西安銀行Aruba安全移動解決方案

CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved屈植工程師神州數(shù)碼（中國）有限公司186-2966-1389quzhi@西安銀行Aruba安全移動解決方案ArubaNetworks介紹總部美國硅谷成立日期

February,2002IPODate:March27,2007NASDAQSymbol:ARUN客戶群：全球17000+員工：超過2000人市場定位：企業(yè)安全移動網(wǎng)絡(luò)解決方案最新Gartner評測報告UNIFIEDWIRED+WIRELESSENTERPRISEWLANSMALLORREMOTEOFFICEGUESTACCESSHIGHDENSITYVENUE1.CISCO3.862.ARUBA3.823.HP3.654.EXTR3.565.HIVE3.536.JNPR3.521.ARUBA4.031.ARUBA4.261.ARUBA4.271.ARUBA3.934.CISCO3.813.CISCO3.662.CISCO3.853.CISCO3.592.HIVE3.845.HP3.264.EXTR3.295.AVAYA3.265.HIVE3.563.HP3.664.EXTR3.596.AVAYA3.492.HIVE3.814.EXTR3.355.AVAYA3.315.HP3.312.XIRRUS3.913.HIVE3.895.EXTR3.566.AVAYA3.52Source:Gartner(August2014)需求分析CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved西安銀行是由西安市財政局、加拿大豐業(yè)銀行、中國信達資產(chǎn)管理股份有限公司、國內(nèi)大中型企業(yè)以及社會自然人投資參股的區(qū)域性股份制商業(yè)銀行，成立于1997年，注冊資本30億元，控股2家村鎮(zhèn)銀行，下轄榆林分行、寶雞分行、總行營業(yè)部、10家區(qū)域支行、11家直屬支行，共117個營業(yè)網(wǎng)點，59家自助銀行，現(xiàn)有員工2300余人。2012年11月，位于西安高新技術(shù)產(chǎn)業(yè)開發(fā)區(qū)的西安銀行總行新辦公大樓正式啟用，標志著西安銀行邁上了一個更高更新的發(fā)展平臺。（一）西安銀行介紹CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved近年來移動終端的快速普及，通過無線方式工作、娛樂、獲取信息也慢慢成為人們的習(xí)慣，伴隨著移動互聯(lián)網(wǎng)的發(fā)展，西安銀行計劃在營業(yè)大廳向公眾開放免費無線上網(wǎng)服務(wù)，提升客戶的服務(wù)體驗，同時將免費無線網(wǎng)絡(luò)服務(wù)和現(xiàn)有銀行業(yè)務(wù)相結(jié)合，通過科技促進業(yè)務(wù)發(fā)展，具體需求如下：1、以每個地市分行為中心，在分支行業(yè)務(wù)大廳高密度環(huán)境下，構(gòu)建一張高速、穩(wěn)定的無線網(wǎng)，可以良好地承載所有客戶移動終端的互聯(lián)網(wǎng)訪問，并且讓用戶有良好的上網(wǎng)體驗。2、對業(yè)務(wù)大廳內(nèi)所有的無線上網(wǎng)訪問請求，要做到簡單便捷：用戶可以使用微信掃描二維碼的方式快速關(guān)注西安銀行微信公眾號，并且可以進行互聯(lián)網(wǎng)的訪問，此過程必須是非常簡單和快速的。3、也要做到可管、可控、可溯源，具體包括：身份認證、網(wǎng)速控制、應(yīng)用控制等等，并能保存所有用戶的上網(wǎng)訪問記錄，做到隨時可查可溯源。