H3C华三远程安全接入解决方案技术建议书.doc
《H3C华三远程安全接入解决方案技术建议书.doc》由会员分享,可在线阅读,更多相关《H3C华三远程安全接入解决方案技术建议书.doc(31页珍藏版)》请在三一办公上搜索。
1、远程安全接入解决方案技术建议书杭州华三通信技术有限公司目录1.远程接入模式分析42.VPN技术介绍42.1.VPN定义42.2.VPN的类型52.2.1Access VPN52.2.2Intranet VPN62.2.3Extranet VPN62.3.VPN的优点62.4.隧道技术72.4.1二层隧道协议72.4.2三层隧道协议72.5.加密技术92.6.身份认证技术103.H3C安全建设理念113.1.智能安全渗透网络简介113.2.智能安全渗透网络局部安全123.3.智能安全渗透网络全局安全123.4.智能安全渗透网络智能安全124.XX系统远程安全接入解决方案134.1.XX系统远程安
2、全接入需求分析134.2.解决方案设计原则145.XX系统远程安全接入解决方案175.1.远程接入安全解决方案175.1.1.大型分支接入175.1.2.中小分支合作伙伴接入185.1.3.移动用户接入方式195.2.可靠性方案205.2.1.双出口备份205.2.2.双机备份225.2.3.快速切换235.3.VPN管理系统255.3.1.轻松部署安全网络255.3.2.直观展示VPN拓扑265.3.3.全方位监控网络性能265.3.4.快速定位网络故障275.4.BIMS分支智能管理系统285.5.统一安全管理中心306.总结311. 远程接入模式分析随着网络,尤其是网络经济的发展,为提高
3、沟通效率和资源利用效率,建立分支与总部、机构与机构之间的具有保密性的网络连接是十分必要的。此外,工作人员出差时也需要访问系统内部的一些信息资源,这时同样需要建立保密的网络连接。怎样为这些分支、机构、出差人员提供一个安全、经济、方便和高效的安全接入方式,成为XX系统亟需解决的一个问题。建立保密的网络连接一种方案是使用专线,其基本方式是进行每个层次之间的专线方式连接,通过这种方式可以实现的星形结构的全局网络连接,基本满足分支与总部、机构与机构之间的数据传输需求,但是这种方式存在非常大的两个缺点:第一是不灵活,不能满足出差人员随时随地接入的需求;第二是费用高,专线方式的网络连接需要支付高昂的专线租用
4、费用。另外一种方式是通过拨号的方式,通过利用PSTN/ISDN的模拟电话线路,移动用户主机配置的调制解调器,采用拨号的方式,登录到公司内部的拨号服务器,实现远程对公司内部资源的访问。这种方式的优点在于比较灵活,PSTN电话线路资源比较容易获得。缺点在于网络连接性能低,PSTN电话最多提供64K带宽,相对现在的宽带网络,已经基本不可用,而且此方式没有任何安全措施,数据在传输过程中存在很大的安全风险。随着VPN技术的发展,VPN技术已经成为一种非常成熟的网络连接方式,VPN具有高性价比、强适应能力、具备很强的网络安全特性以及动态的扩展能力等优势,已经被广泛替代专线用来进行广域网络的衔接,下面我们将
5、以VPN模式为核心,提供H3C全面的VPN解决方案。2. VPN技术介绍2.1. VPN定义利用公共网络来构建的私人专用网络称为虚拟私有网络(VPN,Virtual Private Network),用于构建VPN的公共网络包括Internet、帧中继、ATM等。在公共网络上组建的VPN象企业现有的私有网络一样提供安全性、可靠性和可管理性等。“虚拟”的概念是相对传统私有网络的构建方式而言的。对于广域网连接,传统的组网方式是通过远程拨号连接来实现的,而VPN是利用服务提供商所提供的公共网络来实现远程的广域连接。通过VPN,企业可以以明显更低的成本连接它们的远地办事机构、出差工作人员以及业务合作伙
6、伴,如图1所示。图1. VPN应用示意图由图可知,企业内部资源享用者只需连入本地ISP即可访问中心或者相互通信。这对于流动性很大的出差员工和分布广泛的客户与合作伙伴来说是很有意义的。并且企业开设VPN服务所需的设备很少,只需在资源共享处放置一台VPN服务器就可以了。2.2. VPN的类型VPN分为三种类型:远程访问虚拟网(Access VPN)、企业内部虚拟网(Intranet VPN)和企业扩展虚拟网(ExtranetVPN),这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet相对应。2.2.1 Access VPN
