【導(dǎo)讀】xx公司SSLVPN網(wǎng)絡(luò)建設(shè)方案。深圳市深信服電子科技有限公司。深信服科技有限公司提供

　　

【正文】 性 動態(tài)令牌認(rèn)證系統(tǒng)說明 動態(tài)令牌是技術(shù)領(lǐng)先的一種雙因素強身份認(rèn)證體系，采用用戶 PIN 碼 +動態(tài)令牌碼構(gòu)成完整用戶口令，令牌碼由令牌內(nèi)置唯一種子和當(dāng)前時間通過偽隨機算法生成，每分鐘改變一次，而且是一次性密碼（密碼使用后立即失效，不能重復(fù)使用）。由于實際上的安全問題都和密碼有關(guān)，盜竊和破解密碼是最常見的口令攻擊手段 ,因此動態(tài)令牌很好的解決了以上問題；同時令牌認(rèn)證服務(wù)器、 VPN 網(wǎng)關(guān)和遠程管理會話都進行了加密，保證了中間傳輸數(shù)據(jù)的安全性，而在獲準(zhǔn)訪問前，遠程管理員必須通過安盟身份認(rèn)證服務(wù)器軟件的身份認(rèn)證才能管理服務(wù)器。 動態(tài)令牌認(rèn)證的應(yīng)用范圍有： VPN 訪問 通過使用動態(tài)令牌認(rèn)證系統(tǒng)，提供 VPN 用戶可信 度保證的同時也很好的解決了一序列問題：其一，密碼無需設(shè)置的很麻煩，也無需每月或每周甚至每日進行密碼更換；其二，此密碼是以密文形式在互聯(lián)網(wǎng)上傳輸，采用的是一種非對稱的加密技術(shù)進行加密的，即使黑客在傳輸過程當(dāng)中截獲或竊聽了，他們只有在一分鐘之內(nèi)解開，且解開之后，如果后于用戶或管理員進入系統(tǒng)，則即使將此密文解密了也無濟于事。大大加強了在身份認(rèn)證上的安全可靠性。其三，通過 SecurID雙因素身份認(rèn)證進入系統(tǒng)的管理員或用戶，系統(tǒng)將記載是哪位 VPN 用戶，在什么時候進入，使用的是哪塊令牌進入等事件， ACE/Server 將 記載這些操作過程。 路由器、交換機等網(wǎng)絡(luò)設(shè)備保護 現(xiàn)在只需要配置這些網(wǎng)絡(luò)設(shè)備通過 RADIUS 協(xié)議來實現(xiàn)雙因素認(rèn)證，當(dāng)用戶需要 TELNET 到這些網(wǎng)絡(luò)設(shè)備時，必須輸入用戶名和雙因素口令碼，然后由這些網(wǎng)絡(luò)設(shè)備通過 RADIUS 協(xié)議將口令碼發(fā)送到認(rèn)證服務(wù)器進行認(rèn)證，如果是合法用戶則可以訪問網(wǎng)絡(luò)資源，否則就會被拒絕在外。 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 28 UNIX/Linux 主機保護 動態(tài)令牌認(rèn)證系統(tǒng)能對 UNIX/Linux 主機提供強身份認(rèn)證保護，當(dāng)用戶通過遠程 Tel 或本地登錄到 UNIX/Linux 主機時，主機首先提示用戶輸入正確的用戶名 和口令，當(dāng)用戶正確輸入以后， UNIX/Linux 主機根據(jù)用戶名定位其記錄，確認(rèn)其是否需要雙因素強認(rèn)證，如果是，則提示用戶輸入正確的口令碼，只有用戶輸入了正確的 PIN 和令牌碼以后，才能進入到主機系統(tǒng)，否則就會被拒絕在外。 Oracle 數(shù)據(jù)庫保護 Oracle 是著名的數(shù)據(jù)庫軟件的供應(yīng)商，由其提供的 9i 以后的版本支持RADIUS 認(rèn)證。 可以將用戶的身份認(rèn)證配置成通過 RADIUS 認(rèn)證的方式，并把認(rèn)證指向安盟的認(rèn)證服務(wù)器，當(dāng)用戶試圖訪問 Oracle 數(shù)據(jù)庫時，必須通過安盟雙因素身份認(rèn)證的系統(tǒng)的身份認(rèn)證，所有基 于 Oracle 數(shù)據(jù)庫的應(yīng)用程序均可以得到由安盟身份認(rèn)證 提供的強身份認(rèn)證。 Web 服務(wù)器、辦公自動化、 EIP 和 ERP 系統(tǒng)保護 動態(tài)令牌認(rèn)證系統(tǒng)能對 Microsoft IIS、 Domino、 Apache、 Websphere、Weblogic 以及 iPla 的 Web 服務(wù)器，提供身份認(rèn)證保護。 電子郵件系統(tǒng)的保護 采用動態(tài)令牌認(rèn)證系統(tǒng)能對 Exchange、 Lotus Notes、基于 Linux 的郵件系統(tǒng)提供強身份認(rèn)證保護。 