华为安全接入网关技术白皮书

华为SVN

安全接入网关技术白皮书

华为技术有限公司

版权所有? 华为技术有限公司2014。保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

商标声明

和其他华为商标均为华为技术有限公司的商标。

本文档提及的其他所有商标或注册商标，由各自的所有人拥有。

注意

您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声明或保证。

由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。

华为技术有限公司

地址：深圳市龙岗区坂田华为总部办公楼邮编：518129

网址：

客户服务邮箱：support@

客户服务电话：4008302118

目录

1概述 (5)

1.1企业网络的新挑战 (5)

1.2传统VPN解决方案 (5)

1.3 SSL VPN解决方案 (7)

1.4华为一体化VPN解决方案 (8)

2 SVN安全接入网关的特点 (9)

2.1灵活的部署方式 (9)

2.2丰富的远程安全接入功能 (11)

2.2.1 Web代理 (11)

2.2.2文件共享 (12)

2.2.3端口转发 (12)

2.2.4网络扩展 (13)

2.2.5隧道定制开发 (14)

2.3强大的安全云网关功能 (14)

2.3.1桌面云网关 (15)

2.3.2负载均衡网关 (16)

2.4整体安全防护特性 (18)

2.4.1传输数据加密 (18)

2.4.2用户身份认证 (19)

2.4.3接入终端安全 (22)

2.4.4专业的防火墙防护 (23)

2.4.5网关设备安全防护 (27)

2.4.6灵活的资源授权 (27)

2.4.7细粒度的访问控制 (28)

2.4.8防暴力破解机制 (29)

2.4.9日志与审计 (29)

2.5完备的IPv6技术 (30)

2.5.1 IPv6基本功能 (31)

2.5.2 IPv4/IPv6解决方案 (31)

2.5.3 IPv6路由技术 (32)

2.6高可靠性 (32)

2.6.1可靠的硬件平台 (32)

2.6.2健壮的软件体系 (35)

2.6.3双机备份技术 (35)

2.6.4链路备份技术 (36)

2.6.5华为SVN可靠性技术优势 (36)

2.7优秀的组网适应能力 (37)

2.7.1一体化VPN网关 (37)

2.7.2高密度的端口支持 (37)

2.7.3丰富的路由协议和路由管理 (38)

2.7.4多线路智能选路 (38)

2.7.5敏捷园区配套 (40)

2.8完善的维护管理系统 (41)

2.8.1丰富的维护管理手段 (41)

2.8.2基于SNMP的终端系统管理 (41)

2.8.3 WEB管理 (41)

2.9领先的虚拟网关技术 (42)

2.10典型组网 (43)

2.10.1 SVN用于企业网络 (43)

2.10.2 SVN用于电信BOSS系统 (46)

2.10.3 SVN用于政府及事业单位 (48)

2.10.4 SVN用于桌面云解决方案 (49)

3附录A (50)

3.1 SVN特性列表 (50)

4附录B: 缩略语 (54)

1 概述

随着现代企业信息网络的不断发展以及智能终端的广泛应用，远程安全访问/移动办公的需求也呈现出迅猛的增长态势。如何实现安全、可控、随时随地可建立的远程接入，成为越来越多的企业所面临的一个重大问题。

1.1 企业网络的新挑战

随着当今网络业务的迅速发展，企业必须扩展其内网OA、ERP、CRM、SCM等应用服务资源和数据资源的访问领域，以满足越来越多的远程接入需求，比如分支机构接入、合作伙伴接入、客户接入、出差员工接入、移动办公接入、居家办公接入等等。接入的网络环境也越来越复杂，除了受管理的分支机构网络以及合作伙伴的网络接入之外，还需要考虑从分散的、未受有效管理的家庭网络以及公共WiFi、3G网络接入；使用的接入设备类型也越来越丰富，除了传统的固定接入终端（包括PC和便携机）外，智能终端设备接入企业网络的需求也逐步增强；另外一方面，云计算的兴起，使得企业的资源进一步集中化，基于云计算的桌面云解决方案能让企业用户在任何有网络的地方通过TC/SC访问使用云主机。

为了提供快速及时的商务能力，企业必须确保处于各种复杂的网络环境以及使用不同接入终端的合法用户，能够快速方便的安全地接入内网或是访问桌面云服务，同时还必须确保企业内网的安全性。

