園區(qū)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計方案

商伶俐

（安徽農(nóng)業(yè)大學(xué) 信息與計算機學(xué)院，安徽 合肥 230036）

園區(qū)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計方案

商伶俐

（安徽農(nóng)業(yè)大學(xué) 信息與計算機學(xué)院，安徽 合肥 230036）

互聯(lián)網(wǎng)的普及和大型企業(yè)園區(qū)、校園網(wǎng)絡(luò)建設(shè)的不斷發(fā)展，對加快信息處理、資源共享、充分利用資源和提高工作效率都起了不可估量的作用.但隨著病毒的泛濫、網(wǎng)絡(luò)入侵的多樣化、以及黑客的增多，園區(qū)網(wǎng)絡(luò)的安全已成為不容忽視的問題，如何在開放網(wǎng)絡(luò)環(huán)境中保證網(wǎng)絡(luò)系統(tǒng)的安全性已經(jīng)成為當(dāng)今十分迫切的問題.本文針對園區(qū)網(wǎng)絡(luò)中可能存在的安全風(fēng)險，提出了多層次的園區(qū)網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計方案.

園區(qū)網(wǎng)絡(luò)；虛擬局域網(wǎng)；訪問控制列表；虛擬專用網(wǎng)

網(wǎng)絡(luò)的日新月異，對實現(xiàn)資源共享、加快信息處理、信息資源分配和提高工作效率都在不同層度起到了不可估量的作用.但是，自互聯(lián)網(wǎng)問世以來，信息安全與資源共享一直處于相對矛盾的狀態(tài)，隨著網(wǎng)絡(luò)資源共享的進一步推廣和加強，網(wǎng)絡(luò)安全問題也日益突出.一個園區(qū)網(wǎng)絡(luò)經(jīng)常不可避免地受到惡意軟件、病毒、黑客入侵等的安全威脅和攻擊，造成數(shù)據(jù)篡改丟失、網(wǎng)絡(luò)癱瘓、系統(tǒng)崩潰等一系列嚴重后果.因此，如何確保園區(qū)網(wǎng)絡(luò)正常、高效和相對安全地運行是所有企業(yè)園區(qū)、高校校園網(wǎng)都面臨的問題，保證網(wǎng)絡(luò)安全問題勢在必行.

目前主流絕大數(shù)網(wǎng)絡(luò)系統(tǒng)均采用一種分層次的拓撲結(jié)構(gòu)，因此分層次的網(wǎng)絡(luò)安全防護對園區(qū)網(wǎng)絡(luò)來說也顯得十分必要，即一個完整的園區(qū)網(wǎng)絡(luò)安全設(shè)計方案應(yīng)該覆蓋網(wǎng)絡(luò)的各個層次，同時必須考慮到安全管理等人為因素.根據(jù)當(dāng)前園區(qū)網(wǎng)絡(luò)的應(yīng)用現(xiàn)狀和網(wǎng)絡(luò)的結(jié)構(gòu)，本文提出一個分接入層、匯聚層、核心層、系統(tǒng)應(yīng)用層和安全管理多個層次的安全設(shè)計方案.

1 接入層安全設(shè)計

1.1 物理層安全

物理安全是指保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等自然環(huán)境事故以及人為操作失誤或錯誤導(dǎo)致的破壞過程.物理層安全是保證網(wǎng)絡(luò)系統(tǒng)安全的前提，在實踐過程中，根據(jù)Sage Research的一項研究，可達80%的網(wǎng)絡(luò)故障都歸結(jié)于物理層連接.針對網(wǎng)絡(luò)物理層存在的各種安全隱患，改善校園網(wǎng)的物理環(huán)境，主要需要做如下幾項工作：（1）溫度控制，增加濕度控制；完善防雷和防靜電措施等保證設(shè)備環(huán)境良好；（2）對物理層實時監(jiān)控，監(jiān)視所有物理層鏈接，確保當(dāng)發(fā)生故障時，管理員迅速了解故障位置并恢復(fù)故障；（3）保障和完善主機房電源供應(yīng)，確保備用電源切換正常；（4）與保安等相關(guān)保全部門合作，監(jiān)控保障通信線纜安全.

1.2 使用虛擬局域網(wǎng)實現(xiàn)網(wǎng)絡(luò)隔離

虛擬局域網(wǎng)VLAN（Virtual local area network）是一種將局域網(wǎng)設(shè)備從邏輯上劃分成多個網(wǎng)段，從而實現(xiàn)虛擬工作組的數(shù)據(jù)交換技術(shù).通過VLAN技術(shù)，網(wǎng)管可以根據(jù)實際應(yīng)用需求，把同一個物理實際局域網(wǎng)中的用戶從邏輯上劃分成多個不同的廣播域，這劃分出的每個廣播域即VLAN.不同的VLAN是不能相互通信的，若需要通信必需得經(jīng)過三層路由轉(zhuǎn)發(fā)，這樣從某種程度說保證了安全性.同時廣播和組播流量也被限定在自己VLAN中，不會轉(zhuǎn)發(fā)到其它VLAN中.

