SSL VPN 组网方案

深信服科技有限公司

2011年1月

目录

TOC \o "2-3" \h \z \t "标题 1,1,SANGFOR_1_标题1,1" 第1章需求分析1

1.1背景介绍1

1.2目前面临问题1

1.3方案设计原则2

第2章解决方案及方案价值2

2.1SANGFOR 解决方案2

2.2部署拓扑4

2.3方案优势4

第3章技术优势5

3.1便捷的访问5

3.2安全的访问6

3.3快速的访问7

3.4方便的管理8

第4章成功客户案例8

4.1深信服SSL VPN助力中国人民银行总行打造高效安全连接平台8

4.2更多客户名单9

第5章售后服务体系10

5.1技术支持与服务10

5.2用户培训11

第6章深信服科技介绍及在VPN行业的影响力12

第1章
需求分析

2.
背景介绍

2.
目前面临问题

1
数据安全性无法保障：在××企业信息平台上的应用数据现在都是未经加密等安全处理的，跑在互联网这个不安全而又开放的网络上。一旦数据遭到篡改或窃取，带来的损失将无法估量。

2
分公司、办事处访问总部内网资源：涉及到公司核心数据的应用如财务系统、业务系统等并没有发布到公网上，分公司、办事处的人员都需要接入到总部进行信息化办公。

3
出差领导、员工的接入：出差在外的领导和员工需要实现随时随地的接入到总部内网访问应用，实现移动办公。

4
应用权限划分：对于许多重要的应用，尤其是第三方人员接入的情况下，需要进行相应的权限划分来保证内网应用的安全性，防止越权访问。

5
应用访问安全性：用户在终端访问时所有访问的应用系统数据都保存在本地客户端主机，尤其是一些安全性级别较高的数据，存在数据泄漏的安全隐患。

6
应用访问速度慢：面对遍布全国南北的分公司和出差领导、员工，线路的丢包延时严重，2小时只能做1小时的事，访问速度的低下直接影响到员工的办公效率。

7
专线价格昂贵，扩展性差：全国分公司众多，如果全部使用专线进行互联开销很大，而且专线的扩展性差，也无法实现出差领导和员工的移动接入。

8
重要应用认证手段单一：对于公司重要的应用如财务系统、CRM等，使用的是普通的帐号密码认证，安全手段较为单一，密码存在被窃取的风险。

9
不安全终端接入的风险：公司总部有很好的网络安全防护，但部分小型分公司和出差人员的移动终端的安全措施往往得不到很好的保障，这部分接入的主机成为了总部的安全短板，存在将病毒、木马、黑客等引入到总部的风险。

10
终端使用复杂：大量的应用系统需要记忆众多的用户名和密码，且容易混淆，导致效率下降。

11
管理权限无法划分：处于管理的需要，需要切合网络部门管理的结构，面对不同的接入用户需要实现分级分权限管理，提高管理效率。

12
IPSec VPN使用复杂，不易操作：IPSec VPN的移动应用需要安装客户端软件，而下面接入单位众多，电脑水平参差不齐，易造成操作失误或者兼容性问题导致业务中断。

2.
方案设计原则

13
应用支持完整性：SSL VPN系统需要拥有完整而强大的应用支持性，不仅能够支持现在企业正在使用的所有应用，还必须能与其他将来所有可能会运用到的应用无缝结合。

14
稳定可靠性：整个企业的SSL VPN网络支撑着企业的重要业务系统，需要具有高稳定可靠性来保证整个信息平台的畅通运行。

15
快速性：对于身在外地接入人员来说，最重要的是得到速度上的保证，能够快速的接入并使用各种应用，顺利的开展业务。

16
易用性：许多分公司员工、移动办公人员的IT水平都不高，而且在外接入的环境各异，VPN系统需要最大的保证易用性，让人人都能很快上手，方便的使用。

17
安全性：VPN系统需要全方位的保障整个系统、网络传输、用户接入的安全性，从而保障整个公司信息系统安全畅通的使用。

第2章
解决方案及方案价值

3.
SANGFOR 解决方案

针对于××××网络建设中存在的问题，SANGFOR SSL VPN提出以下解决方案：

1.数据强加密：SANGFOR SSL VPN设备使用基于应用层的SSL VPN协议进行数据加密处理，在客户终端与SSL 设备之间构建一条旁人无法破译的专有通道，保证数据在传输中的绝对安全性。

