Sinfor VPN助力珠海发电厂移动办公系统

电力18讯：    一、企业应用背景

　　1． 发电企业的行业特点就是生产工艺过程复杂、设备可靠性要求高、资产密集、多专业的集成、生产实时性要求高。

　　2． 现代大型发电企业出于环保因素的考虑，大多数建设在城市的边缘，员工分散居住在市区，上班往返路程较长。人员精简，生产管理人员出差比较频繁。

　　3． 现代大型发电企业信息化建设比较全面，许多生产管理工作已经流程化、网络化、都在计算机上进行。

　　二、珠海电厂信息化应用现状和需求分析,珠海电厂是粤电集团直属的大型火力发电厂，较早就开展企业信息化建设，先后建成了办公自动化系统、EAM系统、厂级实时监测系统（sis）、运行管理及其它应用系统，基本实现了从生产到管理的全过程信息化。在计划构建移动办公系统的时候，珠海发电厂的企业内部网并没有直接与Internet连接，而是用一台路由器与粤电集团的集团网连接，通过粤电集团总部的专线宽带与Internet连接；也就是说，珠海发电厂没有自己的私有IP地址。

　　企业IT应用水平的提高，信息系统在企业生产经营管理活动中的作用自然日益重要。于是企业生产管理中遇到了一个重大的瓶颈：由于公文的处理、采购的审批等相关工作都是通过软件的流程进行，当流程中的一位相关人员在家休假（上班路程遥远）、出差在外时，该流程就无法继续运作，通常的解决方法是相关人员休假、出差之前首先通过企业的OA系统声明授权给其他人员，并且留下各系统的帐户口令，待其返回厂内后再修改密码，这样操作时有一定的局限性；并且生产管理人员如果较长时间出差在外，也希望能够及时了解企业的生产实况。因此，构建一个移动办公系统就迫在眉睫了。

　　三、项目的规划目标和投资情况:企业各级生产管理人员无论是下班、休假、或在外出差时都能随时随地掌握本企业的各类生产、管理信息以及进行电子公务处理、公文批阅、采购审批等等工作。
     
　　投资情况：SinFor软件、CDMAIX卡、无线和宽带一年的网络使用。

　　四、项目的具体方案和关键技术

　　4．1 无线上网：珠海电厂为每位出差在外，需要移动办公的管理人员配置了一台笔记本电脑和一张带PCMIAC接口的CDMA1X卡，当员工用此卡访问Internet的时候，可以获得数倍于普通MODEM拨号的速率和一个私有的IP地址。

　　4．2 VPN接入：VPN（虚拟专用网）是依靠ISP在公用网络中建立专用的数据通信网络的技术。IETF组织对基于IP的VPN解释为：通过专门的隧道加密技术在公共数据网络上仿真一条点到点的专线技术。

　　1、传统的VPN技术：目前广泛采用的两种VPN技术方案有：基于SSL协议的VPN和基于IPSEC协议的VPN。

　　SSL协议：SSL（Secure Socket Layer，安全套接字层）工作于会话/应用层，应用于Web浏览程序和Web服务程序，提供对等的身份认证和应用数据的加密，一般而言，典型的SSL VPN被认为最适合于普通远程员工访问基于Web的应用。SSL是一个端到端的协议,因而是在处于通信线路端点的机器上实现，而不需要在通信通路的中间节点（如路由器或防火墙）上实现，并且由于不需要安装客户端软件，仅仅通过浏览器就可以实现VPN的连接，因此SSL VPN相对成本比较低，而且不受网络环境的限制，但是虽然理论上SSL可以用于保护TCP/IP通信，但事实上SSL的应用几乎只限于访问基于Web服务器的应用。

　　IPSEC协议：IPSEC工作于网络层，是一个开放的结构，定义在IP数据包格式中，不同的加密算法都可以利用IPSEC定义的体系结构在网络数据传输过程中实施。IPSEC协议可以设置成在两种模式下运行：一种是隧道（tunnel）模式，一种是（transport）模式。隧道模式下，IPSEC把IPV4数据包封装在安全的IP帧中。传输模式是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。IPSEC几乎可以为所有的应用提供访问，包括客户端/服务器模式和某些传统的应用，但是由于基于网络层，不能穿越通常的NAT，防火墙。

　　2、Sinfor DLAN 和 WebAgent技术
     
　　显然，传统的VPN技术不能直接用于构建珠海电厂的移动办公系统，因为有个共同的局限：VPN隧道的两端都必须有有效的IP地址，无论是静态的或动态的，而这正是珠海电厂网络现状所不具备的。
     
　　因此，根据珠海电厂无法获得私有的IP地址的现状，珠海电厂采用深信服公司的Sinfor DLAN VPN平台和其独有的WebAgent动态寻址专利技术构建移动办公系统。
     