在用戶接入到無線網(wǎng)絡(luò)中之后，必須能夠?qū)τ脩舻男袨檫M行監(jiān)控，并且可以溯源；例如當(dāng)用戶A使用西安銀行的無線網(wǎng)絡(luò)，用戶使用的什么類型的設(shè)備什么類型的應(yīng)用，并且訪問的哪些目的地都可以實時查看，并且如果在互聯(lián)網(wǎng)上發(fā)表、或做出一些違法的事情之后；當(dāng)有關(guān)部門向西安銀行提出需要此用戶的一些信息后，Aruba可以和西安銀行一起來配合有關(guān)部門提供此用戶的微信號等信息用于有關(guān)部門的工作。(二)需求描述CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved4、無線上網(wǎng)服務(wù)與業(yè)務(wù)宣傳相結(jié)合，上網(wǎng)用戶通過關(guān)注西安銀行微信公眾號一鍵上網(wǎng)，為西安銀行主營業(yè)務(wù)提供微信推送宣傳的渠道：現(xiàn)今，使用社交APP的用戶越來越多；作為最大的也是使用最頻繁的微信APP，已經(jīng)成為用戶移動終端中打開頻率最高，使用頻率最高的APP。除了可以在朋友之間進行語音、文字、圖片等方式交流以外;微信支付、微信公眾號等應(yīng)用也成為大家在閑暇時間中使用頻率非常高的部分。而使用微信掃描二維碼，關(guān)注商家的公眾號也成為時下最流行和反饋比較好的業(yè)務(wù)推廣方式；西安銀行，也希望廣大的用戶可以使用微信掃描二維碼的方式來關(guān)注西安銀行的微信公眾號，這樣可以將銀行的最新廣告、等消息直接通過微信的方式推送給用戶。通過Aruba和西安銀行深度的多次交流及測試之后，Aruba提出在支行使用無線覆蓋、而用戶使用微信掃描二維碼關(guān)注西安銀行公眾號的方式進行“一鍵上網(wǎng)”；這樣，不僅用戶關(guān)注了西安銀行的公眾號并且還能夠使用無線網(wǎng)絡(luò)進行安全的上網(wǎng)，而且還滿足了西安銀行屆時的無線需求和建設(shè)目標。5、各個地市的分行需要獨立靈活定制給本地市關(guān)注公眾號的用戶的推送信息內(nèi)容。(二)需求描述CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved6、充分考慮無線網(wǎng)絡(luò)安全，包括對人體安全低輻射、對非法無線接入點進行壓制、對網(wǎng)銀支付進行保護、無線入侵防護、基于用戶角色的策略控制（時間、終端、應(yīng)用）。當(dāng)用戶將例如筆記本等終端接入西安銀行互聯(lián)網(wǎng)再使用便捷式的熱點設(shè)備啟用無線SSID，來進行無線欺騙和攻擊時；無線網(wǎng)絡(luò)系統(tǒng)必須可以檢測到此非法AP，并且進行抑制使得正常用戶不會連接到非法的無線設(shè)備上，以免個人財產(chǎn)受到危害。7、區(qū)分營業(yè)廳內(nèi)演示設(shè)備和客戶兩個角色，不同的角色得到的帶寬、Qos（服務(wù)質(zhì)量）都是不一樣的；在支行的指定演示區(qū)，工作人員可以使用iPad等平板電腦接入互聯(lián)網(wǎng)為客戶演示某些業(yè)務(wù)的操作流程，屆時首先需要保證這些設(shè)備的無線接入的帶寬、Qos（服務(wù)質(zhì)量）、安全都務(wù)必優(yōu)先保證。8、網(wǎng)絡(luò)易于管理和排錯。(二)需求描述CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba安全移動解決方案CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved西安銀行微信認證無線安全解決方案-拓撲CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba決定在西安銀行的每一個地市分行機房使用1臺Aruba7010無線控制器（配置AP管理許可、防火墻許可和無線入侵防護許可）；1套統(tǒng)一認證平臺ClearPass，1套統(tǒng)一網(wǎng)管系統(tǒng)AirWave，在每一個支行營業(yè)網(wǎng)點使用2臺無線AP-205。