VPN组网方案

以某县供电局为例，该局下属数十个营业厅，在县局上了电力营销系统以后，所有的用户数据和销售数据都需要联入县局数据中心进行存取，但如果采用专线的方式来连接县局和这么多的营业厅的话，以每条专线的租用费用为2000元计算，十个营业厅每月光线路租用费用就是两万元，还不算采用专线时极高的实施成本和设备采购费用，对于一个县局来说，这样的费用是相当高昂的，因此，在综合考虑成本、安全性、稳定性等多方面的因素后，该县供电局决定采用深信服提供的Sinfor DLAN VPN解决方案，彻底解决了困扰多时的线路问题，利用当地廉价的ADSL接入方式（每月200元），将线路成本降低为专线方案的10％。

产品选型

该县供电局在县局使用了 SINFOR M5100 这款屡获殊荣的高性价比 VPN/ 防火墙安全网关，在提供强劲性能的同时具有极好的长时间稳定运行能力，能够保证下属营业厅随时可靠的接入，在下属各级营业厅根据其规模分别采用了 SINFOR S5100 边缘 VPN/ 防火墙安全网关或软件 VPN 分支模块，充分体现了深信服科技软硬件一体化方案的性价比优势，对于规模较小的营业厅直接采用软件 VPN 模块，在不降低 VPN 网络稳定、安全等特性情况下大大降低了方案整体投入。

效果图如下：

方案效果

通过 SINFOR VPN 的实施，该供电局实现了应用系统的远程拓展，大大提高了业务处理水平和整体管理水平：

• 下属收费点通过各种上网方式直接实现异地查询总部收费系统信息，数据集中供电局总部

•  县局与各营业厅信息实时共享；通过 OA 、内部邮件等应用系统的使用，提高了内部交流的效率

•  实现领导及员工远程移动办公，在任何地点、任何上网方式都可以接入总部，查询收费管理系统以及其它相关信息

方案特点

作为专业的VPN解决方案，Sinfor DLAN VPN方案为电力行业提供了集高安全性、高可靠性、高性能、灵活方便的互联方案，具备以下几个重要特性：

高安全的VPN

由于使用了Internet作为连接链路的基础，通过Internet来进行数据的传送不得不考虑由此产生的安全隐患，深信服Sinfor DLAN VPN产品结合多种安全技术，在隧道加密、接入用户身份验证、接入用户权限控制等方面为用户提供了全面的安全保障。

隧道加密：采用国际先进的AES 128位加密技术加密隧道，防止数据窃取和侦听。先进的加密技术在保证高加密级别的同时提供了强大的性能保证，有效加强隧道传输效率。

接入用户身份验证：除基于用户账号的Radius身份验证外，Sinfor DLAN创新性的采用了深信服科技专利技术－基于硬件身份的鉴权体系，将用户账号与其所在计算机硬件信息进行绑定，即便用户账号意外泄露，由于非法用户无法使用与此账号事先绑定的那台计算机，不会因此造成非法用户接入。对于远程移动办公人员，由于计算机存在失窃或被非法使用的可能性，深信服科技还对移动用户采用了基于硬件USB KEY的身份验证机制，利用DKEY这种USB的便携设备的唯一ID号作为其使用VPN的许可方式，使得只有指定人员使用指定账号及指定计算机接入总部访问指定资源成为可能，极大的提高了VPN的整体安全性。

接入用户权限控制：普通的VPN产品在用户接入后即可随意访问局域网内任意资源，对于安全要求较高的单位来说，这种不受限制的访问容易造成极大的安全隐患，Sinfor DLAN通过在VPN系统中设置更细致的服务访问权限来杜绝这些安全隐患。Sinfor DLAN可以针对每个用户设定不同的接入访问权限，如某些用户只能访问总部的OA系统，不能访问财务系统等，不同的VPN用户可以设定对不同资源的访问权限，避免因为VPN用户权限过大造成的安全隐患。

高可靠的VPN

作为基础应用的连接链路，VPN网络的可靠性是极其重要的，深信服Sinfor DLAN VPN通过多种技术保证VPN网络的高度可靠性。

互为备份的Web寻址技术：基于Web的动态寻址技术是深信服公司专利技术，通过该技术，使得Sinfor DLAN可以支持ADSL等动态IP拨号上网方式，无需固定IP，大大降低了客户使用VPN的成本。由于动态寻址过程依赖于WEB的可靠性，因此，在Sinfor DLAN中采用了互为备份的WEB设置，只要有一个WEB能够正常工作，即可正常实现动态寻址，保证了VPN寻址的可靠性。
多线路技术提升线路稳定性：由于Internet线路具有不可靠性的特点，使用Internet线路存在断线的可能性，对VPN网络的可靠运行产生了隐患，因此，深信服Sinfor DLAN创新性的提出了多线路捆绑技术，在一个VPN节点上可以同时使用多条Internet线路，只要其中的一条线路仍然正常工作，DLAN VPN网络即可保持正常。

