虚拟专网使用手册

1、精选文档精选文档PAGEPAGE87精选文档PAGE虚假专网使用手册V2.0北方电信有限企业2006年3月虚假专网使用手册目录前言3第1章系统归纳31.1客户需求31.2功能定位31.3系统特色41.4产品优势5第2章产品功能介绍52.1整体功能介绍5第3章DLAN虚假专网安装及使用63.1网关模式（MDLAN）的安装置置63.1.1功能描述63.1.2基本配置73.1.3虚假专网控制台113.2挪动模式（PDLAN）333.2.1如何安装333.2.2基本配置343.2.3虚假专网控制台373.3虚假专网的使用423.4防火墙的安装及使用433.4.1如何安装433.4.2基本配置44第4章

2、系统运转环境56-1虚假专网使用手册-2虚假专网使用手册前言商务领航之“虚假专网”平台是中国电信为帮助中小企业走进E时代而量身打造的一套高效、便宜的挪动办公应用平台。经过该平台，企业出差人员或者总分企业之间，只要能上网就可以随时接入企业总部，来使用总部内网的资源。第1章系统归纳1.1客户需求企业常常有人员在出门差或在家办公。企业在异地有做事处。企业在异地有分企业。企业的办公室和工厂或库房不在同一个地点。企业有自己的当地局域网，并且出差人员和异地办公人员需要接入企业本地局域网。假如您真的碰到上述问题，哪怕是此中的一个，那我们想提示你，信息时代还有其余更加快捷、廉价的方案等候您去做出选择。1.2功

3、能定位虚假专网是北方电信为有异地网络互联需求的用户量身定做的一项业务。该业务主要由高效安全的VPN模块、企业级包过滤防火墙模块和接见控制三个模块构成。主要功能：虚假专网的VPN模块为用户进行异地网络的安全互联，启动防火墙模块后，该模块可以保护使用虚假专网业务的企业内网免受来自外面网络的攻击，而接见控制模块可以针对远程接入用户设置不一样的接见内网的权限，并且该权限可以细分至内网每台PC的每个服务。其余功能：虚假专网还拥有NAT代理上网功能，并且可以对经过该软件上网的PC进行上网控制。-3虚假专网使用手册QOS功能：经过对接入用户的IP和端口的控制，从而使不一样的接入人员的数据报拥有不一样的优先级

4、，从而保证重要业务的优先送达。硬件鉴权功能：该功能可以保证杜绝非法用户接入，用户从接入电脑上通过虚假专网软件导出一个硬件证书，该证书包含本PC的硬盘、CPU和网卡三者的信息，三者信息都为全世界独一。后把此证书传输到网关端，和该PC所使用的用户名和密码绑定，经过该项功能的设置，该台PC的用户名和密码即使被非法盗取，因为接入PC机的硬件信息和绑定的不一样而拒绝接入。从而杜绝了非法用户接入。虚假专网业务包含两各种类的软件，分网关端软件（安装于企业内网）和挪动端软件（安装在出差人员的电脑）。1.3系统特色保护原有投资，无需增加任何硬件设施；无需改动原有应用系统和网络结构；支持各种上网方式，如ADSL/

5、ISDN/宽带/Modem；支持动向IP寻址；支持Windows98/NT/2000(SP2orabove)/XP系统操作系统；支持NAT（网络地点变换）和DMZ端口转发功能；自定义VPN网络拓扑，可成立企业的星形与网状VPN网络结构；接入用户供应用户名和机器硬件信息进行绑定，杜绝非法用户的接入供应更认真的权限粒度，对接入的用户名进行了权限设定，不一样的用户拥有不一样的接见权限，业务权限划分，了如指掌。完美的QOS划分系统，不一样的内部服务对应不一样的带宽，保证重要业务的优先送达。总部多子网支持，可以实现接入端对总部多个子网的同时接见。集成企业级包过滤防火墙，可对TCP/UDP/ICMP等数据