　　SINFOR DLAN 遵循SINFORSL协议是改进的IPSEC协议。通过IPSEC在Internet上建立安全可信的隧道，各实体之间的数据都是通过安全隧道传递，安全隧道的实现方式如下图所示：

　　局域网内原始IP的IP头包含本局域网信息。经加密后，多个原始IP成为隧道IP的负载，隧道封装的IP头为隧道两端的InternetIP,这样就保护了内部网络信息，而且原始IP的数据已被加密成为负载，防止了内容泄漏。同时添加ESP、AH帧头标志，用于识别正确的隧道封装IP，防止内容被篡改，支持MD5算法。加密使用AES128位加密算法，该加密算法是美国国防部采用的标准，比同等级别的3DES快3倍。

　　SINFORSL协议是改进IPSEC协议，改进的方法为：1.采用多包封装，减少冗余数据；2.采用流压缩技术，使得网络利用率提高到130%; 3.采用TCP封装，可以适应各种复杂网络结构，灵活的建立安全隧道。

　　在建立隧道的过程中采用互协商机制，因此只要求隧道的一方具有Internet IP，隧道的另外一方可在NAT以内，而这一特点正符合珠海电厂网络现状的需求。
     
　　当出差的员工用CDMA1X卡上网时，他的笔记本电脑已经获得了一个动态分配的但是唯一的Internet IP地址，但如何找到通过粤电公司路由器链接到Internet，没有Internet IP地址的珠海电厂局域网呢？这就是WebAgent技术所能解决的问题。

　　WebAgent动态寻址技术是深信服科技专利技术，WebAgent为一普通ASP或PHP格式的文件，将其放在支持ASP或PHP、有Internet地址的服务器的文件目录上（例如珠海联通提供的Web服务器）。寻址方法和步骤如下：

　　第一步，先把被寻址端服务器的IP信息上传给WebAgent页面保存。

　　在珠海电厂任一台服务器上安装Sinfor MDLAN软件，该服务器就成为被寻址服务器。此服务器定时或在检测到本身的IP地址发生变化时，以超文本传输协议（HTTP），像访问普通网页一样访问WebAgent页面，将自身的IP信息，经过数据加密后作为访问参数。WebAgent页面将访问参数（即被寻址服务器的IP信息）记录到一个文本文件里。

　　第二步，寻址端获得被寻址端服务器的IP地址


　　每个移动办公员工的笔记本电脑中都安装Sinfor PDLAN软件。当需要访问被寻址端服务器时，首先以HTTP方式访问WebAgent页面；然后Webagent页面读取第一步的文本文件，将文件中的信息以网页页面内容的方式返回给寻址端；返回的页面信息中对信息作有标记，比如通过特殊字符标志寻址信息的开始和结束：<<<Beginning....加密信息....End>>>。

　　第三步，寻址端分析返回的网页页面，通过对获得的加密信息进行解密，即可获得被寻址端的IP信息。

　　为保证寻址的稳定性，Sinfor DLAN使用了互为备份的WebAgent寻址机制，当第一个WebAgent失效时，整个系统将会自动切换到备份的第二个WebAgent。

　　根据发电企业的行业特点的要求，Sinfor DLAN VPN方案具备以下几个重要特性：

　　高安全性:由于使用了Internet作为连接链路的基础，通过Internet来进行数据的传送不得不考虑由此产生的安全隐患，深信服Sinfor DLAN VPN产品结合多种安全技术，在隧道加密、接入用户身份验证、接入用户权限控制等方面为用户提供了全面的安全保障。

　　隧道加密：采用国际先进的AES 128位加密技术加密隧道，防止数据窃取和侦听。先进的加密技术在保证高加密级别的同时提供了强大的性能保证，有效加强隧道传输效率。

　　接入用户身份验证：除基于用户账号的Radius身份验证外，Sinfor DLAN创新性的采用了深信服科技专利技术－基于硬件身份的鉴权体系，将用户账号与其所在计算机硬件信息进行绑定，即便用户账号意外泄露，由于非法用户无法使用与此账号事先绑定的那台计算机，不会因此造成非法用户接入。

　　接入用户权限控制：普通的VPN产品在用户接入后即可随意访问局域网内任意资源，对于安全要求较高的单位来说，这种不受限制的访问容易造成极大的安全隐患，Sinfor DLAN通过在VPN系统中设置更细致的服务访问权限来杜绝这些安全隐患。Sinfor DLAN可以针对每个用户设定不同的接入访问权限，如某些用户只能访问总部的OA系统，不能访问财务系统等，不同的VPN用户可以设定对不同资源的访问权限，避免因为VPN用户权限过大造成的安全隐患。

