公司VPN网络设计方案

 XX公司VPN网络设计方案

编    制：                    

审    核：                    

批    准：                    

第一章、网络现状及需求概况

1.1 网络现状

XX公司现有网络的网络设备是由三台Cisco 2960接入交换机、一台Cisco 3560和一台Netscreen SSG 550组成，所有用户连接于Cisco 2960，汇聚于Cisco 3560，然后通过Netscreen SSG 550连接至XX网络，网络内所有用户端机器和网络设备均使用10.212.0.0网段的私有网络地址，网络连接结构如下图：

1.2 需求概况

XX公司现有的近五百用户中，有部分领导希望能够在家中或者在出差的时候仍然可以连接入公司的网络内正常访问公司的OA系统进行正常的办公。

第二章、实现VPN网络的基本要素

要实现VPN网络要求具备如下几个基本要素：

2.1 固定IP地址

公司用户要想从家中或者出差当地的酒店或宾馆网络通过VPN方式连入公司网络就要求公司必须具备一个固定的公网IP地址，否则用户在公司网络之外就无法找到公司的网络。

2.2 VPN网关设备

公司内部必须具有供用户通过VPN方式连入的设备，并且这种设备需要填写公司的固定公网IP地址以便用户找到公司网络，这种设备就是VPN网关设备。

2.3 VPN客户端软件

用户端机器上需要安装VPN客户端软件，以方便用户通过VPN的方式拨号进入公司网络。根据采用的VPN协议不同，客户端软件又可以分为PPTP客户端、L2TP客户端、IPSEC客户端、SSL客户端等。

2.4 VPN身份认证机制

在用户使用VPN客户端通过VPN方式拨号进入公司网络的过程中，VPN网关将会对VPN客户端进行身份认证以确保只有合法用户才可以连入公司网络。现在使用于VPN网络的身份验证机制主要包括用户名加密码验证模式和数字证书模式两种。

第三章、VPN网络的实现

3.1 Internet接入线路的申请

由于XX公司网络是连接于XX网络内的，所以现有网络不具有属于自己的Internet出口，也就没有固定的公网IP地址，以现有网络状况是无法创建VPN网络的。

为了创建网络，需要向电信申请一条ADSL专线来满足创建VPN网络的需求。向电信申请30用户的电信线路，现有资费模式中最为合适的应该属于1888包月、免安装费、带宽为4M的资费标准。

3.2 VPN网关的部署

3.2.1 VPN网关的配置选型

做为实现VPN网络的核心设备VPN网关，我们推荐使用华盾VPN网关100，设备参数如下：

我们将来自电信的线路接入华盾VPN网关100，然后再在现有的Cisco 3560上找一个空余口转换为三层接口并与网盾VPN网关内网口设置同一网段IP地址后，将VPN网关100和Cisco 3560连接起来并配置相应路由以保证VPN 100网段与现有网络能够通讯。

除此之外，我们还需要在华盾VPN网关100上进行配置以保证用户能够使用客户端拨号连入现有网络。

3.3 VPN客户端软件的安装

为了方便用户通过VPN的方式拨号进入现有网络并保证现有网络的安全，我们为每一个需要在家或者出差时候进行远程办公的用户安装高安全性的IPSec协议VPN客户端软件。

3.4 VPN身份认证机制的实现

为了确保现有网络的安全性，在用户使用客户端软件通过VPN方式拨入的时候，在VPN网关与客户端软件之间需要通过身份认证后才能够允许用户拨入现有网络。由于用户名加密码验证模式容易因帐户被窃取而造成安全问题，为了最大程度的保证现有网络的安全性，我们推荐使用数字证书的身份验证模式。

在使用华盾VPN网关100实现VPN网络的过程中，我们建议由网管人员负责VPN证书的发放工作，然后使用USB KEY做为保存证书的载体对相应的证书做一个保存工作，然后将保存证书的USB KEY分别发放给相应的用户，以保证公司VPN网络身份的唯一性、安全性和可控性。

