项目经验谈：校园网PN方案剖析.docVIP

随着教育信息化的深入，很多学校都建立了校园网，为了实现校内资源优化整合，让师生们更好的进行工作和学习，他们需要在校园网内部或在校外的远程节点上，随时享受校园网内部的各项服务，然而由于互联网黑客对各高校的资源虎视眈眈，在没有经过任何允许的情况下，黑客们很容易就潜入校园网内部进行捣乱，为此，多数校园网都不会将自己的各种应用系统和所有信息资源完全开放，因为这样让整个校园网面临无以估量的破坏性损失，为了网络安全考虑，将VPN技术应用于基于公共互联网构架的校园网，可以较好的解决校园网多校区、远程访问、远程管理等问题。 　　一、VPN如何解决校园网安全风险？ 　　对于校园网而言，它虽然给师生带来了资源共享的便捷，但同时也意味着具有安全风险，比如非授权访问，没有预先经过授权，就使用校园网络或计算机资源；信息泄漏或丢失，重要数据在有意或无意中被泄漏出去或丢失；以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息；不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪；利用网络传播计算机病毒等。那么，校园网利用VPN技术方案，是否能避免校园网的潜在安全隐患，杜绝上述情况的发生呢？ ? ??? 　　图1，普通校园网方案并不安全 ? ? 　VPN即虚拟私有网络技术，它的安全功能包括：通道协议、身份验证和数据加密，实际工作时，远程外网客户机向校园网内的VPN服务器发出请求，VPN服务器响应请求并向客户机发出身份质询，客户机将加密的响应信息发送到VPN服务端，VPN服务器根据用户数据库检查该响应，如果账户有效，VPN服务器将检查该用户是否具有远程访问的权限，如果该用户拥有远程访问的权限，VPN服务器接受此连接。在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密。简单来说，VPN可以通过对校园网内的数据进行封包和加密传输，在互联网公网上传输私有数据、达到私有网络的安全级别。 ? ??? 　　图2，校园网VPN方案更为安全 二、选择IPSec VPN还是SSL VPN？ 　　校园网VPN方案可以通过公众IP网络建立了私有数据传输通道，将远程或分校的分支办公室、合作伙伴、移动办公人员等连接起来，减轻了校园网的远程访问费用负担，节省电话费用开支，不过对于端到端的安全数据通讯，还需要根据实际情况采取不同的架构。一般而言，IPsec VPN和SSL VPN是目前校园网VPN方案采用最为广泛的安全技术，但它们之间有很大的区别，总体来说，IPSEC VPN是提供站点与站点之间的连接，比较适合校园网内分校与分校的连接；而SSL VPN则提供远程接入校园网服务，比如适合校园网与外网的连接。 ? ??? 　　图3，VPN可实现多校区资源共享 ??????? 从VPN技术架构来看，IPSec VPN是比较理想的校园网接入方案，由于它工作在网络层，可以对终端站点间所有传输数据进行保护，可以实现Internet多专用网安全连接，而不管是哪类网络应用，它将远程客户端置于校园内部网，使远程客户端拥有内部网用户一样的权限和操作功能。IPSec VPN还要求在远程接入客户端适当安装和配置IPSec客户端软件和接入设备，这大大提高了安全级别，因为访问受到特定的接入设备、软件客户端、用户认证机制和预定义安全规则的限制。而且这些IPSec客户端软件能实现自动安装，不需要用户参与，因而无论对网管还是终端用户，都可以减轻安装和维护上的负担。 ? ??? 　　图4，IPSec VPN实现数据访问的原理 ??????? 与IPSec VPN不同的是，SSL VPN是工作在应用层(基于HTTP协议)和TCP层之间，因而SSL VPN的零客户端架构特别适合于远程用户连接，用户可通过任何Web浏览器访问校园网Web应用，因而SSL VPN存在一定安全风险。而IPSec VPN需要软件客户端支撑，不支持公共Internet站点接入，所以安全性更高一些。但不可否认，SSL VPN依然更加适合大多数校园网，因为在互联网时代，更多的信息交流需要实现完全互通，比如SSL VPN提供更细粒度的访问控制、能够穿越NAT和防火墙设置、能够较好地抵御外部系统和病毒攻击、网络部署灵活方便等特点，为其在校园网应用中赢得了不少亮点。 ? ??? 　　图5，SSL VPN可实现校园网安全管理 三、VPN为校园网带来哪些应用？ 　　在校园网中，通过VPN给校外住户、分校区用户、出差远程办公用户、远程工作者等提供一种直接连接到校园局域网的服务。那么，VPN能为校园网带来哪些具体应用优势呢？首先就是办公自动化，比如校园办公楼共有40个信息点，此时可以通过校园网连至INTERNET用户，实现100M甚至1000M到桌面的带宽，并对财务科、人事科等科室进