客户名称：	中国石油青海油田公司
行业	石油
应用类型	OA、职工小区接入
产品	Array SPX

 

客户概述：

       中国石油青海油田公司是隶属于中国石油天然气股份有限公司的地区公司，主要勘探领域在素有“聚宝盆”之称的柴达木盆地。青海油田公司创建于1999年，是青海油田经过重组改制后组建成立的，其主营业务包括石油天然气勘探、生产、销售；油气化工生产、销售；石油天然气管道运营；石油天然气勘查、研究、技术服务等。2004年生产油气400万吨，实现主营业收入81.42亿元，上缴税费7.25亿元，实现国内利润17.28亿元，获得“青海省财政支柱企业”称号。

 

需求分析：

 

       青海油田具有自己的专网，并且和中国石油的全国专网相连接，内部的典型应用为办公自动化应用，包括Email系统、公文处理系统以及内部信息发布门户等。青海油田有自己的小区，职工小区和油田总部通过专线互连，职工访问办公系统即通过专线访问。同时，职工小区也具有Internet连接，但带宽比油田总部要低的多。

 

       对于职工小区，青海油田希望采用如下处理方法：当他们访问油田总部办公系统时能够通过认证加密的VPN系统，因为职工小区的人员相对复杂一些，且安全环境比油田总部要弱；当他们访问Internet时，可以通过小区到油田总部的专线先到油田总部，再通过油田总部的Internet出口出去，这样速度比较快，同时也可以通过VPN系统作安全控制。

 

       另外，油田的职工可能即不在总部，也不在职工小区，可能在出差，或其他办事地点，青海油田希望VPN系统也能够为他们提供接入油田总部办公系统的能力。即需要远程安全接入解决方案，为相关人员提供方便、安全、随时随地的接入。

 

       对于OA系统的安全接入来讲，IPSec VPN技术在功能上、性能上已经远远满足不了日益扩展的访问需求，系统管理员也面临越来越多的日常维护困难。尤其随着对系统远程接入安全性要求的提高，企业安全接入平台要求与内部的AAA认证系统全面结合是一个主要趋势。

 

Array SSL VPN方案：

       基于以上青海油田的需求，Array 提出了SSL VPN解决方案，即满足了职工小区的上网需要，也满足了互联网远程随时随地接入的需要。具体拓扑如下图：

       Array Networks SPX SSL VPN网关部署在青海油田内网边缘，为职工小区和互连网接入提供安全接入手段。对于用户的验证采用Radius协议，利用青海油田已有的Radius服务器系统。

 

应用实现模块－网络层vpn(L3VPN)

此项功能是在客户端和SP之间通过SSL的连接建立一条VPN通道，客户端将会生成一个虚拟网卡，并修改本机的路由表。这样，客户端虚拟网卡上就会配备一个和企业内网地址体系一致的网址，并通过这条VPN通道直连到企业内网，就好像客户端机器在企业内部一样。这样，就构建了一个类似IPSEC  VPN一样的网络层的VPN，同时通过VPN通道的所有流量都是经过SSL加密的，保证了数据的安全性。由于此VPN是建立在网络层之上的，所以所有基于IP的应用都可以运行，包括基于动态TCP  、UDP端口的应用，以及NETBIOS、ICMP等应用。

 

需求满足：

 

关键的挑战和需求	解决方案描述
安全接入，提供员工访问OA系统互联网远程安全访问能力	Array SPX提供SSL VPN接入能力，员工通过SSL VPN访问内部OA系统。SSL VPN提供数据加密、用户的认证和鉴权。SPX能够实现高性能的L3 VPN接入，用户通过L3VPn隧道访问内部应用。
高安全性	SPX采用专有的ArrayOS操作系统，自带WebWall防火墙，支持多种SSL加密算法，能够保证系统接入和系统本身的安全性。
网络设备远程维护	通过Array SSL VPN的L3VPN隧道功能时网管维护人员在外网也能够对内网的设备进行远程安全维护操作，保障应用系统的高可靠性。
职工小区通过专线连接总部，安全可控地访问OA系统，或通过总部联入Internet	实施了SSL VPN后，职工小区职工访问总部OA系统需经过SSL VPN的认证、加密、安全接入控制等安全手段。通过L3VPN隧道接入总部网络，进而访问Internet速度比小区直接连接Internet更快，效率更高，安全可控性更好。

 

业务利益：

利用Array SSL VPN的L3VPN功能，安全的实现远程接入，为青海右图提供了方便快捷的接入能力。对于办公自动化系统，包括内部的信息发布，职工都可以随时随地访问，即使在加、出差都可以安全接入。职工可以方便的登陆访问，可以极大提高企业的生产效率。这些关键的数据都是经过加密的，对于高度机密的企业运行数据具有极高的安全性。

 

实施了SSL VPN后，职工小区职工访问总部OA系统需经过SSL VPN的认证、加密、安全接入控制等安全手段。通过L3VPN隧道接入总部网络，进而访问Internet速度比小区直接连接Internet更快，效率更高，安全可控性更好。为青海油田节省了更大的IT投资，显著提升了内部网络互访的安全度。

 

最后，网络管理人员通过Array SSL VPN还可以远程维护内网的各种设备，极大的增加了工作的方便性，对于信息系统的7×24小时运行提供高可靠性。

 

Array Networks SSL VPN方案是无客户端的方案，由于客户端采用标准浏览器，SSL VPN的网关只需要在应用系统的数据中心部署，他的维护操作都是在SPX上面进行的，包括用户的授权，访问应用的各种配置等操作。它的管理工作属于集中管理和集中维护模式，可以极大的降低管理和维护成本。