企业安全有效的网络基建渗透式网络存取

笔记本电脑、掌上电脑、Smartphone、终极移动pc（Ultra-Mobile PC）和笔控输入 PC（Tablet PC）等移动设备的技术在近年突飞猛进，3G及WiMax等宽带网络连接技术将会成为市场主流，我们正在进入移动运算的新时代。企业梦寐以求的"移动办公室"终于实现，员工在外出时，仍然能够存取企业网络，和在办公室内工作一样方便。

　　移动设备和网络连接技术已经蓄势待发，但企业若要充分发挥这方面的效益，仍然要建立相应的网络架构，即渗透式网络存取（Pervasive Network Access, PNA），才能获得安全而有效的网络基建，以满足业务需要。

渗透式网络存取

　　渗透式网络存取（Pervasive Network Access, PNA）是安全的网络存取架构，而且能够灵活设置，无论面对怎样的用户、端点设备和网络技术的组合，也能够实行存取及业务政策。一个成功的渗透式网络，必须同时应用SSL VPN及UAC两种解决方案，同时对外联网络及内联网络传输进行管理，以达到下面的要求：

　　•对应Windows、Linux、UNIX等各种不同的计算机系统，以及Pocket PC、Smartphone等移动运算设备，并能够验证其身份及是否符合网络安全政策。

　　•系统要能够灵活设置用户身份及角色，根据内部和外部用户的业务需求来决定存取情况，例如CFO和外部核数师都需要存取财务系统，但CFO应该可以存取整个财务资源，而核数师就只可以存取部分财务数据，系统应该能够阻止用户存取其职权以外的资源。

　　•同一位用户可能经常到不同地点工作，因此需要在客户公司内、家中甚至街上不同地点进入企业网络；因此系统要能够满足用户的不同需要。既然用户身在公司内、街上甚至海外也有需要连接企业网络，不论他们采用可靠（trusted）、半可靠（semi-trusted）甚至不可靠（un-trusted）的网络联机和设备，企业网络也要对应其网络和设备。若用户于可靠性和安全性较低的环境下存取网络（例如咖啡室内的计算机），系统应该拒绝让他们连接企业的机密数据。

　　以统一接入控制技术建立渗透式网络架构

　　SSL VPN针对外联网络传输进行安全管制，而对内联网络传输就需要依靠统一接入控制 (Unified Access Control, UAC ) 方案來进行监管。UAC方案由三部分组成，首先是根据以角色为基础的政策，作出关于存取权决策的策略管理服务器（Infranet Controller），其次就是评估端点设备是否符合安全标准的小巧软件代理器（Infranet Agent），最后就是负责实时执行安全政策的Infranet Enforcers。

　　UAC使网络能够结合客户端点评估和身份及网络信息，能够在整个网络内实行实时政策管理，既方便用户存取网络资源，也能够顾及安全控制，让企业可以掌握网络存取情况、对抗威胁及遵守法规要求，同时提供安全、可靠的网络服务，在加强协作和资源共享之余，同时减低网络被入侵的风险。

　　除了UAC外，网络基建的其余部份也要采用灵活的架构和开放式标准。企业要对应各种不同的用户角色和业务程序，同时系统要具有丰富的设置选项，以对应不同的政策和执行技术，因此要采用可信赖计算组织 Trusted Computing Group (TCG)、电气电子工程师协会IEEE及互联网工程任务组IETF等业界团体提出的开放式标准，包括 RADIUS、802.1X、SSL/TLS及IPSec，才能应付市面上五花八百的产品和技术和不可预计的未来需要。

　　渗透式网络存取是一个复杂而庞大的架构，不可能一蹴即就。企业必须先计划周全，寻找适当的技术伙伴，然后逐步实行，才能够成功建立一个灵活、可调节规模及容易管理的系统，以便同时应付业务、网络、安全和IT管理方面的需要，使企业在安全可靠的环境下运作。