【正文】 4. 支持 Redius； 5. 支持 CA證書； 6． VPN協(xié)議支持 比 較 APN 的 支持多種 VPN 協(xié)議 1. IPSEC：核心的 VPN 協(xié)議 ； 2. GRE：在某些復(fù)雜路由、或視頻應(yīng)用的時候、需要組播的時候可以采用此協(xié)議 ； 3. PPTP：可以和 windows PPTP 實現(xiàn)互通 ； 7． 安裝維護(hù)成本比較 其他 網(wǎng)關(guān)產(chǎn)品定位不同，要求配置和維護(hù)的人員都需要較高的網(wǎng)絡(luò)技術(shù)基礎(chǔ)。所以在管理設(shè)計、兼容性設(shè)計上做了很多針對 VPN 功能的設(shè)計，在下面的比較中會 逐步說明。在易用性、穩(wěn)定性、國內(nèi)環(huán)境的適應(yīng)性上考慮不夠。對于規(guī)模較小的點，并沒有網(wǎng)絡(luò)維護(hù)工程師，當(dāng)出現(xiàn)問題時，必須派出專業(yè)的維護(hù)工程師進(jìn)行故障判斷與排除，此必然帶來高昂的后期維護(hù)費用。 5． VDN 解決了傳統(tǒng) VPN 的缺陷 傳統(tǒng)的 VPN 解決方案都會面臨下面的幾個問題： 1) 設(shè)備配置調(diào)試復(fù)雜，需要專業(yè)的網(wǎng)絡(luò)工程師完成； 2) 不能進(jìn)行集中管理，維護(hù)復(fù)雜； 3) 兩點互聯(lián)必須有一端是固定的公網(wǎng) IP 地址； 4) 只能組成有一個中心點的星型網(wǎng)絡(luò)，非中心點之間的數(shù)據(jù)交換需要通過中心點完成，對中心點的設(shè)備性能與接入帶寬要求很高； 5) 擴(kuò)展困難。 在方案中，一般在中心點使用此種 APN 設(shè)備，既作為中心端的 VPN 接入設(shè)備，也同時作 為 VDN 服務(wù)器。 企業(yè)級包含 VDN模塊的 APN設(shè)備： 只可以生成一個虛擬域，一般用于企業(yè)自建 VDN服務(wù)的 VPN 網(wǎng)絡(luò)中。一般用 于電信運營商為用戶提供 VPN 互聯(lián)業(yè)務(wù)，或者是廠家為多個客戶提供服務(wù)。 VDN 服務(wù)器分為運營級的 VDN 服務(wù)平臺以及企業(yè)級的包含 VDN 模塊的 APN 設(shè)備兩種。 當(dāng) VDN 服務(wù)模塊支持集中管理模式時，可以通過在管理終端上打開或者關(guān)閉APN 終端設(shè)備的管理權(quán)限。這是提供 DDN 線路運營商也不能提供的功能，也是 VDN 架構(gòu)所獨創(chuàng)的。 5． 專線備份的環(huán)路故障報警 用戶可以將傳統(tǒng)的 ISDN 線路備份 DDN 線路的方式改為 VPN 網(wǎng)絡(luò)對原有專網(wǎng)備份，這時 VPN 網(wǎng)絡(luò)常見的應(yīng)用。 在 VDN 服務(wù)器上可以定義各種事件，比如： APN 終端設(shè)備網(wǎng)絡(luò)掉線、 APN終端設(shè)備檢查到其他的節(jié)點的隧道不通、網(wǎng)絡(luò)是否穩(wěn)定等。 在加上 APN 設(shè)備非常人性化的 GUI配置界面（包含了“傻瓜式”的向?qū)гO(shè)置方式），可以非常快速的實施一個大規(guī)模的 VPN 網(wǎng)絡(luò)，并且，不需要每地都有專業(yè)的網(wǎng)絡(luò)工程師。 3． 快速布署大規(guī)模的 VPN 網(wǎng)絡(luò) 通過 VDN 服務(wù)模塊對 APN 設(shè)備的信息管理和交換技術(shù)， APN 終端設(shè)備只需要做簡單的網(wǎng)絡(luò)連接的設(shè)置，就可以完成一個設(shè)備的配置過程，甚至不需要去了解IPSec 協(xié)議。 通過在 VDN 服務(wù)器上定義一個域中不同虛擬主機(jī)之間的連通關(guān)系，可以組建全網(wǎng)狀的、星狀的或者是混合型的樹狀結(jié)構(gòu)的 VPN 網(wǎng)絡(luò)結(jié)構(gòu)。 2． 