建站
咨詢
售后
建站咨詢
新聞中心
在讀者的印象中，不安全的遠(yuǎn)程訪問隨處可見，它就像是一顆定時(shí)炸彈，隨時(shí)都有可能引爆。對(duì)于國(guó)家煙草專賣局而言，拆解這樣的隱形炸彈又需要極大的耐心和周詳?shù)目紤]。此前國(guó)家煙草專賣局IT負(fù)責(zé)人在接受采訪時(shí)透露，當(dāng)前局里已經(jīng)部署了專用的卷煙銷售管理系統(tǒng)和遠(yuǎn)程辦公OA系統(tǒng)，該系統(tǒng)設(shè)定為B/S架構(gòu)，很大程度上方便了員工在任何一臺(tái)電腦上以瀏覽器的形式訪問公司內(nèi)網(wǎng)。
創(chuàng)新互聯(lián)建站長(zhǎng)期為成百上千客戶提供的網(wǎng)站建設(shè)服務(wù)，團(tuán)隊(duì)從業(yè)經(jīng)驗(yàn)10年，關(guān)注不同地域、不同群體，并針對(duì)不同對(duì)象提供差異化的產(chǎn)品和服務(wù)；打造開放共贏平臺(tái)，與合作伙伴共同營(yíng)造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為廣西企業(yè)提供專業(yè)的成都做網(wǎng)站、成都網(wǎng)站建設(shè)，廣西網(wǎng)站改版等技術(shù)服務(wù)。擁有10多年豐富建站經(jīng)驗(yàn)和眾多成功案例,為您定制開發(fā)。
換句話說，包括國(guó)家煙草專賣局下屬各司局在內(nèi)的所有員工以及在全國(guó)各個(gè)地市出差的工作人員都能夠使用該系統(tǒng)。只是在允許進(jìn)行遠(yuǎn)程接入的同時(shí)，對(duì)于接入進(jìn)來的人員必須要有明確的權(quán)限劃分、嚴(yán)密的監(jiān)控措施，以防非法人員越權(quán)操作。
按照目前流行的遠(yuǎn)程接入方式進(jìn)行選擇，VPN當(dāng)仁不讓地成為國(guó)家煙草專賣局首先考慮的對(duì)象。但是，在到底是SSL VPN還是IPSec VPN的問題上，卻需要仔細(xì)而周全的考量。該負(fù)責(zé)人表示：“局里的員工在全國(guó)各地遠(yuǎn)程接入公司內(nèi)網(wǎng)時(shí)往往會(huì)采取各種各樣的方式，條件好一些的是通過子局內(nèi)網(wǎng)或是ADSL寬帶，但是條件不好的電話撥號(hào)也很常見。此外，使用無線通訊的3G網(wǎng)絡(luò)和地方網(wǎng)吧的也大有人在，而且因?yàn)榇蠖际墙荒觊g新配備的筆記本電腦，所以Vista系統(tǒng)遠(yuǎn)多于XP系統(tǒng)。”正是鑒于如此復(fù)雜的接入方式，國(guó)家煙草專賣局選擇了SSL VPN作為最終的技術(shù)方案。
SSL VPN的優(yōu)勢(shì)在于它是解決遠(yuǎn)程用戶訪問公司敏感數(shù)據(jù)的最簡(jiǎn)單、最安全的一種網(wǎng)絡(luò)形式。說它簡(jiǎn)單是因?yàn)槿魏伟惭b瀏覽器的電腦都可以使用SSL VPN，即SSL是內(nèi)嵌于瀏覽器中的，而傳統(tǒng)的IPSec VPN則必須為每臺(tái)終端機(jī)安裝客戶端軟件，非常不便。所以僅從這點(diǎn)來看，國(guó)家煙草專賣局選擇SSL VPN就是相當(dāng)?shù)拿髦牵瑫r(shí)也符合其原有辦公系統(tǒng)的B/S架構(gòu)要求。
雖然國(guó)家煙草專賣局確定SSL VPN作為OA系統(tǒng)遠(yuǎn)程接入的網(wǎng)關(guān)，但是在項(xiàng)目的具體部署上仍然需要費(fèi)些心思。據(jù)該項(xiàng)目的施工方衛(wèi)士通公司介紹，他們專門為國(guó)家煙草專賣局提供了全套中華衛(wèi)士SSL VPN網(wǎng)關(guān)。在具體實(shí)施中，全部系統(tǒng)采用了旁路部署的實(shí)施方案，將中華衛(wèi)士SSL VPN置于DMZ區(qū)。
記者的理解是，DMZ常常可以設(shè)置為一個(gè)不同于外網(wǎng)或內(nèi)網(wǎng)的特殊網(wǎng)絡(luò)區(qū)域。這樣，遠(yuǎn)程來訪者的訪問就僅僅局限于DMZ中規(guī)定的服務(wù)，他們不能接觸到存放在內(nèi)網(wǎng)中的機(jī)密或商業(yè)信息等。另外，即使DMZ中服務(wù)器受到破壞，也不會(huì)對(duì)內(nèi)網(wǎng)中的機(jī)密信息造成影響。
而在國(guó)家煙草專賣局的OA系統(tǒng)中，銷售管理系統(tǒng)又是由多臺(tái)服務(wù)器提供服務(wù)的。所以，施工方首先將系統(tǒng)中的每臺(tái)服務(wù)器都配置好，然后只保留其中一臺(tái)置于DMZ區(qū)域中作為登錄服務(wù)器之用，再把其它服務(wù)器都設(shè)置為隱藏狀態(tài)讓遠(yuǎn)程用戶無法看到。這樣就能既保證內(nèi)網(wǎng)的數(shù)據(jù)安全，同時(shí)又可以做到不破壞用戶原來的登錄習(xí)慣。
此外，由于國(guó)家煙草專賣局OA系統(tǒng)需要提前安裝使用環(huán)境，所以衛(wèi)士通把中華衛(wèi)士SSL VPN網(wǎng)關(guān)與OA系統(tǒng)進(jìn)行了綁定。同時(shí)采用單點(diǎn)登錄技術(shù)，用戶在登錄OA系統(tǒng)之后將通過后臺(tái)的SSL VPN進(jìn)行身份認(rèn)證，訪問授權(quán)，然后直接進(jìn)入OA系統(tǒng)進(jìn)行工作，省去了進(jìn)行二次登錄的麻煩。
總的來看，相對(duì)于IPSec VPN的安全權(quán)限只局限到網(wǎng)絡(luò)層，SSL VPN的所有訪問都是被限制在應(yīng)用層的。換言之，SSL VPN可以做到精細(xì)的權(quán)限控制策略，其細(xì)分程度甚至到了一個(gè)URL或一個(gè)文件。也就是說，SSL VPN對(duì)于遠(yuǎn)程訪問的控制更有效也更安全。
網(wǎng)頁標(biāo)題：破解遠(yuǎn)程訪問中的安全之道
本文地址：http://m.5511xx.com/article/dhgodpg.html
