某证券公司的办公网络域架构与补丁分发方案（微软）

企业级VPN组网建设方案目录TOC\o"1-4"\h\z\u一．前言 2二．为什么用VPN？ 3三．什么是VPN？ 3四．VPN有何作用？ 4五．怎样组建企业VPN？ 4六．组网分析 5七．产品主要性能指标 5八．××VPN能为您带来什么 6九．系统报价 8十．公司优势 9略…… 9十一．典型客户案例 9

一．前言从全球零售业50强与中国零售业50强的最新排名中可以看出，成长型连锁商业的生命力已经超过传统百货业，其经营模式已逐渐在中国零售业中占主导位。有数据表明，北京物美的增长速度高达169%位居第一，南京苏果超市则以159%的增长率排在第二。他们统一品牌、统一管理、统一进货渠道和价格、统一服务以及价廉物美、品种多样化等特色已是家喻户晓。他们以服务是否到位、信息传递是否快捷和准确作为消费者满意度的重要参照因素。为提高自身服务能力，许多连锁企业在保持自己的品牌优势的同时大力采用先进的信息技术搭建了各种企业内部信息平台（如配送系统，OA，ERP，视频会，监控，VOIP等），实现企业总部、各服务网点、供货商、物流等方面的信息系统的同步操作，做到动态反映商品供求信息、实时畅通货源渠道、即时反馈顾客意见，最大程度满足消费者的行业效果，实现最大盈利的商业目的。VPN以其可利用公网资源建立安全、可靠、经济、高效、便捷和快速的企业专网的特点而倍受人们青睐。

二．为什么用VPN？某公司有一配送中心，要向全市各区20多个市场点供货，每个门店前一天晚上需要将当天销售数据汇总上报，总公司根据情况第二天进行配货。近期公司应用了一套金蝶的K/3管理系统，准备对各个连锁门店的财务、物流、制造、人力资源以及客户关系管理等具体业务数据进行详细统计，但是，由于公司没有自己的专网，下属门店不方便连接，无法共用该系统，业务无法进行，存在下列问题：各个门店间与总部间的数据交换沟通不畅总部和门店的数据交流途径简单，而且在数据交换过程中存在安全隐患。Modem拨号连接的方式速度慢、稳定性差，严重堵塞了现有的交流渠道。各个门店间与总部间的数据交换时间固定，不能实现信息的实时获取各门店间与总部间"各自为政"，总部对各连锁店的数据不能实时获取，不能及时调整销售策略，不方便配货送货。各连锁店也得不到总部的及时指导，一再错失商机。没有足够的财力构建DDN专网如果总公司与营业店之间为了业务需要采用DDN专线，则要面临昂贵的运营及维护费用，这对于微利时期的连锁企业来说是无法承受的。如何寻找一种切实可行的解决方案，既能安全可靠解决总部与分公司、分公司与分公司之间的安全通信及信息交换，又能最大限度保护原有投资，博创宇VPN可以利用公网资源，建立安全、可靠、经济、高效的传输链路，必将成为您解决上述瓶颈的最佳选择！三．什么是VPN？简单说，VPN（VirtualPrivateNetwork，虚拟专用网络）即是指在公众网络上所建立的企业网络，并且此企业网络拥有与专用网络相同的安全、管理及功能等特点，它替代了传统的拨号访问，利用Internet公网资源作为企业专网的延续，节省昂贵的长途费用。VPN乃是原有专线式企业专用广域网络的替代方案，VPN并非改变原有广域网络的一特性，如多重协的支持、高可靠性及高扩充性，而是在更为符合成本效益的基础上来达到这特性。四．VPN有何作用？VPN可以有三大应用，分别为直接远程访问（RemoteAccess）、Intranets及Extranets。远程访问VPN主要是连接移动用户（MobileUser）及没有固定点的公司办事处，通过拨号上网来存取企业网络资源。IntranetsVPN是利用互联网将公司总部和有固定点的分公司加以连接，成为一个企业总体网络。而ExtranetsVPN则是将IntranetsVPN的连接再扩展到企业的经营伙伴，如供货商及客户，以达到彼此信息共享的目的。VPN使企业能在价格低廉的共享基础设施上以与专用网络提供的相同策略建立一种安全的WAN（广域网）业务。其能实现与移动办公人员、分公司、合作伙伴、产品供应商、客户之间的连接，提高与分公司、客户、供应商及合作伙伴开展业务的能力。