧道加密卡 50M，簽名 13 次 /秒 SJ20202 2020 SJW － 3 Card 經(jīng) “國(guó)家密碼管理委員會(huì)辦公室 ”批準(zhǔn)的加密算法的VPN 隧道加密卡 50M，簽名 60 次 /秒 CF20200 2020CFK 2020 密鑰存儲(chǔ)器（標(biāo)配已有） GW200 APNGW 2020 外觀 GW2500 及其內(nèi)部構(gòu)造：支持硬件加密卡 GW2500在背部支持 RSA Key,可以用 RSA2048 位密碼驗(yàn)證 GW5000 ? APN GW 系列產(chǎn)品性能 指標(biāo) 產(chǎn)品名稱 APNGW1000/2020/2500/5000 產(chǎn)品定位 需要最高性能和可靠性的大型組織機(jī)構(gòu)企業(yè) /大型網(wǎng)狀的連接、從企業(yè)級(jí)、電信級(jí)用戶 防火墻 緊密集成 /支持分組管理、 VPN通道中的用戶管理和上網(wǎng)管理等多個(gè)模塊，基于包過濾的狀態(tài)檢