6、包进行监控、分析、检测，防范外面黑客入侵企业网络，并可灵巧限制内部上网通道；高级加密标准AES加密方式，保证中间数据传输安全，即使被中间-4虚假专网使用手册截获也不会泄漏任何信息。改进的IPSEC协议，数据压缩传输，更充分利用现有网络资源。IP&MAC地点绑定功能，保证对内网上网用户的合理控制。1.4产品优势先进的应用技术开发平台，保证系统在技术领域的先进性中国电信宏大的网络支撑队伍保证用户使用的是靠谱的网络，所有数据传输均采纳严格的加密形式进行流传，使得商业数据更加安全、高效7x24小时电信级的完美售后服务系统，“虚假专网”的用户可以获取持续的客户服务和程序升级等增值服务程序设计以人为本，无

7、论是初级用户还是高级商业客户，都可以迅速地熟悉并操作“虚假专网”第2章产品功能介绍2.1整体功能介绍-5虚假专网使用手册使用虚假专网可以让企业总部与挪动用户、分企业的局域网轻松实现安全互联。本来只好用于单一局域网网内的系统也许功能，可以扩展到多个局域网中，实现企业数据和信息的同步一致，增加企业的工作效率，提升竞争力企业老总或各级主管在出门差时可随时接入企业内部局域网，盘问所有相关的财务等重要信息和收发内部邮件，也可以及时发送信息回企业总部，实现挪动办公，保证工作效率。第3章DLAN虚假专网安装及使用3.1网关模式（MDLAN）的安装置置3.1.1功能描述-6虚假专网使用手册运转MDLAN的安装

8、程序，出现以下画面,选择下一步，出现安装目录选择界面，选摘要安装到的目录。一般状况下采纳默认设置即可：接下来会安装网络驱动程序，要求断开adsl或modem拨号连接，同时关闭网络应用程序：安装达成后，要求重新启动计算机.重新启动计算机后，就可以启动MDLAN，经过控制台或配置导游配置MDLAN。3.1.2基本配置MDLAN初次启动时，会自动弹出导游配置窗口，依据导游进行以下配置。也可以经过“工具DLAN配置导游”进入配置导游界面。-7虚假专网使用手册配置网卡：配置网卡时，需要配置内、外面网网卡。ADSL直接拔号上网时，外面网卡选择虚假的拔号网卡；经过宽带（NAT）双网卡上网时，外面网卡选择连接

9、外网的网卡；单网卡上网时，外面网卡和内部网卡都选择内网的网卡。选择内部网卡后，内网IP地点和子网掩码会自动映照过来，或依据实质的IP和子网掩码做相应的改正。-8虚假专网使用手册配置帐号和密码：虚假专网帐号和密码是北方电信分配的用来登录目录服务器的。每一个企业的每一个网关和挪动用户都会被分配一个独一的帐号名和密码。网关和挪动输入了正确的帐号和密码后，就可以在目录服务器上达成帐号考据和地点交换，成立网络通道。当MDLAN拥有Internet上的合法IP时（如ADSL拨号获取的动态IP），表示MDLAN直接Internet。当MDLAN采纳大楼宽带上网，获取的是宽带内部IP，表示MDLAN非直连In

10、ternet，选择相应的设置项即可。-9虚假专网使用手册可点击“测试”按钮，来检查该帐号密码能否设置正确，目录服务器能否工作正常。点击“下一步”，出现以下界面，基本配置结束。-10-虚假专网使用手册3.1.3虚假专网控制台DLAN网关模式控制台主要分三大部分：系统信息控制台，MDLAN控制台，防火墙控制台。系统信息控制台：系统信息控制台：主若是用来管理和监控整个DLAN产品，它包含两个选项，系统配置和控制台管理。系统配置用来系统正常运转所需配置的基本信息，包含内、外面网卡的选择，内网IP地点和子网掩码的设置。在“DLAN配置导游”中已经有这部分内容的配置。-11-虚假专网使用手册控制台管理用来

