SSL VPN统一业务安全接入平台

方案简介

VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。由于基于 VPN 技术的远程接入方案同时具备 Internet 接入的便捷性和专线的安全性，并且价格适中投入产出比较高，目前已经成为系统安全接入和总部-分支组网方案的最佳选择。

我们以IPsec/SSL二合一VPN网关为基础、创新融合Easyconnect应用虚拟化技术打造的统一业务安全接入平台解决方案，具有部署简单、维护成本低、网络适应强等特点，使得管理员仅用这一套系统，就能为用户提供在任何时候、任何场所，使用任何主流设备快速接入公司内部网络，运行内网应用的服务；同时，并确保企业信息安全，避免敏感数据泄露。

需求及挑战

随着单位业务不断扩大，建设协同办公系统以增加用户办公效率显得尤为重要。但是单位在发展过程中，一定会突破地域限制，以用户出差、成立分支机构等形式扩大单位业务规模。相应的，在单位信息化建设过程中，在不同阶段会遇到不同的挑战。以某单位发展过程为例，业务发展不同阶段遇到的挑战如下：

移动办公

由于系统部署在公司总部，出差人员在出差地需要连入销售管理系统、CRM 系统才能按时上报项目情况、销售数据，否则无法完成协同办公。而出差人员一般仅有酒店、咖啡厅等地提供的公共网络环境，没有任何安全保障，一旦遭受黑客攻击（例如窃取用户名/密码信息、截取数据传输信息），将可能导致机密信息泄密，存在极大的安全隐患。同时，由于智能终端不断发展，越来越多的用户更希望将业务迁移到智能终端进行办公，提高单位员工的办公效率。而系统跨平台迁移的问题让用户感到头疼，并且移动网络的质量比固网质量差很多，用户使用体验无法保障。

传统PC接入方案使用L2TP/PPTP方式接入保障数据传输安全，但是该接入方式配置复杂、易用性差、速度慢，并且无法帮助客户完成应用的跨平台迁移，存在诸多问题。

核心系统安全接入

单位在进行业务系统建设过程中，一定经历单安全域和多安全域隔离的系统建设过程。在单位信息化建设初期，所有的服务器放在一起，网络结构也比较简单，此时所有的能够访问内部服务器的用户都有机房内所有系统的访问权限（例如企业的销售人员也可以访问到人事、财务系统等），一旦有员工恶意发起攻击，这些服务器就存在被攻击风险。当用户网络规模逐渐扩大，业务系统建设按照重要级别分为不同安全区域进行分级建设（例如运营商就更倾向于将数据中心分为核心业务BSS域、日常办公业务MSS域建设），大量的用户需要进行跨安全域访问业务系统，不同用户的访问权限不同，管理员的运维管理压力越来越大。

传统方案通过访问控制列表（ACL）进行跨系统、跨域访问控制。但 ACL 列表需要专业人员配置，并且由于无法做到可视化，一旦出现工作维护人员调动，不清楚原有ACL规则是否失效、是否能删除，久而久之就会留下大量废弃ACL规则，而这些规则则为不法分子打开了非法跨域访问的大门。

总部-分支及第三方机构互联

单位分公司（办事处）人员也需要同总部人员一样，经常使用销售管理系统、CRM 系统以及一些其他的业务系统。同时在业务发展过程中，单位一定需要发展合作伙伴以促进发展。以服装行业为例，整体销售额来自自营店、分销商和加盟商，公司总部需要提供订单管理、销售管理等系统供合作伙伴接入使用。

传统的接入方案中，使用 Internet 接入存在安全风险、使用专线组网成本又太高，运营商提供的 MPLS VPN限制用户的接入网络并且无法做权限管理，都不太适合做第三方合作伙伴及分支接入总部的方案。

我们的解决方案

移动办公——随时随地安全接入

不在公司总部，PC远程安全接入

大量领导、员工出差、在家需要使用笔记本电脑端远程接入到组织内网中进行访问，可在总部部署SSL VPN对服务器区的应用进行发布，并根据用户身份设置相应的应用访问权限，搭建移动办公平台。

对于人员较少的小分支机构，使用专线组网的性价比难以保证，可采用SSL VPN组建基于互联网的虚拟专网，实现高性价比、安全的组网。

部分客户使用的系统由于最初仅设计在局域网环境使用，出差人员及小分支用户在互联网环境接入后访问业务系统变慢。此时可以采用 Easyconnect 应用虚拟化方案对业务系统进行加速；同时，远程应用发布服务器集群集中部署于总部，可以减轻管理员运维压力。

