重型机械公司网络及网络安全方案

重型机械公司网络及网络安全方案根据标书要求及其应用需求，鉴于AA重型机械公司各部门的特殊安全性要求，在总体建设上我们采用业务与网络分层构建、逐层保护的指导原则，利用标准IP+MPLSVPN技术，保证网络的互联互通性，并提供各部门、应用系统网络间的逻辑隔离(VPN)，保证互访的安全控制，同时通过QOS和基于MPLSVPN的流量工程（TE），保证关键业务在网络上传输的优先级。对于基于同一传输网络之上的多个不同部门、应用系统之间的业务和数据隔离，我们设计采用MPLSVPN技术实现网络横向业务部门的隔离和纵向应用系统的互通，所采用的传输及网络设备以及整体网络构架都具有良好性能、高可靠和可扩展性，充分保护用户投资。根据网络业务不断发展的需求，未来将在现有数据网络平台基础上增加语音、视频等业务功能，并将各种业务充分融合，统一实现，从而构建一个基于“三网合一”概念的企业信息化综合业务平台。全网分为两部分：骨干网络和网络中心。骨干网络采用核心层、汇聚层、接入层的部署思路，各部分描述如下：作为全网数据和业务的核心，网络上所有业务的数据流都要经过核心交换机进行交换，因此它的安全性、可靠性和高性能对于全网数据和业务应用的正常开展至关重要。我们采用的华为3om公司万兆核心路由交换机H3C9512，基于新一代核心交换机的设计理念，在本项目中具备如下特色：1、主控引擎、电源等关键部件全部采用冗余设计，支持多操作系统、多配置文件，保证可靠性；2、本项目部署采用增强型业务板，全面支持分布式IP/MPLSVPN业务转发，保证高性能；3、内置的802.1xSERVER可以作为接入认证服务器CAMS的备份系统；4、硬件支持IPv6，支持10GRPR高速环网数据接口，满足未来构建企业大型核心环网要求；汇聚层在骨干网络中起到承上启下的作用，应具备可靠性、高性能和多业务兼顾的特点。我们采用的华为3om公司万兆核心路由交换机H3C9505，在本项目中具备如下特色：1、主控引擎、电源等关键部件全部采用冗余设计，支持多操作系统、多配置文件，保证可靠性；2、本项目部署采用增强型业务板，全面支持分布式IP/MPLSVPN业务转发，保证高性能；3、采用逐包转发机制，可抑制各种蠕虫病毒的泛滥；4、完善的ACL、流量监管、多元组绑定等安全机制；5、硬件支持IPv6，支持10GRPR高速环网数据接口，满足未来构建企业大型核心环网要求；我们采用华为3com公司的网络和安全产品，对数据中心做如下部署：核心防火墙：防火墙可以部署在网络内部数据中心的前面，实现对所有访问数据中心服务器的网络流量进行身份控制，提供对数据中心服务器的保护。除了完善的隔离控制能力和安全防范能力，数据中心防火墙的部署我们同时考虑两个关键特性：高性能：数据中心部署大量的服务器，是整个网络的数据流量的汇集点，因此要求防火墙必须具备非常高的性能，保证部署防火墙后不会影响这些大流量的数据传输，不能成为性能的瓶颈；可靠性：所有数据服务器都部署在数据中心，这些服务器是企业运行的关键支撑，必须要严格的保证这些服务器可靠性与可用性，因此，部署防火墙以后，不对网络传输的可靠性造成影响，不能形成单点故障。 基于上述两个的关键特性，我们进行以下设备部署模式和配置策略：设备部署模式：我们在两台核心交换机上部署两台F1000-S千兆防火墙，以双链路方式和1G的吞吐量保证可靠性和高性能。