Radware电力行业解决方案.doc

radware电力行业解决方案11电力行业现状及应用分析31.1电力行业应用访问现状及需求31.2电力行业应用安全现状及需求32radware 电力行业解决方案42.1方案简单描述42.2radware应用访问解决方案52.3radware安全解决方案83radware 解决方案的优势93.1高可用性93.2高性能93.3可扩展性93.4高安全性91 电力行业现状及应用分析1.1 电力行业应用访问需求及现状随着电力行业信息化近几年的快速发展，信息化基础设施建设已成规模，应用系统正有效地支撑企业业务的发展和壮大，电力企业信息化建设重点也由“重建设”向“重管理”转变；管理思想从“管理it基础设施”向“提供it服务”转变；运作模式从“被动式服务”向“主动式服务”转变；越来越多的管理和服务都开始基于网络平台开展，如何保障各个管理、业务系统对外提供的服务不被中断同时给访问者以最快的内容传递?这个问题也越来越引起管理者的重视。目前电力企业的wan访问一般是通过电信和网通两个出口实现，对于短信网关则使用的是移动或联通出口，出口的管理还是依赖于传统上的路由技术，通过在出口路由器上人为静态配置策略路由或目的路由来进行流量管理，这种管理方式很容易导致当一条wan链路中断时，使用该链路的部分用户访问就会被停止；同时由于故障的应急修复需要人工干预，这也极大的增加了各应用系统对外服务运行的不稳定性和不可靠性。1.2 电力行业应用安全现状及需求电力通信数据网是电力系统为电力总局、电厂、供电局、变电站及与分局之间提供业务通道的基础网络设施，在这个数据网络上将会运行越来越重要的业务系统，而面对着日益增多的黑客、病毒对网络的有意无意的攻击，窃取重要敏感信息，网络安全问题也将是电力公司必须面对的一个问题。如果经常由于网络安全问题的存在导致服务不可用，信息的泄露，某个重要的业务系统陷入瘫痪，这会给电力公司带来无法衡量的损失。随着internet的发展，网络安全事件层出不穷，安全事件造成的损失也越来越大。对于电力公司的网络应用而言，最大威胁是目前网络中存在各种dos/ddos攻击，这些以消耗网络和主机资源达到服务能力耗尽的攻击将对电力公司应用系统的正常运行造成干扰;同时各种类型的蠕虫、病毒和后门软件也对电力公司的关键信息资源形成了威胁;传统的防火墙、ids等安全设备在对付这种类型的攻击时都无法实现最佳的保护。防火墙不再可以依赖，那么我们需要什么技术来维护应用的安全呢？我们需要分析黑客可能会对我们做什么，今天网络黑客的攻击手段多种多样，总结起来分为两类，一类是intrusion（入侵），另一类为ddos（拒绝服务）。这就是为什么今天市场上流行着两大类型的安全产品：ips（入侵防护系统）及anti-ddos（拒绝服务防护系统），而今的ips 及anti-ddos 大都是通过攻击特征库查询来防御攻击，不幸的是攻击特征码只有在攻击发生以后才能被分析出来，因此这种防御手段虽然有效，但是缺少足够的主动性，而基于行为的ddos防御手段（bdos）确是一种有效的主动防御手段。 2 radware 电力行业解决方案2.1 方案简单描述radware公司作为一家专注于智能应用交换的厂家，一直以来都在帮助企业用户解决网络应用的可用性、性能问题和安全问题。针对电力公司的关注焦点提出了自己的解决方案，来帮助电力企业优化和提高客户体验。主要集中在：1、电力公司面对多宿主接入，即多条链路接入internet后，要求对多条链路线路的使用实现负载均衡，当多条链路同时提供服务，需要保证外部用户数据包从哪一条链路进来从哪一条链路回去，保证内部用户选择最优链路访问外部资源，同时，当一条链路出现故障时，用户自动可以使用另一条链路；2、电力网络应用的安全解决方案，协助电力公司保护内网服务器资源免受目前网络上最有威胁的dos/ddos攻击的影响；图一 电力总局网络拓扑服务器客户端总局linkproof branch防火墙交换机分支机构 wan企业专网图二 总局和分支机构的连接拓扑上图是一个部署了radware应用访问解决方案和应用安全解决方案的典型网络拓扑。