11、设置DLAN控制台的相关属性。控制台与DLAN的各功能模块是独立的，如DLAN连接模块、防火墙模块、NAT模块，都可以在控制台不启动的状况下正常运转。可以在该界面中选择控制台及各功能模块能否开机就自动运转。同时可以设置进入主控台的密码，保证只有知道密码的管理员才能进入主控台进行管理和配置。可以点击“更正”按钮设置新的密码。-12-虚假专网使用手册DLAN支持对配置信息的备份和回复，点击相应按钮、可以将配置好的信息备份，备份时可以对备份文件设置密码、以保障安全性。-13-虚假专网使用手册系统重新安装时，可以将配置信息恢复过来。所有的配置项改正后，都一定点击“设置奏效”按钮，才能使改正的配置项起奏

12、效。-14-虚假专网使用手册MDLAN（虚假专网）控制台：MDLAN控制台供应了对DLAN虚假专网服务的设置、管理和状态显示。下图为虚假专网软件运转状态界面，显示了虚假专网服务当前的运转状态、接入的节点信息，并供应了启动或停止服务的操作按钮。-15-虚假专网使用手册接入的节点状态包含以下信息：当前接入节点的用户的名称，种类（网关或挪动），接入节点的互联网IP（InternetIP），接入节点的内部网IP，接入时间指网络节点接入系统的时间。MDLAN控制台详细的功能包含以下部分：（1）虚假专网帐号和密码设置：虚假专网帐号和密码是用来登录北方电信的目录服务器的。在“DLAN安装导游”中对该选项已经

13、进行了配置。-16-虚假专网使用手册（2）连接收理：在此选中想要连接的用户（网关），本网关才会去连接选中的网关，若没有-17-虚假专网使用手册选择网关，则此网关不会去连接任何网关。（3）用户管理：管理员可以在这里设置同意接入本网的用户账号、密码，设置能否需要对硬件证书进行认证（ID鉴权），设置加密算法种类（缺省为AES），以及能否启用虚假IP。只有切合管理员设置条件的用户，才可以接入本网。每一个用户对应一个网关或挪动，所有的用户都是在北方电信处开户并同步到虚假专网客户端的。DLAN供应了用户管理功能，以便于管理员管理用户。第一选中一个用户，点击“更正”按钮，打开用户管理界面。选择加密算法。若没

14、有启动鉴权可以不选择证书文件。对于挪动用户，还可以选择能否启用虚假IP。假如为该用户分配一个虚假内网IP地点、则该用户接入后，会使用这个IP作为虚假的内网IP地点。假如虚假IP设置为0.0.0.0，则系统会自动为该用户从虚假IP池中随机分配一个内网IP地点。假如不启用虚假IP功能，局域网内的其余用-18-虚假专网使用手册户就没法接见该挪动用户。对于挪动用户，只好启用主连接的网上邻居。以以下图：（4）虚假IP池设置：虚假IP是指由网关（MDLAN）指定网关悠闲的一段IP作为挪动用户接入时的虚假IP池。当挪动用户接入后，分配一个虚假IP给挪动用户，挪动用户对网关的任何操作都是以分配的IP作为源IP

15、、就完整和在网关局域网内相同。比方使用虚假IP的挪动接入后，可以接见网关局域网内的任何一台计算机，即使该计算机没有把挪动指向网关（MDLAN）；可以为接入的挪动用户指定DNS等网络属性。配置虚假IP的步骤：1、创办虚假IP池，虚假IP池中的IP是总部悠闲的IP。2、指定挪动用户使用虚假IP。假如设置虚假IP为0.0.0.0表示自动分配虚假IP，当挪动用户接入后，MDLAN从虚假IP池中选择一个悠闲IP分配给挪动。也可以为挪动用户指定虚假IP（比方与该挪动用户在局域网内的内网IP一致作为虚假IP）。-19-虚假专网使用手册（5）多子网设置经过DLAN的多子网功能，挪动可以接见到各网关的多个子网。

