《企业网络安全vpn解决方案.docx》由会员分享，可在线阅读，更多相关《企业网络安全vpn解决方案.docx（20页珍藏版）》请在三一办公上搜索。
1、企业网络安全-vpn解决方案信息技术中心-安全管理部2017年9月13日星期三目录第一章用户需求分析51.1 业务背景51.2 需求分析51.3 方案目的6第二章VPN技术核心61. VPN 概念62. VPN技术核心72.1 VPN 分类72.2 VPN技术标准72.3 IPSec 协议82.4 VPN的优势113. VPN的发展前景12第三章VPN解决方案121. 方案设计原则121.1高安全性131.2最优网络131.3完善管理132. VPN实施方案132.1总部网络拓扑142.2分部网络拓扑152.3访问控制162.4 VPN 场景应用163. 方案实可现高价值18随着计算机技术和通
2、讯技术的飞速发展，网络正逐步改变着人们的工作方式 和生活方式，成为当今社会发展的一个主题。网络的开放性，互连性，共享性程 度的扩大，特别是Internet的出现，使网络的重要性和对社会的影响也越来越大。 随着网络上电子商务，电子现金，数字货币，网络保险等新兴业务的兴起，网络 安全问题变得越来越重要。计算机网络犯罪所造成的经济损失实在令人吃惊。仅 在美国每年因计算机犯罪所造成的直接经济损失就达150亿美元。在全球平均每 二十秒就发生一次网上入侵事件。有近80%的公司至少每周在网络上要被大规模 的入侵一次，并且一旦黑客找到系统的薄弱环节，所有用户都会遭殃。面对计算 机网络的种种安全威胁，必须采取有
3、力的措施来保证安全。随着技术的发展，各种入侵和攻击从针对TCP/IP协议本身弱点的攻击转向 针对特定系统和应用漏洞的攻击，如针对Windows系统和Oracle/SQL Server 等数据库的攻击，这些攻击和入侵手段封装在TCP/IP协议的净荷部分。传统的 防火墙设备如第一代的包过滤防火墙，第二代的应用代理防火墙到第三代的全状 态检测防火墙对此类攻击无能为力，因为它们只查TCP/IP协议包头部分而不检 查数据包的内容。此外基于网络传播的病毒及间谍软件也给互联网用户造成巨大 的损失。同时层出不穷的即时消息和对等应用如MSN，QQ，BT等也带来很多安全 威胁并降低员工的工作效率。如今的安全威胁已
4、经发展成一个混合型的安全威 胁，传统的防火墙设备已经不能满足客户的安全需求。美国Xx公司顺应客户需求及时推出了全新设计的高性能的UTM 一体化网 络安全设备。一般来讲，UTM通常包括防火墙/VPN，网关防病毒和IPS，Xx公司 的UTM在此基础上又增加了反间谍软件服务，进一步确保企业信息安全。Xx采 用独一无二的逐个包扫描深度包检测引擎，无需对数据包重组及对文件进行缓存就可以实现对病毒、入侵和间谍软件的扫描和防护，彻底消除了网关设备对同时 下载的文件数目和文件的大小的限制，从UTM技术上是一个突破。Xx UTM设备 能够并行扫描超过50种协议上的近25000种病毒，检测并阻断近2000种入侵威
5、 胁。Xx还支持近百种签名对及时消息（IM，如MSN、QQ）和对等应用（P2P，如 BT下载、eMule下载）的通信进行控制，如封堵QQ2005,能够扫描NetBIOS协议， 防止病毒通过Windows文件共享进行扩散。采用高性能的专用硬件实现IPSec VPN的加解密，使得Xx设备在3DES和 AES算法具备同样出色的表现。对于分布式的企业，通过Internet建立VPN连 接是安全经济的信息传输方式，此外，Xx的网关防病毒和入侵防护功能不仅 能防护从Internet过来的安全威胁，而且还能阻挡企业其它分支机构通过VPN 隧道带来的安全威胁。第一章用户需求分析1.1业务背景xxxx有限公司是