園區(qū)網(wǎng)可以根據(jù)網(wǎng)絡(luò)用途或者不同樓宇和地理位置合理VLAN劃分，調(diào)整相關(guān)網(wǎng)絡(luò)拓撲，使學(xué)生宿舍區(qū)、網(wǎng)絡(luò)中心、服務(wù)器群區(qū)、辦公區(qū)等區(qū)域更明確的劃分，這更有利于安全策略的實現(xiàn)和網(wǎng)絡(luò)管理.例如宿舍樓每一樓層可以單獨劃到一個VLAN.VLAN間相互通信可在匯聚層通過路由實現(xiàn).通過在接入交換機上對VLAN進行配置，這樣就完成校園網(wǎng)最基本的局域網(wǎng)的劃分，以保證整個網(wǎng)絡(luò)的正常運行，同時為防火墻系統(tǒng)、訪問控制的部署打下堅實的基礎(chǔ).

2 匯聚層安全設(shè)計

2.1 采用訪問控制技術(shù)

訪問控制列表（Access Control List，ACL）是路由器和交換機接口的指令列表，用來控制端口進出的數(shù)據(jù)包.ACL適用于所有的被路由協(xié)議，如IP、IPX、AppleTalk等.這張表中包含了匹配關(guān)系、條件和查詢語句，表只是一個框架結(jié)構(gòu)，其目的是為了對某種訪問進行控制.園區(qū)網(wǎng)絡(luò)的出口安全控制上通常應(yīng)用ACL，在實施ACL后，園區(qū)網(wǎng)絡(luò)出口安全策略可以得到有效實現(xiàn).對于園區(qū)網(wǎng)絡(luò)來說，計算機病毒的危害是巨大的，因為傳播速度快，往往來不及控制.例如，蠕蟲病毒、“沖擊波”病毒等病毒數(shù)據(jù)的傳播，面臨種種病毒威脅，可在分析病毒原理后，在接入層或匯聚層交換機上配置相關(guān)的ACL關(guān)閉相關(guān)端口如4444、135、139等.

2.2 進行傳輸鏈路備份

傳輸鏈路的備份是提高網(wǎng)絡(luò)系統(tǒng)安全性可用性的實用方法.當(dāng)前的相關(guān)流行技術(shù)中最為廣泛的為鏈路聚合（Link Aggregation）技術(shù).鏈路聚合技術(shù)提供了某一條傳輸線路內(nèi)部的冗余機制，幾條鏈路聚合的鏈路彼此互為冗余備份.鏈路聚合技術(shù)其原理是使兩臺網(wǎng)絡(luò)設(shè)備間的數(shù)條物理鏈路從邏輯上合并成一條邏輯上的數(shù)據(jù)鏈路.例如將主備交換機之間物理鏈路Link a、Link b和Link c聚合成一條聚邏輯鏈路.這條鏈路在邏輯上一條完整的鏈路，對上層服務(wù)來說其內(nèi)部組成和數(shù)據(jù)傳輸都是透明的.聚合鏈路的內(nèi)部物理鏈路同時完成數(shù)據(jù)收發(fā)并且互相備份.只要其中一條物理鏈路仍在正常工作，這條聚合的傳輸鏈路就不會斷路.如Link a與Link b先后斷路，通過它們的數(shù)據(jù)會立即通過Link c傳輸，從而確保了兩臺設(shè)備間的通信不會中斷.

3 核心層安全設(shè)計

3.1 防火墻技術(shù)

防火墻是一種隔離控制的技術(shù)，在某個機構(gòu)網(wǎng)絡(luò)與不安全網(wǎng)絡(luò)之間設(shè)立一些障礙，阻礙對信息資源的非法訪問，使用防火墻還可以阻止機密信息資源從企業(yè)的內(nèi)部網(wǎng)絡(luò)中被非法偷取輸出.園區(qū)網(wǎng)絡(luò)為了保護信息系統(tǒng)的安全性，在內(nèi)部網(wǎng)與互聯(lián)間安設(shè)防火墻軟件.企業(yè)的信息系統(tǒng)采用有選擇性的接收方法應(yīng)用于來自互聯(lián)網(wǎng)的訪問.它能夠容許或者禁止一類詳細的IP地址訪問，還能夠接收或者拒絕TCP/IP上某一類具體的應(yīng)用.若在任意某一臺IP主機上有需要一些禁止的信息資源或危險陌生的用戶，則能夠通過設(shè)置使用防火墻過濾掉從這個主機發(fā)送出的包.若某個企業(yè)只是應(yīng)用互聯(lián)網(wǎng)的電子郵件和WWW服務(wù)器向外部提供信息資源，那就能在防火墻上設(shè)置使只有這兩類的應(yīng)用數(shù)據(jù)包能夠通過.對于路由器來說，這不僅需要分析IP層的信息，而且還需要進一步認識TCP傳輸層甚至是應(yīng)用層信息來進行取舍.