安全控制策略：防火墙设置为默认拒绝工作方式，保证所有的数据包，如果没有明确的规则允许通过，全部拒绝以保证安全；在两台防火墙上设定严格的访问控制规则，配置只有规则允许用户能够访问数据中心中的指定的资源，严格限制网络用户对数据中心服务器的资源，以避免网络用户可能会对数据中心的攻击、非授权访问以及病毒的传播，保护数据中心的核心数据信息资产；配置防火墙全面攻击防范能力，包括ARP欺骗攻击的防范，提供ARP主动反向查询、TCP报文标志位不合法攻击防范、超大ICMP报文攻击防范、地址/端口扫描的防范、ICMP重定向或不可达报文控制功能、Tracert报文控制功能、带路由记录选项IP报文控制功能等，全面防范各种网络层的攻击行为；根据需要，配置IP/MAC绑定功能，对能够识别MAC地址的主机进行链路层控制，实现只有IP/MAC匹配的用户才能访问数据中心的服务器；核心入侵防御系统（IPS）：随着网络所面临的威胁越来越多，尤其应用层的攻击与日俱增，传统的防火墙等安全设备已经无法独立应对。对于数据中心来说，服务器受攻击瘫痪，数据被窃取，病毒感染导致系统停滞，都会给企业带来无可估量的损失。入侵防御系统（IPS）能够较好的解决应用层安全隐患。我们采用IPS领域最好的产品，华为3comTippingPointIPS，为AA重型机械公司数据中心的带来全方位的安全防护能力。具体部署如下：在服务器交换机和核心防火墙之间，部署两台TippingPoint1200EIPS，和服务器交换机、防火墙设备采用双链路连接，以阻挡防火墙设备不能抵御的系统漏洞攻击、蠕虫病毒、木马程序、间谍软件、DOS/DDOS攻击等。同时TippingPoint1200E入侵防御性能达1.2Gbps，完全满足1G以上的设备要求，无任何瓶颈。TippingPointIPS的优点如下：1、安全与高性能相结合华为3comTippingPoint是全球IPS领域的领导者。其IPS产品（及其配套的管理和保障产品），凭借强大的攻击检测与实时防御能力、出色的性能、电信级的高可靠性和易部署、易管理等特性，成为唯一的NSS（全球最权威的安全产品评测机构）评测金奖获得者，并率先获得CC（CommonCriteria）认证。大部分IPS厂商的产品是以IntelI386架构（类似于PC）加软件体系来实现入侵防御功能，而众所周知IntelI386架构本身就容易受到攻击。TippingPoint则是完全以硬件全交换架构，采用NP+ASIC为核心的高性能设备，保证了性能和自身的安全性，由此，TippingPoint具有全球最高性能（5Gbps）的产品。2、主动式的入侵防御长久以来，网络使用者和管理员被下面这些麻烦所困扰：网络屡遭攻击后无法彻底清理干净而导致复发；需要在短时间内紧急为大量的服务器打补丁；泛滥的P2P流量大量侵占了宝贵的网络带宽使得关键业务中断……入侵检测系统（IDS，IntrusionDetectionSystem）无法真正解决这些难题。众所周知，IDS只能够检测到攻击而不能采取任何主动的防御行为，因此，IDS只适合在某些主要需求为流量监控、分析与回放的场景下部署的。IPS的不同之处在于可以被“在线”地部署到网络当中去，对所有流经的流量进行深度分析与检测，从而具备了实时阻断攻击的能力，同时对正常流量不产生任何影响。3、安全保障无处不在TippingPointIPS在跟踪流状态的基础上，对报文进行2层到7层信息的深度检测，可以在蠕虫、病毒、木马、DoS/DDoS、后门、Walk-in蠕虫、连接劫持、带宽滥用等威胁发生前成功地检测并阻断，而且，TippingPointIPS也能够有效防御针对路由器、交换机、DNS服务器等网络重要基础设施的攻击。