7、随着当前移动办公的日益增多,远程用户需要及时地访问Intranet和Extranet。对于出差流动员工、远程办公人员和远程小办公室,Access VPN通过公用网络与企业的Intranet和Extranet建立私有的网络连接。在Access VPN的应用中,利用了二层网络隧道技术在公用网络上建立VPN隧道(Tunnel)连接来传输私有网络数据。Access VPN的结构有两种类型,一种是用户发起(Client-initiated)的VPN连接,另一种是接入服务器发起(NAS-initiated)的VPN连接。用户发起的VPN连接指的是以下这种情况:首先,远程用户通过服务提供点(POP)拨入In
8、ternet,接着,用户通过网络隧道协议与企业网建立一条的隧道(可加密)连接从而访问企业网内部资源。在这种情况下,用户端必须维护与管理发起隧道连接的有关协议和软件。在接入服务器发起的VPN连接应用中,用户通过本地号码或免费号码拨入ISP,然后ISP的NAS再发起一条隧道连接连到用户的企业网。在这种情况下,所建立的VPN连接对远端用户是透明的,构建VPN所需的协议及软件均由ISP负责管理和维护。2.2.2 Intranet VPNIntranet VPN通过公用网络进行企业各个分布点互联,是传统的专线网或其他企业网的扩展或替代形式。利用IP网络构建VPN的实质是通过公用网在各个路由器之间建立VP
9、N安全隧道来传输用户的私有网络数据,用于构建这种VPN连接的隧道技术有IPSec、GRE等。结合服务商提供的QoS机制,可以有效而且可靠地使用网络资源,保证了网络质量。基于ATM或帧中继的虚电路技术构建的VPN也可实现可靠的网络质量,但其不足是互联区域有较大的局限性。而另一方面,基于Internet构建VPN是最为经济的方式,但服务质量难以保证。企业在规划VPN建设时应根据自身的需求对以上的各种公用网络方案进行权衡。2.2.3 Extranet VPNExtranet VPN是指利用VPN将企业网延伸至合作伙伴与客户。在传统的专线构建方式下,Extranet通过专线互联实现,网络管理与访问控制
10、需要维护,甚至还需要在Extranet的用户侧安装兼容的网络设备;虽然可以通过拨号方式构建Extranet,但此时需要为不同的Extranet用户进行设置,而同样降低不了复杂度。 因合作伙伴与客户的分布广泛,这样的Extranet建设与维护是非常昂贵的。 因此,诸多的企业常常是放弃构建Extranet,结果使得企业间的商业交易程序复杂化,商业效率被迫降低。Extranet VPN以其易于构建与管理为解决以上问题提供了有效的手段,其实现技术与Access VPN和Intranet VPN相同。Extranet用户对于Extranet VPN的访问权限可以通过防火墙等手段来设置与管理。2.3. V
11、PN的优点利用公用网络构建VPN是个新型的网络概念,对于企业而言,利用Internet组建私有网,将大笔的专线费用缩减为少量的市话费用和Internet费用。据报道,局域网互联费用可降低2040,而 远程接入费用更可减少6080,这无疑是非常有吸引力的;VPN大大降低了网络复杂度、VPN用户的网络地址可以由企业内部进行统一分配、VPN组网的灵活方便等特性简化了企业的网络管理,另外,在VPN应用中,通过远端用户验证以及隧道数据加密等技术保证了通过公用网络传输的私有数据的安全性。2.4. 隧道技术对于构建VPN来说,网络隧道(Tunneling)技术是个关键技术。网络隧道技术指的是利用一种网络协议
12、来传输另一种网络协议,它主要利用网络隧道协议来实现这种功能。网络隧道技术涉及了三种网络协议,网络隧道协议、支撑隧道协议的承载协议和隧道协议所承载的被承载协议。现有两种类型的隧道协议:一种是二层隧道协议,用于传输二层网络协议,它主要应用于构建Access VPN和Extranet VPN;另一种是三层隧道协议,用于传输三层网络协议,它主要应用于构建Intranet VPN和Extranet VPN。2.4.1 二层隧道协议二层隧道协议主要有三种:PPTP(Point to Point Tunneling Protocol,点对点隧道协议)、L2F(Layer 2 Forwarding,二层转发协
