SINFOR金融业VPN方案

需求分析

当全球化和信息化成为世界的主题,在国民经济中举足轻重的中国金融、证券行业,他的信息化建设也就被推到了时代的前沿舞台。尤其是异地机构网络的互联，移动办公等已经成为焦点。

虽然金融、证券行业的异地网络一般都已经采用了专线的方案，但是随着信息化的不断深入，原有线路已经不能满足业务及办公的需要，而且随着移动办公的需求增加，互联的问题再次出现。

为了确保业务的稳定和可靠，金融、证券公司基本都采用专线方式（DDN、帧中继）将公司总部和各分公司或营业部连接起来，每年庞大的专线费用对每个公司来说都是一笔不小的开支。但是，大部分金融、证券公司的内部网络非常复杂，且目前信息化程度都有很大程度上的完善，特别是办公信息化，如果还通过原有的DDN 等线路来传输，那么会出现很影响业务系统的正常运行或需要加大对线路的成本投入的现象，且还不能解决移动。针对于以上的需求，随着目前VPN产品及技术的成熟、广泛的应用，采用低成本的连接方式（VPN），传输那些非主流的数据，将会大大降低金融、证券公司在信息化成本上的投入，同时也很好的解决了移动办公和部分移动性较大业务的与客户的数据传输。

其次，一：金融、证券公司的分公司或营业部特别多，且分部在全国的大多数城市，所以上网线路ISP的选择很难统一；二：他们的数据是相当敏感和重要的，其传输过程不允许因线路故障而出现中断；所以，具不同运营商的线路叠加和稳定的备份线路将是所有金融、证券公司需要考虑的问题。如何选择一条价格上具优势，性能相对其它方式又有良好的备份线路呢？

VPN组网方案

VPN产品的出现很好的解决了上述的问题，相对于按期付费的专线，一次性投入的VPN系统将在整体成本上具有无可比拟的优越性。以下是VPN在金融、证券行业网络拓展的应用的大概情况：

实施拓扑图如下：

产品选型：

SINFOR M5100

作为国内领先的VPN和网络安全研发产商，深信服科技推出的SINFOR M5100，获得2004～2005年“计算机世界”的年度产品奖和“中国计算机报”的编辑选择奖。是一款高性价比的硬件VPN/防火墙网关，用于中型企业总部网络或大型企业的区域总部网络。该产品又分标准版、专业版两款，其中标准版支持3个百兆网络接口（1 LAN, 1 WAN, 1 DMZ），为单线路VPN。专业版支持4个百兆网络接口（1 LAN, 2 WAN, 1 DMZ），为双线路VPN，支持两条Internet线路带宽叠加及备份。SINFOR M5100具有强大的VPN功能，支持各种Internet接入方式（包括ADSL、LAN宽带、XDSL等等）。设备内置WebAgent动态IP寻址机制，双寻址方式保证了寻址的稳定性。SINFOR M5100采用了改进的IPSEC协议，在确保VPN隧道安全的同时、进一步提高了数据传输的效率。同时集成了LZO高速流压缩算法，对常见的应用（如文件传输、数据库查询等）大大提高了速度 。同时，在安全性上，SINFOR M5100网关集成了高强度的加密算法，并可以进一步通过软件或硬件卡的形式进行加密算法的扩展，保证了数据传输的安全。其次，网关系统内置Radius 服务、并采用了HARDCA硬件证书的形式进行身份认证，确保接入用户的合法有效。另外，SINFOR M5100还针对内网用户可以设定细致的访问权限、避免了病毒类文件的随意传播和越权访问带来的安全隐患。并且，M5100本身也是一台高性能的防火墙设备，能有效抵御外网的攻击。

SINFOR S5100

SINFOR S5100是集成VPN/防火墙的硬件网关，采用了最先进的嵌入式一体化硬件平台、RISC NP处理器，保证了高可靠性和突出的性能。S5100支持3个百兆网络接口（1 LAN, 1 WAN, 1 DMZ），为小型企业、分支机构提供了强大的安全网关（VPN/防火墙/共享上网）功能。S5100的VPN吞吐量为：5－10M（AES加密），而防火墙的吞吐量达到50M，完全能够满足绝大部分中小型企业ADSL等宽带网络接入环境。

在外观设计上，SINFOR S5100设备紧凑、美观。所采用全钢结构的外壳，一体化的嵌入式硬件平台，以及低功耗的设计，非常适用于小型企业或分支机构等规模较小的网络。

