【正文】 安部安全產(chǎn)品評(píng)測(cè)中心、國(guó)家信息安全產(chǎn)品測(cè)評(píng)中心等多家國(guó)內(nèi)權(quán)威安全產(chǎn)品評(píng)測(cè)機(jī)構(gòu)的評(píng)測(cè)，并取得銷售資質(zhì)，因此其安全性和成熟性都有很好的保障。良好的可管理性——針對(duì)企業(yè)VPN網(wǎng)絡(luò)實(shí)際應(yīng)用需求，通過聯(lián)想網(wǎng)御 VPN“安全管理中心”、“安全策略服務(wù)器”、“證書托管中心”、“VPN遠(yuǎn)程控制臺(tái)”等產(chǎn)品技術(shù)手段，實(shí)現(xiàn)了對(duì)整個(gè)VPN網(wǎng)絡(luò)的“集中認(rèn)證、統(tǒng)一監(jiān)控、分級(jí)管理”的管理模式，既充分保障了整個(gè)網(wǎng)絡(luò)的安全性，有效減輕了網(wǎng)絡(luò)管理人員的負(fù)擔(dān)，同時(shí)對(duì)技術(shù)力量比較薄弱的分支機(jī)構(gòu)真正實(shí)現(xiàn)的設(shè)備的“零管理”。根據(jù)企業(yè)VPN 網(wǎng)絡(luò)最典型的幾種應(yīng)用模式，對(duì)以下幾種解決方案進(jìn)行簡(jiǎn)要描述：? 企業(yè)總部與分支機(jī)構(gòu)之間構(gòu)建VPN的解決方案? 移動(dòng)用戶遠(yuǎn)程訪問企業(yè)內(nèi)部網(wǎng)絡(luò)的解決方案? 采用軟件安全包構(gòu)建小型企業(yè)VPN的解決方案? 對(duì)企業(yè)內(nèi)部關(guān)鍵主機(jī)進(jìn)行特殊安全保護(hù)的解決方案 企業(yè)總部與分支機(jī)構(gòu)之間構(gòu)建VPN的解決方案許多企業(yè)在全國(guó)各地都建有分支機(jī)構(gòu)或者辦事處，隨著企業(yè)信息化程度的不斷提高，一般在企業(yè)總部會(huì)部署如OA系統(tǒng)、ERP系統(tǒng)等應(yīng)用軟件，將企業(yè)分布在各地的分支機(jī)構(gòu)和辦事處與企業(yè)總部互聯(lián)，達(dá)到安全地共享數(shù)據(jù)和軟件資源的目的，這是VPN網(wǎng)絡(luò)的典型應(yīng)用之一。利用網(wǎng)御VPN的解決方案見下圖：1．產(chǎn)品部署方案企業(yè)總部：總部一般來講是企業(yè)信息存放、處理的中心，網(wǎng)絡(luò)內(nèi)部主機(jī)數(shù)量多，數(shù)據(jù)流量大，安全性和實(shí)時(shí)性要求高；因此推薦部署VPN處理能力強(qiáng)、硬件可靠性高的聯(lián)想網(wǎng)御Power V520VPN ，對(duì)于實(shí)時(shí)要求很高的企業(yè)用戶，可以在總部采用VPN網(wǎng)關(guān)的雙機(jī)熱備份方案，以提高企業(yè)VPN網(wǎng)絡(luò)的容錯(cuò)性；對(duì)于規(guī)模比較大、分支機(jī)構(gòu)較多的企業(yè)，應(yīng)該在總部的內(nèi)部網(wǎng)絡(luò)中部署獨(dú)立的“VPN安全管理中心 ”主機(jī)，運(yùn)行“VPN 安全管理”和“VPN安全策略服務(wù)”系統(tǒng)，完成對(duì)整個(gè)網(wǎng)絡(luò)中VPN 設(shè)備狀態(tài)的集中監(jiān)控和對(duì)VPN安全策略的集中管理。