银行深信服3G无线VPN全局部署解决方案样本.doc

广东发展银行
深信服3G无线VPN全局布署处理方案

深圳市深信服电子科技

3月

目录
1. 背景介绍 2
2. 处理方案 4
2.1 整体方案说明 4
2.1.1 总行和大型支行VPN构建 4
2.1.2 整网VPN统一集中管理 5
2.1.3 小型支行、ATM存提款机VPN连网 8
2.2 方案布署说明 8
2.2.1 总部设备具体布署 9
2.2.2 支行设备具体布署 10
3. 方案价值 11
4. 成功案例列表 12
5. 售后服务 12
6. 深信服科技介绍 14

1. 背景介绍
在这个信息化浪潮席卷全球时代，银行应用系统不停增多，日常业务处理越来越离不开计算机，伴随企业和机构规模不停发展和增大，怎样将银行全部分支安全互联起来，以完成数据集中和交换，已经作为一个迫切问题摆在面前。银行信息数据大集中，全国甚至全球访问企业总部，全部碰到了广域网传输速度、带宽瓶颈。现代社会是一个追求高效社会，在对整网组网管理上，一样要确保统一、高效、便利整网设备管理。示意图：

（1） 总部数据大集中、和分支构建统一信息平台：
一般互联网线路普遍存在丢包、延时严重现象，尤其是在中国多运行商并行且带有显著地域性环境下，跨运行商传输瓶颈问题尤为严重。而传统TCP协议本身交互和拥塞控制机制很不适适用于存在丢包、延时网络环境，经实际测试表明一条100M线路在最大传输窗口为64K、网络延时大于40ms并逐步增大情况下，线路传输效率显著下降，实际吞吐量甚至下降到所许可最高数据吞吐量 10%以下，而3G无线上网方法，则会存在更大延时、甚至丢包问题。
而其次，应用本身所采取协议也有一定不足。很多应软件应用，比如用友NC、网上邻居CIFS等应用全部是依据局域网内千兆甚至万兆网络环境设计，为了保障数据传输可靠性等普遍采取了小包传输、多重交互方法。然而伴随组织发展，应用本身需要伴随业务扩张在局域网外利用。而一般互联网传输已经是问题重重，应用协议本身低效性更是让远程办公雪上加霜。
同时，数据高冗余度一样造成了带宽极大浪费。在构建了统一信息平台、数据中心组织中，分支机构和总部之间需要频繁数据交互来确保办公正常进行。一封公共邮件甚至是一个数据库文件在传统网络中全部需要每个使用者单独从总部服务器上读取到当地，甚至能够造成线路中一天大部分全部在跑相同数据文件，高冗余度数据传输造成带宽极大浪费。而对于长距离、高丢包、高延时网络来说，每个人使用者在进行办公时全部需要为一些相同数据传输经历一样漫长等候过程，严重拖滞了职员工作进度。

（2） 小型支行或营业厅远程接入：
广东发展银行各分行下属小型营业厅人数少，甚至处于较为偏远专线不可及地方，不管从组网、使用便利性还是性价比方面考虑，专线全部是不最好选择。
下属营业厅大部分采取通常为ADSL、3G无线网络等丢包、延时频繁网络，应用访问效果难以得到很好确保，尤其在使用ATM村提款业务、柜台结算业务、OA办公业务等实时性强应用时，缓慢传输极大影响了办公效率，甚至出现“排长龙”现象，首先影响了工作效率，其次则降低了用户满意度。

