隨著IT市場的發展和企業信息化建設步伐的加快，中小企業網絡接入的方式越來越多樣化，對不同分支和總部之間的互聯互通的需求也在增加。同時，中小企業在針對內網安全方面(尤其是PC客戶端準入安全檢查)，由于缺少專門的客戶端安全檢查設備，無法查找和修復內網的安全短板，從而無法有效的保護整個內部網絡的安全性。
更為重要的是上班時間內部員工的網絡訪問行為沒有很好的管理、控制方法，上班時間長時間使用QQ聊天、瀏覽無關網頁、在BBS、論壇上發帖等，不僅導致員工工作效率低下，還潛在可能向公網泄露企業機構內部機密信息，并可能因訪問非法網站或發表非法言論而違反法律。另外員工肆意使用BT、PPLive等P2P工具下載電影、在線看電視、看電影、聽歌等，嚴重吞噬了有限的帶寬資源，影響了中小企業機構內部關鍵應用和業務的開展。
通過對中小企業機構的網絡狀態的分析，我們可以看到大部分中小企業在內網安全管理、帶寬使用、VPN接入、互聯網訪問行為管控方面存在或多或少的管理和監控的問題，如何有效的解決這些存在的問題，提升企業員工的工作效率，降低IT人員的管理成本是當務之急。
俠諾安全路由器SSL 006
針對以上這些問題，我們選擇量身定制的安全路由器產品俠諾安全路由器SSL 006(適用中小企業，功能非常適用)，并通過實際測試，來展示在雙線接入(應是三線接入)、SSL VPN、上網行為管理等方面為企業帶來的益處。
二、SSL 006解決方案的架構及測試環境介紹
1、產品特性
SSL 006網絡安全路由器是俠諾適應高速網絡的VPN、防火墻需求，所研發的一款全功能VPN 防火墻。支持IPSec、PPTP 以及SSL VPN，針對企業的分支、第三方、移動辦公、家庭辦公等各式VPN運用環境，提供了全面性的解決方案。
適用于多運營商及不同的帶寬環境，并提供硬件鏡像端口、智能型帶寬管理、多WAN 負載均衡、線路備援、強效防火墻、虛擬路由等功能。
此路由器采用64 位多核心硬件加速高階網絡專用處理器，雙向轉發速率200Mbps，封包處理快速穩定。內建高規格大容量內存，長時間高負載運作，穩定可靠。
本產品提供二個WAN口，一個支持3G上網的USB口，四個LAN口，均為10M/100M自適應，且LAN口為可交換式，并支持VLAN及LAN1支持鏡像功能。產品不大，算得上小巧而精致。
2、SSL 006解決方案架構
如下圖所示，為典型的企業Internet接入方式，尤其是中小企業。SSL 006直接接入Internet(此時，其既可以充當ADSL撥號功能，亦可充當靜態IP地址的路由器，還能支持某些華為的3G上網)。后端接入核心交換機等。
3、產品功能測試的環境簡介
本次的環境為家用辦公室環境，2Mb小區寬帶接入，中國電信3G網絡接入。SSL 006安全路由器WAN1口使用PPPOE的小區寬帶撥號，3G網絡安裝在一臺手提上，經共享后接入到本路由器。SSL 006安全路由器主要起到雙線接入及負載均衡、SSL VPN、上網行為管理等角色，同時后端接有二個八口的交換機以及無線路由器。
此次實驗帶機量為10臺左右(其中約五臺使用虛擬化技術)，重點使用其雙線負載均衡、SSL VPN、上網行為管理等功能。
三、WEB登錄及基本配置
前面提到，本款路由器支持多種接入方式，有兩個WAN口一個支持3G上網的USB口，可以根據企業機構的Internet接入情況的多樣化而選擇最適合的方式(考慮ISP的同時，也要考慮網絡管理)。
1、WEB登陸及首頁
通過IE瀏覽器連接路由器進行管理或配置，好像是目前最流行的方式了，SSL 006安全路由器也不例外。同時亦提供了通過Internet訪問進行遠程管理的方式，前提是有固定的公網IP或動態域名(公網IP視接入方式，而動態域名要看是否申請)?？梢栽L問http://192.168.0.1,從整個登錄過程的體驗來看，俠諾對安全的關注和用戶的體驗是下了一番功夫的，是筆者首次見到在路由器登錄時使用軟鍵盤的。
登錄后的首個頁面，就會顯示安全路由器的Web管理頁面，在其頁面的右上角選擇安全路由器操作的語言模式，這里選擇簡體中文(雖是簡體中文，在實際操作中，筆者發現部分詞語翻譯的還是較為拗口，畢竟是繁體用語和簡體用法還是有不同之處的)。
