遠(yuǎn)程訪問(wèn)——需求分類

針對(duì)普通用戶的遠(yuǎn)程訪問(wèn)需求，較為常見(jiàn)的方式有3種。

一類是直接開(kāi)放內(nèi)部應(yīng)用系統(tǒng)的端口，允許外部IP直接訪問(wèn)，通過(guò)應(yīng)用系統(tǒng)自身的賬號(hào)驗(yàn)證機(jī)制防范不合法的用戶。

第二類是利用Windows Server 2003及更新的版本所提供的terminal service功能，在外部PC上運(yùn)行windows遠(yuǎn)程桌面，先連接到內(nèi)網(wǎng)的terminal server，再通過(guò)該server代理訪問(wèn)內(nèi)網(wǎng)應(yīng)用系統(tǒng)。

第三類是采用VPN技術(shù)實(shí)現(xiàn)與企業(yè)內(nèi)網(wǎng)的遠(yuǎn)程連接，進(jìn)而在VPN中訪問(wèn)內(nèi)網(wǎng)應(yīng)用系統(tǒng)。

遠(yuǎn)程訪問(wèn)的分類

開(kāi)放端口方式

直接在防火墻上開(kāi)放內(nèi)部應(yīng)用系統(tǒng)的端口。例如某公司ERP系統(tǒng)的應(yīng)用端口是7001~7006，可以在防火墻上配置將7001~7006端口轉(zhuǎn)發(fā)到內(nèi)網(wǎng)的ERP服務(wù)器IP地址。外出或遠(yuǎn)程辦公人員可以經(jīng)由訪問(wèn)企業(yè)公網(wǎng)IP的7001~7006端口，直接進(jìn)入ERP系統(tǒng)。在通過(guò)了ERP系統(tǒng)自身的身份驗(yàn)證之后，就可以進(jìn)入ERP系統(tǒng)進(jìn)行操作。

此種方式的實(shí)現(xiàn)非常簡(jiǎn)單，對(duì)于技術(shù)能力有限，尤其是預(yù)算有限的企業(yè)，是一種常見(jiàn)的解決方案。但它的威脅也是顯而易見(jiàn)的。直接向公網(wǎng)開(kāi)放ERP服務(wù)器端口，會(huì)帶來(lái)網(wǎng)絡(luò)攻擊等安全風(fēng)險(xiǎn)。尤其在病毒和攻擊日益洶涌的今天，這無(wú)疑會(huì)對(duì)內(nèi)部應(yīng)用系統(tǒng)以及應(yīng)用系統(tǒng)服務(wù)器的安全構(gòu)成嚴(yán)重威脅。

遠(yuǎn)程訪問(wèn)——VPN技術(shù)

IPSec VPN

IPSec VPN以其高達(dá)168位的加密安全性，以及核心技術(shù)的普及所帶來(lái)的成本下降，已經(jīng)成為企業(yè)構(gòu)建跨地域VPN網(wǎng)絡(luò)的必選方案。任意兩個(gè)網(wǎng)絡(luò)之間，只要建立了IPSec VPN，就如同在同一個(gè)局域網(wǎng)內(nèi)，可以任意傳送資料和訪問(wèn)對(duì)方的應(yīng)用系統(tǒng)。

市面上主流品牌的網(wǎng)關(guān)路由器通常都支持IPSec VPN功能，該功能也多用于企業(yè)總部與分支之間建立跨地域的VPN，連接多個(gè)不同地域的局域網(wǎng)。 IPSec VPN如果用來(lái)解決遠(yuǎn)程訪問(wèn)的需要，必須在遠(yuǎn)程PC上安裝IPSec VPN客戶端程序。通常這樣的客戶端程序都不是免費(fèi)的，價(jià)格從幾百塊到上千塊不等。且客戶端的配置通常較為復(fù)雜，對(duì)于企業(yè)一般員工，尤其是企業(yè)高管人員，存在一定的技術(shù)難度。同樣的，IPSec VPN也很難做到權(quán)限管理，只要連通VPN，就可以不受限制的訪問(wèn)任意系統(tǒng)，不利于內(nèi)部信息安全管理。

遠(yuǎn)程訪問(wèn)——遠(yuǎn)程聯(lián)網(wǎng)

必須使用網(wǎng)絡(luò)才能管理一臺(tái)遠(yuǎn)程服務(wù)器，這就需要可靠的互聯(lián)網(wǎng)連接，網(wǎng)絡(luò)流量歷經(jīng)本地服務(wù)提供商、區(qū)域骨干網(wǎng)和遠(yuǎn)程服務(wù)提供商。任何網(wǎng)絡(luò)通信的中斷都會(huì)妨礙對(duì)遠(yuǎn)程服務(wù)器的管理。

遠(yuǎn)程數(shù)據(jù)中心的冗余互聯(lián)網(wǎng)連接是很常見(jiàn)和有用的。真正的冗余必須使用不同運(yùn)營(yíng)商的不同線路才能形成。任何冗余互聯(lián)網(wǎng)提供商必須包括線路冗余 ；許多組織只是與不同的互聯(lián)網(wǎng)提供商簽訂合同，卻讓多家提供商共用相同的物理線路，這種冗余是不夠格的。

可以部署撥號(hào)互聯(lián)網(wǎng)連接供緊急使用，但通過(guò)撥號(hào)線路進(jìn)行遠(yuǎn)程服務(wù)器管理是一項(xiàng)挑戰(zhàn)，甚至對(duì)有經(jīng)驗(yàn)的管理員也一樣。

考慮雇用技工，在遠(yuǎn)程站點(diǎn)當(dāng)?shù)鼐S護(hù)內(nèi)部網(wǎng)絡(luò)。一名技術(shù)員可以找到導(dǎo)致連接問(wèn)題的失效路由器，現(xiàn)場(chǎng)發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)適配器或交換機(jī)端口問(wèn)題。這些（物理上的）問(wèn)題都不是遠(yuǎn)程管理工具能修復(fù)的。