大型核电运营企业核心网络改造方案设计与实施.pdf

l EC丁Rl C C W 薯 l T 中图分类号 ： T P 3 9 3 文献标志码 ： B 文章编号 ： 1 6 7 2 4 8 4 4 ( 2 0 1 1 ) 1 0 0 0 8 8 0 5 大型核电运营企业核心网络 改造方案设计与实施 董刚 ， 赵艳飞 ， 春增军 。 吴迪 ( 中科华核电技术研 究院有限公司 信息技术 中心 ， 广东 深圳 5 1 8 1 2 4 ) 摘要： 为彻底消除原有核心网络存在的设备故障率高、 安全 防护能力弱等 7类风 险隐患 。 设计 了一个全面完整的核心网络改造方案并成功组织实施。事实证明 。 核心网络改造实施大幅提升 了网络整体性能 ， 构建了清晰的网络区域安全隔离边界、 全面 的网络流量监控 系统和高效的网 络安全 防护体 系， 彻底消除了原有安全隐患， 全面提升 了核心网络整体性能和安全能力 。 有力 保障了信息系统稳健运行。文章所提方案， 对大型核心网络方案设计与实施具有参考意义。 关键词 ： 核心网络改造； 网络安全隔离边界： 网络流量监控 0 引言 核 电 运 营 网 络 是 大 型 核 电 集 团 网 络 的 重 要 组 成 部 分 之 一 ， 全 面 支 撑 着 公 司 电 厂 生 产 系 统 和 信 息 化 管 理 系 统 的 稳 定 运 行 ，其 地 位 非 常 重 要 。因 此 ， 提 前 深 入 分 析 并 全 面 消 除 网 络 运 行 风 险 ，保 障 公 司 核 心 网 络 安 全 稳 定 运 行 是 网 络 运 维 的 首 要 任 务 1 问题分析 近 年 来 公 司 业 务 快 速 扩 张 ， 随 之 信 息 系 统规 模 快 速 增 大 ， 信 息 业 务 种 类 迅 速 增 多 ， 网络 流 量 增 长 显 著 。而 公 司 核 心 网 络 自投 运 以 来 未 进 行 架 构 调 整 和 性 能 升 级 公 司 核 心 网 络 已不 能 为 公 司 2 O 1 1年第 9卷第 1 0期 ELECTRI C Po W ER I T 各 类 信 息 系 统 运 行 提 供 稳 健 的支 撑 。 具 体 表 现 为 以 下 7个 方 面 。 1 ) 核 心 网 络 设 备 使 用 均 超 过 5年 ， 最 长 使 用 近 1 0年 。 设 备 老 化 现 象 严 重 且 故 障 率 高 。设 备 性 能 低 ， 业 务 处 理 能 力 弱 。 2 ) 核 心 网 络 设 备 安 全 防 护 能 力 弱 ， 易 受 网 络 病 毒 、 木 马 、 蠕 虫 等 安 全 威 胁 攻 击 。且 各 区 域 之 间 没 有 清 晰 明 确 的 网 络 安 全 边 界 无 法 有 效 隔 离 阻 断 网络 攻 击 。 3) 核 心 网 络 设 备 缺 乏 精 细 化 的 网 络 流 量 监 控 功 能 ，不 能 清 晰 透 视 网络 流 量 具 体 明 细 ，无 法 快 速 定 位 网 络 异 常 流 量 不 能 有 效 地 保 障重 要 业 务 服 务 质 量 。 4 ) 专 项 数 据 中 心 网 络 核 心 设 备 存 在 设 备 单 点 故 障 ，各 类 服 务 器 都 混 接 到单 台核 心设 备 上 ， 一 旦 此 设 备 故 障 ， 将 会 造 成 整 个 服 务 器 网络 的 瘫 痪 。 5 ) 专 项 数 据 中心 网 络 可 扩 展 能 力 弱 ， 各 服 务 器 跨 机 房 混 接 在 数 据 中 心 网 络 核 心 设 备 上 。 无 法 满 足 数 据 中心 规 模 快 速 扩 展 要 求 。 6 ) 专 项 数 据 中 心 核 心 网 络 设 备 安 全 防 护 能 力 弱 ，既 无 法 有 效 主 动 监 控 并 阻 断 外 部 网 络 攻 击 又 无 法 实 现 服 务 器 之 间 互 访 精 细 化 控 制 。 7) 专 项 数 据 中 心 网 络 核 心 设 备 缺 乏 精 细 化 的 网 络 流 量 监 控 功 能 ，无 法 提 供 有 效 手 段 快 速 支 持 服 务 器 故 障 定 位 和 性 能 调 优 。 