手机性能的不断提升，使得移动办公的需求也水涨船高。笔者单位也打算部署OA和视频会议两套手机应用系统。那么问题产生了，如果不能在公网访问，手机办公则失去了意义。如果开放对外服务则会对单位网络带来安全压力。如何既能开放对外服务又能保证安全？当前局域网单一UTM的网络架构，势必不能满足安全需求。因此解决这个问题要从局域网网络架构改造着手。

对网络改造的设想

改造前局域网的架构非常简单（如图1所示）：内网服务器和办公电脑分别通过各自的二层交换机汇聚到核心交换机，再通过一台UTM隔断内外网。因为手机OA服务器需要连接内网的数据库，所以开放对外服务笔者首先想到的方案是将手机OA和视频会议服务器放在内网，然后在UTM上建立一条端口映射，将服务器映射到公网。

这个方案虽然简单易行，但这两台服务器将面临内网和外网双重安全威胁。一方面，内网的机器之间无任何硬件防护，仅能依靠交换机的ACL和软件防火墙起到一点象征性的保护；另一方面，如果服务器存在漏洞且被攻破的话可能会殃及内网其他服务器。

笔 者手边恰好有一台和现 役UTM同款的备用 UTM，因此另一个方案应运而生：先将两台外网服务器接在备用UTM下，再将两个UTM的DMZ口连接起来，作

为手机OA服务器连接内网数据库的通道。这种网络架构的好处在于，即便外网服务器遭到入侵，很难影响到内网。

网络架构改造的实施

按照这样的思路来改造网络，需要解决的问题有三个：一是如何跨两台UTM实现手机OA服务器和数据库服务器的连通。……