6、国内首屈一指的食品加工销售企业，业务遍及全国各省。物 流和财务信息的传输需要确保安区，但是申请专线的费用很高。Internet为企业 的信息传输提供了一个经济有效的平台，然而安全问题值得担忧。目前有20个 分公司遍布全国各地，还有大量的出差在外的业务人员需要及时安全地访问企业 总部的服务器。1.2需求分析信息及时沟通、资源共享是制约企业业务飞速发展的重要因素之一，集团内 部的各类信息、营销策略如何及时送达至所有在外工作的业务人员，而在外工作 的业务人又如何能通过一种高效、安全、可靠的方式将他们的业务开展情况反馈 到集团总部，并通过企业内部的营销系统、ERP等业务系统迅速展现在企业决策 者面前，
7、一直是我集团期待解决的问题之一。公司在国内的驻外人员分布在各省会城市，负责该省内的所有产品营销业 务。由于需要及时和企业总部进行财务及其它信息的传输，这些业务数据在 Internet上直接传输时又存在较高的安全风险，一旦这些数据被盗取或泄漏出 去，必然会造成公司业务的严重损失。初步需求如下：4个分公司分别通过当地电信部门接入Internet。这些分支机构的网络要受 到安全设备的防护，必须有防火墙设备，此外，为防止遭受病毒，黑客入侵的威 胁，应用层的安全必须受到保护，设防火墙设备应该具备防病毒和防入侵的功能。 企业总部网络有重要的数据库系统，防止病毒和黑客的入侵极为重要。由于所有分公司要和企业总
8、部建立点到点VPN连接实现安全的数据传输，高 性能的VPN功能必须集成在设备内部，便于统一管理。此外出差在外的员工也要 能够及时地通过Internet安全地访问企业的数据库，移动用户必须通过VPN加密方式访问企业网络资源。1.3方案目的作为保护企业内部网免遭外部攻击，确保信息安全地通过Internet传输，最 有效的措施就是在分别在企业系统内部网与外部广域网之间放置UTM设备（即： 防火墙+ VPN+网关防病毒+ IPS），通过设置有效的安全策略，做到对企业内部 网的访问控制。为了方便远程/移动用户安全访问集团内部的机密资料，并为公 司建立起安全经济的网络通信连接，故推荐配置使用基于深度包检测
9、技术的UTM 设备一一（防火墙+ VPN +网关防病毒+防入侵）。第二章VPN技术核心1. VPN概念虚拟专用网（Virtual Private Network）技术是指在公共网络中建立专用 网络，数据通过安全的加密管道在公共网络中传播。利用VPN技术，单位只需 要租用本地的数据专线，连接上本地的公众信息网，各地的机构就可以互相传递 信息；同时，单位还可以利用公众信息网的拨号接入设备，让自己的用户拨号到 公众信息网上，就可以连接进入内联网中。使用VPN有节省成本、提供远程访问、 扩展性强、便于管理和实现全面控制等好处，是目前和今后内联网络发展的趋势。简单的来说，VPN可以看作是内部网在公众信息
10、网（宽带城域网）上的延伸， 通过在宽带城域网中一个私用的通道来创建一个安全的私有连接，VPN通过这个 安全通道将远程用户，分支机构，业务合作伙伴等机构的内联网连接起来，构成一个扩展的内联网络（如图2-1）。单机用户VPN网关 E/L匚匚口JLLL：0T总部2. VPN技术核心2.1 VPN分类VPN可分为三种类型： 远程访问虚拟网(Access VPN)Access VPN是指单位员工或单位的小分支机构通过公网远程拨号的方式构 筑的虚拟网。 内部虚拟网(Intranet VPN)Intranet VPN是指单位的总部与分支机构间通过公网构筑的虚拟网 扩展虚拟网(Extranet VPN)Ext
11、ranet VPN是指单位间发生收购、兼并或单位间建立战略联盟时，不同 内联网通过公网来构筑的虚拟网。这三种类型的VPN分别与传统的远程访问网络、内部Intranet以及内联网 和相关合作伙伴的内联网所构成的Extranet相对应。其中我们通常把Access VPN 叫做拨号 VPN,即 VPDN；将 Intranet VPN 和 Extranet VPN 统称为专线 VPN。2.2 VPN技术标准VPN的具体实现是采用隧道技术，将内联网的数据封装在隧道中进行传输。 隧道协议中最为典型的有GRE、IPSec、L2TP、PPTP、L2F等。其中GRE、IPSec 属于第三层隧道协议，L2TP、P
