DirectAccess在多校区财务子网中应用.docVIP

DirectAccess在多校区财务子网中应用 　　摘要：使用VPN进行远程访问时存在局限性，为此详细研究微软下一代远程访问技术DirectAccess，及其所使用的部分关键协议，如IPSec ESP 隧道、Windows PKI、名称解析策略、IPv6 over IPv4隧道等。最后，在相对开发的校园网上实现了一个跨校区传输财务数据的具体案例，这对有类似需求的机构或单位具有一定的借鉴价值。 关键词： DirectAccess；财务子网；多校区；隧道；VPN 中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）06-1191-03 The Application of DirectAccess in Finance Subnet across Multi-school District LU Zhao-hui1，DU Jia-yan2 （1.Network Center， Hainan Normal University， Haikou 571158，China；2. Finance Department， Hainan Normal University， Haikou 51158，China） Abstract：Faces to limitation of virtual private network as a remote access method organizations or receive units， This paper mainly introduces DirectAccess， a new solution that provides users with the same experience working remotely as they would have when working in the office， and further details some key protocol of DirectAccess， such as ESP tunnel of IPSec， windows PKI， NRPT， and some IPv6 over IPv4 tunnel. Lastly， implements a live system on open campus network which transport finance data across Multi-school District. It provides certain reference and guidance for other organizations or units which have fairly similar requirements. Key words： DirectAccess； finance subnet； multi-school district； tunnel； VPN 近年来，多校区办学已逐渐成为高校普遍的运作方式。在这种格局之下，如何解决财务数据等敏感信息跨校区安全共享和交流是学校信息化建设所亟待解决的问题之一。当前，大多数学校通过在校园网上部署技术成本低且具有高安全性、高可靠性等优点的VPN技术[1][2]来解决这一问题，但是VPN技术存在如下几个方面的局限性：1）用户需要通过输入认证信息、拨号、等待认证等环节来建立安全连接，而这一过程对用户来说并不是透明的；2）在拨通VPN的情况下，如果您要访问Internet的情况，还是要通过intranet来进行中转，这无疑造成了带宽的浪费，同时用户访问Internet的体验也有所下降；3）VPN需要连接特定的端口，如PPTP 的1723端口等，而这些端口在很多有防火墙或者使用代理上网的场合并没有开启，当然VPN连接也就不能正常建立了；4）只有当用户启用VPN连接后IT管理员才可以访问到用户的机器，这使得哪些未连接的计算机不在IT管理员的可控范围之内。 针对上述局限性，该文研究微软新推出的下一代远程访问技术DirectAccess[3]，并将其应用于解决某学校分校区财务终端安全接入主校区财务子网的问题。 1 DirectAccess的工作原理 DirectAccess[3]是Windows Server 2008 R2和Windows 7中的一项新功能，它利用先进的IPv6和IPSec技术在远程客户端和企业内网之间自动建立一条跨越Internet的双向连接。实际上，DirectAccess在工作时需要先后创建两条使用Triple Data Encryption Standard （3DES）或 the Advanced Encryption S