华为海关信息系统vpn及加密解决方案

海关信息系统VPN及加密解决方案客户需求安全可靠的网络互联和加密数据传输设计方案要点安全可靠的网络互联和基于VPN隧道的加密数据传输华为Quidway系列多协议路由器，支持PPP、FR、X25、SLIP、HDLC等网络协议，用户可通过各种广域网线路接入Internet及互联互访。路由器内置安全防火墙、NAT、RADIUS安全认证，以及CALLBACK等多项互联安全防护功能；并通过CA认证协议的验证和IPSec隧道协议，在Internet上构建安全可靠的网络通道，基于硬件的数据加密，将保密数据加密后在隧道上传输，加密数据有可靠的保密性但牺牲了效率；非保密数据可以通过一般11性安全处理在隧道上传输，保证较高的转发速率。硬件加密的算法采用专门的芯片（经过国家相关部门批准）进行加密，密钥长度大于128位，并提供高强度的一次一密功能。配合完全自主知识产权的软硬件平台，提供网络的安全互联和数据的安全传输的安全解决方案。而备份中心的可靠性备份解决方案，实现多种线路之间的任意备份和业务分担，为网络提供业界最坚固的保护屏障，保证网络的可靠运行。主要设备QuidwayR1603/1604路由器QuidwayR2501路由器QuidwayR2509/2511路由器QuidwayR3640/4508模块化路由器QuidwayS2403以太网交换机虚拟私有网（VPN）技术及其应用深圳华为技术有限公司北京研究所王盛摘要：本文通过对VPN技术的介绍，阐述了VPN技术在应用方面的优势，同时结合华为公司的接入服务器，对VPN的功能进行了说明。VPN概要和技术：VPN概述：虚拟私有网（VirtualPrivateNetwork,VPN），又称虚拟私有拨号网（VirtualPrivateDialupNetwork,VPDN），是近年来随着Internet的发展而迅速发展起来的一种技术。现代企业越来越多地利用Internet资源来进行促销、销售、售后服务，乃至培训、合作等活动。许多企业趋向于利用Internet来替代它们私有数据网络。这种利用Internet来传输私有信息而形成的逻辑网络就称为虚拟私有网。虚拟私有网实际上就是将Internet看作一种公有数据网（PublicDataNetwork），这种公有网和PSTN网在数据传输上没有本质的区别。因为从用户观点来看，数据都被正确传送到了目的地。相对地，企业在这种公共数据网上建立的用以传输企业内部信息的网络被称为私有网。至于“虚拟”，则主要是相对现存企业Intranet的组建方式而言的。通常企业Intranet相距较远的各局域网都是用PSTN物理线路相连的，而虚拟私有网提供的是Internet上的虚拟链路。这种利用Internet来组建私有网的方式对Internet服务提供商（ISP）和VPN用户都是有益的。无庸置疑，ISP的利润大量来自于企业用户。通过向企业提供VPN服务，ISP可以与企业建立更加紧密的长期合作关系，同时充分利用现有网络资源，提高业务量。事实上，VPN用户的数据流量较普通用户要大得多，而且时间上也是相互错开的。VPN用户通常是上班时间形成流量的高峰，而普通用户的流量高峰期则在工作时间之外。ISP对外提供两种服务，资源利用率和业务量都会大大增加。而对于VPN用户而言，利用Internet组建私有网，将大笔的专线费用缩减为少量的市话费用和Internet费用，无疑是非常有吸引力的。如果愿意，企业甚至可以不必建立自己的广域网维护系统，而将这一繁重的任务交由专业的ISP来完成。正由于其强大的吸引力，VPN在全球发展得异常红火，在北美和欧洲，VPN已经是一项相当普遍的业务；在亚太地区，该项服务也迅速开展起来。著名的网络提供商GlobalOne在香港地区的VPN服务已经大规模开通。而在中国大陆，网络服务提供商也开始设立VPN服务。