银行系统远程接入服务控制方案

　　行业背景

　　银行业已经成为信息技术和网络技术发展的最大受益者之一。银行行业网络系统的建设，提高了银行业务处理的水平，改善了银行行业的经营环境，将银行业务发展推进到一个全新的时代。同时，银行行业网络架构纵向集中的趋势日益明显，业务网络物理上要求统一、逻辑上要求安全隔离的呼声也越来越高。

　　银行业新型业务的发展要求将原来局限于办公室的内容向外界扩展。为增强企业竞争力，在内部形成快速便捷的信息沟通渠道，以及实现对市场信息的快速响应与快速决策，必须具备移动办公及远程接入的能力。比如领导在外及时进行对公文的审阅、批复已成为办公自动化应用中的一个重要需求。

　　另一方面，银行机构掌管着大量的敏感数据，网络资源的集中也带来了一系列新的问题，如不同业务系统在同一个网络上承载，如何有效的实现逻辑上的隔离、实现不同类别业务的区别服务等等都是需要仔细设计的环节。

　　目前远程接入的安全技术中， SSL VPN实现了重要信息在Internet上的传输安全控制，已使其成为银行机构远程接入安全策略中重要的方式之一。

　　功能优势

　　安全性

　　1、采用标准SSL协议加密建立安全的专用加密通道;同时，SSL VPN内置有LDAP/AD、Radius、SecurID、短信认证等多种安全认证方式，结合对客户端的安全检查，最大限度地保证了接入用户的安全性。

　　2、硬件特征绑定技术;保障远程用户只能从指定PC终端(比如公司指定的笔记本)接入，大大降低接入终端不可控带来的安全威胁。

　　3、VPN专线技术;杜绝黑客通过远程控制用户电脑然后进入VPN隧道从而潜入。

　　4、角色关联机制;在资源授权方面， SSL VPN对用户进行分组，针对被访问的资源的IP地址，端口，服务，甚至URL地址和时间进行资源分组，将用户(组)和资源(组)之间进行角色关联，细致的接入。

　　5、详尽审计; SINFOR SSL VPN通过行为跟踪引擎，对每个远程接入用户的所有访问记录都留下了日志记录。通过第三方日志服务器，对审计日志进行定期导出，对所有远程用户的登录行为做全面的分析和统计。管理员可按照饼图、柱状图、曲线图等多种显示方式对服务的被访问次数、被拒绝次数，用户的登录次数、告警次数等形成直观报表。

　　高速、易用性

　　1、移动办公的优势体现在可以在任何场所、通过任何终端、随时地接入到内网，访问需要的信息资源。银行机构办公人员经常因为出差等原因在各种网络下工作，如家庭ADSL宽带、CDMA/GPRS无线网络等。由于无线网络、跨运营商网络存在着比较大的时延或丢包问题，如果SSL VPN无法解决这些问题，那么移动办公效果将大打折扣。

　　为了解决接入速度慢的问题，深信服利用特有的基于硬件的GZIP和LZO高速流压缩算法等业内领先技术，可将SSL VPN数据传输率提高20%-30%;

　　另外，Web Push专利技术通过对Web页面的整合发布，减少了大量的TCP响应次数，大幅度提高了用户访问WEB资源的速度。

　　2、在易用性方面，SSL VPN免客户端接入的特点收到了广大用户的欢迎，使用者只需打开浏览器，输入相应地址，就可以访问到其所授权的服务。做到了用户只要能上网、只要会操作电脑，就可以使用SSL VPN。

　　并通过深信服的单点登陆技术(SSO)，使客户免去了内部系统中的多次重复验证，在保障了系统安全的前提下减少了用户的多余操作步骤，降低了由于重复输入而造成账号外泄的风险。

　　网络拓扑

　　SSL VPN系统一般部署在防火墙之后的内网中，对内网拓扑影响甚微;并与机构内部的CA系统，或第三那方认证中心相结合，达到内部IT系统的整合融入。部署情况如图：