破解遠(yuǎn)程訪問中的安全之道
在讀者的印象中，不安全的遠(yuǎn)程訪問隨處可見，它就像是一顆定時(shí)炸彈，隨時(shí)都有可能引爆。對于國家煙草專賣局而言，拆解這樣的隱形炸彈又需要極大的耐心和周詳?shù)目紤]。此前國家煙草專賣局IT負(fù)責(zé)人在接受采訪時(shí)透露，當(dāng)前局里已經(jīng)部署了專用的卷煙銷售管理系統(tǒng)和遠(yuǎn)程辦公OA系統(tǒng)，該系統(tǒng)設(shè)定為B/S架構(gòu)，很大程度上方便了員工在任何一臺電腦上以瀏覽器的形式訪問公司內(nèi)網(wǎng)。
換句話說，包括國家煙草專賣局下屬各司局在內(nèi)的所有員工以及在全國各個(gè)地市出差的工作人員都能夠使用該系統(tǒng)。只是在允許進(jìn)行遠(yuǎn)程接入的同時(shí)，對于接入進(jìn)來的人員必須要有明確的權(quán)限劃分、嚴(yán)密的監(jiān)控措施，以防非法人員越權(quán)操作。
按照目前流行的遠(yuǎn)程接入方式進(jìn)行選擇，VPN當(dāng)仁不讓地成為國家煙草專賣局首先考慮的對象。但是，在到底是SSL VPN還是IPSec VPN的問題上，卻需要仔細(xì)而周全的考量。該負(fù)責(zé)人表示：“局里的員工在全國各地遠(yuǎn)程接入公司內(nèi)網(wǎng)時(shí)往往會采取各種各樣的方式，條件好一些的是通過子局內(nèi)網(wǎng)或是ADSL寬帶，但是條件不好的電話撥號也很常見。此外，使用無線通訊的3G網(wǎng)絡(luò)和地方網(wǎng)吧的也大有人在，而且因?yàn)榇蠖际墙荒觊g新配備的筆記本電腦，所以Vista系統(tǒng)遠(yuǎn)多于XP系統(tǒng)。”正是鑒于如此復(fù)雜的接入方式，國家煙草專賣局選擇了SSL VPN作為最終的技術(shù)方案。
SSL VPN的優(yōu)勢在于它是解決遠(yuǎn)程用戶訪問公司敏感數(shù)據(jù)的最簡單、最安全的一種網(wǎng)絡(luò)形式。說它簡單是因?yàn)槿魏伟惭b瀏覽器的電腦都可以使用SSL VPN，即SSL是內(nèi)嵌于瀏覽器中的，而傳統(tǒng)的IPSec VPN則必須為每臺終端機(jī)安裝客戶端軟件，非常不便。所以僅從這點(diǎn)來看，國家煙草專賣局選擇SSL VPN就是相當(dāng)?shù)拿髦牵瑫r(shí)也符合其原有辦公系統(tǒng)的B/S架構(gòu)要求。
雖然國家煙草專賣局確定SSL VPN作為OA系統(tǒng)遠(yuǎn)程接入的網(wǎng)關(guān)，但是在項(xiàng)目的具體部署上仍然需要費(fèi)些心思。據(jù)該項(xiàng)目的施工方衛(wèi)士通公司介紹，他們專門為國家煙草專賣局提供了全套中華衛(wèi)士SSL VPN網(wǎng)關(guān)。在具體實(shí)施中，全部系統(tǒng)采用了旁路部署的實(shí)施方案，將中華衛(wèi)士SSL VPN置于DMZ區(qū)。
記者的理解是，DMZ常常可以設(shè)置為一個(gè)不同于外網(wǎng)或內(nèi)網(wǎng)的特殊網(wǎng)絡(luò)區(qū)域。這樣，遠(yuǎn)程來訪者的訪問就僅僅局限于DMZ中規(guī)定的服務(wù)，他們不能接觸到存放在內(nèi)網(wǎng)中的機(jī)密或商業(yè)信息等。另外，即使DMZ中服務(wù)器受到破壞，也不會對內(nèi)網(wǎng)中的機(jī)密信息造成影響。
而在國家煙草專賣局的OA系統(tǒng)中，銷售管理系統(tǒng)又是由多臺服務(wù)器提供服務(wù)的。所以，施工方首先將系統(tǒng)中的每臺服務(wù)器都配置好，然后只保留其中一臺置于DMZ區(qū)域中作為登錄服務(wù)器之用，再把其它服務(wù)器都設(shè)置為隱藏狀態(tài)讓遠(yuǎn)程用戶無法看到。這樣就能既保證內(nèi)網(wǎng)的數(shù)據(jù)安全，同時(shí)又可以做到不破壞用戶原來的登錄習(xí)慣。
此外，由于國家煙草專賣局OA系統(tǒng)需要提前安裝使用環(huán)境，所以衛(wèi)士通把中華衛(wèi)士SSL VPN網(wǎng)關(guān)與OA系統(tǒng)進(jìn)行了綁定。同時(shí)采用單點(diǎn)登錄技術(shù)，用戶在登錄OA系統(tǒng)之后將通過后臺的SSL VPN進(jìn)行身份認(rèn)證，訪問授權(quán)，然后直接進(jìn)入OA系統(tǒng)進(jìn)行工作，省去了進(jìn)行二次登錄的麻煩。
總的來看，相對于IPSec VPN的安全權(quán)限只局限到網(wǎng)絡(luò)層，SSL VPN的所有訪問都是被限制在應(yīng)用層的。換言之，SSL VPN可以做到精細(xì)的權(quán)限控制策略，其細(xì)分程度甚至到了一個(gè)URL或一個(gè)文件。也就是說，SSL VPN對于遠(yuǎn)程訪問的控制更有效也更安全。
【編輯推薦】