因此 。公 司 核 心 网 络 需 要 改 造 以 求 全 面 彻 底 消 除 以 上 7个 t ， 一 EL E 刀 C P0W EF ：I 厂 一 一一 一。 集 团M P L S B G P ， 核心网络 、 、 1 O G 光纤 集团核心网络 P E 设备 图 1运营公 司 MP L S V P N网络方案示意 Fi g 1 S o l u t i o n o f co mp a n y MPL S VPN 业 务 网 段 进 行 路 由 聚 合 后 再 发 布 到 OS P F进 程 中 ，减 少 路 由发 布 数 量 。 部 分 2层 接 入 交 换 机 需 要 直 接 上 行接 人 核 心 交换 机 ， 要 求 如 下 。 1 ) 2台 核 心 交 换 机 启 用 虚 拟 路 由 器 冗 余 协 议 ( VR RP， Vir t u a l Ro u t e r Re d u n d a n cy P r o t o co 1 ) 。 实 现 VRR P业 务 负 载 分 担 。 2 ) 接 入 交 换 机 启 用 快 速 生 成 树 协 议 ( RS T P， Ra p id S p a n in g T r e e P r o t o co 1 ) ， 防 止 网 络 产 生 环 路 。除 接 入 交 换 机 上 联 端 口 以 外 ，其 余 端 口 设 置 为 边 缘 端 口 ， 并 开 启 S T P BP D U 保 护 功 能 。 3_ 2 用 户 局 域 网 络 安 全 管 理 边 界 实 施 通 过 交 换 机 配 置 的 防 火 墙 业 务 板 卡 来 构 建 各 区 域 间 的 安 全 管 理 边 界 闭( 见 图 2) 。 防 火 墙 业 务 板 卡 采 用 2层 透 明 工 作 模 式 通 过lO G 的 内 部 接 口 与 交 换 机 交 互 数 据 ， 通 过 外 部 接 口与 另 一 个 防 火 墙 业 务 板 卡 相 连， 实 现 高 可 靠 性 ( HA， Hig h Av a ila b ilit y ) 会 话 同 步 。 防 火 墙 业 务 板 卡 划 分 T r u s t 和 Un t rus t 2个 安 全 区 域 区 域 ， 防 火 墙 业 务 板 卡 下 联 公 司 各 区 域 局 域 网 内部 接 口 ，属 于 T r u s t区 域 ， 2 O 1 1年 第 9卷第 1 0期 EL ECTRI C PoW ER I T 、 、 、 B 0 ， ， 上 联 接 口属 于 Un t r u s t区 域 配 置 相 应 的 安 全 策 略 ，控 制 业 务 流 的 互 访 互 通 ，检 测 并 阻 断 公 司 各 区 域 局 域 网 用 户 的 病 毒 入 侵 ， 保 护 各 区 域 网 络 安 全 稳 定 。 3 2 1攻 击 防 范 安 全 策 略 网 络 中各 种 攻 击 经 常 来 自外 部 ， 因此 ， 通 过 对 防 火 墙 安 全 区 域 启 用 攻 击 防 范 功 能 ， 阻 断 各 种 常 见 的 攻 击 。 攻 击 防 范 安 全 策 略 包 括 但 不 限 于 以 下1 2个 方 面 ： 发 现 攻 击 丢 包 、 启 动 F r a g g le攻 击 检 测 、 启 动 L a n d攻 击 检 测 、 启 动 Win Nu k e攻 击 检 测 、 启 动 T C P F la g攻 击 检 测 、 启 动 I C MP不 可 达 报 文 攻 击 检 测 、 启 动 I C MP重 定 向 报 文 攻 击 检 测、 启 动 T r a ce r t 防 U n t r u s t T r u s t 报 文 攻 击 检 测 、 启 动 S mu r f攻 击 检 测 、 启 动 带 源 路 由 选 项 I P报 文 攻 击 检 测 、启 动 带 路 由记 录 选 项 I P报 文 攻 击 检 测 、 启 动 超 大 I C MP 报 文 攻 击 检 测 。 