（3） 整网设备管理维护问题：
整个组织分支众多且遍布范围广，部分大型分支拥有自己网络管理中心，不过很多中小型分支网络管理中心人员配置不完善，甚至是没有专门网络管理人员设置。这使得网络设备管理、维护工作显得尤为困难，若是出现某处网络因人员操作不妥等原因宕掉，网管人员就必需马不停蹄赶往该地排查错误并恢复，效率低下，给企业带来大量额外开销同时严重影响到了业务正常运行。同时对于组织机构整个基础网络来说，十分关键一点就是必需确保配置上统一。怎样实现整网设备统一管理、对整个网络联通状态进行实时监控同时并进行立即维护显得尤为关键。
2. 处理方案
2.1 整体方案说明
2.1.1 总行和大型支行VPN构建
从方案设计方面，需要从实用性、使用效果、组网便利性和性价比四个方面进行全方面考虑。总部和分支用户含有固定办公场所，基础上属于固定用户，推荐采取固定组网方法。结合性价比和组网便利性方面考虑，推荐采取IPSec VPN方法进行组网。IPSec VPN是公认最安全虚拟专用网技术之一，含有组网便利特点，只需要使用一般互联网线路即可构建专属传输网络，相比于专线大大降低了网络建设成本。
因为IPSec VPN是构建在互联网之上，在此次项目中必需提供对应方案处理互联网线路丢包延时严重、应用协议不足及数据高冗余度问题。深信服VPN产品集成了专业IPSec VPN模块，并结合全方面广域网加速技术实现VPN数据加速，全方面处理多种网络传输
Ø 针对丢包延时严重及传统TCP低效性问题，深信服广域网支持HTP快速传输协议，从扩充传输窗口、改善拥塞机制、重传机制、数据传输方法四大方面对传统TCP协议慢上升快下降传输进行改善，即使在高丢包高延时网络中一样确保较高数据传输速度。深信服广域网加速独有畅联技术，尤其使用和跨运行商等高丢包环境，即使在丢包率高达30%情况下一样支持丢失数据包还原，大大提升高丢包环境下用户使用体验。
Ø 针对应用协议不足问题，深信服广域网加速支持TCP、CIFS、HTTP、HTTPS、POP3/SMTP、Exchange等应用协议优化技术，可实现对Lotus Notes、Exchange、Oracle、MS-SQL、SAP、金蝶EAS、用友NC等应用加速，最大降低广域网对应用使用效果影响。

Ø 针对数据高冗余性造成带宽利用率不高、响应速度慢问题，深信服广域网加速支持有别于传统文件缓存基于码流特征数据优化技术，经过对分片数据包缓存及标签替换机制在确保数据完整性前提下大幅降低传输数据量，依据实际测试甚至可够将流量降低95%以上。深信服广域网加速融合了LZO、GZIP高效流压缩，大大提升了终端用户应用访问速度，降低下载时间和网络流量。

2.1.2 整网VPN统一集中管理
分布于全国各地加速VPN设备，因为其分布地点不一，尤各个分行进行自行维护所需投入人力成本过高、效率低下，也不便于整网配置统一及联通状态实时监控维护。针对这么情况，推荐采取软硬一体化深信服SC集中管理平台对整网加速VPN设备进行统一集中管理、远程维护、实时监控、智能升级及日志审计。
Ø 全方面集中管理，整网统一远程维护
经过深信服SC集中管理平台，管理员可方便对在全球任何地方分支设备进行统一配置，在同一个GUI管理界面中，能够配置全部纳入到SC集中管理平台深信服 VPN设备。一个IT管理员随时随地就能够同时布署和维护上百乃至上万个网络节点，节省了大量人力成本，真正实现了集中管理。
企业VPN网络依据地域分布及组织结构往往含有本身独有特征，深信服SC集中管理平台提供灵活多级管理员分权限设置，企业能够依据本身组织结构灵活进行分区域管理，为不一样区域设置不一样管理员权限，并可细化管理到单台设备。在愈加细化VPN网络管理同时，预防管理员越权操作而带来配置混乱及安全问题。
Ø 设备状态实时监控
IT管理员能够在任何地方经过深信服SC集中管理平台查看企业整网VPN设备和移动用户端运行情况和VPN链路状态。包含分支设备实时信息，显示分支设备状态、CPU、内存、磁盘占用情况、内外网流量情况等。对分支网点设备异常情况，能做出细致显示。并细致显示整网VPN设备拓补，管理人员从宏观上能够清楚了解分支网络设备运行情况。同时，经过SC平台IT管理员还能够深入查看任何一台设备实时及历史日志，方便管理人员能快速找出设备故障原因并进行远程统一维护。

Ø 智能升级功
深信服SC集中管理平台能够对整网VPN设备进行统一升级，从而节省时间。管理员能够预定升级版本工作日期立即间，SC会自动按时起动智能升级功效。同时，管理员能够预定下载配置功效，能够集中配置文件在SC设备上，能够免去每台分支设备反复配置工作量。
考虑到中国用户实际网络环境，即互联网出口带宽较窄，假如用户分支设备较多，在同一时刻进行策略同时或版本升级，将严重占用出口带宽，对其它关键业务应用造成影响。为此，SC集中管理平台内置任务计划功效可为分支设备设定不一样策略升级时间，消除众多分支设备同时升级配置带来对网络出口带宽压力。
Ø 独立报表中心
整网VPN设备合理、完善管理除了在实现实时监控、统一管理之余，还必需包含对一段历史事件内对整网VPN设备运行情况统计情况管理。深信服SC支持独立报表中心，提供对整网分节点VPN线路流量、流通状态、帐户流量、帐户安全、帐户使用情况等进行全方面统计并进行报表导出及日志指定服务器发送，以详尽统计数据为管理人员提供网络优化依据。

