宝界云VPN实现分支联互通解决方案.docVIP

宝界云VPN实现分支互联互通解决方案 一、用户需求 用户在全国各地有多个分支机构，希望实现分支之间的互联互通。各个分支都有自己的应用服务器需要被移动终端用户远程访问 各分支机构公网IP地址已经被其他出口网关设备占用，无法单独分配给VPN设备公网IP地址。 实现移动办公用户一次VPN拨号，就能同时访问所有分支网络的被许可访问的应用服务器。 某个分支网络中断，并不影响其他分支之间互联互通，防止了单点故障。 尽量减少互联后引起的网络安全问题，防止病毒跨网络传播。 各分支移动终端类型多种多样，要求VPN客户端兼容性好。 二、方案总体说明 考虑到客户端操作系统、网络环境的多样性，减少客户端的维护，本方案不采用一个VPN客户端向多个VPN设备发起链接，同时建多条VPN隧道的思路，特别是安卓、苹果手机无法实现建立多条隧道连接。 本方案宝界云VPN客户端支持各种版本的WINDOWS 32/64位操作系统、安卓操作系统。 本方案网关与网关的互联不采用传统IPSEC互联技术，而创新采用云VPN互联技术。 创新的采用了分布式VPN通道服务，使所有分支的VPN设备都可以在内网单臂部署，如果采用IPSEC?VPN互联，需要所有分支的VPN设备必须有公网IP地址。任何分支网络断了，都不会影响其他分支互联互通。移动终端拨号都是拨本分支的外网，不需要跨省拨号，拨号网络速度快 网络拓朴 方案说明 总部及各分支各部署一台宝界云VPN。 通过宝界云VPN设备实现上海(北京、上海(武汉、上海(深圳双向互联互通，通过分布式VPN通道技术，每个分支的云VPN设备都向其他分支的云VPN设备建立多个互联加密隧道。 通过设置安全策略限制总部与各分支服务器之间的数据通讯，例如端口限制、IP地址限制。 在各分支的宝界云VPN设备上分别创建自己部门的VPN移动用户账号 各分支的移动用户首先拨号至本分支的宝界云VPN设备，然后通过分支之间的SSL VPN互联隧道，实现互通。 针对手机或平板电脑用户，安卓操作系统可通过安装宝界VPN的APP、苹果操作系统可通过自带的PPTP VPN客户端，拨入对应分支VPN设备后，访问各分支的应用服务器。 宝界云VPN相关配置 4.1、VPN服务端设置 SSL VPN服务端参数设置 SSL VPN服务端参数设置 PPTP VPN服务端参数设置 分布式VPN通道参数设置 4.2、SSL VPN应用发布 外网用户登录上VPN网络后，可以访问其允许访问的一些应用。可以把企业内部网络的B/S应用（客户关系管理CRM、办公自动化OA、WEB进销存系统）通过加密和授权的方式发布在公网上，并可对远程VPN用户按角色定义其访问权限，不同权限的用户可以访问不同的WEB应用。传统的端口映射方式发布B/S应用,由于没有任何安全防范加密措施，离职人员、竞争对手可以随意的访问企业WEB应用，猜测用户密码，刺探重要企业财务、客户资料数据。 可通过如下进行发布。 4.3、VPN账号管理 账号的安全管理 账号与应用绑定 4.4、VPN客户端登陆 windows客户端登陆 VPN地址可以是动态域名或公网IP 用户名和口令是管理员分配的，并可以结合证书。 安卓客户端登陆 PPTP VPN客户端登陆 4.5、不同分支包过滤安全策略 例如对网段只允许通过HTTP协议，做如下安全策略。 图中所示，对访客网段做了安全策略，Net21网段只允许访问HTTP应用，其他不允许。 允许访问HTTP 80上网，不允许访问其他的，可以增加多个安全规则。 安全策略项目包括：序号、启用、源地址、目标地址、服务、动作、响应、时间、备注。 序号：策略序号越小，策略优先级越高。 启用： 打勾后则本条策略是启用。 源地址、目标地址：可以是在左边网络内定义的主机、服务器、接口地址、网络、地址段、域名、地址组任一对象。用鼠标将左边定义的网络对象拖动至源地址、目标地址处，即可。 服务：可以是在左边服务内定义的TCP、UDP、ICMP、其它服务、服务组任一对象。用鼠标将左边定义的服务对象拖动至源地址、目标地址处，即可。 动作：可以是接受、拒绝、丢弃三种操作。 方案优缺点 5.1、优点： VPN流量分流，充分利用了各分支出口带宽 互为热备，不会因为某一线路出问题，造成所有分支的VPN网络不能拨号 VPN账号由各分支自主建立，也可以由总部建立，相对来说比较灵活 5.2、缺点 各分支需要分别部署宝界云VPN设备，投入成本相对较大 30网段是SSLVPN使用网段 外网拨通SSLVPN后允许访问的内部网段 PPTP使用150网段 本地及远端通道地址 远端的内网主机能访问