深信服科技XX教育局解决方案

1、深信服 XX 电教馆解决方案深信服科技有限公司2011年6月目录1、 XX 教育局需求分析 32、深信服科技 XX 市教育局解决方案及网络拓扑； 42.1 整体解决方案和网络拓扑 42.2 XX 市教育局中心端解决方案及网络拓扑 52.3 XX 市学校端解决方案及网络拓扑 63 深信服 XX 市教育解决方案功能说明 73.1 用户身份实名认证解决方案 73.1.1 针对老师的实名认证手段 73.1.2 针对学生的实名认证手段 73.1.3 针对拥有第三方认证系统的学校 73.1.4 针对临时外来人员接入认证手段 83.2 XX 市教育局 VPN 组网解决方案 83.2.1 VPN 组网解决跨运

2、营商接入 83.2.2 VPN 冗余备份组网方案。 93.2.3 VPN 与互联网数据带宽合理分配 103.2.4 教育局与学校内网 IP 地址冲突解决方案 103.3 带宽资源利用率提高解决方案 103.3.1 XX 市教育局多线路复用和智能选路 103.3.2 虚拟线路技术 113.3.3 父子通道技术 113.4 网络资源行为审计解决方案 113.4.1 实时监控 123.4.2 全面、灵活的应用审计 123.4.3 数据中心及报表 133.4.4 日志审查 Key 133.5 集中管理解决方案 143.5.1 方便快速的部署 143.5.2 集中配置管理策略 153.5.3 管理权限分

3、级划分 163.5.4 实时状态监控 173.5.5 版本及规则库智能升级 173.6 远程接入 XX 市教育局内网解决方案 183.6.1 便捷的远程接入访问 183.6.2 安全的远程接入访问 193.6.3 快速的远程接入访问 204、设备选型和介绍； 错 误！未定义书签。4.1（中心端）实名认证/行为管理审计平台 错误！未定义书签。4.2（学校端）实名认证/行为管理审计平台 错误！未定义书签。4.3 中心端 VPN 接入平台 错 误！未定义书签。4.4 集中管理平台 SC 错 误！未定义书签。4.5应用性能管理 APM 错误！未定义书签。1、 XX 教育局需求分析XX 市各中小学校园网

4、几年前已基本建成，目前正在为学校管理、教育教学发挥着重要 作用。许多学校近来反映上网获取教育教学信息以及下载教学资源的速度不尽如人意， 究其 原因，主要在于各校对于用户上网行为缺乏有效的管理，导致大量网络带宽被 P2P 等应用 占用，这其中又存在着大量与教育教学无关的内容，此外， 我市学校绿色上网系统还未全面布署。针对上述问题，结合江苏省基础教育公共服务体系建设工作，本着实用、高效，节约 的原则， 在不改变学校端接入方式的前提下， 着手在局属单位部署 “分布式学校上网行为管 理及 XX 教育 VPN 网络系统”，以优化 XX 基础教育网络系统。 该系统拟解决以下几个主要 问题：1用户上网实名认

5、证。根据互联网安全保护技术措施规定（公安部第 82 号令）要求，必须落实上网实名制管理， 记录并留存用户注册、登录和退出时间、互联网地址等技术 措施。2上网行为管理与审计。目前我市学校绿色上网系统还未全面布署，为学校提供绿色 上网解决方案的工作迫在眉睫。 此外，工作时间还存在着大量的访问与教学无关的网站以及 网络应用， 这大大降低了学校的教学质量和效率。 通过基于时间段、用户组、不同应用的网 络访问控制， 使得师生在工作时间能够提高工作学习的效率， 也能更好地提高用户访问互联 网使用效果。3组成 XX 教育 VPN 网络。 构建 XX 教育 VPN 网络，解决跨运营商接入问题，同时 又可实现冗

6、余备份组网效果。通过在 XX 教育信息中心、区级中心、学校部署相关设备，建 立 XX 教育 VPN 网络， 该 VPN 网络可接入江苏省基础教育公共服务体系专网。通过相关设备利用流控技术， 对 VPN 隧道带宽设置保证带宽， 让 VPN 隧道内数据和互联网数据合理使 用公共带宽。这样既能保证 VPN 数据的高效性，也不影响互联网用户的网络使用，实现学 校畅通访问 XX 教育内部应用和江苏省基础教育公共服务体系平台， 而学校用户的互联网访 问流量，则无需通过 VPN 网络承载，不会对 VPN 访问性能造成影响。4实现集中管理、分级管理相结合。通过使用集中管理平台，可以将全网的上网行为 管理网关

