SSL VPN使網(wǎng)絡(luò)安全延伸

文/張新華

應(yīng)用了深信服SSL VPN之后，河海大學(xué)在家或出差的教師可直接訪問(wèn)學(xué)校所發(fā)布的資源。

資源共享、遠(yuǎn)程辦公是網(wǎng)絡(luò)給現(xiàn)代社會(huì)最大的貢獻(xiàn)之一。在以科研教育為本職的高校中，各種學(xué)術(shù)文獻(xiàn)、教學(xué)資料及前沿技術(shù)共享的重要意義，更顯得尤為突出。而高校網(wǎng)絡(luò)環(huán)境又是較為特殊的環(huán)境，由于內(nèi)網(wǎng)主機(jī)容量大，往往組成了結(jié)構(gòu)較為復(fù)雜的校園網(wǎng)絡(luò)。共享資源往往集中在圖書(shū)館搭建的本校電子數(shù)據(jù)庫(kù)，以及采用的校外電子數(shù)據(jù)庫(kù)中，形成校內(nèi)資源共享的格局。

校園網(wǎng)的壁壘

作為國(guó)內(nèi)水利研究的排頭兵，河海大學(xué)的信息化建設(shè)也走在前列。早在網(wǎng)絡(luò)技術(shù)興起之初，河海大學(xué)就著手建設(shè)以各校區(qū)為基本單位、數(shù)據(jù)互通的校園網(wǎng)絡(luò)，并以此為基礎(chǔ)開(kāi)展校內(nèi)信息化建設(shè)。建立了圖書(shū)館電子書(shū)庫(kù)、辦公自動(dòng)化平臺(tái)等一系列校內(nèi)應(yīng)用，并購(gòu)置了各種期刊數(shù)據(jù)庫(kù)資源，支持廣大師生的科學(xué)研究、教學(xué)及管理工作。

為了保障應(yīng)用的安全穩(wěn)定運(yùn)行，在建設(shè)之初就限定了將這些應(yīng)用平臺(tái)、期刊數(shù)據(jù)庫(kù)資源只能在校園網(wǎng)內(nèi)使用，避免受到因特網(wǎng)上不安全因素的威脅。但在使用過(guò)程中河海大學(xué)發(fā)現(xiàn)，這樣的做法在提供安全保障的同時(shí)，卻也樹(shù)立起了一道壁壘：住在校外的教師或是出差的教師，使用的是電信或是聯(lián)通的互聯(lián)網(wǎng)線路，無(wú)法訪問(wèn)使用這些圖書(shū)館電子書(shū)庫(kù)、期刊數(shù)據(jù)庫(kù)以及學(xué)校的辦公自動(dòng)化平臺(tái)。教師們?cè)谛９ぷ鲿r(shí)這些數(shù)據(jù)庫(kù)與辦公平臺(tái)給予的助力非常大，一旦無(wú)法訪問(wèn)，造成的不便可想而知。

安全延伸路在何方

近年來(lái)，VPN作為移動(dòng)點(diǎn)網(wǎng)絡(luò)安全延伸的應(yīng)用越發(fā)普遍，河海大學(xué)在接受到教師的遠(yuǎn)程訪問(wèn)需求反饋時(shí)，就將解決方案定位到這種安全虛擬專用網(wǎng)構(gòu)建技術(shù)之上。現(xiàn)今的VPN技術(shù)多樣，就網(wǎng)絡(luò)層次而言就有SSL VPN、IPSec VPN、PPTP、L2TP等多種VPN技術(shù)。但從使用的便利性、穩(wěn)定性、功能的多樣性方面考慮，SSL VPN無(wú)疑是一種最好的選擇。

從教師方面考慮，使用的便利性應(yīng)該是考慮之重。IPSec VPN、PPTP、L2TP三種VPN 在用戶的使用上，都需要通過(guò)客戶端撥號(hào)的方式進(jìn)行，還需要進(jìn)行較為繁瑣的配置。不僅會(huì)加大IT人員管理維護(hù)上的工作量，更重要的是會(huì)加大教師們上手的難度，不易推廣。