VPN的最大吸引力是价格。据估算，如果企业放弃租用专线而采用VPN，其整个网络的成本可节约21%-45%，至于那以电话拨号方式连网存取数据的公司，采用VPN则可以节约通讯成本50%-80%。这是由于VPN是在Internet上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用，在运行的资金支出上，除了购买VPN设备，企业所付出的仅仅是向企业所在的ISP支付一定的上网费用，也节省了长途电话费，故VPN价格更低廉。五．怎样组建企业VPN？六．组网分析总部：总部是企业信息存放、处理的中心，网络内部主机数量多，数据流量大，同时，为了保障网络安全，我们选择具备防火墙、VPN功能的NASIBV-628VPN防火墙，NASIBV-628是一款整合多种安全防护功能的智能网络安全防火墙安全产品。它是深圳纳思科技推出的百兆安全产品，基于专门设计的硬件平台，高度集成了防火墙、VPN、负载均衡、带宽管理、网页控制、防拒绝服务网关、高可用性配置能力等众多安全角色，提供高度安全、可信和健壮的安全解决方案，真正可实现单一设备对您网络的安全防护。分支机构：考虑到各分支节点经济及网络状况和VPN连接的稳定性，因此，可采取NASINS-1000VPN硬件客户端的方式接入，该客户端也支持各种公网接入方式，支持NAT穿越，用户的电脑无需作任何适应性调整，其网络配置也不必作任何改动，安装不用日常维护。移动办公用户：也可采用软件方式接入，可随时随实现移动办公。使用维护简单，移动性强，具有强大的访问控制能力，可以使移动用户轻松访问公司内部核心资源。七．产品主要性能指标1、BV-628VPN防火墙NASIBV-628能为您提供全面、实时的安全保障，支持宽带接入与百兆级企业网络流量，全面满足中小型企事业单位的安全需求，具有以下关键特性和优势：混合型防火墙，支持状态检测及应用代理，可工作在透明模式、路由模式、NAT模式下。）具有MultipleSubnet，可划多个子网段并提供路由和透明模式下工作能力，充分考虑您的网络环境，全面满足您的需求。维护方便，易于管理。提供简单的HTTP管理方式。防拒绝服务网关，可抵御SYNflood、UDPflood、ICMPflood、TearDrop、Smurf、LandAttack、PingOfDeath等多种当今流行的Dos/Ddos攻击。网页过滤。提供对域名关键字的控制，使您更好的管理公司员工打开不正当网页的问题。专业全面的带宽及流量控制系统，合理使用带宽，充分利用客户网络资源，可通过设置对单一用户的流量控制以达到优化网络资源的目的。智能时间控制。可根据不同时段提供不同防火墙控制策略，使您的管理更加灵活。实时查看网络数据流，及时全面了解网络运行情况。可通过国际标准的VPN协与NASIVPN路由器、软件客户端无缝连接，以及其它知名品牌VPN产品互连，轻松组建VPN网络。性能及规格并发会话连接数45,000每秒新会话数6500明文吞吐率64MbpsIPSec密文吞吐率60Mbps支持VPN通道数200个支持PPTPVPNServer用户数32个支持PPTPVPNClient用户数16个RJ45标准4个10/100M工作温度0~60°C工作湿度5%~95%（相对湿度，非凝结）DC输入电压DC5V外形桌面型标准设备重量0.94Kg八．××VPN能为您带来什么此解决方案，能有效满足系统宽带网建设的各项要求：物流管理上：总部随时可以了解到各个分店食品的销售，库存情况，及时进行配送以及调整存货销售策略。财务管理上：各分支每天实时将销售报表数据送入总部的IDC中心，中心也可即时查询数据。人员管理上：通过实时监控系统，使员工的服务态度及工作积极性得到提高。客户管理上：使分店与总部数据库实现实时VPN安全连接，实行累计购物优惠制度，可提高顾客的忠诚度，从而提高销售额的同时提高其安全保卫能力，能够及时反馈顾客的意见和建，不断改进服务质量和水。