16、比方，有两个子网（172.16.0.x；10.0.0.x）已经互通。经过配置两个网关的多子网，可以使得挪动能经过DLAN接见两个网络。配置多子网的步骤：1、在“多子网设置”里配置需要互联的子网；2、在“路由设置”里为需互联的子网设置路由；3、为挪动用户创办虚假IP池，并指定挪动用户使用虚假IP。-20-虚假专网使用手册（6）路由设置：局域网内部的计算机假如需要加入虚假专网网络、被其余的节点接见，则一定将网关设置为安装DLAN的计算机。这时，所有的IP数据包第一是经过DLAN的过滤条件进行考据。假如IP包不是发往网关或挪动的IP包（比方是接见Internet网页的数据包），则对此IP包需要进行路

17、由办理，依据路由表的设置，将此IP包经过指定的网卡发送到设定的网关。比方，某局域网经过一个共享上网器接入互联网，又在局域网内的一台计算机上安装了DLAN。局域网内的其余计算机本来是将网关设置为共享上网器，但需要和其余节点成立网络连接、又一定把网关改为DLAN。假如不启动路由功能，则局域网内的计算机就没法正常上网（如阅读网页、收发邮件等）。启用路由功能以后，DLAN路由模块会将相应的数据央求转发到共享上网器，使得局域网内的计算机可以正常的上网。-21-虚假专网使用手册网络号和子网掩码确立目的IP（网络号和子网掩码都是0.0.0.0表示缺省路由）。网关IP为直接上网的设施内网IP地点，接口网卡指本

18、机与网关设施联网的网卡。注意：1、任何改动（包含启用路由、禁用路由）都一定按设置奏效按钮后才保存结果；2、更换网卡后，或更换本机内部网IP后，用户一定重新生成路由表。不然会以致本机没法上网。3、在增加路由表或更正路由表时、一定保障本机与网关的通讯正常。因为一按确立按钮，程序会自动去取设定的网关IP对应的MAC地点。若此时设置的网关未开机，或同设置的网关IP的物理连接中断，或本机ping不通设定的网关IP，会有提示框弹出，警告网关IP设置错误。4、增加路由时，注意选择的接口网卡是同指定的网关相连的网卡。不然会以致路由数据发送不到对应的网关。（7）目录服务器列表：在这里可以查察所有可用的目录服务器

19、。目录服务器是北方电信供应的寻址用的服务器。网关之间和网关挪动之间成立网络通道从前都要在指定的目录服务器上考据帐号和交换InternetIP地点。若目录服务器不可以-22-虚假专网使用手册正常工作，则通道也没法成立。因此目录服务器可以为多个，互为备份。目录服务器列表对企业用户而言是只读的，目录服务器扩容后，会自动将新的目录服务器列表更新到每一个客户端(MDLAN和PDLAN)。（8）端口设置：端口设置用于配置DLAN虚假专网正常工作时需使用的TCP端口。该选项缺省已经设置好（4009、4010、4011三个端口），仅用于特别状况时对该端口的更正。假如MDLAN前面或同一台计算机上安装了防火墙，

20、需要将此三个TCP的端口打开，同意接受外面的连接。当安装DLAN的计算机上有微软Internet连接共享服务时,介绍选择1024以下的端口(如：709,710,711)。设置达成，要按下“设置奏效”按钮，保证设置奏效。-23-虚假专网使用手册支持单IP选项默认值也是选中状态。假如安装DLAN的计算机只有一个IP地点（比方安装在共享上网器以内的局域网计算机的状况，该计算机只有一个内网IP地点），该选项一定选中。（9）算法管理：算法管理供应了对数据加密算法的设置，该加密算法会在DLAN成立的网络中、对所有的传输数据进行加密，以保障数据的安全性。DLAN内置了128位的AES加密算法。-24-虚假专

21、网使用手册（10）生成证书：DLAN采纳了基于硬件特征的证书认证系统用于不一样网络节点之间的身份认证。该证书提取了安装DLAN的计算机的部分硬件特征（如网卡、硬盘等）、生成加密的认证证书。因为硬件特征的独一性，使得该证书也是独一的、不行捏造的。经过对该硬件特征的考据，就保障了只有指定的硬件设备才能接入受权的网络，防范了安全隐患。-25-虚假专网使用手册点击“生成证书”按钮，就可以自动生成包含硬件特征的认证证书。这时需要将该证书经过某种方式（如电子邮件、或软盘等）供应给需要接入的网关（MDLAN）站点管理员，由该站点管理员对证书进行管理。今后每次连接其余站点时，假如该站点启用了“ID鉴权”功能，

