密级：文档编号：项目代号：中国移动CheckPointVPN安全配置手册Version1.0中国移动通信有限公司二零零四年十二月拟制:审核:批准:会签:标准化:版本控制版本号日期参与人员更新说明分发控制编号读者文档权限与文档的主要关系1创建、修改、读取负责编制、修改、审核2批准负责本文档的批准程序3标准化审核作为本项目的标准化负责人，负责对本文档进行标准化审核4读取5读取目录1CHECKPOINTVPN概述..........................................21.1简介...................................................................................................................................21.2分类及其工作原理......................................................................................................21.3功能与定位.....................................................................................................................31.4特点与局限性................................................................................................................42CHECKPOINTVPN适用环境及部署原则............................42.1适用环境..........................................................................................................................42.2安全部署原则................................................................................................................43CHECKPOINTVPN的安全管理与配置..............................43.1服务器端设置................................................................................................................43.2客户端设置.....................................................................................................................183.3登陆过程..........................................................................................................................233.4日志查询..........................................................................................................................241CheckpointVPN概述1.1简介VPN（VirtualPrivateNetwork）虚拟专用网，是企业网在因特网等公共网络上的延伸，通过一个私有的通道在公共网络上创建一个安全的私有连接，可以形象地看做是一条穿过混乱的公用网络的安全、稳定的隧道，所以VPN中使用的加密传输协议被称为隧道协议。用户使用VPN使需要在PC机上安装一个客户端软件，该客户端和企业的VPNServer互相配合，能保证用户端到企业内部的数据是被加密，无法监听。VPN的设计目标是保护流经Internet的通信的保密性和完整性，在数据在互联网上传输之前进行加密，在到达最终用户之前进行解密。但尽管如此，VPN并不完备，许多用户在使用VPN时，密码经常被窃，使整个VPN系统失去安全。这种密码盗窃是VPN中经常遭受的、最具危害性的攻击。一般来说，大多数对用户身份的确认是通过用户名和固定的密码实现的，然而，固定密码容易被窃或被黑客随处可得的“Cracker”工具破译，某些软件可以自动完成猜测密码的工作，更糟糕的是，某些特定的单词，如“password”或“123456”等，经常被用做密码。对密码保护的最好办法就是不要密码――不采用固定密码，采用动态密码，俗称一时一密，每个密码只能用一次，每次的有效时间只有很短的时间。对VPN采用动态密码，很好解决了数据的传输安全和密码安全，是一个完美结合。目前企业有的内部应用系统也采用了动态密码，但对一些来自外网的黑客而言，这些动态密码对他们毫无作用。试想一下，他们一但进入了企业内部网，受攻的是主机、数据库和网络上传输的数据。所以最稳妥的办法还是使用VPN+动态密码把黑客们挡在门外。1.2分类及其工作原理可以采用以下两种方式使用VPN连接远程局域网络。1.使用专线连接分支机构和企业局域网。不需要使用价格昂贵的长距离专用电路，分支机构和企业端路由器可以使用各自本地的专用线路通过本地...
