IPSec VPN技术白皮书

IPSec VPN 技术白皮书

深信服科技有限公司 2014年9月4日

IPSec VPN V4.3技术白皮书 文档密级：公开

目录

第1章 第2章

2.1 2.2 2.3 第3章

3.1 3.2 3.3 第4章

4.1 4.2 4.3 4.4 4.5 4.6 第5章

5.1 5.2 5.3 5.4 5.5

序 言 .......................................................................................................... 1 SANGFOR IPSec VPN产品简介 ............................................................... 3 SANGFOR IPSec VPN硬件产品 ............................................................... 3 SANGFOR IPSec VPN软件产品 ............................................................... 4 SANGFOR SC集中安全管理平台 ............................................................ 4 背景知识技术介绍 ...................................................................................... 6 链路层VPN 技术 ....................................................................................... 7 会话/应用层VPN 技术 .............................................................................. 8 网络层VPN 技术 ....................................................................................... 8 SANGFOR IPSec VPN主要优点 ............................................................... 9 安全的VPN体系 ........................................................................................ 9 稳定可靠的VPN系统 .............................................................................. 14 高速的VPN系统 ...................................................................................... 16 高品质保证的VPN系统 .......................................................................... 18 方便灵活的VPN系统 .............................................................................. 20 软硬件一体化的VPN系统 ...................................................................... 22 SANGFOR SC 集中安全管理平台主要技术特点 ................................. 23 全面集中管理 ............................................................................................ 23 设备状态实时监控 .................................................................................... 24 智能升级功能 ............................................................................................ 25 完善安全功能 ............................................................................................ 25 独立报表中心 ............................................................................................ 26

深信服科技版权所有 www.sangfor.com.cn i

IPSec VPN V4.3技术白皮书 文档密级：公开

第1章 序 言

随着计算机技术的飞速发展以及Internet宽带网络的逐渐普及，传统企业的工作模式正在发生着巨大的改变，越来越多的企业开始基于计算机技术、网络技术以及各种应用系统展开业务工作。并且随着Internet宽带网络的普及，企业和单位开始连接到互联网获取商业机会，与客户交流，发布商业信息，利用丰富的Internet资源来展开商务活动。

目前稍具规模的企业，都不仅只有一个办公场所，而是拥有众多的分公司、办事处、工厂等。随着企业信息化的发展，越来越多的应用系统开始用来处理企业的各项业务，如何将公司总部的各项应用系统推广到各个分支机构、办事处，实现应用系统的实时，统一的管理，就成为当前众多企业所面临的问题。

正是用户的需求促进了VPN的诞生和高速的发展。传统专用线路（如DDN）的高昂成本和长期的使用费，成为了企业很大的负担，很多企业无法利用这种方式来建立自己的专网，而在Internet发展的早期，窄带线路的通信质量、带宽、以及资费，都无法满足企业长期利用其来构建自身远程私有网络的需要。如今，各种宽带上网方式（如ADSL、城域网等）都在迅速发展，带宽和通信质量已经不在是瓶颈，资费也极大的降低。企业完全能够使用VPN这种高效率、低成本的解决方案来满足企业异地网络互联互通的需要。

深信服科技是国内领先的VPN及网络安全厂商，长期专注于VPN和网络安全领域产品的研发。目前已经拥有：IPSec VPN、SSL VPN、IPSec/SSL一体化、SC集中安全管理平台以及集VPN、防火墙、内容过滤、访问控制、网关杀毒、垃圾邮件过滤等多功能于一身的UTM产品。对于目前主流的IPSec VPN，深信服科技推出有：SANGFOR IPSec VPN 软件产品、SANGFOR IPSec VPN硬件网关以及SC集中安全管理平台。其中SANGFOR IPSec VPN 软件产品分为：DLAN标准版、DLAN安全版、DLAN专业版；硬件产品分为：M5400千兆设备、M5100百兆设备、小型硬件设备S5100。