3.5 实现VPN后的网络结构图

第四章、产品清单

5.1 华盾公司介绍

(一) 基本情况

华盾公司总部位于北京中关村科技园区，是国内最早从事VPN产品研发的企业。西安华盾为北京华盾总部在西安所设子公司，主要负责西北五省的业务。华盾公司坚持走专业化、特色化的发展道路，致力于开发具有自主版权的信息安全产品，始终把为用户提供“用得起、用得上、用得长”的安全产品作为事业发展的基础。公司聚集了一批以博士、硕士为主的网络安全技术精英，成功地开发了VPN系列产品、B2级安全操作系统、双机热备份软件、网络审计和监控系统等网络安全产品。承担和完成了国家“八五”、“九五”重点攻关项目“国产操作系统COSIX”安全子专题、国家863计划安全操作系统课题。公司的VPN产品还获得了科技部技术创新基金支持。

华盾公司的VPN产品经过多年的发展，产品系列涵盖VPN硬件网关、VPN软件网关、VPN客户端全系列产品，在技术先进性、网络适应性、产品成熟性、运行可靠性等方面具有鲜明的特色，在企业、铁路、综合超市、银行、邮政、电信、、证券、等领域获得了广泛的应用，在国内VPN领域，占据了较大的市场份额。

华盾公司在全国设立的分公司、办事处和技术支持中心等机构包括：江苏华盾公司、西安华盾公司、安徽华盾公司、长沙办事处、郑州办事处、武汉办事处和广州技术支持中心，努力为客户提供及时、周到的专业服务。

(二) 华盾VPN产品国家级安全资质证明及销售许可

根据1999年颁布的《商用密码管理条理》，VPN产品是典型的商用密码产品，国家主管部门是国家密码管理委员会办公室（国密办），华盾VPN产品的商用密码产品代号是SJW10。华盾公司经过多年不懈的努力获得一系列荣誉和国家级安全资质，主要如下：

