中石化入网

IPSec VPN解决方案华为3com技术有限公司目录1. 概述 (3)1.1 VPN定义 (3)1.2 VPN的类型 (4)1.3 VPN的优点 (5)1.4 隧道技术 (5)1.5 加密技术 (8)1.6 身份认证技术 (9)2. 建设方案 (11)2.1 基本建设思路 (11)2.2 组网方案 (11)2.3 可靠性方案 (17)3. IPSec VPN管理系统 (21)3.1 轻松部署安全网络 (21)3.2 直观展示VPN拓扑 (22)3.3 全方位监控网络性能 (22)3.4 快速定位网络故障 (24)3.5 BIMS分支智能管理系统 (24)附件:iNode客户端软件介绍 (26)1. 概述随着网络，尤其是网络经济的发展，企业日益扩张，客户分布日益广泛，合作伙伴日益增多，这种情况促使了企业的效益日益增长，另一方面也越来越凸现传统企业网的功能缺陷：传统企业网基于固定物理地点的专线连接方式已难以适应现代企业的需求。

于是企业对于自身的网络建设提出了更高的需求，主要表现在网络的灵活性、安全性、经济性、扩展性等方面。

在这样的背景下，VPN以其独具特色的优势赢得了越来越多的企业的青睐，令企业可以较少地关注网络的运行与维护，而更多地致力于企业的商业目标的实现。

1.1VPN定义利用公共网络来构建的私人专用网络称为虚拟私有网络（VPN，Virtual Private Network），用于构建VPN的公共网络包括Internet、帧中继、ATM等。

在公共网络上组建的VPN象企业现有的私有网络一样提供安全性、可靠性和可管理性等。

“虚拟”的概念是相对传统私有网络的构建方式而言的。

对于广域网连接，传统的组网方式是通过远程拨号连接来实现的，而VPN是利用服务提供商所提供的公共网络来实现远程的广域连接。

通过VPN，企业可以以明显更低的成本连接它们的远地办事机构、出差工作人员以及业务合作伙伴，如图1所示。

图1 VPN应用示意图由图可知，企业内部资源享用者只需连入本地ISP的POP（Point Of Presence，接入服务提供点），即可相互通信；而利用传统的WAN组建技术，彼此之间要有专线相连才可以达到同样的目的。

中国石化一级网络供应商准入流程
1.一级网络供应商推荐方式：（1）企业物资供应部门向物资装备部供应商与客户管理处推荐；（2）供应商直接向物资装备部供应商与客户管理处自荐。

2.申请入网供应商须在中国石化物资采购电子商务网站供应商注册平台上自行注册，并填写相关信息。

3.在业务管理信息系统中，企业物资供应部门负责对本单位推荐供应商的资质进行初审。

物资装备部业务处室负责对自荐供应商的资质进行初审。

4.物资装备部供应商与客户管理处对申请供应商进行资格复审。

对于复审合格的供应商将统一纳入供应商资源库中。

5.物资装备部相关业务处室提出供应商现场考察计划。

供应商与客户管理处审核通过后，由业务处室组织对申请供应商进行现场考查，提出考察报告和专业准入意见。

6.对于考察合格的申请供应商，供应商与客户管理处在中国石化电子商务网站公示7个工作日。

7.根据公示结果，由供应商与客户管理处填写《中国石化一级网络供应商准入审批表》（见附表5），并办理报批手续。

物资装备部供应商与客户管理处为获准加入一级网络的供应商建立电子档案，物资装备部价格与信息管理处负责维护到电子商务等相关系统。

9.结合现有一级网络供应商年度考核结果和供应商结构情况，物资装备部原则上在每年末集中发布一级网络准入供应商名单。

中国石化远程培训系统简明操作手册远程培训项目工作组2011年11月目录前言 (1)1.系统网址 (2)2.首次使用前准备 (2)2.1系统平台插件检测及安装 (2)2.2浏览器设置 (3)2.3账号注册 (5)3.学员操作指南 (8)3.1学员首页功能简介 (8)3.2如何选择学习课程和参加培训班 (9)3.3如何参加在线视频教学--实时课堂 (12)3.4如何参加考试 (15)3.5如何参与讨论交流 (17)4.常见问题处理 (18)4.1账号注册异常 (18)4.2JA VA插件检测失败 (18)4.3域名无法访问 (20)4.4学习进度无法完成 (20)4.5学习成绩无法显示 (22)前言为适应集团公司建设世界一流能源化工公司的需要，强化全员培训，集团公司建成了远程培训系统，并于2011年7月15日上线。

