| 出版日期：2004-12-20 总期号：1374 本年期号：95 |
|
 |
1连30 还要高效安全
华安集团需要典型的大公司网络连接架构。总部具有固定真实IP，各地分支机构采用多种接入方式：ADSL、Cable和Modem等接入Internet。通过安全网关在Internet上构建企业内部虚拟专用网络，并解决企业内部移动用户的远程接入问题。 华安为实现办公自动化应用和内部Web、Mail服务，需要实时地与全省各地市分支机构互联，为各地市分支提供办公自动化、Web、Mail服务，建设覆盖全省的信息服务网络。 目前华安集团总部通过100MB宽带接入方式接入Internet。全省各地30个分支机构或办事处，通过ADSL、宽带或拨号方式接入Internet，分支机构或办事处需要实时将信息传送到公司总部，总部也需要将反馈的信息实时向分支机构或办事处下发。目前集团总部的一台高性能服务器，对分支机构或办事处提供Mail、Web和办公自动化应用服务。 现在集团的情况是：总部通过光纤接入互联网，内部实现办公自动化和Web、Mail等服务。其它各地市与总部的信息交流主要是通过邮件来实现，现在还无法实现办公自动化、Web等服务。 随着集团业务的迅速发展，各地分公司、办事处也相继多了起来，信息交互也越来越频繁，随着企业ERP系统的实施，重要的数据和信息在网络中传输也越来越多，安全性要求也越来越重要，目前仅仅依靠Modem拨号、ADSL以及专线的组网模式已经越来越不适应华安公司对信息传输平台的要求了。 升级顾及方方面面 从经济角度考虑，电信提供的专线组网方式费用比较昂贵。由于华安公司是一个大型的现代化企业，在省内大部分城市设立了多家分支机构，同时拥有多家紧密型的合作伙伴或分销客户网络，需要联网的网点数目比较多，分部地区比较广，信息交互比较频繁，每月的巨额通讯费用和专线租用费会给华安集团带来很大的压力。 从安全方面考虑，电信提供的DDN、ADSL等传输平台没有经过加密处理，重要数据和信息均是以明文在网上传输，如果别有用心的人利用网络监听分析工具，极易篡改、窃取甚至破坏企业数据，给企业造成不可估量的损失。由于传输平台没有认证功能，企业内部员工的越权访问、误操作、有意或无意的泄密，甚至是少数员工恶意的破坏，都会对企业的信息和数据造成很大的威胁；由于传输平台没有访问控制和安全隔离的功能，因此容易给外部非法人员提供入侵的机会，非法人员可以通过专用的黑客程序（此类工具在网络上可以任意下载），或者盗取授权员工的访问权限，进入公司网络系统内部，让系统安全溃于蚁穴。由于华安分支机构和联网网点数目众多，知名度大，受攻击的几率相对较大，一旦通过计算机终端进入公司总部服务器，后果将不堪设想。 从管理方面考虑，华安集团处于高速发展阶段，拥有的连锁网点和计算机终端较多，面临最紧迫的问题就是信息的汇总、连锁网点的信息交互以及计算机终端的集中管理。DDN、ADSL等组网方式由于本身的技术限制，不可能提供强大的管理平台，也不可能解决大规模的应用和管理问题。 从经营角度考虑，华安集团需要一个实时、安全、高速、快捷、稳定的信息交互平台，以满足企业信息频繁传输的需要，增加企业的工作效率，提高企业的服务质量，加快企业的信息化建设，适应企业的快速发展，提升企业的良好形象。 综上所述，如何快捷地解决华安集团的企业联网问题，如何有效地降低企业的巨额通讯费用，如何很好地解决“信息的共享和信息的安全问题”是华安重点讨论要解决的问题，华安的目标是使整个网络的互联性得到极大提高，使整个网络的安全性达到一个全面加强，使网络系统的每个部分都不会成为“木桶的最短一块木板”。 VPN组网 低成本 高效率 华安集团针对现有业务，希望网络互联建设中心节点1个，分节点30个，并决定与方正合作。采用VPN方式组网具有投资成本低、高带宽、高可靠性、高安全性以及灵活的可扩展性的优点，且方正VPN产品具有对Internet上的内部移动用户安全接入功能，可以消除地域差异，实现可移动用户的网络互联及基于Internet的可移动安全访问控制。因此，采用VPN方式组网对华安集团来说是现实可行的，完全可以满足公司的业务需要。 目前办公自动化用户数据都通过Internet直接传输，因办公自动化网络传输的数据包含公司的业务敏感信息，属于商业机密，在公网上直接传输存在着很大的隐患，黑客或网络运营商中某些有不良居心的人员可以利用专用软件在网络结点设备或线路上截获业务数据，如果这些数据被公布或篡改，对于华安公司而言，后果是非常严重的。另一方面，如果公司总部的网络边界没有防火墙来保护内部网络，也没有做任何访问控制，这样就存在极大的安全隐患，外部网络可以随意访问服务器，一旦服务器的密码被暴力破解，或者黑客利用操作系统的某些漏洞进入了服务器，不但服务器中办公自动化系统的数据面临危险，而且黑客极易利用服务器作为跳板，转而攻击内部网络的机器，那么整个系统将无安全性可言。 信息安全是重点 总部是整个华安集团的“心脏地带”，重要信息的交互、共享，重要数据的频繁传输，组成了华安集团的业务流。随着企业信息化程度的不断加深，各种应用系统会逐步得到应用。随之而来，信息安全问题也会成为方正关注的焦点。 目前，华安集团总部的内部网络，通过电信网络直接接入Internet。考虑以后总部业务需求的发展和承担的重要任务，建议在总部网络出口处部署方正3000-E4-V型VPN硬件安全网关（方正VPN设备综合利用了隧道技术、加密技术、认证技术来保护华安集团总部和分支机构内网的安全通讯、安全传输）。 各种接入 方便应对 由于各地驻外机构需要与华安公司总部进行大量的信息交换，并且随着办公自动化系统的应用加深，物流、资金流在企业Intranet网上的频繁传输，为了保证总部与分支机构、分支机构与分支机构之间进行安全的信息传输，方正根据各分支机构的不同情况，分别部署硬件安全网关设备和软件网关到各驻外机构。同时，建议具有子网的各驻外机构采用ADSL或者宽带的方式接入Internet，并在网络出口处部署方正3000-D3-V硬件VPN设备，从而达到和总部以及其他分支机构的VPN通讯。如图所示。 方正3000-D3-V具有3个网络接口，一个用于内网（防火墙模块可以有效做到安全隔离以及访问控制机制，安全隔离机制保证了公司网络与Internet等公共网络的安全连接，访问控制机制可以有效控制各个分支机构的安全接入问题），一个可通过ADSL Modem接入Internet（由于该安全网关具有PPPOE模块，可对ADSL Modem进行拨号）。 在外出差的移动用户可以通过安装在笔计本上的“安全客户端”软件，可随时通过接入当地的ISP（如拨号上网）接入Internet，使用该软件和远端的安全网关建立加密隧道，安全接入公司总部和各个分公司，在任何地方使用公司内部的OA系统。 （B2） 
VPN网络建设示意图 
分公司网络示意图 
移动用户的远程安全接入 |
||||||||||||||||||||||
