【正文】 息安全產(chǎn)品測評中心等多家國內(nèi)權(quán)威安全產(chǎn)品評測機構(gòu)的評測，并取得銷售資質(zhì)，因此其安全性和成熟性都有很好的保障。良好的可管理性——針對企業(yè) VPN 網(wǎng)絡(luò)實際應(yīng)用需求，通過聯(lián)想網(wǎng)御 VPN“安全管理中心” 、 “安全策略服務(wù)器” 、 “證書托管中心” 、 “VPN 遠程控制臺”等產(chǎn)品技術(shù)手段，實現(xiàn)了對整個 VPN 網(wǎng)絡(luò)的“集中認證、統(tǒng)一監(jiān)控、分級管理 ”的管理模式，既充分保障了整個網(wǎng)絡(luò)的安全性，有效減輕了網(wǎng)絡(luò)管理人員的負擔，同時對技術(shù)力量比較薄弱的分支機構(gòu)真正實現(xiàn)的設(shè)備的“零管理” 。根據(jù)企業(yè) VPN 網(wǎng)絡(luò)最典型的幾種應(yīng)用模式，對以下幾種解決方案進行簡要描述：? 企業(yè)總部與分支機構(gòu)之間構(gòu)建 VPN 的解決方案? 移動用戶遠程訪問企業(yè)內(nèi)部網(wǎng)絡(luò)的解決方案? 采用軟件安全包構(gòu)建小型企業(yè) VPN 的解決方案? 對企業(yè)內(nèi)部關(guān)鍵主機進行特殊安全保護的解決方案23 / 29 企業(yè)總部與分支機構(gòu)之間構(gòu)建 VPN 的解決方案許多企業(yè)在全國各地都建有分支機構(gòu)或者辦事處，隨著企業(yè)信息化程度的不斷提高，一般在企業(yè)總部會部署如 OA 系統(tǒng)、ERP 系統(tǒng)等應(yīng)用軟件，將企業(yè)分布在各地的分支機構(gòu)和辦事處與企業(yè)總部互聯(lián)，達到安全地共享數(shù)據(jù)和軟件資源的目的，這是 VPN 網(wǎng)絡(luò)的典型應(yīng)用之一。利用網(wǎng)御 VPN 的解決方案見下圖：1．產(chǎn)品部署方案企業(yè)總部：總部一般來講是企業(yè)信息存放、處理的中心，網(wǎng)絡(luò)內(nèi)部主機數(shù)量多，數(shù)據(jù)流量大，安全性和實時性要求高；因此推薦部署 VPN 處理能力強、硬件可靠性高的聯(lián)想網(wǎng)御 Power V520VPN ，對于實時要求很高的企業(yè)用戶，可以在總部采用 VPN 網(wǎng)關(guān)的雙機熱備份方案，以提高企業(yè) VPN 網(wǎng)絡(luò)的容錯性；對于規(guī)模比較大、分支機構(gòu)較多的企業(yè)，應(yīng)該在總部的內(nèi)部網(wǎng)絡(luò)中部署獨立的“VPN 安全管理中心”主機，運行“VPN 安全管理”和“VPN 安全策略服務(wù) ”系統(tǒng)，完成對整個網(wǎng)絡(luò)中 VPN 設(shè)備狀態(tài)的集中監(jiān)控和對 VPN 安全策略的集中管理。對于規(guī)模較小、分支機構(gòu)不多的中小型企業(yè)，可以不單獨部署“網(wǎng)御安全管理中心” ，而啟用網(wǎng)御 VPN 中心網(wǎng)關(guān)內(nèi)部集成的“安全策略服務(wù)器”功能，對整個企業(yè) VPN 中的設(shè)備和策略進行管理。分支機構(gòu)：企業(yè)分支機構(gòu)一般指分布在全國各地規(guī)模中等的分公司，公司內(nèi)部建有中等規(guī)模的局域網(wǎng)，同時通過當?shù)?ISP 提供的寬帶接入方式接入因特網(wǎng)。在這種環(huán)境下推薦使用聯(lián)想的中檔 VPN 產(chǎn)品 ——聯(lián)想網(wǎng)御 Power V220VPN，VPN 網(wǎng)關(guān)部署在企業(yè)內(nèi)部網(wǎng)Power V520VPNPower V520VPNPower V520VPN24 / 29與因特網(wǎng)的接口處，可以直接與 ISP 提供的接入設(shè)備相連。