基于SSL VPN單點(diǎn)登錄在區域衛生信息平臺中的應用
加入技術(shù)交流群
單點(diǎn)登錄(Single Sign On，簡(jiǎn)稱(chēng)為SSO)技術(shù)就是為這樣的多種業(yè)務(wù)應用系統提供集中統一的身份認證系統，實(shí)現“一點(diǎn)登錄、多點(diǎn)漫游”的目標。
單點(diǎn)登錄是目前比較流行的企業(yè)業(yè)務(wù)整合解決方案之一。單點(diǎn)登錄是指在多個(gè)應用系統中，用戶(hù)只需要輸入一次用戶(hù)名和密碼，登錄到統一信息門(mén)戶(hù)管理層，就可以訪(fǎng)問(wèn)所有授權的業(yè)務(wù)應用系統。單點(diǎn)登錄是一種用于方便用戶(hù)訪(fǎng)問(wèn)網(wǎng)絡(luò )的技術(shù)，無(wú)論多么復雜的網(wǎng)絡(luò )結構，用戶(hù)只需在登錄時(shí)進(jìn)行一次注冊，即可獲得訪(fǎng)問(wèn)系統和應用軟件的授權，以后便可以在網(wǎng)絡(luò )中自由穿梭，不必多次輸人用戶(hù)名和口令來(lái)確定身份，為用戶(hù)提供統一的信息資源認證訪(fǎng)問(wèn)平臺，建立統一的、基于角色的和個(gè)性化的信息訪(fǎng)問(wèn)、集成平臺。單點(diǎn)登錄系統從根本上不再使用基于用戶(hù)名和密碼的身份認證機制，而是采用結合了密碼學(xué)技術(shù)的新的身份認證機制；單點(diǎn)登錄系統把原來(lái)分散的用戶(hù)管理集中了起來(lái)，各個(gè)系統之間依靠相互信賴(lài)的關(guān)系來(lái)進(jìn)行用戶(hù)身份的自動(dòng)認證。用戶(hù)的賬號信息是集中保存和管理的，管理員只需要在統一的用戶(hù)信息數據庫中添加、刪除用戶(hù)賬號，不必在多個(gè)系統中分別設置用戶(hù)信息數據庫。
2 SSL VPN技術(shù)
VPN(Virtual Private Network，虛擬專(zhuān)用網(wǎng)絡(luò ))是一門(mén)網(wǎng)絡(luò )新技術(shù)，為我們提供了一種通過(guò)公用網(wǎng)絡(luò )安全地對企業(yè)內部專(zhuān)用網(wǎng)絡(luò )進(jìn)行遠程訪(fǎng)問(wèn)的連接方式，它可以幫助遠程用戶(hù)、公司分支機構、商業(yè)伙伴及供應商同公司的內部網(wǎng)建立可信的安全連接，并保證數據的安全傳輸。IPSec(Security)VPN與SSL(Secure Socket Layer，安全套接層協(xié)議)VPN是目前VPN領(lǐng)域流行的兩類(lèi)Intemet遠程安全接入技術(shù)，從整體的安全等級來(lái)看，兩者具有類(lèi)似的功能特性，但也存在很大不同。
IPSec VPN工作在網(wǎng)絡(luò )層，提供所有在網(wǎng)絡(luò )層上的數據保護和透明的安全通信；IPSec VPN技術(shù)設計用于連接和保護在信任網(wǎng)絡(luò )中的數據流，因此，更適合為不同的網(wǎng)絡(luò )提供通信安全保障；部署IPSec VPN需要在客戶(hù)端安裝復雜的軟件，以便遠程訪(fǎng)問(wèn)；當用戶(hù)的VPN策略稍微有所改變時(shí)，VPN的管理難度將呈幾何級數增長(cháng)。而SSLVPN工作在應用層(基于HTFP協(xié)議)和TCP層之間，提供SSL鏈路上的數據完整性和SSL鏈路上的數據保密性；SSL VPN技術(shù)更適合應用于遠程分散移動(dòng)用戶(hù)的安全接入。