四、 實施效果及典型特點
某物流公司通過VPN建立遠(yuǎn)程網(wǎng)后，可以實現(xiàn)如下效果：
建立遠(yuǎn)程專網(wǎng)，實現(xiàn)分支機(jī)構(gòu)、移動用戶及總部之間的互聯(lián)互通
通過迅博VPN建立遠(yuǎn)程專網(wǎng)后，可以實現(xiàn)總部和分支機(jī)構(gòu)的雙向通信，象在同一個局域網(wǎng)內(nèi)，實現(xiàn)DDN/FR專線效果，可以支持任何企業(yè)遠(yuǎn)程應(yīng)用，如ERP/財務(wù)/EDI等遠(yuǎn)程擴(kuò)展。
VPN硬件內(nèi)置全自動調(diào)度功能，可以實現(xiàn)無人干預(yù)的數(shù)據(jù)交換功能
迅博VPN采用平臺化技術(shù)開發(fā)，具有極強(qiáng)的擴(kuò)展性，通過內(nèi)置全自動調(diào)度程序，可以實現(xiàn)EDI數(shù)據(jù)自動交換，無需人工干預(yù)，從而提高工作效率及可靠性。
采用企業(yè)級防火墻，可以對遠(yuǎn)程接入網(wǎng)絡(luò)進(jìn)行統(tǒng)一的安全策略管理和集中管理
為了安全和管理方便，可以在總部VPN防火墻內(nèi)對所有接入的VPN用戶進(jìn)行策略和規(guī)則管理，這樣可以防止因分支機(jī)構(gòu)的安全缺陷對總部造成沖擊。迅博VPN內(nèi)置企業(yè)級防火墻功能，可以在總部和分支機(jī)構(gòu)分別進(jìn)行防火墻設(shè)置，確保整個網(wǎng)絡(luò)的安全性。
總部采用VPN的雙機(jī)熱備份功能，可以保證整個網(wǎng)絡(luò)的可靠性
迅博VPN可以支持多種層次的可靠性，包括：
雙線備份及故障自動切換功能
雙機(jī)備份及故障自動切換功能
分支及客戶端VPN自動切換功能
通過采用上述可靠性技術(shù)，可以確保整個VPN網(wǎng)絡(luò)無論是線路故障還是硬件故障，均可以自動切換到備份線路或機(jī)器上，從而保證數(shù)據(jù)業(yè)務(wù)的不間斷運行。
總部和分支采用VPN的透明模式功能，可以不改變現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)，具有良好的可擴(kuò)展性
通過采用迅博VPN的透明模式進(jìn)行組網(wǎng)，可以不必改變總部和分支機(jī)構(gòu)的現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，從而快速的部署VPN網(wǎng)絡(luò)，同時也可以方便的對整個VPN網(wǎng)絡(luò)進(jìn)行擴(kuò)展和維護(hù)，增加VPN節(jié)點的話可以不影響已有VPN網(wǎng)絡(luò)的正常運行。
通過授權(quán)，網(wǎng)絡(luò)管理人員可以在任何地方對整個VPN專網(wǎng)進(jìn)行遠(yuǎn)程維護(hù)，維護(hù)方便
迅博VPN支持HUB&SPOKE技術(shù)，方便網(wǎng)絡(luò)管理人員對VPN全網(wǎng)進(jìn)行維護(hù)，可以在移動接入（CDMA/GPRS）的情況下對總部或分支的VPN網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程維護(hù)。
支持多子網(wǎng)結(jié)構(gòu)
在一些大型企業(yè)和行業(yè)用戶中，普遍使用多子網(wǎng)、多網(wǎng)段規(guī)劃網(wǎng)絡(luò)結(jié)構(gòu)，迅博VPN產(chǎn)品支持遠(yuǎn)程用戶訪問特定的網(wǎng)段和子網(wǎng)，而不需要復(fù)雜的網(wǎng)絡(luò)配置。
典型特點如下：
保護(hù)已有硬件投資，不改變現(xiàn)有任何網(wǎng)絡(luò)結(jié)構(gòu)
支持各種INTERNET接入方式，無論總部還是分支，均支持雙線備份功能
支持企業(yè)級防火墻，可以設(shè)置遠(yuǎn)程VPN用戶的訪問策略