12、PTP、L2F属于第二层隧道协议。第二层隧道和第 三层隧道的本质区别在于用户的IP数据包是被封装在何种数据包中在隧道里传 输的。L2TP与IPSec是与VPN相关的两个最重要的协议。IETF制定的与IPSec相 关的RFC文档主要包括RFC2104、RFC24012409、RFC2451 ；而L2TP协议是由 3Com、Cisco、Ascend、Microsoft及Bay等厂商共同制定的，其控制包和数据 包都是在LAC和LNS间通过UDP/IP传输；此外MPLS、RADIUS、LDAP、VPMT等协 议都有部分涉及到VPN。2.3 IPSec 协议IPSec是由IETF正式定制的开放性IP安全
13、标准，是虚拟专网的基础，已经 相当成熟可靠。IPSec实际上是一套协议包而不是一个单个的协议，这一点对于 我们认识IPSec是很重要的。自从1995年开始IPSec的研究工作以来，IETF IPSec工作组在它的主页上发布了几十个宽带城域网草案文献和12个RFC文件。 其中，比较重要的有RFC2409 IKE互连网密钥交换、RFC2401 IPSec协议、RFC2402 AH验证包头、RFC2406 ESP加密数据等文件。IPSec安全结构包括3个基本协 议：IPSec协议族子协议AH验证包头协议ESP封包安全协议IKE密钥管理协议功能IPSec验证IPSec数据加密IPSec密钥交换加密AH
14、 协议(Authentication Header)IPSec认证包头（AH）是一个用于提供IP数据报完整性和认证的机制。其 完整性是保证数据报不被无意的或恶意的方式改变，而认证则验证数据的来源（识别主机、用户、网络等）。AH本身其实并不支持任何形式的加密，它不能保 证通过宽带城域网发送的数据的可信程度。AH只是在加密的出口、进口或使用 受到当地政府限制的情况下可以提高全球宽带城域网的安全性。当全部功能实现 后，它将通过认证IP包并且减少基于IP欺骗的攻击机率来提供更好的安全服务。 AH使用的包头放在标准的IPv4和IPv6包头和下一个高层协议帧（如TCP、UDP、 ICMP等）之间。AH协议
15、通过在整个IP数据报中实施一个消息文摘计算来提供完整性和认证 服务。一个消息文摘就是一个特定的单向数据函数，它能够创建数据报的唯一的 数字指纹。消息文摘算法的输出结果放到AH包头的认证数据 （Authentication_Data）区。消息文摘5算法（MD5）是一个单向数学函数。当 应用到分组数据中时，它将整个数据分割成若十个128比特的信息分组。每个 128比特为一组的信息是大分组数据的压缩或摘要的表示。当以这种方式使用 时，MD5只提供数字的完整性服务。一个消息文摘在被发送之前和数据被接收到 以后都可以根据一组数据计算出来。如果两次计算出来的文摘值是一样的，那么 分组数据在传输过程中就没有
16、被改变。这样就防止了无意或恶意的窜改。在使用HMAC-MD5认证过的数据交换中，发送者使用以前交换过的密钥来首次计算数据 报的64比特分组的MD5文摘。从一系列的16比特中计算出来的文摘值被累加成 一个值，然后放到AH包头的认证数据区，随后数据报被发送给接收者。接收者 也必须知道密钥值，以便计算出正确的消息文摘并且将其与接收到的认证消息文 摘进行适配。如果计算出的和接收到的文摘值相等，那么数据报在发送过程中就 没有被改变，而且可以相信是由只知道秘密密钥的另一方发送的。ESP封包安全协议封包安全协议（ESP）包头提供IP数据报的完整性和可信性服务ESP协议是 设计以两种模式工作的：隧道（Tunn
17、eling）模式和传输（Transport）模式。两 者的区别在于IP数据报的ESP负载部分的内容不同。在隧道模式中，整个IP 数据报都在ESP负载中进行封装和加密。当这完成以后，真正的IP源地址和目 的地址都可以被隐藏为宽带城域网发送的普通数据。这种模式的一种典型用法就 是在Site-Site之间通过虚拟专用网的连接时进行的主机或拓扑隐藏。在传输 模式中，只有更高层协议帧（TCP、UDP、ICMP等）被放到加密后的IP数据报的 ESP负载部分。在这种模式中，源和目的IP地址以及所有的IP包头域都是不加 密发送的。IPSec要求在所有的ESP实现中使用一个通用的缺省算法即DES-CBC算法。