TippingPointIPS还支持以下检测机制：基于访问控制列表（ACL）的检测基于统计的检测基于协议跟踪的检测基于应用异常的检测报文规范检测（Normalization）IP报文重组TCP流恢复以上机制协同工作，TippingPointIPS可以对流量进行细微粒度的识别与控制，有效检测流量激增、缓冲区溢出、漏洞探测、IPS规避等一些已知的、甚至未知的攻击。4、数字疫苗（DV，DigitalVaccine）保障实时安全TippingPoint实时更新、发布的数字疫苗（DV，DigitalVaccine）是网络免疫的保障与基础。TippingPoint的专业团队同时跟踪其它知名安全组织和厂商发布的安全公告；经过跟踪、分析、验证所有这些威胁，生成供TippingPointIPS使用的可以保护这些漏洞的特征知识库–数字疫苗，它针对漏洞的本质进行保护，而不是根据特定的攻击特征进行防御。数字疫苗以定期（每周）和紧急（当重大安全漏洞被发现）两种方式发布，并且能够通过内容发布网络自动地分发到用户驻地的IPS设备中，从而使得用户的IPS设备在漏洞被公布的同时立刻具备防御零时差攻击的能力。TippingPoint还与全球着名的系统软件厂商，如Microsoft、Oracle等，保持了良好的合作关系。在某个漏洞被发现后，TippingPoint能够在第一时间（即厂商公布安全公告之前）获得该漏洞的详细信息，并且利用这一时间差及时制作可以防御该漏洞的数字疫苗，使得用户的网络免遭这种“零时差攻击”。服务器交换机：服务器交换机负责众多数据库和应用服务器的接入，在此我们采用华为3com5600-50C产品，其设备在本项目中有如下优势：1、以单台240G的交换容量和48个千兆接口的端口密度全面满足并超越招标文件要求2、支持IRF智能弹性架构，96G的堆叠带宽和堆叠组内跨设备链路聚合功能为服务器的双上行接入提供了更高的带宽和可靠性3、支持万兆接口，为未来的系统全面升级提前做好了准备4、配置冗余电源系统，进一步提高设备可靠性。在一个大型园区网络里，接入交换机具有数量多，部署分散的特点，且直接负责终端的接入，应具备可管理性强、端口控制能力强、性价比高的特点。我们选用的H3C3600系列三层接入交换机，具备如下优势：1、支持创新的堆叠技术-IRF，，使堆叠组完全可看作一个设备，使可管理性大幅度提高。2、具有良好的端点控制能力，支持丰富的MAC、IP、端口的灵活绑定。

3、支持华为3com端点准入解决方案，未来可通过此功能实现对终端病毒和系统漏洞的全面抑制。4、VLAN能力强，支持最高的4096个VLAN；对外访问区负责全网对INTERNET的访问，同时承载AA重型机械公司门户网站的对外发布和EMAIL系统。虽然现在网络上80%的安全隐患都在内网，但互联网出口的安全问题仍然是对企业网络最具威胁的区域，黑客入侵、企业机密数据外泄、新病毒的导入都几乎全部发生在这里，所以互联网接入设计中，安全设计仍然放在首位。我们采用路由器+防火墙+入侵防御系统（IPS）的方式来构建对外访问区。路由器：路由器是连接内外网的纽带，路由器的性能直接影响对于宝贵带宽的使用率，此外对于大型园区网出口，由于内部网络用户数量庞大，路由器应该具备高性能的NAT转发能力。我们采用华为3comNE20-8高性能路由器，部署在AA重型机械公司网络的互联网出口。该设备在本项目中的技术优势如下：1、高性能：具备4.5Mpps的包转发性能，满足未来三条千兆线路（千兆链路线速转发理论值1.488Mpps）的全线速转发。2、强大的NAT能力：NE20-8设备具备100万并发NAT连接的能力，每秒新建连接可达20万，且支持丰富的NAT特性，提供NAT日志的输出，可配合日志审计系统，做到对于对外访问的纪录和跟踪。