网御星云SSL VPN助力卫生行业信息化建设 - 案例 - 网络通信网—

TOP

网御星云SSL VPN助力卫生行业信息化建设

2012-02-21 12:00:47 来源:赛迪网作者:【大中小】
关键词：网御星云 SSL VPN

中国新一轮卫生体系建设中，医疗卫生信息化成为发展重点，从电子病历、健康档案的制定，到新型农村合作医疗制度、社会养老保险制度的完善，再到区域医疗信息平台的建设，以及应对突发公共卫生问题的疾病控制应急管理体系、对食品行业安全监控能力的提高，卫生信息化将在卫生系统内发挥越来越重要的作用。网御星云积极探索卫生行业信息化建设,推出了一系列解决方案，下面就给大家详细讲述一下，中国疾病预防控制中心使用网御星云SSLVPN网关SAG的情况。　＝

　　一.前言

　　中国疾病预防控制中心，作为实施国家级疾病预防控制与公共卫生技术管理和服务的公益事业单位，是我国公共卫生体系的一个重要部分。2003年以来，中国疾病预防控制中心建立了以传染病疫情报告和突发公共卫生事件为核心的网络信息平台，实现了基于B/S模式和J2EE三层架构的实时在线传染病个案网络直报系统，该系统覆盖全国100%各级疾控机构、96%县及以上医疗机构和82%乡镇卫生院。同时以此为基础,中国疾病预防控制中心信息化建设更加完善,各种信息化平台逐渐上线运行,随着信息化建设的发展,各种信息化平台需要发布在互联网中提供给全国相关单位的用户来使用,远程移动办公点多面广的接入需求日益增多，用户通过互联网访问应用业务时不可避免的存在着数据安全和操作上的问题。正是基于远程办公、安全接入认证、用户权限管理、数据加密、易操作性以上五点的需求,中国疾病预防控制中心采用网御星云SSL VPN网关SAG的方案,完美的与各种信息化平台相结合,内网应用资源得到无限延伸。

　　二.方案设计

　　1.VPN技术选择

　　1)基于Web的应用是技术发展的大势所趋

　　网络应用已经由“Everything over IP” 逐渐转变为“Everything over Web”，未来基于Web的应用将占整个网络应用的60%~70%。在网络化、Web化、标准化的技术发展趋势下，卫生行业也不例外,大部分应用都为B/S架构基于WEB实现。因此与web应用配合最好的SSL VPN将成为网络应用和业务拓展、安全保障的主要技术手段。

　　2)网络无界、接入无限是技术发展的大势所趋

　　随着WEB技术的发展，局域网的边界越来越模糊。现在和未来的用户，需要能够在分支机构、旅途中、酒店中、家中都能够随时的访问局域网内的应用系统、业务系统和数据资源。也就是说，此时的局域网将扩展成以应用为边界的基于公众基础设施的虚拟私有网络，传统的地域网络边界将逐渐模糊直至最终消失，这就是网络发展的必然趋势——网络无界。

　　在技术发展和融合的推动下，网络接入无限的需求和趋势愈发明显。所谓网络无限就是指任何人、在任何地点、任何时间、通过任何接入设备（Desktop PC、NotebookPC、手机、PDA、数字终端等）、任何的Internet接入方式（拨号、ISDN、ADSL、小区宽带、Wi-Fi等），都可以安全的访问其所需要的资源。

　　在网络无界、接入无限的发展趋势下，用户迫切的需要一种能够快速的将局域网内应用扩展至公众网络，同时又拥有足够的安全保护能力的技术解决方案。此时，VPN作为一种成熟远程安全访问技术方案，逐步的得到了越来越多的用户的认可。

　　3)IPSec VPN的局限性

　　在VPN技术方案上，当前主要有SSL VPN和IPSec VPN两种技术路线。IPSec VPN技术出现较早，应用较为广泛，但IPSec VPN有其自身的局限性。

　　·需要安装客户端软件，存在大量的安装、培训、升级、管理等工作，无形增加了用户的使用成本。

　　·接入设备支持的种类少，以Desktop PC和Noteboke PC为主，对手机、PDA、MAC、移动终端等设备的支持有局限性。

　　·存在一些技术问题，如：NAT穿透、私有地址冲突等。

　　·由于IPSec是网络层协议，安全隧道一旦建立，可以访问所有内部资源，存在一定的安全隐患。

　　因此，无论国际还是国内，无需安装客户端、支持多种设备接入，且能提供更好的安全控制手段的SSL VPN相比IPsec VPN正逐渐的赢得更多用户的青睐,也更加适合中国疾病预防控制中心这种远程办公、权限细分、证书接入、WEB应用占大多数的需求环境。