　　高可靠性:作为基础应用的连接链路，VPN网络的可靠性是极其重要的，深信服Sinfor DLAN VPN通过多种技术保证VPN网络的高度可靠性。

　　互为备份的Web寻址技术：基于Web的动态寻址技术是深信服公司专利技术，通过该技术，使得Sinfor DLAN可以支持ADSL等动态IP拨号上网方式，无需固定IP，大大降低了客户使用VPN的成本。由于动态寻址过程依赖于WEB的可靠性，因此，在Sinfor DLAN中采用了互为备份的WEB设置，只要有一个WEB能够正常工作，即可正常实现动态寻址，保证了VPN寻址的可靠性。

　　VPN内部QOS功能：VPN内的智能QOS可动态为各优先级别的VPN应用合理分配带宽，在网络繁忙时优先传送更重要的数据（如对时延较为敏感的VOIP及视频数据及数据库查询等），而智能的QOS在网络空闲时可充分利用所有带宽。

　　完善的日志功能：Sinfor DLAN 集成完善的日志服务，提供信息日志，告警日志，错误日志和调试日志等多种类型的日志，能极大的帮助网络管理员分析和维护整个网络系统。由于有独立的日志服务器，因此日志空间仅受管理员分配的存储空间的限制。

　　高性能性

　　高效的传输效率：高效的加解密算法和强大的“流压缩”技术使得Sinfor DLAN VPN对实际带宽的利用率高达130%，在传输Word、BMP等文档和SQL查询等数据时表现尤为出众，远远超出一般VPN产品70%-80%的传输效率。

　　冗余容量设计：电信网经常因为话务高峰而瘫痪，数据网络也如此，如果网络设备的容量承载不了突然增长的业务负荷，那么系统就可能瘫痪。Sinfor DLAN的设计容量大大超过一般用户的实际容量，达到一个网关支持5000个网络用户，1024条VPN隧道，80M的VPN隧道带宽，这种冗余容量的设计保证VPN网络即使遇到业务突发高峰，也能稳定运行。

　　灵活方便性

　　对移动IP的全面实现：一般VPN部署都需要改变网络结构，Sinfor DLAN在充当远程接入服务器时，不需要客户网络做任何改变。远程用户接入到网络来时，可获得一个该网络的内外IP地址，并以此IP与网络内其它节点进行双向的访问，若该远程用户原本就是该网络内的一个用户，则在远程接入后仍可保留原本的IP地址，做到在远程和在本地时一模一样。

　　对各种接入方式的全面支持：通过改进的IPSEC隧道封装技术，Sinfor DLAN能很好的支持NAT穿透功能，使得Sinfor DLAN可以支持任何接入方式，包括ADSL、CDMA1X,WLAN等各种上网接入方式，甚至是未来NGN接入方式。Sinfor DLAN实现了用户随时随地移动办公的梦想，并能保护用户对未来的网络投资。

　　五、系统使用现状和效益

　　珠海电厂移动办公系统软、硬件安装、调试结束投入正式运行以来，整个系统运行稳定可靠，实现了当初方案设计时的功能，解决了企业对移动办公的需求。而且在移动办公系统实施后不久，珠海电厂也有了自己的宽带专线，这使得移动办公的速度更迅捷、范围更广阔、完全不受互联网+接入方式的限制。

　　现在，在外出差或休假的员工只要通过家中的宽带连接或者使用一台装有CDMA1X卡和Sinfor DLAN移动客户端软件的笔记本电脑，即可随时随地安全方便的接入珠海电厂网络，访问企业内部的数据资源、和在企业局域网内一样正常办公；并且移动办公员工在外能够获得企业局域网内分配的内部IP地址，局域网内的员工也能方便的找到移动办公员工的计算机、相互共享信息。此外，通过VPN权限粒度分析技术，可以简单灵活的指定每个VPN用户的具体权限，可以细致到端口级别的权限，使得指定的资源只有授权的用户才能访问。
    
　　对处于企业生产管理的物资采购、领用流程中的各个节点的管理人员而言，随时随地都可以进行物资采购的立项、审批、领用批复等工作，提高了工作效率，尤其对突发情况下的紧急物资采购和领

　　用有重要意义；
    
　　对于处于一线生产岗位的专工和管理人员而言，通过移动办公系统连接进入电厂的SIS（厂级信息监控）系统，随时随地可以了解企业的实时生产状况，甚至当要进行紧急事故处理时，在从市区到厂区的路上即可详细了解事故的状况，节约了事故处理的时间；
    
　　对于行政管理岗位的人员而言，通过移动办公系统连接进入电厂的OA（办公自动化）系统，随时随地可以查阅企业邮件、进行公务批阅、及时了解企业现状。

　　总之，珠海电厂的移动办公系统项目具有投资少、建设时间短、见效快的特点；它的建成，提高了珠海电厂生产管理流程运转的效率，拓展了生产管理人员的工作空间，在移动办公方面走在了同行业单位的前列，其社会效益和经济效益是显而易见的。