SANGFOR_SSL VPN_基本原理说明_200901课件.pptVIP

M5100-S一体化网关DlanSSL VPN 内容 SSL VPN简介 Dlan SSL VPN介绍 SSL的功能 SSL历史 1994年Netscape开发了SSL(Secure Socket Layer)协议，专门用于保护Web通讯 目前常用的版本是SSL 3.0和TLS1.0(Transport Layer Security, 也被称为SSL 3.1) 浏览器和SSL SSL协议栈 SSL协议介绍 握手协议：客户和服务器之间相互鉴别 -协商加密算法和密钥 -它提供连接安全性，有三个特点 身份鉴别，至少对一方实现鉴别，也可以是双向鉴别 协商得到的共享密钥是安全的，中间人不能够知道 协商过程是可靠的 记录协议：SSL记录协议建立在可靠的传输协议(如TCP)之上 它提供连接安全性，有两个特点 必威体育官网网址性，使用了对称加密算法 完整性，使用HMAC算法 用来封装高层的协议 警告协议：这个协议用于每时示在什么时候发生了错误或两个主机之间的会话在什么时候终止 SSL常用的加密算法 128-bit RC4(RSA, MD5/SHA1) 168-bit 3DES(RSA, SHA1) 128-bit AES(RSA/DSA, SHA1) SSL VPN 特点： 无客户端，免安装。SSL协议被几乎所有的浏览器支持 使用方便。所有操作在浏览器内 更安全。SSL协议位于TCP之上，APP之下，基于连接。 SSL VPN原理 SSL VPN数据流 IPSEC数据流 SSL VPN和IPSEC VPN 各具优势。SSL VPN部署方便、容易使用；IPSEC VPN对应用支持更广 使用范围。SSL VPN适合点对网，IPSEC VPN适合网对网。 M5100-S 综合IPSEC和SSL的一体化网关 具有SinforDlan所有的特征(Webagent,HardCA,DKey,多线路) 强大的SSL功能(即可单独使用,也可混合) M5100-S 混合部署图 M5100-S 单独SSL部署图 Sinfor SSL VPN （简称SVPN） 特点 多种认证方式：数字证书（DKey）、用户名/密码、目录服务器（ActiveDirectary、LDAP） 强大的用户和资源管理（支持用户组、资源组、角色） 应用支持广泛：Web应用、C/S应用 更细的权限粒度：能指定某个网页是允许还是拒绝 独具用户/资源日志。能从用户角度和资源角度查看日志 和防火墙集成。更安全 SVPN－用户认证方式 数字证书＋DKey （和Dlan可合用一个DKey）：推荐方式，能实现双向认证，更安全 用户名/密码：用户可在线改密码 域用户或LDAP用户：支持导入、自动更新 支持RADIUS服务器认证 SVPN－用户/资源管理 用户/资源管理划分为：用户、用户组、web资源、C/S资源、角色，管理更方便 基于角色的用户管理。可为用户或用户组指定一个角色或多重角色 支持公共帐号和私有帐号 能指定过期时间 能从目录服务器/文本/Dlan中导入用户 SVPN－Web服务的支持 自动替换网页中的绝对超级链接 例子： 内部网站中有网页test1.html， 里面有超级链接/test2.html，通过SVPN一样能正确访问(原本远程用户机器是不能识别的)。 SVPN－C/S服务的支持 Sinfor CSProxy技术 通过从SVPN下载一个安全的插件对C/S服务提供支持。 基于Tcp的应用如邮件服务器、微软的文件共享、Telnet、终端服务、exchange、VNC等，都可以支持 B/S的应用也支持 支持压缩 Sinfor ProxyIE原理 Web服务和CS服务的区别 Web服务可以提供更细的权限粒度 日志记录更详细（具体到某一个网页的名称） CS服务支持的应用更广 可以补充Web服务（如复杂的Web系统会夹杂很多ActiveX控件或JavaApplet去连接服务器，这些可以通过添加CS服务解决） SSL对DNS的支持 支持内部DNS和外网DNS 对限制IP的应用尤其有效 能屏蔽内网的真实IP SSL对动态IP的支持 中小企业使用拨号的情况很普遍 使用独有的Webagent 如:/ssl.php 好处: 1.和Dlan用同一个, 容易记住; 2. 使用方便(相比其它的动态域名而言); 3.免费 使用其它的动态域名 SSL对多线路的支持 支持多条线路，可分别访问，也可用Webagent集中访问 支持自动选路：选择最快的线路访问 SSL支持在线安装PDlan 用Web的方式部署IPSec的客户端 自动安装Pdlan 自动配置Pdlan SVPN－日志 多种查看方式： 从用户的角度查看：用户做什么 从资源角度查看：该资源被谁访问、拒绝了谁 独立的日志备份服务。SVPN收空间限制，存储的日志有限