【摘要】隨著現(xiàn)代高等教育和科學(xué)技術(shù)的發(fā)展，許多高校都在實施一校多區(qū)的辦學(xué)實踐。多校區(qū)辦學(xué)模式進(jìn)一步拓展了教育發(fā)展空間，彌補了教育資源的不足。在多校區(qū)辦學(xué)模式當(dāng)中傳統(tǒng)的專線直連方式越來越不能滿足財務(wù)信息化建設(shè)的發(fā)展需求，VPN（虛擬專用網(wǎng)絡(luò)）技術(shù)提供了一種既安全可靠又節(jié)約成本的新型組網(wǎng)方式。本文主要介紹了VPN的技術(shù)核心及工作原理，提出高校財務(wù)信息化建設(shè)中如何具體解決VPN方案。
前言
隨著我國高等教育體制改革的進(jìn)一步深化，高校辦學(xué)規(guī)模不斷擴大，多校區(qū)辦學(xué)已是普遍的發(fā)展?fàn)顩r。由于校區(qū)之間地域上的隔離，財務(wù)處的財務(wù)管理系統(tǒng)和學(xué)生收費管理系統(tǒng)等業(yè)務(wù)處理平臺都沒有統(tǒng)一的數(shù)據(jù)服務(wù)器，造成數(shù)據(jù)不能實時同步，教職工差旅費報銷、學(xué)生繳費等都受校區(qū)的限制，給日常財務(wù)管理工作帶來了極大的不便，亟需進(jìn)一步加強財務(wù)信息化建設(shè)，通過技術(shù)手段解決多校區(qū)辦學(xué)模式下的財務(wù)系統(tǒng)數(shù)據(jù)同步問題，實現(xiàn)統(tǒng)一、有效地進(jìn)行異地財務(wù)的管理，保證異地財務(wù)數(shù)據(jù)的安全和可靠傳輸。
筆者通過對虛擬專用網(wǎng)（Virtual Private Network,VPN）相關(guān)技術(shù)的研究，結(jié)合多校區(qū)辦學(xué)模式下大部分高校的實際情況，提出了將VPN技術(shù)應(yīng)用于高校財務(wù)信息化建設(shè)的方案。
一、VPN技術(shù)
VPN（Virtual Private Network）即虛擬專用網(wǎng)，被定義為通過一個私有的通道在公用網(wǎng)絡(luò)(通常是因特網(wǎng))上建立一個安全的連接，是一條穿過非安全網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。虛擬專用網(wǎng)是對企業(yè)內(nèi)部網(wǎng)的擴展，它利用開放的公用網(wǎng)絡(luò)進(jìn)行信息傳輸，通過安全隧道、用戶認(rèn)證和訪問控制等技術(shù)幫助遠(yuǎn)程用戶、分支機構(gòu)、商業(yè)伙伴及供應(yīng)商同企業(yè)的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。
?。ㄒ唬┌踩淼兰夹g(shù)
由于Internet網(wǎng)絡(luò)中IP地址資源的短缺，企業(yè)內(nèi)部大多使用私有IP地址，從這些地址發(fā)出的數(shù)據(jù)包是不能直接通過Internet傳輸?shù)模仨毻ㄟ^網(wǎng)絡(luò)地址轉(zhuǎn)換為合法IP地址。常見轉(zhuǎn)換方法如靜態(tài)IP地址轉(zhuǎn)換、動態(tài)IP地址轉(zhuǎn)換、端口替換、數(shù)據(jù)包封裝等，通常情況下VPN采用的是數(shù)據(jù)包封裝（隧道）技術(shù)。使用隧道傳遞的數(shù)據(jù)可以是不同協(xié)議的數(shù)據(jù)包，隧道協(xié)議將這些數(shù)據(jù)包重新封裝在新的包頭中發(fā)送，新的數(shù)據(jù)包頭提供了路由信息，從而使封裝的數(shù)據(jù)能通過Internet網(wǎng)絡(luò)進(jìn)行傳輸。