3、深度业务感知：NE20-8路由器具备华为3com专利特色的深度业务感知功能，可以根据流量的协议类型对其加以识别、分类、限制或阻断。可将常规应用协议流量由NE20-8来限制，BT等带宽滥用流量或其他非常规流量由IPS进行限制。防火墙：使用原有Juniper防火墙，划分DMZ区域，通过原有华为5000千兆交换机，连接门户服务器及EMAIL服务器等。配置策略偏重安全区划分，安全抵御由入侵防御系统着重完成。入侵防御系统：配置TippingPointX505，具备100M吞吐量，满足当前接入带宽。重点配置对于黑客入侵、蠕虫病毒、木马程序的防范。1、QuidView网络管理软件设计Quidview网络管理软件是华为3Com公司对公司全线数据通信设备实现统一管理和维护的网管产品。产品采用灵活的组件化结构，支持与HPOpenview、SNMPc等通用网管平台的集成，与华为3Com公司的数据通信设备产品一起为用户提供全网解决方案，帮助客户真正实现网络的按需构建。产品特点Quidview网络管理系统采用分布式、组件化、跨平台的开放体系结构，用户通过选择安装不同的业务组件，可以实现设备管理、拓扑管理、告警管理、性能管理、软件升级管理、配置文件管理、VPN监视与部署等多种管理功能。产品不仅能够独立提供完整的网络管理平台，还能够与OpenView、SNMPc多种主流通用网管平台灵活集成；不仅能够管理华为3COM公司的全线数据通信设备，还能够通过标准MIB管理CISCO、3COM等各主流厂商的数据通讯设备。灵活展示网络拓扑Quidview网络管理软件可以通过拓扑发现功能，帮助客户迅速发现网络资源。能够实时监视所有设备的运行状况，通过可视化的网络拓扑界面帮助用户及时了解网络的变化。自动发现网络拓扑结构；支持全网设备的统一拓扑视图；可以灵活裁减拓扑视图，聚焦网络的关键区域；可以灵活选择设备、背景图标，构建逼近真实网络的拓扑可以直接点击拓扑视图节点，快速查看设备面板；拓扑节点颜色能够直观反映网络、设备状态；可以灵活定制对设备状态的轮询间隔；全流程的故障管理Quidview的网络故障管理功能为用户及时发现问题、深入分析问题、快速解决问题提供了全流程的支持。支持告警快速定位到网络拓扑；支持多种告警通知方式，包括：告警声光提示、告警转Email和手机短信；支持告警相关性分析，包括屏蔽重复告警、自动确认相关告警等。支持告警过滤，用户能够按照告警级别、告警源、关键词等过滤条件迅速聚焦到“真正有价值的告警”；可以灵活定义告警级别，以符合客户网络的实际状况；提供常见问题的修复建议。同时用户可以根据实际的维护经验，不断完善丰富维护经验库。主动的网络监视Quidview网管系统提供了丰富的性能管理功能，帮助用户主动监视网络的状况，及时发现网络潜在的隐患。同时，丰富的历史性能统计数据为用户升级扩容网络提供了客观准确的参考。提供基于任务的工作向导，简化用户网络监视活动的操作；提供接口流入、流出、广播报文等常用的性能统计模板，使用户不需要关注MIB表达式的技术细节；支持Ataglance功能，使用户能够快速了解关键设备的CPU、内存、流量等重要信息；支持饼图、折线图、曲线图等多种图形方式，直观地反映性能指标的变化趋势；支持性能的门限设置，使网络隐患能够以告警的方式及时通知到网络管理员；支持RFC1757定义的标准RMON-MIB及华为3Com自定义告警扩展MIB，实现统计组、事件组、告警组等分组的配置和浏览；批量的设备配置备份60%的设备故障是因为网络误配置造成的。网络管理员需要定期备份配置文件，跟踪设备配置变化，以保证一旦发生网络故障时，能够利用历史配置备份将网络立刻恢复正常。