企业办公自动化系统安全接入解决方案

1、企业办公自动化化系统安全接入解决方方案Array NNetworrks, IInc.2004年100月目录TOC o 1-3 h z u1.OA系统统需求分析31.1 OA系系统背景介绍绍31.2 OAA系统安全现现状32.OA系统统SSL VVPN解决方方案72.1 方案介介绍72.2 该方案案的安全特点点：82.3 采用SSSL VPPN接入OAA系统的优势势93.OA系统统SSL VVPN解决方方案案例103.1 Miccrosofft Excchangee Servver系统103.2 IBMM Lotuus Dommino 系系统124.SSL VPN提升升OA系统的的安全性144.

2、1轻松实现现内部网到外外部网的扩展展144.2 支持通通用 SSLL 加密算法法144.3 用户认认证、授权154.4审计和管管理154.5 多层安安全控制机制制154.6 证书管管理164.7 支持集集群技术164.8 Sinngle SSigh OOn164.9 Sesssion 级保护175.SSL VPN安全全接入对于企企业的益处175.1 提高信信息安全性175.2 灵活的的用户管理和和访问控制185.3 方便实实施，简单使使用185.4 降低管管理和维护成成本185.5 高度的的扩展性和灵灵活性19OA系统需求分分析1.1 OA系系统背景介绍绍当前，企业信息息处理量不断断加大，企业

3、业资源管理的的复杂化也不不断加大，这这要求信息的的处理有更高高的效率，传传统的人工管管理方式难以以适应以上系系统，而只能能依靠计算机机系统来实现现。企业办公公自动化系统统(OA系统统)是为企业数据共享享、员工之间间或员工与外外部团体联系系提供的消息息与协作平台台，已经为几几乎所有的大大中型企业所所应用。现在一般的大中中型企业，都都会有企业pportall系统和OAA系统，甚至至有的企业统统称为OA系系统。随着OOA系统的发发展，企业办办公自动化系系统已经不止止是简单的邮邮件收发等无无纸办公的概概念，她主要要包括信息管管理和协同作作业两部分。包包含的信息也也涵盖了一般般信息、特殊殊格式的文件件、

4、多媒体、图图片或其他的的对象。采用用的形式则有有电子邮件，日日历，即时消消息甚至视频频会议等多种种形式。其中用的最多的的有Micrrosoftt Exchhange 系统和IBBM Lottus Doomino系系统。1.2 OAA系统安全现现状对于OA系统的的安全问题，大大多数企业考考虑最多的还还是病毒，认认为病毒对企企业的办公环环境影响最大大，所以大部部分的财力人人力都投向了了防病毒系统统，当然这是是对的。但这这还远远不够够，仍然会有有很多心怀叵叵测的人或者者组织对企业业发起攻击，甚甚至数据窃密密等，往往对对企业的核心心数据造成不不可弥补的损损失。很多企业采用了了网络防火墙墙来加强安全全措

5、施。但防防火墙又不容容易做到数据据的加密，用用户的认证和和鉴权等，尤尤其是不容易易作认证鉴权。有有些OA系统采用用软件加密，但但软件加密会会消耗大量用用户服务器的的资源，影响响OA系统的响响应速度。一些企业采用拨拨号线路为外外地客户机提提供接入以保保障安全，总总部为这些接接入提供MOODEM池和和RAS服务务。但是依然存在在数据加密和和授权灵活行行的问题，同同时，拨号线线路也过于昂昂贵，并且速速度也是个大大问题。对于于要求快速响响应的大企业业的OA系统来说说是不允许的的。由于VPN（虚虚拟专网）比比租用专线更更加便宜、灵灵活，所以有有越来越多的的公司采用VVPN，连接接在家工作和和出差在外的的

6、员工，以及及替代连接分分公司和合作作伙伴的标准准广域网。VVPN建在互互联网的公共共网络架构上上，通过“隧隧道”协议，在在发端加密数数据、在收端端解密数据，以以保证数据的的私密性。现在很多远程程安全访问解解决方案是采采用IPSeec VPNN方式，其组组网结构是在在站点到站点点的vpn组组网方式。IIPSec是是网络层的VVPN技术，表表示它独立于于应用程序。IIPSec以以自己的封包包封装原始IIP信息，因因此可隐藏所所有应用协议议的信息，一一旦IPSeec建立加密密隧道后，就就可以实现各各种类型的连连接。但是，部部署IPSeec需要对基基础设施进行行重大改造，以以便远程访问问，同时IPPS

