綜述

　　許多集團公司在各地擁有工廠等生產(chǎn)基地，更在全國遍布了密集的銷售網(wǎng)絡，為了讓各銷售網(wǎng)絡的能夠作到即時溝通,，常常需要大量的投資,。而艾泰科" title="泰科">泰科技的VPN解決方案，能夠兼顧性能和價格,，實現(xiàn)真正意義上的高質量，低價格的網(wǎng)絡VPN互聯(lián)，并且支持ADSL動態(tài)下IPSec野蠻模式,。

　　需求分析

　　某集團在全國擁有200多個銷售處和聯(lián)絡處，各聯(lián)絡處每天都有財務的數(shù)據(jù)和武漢總部溝通,。集團一直在尋找一種有效的性能價格比高而且實用的方案,。最初準備使用長途專線連接到總部，這種方案的成本和使用費用都很高,，對于企業(yè)來說無疑是很大的負擔,。如今，各種寬帶上網(wǎng)方式迅速發(fā)展,，基于Internet構建集團的VPN網(wǎng)絡無疑是一種高性價比" title="高性價比">高性價比的方案,。

　　該公司各聯(lián)絡處基本上都具備連接Internet的能力，接入方式" title="接入方式">接入方式多種多樣,。數(shù)量最多的是ADSL接入方式,，聯(lián)絡處通過PPPoE撥號上網(wǎng)，運營商分配一個公網(wǎng)地址,；ADSL Modem由運營商配置,，大都是橋接模式,，也有部分是路由模式。其次是FTTB+LAN方式,，運營商提供公網(wǎng)地址或私網(wǎng)地址,，如果是私網(wǎng)地址，聯(lián)絡處往Internet傳輸數(shù)據(jù)時還要經(jīng)過運營商的NAT設備,。還有部分聯(lián)絡處使用有線通方式,，通過DHCP獲得IP地址。

　　中心點已定型,，采用Netscreen 204作為全國各聯(lián)絡處的總VPN網(wǎng)關,，申請了聯(lián)通和網(wǎng)通的線路各一條，并在Netscreen的前端使用Radware的Linkproof 作為線路負載均衡設備,。

　　因此,，在各個聯(lián)絡處使用的設備首先必須同總部的Netscreen設備兼容，也就是說可以在它們之間建立VPN隧道,；其次還需滿足各聯(lián)絡處上網(wǎng)瀏覽的需求,；另外，由于大部分聯(lián)絡處的VPN網(wǎng)關使用的公網(wǎng)IP地址不固定,，這就要求采用的VPN網(wǎng)關能支持動態(tài)DNS功能,，以方便管理。

　　方案規(guī)劃

　　從實際應用情況來看,，一般是各地聯(lián)絡處和武漢總部聯(lián)系,，各聯(lián)絡處之間不相互通信，因此,，網(wǎng)絡結構" title="網(wǎng)絡結構">網(wǎng)絡結構采用星型,，各個聯(lián)絡處仍然使用原有的接入方式和線路，并且均通過VPN隧道與總部連接,。在這里,，使用保密性好的IPSec協(xié)議建立VPN隧道，加密方式3DES,，認證方式" title="認證方式">認證方式是SHA-1,。網(wǎng)絡結構如圖1所示。

　　

　　圖1：某集團VPN網(wǎng)絡結構

　　產(chǎn)品選型

　　根據(jù)需求和規(guī)劃,，要求各聯(lián)絡處使用的VPN網(wǎng)關設備必須與Netscreen兼容,；能支持ADSL接入，F(xiàn)TTB+LAN接入,，也能支持Cable Modem接入,，同時還可以實現(xiàn)共享上網(wǎng)。支持IPSec協(xié)議，能實現(xiàn)3DES加密和SHA-1認證,；不管它們使用的是靜態(tài)地址還是動態(tài)地址，均可實現(xiàn)IPSec,，而且,，支持以e-mail地址、域名,、IP地址或者其他字符串的認證方式,。如果運營商分配的是私網(wǎng)地址，還要求相應設備支持IPSec NAT穿透,。另外,，為了便于管理，如果運營商分配的是公網(wǎng)地址,，相應設備還應提供DDNS功能,，從而，當需要查看各聯(lián)絡處的情況時,，可在武漢總部通過telnet遠程管理,。

　　集團希望各聯(lián)絡處采用的VPN設備能夠滿足以上組網(wǎng)要求，而且還要實用,、性價比高,、穩(wěn)定性好，能夠快速解決碰到的組網(wǎng)問題,。上海艾泰科技有限公司的HiPER VPN安全網(wǎng)關,，包括HiPER 2231CS、HiPER 3110,、HiPER 3100VF,、HiPER 3300VF等系列產(chǎn)品完全能夠滿足上述要求，它們具備靈活,、強大的VPN功能,，相關特點如下：

　　提供IPSec、L2TP/PPTP等VPN功能,，它們可結合起來使用,。支持客戶端或服務器模式，支持使用動態(tài)地址構建VPN隧道,，可實現(xiàn)網(wǎng)關到網(wǎng)關的連接和移動用戶的接入,。其具有以下重要特點：

　　支持自動IKE或者手動建立IPSec隧道

　　ESP和AH協(xié)議

　　3DES，DES和AES加密

　　SHA-1和MD5認證

　　主模式和野蠻模式

　　抗重播

　　支持IPSec NAT穿透

　　每個接口都可以支持VPN

　　支持星型連接和網(wǎng)狀連接

　　VPN隧道兩端無需固定的IP地址

　　方案實施和運行

　　在長達三個月的5個點的試用中,，HiPER VPN網(wǎng)關表現(xiàn)出了和中心點Netscreen的良好的兼容性和穩(wěn)定性,。到目前為止，全國已經(jīng)實施超過100個點,，分布在20多個省,，運行穩(wěn)定,。

　　方案點評

　　本解決方案中，通過為集團構建基于Internet的星型VPN網(wǎng)絡,，很好地解決了該公司各聯(lián)絡處和公司總部的互聯(lián)互通問題,。各聯(lián)絡處采用HiPER VPN網(wǎng)關作為VPN網(wǎng)絡的聯(lián)網(wǎng)設備，不僅可以大大降低該企業(yè)的組網(wǎng)成本,，還可保證網(wǎng)絡的安全性,、穩(wěn)定性和易維護性，同時也很好的滿足了各聯(lián)絡處自身的其他上網(wǎng)要求,?？偠灾痉桨甘菢嫿╒PN網(wǎng)絡的高性價比方案,。