7、/VPN 设备集中管理。实现全网指定设备上相关配置的统一和更新，既方便了管理 同时又确保了策略的一致性。 而对于某些分支设备上部分配置较 “个性化” 而与其他分支设 备不同时， 分支机构管理者同样可以对此类设备进行单独编辑和配置的单独下发。 从而实现 集中化和个性化的灵活性要求。2、深信服科技 XX 市教育局解决方案及网络拓扑；2.1 整体解决方案和网络拓扑整体解决方案拓扑结构部署说明：XX 市教育局中心端部署深信服上网行为管理AC、远程接入平台 SSL VPN 、集中管理平台 SC、全网可视性能监控 APM 等产品，实现 XX 市教育局上网行为管理及 VPN 网络组 网功能。XX 市各区域学

8、校端部署深信服上网行为管理产品AC ，首先为学校端提供从学校到教育局端到端的 VPN 接入； 其次提供学校带宽管理， 内网用户实名认证和上网行为审计功能。 最后，通过上网行为管理产品防火墙、防攻击、病毒防护等功能加强学校安全级别。2.2 XX 市教育局中心端解决方案及网络拓扑XX 教育局中心端解决方案及网络拓扑结构部署说明：中心端部署深信服上网行为管理产品 AC-4000 ，部署方式采用网桥部署方式。提供XX 教育局网络流量可视、流量管理、教育网内网用户实名认证和上网行为审计等功能； 中心端部署深信服集中管理平台 M5100-SC ，部署方式采用旁路方式。提供对下属学 校端所有上网行为管理设备

9、进行集中管理，其中包括学校端 AC 集中配置、集中策略下发、 日志集中、在线更新等功能；中心端部署深信服 SSL VPN 远程计入平台 VPN3050 ，部署方式采用旁路模式。提供 下属学校端端到端 VPN 接入， 组建 XX 市教育信息中心 VPN 网络系统， 实现教育网资源共 享。中心端部署深信服应用性能管理平台 APM4200 ，部署模式采用旁路模式。提供 XX 教育局中心端所有流量、协议类型、网络设备性能可是，为 XX 教育局提供故障快速定位、 网络隐患智能预警等功能；综上所述， 深信服 XX 市教育局中心端解决方案总计部署 4台设备， 分别是上网行为管 理、 SSLVPN 、集中管理

10、平台 SC、应用性能管理 APM 等设备。其中 SSLVPN 、集中管理平 台 SC 、应用性能管理 APM 产品全部采用对网络没有改动的旁路部署模式，即使设备出现 故障对中心端网络的正常运行没有影响。其次上网行为产品采用网桥模式部署，2.3 XX 市学校端解决方案及网络拓扑XX 教育局各学校端解决方案及网络结构拓扑部署说明：如图所示， 依据网络规模大小将 XX 市各区域学校大致分为： 网络规模较复杂和网络规 模较简单两类。深信服上网行为管理解决方案如下：针对网络规模较为复杂，人员规模介于600到 1500的学校，通过网关模式部署深信服上网行为管理 AC1600 产品。首先实现学校到教育局端到

11、端 VPN 组网功能，实现教育网 资源共享。 其次通过多种认证方式实现学校老师和学生上网实名认证， 通过流量管理功能模 块实现对 P2P 下载等消耗带宽资源的应用进行限制和控制。最后，通过行为审计模块实现 学校老师和学生使用互联网和教育网资源的记录， 既为管理员管理网络提供数据支撑， 又为 公安部门提供重大事件中责任人定位提供支撑。针对针对网络规模较为简单， 人员规模小于 600 的学校， 通过网关模式部署深信服上 网行为管理 AC1300 产品。不但能提供身份认证、流量管理、与教育局之间 VPN 组网、行 为审计等功能， 还能依靠上网行为管理中的防火墙、网关杀毒、防攻击、 过滤危险插件恶意

12、脚本等功能加强学校网络安全等级。3 深信服 XX 市教育解决方案功能说明3.1 用户身份实名认证解决方案中小学校园网在连接 Internet 后，方便了用户获取互联网资源。网络中流量构成、行为 分布情况如何？在没有专业设备的分析下， 校园网的管理者是无法知晓的。 无法识别用户就 无法进行管理。3.1.1 针对老师的实名认证手段 由于老师人员结构相对固定，上网时间和终端比较固定的特性。深信服科技建议中小 学身份认证方面针对于教师采取 IP/MAC 绑定的方式进行认证， 免去每天使用网络时进行认 证的繁琐操作。用户第一次使用 AC ，可批量导入用户，避免手工一个一个用户信息输入的麻烦。 AC 支持

