XX公司VPN网络设计方案.docVIP

XX公司VPN网络设计方案 第一章、网络现状及需求概况 1.1 网络现状 XX公司现有网络的网络设备是由三台Cisco 2960接入交换机、一台Cisco 3560和一台Netscreen SSG 550组成，所有用户连接于Cisco 2960，汇聚于Cisco 3560，然后通过Netscreen SSG 550连接至XX网络，网络内所有用户端机器和网络设备均使用网段的私有网络地址，网络连接结构如下图： 1.2 需求概况 XX公司现有的近五百用户中，有部分领导希望能够在家中或者在出差的时候仍然可以连接入公司的网络内正常访问公司的OA系统进行正常的办公。 第二章、实现VPN网络的基本要素 要实现VPN网络要求具备如下几个基本要素： 2.1 固定IP地址 公司用户要想从家中或者出差当地的酒店或宾馆网络通过VPN方式连入公司网络就要求公司必须具备一个固定的公网IP地址，否则用户在公司网络之外就无法找到公司的网络。 2.2 VPN网关设备 公司内部必须具有供用户通过VPN方式连入的设备，并且这种设备需要填写公司的固定公网IP地址以便用户找到公司网络，这种设备就是VPN网关设备。 2.3 VPN客户端软件 用户端机器上需要安装VPN客户端软件，以方便用户通过VPN的方式拨号进入公司网络。根据采用的VPN协议不同，客户端软件又可以分为PPTP客户端、L2TP客户端、IPSEC客户端、SSL客户端等。 2.4 VPN身份认证机制 在用户使用VPN客户端通过VPN方式拨号进入公司网络的过程中，VPN网关将会对VPN客户端进行身份认证以确保只有合法用户才可以连入公司网络。现在使用于VPN网络的身份验证机制主要包括用户名加密码验证模式和数字证书模式两种。 第三章、VPN网络的实现 3.1 Internet接入线路的申请 由于XX公司网络是连接于XX网络内的，所以现有网络不具有属于自己的Internet出口，也就没有固定的公网IP地址，以现有网络状况是无法创建VPN网络的。 为了创建网络，需要向电信申请一条ADSL专线来满足创建VPN网络的需求。向电信申请30用户的电信线路，现有资费模式中最为合适的应该属于1888包月、免安装费、带宽为4M的资费标准。 3.2 VPN网关的部署 3.2.1 VPN网关的配置选型 做为实现VPN网络的核心设备VPN网关，我们推荐使用华盾VPN网关100，设备参数如下： 项目 型号 华盾VPN100 电源要求 输入电压（AC/DC） AC100~240V, 50-60Hz 功耗（W） 65W 环境参数 工作温度 0～+40oC 工作湿度 20～90％，不结露 保存温度 -20～+70oC 保存湿度 5～95％，不结露 物理指标 尺寸（HⅹWⅹD） 427.5(W)×300(D)×45(H) (mm) 标准机架式1U机箱 重量（Kg） 6.2Kg 系统接口 网络接口 3*10/100MBase-T Ethernet 串口 2个RS232串行控制口 USB接口 1个USB接口 VPN性能指标 并发隧道数 500条 峰值加密速度 ≥20Mbps（ipsec吞吐率） FireWall吞吐率 95Mbps 最大并发会话数 200，000条 平均无故障工作时间 60，000小时 支持协议标准 IPSEC协议 ESP、AH、IKE、NATT（0.6） 协议封装模式 隧道模式封装和传输模式封装 IKE认证方式 支持预共享密钥、数字证书 IKE交换模式 主模式、野蛮模式、快速模式 支持加密算法 对称密钥算法 DES、3DES、AES、blowfish、two fish、国家密码管理机构批准的高强度算法 非对称密钥算法 DH1024、DH2048、RSA1024、RSA2048 摘要算法 MD5、SHA1、SHA2 支持接入方式 支持接入方式 支持专线宽带接入、小区宽带接入、ADSL宽带接入、CABLE MODEM宽带接入、ISDN拨号接入、普通电话拨号接入等多种Internet接入方式； 网关附加功能 防火墙 状态包过滤、NAT地址转换、IP-MAC地址绑定等完善的防火墙功能 双机热备 支持双机热备 DHCP 支持DHCP服务器及客户端 带宽管理（Qos） 支持多优先级、多队列多种排队算法的动态带宽管理策略 DDNS 支持DDNS的动态域名解析 3.2.2 VPN网关的安装部署 我们将来自电信的线路接入华盾VPN网关100，然后再在现有的Cisco 3560上找一个空余口转换为三层接口并与网盾VPN网关内网口设置同一网段IP地址后，将VPN网关100和Cisco 3560连接起来并配置相应路由以保证VPN 1