18、美国数据加密标准（DES）是一个现在使用得非常普遍的加密算法。它最早是在 由美国政府公布的，最初是用于商业应用。到现在所有DES专利的保护期都已经 到期了，因此全球都有它的免费实现。IPSec ESP标准要求所有的ESP实现支持 密码分组链方式（CBC）的DES作为缺省的算法。DES-CBC通过对组成一个完整 的IP数据包（隧道模式）或下一个更高的层协议帧（传输模式）的8比特数据 分组中加入一个数据函数来工作。DES-CBC用8比特一组的加密数据（密文） 来代替8比特一组的未加密数据（明文）。一个随机的、8比特的初始化向量（IV） 被用来加密第一个明文分组，以保证即使在明文信息开头相同时也能保
19、证加密信 息的随机性。DES-CBC主要是使用一个由通信各方共享的相同的密钥。正因为 如此，它被认为是一个对称的密码算法。接收方只有使用由发送者用来加密数据 的密钥才能对加密数据进行解密。因此，DES-CBC算法的有效性依赖于秘密密 钥的安全，ESP使用的DES-CBC的密钥长度是56比特。目前最流行的安全加密标准提供3倍DES的算法，可以使用168比特的密钥长度进行数据安全加密。. 密钥交换协议IKEIKE属于一种混合型协议，由宽带城域网安全关联和密钥管理协议（ISAKMP） 和两种密钥交换协议OAKLEY与SKEME组成IKE创建在由ISAKMP定义的框架上， 沿用了 OAKLEY的密钥交
20、换模式以及SKEME的共享和密钥更新技术，还定义了它 自己的两种密钥交换方式。IKE使用了两个阶段的ISAKMP：第一阶段，协商创建一个通信信道（IKE SA）， 并对该信道进行验证，为双方进一步的IKE通信提供机密性、消息完整性以及消 息源验证服务；第二阶段，使用已建立的IKE SA建立IPsec SA。IKE共定义了 5种交换。阶段1有两种模式的交换：对身份进行保护的“主 模式”交换以及根据基本ISAKMP文档制订的“野蛮模式”交换。阶段2交换使 用“快速模式”交换。IKE自己定义了两种交换：为通信各方间协商一个新的 组类型的“新组模式”交换；在IKE通信双方间传送错误 Diffie He
21、llman及状态消息的ISAKMP信息交换。ESP和AH协议都有相关的一系列支持文件，规定了加密和认证的算法。最后， 解释域（DOI）通过一系列命令、算法、属性、参数来连接所有的IPSec组文件。由于IPSec的存在，VPN的安全性得到了巨大的提高，从而使VPN广泛的应 用成为广大单位用户的福音。VPN利于开展电子商务应用，扩展性好，不受地理 位置限制，节约费用的优越性将得到充分的发挥，VPN的发展潜力巨大。. 数据（隧道）加密深度对于在宽带城域网络中，根据对每个数据包加密的手段实现密文隧道传递， 是IPSec VPN建立有效、安全数据传输的基本依据。为支持更高的数据安全（不 可见）性能，加密
22、深度成为评价IPSec VPN的优劣的重要标准。（下表为全球领 先）VPN加密深度Cisco VPN 网关NetScreen VPN 网关Xx VPN网关硬件网关56bit、 128bit56bit、 128bit、168bit56bit、 128bit、168bit、 192bit、 256bit软件加密-192bit、 256bit-付费硬件168bit、 192bit、256bit-2.4 VPN的优势VPN作为一种新技术的出现，带来了很多优点，给单位带来了无限的商机和 发展机遇。VPN的主要优势有： 开展电子政/商务有了 VPN，各级政府和单位可以通过宽带城域网实现远程办公和会议，也可