1.2 传统VPN解决方案

传统的VPN解决方案主要有PPTP/L2TP、MPLS VPN、IPSec等几种，它们具备各自的

特点，应用于不同的场景。

L2TP是一个国际标准隧道协议，它结合了PPTP和第二层L2F协议的优点。L2TP VPN 本身并没有提供加密功能，严格的说，不能称为是安全的VPN。另外，由于运行在UDP上而不是TCP上，通信的可靠性难以保证。

MPLS是一种在开放的通信网上，利用标签引导数据高速、高效传输的技术。其安全性相当于帧中继或者是ATM虚拟电路的安全性。由于数据传输仍然是明文，MPLS VPN不能解决传输的机密性和数据完整性问题。另外，MPLS VPN主要在骨干网上通过标记交换区分IP通道，达到逻辑上通道专用的目的，MPLS VPN更适合于企业互联和内网扩展。

IPSec（IP Security）是一组开放协议的总称，特定的通信方之间在IP层通过加密与数据源验证，以保证数据包在Internet网上传输时的私有性、完整性和真实性。

IPSec协议有两种工作模式：隧道模式和传输模式。在隧道模式下，IPSec将整个原始IP 数据包放入一个新的IP数据包中，这样每一个IP数据包都有两个IP包头：外部IP包头和内部IP包头。外部IP包头指定将对IP数据包进行IPSec处理的目的地址，内部IP包头指定原始IP 数据包最终的目的地址。IP包的源地址和目的地址都被隐藏起来，使IP包能安全地在网上传送。其最大优点在于终端系统不必为了适应IP安全而作任何改动。隧道模式既可以用于两个主机之间的IP通信，又可以用于两个安全网关之间或一个主机与一个安全网关之间的IP通信。

在传输模式下，要保护的内容是IP包的载荷，在IP包头之后和传输层数据字段之前插入IPSec包头（AH或ESP或二者同时），原始的IP包头未作任何修改，只对包中的净荷(数据)部分进行加密。由于传输模式的IP包头暴露在外，因而容易遭到攻击。传输模式常用于两个终端节点间的连接，如客户机和服务器之间。

IPSec定义了一套用于认证、保护私有性和完整性的标准协议。它支持一系列加密算法

如DES、3DES；检查传输数据包的完整性，以确保数据没有被修改。IPSec可用来在多个防火墙和服务器之间提供安全性，确保运行在TCP/IP协议上的VPN之间的互操作性。

IPSec VPN适用于site-to-site的远程连接方式，但它是基于网络层的，在穿越NAT和防火墙时会遇到困难。

1.3 SSL VPN解决方案

SSL VPN是以SSL/TLS协议为基础，利用标准浏览器都内置支持SSL/TLS的优势，对其应用功能进行扩展的新型VPN。

SSL协议分为两层，上层是握手协议，底层是记录协议。SSL握手协议主要完成客户端与服务器之间的相互认证，协商加密算法与密钥。在握手协议中，认证可以是双向的，协商密钥的过程是可靠的，协商得到的密钥是安全的。SSL记录协议建立在可靠的传输协议之上，主要完成数据的加密和鉴别。通过对称密码算法确保了数据传输的机密性，通过HMAC算法确保数据传输过程的完整性。

由此可见，SSL协议从以下方面确保了数据通信的安全：

认证－在建立SSL连接之前，客户端和服务器之间需要进行认证，认证采用数字证书，可以是客户端对服务器的认证，也可以是双方进行双向认证。

机密性－采用加密算法对需要传输的数据进行加密。

完整性－采用数据鉴别算法验证所接收的数据在传输过程中是否被修改。

除了web访问、TCP/UDP应用之外，SSL VPN还能够对IP通信进行保护。在保证通信安全性的基础上，SSL VPN实现了更加细致的访问控制能力，大大增强了对内网的安全保护。同时，SSL VPN通信基于标准TCP/IP，因而不受NAT限制，能够穿越防火墙，使用户在任何地方都能够通过SSL VPN网关代理访问内网资源，使得远程安全接入更加灵活简单。

另外，使用SSL VPN访问B/S应用时不需要安装任何客户端软件，只要用标准的浏览器就可以实现对内网Web资源的访问，省去了客户端的繁琐的维护和支持工作，不仅极大地解放了IT管理员的时间和精力，更提高了远程接入人员（如出差员工）的工作效率，节省了企业的培训和IT服务费用；同时，也意味着远程用户在进行远程访问时不会再受到地域的限制，不论是在公共网吧或是在商业合作伙伴那里，甚至是随手借一台笔记本，只要有网络，远程访问就没问题。