3 - 2 2 业 务访 问异 常 检 测 安 全 策 略 通 过 检 测 防 火 墙 各 安 全 区 域 流 量 和 设 置 合 理 阀 值 当某 种 业 务 访 问 流 量 异 常( 通 常 是 大 量 I C MP、 UDP、 S YN 报 文 ) ， 超 过 阀 值 后 相 应 报 文 丢 弃 实 现 对 后 台 数 据 中 心 服 务 器 的 保 护 。 例 如 设 置I C MP F lo o d、 UD P F lo o d 连 接 数 为 每 秒 1 0 0 0个 S YN F lo o d连 接 数 为 每 秒 1 0 0 0 0个 半 连 接 数 为 每 秒1 0 0 0个 。 3 3 用 户 局 域 网 络 异 常 流 量 检 测 实 施 公 司 用 户 局 域 网 络 异 常 流 量 检 测 功 能 通 过 网 络 流 量 检 测 硬 件 板 卡 进 行 实 施 3 1 。方 案 原 理 如 图 3 所 示 ， 实 施 要 点 如 下 。 1 ) 交 换 机 和 网 络 流 量 检 测 硬 件 板 卡 通 ；t x l ： 内 部 的lO G 接 口 连 接 ，交 换 机 使 用 VL AN 虚 接 口进 行 三 层 转 发 。 2 ) 在 交 换 机 的 内外 网 接 口上 配 置 流 镜 像 ，把 从 上 行 链 路 进 入 交 换 机 的 数 据 流 ，镜 像 到 和 网 络 流 量 检 测 硬 件 板 卡 连 接 的 内 部 ， 一面 、 、 图 2用户局域网络 防火墙 实施方案 F i g 2 I mp l e me n t a t i o n s o l u t i o n f o r u s e r l o ca l n e t wo r k S f i r e wa EL CTRlC POW l T 一一 一 一 ， M I l S B ( | 】 髑 干网络 、 、 图 3局域网络异常流量检测 方案 F i g 3 Tr a f f i c a n o ma l y d e t e ct i o n s ol u t i o n f o r l o c a l n e t wo r k 1 0 G 接 口上 。 3) 网络 流 量 检 测 硬 件 板 卡 插 卡 对1 0 G 端 口 收 到 的 流 进 行 统 计 ， 定 期 向 网 络 流 量 监 控 中 心 ( 通 过 板 卡 外 部 接 口 回 绕 至 交 换 机 端 口 。使 路 由 与 流 量 监 控 中 心 服 务 器 可 达 ) 发 送 流 信 息 。 4) 镜 像 报 文 经 过 统 计 以 后 ， 通 过 内 部1 0 G 端 口 I n lin e ( 黑 洞 模 式 ) 丢 弃 。 实 施 运 行 效 果 如 图 4所 示 。 3 4专 项 数 据 中 心 核 心 网 络 架 构 调 整 实 施 为 方 便 实 施 不 同 服 务 器 间 的 互 访 精 细 化 控 制 ， 各 服 务 器 间 的 网 关 设 置 在 数 据 中 心 核 心 交 换 机 的 内 部 防 火 墙 。并 实 现 VRRP负 载 均 衡 核 心 交 换 机 之 间 互 联 捆 绑 链 路 透 传 各 服 务 器 业 务 网段 。 接 入 交 换 机 启 用 快 速 生 成 树 协 议 ( RS T P) ， 除 上 联 端 口 外 ， 其 余 端 口设 置 为 边 缘 端 口 ， 开 启 S T P B P DU 保 护 功 能 。同 时各 接 入 交 换 机 启 用 虚 拟 化 功 能 ，将 2台 设 备 虚 拟 化 为 1台 逻 辑 设 备 。 并 且 为 虚 拟 化 交 换 机 配 置 多 活 体 检 测 和 冲 突 处 理 ( MAD， Mu l t i Act i v e De t e ct io n) ， 以保 障 交 换 机 稳 定 运 行 。 对 于 部 分 可 靠 性 要 求 高 的 服 务 器 ，将 服 务 器 多 个 网 卡 捆 绑 上 连 到 虚 拟 化 接 入 交 换 机 ， 以 实 现 网 络 高 可 靠 性 和 负 载 均 衡 。 