3.2 VPN的應(yīng)用

VPN--虛擬專用網(wǎng)（Virtual Private Network）是專用網(wǎng)絡(luò)在公共網(wǎng)絡(luò)如Internet上的擴展.VPN通過私有隧道技術(shù)在公共網(wǎng)絡(luò)上仿真一條點到點的專線，從而達到安全的數(shù)據(jù)傳輸目的.虛擬專用網(wǎng)不是真的專用網(wǎng)絡(luò)，但卻能夠?qū)崿F(xiàn)專用網(wǎng)絡(luò)的功能.虛擬專用網(wǎng)的是依靠ISP（Internet服務(wù)提供商）和其它NSP（網(wǎng)絡(luò)服務(wù)提供商），在公用網(wǎng)絡(luò)中建立專用的數(shù)據(jù)通信網(wǎng)絡(luò)的技術(shù).在虛擬專用網(wǎng)中，任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是利用某種公眾網(wǎng)的資源動態(tài)組成的.目前在園區(qū)網(wǎng)絡(luò)建設(shè)中可采用兩大遠程安全接入技術(shù)，IPSec VPN和SSL VPN技術(shù)，同時組網(wǎng)來滿足內(nèi)外用戶的需求.通過相關(guān)技術(shù)，可以使用IP機制仿真出一個私有的廣域網(wǎng)，通過私有的隧道技術(shù)在公共數(shù)據(jù)網(wǎng)絡(luò)上仿真一條點到點的專線技術(shù).

4 系統(tǒng)應(yīng)用層安全設(shè)計

4.1 系統(tǒng)安全設(shè)計

該層次的安全問題主要來自網(wǎng)絡(luò)內(nèi)使用的操作系統(tǒng)的安全，主要表現(xiàn)在三方面，一是操作系統(tǒng)本身的缺陷帶來的不安全因素，主要包括身份認證、訪問控制、系統(tǒng)漏洞等；二是對操作系統(tǒng)的安全配置問題；三是病毒對操作系統(tǒng)的威脅.

針于操作系統(tǒng)可能存在的安全問題，需要進行下列工作：（1）安裝補丁.沒有一個操作系統(tǒng)是絕對安全的，任何操作系統(tǒng)都會有這樣或那樣的漏洞(Bug)，保障操作系統(tǒng)安全的辦法只有通過不斷打補丁才能實現(xiàn).為了保障Windows系列操作系統(tǒng)的安全，在園區(qū)網(wǎng)內(nèi)安裝windows Update自動更新服務(wù)網(wǎng)站，保證聯(lián)網(wǎng)計算機能夠及時、快速的安裝Windows關(guān)鍵更新及Service Pack，維護系統(tǒng)穩(wěn)定性以及避免受到網(wǎng)絡(luò)蠕蟲攻擊，更新操作系統(tǒng)，修復(fù)系統(tǒng)漏洞，保護計算機安全.（2）關(guān)閉多余的服務(wù).操作系統(tǒng)在安裝的時候，默認是安裝了多種服務(wù)程序，許多服務(wù)程序都存在安全漏洞，這些服務(wù)程序的運行將增加系統(tǒng)的不安全因素，因此，應(yīng)該主動關(guān)閉一些不用的服務(wù)程序.（3）注意口令安全.在網(wǎng)絡(luò)環(huán)境中，口令是用來確認用戶身份，決定訪問權(quán)限的重要手段，訪問網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用程序都需要口令.為缺省的系統(tǒng)賬號 (例如root、admin、administrator、guest等)設(shè)置復(fù)雜的口令，盡量不要使用缺省賬號，或給系統(tǒng)的缺省賬號改名.為系統(tǒng)的賬號和口令文件設(shè)置嚴格的訪問權(quán)限控制，防止未授權(quán)用戶獲得口令文件.

4.2 網(wǎng)絡(luò)數(shù)據(jù)備份

網(wǎng)絡(luò)數(shù)據(jù)備份是指在典型的分層次網(wǎng)絡(luò)環(huán)境下，通過相關(guān)數(shù)據(jù)存儲安全管理的軟件，硬件與存儲設(shè)備相結(jié)合，對整個網(wǎng)絡(luò)的數(shù)據(jù)進行集中式管理，以實現(xiàn)全自動化的定時備份、類似文件歸檔、數(shù)據(jù)的分級存儲和數(shù)據(jù)災(zāi)難性恢復(fù).通過網(wǎng)絡(luò)數(shù)據(jù)備份，以保障網(wǎng)絡(luò)系統(tǒng)正常運行，即使在網(wǎng)絡(luò)出現(xiàn)重大故障甚至災(zāi)難性毀壞時，還能夠使網(wǎng)絡(luò)恢復(fù)到原先的狀態(tài)保證數(shù)據(jù)不丟失，最大程度上降低了損失.

