XXX公司金蝶ERPVPN互连解决方案.doc

XX公司金碟ERP系统VPN网络互联接入解决方案规划书南宁市元光达计算机网络系统有限责任公司2010年6月9日一、需求及背景分析21世纪，企业面临市场全球化、全球信息化的新经济时代。新时代下，管理被提高到最重要的位置，只有借助管理，科学技术才能转化为生产力，科技和管理的共同发展，才能使经济得以快速发展。财务管理是企业管理的核心，财务管理的好坏，直接影响到企业的生存与发展。 新经济时代，由于企业生存环境的巨大变化，企业财务管理的观念、内容等都受到巨大影响与冲击。企业必须及时、准确、完整地掌握以财务信息为核心的管理信息，必须对企业内部的各种资源进行高度集中的管理、控制和配置，必须迅速地对各种经营管理方案做出科学的、符合企业价值最大化的决策。因此，建设一个高度 集中、实时监控的财务管理信息系统已迫在眉睫。1、实际应用需求根据XX公司现有的需求，外地有10个分点，需要连入总部服务器，保证移动用户传输数据的安全，考虑到以后扩展的需要，线路成本的不段增加。为节省成本，保证数据安全传输。（1）首先要保证整套网络设备的兼容性和稳定性，需要将总部与各分点安全、快速、稳定的连接；（2）网络要长时间稳定：能够在正常使用工作期间保持正常的使用，与各个分点使用的财务系统要能快速而稳定的响应，减少设备故障的发生频率以及维修的次数，预防可能发生的意外网络故障带来的时间延误；（3）确保信息的安全：财务数据是保密信息，如果在传输过程中数据被窃取和侦听所造成的损失是不可估计的。必须确保这些业务信息不易被有心人士或非法攻击网络等型式窃取数据或盗号。（4）操作简易性：考虑操作的简单性，分点人员且专业能力可能也不尽相同，因此在使用操作上最好能符合简易的特性，以方便不同地点的连机需求，实现简单化管理和快速化应用。（5）需要一定的可扩展性：针对未来扩展，网络建置就需要满足现在及未来几年，甚至更长时间的需求，以减少新旧设备的闲置和降低综合成本。（6）针对移动用户：要保证用户的远程接入总部服务器的安全，要限制用户，不能随便使用不安全的电脑，造成的病毒、木马入侵服务器，窜改公司数据，给公司带来不必要的损失。（7）能有针对性的管理某些网络应用，如BT、迅雷等P2P软件，提升带宽应用整体效能。（8）能有效防治病毒与网络攻击，尤其是网络泛滥的ARP病毒等，保障网络的安全。（9）能实行简单化的网络管理，达到硬件与应用系统的扩充方便、减少网管工作量等目的。（10）能提供及时而有效的技术支持，确保即时出现的故障与技术难题得到快速充分的解决。2、VPN网络的相对优势传统的企业多点网络互联都是采用DDN专线。但是，VPN以其可以利用公网资源，建立安全、可靠、经济、高效的传输链路的特点引起了人们的广泛注意。如果连锁企业建立VPN网络，可以在广域网环境下传递各种数据报表，建立和局域网环境下相同的多种应用，包括分布式OA、ERP、CRM、财务管理系统等等。另外，企业可通过VPN开展远程VoIP电话、远程视频会议、远程视频监控等。因此，基于总体成本、当前应用和未来扩展三个方面的最优化考量，建置VPN网络才是企业的最佳选择方案。二者的主要优缺点比较如下：l VPN成本投入更小：DDN专线不仅需要每月支付昂贵的专线租用费用，而且在初期要一次性投入路由器的费用；VPN网络设备一次性投入，而且ADSL宽带资费比专线费用低廉得多，长期看来大幅度节省成本。 l VPN线路带宽更大：DDN专线由于价格昂贵，一般租用的带宽都比较窄，一般不超过 2M，若是数据应用项目过多，就会很明显的出现带宽不足的情况；VPN网络使用xDSL或光纤等宽带接入方式，如ADSL，带宽一般在1100M之间，带宽资源的可用性比专线更佳，使各地网络之间的数据传输更快。