23、 以和用户直接远程谈判，协商业务，签订合同；有了这些，VPN不但给我们的工 作带来了巨大的方便，节省大量的时间，大大提高了工作效率，而且直接节约了 大量的费用。之所以有这些，正是因为VPN能通过安全的数据通道将加密的技术 数据和关键性的商务应用及数据进行传输。离开这一点，不难想象进行远程商务 谈判和技术数据传输对各级政府和单位的影响有多大。 不受地理位置的限制宽带城域网发展到现在几乎无处不在，它的接入是到处都有的，我们只要将 各个接入点都接在宽带城域网上，然后再实现VPN，就可以将有关关键性的数据 进行安全的传输。要达到安全的传输，当然还有专线传输。例如ATM，光纤等等。 一来他们的费用高昂，
24、二来他们的接入点找起来是不方便的。 可扩展性强宽带城域网的无处不在决定了增加或减少用户接入是非常容易的。而专线就 不同，减少几个接入点还好办，要是增加几个用户，首先用户得搞清楚附近有没 有接入点，即使有了接入点，也必须进行工程布线才能接入。 节省大量费用使用VPN通过远程办公，远程商务洽谈，远程技术支持，节约大量的时间， 办公费用，节约了庞大的出差费。根据Infonetics Research单位的一个VPN 研究报告，将租用线路替换成VPN来连接远程站点可以节约20%-40%的开支。对 于远程访问VPN，节约下来的费用可以达到单位远程拨号费用的60%-80%。还可 节省由于带宽升级而重新布线
25、所产生的费用。节省投资由于宽带城域网网络技术的飞速发展，网络带宽将会无限增长。如要升级， 单位只需考虑自己的机器的升级就行，而无需考虑宽带城域网的升级。如果使用 专线则不同，由于时代的进步，单位的发展，线路的带宽就会成为瓶颈。基于IPSec标准的VPN技术，不限制用户的接入方式，带宽取决于用户的接 入带宽，中国电信常用的宽带接入方式为：ADSL或FTTX+LAN，一般ADSL最大 带宽可达8Mbps，FTTX+LAN可达到100Mbps，同时可以支持以后的VDSL，具有非 常良好的性能价格比和扩展性。3. VPN的发展前景安全VPN隧道技术能够拓展各级单位的业务和工作、并为单位节省资金。随 着
26、全球化进程的不断深入和移动办公队伍的不断增长，这种网络技术也正在越来 越多地被加以采用。一个新的、属于VPN的时代正在各类大、中、小型单位中成 为现实。VPN迎合了用户对安全性和网络性能的追求，并且可以较以前的产品提 供更为丰富的特性和功能。越来越多的政府和企业开始注意到VPN网络为公司带 来的效率和效益。我们坚信在未来的发展历程中，VPN技术将为各行各业带来 经济效益的高速增长和信息沟通模式的变革。第三章VPN解决方案考虑在的具体情况，推荐基于IPSec核心技术的高性能加密产品来组建 xxxx公司VPN网络-Xx UTM （防火墙+ VPN +网关防病毒+ IPS）。Xx防 火墙和VPN是当
27、前国际最先进的网络技术之一，销售数量占据全球第一位。1.方案设计原则VPN方案的设计至少包含以下原则：高安全性、最优化网络、完善的管理等。1.1高安全性由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题 也更为突出。确保VPN通道上传送的数据不被攻击者窥视和篡改，并且要防止非 法用户对网络资源或私有信息的访问。保证数据的真实性：通信主机必须是经过授权的，要有抵抗地址冒认(IP Spoofing)的能力。保证数据的完整性：接收到的数据必须与发送时的一致，要有抵抗不法分子 纂改数据的能力。保证通道的机密性：提供强有力的加密手段，必须使偷听者不能破解拦截到 的通道数据。提供动态密匙
28、交换功能，提供密匙中心管理服务器，必须具备防 止数据重演(Replay)的功能，保证通道不能被重演。提供安全防护措施和访问控制，要有抵抗黑客通过VPN通道攻击内联网络的 能力，并且可以对VPN通道进行访问控制(Access Control)o1.2最优网络充分有效地利用当前有限的广域网资源，为重要数据提供可靠的带宽。广域 网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网 络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的 网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资 源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防
