在讀者的印象中,不安全的遠(yuǎn)程訪問(wèn)隨處可見(jiàn),它就像是一顆定時(shí)炸彈,隨時(shí)都有可能引爆。對(duì)于國(guó)家煙草專(zhuān)賣(mài)局而言,拆解這樣的隱形炸彈又需要極大的耐心和周詳?shù)目紤]。此前國(guó)家煙草專(zhuān)賣(mài)局IT負(fù)責(zé)人在接受采訪時(shí)透露,當(dāng)前局里已經(jīng)部署了專(zhuān)用的卷煙銷(xiāo)售管理系統(tǒng)和遠(yuǎn)程辦公OA系統(tǒng),該系統(tǒng)設(shè)定為B/S架構(gòu),很大程度上方便了員工在任何一臺(tái)電腦上以瀏覽器的形式訪問(wèn)公司內(nèi)網(wǎng)。    (服務(wù)器租用)

　　換句話說(shuō),包括國(guó)家煙草專(zhuān)賣(mài)局下屬各司局在內(nèi)的所有員工以及在全國(guó)各個(gè)地市出差的工作人員都能夠使用該系統(tǒng)。只是在允許進(jìn)行遠(yuǎn)程接入的同時(shí),對(duì)于接入進(jìn)來(lái)的人員必須要有明確的權(quán)限劃分、嚴(yán)密的監(jiān)控措施,以防非法人員越權(quán)操作。

　　按照目前流行的遠(yuǎn)程接入方式進(jìn)行選擇,VPN當(dāng)仁不讓地成為國(guó)家煙草專(zhuān)賣(mài)局首先考慮的對(duì)象。但是,在到底是SSL VPN還是IPSec VPN的問(wèn)題上,卻需要仔細(xì)而周全的考量。該負(fù)責(zé)人表示:“局里的員工在全國(guó)各地遠(yuǎn)程接入公司內(nèi)網(wǎng)時(shí)往往會(huì)采取各種各樣的方式,條件好一些的是通過(guò)子局內(nèi)網(wǎng)或是ADSL寬帶,但是條件不好的電話撥號(hào)也很常見(jiàn)。此外,使用無(wú)線通訊的3G網(wǎng)絡(luò)和地方網(wǎng)吧的也大有人在,而且因?yàn)榇蠖际墙�一年間新配備的筆記本電腦,所以Vista系統(tǒng)遠(yuǎn)多于XP系統(tǒng)�！闭�是鑒于如此復(fù)雜的接入方式,國(guó)家煙草專(zhuān)賣(mài)局選擇了SSL VPN作為最終的技術(shù)方案。

　　SSL VPN的優(yōu)勢(shì)在于它是解決遠(yuǎn)程用戶訪問(wèn)公司敏感數(shù)據(jù)的最簡(jiǎn)單、最安全的一種網(wǎng)絡(luò)形式。說(shuō)它簡(jiǎn)單是因?yàn)槿魏伟惭b瀏覽器的電腦都可以使用SSL VPN,即SSL是內(nèi)嵌于瀏覽器中的,而傳統(tǒng)的IPSec VPN則必須為每臺(tái)終端機(jī)安裝客戶端軟件,非常不便。所以?xún)H從這點(diǎn)來(lái)看,國(guó)家煙草專(zhuān)賣(mài)局選擇SSL VPN就是相當(dāng)?shù)拿髦?同時(shí)也符合其原有辦公系統(tǒng)的B/S架構(gòu)要求。

　　雖然國(guó)家煙草專(zhuān)賣(mài)局確定SSL VPN作為OA系統(tǒng)遠(yuǎn)程接入的網(wǎng)關(guān),但是在項(xiàng)目的具體部署上仍然需要費(fèi)些心思。據(jù)該項(xiàng)目的施工方衛(wèi)士通公司介紹,他們專(zhuān)門(mén)為國(guó)家煙草專(zhuān)賣(mài)局提供了全套中華衛(wèi)士SSL VPN網(wǎng)關(guān)。在具體實(shí)施中,全部系統(tǒng)采用了旁路部署的實(shí)施方案,將中華衛(wèi)士SSL VPN置于DMZ區(qū)。

　　記者的理解是,DMZ常�？梢栽O(shè)置為一個(gè)不同于外網(wǎng)或內(nèi)網(wǎng)的特殊網(wǎng)絡(luò)區(qū)域。這樣,遠(yuǎn)程來(lái)訪者的訪問(wèn)就僅僅局限于DMZ中規(guī)定的服務(wù),他們不能接觸到存放在內(nèi)網(wǎng)中的機(jī)密或商業(yè)信息等。另外,即使DMZ中服務(wù)器受到破壞,也不會(huì)對(duì)內(nèi)網(wǎng)中的機(jī)密信息造成影響。

　　而在國(guó)家煙草專(zhuān)賣(mài)局的OA系統(tǒng)中,銷(xiāo)售管理系統(tǒng)又是由多臺(tái)服務(wù)器提供服務(wù)的。所以,施工方首先將系統(tǒng)中的每臺(tái)服務(wù)器都配置好,然后只保留其中一臺(tái)置于DMZ區(qū)域中作為登錄服務(wù)器之用,再把其它服務(wù)器都設(shè)置為隱藏狀態(tài)讓遠(yuǎn)程用戶無(wú)法看到。這樣就能既保證內(nèi)網(wǎng)的數(shù)據(jù)安全,同時(shí)又可以做到不破壞用戶原來(lái)的登錄習(xí)慣。

　　此外,由于國(guó)家煙草專(zhuān)賣(mài)局OA系統(tǒng)需要提前安裝使用環(huán)境,所以衛(wèi)士通把中華衛(wèi)士SSL VPN網(wǎng)關(guān)與OA系統(tǒng)進(jìn)行了綁定。同時(shí)采用單點(diǎn)登錄技術(shù),用戶在登錄OA系統(tǒng)之后將通過(guò)后臺(tái)的SSL VPN進(jìn)行身份認(rèn)證,訪問(wèn)授權(quán),然后直接進(jìn)入OA系統(tǒng)進(jìn)行工作,省去了進(jìn)行二次登錄的麻煩。    (服務(wù)器租用)

　　總的來(lái)看,相對(duì)于IPSec VPN的安全權(quán)限只局限到網(wǎng)絡(luò)層,SSL VPN的所有訪問(wèn)都是被限制在應(yīng)用層的。換言之,SSL VPN可以做到精細(xì)的權(quán)限控制策略,其細(xì)分程度甚至到了一個(gè)URL或一個(gè)文件。也就是說(shuō),SSL VPN對(duì)于遠(yuǎn)程訪問(wèn)的控制更有效也更安全。