遠(yuǎn)程訪問(wèn)——用戶分類

通常需要進(jìn)行遠(yuǎn)程訪問(wèn)的人有兩類，一類是系統(tǒng)管理員，另一類是普通的用戶。

系統(tǒng)管理員通常需要遠(yuǎn)程訪問(wèn)企業(yè)內(nèi)網(wǎng)的網(wǎng)絡(luò)設(shè)備或服務(wù)器，進(jìn)行遠(yuǎn)程配置管理操作。以當(dāng)前的產(chǎn)品發(fā)展來(lái)看，大部分企業(yè)級(jí)的網(wǎng)絡(luò)設(shè)備或服務(wù)器，通常都提供遠(yuǎn)程配置管理的接口或功能，管理員可以通過(guò)telnet、SSH、web GUI乃至遠(yuǎn)程管理軟件終端等方式，從企業(yè)網(wǎng)絡(luò)的WAN側(cè)進(jìn)入內(nèi)網(wǎng)進(jìn)行管理維護(hù)。

普通用戶的遠(yuǎn)程訪問(wèn)需求，通常是遠(yuǎn)程辦公人員、外出人員，猶其是企業(yè)高管等需要經(jīng)常出差又經(jīng)常需要操作ERP、CRM、HR等信息化系統(tǒng)，進(jìn)行查看、審批、提單等操作。在企業(yè)信息化不斷發(fā)展進(jìn)步的今天，越來(lái)越多的此類遠(yuǎn)程訪問(wèn)需求逐漸成為企業(yè)IT管理員關(guān)注的焦點(diǎn)。

遠(yuǎn)程訪問(wèn)的分類

遠(yuǎn)程桌面技術(shù)

windows XP、Vista的所有版本上均集成了遠(yuǎn)程桌面終端，只需開啟應(yīng)用系統(tǒng)服務(wù)器上的terminal service功能，并開放防火墻上的3389端口（即遠(yuǎn)程桌面技術(shù)端口），外出或遠(yuǎn)程辦公人員就可以通過(guò)自己PC上的遠(yuǎn)程桌面終端，連接到應(yīng)用系統(tǒng)服務(wù)器，進(jìn)而運(yùn)行相關(guān)的應(yīng)用系統(tǒng)程序。

這一方案因?yàn)閣indows的普及而變得常見。方案的幾個(gè)要點(diǎn)是：

1，要通過(guò)遠(yuǎn)程桌面訪問(wèn)應(yīng)用系統(tǒng)，相當(dāng)于運(yùn)行應(yīng)用系統(tǒng)服務(wù)器上的客戶端程序，或以terminal server的內(nèi)網(wǎng)PC的身份訪問(wèn)內(nèi)部應(yīng)用系統(tǒng)，所生成的文件默認(rèn)是保存在服務(wù)器端。如需保存在遠(yuǎn)端PC上，或在遠(yuǎn)端PC所連接的打印機(jī)上進(jìn)行打印，還需要進(jìn)一步配置terminal service的磁盤映射功能，以及在服務(wù)器上安裝遠(yuǎn)程打印機(jī)驅(qū)動(dòng)程序等較為復(fù)雜的設(shè)定。

2，遠(yuǎn)程桌面技術(shù)本身需要進(jìn)行身份驗(yàn)證，比一類方案多一重驗(yàn)證機(jī)制，安全性必然高于一類方案。

3，外部PC要通過(guò)遠(yuǎn)程桌面連接內(nèi)網(wǎng)服務(wù)器，仍然需要向公網(wǎng)開放3389端口，因開放端口所導(dǎo)致的服務(wù)器受攻擊的風(fēng)險(xiǎn)依然存在。