SSL VPN以其独特的技术优势，给出了理想的point-to-site安全接入解决方案，受到越来越多IT管理者和企业的关注。

1.4 华为一体化VPN解决方案

SSL VPN并不能完全取代IPSec VPN，这两种技术目前应用在不同的领域，是可以进行互补的。SSL VPN适用于point-to-site的接入场景，是应用在点对网络的接入模式；而IPSec VPN是在两个网络节点之间安全互联，保护的是网对网之间的通信。所以华为推出的SVN 安全接入网关实现了这两种主流的VPN技术，客户可根据实际的业务需求选择更适用的VPN技术来满足安全接入需求。

SVN V200R003系列安全接入网关是华为公司面向运营商、企业、政府、行业推出的优秀的SSL/IPSec一体化VPN网关设备。部署SVN安全接入网关，无需改变网络结构，可以直接单臂挂接到出入口防火墙或者路由器、交换机上，简单快捷。移动办公时，用户终端无需安装任何客户端软件，只需标准的Web浏览器即可对企业内网资源进行安全访问。在两个固定网络间进行通信时，能够通过SVN在两个网络间建立IPSec安全隧道，实现总部与分部网络之间的安全稳定互连。SVN V200R003系列安全接入网关基于华为专业的高可靠硬件平台和专用的实时操作系统，具备业界领先的系统性能、安全性和可靠性，为企业员工、

分支机构、客户和合作伙伴访问内网资源提供灵活便捷、安全可控的端到端解决方案。

目前该系列产品分两种型号共七款产品：

安全接入型号：SVN5630、SVN5660、SVN5830、SVN5850、SVN5860、SVN5880。应用于远程办公安全接入场景，提供丰富的远程接入功能和高性能的SSL加解密能力。

桌面云型号：SVN5880-C。应用于桌面云解决方案，提供高性能的负载均衡和云协议代理处理能力。

2 SVN安全接入网关的特点

2.1 灵活的部署方式

SVN V200R003系列安全接入网关组网方式灵活，部署简单，一般位于网络出入口防火墙之后，既可以单臂挂接在出入口防火墙或者交换机上，也可以双臂挂接在防火墙和交换机之间，不改变原有的网络拓扑结构。

图1SVN单臂组网方式

图2SVN双臂组网方式

图3双机热备组网方式

SVN V200R003安全接入网关支持IPSEC VPN功能，可以与Eudemon、USG系列的安全网关或者两台SVN之间建立Site-to-Site的IPSEC VPN安全链接，移动用户通过SSL VPN 方式远程访问内部资源。

图4SSL/IPSec VPN组网

2.2 丰富的远程安全接入功能

远程用户可通过SVN产品提供的web代理技术在多种终端类型上使用标准浏览器随时随地的安全访问内网的web服务器。除了提供web代理技术外，SVN产品还提供其他各种全面的业务资源访问能力，包括对内网C/S服务器、多媒体资源服务器、基于IPv4的资源服务器的访问。

随着各种应用的丰富，通用的SSLVPN产品有时无法满足用户的定制化需求。SVN产品可提供一套客户端编程组件，通过将客户端组件和用户的应用软件进行集成（或基于该编程组件开发新的用户应用），一方面可以保证用户应用软件的业务灵活性，另一方面也可以提供SSL安全能力。

SVN V200R003系列产品中应用于远程安全接入场景的型号：SVN5630、SVN5660、SVN5830、SVN5850、SVN5860、SVN5880。

2.2.1 Web代理

远端用户通过浏览器对内网页面发起请求，SVN接收这一请求转发给内网服务器，并将服务器的响应以网页形式回传给用户。网页信息在公网传输的过程，经过SSL加密隧道，

确保了将内网WEB资源安全、真实地反映给远程用户。

针对内网的web访问，SVN产品可提供单点登录功能。用户登录SVN产品后访问内网的web资源，SVN产品可以使用配置在该用户上的单点登录账号或者配置在该web资源上的单点登录账号或者该用户的SVN网关登录账号进行自动登录，如果登录成功则用户无需在访问web资源时再次输入账号信息。

Web代理功能可以在多种终端系统上使用，包括Android、iOS(iPhone/iPad)、Linux、Symbian、Blackberry、Windows系列(2000/xp/2003/2008/vista/win7)、MacOS。

