VNN 在内网隔离的应用.pdf

VNN 在内网隔离的应用    用户需求：    大型企业和政府部门，根据员工的部门不同，他们的网络需要相互隔离。隔离后，不同部门 的电脑不仅不能互相在网络邻居里面看到，也不能互相访问。同一部门的电脑只能访问本部 门的文件服务器和应用服务器，而不能访问其它部门的服务器。    有的公司还有远程的用户，他们需要安全远程访问总部的服务器。希望属于不同部门的远程 用户，当他们接入到总部的内网的时候，也只能访问他们所属的部门的服务器。        目前解决方案和缺陷：    通过交换机的VLAN 和VPN 的域，配合路由器可以基本实现用户需求。这样的解决方案存在 如下的问题：    1. VLAN 的个数收到路由器和交换机的限制。  2. 需要更新设备到支持VLAN 的交换机和路由器。  3. 需要配置VPN ，给不同部门的人使用不同的域，并且保证不同域的远程登录帐号接入不 同的VLAN 。  4. 一般交换机的VLAN 是针对交换机端口的，不易于扩展，也不易于管理。如果使用支持 802.1X 的交换机，还需要配备相应的认证服务器和客户端软件。  5. 一旦增加或减少员工，需要同时更改交换机和路由器和VPN 的配置。  6. 在VLAN 里面的数据包不是加密的。    VNN 的解决方案：    VNN 是点到点的VPN 。每个电脑使用一个VNN 的帐号。根据帐号对应的访问控制策略，VNN 可以控制各个电脑之间是否可以通过VNN 的加密隧道通讯。    VNN 的访问控制策略由以下四个部分组成：  1. VNN 的组：不同组的成员一般不能互相访问。  2. 黑白名单：只有在白名单里面的成员可以互相访问。  3. 内置加密隧道防火墙：同组并且在白名单里面的成员，还受到相应的防火墙策略的控制。  4. 不同组之间的信任关系：通过服务器策略配置，可以让某些组之间互相访问。    通过 VNN 的访问控制机制，不但可以实现普通的VLAN 的隔离效果，还可以实现嵌套多级 的VLAN 的控制策略。不但网络数据隔离而且还是加密的。    VNN 作为软件VLAN ，还将VLAN 的策略延伸到远程用户。不但可以在局域网的电脑之间构 建软件VLAN ，也可以将远程用户自动统一分配到相应的VLAN 里面。不论用户在内部还是 外部，不需要更改配置，各个电脑所属于的软件VLAN 策略自动可以得到保障。        如上图所示，A 部门的电脑（绿色），不论是在内部网络还是在远程，都可以通过A 部门的 VNN 网关访问A 部门的服务器。B 部门的情况类似。在用户网络的DMZ 里面架设一台VNN 的认证服务器。VNN 的认证服务器根据用户登录的VNN 帐号的不同，给他们相应的访问控 制策略。    VNN 方案的优点：    VNN 软件VLAN 具有以下几个优点：    1. 部署简单：  a) 不需要改变公司或政府单位现有的网络结构。  b) 不需要升级交换机、路由器。  c) 只需要在每部门安装一个VNN 的网关，该部门所有的服务器不需要安装VNN 软件。  d) 管理员只需要在一个服务器上面配置全部的访问策略，不需要同步各种设备。  2. 安全：  a) 网络数据，不论是在互联网还是局域网，都是加密传输的。  3. 丰富的安全和控制功能：  a) 可以简单控制远程员工的电脑只能访问内网该部门的服务器。  b) 可以简单控制内网员工的电脑只能访问内网该部门的服务器。  c) 可以控制不同分支机构里面的电脑是否可以互相访问。  d) 服务器只能被员工的电脑访问，而不能反向访问这些员工的电脑。  e) 管理员集中配置各种安全服务策略，用户不能修改自己的策略。  4. 高扩展性：不论今后需要增加多少不同的部门或子部门以及每个部门里面员工或服务器 的增加，都不