7、ec VVPN在解决决远程安全访访问时具有几几个比较大的的缺点，如:IPSec VVPN最大的的难点在于客客户端需要安安装复杂的软软件，而且当当用户的VPPN策略稍微微有所改变时时，VPN的的管理难度将将呈几何级数数增长。客户户软件带来了了人力开销，而而许多公司希希望能够避免免；某些安全全问题也已暴暴露出来，这这些问题主要要与建立开放放式网络层连连接有关。除除此以外，除除非已经在每每一台客户使使用的计算机机上安装了管管理软件，软软件补丁的发发布和远程电电脑的配置升升级将是一件件十分令人头头疼的任务（如如果不说不可可能的话）。IPSec VVPN的连接接性会受到网网络地址转换换（NAT）的的影响

8、，或受受网关代理设设备（prooxy）的影影响；IPSec VVPN需要先先完成客户端端配置才能建建立通信信道道，并且配置置复杂，尤其其是对于NAAT和穿越防防火墙，往往往要在这些设设备上作复杂杂的配置以配配合IPseec VPNN的工作。采用隧道方式，使使远程接入的的安全风险增增加；由于IIPSec VPN在连连接的两端创创建隧道，提提供直接（而而非代理）访访问，并对全全部网络可视视，因此IPPSec VVPN会增加加安全风险。一一旦隧道建立立，就像用户户的PC机在在公司局域网网内部一样，用用户能够直接接访问公司全全部的应用，由此会大大大增加风险。用用户使用个人人计算机在家家里或者通过过无线

9、局域网网工作还面临临着黑客的威威胁。不适合用作移动动用户，如家家庭、网吧，宾宾馆等上网用用户；应用层接入控制制不灵活，这这源于他是在在IP层之上上的VPN系系统。从投资的角度看看IPsecc VPN，要真正建立IPSec VPN，单单有客户端软件是很不够的。如果没有防火墙和其他的安全软件，客户端机器非常容易成为黑客攻击的目标。这些客户端很容易被黑客利用，他们会通过VPN访问企业内部系统。这种黑客行为越来越普遍，而且后果也越来越严重。例如，如果雇员从家里的计算机通过公司VPN访问企业资源，在他创建隧道前后，他十几岁的孩子在这台电脑上下载了一个感染了病毒的游戏，那么，病毒就很有可能经过VPN在企业

10、局域网内传播。另外，如果黑客侵入了这台没有保护的PC，他就获得了经过IPSec VPN隧道访问公司局域网的能力。因此，在建设IPSec VPN时，必须购买适当的安全软件，这个软件的成本必须考虑进去也是很高的。最好的方法是采采用SSL VPN组网网。同IPSec VPN相比比，SSL VPN具有有如下优点：SSL VPNN的客户端程程序，如Miicrosooft Innterneet Expplorerr、Netsscape Commuunicattor、Moozillaa等已经预装装在了终端设设备中，因此此不需要再次次安装；SSL VPNN可在NATT代理装置上上以透明模式式工作；SSL VP

11、NN不会受到安安装在客户端端与服务器之之间的防火墙墙的影响。SSL VPNN将远程安全全接入延伸到到IPSecc VPN扩扩展不到的地地方，使更多多的员工，在在更多的地方方，使用更多多的设备，安安全访问企业业网络资源，同同时降低了部部署和支持费费用。SSLL VPN正正在成为远程程接入的事实实标准，下面面列举了其中中的一些理由由。SSL VPNN可以在任何何地点，利用用任何设备，连连接到相应的的网络资源上上。SSL VPN通信信运行在TCCP/ UDDP协议上，具具有穿越防火火墙的能力。这这种能力使SSSL VPPN能够从一一家用户网络络的代理防火火墙背后安全全访问另一家家用户网络中中的资源。