l VPN安全性更佳：VPN网络中的数据传输是经过特殊加密的，VPN数据包在因特网中传输时，因特网上的用户只看到公用的IP地址，看不到数据包内包含的专有网络地址，黑客无法对其进行窃听和攻击。若是新型的SSL VPN网络，由于它有着极其细致、严格的使用者权限控制，访问远程服务器的用户，必须经过帐号的身份确认。因此，数据的安全性可以得到更好的保护。l VPN扩展更方便：DDN专线网络的扩展性非常依赖ISP，缺乏应用扩展的灵活性和方便性；VPN网络线路基于 TCP/IP 技术，接入方式灵活，只要连上互联网，利用多WAN的特性，网络带宽与硬件升级扩展都非常的灵活和方便。 l 用户支持方面：DDN专线只支持内部局域网络用户的使用，不支持离开局域网的移动用户远程接入应用；VPN网络不仅支持内网用户，还能便利的支持远程移动用户的安全使用，如异地出差使用，外地办事处等。除了以上的比较，许多专用网对许多新兴应用准备不足，如那些要求高带宽的多媒体和协作交互式应用。VPN则可以支持各种高级的应用，如IP语音，IP传真，还有各种协议，如RSIP、IPv6、MPLS、SNMPv3等，而且随着网络接入技术的发展，新型的VPN技术可以支持诸如ADSL、Cable Modem之类的宽带技术。根据VPN网络的以上优势，知名的网络设备厂商Qno侠诺科技，为其规划了一套高性价比VPN网络应用方案，具体内容如下所述。二、VPN网络接入解决方案1、Qno侠诺科技简介Qno侠诺科技自2004年创立品牌，以雄厚的研发团队实力， 因应企业带宽管理等网络需求，率先开发出一系列新一代网络安全设备。Qno诺产品力求安全(Secure)、 快速(Speedy)、 简单(Simple)的“3S”理念，强调极简的操作设计风格，可同时兼具快速、安全的网络质量。Qno侠诺秉持3S理念所开发的全系列创新网络技术，已帮助全世界无数企业网管，使用更智慧、更精简的方式进行网络管理工作，同时提升企业网络传输速度，并加倍企业网络安全防护。由于过硬的产品性能和良好的售后服务质量，在短短几年间，Qno侠诺已荣获无数IT大奖的肯定，迅速成为中小企业心目中最理想的网络设备品牌之一，并已连续4年蝉连全中国网络设备关注度前十大品牌之一，是成长速度最快的SMB网络设备厂商。2、VPN网络接入方案（1）网络拓扑图设备采用VPN接入方式解决方案总部：QVM450 双WAN VPN防火墙分点：QVM250 双WAN VPN防火墙IPSEC总部采用的设备都是可以接入多条ADSL或者是光纤。考虑分部分布在不同的地方，各分部接入可能是联通、电信。为了保证连机速度，可根据情况，在总部申请一条电信，一条联通线路，以保证VPN连机速度。在总部设备上进行配置，保证服务器的带宽，限制其他用户的流量、关闭病毒网站、限制谁可以上网谁不可以上网等权限控制。在总部设备上实现对所有分部客户端的限制，只允许分部的某些人可以连入VPN，杜绝非法联机，接入内网。分点采用，世界上最安全的IPSEC加密方式进行联机，以保证数据传输过程中的安全。需要重点提出的是，此方案中，IPSEC VPN的应用主要能为企业带来以下两个效用：IPSEC VPN提供微软终端、远程桌面、VPN网络等信息远程共享服务。中心端网管根据远程用户不同的身份，划分不同的群组，以设置权限区隔，达到保护机密信息资源的目的。1. 外点用户通过IPSEC VPN快速而方便的登陆企业内网，对内网用户做规则限制，节省维护成本。2. 对于外点人员的网络访问权限，可做到细致的划分与区隔，预防数据泄露等安全事故的发生。对于单位的财务数据、机密资料等，针对不同人员不同权限，可做到网络资源的权限控制，防止因为数据窃取、肆意篡改、恶意攻击等不发操作造成不可估量的损失。