中华卫士SSL VPN技术白皮书090320.docx
《中华卫士SSL VPN技术白皮书090320.docx》由会员分享，可在线阅读，更多相关《中华卫士SSL VPN技术白皮书090320.docx（16页珍藏版）》请在冰豆网上搜索。
中华卫士SSLVPN技术白皮书090320
中华卫士安全接入网关
技术白皮书
成都卫士通信息产业股份有限公司
2009年4月
目录
1序言5
2产品概述5
3功能简介7
3.1保护内部网络资源7
3.2支持丰富的C/S应用7
3.3支持多种认证方式7
3.4支持多种终端设备接入8
3.5支持IP层隧道模式，支持VoIP8
3.6支持多ISP连接8
3.7支持丰富的网络接入方式8
3.8支持第三方用户管理系统9
3.9支持双机备份和负载均衡9
3.10终端安全接入控制9
3.11基于角色的访问控制10
3.12完善的信息与状态监控10
3.13用户个性化体验11
3.14良好的客户端体验11
3.15支持主机绑定11
3.16细粒度客户端安全控制12
3.17支持分支机构的局域网接入12
4产品特色12
4.1符合国家SSLVPN标准13
4.2支持商用密码算法13
4.3无限同时（或并行）用户隧道13
4.4支持站点到站点的安全访问13
4.5无缝集成到现有网络中13
4.6灵活的用户管理，简化了管理工作14
5部署模式14
5.1旁路模式14
5.2在线模式15
5.3多ISP模式16
5.4高可用性模式17
5.5分支机构接入模式18
6主要参数19
前言
成都卫士通信息产业股份有限公司是由中国电子科技集团第三十研究所控股成立的一家专业从事信息安全和通信保密的现代化股份制企业，为三十所产品归口管理单位，同时也是国家密码管理委员会办公室授权的商用密码产品科研、生产和销售的定点单位。
公司成立于1998年，现有员工近500人，博士、硕士及各类高级专业技术人员占60%以上。
高起点、高定位、高成长的卫士通公司，建立了完整的科研、开发、生产、销售和服务体系，并已通过ISO9001质量认证，是国内能够提供较全系列信息安全产品和系统安全解决方案以及本地化技术支持、服务的骨干企业之一，自成立以来，连续七年保持高增长的发展势头，已成为目前国内最大的信息安全产品供应商和信息安全工程系统集成商之一。
公司产品广泛应用于全国各行各业，包括：
党政、金融、电信、邮政、海关、铁道、交通、工商、财政、税务和社保等国民经济各部门及电子商务、企业等行业。
到目前为止，已有三十多个部委及绝大多数银行成为公司的客户群，具有较大的市场占有率，并承接了“国家计委纵向网”、“金航工程”、“科技部电子政务安全辅助支撑平台”、“四川省党政网”、“四川省金财工程”等大型安全工程的总集成及服务项目，积累了大量成熟的安全工程实施与服务的经验。
公司秉承“求实、创新、开拓、进取”的企业精神，在行业主管部门、政府部门、集成商、用户中赢得了良好的口碑。
国家密码管理委员会办公室、国家安全部、国家科技部、信息产业部、国家863信息安全研究发展战略专家组都先后来公司考察、指导工作。
卫士通以“安全基于体系、面向系统，一体管理，全程服务”为安全集成理念，集成国内外著名防病毒、防火墙、入侵检测、身份认证、漏洞扫描等安全保密产品，通过向客户提供安全顾问咨询、安全风险分析、安全规划、方案设计、系统集成、工程实施、技术培训等专家级服务，为客户构筑完整的信息安全保障体系。
随着全球经济一体化进程的加快、Internet的广泛应用和网络经济的蓬勃发展，信息安全已经被提升到至关国家主权以及政治、军事、经济安全的重要地位上来。
作为国家信息安全产业基地的主体承担单位，卫士通公司自觉地肩负起“通信卫士”的历史使命，锐意进取、开拓创新，致力于发展民族信息安全产业。
1
序言
如果能够随时随地的接入企业网络，员工能够在下班后或周末从家里接入网络，执行相关任务，员工的工作时间因此就变得非常灵活，可以随时随地完成各项任务，例如回复电子邮件，或者使用网络应用。
