ERP系統安全接入解決&= #26041;案

ERP系統= 安全接入解決方案

目前Web成= ;為標準平台已勢不可ਔ= 3;，越來越多的企業開&= #22987;將ERP系= ;統移植到Web上= ;，ERP 將是SSL VPN應用的直接受益者&#= 65292;它被認為是實現遠ĸ= 43;安全訪問Web應= ;用的最佳手段。對於&#= 19981;採用WEB作= ;ERP的企業，如採用ERP的C/S架構，Array Networks SPX產品仍有模組來= 8415;足這些C/S架= ;構的ERP應= ;用，如SPX 的Application Manager模組和 L3 VPN模組。

其中SSL VPN部= ;署的層次在ERP Application Layer和 Presentation Layer之= ;間。如下圖︰

採用SSL VPN的= ;第一項好處就是降低&#= 25104;本。雖然購買軟體û= 10;硬體的費用不一定便= 宜，但部署SSL VPN很便宜。安裝了這&#= 39006;軟體或硬體，使用Ň= 73;基本上就不需要IT部= ;門的支援了，只要從&#= 20854;PC機= ;上的瀏覽器向公司SSL VPN認證註= ;冊即可。SSL連= ;接也更穩定，因為IPSec VPN是網路層連接，故&#= 23481;易中斷。據Infonetics發表的報告表明= 5292; SSL將不斷成長，74%的= ;移動員工將倚賴VPN，= ;預計成長率主要來自SSL，= ;這種IPSec以= ;外的替代方案避開了&#= 37096;署及管理必要客戶ŭ= 75;體的複雜性和人力需= 求。最終用戶避免了= 5884;帶電腦，透過與網༏= 5;網路連接的任何設備&= #23601;能獲得訪問，SSL更= ;容易滿足大多數員工&#= 23565;移動連接的需求。ī= 92;戶透過與網際網路連= 接的任務設備實現連= 5509;，並借助於SSL隧= ;道獲得安全訪問。雖&#= 28982;這需要在企業防火Ĥ= 54;後面增添硬體，但企= 業只要管理一種設備= 5292;不必維護、升級及ງ= 7;置客戶軟體。

採用Array= Networks SSL VPN接入ERP系= ;統特點︰

用戶端無需安裝= 3560;用的VPN客= ;戶端軟體。使用標準&#= 30340;瀏覽器，如IE 和 Netscape即可接入SSL V= PN訪= ;問ERP系= ;統。提供免客戶端、&#= 20219;何地點的訪問能力z= 89;增加的安全性，使得= IT部= ;門管理更容易，和IPSec VPN相比，終端用戶使&#= 29992;更簡化。由於沒有ų= 97;置、管理和支援終端= 用戶複雜的IPSec客= ;戶端軟體的負擔，SSL VPN的支援更便宜，也&#= 27604;IPSec更= ;容易部署。

SSL VPN能為使用Ň= 73;提供任意地方的訪問= 能力。使用者可以在= 0182;們能得到Internet接= ;入能力的地方訪問他&#= 20497;的應用──從機場商務= 中心，從任何他人的= 8651;腦，甚至任何無線ෑ= 3;備。SSL也= ;能在網際網路上工作&#= 12290;此外，SSL V= PN可= ;以成功地穿越防火牆&#= 65292;能處理網路位址轉ÿ= 63;（NAT）= ;問題，而對基於IPSec的= ;VPN來= ;說，這是一個難題。&#= 20282;服器端也無需安裝Ê= 19;何額外的VPN專= ;用軟體。即使是SPX提= ;供的L3 VPN技術，在其VPN隧= ;道內部我們依然存在&#= 19968;個網路層的防火牆ÿ= 52;供安全保護。

用戶接入ERP系= ;統是經過認證的。認&#= 35657;模式可以採用Array Networks SSL VPN設備自己的用戶= 6039;料庫，也可以和內๽= 6;系統已有的認證系統&= #32080;合起來，如AD、= ;RADIUS等= ;．用戶接入ERP系= ;統是經過授權的。針&#= 23565;不同的用戶或用戶û= 52;屬的組，SSL VPN可以按VPN系= ;統預先定義的規則來&#= 23565;用戶的訪問權限進Ŝ= 92;設定。

用戶接入ERP系= ;統是經過加密的。Array Networks SSL VPN設備採用強= ;加密算法，如︰私鑰= 1639;法︰DES (56-bit), 3DES (168-bit), RC4 (128-bi= t)，= ;公鑰算法: RSA (1024-bit+)，認證: MD5 (128-bit), SHA-1 (160-bit)．=