維護(hù)和擴(kuò)展方便，高可靠性設(shè)計
五、 方案成本及支付方式
六、迅博VPN安全性概述
（一） 安全概述
通過VPN建立遠(yuǎn)程專網(wǎng)（廣域網(wǎng)）越來越普及，現(xiàn)在大多數(shù)VPN產(chǎn)品采用IPSEC標(biāo)準(zhǔn)，由于涉及到通過公共互聯(lián)網(wǎng)進(jìn)行通訊，VPN網(wǎng)絡(luò)的安全性就非常重要，其中IPSEC是一種國際標(biāo)準(zhǔn)，定義了一個安全標(biāo)準(zhǔn)體系，主要分為如下幾個方面保證安全性：隧道技術(shù)、數(shù)據(jù)加密技術(shù)、數(shù)據(jù)認(rèn)證技術(shù)以及數(shù)據(jù)完整性技術(shù)，迅博VPN產(chǎn)品還支持企業(yè)級防火墻技術(shù)，來增強(qiáng)網(wǎng)絡(luò)的安全性。
迅博VPN支持AES/3DES/BLOWFISH等128/168位數(shù)據(jù)加密技術(shù)，可以實現(xiàn)無法破解的數(shù)據(jù)安全性，其中AES是美國國家加密標(biāo)準(zhǔn)，3DES是加密強(qiáng)度最高的加密算法。在數(shù)據(jù)認(rèn)證及完整性技術(shù)方面，迅博VPN支持SHA1/SHA2/MD5等加密算法，可以實現(xiàn)1024/2048位的數(shù)據(jù)安全。
在企業(yè)級防火墻方面，迅博公司針對企業(yè)上網(wǎng)安全控制的需求，推出企業(yè)級防火墻平臺，首創(chuàng)智能編譯功能，使用簡單，是大中型及中小型企業(yè)安全控制的理想解決方案。迅博防火墻的主要功能特點為：
企業(yè)級防火墻 功能強(qiáng)大,可方便的對大量機(jī)器進(jìn)行管理，如可劃分多個區(qū)域、多個接口,支持內(nèi)網(wǎng)劃分為多個網(wǎng)段，采用多種策略和規(guī)則、多種接入認(rèn)證方式，針對不同部門、不同機(jī)器，采用不同的安全策略和規(guī)則，管理簡單方便。
智能編譯型防火墻 部署簡單 迅博防火墻可采用自動配置模式，生成不同安全級別的策略和規(guī)則，同時采用編譯方式，自動檢查配置，解決了專業(yè)防火墻必須由專業(yè)人員配置的問題。
與應(yīng)用緊密結(jié)合，支持七層過濾 迅博防火墻可以與VPN產(chǎn)品結(jié)合，可以對遠(yuǎn)程的VPN區(qū)域進(jìn)行管理，并且可以為VOIP/VPN等應(yīng)用預(yù)留帶寬，保證關(guān)鍵業(yè)務(wù)應(yīng)用，同時支持七層過濾功能，解決了傳統(tǒng)防火墻難以封鎖QQ/BT等問題。
強(qiáng)大的QoS及帶寬管理功能 迅博防火墻的QoS功能可以根據(jù)協(xié)議、端口、IP及應(yīng)用層協(xié)議設(shè)置優(yōu)先級，對數(shù)據(jù)進(jìn)行調(diào)度分流，確保正常的上網(wǎng)應(yīng)用，降低或禁止娛樂性應(yīng)用。
防非法攻擊功能 迅博防火墻具有較強(qiáng)的防DDOS攻擊功能，可以方便的對連接數(shù)、連接頻率進(jìn)行設(shè)置 ，同時可以有效的防止沖擊波 蠕蟲病毒的攻擊。
（二）功能解釋
迅博防火墻對內(nèi)網(wǎng)的控制管理以及對外網(wǎng)的攻擊防護(hù)均是通過一定的概念和術(shù)語來描述這些防護(hù)和管理策略，因此要正確的使用企業(yè)級防火墻，這些概念和術(shù)語就非常重要。下面是對迅博防火墻的功能解釋：