2.2.2 文件共享

通过将内网文件系统Web化，使用户直接通过浏览器就能在内网文件系统上创建和浏览目录，进行下载、上传、改名、删除等文件操作，就像对本机文件系统进行操作一样方便安全。SVN安全接入网关通过支持SMB/CIFS协议和NFS协议，实现了用户对Windows文件系统和Linux文件系统的安全远程访问。

2.2.3 端口转发

采用SSL协议对TCP应用进行保护，并且对TCP应用进行访问控制。通过在客户端安装控件拦截待转发的TCP服务，并且将数据流经SSL协议加密传送给SVN安全接入网关，由SVN安全接入网关解密并解析后传送给相应的应用服务器，从而确保了应用的安全。通过控制应用服务端口，完成对应用的访问控制。SVN安全接入网关能够充分支持多种端口转发应用服务，包括单端口单服务器应用，如MS RDP、Telnet、SSH、VNC等；单端口多服务器应用，如：Notes；多端口应用，如Email，以及动态端口应用：FTP、Oracle。

2.2.4 网络扩展

有两种方式实现企业内网的逻辑扩展，一种是基于SSL的3层VPN（以下简称SSL

L3VPN），另外一种是基于IPSec的3层VPN（以下简称IPSec L3VPN）。

2.2.4.1 SSL L3 VPN

SSL L3 VPN功能也是基于SSL协议进行的功能扩展，这一功能实现了对所有IP应用的支持，用户远程访问内网资源就像访问局域网一样方便，这一功能与IPSec VPN相当。实现SSL L3 VPN功能可以通过在客户端安装虚拟网卡实现，虚拟网卡截获原始IP报文，经过SSL协议封装，然后转发至SVN安全接入网关。SVN安全接入网关的SSL L3 VPN功能又可以分成全通道方式、分离通道方式和手动方式，全通道方式是指在用户启动全网访问功能时，虚拟网卡截获所有的IP报文，并转发给SVN安全接入网关，这样，用户只与SVN安全接入网关建立网络连接，只能对内网进行访问。在分离通道模式下，用户不仅能够经过SSL VPN网关安全远程访问内网，同时也可以访问本地子网。采用手动模式时，用户不仅能访问企业内网的特定资源、本地子网，还能访问公网的各种资源。

2.2.4.2 IPSec L3 VPN

SVN产品除了能够提供基于SSL协议的L3VPN客户端接入功能外，还能够提供标准的L2TP over IPSec 客户端接入方式。

SVN产品支持标准的L2TP over IPSec客户端接入，用户可以使用各种标准的IPSec客户端软件接入SVN产品。该功能对于Symbian、iOS、Android、BlackBerry等智能终端的远程接入特别有意义，用户可以使用智能终端上内置的VPN软件接入SVN网关，实现与内网的互通。

2.2.4.3 SSL L3VPN和IPSec L3 VPN的比较

IPSec和SSL L3VPN都能够为网络层的应用和资源提供远程接入能力,但两种实现方式针对具体的需求和场景具有各自的优势。

SSL L3VPN 可以在任何具有Internet访问权限的地方提供远程接入能力，可以通过web浏览器自动下载安装所需的客户端，因此不需要预先在接入终端上安装客户端软件。SSL L3VPN的客户端可以自动下载和升级，因此减少桌面软件的维护成本。另外SSL L3VPN 可以针对用户提供定制化的web portal页面。

IPSec L3VPN是一种成熟的、被广泛使用的VPN实现方式，对于已经习惯使用IPSec VPN的客户，使用IPSec L3VPN可以保护已有的网络部署以及现有的业务流程。IPSec

L3VPN需要预先在接入终端上安装客户端软件，并且相比较而言IPSec L3VPN客户端的配置相对复杂。

2.2.5 隧道定制开发

隧道定制功能是SVN产品为多媒体业务开发的一种功能，因此也称为多媒体隧道功能。SVN产品开发的隧道定制功能，通过提供客户端软件组件，由多媒体业务客户端将该SVN 软件组件集成后，可以为多媒体客户端软件提供SSL安全加密功能，并且由于SSL隧道在穿越NAT、防火墙方面天然具有的优势，隧道定制功能也可以解决多媒体业务在实际部署时经常遇到的私网穿越问题。