對(duì)于規(guī)模較小、分支機(jī)構(gòu)不多的中小型企業(yè)，可以不單獨(dú)部署“網(wǎng)御安全管理中心”，而啟用網(wǎng)御VPN中心網(wǎng)關(guān)內(nèi)部集成的“ 安全策略服務(wù)器”功能，對(duì)整個(gè)企業(yè)VPN中的設(shè)備和策略進(jìn)Power V520VPNPower V520VPNPower V520VPN行管理。分支機(jī)構(gòu)：企業(yè)分支機(jī)構(gòu)一般指分布在全國(guó)各地規(guī)模中等的分公司，公司內(nèi)部建有中等規(guī)模的局域網(wǎng)，同時(shí)通過當(dāng)?shù)豂SP提供的寬帶接入方式接入因特網(wǎng)。在這種環(huán)境下推薦使用聯(lián)想的中檔VPN產(chǎn)品—— 聯(lián)想網(wǎng)御Power V220VPN，VPN網(wǎng)關(guān)部署在企業(yè)內(nèi)部網(wǎng)與因特網(wǎng)的接口處，可以直接與ISP提供的接入設(shè)備相連。VPN 網(wǎng)關(guān)可以完成自動(dòng)接入因特網(wǎng)、代理內(nèi)部主機(jī)訪問因特網(wǎng)信息、為內(nèi)部主機(jī)提供功能完善的防火墻保護(hù)等功能，同時(shí)VPN網(wǎng)關(guān)自動(dòng)向總部的“管理中心”或“策略服務(wù)器”進(jìn)行注冊(cè)和身份認(rèn)證，認(rèn)證通過之后自動(dòng)從策略中心下載本機(jī)的VPN策略信息，建立VPN隧道，完成與總部或其他分支機(jī)構(gòu)之間的隧道信息封裝處理工作。辦事處：一般指企業(yè)在全國(guó)各地建立的小型辦事機(jī)構(gòu)，通常僅有少量的工作人員和業(yè)務(wù)處理主機(jī)。在這種環(huán)境下也推薦使用聯(lián)想網(wǎng)御Power V220VPN。2．解決方案能夠?yàn)槠髽I(yè)提供的VPN服務(wù)企業(yè)內(nèi)部網(wǎng)絡(luò)用戶仍然能夠正常瀏覽所有因特網(wǎng)信息，并且為內(nèi)部網(wǎng)絡(luò)用戶提供專業(yè)的防火墻保護(hù)；分支機(jī)構(gòu)與總部、分支機(jī)構(gòu)之間能夠任意建立網(wǎng)狀的VPN隧道，企業(yè)員工可以象訪問局域網(wǎng)一樣訪問遠(yuǎn)程的網(wǎng)絡(luò)資源，例如：通過“網(wǎng)上鄰居”共享數(shù)據(jù)文件，訪問遠(yuǎn)程的企業(yè)資源數(shù)據(jù)庫(kù)，在公司內(nèi)部建立自己的IP電話系統(tǒng)、視頻會(huì)議系統(tǒng)，遠(yuǎn)程使用“電子白板”等協(xié)同工作系統(tǒng)，等等；中心的網(wǎng)絡(luò)管理員可以對(duì)整個(gè)VPN網(wǎng)絡(luò)進(jìn)行集中的狀態(tài)監(jiān)控和遠(yuǎn)程管理配置，可以在各個(gè)VPN 節(jié)點(diǎn)設(shè)置動(dòng)態(tài)的流量管理策略，為企業(yè)實(shí)時(shí)業(yè)務(wù)和多媒體數(shù)據(jù)流提供良好的帶寬保證。 移動(dòng)用戶遠(yuǎn)程訪問企業(yè)內(nèi)部網(wǎng)絡(luò)解決方案移動(dòng)用戶主要包括：企業(yè)出差在外的工作人員、因工作需要在家辦公的企業(yè)員工、僅有一臺(tái)主機(jī)的企業(yè)營(yíng)業(yè)網(wǎng)點(diǎn)等。在傳統(tǒng)網(wǎng)絡(luò)中，移動(dòng)用戶如果希望訪問企業(yè)內(nèi)部的網(wǎng)絡(luò)資源，可以通過遠(yuǎn)程電話撥號(hào)接入企業(yè)的“遠(yuǎn)程接入服務(wù)器（RAS）”，這種方式往往需要企業(yè)支付較高的長(zhǎng)途電話費(fèi)用，而且網(wǎng)絡(luò)速度慢，無法支持大量移動(dòng)用戶的同時(shí)訪問需求。