區(qū)域：區(qū)域是有相同屬性的機(jī)器的集合，如整個局域的機(jī)器可以看做是一個區(qū)域，整個互聯(lián)網(wǎng)是一個區(qū)域，因為互聯(lián)網(wǎng)是不安全的，局域網(wǎng)是安全的，所以他們的區(qū)域不應(yīng)該一樣。當(dāng)然根據(jù)安全級別，在一個局域網(wǎng)內(nèi)部也可以劃分幾個區(qū)域，如區(qū)域1可以禁止其上網(wǎng)，區(qū)域2可以上網(wǎng)，但只能收發(fā)郵件和瀏覽網(wǎng)頁，區(qū)域3可以允許其不限制上網(wǎng)，如可以使用BT，等等。一般的，防火墻本身獨立為一個區(qū)域，因為它是內(nèi)網(wǎng)和外網(wǎng)的橋梁。區(qū)域的區(qū)分可以通過IP范圍、網(wǎng)段，也可以通過接口。例如，192.168.10.2-192.168.10.30可以劃分為一個區(qū)域，192.168.10.50可以獨立成為一個區(qū)域。如果防火墻和VPN結(jié)合使用，則VPN獨立為一個區(qū)域，防火墻可以對遠(yuǎn)程的VPN權(quán)限進(jìn)行管理，例如，可以只允許VPN用戶只能訪問個別機(jī)器、個別協(xié)議和端口，這樣即使遠(yuǎn)程的VPN用戶感染病毒和木馬，對總部和其他分支的VPN用戶也不會有影響。
策略：策略是描述區(qū)域之間關(guān)系的術(shù)語，例如我們可以將一個公司的網(wǎng)絡(luò)劃分為最基本的三個區(qū)域：內(nèi)網(wǎng)區(qū)域、外網(wǎng)區(qū)域以及防火墻區(qū)域，首先從安全上來講，我們可以采用不同的關(guān)系（即策略），例如禁止內(nèi)網(wǎng)區(qū)域訪問外網(wǎng)區(qū)域，這是一個最安全的策略。也可以允許內(nèi)網(wǎng)區(qū)域訪問外網(wǎng)區(qū)域，這是一個不太安全的策略。
規(guī)則：策略對區(qū)域之間的關(guān)系描述比較粗放，即只能是禁止或允許，如果要更細(xì)致的描述一些特殊和例外情況，則需要規(guī)則。規(guī)則是對區(qū)域內(nèi)的個體之間的關(guān)系進(jìn)行描述。例如：假設(shè)在內(nèi)網(wǎng)區(qū)域和外網(wǎng)區(qū)域之間，我們定義了安全的策略，即禁止內(nèi)網(wǎng)所有機(jī)器訪問外網(wǎng)，但我們還是需要某些互聯(lián)網(wǎng)訪問的，如允許收發(fā)郵件，允許某些部門使用MSN，允許另外一些部門瀏覽網(wǎng)頁等，這些比較細(xì)致的策略，需要使用規(guī)則定義。
主機(jī)：如果區(qū)域是某些主機(jī)的集合，則主機(jī)描述具體的PC機(jī)IP及接口屬性。
接口：接口是防火墻設(shè)備的屬性，是實實在在的東西，如內(nèi)網(wǎng)接口是br0，外網(wǎng)接口則視外網(wǎng)接入方式而不同。所有的區(qū)域都必須指定為某個接口，由接口來完成策略和規(guī)則的轉(zhuǎn)化。同時接口本身有一些屬性，如接口可以支持MAC認(rèn)證，接口可以支持黑名單。
MAC認(rèn)證：如果在接口上選擇了MAC認(rèn)證屬性，那么所有通過此接口的區(qū)域主機(jī)都必須在指定的MAC列表中，否則則禁止其接入防火墻和外網(wǎng)。迅博防火墻支持自動獲取MAC方式，同時支持MAC/IP綁定，即可以指定某個MAC必須以具體指定的IP接入。如果要對一個網(wǎng)段的機(jī)器劃分幾個區(qū)域進(jìn)行管理，最好采用MAC認(rèn)證或MAC/IP綁定認(rèn)證方式，以防止PC機(jī)改變IP從而改變區(qū)域。
黑名單：如果在接口上選擇了黑名單功能，則可以禁止區(qū)域中某個IP。注意MAC認(rèn)證只對內(nèi)網(wǎng)有效，黑名單也可以對外網(wǎng)有效，例如可以將外網(wǎng)的某些IP列入黑名單。
IP地址偽裝：一般的，防火墻只會獲得有限的幾個公共IP，并且一個公共IP的居多，這時需要對內(nèi)網(wǎng)的機(jī)器接入互聯(lián)網(wǎng)進(jìn)行NAT轉(zhuǎn)換。迅博防火墻的IP地址偽裝可以實現(xiàn)NAT功能，同時還可以實現(xiàn)一般路由器無法實現(xiàn)的功能，即策略式NAT，例如可以針對目的IP和端口，源IP和源端口進(jìn)行偽裝，同時還可以支持通過VPN隧道進(jìn)行偽裝。