29、阻塞的发生。1.3完善管理一个完善的VPN管理系统是必不可少的。我们构建VPN的管理目标为：减小 网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包 括加密管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。2. VPN实施方案根据公司当前的网络状况，提出本实施方案。网络结构如图:GlobalManagempniSystemGatewayAnti-ViursIntrusionPreventionService企业总部xx设备，具备防火墙功能，VPN功能，此外客户可选的其它安全服务包括 网关防病毒，入侵防御，反间谍软件等等。考虑到分公司的规模，所有分公司采用xx用
30、户设备，xx用户设备具备与xx同样的功 能，适用于小型的分支机构。所有的移动用户在笔记本电脑上安装VPN客户端软件GVC，随时随地方便快捷地与企业 总部甚至分支建立VPN连接，安全地访问企业的信息。企业总部与各个分公司建立点到点的VPN隧道，出差在外的移动用户与企业总部的 TZ170建立客户端VPN连接。这样分布式企业的所有网络出口入口都受到防火墙的保护，分 公司与总公司及移动用户与总公司的通信都受VPN隧道的保护，如果启用网关防病毒，入侵 防御和反间谍软件功能，则所有地点的内部网络都受到应用层的安全防护。此外，xx设备 能够阻断病毒，入侵在企业各个分公司和总公司之间通过VPN隧道的传播。间谍
31、软件会造 成企业或个人的敏感信息的泄漏，Xx防间谍软件功能使Xx能够中断来自计算机中已存在的 间谍软件的后台通信，同时通过扫描并屏蔽间谍软件感染的电子邮件以及检测自动安装的ActiveX控件的方式阻止间谍软件的传播。Xx系列UTM设备能够并行扫描超过50种协议上的近25000种病毒，检 测并阻断近2000种入侵威胁。Xx还支持近百种签名对及时消息（IM，如MSN、QQ）和对等应用（P2P，如 BT下载、eMule下载）的通信进行控制，如封堵QQ2005,能够扫描NetBIOS协议， 防止病毒通过Windows文件共享进行扩散。2.2分部网络拓扑UTM设备，防火墙和VPN二合一（同时有可选的网关
32、防病毒，入侵检测和防御及反间谍软件功能），不用担心黑客的攻击。不象其他网络全产品公司，有些 型号的产品是收购其他公司，所以不同型号的产品功能有很大区别，Xx全线 产品都是Xx公司开发，具备同样的安全防护功能。Xx产品除了支持DDN专 线等固定IP地址的线路外，还支持DHCP、PPPoE、PPTP或L2TP，甚至ISDN或 电话线拨号。不用担心现在的购买的Xx产品，将来因公司的发展要更换线路 而不适用。计算机在25台之内的分公司建议采用Xx TZ 50用户，此建议只是 作为参考，有时需要结合更具体的环境进行调整。xx设备除了防火墙，VPN功能之外，还有可选得网关防病毒，入侵防御和反间 谍软件功能
33、，此外还能封堵QQ，MSN，BT等应用，提高工作效率。网关防病 毒和入侵防御等还可以阻止通过VPN隧道传输过来的网络安全威胁。2.3访问控制鉴于XX公司的网络环境和规模，方案设计采用Xx标准版，公司总部的局 域网接在LAN 口上，防火墙会阻止所有未经许可的访问到LAN 口上的电脑； 通过这种解决方案有效地保证公司局域网、各类服务器免受来自互联网黑客的各 种攻击。移动用户采用VPN客户端和总部连接。客户还可以购买网关防病毒，入侵检测和防御及反间谍软件服务，确保应用 层的安全，防护针对Windows操作系统和数据库诸如Oracle和SQL Server的攻 击，还可以阻断不必要的应用如QQ2005