Aruba7010控制器用于管理無線AP（最大可管理32臺AP）;Clearpass統(tǒng)一策略管理及微信用戶統(tǒng)一認證平臺,用于和西安銀行的微信服務(wù)器做聯(lián)動做認證和策略管理；Airwave統(tǒng)一管理系統(tǒng)用于管理所有Aruba的設(shè)備及大部分的有線設(shè)備及排錯；無線AP（型號：AP-205）用于在支行營業(yè)網(wǎng)點進行無線覆蓋，提供終端無線接入。西安銀行微信認證安全移動解決方案-拓撲描述CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba搭建的無線網(wǎng)絡(luò)，可以讓用戶使用微信掃描二維碼關(guān)注西安銀行公眾號的方式進行互聯(lián)網(wǎng)訪問Aruba使用AC內(nèi)置的基于角色的防火墻模塊和Aruba的ClearPass做聯(lián)動來解決關(guān)于行內(nèi)固定用于業(yè)務(wù)演示的無線終端和普通用戶的角色權(quán)限區(qū)分Aruba使用AC內(nèi)置的基于角色的帶寬限制、Qos保證等技術(shù)來解決用戶的不同帶寬、安全和Qos保證Aruba使用AC內(nèi)置的RFP（射頻保護分析）模塊，來對用戶用于上網(wǎng)的終端類型、應(yīng)用類型、及訪問的目的地實行監(jiān)控及控制；來保證用戶的合法訪問。Aruba使用AC內(nèi)置的RFP（射頻保護分析）模塊，來對非法的AP及熱點進行監(jiān)控和抑制；來保證用戶的安全訪問。Aruba的ClearPass和西安銀行的微信服務(wù)器進行聯(lián)動，來保證所有的上網(wǎng)用戶都可以溯源。用戶在關(guān)注微信公眾號之后，只需要點擊公眾號中的“我要上網(wǎng)”及頁面中彈出的“一鍵上網(wǎng)”便直接可以進行互聯(lián)網(wǎng)訪問，這樣解決了用戶快速上網(wǎng)的需要。Aruba使用AirWave統(tǒng)一管理系統(tǒng)來對分行的所有無線及大部分有線設(shè)備進行網(wǎng)絡(luò)管理，利于維護人員的管理和排錯。西安銀行微信認證安全移動解決方案-需求解決CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved微信認證流程詳解CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved當(dāng)用戶進入西安銀行XX地市分行的營業(yè)網(wǎng)點，在營業(yè)網(wǎng)點的顯著位置張貼有微信認證的操作流程以及西安銀行公眾號的二維碼和需要連接的SSID名稱（以下SSID暫定為aruba-ap）用戶打開移動終端的無線開關(guān)，關(guān)聯(lián)無線SSID“aruba-ap”后。即刻在Aruba的無線控制上，會分發(fā)給此用戶一個角色；而此角色的訪問權(quán)限則只允許手機終端使用微信APP；第一步：西安銀行微信認證無線安全解決方案微信認證流程CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved此時連接到無線的移動終端，無論在訪問任何目標地址或鏈接時，都只能跳轉(zhuǎn)到一個固定頁面（根據(jù)每個地市分行的情況而自定義）；這里由于測試，所以跳轉(zhuǎn)到了默認頁面第二步：西安銀行微信認證無線安全解決方案微信認證流程CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved當(dāng)用戶掃描西安銀行二維碼且對其進行關(guān)注后，可以點擊選項“我要上網(wǎng)”（這里測試時,是點擊aruba選項）原理：當(dāng)用戶點擊aruba選項之后，微信服務(wù)器會將此用戶的OPENID(唯一)作為用戶名以及一個密碼使用xml的方式通過互聯(lián)網(wǎng)寫入到該地市機房的Aruba