2.安全发布应用，访问便利：使用SSL VPN对内网应用进行发布，并根据组织原有的Internet线路通过浏览器内置的SSL协议构建在单点接入用户和内部的应用系统之间架设一条安全的通道。无需安装任何客户端软件，实现分公司和移动办公人员的安全、方便的远程接入。

3.细致权限划分：SANGFOR SSL VPN通过“角色”的设置，进行用户、用户组、应用资源的绑定，并可通过基于时间的客户端检查授权规则赋予用户、用户组不同时间的不用应用的访问权限，实现基于用户、用户组、时间、应用的细致权限划分。

4.安全桌面技术：可指定部分或全部对数据安全性要求较高的应用必须置于安全桌面中访问。当客户端登录SSL VPN后，该应用将置于通过虚拟技术在客户端生成的一个封闭式安全桌面使用，应用在与服务器所交互数据将被强加密处理。在使用时该安全桌面中的数据不可拷贝到默认桌面中，不可通过网络与局域网主机或外网进行通讯，不可通过USB等外设拷贝出去。当用户退出SSL VPN中，所有安全桌面中数据将一并销毁，将通过SSL VPN访问应用的各种数据彻底清理出本机，保证了应用访问过程中与SSL VPN退出后数据的安全性。

5.融合多种加速技术：SANGFOR SSL VPN结合了多种加速技术，分别从数据削减、线路优化、传输提速三方面全面的提升数据传输速度。通过流缓存技术、B/S、C/S压缩将削减冗余数据，通过HTP快速传输协议针对丢包延时现象进行线路优化，通过基于码流特征的数据优化技术在保证数据实时性和完整性的前提下大幅降低数据传输量、提升传输速度，使用多线路技术、Web优化、WebCache、资源负载均衡、IP服务加速进行数据传输的提速，打造“最快速”的SSL VPN应用访问。

6.多种认证方式相结合：针对单一用户名/密码认证的安全强度不足的问题，SANGFOR SSL VPN支持多种认证方式“与”、“或”方式相结合，包括短信认证、CA认证、LDAP、RADIUS、动态令牌卡的多种方式，加强了认证的安全性。

7.客户端安全检查：SANGFOR SSL VPN支持客户端的安全检测策略，通过检查终端的操作系统、注册表、进程、文件、接入线路的IP、接入线路的时间、登录IP等各项信息对客户端进行全面检测，并进行允许/不允许接入SSLVPN或授予不同的应用访问权限的操作。从源头对终端接入带来的安全风险进行控制，保障了总部的安全。

8终端易用性：SANGFOR SSL VPN通过浏览器就能实现对内网资源的访问，无需安装客户端软件。并支持B/S和C/S应用的单点登录，用户通过认证并登录到SSL VPN后，直接可以打开相应的资源进行内网应用的访问，不需要再反复的输入用户名密码，大大降低在终端上访问内网办公的复杂程度。

9.管理员分级管理：SANGFOR SSL VPN支持设置多达16级的多级管理员，上级管理员可对其下级管理员进行相应的权限设置和配置的强制继承，既切合组织网络管理的结构，又保证了管理配置上的一致性。

3.
部署拓扑

方案一：

部署说明：

1.在总部网络中SANGFOR SSL VPN以网关/路由/单臂模式进行部署，各分公司员工及出差领导、员工等通过SSL VPN授权，使用浏览器接入总部。

2.对于拥有比较高的应用权限、安全性要求比较高的分公司领导，关系到公司重要数据的财务部门，以及出差的领导员工等，使用DKEY认证接入总部。

方案二：

在总部部署VPN-2050中心端设备，在各分支端部署S5100设备，通过硬件设备互联实现分支到总部安全稳定的互联访问，同事开通部分SSL授权，供领导和员工出差移动办公使用

3.
方案优势

1.高安全性：通过SANGFOR SSL VPN的多种认证方式、多重安全机制保障了内部重要应用既实现了信息平台的共享，又实现了从应用发布、用户认证、用户接入乃至断开连接的一整套的高安全性。消除了企业信息平台共享的安全风险。

