基于 PnPVPN 的无线认证解决方案 Hillstone Networks Inc 年 08 月 10 日 1 / 13

Size: px

Start display at page:

Download "基于 PnPVPN 的无线认证解决方案 Hillstone Networks Inc 年 08 月 10 日 1 / 13"

簪严宿
5 years ago
Views:

1 基于 PnPVPN 的无线认证解决方案 Hillstone Networks Inc 年 08 月 10 日 1 / 13

2 内容提交人审核人更新内容日期陈天骄安辉 V 目录 1 方案背景需求分析无线网络建设目标整体网络安全性建设目标需要控制访问的合规性需要保障健康的互联网访问需要有效识别角色并控制解决方案拓扑系统部署说明 PnP VPN 部署分支无线覆盖部署总部防火墙策略部署实现方式验证拓扑图相关配置总部配置分支配置方案注意点建设效果 / 13

3 1 方案背景某公司有总部和多个分支门店通过端到端 VPN 连接到总部, 网络拓扑图如下 A. 链路类型 : a) 4M 的 ADSL b) 电信的 2M 专线 c) 联通 3G 网络 B. 主要设备型号 : a) 门店 : VPN 路由设备 CISCO RV042, 海康监控设备 b) 总部 : 防火墙 CISCO ASA5540, 核心交换机型号 :H3C S7510E 3 / 13

4 2 需求分析 2.1 无线网络建设目标 A. 通过在我司现有网络架构环境的基础上实现各营业厅, 独立门店灵活快速无线网络部署, 实现我司所有直营店 ( 厅 ) 无线覆盖 B. 采用总部防火墙通过 VPN 隧道 (PnP VPN) 连接门店无线安全网关模式, 以替换现在门店 VPN 路由器 (RV042) 到总部 CISCO ASA5540 端到端 ipsec 连接方式 C. 由总部防火墙集中统一管理所有直营店 ( 厅 ) 的无线安全网关 D. 实现远程终端设备由总部集中认证统一管理, 确保只有合法设备接入网络 E. 实现网络安全策略基于用户或角色的策略管理 F. 实现无线网络的可管理性安全性, 安全防护 WEB 过滤等功能 G. 实现在安全的无线平台上满足现有及未来的应用系统安全稳定运行 2.2 整体网络安全性建设目标需要控制访问的合规性 A. 防范要素 : 基于访问来源访问目标访问行为访问时间进行有效控制网络安全建设的首要因素就是访问控制, 控制的核心是访问行为, 应实现对非许可访问的杜绝, 限制员工与访客对网络资源的使用方式企业的业务多样化, 必然造成访问行为的多样化, 因此如何有效鉴别正常的访问和非法的访问是非常必要的, 特别是针对互联网的访问行为, 应当采取有效的控制措施, 杜绝过度占用带宽的访问行为, 保障正常的业务和上网访问 4 / 13

5 对于企业重要的应用服务器和数据库资源, 应当有效鉴别出合法的业务访问, 和可能的攻击访问行为, 并分别采取必要的安全控制手段, 保障关键的业务访问需要保障健康的互联网访问 A. 防范要素 : 深度识别真实的应用 (P2P IM 网游网上视频网上炒股等 ) 并执行访问控制 ; 限制访问非法网站 URL 过滤访问控制是企业信息网络安全的要素, 但是传统访问控制技术在企业信息网络中越来越遭到新的挑战, 最典型的挑战就是当前互联网的应用越来越智能化和隐蔽化, 一些访问在网络特征上很难被有效识别出来, 比如 P2P 网络视频 IM 等应用都用到保留端口 TCP 80, 因此在网络层与 HTTP 的特征完全相同, 这就使得为控制员工过度使用 P2P 网络视频, 或者限制员工上班时间过度使用网游网上炒股等影响工作效率等行为变得越来越难, 对此需要系统能够更智能地识别出真实的应用, 并在此基础上进行有效控制此外, 还应对员工与访客访问互联网的目标进行识别, 防止访问了恶意网站, 造成病毒的传播, 或者访问了反动网站, 给企业带来不必要的麻烦需要有效识别角色并控制 A. 防范要素 : 身份鉴别与角色定位 ; 基于用户身份的访问控制根据角色来分配相关的资源对此除了在应用软件系统内, 按照角色来分配其可访问的模块以及可查看的数据, 还需要考虑在网络层面, 针对不同角色分配网络资源也是有非常的必要性的, 比如分配带宽资源分配不同角色可访问的服务器资源等对此需要在网络安全建设时, 考虑如何对访问用户的识别技术, 并根据角色来制定对应的控制策略 5 / 13

6 3 解决方案 3.1 拓扑 3.2 系统部署说明 PnP VPN 部署 PnPVPN 是即插即用 VPN 的简称,PnPVPN 有两部分组成 : PnPVPN Server, 通常放置于企业总部, 由总部 IT 工程师负责维护, 客户端的配置都由服务器端下发 PnPVPN Server 通常由 Hillstone SG 系列安全网关充当 PnPVPN Client, 通常放置于企业分支机构 ( 如办事处 ), 可由总部工程师远程维护, 只需要做简单配置 ( 如客户端 ID 密码和服务器端 IP 地址 ), 和服务器端协商成功后即可从 6 / 13

