SSL VPN管理端的需求分析與設(shè)計(jì).pdf

1、隨著我國(guó)經(jīng)濟(jì)和科技的不斷發(fā)展，企業(yè)之間的競(jìng)爭(zhēng)越來(lái)越激烈，為了在競(jìng)爭(zhēng)中立于不敗之地，企業(yè)紛紛加快信息化進(jìn)程。隨著企業(yè)信息化進(jìn)程的推進(jìn)，在企業(yè)中部署的應(yīng)用系統(tǒng)有數(shù)量多、分布廣、用戶量大的特點(diǎn)，必然給信息安全帶來(lái)較大的挑戰(zhàn)。企業(yè)中很多信息都有高機(jī)密性的特點(diǎn)，各種業(yè)務(wù)運(yùn)營(yíng)對(duì)網(wǎng)絡(luò)操作的依賴越來(lái)越高。
　　 IPSec協(xié)議作為開(kāi)放的網(wǎng)絡(luò)層安全協(xié)議，具有安全、高效、應(yīng)用透明等優(yōu)點(diǎn)，但是其提供的安全控制過(guò)于單一，不能滿足所有應(yīng)用需求?；赟SL

2、協(xié)議的VPN是當(dāng)前最引人關(guān)注的一種新興的VPN產(chǎn)品。但由于缺乏統(tǒng)一的標(biāo)準(zhǔn)和規(guī)范，目前市場(chǎng)上基于SSL協(xié)議的VPN產(chǎn)品技術(shù)參差不起，功能差異較大。同時(shí)為了提高SSL VPN產(chǎn)品的易用性和安全性，基于效率和安全的因素，迫切需要改變傳統(tǒng)的認(rèn)證方式，采用一種更為高效、安全的認(rèn)證機(jī)制，單點(diǎn)登錄的概念由此產(chǎn)生。
　　 本文分析了系統(tǒng)的安全需求以及多項(xiàng)安全技術(shù)后，設(shè)計(jì)了一種集中的安全管理機(jī)制，設(shè)計(jì)了豐富和靈活的訪問(wèn)控制方式，同時(shí)也提高了SSL

3、 VPN在身份管理、認(rèn)證和訪問(wèn)控制等多個(gè)環(huán)節(jié)的安全性。在深入分析了系統(tǒng)的總體框架的基礎(chǔ)上，結(jié)合系統(tǒng)的具體需求，本文設(shè)計(jì)了一種基于LDAP的輕量級(jí)用戶管理模塊。身份管理模塊使用LDAP數(shù)據(jù)庫(kù)統(tǒng)一管理系統(tǒng)中的身份信息，引入了多種用戶身份的注冊(cè)，可以靈活地和企業(yè)現(xiàn)有信息系統(tǒng)無(wú)縫結(jié)合。并且在單點(diǎn)登錄和訪問(wèn)控制框架的研究基礎(chǔ)上，設(shè)計(jì)了認(rèn)證和授權(quán)模塊，為身份主體提供認(rèn)證、授權(quán)等安全服務(wù)；具有集中認(rèn)證、授權(quán)等安全策略信息的能力，支持唯一的策略決策點(diǎn)，

4、可以簡(jiǎn)化策略變更的傳達(dá)和策略完整性的維護(hù)，降低了身份與策略管理的不一致性，能夠有效地滿足和提高SSLVPN系統(tǒng)的安全要求。為了滿足更高的安全需求，本文在設(shè)計(jì)中加入了對(duì)數(shù)字證書(shū)認(rèn)證的支持。
　　 本文采用集中的用戶管理、認(rèn)證授權(quán)機(jī)制，支持多種認(rèn)證方式，能夠可以使用戶在使用不同認(rèn)證方式時(shí)獲得不同的信任級(jí)別，并獲得相應(yīng)的系統(tǒng)訪問(wèn)權(quán)限。身份認(rèn)證方式也可以作為安全策略機(jī)制的一種，可以通過(guò)安全策略的配置對(duì)SSL VPN系統(tǒng)的認(rèn)證施加有效的管