近期精彩文章导读：

    【IT168 网络频道】中华人民共和国南京海关于1979年1月1日 正式成立。这是党的十一届三中全会召开以后，我国在长江内河设立的第一个海关机构。

    南京海关直属国家海关总署领导，现为正厅局级海关,负责江苏省内各口岸进出境货物、运输工具监管，进出境人员行李物品验放，同时办理征收关税和其它税费，查缉走私，编制海关统计等海关业务。

    南京海关的监管区域为江苏省全境，随着江苏省对外开放的不断扩大，南京海关业务工作成绩突出，监管进出口货运量，征收关税和进口环节税，办理加工贸易备案料值等主要业务指针在全国海关排名前列。南京海关始终保持打击走私高压态势，对各类走私违法行为严防猛打，有力地维护了江苏口岸正常的进出口秩序。

    截止2002年底，南京海关下辖2个副厅局级海关，19个正处级海关，15个副处级办事处，以及1个缉私局和9个缉私分局。

    由于分支机构众多，加之工作人员在外出差或正值周末在家，而又不得不处理一些工作上的问题，需访问内部资源时问题出现了：

    1、数据传输过程中包含了许多有价值的信息，如果被截获，会造成重大的损失，因此不希望在Internet上明文传输；

    2、只有被授权的人员才可以访问内部不同的资源　，另外仅以用户名+密码的认证方式不足以保证客户登录认证的安全性；

    3、如果直接使用公网传输，需要将海关的服务器直接暴露在Internet上，很容易受到黑客软件的攻击甚至感染病毒；

    为此，南京海关考虑构建一个安全的远程访问解决方案以应对上述的问题。根据当前的实际状况，采用VPN设备在Internet上架设虚拟专用网是比较切实可行的方式。目前市场上的VPN主要由两种类型：

    1、使用IPSec VPN——这种传统的VPN系统已经发展了很多年，他可以在客户端和总部局域网之间利用Internet建立一条IPSec隧道，使这两点间的资料就像在一个专用网络中传输而不被截获，从而可以保证资料在网络传输中的安全性。

    但是，使用IPSec VPN也存在着它的局限性。首先，每一个客户端都需要安装客户端软件，维护起来有一定的难度。其次，由于IPSec VPN的信道建立在网络层，在Internet中传输会遇到大量NAT和穿越防火墙的问题，尤其是有出差在外和在家办公上网方式不同，可能会同时存在Modem拨号、ADSL、宽带等多种方式，更增加了连接VPN的困难。

    一旦由于这些问题造成了系统不能使用，就无法工作。另外，客户端的计算机直接连入内部网络，有可能会将病毒、蠕虫等威胁带入。

    2、 使用SSL VPN——这是一种新兴的VPN技术，其核心技术是利用在Web上广泛使用的SSL技术在应用层构建针对应用程序的VPN信道，部署成本更低。与传统的IPSec VPN不同，SSL VPN无需在客户端安装和设置任何软件，只要会使用浏览器上网浏览就可以毫无障碍的使用SSL VPN。

    在网络传输中，使用标准的Https协议，能够提供极其安全的网络隧道，保证资料不会被截获和破解；同时，也不会受NAT和穿越防火墙问题的困扰，任何能连接Internet的方式都可以构建SSL VPN信道。

    同时，在应用层建立的信道可以防止病毒、蠕虫等经由网络层传输的威胁。另外，由于SSL VPN还可以起到代理服务器的作用，所有客户端的访问都是由iGate转发，而不能直接访问应用服务器，从而使服务器不易受到攻击。

    经过对比，海关决定采用SSL VPN。经过对市场上各个SSL VPN品牌的比较，最终选择了SafeNet公司的SafeEnterpriseTM SSL iGate来构建远程访问的解决方案。这主要是因为：

    1、iGate客户端集成了iKey双因素认证令牌（需要同时提供令牌和PIN码进行认证）——正如我们前面所提到的，使用用户名+密码的认证方式不能保证客户端验证的安全性。而SafeNet公司的iGate是目前市场上唯一直接集成了客户端双因素认证令牌的SSL VPN。

     用户需要同时知道iKey的PIN码，并且拥有iKey硬件才能通过认证，仅持有其中一个因素是无法通过访问验证的。这和我们使用银行卡在ATM提款机上取款时同样的道理。用户在连接VPN信道时，需要把iKey插入计算机的USB接口，然后输入只有他自己知道的PIN码才能通过认证。而且PIN码只是由数字组成，容易记忆；同时它还受重试次数的保护，不会被其它人通过暴力手段破解。

    2、内置SSL加速卡——SafeEnterpriseTM SSL iGate里面内置了SafeNet所独有的CryptoSwift加速卡，专门针对SSL加解密运算，即使有大量并发的SSL连接也不会造成访问延迟。这样，即使有多人同时登录、访问或上传资料，也不会因SSL加解密造成瓶颈。

    3、iGate在客户端集成的iKey令牌本身就是一个独立的身份认证产品。充分利用iKey所提供的接口函数结合原有的客户端程序，将两者的认证合二为一。这样既提高了客户端程序的安全性，又大大简化了最终用户登录的操作，从而通过SafeEnterpriseTM SSL iGate将整个系统安全性、易用性都进行了大幅提升。

    使用SafeEnterpriseTM SSL iGate之后，网络结构如下图所示：

    从图中可以看出，所有访问都会使用SSL加密协议传递到iGate之后，由iGate再与服务器通信。而iGate的接入之需要使用一根网线连接到服务器所在内部网络的交换机即可，所有网络配置中的更改只是在防火墙上将原来解析到服务器内部网络地址的访问转向iGate。所有的安装、配置在几个小时就可完成。