　　2.部署拓扑示意图

　　3.部署说明

　　远程接入是典型的VPN接入需求，传统的IPSEC VPN可以提供移动接入的功能，且具备提供足够的安全性，但是一个问题是需要安装客户端软件，需要进行安装和维护。对于大多数处于移动状态且是非IT专业人事来讲，其VPN客户端软件维护的复杂性就要成倍增加。因此，选择客户端免维护的SSL VPN系统是构建远程安全接入的首选方案。

　　根据用户的网络现状和SSL VPN产品特点，我们建议采用网御SAG产品，单臂旁路方式集群接入。单臂旁路接入不改变原有网络结构和网路配置，不增加故障点，部署简单灵活，同时提供完整的SSL VPN服务。远程用户只需应用标准IE浏览器即可登陆网关，通过身份鉴别，在基于角色的策略控制下实现对企业内部资源的存取访问。

　　在中国疾病预防控制中心的应用中,网御星云采用两台高端SAG-11000设备提供SSL VPN接入,两台设备之间利用网御线性集群专利技术实现集群工作,最大并发用户数达到2万,并可实现并发用户数及性能的叠加,同时集群部署的方式大大增强了系统的冗余性与可扩展性,后期用户进行升级只需叠加设备即可。网御SAG支持第三方CA体系,并支持本地私有CA,在中国疾病预防控制中心的案例中结合中国疾病预防控制中心现有的第三方标准CA体系，实现Ukey证书方式接入。

　　用户在部署了网御SAG产品后，利用支持SSL安全协议的标准WEB浏览器，向SAG发起连接请求，建立远程安全传输通道，实现加密传输，通过基于用户的身份认证和授权后，访问内网中广泛的应用系统和数据资源，同时实现对访问行为的安全审计。

　　无需安装客户端、无需改变用户网络既有设置、无需考虑NAT穿透问题、无需考虑私有地址冲突问题，无论用户在何时、无论用户在何地、无论用户用何种接入设备、无论用户用何种接入方式，均可通过SAG安全、快捷的适用内网业务系统，实现业务延伸。

　　网御SAG-11000完全支持中国疾病预防控制中心多达50多个应用的访问,中国疾病预防控制中心用户通过标准Web浏览器和SSL协议与组织内部服务器建立安全传输通道, 通过网御SAG中国疾病预防控制中心中心的内部网络得到延伸,远程用户可直接通过IE核心的浏览器去访问业务资源,数据传输过程由IE内核自带的SSL实现加密，实现网络无界、接入无限。SAG可提供灵活的部署方式、简便的连接、完整的身份认证、细粒度的授权管理、可靠的安全传输和详细的日志审计，为用户提供高易用性、高安全性、高管理性、高可靠性和高性价比的远程接入方案。无论用户在何时、何地，以何种方式连接互联网，都可以通过SAG轻松接入组织内网，安全获取所需资源。

　　三.实现效果

　　SSL VPN部署之后,使得中国疾病预防控制中心内部的应用资源能够通过互联网对外发布，各地的工作人员可以在任何地方通过多种终端,安全的访问协同办公系统、中国疾病预防控制信息系统、HIVDR平台、公共卫生数据统一采集交换平台、麻疹检测系统等应用资源。

　　同时对于第三方业务如超星数字图书馆、CHKD中国医院知识仓库、CMCC中国生物医学期刊文献数据库、万方数据资源、西文生物医学期刊文献服务系统（FMJS）、ProQuest PHMC这些业务资源不使用SSL VPN的情况下只能在中国疾病预防控制中心昌平园区办公楼内通过访问互联网地址来使用，部署网御SSL VPN后,用户可通过SSL VPN登录到昌平园区内网中, 通过模拟内网用户形式访问第三方业务资源，使用SSL VPN来实现园区内网的延伸,用户在家、在酒店都可实现访问。另外,针对每个用户，网御SSL VPN可以授予不同的访问权限, 根据用户权限的不同授予其相应的访问权限,可以做到细粒度的权限管理。