ibm—中國移動(dòng)nortelcontivity1700vpn產(chǎn)品安全配置手冊-文庫吧資料
2025-07-05 07:33本頁面
【正文】 業(yè)來說（哪怕是 IT 企業(yè)）證書的管理也是一件相當(dāng)復(fù)雜的工作。一般企業(yè)希望 VPN 能達(dá)到局域網(wǎng)的效果（比如網(wǎng)上鄰居，而 SSL VPN 只能保護(hù)應(yīng)用層協(xié)議，如 WEB、FTP 等） ，保護(hù)更多的應(yīng)用這點(diǎn)，SSL VPN 根本做不到。SSL VPN 的另一個(gè)主要局限在于用戶只能訪問基于 Web 服11 / 25務(wù)器的應(yīng)用，而 IPSec VPN 卻幾乎可以為所有的應(yīng)用提供訪問，包括客戶端/服務(wù)器模式和某些傳統(tǒng)的應(yīng)用。 要實(shí)現(xiàn)網(wǎng)絡(luò)－網(wǎng)絡(luò)的安全互聯(lián)，只能考慮采用IPSecVPN。 SSL VPN 只能進(jìn)行認(rèn)證和加密，不能實(shí)施訪問控制，建立隧道后，管理員對(duì)用戶不能進(jìn)行任何的限制。支持其它認(rèn)證方式往往要進(jìn)行長時(shí)間的二次開發(fā)。在部署方式、保護(hù)范圍、認(rèn)證方式上限制很多。這也帶來兩個(gè)主要問題：首先，客戶軟件帶來了人力維護(hù)的開銷，而許多公司希望能夠避免；其次，某些安全問題也已暴露出來，這些問題主要與建立開放式網(wǎng)絡(luò)層連接有關(guān)。對(duì) Email和 Intra 而言，SSL VPN 是很好；但對(duì)需要較高安全級(jí)別、較為復(fù)雜的應(yīng)用而言，就需要 IPSec VPN。所以，盡管部署和支持成本比較低，并且使組織可以為使用臺(tái)式電腦、便攜式電腦或其它方式的員工提供使用電子郵件的功能，甚至迅速、便捷地為合作伙伴提供訪問外聯(lián)網(wǎng)的功能，但 SSL VPN 仍有其缺點(diǎn)。 因?yàn)樽罱K用戶避免了攜帶便攜式電腦，通過與因特網(wǎng)連接的任何設(shè)備就能獲得訪問，SSL 更容易滿足大多數(shù)員工對(duì)移動(dòng)連接的需求。 廠商推出這類不需要客戶軟件的 VPN 產(chǎn)品后，用戶就能通過與因特網(wǎng)連接的任務(wù)設(shè)備實(shí)現(xiàn)連接，并借助于 SSL 隧道獲得安全訪問。 除此之外，SSL VPN 還有其它經(jīng)常被提到的特性，包括降低部署成本、減小對(duì)日常性支持和管理的需求。 另一方面，SSL VPN 不需要在最終用戶的 PC 和便攜式電腦上裝入另外的客戶軟件。然而，典型的 SSL VPN 被認(rèn)為最適合于普通遠(yuǎn)程員工訪問基于 Web 的應(yīng)用。 不過，IPSec VPN 的優(yōu)勢在于它采用了集中式安全和策略管理部件，從而大大緩解了維護(hù)需求。好處就擺在那里，但管理成本很高。這類 VPN 的真正價(jià)值在于，它們盡量提高 IP 環(huán)境的安全性。但是兩種加密協(xié)議都各有利弊。該客戶機(jī)可以定制以增加特殊圖標(biāo)和標(biāo)記，而且受口令保護(hù)，可以實(shí)現(xiàn)雙因子認(rèn)證，以進(jìn)一步提高安全性。此外，還可以利用 Entrust 和 VeriSign 在整個(gè)生命周期內(nèi)提供的數(shù)字證書鑒權(quán)。 集成式防火墻保護(hù)網(wǎng)絡(luò)中心、分支機(jī)構(gòu)或遠(yuǎn)端的 ContivityVPN 交換機(jī)可以與高性能的9 / 25Contivity 狀態(tài)防火墻集成。所有連接均進(jìn)行加密，以保證私密性，而且所有交易均被記錄。 