系统具有网络学习、培训管理、资源管理、考试测评等功能，集成了软硬件视频直播系统，并与中国石化人力资源管理系统（SAP-HR）、统一身份管理系统紧密衔接，基本满足分层次、分业务线条开展培训的需要。

目前，系统平台上现有职业素养、通用、经营管理、专业技术、技能操作、国际化业务、新员工、学习参考等类别的课程和各类参考资源。

1.系统网址在中国石化内网环境中，打开IE浏览器，在地址栏中输入以下网址：即可进入“中国石化远程培训系统”。

如图1.1所示。

图1.1 系统登录界面2.首次使用前准备首次使用系统前需登录远程培训系统注册用户账号，并对访问系统的计算机环境进行设置。

2.1系统平台插件检测及安装1.点击系统登录页的“插件检测”按钮。

2.六项检测内容必须均显示为“成功”。

一般Java插件在首次检测时需要安装，若有其它“失败”项，请按照提示，点击插件名称进行下载并安装。

如图2.1所示。

图2.1 插件检测界面2.2浏览器设置1.浏览器版本建议使用IE6--IE9浏览器访问本系统。

如果使用IE8、IE9，请启用“兼容性视图”，可在以下两种实现方法中任选其一：方法一：在地址栏右边，找到兼容性视图按钮并启用。

中国石油天然气集团公司一级供应网络入网条件2008-07-06入网条件生产厂要加入钻采配件一级供应网络，需向网络办公室提出正式申请，承认网络章程，需提供下列资质审查资料：1、企业营业执照、税务登记证、组织机构代码证（复印件）以及公司简介（原件）；2、企业的资质审查文件即ISO9000资质认证文件或API认证，其他资质文件无效（复印件）；3、产品生产许可证（省部级主管部门颁发的）或省部级的检测报告（复印件）；4、填写《中国石油天然气集团公司钻采配件一级供应网络入网推荐表》，由中国石油天然气集团公司或中国石油股份有限公司所属企业物资管理或供应部门填写，并加盖部门（处级）公章（原件）；5、填写《申请石油集团公司钻采配件一级供应网络证书生产厂注册登记表》（原件）；6、厂品样本。

中国石油天然气集团公司一级供应网络管理办法第一章总则：第一条：为加强中国石油天然气集团公司（以下简称石油集团公司）石油、炼化物资一级供应网络的管理，理顺采购渠道，规范采购行为，促进石油、炼化企业与生产企业的密切协作，维护石油集团公司的整体利益和企业利益，特制定本办法。

第二条：一级供应网络主要为石油、炼化企业生产建设服务，在互惠互利原则下，使石油、炼化企业拥有质量合格、价格优惠、交货及时、售后服务良好的物资资源市场，同时使供方得到长期、稳定、可靠的销售市场。

第二章机构与职责第三条：一级供应网络由中国石油物资装备（集团）总公司（以下简称物资装备公司）负责组织、管理、协调，接受石油集团公司有关部门的指导。

第四条：一级供应网络设理事会。

理事单位由供需双方企业代表共同组成。

理事会办公室设在物资装备公司。

第五条：网络理事会的职责：确定理事长、副理事长、秘书长；讨论通过申请入网成员单位；讨论通过网络年度活动计划；讨论通过对网络成员的年度考核意见；修改通过网络章程；研究网络管理中的其它重大问题。

