远程移动办公安全解决方案.docx

编号：时间：2021年x月x日书山有路勤为径学海无涯苦作舟页码：远程移动办公安全解决方案该方案特点：很多单位为解决远程移动用户（如：在外出差人员）的接入问题在单位内部安装了“拨号服务器”（RAS）。远程移动用户可以通过远程拨号接入到单位内部的拨号服务器后进入内部局域网。本公司采用安全网关通过VPN技术和internet技术相结合提出了替代上述系统的最优解决方案。特别适合企事业单位对“拨号服务器RAS”系统的改造。方案概述：目前网络的现状XX公司总部设置了拨号服务器。集团在全国各地设立分公司和办事处通过拨号接入公司总部内网。分公司及办事处与总部之间通过内部的拨号网络沟通和交换信息。网络示意图如下：图1目前的网络示意图目前网络系统存在的安全隐患和问题2.1安全问题目前拨号服务器是通过口令和密码识别拨入PC其口令和密码很容易泄露一旦泄露黑客可以仿冒内部用户通过拨号server进入公司内网偷盗公司内部机密。另外拨号的PC与拨号server间传递的信息通过电话线明文传播安全没有保障能够从线路中窃取交流的信息。2.2并发接入用户数限制问题受到拨号server的拨入modem数量限制同时连入拨号server的用户数量有限所以如果分部一多就会出现大量的占线拨不上拨号服务器的现象。2.3带宽问题受到拨号网络的限制拨号带宽不会大于64K所以只能满足一些小数据量的窄带业务需求。2.4拨号话费问题接入总部的拨号server必须通过电话网络拨号必须支付电话话费尤其是外地的公司将要支付高额的长途电话费用。综上所述如何很好地解决上述问题是本方案重点讨论要解决的问题。3、解决方案该方案对原有网络进行较大幅度改造主要考虑采用宽带接入全面解决2中提到的4个问题。公司总部最好有固定真实IP地址（如考虑到费用问题也可以选择便宜的ADSL接入）采用本公司硬件安全网关SGW25C-3。SGW25C-3为3端口100M接入的高性能企业级安全网关处于总部网络边界。对总部LAN起到Firewall作用对远程分支机构和移动用户可起到VPN接入作用。如下图。分部可用ADSL接入Internet（解决拨号接入带宽问题）、或使用拨号网络接入Internet从而和集团总部相连。根据分部网络的大小、预算等具体情况可采取不同的建设方案。具体来讲分为两种情况：1．对于一些较小的点往往只有几台机器上网或者只有一台机器需要和总部进行安全通信可以采用安全客户端软件来实现。安全客户端是本公司配合安全网关开发的动态IP主机安全接入内部网络的软件该软件支持Windows2000/XP/98三种操作系统配合SureID使用操作简单使用灵活对接入方式没有限制。在下一节中将详细介绍该产品。2．对于一些规模较大的分部网络如采用ADSL接入推荐使用支持PPPOE的SGW25B安全网关该安全网关支持ADSL接入加密吞吐率可达到6Mbps完全可以满足ADSL接入的要求另外有防火墙模块可以做到基于状态检测的访问控制。分部和总部整体网络结构示意图如下：图2全面改造后整体网络结构示意图在上图中在internet和intranet接口处使用的本公司研制的“安全网关”SGW25C就彻底地解决了上述问题。分支机构及其出差员工只要通过本地ISP（如：163）拨号接入internet然后利用安装在其他机器上的“安全网关客户端”软件就可以安全透明地通过与安全网关构成的加密隧道从internet上安全接入企业的内网如下图所示：INTERNET在外地出差的员工需要及时安全地与公司交流信息本公司安全网关拨号当地ISP安全网关客户端公司总部加密隧道图3“安全网关客户端”使用示意基于上述原因在该方案中建议可以省去中心机方中的“拨号服务器”（如图1所示）。如果这些节点通过拨本地公用电话网连入internet再用“安全网关客户端”软件接入企业的专网这样对于外地的机构就只需要交纳本地的电话费不需要支付长途话费（解决话费问题）；同时不用投资建“内部的拨号Server”而且由于通过安全网关的vpn隧道接入公司内网（解决数据传输安全问题）既安全又不受拨号Server的并发接入限制（解决并发拨入限制问题）可以让各个分支机构与公司总部之间保持实时连通和长期在线。