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 29 第五章 技術(shù)支持服務(wù) 深信服科技公司的技術(shù)服務(wù)部門將提供優(yōu)質(zhì)服務(wù)以保證整 個系統(tǒng)運行的穩(wěn)定、高效和安全。 為了提供更好的客戶服務(wù)、 更好的 幫助您有效解決使用 SINFOR 產(chǎn)品時遇到的問題， 深信服科技 花巨資 啟用客戶服務(wù)呼叫中心 CTI 系統(tǒng)。所有的 SINFOR 產(chǎn)品用戶請撥打 800 830 6430 免費客戶服務(wù)熱線（未開通 800 的區(qū)域或手機用戶請撥打： 075526581993），進入該呼叫中心。 呼叫中心 CTI 系統(tǒng)將智能識別來電客戶、檢索客戶歷史故障，快速解決客戶問題；還提供了語音留言、呼叫等待等多種功能。 技術(shù)支持與服務(wù) 安裝服務(wù) 深信服科技公司負(fù)責(zé)網(wǎng)絡(luò)安全設(shè)備的安裝調(diào)試、 調(diào)優(yōu)工作。建立合理的項目建設(shè)機制，保證工程的安裝服務(wù)質(zhì)量。 安裝完畢后提供完整的技術(shù)文檔，內(nèi)容包括：系統(tǒng)的信息記錄、操作維護、調(diào)試的方法以及常見故障處理等等。 配件服務(wù) 提供配件服務(wù)，使故障設(shè)備得到維護。對一些維修周期長的設(shè)備，提供相似性能的設(shè)備，保證運行系統(tǒng)穩(wěn)定。 保修維護服務(wù) 對在保修期內(nèi)的軟硬件產(chǎn)品設(shè)備提供保修服務(wù)（火災(zāi)、地震等人力不可抗拒的因素造成的設(shè)備損壞除外）： 提供 7*24 維修服務(wù)，提供 7*24 小時響應(yīng)的聯(lián)系電話及聯(lián)系人，提供遠程訪問維護功能，隨時受理電話咨詢，一旦有故障能隨時聯(lián)系到人 。系統(tǒng)發(fā)生故障通過遠程拔號接入或者 24 小時派工程師到現(xiàn)場維護。 后期維護服務(wù) 系統(tǒng)錯誤有可能在長時間的運行之后才能暴露出來，才能更容易的對問題進行孤立和查找。當(dāng)系統(tǒng)投入使用后，測試工作要不斷進行，只有這樣才能發(fā)現(xiàn)新錯誤，以便及時解決。因此定期派系統(tǒng)工程師上門或者遠程拔號接入對整個系統(tǒng) xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 30 的資源進行測試、維護和優(yōu)化（包括對系統(tǒng)軟硬件設(shè)備的清理、網(wǎng)絡(luò)性能的維護、優(yōu)化、性能調(diào)試等等維護服務(wù)，以使系統(tǒng)能夠長久、可靠安全的運行。在維護服務(wù)保修期內(nèi)，免費提供一些優(yōu)惠服務(wù)措施，包括提供軟件差補通知，安裝最新的補丁程序等 等，對于提供的應(yīng)用軟件包，如有新版本推出，應(yīng)建議用戶使用，并為用戶提供升級安裝服務(wù)），實施跟蹤服務(wù)。 用戶培訓(xùn) 深信服科技公司將負(fù)責(zé)對用戶進行網(wǎng)絡(luò)安全系統(tǒng)的技術(shù)培訓(xùn)。通過對本網(wǎng)絡(luò)各種設(shè)備的性能、結(jié)構(gòu)、原理、維護管理技術(shù)和實際操作的講解，能使用戶掌握設(shè)備配置、日常維護的方法和技巧，使用戶獨立進行操作、糾錯處理和設(shè)備測試，以保證網(wǎng)絡(luò)開通后的正常安全運行。系統(tǒng)管理和技術(shù)人員的培訓(xùn)由深信服科技公司負(fù)責(zé)組織，根據(jù)人員的知識結(jié)構(gòu)情況制定具體的培訓(xùn)計劃。 對系統(tǒng)管理員進行培訓(xùn)，使其熟悉系統(tǒng)的使用和維護，以利于以后 的系統(tǒng)管理工作。我們提供的培訓(xùn)服務(wù)分現(xiàn)場培訓(xùn)和專業(yè)培訓(xùn)，先進行專業(yè)培訓(xùn)，提供系統(tǒng)的理論知識、再進行現(xiàn)場培訓(xùn)，以利于系統(tǒng)的掌握和今后系統(tǒng)的開發(fā)升級。 安裝培訓(xùn) 安裝培訓(xùn)在安裝的過程中進行，最后安裝調(diào)試完畢后，做總結(jié)培訓(xùn)。 安裝培訓(xùn)目的是讓經(jīng)過專業(yè)培訓(xùn)的人員學(xué)以致用，理論結(jié)合實際，盡快掌握實際使用中產(chǎn)品設(shè)備的特性，以利于系統(tǒng)的使用和維護。 