社保系统涉及到大量药店的远程接入,这些药店如果以传统的DDN专线方式接入社保系统,不但投资大、扩展性差而且难以管理。随着3G业务的正式商用,江苏天益推出了天益SSL VPDN服务(即3G虚拟拨号专线+天益SSL×××服务)和天益SSL×××服务,天益SSLVPDN在建立3G拨号专线的同时,建立SSL加密隧道和基于数字证书的SSL双向安全认证、授权和访问控制。天益SSL×××是通过互联网建立SSL加密隧道,并实现基于数字证书的SSL双向安全认证、授权和访问控制。天益SSLVPDN和天益SSL×××以其高速度、高安全、投资小、易扩展、部署简单而成为远程接入的重要方式。尤为重要的是所拥有的3G业务,在带宽、稳定性等方面均具有独到的优势。
天益SSLVPDN和SSL×××和能有效解决远程接入所面临的安全问题:
- 身份鉴别和访问控制问题-------防止假冒身份非法入侵
- 数据传输的机密性、真实性问题
- 专网与公共网络(互联网)的安全隔离问题
本方案为社保提供两种解决方案:
方案一:天益SSLVPDN方案:利用3G拨号专线,结合天益SSL×××系统,构建社保专网,实现远程访问。
方案二:天益SSL×××方案:利用3G上网卡接入互联网,并通过的天益SSL×××系统,在互联网(Internet)上建立虚拟专网,实现远程访问。
解决方案一:天益SSL VPDN方案建设方案
根据社保系统远程接入的需求,我们建议
- 采用3G无线数据传输技术,实现高速移动专线接入,一方面3G的带宽最高可达7M以上,完全能满足社保系统的带宽要求;另一方面,由于3G无线接入,所以与远程终端的物理位置无关,用户的迁移、转让不需要做二次部署。
- 采用天益SSL/IPSEC ×××网关,建立数字证书双向认证和授权,保障用户身份的真实性,防止非法接入。天益SSL/IPSEC ×××网关内置的SSL×××模块,用以建立加密传输通道,保障信息的机密性;
- 采用天益SSL/IPSEC ×××网关双机热备方式,单机出现故障时的无间断恢复。
方案说明:
结构说明
如上图所示,远程终端上部署:3G上网卡(内置数字证书)和天益客户端软件。
社保局内网中部署:路由器、天益SSL/IPSEC ×××网关(2台,双机热备)
天益SSL/IPSEC ×××网关作为远程接入网关以专线方式与的接入网关(GGSN Gateway GPRS Supporting Node)相连。
社保局内部用户也通过天益SSL/IPSEC ×××网关访问后台的应用系统。天益SSL/IPSEC ×××网关为外部用户提供SSL加密隧道的同时,也为社保局内部和远程用户提供统一认证、授权和访问控制服务。确保只有被授权的合法用户才能访问其权限内的应用系统。天益SSL/IPSEC ×××网关对内部用户、外部用户、社保应用服务器实现安全隔离,防止来自内部和外部对社保系统的攻击。
部件功能
A: 天益客户端软件结合数字证书:
- 与天益SSL/IPSEC ×××网关建立SSL加密隧道
B: 天益天益SSL/IPSEC ×××网关的功能:
天益SSL/IPSEC ×××网关作为NAS,是远程用户的安全接入设备,其功能如下:
- SSL×××加密隧道
- AAA服务:基于PKI体系的数字证书双向认证、授权和审计服务
- SGATE:安全隔离和访问控制网关(提供路由接入、SNAT接入和端口映射接入)
方案解析
远程用户访问:
3G无线数据卡中内置数字证书,启动3G拨号程序,建立远程终端到天益SSL/IPSEC ×××网关之间的专线连接。连接建立后,启动天益客户端软件,输入PIN码后,SSL/IPSEC ×××网关对用户进行认证,认证通过后,建立移动终端与SSL/IPSEC ×××网关之间的SSL加密隧道,并将该隧道路由到后台的社保应用系统。
内部用户访问:
社保局内部用户也通过天益SSL/IPSEC ×××网关访问社保应用系统,天益为内部和外部用户提供基于数字证书的统一认证、授权和审计服务,并确保只有被授权的合法用户才能访问其权限内的应用系统。
安全性分析:
- 3G专线+SSL隧道保证链路数据安全
从远程终端到社保内网接入网关(天益SSL/IPSEC ×××网关)全部采用专线方式,该专线与互联网物理隔离。同时在专线上建立SSL加密隧道,保障数据传输的机密性。
- 二级认证体系保障身份的真实性
1)一级认证:3G拨号认证
远程终端要访问社保信息系统,首先需要建立与GGSN的拨号连接,该连接由的AAA服务器提供认证,此认证绑定3G上网卡卡号,确保只有被授权的上网卡才能建立到社保专网的拨号连接。此为一级认证
2)二级认证:基于PKI体系数字证书双向认证
用户要与天益SSL/IPSEC ×××网关建设SSL隧道,需要再经过天益基于PKI的数字证书双向认证体系的认证,认证通过后,方能建立SSL隧道,SSL隧道建立后,才能访问后台的应用系统。
- 安全隔离+访问控制
天益SSL/IPSEC ×××网关在内部用户、远程用户和内部应用服务器之间进行安全隔离,并提供统一认证和访问控制。对社保应用服务器提供钟罩式保护,防止来自内部和外部用户的攻击
- SSL加密协议保障数据的机密性
远程终端上的天益客户端和天益SSL/IPSEC ×××网关之间建立SSL加密隧道,保证信息传输的机密性
解决方案二:天益SSL×××方案
方案说明:
1、该方案需要社保局内网能接入互联网,否则只能使用方案一
2、远程终端通过3G上网卡接入互联网,社保局内网通过防火墙也接入互联网。社保局内部安装天益SSL/IPSEC ×××网关2台(双机热备)。3G上网卡内置数字证书。远程终端和天益SSL/IPSEC ×××网关之间建立SSL×××隧道(虚拟专线)。SSL/IPSEC ×××网关对内部和外部用户实现统一认证、授权和访问控制,确保只有被授权的合法用户才能访问其权限内的应用系统。