对于拥有众多分布式办公地点的大型企业来说，部署大规模的VPN/防火墙设备时，企业往往将面临以下问题：

1. 由于VPN或防火墙等安全设备部署在不同地点，往往简单的远程维护不能满足同时部署、监控和维护大量远程设备的要求。如果增加网络维护人员又增加了IT运营成本。

2. 大量设备需要独立部署安全规则，因此很难保证所有场所的安全策略都是一致和安全的。在一个大的VPN网络内可能存在多个点有较多安全漏洞，但却无法发现。

深信服科技版权所有 www.sangfor.com.cn

1

IPSec VPN V4.3技术白皮书 文档密级：公开

3. 当网络规模或结构发生变化的时候，往往需要重新调整和配置众多节点的设备。比如当一个网络发生变化时，需要同时修改和该网络相连的所有VPN设备的参数。

4. 如果有大量的移动办公用户，帮助这些用户配置和维护VPN客户端将花费管理员大量的时间和精力。

5. 随着新的安全漏洞的发现或攻击方式的产生，所有VPN/防火墙设备必须不断升级，大量设备的升级难以同时完成，另外异地众多设备的升级还需要耗去大量的人力物力。

深信服科技作为领先的研发厂商，提供了以上问题的一体化解决方案-SANGFOR SC集中安全管理平台。通过SC集中安全管理平台，一个管理员就可以同时监控和部署成百上千个VPN网络和VPN/防火墙设备。极大的降低企业或运营商管理大型网络的成本，并消除因不同防火墙和 VPN 策略造成的安全漏洞。

深信服科技丰富的产品足以满足不同用户的需求，为广大用户量身订制适合企业自身业务需求和未来发展的专业VPN产品。

深信服科技版权所有 www.sangfor.com.cn 2

IPSec VPN V4.3技术白皮书 文档密级：公开

第2章 SANGFOR IPSec VPN产品简介

2.1 SANGFOR IPSec VPN硬件产品

SANGFOR M5100

作为国内领先的VPN和网络安全研发产商，深信服科技推出的SANGFOR M5100，获得2004～2005年“计算机世界”的年度产品奖和“中国计算机报”的编辑选择奖。是一款高性价比的硬件VPN/防火墙网关，用于中型企业总部网络或大型企业的区域总部网络。该产品又分标准版、专业版两款，其中标准版支持3个百兆网络接口（1 LAN,1 WAN,1 DMZ），为单线路VPN。专业版支持4个百兆网络接口（1 LAN,2 WAN,1 DMZ），为双线路VPN，支持两条Internet线路带宽叠加及备份。SANGFOR M5100具有强大的VPN功能，支持各种Internet接入方式（包括ADSL、LAN宽带、XDSL等等）。设备内置WebAgent动态IP寻址机制，双寻址方式保证了寻址的稳定性。SANGFOR M5100采用了改进的IPSec协议，在确保VPN隧道安全的同时、进一步提高了数据传输的效率。同时集成了LZO高速流压缩算法，对常见的应用（如文件传输、数据库查询等）大大提高了速度。同时，在安全性上，SANGFOR M5100网关集成了高强度的加密算法，并可以进一步通过软件或硬件卡的形式进行加密算法的扩展，保证了数据传输的安全。其次，网关系统内置Radius服务、并采用了HARDCA硬件证书的形式进行身份认证，确保接入用户的合法有效。另外，SANGFOR M5100还针对内网用户可以设定细致的访问权限、避免了病毒类文件的随意传播和越权访问带来的安全隐患。并且，M5100本身也是一台高性能的防火墙设备，能有效抵御外网的攻击。

SANGFOR M5400

SANGFOR M5400是一款功能强大的安全平台，是千兆高性能的硬件VPN/防火墙网关，用于大型企业或重要网络的中心节点。标准配置的一台设备支持4个千兆接口（其中2个WAN口，1个LAN口，1个DMZ口）和2个百兆接口（用于WAN口）。各网口均可自定义，并能通过模块扩充的方式、增加网口或者光口。

对于大型企业或重要网络来说，带宽和稳定性的要求更高。SANGFOR M5400支持4个WAN口（其中1000M*2 & 10/100M * 2），可支持四条Internet出口线路的带宽叠加和备份，增强了网络的稳定性和出口带宽。同时，多条线路与其他节点建立VPN连接时，能够

深信服科技版权所有 www.sangfor.com.cn

3