而SSL VPN這種基于應(yīng)用層實(shí)現(xiàn)的技術(shù)，依靠的是瀏覽器中內(nèi)嵌的SSL VPN協(xié)議，無(wú)需安裝客戶端軟件和配置。教師在登錄SSL VPN的時(shí)候，只需要如同日常登錄網(wǎng)銀、郵箱一樣，打開(kāi)瀏覽器訪問(wèn)SSL VPN登錄頁(yè)面，完成密碼認(rèn)證等身份校驗(yàn)，即可成功登錄，之后的使用就如同在校園內(nèi)訪問(wèn)一致。這樣的VPN建立方式十分切合教師們?nèi)粘５木W(wǎng)絡(luò)使用習(xí)慣，無(wú)論是使用還是推廣上都十分便利。

SSL VPN助校園網(wǎng)安全延伸

通過(guò)SSL VPN建設(shè)方案的綜合比對(duì)，并參考其他兄弟院校的遠(yuǎn)程接入平臺(tái)，最終河海大學(xué)選擇了深信服千兆級(jí)高端SSL VPN。將SSL VPN以單臂模式部署在核心交換機(jī)上，向互聯(lián)網(wǎng)安全的發(fā)布辦公自動(dòng)化平臺(tái)、圖書(shū)館資源及期刊數(shù)據(jù)庫(kù)資源。在家或出差的教師可直接使用互聯(lián)網(wǎng)線路接入SSL VPN，訪問(wèn)通過(guò)SSL VPN所發(fā)布的資源。

河海大學(xué)原有人事數(shù)據(jù)庫(kù)服務(wù)器、Radius服務(wù)器，為了保證用戶帳號(hào)的統(tǒng)一管理，避免需要記憶多套帳號(hào)密碼的麻煩，在搭建SSL VPN平臺(tái)時(shí)采用了Radius聯(lián)動(dòng)、人事數(shù)據(jù)庫(kù)服務(wù)器聯(lián)動(dòng)的方式設(shè)置用戶認(rèn)證。同時(shí)，采用了軟鍵盤、圖形校驗(yàn)碼、密碼需包含數(shù)字字母等安全策略加強(qiáng)認(rèn)證的安全性。而在保證接入主機(jī)的安全強(qiáng)度上，通過(guò)客戶端安全檢查策略，規(guī)定了用戶的操作系統(tǒng)版本及補(bǔ)丁，避免了主機(jī)上的漏洞給校內(nèi)資源的安全防護(hù)開(kāi)后門。

河海大學(xué)通過(guò)本次SSL VPN平臺(tái)的構(gòu)建，便捷地實(shí)現(xiàn)校園網(wǎng)的安全延伸。經(jīng)過(guò)一年多的實(shí)際使用，教師們普遍反應(yīng)使用狀況良好，大大方便了在校外的工作學(xué)習(xí)。

河海大學(xué)是一所擁有95年辦學(xué)歷史，以水利為特色，工科為主，多學(xué)科協(xié)調(diào)發(fā)展的教育部直屬全國(guó)重點(diǎn)大學(xué)，是實(shí)施國(guó)家“211工程”重點(diǎn)建設(shè)的高校之一。

針對(duì)問(wèn)題：教師需要在校外調(diào)研、在家、出差等時(shí)候可訪問(wèn)到辦公自動(dòng)化平臺(tái)、圖書(shū)館資料庫(kù)、大量教育網(wǎng)資源等校內(nèi)應(yīng)用；IT管理人員在外需要可實(shí)時(shí)接入校園網(wǎng)絡(luò)中對(duì)各種網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程的維護(hù)。

應(yīng)用規(guī)模：于河海大學(xué)主校區(qū)部署深信服SSL VPN高端設(shè)備一臺(tái)，為教師提供遠(yuǎn)程接入訪問(wèn)校內(nèi)資源服務(wù)，為IT管理人員提供校內(nèi)設(shè)備遠(yuǎn)程維護(hù)服務(wù)。

應(yīng)用效果：

1. 教師可在校外接入校園網(wǎng)絡(luò)訪問(wèn)校內(nèi)、教育網(wǎng)的各種資源進(jìn)行辦公、學(xué)習(xí)；

2. IT管理人員對(duì)各種網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程維護(hù)，保證校園網(wǎng)絡(luò)順暢運(yùn)行。