【導讀】xx公司SSLVPN網絡建設方案。深圳市深信服電子科技有限公司。深信服科技有限公司提供

　　

【正文】 性 動態(tài)令牌認證系統(tǒng)說明 動態(tài)令牌是技術領先的一種雙因素強身份認證體系，采用用戶 PIN 碼 +動態(tài)令牌碼構成完整用戶口令，令牌碼由令牌內置唯一種子和當前時間通過偽隨機算法生成，每分鐘改變一次，而且是一次性密碼（密碼使用后立即失效，不能重復使用）。由于實際上的安全問題都和密碼有關，盜竊和破解密碼是最常見的口令攻擊手段 ,因此動態(tài)令牌很好的解決了以上問題；同時令牌認證服務器、 VPN 網關和遠程管理會話都進行了加密，保證了中間傳輸數(shù)據的安全性，而在獲準訪問前，遠程管理員必須通過安盟身份認證服務器軟件的身份認證才能管理服務器。 動態(tài)令牌認證的應用范圍有： VPN 訪問 通過使用動態(tài)令牌認證系統(tǒng)，提供 VPN 用戶可信 度保證的同時也很好的解決了一序列問題：其一，密碼無需設置的很麻煩，也無需每月或每周甚至每日進行密碼更換；其二，此密碼是以密文形式在互聯(lián)網上傳輸，采用的是一種非對稱的加密技術進行加密的，即使黑客在傳輸過程當中截獲或竊聽了，他們只有在一分鐘之內解開，且解開之后，如果后于用戶或管理員進入系統(tǒng)，則即使將此密文解密了也無濟于事。大大加強了在身份認證上的安全可靠性。其三，通過 SecurID雙因素身份認證進入系統(tǒng)的管理員或用戶，系統(tǒng)將記載是哪位 VPN 用戶，在什么時候進入，使用的是哪塊令牌進入等事件， ACE/Server 將 記載這些操作過程。 路由器、交換機等網絡設備保護 現(xiàn)在只需要配置這些網絡設備通過 RADIUS 協(xié)議來實現(xiàn)雙因素認證，當用戶需要 TELNET 到這些網絡設備時，必須輸入用戶名和雙因素口令碼，然后由這些網絡設備通過 RADIUS 協(xié)議將口令碼發(fā)送到認證服務器進行認證，如果是合法用戶則可以訪問網絡資源，否則就會被拒絕在外。 xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 28 UNIX/Linux 主機保護 動態(tài)令牌認證系統(tǒng)能對 UNIX/Linux 主機提供強身份認證保護，當用戶通過遠程 Tel 或本地登錄到 UNIX/Linux 主機時，主機首先提示用戶輸入正確的用戶名 和口令，當用戶正確輸入以后， UNIX/Linux 主機根據用戶名定位其記錄，確認其是否需要雙因素強認證，如果是，則提示用戶輸入正確的口令碼，只有用戶輸入了正確的 PIN 和令牌碼以后，才能進入到主機系統(tǒng)，否則就會被拒絕在外。 Oracle 數(shù)據庫保護 Oracle 是著名的數(shù)據庫軟件的供應商，由其提供的 9i 以后的版本支持RADIUS 認證。 可以將用戶的身份認證配置成通過 RADIUS 認證的方式，并把認證指向安盟的認證服務器，當用戶試圖訪問 Oracle 數(shù)據庫時，必須通過安盟雙因素身份認證的系統(tǒng)的身份認證，所有基 于 Oracle 數(shù)據庫的應用程序均可以得到由安盟身份認證 提供的強身份認證。 Web 服務器、辦公自動化、 EIP 和 ERP 系統(tǒng)保護 動態(tài)令牌認證系統(tǒng)能對 Microsoft IIS、 Domino、 Apache、 Websphere、Weblogic 以及 iPla 的 Web 服務器，提供身份認證保護。 電子郵件系統(tǒng)的保護 采用動態(tài)令牌認證系統(tǒng)能對 Exchange、 Lotus Notes、基于 Linux 的郵件系統(tǒng)提供強身份認證保護。 xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 29 第五章 技術支持服務 深信服科技公司的技術服務部門將提供優(yōu)質服務以保證整 個系統(tǒng)運行的穩(wěn)定、高效和安全。 為了提供更好的客戶服務、 更好的 幫助您有效解決使用 SINFOR 產品時遇到的問題， 深信服科技 花巨資 啟用客戶服務呼叫中心 CTI 系統(tǒng)。所有的 SINFOR 產品用戶請撥打 800 830 6430 免費客戶服務熱線（未開通 800 的區(qū)域或手機用戶請撥打： 075526581993），進入該呼叫中心。 呼叫中心 CTI 系統(tǒng)將智能識別來電客戶、檢索客戶歷史故障，快速解決客戶問題；還提供了語音留言、呼叫等待等多種功能。 技術支持與服務 安裝服務 深信服科技公司負責網絡安全設備的安裝調試、 調優(yōu)工作。建立合理的項目建設機制，保證工程的安裝服務質量。 安裝完畢后提供完整的技術文檔，內容包括：系統(tǒng)的信息記錄、操作維護、調試的方法以及常見故障處理等等。 配件服務 提供配件服務，使故障設備得到維護。對一些維修周期長的設備，提供相似性能的設備，保證運行系統(tǒng)穩(wěn)定。 保修維護服務 對在保修期內的軟硬件產品設備提供保修服務（火災、地震等人力不可抗拒的因素造成的設備損壞除外）： 提供 7*24 維修服務，提供 7*24 小時響應的聯(lián)系電話及聯(lián)系人，提供遠程訪問維護功能，隨時受理電話咨詢，一旦有故障能隨時聯(lián)系到人 。系統(tǒng)發(fā)生故障通過遠程拔號接入或者 24 小時派工程師到現(xiàn)場維護。 后期維護服務 系統(tǒng)錯誤有可能在長時間的運行之后才能暴露出來，才能更容易的對問題進行孤立和查找。當系統(tǒng)投入使用后，測試工作要不斷進行，只有這樣才能發(fā)現(xiàn)新錯誤，以便及時解決。因此定期派系統(tǒng)工程師上門或者遠程拔號接入對整個系統(tǒng) xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 30 的資源進行測試、維護和優(yōu)化（包括對系統(tǒng)軟硬件設備的清理、網絡性能的維護、優(yōu)化、性能調試等等維護服務，以使系統(tǒng)能夠長久、可靠安全的運行。在維護服務保修期內，免費提供一些優(yōu)惠服務措施，包括提供軟件差補通知，安裝最新的補丁程序等 等，對于提供的應用軟件包，如有新版本推出，應建議用戶使用，并為用戶提供升級安裝服務），實施跟蹤服務。 用戶培訓 深信服科技公司將負責對用戶進行網絡安全系統(tǒng)的技術培訓。通過對本網絡各種設備的性能、結構、原理、維護管理技術和實際操作的講解，能使用戶掌握設備配置、日常維護的方法和技巧，使用戶獨立進行操作、糾錯處理和設備測試，以保證網絡開通后的正常安全運行。系統(tǒng)管理和技術人員的培訓由深信服科技公司負責組織，根據人員的知識結構情況制定具體的培訓計劃。 對系統(tǒng)管理員進行培訓，使其熟悉系統(tǒng)的使用和維護，以利于以后 的系統(tǒng)管理工作。我們提供的培訓服務分現(xiàn)場培訓和專業(yè)培訓，先進行專業(yè)培訓，提供系統(tǒng)的理論知識、再進行現(xiàn)場培訓，以利于系統(tǒng)的掌握和今后系統(tǒng)的開發(fā)升級。 安裝培訓 安裝培訓在安裝的過程中進行，最后安裝調試完畢后，做總結培訓。 安裝培訓目的是讓經過專業(yè)培訓的人員學以致用，理論結合實際，盡快掌握實際使用中產品設備的特性，以利于系統(tǒng)的使用和維護。 具體內容： 、使用、維護、常見故障處理以及產品設備的特性，通過實際安裝中的培訓，增強系統(tǒng)管理的實際操作水平。 ，各個管理人員對操作流程進 行實際演練，以確保安裝過程中的知識學以致用。 ，深信服科技公司在線對貴單位技術人員和操作人員進行實際操作培訓。 專業(yè)培訓： 對相關技術人員，我們提供現(xiàn)場培訓和專業(yè)培訓，先進行專業(yè)培訓，提供系統(tǒng)的理論知識、再進行現(xiàn)場培訓，以利于系統(tǒng)的掌握和今后系統(tǒng)的開發(fā)升級。 xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 31 第六章 深信服科技公司成功客戶簡介 xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 32 云南省內知名客戶 云南省交通廳 云南省氣象局 昆明市統(tǒng)計局 玉溪市統(tǒng)計局 曲靖市經貿委 會澤縣經貿委 中國華電集團 云南白藥集團 靖遠電力集團 云南鋁業(yè)集團 云南建工集團 保山恒益集 團 文山州財政局 大理州財政局 云南民航凱亞 云南普洱茶集團 西雙版納財政局 曲靖市電網公司 云南珍茗金龍水 云南石林天外天 昆明環(huán)境監(jiān)測中心 云南省環(huán)境監(jiān)測站 云南郵電器材公司 泰康人壽云南分公司 昆明江氏兄弟橋香園 文山州硯山縣民族中學 昆明有限數(shù)字電視公司 云南園正軸承有限責任公司 云南路橋第三有限責任公司 云南新立有色金屬有限公司 ??（學院） 上海市地質調查院 深圳市公證處 交通部廣州打撈局 ?? xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 33 （ 7000 家客戶、上萬個網絡的成功應用） xx 公司 SSL VPN 網絡建設方案 深圳市深信服電子科技有限公司 第 頁 共 34 頁 34 第七章 選型說明 目前中 XX 公司中心端采用 Sinfor M5100 硬件網關， SC 集中控制管理平臺。對于此次存在的大規(guī)模單點接入用戶，目前的平臺無法滿足，因此推薦中心端另購一臺或兩臺（雙機熱備，保障穩(wěn)定性） M5400S 或者 M5400P（為今后大并發(fā)量用戶做準備，以免到時處理速度不夠。原因如下： SC 管理平臺下的 SSLVPN 是 版，存在功能上的不足，例如不支持 IP 服務，不支持自定義界面，不支持數(shù)據中心，不支持口令爆破檢查（多次輸入錯誤的密碼鎖定帳戶，規(guī)定時間內不允許登陸），客戶端安全檢測（符合安全要求的用戶，例如安裝殺毒軟件，防火墻才允許登陸 SSLVPN）等眾多實用的新功能。 M5100 性能不夠， M5100 單獨用于 SSLVPN 最多支持 200 個用戶同時在線，如果還需要估計 IPSEC 方面，性能大打折扣，不適合中 XX 的長遠發(fā)展。 SCSSL 的版本更新緩慢，無法適應現(xiàn)在日新月異的技術要求，因此單獨使用 SSLVPN 平臺，可以享受到深信服科技帶來的最新技術、功能，有助于提升整個的使用效果。 動態(tài)令牌：動態(tài)令牌每分鐘變更一次密碼，并且該密碼在這個時間（一分鐘內）全球唯一。那么各個系統(tǒng)可以同意帳號，使用動態(tài)令牌進行驗證，這樣用戶無需使用“小紙?zhí)弊兛梢暂p松應用。可 以說是一套認證體系保護整體安全（ B/S、 C/S 甚至是 Web 都可以輕松實現(xiàn)保護）。 雙機熱備的好處：面向日后的大并發(fā)量用戶，邊緣節(jié)點，加油站的連入，穩(wěn)定性是最重要的，因此雙機熱備也是目前最好的方式。 M5400P 帶加速卡產品好處： SSLVPN 面對大并發(fā)量用戶，最突出的問題是相應時間，處理速度。硬件性能本身支持這么多用戶，但由于使用的是軟加密方式，并且無硬件加速，當 1000 個甚至更多的用戶登陸時，會凸現(xiàn)出相應速度慢，使用緩慢等問題。因此帶硬件加速卡產品，會有效的提升相應速度。