支持网络运行设备的配置变化检查，一旦配置发生变化，立刻以告警方式通知管理员关注；支持设备配置文件的批量备份和恢复功能，极大提高了管理员的工作效率；支持灵活的设备配置文件比较功能，包括指定设备的运行配置和启动配置的比较、不同设备间的配置文件比较等，使管理员能够快速查看设备配置差异，迅速定位导致问题的配置命令；可靠的设备软件升级升级和备份网络中的设备软件是非常烦琐而复杂的事情。在升级过程中，用户需要认真检查软件版本和设备的配套关系，还需要检查设备当前的flash空间是否足够容纳新的软件版本等等一系列工作，以保证整个软件升级过程是安全可靠的。当网络中设备数量众多时，管理这些设备的软件将是非常巨大的工作量。提供基于任务的工作向导，降低用户操作的复杂性；支持网络运行设备的软件版本查询功能，使用户对网络中的版本情况一清二楚；提供设备软件版本库功能，使用户可以集中管理设备软件，建立版本基线；支持对设备软件的批量备份和恢复功能，极大提高了管理员的工作效率；支持先备份后升级，保证一旦升级失败后可以恢复到原有设备软件版本；支持对整个升级过程的可靠性检查，如设备软件版本和设备是否配套，flash空间是否足够等，确保用户的整个升级操作万无一失；简便直观的设备管理Quidview向用户提供了网元管理功能，通过逼真的面板图片，直观地反映了设备运行情况。通过面板图标直观地反映设备的框、架、槽、卡、风扇、CPU、端口等关键部件的运行状态；能够查看、设置设备端口状态；能够查看路由、VLAN等配置信息；能够查看端口流量、丢包率、错包率等关键统计数据；支持对华为3COM公司交换机集群、堆叠能力的管理；设备管理功能既可以单独启动，也可以通过双击拓扑节点直接启动；快捷易用的管理工具针对设备端口故障，Quidview网络管理软件提供了便捷的定位检测工具——路径跟踪和端口环回测试工具。当用户报告网络接入存在问题时，网络管理员不需要到达用户现场，直接通过网管对指定用户端口做环回测试，实现用户侧端口的远程诊断。Quidview还提供了按MAC地址或IP地址反查端口的功能。管理员只需要输入终端用户的MAC地址或IP地址，就能够直接定位终端用户所连接的交换机及交换机的端口，迅速定位非法报文所接入网络的原始端口，以及时关闭端口，阻止违规用户进行滥发报文、盗用IP等恶意行为。多厂商设备的统一管理Quidview可管理所有支持标准SNMP网管协议的网络设备，为多厂商设备共存的网络提供了统一的管理方式。自动发现多厂商设备，展示多厂商设备组成的网络拓扑；监视设备性能，包括接口的流量、错包率、丢包率等指标；接收和解析设备告警，提供告警分析和查询功能；服务器的集成管理服务器是企业IT架构中的重要组成部分，通过Quidview可以实现服务器与网络设备的统一管理。包括：支持对CPU、内存资源消耗的监视；支持对硬盘使用情况的监视；支持运行进程的资源监视；2、CAMS接入控制软件CAMS（ComprehensiveAccessManagementServer）综合访问管理服务器是华为3Com公司推出的集事前认证、事中监控、事后审计和业务管理为一体的多业务安全接入管理平台，可以与华为3Com交换机、路由器、VPN网关等网络设备共同组网，实现对用户宽带接入、VPN接入、无线接入以及IP电话接入的管理、认证、授权和计费。CAMS作为企业网的用户管理中心，在基本的AAA（Authorization、AuthenticationandAccounting）功能之上，提供了多业务融合的管理、维护和安全控制平台，可与企业现有系统平滑对接，构建可管理、可运营、高安全的企业网络。