13、多种格式文件的导入，如 CSV ，支持扫描 IP 自动导入，支持 AD 域用户导入。3.1.2 针对学生的实名认证手段由于学生人数众多，并且使用学校网络接入互联网的情况不多，我们可以提供以下几 种方式：(1) 采取弹出式 Web 认证的手段 : 这个对于学生有一个警示的作用，表明在使用网络 时，是要遵守规章制度的。深信服 AC 上网行为管理设备，支持批量导入用户(导入的表格 可以是 EXCEL 格式)，新生需要上机实习，则可按照班级为单位，以学生姓名等方式填报 表格，交由电教老师统一导入设备；(2) 针对学生用学校网络接入互联网的时间，一般是在上相关计算机课程时，我们可以 采用对实验室电脑进行

14、只允许看网页， 不允许发帖等行为。 可以避规出现在学校网络发表不 负责任言论的风险。3.1.3 针对拥有第三方认证系统的学校如果学校已经建立了 AD 域等的第三方认证系统， 深信服 AC 设备能够与这些系统完美 的结合，在做简单的配置之后， AC 设备会自动与 AD 域认证服务器做同步。这样校园网管 理者只需要管理一套认证系统，同时不需要改变管理习惯。对于已有域认证的用户， AC 可与域进行结合认证。同时支持 LDAP 认证、 Radius 认 证、 POP3 认证、 Web 认证等等，其中 Web 认证支持以 windows 认证框方式实现 web 认 证，也支持以 HTTP POST 方式

15、实现 web 认证。3.1.4 针对临时外来人员接入认证手段 针对于临时接入校园网的外来用户，我们有临时接入帐户管理规则，可以赋予临时帐 户一定的使用网络的权限， 例如登录网页等， 使得临时帐户拥有基本的网络访问权限， 但不 具备全局的访问权限。3.2 XX 市教育局 VPN 组网解决方案3.2.1 VPN 组网解决跨运营商接入由于 XX 市各个中小学互联网出口租用的运营商线路都不隶属于同一个运营商，而XX市教育局互联网出口同时租用了电信、 联通、 移动三个运营商线路。 所以在完成学校和教育 局端到端 VPN组网时，深信服上网行为管理产品会根据学校所租用的运营商线路与教育网对 应的线路进行连接

16、。如图所示，例如学校 1 租用电信 ADSL线路，所以 VPN隧道建立在与电教馆相对应的电 信线路上。 同理可推， 学校 2和学校 3的 VPN隧道都建立在与之对应的运营商线路上。从而达到不同学校不同运营商的跨运营商VPN接入的问题。3.2.2 VPN 冗余备份组网方案如图所示，某学校使用电信 ADSL线路与 XX市教育局建立 VPN连接，但是为了 解决 XX 市教育局设备链路单点失效带来的影响，所以当XX市教育局电信出口出现问题时，深信服上网行为管理设备会自动启用备用VPN 线路，按照预先设置的备用方案，建立备份线路1或者备份线路 2。虽然备用线路会出现跨运营商的情况，但是却能保证网络不会因

17、为XX 市 教育局的某条链路单点失效而导致下面学校访问不了教育网资源。3.2.3 VPN 与互联网数据带宽合理分配深信服上网行为管理产品利用粒度细致的流控技术，可以对VPN 隧道带宽设置保证带宽。让 VPN隧道内数据和互联网数据合理使用公共带宽。既能保证 VPN数据的高效性， 也不影响互联网用户的网络使用。3.2.4 教育局与学校内网 IP 地址冲突解决方案XX 市内大约有三十多所需要使用 VPN接入到教育局的学校，在这些学校中，有部分学 校使用的内网私网地址，与教育局使用的私网地址存在冲突。例如某学校使用 这个网段， 而教育局也使用了 网段，

18、如果没做地址转换的情况， 两个网段用户 不能互相访问。深信服上网行为管理产品，依靠已经建立好的VPN 隧道内的地址技术转换解决上述问题。隧道内地址转换技术可以将学校 网段转换为制定网段，例如转换为 网段，同理可以将其他学校的内网 IP 网段转化为制定网段，这样方便管理人 员集中管理和控制。3.3 带宽资源利用率提高解决方案XX 市电教馆和各个学校出口带宽有限，随着网络应用的丰富，各种吞噬带宽的应用出 现和使用，类似 P2P，组织若不加以管控，带宽必会被这类应用占据，从而导致整体网络速 度变慢，正常的邮件发送和网络访问都无法通畅。 因此， 学校需要