2、VPN的基本技术以某企业为例，通过VPN建立的企业内部网图示如下：图中可以看到，企业内部资源享用者通过PSTN网连入本地ISP的POP（PointofPresence）服务器，即可相互通信，而利用传统的WAN组建技术，彼此之间要有专线相连才可以达到同样的目的。虚拟网组成后，出差员工和外地客户甚至不必拥有本地ISP的上网权限就可以访问企业内部资源。这对于流动性很大的出差员工和分布广泛的客户来说是很有意义的。企业开设VPN服务所需的设备很少，只需在资源共享处放置一台VPN的服务器（如一台WindowsNT或支持VPN的路由器）就可以了。资源享用者通过PSTN连入本地POP服务器后，直接呼叫企业的远程服务器（VPN服务器）。呼叫的方式和拥有PSTN连接的呼叫方式完全是一样的，剩下的工作就完全由ISP的接入服务器（AccessServer）来完成。下面简要说说ISP是如何完成这个任务的。Figure2NAS（NetworkAccessServer,网络接入服务器）主要使用了一种称之为tunneling的技术。这种技术的主要思想是要将一种类型网络的数据包通过另一种类型网络进行传输。上图中，用户通过PSTN网拨入ISP的NAS服务器，NAS服务器通过用户名或接入号码识别出该用户为VPN用户后，就和用户的目的VPN服务器建立一条连接，称为隧道，然后将用户数据包封装成IP报文后从该隧道传送给VPN服务器，VPN服务器收到数据包并拆封后就可以读到真正有意义的报文了。反向的处理也一样。隧道两侧可以对报文进行加密处理，使Internet上的其他用户无法读取，因而是安全可靠的。对用户来说，隧道是其PSTN链路的逻辑延伸，操作起来和存在物理链路相同。支持这种tunneling技术的NAS--VPNServer间协议主要有三种。一种是微软、Ascend、3COM等公司支持的PPIP（PointtoPointTunnelingProtocol，点对点通道协议），在WindowsNT4.0以上版本中即有支持。另一种是Cisco北方电信等公司支持的L2F（Layer2Forwarding，二层转发协议），在Cisco路由器中有支持。而由IETF起草，微软Ascend、Cisco、3COM等公司参予的L2TP（Layer2TunnelingProtocol，二层通道协议）结合上述两个协议的优点，为众多公司所接受，相信各公司的新产品都会对它进行支持。由于传输的是私有信息，VPN用户对数据安全性比较关心，下面就这个问题略加说明。在数据传输过程中，用户和他的VPN服务器之间可以协商数据加密传输。加密之后，即便是ISP的NAS，也无法看到数据包的内容。而且即使是用户不对其数据加密，NAS和VPN服务器建立的隧道两侧也可以协商加密传输，使得Internet上的其他用户无法看到隧道中传输的数据信息。因此VPN服务的安全性是完全可以放心的。A8010的VPN功能深圳市华为技术有限公司新研制的接入服务器A8010是一种高性能、大容量的接入服务器。A8010的VPN功能也是非常丰富的，具体表现在它的多协议，多接入方式，业务开设和使用简单，支持多种新业务以及安全可靠等方面。1、多协议：A8010的VPN支持全部PPTP、L2F和L2TP三种协议。PPTP的VPN服务器对象主要是WindowsNT。小型企业利用WindowsNT作为VPN服务器，不用另购支持VPN的路由器。操作也很简单，用户管理直接在WindowsNT上完成。L2F的VPN服务器对象则主要是Cisco路由器。WindowsNT作为VPN服务器对于大型企业而言，接入带宽不够，用户管理也不够安全，而用路由器配备Radius服务器来作VPN服务器，则能满足要求。而L2TP作为更优更新的标准，必为更多的设备所支持，将是使用最广泛的VPN协议。Figure3多种VPN协议提供给用户足够的选择余地，而且协议的选择也非常的简单，只需在开设VPN业务时说明其VPN服务器类型及选择的协议。企业可以有多台VPN服务器，也可以选择多种协议，并且由用户选择服务器和协议的优先选择顺序。