7 服务器端获取配置信息 ( 如 DNS WINS DHCP Pool 等 ) PnPVPN Client 通常由 Hillstone 无线安全网关充当分支无线覆盖部署安全无线网关对门店进行无线覆盖, 采用 b/g/n 技术, 具备独立的安全防护防病毒 IPS 等功能, 覆盖范围内信号, 要求信号强度 >=-75dBm 总部防火墙策略部署 A. WEB 认证 Web 认证功能用来对通过设备访问 Internet 的用户进行身份认证 Hillstone 山石网科安全网关支持与第三方认证的结合, 可实现基于实名制下的访问控制, 将大大提升了访问控制的精度 B. 访问控制策略 a) 限制不被许可的访问类型 : 比如只允许进行网页浏览电子邮件文件传输等 b) 限制不被许可的访问地址 : 通过 URL 过滤 HTTP 行为控制等限制部分网页 c) 基于角色的访问控制 : 精确定位, 实名认证下按用户角色的访问控制 7 / 13

8 4 实现方式 4.1 验证拓扑图 4.2 相关配置总部配置硬件平台 :SG-6000-E1700 验证版本 :SG6000-M-3-5.0R4P7.bin 相关配置 : A. 接口配置 interface ethernet0/1 zone "untrust" ip address / 13

9 interface ethernet0/2 zone "trust" ip address interface tunnel1 zone "VPNHub" ip address manage ping tunnel ipsec "client2" gw B. PnPVPN 配置 aaa-server "local" type local user "client2" password "zpto+qvnntq6abxi3ujklzj7i8y0" ike-id fqdn "client2" dhcp-pool-gateway dhcp-pool-netmask tunnel-ip-address dhcp-pool-address dns split-tunnel-route /0 isakmp peer "client2" mode aggressive type usergroup isakmp-proposal "psk-md5-des-g2" pre-share "myjgxapxrnhjvi3wf8xogt9iuyibi0" aaa-server "local" interface ethernet0/2 tunnel ipsec "client2" auto isakmp-peer "client2" ipsec-proposal "esp-md5-des-g2" C. 路由配置 ip vrouter "trust-vr" ip route /24 tunnel D. 上网行为配置 behavior-profile "shopping" 9 / 13

10 http get "*.jd.com" block log rule id 2193 role "http-role" role "hillstone" role-mapping-rule "map" match user "test" role "http-role" match user "hillstone" role "hillstone" aaa-server "local" type local role-mapping-rule "map" user "test" password "inz0zgoenlaf2tjmzakvjsmanzqa" rule id 2193 #WEBUI 配置应用行为中的 http 控制后自动生成的策略 dst-zone "untrust" src-addr "Any" dst-addr "Any" service "Any" role "http-role" behavior "shopping" rule id 10 action permit src-zone "VPNHub" dst-zone "untrust" src-addr "Any" dst-addr "Any" service "DNS" rule id 9 action webauth "local" src-zone "VPNHub" dst-zone "untrust" src-addr "Any" dst-addr "Any" service "Any" role "unknown" rule id 8 action permit src-zone "VPNHub" dst-zone "untrust" src-addr "Any" 10 / 13

11 dst-addr "Any" service "HTTP" service "HTTPS" role "http-role" rule id 2 action permit src-zone "VPNHub" dst-zone "untrust" src-addr "Any" dst-addr "Any" service "Any" role "hillstone" 分支配置硬件平台 :SG-6000-E1100 验证版本 :SG6000-M-3-5.0R4P7.bin A. 接口配置 interface ethernet0/4 zone "untrust" ip address interface wlan0/2 zone "trust" ip address dns-proxy manage ping dhcp-server enable pool "pnpauto" interface tunnel1 zone "VPN" ip address tunnel ipsec "PnP-vpn" gw B. PnP 配置 isakmp peer "PnP-vpn" mode aggressive type pnp-vpn 11 / 13

12 pre-share "IGKuErMzVl7g5AuZIF0eLb5tWpMY42Dp4wQfuN6o5VILqsG0DU" peer local-id fqdn "client2" connection-type initiator-only nat-traversal dpd interval 2 retry 4 interface ethernet0/4 tunnel ipsec "PnP-vpn" auto isakmp-peer "PnP-vpn" auto-connect auto-save interface-start-dhcp wlan0/2 dhcp-server pool "pnpauto" netmask gateway address 方案注意点 A. 总部对应 PnPVPN 的 tunnel 接口必须配置 ip 地址, 同时 PnP 客户端用户里也同样需要下发 tunnel 接口 ip B. 总部 tunnel 接口绑定 PnPVPN 时必须填写网关, 即对应分支 tunnel 接口的 ip C. 总部到分支的路由同样需要配置网关, 即对应分支 tunnel 接口的 ip 5 建设效果 A. 分支端只需配置简单的 PnP 客户端即可获得相关配置, 所有配置均只需要总部的管理员管理, 大大减少了分支端的维护成本 B. 总部配置基于角色的 RBNS 控制分支的用户, 实现实名认证, 通过策略和应用行为控制实现如 : 用户 test 对应的角色 http-role 只能访问网页, 并且不能访问京东 ; 12 / 13

13 用户 hillstone 对应的角色 hillstone 不限制任何上网行为 13 / 13

命令行用户 VPN StoneOS 5.0R4P3.6 TWNO: TW-CUG-UNI-VPN-5.0R4P3.6-CN-V1.0-Y14M11

命令行用户 VPN StoneOS 5.0R4P3.6 TWNO: TW-CUG-UNI-VPN-5.0R4P3.6-CN-V1.0-Y14M11 命令行用户 VPN StoneOS 5.0R4P3.6 www.hillstonenet.com.cn TWNO: TW-CUG-UNI-VPN-5.0R4P3.6-CN-V1.0-Y14M11 1 IPSec... 1 IPSec... 1 Security Association... 1 SA... 1 SA... 2 SA... 2... 3... 3... 4... 4 IPSec VPN...