網(wǎng)絡(luò)數(shù)據(jù)備份可采用雙擊熱備方式.雙機熱備是一種容錯方式，當(dāng)主服務(wù)器不能正常工作時，備用服務(wù)器能夠立即取代主服務(wù)器的位置完整主服務(wù)器正在運行的工作，從而保證重要服務(wù)一直能夠高效正常的運作.雙機熱備的服務(wù)器均采用雙網(wǎng)卡的配置，使得兩臺服務(wù)器之間鏈路聚合建立主備線路.若主服務(wù)器不能正常運行，由于備用服務(wù)器與主服務(wù)器數(shù)據(jù)相同，應(yīng)用程序與運行環(huán)境也完全相同，所以備用服務(wù)器可以立即進行接管.

目前網(wǎng)絡(luò)的飛速發(fā)展，大型企業(yè)單位等越來越多的依賴與網(wǎng)絡(luò)辦公系統(tǒng)、網(wǎng)絡(luò)財務(wù)系統(tǒng)等，的確這些業(yè)務(wù)信息網(wǎng)絡(luò)系統(tǒng)為辦公提供了極大的方便，使企業(yè)的高效運作起到了非常關(guān)鍵性的作用，這些系統(tǒng)服務(wù)器如果一旦發(fā)生故障不能正常運行，將給企業(yè)帶來無可估量的重大經(jīng)濟損失.由此可見，關(guān)鍵系統(tǒng)的容錯性和不間斷性尤為重要，而雙機熱備技術(shù)的成熟運用將是系統(tǒng)安全的首選.

5 安全管理設(shè)計

安全管理包括安全管理制度制定與實施、安全設(shè)備與技術(shù)運用、相關(guān)人員的管理等.管理的制度是否健全，很大程度地影響了整個網(wǎng)絡(luò)系統(tǒng)的安全與否，安全管理制度的嚴密執(zhí)行，部門安全職責(zé)的明確劃分，人員角色的合理配置無疑都將在某種程度上降低其整個網(wǎng)絡(luò)系統(tǒng)的安全風(fēng)險.因而明確一個合理的安全管理制度與安全策略顯得尤為必要.安全管理方面可從以下幾個方面入手：（1）成立網(wǎng)安全管理小組，小組成員可以由各子網(wǎng)節(jié)點、各子系統(tǒng)管理員參加；（2）明確制定安全管理小組的成員在管理上的權(quán)利和義務(wù).對于小組中的每一個成員，明確指定每個人應(yīng)該對什么事故負什么樣的責(zé)任，責(zé)任落實到人頭；（3）明確指定什么人可以管理什么網(wǎng)絡(luò)設(shè)備（防火墻、路由器、交換機等等），做到專門的產(chǎn)品維護由專人負責(zé)；（4）組成一個快捷有效的應(yīng)急響應(yīng)小組，以便在發(fā)生攻擊事件時在最短時間內(nèi)提供最有利的支持；（5）定期組織培訓(xùn)，技能更新，提高安全防范意識.

總之，園區(qū)網(wǎng)絡(luò)安全涉及許多方面，是一個綜合性的課題，網(wǎng)絡(luò)安全的需要在技術(shù)上要求適應(yīng)網(wǎng)絡(luò)的動態(tài)變化，建立自適應(yīng)的安全保障體系.本文也只是在網(wǎng)絡(luò)安全體系的設(shè)計上提出基本設(shè)計方案，具體實施過程還需要根據(jù)實際情況對設(shè)備選型，技術(shù)正確配置與應(yīng)用.只有這樣才能構(gòu)建相對完善的網(wǎng)絡(luò)安全防御系統(tǒng)，真正起到保證網(wǎng)絡(luò)信息的安全.

〔1〕王群.計算機網(wǎng)絡(luò)安全技術(shù)[M].北京：清華大學(xué)出版社，2008.

〔2〕李文英.計算機網(wǎng)絡(luò)安全技術(shù)及其防護研究[J].科技廣場，2010（9）.

〔3〕郭珍華.淺析數(shù)據(jù)安全的主要問題與技術(shù)保護[J].科技情報開發(fā)與經(jīng)濟，2011（1）.

〔4〕潘瑜.計算機網(wǎng)絡(luò)安全技術(shù)[M].北京：科學(xué)出版社，2006.

TP393

A

1673-260X（2012）02-0135-03