密级：文档编号：项目代号：中国移动IBMVPN安全配置手册Version1.0中国移动通信有限公司二零零四年十二月拟制:审核:批准:会签:标准化:版本控制版本号日期参与人员更新说明分发控制编号读者文档权限与文档的主要关系1创建、修改、读取负责编制、修改、审核2批准负责本文档的批准程序3标准化审核作为本项目的标准化负责人，负责对本文档进行标准化审核4读取5读取目录1IBMVPN概述............................................................................................................................51.1简介..................................................................................................................................51.2分类及其工作原理...........................................................................................................51.3功能与定位61.4特点与局限性..................................................................................................................72IBMVPN部署原则及适用环境................................................................................................82.1适用环境..........................................................................................................................82.2安全部署原则..................................................................................................................83IBMVPN的安全管理与配置..................................................................................................103.1服务器安全策略............................................................................................................103.2日志审计及监控............................................................................................................103.3密码策略管理................................................................................................................133.4过滤器管理与配置.........................................................................................................153.4.1建立过滤器............................................................................................................153.4.2设置mni使用过滤器.............................................................................................223.5认证方式和隧道协议.....................................................................................................231IBMVPN概述1.1简介支持多平台环境的IBMWebSphereEveryplaceConnectionManager（WECM）无线网关是一个分布式、可扩展的、高可靠性、多用途的UNIX通讯平台。它可以通过无线网络、局域网(LAN)或广域网（WAN）为IP、短消息（SMS）和无线应用协议（WAP）的客户端提供优化、安全的数据访问功能。1.2分类及其工作原理WECM方案是一个客户端/服务器的架构，WECM的客户端软件wirelessclient需要安装在无线终端设备，如笔记本电脑或PDA上。Wirelessclient软件目前支持Win98/Me/2000/XP/NT、WinCE、PocketPC2002和PalmOS等操作系统。WECM的服务器软件wirelessgateway可运行在IBMRS/6000的AIX平台上。用户鉴权信息保存在同一台RS/6000的LDAP（LightwayDirectoryAccessProtocol）数据库上。无线终端设备连接到GPRS后，启动wirelessclient客户端软件，通过UDP8889端口，穿过GMCC防火墙，连接GMCC机房的WECMwirelessgateway，wirelessgateway向LDAP请求用户鉴权，成功后，wirelessclient和wirelessgateway建立一条VPN通道。所有终端设备上的应用都可以经这条VPN通道访问企业现有的系统。在wirelessclient和wirelessgateway建立VPN通道时，wirelessgateway会从规划的IP地址中动态分配一个逻辑IP地址给wirelessclient，而所有应用都使用这个IP地址作为应用IP地址...
