远程移动办公安全解决方案.pdf

远程移动办公安全解决方案远程移动办公安全解决方案该方案特点：该方案特点：很多单位为解决远程移动用户（如：在外出差人员）的接入问题，在单位内部安装了“拨号服务器”（RAS）。远程移动用户可以通过远程拨号，接入到单位内部的拨号服务器后，进入内部局域网。本公司采用安全网关，通过 VPN 技术和 internet 技术相结合，提出了替代上述系统的最优解决方案。特别适合企事业单位对“拨号服务器RAS”系统的改造。方案概述：方案概述：1 1、目前网络的现状目前网络的现状XX 公司总部设置了拨号服务器。集团在全国各地设立分公司和办事处，通过拨号接入公司总部内网。分公司及办事处与总部之间通过内部的拨号网络沟通和交换信息。网络示意图如下：图图 1 1 目前的网络示意图目前的网络示意图2 2、目前网络系统存在的安全隐患和问题目前网络系统存在的安全隐患和问题2.12.1 安全问题安全问题目前拨号服务器是通过口令和密码识别拨入 PC，其口令和密码很容易泄露，一旦泄露，黑客可以仿冒内部用户通过拨号 server 进入公司内网，偷盗公司内部 XX。另外，拨号的 PC 与拨号 server 间传递的信息通过线明文传播，安全没有保障，能够从线路中窃取交流的信息。2.22.2 并发接入用户数限制问题并发接入用户数限制问题2/4受到拨号 server 的拨入 modem 数量限制，同时连入拨号 server 的用户数量有限，所以如果分部一多，就会出现大量的占线，拨不上拨号服务器的现象。2.32.3 带宽问题带宽问题受到拨号网络的限制，拨号带宽不会大于64K，所以只能满足一些小数据量的窄带业务需求。2.42.4 拨号话费问题拨号话费问题接入总部的拨号 server 必须通过网络拨号，必须支付话费，尤其是外地的公司，将要支付高额的长途费用。综上所述，如何很好地解决上述问题是本方案重点讨论要解决的问题。3 3、解决方案、解决方案该方案对原有网络进行较大幅度改造，主要考虑采用宽带接入，全面解决全面解决 2 2 中提到的中提到的 4 4 个问题个问题。公司总部最好有固定真实IP 地址（如考虑到费用问题，也可以选择便宜的ADSL 接入），采用本公司硬件安全网关 SGW25C-3。SGW25C-3 为 3 端口 100M 接入的高性能企业级安全网关，处于总部网络边界。对总部对总部 LANLAN 起到起到 FirewallFirewall 作用，对远程分支机构和移动用户可起到作用，对远程分支机构和移动用户可起到 VPNVPN 接入作用。接入作用。如下图。分部可用 ADSL 接入 Internet（解决拨号接入带宽问题解决拨号接入带宽问题）、或使用拨号网络接入Internet，从而和集团总部相连。根据分部网络的大小、预算等具体情况可采取不同的建设方案。具体来讲，分为两种情况：1对于一些较小的点往往只有几台机器上网或者只有一台机器需要和总部进行安全通信，可以采用安全客户端软件来实现。安全客户端是本公司配合安全网关开发的动态IP 主机安全接入内部网络的软件，该软件支持Windows2000/XP/98三种操作系统，配合SureID 使用，操作简单，使用灵活，对接入方式没有限制。在下一节中将详细介绍该产品。2对于一些规模较大的分部网络，如采用 ADSL 接入，推荐使用支持 PPPOE 的 SGW25B 安全网关，该安全网关支持 ADSL 接入，加密吞吐率可达到 6Mbps，完全可以满足 ADSL 接入的要求，另外有防火墙模块，可以做到基于状态检测的访问控制。分部和总部整体网络结构示意图如下：3/4办事处（安全客户端）拨号移动用户（安全客户端）Internet全隧道ADSL代理服务器（安全客户端）办事处1安安全隧道ADSL路由器WEB服务器隧安全道安全隧道SWITCHSGW25B安全网关（安全客户端）分公司n安全网关SGW25C-3PCMAIL服务器总部局域网PCBI服务器PC图图 2 2 全面改造后整体网络结构示意图全面改造后整体网络结构示意图在上图中，在 internet 和 intranet 接口处使用的本公司研制的“安全网关”SGW25C 就彻底地解决了上述问题。分支机构及其出差员工只要通过本地 ISP（如：163）拨号接入 internet，然后利用安装在其他机器上的“安全网关客户端”软件，就可以安全透明地通过与安全网关构成的加密隧道从internet上安全接入企业的内网，如下图所示：安全网关客户端当地ISP拨号INTERNET在外地出差的员工需要及时安全地与公司交流信息本公司安全网关公司总部加密隧道图图 3 3“安全网关客户端”使用示意“安全网关客户端”使用示意基于上述原因，在该方案中建议可以省去中心机方中的“拨号服务器”省去中心机方中的“拨号服务器”（如图 1 所示）。如果这些节4/4点通过拨本地公用网，连入 internet，再用“安全网关客户端”软件接入企业的专网，这样对于外地的机构就只需要交纳本地的费，不需要支付长途话费（解决话费问题解决话费问题）；同时不用投资建“内部的拨号 Server”，而且由于通过安全网关的vpn 隧道接入公司内网（解决数据传输安全问题解决数据传输安全问题），既安全，又不受拨号Server的并发接入限制（解决并发拨入限制问题解决并发拨入限制问题），可以让各个分支机构与公司总部之间保持实时连通和长期在线。5/4