網(wǎng)絡(luò)拓樸定義 因為 APN 終端設(shè)備之間是否需要連通和互相之間的信息（比如：外網(wǎng)地址，需要通信的網(wǎng)段 IP 等）是由 VDN服務(wù)模塊來負(fù)責(zé)處理的。一個域 就代表著一個 VPN 網(wǎng)絡(luò)，同一個域中有不同的虛擬主機(jī)名稱，代表著這個 VPN 網(wǎng)絡(luò)中的不同地方的節(jié)點。 APN 終端設(shè)備能夠獲得 VDN 服務(wù)而與同域的其他 APN 建立 VPN 通道。同時，在 Inter 上，我們自己開發(fā)出一種機(jī)制來解析這些域名，使得在同一個域之間的主機(jī)能夠相互按照事先預(yù)定的規(guī)則快速搜索到同域的其他機(jī)器。 根據(jù)這個思路的啟發(fā)，我們設(shè)計了 VDN 服務(wù)。 那么， VDN 架構(gòu)體系是怎么實現(xiàn)全動態(tài) IP 地址的 VPN 解決方案呢？ 在 Inter 上，不論您在任何地方上網(wǎng)，當(dāng)您鍵入一個網(wǎng)址時，您的電腦總是準(zhǔn)確的定位到一個地方去。 4． VDN 體系結(jié)構(gòu)概述 2020年以前，奧聯(lián)就推出自主體系的全動態(tài) IP地址的 VPN解決方案－ VDN架構(gòu)體系。 這個功能在局域網(wǎng)內(nèi)有異常情況：例如病毒攻擊的時候會非常方面的實現(xiàn)維護(hù)和判斷。 ? 智能向?qū)?：獨特的擬人化智能向?qū)?，?以智能協(xié)助用戶完成設(shè)備的安裝、配置以及出現(xiàn)故障時候的原因的判斷 ? 雙向 NAT：支持兩邊都是內(nèi)網(wǎng)地址的情況構(gòu)建 VPN?？梢詾槊總€虛擬域定義它內(nèi)部的邏輯關(guān)系。 ? 隧道巡檢 ：定時自動檢查和自動愈合隧道，保證網(wǎng)絡(luò)一直穩(wěn)定通暢。 ? 節(jié)點可定義 ：可以形成網(wǎng)狀、星狀、任意形狀的網(wǎng)絡(luò)拓?fù)洹? ? 自由擴(kuò)展 ：可以在任何時候延伸擴(kuò)展原來的 VPN 網(wǎng)絡(luò)而不需要對原來的節(jié)點做任何設(shè)置上的改動。設(shè)備集成了 VPN、防火墻、代理上網(wǎng) 、移動用戶接入、流量監(jiān)控、帶寬管理 等功能，支持 ADSL/VDSL/ISDN/撥號 /小區(qū)寬帶等多種接入方式，可以組建網(wǎng)狀或任意形狀企業(yè)的遠(yuǎn)程內(nèi)部網(wǎng)絡(luò)，實現(xiàn)內(nèi)部應(yīng)用系統(tǒng)遠(yuǎn)程應(yīng)用、免費電話、視頻會議、數(shù)據(jù)共享等。 相對于智能的 GW200 來說，大量半數(shù) 處使用軟件客戶端實不可取。 ? WINDOWS 本身不斷被發(fā)現(xiàn)的安全漏洞將威脅這些節(jié)點通信的安全； ? 在辦事處沒有專業(yè)的系統(tǒng)管理員的情況下，一旦發(fā)生計算機(jī)感染病毒，系統(tǒng)運行異常，被木馬控制，計算機(jī)不能正常上網(wǎng)等情況時，由于使用者不能正確的判斷是什么故障，他只是簡單的認(rèn)為不再能使用移動客戶端，必然象整個網(wǎng)絡(luò)的維護(hù)工程師報告故障。 除了以上的弱點外，使用軟件客戶 端接入的解決方案還有下面的不足： ? 安裝調(diào)試復(fù)雜。 2) 跟之前的使用智能終端硬件設(shè)備方案的比較，使用移動客戶端的方式最大的優(yōu)勢是節(jié)省前期投入。 3．設(shè)備選型與清單 序號 設(shè)備型號 使用位置 數(shù)量（臺） 1 APN GW5000 公司總部節(jié)點 2 APN GW2500 分公司節(jié)點 3 APN GW200 分支辦事處節(jié)點 4 APN 移動客戶端 移動辦公 3． 方案 二：一般方案 1． 網(wǎng)絡(luò)拓?fù)? 圖 22 VPN 解決方案網(wǎng)絡(luò)拓?fù)? 2． 方案說明 1) 此解決方案中，考慮到分支辦事處節(jié)點大部分的計算機(jī)只有一到兩臺，所以考慮使用USB Key 或者其他模式的移動客戶端。