另外现代企业全球化的进程越来越快，分布在世界各地的企业、分支机构、合作伙伴以及客户之间希望快速联系和沟通，外出办公、出差人员也期望方便接入企业内部业务系统，及时获得信息和及时采取反应。
利用VPN技术，员工几乎可以随身"携带"工作机，随时随地安全接入内网进行网络化办公，不受地域和时间限制，并且不会像在真实办公环境中那样受到干扰。
另外，VPN还为合同商和商业合作伙伴等非员工有限访问网络提供了一种安全的解决方案。
利用VPN，可以限制合同商和合作伙伴只能访问某些服务器、某些应用或文件，从而在不降低网络安全性的前提下扩展网络业务范围，提高企业生产率。
在VPN领域，SSLVPN无疑是个新贵，由于它与生俱来在远程安全接入方面的优势，近几年逐渐受到业界的追捧。
SSLVPN和IPSecVPN的主要区别在于：
IPSecVPN工作在OSI的第三层，解决了信道安全问题，在网络层建立一条安全的通信隧道；而SSLVPN在第四层的应用层工作，企业通过SSLVPN发布局域网应用，远程用户只能登录SSLVPN后才能访问到这些内部应用服务。
通过SSLVPN发布内部服务的另一个好处是防火墙策略更简单更安全，企业不再需要将防火墙上为不同的应用（如Email、Telnet、文件共享等传统的C/S应用）打开多个通讯端口，而只需要打开中华卫士安全接入网关的端口即可。
2产品概述
中华卫士SSLVPN产品学名为中华卫士安全接入网关（SAG：
SecurityAccessGateway），该产品通过SSL隧道为用户在不可信信道上构建安全可靠的虚拟专用网络，为数据提供机密性和完整性保护、数据源认证、抗重放攻击等安全保障，并且通过身份认证、访问控制以及终端安全控制技术，为用户的内部网络建立安全屏障，是一款功能强大、多层次全面防护的安全网关产品，目前在电力，政府，银行都已有了成功案例。
中华卫士安全接入网关便于企业和合作伙伴、远程用户以及出差员工间及时沟通信息，员工及合作伙伴通过互联网（Internet），使用个人或家庭电脑可以安全地访问内部信息系统，使得他们能够及时地访问企业的信息资源，实现信息的随时传递和移动办公，提高工作效率。
用了中华卫士安全接入网关之后，公司总部部署的ERP、CRM、OA、物流软件等应用系统从此不再局限于在公司总部应用，分支机构及出差人员，无论他们身在哪里，用怎样的方式上网，客户机的配置如何，都可以轻松地访问总部应用。
图1企业网络现状
中华卫士安全接入网关具有以下优势：
第一符合国家标准：
中华卫士安全接入网关的生产厂家卫士通公司正在参与国家SSLVPN产品标准的制定之中，产品能更好的符合国家标准。
第二支持商密算法：
中华卫士安全接入网关支持国家商用密码算法（SM1）。
第三简单易用：
不需要配置，可以立即安装、立即生效；客户端不需要麻烦的安装，直接利用浏览器就行。
第四简化防火墙配置：
企业不再需要将防火墙上为不同的应用（Email、Telnet、文件共享）等传统的C/S应用打开的多个端口通讯，而只需要打开中华卫士安全接入网关的端口打开即可。
第五快速部署快速实施：
安装、配置、调试工作得到简化，只需在总部快速部署SSLVPN网关，实施周期大大缩短。
第六无地域限制的网络化办公：
远程和出差的工作人员，无论在国外还是国内，只要能连上互联网，就可以接入通过SSLVPN发布的业务系统。
第七降低总体投入成本：
大量用户通过登录SSLVPN服务器即可实现与客户端局域网内接入内部应用服务器一样的效果，并且客户端没有软件，所有软件的升级、打补丁等都只需要在SSLVPN上完成，大大减少了IT工作人员的时间和精力，也减少维护和管理工作量和维护量，提高了支持的响应速度也降低了现场服务的成本。
第八高安全性：