第六条：网络办公室职责：负责组织对申请入网企业进行资质审查。

目 录第一部分供应商1、供应商注册 (1)1.1 国内供应商注册 (1)1.2 国外供应商注册 (8)2、供应商许可供应产品目录变更 (15)3、供应商档案信息查询和维护 (11)3.1 供应商档案查询 (16)3.2 供应一般信息变更 (16)3.3 供应商关键信息变更 (17)第一部分供应商1、供应商注册1．1 国内供应商注册登录中国石化物资供应管理综合信息平台(),进入主页后选择“新供应商注册” 。

仔细阅读供应商注册流程，点击“下一步”。

阅读中国石化关于供应商管理的严正声明，点击“下一步”仔细阅读恪守商业道德协议书，同意后，同意后，点击页面右下方“同意该协议”按钮，进入下一界面。

按照要求仔细填写用户登录名、密码以及联系方式。

用户名和密码将作为登录供应商注册和管理信息系统唯一登录标识，请牢记,否则将无法参与网上交易。

点击“下一步”，进入供应商基本信息录入界面，录入基本信息(“*”标志为必填项)。

如果需要修改用户名和密码等注册信息，点击“修改注册信息”后进行修改。

确认基本信息准确无误后，保存并点击“下一步”，进入“申请信息录入”界面。

分专业，分不同目录，选择申请入网的产品。

供应商在选择时，要根据自己提供产品的类别，确定目录分类。

申请入网产品在集中采购物资目录中，则选择“集中采购”，如不在集中采购物资目录中，则选择“自采”。

根据入网产品不同属性，系统将自动赋予供应商属性为“集中采购供应商”或“自采供应商”。

供应商准入必须选择推荐企业，不允许自荐。

供应商注册时要选择推荐企业，推荐表由推荐企业生成，推荐企业在推荐表上注明推荐理由、推荐产品说明并签字盖章后，由推荐企业审核供应商资质时，上传推荐表。

在界面右下角点击“下载恪守商业道德协议书”，打印签字盖章后重新上传。

上传图片要求为原件彩色扫描图片，单张图片不大于200K。

确认填报信息准确无误后点击“保存”并提交。

提交后，供应商再次登陆注册系统，提示审核状态为“审核中”。

中国石化应用东方华盾VPN成功案例-VPN解决方案继2004年和2005年连续两年为中国石化19家企业成功实施VPN之后，东方华盾再次服务于中国石化，成为中国石化2006年ERP项目VPN网络建设独家解决方案和产品提供商。

在中国石化2004年和2005年已经实施VPN建设的单位中，共有19家企业使用了华盾VPN系列产品。

对于这些采用华盾产品的企业，其VPN系统目前已稳定运行了一年或两年时间，收到了良好的使用效果。

在2006年，中国石化又有10家下属企业建立VPN系统。

中国石化下属企业的VPN系统主要用来实现省公司、地市分公司、炼油厂、县级分公司、油库、加油站等各个地理位置不同局域网之间的安全互连。

使得企业能够在VPN网络上运行ERP系统、OA系统、财务软件以及IP语音业务、视频业务等应用，支持集团化生产、经营、管理信息系统的实施，并且确保各类访问数据在Internet上传输时有足够的安全性。

中国石化作为国家的支柱企业，在信息技术研究和应用方面起步较早，并且在2000年制定了全公司的ERP规划，指导着今后中国石化的信息化建设。

各个部门都会通过各种途径收集、购买信息，用于指导本部门制定计划、分析预测和科学决策，但信息一般存在于各部门内部，没有有效的信息交流和共享手段，造成重复劳动和已有信息资源浪费。

这些问题影响中国石化整体效益的提高，无法满足国际竞争以及企业发展战略对信息系统的要求。

因此，建设中国石化信息平台以及进行企业信息整合具有现实的紧迫性和必要性。

另一方面，随着VPN技术、数据集成技术、应用集成技术、信息整合解决方案与相关产品的不断成熟，以及国际先进企业成功案例的不断涌现，通过建设企业信息平台，整合企业信息资源，消灭信息孤岛，实现信息共享，提高企业信息化水平，已经具备了现实的可行性。