2.高稳定性：SANGFOR SSL VPN经过了公安部和国家保密局的严格测试，是国家VPN标准的制定者，并与国际领先的测试方案提供商思博伦（Spirent）合作，进行设备的高强度全面测试以保证设备稳定性。全国5000多家客户、上万个网络的大容量成功实际使用也证明了深信服SSL VPN的高稳定性。

3.高速接入体验：速度性远超普通的VPN，提供了网络的高速和高可用性。在速度方面深信服科技的VPN产品可以远超其它品牌的VPN产品，具有特有的多线路复用技术、跨运行商智能选路技术、畅联技术、动态压缩技术等广域网加速技术的应用，通过配置可选的加速模块甚至能让广域网的传输速度接近局域网的效果，从而保证了快速接入。

4.应用的统一管理：通过SSL VPN对公司应用进行统一发布，实现对用户的应用使用权限划分、接入流量限制等等管理措施，保证各个用户的访问在授权范围内，不会对主要的系统造成影响和破坏。并支持日志数据中心，详细的记录了各个用户的访问日志和应用资源的使用情况，为以后的业务审计和网络规划提供了参考依据。

5.便捷经济性：采用SANGFOR SSL VPN系列产品实现远程安全快速的内网接入，提高了网络的可用性，相对于专线高昂的费用节约了大量运营成本。SANGFOR SSL VPN具有部署方便、使用便利的特点，方便网络部门进行管理维护的同时，大幅提升用户的访问体验。

6.方便扩容、平滑升级：SANGFOR SSL VPN扩容便利，新增用户只需要在设备用户数支持范围之内再开通授权即可。特有的集群技术，对于新增用户数超出设置支持的情况，只要再购买满足日后扩容需要的设备，即可通过集群实现设备之间支持用户数的叠加，很好的保护了原有设备的投资。

第3章
技术优势

4.
便捷的访问

SANGFOR SSL VPN，是利用浏览器中内嵌的SSL协议，在移动客户端与总部的SSL VPN中建立一条SSL VPN通道。出差领导和员工、分公司员工只需要打开浏览器登录相应的SSL VPN页面并通过认证，即可通过SSL VPN访问内网资源，不需要在终端上安装任何客户端软件。

SANGFOR SSL VPN支持B/S和C/S应用的单点登录功能，实现只需要通过SSL VPN认证，无需反复输入各种系统的帐号密码就可以直接使用所有的远程应用。启动了单点登录功能在成功登陆SSL VPN页面直接跳转到对应用的资源列表页面，对于B/S资源直接点击就可以进入，对于C/S资源，通过启用该应用的客户端软件就可以直接使用，大大提高了访问应用的易用性。

4.
安全的访问

SANGFOR VPN对于安全方面的定义分为接入的安全、传输的安全、资源的安全、断开的安全四个方面进行全面的保障。

1.接入的安全：单纯的帐号密码认证容易遭到密码丢失、密码遭到破解等威胁，SANGFOR SSL VPN支持多种认证方式，提供比网银还安全的认证，包括短信认证、动态令牌卡认证、USBKey认证、CA认证等方式的“与”、“或”组合。支持与企业原有LDAP、RADIUS认证的无缝结合。

支持硬件特征码的终端绑定功能，并可通过客户端安全检查全面检测终端的应用系统、杀毒软件、防火墙、注册表、文件等信息，将SSL VPN的安全范围扩大到终端，避免由于终端的安全短板给内网资源带来的威胁。

2.传输的安全：SANGFOR VPN通过DES/3DES/AES/RC4等多种国际主流加密算法保证数据传输的安全。支持VPN专线功能，对于重要的如财务系统等应用，可设定特定用户接入VPN后自动断开其他一切的互联网连接，避免出现黑客以接入终端作为攻击内网的跳板的隐患。

3.资源的安全：SANGFOR VPN支持对特定用户、用户组进行资源的权限的划分，防止应用出现越权访问的情况。支持安全桌面功能（沙盒技术），将通过SSL VPN访问的应用置于该安全桌面中访问，访问时通过断绝本机、网络、外设通信保证应用访问过程中的数据不可拷贝到本机。当用户退出SSL VPN后，所有安全桌面内访问的应用数据将一并销毁，防止重要资源数据在终端的泄漏。