具體內(nèi)容： 、使用、維護、常見故障處理以及產(chǎn)品設(shè)備的特性，通過實際安裝中的培訓(xùn)，增強系統(tǒng)管理的實際操作水平。 ，各個管理人員對操作流程進 行實際演練，以確保安裝過程中的知識學(xué)以致用。 ，深信服科技公司在線對貴單位技術(shù)人員和操作人員進行實際操作培訓(xùn)。 專業(yè)培訓(xùn)： 對相關(guān)技術(shù)人員，我們提供現(xiàn)場培訓(xùn)和專業(yè)培訓(xùn)，先進行專業(yè)培訓(xùn)，提供系統(tǒng)的理論知識、再進行現(xiàn)場培訓(xùn)，以利于系統(tǒng)的掌握和今后系統(tǒng)的開發(fā)升級。 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 31 第六章 深信服科技公司成功客戶簡介 xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 32 云南省內(nèi)知名客戶 云南省交通廳 云南省氣象局 昆明市統(tǒng)計局 玉溪市統(tǒng)計局 曲靖市經(jīng)貿(mào)委 會澤縣經(jīng)貿(mào)委 中國華電集團 云南白藥集團 靖遠電力集團 云南鋁業(yè)集團 云南建工集團 保山恒益集 團 文山州財政局 大理州財政局 云南民航凱亞 云南普洱茶集團 西雙版納財政局 曲靖市電網(wǎng)公司 云南珍茗金龍水 云南石林天外天 昆明環(huán)境監(jiān)測中心 云南省環(huán)境監(jiān)測站 云南郵電器材公司 泰康人壽云南分公司 昆明江氏兄弟橋香園 文山州硯山縣民族中學(xué) 昆明有限數(shù)字電視公司 云南園正軸承有限責(zé)任公司 云南路橋第三有限責(zé)任公司 云南新立有色金屬有限公司 ??（學(xué)院） 上海市地質(zhì)調(diào)查院 深圳市公證處 交通部廣州打撈局 ?? xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 33 （ 7000 家客戶、上萬個網(wǎng)絡(luò)的成功應(yīng)用） xx 公司 SSL VPN 網(wǎng)絡(luò)建設(shè)方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 34 第七章 選型說明 目前中 XX 公司中心端采用 Sinfor M5100 硬件網(wǎng)關(guān)， SC 集中控制管理平臺。對于此次存在的大規(guī)模單點接入用戶，目前的平臺無法滿足，因此推薦中心端另購一臺或兩臺（雙機熱備，保障穩(wěn)定性） M5400S 或者 M5400P（為今后大并發(fā)量用戶做準(zhǔn)備，以免到時處理速度不夠。原因如下： SC 管理平臺下的 SSLVPN 是 版，存在功能上的不足，例如不支持 IP 服務(wù)，不支持自定義界面，不支持?jǐn)?shù)據(jù)中心，不支持口令爆破檢查（多次輸入錯誤的密碼鎖定帳戶，規(guī)定時間內(nèi)不允許登陸），客戶端安全檢測（符合安全要求的用戶，例如安裝殺毒軟件，防火墻才允許登陸 SSLVPN）等眾多實用的新功能。 M5100 性能不夠， M5100 單獨用于 SSLVPN 最多支持 200 個用戶同時在線，如果還需要估計 IPSEC 方面，性能大打折扣，不適合中 XX 的長遠發(fā)展。 SCSSL 的版本更新緩慢，無法適應(yīng)現(xiàn)在日新月異的技術(shù)要求，因此單獨使用 SSLVPN 平臺，可以享受到深信服科技帶來的最新技術(shù)、功能，有助于提升整個的使用效果。 動態(tài)令牌：動態(tài)令牌每分鐘變更一次密碼，并且該密碼在這個時間（一分鐘內(nèi)）全球唯一。那么各個系統(tǒng)可以同意帳號，使用動態(tài)令牌進行驗證，這樣用戶無需使用“小紙?zhí)弊兛梢暂p松應(yīng)用。可 以說是一套認(rèn)證體系保護整體安全（ B/S、 C/S 甚至是 Web 都可以輕松實現(xiàn)保護）。 雙機熱備的好處：面向日后的大并發(fā)量用戶，邊緣節(jié)點，加油站的連入，穩(wěn)定性是最重要的，因此雙機熱備也是目前最好的方式。 M5400P 帶加速卡產(chǎn)品好處： SSLVPN 面對大并發(fā)量用戶，最突出的問題是相應(yīng)時間，處理速度。硬件性能本身支持這么多用戶，但由于使用的是軟加密方式，并且無硬件加速，當(dāng) 1000 個甚至更多的用戶登陸時，會凸現(xiàn)出相應(yīng)速度慢，使用緩慢等問題。因此帶硬件加速卡產(chǎn)品，會有效的提升相應(yīng)速度。