?。ǘ┯脩粽J(rèn)證技術(shù)
如果數(shù)據(jù)包不經(jīng)過加密就通過不安全的Internet，即使已經(jīng)建立了用戶認(rèn)證，VPN也不完全是安全的。為保護數(shù)據(jù)在網(wǎng)絡(luò)傳輸上的安全性，需利用密碼技術(shù)對數(shù)據(jù)進(jìn)行加密。數(shù)據(jù)加密的基本思想是通過變換信息的表示形式來偽裝需要保護的敏感信息，使非受權(quán)者不能了解被保護信息的內(nèi)容。加密算法中強度比較高，可用于保護敏感的財務(wù)信息的是IPSec的DES和3DES。
除加密和解密外，VPN需要核實信息來源的真實性，確認(rèn)信息發(fā)送方的身份，防止非授權(quán)用戶的非法竊聽和惡意篡改信息。核實發(fā)送方身份的過程稱為“認(rèn)證”。認(rèn)證可通過用戶名和口令實現(xiàn)，或者通過“電子證書”或“數(shù)字證書”來完成，即證書和密鑰。它包含加密參數(shù)，可唯一地用作驗證用戶或系統(tǒng)身份的工具，提供高級別的網(wǎng)絡(luò)信息安全傳輸。
?。ㄈ┰L問控制技術(shù)
訪問控制技術(shù)即傳統(tǒng)的防火墻功能，一個完善的VPN應(yīng)同時提供完善的網(wǎng)絡(luò)訪問控制功能，由VPN服務(wù)的提供者與最終網(wǎng)絡(luò)信息資源的提供者共同協(xié)商確定特定用戶對特定資源的訪問權(quán)限，通過對訪問策略的控制實現(xiàn)用戶的細(xì)粒度訪問控制，以最大限度地保護信息資源。
財務(wù)信息的安全歷來備受人們重視，安全就是受到控制的訪問。因此，實施安全就是訪問控制的過程，密碼和防火墻可幫助我們實現(xiàn)對信息讀取、寫入權(quán)限的訪問控制。
?。ㄋ模┧淼绤f(xié)議
1. PPTP（PointtoPoint Tunneling
Protocol,點對點隧道協(xié)議）是由PPTP論壇開發(fā)的點到點的安全隧道協(xié)議，是PPP的擴展，它增加了一個新的安全級別，支持通過公用網(wǎng)絡(luò)建立按需的、多協(xié)議的虛擬專用網(wǎng)絡(luò)。通過啟用PPTP的VPN傳輸數(shù)據(jù)如同在企業(yè)的一個局域網(wǎng)內(nèi)那樣安全。此外還可以使用PPTP建立專用LAN到LAN的網(wǎng)絡(luò)。
2. SSL（Secure Sockets Layer,安全套接字層協(xié)議）是Netscape公司提出的基于Web應(yīng)用的安全協(xié)議，SSL是一種在Web服務(wù)協(xié)議（HTTP）和TCP/IP之間提供數(shù)據(jù)連接安全性的協(xié)議，為TCP/IP連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)證、可選的客戶機認(rèn)證和消息完整性驗證，SSL被視為Internet上Web瀏覽器和服務(wù)器的安全標(biāo)準(zhǔn)。
3. IPSec（IP Security,IP安全協(xié)議）是一組應(yīng)用廣泛、開放的協(xié)議總稱，它對應(yīng)用于IP層的網(wǎng)絡(luò)數(shù)據(jù)，提供一套安全的體系結(jié)構(gòu)，包括網(wǎng)絡(luò)安全協(xié)議AH和ESP、密匙交換協(xié)議IKE和用于網(wǎng)絡(luò)驗證及加密的算法等，其中兩個使用最普遍的AH標(biāo)準(zhǔn)是MD5和SHA-1，MD5使用最高到128位的密鑰，而SHA-1通過最高達(dá)160位密鑰提供更強的保護，ESP標(biāo)準(zhǔn)是數(shù)據(jù)加密標(biāo)準(zhǔn)（DES），DES最高支持56位密鑰，IPSec同時還支持3DES，因此其密碼算法具有很高的安全性。IPSec規(guī)定了如何在對等層之間選擇安全協(xié)議、確定安全算法和交換密鑰，向上提供訪問控制、數(shù)據(jù)源驗證、數(shù)據(jù)加密等網(wǎng)絡(luò)安全服務(wù)。