19、一种流量管理工具， 识别 应用流量，对现有的带宽进行合理的分配。3.3.1 XX 市教育局多线路复用和智能选路XX 市电教馆和各个学校网络出口有多条运营商提供的互联网线路时， 往往因为跨运营 商访问出现丢包严重、延迟大的问题。出口多条线路，大小不一， 如何让多条线路被合理利 用，同时线路流量的负荷达到均衡呢？AC 专利技术（ ZL 200610061591.9 ，一种基于网关 /网桥的线路自动选路方法）可为数 据包选择最快最畅通线路进行数据传输。当一条线路繁忙，其他几条线路空闲时， AC 可通 过线路复用技术， 将所有线路复用起来， 不仅合理分配带宽资源， 而且能在较短时间内传送 要传输的数据

20、，提高大容量数据的访问和传输速度。深信服上网行为管理的多线路复用专利技术使一台 AC 可同时连接四条公网线路， 扩展 带宽、 互为备份、流量负载均衡。通过部署深信服上网行为管理网关， 可实现智能化选择最 快的出口线路，有利于上网速度的提升。3.3.2 虚拟线路技术针对 XX 市教育局网络出口有多条运营商线路， 通过路由器接入到防火墙和核心交换中 间，往往只有一根线。 在一条物理线路中很难实现精细化的流量划分， 容易造成外面几条线 路流量分配不均， 导致部分线路负荷过重。 如何将物理上的一条线路进行虚拟， 对应外接的 几条线路，实现多线路分别流控呢？深信服上网行为管理独家虚拟线路技术，通过这样的

21、方式对于多条出口线路分别流控， 或是为来自内网不同网段的用户分别进行流控。除虚拟线路外，在各线路中， AC 可建父子 通道， 父通道中可建立二级、三级通道等，最多能建成十一级的流量通道， 为用户提供了最 细致的流量管理手段。3.3.3 父子通道技术深信服上网行为管理支持父通道中嵌套子通道，可支持 8 级子通道，最多能形成 11 级 流量通道，为用户提供细致的流量管理手段，实现大流量划分成小流量通道，分级管理。IT 管理者需要详细了解当前带宽资源的使用情况，这可以通过访问 AC 的数据中心实 现，如查看指定时间周期内应用流量分布情况，用户流量分布和排名等。下一步 IT 管理者 就需要对非业务流量

22、如 P2P 行为等进行带宽限制，对领导的视频会议系统等业务流量需求 进行满足，这通过 AC 智能流量管理系统轻松实现，基于不同用户/用户组、时间段、应用类型 /网站类型 /上传下载文件类型、结合 QoS 优先级机制，进行带宽划分和分配，实现带宽 资源利用率的最大化。XX 市电教馆和各个学校有限的 Internet 带宽资源承担业务系统、服务器和用户的各种 流量。 AC 如何实现带宽资源的合理利用呢？传统设备根据 IP 地址和端口，结合 QoS 实现 带宽分配，但类似 80端口中会潜藏 QQ、BT 数据、部分业务系统没有固定的端口、领导的 视频会议系统没有固定 IP 等，让传统设备的带宽管理功能

23、大打折扣。AC 实现了基于用户 / 用户组、时间段、优先级、应用协议、网站类型、文件类型等的流 量管理系统，让机构的带宽资源得到细致的优化和高效的使用。3.4 网络资源行为审计解决方案当学校的老师或者员工在公网上散布一些与政治或者敏感话题不负责人的言论， 会给学 校和单位带来触犯法律风险等违规违法的麻烦。当这类事情出现的时候， XX 教育局和学校 如何在最短的时间内， 通过一种最有根据的方式找到网络违法的当事人， 避免由教育局和学 校因此背负责任？ AC 提供了全面的、灵活的监控审计功能。3.4.1 实时监控深信服上网行为管理具备强大的实时监控功能，可对 AC 设备的运行状态、安全状态、 流量