网络远程管理上：中心的网络管理员可以对整个VPN网络进行集中状态监控和远程管理配置，可以在各个VPN节点设置动态的流量管理策略。安装、维护简便，傻瓜式配置。尤其在网络运营成本上：ADSL价格优惠，可大大降低成本，网络通讯成本可节约90％。10条专线按每条每月使用费2000元计算，企业月耗2万元，而采用博创宇VPN获得相同质量的服务，月耗共需2000元，仅为DDN专线方式的10%。博创宇VPN无疑成为连锁企业开源节流、降低成本的最佳选择！稳定性高，能够使连锁企业平稳运作。1、按照工业标准设计，支持18000小时无故障运行；保障企业业务不间断进行。2、自动拨号，断线自动秒级恢复，愈合能力强，有效保证了数据传输的稳定性；3、采用硬件设计，嵌入式主板，集成CPU/RAM/FLASH/LAN，开机即可使用；4、独特的软件设计，充分考虑对网络的适应性和兼容性。5、支持单机双线路分流备份，全面保障VPN网络的正常运行。传输路由一体化，当某一线路出现故障时，能自动切换到备份线路传送数据。安全性高，保障连锁企业的内部信息安全1、基于全球性安全标准IPSEC协议、自主设计，通过国际VPN测试和防火墙测试，紧密集成防火墙功能，支持DES、3DES、AES等多种高强度加密算法。2、使用MD5、SHA1、SHA2算法保证数据的完整性。3、全面日志分析管理，并有骇客警功能。4、提供加密、完整性验证以及监控的功能，可在网关上监控IP数据包、流量，内部上网的情况，访问的站点。最大限度的对上层应用提供安全保护。5、提供安全的HTTP远程管理，以提供远程管理的安全性。智能化程度高，满足连锁门店各种非专业操作人员的使用需求：1、"傻瓜式"配置。无需了解IPSEC细节，内置最优化的配置，安装非常容易，明确的指示灯显示设备状态、直接开关电源即可使用。2、可与原来建立的任何网络（专线或其它VPN、MPLS等）实现无缝连接，也可与其它的VPN产品（如Cisco、Netscreen）等实现VPN互联互通。3、根据企业发展需要可在原来VPN网络基础上延伸扩展，不需改变原有节点设置，可在几分钟内实现和原有节点通讯，满足连锁企业规模的不断扩展的现实需要。适合各种网络环境，契合连锁企业的企业特征：我们的VPN产品支持全静态IP址、单静态IP地址及全动态IP址的接入方式。因我国IP地址资源缺乏，目前常用的因特网接入方案都是由网络提供商为接入用户动态分配临时IP地址，对于国内大量没有条件申请专线和静态IP接入方式，而我们的VPN产品无疑是最佳的选择。九．系统报价序号名称型号单价（元）数量单位金额（元）注：报价不包含上门安装，本产品安装简单，可远程协助安装，如需要上门安装，按地区远近不同，收费不同。十．公司优势略……十一．典型客户案例我们提供的VPN、防火墙、防毒墙以其出众的可靠性、稳定性、安全性以及强大的功能，灵活的部署方式，使之成为一种出色的企业级VPN解决方案，获得用户的广泛好评，在企业ERP、CRM、分布式财务管理、视频会议、远程视频监控、远程教育等方面得到了广泛的应用，现已有以下用户。国泰君安有限公司网络域架构与补丁分发方案版本1.0微软（中国）有限公司上海分公司一、方案背景1.1目前现状国泰君安总部目前拥有PC约1000台计算机（包括服务器与客户机），划分为OA办公网与业务网两大类，其中业务网又由交易网、通信网的网络构成，这些网络之间通过网关实现网络通信。这些网络目前都采用Workgroup工作组构架模式。1.2客户需求近期来，由于病毒泛滥，甚至透过网关危及到业务网，特别是随着集中交易的上线运行，国泰君安意识到网络通信管理与安全的重要性。为更好地管理网络中的用户与计算机，提高管理力度，国泰君安期望通过部署企业网络管理解决方案来实现以下管理要求，并在此基础上实施网络通信安全管理。建立企业级目录服务，实施全面的用户、计算机集中管理；建立补丁管理，实施安全补丁分发、安装及检查统计；其它基础的管理要求；方案应具有可扩展性，以满足未来管理的新要求。二、方案规划2.1规划建议为满足国泰君安需求，微软建议在国泰君安部署Windows活动目录服务，实施网络用户、计算机等资源集中化管理。