這正是VPN技術(shù)所能夠解決的另外一種典型應(yīng)用，解決方案示例如下圖：1．產(chǎn)品部署方案企業(yè)局域網(wǎng)：在企業(yè)局域網(wǎng)與因特網(wǎng)的接口處部署任意一種型號(hào)的聯(lián)想網(wǎng)御VPN網(wǎng)關(guān)，部署方法和完成的功能參閱解決方案一。移動(dòng)用戶：在移動(dòng)用戶的工作主機(jī)上，安裝配置聯(lián)想網(wǎng)御VPN客戶端。移動(dòng)用戶通過當(dāng)?shù)氐腎SP接入因特網(wǎng)之后，啟動(dòng)客戶端軟件的控制界面程序，點(diǎn)擊“連接”就可以建立相應(yīng)的安全隧道；客戶端的安裝配置工作由安裝向?qū)С绦蛑笇?dǎo)用戶一步一步完成，整個(gè)配置過程中僅需要輸入3－5個(gè)必要的配置參數(shù)即可完成，一旦配置完成后，每次使用時(shí)用戶只需啟動(dòng)控制界面，所有操作均自動(dòng)完成。2．解決方案能夠?yàn)橐苿?dòng)用戶提供的VPN服務(wù)移動(dòng)用戶一旦啟動(dòng)客戶端并正確與VPN網(wǎng)關(guān)建立VPN 隧道后，即可象企業(yè)局域網(wǎng)內(nèi)部用戶一樣訪問內(nèi)部網(wǎng)絡(luò)資源；移動(dòng)用戶可以同時(shí)訪問因特網(wǎng)數(shù)據(jù)和企業(yè)內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)；客戶端為移動(dòng)用戶提供的功能強(qiáng)大的個(gè)人防火墻功能，有效防止用戶遭受來自因特網(wǎng)的非法攻擊；移動(dòng)用戶通過隧道訪問企業(yè)內(nèi)部網(wǎng)絡(luò)時(shí)使用內(nèi)部統(tǒng)一規(guī)劃的網(wǎng)絡(luò)IP地址，這為企業(yè)內(nèi)部網(wǎng)絡(luò)部署第三方的防火墻、IDS等安全產(chǎn)品提供了方便。3．使用SSL VPN 接入方法替代 IPSec客戶端Power V520VPNVRCCLKeyVRCCLKey VRCCLKey對(duì)于移動(dòng)用戶，訪問內(nèi)部網(wǎng)絡(luò)的另外一種方案是使用SSL VPN接入。使用SSL VPN接入方案，移動(dòng)用戶的計(jì)算機(jī)不需要安裝客戶端，只需要通過網(wǎng)頁(yè)登錄安全網(wǎng)管的SSL VPN入口網(wǎng)頁(yè)。SSL VPN隧道建立后，支持所有的 C/S或者B/S程序安全地訪問內(nèi)部網(wǎng)絡(luò)。使用SSL VPN，只需要在安全網(wǎng)關(guān)上進(jìn)行配置，而不需要用戶在計(jì)算機(jī)上安裝軟件，也不需要配置。只需要訪問安全網(wǎng)關(guān)的SSL VPN接入網(wǎng)頁(yè)，就可以建立 SSL VPN連接。 對(duì)企業(yè)內(nèi)部關(guān)鍵主機(jī)進(jìn)行特殊安全保護(hù)的解決方案在企業(yè)網(wǎng)絡(luò)內(nèi)部有些主機(jī)具有比較高的安全級(jí)別，如：財(cái)務(wù)人員的計(jì)算機(jī)、總經(jīng)理的電腦等，即使企業(yè)內(nèi)部人員訪問這些主機(jī)也應(yīng)是受到限制的，而且與這些機(jī)器的通訊數(shù)據(jù)往往不希望被內(nèi)部人員監(jiān)聽，這是聯(lián)想網(wǎng)御VPN產(chǎn)品所能夠解決的又一種典型應(yīng)用需求，其解決方案示例如下圖：1． 