VPN 網(wǎng)關(guān)可以完成自動接入因特網(wǎng)、代理內(nèi)部主機訪問因特網(wǎng)信息、為內(nèi)部主機提供功能完善的防火墻保護等功能，同時 VPN 網(wǎng)關(guān)自動向總部的 “管理中心”或“策略服務(wù)器”進行注冊和身份認證，認證通過之后自動從策略中心下載本機的 VPN 策略信息，建立 VPN 隧道，完成與總部或其他分支機構(gòu)之間的隧道信息封裝處理工作。辦事處：一般指企業(yè)在全國各地建立的小型辦事機構(gòu)，通常僅有少量的工作人員和業(yè)務(wù)處理主機。在這種環(huán)境下也推薦使用聯(lián)想網(wǎng)御 Power V220VPN。2．解決方案能夠為企業(yè)提供的 VPN 服務(wù)企業(yè)內(nèi)部網(wǎng)絡(luò)用戶仍然能夠正常瀏覽所有因特網(wǎng)信息，并且為內(nèi)部網(wǎng)絡(luò)用戶提供專業(yè)的防火墻保護；分支機構(gòu)與總部、分支機構(gòu)之間能夠任意建立網(wǎng)狀的 VPN 隧道，企業(yè)員工可以象訪問局域網(wǎng)一樣訪問遠程的網(wǎng)絡(luò)資源，例如：通過“網(wǎng)上鄰居”共享數(shù)據(jù)文件，訪問遠程的企業(yè)資源數(shù)據(jù)庫，在公司內(nèi)部建立自己的 IP 電話系統(tǒng)、視頻會議系統(tǒng)，遠程使用“電子白板”等協(xié)同工作系統(tǒng)，等等；中心的網(wǎng)絡(luò)管理員可以對整個 VPN 網(wǎng)絡(luò)進行集中的狀態(tài)監(jiān)控和遠程管理配置，可以在各個 VPN 節(jié)點設(shè)置動態(tài)的流量管理策略，為企業(yè)實時業(yè)務(wù)和多媒體數(shù)據(jù)流提供良好的帶寬保證。 移動用戶遠程訪問企業(yè)內(nèi)部網(wǎng)絡(luò)解決方案移動用戶主要包括：企業(yè)出差在外的工作人員、因工作需要在家辦公的企業(yè)員工、僅有一臺主機的企業(yè)營業(yè)網(wǎng)點等。在傳統(tǒng)網(wǎng)絡(luò)中，移動用戶如果希望訪問企業(yè)內(nèi)部的網(wǎng)絡(luò)資源，可以通過遠程電話撥號接入企業(yè)的“遠程接入服務(wù)器（RAS） ”，這種方式往往需要企業(yè)支付較高的長途電話費用，而且網(wǎng)絡(luò)速度慢，無法支持大量移動用戶的同時訪問需求。這正是 VPN 技術(shù)所能夠解決的另外一種典型應(yīng)用，解決方案示例如下圖：25 / 291．產(chǎn)品部署方案企業(yè)局域網(wǎng)：在企業(yè)局域網(wǎng)與因特網(wǎng)的接口處部署任意一種型號的聯(lián)想網(wǎng)御 VPN 網(wǎng)關(guān)，部署方法和完成的功能參閱解決方案一。移動用戶：在移動用戶的工作主機上，安裝配置聯(lián)想網(wǎng)御 VPN 客戶端。移動用戶通過當?shù)氐?ISP 接入因特網(wǎng)之后，啟動客戶端軟件的控制界面程序，點擊“連接”就可以建立相應(yīng)的安全隧道；客戶端的安裝配置工作由安裝向?qū)С绦蛑笇в脩粢徊揭徊酵瓿?，整個配置過程中僅需要輸入 3－5 個必要的配置參數(shù)即可完成，一旦配置完成后，每次使用時用戶只需啟動控制界面，所有操作均自動完成。2．解決方案能夠為移動用戶提供的 VPN 服務(wù)移動用戶一旦啟動客戶端并正確與 VPN 網(wǎng)關(guān)建立 VPN 隧道后，即可象企業(yè)局域網(wǎng)內(nèi)部用戶一樣訪問內(nèi)部網(wǎng)絡(luò)資源；移動用戶可以同時訪問因特網(wǎng)數(shù)據(jù)和企業(yè)內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)；客戶端為移動用戶提供的功能強大的個人防火墻功能，有效防止用戶遭受來自因特網(wǎng)的非法攻擊；移動用戶通過隧道訪問企業(yè)內(nèi)部網(wǎng)絡(luò)時使用內(nèi)部統(tǒng)一規(guī)劃的網(wǎng)絡(luò) IP 地址，這為企業(yè)內(nèi)部網(wǎng)絡(luò)部署第三方的防火墻、IDS 等安全產(chǎn)品提供了方便。