SSL VNP技术支持手册

《SSL VNP技术支持手册》由会员分享，可在线阅读，更多相关《SSL VNP技术支持手册（53页珍藏版）》请在金锄头文库上搜索。

1、 SSLSSLSSLSSL VPNVPNVPNVPN 技术支持手册技术支持手册技术支持手册技术支持手册 拟拟 制：制： 审审 核：核： 批批 准：准： 广广 东东 卓卓 维维 网网 络络 有有 限限 公公 司司 GuangdongGuangdong TopwayTopway NetworkNetwork Co.,Co., LtdLtd 二二 0 00 0 七七年年四四月月 SSL VPN 技术支持手册技术支持手册 第 2 页，共 53 页 文文 件件 信信 息息 文件编号 广州卓维网络有限公司 版 本10 SSLSSL VPNVPN 技术支持手册技术支持手册 文件页数共 子 页 版版 本本 信

2、信 息息 版版 本本发布时间发布时间作作 者者版本修改信息版本修改信息 V 1.02007-4-2蔡文源 SSL VPN 技术支持手册技术支持手册 第 3 页，共 53 页 目目 录录 一、一、SSLSSL VPNVPN 技术介绍技术介绍5 二、二、SSLSSL VPNVPN 给用户带来的价值给用户带来的价值7 三、三、SSLSSL VPNVPN 功能实现功能实现8 1 1、无客户端软件无客户端软件.8 2 2、保持用户使用习惯保持用户使用习惯8 3 3、客户端应用绑定客户端应用绑定8 4 4、支持多种支持多种 TCP/UDPTCP/UDP 应用系统应用系统 .8 5 5、第三方、第三方 Ra

3、dius/Windows/AD/LDAPRadius/Windows/AD/LDAP 认证系统认证系统.8 6 6、WindowsWindows AD/LDAPAD/LDAP 用户数据库同步用户数据库同步9 7 7、基于信任链表的、基于信任链表的 PKIPKI 证书应用证书应用.9 8 8、客户端安全措施、客户端安全措施.9 9 9、基于角色的细粒访问控制、基于角色的细粒访问控制.9 1010、信息与状态监控、信息与状态监控.9 四、四、SSLSSL VPNVPN 技术优势技术优势11 (1)(1)客户端支撑维护简单客户端支撑维护简单11 (2)(2)提供增强的远程安全接入功能提供增强的远程安

4、全接入功能11 (3)(3)提供更细粒度的访问控制提供更细粒度的访问控制.11 (4)(4)能够穿越能够穿越 NATNAT 和防火墙设备和防火墙设备12 (5)(5)能够较好地抵御外部系统和病毒攻击能够较好地抵御外部系统和病毒攻击12 (6)(6)网络部署灵活方便网络部署灵活方便12 五、五、SSLSSL VPNVPN 的市场和应用前景的市场和应用前景14 1、市场的特点与趋势市场的特点与趋势 .14 2、SSLSSL VPNVPN 难以普及主要因素难以普及主要因素.14 3、SSLSSL VPNVPN 应用前景应用前景- SSLSSL 无处不在无处不在.15 六、企业决策：如何选择六、企业决

5、策：如何选择 SSLSSL VPN-VPN-三步走三步走17 七、七、SSLSSL VPNVPN 产品如何选购产品如何选购20 SSL VPN 技术支持手册技术支持手册 第 4 页，共 53 页 八、国内外主流厂商产品一览表及推荐使用品牌八、国内外主流厂商产品一览表及推荐使用品牌22 九、国内外主流厂商产品系列九、国内外主流厂商产品系列24 1 1、JuniperJuniper 网络网络24 2 2、ArryArry NetworksNetworks.29 2.12.1 ArryArry NetworksNetworks 优势优势29 2.22.2 真正的企业级真正的企业级 SSLSSL VP

