打造企业的安全信息通道

文/咸月辉

　　福建惠丰电机有限公司（以下简称惠丰电机）主要以生产研发家电用电动机、电动工具用电动机、柴油发电机组、汽油发电机组等设备，年出口额在亿元以上。2008年3月惠丰电机正式启动了易飞ERP系统项目，截至目前，生产管理、财务等模块已经成功导入运行。惠丰电机对前期ERP合作非常满意。但随着易飞的逐渐在企业内深入使用，惠丰电机发现了新的问题，由于易飞是C/S系统，如果销售人员不再企业内网环境中，就无法进行对易飞的访问。主要问题包括：

　　1、销售人员长期在外，无法直接访问内网中的易飞ERP。如果将ERP系统置于外网，无疑会为企业经营带来巨大的隐患；

　　2、企业高层管理人员出差时，需要了解经营数据，这将又面临了无法访问的难题。

　　在了解了惠丰的需求之后，神州数码管理系统有限公司的顾问又详细察看了惠丰的网络结构，提出了通过建立VPN专属通道来解决远程访问的安全性问题。顾问向惠丰电机公司介绍了神州数码的推出加值产品—BiGuard SSL VPN设备。

　　在对BiGuard SSL VPN的功能特点进行深入了解后，惠丰电机公司的领导一至认为可以解决以上问题。随即与神州数码管理系统有限公司进行了签约购买，经过为期3天的调试测试，BiGuard SSL VPN正式上线，投入使用。几天后，惠丰机电的相关领导在给顾问的电话中谈到： VPN帮企业解决了大问题，现在销售接到订单，无论身在何处，都可以通过网络第一时间就可以访问到易飞，进行下单，非常方便。老板也认为访问速度快，每天可以随时了解企业经营情况，再也不用出差时，担心企业生产、销售遇到什么突发情况，又无法及时看到真实数据的问题了。

　　解决方案

　　惠丰的网络环境比较简单，因此在架设VPN时，神州数码顾问采用以下网络结构：

　　将VPN网关放在防火墙内，防火墙只需开放SSL(443)端口或Port Mapping至VPN，经过VPN网关的身份验证访问ERP。具备身份验证、数据加密功能，同时可针对不同用户分配相应的访问权限，避免非授权用户访问ERP之外其它服务。从而确保ERP系统安全性。

　　远程访问实例

　　使用digiwin BiGuard SSL远程VPN接入方案，将VPN网关放在防火墙内，防火墙只需开放SSL(443)端口或Port Mapping至VPN，经过VPN网关的身份验证即可访问digiwin TOP GP ERP、易飞ERP、易助ERP、Easyflow工作流、CRM、HR等各种类型的企业信息系统。

　　BiGuard SSL VPN具备身份验证、数据加密功能，同时可针对不同用户分配相应的访问权限，避免非授权用户访问系统之外其它服务，从而确保系统安全性。

　　BiGuard SSL VPN可适用多种企业信息系统程序访问，如B/S、C/S或TS模式。

　　BiGuard SSL VPN的远程接入非常方便，以远程使用易飞ERP系统为例，无需任何网络连接设置和软件安装，实现远程安全访问易飞只需3步：

　　1、在任何可以上网的地方，打开IE或其它浏览器，输入公司的SSL VPN网关登录地址，输入自己的用户名密码，登录到入口页面

　　2、进入入口页面后，点击Net Extender功能，选择安装插件，保持窗口打开状态，即自动登入了企业网

　　3、打开易飞客户端，即可与在企业 网中一样访问系统

　　为企业带来的效益

　　1、低成本投入、收益高回报

　　SSL VPN同时具备防火墙和路由器的功能，能够更有效的降低投资。可以作为企业网关使用，也可以串接或单臂接入到企业现有网关和防火墙后面，仅用于提供SSL VPN功能，可充分适应各种网络环境。

　　2、可扩展性、与企业共成长

　　适用范围覆盖SOHO至中小企业。SSL及IPSec并发数留有升级空间，适应企业不同时期的扩展需求，保护企业投资，无需重复购买。

　　3、实现了安全方便的互联互通

　　只需将digiwin SSL VPN设备单臂接入在防火墙后面，同时将443端口开放映射到 SSL VPN设备，用户内部的网络结构不需要做任何改动。用户只需要通过IE去访问到 SSL VPN设备，通过严格的身份认证以后，在用户和SSL VPN设备之间建立一条安全通道，就可以透明地访问内部应用。

　　4、数据传输的安全

　　远程的用户只有在经过认证和授权以后才可以访问到企业内部应用系统，并且用户对应用系统的访问是以数据加密的方式来实现的，从而保证了数据传输的安全。

　　5、支持网络中心B/S和C/S应用

　　方案无缝地支持B/S和C/S应用。对B/S应用，方案提供无客户端的接入方式，也就是说，用户只要通过浏览器就可以安全地接入网络中心；对于C/S应用，方案提供可自动下载的插件或者客户端软件，实现对C/S应用的支持。

　　6、保证数据中心重要数据的安全，提供访问控制

　　方案重点在于保护具体的敏感数据，可以根据用户的不同身份，给予不同的访问权限。就是说，虽然不同身份的员工都可以进入SSL VPN设备，但是可以为不同人员设置不同的访问权限。

　　7、简单高效的维护和管理方式

　　方案采用安全方便Web界面方式、单臂接入方式，管理员只需要远程的登录设备通过对日志的设置、查看，方便的管理远端的设备。无须安装客户端程序，通过网络浏览器甚至PDA，即可轻松实现远程访问。