34、等等，提高员工的工作效率。2.4 VPN场景应用A、XX总部和分公司Site to site VPNVPN在网络中拓扑示意图如下图所示。专用加密隧道专用加密隧道卜面是VPN的实现过程。如图下图所示:在两台VPN1 （总部）和VPN2 （分部）之间建立一个VPN通道。假设网络A中的 主机A与网络B中的主机B之间进行通讯。A发出请求包，该数据包首先到达VPN1， VPN 1对其进行认证并加密，然后通过建立的VPN通道传送到VPN 2，VPN 2对 该数据包进行认证并解密，然后将此包传送给主机B。反向的数据包同样经过这 个过程。这样就能保证数据包通讯过程中的完整性，机密性。B、移动用户访问XX总部-
35、Client to Site （客户端到总部）VPN（客户端到总部）VPN的连接过程如图3-2：DHCP服务器IPSec VPN隧道SiteClient VPNClient to Site图3-2根据一个中心多个远程节点的设计方法，采用移动用户与总部网互联方式， 即站到站（Site-Client）VPN连接方式，连接过程如下： 移动用户的VPN客户端向总部VPN网关发起连接请求，并发送第一阶段（Phase 1）用户验证和密匙信息（MD5或SHA1加密）； 总部的VPN网关响应请求，并对移动发来的用户和密匙进行验证； 如果第一阶段验证通过，主端发送第二阶段（Phase 2）验证挑战请求； 从端发
36、送第二阶段（Phase 2）用户验证和密匙信息（MD5或SHA1加密）; 如果第二阶段验证也通过，两端的VPN核心引擎开始采用168位（3DES） 协调数据加密算法，从而建立标准的IPSec VPN通道，双方局域网内的 用户即可在VPN通道内传送加密的用户数据，每个传送的数据包都会随 机选择不同的密钥进行数据加密。备注：XxVPN客户端认证支持内部数据库认证，Radius，RSA SecurelD, 及第三方证书等等。3.方案实可现高价值灵活性Any - to -AnyXx VPN产品完全基于工业加密标准IPSec协议构建VPN加密通道，提供 Any-to-Any的VPN连接，如下图： Any
37、运行平台：VPN客户端软件完全支持Windows系列平台，包括Windows 98/NT/2000/XP 等。 Any接口 ：支持以太网接口、Modem接口、无线（蓝牙）网络接口以及新 兴的GPRS/CDMA接口等，只要满足网络层地址（IP地址）可以到达的条件即可建 立VPN连接； Any接入方式：支持当前大多数的互联网连接，包括ADSL、Cable Modem、 ISDN/PSTN拨号以及各种专线方式等； Any地点：没有地理位置的局限扩展性总部和分公司通过VPN建立网络连接后:（1）若日后ERP、OA、视频等应用扩大使用量，用户仅需直接扩租带宽即 可，无需再进行硬件投资；（2）方便单位领导
38、或系统管理员移动办公（笔记本电脑）。届时仅需在VPN 网关里添加专门的用户帐号、加密设置和在移动计算机上安装 VPN Client软件即可，无需再进行硬件投资；（3）由于Xx产品是防火墙和VPN二合一，使公司在实现内部业务通信的 同时兼备对宽带城域网的安全访问；（4）Xx VPN防火墙具备多并发VPN隧道支持，若用户在未来新添下级机构 并进行网络互联，中心（局端）无需做任何硬件调整和投资；（5）支持当前大多数的宽带城域网连接，如ADSL、Cable Modem、ISDN/PSTN 拨号等。（使用、管理）易用性（1）Xx全线产品均可以通过Xx GMS （全球网络管理系统）进行统一界面 的网管、设定等操作，网管工程师可以从任何地方对系统轻松实施管 理；（2）由于Xx的日志管理、密钥管理等特性，使用户能轻松掌握并监控系统 运行，易于使用；（3）由于VPN产品基于嵌入式（ASIC专用芯片）设计,无论是VPN设备和 客户端软件的安装、维护都十分简单，无需专业的技术人员即可掌握 使用和简单的维护知识。