6、NVPN 解决方案：解决方案： .30 2.3Array2.3Array VPNVPN 的成功案例的成功案例30 3 3、NortelNortel（北电）网络（北电）网络33 3 3. .1 1 产品功能产品功能33 3.2 产品优势产品优势.35 4 4、F5F5 NetworksNetworks36 4.14.1 功能实现功能实现.36 4.24.2 技术优势技术优势.39 5 5、O2MicroO2Micro NetworksNetworks 40 5.15.1 产品特征产品特征.41 5.25.2、技术优势、技术优势42 6、北京安软天地科技北京安软天地科技44 6161 功能与应用功

7、能与应用 .44 6.26.2 产品优势产品优势-低成本的解决方案低成本的解决方案.46 6 63 3 产品规范产品规范 .46 7、深圳赛蓝深圳赛蓝 CYLANCYLAN46 7.17.1 成功案例成功案例.47 7.27.2 功能实现功能实现.48 8 8、深圳深信服、深圳深信服50 8.18.1 应用应用方案优势：方案优势：.51 8.28.2 产品特征及优势：产品特征及优势：.51 SSL VPN 技术支持手册技术支持手册 第 5 页，共 53 页 一、一、SSL VPN 技术介绍技术介绍 SSL VPN 即指采用即指采用 SSL （Security Socket Layer）协议来实

8、现远程接入的一种新型）协议来实现远程接入的一种新型 VPN 技术。技术。SSL 协议是网景公司提出的基于 WEB 应用的安全协议，它包括：服务器认证、客户认 证（可选） 、SSL 链路上的数据完整性和 SSL 链路上的数据保密性。对于内、外部应用来说， 使用 SSL 可保证信息的真实性、完整性和保密性。目前 SSL 协议被广泛应用于各种浏览器应 用，也可以应用于 Outlook 等使用 TCP 协议传输数据的 C/S 应用。正因为 SSL 协议被内置于 IE 等浏览器中，使用 SSL 协议进行认证和数据加密的 SSL VPN 就可以免于安装客户端。 SSL VPN 技术帮助用户通过标准的技术帮

9、助用户通过标准的 WEB 浏览器就可以访问重要的企业的应用。浏览器就可以访问重要的企业的应用。这使得员 工出差时不必再携带自己的笔记本电脑，仅仅通过一台接入 Internet 的计算机就能访问企业的 资源，这为企业提高了效率也带来了方便。SSL VPN 网关位于企业网络的边缘，介于企业服 务器与远程用户之间，控制二者的通信。 SSL VPN 应用环境如下图（一）：应用环境如下图（一）： 图（一）图（一） 掌握三个关键技术术语的含义有助于理解 SSL VPN 是如何实现的。 一、代理（代理（Proxying）SSL VPN 至少要实现一种功能：至少要实现一种功能：代理 WEB 页面。它将来自远端

10、浏 览器的页面请求（采用 HTTPS 协议）转发给 WEB 服务器，然后将服务器的响应回传给终端 用户。 二、应用转换（应用转换（Application Translation）对于非）对于非 WEB 页面的文件访问，往往要借助于应页面的文件访问，往往要借助于应 用转换。用转换。SSL VPN 网关与企业网内部的微软 CIFS 或 FTP 服务器通信，将这些服务器对客户的 响应转化为 HTTPS 协议和 HTML 格式发往客户端，终端用户感觉到这些服务器就是一些基于 SSL VPN 技术支持手册技术支持手册 第 6 页，共 53 页 WEB 的应用。 有的 SSL VPN 产品所能支持的应用转

11、换器和代理的代理非常少，有的则很好地支持了 FTP、网络文件系统和微软文件服务器的应用转换。用户在选择网关时，必须对自己所需要转 换的应用有一个很明确的了解，并能够根据他们的重要性给他们排个先后顺序。 三、 端口转发端口转发(Port Forwarding)有些应用，如微软的有些应用，如微软的 Outlook 或或 MSN，它们的外观会，它们的外观会 在转化为基于界面的过程中丢失。此时需要用到端口转发技术。在转化为基于界面的过程中丢失。此时需要用到端口转发技术。端口转发用于端口定义明确的 应用。它需要在终端系统上运行一个非常小的 JAVA 或 ActiveX 程序作为端口转发器，监听某 个端口