提供了身份认证、信道加密传输、访问控制，而且用户退出后，会清理所有的缓存和临时文件，保证不遗留临时信息在终端机器上，提供更高的安全保障。
第九分支机构局域网接入：
中华卫士安全接入网关除了可以提供远程用户接入之外，还可以提供两个网络之间的互连，这个功能使得企业可以利用中华卫士安全接入网关构建自己的完整的VPN网络，而无须分别建设远程接入和网络VPN。
中华卫士安全接入网关支持构建星型和网状的VPN网络。
第一十支持PDA接入：
中华卫士安全接入网关可以适用于丰富的终端及操作系统，甚至包括一些高端的PDA、智能手机、还有将来的3G手机，使用该网关可以提前体验利用手机实现随时随地安全地移动办公。
3功能简介
中华卫士安全接入网关可以满足高、中、低不同层次用户的需求。
其主要功能有：
3.1保护内部网络资源
通过中华卫士安全接入网关，可以将内部应用系统和主机资源安全地发布到公网上，只有有权限的用户可以通过中华卫士安全接入网关接入访问，有权限的远程用户和分支机构只要能访问中华卫士安全接入网关，就能访问内网应用系统，实现对内部网络应用的隐藏保护。
3.2支持丰富的C/S应用
传统的SSLVPN只支持B/S应用，而中华卫士安全接入网关不仅支持B/S应用，同时支持多种丰富的C/S应用，如邮件（Outlook、Express、Foxmail等）、远程接入（RDP、VNC）、文件共享（FTP、文件共享目录）、Telnet、ssh等应用，除此之外，还支持多种基于动态端口的应用协议，比如FTP,TFTP,Oracle,SQLserver等。
这些特性使得中华卫士安全接入网关能够最大程度的满足客户的应用需求。
3.3支持多种认证方式
根据面向的用户种类不同（内部员工或合作伙伴），企业应需要采取不同强度的身份认证方式，中华卫士安全接入网关满足不同用户的这种安全需求，支持多种不同强度的身份认证方式，如用户名+口令、RADIUS、AD、LDAP、USBKey、证书、证书+口令、双因子认证等。
3.4支持多种终端设备接入
中华卫士安全接入网关可以适用于丰富的终端及操作系统，甚至包括一些高端的PDA、智能手机、还有将来的3G手机。
操作系统方面不仅支持Windows2000/XP/2003/Vista等通用的PC平台，还支持用户使用WindowsMobile平台接入，并且在WindowsMobile平台上能够提供任意的基于IP的访问，也支持非Windows的操作平台的远程接入。
这种支持多平台特性为用户提供了方便的访问特性，极大地满足用户的需要。
3.5支持IP层隧道模式，支持VoIP
企业内部有时候需要部署一些诸如VoIP的业务系统。
这些应用需要使用一些动态的端口，而且需要任意两个端点之间可以通信。
这就要求通过远程接入的用户需要能够被动地被他人访问，这是一般的SSLVPN的代理方式和web转换方式无法满足的。
中华卫士安全接入网关提供客户端IP隧道模式。
客户端登录系统之后，利用网络扩展技术实现了客户端同Intranet之间的网络层面的互连，客户端可以从服务器上获取Intranet的IP地址。
从逻辑上看，远程客户就好像是在企业内部网络一样，因此网络连接访问方式可以承载任何基于IP的应用。
同时中华卫士安全接入网关可以实现在网络连接基础上的细粒度的访问控制，可以根据角色来实现对不同用户访问不同服务的控制。
在精细控制的基础上，中华卫士安全接入网关还可以允许通过网络连接登录的用户之间相互访问，使得中华卫士安全接入网关真正为远程用户提供了局域网应用体验。
3.6支持多ISP连接
远程用户可能从不同的ISP接入到Internet，如果网关设备不能提供连接多个ISP的话，就可能使得从不同运营商接入的客户在连接SSLVPN时得到不同的结果，甚至不能访问SSLVPN系统。
为了解决这个问题，中华卫士安全接入网关设备支持同时连接多个ISP，为客户提供多个可以连接的IP地址。