相對于IPSec VPN而言，部署SSL VPN方便，不需要安裝客戶(hù)端程序。目前對SSL VPN公認的四大優(yōu)點(diǎn)是：1)簡(jiǎn)單性：它不需要配置，可以立即安裝，立即生效；2)安裝簡(jiǎn)單：客戶(hù)端不需要安裝專(zhuān)用程序，直接利用瀏覽器中內嵌的SSL協(xié)議即可；3)兼容性好：傳統的IPSecVPN對客戶(hù)端采用的操作系統版本具有很高的要求，不同的終端操作系統需要不同的客戶(hù)端軟件，而SSL VPN則完全沒(méi)有這樣的麻煩。4)容易維護：只維護網(wǎng)關(guān)就可以；5)安全性高，對內部服務(wù)器和客戶(hù)端實(shí)施了隔離，只留下Web瀏覽接口。
3 基于SSL VPN單點(diǎn)登錄技術(shù)在區域衛生信息平臺的部署
基于SSL VPN單點(diǎn)登錄技術(shù)是將單點(diǎn)登錄技術(shù)與SSL VPN技術(shù)相結合，將用戶(hù)身份信息同時(shí)提供給SSL VPN接入系統，通過(guò)配置，SSL VPN接入設備指向單點(diǎn)登錄的用戶(hù)數據庫，直接從中獲取用戶(hù)的身份信息，獲得認證通過(guò)。在VPN上無(wú)需再重復建立一套用戶(hù)數據庫，系統管理員只需維護單點(diǎn)登錄上的用戶(hù)數據庫，即可實(shí)現外網(wǎng)接入的統一用戶(hù)管理和統一身份認證。
我們在開(kāi)發(fā)湖南省岳陽(yáng)市區域衛生信息平臺的實(shí)踐中，將信息平臺內各個(gè)業(yè)務(wù)應用系統服務(wù)器組建成一個(gè)局域網(wǎng)，而把衛生局行政管理人員、醫療機構的醫生與醫輔管理人員、居民個(gè)人等所有用戶(hù)都作為該局域網(wǎng)的外網(wǎng)用戶(hù)，采用一臺深信服SSL VPN設備進(jìn)行區域平臺系統用戶(hù)的單點(diǎn)登錄與統一身份認證，實(shí)現外網(wǎng)用戶(hù)登錄一次后就可訪(fǎng)問(wèn)該平臺上所有授權訪(fǎng)問(wèn)的各個(gè)業(yè)務(wù)系統；同時(shí)也為外網(wǎng)用戶(hù)提供安全的接入機制。區域衛生信息平臺硬件系統拓撲結構如圖2所示。本文引用地址：http://dyxdggzs.com/article/155291.htm
通過(guò)開(kāi)發(fā)區域衛生信息平臺的實(shí)踐，基于SSL VPN單點(diǎn)登錄技術(shù)具有如下特點(diǎn)：
(1)SSL VPN無(wú)需客戶(hù)端程序，安裝部署使用方便；
(2)SSL VPN不會(huì )受到安裝在客戶(hù)端與服務(wù)器之間的防火墻的影響；
(3)SSL VPN可以在任何地點(diǎn)，利用任何設備，連接到相應的網(wǎng)絡(luò )資源上，具備優(yōu)異的擴展能力；
(4)SSL VPN是基于應用層面的VPN，更容易提供細粒度遠程訪(fǎng)問(wèn)，支持更多的身份認證方式，如USBKey，動(dòng)態(tài)口令牌等。
(5)管理員只需維護一套用戶(hù)數據庫，管理外網(wǎng)訪(fǎng)問(wèn)用戶(hù)的賬號和密碼。
4 結語(yǔ)
我們設計的基于SSL VPN單點(diǎn)登錄系統不但可以提供一個(gè)統一身份認證、統一用戶(hù)管理、統一授權管理、統一資源管理和單點(diǎn)登錄平臺，而且具有安裝、部署、使用、維護均十分方便的特點(diǎn)，目前己廣泛應用于整合多業(yè)務(wù)應用系統的大平臺之中。
評論