ClearPass的本地數(shù)據(jù)庫當(dāng)中第三步：西安銀行微信認證無線安全解決方案微信認證流程CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved用戶點擊“aruba”之后，會跳轉(zhuǎn)到一個頁面上，這個頁面上會有“一鍵上網(wǎng)”選項（這里測試，使用的是輸入手機號；生產(chǎn)環(huán)境中不需要輸入任何東西）第四步：西安銀行微信認證無線安全解決方案微信認證流程CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved當(dāng)用戶點擊了“一鍵上網(wǎng)”之后，認證成功將出現(xiàn)此頁面原理：當(dāng)用戶點擊后，微信服務(wù)器會在此頁面上同時嵌入此用戶的用戶名（OPENID）和密碼，屆時用戶會將此上網(wǎng)請求發(fā)送給AC，而AC會拿著此用戶名和密碼去發(fā)送到ClearPass做認證，而之前ClearPass已經(jīng)將此用戶名和密碼寫入到本地數(shù)據(jù)庫，所以認證成功第五步：西安銀行微信認證無線安全解決方案微信認證流程CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved認證成功后，客戶可以正常打開百度等頁面頁面第六步：西安銀行微信認證無線安全解決方案微信認證流程CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba優(yōu)勢CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved高密度環(huán)境下穩(wěn)定、高速、低干擾所有互聯(lián)網(wǎng)訪問可溯源統(tǒng)一認證平臺支持接口二次開發(fā)和對接完善的安全保障策略關(guān)鍵業(yè)務(wù)性能優(yōu)先保證微信認證簡單快捷易管理易排錯優(yōu)勢概括CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba無線安全移動方案優(yōu)勢–基于角色的防火墻CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved任意對用戶進行分組不同組或用戶設(shè)定不同L2-L7策略控制不同用戶設(shè)定不同的上下行帶寬分配不同用戶設(shè)定的不同QOS級別INTERNET接入服務(wù)用戶VOIP/Video/POS