3．使用 SSL VPN 接入方法替代 IPSec 客戶端Power V520VPNVRCCLKeyVRCCLKey VRCCLKey26 / 29對于移動用戶，訪問內(nèi)部網(wǎng)絡(luò)的另外一種方案是使用 SSL VPN 接入。使用 SSL VPN接入方案，移動用戶的計算機不需要安裝客戶端，只需要通過網(wǎng)頁登錄安全網(wǎng)管的 SSL VPN 入口網(wǎng)頁。SSL VPN 隧道建立后，支持所有的 C/S 或者 B/S 程序安全地訪問內(nèi)部網(wǎng)絡(luò)。使用 SSL VPN，只需要在安全網(wǎng)關(guān)上進行配置，而不需要用戶在計算機上安裝軟件，也不需要配置。只需要訪問安全網(wǎng)關(guān)的 SSL VPN 接入網(wǎng)頁，就可以建立 SSL VPN 連接。 對企業(yè)內(nèi)部關(guān)鍵主機進行特殊安全保護的解決方案在企業(yè)網(wǎng)絡(luò)內(nèi)部有些主機具有比較高的安全級別，如：財務(wù)人員的計算機、總經(jīng)理的電腦等，即使企業(yè)內(nèi)部人員訪問這些主機也應(yīng)是受到限制的，而且與這些機器的通訊數(shù)據(jù)往往不希望被內(nèi)部人員監(jiān)聽，這是聯(lián)想網(wǎng)御 VPN 產(chǎn)品所能夠解決的又一種典型應(yīng)用需求，其解決方案示例如下圖：1． 產(chǎn)品部署方案在需要進行特色保護的主機和被授權(quán)能夠訪問該主機數(shù)據(jù)的機器上安裝聯(lián)想網(wǎng)御VRCCLKey（ VPN 客戶端） ，并建立從訪問主機到被保護主機之間的端到端的 VPN 隧道。對于遠程授權(quán)訪問主機（如其他分支機構(gòu)內(nèi)部網(wǎng)絡(luò)主機）和移動用戶主機，需要首先建立VRCCLKeyVRCCLKeyVRCCLKeyVRCCLKey27 / 29能夠訪問本地內(nèi)部網(wǎng)絡(luò)的 VPN 隧道，在此基礎(chǔ)上在建立端到端的 VPN 隧道。2．解決方案能夠為移動用戶提供的 VPN 服務(wù)被保護主機通過加密訪問方式得到了高級別的訪問控制保護，只有通過身份認證并能夠與被保護主機正確 VPN 隧道的用戶主機才能對其進行數(shù)據(jù)訪問；所有訪問被保護主機的數(shù)據(jù)在網(wǎng)絡(luò)上傳輸形式都是密文，從而避免了關(guān)鍵數(shù)據(jù)在傳輸過程中，特別是在本地局域網(wǎng)環(huán)境中，被非法竊聽的可能性；端到端的 VPN 隧道建立方式非常靈活，被授權(quán)訪問的主機無論是在本地局域網(wǎng)內(nèi)部，還是在家辦公或在外出差的移動用戶，或者是在企業(yè)的其他分支機構(gòu)內(nèi)部網(wǎng)絡(luò)中，都可以與被保護主機建立 VPN 隧道，從而進行授權(quán)的數(shù)據(jù)訪問。28 / 29第四章 聯(lián)想網(wǎng)御 VPN 產(chǎn)品的應(yīng)用案例 大型連鎖企業(yè)應(yīng)用網(wǎng)御 VPN 建立集團跨地域內(nèi)聯(lián)網(wǎng)絡(luò)某大型綜合性連鎖超市企業(yè)由總部、配送中心和 40 余家分店（直營、加盟、特許）構(gòu)成。其總部位于北京，配送中心位于京郊，分店分布于北京、石家莊、太原等十幾個城市。作為連鎖型企業(yè)，各部門之間各種信息如商品信息、單據(jù)、庫存、銷售等的流動十分頻繁，并要求能及時傳達，因此對遠程通訊的要求較高。之前，該連鎖企業(yè)只能通過租用專線的方式來完成，每家分店僅通訊費每月就高達數(shù)千元，跨城市的分店費用更高，通訊費開支成了企業(yè)的沉重負擔?