但是远程客户往往不能判断自己应该使用哪一个IP地址，因此中华卫士安全接入网关能够根据客户的接入情况智能的选择其接入的IP地址，提供客户端更好的速度体验。
3.7支持丰富的网络接入方式
今天的小型企业拥有更多互联网接入的选择，有专线有通过ADSL拨号等动态IP接入互联网，中华卫士安全接入网关满足各类小型企业接入网络的要求，支持小区宽带接入、ADSL宽带接入、CABLEMODEM宽带接入、专线接入等多种Internet接入方式。
3.8支持第三方用户管理系统
企业一般都会有集中的用户管理系统，比如LDAP、WindowsAD。
虽然IT管理人员希望只需维护一个用户数据库，但也要求在不同的应用系统及网关上进行细粒度的配置。
为了保护企业现有投资，减轻管理员的管理操作，中华卫士安全接入网关除了提供内置用户数据库，同时可以同第三方Radius/WindowsAD/LDAP用户认证系统完美结合，提供一体化的用户认证设施。
利用第三方认证系统，管理员无须在中华卫士安全接入网关上配置任何用户相关的信息，仅仅需要对不同认证服务器或服务器上的用户进行授权即可。
3.9支持双机备份和负载均衡
中华卫士安全接入网关作为提供远程接入解决方案的门户，必须保证系统的稳定性、容错性、高性能及高可用性。
中华卫士安全接入网关支持双机热备，可以提供主从，主主两种业务模式，并且其HA功能可以在不同的型号之间实现，只要软件版本相同即可，这样就在为用户提供高可用性的同时也节约了用户的投资。
3.10终端安全接入控制
一旦有用户接入到企业内部网络中，那么远端用户的计算机就成了企业网络的边缘，因此远程用户的计算机的安全要求就必须符合企业的安全策略，IT管理人员需要确保远端用户的计算机满足企业的安全策略要求。
中华卫士安全接入网关通过多种措施来保证客户端的安全性，这些措施有：
Hostcheck&CacheClean、ARL（AccessRestrictionList访问限制列表）、用户登录锁定、SSL协议/加密算法设置。
在HostCheck&CacheClean方面，中华卫士安全接入网关允许管理员设置需要在客户端检查的条目，包括：
允许/禁止哪些进程运行；允许/禁止哪些文件存在；允许/禁止哪些网络端口打开；允许/禁止安装的杀毒软件/个人防火墙等等。
中华卫士安全接入网关允许管理员为用户登录之前和登录认证通过之后配置不同的检查规则；同时管理员还可以配置中华卫士安全接入网关，使得用户在结束访问时能够自动地把用户本地缓存的信息清除，避免企业信息不经意地被泄漏。
除了检查客户端计算机的安全状态之外，中华卫士安全接入网关还允许管理员通过ARL设置允许远程用户或管理员只能或不能从哪些IP地址访问中华卫士安全接入网关。
尽管SSL协议已经从1.0，2.0晋升到3.0和TLS1.0、SSL1.0/2.0也已经被业界证明安全性存在一定的问题，标准的浏览器一般都仍然使用SSL2.0作为默认的选项。
中华卫士安全接入网关提供选项给管理员，让管理员选择需要使用哪一个SSL协议来接入用户。
如果用户端的协议版本号不满足管理员设置的要求，那么中华卫士安全接入网关会给用户提示信息，保证执行严格的安全限制。
因为中华卫士安全接入网关是基于Web为用户提供VPN服务，那么就面临着有些攻击会在Web页面上发动口令暴力攻击。
中华卫士安全接入网关通过用户登录锁定功能来限制用户错误口令尝试的次数；并且如果用户口令错误达到一定次数之后，中华卫士安全接入网关可以在一段时间内拒绝这个用户登录，从而提高了系统的安全性。
3.11基于角色的访问控制
SSLVPN区别于传统的IPSecVPN最大的一点就是可以对用户访问应用层的资源进行权限控制，也就是说当一个用户登入SSLVPN之后，他不能象IPSecVPN用户那样自由的访问内网的所有资源，而必须接受SSLVPN的限制，这样更提高了VPN网络的安全性和稳定性，因此访问控制是中华卫士安全接入网关的核心安全服务。