4.断开的安全：SANGFOR SSL VPN在用户结束访问并注销后，在终端同时会自动清除IE中的Cookie，临时文件等遗留在客户端计算机上的信息，实现“零痕迹”访问，避免安全隐患。

4.
快速的访问

SANGFOR SSL VPN融合了多种广域网加速技术，速度性远超普通的VPN，提供了网络的高速和高可用性。在速度方面深信服科技的VPN产品可以远超其它品牌的VPN产品，通过配置可选的加速模块甚至能让广域网的传输速度接近局域网的效果。

首先是平均传输效率为130％的LZO压缩和GZIP压缩，SANGFOR SSL VPN内置了数据压缩算法，对所有的传输数据进行压缩之后、再传输，这就在无形中极大的提高了带宽。

SANGFOR SSL VPN采用了SANGFOR WAC加速引擎中专利 “基于码流特征的数据优化”技术，能够大大降低广域网传输过程中的数据流量，根据实际的测试最多时甚至能够将流量减少95%以上。区别于一般的缓存技术存在数据更新滞后等问题，基于码流特征的数据优化采用数据流cache加速技术，通过数据包分片标签机制并结合优化的模式匹配算法，在保证数据实时性的同时大大降低数据传输量提高访问速度。

中国环境中特有的移动、联通（网通线路）、电信3网并存的情况，3张网之间的传输存在着瓶颈问题。SANGFOR VPN独有的专利技术畅联技术（FLASH LINK），专门针对网络传输模式进行改进，消除运营商之间的传输瓶颈。

对于××公司，外网连接了×条线路，SANGFOR SSL VPN拥有的多线路技术，实现对多条线路间自动选择最快的线路进行传输，或通过多线路的带宽叠加成倍的扩大出口带宽，将线路之间的传输瓶颈影响降到最小。

SANGFOR SSL VPN还支持多项加速技术，如IP资源提速、无线优化技术、资源负载均衡、动态压缩、Web优化、WebCache等多项技术，全面改善网络传输，让速度得到质的飞跃。

4.
方便的管理

SANGFOR VPN系统采用GUI图形界面管理，维护简便。并提供了完善的日志服务、故障诊断等工具，方便总部管理员对系统的维护和管理。

SSL VPN的数据中心详细的记录了用户登录、访问资源、流量、设备告警等各项详细日志，并支持报表生成功能，便于管理员对内网和应用形成一个直观的感受，为网络的管理和优化提供参考。

SANGFOR SSL VPN提供管理员的分级管理功能，内设管理权限最高的系统管理员。系统管理员之下可以根据公司的组织架构、网络和服务器的管理等方面的综合考虑设置分级管理员，管理SANGFOR SSL VPN系统模块设置、资源权限、角色、用户等方面的内容。

对于移动接入的人员，可根据用户、用户组进行上下行带宽、会话数量的限制或保证，保证了客户端访问效果，防止恶意占用带宽。

第4章
成功客户案例

5.
深信服SSL VPN助力中国人民银行总行打造高效安全连接平台

（案例根据具体客户进行更改）

中国人民银行是中国中央银行，主要行使货币政策、监督金融市场、经理国库、管理信贷业务、从事国际金融活动等职责。作为中国银行业的最高管理机构，中国人民银行每天面临着巨大的信息量，要求其及时对众多的市场、金融信息做出处理，提供决策政策。

随着信息化建设工作的深入开展，中国人民银行建立了一套数据网络平台用于数据的整合与共享；所有邮件系统、业务系统的信息传输均在该平台上实现，有力地提高了数据整合速度，提高了运营效率。随着移动办公需求的急剧增加，中国人民银行工作人员不仅仅需要在单位局域网内安全快捷地访问OA、邮件系统、业务系统等网络资源，在外出差期间同样需要安全快速地连接进单位局域网内部访问相关办公系统。

中国人民银行信息中心的工程师们经过详细调查，得知深信服科技是前沿网络领域的领导厂商，其SSL VPN远程连接解决方案以其安全性、高效性、易用性和可靠性享誉业界，在金融、保险、制造、能源、教育、政府等行业有着大规模的成熟应用。通过进行产品实地测试应用，最终采用了深信服SSLVPN连接方案，以其独有的技术优势来实现央行信息化建设的需求。