，F(xiàn)在，該企業(yè)選用網(wǎng)御 VPN 產(chǎn)品構(gòu)建了基于 Inter 的企業(yè)廣域網(wǎng)，項目完成后，分店的平均通訊費用降至每月三百元以下，僅半年時間節(jié)省的通訊費即達十萬元，而通訊速率卻比租用專線的方式快了一倍以上。目前，該企業(yè)在不新增任何通訊費用的情況下，正在和供應(yīng)商（廠商） 、集團客戶等開展多種形式的電子商務(wù)合作形式。 設(shè)備制造廠商連接廠部、分支機構(gòu)和流動業(yè)務(wù)員某設(shè)備制造公司是一個生產(chǎn)電信、電器、機柜等電子類產(chǎn)品的大型供應(yīng)商。目前，公司總部設(shè)在北京，在香港、上海、廣州、西安等地設(shè)立了分公司和辦事處。該公司業(yè)務(wù)飛速發(fā)展，產(chǎn)品已廣泛運用于全國各政府部門、工礦企業(yè)、醫(yī)院、銀行、證券、院校等行業(yè)。公司運用了某軟件公司的 ERPII 系統(tǒng)，此系統(tǒng)為 C/S 結(jié)構(gòu)，后臺 SQL Server 數(shù)據(jù)庫。由于公司有大量分支機構(gòu)和流動業(yè)務(wù)員，它們需要從總部實時獲知庫存、銷售、財務(wù)各方面信息。以前，通過電話、Email、傳真等方式獲取這些信息，不僅麻煩繁瑣，而且實時性不高，獲取的信息經(jīng)常不準確。公司總部通過 128K DDN 專線上網(wǎng)，分支機構(gòu)則通過ADSL/ISDN/Modem 撥號等方式上網(wǎng)?，F(xiàn)在，公司利用網(wǎng)御 VPN 產(chǎn)品建立了公司內(nèi)部的虛擬專用網(wǎng)，公司總部安裝一臺網(wǎng)御 Power V500VPN，分支機構(gòu)和移動設(shè)備則分別安裝 Power V500VPN 和網(wǎng)御 VPN 客戶端，并在分支機構(gòu)和移動人員的機器上安裝原有 ERPII 系統(tǒng)的客戶端。分支機構(gòu)和移動用戶只要連接 Inter，即可遠程訪問放置在公司總部內(nèi)部局域網(wǎng)的 SQL Server 數(shù)據(jù)庫服務(wù)器，每天實時更新各方面數(shù)據(jù)信息，原有系統(tǒng)結(jié)構(gòu)未作任何修改，輕松快捷的實現(xiàn)了全公司 ERPII 系統(tǒng)的同步使用。網(wǎng)御 VPN 產(chǎn)品優(yōu)異的安全特性確保了公司內(nèi)部系統(tǒng)的安全。29 / 29 行業(yè)性集團企業(yè)利用聯(lián)想網(wǎng)御 VPN 構(gòu)建內(nèi)部辦公自動化系統(tǒng)某電力行業(yè)集團企業(yè)的總部設(shè)在北京，下屬二十余個分廠，分布在全國各地?？偛孔鳛橐粋€管理機構(gòu)，和各分廠之間有十分密切的辦公業(yè)務(wù)?？偛亢透鞣謴S均已建立了 OA 系統(tǒng)（Notes ） ，但由于各分廠在地理上極為分散，如向電信部門申請專線或衛(wèi)星信道，則通信費用將極為浩大，因此各地的 OA 系統(tǒng)互相獨立，無法直接交換信息?？偛亢透鞣謴S之間的通訊多通過電話、郵政公文傳輸、或電子郵件等方式進行，既費時費力，出現(xiàn)問題時又難以分清責任，給集團的統(tǒng)一集中管理帶來了很大的困難?，F(xiàn)在，集團利用聯(lián)想網(wǎng)御 VPN 產(chǎn)品和所有分廠實現(xiàn)網(wǎng)絡(luò)互聯(lián)，并將所有 OA 系統(tǒng)連成一體，集團領(lǐng)導領(lǐng)導也可以在網(wǎng)上對分處于不同地區(qū)的所屬部門作出指示，指導部門機構(gòu)的工作，及時收集意見反饋，并在此基礎(chǔ)上進一步開展網(wǎng)上注冊登記、項目審批以及網(wǎng)上納費等(除了一些必要的實物證明之外)各項工作，大大提高了工作效率，同時也大幅度降低了辦公成