正是在此背景下，中国石化从战略高度提出了中国石化VPN网络建设项目，整合中国石化经营管理工作所需的信息资源，逐步建立符合国际化经营的数字化企业，提高中国石化在国际市场中的综合竞争力。

中国石化移动办公网络使用说明一，苹果系统上接入Sinopec_Mobile点击进入“设置”，进入设置菜单。

在设置菜单里选择“无线局域网”，进入无线局域网菜单。

在弹出的对话框中您的用户名与密码（即您在sinopec邮箱的用户名和密码）。

点击加入后，会弹出认证证书的对话框，请点击接受。

这时您已经成功接入无线网络，可以开始访问内网的内容，并可以自由使用中国石化APP。

如果你要访问外部网络，需要在网络设置中添加代理服务器：在无线局域网络菜单中选择“Sinopec_Mobile”这一网络，并点击右侧箭头标志。

在“Sinopec_Mobile”中，将屏幕拖到最下方。

在“HTTP代理”选项下方选择“手动”，并依照图中所示填写相应内容。

二，Windows 7 系统上接入Sinopec_Mobile打开网络和共享中心，选择：管理无线网络。

选择：添加选择：手动创建。

在网络名处输入Sinopec_Mobile，配置身份认证方式WPA2企业，加密方式AES继续选择：更改连接设置。

在更改连接设置时，选择：安全，验证选择PEAP。

然后配置PEAP的属性。

不选验证服务器证书。

在身份认证方法选择MSCHAP v2，在MSCHAP v2的配置处将自动使用windows用户名和密码去除。

回到安全设置界面，选择“高级设置”，在802.1x设置里勾选指定身份验证模式，选择用户身份认证。

完成所有配置，点击确认后，系统提示输入用户名密码。

输入您在sinopec邮箱的用户名和密码。

认证成功后，系统显示已经连接无线网络并获得了IP地址。

三，Windows XP操作系统接入Sinopec_Mobile在无线连接处点右键选属性，无线网络配置。

选择添加。

在网络名处输入Sinopec_Mobile，配置身份认证方式WPA2，加密方式AES在验证选择PEAP，点击属性选择MSCHAP v2，不选验证服务器证书。

在MSCHAP v2的配置处将“自动使用windows 登陆名和密码”去除完成所有配置，点击确认后，系统提示输入用户名密码。

IPsec VPN技术在中石化云南分公司中的应用中文摘要以Internet 为代表的全球信息化发展正在蓬勃发展,信息网络技术的应用正日益普及,应用领域从小型传统领域向着大型新兴领域发展,随着网络的普及,网络安全逐渐成为了影响网络能效的首要因素。

目前我国的通信基础协议基本为TCP/IP协议,而它本身没有提供安全保证及安全防护,在传输过程中,IP数据包可能会被伪造、修改及截获。

对于这类问题,IPsec可有效地保护IP 数据报的数据不被篡改、伪造, IPsec 提供标准的具有健全包容机制, 这种机制可以为IP 及上层协议(如UDP 和TCP)提供安全保证。

本论文主要是对中石化云南分公司VPN 改造过程进行论述。

设计思想是在网络平滑过度的基础上实现对原网络的IPsec 改造。

IPsec 是基于一组开放的网络安全协议,业务数据流通过IPsec 加密,IPsec可以提供服务器及客户端的双向身份认证,同时也可以为IP和其上层业务数据提供数据加密保护,能够支持数据加密,数据完整性验证,数据身份验证,以及防重放等功能,从而极大的提升了整个业务数据的安全性。

本课题主要分四部分:对IPsec VPN 概念的介绍;中石化云南分公司VPN 网络改造的背景及需求分析;IPsec VPN 网络的详细设计及实现;对VPN 设备相关IPsec 功能的测试。