中华卫士安全接入网关所使用的基于角色的访问控制便于管理员制定灵活的控制规则。
通过角色将系统的访问用户同系统保护资源联系起来，既直观，而且在访问控制策略发生变化的时候无须为每一种资源或者每一个用户修改权限；只需要修改某一种服务/角色/用户的属性。
另外中华卫士安全接入网关允许管理员限制用户访问权限的生效时间和失效时间，达到更细的控制粒度。
3.12完善的信息与状态监控
实时监控系统的各个状态有助于管理员预测可能发生的危害，和及时做出适当的反应。
中华卫士安全接入网关为管理员提供详细的日志记录，包括终端用户的登入，登出，认证，资源访问等，管理员对系统的设置信息等，同时为管理员提供了系统状态监控、在线用户状态监控、应用服务监控及统计图表。
中华卫士安全接入网提供的这些日志信息能帮助管理员设计及实现有效的安全策略。
考虑到有终端用户可能在公共的计算机上访问内部网络，并且用户有可能会忘记登出系统，这就会给系统的安全留下了隐患。
为了提供更严密的安全监管措施，中华卫士安全接入网关提供了在线用户监控和控制的功能。
管理员可以在中华卫士安全接入网关的管理界面上查看当前实时在线的用户，而且系统会自动判断每一个用户当前是否在使用中华卫士安全接入网关的服务。
如果发现某一个用户已经有一段时间没有访问服务，那么系统可以自动地将该用户从系统中断开。
另外，管理员也可以主动断开某些用户的连接。
中华卫士安全接入网关还支持对日志的定期导出，可以根据管理员的设置定期地将符合条件的日志形成文件传递到ftp服务器上去，便于数据的长期保存。
中华卫士安全接入网关也支持实时地通过Syslog把数据传递到外部的日志服务器，便于企业对信息系统的日志进行统一的管理。
3.13用户个性化体验
作为企业远程接入门户，用户可以通过中华卫士安全接入网关安全地进入到企业内部。
对大型企业而言，不同部门可能需要独立的登录界面，方便自己部门的远程用户、合作伙伴等能够直接识别并登录部门内部。
中华卫士安全接入网关提供了虚拟门户功能，用户通过不同URL登录会获得不同的登录界面，从而使得企业及部门都可拥有自己独立的远程接入门户。
为了让远程用户容易的识别出这是自己公司、或自己部门的入口，中华卫士安全接入网关为用户提供了方便的门户界面定制功能。
管理员可根据企业和部门的不同要求，针对相应虚拟门户界面，自定义登录界面的色彩，欢迎词，图片等内容。
远程接入用户往往不在公司内部，不一定能及时接收到公司内部消息。
中华卫士安全接入网关提供公告栏，能够发布简单的消息，使得远程用户登录后第一时间就可以获知企业的最新动态。
3.14良好的客户端体验
中华卫士安全接入网关设计中考虑到用户使用的方便性，因此特别提供客户端应用绑定功能，让用户可以针对某一个应用服务设定使用哪一种应用客户端软件。
当用户通过中华卫士安全接入网关登入内部网络时便可看到可访问的应用服务列表。
在列表中，用户可设置服务同自己喜欢的应用及启动该应用所需要的参数绑定在一起，一旦完成了以上设定，用户登录系统后便能直接点击服务名称来开启应用软件。
客户端应用绑定设置也可以由管理员完成。
3.15支持主机绑定
远程接入用户可能使用任意主机接入企业内部网络，这些主机可能是用户私有的，也可能是公共的，如机场、饭店等机构提供的主机。
公司私有主机当然比公共主机具有更高的安全性，因此，用户使用已知的可信主机接入企业是保证安全的更好选择。
中华卫士安全接入网关支持主机绑定功能，可以强制用户只能从指定主机接入企业内网。
接入主机的高可信度提高了远程接入的安全性，同时，在确认该主机安全的情况下，也有效地防止了非法用户盗用用户帐号后从其他主机访问企业。
中华卫士安全接入网关支持三种模式的主机绑定，不同模式下，用户拥有不同的取消绑定或重绑定能力，从而满足了企业不同安全级别的需求。
3.16细粒度客户端安全控制