2.1.3 小型支行、ATM存提款机VPN连网
对于ATM提款机其放置位置并非全部在银行，很多小区、商场、大型企业、街道、写字楼等等场所全部有，而这些ATM机采取3G上网方法，或是租用ADSL上网链路，采取VPN接入是最好方案，因为，小型分支需要采取简便、易用、无需当地维护VPN接入方法。
结合实际情况，推荐采取深信服SOHO型VPN设备实现小型分支远程接入。只需要在ATM机处布署一台VPN设备，将设备管理维护全部集中到总部。
Ø 针对小型分支普遍采取3G或ADSL上网，存在网络情况不稳定、访问速度慢特点，深信服VPN支持多线路智能选路、HTP、WebCache、Web优化、Web压缩、C/S压缩、加速等多项加速技术，从线路、传输、应用等方面全方面提升移动用户访问体验。
2.2 方案布署说明
针对广东发展银行网络现实状况，我们推荐采取深信服广域网VPN方法实现总行、各分行、小型支行、ATM机快速、安全、优化网络构建。
对于大中型分支机构和总部之间VPN网络建立，推荐采取深信服VPN加速设备构建快速、安全、便捷VPN网络。经过深信服VPN模块功效，可使用一般互联网线路构建安全VPN网络，确保总部和分支之间传输数据强加密及专属性。同时，采取基于码流特征数据优化技术、协议优化、畅联技术、HTP传输协议等技术，从缓存、压缩、协议优化等方面提升总部和分支之间数据传输速度。
对于整网加速VPN统一管理，推荐采取软硬一体化深信服SC集中管理平台实现全网设备集中管理、实时监控、远程维护、智能升级及日志审计，大大方便了管理人员工作。
对于小型支行、ATM机，基于其布署在不一样场所经特点，推荐采取深信服SOHO型 VPN安全接入，同时经过其加速优化功效，提升数据在3G、ADSL、跨运行商网络环境下速度。
整网布署图以下：

2.2.1 总部设备具体布署
总部是整个广东发展银行网络关键，推荐布署深信服VPN网加速M5X00-Q、S5X00-Q、深信服SC集中管理平台M5500-SC，具体布署以下：

配置说明：
n 在总部内网中将深信服广域网加速设备以路由模式布署在防火墙和三层交换机之间，和各大中型机构广域网加速设备构建加速IPSec VPN隧道，实现信息平台、数据中心快速访问。
n 在总部和下属分支机构之间VPN通道启用加速技术保障数据快速传输。启用基于码流特征数据优化技术进行传输数据削减，降低传输数据量同时提升线路传输有效性。启用流压缩技术对监测数据进行实时压缩传输，降低带宽负荷。启用对应协议优化机制降低数据传输交互，缩短网络延时。启用畅联技术进行网络传输机制优化、传输窗口自适应调整，将丢包现象降低到最少。
n 在总部内网中将深信服SC集中管理平台以单臂模式布署在三层交换机上，并将各地深信服广域网设备上做好对应配置，添加到SC集中管理平台管理域中，实现整网设备统一管理。
2.2.2 支行设备具体布署
在各个分支，依据其网络情况选择最适宜网络布署方法。若网络出口没有布署专业防火墙，推荐将深信服广域网加速M5X00-Q采取路由模式布署，可开启M5X00-Q中防火墙模块并进行对应设置，实现数据传输加速同时提供对内网保护功效。若分支网络中已采取了专业防火墙，推荐奖深信服广域网加速M5X00-Q采取单臂模式布署在三层交换机上，最大保护原有网络结构完整性。