出差的路上，使用手机/平板随时办公

越来越多的用户希望使用移动终端进行办公，以进一步提高移动用户的协同办公效率。在业务移动化迁移过程中，PC 迁移到智能终端的兼容性问题最为突出。

不开发移动应用的用户可选用Easyconnect应用虚拟化方式、开发移动应用的用户可选用MAM-APP安全加固方式解决此问题，搭建智能终端移动办公平台，为用户提供智能终端移动办公环境，实现在任何时间、任何地点、任何终端上都能快速开展业务，进行协同办公，最大程度的提高公司员工办公效率。

核心业务系统接入——高标准安全加固

服务器区隔离，应用系统安全加强

内网服务器区前并未采用较好的安全防护设备，对于某些重要的服务器需要防止恶意的访问、攻击，并根据用户的身份对服务器区内的访问进行授权，防止应用的滥访。

同时，核心应用仅采用简单的用户名密码认证，易因账号的泄露、暴破攻击、重放攻击等导致应用系统的越权访问。可在服务器区之前部署SSL VPN设备进行隔离，针对用户身份进行服务器的访问授权，并为可访问核心应用的特定用户配备USB KEY、终端绑定、主从账号绑定等加强应用系统访问安全。

多安全域间逻辑隔离

网络间划分了多个安全域，如生产网、办公网与Internet 网等，多网安全域之间安全级别不同，需采用逻辑隔离的方式保证接入、传输安全性的情况下进行跨域访问。同时，针对安全级别较高的域访问需进行访问的轨迹记录。可部署SSL VPN对跨域访问进行授权，并对传输数据进行加密，并结合SSL VPN数据中心对重要安全域的访问进行轨迹记录。

外地分支机构安全接入

异地分支机构远程互联

　　大中型组织统一信息平台建立和资源共享的需求越来越普遍，而需要实现全省乃至全国所有分支机构的互联所带来的高昂专线费用则大大增加了企业的运营成本。以 IPSEL/SSL 二合一 VPN 安全网关打造的深信服统一业务安全接入平台可为您提供一种高性价比的异地机构组网方案，使用普通的互联网连接即可实现安全、快速、便利的组网，在降低网络成本的同时大大提高异地机构协同办公效率。

第三方合作机构接入

单位在发展的过程中离不开第三方合作伙伴。合作伙伴总体分为两类，一类为单位提供服务，另外一类与单位共同合作发展。他们都有一个特点，就是接入的点数多、分散，单点接入人数少。

为单位提供运维服务类合作伙伴，需要随时接入数据中心调整网络或者服务器配置，为单位业务系统增加连续性保障。由于该类合作伙伴多数为技术人员，若接入后即有数据中心全网访问权限，一旦该技术人员想要以非法手段获取其他系统上的信息，或者被黑客利用发动跳板攻击，就存在越权访问的风险。利用深信服SSL VPN权限管理及虚拟专线功能，能够有效管理运维人员的访问权限，避免跳板攻击发生。

共同发展类合作伙伴IT水平普遍较差，管理员运维压力较大；同时由于接入线路问题，接入后的业务系统访问速度较慢。深信服 Easyconnect 应用虚拟化解决方案很好的解决了这个问题，系统统一部署在总部数据中心机房，管理员统一运维，减轻运维压力；同时应用各种加速技术，保障用户接入后的系统使用速度。并且传统 SSL VPN 接入功能与 Easyconnect 并存，用户可以选择性价比最高的组合方案为合作伙伴提供接入服务。

方案价值

我们的统一业务安全接入平台，只需要一台SSL VPN设备，就能够满足包括PC终端、Android/IOS智能终端及分支机构等不同场景、不同终端的系统安全接入需求，帮助用户在任何时间、任何地点、使用任何主流终端，通过 Internet 接入单位总部内网进行办公。

用户需要使用 PC 接入时，我们除了使用SSL VPN对用户进行高强度身份认证、细粒度权限管控和精细操作记录审计之外，还可以通过Easyconnect 远程应用发布解决方案将业务系统统一对外发布，解决用户担心的泄密问题、业务系统兼容性问题，同时对系统加速，并且管理员可以统一运维，减少运维压力；

用户需要使用智能终端接入时，无论用户是否进行 APP 开发，深信服统一业务安全接入平台都可以提供应用跨平台安全迁移解决方案。用户不开发 APP 时，Easyconnect 远程应用发布解决方案能够帮助用户快速将 Windows 应用跨平台迁移到 Android 和 IOS 平台上，帮助用户低成本建设移动办公平台；用户开发 APP 时，移动应用管理解决方案（EMM-MAM）可以为企业 APP 进行自动化安全加固，在不进行二次开发的前提下为企业应用增加高强度身份认证、SSL VPN 数据传输加密、企业文件存储加密等功能，帮助用户建设安全、高效、可靠的移动办公使用环境。

用户需要在分支接入时，深信服针对大型分支和小型分支接入的不同需求，可以未用户提供一体化的解决方案，帮助用户选择极具性价比的组网方式，为用户打造安全、快速、稳定、易用、易管理的安全接入平台。