当当网SSLVPN创新案例研究

当当网SSLVPN创新案例研究

当当网是全球最大的中文网上商城，向网上购物人群提供近百万种商品的在线销售。目前，全球已有1560万的顾客在当当网上选购过自己喜爱的商品。在当当网，消费者无论是购物还是查询，都不受时间和地域的任何限制。消费者充分享受“鼠标轻轻一点，好书尽在眼前”这种电子商务所带来的便利。然而让当当网员工们感到无奈的是，当当网在为广大消费者提供这种建立在互联网上的便利时，自己却陷入了“鼠标一个劲点，信息远在天边”的困境。用户需求作为一家技术领先、客户导向的高科技公司，当当网自身的信息化建设水平较高，但主要集中在对外的网络和内部应用。随着当当网信息化建设的扩大，员工的移动办公需求越来越强烈，其需求主要体现在以下三点：◆越来越多的办公人员都需要在当当公司总部的外部(酒店，住处，网吧)进行移动远程办公，使用当当网公司总部内网中的OA系统、客户管理系统以及微软电子邮件系统(Exchange)。当当网急需一种可以实现远程办公的方案。这种方案主要应实现移动用户对公司内部网络的接入功能。◆这种远程办公的方案需要有很高的安全性从而保证当当网的商业安全。这种安全性主要体现在需要对每个远程办公的用户进行唯一的身份标识从而对其操作进行记录，并对其权限进行详细管理。◆这种方案必须有优秀的易用性。易用性主要表现在两点，首先是要满足当当网公司远程办公的各种功能需求，可以支持绝大部分的应用，尤其是对当当网公司内部OA、CRM、微软邮件系统的完美支持。其次要易于使用和管理，可以适应当当网公司移动办公人员移动性强，使用平台复杂的特点。解决方案采用什么样的技术方式来实现这种办公需求、使得当当网的员工们也能“鼠标轻轻一点，信息尽在眼前”呢?当当网的高级网络工程师在经过多方面比较后，决定采用SSLVPN的技术。SSLVPN是解决远程用户访问敏感公司数据最简单最安全的解决技术，是最前沿的远程接入手段。与IPSecVPN相比，SSL通过简单易用的方法便实现了信息的远程连通，在点到网的应用上有无以伦比的优越性。和较容易开发的IPSecVPN相比，能提供完整的SSLVPN解决方案的厂商并不是很多，主要是一些关注新技术的前沿网络设备供应商，例如国外的Juniper、Aventail，国内的深信服。由于当当网的移动办公人员数量较多，为了使广大员工能尽快熟悉并应用SSLVPN，当当网希望SSLVPN的可操作性尽量能满足其需求，即容易上手，方便使用。同时，安全性高、稳定性强也是当当网关注的问题。更重要的是，作为一家创新能力强、成长迅速的网络公司，当当网希望能够选择一种创新、高效的解决方案，以通过SSLVPN来实现业务的创新。最终，当当网选择深信服SSLVPN解决其业务和办公系统的远程接入。当当网的高级工程师向我们表示，选择这套SSLVPN解决方案，主要处于以下考虑：◆用户无须安装任何软件和硬件就能使用SSLVPN连接目标内网和需要预先安装证书或通过预设定的用户名/密码不同，SSLVPN可通过任何安装浏览器的机器接入。由于当当网的拥有大量接入终端(包括家用机，工作机和客户机等等)需要与公司机密信息相连接，深信服SSLVPN技术减少了企业的远程维护管理的成本。◆SSLVPN在点对网的应用上更安全SSL安全通道是在客户到所访问的资源之间建立的，确保端到端的真正安全。无论在内部网络还是在因特网上数据都不是透明的，客户对资源的每一次操作都需要经过安全的身份验证和加密。当当网认为，为了确保接入内网用户的安全性，除了需要采用传统的用户名/密码进行身份验证外，还要求采用一些硬件加密手段与其进行配合进行双因素身份认证。深信服SSLVPN除了可以提供USBKEY等常见认证方式外，还能够提供机器硬件特征码、短信认证、动态令牌认证等多种手段，其丰富性超出了当当网的预期。◆SSLVPN在终端兼容性方面更好不管是LINUX平台、手机、PDA只要安装了浏览器，能够接入互联网，就能使用深信服SSLVPN。这也保证了用户可以在几乎任何地点，任何平台上轻松实现远程办公。◆SSLVPN对应用的支持更完善传统的SSLVPN对WEB应用以外的其他应用(如FTP，SMTP)无法支持。深信服SSLVPN已经使用了IPTUNEL协议，该协议支持UDP应用，支持PING通，从而实现对视频等更复杂应用的透明支持。对客户端来说，仍然不需安装任何客户端软件，只需在SSL用户登录时自动下载部分插件，从而保证了SSLVPN天然的易用性。