用戶使用方便，= 9992;戶可以是NAT，= ;或者是透過HTTP代= ;理等靈活的模式，只&#= 38656;保持SSL通= ;道暢通既可。而部署&#= 27169;式靈活多樣。SSL VPN( SPX)可以放在路由器= 289;防火牆後面使用NAT後= ;的私有位址。SSL VPN通常安裝在防火牆&#= 21644;伺服器之間，如果以๧= 9;明模式運行，除了在&= #38450;火牆上簡單地開放= 152;需要的HTTPS 443 端口外，無須對原&= #26377;網路再做任何變動A= 307;也無須像IPSec VPN那樣考慮網路中間&#= 30340; NAT設備，以及客戶端&#= 30340;各種接入模式等等z= 90;

採用SSL VPN要= ;比IPSec VPN更容易管理，由於&#= 20351;用者可以從任何瀏Š= 61;器更安全地訪問應用= ，所以，像SSL VPN能減少分發和管理&#= 23458;戶端軟體的麻煩。同= ;時，不需要改變網路&#= 65292;不需要修改防火牆ų= 97;置和修改終端用戶的= 配置，所以，比採用IPSec有= ;更低的總體擁有成本&#= 12290;並支援Cluster技= ;術，為內部應用系統&#= 25552;供高可靠性。

對於商業伙伴和= 3458;戶訪問更加適合。Array Networks的解決方案也能ß= 12;這種情況下工作得很= 好，它們給企業提供= 6356;高層的安全。而且ஸ= 1;於不需要合作伙伴在&= #20182;們的網路中添加任= 309;設備，所以SSL VPN更容易被合作伙伴&#= 25509;受，也比傳統的VPN更= ;少受到來自合作伙伴&#= 29872;境的駭客威脅。

接入模式︰= ;

對於B/S架= ;構的ERP系= ;統︰SP採用WRM（= ;WEB Resource Mapping）模組來實現，= 1033;用Array的= ;SSL VPN的Web資= ;源映射可以實現︰透過標準瀏ෆ= 1;器訪問企業ERP系= ;統；支援URL-NAT︰URL的= ;動態重寫，提升安全&#= 24615;；強迫認證，強迫Ê= 19;何訪問Intranet的= ;請求都必須先透過AAA；= ;隱藏內部資源︰可以隱藏Intranet的= ;資源路徑，提升整體&#= 23433;全性。

對於C/S架= ;構的ERP系= ;統︰SPX採用Appli= cation Manager模組來實現，通६= 0;，ERP系= ;統的遠端客戶端訪問&#= 37117;是訪問幾個TCP端= ;口，對於這幾個TCP端= ;口，SP啟= ;動Application Manager功能時，客戶端ळ= 9;下載Java Applet將作為TCP PROXY營運在客戶端，它= 偵查客戶端的特定ERP TCP端口的請求，並把&#= 35531;求透過SSL連= ;接發給SPX，SPX將= ;終結SSL連= ;接並和企業內網ERP伺= ;服器建立請求連接。&#= 30001;於只是對幾個TCP端= ;口提供SSL VPN服務，所以遠比透&#= 36942;隧道模式實現要安Ð= 40;的多。

對於ERP系= ;統維護人員，SPX採= ;用L3 VPN模組來實現，此項&#= 21151;能是在客戶端和SP之= ;間透過SSL的= ;連接建立一條VPN通= ;道，客戶端將會生成&#= 19968;個虛擬網卡，並修ă= 13;本機的路由表。這樣= ，客戶端虛擬網卡上= 3601;會配備一個和企業內網位址體系ߌ= 8;致的網址，並透過這&= #26781;VPN通= ;道直連到企業內網，&#= 23601;好像客戶端機器在Ê= 25;業內部一樣。當然這= 個功能只賦給特ऩ= 0;的ERP系= ;統維護人員。

SSL V= PN安全接入ë= 65;於ERP系統的益處

透過Array的= ;SSL VPN實現ERP系= ;統的安全接入，可以“幫= ;助企業提升生產力，&#= 25913;善用戶使用體驗”。= ;

Array安全接入Š= 99;決方案具有以下優點= ︰

l 提升訊息安全&= #24615;

n&nb= sp; 防止訊息洩露：由於客戶ĺ= 71;與SSL VPN通訊閘之間實現高অ= 5;度的加密訊息傳輸，&= #22240;此雖然訊息傳輸是$= 879;過公網進行的，但是= ;其安全性是可以得到&#= 20445;證的。第三方即使Ö= 87;以得到傳輸數據，但= 是卻無法得到隱藏在= 0854;中的明文訊息。因ઽ= 2;敏感的訊息如業務帳&= #34399;等被保護起來，杜 = 085;了有效訊息的洩露。= ;

n&nb= sp; 杜絕非法訪問：SSL VPN的= ;訪問要經過認證和授&#= 27402;，充分保證用戶身Ñ= 98;的合法性。SSL VPN只允許那些擁有相&#= 25033;權限的用戶進行網ū= 35;連接。如果請求連接= 的用戶沒有合法身分= 5292;則SSL VPN將拒絕其連接請求&#= 65292;從而限制了非法用û= 42;對內網的訪問。