SINFOR M5400

SINFOR M5400是一款功能强大的安全平台，是千兆高性能的硬件VPN/防火墙网关，用于大型企业或重要网络的中心节点。标准配置的一台设备支持4个千兆接口（其中2个WAN口，1个LAN口，1个DMZ口）和2个百兆接口（用于WAN口）。各网口均可自定义，并能通过模块扩充的方式、增加网口或者光口。

对于大型企业或重要网络来说，带宽和稳定性的要求更高。SINFOR M5400支持4个WAN口（其中1000M*2 & 10/100M * 2），可支持四条Internet出口线路的带宽叠加和备份，增强了网络的稳定性和出口带宽。同时，多条线路与其他节点建立VPN连接时，能够根据线路匹配质量智能选择通信线路，尤其适用于分支或移动节点便于于不同运营商网络中的情况。

SINFOR M5400同样支持深信服科技VPN产品的全部特性，能够和M5400、M5100、S5100及SINFOR DLAN VPN软件互连互通，按需组网。

SINFOR DLAN VPN

SINFOR DLAN VPN软件是领先的VPN软件系统，从产品功能上分为标准版、安全版（集成DWALL软件防火墙）和专业版（支持多线路绑定、带宽叠加）三种类型。每一类型的产品均由总部模块（MDLAN）、分支模块（SDLAN）和移动用户模块（PDLAN）构成，用户可根据自身的网络规模，选择合适的产品类型、模块数量，构建适合自身业务需求的VPN网络平台。

SINFOR VPN集中安全管理中心

VPN产品与其他网络产品相比、有一个非常显著的特点，就是VPN产品在应用中的部署一定是跨地域的、分布式的，如何将这个跨地域的网络集中、统一的管理起来，并有效的进行部署和升级，保障整网的安全和可持续发展？SINFOR VPN集中安全管理中心（Secure Center）能够很好的解决这些问题。

SC平台包括中心安全策略服务器、GUI管理器、数据库服务器、日志报表服务器、集中监控服务器、升级部署服务器、VPN网关设备(3.0以上)、VPN网关软件等十几个组件。

　4、集成企业级的防火墙。深信服科技提供的SINFOR M5100、S5100、M5400安全网关、SINFOR DLAN VPN以及SINFOR SC产品均集成VPN及企业级防火墙于一体，在提供丰富的VPN功能的同时，其自带的企业级防火墙能够提供对网络强大的保护和管理功能，确保网络不被 Internet非法用户攻击及入侵，并对内网用户上网行为进行非常细致的管理，避免内网用户随意的Internet访问行为带来的安全隐患，能够充分保护金融、证券VPN网络工作于Internet时其内外网络的安全。

五、灵活性。

对移动IP的全面实现：一般 VPN部署都需要改变网络结构，SINFOR DLAN在充当远程接入服务器时，不需要客户网络做任何改变。远程用户接入到网络来时，可获得一个该网络的内外IP地址，并以此IP与网络内其它节点进行双向的访问，若该远程用户原本就是该网络内的一个用户，则在远程接入后仍可保留原本的IP地址，做到在远程和在本地时一模一样。

对各种接入方式的全面支持：通过改进的IPSEC隧道封装技术，SINFOR DLAN能很好的支持NAT穿透功能，使得SINFOR DLAN可以支持任何接入方式，包括GPRS, CDMA1X,WLAN等最新的无线上网接入方式，甚至是未来NGN接入方式。SINFOR DLAN实现了用户随时随地移动办公的梦想，并能保护用户对未来的网络投资。

安全策略随时携带，客户端零配置：SINFOR DLAN 集成DKEY技术，可以将移动用户的安全策略存储在类似U盘的USB Key(又名DKEY)中。这样移动用户随身携带标识自己身份和存储了对应安全策略配置信息的DKEY，可以在任何一台电脑安全的接入到总部。安装好 PDLAN软件后，用户只需要插入DKEY，输入自己的密码就可以完成接入，做到了VPN客户端零配置，和使用银行取款机一样安全方便。

简单方便的配置备份和恢复：SINFOR VPN采用多个加密的配置文件形式保存配置信息。系统提供了对所有配置的打包备份功能，管理员可方便的对配置文件进行备份和恢复。同时管理员还可以在本地配置好远程网络，利用配置恢复功能在远程导入配置。

支持远程部署、软硬兼施：SINFOR VPN既有安装方便的纯软件产品，也有相应的硬件模块。软件模块可以实现远程安装、远程部署。模块化设计，用户可以根据需要，下载相应的模块文件即可增加新的功能。而深信服科技的所有硬件模块，如： M5400、M5100、S5100、等硬件产品系列之间可以互连互通，也可以和SINFOR DLAN系列软件VPN互连互通，方便金融、证券行业公司根据自身的实际环境、按需选择产品模块，构建量身定制的VPN网络。