网络管理（包括补丁分发等）将通过以微软的SMS2003服务器为核心的管理系统来实施。为有效地强化企业内部网络安全，并基于用户级别跟踪、控制网路通信，微软强烈建议采用内、外双层防火墙，构架DMZ网路区域。外防火墙可继续采用原有防火墙，而内防火墙则可采用微软的ISA2000软件防火墙，该防火墙系统与Window活动目录紧密结合，能做到用户级别的通信安全控制。2.2规划依据2.2.1微软活动目录技术介绍今天，对于在商业运作中保持竞争力而言，网络化计算变得比以往任何时候都更为重要。为此，就要求现代化的操作系统具有管理存在于构成网络环境所需分布式资源中的一致性和关联性的机制。目录服务提供一定空间，用于存储与基于网络的实体相关的信息，例如应用程序、文件、打印机和人员。同时，该服务也提供用于命名、描述、定位、存取、管理及保证独立资源信息安全性的一致性方法。更形象地说，目录服务在网络操作系统中扮演着一个接线总机的角色。它是通过对一致性进行管理，并调度那些分布式资源间关联，从而使它们共同工作的中心授权机构。由于目录服务提供这些基础的网络操作系统功能，它必须与用于管理和提供安全性的操作系统机制紧密结合在一起，从而保证网络的完整性和保密性。同时，目录服务也在组织机构的下列能力中发挥至关重要的作用，这些能力包括：定义和维护网络基础构件的能力，执行系统管理的能力以及控制一家公司信息系统中全部用户经验的能力。Microsoft®ActiveDirectory®服务是Windows®平台的核心组件，它为用户管理网络环境各个组成要素的标识和关系提供了一种有力的手段。活动目录包括两方面：目录和目录相关的服务。目录是存储各种对象的一个物理上的容器，目录管理的基本对象是用户、计算机、文件以及打印机等资源。而目录服务是使目录中所有信息和资源发挥作用的服务，如用户和资源管理、基于目录的网络服务、基于网络的应用管理。活动目录是一个分布式的目录服务。信息可以分散在多台不同的计算机上，保证快速访问和容错；同时不管用户从何处访问或信息处在何处，对用户都提供统一的视图。在当今网络计算的爆炸性增长的Internet时代，微软活动目录还广泛地采用了Internet标准，给用户带来了几乎无穷无尽的益处。活动目录集成了关键服务，如域名服务(DNS)，消息队列服务（MSMQ），事务服务（MTS）等；集成了关键应用，如电子邮件、网管、ERP等；同时还集成了当今的关键的数据访问，如ADSI，OLEDB等。因此选择微软的活动目录技术可以完全满足用户集中化管理控制需求，并且具有很强的可扩展性，为未来管理要求提供持续的支持。2.2.2微软SMS2003管理服务器SystemsManagementServer(SMS)2003为Microsoft平台的更改和配置管理提供了一种综合解决方案，使组织能够以更低的成本快速为指定的用户提供有关软件和更新。建立在行业标准管理协议的基础上，SystemsManagementServer与Microsoft和其它公司的补充管理工具相兼容。此外SystemsManagementServer与MicrosoftSQLServer™和WindowsServer2003操作系统完全集成--使其在任何规模的网络中都容易安装、配置和维护。安全补丁管理SystemManagementServer2003已经内置了安全补丁管理的能力，并且SystemManagementServer2.0SoftwareUpdateServices功能包完全集成进了SystemManagementServer2003.SystemManagementServer2003通过必要的工具，保证企业的Windows环境主动的获取最新的安全补丁信息，及时的发现系统存在的已知漏洞，并进行简易快速的部署。发现已知漏洞：使用标准的微软安全工具，例如：Microsoft基准安全分析工具和Office更新工具，我们可以扫描系统来发现已知漏洞并报告未安装的安全补丁。补丁部署向导：为管理员提供一个简单的向导程序，来为管理的设备部署安全补丁。