（五）VPN通信方式和連接方式
在VPN通信中，主要有兩種VPN通信方式：遠(yuǎn)程訪問VPN(Access VPN )和路由器到路由器VPN，后者又包括企業(yè)內(nèi)聯(lián)VPN（Intranet VPN）和企業(yè)外聯(lián)VPN（Extranet VPN）。
VPN連接方式一般可分為兩類：
1. 撥號VPN：為移動用戶和遠(yuǎn)程辦公用戶提供的對單位內(nèi)部網(wǎng)的遠(yuǎn)程訪問，通過普通的撥號與公用網(wǎng)絡(luò)進(jìn)行鏈接；然后再通過建立VPN專用網(wǎng)絡(luò)鏈接，輸入目標(biāo)網(wǎng)絡(luò)IP地址或域名進(jìn)行鏈接。
2.專線VPN：此種方式一般情況下企業(yè)已通過專線方式與公網(wǎng)建立了鏈接并有靜態(tài)IP地址。
無論何種連接方式都要通過硬件VPN或者軟件VPN來實現(xiàn)?；谪攧?wù)系統(tǒng)的安全性考慮一般選用硬件VPN。硬件VPN可以是帶VPN模塊的防火墻、路由器或者專用VPN交換機，如Cisco的VPN Concentrator 3000，天融信的網(wǎng)絡(luò)衛(wèi)士防火墻4000系列等。在多種硬件VPN當(dāng)中適用于高校財務(wù)信息化建設(shè)需求的性價比高的首選帶VPN模塊的企業(yè)級防火墻。
二、高校財務(wù)信息化建設(shè)中VPN網(wǎng)絡(luò)構(gòu)建實例
下面以筆者所在院校構(gòu)建財務(wù)VPN網(wǎng)絡(luò)系統(tǒng)為例，說明VPN技術(shù)在多校區(qū)辦學(xué)模式下高校財務(wù)信息化建設(shè)中的應(yīng)用。
（一）需求分析
我校目前由三個校區(qū)組成，分別是匯東校區(qū)、鄧關(guān)校區(qū)和營盤校區(qū)，匯東校區(qū)為主校區(qū)，鄧關(guān)校區(qū)距離主校區(qū)三十幾公里，三個校區(qū)均要鏈接財務(wù)服務(wù)器收取學(xué)生學(xué)費，其中匯東主校區(qū)和鄧關(guān)校區(qū)要對外報賬，財務(wù)機房設(shè)置在匯東主校區(qū)。要實現(xiàn)通過鄧關(guān)校區(qū)和營盤校區(qū)的客戶機都能實時地連接財務(wù)中心機房的服務(wù)器，達(dá)到所有的賬務(wù)憑證和收費單據(jù)均寫入同一數(shù)據(jù)庫當(dāng)中。與此同時，發(fā)布服務(wù)器要對外發(fā)布財務(wù)信息，學(xué)生收費信息要與教務(wù)管理系統(tǒng)、學(xué)校校園網(wǎng)絡(luò)計費認(rèn)證系統(tǒng)實現(xiàn)數(shù)據(jù)同步，以達(dá)到財務(wù)數(shù)據(jù)安全穩(wěn)定可靠地傳輸，財務(wù)信息在保證安全的前提下在一定程度上與學(xué)校其他業(yè)務(wù)處理系統(tǒng)資源共享。同時，為最大限度地保障財務(wù)數(shù)據(jù)的安全與完整，需建立健全完善的數(shù)據(jù)備份機制。
（二）解決方案
1. 網(wǎng)絡(luò)架構(gòu)解決方案