服務(wù)，QOS保證語音/視頻/移動POS固定設(shè)備用戶工作人員工作人員策略控制，QOS管理層

策略控制，QOS

策略控制，QOSAruba的Firewall可以檢測到ICMP,TCPSync,IPSession,IPSpoofing,RSTRelay,ARP等多種潛在網(wǎng)絡(luò)攻擊,并自動將攻擊者放入黑名單,斷開無線連接

Aruba無線安全移動方案優(yōu)勢–通過PCI標準CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved發(fā)現(xiàn)全面支持2.4GHz、5GHz及4.9GHz全頻段掃描識別綜合有線側(cè)與無線側(cè)數(shù)據(jù)報文，精確識別非授權(quán)無線設(shè)備和錯誤連接壓制采用Tarpit專利技術(shù)，性能損耗低、壓制效果好告警通過郵件向管理員實時發(fā)送WIDS告警事件Aruba無線安全移動方案優(yōu)勢–非法AP和熱點的監(jiān)控及抑制CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAlert/AuditContainClassifyDiscoverAruba無線安全移動方案優(yōu)勢–無線射頻保護CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved選擇方式：應(yīng)用程序應(yīng)用程序類別Web類別Web信譽角色地址應(yīng)用策略（阻止、

限制、優(yōu)先）消除配置的復(fù)雜性Aruba無線安全移動方案優(yōu)勢–高密度部署環(huán)境CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba統(tǒng)一網(wǎng)管系統(tǒng)AirwaveCONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved統(tǒng)一管理缺少對用戶網(wǎng)絡(luò)問題端到端的監(jiān)控能力過多分散、非集成的工具傳統(tǒng)的網(wǎng)絡(luò)管理系統(tǒng)在設(shè)計時并未考慮到移動用戶客戶端問題用戶網(wǎng)絡(luò)問題重點關(guān)注服務(wù)質(zhì)量和操作效率對企業(yè)有線和無線網(wǎng)設(shè)備進行統(tǒng)一管理29以圖形化的方式實現(xiàn)配置管理、性能管理、故障管理和安全管理等功能滿足企業(yè)無線網(wǎng)發(fā)展的客觀規(guī)律，提供多廠商無線網(wǎng)絡(luò)的統(tǒng)一管理支持Aruba、Cisco、HP等多廠商有線設(shè)備的統(tǒng)一管理統(tǒng)一的管理歷史報告提供豐富的企業(yè)無線網(wǎng)歷史信息統(tǒng)計報表，為網(wǎng)管人員進行網(wǎng)絡(luò)優(yōu)化提供堅實可靠的決策依據(jù)支持手動和自動方式，通過Email發(fā)送到網(wǎng)管人員指定的信箱統(tǒng)一客戶管理31保存網(wǎng)絡(luò)接入用戶的歷史聯(lián)網(wǎng)記錄，包括漫游記錄、信號強度記錄和帶寬使用記錄，可以幫助網(wǎng)管人員更好地了解用戶對網(wǎng)絡(luò)的使用特點提供深層次的故障診斷能力，包括專家建議，降低網(wǎng)絡(luò)維護成本端到端的排錯詳細的客戶上網(wǎng)統(tǒng)計表CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedARUBA金融領(lǐng)域案例CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.AllrightsreservedAruba金融行業(yè)案例-部分客戶CONFIDENTIAL?Copyright2014.ArubaNetworks,Inc.Allrightsreserved中國農(nóng)業(yè)銀行InsertLogo統(tǒng)一接入網(wǎng)絡(luò)實現(xiàn)了員工、合作伙伴以及外來訪客的統(tǒng)一策略管理實現(xiàn)了Internet和辦公網(wǎng)物理隔離和統(tǒng)一認證及接入Aruba目前是中國農(nóng)業(yè)銀行唯一總部入圍的無線產(chǎn)品如何對有線和無線網(wǎng)絡(luò)接入進行統(tǒng)一管理，在保證網(wǎng)絡(luò)安全性前提下滿足無縫的移動性要求？在總行，總行軟開，北京分行和河北分行部署ArubaWLAN通過ArubaAirWave進行全網(wǎng)的集中管理與Symantec的統(tǒng)一準入系統(tǒng)協(xié)同工作面臨挑戰(zhàn)實際效果解決方案實現(xiàn)了端到端的安全性以最低的管理開銷實現(xiàn)最快速的網(wǎng)絡(luò)部署充分利用低成本的商業(yè)DSL線路實現(xiàn)了端到端的安全性以最低的管理開銷實現(xiàn)最快速的網(wǎng)絡(luò)部署充分利用低成本的商業(yè)DSL線路交通銀行審計團隊需要一個能夠快速搭建的安全組網(wǎng)解決方案ArubaVBN提供全透明的本地轉(zhuǎn)發(fā)、VPN接入和話音傳輸服務(wù)—不需要本地IT技術(shù)支持面臨挑戰(zhàn)實際效果解決方案在分支機構(gòu)快速部署安全接入網(wǎng)絡(luò)

實現(xiàn)了端到端的證書級安全性所有無線流量匯總至總行數(shù)據(jù)中心充分利用原有的2M接入線路北京銀行如何安全有效的管理分行的iPAD——大客戶經(jīng)理理財系統(tǒng)Aruba提供基于證書認證的無線網(wǎng)絡(luò)服務(wù)—證書由ArubaAC完成認證，不需要本地證書服務(wù)器和相應(yīng)的IT技術(shù)支持面臨挑戰(zhàn)實際效果解決方案基于證書認證的安全接入網(wǎng)絡(luò)

國內(nèi)其他金融的應(yīng)用主要應(yīng)用在用在辦公環(huán)境中OA網(wǎng)絡(luò)的安全連接主要應(yīng)用在辦公環(huán)境中OA網(wǎng)絡(luò)的安全連接主要看中VBN解決方案可以通過低價長途專線實現(xiàn)分支和總部的互聯(lián)檔案室應(yīng)用，主要提供PDA的實時回傳ATBFinancialInsertLogoInsertPic統(tǒng)一接入網(wǎng)絡(luò)節(jié)約了超過50%的交換機采購、部署以及相關(guān)的綜合布線成本實現(xiàn)了員工、合作伙伴以及外來訪客的統(tǒng)一策略管理如何對有線和無線網(wǎng)絡(luò)接入進行統(tǒng)一管理，在保證網(wǎng)絡(luò)安全性前提下滿足無縫的移動性要求？在50個分支機構(gòu)部署ArubaWLAN，同時對ArubaS3500進行試用通過ArubaAirWave進行全網(wǎng)的集中管理面臨挑戰(zhàn)實際效果解決方案實現(xiàn)了端到端的安全性以最低的管理開銷實現(xiàn)最快速的網(wǎng)絡(luò)部署充分利用低成本的商業(yè)DSL線路FederalDepositInsuranceCorporation審計團隊需要一個能夠快速搭建的安全組網(wǎng)解決方案ArubaVBN提供全透明的本地轉(zhuǎn)發(fā)、VPN接入和話音傳輸服務(wù)—不需要本地IT