SSL VPN管理端的需求分析與設計.pdf

1、隨著我國經(jīng)濟和科技的不斷發(fā)展，企業(yè)之間的競爭越來越激烈，為了在競爭中立于不敗之地，企業(yè)紛紛加快信息化進程。隨著企業(yè)信息化進程的推進，在企業(yè)中部署的應用系統(tǒng)有數(shù)量多、分布廣、用戶量大的特點，必然給信息安全帶來較大的挑戰(zhàn)。企業(yè)中很多信息都有高機密性的特點，各種業(yè)務運營對網(wǎng)絡操作的依賴越來越高。
　　 IPSec協(xié)議作為開放的網(wǎng)絡層安全協(xié)議，具有安全、高效、應用透明等優(yōu)點，但是其提供的安全控制過于單一，不能滿足所有應用需求?；赟SL

2、協(xié)議的VPN是當前最引人關注的一種新興的VPN產(chǎn)品。但由于缺乏統(tǒng)一的標準和規(guī)范，目前市場上基于SSL協(xié)議的VPN產(chǎn)品技術(shù)參差不起，功能差異較大。同時為了提高SSL VPN產(chǎn)品的易用性和安全性，基于效率和安全的因素，迫切需要改變傳統(tǒng)的認證方式，采用一種更為高效、安全的認證機制，單點登錄的概念由此產(chǎn)生。
　　 本文分析了系統(tǒng)的安全需求以及多項安全技術(shù)后，設計了一種集中的安全管理機制，設計了豐富和靈活的訪問控制方式，同時也提高了SSL

3、 VPN在身份管理、認證和訪問控制等多個環(huán)節(jié)的安全性。在深入分析了系統(tǒng)的總體框架的基礎上，結(jié)合系統(tǒng)的具體需求，本文設計了一種基于LDAP的輕量級用戶管理模塊。身份管理模塊使用LDAP數(shù)據(jù)庫統(tǒng)一管理系統(tǒng)中的身份信息，引入了多種用戶身份的注冊，可以靈活地和企業(yè)現(xiàn)有信息系統(tǒng)無縫結(jié)合。并且在單點登錄和訪問控制框架的研究基礎上，設計了認證和授權(quán)模塊，為身份主體提供認證、授權(quán)等安全服務；具有集中認證、授權(quán)等安全策略信息的能力，支持唯一的策略決策點，

4、可以簡化策略變更的傳達和策略完整性的維護，降低了身份與策略管理的不一致性，能夠有效地滿足和提高SSLVPN系統(tǒng)的安全要求。為了滿足更高的安全需求，本文在設計中加入了對數(shù)字證書認證的支持。
　　 本文采用集中的用戶管理、認證授權(quán)機制，支持多種認證方式，能夠可以使用戶在使用不同認證方式時獲得不同的信任級別，并獲得相應的系統(tǒng)訪問權(quán)限。身份認證方式也可以作為安全策略機制的一種，可以通過安全策略的配置對SSL VPN系統(tǒng)的認證施加有效的管