应用VPN技术建设镇江市文献资源共享联合体

2011-08-15俞鹏

镇江高专学报 2011年4期

俞鹏

（镇江市图书馆办公室，江苏镇江 212001）

0 引言

由镇江市图书馆学会牵头，镇江市图书馆、江苏大学图书馆、江苏科技大学图书馆、镇江高等专科学校图书馆、镇江市丹徒区图书馆组成的镇江市文献资源共享联合体属于合作共建型信息资源共享模式［1］，并通过基于ASP平台的外挂系统推出了“图书通借通还和网上预约借书服务”，市民持图书通用证可在5个图书馆借阅图书，就近归还。随着文献资源共享联合体建设的深入、成员数量的增加，资源共享结构越来越复杂，如何在安全可靠的环境下实现文献资源的高度集约、交叉互补、共建共享，以适应社会的发展，展现图书馆在公共文化服务体系构建中的核心作用，成为首要难题。VPN技术可以帮助解决关键技术问题——不同地域、不同网际的不同个体在保证安全的基础上对不同资源进行有效访问。

1 目前文献资源共享联合体存在的问题

1）网络环境的安全问题。目前，大多数文献资源共享联合体利用ASP、PHP等作为运行平台。ASP具有灵活性和扩展性，可以连接不同网络、设备，用户可以快速实现各种应用服务，通过资源的迅速整合，可以在较短时间内为用户解决难题，实现规模效益。但ASP平台是个开放式平台，要保证该平台上数据的安全可靠非常困难。

2）海量数据的运作效率。随着成员单位数量的增加，成员单位馆藏量的积累，共享资源领域的拓展，文献资源共享联合体所要提供的服务数据量必将呈几何级增长，资源存储形式必然向多样化发展，如Oracle、SQL、Access等数据形式，CAJ、NH、KDH和PDF等格式文件。在此，必须为这些信息建立一条传输快、运行稳、保密性强的专用通道。

3）跨运营商网络互联问题。对于文献资源共享联合体而言，跨运营商网络互联不可避免。成员单位上网方式不同，如电信、网通、移动等，会影响用户之间的资源传输效率。同样，随着用户数量的增加和上网方式的多样化，其直接访问文献资源共享联合体资源的速度也不会太理想。

建设统一的并具有通信安全、传输快捷、智能选路等功能的文献情报网络平台很有必要［2］。

2 基于VPN技术的文献资源共享联合体平台

在现实使用中，VPN按组成方式分为纯软件、纯硬件和软硬件相辅3种［3］。1）纯软件平台VPN。数据传输效率低，安全性能要求不高的系统可以考虑。2）纯硬件平台VPN。具有良好的传输效率和拓展性，可以很好地满足不同用户对数据安全级别和传输效率的要求。3）软硬件相辅平台VPN。通过硬件构建网络、软件完善功能的方式来构建平台。从安全性、便捷性、高效性、扩充性等多方面考虑，采用软硬件相辅平台VPN具有一定的优势，可以节约维护和管理成本，提升平台的兼容性，提高可拓展面。

2.1 平台基本要求

支撑文献资源共享联合体运作的平台是一种依托远程网络连接，要能对受访信息和资源加以监管，保证局域网内部用户与局域网内部资源自由连接，各成员单位资源的互通及其在外网和内网传输过程的安全。由此，VPN平台必须具备6方面［3］功能：1）注册管理。能够验证用户身份并加以控制，用户获取权限后才能访问VPN平台上的资源。还必须对日志进行详细记录。2）集群用户管理。为群体用户分配专用地址，并确保地址的安全性。3）数据加密［4］。资源在通过外部网络传输时必须加密，确保资源必须通过私有密钥才能解析。4）密钥监管。密钥分公共密钥和私有密钥2种。公共密钥由VPN平台自主生成并更新。私有密钥是非公开的，授权用户才能拥有，而且各用户之间不尽相同。5）支持多协议。要保证平台的灵活性和拓展性就必须支持常规Internet协议，如IPX、TCP/IP等。同时，以第二层隧道协议如PPTP、L2TP等为基础，在满足上述所有功能的同时，能利用Internet的普及性优势。6）跨运营商管理。具备多种网络智能选取功能，文献资源共享联合体仅需向各网络运营商申请一条普通线路，如LAN、家庭光纤，就可以实现不同网络运营商成员单位数据的高速传输、用户的高速访问。

2.2 实现过程

1）创建VPN安全通道［5］。通过VPN硬件建立专有的VPN通信“信道”，再通过访问控制、认证技术和加密技术等手段保证私有数据传输环境的安全性、私密性，达到公用网络私用化［4］。SSL VPN和IPSec VPN都采用对称和非对称（非对称加密过程不可逆）的加密算法进行数据加密，其私有通道是点对点的，通过减少通信端口数降低了受外部入侵的可能性，且有效阻止了客户端病毒的感染，提高了安全性［6］。所以，可以选用SSL VPN或IPSec VPN网关来建立VPN安全通道。2）用户验证。客户端将身份验证请求发给远端的身份认证服务器。这一过程通过专用独立的安全验证方式，避免数据无权方获取或虚假用户的伪装欺骗。3）用户操作。用户身份被确认后，身份认证服务器将用户的操作请求通过VPN专用通道转发给数据集成服务器进行资源组织。若具体资源在成员单位服务器上，则通过VPN专用通道向成员单位服务器提出数据传输请求。4）数据传输阶段。当数据集成服务器提出数据传输请求时，成员单位服务器将数据通过VPN专用通道反馈给数据集成服务器。5）资源回复。将组织好的资源通过VPN专用通道回复给用户。6）数据更新。数据集成服务器与成员单位资源服务器间进行定期常用数据更新。

2.3 实际应用

由身份认证服务器、VPN硬件设备、资源集成服务器、成员单位资源集等4个部分组成VPN平台［3］，详见图1。1）身份认证系统安装在一台独立服务器上，称为身份认证服务器，主要功能是验证用户身份、管理用户权限、控制流量、记录日志等，并通过VPN的智能选路功能为不同运营商用户提供不同链接，保证用户的使用速度。2）VPN平台主要由网络硬件和软件等构成，主要功能是建立一条介于服务器与远程终端之间的专属通道，完成对数据流的加密和解密，并对访问进行全方位监控。3）资源集成服务器主要是保存一部分常用数据资源，并对成员单位的资源提供索引，定期利用VPN专用通道获取成员单位资源更新情况。4）成员单位服务器是所有成员的资源集合，并通过VPN智能选路与资源集成服务器进行数据传递。

用户以Web方式向身份认证服务器提出身份验证，验证成功后提交证书申请，获取数字证书。之后，通过VPN硬件设备建立VPN专用通道，普通用户可查阅开放性资源，如书目数据、常用数据库等；注册用户可查阅私人信息和专属资源，如借阅信息、个人资源、对注册用户开放的数据库等；成员用户可以根据权限对文献资源共享联合体平台、注册用户进行管理，如注册用户的新增和权限设置、系统的参数设置等。在运作过程中，内网用户无须登陆，VPN服务器直接对其进行身份和权限判定。另外，还可通过授权形式，将用户名与数字证书一一对应，进一步加强系统的安全性。