3 5 专 项 数 据 中 心 外 部 防 火 墙 方 案 实 施 公 司 数 据 中 心 核 心 交 换 机 与 集 团 核 心 路 由 器 之 间 的 单 体 防 火 墙 设 备 的 工 作 模 式 为 2层 透 明模 式 划 分 T r u s t与 Un t r u s t 2个 区 域 公 司 专 项 数 据 中 心 属 于 T r u s t 区 域 。其 他 区 域 属 于 Un t r u s t区 域 ， 配 置 严 格 的 域 间 策 略 ， 保 护 数 据 中心 访 问 的 合 法 性 与 安 全 性 。 3 6 专 项 数 据 中 心 内 部 防 火 墙 方 案 实 施 数 据 中 心 内 部 防 火 墙 板 卡 负 责 完 成 公 司 数 据 中 心 内部 不 同 等 级 服 务 器 之 间 的 访 问 控 制 以 实 现 服 务 器 间 的 合 法 安 全 访 问 ， 保 护 重 要 服 务 器 安 全 运 行 。 数 据 中 心 内 部 防 火 墙 业 务 板 卡 通 过 lO G 的 内 部 接 口 与 交 换 机 交 互 数 据 通 过 外 部 接 口与 另 一 数 据 中 心 核 C ,- 设 备 的 内 部 防 火 墙 业 务 板 卡 相 连 。 做 HA 会 话 同 步 备 份 ( 见 图 5 ) 。 数 据 中 心 内 部 防 火 墙 业 务 板 一 f 。 。 I ， “ 圈 磷诮塑 j 简 一 一 1 _ 鐾 $ 岬 - I 一 一 l ， 1 口 0 6 D 0 3 e 2 0 自 B 5 I 1 0 0， 2 ， I D 0 】 3 4 g 1 3 1 1 0 日 7 I 1 0 0， 2 1 0 5 5 1 7 ： 2 e 3 0 自 4 3 6 I 1 0 0 3 日 1 0 0 6 1 o 日 4 3 B I T d 0 一 ，f 0 0 0 日 ， 1 口 0 3 0 5 7 1 口 2 4 I 5 5 0 日 2 6 日 ，1 0 0 6 t 0 2 5 5 6 0 O 日 ，1 0 0 B | - 一1 口 口 3 日 7 0 2 日 1 图 4局域 网络流量检测效果 F i g 4 Re s u l t s f o r l o c a l n e t wo r k t r a ffi c a n o ma l y d e t e c t i o n 2 0 1 1年第 9卷第 1 O期 EL ECTRI c poW E R I T 口 ” 一 l I 卡 采 用 3层 路 由 模 式 ， 将 服 务 器 网 关 设 置 在 防 火 墙 业 务 板 卡 上 ， 以 求 减 少 同 网段 服 务 器 之 间 互 访 所 经 过 防 火 墙 业 务 板 卡 的业 务 流 次 数 。 板 卡 上 联 与 集 团 核 心 路 由 器 建 立 OS P F邻 居 ， 数 据 中 心 业 务 网段 发 布 到 O S P F进 程 。 数 据 中 心 内部 防 火 墙 业 务 板 卡 防 火 墙 划 分 T r u s t和 Un t r u s t 2 个 安 全 区 域 ，防 火 墙 业 务 板 卡 下 联 服 务 器 的 内 部 接 口 划 分 到 T rus t区 域 上 联 接 口属 于 Un t r u s t 区 域 ， 配 置 严 格 的 域 间 访 问 策 略 ， 控 制 业 务 流 的 互 访 互 通 。 阻 断 各 等 级 服 务 器 之 间 的 非 法 访 问 。 4 结语 本 文 所 述 网 络 改 造 方 案 于 2 0 1 1年 在 某 大 型 核 电 运 营 企 业 核 心 网 络 改 造 工 程 中 成 功 实 施 。 