12、IIPSec VPN通常常不能支持复复杂的网络，这这是因为它们们需要克服穿穿越防火墙、IIP地址冲突突等困难。鉴鉴于IPSeec客户机存存在的问题，IIPSec VPN实际际上只适用于于易于管理的的或者位置固固定的设备。SSL VPNN是基于应用用的VPN，基于应用层上的连接意味着（和IPSec VPN 比较），SSL VPN 更容易提供细粒度远程访问（即可以对用户的权限和可以访问的资源、服务、文件进行更加细致的控制，这是IPSec VPN难以做到的）。OA系统SSLL VPN解解决方案2.1 方案介介绍现在，Webb成为标准平平台已势不可可挡，越来越越多的企业开开始将OA系系统移植到WWeb

13、上,当当然企业门户户系统肯定是是基于Webb的。OA系统将将是SSL VPN应用用的直接受益益者，它被认认为是实现远远程安全访问问Web应用用的最佳手段段。对于不采采用WEB作作OA系统客客户端的企业业，ArraayNetwworks SP产品仍仍有模块来满满足这些C/S结构的OOA应用，如如SP 的AAppliccationn Manaager模块块和 L3VVPN模块。典型的逻辑结结构如下： 其中，Web Resouurce MMappinng 、Appplicaation 、L3VPPN是SP 提供的三个个应用模块，针针对不同的OOA应用可以以采用不同的的SSL VVPN模块。这样无论员

14、工是在家、宾馆、抑或是竞争对手那里，都可以轻松又十分安全地接入企业OA系统。2.2 采用SSSL VPPN接入OAA系统的优势势用户端无需安装装专用的VPPN客户端软软件，使用标准的的浏览器，如如IE 和 Netsccape即可可接入SSLL VPN访访问OA系统统。提供免客客户端、任何何地点的访问问能力、增加加的安全性，使使得IT部门门管理更容易易，和IPSSec VPPN相比，终终端用户使用用更简化。由于没有配配置、管理和和支持终端用用户复杂的IIPSec客客户端软件的的负担，SSSL VPNN的支持更便便宜，也比IIPSec更更容易部署。SSL VPNN能为使用者者提供任意地地方的访问能

15、能力。使用者可以以在他们能得得到Inteernet接接入能力的地地方访问他们们的应用从机场商务务中心，从任任何他人的计计算机，甚至至任何无线设设备。SSLL也能在宽带带网络上工作作。此外，SSSL VPPN可以成功功地穿越防火火墙，能处理理网络地址转转换（NATT）问题，而而对基于IPPSec的VVPN来说，这这是一个难题题。服务器端也无需需安装任何额额外的VPNN专用软件。SP 采用的是是SSL PPROXY技技术，因此，使用用者根本没有有和他们要访访问的资源直直接建立连接接，并且隐藏藏了那不DNNS解析空间间，所以安全全度是很高的的。即使是SPP提供的L33VPN技术术，在其VPPN隧道内

16、部部我们依然存存在一个网络络层的防火墙墙提供安全保保护。用户接入OA系系统是经过认认证的，认证证方式可以采采用ArraayNetwworks SSL VVPN设备自自己的用户数数据库，也可可以和OA已已有的认证系系统结合起来来，如AD、RRADIUSS等用户接入OA系系统是经过经经过精细授权权控制的，针对不同的的用户或用户户所属的组，SSSL VPPN可以按 OA系统预预定义的规则则来对用户的的访问权限进进行设定。用户接入OA系系统是经过加加密的，ArrrayNeetworkks SSLL VPN设设备采用强加加密算法，如如：私钥算法法：DES (56-bbit), 3DES (168-bit

17、), RC4 (128-bit)，公钥算法: RSA (10244-bit+)，消息认证: MD5 (128-bit), SHA-1 (1660-bitt)用户使用方便：用户可以是是NAT，或或者是通过HHTTP代理理等灵活的方方式，只需保保持SSL通通道畅通既可可。部署方式灵活多多样。SSLL VPN网网关SP可以以放在路由器器、防火墙后后面使用NAAT后的私有有地址。管理更加容易。采用SSL VPN要比IPSec VPN更容易管理，由于使用者可以从任何浏览器更安全地访问应用，所以，像SSL VPN能减少分发和管理客户端软件的麻烦。 同时，不需要改变网络，不需要修改防火墙配置和修改终端用户的