通過 SYS 指示燈，任何人員都可以清楚的知道此設(shè)備運行狀態(tài)是正常，還是外網(wǎng)問題、內(nèi)網(wǎng)問題或者是許可證不能到中心點的 VDN 進(jìn)行身份認(rèn)證等。這些地方一般沒有專職的維護(hù)工程師。所以，建議使用低端的 GW200 設(shè)備，采用 ADSL 或者 MODEN 的 Inter 接入方式。 GW2500 也具有高性能的 VPN 接入設(shè)備提供作為智能接入終端的所有功能，如高性能的防火墻，移動客戶端接入服務(wù)，帶寬管理，流量監(jiān)控， snmp agent 等。 這在其他傳統(tǒng)的 VPN 解決方案中，分公司也作為鄉(xiāng)鎮(zhèn)的一個二級中心點，需要跟其分支辦事處建立星型隧道連接，也要求必須是固定的公網(wǎng) IP 地址?？刹捎蒙暇W(wǎng)專線接入和 ADSL 接入。 3) 分公司網(wǎng)絡(luò)規(guī)模相對于總部來說規(guī)模較小，但也有一定的規(guī)模，除了需要接入總部外，還提供下屬分支辦事處節(jié)點的接入。 總部一臺 GW5000 為 DDN線路做備份，充分保證總部網(wǎng)絡(luò)的穩(wěn)定可靠性?？h級節(jié)點跟省中心形成星型網(wǎng)絡(luò)；鄉(xiāng)鎮(zhèn)節(jié)點跟省中心形成星型網(wǎng)絡(luò)；同時，鄉(xiāng)鎮(zhèn)節(jié)點跟各自的縣級節(jié)點形成星型網(wǎng)絡(luò)。其功能包括： ? 生成管理域，在管理域下生成各節(jié)點需要的許可證； ? 定義管理域的節(jié)點之間的網(wǎng)絡(luò)拓?fù)潢P(guān)系。 GW5000 包含的 VDN 模塊具有專用的 VDN 服務(wù)平臺的大部分功能。使用 2M 的上網(wǎng)專線接入 Inter。這樣就顯得中心點的設(shè)備穩(wěn)定性和性能等方面非常重要。 1． 方案 一：高端方案 1． 網(wǎng)絡(luò)拓?fù)? 圖 21 VPN 解決方案網(wǎng)絡(luò)拓?fù)? 2． 方案說明 1) 如上圖所示（此圖只拿一個分公司來做代表性的分析，多個分公司是一樣的），辦事處連接相對應(yīng)的分公司傳輸數(shù)據(jù)，分公司把數(shù)據(jù)匯總以后再傳輸給公司總部，同時每一個分公司和辦事處也要連接公司總部的網(wǎng)絡(luò)，使用總部的郵件服務(wù)器，總的流程 是這樣的：分公司與公司總部的網(wǎng)絡(luò)互連，分公司可以使用公司總部的任何應(yīng)用，包括公司的物業(yè)管理系統(tǒng)和郵件服務(wù)器：分支辦事處連接相對應(yīng)的分公司，向分公司傳輸物業(yè)管理實時的資料（如上圖橙色線條所示），并且可以使用總部的內(nèi)部郵件服務(wù)器（如上圖綠色線條所示）。在市面上有很多 VPN 產(chǎn)品 ，那么究竟那一種 VPN 產(chǎn)品才是企業(yè)最好的選擇呢？針對企業(yè)上面的需求，采用 APN 的 VPN 解決方案正是一種非常好的解決方案。 綜合考慮以上情況，在網(wǎng)絡(luò)組建前期必須進(jìn)行詳盡的調(diào)查與測試，尋找一種適合組建大規(guī)模 VPN 網(wǎng)絡(luò)的，專業(yè)智能的，“傻瓜式”的 VPN產(chǎn)品，來組建此通信網(wǎng)絡(luò)。用戶端的互聯(lián)網(wǎng)接入技術(shù)，如 ADSL、 Cable 或者是以太網(wǎng)都已經(jīng)非常穩(wěn)定可靠。 以上幾個優(yōu)點是市面上的 VPN 都具有的，但是單單具有上面這些特點的 VPN 還是不能解決企業(yè)考慮的問題。比方說，企業(yè)可以把撥號訪問交給 NSP去做，由自己負(fù)責(zé)用戶的查驗、訪問權(quán)、網(wǎng)絡(luò)地址、安全性和網(wǎng)絡(luò)變化管理等重要工作。 4． 可隨意與合作伙伴聯(lián)網(wǎng) 在過去企業(yè)如想與合作伙伴聯(lián)網(wǎng)，雙方的信息技術(shù)部門就必須協(xié)商如何在雙方之間建自助用線路或幀中繼線路，有了 VPN 以后，這種協(xié)商毫無必要，真正達(dá)到了要連就連、要斷就斷。 