13、议)和L2TP(Layer 2 Tunneling Protocol,二层隧道协议)。其中L2TP结合了前两个协议的优点,具有更优越的特性,得到了越来越多的组织和公司的支持,将是使用最广泛的VPN二层隧道协议。应用L2TP构建的典型VPN服务的结构如下图所示:图2. 典型拨号VPN业务示意图2.4.2 三层隧道协议用于传输三层网络协议的隧道协议叫三层隧道协议。三层隧道协议并非是一种很新的技术,早已出现的RFC 1701 Generic Routing Encapsulation(GRE)协议就是一个三层隧道协议,此外还有IETF的IPSec协议。GREGRE与IP in IP、IPX over
14、 IP等封装形式很相似,但比他们更通用。在GRE的处理中,很多协议的细微差异都被忽略,这使得GRE不限于某个特定的“X over Y”应用,而是一种最基本的封装形式。在最简单的情况下,路由器接收到一个需要封装和路由的原始数据报文(Payload),这个报文首先被GRE封装而成GRE报文,接着被封装在IP协议中,然后完全由IP 层负责此报文的转发。 原始报文的协议被称之为乘客协议,GRE被称之为封装协议,而负责转发的IP 协议被称之为传递(Delivery)协议或传输(Transport)协议。注意到在以上的流程中不用关心乘客协议的具体格式或内容。整个被封装的报文具有下图所示格式:图3. 通过G
15、RE传输报文形式IPSecIPSec(IP Security)是一组开放协议的总称,特定的通信方之间在IP层通过加密与数据源验证,以保证数据包在Internet网上传输时的私有性、完整性和真实性。IPSec通过AH (Authentication Header)和ESP (Encapsulating Security Payload)这两个安全协议来实现。而且此实现不会对用户、主机或其它Internet组件造成影响,用户还可以选择不同的硬件和软件加密算法,而不会影响其它部分的实现。IPSec提供以下几种网络安全服务: 私有性 IPSec在传输数据包之前将其加密.以保证数据的私有性; 完整性 I
16、PSec在目的地要验证数据包,以保证该数据包在传输过程中没有被修改; 真实性 IPSec端要验证所有受IPSec保护的数据包; 防重放 IPSec防止了数据包被捕捉并重新投放到网上,即目的地会拒绝老的或重复的数据包,它通过报文的序列号实现。IPSec在两个端点之间通过建立安全联盟(Security Association)进行数据传输。安全联盟定义了数据保护中使用的协议和算法以及安全联盟的有效时间等属性。IPSec在转发加密数据时产生新的AH和/或ESP附加报头,用于保证IP数据包的安全性。IPSec有隧道和传输两种工作方式。在隧道方式中,用户的整个IP数据包被用来计算附加报头,且被加密,附加
17、报头和加密用户数据被封装在一个新的IP数据包中;在传输方式中,只是传输层(如TCP、UDP、ICMP)数据被用来计算附加报头,附加报头和被加密的传输层数据被放置在原IP报头后面。AH报头用以保证数据包的完整性和真实性,防止黑客截断数据包或向网络中插入伪造的数据包。考虑到计算效率,AH没有采用数字签名,而是采用了安全哈希算法来对数据包进行保护。AH没有对用户数据进行加密。AH在IP包中的位置如图所示(隧道方式):图4. AH处理示意图ESP将需要保护的用户数据进行加密后再封装到IP包中,ESP可以保证数据的完整性、真实性和私有性。ESP头在IP包中的位置如下(隧道方式):图5. ESP处理示意图
18、AH和ESP可以单独使用,也可以同时使用。使用IPSec,数据就可以在公网上安全传输,而不必担心数据被监视、修改或伪造。IPSec提供了两个主机之间、两个安全网关之间或主机和安全网关之间的数据保护。在两个端点之间可以建立多个安全联盟,并结合访问控制列表(access-list), IPSec可以对不同的数据流实施不同的保护策略,达到不同的保护效果。安全联盟是有方向性的(单向)。通常在两个端点之间存在四个安全联盟,每个端点两个,一个用于数据发送,一个用于数据接收。IPSec的安全联盟可以通过手工配置的方式建立,但是当网络中结点增多时,手工配置将非常困难,而且难以保证安全性。这时就要使用IKE自动