即使不熟悉SystemManagementServer2003的安全专员，也能对这个向导轻易上手。安全分析和部署报告：当确认缺少安全补丁之后，所有的扫描结果会集中到数据库中，以便于我们进行分析和报告。当安全补丁部署完毕之后，结果会实时的在数据库中反映出来。更好地管理移动系统和用户为移动办公人员提供管理解决方案是系统管理领域最复杂棘手的问题之一。为了采用与传统的静态用户一致的方式，向移动用户和计算机提供管理服务，IT管理员工作的复杂性又增加了。SystemsManagementServer2003产品专门解决了这个问题，它新增了一个全新的客户端代理AdvancedClient，后者经过从头设计以支持这些方案。这个新的客户端代理支持全部的管理功能集—软件分发、资产管理和远程故障排除—不需要一套确定的本地服务器或服务。而且，这样的代理在现有SystemsManagementServer框架内无缝集成，使管理员可以同时管理静态用户和漫游用户，而不需要区分他们。新的AdvancedClient还使用称为后台智能传输服务(BITS)的Windows技术，通过断断续续的、低带宽或质量很差的网络链接（如远程访问服务拨号连接和远程虚拟专用网络连接），为所有管理操作提供连接。开发这个基于HTTP的协议是为了支持WindowsUpdate基础结构，代码库目前每个月处理来自WindowsUpdate的6千万个以上的更新下载。更好的软硬件资产管理在大多数单位，随着部署的产品与服务的范围逐年增长，对于IT管理员来说，管理所有这类应用程序的整个生命周期变得越来越重要。节省开支的最简单而又最直接的方法通常是在当前的许可证级别下跟踪实际的软件使用，确保每年的许可证开销与软件使用相协调。通过不仅监视每台计算机上安装了什么应用程序，而且监视实际使用的是哪些应用程序，管理员可以更准确地了解单位内部的许可证需求情况。此外，通过了解哪些是广泛使用的应用程序，测试方案和升级项目可以更准确地反映真实的部署环境，从而减少在整个企业内进行更改的开销。SystemsManagementServer2003通过允许管理员跟踪应用程序的安装，并将此与应用程序的实际使用相联系，提供了这方面的解决方案。为实现这一点，SystemsManagementServer2003彻底改写了以前的SystemsManagementServer2.0软件计量方法。它显著改进了大多数单位的衡量标准，将重点放在了解正在使用哪些应用程序、使用频率、以及同时有多少用户使用相同的应用程序等关键需求上。这样，管理员就可以更好地衡量企业真正需要的应用程序许可证，还可以确定多余的应用程序安装，从客户机上抹去它们的磁盘脚印。通过最大化部署应用程序的运行时间和可用性，也可以间接地显著节约开支。通过确保所有部署的应用程序和服务运行可用的最新更新和服务版本，最好地维护了企业级应用程序的稳定性。通过不间断地在网络上跟踪部署的应用程序和服务，并提供工具将它们与可用修补程序、服务包及更新的列表进行比较，SystemsManagementServer允许管理员主动更换有已知问题的部署代码以避免服务中断。这些操作通过最小化用户和类似客户的停机时间，提高了总的生产效率，并且通过确保一旦有可用的修补程序，就根除掉所有已知的漏洞，保证了整个业务环境的安全。更好地访问配置和部署数据SystemsManagementServer维护一个中央数据库，其中包含有关所管理的系统和用户的各种有价值的信息。通过使用SystemsManagementServer2003中的清单扩展从“添加/删除程序”添加应用程序数据，以及从WindowsInstaller服务添加应用程序安装状态，每个SystemsManagementServer站点都维护着一个更加丰富的配置数据集。管理员通常需要提供报告来说明正在进行的部署与升级项目的进度，还需要维护整体网络配置状态的报告。生成与更新这类报告会占用实际管理项目本身所需的宝贵时间。SystemsManagementServer2003现在向管理数据库提供了一个安全的Web界面，其中包括大量覆盖网络上所有计算机配置的预配置报告、软件部署和使用状态、以及各个计算机配置的细节。