中华卫士安全接入网关作为远程接入设备延伸了企业网络的边界，使远程接入的用户可以访问内部的应用或者整个网络，远程用户的计算机安全要求必须符合企业的安全策略，以避免因为远程计算机上的安全漏洞导致整个内部网络受到攻击，因此确保远程用户终端的安全措施满足企业的安全策略就成为确保企业整体系统安全的一个重要措施。
中华卫士安全接入网关支持基于用户的终端安全检查和缓存清除，可以根据管理员的设定检查远程计算机上是否安装了合适的防病毒软件，是否存在spyware，是否开启了不该开启的网络应用等，系统还可以根据管理员的定义清除指定的文件夹，这种灵活的终端安全措施可以帮助企业实施自己的终端安全策略，确保企业信息系统的安全。
3.17支持分支机构的局域网接入
企业许多分支机构不断扩充，对于新增单位，应实现与总部的快速连接，扩展方便，提高信息化基础建设效率，降低成本，增强核心竞争能力。
中华卫士安全接入网关除了可以提供远程用户接入之外，还可以提供两局域网络之间的互连，这个功能使得企业可以利用中华卫士安全接入网关构建自己的完整的VPN网络，而无须分别建设远程接入和网络VPN，能更好地适应企业不断发展和扩充要求。
利用中华卫士安全接入网关构建VPN网络无须考虑地址冲突和地址转换的问题，因为在中华卫士安全接入网关上是使用SSL协议来构建VPN网络，所以能够非常好的适应网络环境，并且中华卫士安全接入网关特别考虑了网络之间的地址冲突的问题，并提供了简单易用的解决方案。
4产品特色
作为一款综合的安全接入网关，中华卫士安全接入网关在允许远程访问的同时实现了以下安全功能：
●对内网资源的隐藏保护；
●对用户身份进行认证；
●根据管理员定义的安全策略和客户端的安全状况对用户进行动态授权；
●检测远端用户接入设备的安全状态；
●保证远端用户同内部网络的通信安全；
●实时监控远程接入的连接；
与此同时，中华卫士安全接入网关提供了双机备份，多ISP接入，客户端智能选路等网络适应能力，同时为了便于管理和审计提供了灵活的用户管理方式和方便的日志管理功能，该系列产品具有以下特色功能：
4.1符合国家SSLVPN标准
中华卫士安全接入网关的生产厂家卫士通公司正在参与国家SSLVPN产品标准的制定之中，这使中华卫士安全接入网关能更好的符合国家标准。
4.2支持商用密码算法
中华卫士安全接入网关支持国家商用密码算法（SM1），采用商用密码算法的中华卫士安全接入网关中内置密码卡，运行国家密码管理局批复的SM1商用密码算法，终端采用内置SM1商用密码算法的USBkey，以解决服务器端与客户端之间传输数据的加密问题，即，用SM1商用密码算法取代通用算法（DES，3DES等）来进行数据加密。
4.3无限同时（或并行）用户隧道
中华卫士安全接入网关提供无限制同时用户隧道，而不是每隧道许可证，从而能极大地减少与部署安全远程访问解决方案的成本。
4.4支持站点到站点的安全访问
中华卫士安全接入网关除了可以提供远程用户安全接入之外，还可以提供两个网络之间的安全访问。
4.5无缝集成到现有网络中
中华卫士安全接入网关可无缝集成到现有的网络环境中，企业无需购买其他硬件即可利用现有的网络基础设施组建VPN系统。
中华卫士安全接入网关基于SSL协议开发，企业员工及合作伙伴只要能上互联网（Internet）即可接入，无须安装VPN客户端软件，直接利用标准浏览器就可以安全地接入SSLVPN以及访问内部信息系统。
每个企业都有自己的一些应用系统或者部署一些常用的服务来满足业务的需要，比如使用Outlook的日历安排功能来安排会议；使用OA系统实现办公自动化。
员工主要的工作时间都是在企业内部使用这些特定的应用，因此员工在家里或者酒店需要访问这些企业资源时候也希望保持在公司内网中的使用习惯，不希望更换应用客户端软件，也不希望改变应用客户端的配置。
中华卫士安全接入网关支持用户无论在公司内网还是远程接入，都不需要更改用户的使用习惯，实现透明接入。
4.6灵活的用户管理，简
升级会员 