3、VPN方案总体特点：稳定：硬件水平上，侠诺产品具有的专用网络设备处理器、大容量内存，结合足够的带机量预留空间，可保证整个系统长时稳定运行，而不会发生宕机、死机等现象，从而不会影响到ERP数据下载、VoIP语音，财务帐目结算等正在进行的应用；应用功能上，线路备援功能的使用，在多线路情况下即使其中的一条网线发生掉线，另一条线路可达到自动连接的效果，丝毫不会影响线路持续运行的稳定性；支持指定路由功能，可通过协议绑定，将特定的服务或应用绑定在指定的端口，如WEB走WAN1，MAIL走WAN2等等，加速访问速度，进一步保障网络的稳定性。快速：侠诺产品都具有多WAN特性，可同时采用多条带宽资源，而且可以将多线路的带宽资源进行叠加，使原有的一条线路带宽成倍增加，结合QoS带宽管理的功能应用，因此可保证大规格的数据报表、图形资料、视频资料等快速传输，节省时间，提高效率；同时，侠诺独有绿色通道加速技术，小包转发效能大幅增长，针对正常的网络包再另开绿色通道快速通过，发挥全力加速的作用，在加速的同时也确保了内部网络安全。安全：对于像财务资料等机密信息，其产品内置的防火墙功能，在控制内部人员的网络应用权限和服务器资源的基础上，还可有效防制各式黑客、蠕虫病毒等攻击，确保内网的数据安全。除此之外，若采用侠诺的IPSEC VPN，在数据传数过程中采用3DES等方式来加密，保证数据在传输过程中的安全，通过VPN的防火墙的严格的规则限制，可以防止内部资料的意外泄露，也大大减少黑客的恶意攻击，确保整个VPN网络的安全性。简便：当今讲求效率的时代，路由器也需要提供简易配置好管理的配置接口设计，让网管由繁复工作中解放。侠诺产品配置界面都是中英文显示，采用Web浏览器即可以直观的中文进行配置，没有太多网络知识的网管人员也可轻易进行配置。即使是不懂网络的人员，经由简单的培训，也可进行操作。即便是出现设置及技术上的难题，侠诺专业的技术工程师也可通过远程功能，轻松帮网管搞定。4、产品的功能特色（1）IPSEC VPN：IPSEC VPN 是世界公认的最安全的，采用DES、3DES等加密式，来保证数据传输的安全性。每隔一定时间自动换KEY，让黑客无法破解。（2）SmartLink简化IPSec设定：侠诺考虑“XXX”企业以后的扩展，分点机构的增加，即便是专业网管也会对IPSec多达20几个步骤的设定往往感到太过繁杂，因此提供独创的SmartLink设定功能，将大部份的设定参数交由VPN网关自动完成，只需要输入服务器IP、使用者名称、以及密码三个参数，就能立刻建立IPSec连机设定。同时具备中央控管的功能，当分点出现设定或其它技术的困难，可由中心端直接进行分点各项功能控管，省去网管必须来回奔波的麻烦。此外，SmartLink还有两个强大的功能，第一个是支持VPN Hub功能，可以让各分点之间，透过总部中心端实现互联互通，不需建立独自的联机，有效降低成本。另一个是VPN线路备援机制，为了避免一旦出现互联网联机掉线时，VPN隧道也随之失去联机稳定性的风险，可先预设定另一个WAN端口为备援，一旦断线可立刻经由备援WAN口重新建立VPN联机，实现VPN服务不断线的目的。（3）强大防火墙安全功能：多半网络面对来自外网的诸多病毒、或是财务账号意外泄露、计算机被非法使用、恶意的内网攻击等带来的损失，都不容小觊。目前来说，最多的攻击形式仍以ARP攻击居多，Qno侠诺QVM系列 VPN防火墙设备都具有内建的防制ARP功能，搭配IP /MAC双向绑定，在路由器端以内网PC端进行IP/MAC绑定，即可达到防堵ARP无漏洞的效果。