SSLVPN网络技术在企业信息系统中的应用

宋文轩　刘立

【摘要】 文章简要地概述了SSL VPN技术，针对 SSL VPN网络技术在企业信息系统中的应用进行了分析与研究，旨在为了利用SSL VPN技术来解决大中型网络应用中存在的不足，以确保企业信息系统的安全。

【关键词】 SSL VPN 网络技术 企业 接入方案

一、引言

VPN（Virtual Private Network），虚拟专用网络指的是在公用网络上建立专用网络的技术。近些年来，随着计算 机网络技术的快速发展，越来越多的人也需要用到 VPN 来解决远程访问内部资源的问题。VPN网络技术主要是为企业提供易用、低成本、高性能的 安全远程网络访问方式，同时也具有优异的性能，该技术可以支持大量网络用户的并发访问，而且可以适应于各种异构的网络环境，具有很好的技术兼容性。

二、SSL VPN技术概述

SSL VPN 是解决远程用户访问敏感公司数据最简单 最安全的解决技术。SSL（安全套接层）协议是一种在互联网上保证发送信息安全的通用协议，采用B/S结构（浏览器/服务器模式）。它处在应用层，SSL用公钥加密通过SSL连接传输的数据来工作。SSL协议指定了在应用程序协议和TCP/IP 之间进行数据交换的安全机制，为TCP/IP连接提供数据加密、服务器认证以及可选择的客户机认证。只要计算机安装上SSL VPN就可以进行虚拟专用网的应用，那是因为SSL里面内嵌在浏览器中，所以不需要安装客户端，以方便的通信。

SSL协议可分为两层：一层是 SSL记录协议：它建立在可靠的传输协议之上，为高层协议提供数据封装、压 缩、加密等基本功能的支持。另外一层是SSL握手协议：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。SSL协议的安全特性包括以下几个方面：（1）传输过程安全。传输的过程加密强度是决定了网络内部数据不被黑客所截获。数据在传输过程加密强度越高，传输安全性就越有保障。（2）用户身份验证。传统的用户名密码认证比较简单，不是很安全，SSL协议利用 PKI 体系进行加密，效果比较好。（3）客户端设备的安全性。客户端计算机需要安装杀毒软件，防火墙等，来防止SSL VPN 的密码被木马盗走，所以SSL VPN 需要对客户端进行检测。（4）服务端的日志跟踪。SSL VPN 服务器应该提供访问统计和跟踪功能，网络管理员可以通过服务端日志来了解系统访问的具体情况，所以对于服务器来说也是提供了多一种安全保障的方法。

三、SSL VPN网络技术在企业信息系统中的应用

3.1 远程接入方案实例

使用SSL VPN设备安装在企业的 DMZ 区上，IP地址是10.*.*.*，在防火墙上转换成互联网的IP地址：203.*.*.*，并开放443号端口。远程用户可以使用https：// 203.*.*.* 来访问企业内部信息系统。针对企业的网络特点，在实施时可以将企业的一些应用，如邮件系统、OA 系统、文件共享系统等安装到 SSL VPN上，同时可以通过 Active Directory 进行用户身份的统一管理。

3.2 接入技术方案

3.2.1 安全接入

SSL VPN设备能够检测或评估客户设备以确保它们遵从公司的安全策略，包括防火墙和防病毒软件、操作系统和补丁、间谍软件检查、设备类型以及网络配置等，违规设备将被拒绝访问网络，或被定向到软件更新网站。

3.2.2 SSL VPN用户认证、授权

SSL VPN认证对用户来说是一个简单的过程。所有的用户申请都流经一个专门的服务器：接入点、策略服务点和认证服务点，然后返回用户。但对于用户来说，Web浏览器是他们访问资源的唯一接入点。

多种认证方式。对于多个系统可实现单点登录（Single Sign-On），支持身份联盟：您可使用一个数字身份来访问多个部门甚至是整个企业的信息，可以有效降低管理负担，方便使用。

访问规则旨在允许用户访问资源。所有资产至少都与一个访问规则相对应，包括认证方法、日期或时间限制以及用户群成员关系等内容。SSL VPN还在内部系统中与防火墙和访问控制机制一起实施访问控制。防火墙在用户与系统互动时使用，访问控制与防火墙提供相同的安全性，应用在 IP和端口级别。

3.2.3 对应用的全面支持

支持所有应用，包括基于Web的应用、客户端/服务器、主机、终接服务器和双向应用（VoIP、在线协作工具）和文件服务器等。作为软件解决方案，现有 SSL VPN设备可定制用于支持任何类型的应用。

3.3 SSL VPN 安全接入在应用中的优势

通过 SSL VPN 实现安全接入，可以“帮助企业提高生产力，改善用户使用体验”。安全接入解决方案具有多种优点。

3.3.1 提高信息安全性

（1）防止信息泄漏。由于客户端与SSL VPN 网关之间实现高强度的加密信息传输，因此虽然信息传输是通过公网进行的，但是其安全性是可以得到保证的。第三方即使可以得到传输数据，但是却无法得到隐藏到其中的明文信息。因此敏感的信息如业务账号等被保护起来，杜绝了有效信的泄露。（2）杜绝非法访问。SSL VPN的访问要经过认证和授权，充分保证用户身份的合法性。SSL VPN只允许那些拥有相应权限的用户进行网络连接。如果请求连接的用户没有合法身份，则 SSL VPN将拒绝其连接请求，从而限制了非法用户对内网的访问。（3）保护信息的完整性。SSL VPN使用数字证书进行机密性与完整性参数的协商，它不仅能够对所传输的数据进行机密性的保护，同时也对其提供完整性保护。当在传输过程中的数据被篡改之后，SSL VPN是可以检测到的，如果检测到数据被篡改，他们就会放弃所接收到的数据。

3.3.2 灵活的用户管理和访问控制

提供多种多样的认证机制和授权访问机制，存在本地用户数据库，可以配置在SSL VPN网关设备上。SSL VPN 组网方案是面向应用的VPN 方案，可以做到基于应用的精细控制，基于用户和组赋予不同的应用访问权限，并对相关访问操作进行审计。这是一般基于网络的 VPN 所办不到的。

3.3.3 降低管理和维护成本

SSL VPN方案是无客户端的方案，由于客户端采用标准浏览器，SSL VPN的网关只需要在企业的数据中心部署，其他的维护操作都是在SP上面进行的，包括用户的授权，访问应用的各种配置等操作。它的管理工作属于集中管理和集中维护模式，可以极大地降低管理和维护成本。

四、结束语

由于现代化网络技术的迅速扩展，针对远程安全接入的需求也日益提升。VPN技术为企业用户提供了一个低成本、高效率、高安全性的资源共享和互联服务，是企业内部网的扩展和延伸。SSL VPN继承了IPSec VPN的远程使用与内网使用体验一致、与应用无关的优点，避免了因有客户端而导致的使用维护不便、某些网络条件下无法接通、带来大量病毒和蠕虫的入侵、无法与企业现有认证服务器结合、无法审计等问题，从功能上有网络访问、网上应用程序、Windows文件共享、移动电子邮件、应用程序访问、传统主机、终端服务器等众多功能。SSL VPN 技术在企业资源管理与配置、信息共享与交互、电子商务等方面都具有很高的应用价值和推广意义。

参 考 文 献

[1] 张翠琴. VPN 技术在现代监测网中的应用 [J]. 光盘技术，2008（1）

[2] 王建良. 分布式网络数据传输中VPN技术的研究[J]. 计算机与网络，2003（13）