路由模式 单臂模式
配置说明：
n 在分支中将深信服广域网加速以路由模式布署在网络出口，和布署在总部广域网加速设备构建加速VPN隧道，实现传输数据加速。开启广域网加速设备中防火墙模块并设置对应数据过滤规则，对经过网关数据包进行过滤。开启防DOS攻击功效，实现对内网、外网DOS攻击双向防护。
n 在分支中将深信服广域网加速以单臂模式布署在三层交换机上，并在三层交换机和前置防火墙上配置好对应路由规则，和总部广域网加速设备实现加速VPN隧道构建。
3. 方案价值
1. 高性价比异地组网，提升异地分支协同工作效率：
经过VPN搭建业务网络是整个组织业务主干网，面对不停上升流量，若是采取专线升级方案将带来高昂网络建设及运行成本。经过深信服广域网加速对现有专线进行流量大幅削减。原来应用使用磕磕绊绊，让用户埋怨不停，现在经过一样专线网络可完全通畅访问多种应用，将现有专线发挥出最大效率同时提升分支职员工作效率。此次网络建设是一次性投入，避免了专线网络升级高昂建设成本及经年累月高昂运行成本支出。
2. 快速扩展VPN，业务步骤快速推进
经过深信服VPN设备，不管何时不管何地全部能够经过3G、ADSL等等上网方法进行业务。，只要能够上网就能经过VPN安全远程接入。便捷操作方法，大大降低在终端上操作复杂度，同时结合多项加速技术保障传输质量，即使面对无线、跨运行商等高丢包、高延时网络情况全部能高速访问，大幅提升移动用户使用体验。
3. 布署便利，方便扩容
使用深信服广域网设备构建主干网络含有布署便利特点，可直接使用一般上网线路进行专网搭建，避免了使用DDH、SDH等线路进行专网搭建所需漫长等候周期。尤其在面对业务结构调整、新区域业务扩张所带来网络改造，加速VPN网络这种可媲美专线效果专网组网方法更显现其优势。
4. 全网智能集中统一管理
采取了深信服SC集中管理平台对整网构建基础网络平台VPN进行集中管理、实时监控、远程维护和智能升级，大大方便了管理员工作，提升管理效率，为企业节省了大量人力物力资源。
4. 成功案例列表
政府
金融
教育科研
能源电力
运行商
大企业
中国环境监测总站
中国人民银行总行
中国人民大学
中国国电集团
中国移动通信总部
招商局集团
卫生部卫生监督中心
中国银行
浙江大学
中国电力投资集团
中国移动云南省分企业
中国远洋运输集团
中国妇幼保健中心
中国农业银行
中国政法大学
中国华能集团
中国电信广西区分企业
中国医药集团
农业部信息中心
招商银行
中国传媒大学
中国大唐集团
中国电信山东省分企业
中国电子信息产业集团
中国残疾人联合会
兴业银行
电子科技大学
中国华电集团
中国电信湖南省分企业
中国铝业企业
中国对外贸易中心
中国银联
中央广播电视大学
国家电网企业
中国电信四川省分企业
中国航空器材集团企业
国家林业局森林病虫害防治总站
中国人寿保险股份
中山大学
中国南方电网有限责任企业
中国联通河北省分企业
中国黄金集团企业
河北省审计厅
泰康人寿财产保险股份
华东理工大学
中国水电顾问集团
中国联通辽宁省分企业
中国长江航运集团
四川省交通厅
新华人寿保险股份
电子科技大学
广东省粤电集团
中国联通黑龙江省分企业
中国邮电器材集团企业
湖南省财政厅
华夏基金管理
吉林大学
广西电网企业
中国联通重庆市分企业
中国中纺集团企业
浙江省教育厅
海通证券股份
华南理工大学
中国石油天然气集团企业
中国网通广东省分企业
华侨城集团

5. 售后服务
深信服科技以深圳总部为关键，经过多年完善逐步在全国范围内建设了三级服务体系，为广大用户提供全方位服务。深信服科技服务体系覆盖广泛，布局合理，响应立即，三级服务网络分别为：
第一级 企业总部专业客服中心
在深信服总部，拥有80人CTI呼叫中心由经验丰富资深技术支持工程师为广大用户提供7×二十四小时热线电话服务，送修服务、远程调试、现场服务和有偿个性化服务。
总部产品教授和网络安全教授服务队伍同时负责全国服务网络技术支持、管理、监督和协调，确保用户问题得到立即、有效处理。
同时，在企业总部还组建了一支由负责产品研发工程师组成问题响应支持中心，天天二十四小时值班，帮助大区、当地技术支持中心和合作伙伴处理技术难题。
在深信服科技深圳总部，设有用户呼叫中心，用户可随时经过拨打深信服科技无偿售后服务电话：800-830-6430（手机用户可拨打：400-830-6430）进行相关问题查询，并将相关问题提交给深信服科技，方便深信服科技提升对服务请求追踪和反应速度，更快速处理用户出现问题。而且完善客服系统会自动统计下用户产品信息和历史故障，为每个用户建立资料库，方便深信服科技更正确采取有针对性方法来为用户服务。
第二级 覆盖全国深信服产品专业服务队伍
深信服科技在全国各地设置有庞大专业服务队伍。包含：华北区、华南区、华东区、西南区、西北区，华中区六个大区和近三十个驻外分支机构，全部分支机构全部建立了当地客服中心，直接负担所在地域深信服用户直接服务，达成全国全部一级城市和地域覆盖。

