分布式复杂网络统一管控

​

场景实例

​

现状描述

1. 碎片化企业网络

某大型互联网企业近两万员工，设有国内总部、国内分公司和海外分公司。 内部业务资源部署在数据中心 A 和数据中心 B，对外业务部署在公有云 A 和公有云 B。 数据中心与公有云之间、数据中心之间均用专线互联。

2. 总部员工接入

总部办公区与两个数据中心用专线互联，办公区员工通过专线访问数据中心业务资源。 总部办公区划分多个安全域，正式员工根据接入方式和部门归属接入不同安全域。外包员工归属单独安全域，设置独立安全策略。

3. 渠道合作伙伴接入

渠道合作伙伴办公区通过 IPSec VPN 接入数据中心访问业务资源。

4. 分公司办公区接入

国内分公司办公区员工通过专线访问数据中心 A 上的业务资源。 海外分公司办公区通过 SSL VPN 接入总部办公区，经总部 VPN 跳转访问数据中心业务资源。

5. 移动办公接入

移动办公人员通过 SSL VPN 接入总部办公区 VPN 专区，跳转访问数据中心资源。

6. 统一身份认证和管理

总部办公区部署 AD 域，对全公司正式员工帐号统一认证和管理。部署单点登录系统（SSO），所有员工访问应用服务时通过 SSO 授权和应用登录。

​

网络拓扑

​

需求分析

1. 减少专线带宽成本

总部和国内分公司通过专线接入数据中心，所有员工 VPN 接入时先到总部 VPN 网关再跳转数据中心，导致接入总部的专线带宽耗用高。

2. 提高终端用户体验

• 居家办公、移动办公、渠道合作伙伴远程接入通过 SSL VPN 先到总部再跳转数据中心，存在访问延时和单点失效风险。
• 海外员工经总部 VPN 跳转访问国内数据中心业务，跨境链路延时导致响应时间长。
• 内部业务系统多，员工需记住大量帐号密码，需用 SSO 统一登录。
• 渠道合作伙伴仅访问少量业务资源，但 VPN 接入即进入整个内网，引入额外安全风险。

3. 提高安全管控效率

数据中心、公有云、总部和分支的异构组网使物理网络结构复杂。内外用户数量多、角色多，业务资源变化快，授权和访问控制策略管理复杂，需业务、安全和网络部门协作。 每个员工通常有办公 PC 和手机两个终端，有时涉及自用 PC 远程访问。需对全网终端集中管控、盘点安全状况、授权管控。

4. 业务访问行为监控

公司员工多且分散、人员流动性大。需对每个员工的业务访问行为审计，尤其是核心敏感业务系统的访问行为，实时监测异常访问或恶意访问行为，自动告警和处置。所有安全事件需追溯到具体的人和终端。

​

部署拓扑

​

部署方案

1. TMC 部署

• 在总部服务器区部署两台 TMC，互为热备，配置内网 IP，禁止外部网络访问。
• 在 TMC 上配置 AD 身份源，定时同步 AD 组织架构和帐号。为渠道合作伙伴配置独立身份。
• 在 TMC 配置业务资源单点登录接口，与公司已建 SSO 对接。

2. TMD 部署

在总部服务器区部署 TMD，配置内网 IP，禁止外部网络访问。TMD 上级 DNS 查询指向公司内网 DNS。

3. TMI 部署

在总部服务器区部署 TMI，配置内网 IP，禁止外部网络访问。

4. TMG 部署

• 在总部服务器区、公有云、数据中心分别部署两台 TMG，每台 TMG 代理所在区域的所有业务资源。
• 在公有云 A 上申请具备跨境加速能力的虚拟机，单独部署一台 TMG。在 TMC 上配置策略，所有海外员工终端访问国内业务资源时，下一跳指向该跨境加速 TMG。

5. TME 部署

在数据中心 A 部署一台 TME，代理渠道合作伙伴需访问的业务资源。

6. TMA 部署

所有公司员工办公终端安装 TMA。

​

实现效果

1. 简化复杂分布式网络，降低运维管理成本

• TM 云网将复杂分布式网络简化为点对点全互联虚拟网络，管理员无需考虑中间物理网络复杂性，可基于 AD 同步的帐号和组织架构进行业务访问授权。
• 授权策略基于组织架构、角色、终端类型等因素，管理员无需关注人员日常变动。AD 帐号变化时，员工全网访问控制策略自动计算和同步。
• 管理员可在 TMC 上配置业务管理员帐号，下放业务发布和访问策略编排权限。业务部门员工在设定范围内自行发布业务资源、配置授权策略。

2. 减少带宽成本

• 远程办公员工、海外分公司员工无需经公司总部 VPN 跳转后访问数据中心业务，减少总部出口带宽耗用。
• 国内分公司员工、渠道合作伙伴无需使用专线和 VPN 接入数据中心资源。

3. 互联网暴露面收敛，降低安全风险

所有内部业务资源不对互联网暴露，也不对内网办公区暴露。仅 TMG 网关对外开放一个 UDP 端口，该端口只接收通过身份验证的数据包。

4. 提升员工业务访问体验

• 不同终端用户以不同方式接入：
  • 海外员工用 TMA 访问国内业务资源，流量先经跨境加速节点；
  • 渠道合作伙伴无需安装 TMA，用浏览器访问 TME 统一门户，经多因素认证后访问有限开放的业务资源；
  • 公司员工使用 TMA 访问业务资源，无论在总部、分公司、差旅还是居家，打开 TMA 认证授权后即可访问，不受物理位置和业务部署位置限制。
• 每个业务资源由两台或多台 TMG 代理，终端发起访问时 TMA 根据链路状况选择最优路径传输数据。
• 与公司 SSO 系统打通，员工在 TMA 上认证授权登录后即可访问所有授权业务资源，无需每访问一个业务资源认证一次。

5. 业务访问行为审计与异常检测告警处置

• TM 实时采集全网每个终端的系统环境数据和业务访问流量，所有数据打上身份标签。安全事件发生时，基于身份化历史数据追溯到具体用户和终端。
• 管理员集中管理全网终端，可随时查询终端信息。例如：通过进程 HASH 值查询全网运行过同一进程的终端数量，或通过补丁编号查询已打/未打补丁的终端。
• 管理员可对含敏感数据的业务资源强制启用 TMA 自带安全浏览器，开启页面水印、禁止下载等限制策略，跟踪监控每个用户的敏感数据访问行为。
• TM 用 AI 基于身份化的终端和网络行为数据建立用户行为模型，生成行为基线。管理员可设置策略：用户行为偏离基线时强制二次验证，或直接禁用帐号或终端。