新一代安全远程接入方案.pptVIP

新一代安全远程接入方案SSL and IPsec  李云峰 Product Manager, Network Security products group O2Micro technology June, 2006 议题 O2Micro简介 针对远程接入有什么选择？ 什么是 SSL SSL VPN 和 IPsec VPN 对比 SSL VPN 工作模式 O2Micro SSL VPN 解决方案 公司介绍 总部位于美国加州硅谷 Nasdaq 上市公司，股票代码OIIM 2005年收入约2亿美金，员工总数500人 智能电源管理芯片占全球份额70％ 全球领先的基于ASIC芯片的硬件线速防火墙及SSL－VPN产品 基于自主知识产权ASIC的防火墙系列 E400 E600 E800 M520 M526 先进的结构设计 特点及优势 防火墙 - 基于硬件的包过滤、应用过滤和状态检测 提供 Gbps 的接口速率, 5Gbps 的防火墙处理能力 提供 2~7层的数据流检测和内容过滤 检测所造成的延时低 (对任何受保护的应用都少于10 us ，例如： VoIP, multimedia) 可以同时处理1,000,000 个并发会话，处理并发新建连接速度达到每秒25,000 个会话 SSL VPN的六个关键特征 应用代理和协议转换 无客户端访问 远程访问 没有对站点到站点的支持 简单易用 支持Extranet 只提供对限定资源的访问 细粒度的访问控制 使用SSL保证通信安全 IPSec VPN SSL VPN IPsec VPN vs SSL VPN(1) IPsec VPN vs SSL VPN(2) SSL VPN and IPsec VPN 技术对比 部署SSL VPN比IPsec更简便 SSL 部署 对防火墙要求很低，仅需要开发一个端口即可 单臂模式，不会中断网络 与现有的认证系统集成 (i.e. Radius, LDAP, AD..) 无需部署、安装客户端 SSL VPN 部署无需过多考虑路由问题(NC模式下需要考虑路由问题) 什么是 SSL? 在使用之前先了解一下协议 SSL (Secure Sockets Layer) SSLv3 跟 TLS一致 SSL 使用对称密码加密数据，使用公钥技术进行认证、密钥协商 RFC2246 定义了 TLS 记录层 使用对称密钥保护记录层的数据； 针对每一个消息都有完整性保护 可以保护其他的应用协议，比如 HTTP: 80 - 443, POP3: 110 - 995, Telnet: 23 - 992, FTP-data: 20 - 989, FTP-control: 21 - 990 etc. 握手层 使用公钥技术相互认证 协商一个共享的密钥和相关参数 TLS 不强制要求双向的认证 完整的 TLS握手、协商、加密 SSL VPN的四种工作模式 代理 HTTP proxy 应用转换 把C/S应用客户端转化成Web方式 端口转发 对任意的C/S应用实现SSL保护 网络连接 ( NC mode ) 用SSL实现网络层的连接 在使用NC是需要考虑的因素 优势 相比IPsec而言可实现类无客户端 没有IPsec需要的复杂的配置问题。 能够控制端点安全 劣势 不再是纯粹无客户端 对访问控制的粒度不再细腻 不适合给合作伙伴使用 SuccendoTM 产品线 性能(Mbps) SuccendoTM SSL-VPN 无客户端远程安全接入解决方案 基于角色的访问控制 支持丰富的TCP/UDP应用服务, CIFS/NFS应用、文件共享 完整的主机安全检查 强认证机制，支持口令、证书、USB key、其他的各种令牌；支持多种认证协议 RADIUS/AD/LDAP/PKI 对Session,用户以及系统资源的实时监控 多种系统安全措施 系统安全 SSL， Web可以设置访问限制规则； 针对管理员可以设置不同的权限；三种管理员 对外只有一个SSL服务端口； 可以设置防TCP Flooding 攻击的开关； Web系统的缓存自动检测清理机制； 管理员支持口令认证和证书认证； 管理员可以锁定； 管理员密码恢复机制； 系统Monitor提供设备灾难恢复、处理机制； SSL协议可以设置，加密强度可以设置； Why O2Micro O2Micro 在客户端安全方面有多面的积累； O2Micro 掌握核心技术，包括基于自主ASIC芯片的 Firewall, IPSec-VPN, SSL-VPN 灵活的商业模式 强大的本地支持 支持各种各种认证方式（Radius, LDAP, Windows AD, Local) 特性 1. 便于同系统现有的用户管理和认证系统结合，减少管理员的管理