中国联通移动办公方案要点.doc

中国联合网络通信有限公司长春市分公司 中国联通移动办公（移动VPN）方案要点中国联通移动办公（移动VPN）方案要点系统部署图1 VPN系统示意图运维及效果目前，这套系统已经在联通内部获得广泛应用。因为申请使用方便，当前用户申请开户数达4700多人次；图3 用户申请及开户流程其流量统计如下：图4 VPN-A实际流量统计对于员工来说，只要有互联网，就可以随时随地访问公司资源：无论是出差途中或在家里。不仅可以提高工作效率，同时也在一定程度上有助于平衡工作和家庭生活。而对于公司来说，员工可以随时在酒店、机场等地接入公司内网，将由于客观原因导致内部响应和客户响应速度下降的影响降至最低，同时也为公司节省了大量往返当地办事处所要花费的时间和交通成本。且访问安全得到了保证，不必担心敏感数据在Internet上被截获，加上客户机上缓存可以被及时清除，公司就不会因数据泄露而造成损失。另外，值得一提的就是解决方案的自身实践，可以更好的为相关设备的开发提供重要的补充，让H3C远程接入解决方案日趋丰富与完善。建设推广对于大型分支机构，通过GRE+IPSec VPN的方式接入，GRE承载OSPF，实现大型分支机构和总部的统一路由信息发布，方便管理。对于中型分支机构、合作伙伴，通过IPSec VPN接入保证传输安全。而对于移动用户和SOHO用户，则通过免客户端的SSL VPN的方式进行接入，SSL VPN支持本地、Radius、LDAP、AD、证书、双因素等多种认证方式，可以在无线、拨号、LAN、Proxy、NAT等各种环境下，随时随地安全接入。图5 远程接入建议部署图总结下来，SSL VPN比较适宜应用在接入点分散、不固定，接入终端种类多样的场合，以及为了降低部署成本、降低维护成本的场合。典型的应用场景如下：移动办公、家庭办公和小型分支。附：H3C SSL VPN解决方案特点包括SSL VPN在内的所有H3C远程接入解决方案均由安全接入网关和安全管理平台组成。SSL VPN接入网关方面，目前H3C产品形态有三类：集成SSL VPN模块的防火墙产品SecPath F系列，专用的VPN网关产品SecPath V系列和SecBlade SSL VPN插卡系列；而安全管理平台则采用H3C 分支网点智能管理系统（后简称BIMS）实现众多SecPath防火墙或者VPN网关设备的统一部署、监控、管理。H3C SSL VPN解决方案的特点如下：1. 提供由低端到高端的全系列移动接入解决方案。例如要求提供一站式全面接入安全保障的中小型企业，可以选择SecPath F系列或SecPath V系列，在一台设备上可同时实现SSL VPN、IPSec VPN、GRE VPN、L2TP 以及VPE（VPN+PE）技术，这样一来可以满足分支机构、合作伙伴和移动用户同时访问的需求，同时结合本身的防火墙功能可以实现全面的接入安全；而对于大型企业客户，要求移动接入中更高的性能和并发连接数，则可以选择SecBlade SSL VPN插卡，采用多core CPU和硬件加解密引擎的方案可以提供卓越的软硬件平台。2根据远程接入安全性、可控制性的差异化需求，提供Web、TCP和IP 等多种不同的接入方式，实现对用户访问的URL、文件目录、服务器等资源的细粒度控制。支持主流的认证和外部授权平台，包括本地认证、Radius、LDAP、AD、RSA SecurID和第三方PKI认证等。全面NAT应用支持：提供多对一、多对多、静态网段、双向转换、Easy IP和DNS映射等NAT应用方式，支持NAT多实例，支持多种应用协议正确穿越NAT。3统一安全管理：结合管理软件和SecCenter硬件设备可实现远程接入的统一部署、监控、管理和整网安全管理。通过BIMS软件可以实现统一系统软件升级、策略集中下发