產(chǎn)品部署方案在需要進(jìn)行特色保護(hù)的主機(jī)和被授權(quán)能夠訪問該主機(jī)數(shù)據(jù)的機(jī)器上安裝聯(lián)想網(wǎng)御VRCCLVRCCLKeyVRCCLKeyVRCCLKeyVRCCLKeyKey（VPN客戶端），并建立從訪問主機(jī)到被保護(hù)主機(jī)之間的端到端的VPN隧道。對(duì)于遠(yuǎn)程授權(quán)訪問主機(jī)（如其他分支機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)主機(jī)）和移動(dòng)用戶主機(jī)，需要首先建立能夠訪問本地內(nèi)部網(wǎng)絡(luò)的VPN隧道，在此基礎(chǔ)上在建立端到端的VPN隧道。2．解決方案能夠?yàn)橐苿?dòng)用戶提供的VPN服務(wù)被保護(hù)主機(jī)通過加密訪問方式得到了高級(jí)別的訪問控制保護(hù)，只有通過身份認(rèn)證并能夠與被保護(hù)主機(jī)正確VPN隧道的用戶主機(jī)才能對(duì)其進(jìn)行數(shù)據(jù)訪問；所有訪問被保護(hù)主機(jī)的數(shù)據(jù)在網(wǎng)絡(luò)上傳輸形式都是密文，從而避免了關(guān)鍵數(shù)據(jù)在傳輸過程中，特別是在本地局域網(wǎng)環(huán)境中，被非法竊聽的可能性；端到端的VPN 隧道建立方式非常靈活，被授權(quán)訪問的主機(jī)無論是在本地局域網(wǎng)內(nèi)部，還是在家辦公或在外出差的移動(dòng)用戶，或者是在企業(yè)的其他分支機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)中，都可以與被保護(hù)主機(jī)建立VPN隧道，從而進(jìn)行授權(quán)的數(shù)據(jù)訪問。第四章 聯(lián)想網(wǎng)御VPN產(chǎn)品的應(yīng)用案例 大型連鎖企業(yè)應(yīng)用網(wǎng)御VPN建立集團(tuán)跨地域內(nèi)聯(lián)網(wǎng)絡(luò)某大型綜合性連鎖超市企業(yè)由總部、配送中心和40余家分店（直營(yíng)、加盟、特許）構(gòu)成。其總部位于北京，配送中心位于京郊，分店分布于北京、石家莊、太原等十幾個(gè)城市。作為連鎖型企業(yè)，各部門之間各種信息如商品信息、單據(jù)、庫(kù)存、銷售等的流動(dòng)十分頻繁，并要求能及時(shí)傳達(dá)，因此對(duì)遠(yuǎn)程通訊的要求較高。之前，該連鎖企業(yè)只能通過租用專線的方式來完成，每家分店僅通訊費(fèi)每月就高達(dá)數(shù)千元，跨城市的分店費(fèi)用更高，通訊費(fèi)開支成了企業(yè)的沉重負(fù)擔(dān)。現(xiàn)在，該企業(yè)選用網(wǎng)御VPN產(chǎn)品構(gòu)建了基于Inter的企業(yè)廣域網(wǎng)，項(xiàng)目完成后，分店的平均通訊費(fèi)用降至每月三百元以下，僅半年時(shí)間節(jié)省的通訊費(fèi)即達(dá)十萬元，而通訊速率卻比租用專線的方式快了一倍以上。目前，該企業(yè)在不新增任何通訊費(fèi)用的情況下，正在和供應(yīng)商（廠商）、集團(tuán)客戶等開展多種形式的電子商務(wù)合作形式。 設(shè)備制造廠商連接廠部、分支機(jī)構(gòu)和流動(dòng)業(yè)務(wù)員某設(shè)備制造公司是一個(gè)生產(chǎn)電信、電器、機(jī)柜等電子類產(chǎn)品的大型供應(yīng)商。目前，公司總部設(shè)在北京，在香港、上海、廣州、西安等地設(shè)立了分公司和辦事處。