2.3 强大的安全云网关功能

经过多年的市场培育，目前云计算的商用正在快速发展，而在已经商用的云计算项目中桌面云应用所占的比例较大。为了解决桌面云应用中TC或者SC访问云端虚拟机的数据传输

安全，SVN网关可提供WI服务访问负载均衡功能和桌面云协议代理功能。

SVN V200R003系列产品中应用于桌面云场景的型号：SVN5880-C。

2.3.1 桌面云网关

部署SVN前，桌面云客户端（TC或者SC）与云端虚拟机之间通过桌面云协议直连，一方面数据传输的安全性得不到保障，另外也暴露了云中心的内部结构，进一步加大了云中心的安全风险。

要有效而安全地使用桌面云应用，需要在企业云中心的网络边界设立一扇“门”(云网关) ，对外只暴露该“门”而无法看到“门”后的情况。即所有访问云中心的服务只能通过企业对外提供的云网关地址，且必须是通过安全的隧道，这就为企业IT部门提供一个单一的控制点，来控制用户可以如何安全有效地使用桌面云服务，大大简化了用户的部署配置，同时也对外部隐蔽了内部结构。

部署SVN作为云网关后，桌面云协议层的数据在传输链路上分为两段，依次为TC/SC 和SVN之间，以及SVN和云端虚拟机之间。当桌面云协议层的数据在TC/SC和SVN之间传递时，桌面云协议的数据可承载在SSL隧道之上，经过SSL协议进行传输加密；当桌面云协议层的数据在SVN和云端虚拟机之间传输时，仍承载在TCP连接上。SVN云网关支持如下云协议：

?支持ICA\CGP协议

?支持HDP协议

?支持VNC协议

2.3.2 负载均衡网关

SVN产品提供SSL负载均衡功能，可以在云端的Web服务器（实服务器）群前部署SVN 网关，通过配置，可以将web服务器群虚拟化成一个web服务器向用户提供服务。用户通过HTTPS协议访问虚拟Web服务器时，HTTPS协议涉及的SSL加解密操作可以在SVN网关上完成，然后SVN网关按照负载均衡算法在web服务器群中选择一个web服务器响应用户的HTTPS访问。

负载均衡网关通过将SSL加解密操作从原本Web上执行转移至SVN网关上执行，降低了对Web服务器上运算能力的要求，使得Web服务器可以更加关注Web业务，能够提供更高的用户访问能力。同时对外只暴漏负载均衡网关的地址信息，对外屏蔽了内部的网络结构，也进一步加强云中心的安全性。

负载均衡网关上的负载均衡算法可选举出一台符合标准的WEB服务器来处理用户的请求。如果这个算法原先选定的最合适的服务器达到或者超过了其最大用户连接数，那么另外一个连接数比较合适的服务器将被代替。SVN可以设置按照以下这些算法来实现服务器负载均衡：

?最小连接数

?最快响应

?等比例论询

?权值论询

另外我们还可以在虚拟的web服务器上配置“会话保持”：一旦一个服务器被选择了，后续的从该用户发出的请求都被转发到同一服务器上。SVN支持了实际应用中最为有效的“会话保持”算法：

?源IP

?Cookie

2.3.2.1 实服务器的接入保护

SVN系列设备支持在客户端接入web服务器之前，进行认证保护，可以有效的防止客户端对web服务器的攻击，并且能够记录相关的用户登录信息，锁定相关的用户。

SVN支持在用户接入实服务器之前进行的认证和校验包含:

?AD外部认证

?USBKEY+CA数字证书认证

?云客户端主机策略检查

?实时防截屏

?实时防跳转

其中主机检查包含了丰富的客户端校验策略，例如：检查系统、杀毒软件、进程、端口等等，并且在某些应用场景中，用户在办公时需要访问公司的核心区域，但是又无法保证资料的安全性，这时，通过上述的配置可以防范公司资料的泄密。

SVN接入认证还提供单点登陆功能，开启了接入认证后，SVN在认证用户成功后，会接入到选中的实服务器，并且实现单点登陆，不需要用户再次输入用户名和密码。

2.3.2.2 实服务器的健康检查

SVN还负责检查服务器群的服务的健康状况，一旦发现问题，系统仍然继续依照负载均衡算法把服务转向到其他正常的服务上去，不影响用户使用。SVN的健康探测支持实服务器的进程级检测。SVN主要支持的健康探测包含如下方式:

?TCP

?HTTP

?TCP-TOUT

?HTTP-TOUT

?HTTP-RSP CODE

?HTTP-CONTENT

2.4 整体安全防护特性

2.4.1 传输数据加密

当远程用户通过SVN访问企业内网服务器时，数据的传输路径可以划分为两段。一是从客户端到SVN，需要经过公网，另一部分是从SVN到内网服务器，这一段属于内网数据传输。由于内网网络出入口一般都部署有防火墙，因而内网的数据传输被视为是安全的，采用标准的TCP/IP协议。而客户端到SVN之间的数据传输则面临着诸多的安全威胁，因此就需要一种强有力的措施来保护机密数据不被窃取或是篡改。

SVN V200R003系列安全接入网关支持多种SSL加密算法，对传输数据进行强加密，确保了数据传输的真实性、完整性。支持常用的商密算法和国密算法：

加密算法：3DES/DES, RC4, AES

非对称密码算法：RSA

Hash算法：MD5, SHA-1

国密算法：SM2/SM3/SM4

2.4.2 用户身份认证

SVN V200R003系列安全接入网关支持多种身份认证方式，能够提供本地认证和外部认证。企业或机构可以根据自身需求、认证体系的建设情况灵活选择认证方式，保护企业的原始投资。

2.4.2.1 本地认证

SVN V200R003系列安全接入网关支持本地认证方式，在设备上建立本机用户数据库保存用户账号和密码信息，客户无需另外建立认证系统。本地认证方式下，可灵活制定各种密码策略和密码有效期。

2.4.2.2 外部认证

针对已建设起相对完善的认证体系的企业，SVN还能够支持多种外部认证系统，比如：Radius认证系统、LDAP认证、USBKEY+CA数字证书认证、AD认证系统、SecurID认证系统。

使用Radius、LDAP、AD认证系统，用户登录时通过SSL加密隧道将用户账号和密码信息提交给SVN安全接入网关，SVN按照标准协议格式向认证服务器发送认证请求，认证服务器将认证结果返回给SVN。此时SVN上不保存用户的账号密码信息，最终认证过程在外部认证服务器上完成。

使用SecurID认证系统，每个SVN的用户将获得一个Token卡和一个PIN码，Token卡每分钟动态产生一个Token码。用户登录时将PIN码和Token码组合作为密码输入。用户输入的密码和账号信息通过SSL加密隧道发送到SVN后，SVN按照标准协议格式将这些信息传递到SecurID认证服务器并从认证服务器获得认证结果。此时SVN上不保存用户的账号密码

信息，最终认证过程在外部SecurID认证服务器上完成。

2.4.2.3 数字证书认证

SVN可以基于CA数字证书（X.509v3，下同）对用户进行认证，支持证书匿名和证书挑战两种证书认证方式。证书匿名方式下，用户登录时在SSL协议交互过程中将用户证书提交给SVN，SVN通过检查该证书的有效性来对用户进行认证；证书挑战方式下，可将其他几种认证系统作为辅助认证方式。用户登录时提供证书和挑战密码，SVN首先检查用户证书的有效性，然后从证书信息中提取出代表用户身份的信息作为用户账号，将用户账号和挑战密码发送到辅助认证系统对用户进行认证。

用户证书可以被导入到Windows系统中，由PC机操作系统管理和存储，也可以保存到USBKey中。保存到USBKey中的证书一般情况下只能够查看和使用，不能够修改和导出。USBKey便于携带，增强了证书的物理安全性，另外USBKey可以设置密码，对证书又增加了一层保护。证书保存到PC机或者保存到USBKey，对于用户使用证书进行认证一样方便。

SVN经过两个步骤确定用户证书的有效性，首先检查颁发该证书的CA是否是被信任的（在使用证书认证前需要在SVN上配置可被信任的证书颁发者），然后判断该证书是否过期失效或者被其颁发者撤销。证书中包含有效期信息和该证书的颁发者信息，SVN根据设备上的日期时间判断用户证书是否处于有效期内。SVN从用户证书中获得其颁发者信息，然后判断该颁发者是否可被信任。在有效期内的证书也有可能被其颁发者撤销，SVN可以使用HTTP或者LDAP协议从颁发者获取CRL，判断证书是否被撤销，也可以使用OCSP协议实时从颁发者查询证书是否被撤销。

为了降低中小企业部署数字证书认证系统的成本，SVN产品可提供简单的CA功能，包括用户证书颁发、吊销，网关证书颁发等功能。利用SVN产品提供的CA功能，用户可以部