《计算机安全专用产品销售许可证（XKC30427）》

国密办《商用密码产品技术鉴定证书(国密证字第0053号)》

国密办《商用密码产品生产定点单位证书（国密办产字SSC050号）》

国密办《商用密码产品销售许可证（国密办销字SXS086号）》

国家信息安全产品测评认证中心《商用密码产品检验报告》

2002年度中国计算机用户协会信息安全分会《用户推荐产品》证书

2003年中国网络安全系统防火墙和VPN用户大会《用户推荐的VPN（虚拟专用网）产品证书》

5.2 华盾VPN产品及其优势

5.2.1 华盾VPN系列产品

华盾VPN产品是由北京华盾计算机安全技术有限公司自行开发、拥有自主版权，并通过国家主管部门完全认证的VPN产品。

华盾VPN系列产品由下列设备和软件包所组成：

1)华盾VPN网关300：主要应用于网络结构复杂、高带宽、高流量的大中型骨干级企业网络中心，主要特点包括：

5.2.2 技术指标

（1）VPN性能

●支持静态—静态、静态—动态、动态—动态IP地址间的相互通信；

●支持小区宽带接入、ADSL宽带接入、CABLE MODEM宽带接入、ISDN拨号接入、普通电话拨号接入等多种因特网接入方式；

●通过NAT方式为用户局域网用户提供因特网接入共享服务；

●为企业内部网提供完善的状态包过滤防火墙保护功能；

●支持IPSec ESP AH的隧道模式封装和传输模式封装；

●支持DES、3DES、AES、blowfish、two fish等通用加密算法；

●支持MD5、SHA1、SHA2等通用认证算法；

●支持DH1024、DH2048、RSA1024、RSA2048等非对称加密算法；

●支持SSP02等国家密码管理机构批准的高强度算法；

●支持预共享密钥、数字证书的身份认证；

●支持IKE主模式/野蛮模式的自动密钥协商协议；

●支持NAT穿越（NATT v 0.3）；

●支持DHCP over IPSec的动态内部地址获取；

●支持L2TP with IPSec的二层隧道建立；

●内置DHCP服务器，可以完成企业内部网主机IP地址的动态分配；

●提供完善的网络流量控制机制，合理分配因特网接入带宽；

●支持DDNS的动态域名解析功能；

●支持windows系统自带的PPTP/L2TP/IPSEC VPN移动用户解决方案；

●内置安全策略服务器，提供集中的安全策略制定和下发；

●最大支持同时建立1000条隧道，3－DES加密速度为15M；

（2）防火墙性能

●防火墙类型支持状态检测、包过滤及其混合方式；

●支持透明模式和NAT、路由模式同时使用；

●双因子认证功能；

●多级登陆权限设置；

●直观的安全策略设置；

●支持与IDS互动以提高安全性；

●深层次日志、以及详细的审计分析功能；

●多级过滤的网络访问控制功能，分别作用于IP层、应用层，形成立体网络防护；

●具有MAC地址绑定、支持双向DNS、支持DMZ区；

●可防IP地址欺骗、端口扫描；

●抗DOS/DDOS攻击、IP碎片攻击、SYN攻击、DNS/RIP/ICMP攻击等；

●系统配置文件的备份和系统快速恢复；

5.2.3 华盾VPN系列产品的优势

作为国内推出最早，成熟度较高的VPN产品，华盾VPN系列产品的优势包括：

1)华盾VPN产品由于开发早，应用面广，目前其市场占有率、客户数目、在线工作的机器数量等领先于同类产品，产品成熟度和工程实施经验明显居于前列。

2)由于采用了切合实际的设计理念，其产品的结构合理性和网络适应性得到有效保证。

3)作为VPN类产品，它完整地通过了国家密码管理委员会立项、安全审查、技术鉴定全过程。

4)无缝的支持NAT-T。

5)支持动态域名解析。

6)支持网状互联。

7)完善的集中管理功能。

8)提供功能强大的软件安全包。

9)兼带动态带宽管理功能。

10)集成完善的防火墙功能。

5.3 典型成功案例

5.3.1 中铁快运VPN系统

该企业是由铁道部主办、国家计委批准的全国性联网企业，主营货物特快专递服务项目，在全国近200个大中城市设有分支经营机构，还有若干个营业点及移动用户，其分支机构分为几个级别，一是管理分公司(主要设在大型城市)，二是分公司(主要在一般的地、市城市)，由管理分公司直接管理，三是营业点，直属于管理分公司或分公司，原有的网络情况是各管理分公司和分公司都是用专线与总部通信，营业点通过拨号与各分公司通信，长途拨号做为备份线路，可想而知该企业每年支付的专线费用和电话费用是如何的庞大，现该企业通过华盾VPN设备，依赖Internet组建自己的虚拟专用网络。

根据其需求，撤去了原来租用的X.25专线，总部申请了一根2M的专线接入Internet，各分公司均通过ADSL接入Internet，各营业点和移动用户通过ADSL或拨号接入Internet，利用华盾VPN组建的VPN网络系统。

这个项目是目前国内最大的企业类VPN项目，在这个案例中，我们在总部安装了两台华盾VPN300，以双机热备份方式工作，在管理分公司安装华盾VPN200，并安装一台软件VPN网关做备份，在分公司安装华盾VPN100，在营业部和移动用户安装华盾VPN安全包，实行统一认证，分级管理，构成一个完整的VPN网络。

5.3.2 中国石化ERP项目VPN网络建设工程

中国石化是中国最大的一体化能源化工公司，是中国最大的石油产品（包括汽油、柴油、航空煤油的批发和零售）和主要石化产品（包括中间石化产品、合成树脂、合成纤维单体及聚合物、合成纤维、合成橡胶和化肥）生产商和供应商，也是第二大原油生产商。中国石化现有全资子公司、控股和参股子公司、分公司等共80余家，包括石油企业、炼油及化工企业、销售企业及科研、外贸等单位。

为了提高办公效率推广企业的ERP应用，中国石化第一批在15家企业与总部之间建立VPN系统，以实现通过Internet建立省公司、地市分公司、炼油厂、县级分公司、油