18、配置，所以，比采用IPSec有更低的总体拥有成本。支持Clustter技术。为OA系统提供供高可靠性。OA系统SSLL VPN解解决方案案例例3.1 Miccrosofft Excchangee Servver系统Exchangge 2000 SServerr 最主要的的两大功能是是：信息管理理与协同作业业。也就是说说Exchaange 2000 SServerr并不是简单单的E-maail服务器器的代名词，而而是一种交互互式传送和接接收的重要场场所，它包含含了一般信息息、特殊格式式的文件、多多媒体、图片片或其他的对对象。做为Exchaange的前前端工具的OOutloook，在现今今更突出了

19、它它的重要性，它它不但用来收收发E-maail，还含含有便笺、草草稿、任务、日日历、日志、联联系人与公用用文件夹，增增加了灵活性性。如再配合合Microosoft Officce各项结构构化文件，加加上其传阅功功能，即可建建立一个资源源管理系统，让让协同作业正正常运行。企业信息管理的的基础在于通通讯管理及组组织管理，它它的首要条件件是先架设一一个畅通无阻阻的企业内部部网络（Inntraneet）。在MMicrossoft的架架设中，可以以先用Winndows 2000 Serveer系列软件件来架设企业业内部网络。然然后将Excchangee 20000 Servver导入，利利用Winddo

20、ws 22000 SServerr与Exchhange 2000 Serveer的整合，来来达到通讯及及组织管理的的目的。从上图我们仍可可以看出，以以Exchaange SServerr为基础构成成的企业OAA系统的客户户端和OA serveer的架构也也基本分为两两类：B/S结构，客客户端采用OOWA接入，既既采用Webb Browwser接入入OA系统；C/S结构，客客户端采用OOutloook。对于OWA接入入：SP采用WWRM（WEEB Ressourcee Mappping）模模块来实现，利利用Arraay的SSLL VPN的的Web资源源映射可以实实现：通过标准浏览器器访问企业OO

21、A系统；支持URL-NNAT：URRL的动态重重写，提高安安全性；强迫认证，强迫迫任何访问IIntrannet的请求求都必须先通通过AAA；隐藏内部资源：可以隐藏IIntrannet的资源源路径，提高高整体安全性性。而且，经第三方方测试，ArrrayNeetowrkks SP的的WRM有着着极佳的性能能表现。对于Outloook作客户户端接入exxchangge serrver EEMAIL系系统：由于这这些应用都采采用固定的TTCP端口，如如SMTP:25端口；POP3：110端口口；IMAPP:143端端口等。SPP采用Appplicattion MManageer模块来实实现，通常，OO

22、A系统的远远端客户端访访问都是访问问这几个TCPP端口，对于于这几个TCCP端口，SSP启动Appplicaation Managger功能时时，客户端将将下载Javva Appplet将作作为TCP PROXYY运行在客户户端，它侦听听客户端的特特定应用TCP端端口的请求，并并把请求通过过SSL连接接发给SP,SP将终结结SSL连接接并和企业内内网Exchhange服服务器建立请请求连接。由由于只是对几几个TCP端端口提供SSSL VPNN服务，所以以远比通过隧隧道方式实现现要安全的多多。对于使用Outtlook接接入Exchhange serveer 复杂应应用：这类应用比比如使用MAAP

23、I等。SSP采用L33VPN模块块来实现，此此项功能是在在客户端和SSP之间通过过SSL的连连接建立一条条VPN通道道，客户端将将会生成一个个虚拟网卡，并并修改本机的的路由表。这这样，客户端端虚拟网卡上上就会配备一一个和企业内内网地址体系系一致的网址址，并通过这这条VPN通通道直连到企企业内网，就就好像客户端端机器在企业业内部一样。3.2 IBMM Lotuus Dommino 系系统IBM Lottus Doomino 是一个世界界级的消息服服务解决方案案，同时，它它还是快速开开发平台，用用户可以基于于此平台快速速开发协作应应用。内置核心任务 (邮件、日日历、目录、安安全、Webb服务等)

24、；集成Dommino管理理、统计、监监控等功能IBM Lottus Nootes 是是客户端软件件，它提供了了工业级的最最高安全性，它它是一个完全全功能的协作作客户端通过Lotuss Notees，用户可可以访问邮件件、日历、待待办事宜、联联系人信息等等Lotus NNotes客客户端家族支支持从Webb浏览器, 移动设备, 甚至Miicrosooft Ouutlookk访问Dommino。下图是Lotuus Nottes典型拓拓扑结构：对于Web接入入：SP仍然采用WRRM（WEBB Resoource Mappiing）模块块来实现，利利用Arraay的SSLL VPN的的Web资源源映射