它具有一個(gè)功能強(qiáng)大的綜合管理系統(tǒng)，可以在下列方面提供有效的 VPN業(yè)務(wù)管理：? 故障管理(如告警監(jiān)視器、歷史故障瀏覽器、故障顧問) ? 性能管理 ? 記帳界面 ? 設(shè)置 ? 創(chuàng)建和監(jiān)控業(yè)務(wù)級(jí)別協(xié)議 ? 創(chuàng)建和監(jiān)控業(yè)務(wù)級(jí)別協(xié)議 借助綜合管理系統(tǒng)，服務(wù)供應(yīng)商和企業(yè)可以輕松地大批量設(shè)置交換機(jī)。 Contivity VPN 特點(diǎn)與局限性 易于部署和管理 Contivity VPN 交換機(jī)具有全面的特性，可用于構(gòu)建高性能、可擴(kuò)展、安全的 VPN 接入。移動(dòng)辦公人員通過互聯(lián)網(wǎng)傳遞信息，由于互聯(lián)網(wǎng)傳輸協(xié)議的開放性，使得傳輸?shù)男畔⒎浅Ｈ菀自獾礁`聽、截獲、篡改等安全威脅。其次，用戶名和密碼在網(wǎng)上傳輸中很容易被竊取，現(xiàn)在已經(jīng)有很多黑客軟件，例如各種版本的網(wǎng)絡(luò)嗅探器，通過網(wǎng)絡(luò)監(jiān)聽就很容易截取用戶名和密碼。如果使用“用戶名＋密碼”的方法驗(yàn)證移動(dòng)用戶的身份，在先進(jìn)技術(shù)發(fā)展的背景下會(huì)存在諸多安全隱患：首先，用戶可能具有多個(gè)應(yīng)用系統(tǒng)的訪問帳號(hào)，隨著時(shí)間的推移，用戶大多都無法記住自己在每個(gè)應(yīng)用系統(tǒng)的用戶名和密碼，從而導(dǎo)致了系統(tǒng)管理員的維護(hù)工作大大增加。由于移動(dòng)辦公用戶需要通過撥號(hào)（或其他設(shè)備）接入 Inter，訪問該企業(yè)的 Web 服務(wù)器，實(shí)現(xiàn)信息交互。? 支持隧道流量和非隧道流量的動(dòng)態(tài)路由和負(fù)載平衡、先進(jìn)的服務(wù)質(zhì)量(QoS)和帶寬管理性能。? 單種設(shè)備可用作 IP 接入路由器、專用 VPN 設(shè)備或防火墻。這些移動(dòng)辦公人員使用本機(jī)通過 Inter，訪問7 / 25該企業(yè)的 Web 服務(wù)器，從而實(shí)現(xiàn)信息交互業(yè)務(wù)。需要提供內(nèi)部信息安全訪問通道，為內(nèi)部工作人員及經(jīng)常外出的工作人員提供信息傳遞及信息查詢。用戶發(fā)起的 VPN 連接指的是以下這種情況：首先，遠(yuǎn)程用戶通過服務(wù)提供點(diǎn)（POP）撥入 Inter，接著，用戶通過網(wǎng)絡(luò)隧道協(xié)議與企業(yè)網(wǎng)建立一條的隧道（可加密）連接從而訪問企業(yè)網(wǎng)內(nèi)部資源。在 Access VPN 的應(yīng)用中，利用了二層網(wǎng)絡(luò)隧道技術(shù)在公用網(wǎng)絡(luò)上建立 VPN 隧道（Tunnel）連接來傳輸私有網(wǎng)絡(luò)數(shù)據(jù)。 分類及其工作原理由于目前出差辦公用戶的的日益增多，遠(yuǎn)程用戶需要及時(shí)地訪問 Intra和 Extra。密 級(jí)：文檔編號(hào)：項(xiàng)目代號(hào)：中國移動(dòng) Nortel Contivity1700 VPN產(chǎn)品安全配置手冊Version 中國移動(dòng)通信有限公司二零零四年十二月2 / 253 / 25擬 制:審 核:批 準(zhǔn):會(huì) 簽:標(biāo)準(zhǔn)化:4 / 25版本控制版本號(hào) 日期 參與人員 更新說明分發(fā)控制編號(hào) 讀者 文檔權(quán)限
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1