2、多接入方式：从连接链路的性质上分，A8010支持的接入方式包括模拟拨号用户，数字拨号用户和专线用户，这三种方式都提供有VPN的支持。而就VPN用户和普通用户的区分方式来说，A8010提供的VPN接入方式包括被叫号码接入，用户名接入和出租端口三种方式。Figure4被叫号码接入方式中，企业在开设VPN业务时，ISP分给该企业一个特殊的被叫号码。该企业的VPN用户在使用该项服务时，通过该号码连入A8010，A8010根据用户信息找到对应的VPN服务器，通信就可以开始了。用户名接入方式中，用户仍和普通上网用户一样使用普通被叫号码呼叫ISP，呼通之后输入特定的用户名（通常是用户名@域名）。A8010根据域名连接VPN服务器，余下的过程和被叫号接入方式完全相同。还有一类用户，由于其VPN业务量大，需要保留若干条链路，以保证呼叫通畅。这种情况下，A8010可以提供线路预留或出租中继的端口的业务。3、支持的新业务：1)漫游：A8010支持漫游。企业只需在一个地方申请VPN业务，就可以在全国各地使用VPN服务。用户拨入当地的ISP时，甚至可以不必在该ISP上拥有帐户，这对出差职员或客户支持是非常有用的。2)保留带宽：A8010可以为接入用户保留一定数量的链路，以保证用户呼叫时不至于更阻。是否保留带宽和保留多少条链路则是在开设VPN业务时由企业自己决定的。3)代理验证：A8010可以为企业代理验证VPN用户。通常VPN用户是由企业的VPN服务器来进行验证和计费的，而对一些业务量大而又缺乏维护人力物力的企业来说，可以将验证、安全性检查和计费等任务交给A8010来完成。4)拨出业务：A8010提供拨出业务。在通讯的两端都有VPN服务器或者需要支持回呼的情况下，A8010可以为用户提供拨出功能。Figure5如图，可以由一台VPN服务器呼叫另一台VPN服务器，或者由VPN服务器呼叫普通用户。4、安全性对于VPN业务，企业比较关心的一个问题能是传输的安全性。在这个问题上，A8010提供全面的安全性保证。首先，A8010可以应企业的要求，在VPN用户拨入时对他的身份进行验证，然后才建立隧道，将用户交由VPN服务器进行再次验证。其次，A8010对用户数据包进行完整转发，并不读取数据包的内容。因此，用户可以对它的数据进行加密，而不会影响A8010的工作，而且此时即使是A8010也无法读取用户数据。第三，A8010支持A8010到VPN服务器间隧道的数据加密。这样，即使拨入用户不对其数据加密，由于A8010的工作，Internet上的其他用户也无法读取VPN用户的私有数据。公安信息系统解决方案客户需求分局派出所的接入与互联互通简单、方便、低价的派出所组网方案低成本、低维护量、使用放心、服务可靠的网络方案安全可靠的网络互联和数据传输设计方案要点分局派出所的接入与互联互通华为Quidway系列多协议路由器，支持PPP、FR、X.25、SLIP、HDLC等网络协议，可为用户提供同步专线、异步专线、电话拨号线等多种线路方式的接入。华为QuidwayR2509/2511接入路由器可作为地市公安网络中心的接入设备，为分局、派出所等提供X.25、FR、异步专线、电话线拨入等方式的接入；QuidwayR4001企业级中心路由器，具有一个高速多协议同异步串口和一个CE1/PRI接口，作为地市中心接入设备，可同时接入30路的ISDNBri用户或30路64KDDN用户。华为QuidwayR3640/4508模块化中心路由器，具有丰富的网络业务接口模块，可作为省局网络核心路由设备，为各地市分局网络提供FR、DDN、X.25、ISDN、PSTN等多种接入互联服务及强大的路由处理能力。QuidwayA8010refiner企业级接入服务器，具有强大的PSTN和ISDN接入能力，其可扩展的结构，能为公安系统提供充分的PSTN/ISDN用户接入端口。简单、方便、低价的派出所组网方案华为QuidwayR1600系列路由器，具有造型美观、功能强大、价格低廉、使用方