3． 容易擴(kuò)展 支持多種接入實現(xiàn)方式，并且網(wǎng)絡(luò)是動態(tài)的，可以隨時增減用戶，便于集中控制訪問權(quán)限。 2． 降低成本 當(dāng)使用 Inter 時，實際上只需要付短途電話費，卻收到了長途通信的效果。 ? 提供動態(tài)密鑰交換功能和集中安全管理服務(wù)。 ? 保證數(shù)據(jù)的完整性，接收到的數(shù)據(jù)必須與發(fā)送時的一致，要有抵抗不法分子纂改數(shù)據(jù)的能力。具體而言， VPN 具有以下顯著的優(yōu)點： 1． 安全性高 企業(yè)通過公網(wǎng)實現(xiàn)跨地域的系統(tǒng)互聯(lián)必然面臨安全問題。 直接利用 Inter 構(gòu)筑起本公司的 Intra 或 Extra Inter 迅速發(fā)展無所不在以及誘人的低價位，的確令眾多廠商開始采用這種辦法，但是直接利用 Inter 只能進(jìn)行 WEB、 EMAIL 等有限的應(yīng)用，并且 Inter 天生的開放性使安全性又成了問題，公司的機(jī)密數(shù)據(jù)一旦在 Inter 傳輸，若沒有安全性保障，其后果可想而知。但此中互聯(lián)方式的弱點是速度慢（電話撥號最高只可達(dá)56Kbps），穩(wěn)定性差，長時間的時候必定帶來高昂的長途電話費用。 VPN 的特點優(yōu)勢 在上面的幾種選擇方式中如果投入資金允許并且對穩(wěn)定性和可靠性要求非常高的情況下，可考慮 專線互連 的方式。 比如要考慮以后的 IP 語音與視頻會議系統(tǒng)，這需要全網(wǎng)的或者一個大區(qū)域內(nèi)的互聯(lián)互通。其他的如微波， WLAN 等方式在全省以及全國范圍的需求下不做考慮。 進(jìn)行異地網(wǎng)絡(luò)互聯(lián)，有四種方式。 高速的遠(yuǎn)程內(nèi)部聯(lián)網(wǎng)對企業(yè)的發(fā)展越來越重要，已經(jīng)成為一種必須的基礎(chǔ)信息交換平臺。 如果提高企業(yè)的核心競爭力？加強(qiáng)管理？網(wǎng)絡(luò)建設(shè)？實施 ERP系統(tǒng)？推進(jìn)企業(yè)信息化？開發(fā) OA系統(tǒng)？完善供應(yīng)鏈系統(tǒng)？實施視頻會議？構(gòu)建 VOIP節(jié)約公司成本？??所有這些應(yīng)用，都離不開一個基本條件，就是內(nèi)部 Intra的建設(shè)和管理。 企業(yè)核心競爭力是指企業(yè)獨具的、支撐企業(yè)可持續(xù)性競爭優(yōu)勢的核心能力。越來越多的業(yè)務(wù)和應(yīng)用都開始依賴于 Inter來完成。 2．網(wǎng)絡(luò)互連給企業(yè)帶來的好處 互聯(lián)網(wǎng)的高速發(fā)展，寬帶的出現(xiàn)，改變了我們的生活和思維的方式。 它們?nèi)咧g，形成上下級的關(guān)系，辦事處向相應(yīng)的分公司傳輸數(shù)據(jù)，分公司把信息匯總以后統(tǒng)一向總部傳輸上報數(shù)據(jù)。 圖 12 網(wǎng)絡(luò)互通的需求示意圖 如上圖所示，分公司都需要跟公司總部互通，使用總部統(tǒng)一數(shù)據(jù)庫或者進(jìn)行其他的相關(guān)的應(yīng)用，比如內(nèi)部郵件系統(tǒng)，文件共享，財務(wù)系統(tǒng)等。 各地網(wǎng)絡(luò)情況如下圖所示。 分支辦事處大部分只有幾臺計算機(jī)。大多數(shù)通過 ADSL上網(wǎng)方式連接 Inter。 分公司規(guī)模教小，不超過 40臺計算機(jī)。并且通過專線（上網(wǎng) DDN）連接互聯(lián)網(wǎng)。 某物業(yè)管理公司 VPN 網(wǎng)絡(luò)建設(shè)方案建議書 2020 年 6 月 目 錄 第一章 客戶需求分析 3 1．客戶現(xiàn)狀及需求 3 2．網(wǎng)絡(luò)互連給企業(yè)帶來的好處 5 3．為什么選用 VPN 的聯(lián)網(wǎng)方式 6 第二章 解決方案