多地址管理：對于專線上網(wǎng)的用戶來說，運營商（電信和網(wǎng)通）一般分配多個公共IP，如4個、8個、16個等，當(dāng)然也可以分某一個網(wǎng)段。迅博防火墻可以對多個公共IP進(jìn)行管理，提高利用率。
流量管理：通過設(shè)置，可以實時觀察任何接口、任何IP、任何協(xié)議及端口的下載和上行流量，網(wǎng)管人員通過這些流量信息，可以實時的對內(nèi)網(wǎng)策略和規(guī)則進(jìn)行調(diào)整。
連接管理：連接數(shù)又稱會話數(shù)，一個網(wǎng)絡(luò)應(yīng)用的實現(xiàn)，一般有多個連接來實現(xiàn)，每個連接由TCP或UDP協(xié)議來實現(xiàn)，例如，在瀏覽一個網(wǎng)站的時候，會有多個連接一起來實現(xiàn)，對于一些下載軟件、P2P軟件等，用到的連接數(shù)會更多，例如，使用PPlive看電影，則一般要用到1000甚至更多的連接。防火墻帶的連接個數(shù)是有限制的，如果局域網(wǎng)內(nèi)的所用連接超過了防火墻的最大值，則會影響某些機(jī)器的網(wǎng)絡(luò)應(yīng)用，如速度慢、連接丟失等。因此連接管理非常重要，迅博防火墻支持實時查看所有機(jī)器的連接數(shù)目，根據(jù)連接數(shù)目可以初步判斷每臺機(jī)器的應(yīng)用是否正常，例如連接數(shù)過多，通常也是某類病毒的表現(xiàn)，這樣可以限制某臺機(jī)器、某類應(yīng)用的連接數(shù)頻率。同時迅博防火墻還支持在區(qū)域?qū)哟蜗拗七B接頻率。
七層過濾：大多數(shù)防火墻在IP協(xié)議層對內(nèi)網(wǎng)和外網(wǎng)進(jìn)行管理，但I(xiàn)P協(xié)議層有一定的局限性，很難對某類應(yīng)用進(jìn)行管理和控制，例如某些版本的QQ軟件，只使用80端口，而80端口通常是開放的，因此傳統(tǒng)防火墻很難對這類QQ進(jìn)行有效控制。迅博防火墻實現(xiàn)了應(yīng)用層過濾功能，可以對100多種應(yīng)用進(jìn)行有效控制，例如對QQ/MSN/HTTP/MAIL/SSL/P2P等進(jìn)行有效控制。
帶寬管理：迅博防火墻具有強(qiáng)大的帶寬管理功能，可以對多個接口進(jìn)行帶寬管理，如果管理上行帶寬，則需要外網(wǎng)接口，如果要管理下行帶寬，則需要定義內(nèi)網(wǎng)接口。通過設(shè)置不同接口，可以對帶寬進(jìn)行分類，例如設(shè)置200Kbit 500Kbit 1000Kbit三類帶寬，然后再定義帶寬規(guī)則，帶寬規(guī)則可以根據(jù)IP、協(xié)議、端口來定義，指定不同的帶寬類別，如果沒有在帶寬規(guī)則中指定帶寬類別，則屬于默認(rèn)帶寬類別。迅博防火墻的帶寬管理可以和VPN應(yīng)用進(jìn)行緊密集合，例如可以為VPN預(yù)留帶寬，從而保證關(guān)鍵應(yīng)用的運行。
QoS設(shè)置：QoS對流量的控制與帶寬管理思路不同，QoS通過設(shè)置不同的服務(wù)級別，指定優(yōu)先級的方式保證服務(wù)質(zhì)量，迅博防火墻具有很強(qiáng)的QoS級別設(shè)置方式，這也是判斷QoS能力的最重要指標(biāo)。迅博防火墻可以按IP協(xié)議、TCP協(xié)議、UDP協(xié)議、端口號、應(yīng)用層協(xié)議、以及TOS等幾個層次來進(jìn)行QoS級別設(shè)置。通過正確的QoS設(shè)置，可以不限制BT等P2P應(yīng)用，仍然可以使網(wǎng)絡(luò)流暢，例如可以將TCP 80端口的優(yōu)先級提高，將某些IP地址的優(yōu)先級提高，則優(yōu)先級高的應(yīng)用會搶占優(yōu)先級低的應(yīng)用，只有優(yōu)先級底的應(yīng)用或機(jī)器有可能會感覺網(wǎng)絡(luò)擁擠 。