由于學(xué)校校園網(wǎng)絡(luò)已建成規(guī)模，因此財務(wù)VPN網(wǎng)絡(luò)可以通過搭建在校園網(wǎng)絡(luò)平臺基礎(chǔ)上在三個校區(qū)建立Intranet VPN，這樣既可以提高數(shù)據(jù)傳輸?shù)姆€(wěn)定性，也可以使整個財務(wù)VPN網(wǎng)絡(luò)受到學(xué)校主防火墻的保護，進(jìn)一步提升系統(tǒng)的安全性，而且還不用租用昂貴的專線以節(jié)約開支。具體方案如圖1所示：
如圖1基于校園網(wǎng)平臺的財務(wù)VPN應(yīng)用方案所示，在三個校區(qū)之間建立財務(wù)VPN，策略上允許客戶端計算機在一定程度上訪問財務(wù)服務(wù)器，只開放為客戶端軟件連接財務(wù)數(shù)據(jù)進(jìn)行財務(wù)處理和收費業(yè)務(wù)處理所必需的服務(wù)和端口，服務(wù)器端則可以相對透明地開放訪問客戶端計算機的權(quán)限，以便于系統(tǒng)管理員從服務(wù)器端遠(yuǎn)程控制客戶端，解決客戶端與服務(wù)器的訪問故障。由于IPSec和L2TP的安全性比PPTP的安全性要高，基于財務(wù)信息的安全性要求極高，特別是收費系統(tǒng)的數(shù)據(jù)往往成為計算機專業(yè)學(xué)生攻擊的目標(biāo)，所以在三個校區(qū)之間的VPN鏈接采用使用IPSec協(xié)議VPN。盡管財務(wù)管理系統(tǒng)和收費管理系統(tǒng)及財務(wù)數(shù)據(jù)服務(wù)器都采用的是WINDOWS平臺，可以利用WINDOWS系統(tǒng)分別建立VPN路由，但考慮到財務(wù)VPN網(wǎng)絡(luò)方案的另一個重要因素——穩(wěn)定性，因此我們選用了帶VPN模塊具強大VPN功能的天融信Topsec企業(yè)級網(wǎng)絡(luò)衛(wèi)士防火墻NGFW4000系列。
天融信NGFW4000系列防火墻的配置非常方便，可以基于GUI管理器或基于TELNET進(jìn)行配置，對用戶的管理可在高級管理中的網(wǎng)絡(luò)對象中實現(xiàn)，并可以通過訪問策略限制非法用戶對系統(tǒng)和網(wǎng)絡(luò)資源的訪問。對于移動客戶端需要安裝天融信VPN遠(yuǎn)程客戶端（VPN Remote Client），不用再像傳統(tǒng)的遠(yuǎn)程網(wǎng)絡(luò)訪問那樣，通過長途電話撥號到學(xué)校遠(yuǎn)程接入端口，要想順利通過VRC客戶端軟件連接到學(xué)校財務(wù)VPN系統(tǒng)，需要使用配套的證書管理系統(tǒng)在NGFW4000系列防火墻當(dāng)中進(jìn)行證書交換，以驗證VRC客戶的身份是否合法，從而保證財務(wù)信息的安全。利用VRC客戶端軟件可以與財務(wù)網(wǎng)絡(luò)建立一條VPN加密隧道鏈接，而且這條鏈接是一條基于IPSec的安全鏈接，所以能對IP及上層協(xié)議提供可靠的、靈活的安全保證，以使客戶端安全快速地訪問財務(wù)網(wǎng)絡(luò)資源。
我們在三個校區(qū)分別安裝一臺NGFW4000系列防火墻，通過在防火墻的通信策略中建立基于IPSec協(xié)議的通信策略的VPN互連。在每臺防火墻上定義該校區(qū)財務(wù)網(wǎng)絡(luò)的用戶并綁定其IP地址和MAC Address，在訪問策略當(dāng)中設(shè)置為默認(rèn)情況下禁止對防火墻保護區(qū)域的訪問，在此基礎(chǔ)上再配置允許對相關(guān)區(qū)域所屬資源的訪問服務(wù)、訪問端口及訪問權(quán)限。在帶寬策略當(dāng)中設(shè)置好各區(qū)域的帶寬以充分滿足關(guān)鍵業(yè)務(wù)的穩(wěn)定性不因帶寬問題而有所影響。在VPN管理當(dāng)中建立好各個防火墻的證書并互相交換證書以啟用VPN隧道連接，同時導(dǎo)入VRC客戶端的證書以便于VRC用戶對財務(wù)資源的訪問。