在此頁，可以了解到設備規格以及設備工作狀態信息，還有因安全考慮需要用戶即時修改系統登錄密碼和時間設置。如下圖所示，是實現雙線接入后的首頁展示，可以清晰看到網絡及端口狀態、本機信息、網路(絡)安全信息等。
2、基本配置
基本配置，主要講此路由器在本次架構中所擔任的角色，NAT功能。產品中是通過“網絡連線配置”-“網絡設置”來完成的。從下圖中亦可看出提供了幾種網絡接入的方式，基本上滿足了小型企事業Internet接入的需要。此環境中設置成靜態線路(隨著評測的進展，連線端口及類型有變化)。
四、主要功能測試
從功能上來看，這款產品可謂集大成者，實用性和針對性的功能有如多WAN接入、SSL VPN、上網行為管理、IPSEC VPN等等，本文的重點是實測這幾種功能在實際使用中的表現如何，不但包括設置是否簡捷，還有這些功能是否經得起考驗。相信通過本次的評測，你會對俠諾的這款適應中小企業使用的安全路由器有個深入的認識，并能夠最終選擇使用上它。
測試需要全面、深入的、長時間的測試，這樣才能發現問題，同時也才能確認此功能在本企業機構應用的可能性。
筆者一直負責公司總部及40多家分支公司的信息安全工作，依據安全管理的經驗、用戶的體驗、老板的要求、企業的網絡接入及管理、帶寬管理與分配、企業不同區域的互聯互通的特點，重點選擇了一些功能進行說明和效果截圖。為大家分享經驗，供借鑒。
1、群組管理
企業均有不同部門的設置，或是有不同職位級別的劃分，他們對上網行為、帶寬分配或有不同，可以根據這些性質進行IP分組，如把老板們分在一個IP組中，可以讓他們具有與別人不同的上網權限和帶寬分配(視企業內部管理制度而定)等。
功能不錯，設置有些麻煩，在整個評測操作過程中，不少的設置需要一些理解的。建議使用的朋友先下載說明書看看。
群組的管理在防火墻配置中訪問規則設置、網頁內容管制，網絡連線配置中的協議綁定等項。如果能作用于稍后能評測的上網行為管理功能，會更好。
2、雙線接入及負載均衡
在此款安全路由器中，不但提供了多種互聯網接入方式，如ADSL撥號、寬帶接入、固定IP接入等方式，滿足了目前絕大多數企業的互聯網接入的需求。并根據市場發展和企業的潛在需要，還設置了兩個WAN口，支持兩條線路，同時還可支持某些類型的3G上網線路(官網查詢可得類型)，所謂此款(產品)擁有，上網不愁啊。
WAN1口，在下圖中對應的為本次評測環境的小區寬帶，也是PPPOE撥號方式：
上圖中，還有一個很不錯的功能值得一提，就是“掉線排程”功能，在有些地區，寬帶接入是受時間限制的，并不能保證24小時都能讓你使用。通過激活此功能，可解決此問題，亦可通知“備援線路接口位置”，選擇WIN2來實現網絡不中斷。
WAN2口接入的有些復雜了點。在一臺手提上經由3G上網共享后接入的，為固定IP地址方式。設置完后網絡連線如下：
雙線接入的實現，為接下來的負載均衡提供了可能。
當用戶的連線是采用多WAN的線路設計時，也就是本評測環境模式，可以通過網絡連線設置—流量管理以及網絡連線設置—協議綁定兩個子功能模塊對安全路由器的負載均衡模式進行設置，使SSL 006安全路由器達到最優數據轉發，使網絡帶寬效能達到最優。
分別設置流量管理及協議綁定(協義綁定中的目標IP地址為新浪網的)：
效果如何呢?通過上述兩項的設置后，我們來看看實測的效果：
如上圖所示，在沒有設置協議綁定及IP均衡前，tracert的路由是經過中國電信的3G線路(左圖的第一個TRACERT命令以及使用www.ip138.com顯示的當前的電信IP)。
設置均衡后，訪問在線視頻的同時，仍tracert新浪網，此時可以看到路由已轉到2Mb的聯通線路上來了。
3、上網行為管理
很多中小企業的網絡管理人員，一提起上網行為管控就有說不出的痛，唉，家家有本難念的經啊。正如在一、困境中所述的那樣，上網行為的管控不當，不但消耗帶寬，還極大影響工作效率。但是如果全部管控制吧，一些部門或是老板根據職責有可能有特殊需求。怎么辦呢?