25、可以实实现：通过标准浏览器器访问企业OOA系统；支持URL-NNAT：URRL的动态重重写，提高安安全性；强迫认证，强迫迫任何访问IIntrannet的请求求都必须先通通过AAA；隐藏内部资源：可以隐藏IIntrannet的资源源路径，提高高整体安全性性。目前经测试对于于Lotuss Notees 6.55以上版本，AArrayNNetowrrks SPP产品给予支支持。对于Notess 客户端接接入Domiino 系统统：由于这些应应用都采用固固定的TCPP端口，对于于不同的群件件，一般会采采用不同的高高端TCP端端口。一般情情况下，OAA系统的远端端客户端访问问都这几个TCPP端口，对于于

26、这几个TCCP端口，SSP启动Appplicaation Managger功能时时，客户端将将下载Javva Appplet将作作为TCP PROXYY运行在客户户端，它侦听听客户端的特特定notees客户端 TCP端口口的请求，并并把请求通过过SSL连接接发给SP,SP将终结结SSL连接接并和企业内内网Domiino服务器器建立请求连连接。由于只只是对几个TTCP端口提提供SSL VPN服务务，所以远比比通过隧道方方式实现要安安全的多。SSL VPNN提升OA系系统的安全性性4.1轻松实现现内部网到外外部网的扩展展无需客户端专用用软件、通过过普通浏览器器接入。Web Ressourcee M

27、appping 接接入企业OAA应用，而不不用更换内部部应用系统或或暴露内部域域名。支持企业固定TTCP端口的的OA应用。支持IP层VPPN，实现OOA系统维护护人员的访问问。4.2 支持通通用 SSLL 加密算法法密钥算法: DDES (556-bitt), 3DDES (1168-biit), RRC4 (1128-biit)公钥算法: RRSA (11024-bbit+)消息认证: MMD5 (1128-biit), SSHA-1 (160-bit)Web 客户与与Arrayy SP之间间SSL加密密Array SSP 与后台台服务器之间间明文或SSSL加密4.3 用户认认证、授权认证：

28、支持传统统的Radiius、LDDAP 、AActivee Direectoryy、SecuurID 等等认证方式，同同时提供Loocal(本本地数据库)认证方式.授权：基于用户户或用户组的的接入控制；基于URLLs限定接入入内部资源；基于用户IIP地址限定定接入4.4审计和管管理记录所有行为用户登陆/登出出认证/授权失败败被请求的 URRLs支持的Sysllog 最多8个可配置置的log消息Emergenncy, AAlert, Crittical, Erroor, Waarningg, Nottice, Info, DebuugLog消息时间间戳支持SNMP V2 支持 SNMPP GET

29、，允允许实时地监监测系统状态态，包括流量量负载，活动动连接，用户户登陆/登出和认证证失败等。4.5 多层安安全控制机制制Webwalll应用层防防火墙：基于于IP/TCCP/UDPP的包过滤机机制；防DOOS攻击；基基于状态检测测的防火墙功功能基于URL的过过滤机制。端到端的SSLL加密强大的AAA功功能通过WRM隐藏藏内部资源路路径4.6 证书管管理为保证网上数字字信息的传输输安全，除了了在通信传输输中采用更强强的加密算法法等措施之外外，必须建立立一种信任及及信任验证机机制，即参加加应用的各方必必须有一个可可以被验证的的标识，这就就是数字证书书。数字证书书符合X.5509国际标标准，同时数数

30、字证书的来来源必须是可可靠的。这就就应有一个网网上各方都信信任的机构，专专门负责数字字证书的发放放和管理，确确保网上信息息的安全，这这个机构就是是CA认证机机构。各级CCA认证机构构的存在组成成了整个应用用服务的信任任链。ARRAY SP 的证证书管理支持持以下项目：支持X.5099 标准协议议。支持客户端证书书认证。支持Certiificatte Revvocatiion Liist (证证书撤销列表表)支持interrmediaate CAA Certtificaate4.7 支持集集群技术Array在给给服务器提供供高容错性，高高可靠性的前前提是，Arrray设备备本身的容错错性和高可靠