关键词：IPsec、VPN、安全The Application of IPsec VPN in Sinopec Yunnan BranchAbstractThe global information, especially the Internet, is developing very fast and the application of Information Technology is getting popular from small traditional field to big emerging field. With the development of internet, the safety become the key factor of influencing the efficiency of Internet. Most of underlying communications protocol in China now is TCP/IP Protocol, which does not provide any safety guarantee or protection. The IPsec packets can be counterfeited, modified and intercepted during transmission. In order to protect IP packets, the IPsec provides standard Inclusive mechanism to insure the safety of IP and upper-layer protocol (such as UDP and TCP ). The thesis mainly discusses the reform of VPN in Sinopec Yunnan Branch. The design ides is to reform the original network of IPsec on the basis of Network smooth transition. Based on open network security protocol, the service data flow is enciphered by IPsec. IPsec promotes the safety of the whole data by providing two-way authentication of servers and clients and data encryption for IP and other upper- level business data, supporting data encryption, data integrity verification; data authentication and anti-replay. The thesis is divided into four parts: introduction of concept of IPsec VPN, analysis of the background and requirement for the VPN reform in Sinopec Yunnan Branch, the design and effectuation of IPsec VPN, and testing of function IPsec about VPN equipment.Key words: IPsec, VPN, safety目录中文摘要 (1)ABSTRACT (2)目录 (3)第一章绪论 (5)1.1选题背景 (5)1.2研究意义 (5)1.3论文主要工作 (5)1.4论文章节结构 (6)第二章 IPSEC VPN 技术的介绍及优势 (7)2.1IP SEC VPN简介 (7)2.2IP SEC VPN的适用场景 (8)2.3IP SEC VPN的优势 (8)第三章中石化云南分公司IPSEC VPN技术需求分析 (10)3.1网络改造项目的背景 (10)3.1.1 项目背景 (10)3.1.2 项目目的 (10)3.2项目功能性需求 (12)3.2.1 网络平滑升级的需求: (12)3.2.2 网络的可拓展性的需求： (12)3.2.3 移动办公的需求 (12)3.2.4 网络管理智能化的需求 (12)3.3项目的非功能性需求 (13)3.3.1 性能 (13)3.3.2 灵活性和可拓展性 (13)3.3.3 安全性的需求 (13)3.3.4 可靠性 (13)第四章基于IPSEC 的VPN网络设计 (14)4.1VPN技术的方案比较 (14)4.2中石化新网络设计原则 (15)4.2.1 整体性原则 (15)4.2.2 兼容性原则 (15)4.2.3 实用性和先进性原则 (15)4.2.4 高性能原则 (16)4.2.5 可靠性原则 (16)4.2.6 高性价比原则 (16)4.2.7 易操作性 (16)4.2.8 可拓展性 (16)4.3中石化云南分公司网络设计思路 (16)4.4系统的主要模块 (16)4.4.1 VPN接入网关子系统 (17)4.4.2 认证计费子系统 (17)4.4.3 VPN 管理子系统 (18)4.5IP SEC VPN接入网关子系统的结构实施 (18)4.6接入网关子系统各组件的设计要求 (19)4.6.1 IPsec 基本协议 (19)4.6.2 AH协议 (19)4.6.3 ESP协议 (20)4.6.4 IKE协议 (20)4.7防火墙 (20)4.7.1 防火墙的定义 (20)4.7.2 分布式架构防火墙 (21)4.8方案描述 (22)4.9方案实施 (22)4.9.1 采用手工方式创立站点到站点的IPsec VPN (22)4.9.2 采用IKE方式创建站点到站点的IPsec VPN (25)第五章IPSEC VPN的测试 (29)5.1IP SEC VPN对等体测试 (29)5.1.1 Keepalive 机制 (29)5.1.2 DPD机制 (29)5.2IP SEC 双链路备份 (30)5.3IP SEC 故障排除 (31)5.3.1 IKE协商不成功 (31)5.3.2 IPsec 业务不通故障分析 (31)第六章总结与展望 (32)致谢 (33)参考文献 (34)第一章绪论1.1 选题背景随着我国信息化建设力度的投入加大，国民经济支柱产业的石油，石化产业也在紧锣密鼓地加速信息化建设进程，陆续实施信息门户、办公应用、电子商务、产业信息化等重点信息化工程建设。