24、状态、 上网行为监控、在线用户管理、邮件延迟审计进行实时监控。管理员不需要进数 据中心即可实时查看网络的各种应用和流量使用情况。运行状态包括系统资源信息、接口信息、接口吞吐率、应用流速趋势、应用流量排名、 用户流量排名。安全状态实时汇报内网用户安全情况。在实时应用流量排行界面点击某一个应用即可自动弹出该应用流量的用户排名情况。 实 时用户流量排行界面可针对单个用户实现用户的应用流量排行情况的页面跳转。 此外 AC 还 支持实时连接监控，显示用户的所有会话连接状况。3.4.2 全面、灵活的应用审计谈到安全时多数人只关注外网安全，但其实机构的信息资产更多的是通过内部泄漏的。深信服上网行为管理实时监

25、控和完善的访问审计功能可有效防止信息通过 Internet 泄漏。对 邮件类型应用采用深信服“邮件延迟审计”术保证先审计后发送；对于通过 Webmail 发送 邮件， AC 全面记录邮件正文和附件等；对于QQ、MSN、Gtalk 等聊天内容提供全面记录功能；对于 BBS 、论坛发帖不仅根据关键字进行过滤，成功发布的内容也能全面记录；内网 用户访问的 URL 地址、网页标题、甚至整个网页内容， AC 也能完全监控和记录等。值得 一提的是对于经过 SSL 加密的 webmail 外发邮件、 SSL 加密的 SMTP/POP3 ，AC 也都可以 基于关键字过滤和内容审计记录；深信服上网行为管理的访问

26、审计/监控模块为机构构筑了强大的内部安全屏障。针对不同的用户、用户组，通过数据简单的勾选，即可完成差异化的行为审计功能。3.4.3 数据中心及报表XX 市教育局每天产生数大量日志数据，通过 AC 独立数据中心实现日志海量存储，而 且提供了图形化的日志查询、统计、审计、报表中心等功能。通过统计报表功能， 您将直观的获得关于流量、邮件收发、上网时间、 网络行为等方面 的详细的报表和图形化统计结果，并且支持导出 PDF 等文档、 Email 投递等功能，方便 IT 部门将统计结果向机构高层汇报。AC 的风险智能报表能够深入挖掘日志，根据管理员指定的上网行为特征及阈值，自动 挖掘日志，自动帮助组织提前

27、发现风险，包括：离职风险智能报表、泄密风险智能报表、工 作效率低下风险智能报表等。对于 BBS 发帖，深信服上网行为管理还支持进行热帖排名，只准看贴不准发帖的灵活 管控方式。而如何快速检索海量日志中管理者感兴趣的内容 AC 已经为您想到了。 通过 AC 数据中 心的内容检索工具，您可以类似使用 Google 一样，从海量日志中查询、审计您需要的日志 记录，并且支持高级搜索，支持订阅和自动 Email 投递功能，极大的方便了管理者的使用。 3.4.4 日志审查 KeyXX 市电教馆和各个学校内网用户的各种上网行为记录AC 都可以记录、并全部记录到数据中心中， 这避免了互联网违法事件后无据可查的尴

28、尬。但如果行为日志被滥用， 领导的Email 、MSN 聊天内容等被肆意传播、深圳张贴到互联网上必将给组织造成不良影响、甚至 经济损失。鉴于此深信服科技推出了“日志审查 Key ”技术。数据中心管理员只有插入该Key 后才能以审计、查询权限接入数据中心，从而对行为日志进行详细查询。对于没有该Key 的管理员接入数据中心后只能对有限的用户组的行为进行统计和趋势查看， 无权限对行为日志 进行审计、查询，从而保障行为日志记录不被滥用。3.5 集中管理解决方案3.5.1 方便快速的部署XX 市教育局上网行为管理及 VPN 组网解决方案中，方案中全网需要实施多台AC 上网行为管理网关时首先遇到的是如何快

29、速方便部署的问题。由于多数学校并没有专业IT 人员负责设备的配置、调试等操作，同时如果从教育局派遣 IT 人员到学校实施无疑增加了额 外成本和导致项目周期过长。通过深信服SC 集中管理平台妥善的解决了该问题。学校网络管理人员只需简单配置 AC 设备的 IP、网关、路由等基本网络信息，确保 AC 能够与 Internet 连通后，将 XX 市教育局 SC 的地址填入即可。在 XX 市教育局 SC 与学校 AC 建立连接后，学校 AC 设备的所有其他配置选项完全可以通过 XX 市教育局 SC 实现配 置和管理，无需学校人员在参与，从而帮助 XX 市教育局快速、方便的部署多台 AC 网关设 备。3.