在总部机房处，中国人民银行部署了两台深信服M5500-S设备，为远程接入提供安全高效的连接平台。同时考虑到线路稳定性、设备稳定性等因素，以双机热备的方式实现了系统稳定连接，再次，引入了深信服独有的多因素身份认证方式，实现静态认证和动态认证的混合模式身份认证体系，实现了对所有接入工作人员的安全认证和接入。

深信服VPN设备为央行构建起了一个稳定、高速、安全的VPN接入网络，给央行的信息化建设增添了浓重的一笔。央行的邮件等应用系统都承载在这个网络中，所有移动办公人员在各个场所包括酒店、住宅、候机室等环境下都可通过SSLVPN接入总部的IDC，进行信息交互。为中国人民银行日常业务的开展提供了有力的保障和支撑。

5.
更多客户名单

第5章
售后服务体系

深信服科技公司的技术服务部门将提供优质服务以保证整个系统运行的稳定、高效和安全。

为了提供更好的客户服务、更好的帮助您有效解决使用SANGFOR产品时遇到的问题，深信服科技花巨资启用客户服务呼叫中心CTI系统。所有的SANGFOR产品用户请拨打800 830 6430免费客户服务热线（未开通800的区域或手机用户请拨打：0755-26581993），进入该呼叫中心。

呼叫中心CTI系统将智能识别来电客户、检索客户历史故障，快速解决客户问题；还提供了语音留言、呼叫等待等多种功能。

6.
技术支持与服务

1、安装服务

深信服科技公司负责网络安全设备的安装调试、调优工作。建立合理的项目建设机制，保证工程的安装服务质量。

安装完毕后提供完整的技术文档，内容包括：系统的信息记录、操作维护、调试的方法以及常见故障处理等等。

2、配件服务

提供配件服务，使故障设备得到维护。对一些维修周期长的设备，提供相似性能的设备，保证运行系统稳定。

3、保修维护服务

对在保修期内的软硬件产品设备提供保修服务（火灾、地震等人力不可抗拒的因素造成的设备损坏除外）：

提供7*24维修服务，提供7*24小时响应的联系电话及联系人，提供远程访问维护功能，随时受理电话咨询，一旦有故障能随时联系到人。系统发生故障通过远程拔号接入或者24小时派工程师到现场维护。

4、后期维护服务

系统错误有可能在长时间的运行之后才能暴露出来，才能更容易的对问题进行孤立和查找。当系统投入使用后，测试工作要不断进行，只有这样才能发现新错误，以便及时解决。因此定期派系统工程师上门或者远程拔号接入对整个系统的资源进行测试、维护和优化（包括对系统软硬件设备的清理、网络性能的维护、优化、性能调试等等维护服务，以使系统能够长久、可靠安全的运行。在维护服务保修期内，免费提供一些优惠服务措施，包括提供软件差补通知，安装最新的补丁程序等等，对于提供的应用软件包，如有新版本推出，应建议用户使用，并为用户提供升级安装服务），实施跟踪服务。

6.
用户培训

深信服科技公司将负责对用户进行网络安全系统的技术培训。通过对本网络各种设备的性能、结构、原理、维护管理技术和实际操作的讲解，能使用户掌握设备配置、日常维护的方法和技巧，使用户独立进行操作、纠错处理和设备测试，以保证网络开通后的正常安全运行。系统管理和技术人员的培训由深信服科技公司负责组织，根据人员的知识结构情况制定具体的培训计划。

对系统管理员进行培训，使其熟悉系统的使用和维护，以利于以后的系统管理工作。我们提供的培训服务分现场培训和专业培训，先进行专业培训，提供系统的理论知识、再进行现场培训，以利于系统的掌握和今后系统的开发升级。

