珠海电厂VPN应用方案.docVIP

－、企业应用背景 1．发电企业的行业特点就是生产工艺过程复杂、设备可靠性要求高、资产密集、多专业的集成、生产实时性要求高。 2．现代大型发电企业出于环保因素的考虑，大多数建设在城市的边缘，员工分散居住在市区，上班往返路程较长。人员精简，生产管理人员出差比较频繁。 3．现代大型发电企业信息化建设比较全面，许多生产管理工作已经流程化、网络化、都在计算机上进行。 二、珠海电厂信息化应用现状和需求分析 珠海电厂是粤电集团直属的大型火力发电厂，较早就开展企业信息化建设，先后建成了办公自动化系统、EAM系统、厂级实时监测系统（sis）、运行管理及其它应用系统，基本实现了从生产到管理的全过程信息化。在计划构建移动办公系统的时候，珠海发电厂的企业内部网并没有直接与Internet连接，而是用一台路由器与粤电集团的集团网连接，通过粤电集团总部的专线宽带与Internet连接；也就是说，珠海发电厂没有自己的私有IP地址。 企业IT应用水平的提高，信息系统在企业生产经营管理活动中的作用自然日益重要。于是企业生产管理中遇到了一个重大的瓶颈：由于公文的处理、采购的审批等相关工作都是通过软件的流程进行，当流程中的一位相关人员在家休假（上班路程遥远）、出差在外时，该流程就无法继续运作，通常的解决方法是相关人员休假、出差之前首先通过企业的OA系统声明授权给其他人员，并且留下各系统的帐户口令，待其返回厂内后再修改密码，这样操作时有一定的局限性；并且生产管理人员如果较长时间出差在外，也希望能够及时了解企业的生产实况。因此，构建一个移动办公系统就迫在眉睫了。 三、项目的规划目标和投资情况 企业各级生产管理人员无论是下班、休假、或在外出差时都能随时随地掌握本企业的各类生产、管理信息以及进行电子公务处理、公文批阅、采购审批等等工作。 投资情况：SinFor软件、CDMAIX卡、无线和宽带一年的网络使用。 四、项目的具体方案和关键技术 4．1 无线上网： 珠海电厂为每位出差在外，需要移动办公的管理人员配置了一台笔记本电脑和一张带PCMIAC接口的CDMA1X卡，当员工用此卡访问Internet的时候，可以获得数倍于普通MODEM拨号的速率和一个私有的IP地址。 4．2 VPN接入： VPN（虚拟专用网）是依靠ISP在公用网络中建立专用的数据通信网络的技术。IETF组织对基于IP的VPN解释为：通过专门的隧道加密技术在公共数据网络上仿真一条点到点的专线技术。 1、传统的VPN技术： 目前广泛采用的两种VPN技术方案有：基于SSL协议的VPN和基于IPSEC协议的VPN。 SSL协议： SSL（Secure Socket Layer，安全套接字层）工作于会话/应用层，应用于Web浏览程序和Web服务程序，提供对等的身份认证和应用数据的加密，一般而言，典型的SSL VPN被认为最适合于普通远程员工访问基于Web的应用。SSL是一个端到端的协议,因而是在处于通信线路端点的机器上实现，而不需要在通信通路的中间节点（如路由器或防火墙）上实现，并且由于不需要安装客户端软件，仅仅通过浏览器就可以实现VPN的连接，因此SSL VPN相对成本比较低，而且不受网络环境的限制，但是虽然理论上SSL可以用于保护TCP/IP通信，但事实上SSL的应用几乎只限于访问基于Web服务器的应用。 IPSEC协议： IPSEC工作于网络层，是一个开放的结构，定义在IP数据包格式中，不同的加密算法都可以利用IPSEC定义的体系结构在网络数据传输过程中实施。IPSEC协议可以设置成在两种模式下运行：一种是隧道（tunnel）模式，一种是（transport）模式。隧道模式下，IPSEC把IPV4数据包封装在安全的IP帧中。传输模式是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。IPSEC几乎可以为所有的应用提供访问，包括客户端/服务器模式和某些传统的应用，但是由于基于网络层，不能穿越通常的NAT，防火墙。 2、Sinfor DLAN 和 WebAgent技术 显然，传统的VPN技术不能直接用于构建珠海电厂的移动办公系统，因为有个共同的局限：VPN隧道的两端都必须有有效的IP地址，无论是静态的或动态的，而这正是珠海电厂网络现状所不具备的。 因此，根据珠海电厂无法获得私有的IP地址的现状，珠海电厂采用深信服公司的Sinfor DLAN VPN平台和其独有的WebAgent动态寻址专利技术构建移动办公系统。 SINFOR DLAN 遵循SINFORSL协议是改进的IPSEC协议。通过IPSEC在Internet上建立安全可信的隧道，各实体之间的数据都是通过安全隧道传递，安全隧道的实现方式如下图所示： 局域网内原始IP的IP头包含本局域网信息。经加密后，多个原始I