30、5.2 集中配置管理策略 众多学校部署的多台上网行为管理网关设备日常维护、配置、调试由谁负责？ XX 市教 育局要求的统一上网行为管理策略如何确保在众多学校得到贯彻和执行？通常情况下组织 的 IT 部门往往只能要求学校配备本地设备管理员，并通过行政制度等迫使该学校管理员在 本地贯彻组织统一的上网策略，但这其中的弊端显而易见。而 XX 市教育局通过使用 SC 集中管理平台，总部可以将全网的成百上千台 AC 上网行 为管理网关设备集中管理。 XX 市教育局的 IT 管理人员通过编辑 SC“复制模板”上的相关 配置， 并通过一次鼠标点击实现全网指定 AC 设备上相关配置的统一和更新， 既方便了管理

31、同时又确保了策略的一致性。而对于某些学校 AC 设备上部分配置较“个性化”而与其他学校 AC 不同时， XX 市教 育局 IT 管理者同样可以通过 SC 对此类 AC 设备进行单独编辑和配置的单独下发。从而实 现集中化和个性化的灵活性要求。3.5.3 管理权限分级划分集中管理实现了 XX 市教育局 IT 部门对全网上网行为管理网关的可控性、可管性，但 同时显然也增加了 XX 市教育局 IT 部门的工作量，以及与分支机构个性化上网行为管理策 略要求的抵触，如何避免？SC 集中管理平台支持管理员分级管理。将学校 AC 设备划分到 SC 的不同“区域”中， SC 上配置的不同管理员将具有不同“区域”

32、的管理权限，具体权限划分包括Read-Only 只读权限和 Read-Write 读写权限之分； 同时 SC 支持将指定的 XX 市教育局 AC 设备的不同功 能模块的修改权限下放给学校本地管理员， 从而实现 XX 市教育局管理员、 “区域” 管理员、 学校管理员的分级管理结构，强化了管理的灵活性。3.5.4 实时状态监控部署于 XX 市教育局的 SC 集中管理平台通过集中监控模块可以查看全网所有学校 AC 设备的运行状态，包括该学校 AC 设备是否在线、内存占用率、数据包收发统计等信息。缺 乏实时监控的 XX 市教育局 IT 部门只能等到学校机构人员报告故障时才会匆忙应对，不仅 降低工作效率

33、，同时降低了学校人员的满意度和影响 SLA 达标；而通过 SC 的集中监控功 能，XX 市教育局 IT 人员可以实时发现学校 AC 的运行状态， 及时定位问题所在， 为全网用 户提供一个更稳定、更高效的互联网访问环境。3.5.5 版本及规则库智能升级大型组织机构的 IT 人员往往有类似经历：为了避免对用户正常访问网络的影响， IT 人 员在周末凌晨仍然守候在机房内对设备进行升级， 每升级完毕一台设备就需要长时间的 Ping 等测试是否升级成功、 网络可用性是否受到影响等。 对于全网众多分支机构部署的多台上网行为管理设备的升级是否依然如此麻烦？尤其基于互联网升级一旦出现操作等失误将直接 导致无法

34、远程连接该设备，怎么办？SC 集中管理平台的智能升级功能已经为客户想到了。在 SC 上加载升级包，设定时间 计划，并勾选需要升级的分支 AC 设备， SC 将帮您自动完成，并通过实时监控模块显示被 升级的分支 AC 设备的运行状态、 是否在线等情况， 极大的方便和简化了 IT 人员的工作量。3.6 远程接入 XX 市教育局内网解决方案3.6.1 便捷的远程接入访问深信服 SSL VPN ，是利用浏览器中内嵌的 SSL 协议，在移动客户端与总部的 SSL VPN 中建立一条 SSL VPN 通道。出差领导和员工、学校老师只需要打开浏览器登录相应的 SSL VPN 页面并通过认证，即可通过 SSL

35、 VPN 访问内网资源，不需要在终端上安装任何客户端 软件。B/S 资源直接点击就深信服 SSL VPN 支持 B/S 和 C/S 应用的单点登录功能，实现只需要通过 SSL VPN 认 证，无需反复输入各种系统的帐号密码就可以直接使用所有的远程应用。 启动了单点登录功 能在成功登陆 SSL VPN 页面直接跳转到对应用的资源列表页面，对于大大提高了访问可以进入， 对于 C/S 资源， 通过启用该应用的客户端软件就可以直接使用， 应用的易用性。3.6.2 安全的远程接入访问深信服 VPN 对于安全方面的定义分为接入的安全、传输的安全、资源的安全、断开的 安全四个方面进行全面的保障。1. 接入的安全： 单纯的帐号密码认证容易遭到密码丢失、密码遭到破解等威胁，深信服SS