实 践 证 明 ， 通 过 核 心 网 络 改 造 ， 公 司 核 心 网 络 升 级 为 主 干 万 兆 互 联 ， 服 务 器 千 兆 接 入 ， 各 区 域 间 构 建 了 清 晰 明 确 的 网 络 安 全 隔 离 边 界 、全 面 的 网 络 流 量 监 控 系 统 和 高 效 的 网 络 安 全 访 问 防 护 体 系 ， 彻 底 解 决 了原 有 旧 网 中存 在 的 7 类 安 全 隐 患 ，全 面 提 升 了 公 司 核 心 网 络 的 整 体 性 能 和 安 全 防 护 能 U n -_- T 图 5专项数据中心内部 防火墙使用方案 F i g 5 I mp l e me n t a t i o n s o l u t i o n f o r s p e c i a l d a t a c e n t er s f i r e wa l 力 有 力 地 保 障 了 公 司 各 类 电 厂 生 产 系 统 和 信 息 管 理 系 统 的 稳 健 运 行 。 下 步 工 作 是 在 此 基 础 上 充 分 挖 掘 并 优 化 各 设 备 功 能 实 现 ， 进 行 网 络 精 细 化 管 理 与 运 维 。 参考 文献 ： 1 G u ic h a r d J MP L S和 V P N体系结 构( 第 2 卷) M 北京： 人民邮电出版社， 2 0 1 0 2 C o n v e r y S 网络安全体系结构 M 北 京： 人 民邮电出版社 2 0 1 0 3 】 刘芳 网络 流量监 测与控制 M1 北京： 北 京 邮电大学出版社， 2 0 0 9 责任编辑 张钦芝 收稿 日期 ： 2 0 1 1 0 8 0 1 董刚 ( 1 9 8 0 一) ， 男， 河 南新 乡人 ， 助理研 究员 ， 从 事网络建 设和运维工作 ： 赵 艳 飞 ( 1 9 8 4 一) ， 男 ， 江 苏 徐 州人 ， 助理 工程师， 从 事 网络 建设和运维工作 ； 春 增 军( 1 9 7 3 一) ， 男 ， 陕 西 岐 山人， 高级 工程 师 ， 从 事信 息 系统安全管理工作 ； 吴 迪 ( 1 9 8 2 一) ， 女 ， 吉林 长 春人 ， 助理工程 师， 从 事网络建 设和运维工作。 De s ig n a n d I mp le me n t a t io n o f La r g e - S c a le Nu c le a r Po we r Op e r a t io n En t e r p r is e Co r e Ne t wo r k Up g r a d e S o l u t io n DO NG Ga n g , Z HA0 Y a n -f e i，C HU N Z e n g - j u n ， Di ( I n f o r ma t io n T e c h n o lo g y C e n t e r ， Ch in a Nu c le a r E le c t r ic i t y T e c h n o lo g y Re s e a r c h I n s t it u t e ， S h e n z h e n 5 1 8 1 2 4 ， C h in a ) A b s t r a c t ： I n o r d e r t o e limina t e e x is t in g s e v e n t y pe s o f s e c u r it y ri s k s ，s u c h a s h ig h f a ilu r e r a t e o f c o r e n e t wc I r k e q ui pme n t s a nd we a k s e c u r it y p r o t e c t io n，t his p a p e r d e s ig ns a c o mp r e he ns i v e s o lu t io r f o r c o r e ne t wo r k u p g r a d e a nd D u t s in t o e f f e c t s u c c e s s f u lly Th e r e s u lt s s h o w t h a t t h is u