第三级 最为广泛深信服合作伙伴
深信服科技经过遍布全国各地域、各行业专业网络服务商，提供延伸到地市级城市产品售前售后服务。现在，经过“深信服产品技术认证工程师”认证合作伙伴超出400人，强大售后服务保障体系，为广大用户服务提供了最直接贴身服务。
6. 深信服科技介绍
深信服科技是一家长久致力于以提升商业用户互联网带宽价值为目标高科技、高成长型企业。经过专业、创新、高性价比产品，围绕商业用户Internet带宽资源，帮助用户降低成本（VPN实现网间互联、替换专线）、提升效率（网间加速让应用愈加快捷）、产生效益（SSL VPN实现无处不在移动办公）、防范风险（AC上网行为管理网关确保内、外网安全）、优化资源（BM流量控制实现带宽合理管控）、提升访问体验（AD应用交付实现链路及服务器双负载均衡），提升用户Internet带宽价值。
企业现有产品包含IPSEC VPN、SSL VPN、网间加速VPN、AC上网行为管理、BM流量控制、AD应用交付等全系列产品线。丰富产品系列给用户更大选择空间。不一样层次、不一样需求用户全部能够在深信服科技找到适合自己网络连通、管理、优化产品。从底成立至今，企业以每十二个月销售收入增加2－3倍、人员增加1倍速度高速发展，、、、连续四年入选德勤“中国高科技高成长50强”，“亚太高科技高成长500强”，取得渣打银行授予“最具成长性新锐企业”中型企业金奖。，深信服荣获《财富》杂志“卓越雇主奖”。
现在，深信服企业总人数已达成700人，直属分支机构36个，销售网络遍布全国，并在香港、新加坡、阿联酋、泰国、印度等国家和地域设有直属办事机构。截止到8月，已经有超出14，000家用户选择了同深信服合作并取得了显著收益，其中包含中国移动、通用电气、壳牌石油、丰田汽车等世界500强企业，也包含中国人民银行、国资委、招商银行、南方航空、中国人民大学等中国著名用户 。
深信服科技每十二个月将销售收入15％投入产品研发，一直着保持技术时时领先，现在拥有近30项网络及安全领域发明专利。
² 深信服科技部分专利列表：
10037455.1 一个在网关、网桥上实现用户安全接入外网方法
10037454.7 一个电子邮件安全审查方法
10062252.2 一个基于网关/网桥防间谍软件侵犯方法
10061591.9 一个基于网关/网桥线路自动选路方法
10156977.8 一个基于网络应用中P2P流量识别控制方法
10075287.4 利用网络设备实现代理服务器负载均衡方法
10072997.1 基于网关、网桥防范网络钓鱼网站方法
10241565.3 一个在网关进行数据安全检测方法、系统及设备
10141807.1 一个网络插件安全检验方法、系统及安全检验设备
10108672.3 一个网络数据流识别方法
² 深信服科技部分资质介绍
一、国家商用密码产品生产定点单位
二、国家商用密码产品销售许可证
三、国家商用密码产品型号证书
四、公安部信息安全产品销售许可单位
五、“国家火炬计划立项”项目单位
六、IPSec VPN、SSL VPN国家标准制订厂家
七、第八界中国国际高新技术结果交易会优异产品
² 深信服科技部分荣誉
IT500强最好信息安全产品和服务提供商奖证书
德勤亚太高科技高成长500强、中国高科技高成长50强
第三届“中国最具成长性新锐企业奖”（渣打银行）
中国优异金融IT及处理方案年度推荐称号
中国金融科技发展论坛十大金融科技杰出企业
德勤亚太高科技高成长500强、中国高科技高成长50强
中国制造业信息化优异供给商
最好电信网络安全产品奖
德勤亚太高科技高成长500强、中国高科技高成长50强
渠道进取金奖（网络安全产品）
德勤亚太高科技高成长500强、中国高科技高成长50强