19、地进行安全联盟建立与密钥交换的过程。2.5. 加密技术Internet密钥交换协议(IKE)用于通信双方协商和建立安全联盟,交换密钥。IKE定义了通信双方进行身份认证、协商加密算法以及生成共享的会话密钥的方法。IKE的精髓在于它永远不在不安全的网络上直接传送密钥,而是通过一系列数据的交换,通信双方最终计算出共享的密钥。其中的核心技术就是DH(Diffie Hellman)交换技术。DH交换基于公开的信息计算私有信息,数学上已经证明,破解DH交换的计算复杂度非常高从而是不可实现的。 所以,DH交换技术可以保证双方能够安全地获得公有信息,即使第三方截获了双方用于计算密钥的所有交换数据,也不足以计算
20、出真正的密钥。在身份验证方面,IKE提供了共享验证字(Pre-shared Key)、公钥加密验证、数字签名验证等验证方法。后两种方法通过对CA(Certificate Authority)中心的支持来实现。IKE密钥交换分为两个阶段,其中阶段1建立ISAKMP SA,有主模式(Main Mode)和激进模式(Aggressive Mode)两种;阶段2在阶段1 ISAKMP SA的保护下建立IPSec SA,称之为快速模式(Quick Mode)。IPSec SA用于最终的IP数据安全传送。另外,IKE还包含有传送信息的信息交换(Informational Exchange)和建立新DH组的
21、组交换(DH Group Exchange)。2.6. 身份认证技术IPSec隧道建立的前提是双方的身份的得到了认证,这就是所谓的身份验证。身份验证确认通信双方的身份。目前有两种方式:一种是域共享密钥(pre-shared key)验证方法,验证字用来作为一个输入产生密钥,验证字不同是不可能在双方产生相同的密钥的。验证字是验证双方身份的关键。这种认证方式的优点是简单,但有一个严重的缺点就是验证字作为明文字符串,很容易泄漏。另一种是PKI(rsa-signature)验证方法。这种方法通过数字证书对身份进行认证,安全级别很高,是目前最先进的身份认证方式。公钥基础设施(Public Key Inf
22、rastructure,简称PKI)是通过使用公开密钥技术和数字证书来确保系统信息安全并负责验证数字证书持有者身份的一种体系,它是一套软硬件系统和安全策略的集合,提供了一整套安全机制。PKI采用证书进行公钥管理,通过第三方的可信任机构,把用户的公钥和用户的其他标识信息捆绑在一起,以在网上验证用户的身份。PKI为用户建立起一个安全的网络运行环境,使用户可以在多种应用环境下方便的使用加密和数字签名技术,从而保证网上数据的机密性、完整性、有效性。数据的机密性是指数据在传输过程中,不能被非授权者偷看;数据的完整性是指数据在传输过程中不能被非法篡改;数据的有效性是指数据不能被否认。一个PKI系统由公开密
23、钥密码技术、证书认证机构、注册机构、数字证书和相应的PKI存储库共同组成。图6. PKI组成框图其中,认证机构用于签发并管理证书;注册机构用于个人身份审核、证书废除列表管理等;PKI存储库用于对证书和日志等信息进行存储和管理,并提供一定的查询功能;数字证书是PKI应用信任的基础,是PKI系统的安全凭据。数字证书又称为公共密钥证书PKC(Public Key Certificate),是基于公共密钥技术发展起来的一种主要用于验证的技术,它是一个经证书认证中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件,可作为各类实体在网上进行信息交流及商务活动的身份证明。证书是有生命期的,在证书生成时指定
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- H3C 远程 安全 接入 解决方案 技术 建议书
![提示](https://www.31ppt.com/images/bang_tan.gif)
链接地址:https://www.31ppt.com/p-2400323.html