俠諾很好的幫大家解決了這個問題，通過對以下幾個方面來達到上網行為的管理：特殊的網頁存取限制、阻擋特定的服務、Block File Type、阻擋炒股軟件、阻擋在線視頻等。
實例A、阻擋特定的服務—QQ
通過此功能，不只是能限制所有的QQ，還能通過“不受限制的QQ號碼”來排除不受限的QQ號碼，更能通過設置“內網不受限制的IP位址”來設置某些機器不受禁止QQ的限制。應當理解這兩個不受限制的管控范圍。并注意如果排除了IP地址，即使是限制了全局QQ訪問，也能使用此IP訪問QQ等的。
如下圖所示的實例中，限制了全局QQ不能訪問，但排除了ID為小米飯QQ號碼，在同臺機器上訪問不同的QQ就有了不同的狀態。但如果像上圖中那樣，排除IP，這兩個QQ是均可登錄的。
實例B、上網行為管理—阻擋在線視頻
如下圖，正常情況下，是能出現播放按鈕等工具的，限制后就出現所示情況。成功實現。
需要說明的是，接合著高級防火墻選錯的一些功能，也能達到一些上網行為的管理功能。
4、QOS帶寬管理
其功能主要為是為了限制某些服務及IP的帶寬使用量，以滿足特定應用程序或服務所需的帶寬或優先權。
通過Qos帶寬管理—帶寬設置，來設置下載的帶寬：
設置后的效果展示(下圖1是限制，下圖2為解除限制)，通過兩圖對比，可以看到效果明顯：
通過QOS帶寬管理—聯機數限制，還能限制基于IP的最大連接數。
5、高級防火墻
在官方文檔中，俠諾稱呼這款安全路由器為防火墻，可見他們對此功能的定制及認可度。你可以通過防火墻配置—基本設置來激活或是關閉這些功能：
不過，本文對防火墻的關注重點不在于此，而是“網頁內容管制”及“訪問規則設置”。
通過“網頁內容管制”(也許可以稱為上網行為管理)可以限制對一些網頁內容的顯示，根據筆者的理解及實際使用，此處的網頁內容應為網址的名稱等。
通過防火墻配置網頁內容管制網頁字符管制，可以以限制關鍵字的方式來限制對某些頁面的訪問，目前只支持到英文的關鍵字。通過時間管制設定，可以設定起作用時間范圍。
6、SSL VPN
經過實測，我不得不說，愛死這個功能了。
SSL VPN 是將局域網應用服務資源，經過SSL VPN 網關，以安全網頁的方式提供給遠程接入用戶。由于SSL VPN 采用目前所有通用標準網頁瀏覽器內建的SSL/HTTPS 作為安全傳輸機制，因此在客戶端不需安裝與設置，只要通過瀏覽器如IE 或Netscape 便可進行遠程數據存取，具有部署簡單、無客戶端軟件、維護成本低、網絡適應強等特點。相對在管理端上只需通過原有的身分認證機制，即可對使用者身份及網絡存取加以分級管理，讓企業信息不至于完全透明，安全保障可更上一層樓。
在正式使用前，需要設定相關的群組、用戶，設定認證的方式(可以和AD域相結合)、以及訪問登錄后的內網資源。
本次測試只展示基本設定(UI設定，增強了用戶體驗，可以使用公司LOGO等)及實測結果。更多功能使用請參考手冊。
A、如下圖，設定好訪問登錄后的首頁展示，偶把我家小寶寶的相片放進去了。
B、設定好后，訪問登錄https://IP或域名。
7、網關到網關的VPN
熟悉網絡或是微軟ISA的朋友，可能提起網關到網關的VPN會比較“耳熟”些，就是我們常說的站點到站點的VPN，常用于分支網絡與總網絡之前的互聯互通。