Qno侠诺考虑要绑定全部工作人员PC端的IP/MAC有一定的难度，因此Qno侠诺近期也提供免费的ARP自动绑定软件，可让工作人员有针对性的选择套用绑定程序，达到双向绑定的目的。（4）QnoKey IPSec 客户端密钥：在移动用户上，若要采用传统的IPSec VPN连机，更加容易发生无法应付设定繁复的弊病，对于分秒必争的出差业务人员而言，可以说是非常不方便的。基于此，只要插入一把U盘大小的QnoKey，输入用户名及密码，即可自动执行相关设定，立即连机总部。同时，QnoKey具有遗失保护措施，当出差外地的人员不小心遗失QnoKey时，可自动清除相关数据与参数并阻挡连机总部，避免企业机密资料，遭受有心人士窃取。（5）多WAN保证联机质量：企业扩展，在总部与分点机构所采用的侠诺VPN设备，都是多WAN口的设计，在接入双线的前提之下，同时也成就了VPN带宽保证，更加稳定VPN的连机质量。原理在于侠诺VPN设备可透过协议绑定，将VPN所有应用服务绑定在指定的端口，让一般上网的应用服务只能从VPN指定之外的端口进出，而不能占用VPN指定端口的带宽，进一步保障了VPN连机的优先权与稳定度。（6）支持动态IP环境：为了让连机质量不会随着动态IP而不稳定，必须采用动态DNS域名解析服务，才可解读并将要求转送到对应的服务器。而侠诺VPN设备可支持多种动态DNS域名解析服务类型，如QnoDDNS、3322.org、 DynDNS等，只要到这些免费网站进行登记即可使用。此外，为了避免某个动态DNS发生问题，VPN会随之断线的可能性，侠诺也在单一WAN口上设计多种动态DNS相互备援的功能，这样下来即使某个动态DNS产生问题，也可以自动立即采用其它的动态DNS继续进行服务，进一步增强了VPN连机在动态IP环境下的稳定性。（7）带宽运用灵活方便多WAN接入：支持带宽汇聚，多WAN口接入，提供弹性配置运用，可以多条ADSL取代光纤，汇聚线路增加带宽，满足一些XX药业申请多条线路的需求。自动线路备援，一条线路掉线，会自动改用另一个WAN端口的线路连接，确保联机不掉线。支持智能线路、指定路由等负载均衡模式，优化对外带宽使用，提高资源利用率。侠诺二代、三代电信网通策略路由，自动分流电信网通线路流量，避免发生跨网带宽受限、联机速度很卡的问题。（8）智能QoS管理：全中文化配置界面轻松完成网络设置。可以设定联机数、关键字、最大或最小带宽等方式，管控带宽。侠诺独有的Smart QoS智能型带宽管理功能，简化用户配置，自动针对实际网络带宽使用情况管控带宽占用，有效的控制用户越权占用上/下载带宽资源，可设置启用时间及流量门槛，自动启动智能QoS，达成最大带宽使用率。可设置带宽使用优先级，保障重要人员或应用服务的带宽需求优先畅通。可依据IP或应用服务连接端口分配带宽或设定优先顺序，优先传送重要信息数据不致延迟，网际网络联机使用更有效率。 （9）VPN速度的保证VPNQOS功能：因内部用户大量的下载或者乱占用带宽，造成VPN访问速度变慢，这时就需要VPNQOS功能，来保证VPN数据的传输速度，VPNQOS可以根据不同服务来保证不同的带宽。（10）防止病毒扩散虚拟局域网VLAN：VLAN可以将内部网络划分为不同的局域网，如办公区，服务器区等以进行特定的管理、局域网间的隔离和防止广播风暴。网管可依局域网络端口划分逻辑网段，在同一个网段内的成员(在同一个VLAN局域网络内)可互相沟通并看得到对方，若不在同一个VLAN群组内的成员则无法得知其它成员的存在，保证用户访问隔离。各个虚拟区域网络广播包互不相通，限制病毒与无用信息流通，有效避免广播及病毒封包迅速扩散全网，降低感染区域。（11）扩展性强：由于未来还有进一步扩张规模的计划，因此非常担忧设备面临不堪使用而被淘汰的问题。