这个新的Web界面改进了SystemsManagementServer管理员在SystemsManagementServer2.0中逐渐依赖于的基于Web的报告，允许管理员向经理提供安全、实时的报告，每位经理都可以使用Web浏览器查看单位中托管系统的当前状态。Web报告集可充分扩展，允许管理员为正在进行的特定项目创建自定义视图。更好的SMS操作的扩展性和易管理性近些年来，典型单位中部署的基于Windows的PC数显著增加。随着部署的PC群不断增加，提供集中化平台管理的重要性也日益增加。由典型的SystemsManagementServer部署管理的客户端数因此也越来越多，现在很多客户管理的客户机数远远超过了200,000台。SystemsManagementServer产品结构本身就是可扩展的，并且已经成功部署在很多这样的环境中。但是，随着端节点数的增长和处理的数据量的增加，以下两个因素变得至关重要：系统处理负载增大，增加了配置更改和管理员通知之间的延迟。部署的管理基础结构大小增加，需要更多的管理工作来管理管理系统本身。SystemsManagementServer2003通过增加SystemsManagementServer基础结构的处理量和简化管理模型，解决了这两个问题。核心SystemsManagementServer服务的性能已得到显著提高，可确保支持高客户端数据处理量，同时使系统的传输延迟减到最小。对于较小或静态的环境，此改进使实现相同系统功能级别的硬件要求降低。通过两项新功能简化了SystemsManagementServer管理员的管理工作：一项是删除了高开销的操作和服务，另一项是实现了一个新的可选安全模型，允许在没有或仅有少数几个Windows域帐户的情况下操作SystemsManagementServer。这两项新功能显著简化了所有SystemsManagementServer管理员的任务，同时还提供了本身更安全的SystemsManagementServer环境。2.2.3微软ISA2000防火墙与Internet加速服务器InternetSecurityandAccelerationServer2000,简称ISAServer2000，能够提供安全、快速和可管理的Internet连接。ISAServer集成了可扩展、多层企业级的防火墙和可伸缩的高性能Web缓存系统。构建在Windows2000/2003的安全特性和活动目录基础上，提供基于策略的安全、加速和管理。安全Internet连接当您的网络连接到Internet的时候，随之也带来了安全和生产效率方面的问题，这就需要一些有价值的技术资源了--ISAServer可以为您的机构提供快速和全面的控制访问和网络使用检测方法，将您的网络管理员从繁杂的工作中解放出来，更好的响应业务和客户的需求。ISAServer可以保护网络免受未授权访问的侵害，检测网络数据流，当出现网络攻击的时候给管理员提示报警信息。ISAServer包括一个可扩展的多层企业级防火墙，可以用以下特征来描述：包、链路层和应用程序层流量监测，状态监测，广泛的应用程序支持，VPN集成，系统强化，入侵检测集成，智能应用程序过滤器，对所有客户端的透明，高级验证，安全服务器发布等等。快速Web访问通过快速和高效的访问Internet内容，可以极大程度上提高您的生产效率。ISAServerWeb缓存通过将Web信息保存在本地，在用户需要的时候提供本地服务，可以极大的提高性能，节省网络带宽资源。这样员工可以更快的访问所需要的内容，通过降低额外的Internet访问费用改善了性能。统一管理通过整合企业级防火墙和高性能Web缓存功能，ISAServer提供了一个通用的管理基础构架，可以降低网络复杂程度和使用费用。无论是部署一个集成的系统，还是部署单独的防火墙或者缓存，您都能够享受到集成管理带来的好处。ISAServer与Windows2000/2003的紧密集成，提供一致、有效的方法来