SD-WAN国密化改造与加固方案

SD-WAN基于SDN软件定义网络技术，它旨在帮助用户降低广域网（WAN）或租用运营商专线的开支，并提高网络连接灵活性。通过部署SD-WAN，可以帮助企业基于互联网快速搭建一个全国甚至全球范围内的大二层广域网。SD-WAN厂商提供的技术，大多数都包含加密隧道功能，基本上以国际标准算法的IPSec VPN协议为主。但是SD-WAN厂商关注的是网络协议、即插即用、智能管控，密码技术并不擅长。

随着近两年中国密码法、等级保护2.0、信息系统关键基础设施，以及密码评测相关政策出台，企业和政府各行业对国密算法和国密应用合规性的要求越来越高，SD-WAN本身加密隧道无法满足专业化国密标准，对SD-WAN的推广应用带来挑战。

此外，目前各行各业信息安全传输使用的大多数是VPN加密隧道，如果将国密VPN网关与SD-WAN网络直接组合部署，则会面临国密IPSec隧道与SD-WAN本身的IPSec隧道冲突问题，导致无法集成应用。

基于以上现状和问题，国领科技推出了基于LineSec链路加密机的SD-WAN国密化改造与加固方案。

LineSec链路加密机是采用新一代高性能创新网络传输加密系统。产品基于国内先进的SOC网络加密芯片，在硬件层直接对网卡数据包进行采集和硬加密，实现极限实时性透明加密传输；产品抛弃传统系统架构，前端设备采用无OS系统的固态硬件架构实现，防探测、防攻击、放入侵、防篡改。

LineSec链路加密机可选择点对点部署，或多节点网状部署，异或是星型/中心汇聚式部署，适用于各种SD-WAN组网。LineSec包含部署于前端的微型链路加密机和局端数据中心的高性能链路加密机。数据中心链路加密机串接在主通路中，无需改变原有网络拓扑；支持多台集群横向扩展，需要部署配套的密钥管理系统，用于管理前后端加密设备的通信密钥。前端链路加密模块部署时也非常简单，同样是串接在终端网络上，无需分配或修改网络配置，极为方便。

LineSec链路加密机集成SD-WAN，可实现防护效果：

• 子网to子网、子网to总部之间实现高实时性、高强度链路加密

• 全透明，上层应用系统不受任何影响

• 加密协议、算法均符合国密局标准，满足密码法与等级保护要求

• 极易部署与维护

此外，LineSec链路加密机还具备以下特点

• 即插即用，链路完全透明，串接后表现为一条自动加密的“网线”，极易部署连接

• 超小网络加密延迟（≤35微秒） ，链路加密领域杀手级性能

• 支持所有二层以上网络传输协议，支持专用私有视频协议

• 采用专用安全芯片、网络芯片、主板、固件程序… 全国产自主可控

• 支持国产密码算法和安全协议，符合国产信创密码产品安全标准

• 无 OS/操作系统，程序固化于安全芯片，杜绝系统漏洞、开源攻击等安全风险

• 无 IP地址/MAC 地址，无法探测发现加密设备，杜绝黑客网络攻击入侵风险

• 硬件级密钥和数据保护

• 硬件+固化程序保障极高稳定性与可靠性，持续工作数年如一日

• 支持ByPass透传模式，在设备断电、故障或紧急情况下自动明文透传

• 支持网络包过滤，可设置仅指定协议、IP、网段或类型的数据通过

不仅如此，LineSec链路加密机可以与任何上层VPN协议共存，兼容任何上层网络加密或封装协议，包括：SSL VPN、IPSec VPN、MPLS、国密SSL/HTTPS协议等等。

针对移动安全接入应用和部署于企业内网的安全网关，需要穿透SD-WAN的CPE设备的应用场景，LineSec链路加密机仍然能够轻松应对。通过配置链路加密机的包过滤策略，可以让移动安全接入的加密流量直接透传到内网的移动安全网关，实现完美集成。

通过在SD-WAN网络节点部署LineSec链路加密机，可以实现理想的国密化改造与加固效果：

• 在数据层传输层建立透明安全隧道，上层应用系统不受任何影响
  

• 加密协议、算法均符合国密局标准，满足密码法与等级保护要求

• 可以与SD-WAN的IPSec协议或其他上层安全协议混合工作

• 兼容移动安全接入网络和应用
  

• 极易部署与维护