侠诺终身提供免费软件升级服务，及时的更新功能。QVM450，最大支持200条IPSEC，还支持硬件KEY 和软件KEY，支持2WAN保证了增加线路的需求，如增加一电信，一网通等，可以满足以后的扩展需要。5、产品简介侠诺QVM450 VPN防火墙 1、主机型号：QVM4502、系统采用NP架构，CPU为533MHz RISC高效能网络处理器，双向转发速率200Mbps，可支持50，000个联机数3、同时支持2条宽带线路，2个百兆WAN端口，8个百兆LAN端口，同时支持带宽叠加、负载平衡、线路备份及电信网通策略4、智能均衡技术，多线接入时，自动识别会话数的出口线路5、独有绿色通道加速技术，小包转发效能数倍增长6、虚拟绕径功能，可借用外网其他ISP线路，提高速度7、支持主动式封包检测(SPI)、DoS等，具备短包、碎片包、ICMP、SynFlood、TCP/UDP过滤等防御功能8、具备ARP攻击防御能力，智能双向ARP绑定功能9、一键封QQ功能，支持QQ号码和IP排除功能10、电子布告栏功能，可随时发布即时消息11、动态智能QoS带宽管理功能，轻松解决BT、P2P及视频影片下载等滥用带宽问题12、超强联机数控制，可对TCP、UDP进行分别控制，还可以进行二次惩罚，针对IP、服务端口进行排除。13、IP对应和虚拟服务，IP与MAC地址绑定14、虚拟局域网VLAN15、支持QnoDDNS、以及其它3322/DynDNS等动态名称解析服务DDNS16、支持硬件连接端口镜像Mirror Port配合侠诺专业版软件，随时掌握内网用户上网行为、应用程序与网络流量等，并对其进行监控，作为采取网络管理策略的参考。弹性监控/分析内网用户的上网行为可记录IM软件，如：MSN、Yahoo Message、Google Talk、QQ2006/2007/2008(TM除外)等的聊天软件与内容、企业Mail的内容、浏览网页记录、FTP与Telnet的流量与内容、 P2P流量等，还可针对特定群组或个别用户做监控、分析、统计 17、支持IPSEC 200条，支持VPNQOS功能18、支持PPTP 60条，支持PPTP分配指定IP功能19、支持软件KEY、支持硬件KEY20、支持VPN群组、QVMVPN21、VPN备援、VPNHUB、VPN 透通22、支持对内的负载均衡，可以自动识别，外来用户是电信就从电信进入，是联通就从联通进入，从而大幅提高访问速度。23、提供SNMP网管及系统日志SYSLOG功能24、支持电子邮件告警事件内容25、全中文的网页配置及管理画面26、支持远端WEB系统管理27、双电源回路设计，优化耐候及抗电源不稳能力，19寸标准机柜尺寸产品型号QVM450硬件规格CPU处理器 Intel IXP425 533MHz RISC Flash快闪 16MB (128Mbit) DRAM内存 64MB (512Mbit) 网络界面广域网络WAN端口 2 非军事区DMZ端口 1 (WAN2/DMZ) 局域网LAN端口 8 处理效能绿色通道加速 联机数Sessions 50,000 防火墙效能 双向转发200Mbps VPN效能 3DES/90Mbps 线路备援/负载平衡线路备援 线路联机俭测 联机数负载平衡 IP负载平衡 策略路由 虚拟绕径 广域网络端口连接型态DHCP自动取得IP位址 指定IP地址 ADSL PPPoE设定 PPTP设定 透通桥接模式 DHCP服务器自动配发IP数量 Class C IP & MAC地址绑定 MAC位址控制 QoS带宽管理动态智能带宽管理 保证带宽 最大带宽 优先顺序 IP群组管理 联机数量控制 防火墙Firewall智能双向ARP绑定 