由于環境的問題，筆者并沒有實測效果如何，亦不能查到是否支持與CISCO等網絡設備相互聯。
8、端口管理之VLAN
VLAN一般是在三層交換機上來實現的，但本款路由的四個LAN口除了具備交換功能外，還具備三層交換VLAN的功能。
通過端口管理—端口設置，來實現不同端口的不同VLAN設置。
如下圖所示，不同VLAN間的互訪實測。到對應的端口后端接入不同的交換機時，就需要設置好不同的VLAN喲。
五、其它特色功能測試
A、端口鏡像功能
通過此功能，可以實現HUB的抓包分析等。
B、3G USB功能
此功能，主要是通過3G USB上網卡來實現寬帶接入的，目前官方提供的支持有限，筆者雖有3G上網卡，但并不在支持之列，亦無法實測。
C、動態域名解析
俠諾公司亦提供了這樣的服務，注冊申請之后，如SSL VPN、內網對外的WEB服務、遠程管理此安全路由器等就可以實現了。
D、對內負載均衡
前文提到過對外的負載均衡，對內負載均衡針對需要平均分配的內網服務器的外來流量，平均分配在對外的每條線路上，使得帶寬效率效益最大化，外網訪問內部服務可持續性。
如果需要，請測試，并與官方聯系如何實現此功能。
E、備援功能
此功能是否使用，仍建議你聯系官方，并評測。
F、其它也有一些不錯的功能，如QVM，是Qno 專為商用環境所研發的-SmartLink IPSec VPN。只需輸入VPN 服務器IP、用戶名、密碼等三個參數，即可完成IPSec VPN 建置。讓企業享有VPN 的優點，而不必顧慮技術及管理上的困難。中央控制的功能，可以隨時通過此功能遠程登錄到客戶端進行中央控管，安全及保密性絕對符合IPSec的精神。同時支持備援功能，斷線可從另一個WAN 自動建立聯機，確保VPN 服務永不斷線。
五、測試總結
本次測試雖然沒有針對這款產品所提供的功能進行面面俱到的使用，但中小企業常見的產品所能提供的功能均進行了測試，與大家分享以下幾點：
1、SSL 006這款產品與其說是安全路由器，不如說是一款防火墻，具備路由、三層交換、VPN接入于一體的防火墻。
2、上網行為管理功能強大，結合國內中小型企事業的網絡行為特點，提供了針對性的管控功能，如果配合使用本機的防火墻—網頁內容管制功能，更能發揮作用。
3、提供的SSL VPN功能，讓中小企業在降低購置成本及管理成本的同時擁有了安全的從外網訪問內部資源的可能。
4、寬帶接入方面，動、靜結合，又加上各地均支持的ADSL接入方式，符合企業Internet接入方式多樣化，同時雙WAN功能和3G USB接入方式的選擇，更是切合企業及家庭訪問Internet時需求。
5、對外流量及對內流量(訪問)的雙重負載均衡，讓寬帶網絡服務更加可靠、穩定及均衡。
6、上網行為管理中的控制部分雖然提供了解決方案，但如果能有相應的審計功能(記錄或報表)會更加適應企業需求。
7、用戶體驗(操作與配置)方面，部分需要使用文檔完成，如果簡體化更貼合大陸使用會更好。
產品沒有真正的好與壞，只有適合與否，相信通過筆者的使用體驗，你會對這款具備IPSEC VPN/QOS/SSL VPN功能的安全路由器給予最大程度的肯定。選擇性價比不錯的俠諾SSL 006安全路由器產品，明智之舉。
京公網安備 11010502049343號