JuniperSSLVPN远程安全接入解决方案.doc

works目录一、安全接入技术的选择 3二、方案建议 10三、总结 11四、成功案例 11五、市场占有率: 12六、荣获奖项 12七、演示站点 13一、安全接入技术的选择随着信息技术的快速发展,为了提高服务的质量和水平、在市场竞争中取得优势,企业建立了内部局域网,使内部办公人员通过网络可以迅速地获取信息。然而,随着个人电脑和互联网应用技术的普及,“在家办公”、“异地办公”、“移动办公”等多种远程办公模式逐渐普及,同时合作伙伴的人员也希望能访问到相应的信息资源,企业的IT管理人员面临将远程办公模式作为内部办公网络的延伸和对合作伙伴人员提供外联网接入的需求,为远程办公的员工提供访问内部信息和为合作伙伴人员访问与其身份相符的信息的方便。然而,要享受通过互联网访问企业内部的信息资源的便利,就需要实施适当的信息安全策略,在严格防止企业信息资源被非法窃取的同时,对合法的访问要提供方便,同时还需尽量降低信息安全策略的实施和维护成本。数据传输平台,实施加密的VPN实现安全接入的办法主要有两种:一种是IPsecVPN,另一种是SSLVPN。两种技术在不同领域各有其优势,我们建议:在实施固定的站点到站点的VPN和复杂应用的移动用户接入VPN时,采用IPsec技术;在实施普通应用的移动用户接入VPN时,采用SSL技术,原因是SSL无需在客户端安装客户端软件、实施和维护灵活简单、不受地址翻译影响、控制策略更加细化、总体拥有成本较低,而且由于SSLVPN不是打开一个网络层通道,而只是提供了联系应用层请求的固化网络接口,所以提高了与VPN相关的整个系统的安全性。SSL和IPsec技术的详细比较请参考《》一文。在本方案中,我们建议根据具体的网络需求,灵活结合两种流行VPN。当然,因为目前的需求仅仅是总体建议,还需要针对更具体的网络情况进行调整。二、方案建议安全协议安全套接层(SSL)技术是一项在互联网上广泛实施的标准安全协议,全面支持认证和加密,所有标准web浏览器都支持SSL。基于贵公司的安全接入模式以移动办公用户远程访问为主,我们建议主要采用SSLVPN方案,对于一些特殊的应用和特殊的用户环境,ScreenSA系列的远程接入产品是广受好评的SSLVPN产品,(IVE)的系统平台,客户只要有标准的web浏览器,无需进行任何部署或安装硬件、软件客户端设备,也无需对内部服务器进行任何修改,没有地址翻译穿越的影响,也不受私有地址冲突的影响,而且几乎不需要任何后期维护,所以可以方便地让用户安全地接入网络。建议在贵公司实施的SSLVPN安全接入的网络拓扑示范图如下:设备采用双层保护,防火墙实现基本DoS保护、策略过滤,以及IPSecVPN功能。SA设备则实现SSLVPN,进行应用层保护过滤和接入。对于核心的基于WEB的应用,如内部邮件、ScreenSA产品提供全面的服务。包括ActiveX、Java、JavaScript、PHP等,支持的全面性、灵活性远远超过我们的竞争对手。并且在安全策略上实施的是应用层面的安全策略,可以比IPsec更加细化;ScreenSA系列的远程接入产品是坚固可靠的应用层网关,采用应用层面的安全策略后,内部的应用服务器可以得到有效保护,而不必将服务器的第4层端口完全暴露给外部;前端的防火墙上只需配置打开tcpSSL端口的策略即可。ScreenSA对非web的许多客户端/服务器应用也提供很好的支持,ScreenSA系列的远程接入产品实施SSLVPN来实现远程接入被许多国际著名企业(如花旗银行、德意志银行)采用。对贵公司来说,ScreenIVE虽然将这些应用转化为SSL标准数据流,但并不影响这些应用,例如,文件仍然可以下载到本地。对于绝大多数的C/S应用,例如Passive模式FTP、贵公司独立开发的TCP特殊应用、ScreenSA是透明支持的。对于许多常用的C/S应用,/ScreenSA都已经将这些应用的支持固化在核心WEB应用当中,Screen支持广泛的文件共享,Unix和Windows,并且支持中文共享。对于特殊的应用,workConnect功能,相当于三层的通道,适用于几乎所有的IP层协议应用。例如Active模式的FTP,流媒体应用等。中心点按照我们的建议已经放置了支持IPSecVPN的防火墙,可以建立到分支点出口防火墙的VPN,ScreenSA设备支持HA功能。ScreenSA支持active-active的HA方式,不仅可以实现备份功能,更可以扩大容量,实现流量分担。Screen-Screen