SPI/DoS俭测 黑客攻击日志 网络存取管控规则 上网管控 Java/Cookies/ActiveX/HTTP Proxy管制 一键封QQ、MSN、SKYPE IP过滤 服务端口过滤 虚拟私有网络VPNVPN隧道数 最多200 认证功能 MD5/SHA1 加解密功能 DES/3DES/AES IKE Key Management VPN透通 VPN备援 VPN Hub 群组式Group VPN NAT穿透 (NATT) QVM服务器(远端中央控管) QVM用户端 QnoKey IPSec用户端金钥 PPTP VPN服务器 最多支持60个用户端 网络位址转译NAT一对一NAT功能 PAT端口位址转换 虚拟服务器功能 UPnP通信协议 IP路由通信协议静态路由 动态路由RIPI/II 动态功能变量名称解析服务DDNSQnoDDNS. 3322/DynDNS 支持单一WAN端口同步更新设置 端口管理功能端口配置 端口状态即时显示 虚拟区域网络VLAN 硬件端口镜像 系统管理电子白板 监控软件系统软件在线升级 网页管理功能 SNMP网络通信协议 系统组态参数文件备份/回复 系统自我检测功能 系统日志/在线即时监看系统防火墙日志 电邮告警功能 系统流量状态显示 SNMP Trap 侠诺QVM250 1、 主机型号：QVM2502、同时支持2条宽带线路，2个百兆WAN端口，3个百兆LAN端口，同时支持带宽叠加、负载平衡、线路备份及电信网通策略3、智能均衡技术，多线接入时，自动识别会话数的出口线路4、支持主动式封包检测(SPI)、DoS等，具备短包、碎片包、ICMP、SynFlood、TCP/UDP过滤等防御功能5、具备ARP攻击防御能力 6、一键封QQ功能，支持QQ号码和IP排除功能7、QoS带宽管理功能，轻松解决BT、P2P及视频影片下载等滥用带宽问题8、超强联机数控制，可对TCP、UDP进行分别控制，还可以进行二次惩罚，针对IP、服务端口进行排除。9、IP对应和虚拟服务，IP与MAC地址绑定10、虚拟局域网VLAN11、支持QnoDDNS、以及其它3322/DynDNS等动态名称解析服务DDNS 12、支持IPSEC 10条13、支持PPTP 10条14、VPN备援、VPNHUB、VPN 透通15、提供SNMP网管及系统日志SYSLOG功能16、支持电子邮件告警事件内容17、全中文的网页配置及管理画面18、支持远端WEB系统管理19、强效防火墙功能，对用户进行管理20、双电源回路设计，优化耐候及抗电源不稳能力产品型号QVM250硬件规格CPU处理器网络专用处理器Flash快闪8MB (64Mbit)DRAM内存32MB (256Mbit)网络界面广域网络WAN端口2非军事区DMZ端口1 (WAN2/DMZ)局域网LAN端口3处理效能联机数Sessions5,000防火墙效能双向转发20-30MbpsVPN效能3DES/5Mbps线路备援/负载平衡线路备援线路联机俭测联机数负载平衡IP负载平衡策略路由广域网络端口连接型态DHCP自动取得IP位址指定IP地址ADSL PPPoE设定DHCP服务器自动配发IP数量Class CIP & MAC地址绑定MAC位址控制QoS带宽管理保证带宽最大带宽优先顺序联机数量控制防火墙FirewallSPI/DoS俭测黑客攻击日志网络存取管控规则上网管控Java/Cookies/ActiveX/HTTP Proxy管制一键封QQ、MSN、SKYPE一键封QQIP过滤服务端口过滤虚拟私有网络VPNVPN隧道数最多10认证功能MD5/SHA1加解密功能DES/3DES/AESIKE Key ManagementVPN透通VPN备援群组式Grou