产品特点CAMS采用分布式、模块化、跨平台的开放体系结构和基于TCP/IP的通信机制，可以平滑扩容、灵活扩展、按需定制。CAMS采用Windows操作系统平台和SQLServer数据库管理系统，并支持集群服务器、磁盘阵列、数据库备份等特性，为用户提供了一种低价格、高可靠、高性能的网络安全和用户管理解决方案，能够满足各种规模网络的用户管理、身份认证、权限控制和实时计费的要求。完备、可靠的网络安全保证强大的用户身份认证支持802.1x、PPPoE、Portal/Portal+（DHCP+WEB）、VPN接入、无线接入、IP电话等多种认证接入方式。支持PAP、CHAP、EAP-MD5、EAP-TLS、PEAP等多种身份验证方式，适应不同安全要求的应用场景。支持用户与设备IP地址、接入端口、VLAN、用户IP地址和MAC地址等硬件信息的绑定认证，增强用户认证的安全性，防止账号盗用和非法接入。支持与Windows域管理器、第三方邮件系统（必须支持LDAP协议）的统一认证，避免用户记忆多个用户名和密码。支持多区域用户漫游。支持端点准入防御（EAD）解决方案，确保所有接入网络的用户终端符合企业的安全策略。（提供自动补丁管理、多厂商防病毒联动防御等系统漏洞管理能力，确保终端的自防御能力。提供桌面管理代理，支持软件安装合法性检查、网络服务合法性检查、终端安全设置检查等功能，确保终端的运行环境符合企业安全标准，防止滥用网络游戏，私设DHCP、代理等网络服务。支持安全级别的个性化设置，可以根据实际需要进行各种安全策略的灵活配置。）严格的用户权限控制基于用户的权限控制策略，可以为不同用户定制不同网络访问权限。可以控制用户的上网带宽（QoS；802.1x认证支持）、限制用户的同时在线数、禁止用户设置和使用代理服务器，有效防止个别用户对网络资源的过度占用。可以实现对用户ACL、VLAN的控制，限制用户对内部敏感服务器和外部非法网站的访问（802.1x认证支持）。可以限制用户IP地址分配策略，防止IP地址盗用和冲突。可以限制用户的接入时段和接入区域，用户只能在允许的时间和地点上网。可以限制终端用户使用多网卡和拨号网络，防止内部信息泄露。可以限制用户必须使用专用安全客户端，并强制自动升级，确保认证客户端的安全性。详尽的用户行为监控CAMS提供强大的“黑名单”管理策略，可以将恶意猜测密码的用户加入黑名单，并可按MAC、IP地址跟踪非法行为的来源。管理员可以实时监控在线用户，强制非法用户下线。支持消息下发，管理员可以通过CAMS向上网用户发布通知消息，如“系统升级，网络将在10分中后切断”、“您的密码遭恶意试探，请注意保护密码安全”等。CAMS记录认证失败日志、并可以全面跟踪用户上网流程，方便定位与解决用户无法接入、异常断线等问题。灵活、开放的计费策略CAMS系统采用开放、抽象的计费模型，具有良好的适应性和扩充性，能够满足不同应用场景的计费需求，用户可以根据运营的需要轻松定制计费方式和费率。支持纯包月、包月限时、包月限流量等易于管理的包月型计费方式。支持包月暂停的功能，可以使用户的包月截止日期顺延，并支持用户认证上网自动取消暂停。支持自适应包月：用户使用包月计费策略时，其包月费用的收取根据用户的实际使用情况而定。如果某月用户不使用网络服务，则该月不收取包月费用。支持按使用量（时长/流量）计费。支持按使用量分档计费和奖励：对不同的使用量设置不同的费率，用的越多越便宜。支持时段优惠：在正常费率的基础上对在某些时段的接入给予一定的折扣优惠，如周末优惠、假日优惠等。准确、实用的账务处理支持实时预付费和后付费两种付费方式，满足不同用户群的消费习惯支持营业厅缴费、充值卡缴费以