該公司業(yè)務(wù)飛速發(fā)展，產(chǎn)品已廣泛運(yùn)用于全國(guó)各政府部門、工礦企業(yè)、醫(yī)院、銀行、證券、院校等行業(yè)。公司運(yùn)用了某軟件公司的ERPII系統(tǒng)，此系統(tǒng)為C/S結(jié)構(gòu)，后臺(tái)SQL Server 數(shù)據(jù)庫(kù)。由于公司有大量分支機(jī)構(gòu)和流動(dòng)業(yè)務(wù)員，它們需要從總部實(shí)時(shí)獲知庫(kù)存、銷售、財(cái)務(wù)各方面信息。以前，通過電話、Email、傳真等方式獲取這些信息，不僅麻煩繁瑣，而且實(shí)時(shí)性不高，獲取的信息經(jīng)常不準(zhǔn)確。公司總部通過128K DDN專線上網(wǎng)，分支機(jī)構(gòu)則通過ADSL/ISDN/Modem 撥號(hào)等方式上網(wǎng)。現(xiàn)在，公司利用網(wǎng)御VPN產(chǎn)品建立了公司內(nèi)部的虛擬專用網(wǎng)，公司總部安裝一臺(tái)網(wǎng)御Power V500VPN，分支機(jī)構(gòu)和移動(dòng)設(shè)備則分別安裝 Power V500VPN和網(wǎng)御 VPN客戶端，并在分支機(jī)構(gòu)和移動(dòng)人員的機(jī)器上安裝原有ERPII系統(tǒng)的客戶端。分支機(jī)構(gòu)和移動(dòng)用戶只要連接Inter，即可遠(yuǎn)程訪問放置在公司總部?jī)?nèi)部局域網(wǎng)的SQL Server數(shù)據(jù)庫(kù)服務(wù)器，每天實(shí)時(shí)更新各方面數(shù)據(jù)信息，原有系統(tǒng)結(jié)構(gòu)未作任何修改，輕松快捷的實(shí)現(xiàn)了全公司ERPII系統(tǒng)的同步使用。網(wǎng)御VPN產(chǎn)品優(yōu)異的安全特性確保了公司內(nèi)部系統(tǒng)的安全。 行業(yè)性集團(tuán)企業(yè)利用聯(lián)想網(wǎng)御VPN構(gòu)建內(nèi)部辦公自動(dòng)化系統(tǒng)某電力行業(yè)集團(tuán)企業(yè)的總部設(shè)在北京，下屬二十余個(gè)分廠，分布在全國(guó)各地?？偛孔鳛橐粋€(gè)管理機(jī)構(gòu)，和各分廠之間有十分密切的辦公業(yè)務(wù)?？偛亢透鞣謴S均已建立了OA 系統(tǒng)（Notes ），但由于各分廠在地理上極為分散，如向電信部門申請(qǐng)專線或衛(wèi)星信道，則通信費(fèi)用將極為浩大，因此各地的OA系統(tǒng)互相獨(dú)立，無法直接交換信息。總部和各分廠之間的通訊多通過電話、郵政公文傳輸、或電子郵件等方式進(jìn)行，既費(fèi)時(shí)費(fèi)力，出現(xiàn)問題時(shí)又難以分清責(zé)任，給集團(tuán)的統(tǒng)一集中管理帶來了很大的困難?，F(xiàn)在，集團(tuán)利用聯(lián)想網(wǎng)御VPN產(chǎn)品和所有分廠實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián)，并將所有OA系統(tǒng)連成一體，集團(tuán)領(lǐng)導(dǎo)領(lǐng)導(dǎo)也可以在網(wǎng)上對(duì)分處于不同地區(qū)的所屬部門作出指示，指導(dǎo)部門機(jī)構(gòu)的工作，及時(shí)收集意見反饋，并在此基礎(chǔ)上進(jìn)一步開展網(wǎng)上注冊(cè)登記、項(xiàng)目審批以及網(wǎng)上納費(fèi)等(除了一些必要的實(shí)物證明之外)各項(xiàng)工作，大大提高了工作效率，同時(shí)也大幅度降低了辦公成本