12、上的连接。当数据包进入这个端口时，它们通过 SSL 连接中的隧道被传送到 SSL VPN 网关，SSL VPN 网关解开封装的数据包，将它们转发给目的应用服务器。 良好的 SSL VPN 产品应该具有较好的互操作性，较为细致的访问控制功能，完善的日志 和认证体系以及对应用的广泛支持。 SSL VPN 技术支持手册技术支持手册 第 7 页，共 53 页 二、二、SSL VPN 给用户带来的价值给用户带来的价值 -随时随地移动接入随时随地移动接入 就在当前大多数远程访问解决方案是利用基于 IPSec 安全协议的 VPN 网络的情况下，一 种最新的研究表明近近呼 90%的企业利用 VPN 进行的内部

13、网和外部网的联接都只是用来进行 因特网访问和电子邮件通信，另外 10%的用户是利用诸如 x11、聊天协议和其它私有客户端 应用，属非因特网应用。这些 90%的应用有研究表明可以利用一种更加简单的 VPN 技术 SSL VPN 来提供更加有效的解决方案。 SSL VPN 不需要复杂的客户端支撑，这就易于安装和配置，明显降低成本。IPSec VPN 需 要在远程终端用户一方安装特定设备，以建立安全隧道，而且很多情况下在外部（或非企业控 制）设备中建立隧道相当困难。另外，这类复杂的客户端难于升级，对新用户来说面临的麻烦 可能更多，如系统运行支撑问题、时间开销问题、管理问题等。IPSec 解决方案初始

14、成本较低， 但运行支撑成本高。如今，已有 SSL 开发商能提供网络层支持，进行网络应用访问，就如同 远程机器处于 LAN 中一样；同时提供应用层接入，进行 Web 应用和许多客户端/服务器应用 访问。 SSL VPN 技术支持手册技术支持手册 第 8 页，共 53 页 三、三、SSL VPN 功能实现功能实现 1、无客户端软件无客户端软件 采用无客户端软件的解决方案，用户只须要通过浏览器访问 VPN 服务。这是因为 SSL VPN 使用了已嵌入于一般浏览器中的 SSL 协议。这让管理员无须为终端用户提供软件安装，维护 及策略定制的服务；仅仅在 VPN 网关上设置用户访问权限即可。 2、保持用户

15、使用习惯保持用户使用习惯 每个企业都根据自己的实际需要定制开发一些应用系统，或者部署一些知名的服务来满足 自己的需要，比如使用 Outlook 的日历安排的功能来安排会议；为不同的分支机构的 IC 设计 工程师部署集中的 Terminal Server 来共享设计仿真资源等。员工主要的工作时间都是在企业内 部使用这些特定的应用，因此员工在家里或酒店需要访问这些企业资源时候也希望保持在公司 Intranet 中的使用习惯，不希望变换应用客户端软件，也不希望改变应用客户端的配置。 3、客户端应用绑定客户端应用绑定 SSL VPN 设计中考虑到用户使用方便，因此特别客户端应用绑定的功能，让用户可以针

16、 对某一个应用服务设定使用哪一种应用客户端软件。客户端应用绑定设置也能由管理员完成， 让用户免予进行设置。 管理员/用户可以针对一个服务设定多个应用客户端软件、叶可以定制关联应用的特性，给 与用户最大的选择应用何种应用客户端软件的自由。如果用户不设定关联应用，那么也可以直 接在操作系统中启动应用软件。 4、支持多种支持多种 TCP/UDP 应用系统应用系统 虽然 SSL 协议主要用户保护 WEB 应用系统，但是 SSL VPN 应该也支持多种基于 TCP/UDP 的 Client/Server 结构的应用软件。管理员只须要通过简单的管理接口在服务器上定 义需要支持的应用，及配置好服务器使用的端口。比如 FTP、TFTP、Oracle、SQL server 等。 5、第三方、第三方 Radius/Windows/AD/LDAP 认证系统认证系统 SSL VPN 技术支持手册技术支持手册 第 9