4，遠(yuǎn)程桌面技術(shù)本身不對(duì)所傳輸?shù)臄?shù)據(jù)進(jìn)行加密，如果有人刻意在網(wǎng)絡(luò)上使用抓包工具，是完全有可能恢復(fù)所傳輸?shù)臄?shù)據(jù)，進(jìn)而造成本應(yīng)屬于企業(yè)內(nèi)部信息，甚至商業(yè)的泄露。市面上已經(jīng)有部分產(chǎn)品采用遠(yuǎn)程桌面技術(shù)為核心，開發(fā)出方便管理維護(hù)的遠(yuǎn)程接入平臺(tái)軟件。其中有些品牌已經(jīng)可以實(shí)現(xiàn)磁盤映射和遠(yuǎn)程打印，并提供簡(jiǎn)單的加密功能。安全性和可操作性較windows提供的方案有所提高，但安裝步驟較為繁瑣。且加密等級(jí)較低，存在風(fēng)險(xiǎn)。而服務(wù)器3389端口的開放所帶來(lái)的風(fēng)險(xiǎn)依然難以回避。

遠(yuǎn)程訪問(wèn)——VPN技術(shù)

IPSec VPN

IPSec VPN以其高達(dá)168位的加密安全性，以及核心技術(shù)的普及所帶來(lái)的成本下降，已經(jīng)成為企業(yè)構(gòu)建跨地域VPN網(wǎng)絡(luò)的必選方案。任意兩個(gè)網(wǎng)絡(luò)之間，只要建立了IPSec VPN，就如同在同一個(gè)局域網(wǎng)內(nèi)，可以任意傳送資料和訪問(wèn)對(duì)方的應(yīng)用系統(tǒng)。

市面上主流品牌的網(wǎng)關(guān)路由器通常都支持IPSec VPN功能，該功能也多用于企業(yè)總部與分支之間建立跨地域的VPN，連接多個(gè)不同地域的局域網(wǎng)。 IPSec VPN如果用來(lái)解決遠(yuǎn)程訪問(wèn)的需要，必須在遠(yuǎn)程PC上安裝IPSec VPN客戶端程序。通常這樣的客戶端程序都不是免費(fèi)的，價(jià)格從幾百塊到上千塊不等。且客戶端的配置通常較為復(fù)雜，對(duì)于企業(yè)一般員工，尤其是企業(yè)高管人員，存在一定的技術(shù)難度。同樣的，IPSec VPN也很難做到權(quán)限管理，只要連通VPN，就可以不受限制的訪問(wèn)任意系統(tǒng)，不利于內(nèi)部信息安全管理。

SSL VPN

SSL VPN所采用的128位加密技術(shù)，同樣能夠提供高等級(jí)的數(shù)據(jù)傳輸安全性。且SSL技術(shù)普遍內(nèi)置于各類主流瀏覽器，一般用戶只需要通過(guò)https方式進(jìn)行訪問(wèn)，就可以在SSL加密的通道中傳輸數(shù)據(jù)，避免了安裝調(diào)試的繁瑣，也不用額外投入費(fèi)用。正是由于有著高安全性、應(yīng)用簡(jiǎn)便以及低成本的優(yōu)勢(shì)，SSL加密技術(shù)已經(jīng)廣泛應(yīng)用與網(wǎng)上銀行、在線購(gòu)物、在線支付等對(duì)安全性和移動(dòng)性要求較高的行業(yè)。

對(duì)于企業(yè)外出或遠(yuǎn)程辦公人員，只需打開瀏覽器，輸入企業(yè)SSL VPN入口網(wǎng)址或IP，使用個(gè)人的VPN賬號(hào)登錄，就可以進(jìn)入企業(yè)內(nèi)網(wǎng)，訪問(wèn)各類內(nèi)網(wǎng)資源。市面上的SSL VPN產(chǎn)品通常都帶有用戶權(quán)限管理功能，有的可以針對(duì)用戶組——例如財(cái)務(wù)組，行政組等——進(jìn)行權(quán)限設(shè)定，管理組內(nèi)所有成員允許或禁止訪問(wèn)哪些內(nèi)網(wǎng)資源或應(yīng)用系統(tǒng)。還有少數(shù)產(chǎn)品甚至可以針對(duì)每個(gè)用戶進(jìn)行權(quán)限設(shè)定，以及執(zhí)行批量設(shè)定操作，大大的增強(qiáng)了企業(yè)內(nèi)網(wǎng)信息安全管理的可操作性。