断线重拨技术：为了保证拨号网络的稳定性，Sinfor DLAN中集成了自动拨号软件，在拨号中断后，5秒内可以重拨。网络物理连接恢复正常后，VPN隧道将在1分钟内自动建立，从而保证系统迅速恢复。

VPN内部QOS功能：VPN内的智能QOS可动态为各优先级别的VPN应用合理分配带宽，在网络繁忙时优先传送更重要的数据（如对时延较为敏感的VOIP及视频数据及数据库查询等），而智能的QOS在网络空闲时可充分利用所有带宽。

完善的日志功能：Sinfor DLAN 集成完善的日志服务，提供信息日志，告警日志，错误日志和调试日志等多种类型的日志，能极大的帮助网络管理员分析和维护整个网络系统。由于有独立的日志服务器，因此日志空间仅受管理员分配的存储空间的限制。

高性能的 VPN

高效的传输效率：高效的加解密算法和强大的“流压缩”技术 使得 SINFOR VPN 对实际带宽的利用率高达 130% ，在传输 Word 、 BMP 等文档和 SQL 查询等数据时表现尤为出众，远远超出一般 VPN 产品 70%-80% 的传输效率。

冗余容量设计：电信网经常因为话务高峰而瘫痪，数据网络也如此，如果网络设备的容量承载不了突然增长的业务负荷，那么系统就可能瘫痪。SINFOR M5100 的设计容量大大超过一般用户的实际容量，达到一个网关支持 5000 个网络用户，1500条 VPN 隧道， 54.4M 的 VPN 隧道带宽，这种冗余容量的设计保证 VPN 网络即使遇到业务突发高峰，也能稳定运行。

强大的路由功能： SINFOR VPN 自带智能软路由功能，可以将非互联的数据（即直接访问 Internet 数据）路由到本局域网的其他网关或路由设备，从而达到分离内外网数据和扩大出口带宽的目的；或者利用多条线路多个网关组成的集群同时接入众多的分支。

灵活方便的 VPN

对移动 IP 的全面实现：一般 VPN 部署都需要改变网络结构， SINFOR VPN 在充当远程接入服务器时，不需要客户网络做任何改变。远程用户接入到网络来时，可获得一个该网络的内外 IP 地址，并以此 IP 与网络内其它节点进行双向的访问，若该远程用户原本就是该网络内的一个用户，则在远程接入后仍可保留原本的 IP 地址，做到在远程和在本地时一模一样。

对各种接入方式的全面支持：通过改进的 IPSEC 隧道封装技术， SINFOR VPN 能很好的支持 NAT 穿透功能，使得 SINFOR VPN 可以支持任何接入方式，包括 GPRS, CDMA1X,WLAN 等最新的无线上网接入方式，甚至是未来 NGN 接入方式。 SINFOR VPN 实现了用户随时随地移动办公的梦想，并能保护用户对未来的网络投资。

安全策略随时携带，客户端零配置： SINFOR VPN 集成 DKEY 技术，可以将移动用户的安全策略存储在类似 U 盘的 USB Key( 又名 DKEY) 中。这样移动用户随身携带标识自己身份和存储了对应安全策略配置信息的 DKEY ，可以在任何一台电脑安全的接入到总部。安装好 PDLAN 软件后，用户只需要插入 DKEY ，输入自己的密码就可以完成接入，做到了 VPN 客户端零配置，和使用银行取款机一样安全方便。

简单方便的配置备份和恢复： SINFOR VPN 采用多个加密的配置文件形式保存配置信息。系统提供了对所有配置的打包备份功能，管理员可方便的对配置文件进行备份和恢复。同时管理员还可以在本地配置好远程网络，利用配置恢复功能在远程导入配置。

支持远程部署、软硬兼施： SINFOR VPN 既有安装方便的纯软件产品，也有相应的硬件模块。软件模块可以实现远程安装、远程部署。模块化设计，用户可以根据需要，下载相应的模块文件即可增加新的功能。而 SINFOR M5100 硬件模块既可以和所有 S5100 、M5400 、M5100 等硬件产品系列产品之间互连互通，也可以和 SINFOR VPN 系列软件 VPN 互连互通，方便用户根据各地的实际环境、按需选择产品模块，构建量身定制的 VPN 网络。