22、则每次都会自动考据接入的计算机身份的合法性。若计算机硬件更换，如CPU、硬盘或网卡等，请重新生成证书。（11）内网服务设置网关（MDLAN）可以为接入挪动用户指定相应的接见权限，可以限制某个用户所能接见总部内的特定计算机的特定应用。比方：同意挪动用户A接见总部的的WEB服务器，严禁A接见总部的SQL数据库服务器等。设置内网服务权限的步骤：1、在总部创办内网服务；2、为特定的用户指定权限，缺省状况下接入的网关和挪动拥有所有的权限。举例说明：假设总部局域网IP地点为192.168.0.*；WEB服务器地点为192.168.0.2；内部EMAIL服务器（POP3、SMTP）为192.168.0.3。

23、现有挪动用户A和挪动用户B，希望用户A可以接见WEB服务器、但-26-虚假专网使用手册不可以收发内部邮件；用户B可以收发内部邮件、但不可以接见WEB服务器。第一需要创办三个内网服务：1、Web服务服务名称web服务，协议TCP/IP，内网IP192.168.0.2端口80；、收内部邮件服务名称收内部邮件，协议TCP/IP，内网IP192.168.0.3端口110；3、发内部邮件服务名称发内部邮件，协议TCP/IP,内网IP192.168.0.3端口25；（12）QOS优先级别设置此处可以更正各个优先级其余QOS服务占用的带宽比率。所有优先级的带宽比率之和只好是100%，设置达成，选中“启用QO

24、S功能”，点击设置奏效使QOS改变奏效。-27-虚假专网使用手册高级设置建议用默认，不要更正。（13）QOS服务策略设置-28-虚假专网使用手册QOS规则服务管理。针对不一样数据业务的重要性，分别设置不一样的QOS优先级别及带宽比列，达到同时发送不一样数据业务的最优性能。以以下图：新建规则有导游界面，分4步达成。设置内容以以下图。先给此规则起个形象的服务名和的确的描述，-29-虚假专网使用手册接着设置源、目的的IP设置。指定IP，可以指定单个IP，也可指定一段IP。上面是初步IP，下面是结束IP。点“下一步”。-30-虚假专网使用手册分别选择协议，指定源端口和目的端口。点“下一步”。选择一个优

25、先级别，并选中启用该规则。注意，特权级不可以设置QOS带宽。点下一步，就达成成立一个新规则。-31-虚假专网使用手册规则更正与规则成立的内容相同，以以下图：-32-虚假专网使用手册（14）InternetIP设置：当系统不可以自动检测到正确的InternetIP时，在此设定。3.2挪动模式（PDLAN）3.2.1如何安装运转PDLAN的安装程序，选择下一步，出现安装目录选择界面，选摘要安装到的目录。一般状况下采纳默认设置即可：-33-虚假专网使用手册选择下一步，安装驱动程序时，断开ADSL等网络拨号连接：安装达成后，重新启动计算机：3.2.2基本配置PDLAN初次启动时，会自动弹出导游配置窗口

26、，依据导游进行以下配置。也可以经过“工具DLAN配置导游”进入配置导游界面。-34-虚假专网使用手册配置帐号和密码：虚假专网帐号和密码是北方电信分配的用来登录目录服务器的。每一个企业的每一个网关和挪动用户都会被分配一个独一的帐号名和密码。网关和挪动输入了正确的帐号和密码后，就可以在目录服务器上达成帐号考据和地点交换，成立网络通道。-35-虚假专网使用手册可点击“测试”按钮，来检查该帐号密码能否设置正确，目录服务器能否工作正常。点击“下一步”，出现以下界面，基本配置结束。-36-虚假专网使用手册3.2.3虚假专网控制台挪动模式（PDLAN）的控制台只包含了虚假专网控制台。主要有以下功能：-37-