1、安装培训

安装培训在安装的过程中进行，最后安装调试完毕后，做总结培训。

安装培训目的是让经过专业培训的人员学以致用，理论结合实际，尽快掌握实际使用中产品设备的特性，以利于系统的使用和维护。

具体内容：

a.对产品设备的安装、使用、维护、常见故障处理以及产品设备的特性，通过实际安装中的培训，增强系统管理的实际操作水平。

b.安装完毕后，各个管理人员对操作流程进行实际演练，以确保安装过程中的知识学以致用。

c.在系统软硬件安装完成后，深信服科技公司在线对贵单位技术人员和操作人员进行实际操作培训。

2、专业培训：

对相关技术人员，我们提供现场培训和专业培训，先进行专业培训，提供系统的理论知识、再进行现场培训，以利于系统的掌握和今后系统的开发升级。

第6章
深信服科技介绍及在VPN行业的影响力

深信服科技是中国规模最大、创新能力最强的前沿网络设备供应商，致力于通过创新、高品质的产品及卓越的服务，帮助用户提升互联网带宽的价值。通过专业、创新、高性价比的产品，围绕商业用户Internet带宽资源，帮助用户降低成本（VPN实现网间互联、替代专线）、提高效率（广域网加速让应用更快捷）、产生效益（SSL VPN实现无处不在的移动办公）、防范风险（AC上网行为管理网关保证内、外网安全）、优化资源（BM流量控制实现带宽合理管控）、提高访问体验（AD应用交付实现链路及服务器双负载均衡），提供全面的网络优化解决方案！

深信服科技现有AC上网行为管理、IPSec VPN、SSL VPN、广域网加速、BM流量控制、AD应用交付等全系列产品线。丰富的产品系列给客户更大的选择空间。不同层次、不同需求的客户都可以在深信服科技找到适合自己的网络连通、管理、优化产品。

截止到2010年5月，已有超过16，000家用户选择了同深信服合作并取得了显著收益。这些用户包括中国移动、通用电气、壳牌石油、丰田汽车等世界500强企业，也包括中国人民银行、国资委、中国人寿、招商银行、南方航空、中国人民大学等中国知名用户。在中国入选世界500强的企业中，超过一半的企业都是深信服的用户。

目前，深信服科技总人数已达900人，直属分支机构36个，销售网络遍布全国，并在香港、新加坡、阿联酋、泰国、印度等国家和地区设有直属办事机构。从2000年底成立至今，公司以每年销售收入增长2-3倍、人员增长1倍的速度高速发展。2005年-2009年，深信服连续5次获得德勤“中国高科技高成长50强”、“亚太地区高科技高成长500强”，并于2008年获得渣打银行授予的“最具成长性新锐企业”中型企业金奖。2009年，深信服荣获《财富》杂志“卓越雇主奖”。

深信服科技坚信技术创新是保证产品优秀品质不可或缺的条件，每年将销售收入的15％投入产品研发，始终保持着技术的时时领先，目前拥有近30项网络及安全领域发明专利。我们以深厚的技术实力、丰富卓越的产品、细致完善的服务为您提供最佳整体网络优化方案，提升您的带宽价值！

深信服获得的荣誉

2005年、2006年、2007年、2008年、2009年，连续五年获德勤“中国高科技高成长50强”，“亚太高科技高成长500强”

国家商用密码产品生产定点生产单位

国家IPSec VPN、SSL VPN标准制定者

2009年深信服全线产品均入围中央政府协议采购名单

2009年深信服VPN率先通过国家虚拟专用网安全技术要求第三级检测

2008年，深信服产品获得国家涉密产品资质

30余项相关领域发明专利

(2009-12-23)一种VPN认证方法

(2009-12-16)一种网络数据流识别方法

(2008-09-10)一种网络插件的安全检查方法、系统及安全检测设备

(2008-07-28)一种加速DCOM系统的方法

(2008-07-28)动态数据压缩技术

(2008-07-28)通过流缓存实现网间数据传输加速的方法

(2007-05-18)通过自组域简化部署VPN网络的方法

(2007-01-22)基于网关、网桥防范网络钓鱼网站的方法

(2006-09-19)一种应用代理实现网间应用加速的方法

……

深圳市南山区麒麟路1号科技创业中心4楼

Add: 4th Floor, Incubation Center,
No.1 Qilin Road, Nanshan District,
Shenzhen P.C.:518052

产品咨询热线：800-830-9565

Email:master@sangfor.com.cn