深信服SSL VPN助力云南移动

随着国内电信市场的高速发展，各大运营商如移动、电信、网通、联通等都在大力推广内部的信息化应用，利用先进的信息化管理系统来改善内部的管理。中国移动云南公司经过多年的信息化建设已经拥有了OA系统、EIP系统（员工资讯平台）、BOSS系统（业务运行支撑系统）、合同管理系统、内部MIS系统、内部RTX系统、内部知识培训库及内部邮件系统。

这些系统提升了中国移动云南公司企业管理、运行效率、内部沟通以及企业竞争力。但是这些系统都局限在企业内部在使用，领导和员工在外出差时则无法访问这些内部系统查询企业运行状况、处理工作及通过内部RTX及内部邮件系统与同事进行即时沟通。为此中国移动云南公司考察了包括PPTP/L2TP、IPSec、SSL在内的多种VPN系统，但是从安全性、易用性、网络环境适应性、以及可维护性方面最终选择了SSL VPN。在SSL VPN选型的过程中，中国移动云南公司从以下几个方面提出了自己需求：

1)      安全：作为远程安全接入设备的SSL VPN一般都具有较高的加密措施，问题多出在认证及单点计算机安全上，因此在认证方面也必须采用灵活的双因子认证方式，使用者接入的计算机必须符合内部网络安全标准才能够登录SSL VPN系统。另外在权限方面必须能够根据不同用户类型设置不同的访问权限及认证方式。

2)      易用性及适应性：由于接入用户较多，使用者计算机水平参差不齐，这就需要SSL VPN系统简单易用，使用者无需培训就能直接使用。另外由于很多网络环境只开放80或者是443端口，因此SSL VPN必须有良好的网络适应性，能够在苛刻的网络环境下依然能够使用。

此外基于Windows Mobile\Symbain\Linux\Palm以及BlackBerry（黑莓）\IPhone还有Google即将推出的Android智能手机系统会越来越普及，再加上国内3G即将全面铺开，将会有越来越多的用户需要使用智能手机通过SSL VPN接入内部网络访问相应系统。因此SSL VPN必须具备在各种终端上都能够使用的良好适应性。

3)      品牌及本地化服务：所采用的SSL VPN系统必须在业内有着丰富的应用案例，并且所提供的厂家也必须是业内的领导厂商。此外为了能够的到厂商的及时响应，本地化的服务也是所必需的。

根据中国移动云南公司提出的要求，国内知名前沿网络厂商深信服科技提出了全面、灵活、细致的解决方案：

1)      安全：

a)      短消息认证： USB Key、动态令牌等认证方式，一方面费用较高，而且需要随身携带使用；另外一方面USB Key无法在手机上使用，也具有一定的局限性。而深信服提出的短信认证的方式能够和中国移动云南公司内部短信平台有机的结合起来，使用非常方便。即用户在登录时输入正确的用户名/密码过后，系统会自动发送一条含有验证码的短消息到用户的手机上，用户再填入该验证码即可登录系统。

b)      细致的权限划分：中国移动云南公司目前下属文山、版纳、保山、楚雄、德宏、大理、迪庆、红河、昆明、临沧、丽江、怒江、曲靖、思茅、玉溪、昭通、通服等多个地州分公司，并在省公司分别配置了各自的OA系统。领导、一般员工、网络及系统维护人员所访问的内部资源也不同，深信服SSL VPN通过“角色”将用户的“账号”与“资源”关联起来，为不同用户分配不同的访问权限。

c)      硬件特征码绑定：由于中国移动云南公司的部分网络及系统维护人员需要对内部网络设备及服务器进行远程维护，因此他们登录SSL VPN后的权限较高，可以使用Telnet、SSH、远程桌面等应用程序访问指定的网络设备或者服务器。因此对于这部分用户的安全性要求就更高了，不但要求他们采用短消息的认证方式，还可以将他们的登录账号与公司配给他们的笔记本的硬件特征码进行绑定，防止账号被盗用。

d)      客户端安全策略检查及VPN专线技术：中国移动云南公司内部计算机统一部署了赛门铁克杀毒软件，因此对于接入的计算机要求必须符合内部网络安全标准。网络及系统维护人员由于访问资源较为敏感，可以让他们在登录SSL VPN之后自动断开与Internet的其他连接，避免计算机上由于中了木马成为黑客攻击内部网络的跳板。

2)      易用性及适应性：

a)      深信服SSL VPN使用浏览器内置的SSL协议即可登录，用户可以像登录Hotmail、Gmail的Web邮箱一样方便的登录SSL VPN访问内部应用系统，使用者无需做任何培训。

b)      深信服SSL VPN采用SSL标准的443端口即可访问，因此用户在限制较为严格的网络环境下依然能够正常访问。由于SSL VPN访问的地址是httpS://URL/IP ，而一般用户往往会把httpS当中的S给忘了输入而影响登录；深信服SSL VPN支持自动跳转功能，用户即便输入的是http://URL/IP 也会自动跳转到httpS://URL/IP，方便了用户使用。

c)      深信服SSL VPN支持无需安装任何控件即可登录访问内部B/S应用，通过此技术各种的智能甚至非智能手机都能够登录SSL VPN访问内部应用系统。

3)      品牌及本地化服务：

a)      品牌：2005年，深信服科技推出了全球第一台SSL/IPSec一体化VPN产品，目前已成为VPN领域的标准配置。2006年，深信服科技先后开发了SMS短信认证、HardCA硬件身份认证、SSL VPN专线功能，极大地提高了SSL VPN产品的安全性。2007年，深信服科技的M5900-S SSL VPN在网络世界的评测中，并发用户数突破8000，性能跻身全球三甲。

目前，已经有重庆联通、黑龙江联通、山东电信、湖南电信、广东网通等11家省级电信运营商选择了深信服SSL VPN方案，这也给云南移动选择中国品牌提供了重要的参考。

b)      本地化服务：　目前，深信服科技在全国近三十个大中城市设立有直属办事处，其中在昆明设有云南地区技术服务中心，设有专职技术工程师，为提供7*24小时800电话及上门服务。

最后，中国移动云南省分公司通过对国内外所有知名品牌的对比后，最终选择通过深信服SSL VPN解决其移动办公问题。