27、虚假专网使用手册（1）虚假专网帐号和密码设置：虚假专网帐号和密码是用来登录北方电信的目录服务器的。在“DLAN安装导游”中对该选项已经进行了配置。-38-虚假专网使用手册（2）连接收理：客户所购买的网关用户会在此显示，且挪动用户只好和网关用户直连。选中想要连接的网关。假如想和某个网关经过网上邻居互访等功能，选此网关即可。-39-虚假专网使用手册（3）算法管理：算法管理供应了对数据加密算法的设置，该加密算法会在DLAN成立的虚假专网网络中、对所有的传输数据进行加密，以保障数据的安全性。DLAN内置了128位的AES加密算法。-40-虚假专网使用手册（4）生成证书：DLAN采纳了基于硬件特征的证书

28、认证系统用于不一样虚假专网节点之间的身份认证。该证书提取了安装DLAN的计算机的部分硬件特征（如网卡、硬盘等）、生成加密的认证证书。因为硬件特征的独一性，使得该证书也是独一的、不行捏造的。经过对该硬件特征的考据，就保障了只有指定的硬件设施才能接入受权的网络，防范了安全隐患。-41-虚假专网使用手册点击“生成证书”按钮，就可以自动生成包含硬件特征的认证证书。这时需要将该证书经过某种方式（如电子邮件、或软盘等）供应给需要接入的网关（MDLAN）站点管理员，由该站点管理员对证书进行管理。今后每次连接其余站点时，假如该站点启用了“ID鉴权”功能，则每次都会自动考据接入的计算机身份的合法性。若计算机硬件

29、更换，如CPU、硬盘或网卡等，请重新生成证书。3.3虚假专网的使用当达成上述安装及配置，DLAN系统状态显示正常时，虚假专网通道就已经成立。这时便可以使用DLAN实现远程网络之间的互联互通和数据的安全传输。比方，在正常运转PDLAN的计算机上，进入DOS界面，直接ping一个MDLAN局域网内部计算机的IP地点（如192.168.0.1）。假如ping通，则表示虚假专网已经连通。可经过在“开始”菜单“查找计算机”中输入对方IP或计算机名的方式查察指定计算机所共享的资源，经过把指定目录映照成网络驱动器，即可随时-42-虚假专网使用手册接见该目录中的文件数据库（如Access），也可经过“网上邻居

30、”直接查察其余一个MDLAN网络的网络资源。假如网关端所在的局域网有ERP、OA、CRM等内网服务，当挪动端PDLAN接入后，就可以像在内网相同进行办公，使用内网所有的服务。也可以依据自己状况针对每个接入人员对接见内网的权限自行进行划分，权限可以细分到每个PC的每个服务。出现故障时，可经过“查察日记”，进入日记服务器、查察故障原由及现象。3.4防火墙的安装及使用3.4.1如何安装防火墙在网关（Mdlan）模式中可以选配，安装时与虚假专网的安装同时进行，只要选中“DLAN企业防火墙”模块即可。需要注意的是：DLAN中采纳的是基于状态检测技术的防火墙，是对整个局域网进行防范。因此，假如需要防火墙功

31、能奏效、安装防火墙的计算机一定-43-虚假专网使用手册具备两块网卡（也许一块网卡接内网、一个ADSL拨号接外网）。3.4.2基本配置DLAN防火墙包含过滤规则设置，DMZ端口映照，上网权限限制。在“防火墙运转状态”窗口中可以监控和管理防火墙和NAT服务，包含启动、停止服务，监控服务状态。可以经过相应的按钮来启动防火墙和启动的服务。在这里可以监控防火墙服务和NAT服务的运转状态。状态共有3种，停止、运转和故障。当运转状态为故障时，请查察日记中的详细记录；这里还可以查察流量信息。流量信息显示系统配置中选择的内网网卡和外网网卡的流量，防火墙服务或NAT服务有任何一个运转就会显示流量信息。注意：当内外网卡为同一块网卡时，防火墙和NAT服务没法起动。1、过滤规则设置防火墙会依据过滤规则对数据包进行检查，此中规则的优先级是按先后顺-44-虚假专网使用手册序摆列的，即当规则出现矛盾