31、靠性。Arrray支持CClusteer的工作模模式，提供111 和NN1 的冗冗余配置模式式，能工作在在Activve/Staandby或或Activve/Acttive方式式。 每个设备独独立的流量的的处理，同时时又监视本CClusteer中其它设设备的工作状状态； 能把Cluusteriing 配置置成Actiive-Sttandbyy 或 Actiive-Acctive ； 利用VRRRP的技术实实现 （ VRRPP虚拟路由由冗余协议， RFC 2338）。4.8 Sinngle SSigh OOn当使用公司内内部不同的应应用系统时，需需要输入不同同的 “用户户名+ 口令令”，资源预预

32、定系统一个个口令、Ouutlookk 一个口令令、销售系统统又一个口令令，很麻烦。因因为需要在不不同的Webb服务器上进进行不同的授授权管理，管管理员也倍感感疲惫。ArrrayNeetworkks SP支支持单点登陆陆，可以让用用户访问不同同的网站只需需要一次登录录，一次认证证，可以有效效降低管理负负担和方便使使用。4.9 Sesssion 级保护在会话停止一段段时间以后自自动停止会话话，如果需要要继续访问则则要从新登陆陆，通过对SSessioon的保护来来起到数据被被窃听后伪装装访问的攻击击。SSL VPNN安全接入对对于企业的益益处通过Arraay的SSLL VPN实实现ERP系系统的安全

33、接接入，可以“帮助企业提提高生产力，改改善用户使用用体验”。Arraay安全接入入解决方案具具有以下优点点：5.1 提高信信息安全性 防止信信息泄漏 由于客户户端与SSLL VPN网网关之间实现现高强度的加加密信息传输输，因此虽然然信息传输是是通过公网进进行的，但是是其安全性是是可以得到保保证的。第三三方即使可以以得到传输数数据，但是却却无法得到隐隐藏到其中的的明文信息。因因此敏感的信信息如业务帐帐号等被保护护起来，杜绝绝了有效信息息的泄露。 杜绝非法法访问 SSL VVPN的访问问要经过认证证和授权，充充分保证用户户身份的合法法性。SSLL VPN只只允许那些拥拥有相应权限限的用户进行行网络

34、连接。如如果请求连接接的用户没有有合法身份，则则SSL VVPN将拒绝绝其连接请求求，从而限制制了非法用户户对内网的访访问。 保护信息的的完整性 SSL VVPN使用数数字证书进行行机密性与完完整性参数的的协商，它不不仅能够对所所传输的数据据进行机密性性的保护，同同时也对其提提供完整性保保护。当在传传输过程中的的数据被篡改改之后，SSSL VPNN是可以检测测到的，如果果检测到数据据被篡改，他他们就会放弃弃所接收到的的数据。 防止用户户假冒 ArryyNetwoorks提供供多种认证和和授权方式，包包括本地 本地用户数数据库，并且且可以和其他他更加强大的的认证系统结结合起来，如如ad，raad

35、ius，RRSA SeecurIDD，SecuureCommputinng等保证系统统的可用性 SSL VPN使用用内网、外网网相互隔离，只只开放所需服服务的方式来来实现，这样样客户端只能能通过授权使使用所开放的的服务，除该该服务之外的的其它服务都都无从访问，从从而减少了很很多对内网系系统进行攻击击的途径，达达到了对内部部网络的最大大保护。5.2 灵活的的用户管理和和访问控制ArrayNNetworrks 提供供多种多样的的认证机制和和授权访问机机制，存在本本地用户数据据库，可以配配置在SSLL VPN网网关设备上。由由于企业应用用系统一般都都已购买了AAAA服务器器，如Raddius、LLDAP等，AArrayNNetworrks SPP业可以和他他们完美的结结合起来，保保护用户的投投资。ArrayNNetworrks SSSL VPNN组网方案是是面向应用的的VPN方案案，可以做到到基于应用的的精细控制，基基于用户和组组赋予不同的的应用访问权权限，并对相相关访问操作作进行审计。这是一般基于网络的VPN所办不到的。5.3 方便实实施