2. 數(shù)據(jù)存儲與備份解決方案
每一位計算機前的使用者都會有這樣的經(jīng)驗：一旦在操作過程中敲錯了一個鍵，我們幾個小時，甚至是幾天的工作成果便有可能付之東流。據(jù)統(tǒng)計，80%以上的數(shù)據(jù)丟失都是由于人們的錯誤操作引起的。遺憾的是，這樣的錯誤操作對人類來說是永遠(yuǎn)無法避免的。另一方面，隨著網(wǎng)絡(luò)的普遍建立，人們更多的通過網(wǎng)絡(luò)來傳遞大量信息。而在網(wǎng)絡(luò)環(huán)境下，除了人為的錯誤操作之外，還有各種各樣的病毒感染、系統(tǒng)故障、線路故障等，使得數(shù)據(jù)信息的安全無法得到保障，我們對網(wǎng)絡(luò)的大量投資也失去了意義。在這種情況下，數(shù)據(jù)備份就成為日益重要的措施，通過及時有效的備份，系統(tǒng)管理者就可以高枕無憂了。
在國內(nèi)，大多數(shù)人還沒有意識到備份的重要性，這與西方國家強烈的備份意識差距很大。實際上，我國已有了很多前車之鑒，一些重要的科研機構(gòu)內(nèi)曾經(jīng)不止一次地發(fā)生過災(zāi)難性的病毒侵入事故，造成了很大的經(jīng)濟損失。隨著國內(nèi)計算機和網(wǎng)絡(luò)的不斷普及，網(wǎng)絡(luò)環(huán)境已危機四伏，數(shù)據(jù)隨時都有被毀壞的可能，我們必須對系統(tǒng)和數(shù)據(jù)進(jìn)行備份！備份如今已不是一件繁瑣的事情，軟、硬件產(chǎn)品的不斷研究和推出，使得數(shù)據(jù)備份具有了速度快、可靠性高、自動化強等特點，完全解脫了系統(tǒng)管理員的負(fù)擔(dān)。在投資上，與興建網(wǎng)絡(luò)相比，專用的存儲設(shè)備和備份軟件價格很低，根本不會成為用戶的經(jīng)濟負(fù)擔(dān)。如果每一臺服務(wù)器或每一個局域網(wǎng)都配置了數(shù)據(jù)備份設(shè)備，并加以合理的利用，那么無論網(wǎng)絡(luò)硬件還是軟件出了問題，都能夠輕松地恢復(fù)。
也許您目前還沒有發(fā)生過大量的災(zāi)難性數(shù)據(jù)丟失事故，但這并不意味著災(zāi)難永遠(yuǎn)不會光臨您的網(wǎng)絡(luò)系統(tǒng)。而我國網(wǎng)絡(luò)環(huán)境和各種防范設(shè)施的不健全，也使得病毒的滋生與傳播極為容易，對數(shù)據(jù)安全造成了極大的威脅。
財務(wù)數(shù)據(jù)的重要性對任何單位來說都是非常重要的，一旦數(shù)據(jù)丟失將會對單位的整個業(yè)務(wù)系統(tǒng)帶來不可估量的損失，恢復(fù)數(shù)據(jù)的難度大且代價高昂。因此，我們通過優(yōu)化存儲系統(tǒng)結(jié)構(gòu)以保障財務(wù)數(shù)據(jù)的安全，將數(shù)據(jù)丟失的風(fēng)險降到盡可能最低。具體方案如圖2所示：
筆者通過如圖2所示的數(shù)據(jù)存儲與備份系統(tǒng)解決方案，將財務(wù)數(shù)據(jù)存儲在磁盤陣列上；然后通過數(shù)據(jù)備份系統(tǒng)軟件定期定時地將財務(wù)數(shù)據(jù)上傳到備份服務(wù)器上，每個月結(jié)賬后將財務(wù)數(shù)據(jù)備份到光盤等介質(zhì)上并建立了完善的數(shù)據(jù)備份計劃和災(zāi)難恢復(fù)計劃，以確保財務(wù)數(shù)據(jù)的安全完整，保障財務(wù)系統(tǒng)的穩(wěn)定可靠運行。