库、加油站等各个地理位置不同的局域网直接的安全连接。使得企业能够在VPN网络上运行ERP系统、OA系统、财务软件以及IP语音业务、视频业务等应用，支持集团化生产、经营、管理信息系统的实施。  

在该项目中，我们采用了华盾VPN400、VPN300、VPN200、VPN80、华盾VPN客户端软件以及华盾VPN安全管理中心，分别安装于各大型油田总部和省、地、市的分公司、油库及加油站，客户端软件用于移动办公用户。在总部机构安装两台华盾VPN网关设备，以双机热备份方式工作确保线路畅通，华盾VPN安全管理中心对所辖VPN设备实行统一认证，分级管理，构成覆盖多个城市的完整的VPN网络。

5.3.3 北京铁路建设集团VPN系统

该集团公司以铁路工程建设和各类公共建筑为主要产品，集科研、设计、开发、施工、商贸、旅游餐饮、房地产开发、物业管理、海外经营等于一体，具有较强的技术、资金优势和各类大中型设备，是建设部批准的一级施工企业，并取得了对外经营权。自1991年起，连续居中国500家最佳经济效益、最大经营规模建筑业企业之列。

该集团总部在北京，下属多个分公司、办事处和许多移动用户。总部申请有一根专线，各分公司通过ADSL或宽带接入Internet，移动用户通过拨号接入Internet，通过因特网实现网络互联，需要解决网络联通性和数据安全性的问题。

 根据该企业的需求，我们采用华盾VPN硬件安全网关200/100和VPN软件安全包的配合使用，组建了该集团公司的VPN网络系统。

5.3.4 四川统计局VPN网络平台建设

四川省统计局作为一家事业单位，需要利用和开发统计信息与市场信息资源，为省内外、国内外客户提供统计信息，同时也为企业及单位提供分析结果及市场研究报告，因此日常业务量十分庞大。原来是采用人工加拨号通信方式，不仅访问速度低，数据传输的安全性和网络接入认证也受到影响。通过多次的产品测试对比，最终选用华盾公司的系列VPN产品，组建省统计局遍布全省的VPN网络系统。四川省统计局VPN网络系统由省、市、县、乡四级组成，省局使用了两台华盾VPN300，双机热备份工作方式，市局使用华盾VPN200，县局使用华盾VPN80或华盾VPN60，乡使用华盾VPN安全包。

5.3.5 新华社VPN网络平台建设

新华通讯社是中华人民共和国的国家通讯社，是中国最大的新闻信息采集和发布中心。新华社的信息网是一个覆盖全球、结构复杂、系统繁多、应用丰富、实时性强、作用重要的大型网络，在中国具有特殊的地位，是我国对外发布信息的重要窗口。

新华社VPN项目的总体目标是：“以我社各现有专用网络为依托构建一张基于Internet的虚拟专用网，不断拓展网络应用，为我社现有的专用网络提供必要的补充，从而增强我社网络系统的完整性。该网可以使用户方便地应用VPN技术，借助互联网与总社各系统进行安全、可靠、快速的数据通讯。”

我们利用华盾VPN安全网关和华盾VPN客户端，实现了将目前不具有专线连接的中小分社以安全的方式接入新华社内部网络当中，从而将新华社遍布全世界的各个分支机构网络和移动工作人员的计算机环境纳入到一个完整的网络平台之上，确保新华社的网络处于可管理和业务处于安全的运行环境当中。具体到业务流程上，实现由安全的VPN加密通道进行稿件传输替代原有的通过拨号等明文传输模式，从而解决稿件传输过程中被泄漏等风险。同时，利用VPN技术实现增加VoIP等业务的需求，解决由于拨打长途电话的高昂费用等经济问题。  

同时，利用华盾VPN安全管理中心，解决了新华社网络原有的分散、不可控的安全管理模式，解决了中小分社由于计算机技术力量薄弱导致出现故障后影响业务连续性的问题，实现新华社的集中安全管理，将远端的不可控的安全管理纳入到新华社的集中管理模式下，更充分地利用和发挥了新华社技术局的技术优势和作用。