图一 在用户网络的出口部署了radware两台linkproof用于链路负载均衡，现对多条internet接入链路（最多100条）的负载均衡，可以同时实现outbound流量（内部办公用户访问internet）和inbound流量（internet用户访问内部服务器）双向的负载均衡; 同时使用radware专利技术动态就近性来保证进出的双向流量的智能的动态的就近性选择，大大提高用户访问的服务质量和访问效率。图二 在分支机构的网络接入处，部署linkproof branch，实现对internet接入和企业广域网接入这两条链路的负载均衡，根据分支机构办公用的访问的目的地址或者应用，智能的选择链路，实现两条链路的冗余备份和透明容错，保证了分支机构访问总部关键应用的100的高可用性。 在网络接入处部署defensepro，可以识别并实时抵御1500多种蠕虫、病毒、dos攻击和异常的流量模式，保护内部用户和服务器的安全；同时，通过把端口两两静态绑定，虚拟成多台逻辑设备，分别部署在核心交换机和企业广域网之间保护入侵和攻击不致互相扩散。2.2 radware应用访问解决方案流入（inbound）流量负载匀衡linkproof能够灵活有效地管理来自internet的访问，即流入（inbound）流量。使用户总是沿着最佳链路访问网站等服务，达到最佳的用户响应。如下图所示,假设图中有一台webserver,提供internet主机名为的服务,私有地址为00.smartnat针对采用域名方式实现访问的应用，smartnat功能和linkproof上集成的dns代理结合在一起，即能够完成流入流量的负载均衡。在dns服务器上注册两条ns记录，指向linkproof：www ns1 lp-cncwww ns2 lp-telecom在linkproof上设置url与内部主机地址的对应关系： 00在linkproof上设置静态的地址翻译：00 0000 00当有internet用户访问 时，dns服务器回应给用户由linkproof来完成最终地址解析。linkproof根据用户的具体设置来选定适当的isp线路，如果是网通用户则选择电信isp，将地址解析为00。同样，如果是电信用户则选择电信isp，则将地址解析为00。从而完成流入流量的负载均衡。针对直接采用地址实现访问的应用，linkproof通过静态nat将服务的内部地址一对一地转换为公网地址。就近性对于流入的流量，linkproof使用就近性判断机制。就近性机制分为静态和动态两种方式： 静态就近性：针对已知的用户范围和网络的就近性（例如网通用户应采用网通线路，电信用户使用电信线路），linkproof上可以设置静态就近性表，要求用户严格按照该表来选择线路；动态就近性：考虑路由的跳数、路径的延迟和负载状况来进行对每个访问发起点的就近性运算，选择最佳的流入流量传输路径，进行最终的解析地址。这个“近”其实是“最佳”的概念，因为往往物理上最近的线路不见得就是当时最佳的路径，将latency，hop，load参数通盘考虑选优是radware独有的技术并已获取专利，能够准确有效地选择最佳路径。流出（outbound）流量负载匀衡linkproof主要采用以下集中方式来处理流出流量： smartnat对于流出流量的智能地址管理，linkproof使用了称为smartnat的算法。当选定一个路由器（某一个isp）传送流出流量时，linkproof将选择该isp提供的地址。在上图中，如果linkproof选择电信isp作为流出流量的路径，则它将把内部的主机地址翻译为电信isp路由接入网段的地址，并作为流出数据包的源地址。同样，如果linkproof选择网通isp作为流出流量的路径，则它将把内部的主机地址翻译为网通ips路由接入网段的地址并作为流出数据包的源地址。content routing为了优化流出的流量，linkproof还为流出的流量实施就近性运算。如果内部网络的某一台内部主机要访问某一internet站点，可能通过一个电信isp的路径比通过网通isp的路径有效。因此，linkproof可以提供就近性算法，为流出到某一个站点的流量选择最佳的isp路径，保证所需内容最快到达目的地，提高服务的品质；linkproof的就近性算法考虑路由的跳数、路径的延迟和负载状况来进行对每个目的地的就近性运算，选择最佳的流出流量传输路径;该就近性算法为radware专利技术，属radware公司所独有。