據(jù)考察和了解，目前全國已有個別高校財務(wù)信息化建設(shè)采用VPN技術(shù)，其實施方案與我校財務(wù)VPN應(yīng)用方案有相似之處，這些高校大多有2～3個以上的校區(qū)，區(qū)別在于他們大多采用的是軟件VPN技術(shù)解決方案，并未采用我校實施的以三臺硬件防火墻組建的財務(wù)VPN。同時，為進(jìn)一步保障財務(wù)系統(tǒng)的高可用性，我們選用了兩臺企業(yè)級的對等服務(wù)器組建雙機熱備份系統(tǒng)，利用雙機高可用軟件通過心跳線對雙機服務(wù)器的實時動態(tài)偵測使財務(wù)系統(tǒng)在主服務(wù)器出現(xiàn)故障時能迅速從熱備份服務(wù)器接管整個系統(tǒng)服務(wù)，確保了財務(wù)系統(tǒng)的穩(wěn)定、高效和安全運行?，F(xiàn)在我校鄧關(guān)校區(qū)和營盤校區(qū)的財務(wù)系統(tǒng)都與主校區(qū)的財務(wù)系統(tǒng)共用一個財務(wù)服務(wù)器，保證了數(shù)據(jù)的同步，財務(wù)數(shù)據(jù)的安全性也得到了極大的保障。每日結(jié)賬后，先把財務(wù)服務(wù)器的數(shù)據(jù)備份到中間傳輸主機，再由中間傳輸主機定時傳送到財務(wù)發(fā)布服務(wù)器，即可實現(xiàn)財務(wù)信息查詢數(shù)據(jù)的及時更新。現(xiàn)在我校的教職工和學(xué)生不僅在每個校區(qū)均可辦理財務(wù)業(yè)務(wù)和繳納費用，而且可以非常方便地通過Internet及時查詢自身的財務(wù)報賬情況及費用繳納情況，同時通過計財處主頁可以及時發(fā)布財務(wù)新聞及財務(wù)信息等，大大提高了學(xué)校計財處的工作效率。
硬件VPN技術(shù)的應(yīng)用很好地解決了多校區(qū)辦學(xué)模式下由于地域隔離所導(dǎo)致的財務(wù)數(shù)據(jù)同步問題，并且基于硬件VPN技術(shù)建立的財務(wù)專網(wǎng)為下一步與學(xué)校其他部門的信息系統(tǒng)數(shù)據(jù)同步奠定了良好的基礎(chǔ)，也為與銀行系統(tǒng)聯(lián)網(wǎng)搭建網(wǎng)上銀行業(yè)務(wù)處理平臺提供了條件。
三、結(jié)語
高校財務(wù)信息化建設(shè)的前提是財務(wù)管理的軟、硬件系統(tǒng)的信息化和計算機信息統(tǒng)一管理，由于多校區(qū)辦學(xué)模式下的地域隔離導(dǎo)致財務(wù)信息不能數(shù)據(jù)同步、統(tǒng)一管理，而VPN技術(shù)能提供遠(yuǎn)程訪問、外部網(wǎng)和內(nèi)部網(wǎng)的安全鏈接，非常適用于對數(shù)據(jù)可靠性和安全性要求高的財務(wù)專網(wǎng)建設(shè)，特別是以硬件VPN技術(shù)組建的財務(wù)專網(wǎng)為財務(wù)管理工作實現(xiàn)計算機信息統(tǒng)一管理和維護提供了很好的網(wǎng)絡(luò)基礎(chǔ)平臺，為財務(wù)信息化建設(shè)的進(jìn)一步發(fā)展提供了強有力的技術(shù)保障。因此，基于硬件VPN技術(shù)搭建的財務(wù)專網(wǎng)方案不僅適用于多校區(qū)辦學(xué)模式下的現(xiàn)代高等學(xué)校，也適用于跨地域的公司、企業(yè)組建虛擬專用網(wǎng)絡(luò)。筆者相信，隨著VPN技術(shù)的不斷發(fā)展和軟硬件技術(shù)的進(jìn)一步革新，VPN技術(shù)的應(yīng)用前景將更加廣闊。