n&nb= sp; 保護訊息的完整= 4615;：SSL VPN使用數字證書進行&#= 27231;密性與完整性參數į= 40;協商，它不僅能夠對= 所傳輸的數據進行機= 3494;性的保護，同時也ऴ= 5;其提供完整性保護。&= #30070;在傳輸過程中的數= 818;被篡改之後，SSL VPN是可以檢測到的，&#= 22914;果檢測到數據被篡ă= 13;，他們就會放棄所接= 收到的數據。

n&nb= sp; 防止用戶假冒：Array Networks提供多種認證和þ= 80;權模式，包括本地用= 戶數據庫，並且可以= 1644;其他更加強大的認෭= 7;系統結合起來，如AD，= ;radius，= ;RSA SecurID，Secure Computing等

l 保證系統的可&= #29992;性

SSL V= PN使= ;用內網、外網相互隔離ᦁ= 2;只開放所需服務的模&= #24335;來實現，這樣客戶= 471;只能透過授權使用=

所開放的ć= 81;務，除該服務之外的= 其它服務都無從訪問= 5292;從而減少了很多對ࠣ= 9;網系統進行攻擊的途<= /span>

徑，達到É= 02;對內部網路的最大保= 護。

l 靈活的用戶管&= #29702;和訪問控制

Array Networks 提供多種多樣的#= 469;證機制和授權訪問機= ;制，存在本地用戶數&#= 25818;庫，可以配置在SSL VPN設備上。由於ERP系= ;統一般都已購買了AAA伺= ;服器，如Radius、= ;LDAP等= ;，Array Networks SP業可以和他們完&#= 32654;的結合起來，保護ī= 92;戶的投資。

l Array Networks SSL VPN組網方案是面向應用= 的VPN方案

可以做到á= 22;於應用的精細控制，= 基於用戶和組賦予不= 1516;的應用訪問權限，ߐ= 6;對相關訪問操作進行<= /span>

審計。這ą= 59;一般基於網路的VPN所= ;辦不到的。

l 方便實施，簡&= #21934;使用

Array Networks SSL VPN方案是無客戶端= 0340;VPN方= ;案，客戶端只需要具&#= 20633;標準的瀏覽器即可ʌ= 92;甚至PDA終= ;端都可以使用。對於&#= 20351;用者來講，由於對Ğ= 87;覽器操作要比專用的= 軟體操作簡單的多，= 0063;熟悉的多，所以客৒= 2;端使用非常簡單，使&= #29992;於各種各樣的人群A= 292;甚至是對IT系= ;統不甚了解的人也一&#= 27171;操作。

<= /span>同= ;時，Array Networks SSL VPN方案實施起來ƃ= 50;常簡單，只需要在<= span lang=3DEN-US style=3D'font-family:"Trebuchet MS";mso-fareast-font-family:DF= Kai-SB'>ERP系= ;統的數據中心部署SSL VPN即可，無需在各地&#= 20998;行或大客戶那裡部ņ= 26;硬體或軟體設備。<= span lang=3DEN-US style=3D'font-family:"Trebuchet MS";mso-fareast-font-family:DF= Kai-SB'>SPX可= ;以充分適應ERP系= ;統數據中心的網路架&#= 27083;。

l 降低管理和維&= #35703;成本

Array Networks SSL VPN方案是無客戶端= 0340;方案，由於客戶端৶= 5;用標準瀏覽器，SSL VPN只需要在ERP系= ;統的數據中心部署，&#= 20182;的維護操作都是在SP上= ;面進行的，包括用戶&#= 30340;授權，訪問應用的×= 08;種配置等操作。它的= 管理工作屬於集中管= 9702;和集中維護模式，ࡤ= 7;以極大的降低管理和&= #32173;護成本。

&nb= sp; 對= ;於SSL VPN方案部署初期，尤&#= 20854;是剛開始用戶數量Ĕ= 04;較少時還不是很明顯= ，但當隨著VPN使= ;用時間的延長，尤其&#= 26159;隨著用戶數量的增ä= 23;，SSL VPN的部署以及維護成&#= 26412;將會相對於IP SEC等VPN方= ;案有極大的降低。

l 高度的擴展性&= #21644;靈活性

Array Networks SSL VPN產品從中小企業= 1040;大型企業，以至於࠸= 0;電信營運，有完整的&= #29986;品線。而且SPX可= ;以根據用戶的需求來&#= 36092;買，當用戶數增加ą= 78;，只需購買相對應的= license即= ;可，充分保護用戶的&#= 25237;資。同時，SPX的= ;功能模組也是這個銷&#= 21806;模式，用戶可以不Ũ= 23;不需要的功能模組，= 當業務應用有需求時= 0877;購買，只需要license足夠即可。Array Networks SSL VPN支援Cluster架= ;構，當設備容量不夠&#= 26178;，可以橫向擴展，È= 06;結合SPX的= ; GLM(global license manager)功能，使licen= se在= ;cluster架= ;構的SSL VPN設備間漂移，充分&#= 20445;障現有用戶數license情= ;況下系統的可用性。