利用全路径检康检测监控链路状况linkproof能够灵活有效地判断internet链路的健康状况，作为分配流量的前提。a、全路径健康检查 linkproof的一个主要作用是检测isp链路的可用性，即健康状况。而一条访问链路的健康状况不仅仅是由isp的路由器的状况决定的。因此，linkproof提供了全路径健康检查的功能，可以做到从发起端到接收端进行全面而精确的健康检查，最多能够完成10跳路由的健康的检测，从而保证整条数据链路的通畅，提高服务质量。b、健康检查模块 linkproof的健康检查模块提供更为健全和灵活的判断机制。当icmp的数据包出于安全原因而被isp禁止时，该方法的优势就有了更充分的体现。此时，可以通过多个internet站点的可达性，来共同判断一条链路的状况。例如，通过电信线路检查、、以及的tcp 80端口，并对检查结果做“或”运算。这样，只要其中一个站点可达，即可表明链路状态良好。该方法即避免了icmp检查的局限性，也避免了单一站点检查带来的单点失误。冗余配置由于服务的可靠性越来越成为因特网上的一个主要问题，所以用户越来越多地在安装像应用交换机这样的因特网通信量控制设备时考虑到冗余配置；linkproof是通过采用相同的协议和配置机制实现设备的冗余。linkproof使用radware已被证明的冗余机制，其中设备的状态监视通过网络来实现，从而祢补了设备故障和网络故障。如果主linkproof或其网络连接之一发生故障，则备用linkproof能够非常容易的接管主linkproof的工作。在两条链路正常的情况下，无论是inbound 还是outbound 的流量， active linkproof都可以采用radware独特的智能地址翻译（smart nat）来实现负载的均衡，并且还可以使用radware独有proximity算法为其选择最“近”的路径。在其中一条链路中断的情况下，linkproof同样可以保证inbound 和outbound流量的畅通，backup linkproof利用vrrp组播包监视active linkproof的状态，随时准备接管它的一切功能。同时在backup linkproof 上启动session mirror 功能， 实时的复制active linkproof上的连接信息，当检查到active linkproof 上的连接出现问题时及时接管，以确保已有的网络session不会造成失效。2.3 radware安全解决方案由于传统的防火墙只能检查数据包网络或传输层的信息，对于目前网络中大量隐藏在正常应用端口如http等中的攻击无法检测。因此一种深度包检查（dpi）的技术已经出现，通过发现深藏在数据包内部的攻击来实现对于攻击的真正防范。而radware 的 defensepro就是最佳的选择，defensepro是市场上唯一同时具备ips，anti-ddos，bdos的安全产品，也是安全市场上处理能力最快的安全产品，最高安全处理能力高达6g。并具备带宽管理功能，有效地在出口限制p2p应用带宽及垃圾流量。radware defensepro提供了多种技术手段来发现和防范各种攻击的发生，其中有黑白名单、多层syn 攻击的防范、基于特征的蠕虫、病毒、后门软件和dos攻击的防范、基于特征和采样相结合的dos-shield功能、连接限制、bdos等。其中bdos功能是目前业界最先进的基于网络行为模式的攻击防范技术，通过监控网络中的流量模型，不但能防范目前已知的flooding攻击类型，也能够对“zero day”攻击进行有效的防范。defensepro bdos 功能不单只检测流量的行为异常，并监测tcp/udp/icmp 等状态的分布异常，避免产生误报的发生，如新闻网站，经常因为头条新闻而导致流量剧增，若只检测流量的行为异常，必定产生误报，defensepro bdos监测tcp/udp/icmp 等状态的分布异常，避免产生误报。见下图：综合defensepro上述的安全防范功能，配合radware的apsoluteinsite网络管理软件，能够实时扫描网络中的攻击，一旦当攻击发生时自动触发防御和报告机制，主动保护网络中的资源。apsoluteinsite网络管理软件还能采集网络中的各种安全事件，形成各种报表，供安全维护人员和公司决策层参考。3 r