企业内部网信息安全建设的技术要求配置方案及建议

企业内部网信息安全建设的技术要求配置方案及建议

的技术要求、配置方案及建议

美国安泰成发国际集团公旬

企业网网络安全解决方案

引言

1999年己经到来，人类处在21世纪前夜。1998年是全球信息革命与

Internet新腾飞的一年。“带宽爆炸”，用户超亿，网上协同攻破密码等等

制造性的应用层出不穷。Internet已成为全新的传播媒体，克林顿丑闻材料

在48小时内就有2000万人上网观看。电子商务进展更出人意料，网上购物

仅圣诞节就突破3亿美元的销售额，比估计的全年20亿还多。美国对

"Internet经济”投资达到1240亿，第二代Internet正式启动，第三代智

能网络已在酝酿，以Internet为代表与主体的信息网络必将在21世纪成为

人类生产、生活、刍下而上的一个基本方式。世界各国都以战略眼光凝视着

它的进展，并在积极谋取网上的优势与主动权。但是Internet网的信息安全

问题在1998年也较突出，除两千年虫问题已进入倒计时外，下面摘录上电报

导：

病毒感染事件1998年增加了二倍，宏病毒入侵案件占60版已超过1300

种，而1996只有40种。

网上攻击事件大幅上升，对50个国家的抽样调查显示：去年有73%的单

位受到各类形式的入侵，而1996年是42机据估计，世界上已有两千万人具

有进行攻击的潜力。

网上经济诈骗增长了五倍，估计金额达到6亿美元，而同年暴力抢劫银

行的缺失才5900万。一份调查报告中说：有48%的企业受过网上侵害，其中

缺失最多的达一百万美元。

对美军的非绝密计算机系统的攻击试验说明，成功率达到88%。而被主

动查出的只占5%o1998年5月美CIA局长在信息安全的报告中正式宣布:“信

息战威胁确实存在

网上赌博盛行，去年在200个网点上的赌博金额达到60亿美元，估计今

年还会增加一倍。

网上色情泛滥，通过浏览器、电子邮件等方式大量扩散。由于问题严重,

西方12个国家的警方在去年九月进行了一次联合行动，共抓96人，其中一

个网址竟有25万张黄色图像。联合国科教文组织决定今年一月召开会议，研

究遏制网上色情。

欧盟正式发表了对网上有害与非法信息内容的处理法规。

电子邮件垃圾已被新闻界选为1998年Internet坏消息之一，美国一家

网络公司一年传送的电子邮件中有三分之一是电子垃圾。

网上违反保密与密码管制的问题己成为各国政府关注的一个焦点。

暴露个人隐私问题突出，比如通过美国一个网站很容易量到别人的经济

收入信息，另一网址只要输入车牌号码就可查到车主地址，为此这些网址已

被封闭。在电子邮件内传播个人隐私的情况更为严重。

带有政治性的网上攻击在1998年有较大增加，包含篡改政府机构的网页,

侵入竞选对手的网站窃取信息，在东南亚经济危机中散布谣言，伪造世界热

点地区的现场照片，煽动民族纠纷等等，已引起各国政府的高度重视。

我国的情况也大致相仿c一方面Internet上网人数增加，仅下半年年就

由117万剧增到210万，另一方面，同一时期内外电对在我国发生的

Internet安全事件的报道数量也大增，比1997年全年还多6倍，其中包含

经济犯罪、窃密、黑客入侵，造谣惑众等等。以上报导只是全部景观的一角，

却预示着下一个世纪全球信息安全形势不容乐观。我国正处于网络进展的初

级阶段，又面临着发达国家信息优势的压力，要在信息化进程中趋利避害，

从一开始就做好信息安仝工作十分重要。这是这项工作难度也非常大，经常

遇到十分困难的选择，甚至非难。人们关于“该不该”与“能不能”抓好信

息安。令也尚有不一致的看法。我们应当充分相信我国的制度优越性与人民

的智慧与觉悟，积吸寻求解决中国特色的Internet安全问题的办法。在此，

仅就企业内部网的信息安全的建设作一个全面的讨论。

1.企业网络的现状

世纪之交，信息化已成为国际性进展趋势，作为国民经济信息化的基础，

企业信息化建设受到国家与企业的广泛重视。

企业信息化，企业网络的建设是基础，从计算机网络技术与应用进展的

现状来看，Intranet是得到广泛认同的企业网络模式。Intranet并不完全

是原先局域网的概念，通过与Internet的联结，企业网络的范围能够是跨

地区的，甚至跨国界的。

现在，Internet的进展已成燎原之势，随着WWW上商业活动的激增，

Intranet也应运而生。近几年，许多有远见的企业领导者都已感到企业信

息化的重要性，陆续建立起了自己的企业网与Intranet并通过各类WAN线

路与Internet相连。国际互联网Internet在带来巨大的资源与信息访问

的方便的同时，它也带来了巨大的潜在的危险，至今仍有很多企业仍然没

有感到企业网安全的重要性。在我国网络急剧进展还是近几年的事，而在

国外企业网领域出现的安全事故已经是数不胜数。因此，我们应该在积极

进行企业网建设的同时，就应借鉴国外企业网建设与管理的经验，在网络

安全上多考虑一些，将企业网中可能出现的危险与漏洞降到最低。使已经

花了很多财力、人力与时间后，建立起来的网络真正达到预想的效果。

从总体上来说,企业网络建设下列几方面的误区：解决方案上的误区、

应用开发上的误区与系统管理上的误区。

1.1解决方案上的误区

在解决方案上的误区要紧包含：

1.认为只要肯花钱就万事大吉了。诚然，投资是企业网络建设的基本,

但并非所有的东西都能直接买来。事实上，数据、应用软件、网络

系统管理及网络的应用水平等都不是简单买来了事的。

2.不根据实际需求，盲目认为购买的硬件、软件产品越先进越好，甚

至要求达到10年不落后等要求。这种提法本身就不科学，信息技术

的进展是三新月异的，10年前谁也不明白现在的计算机会进展到如

此水平，同样，10年后如何也无法预料。这样一来，后果是能够想

到的：平台越先进，设备越昂贵，技术越复杂，建设的投入与产出

相比一定艰高，这当然不是企业需要得到的结果。

3.认为有了网络、服务器、数据库、联通了Internet就能要什么就有

什么了，忽视总体数据体系规划与组织、应用系统开发，数据的采

集、传输、加工、存储与查询等具体应用工作。而缺少这些，网络

的作用就不能充分发挥出来，这恰恰与企业网络建设的初衷相违。

4.认为能够“毕其功于一役”地搞企业网络建设，实际上，这是一项

长期的工年。

5.认为只要找到好的供应商、系统集成商就确信能够杷网络建好，没

有想到只有良好的合作才能获得成功，只有建立自己的技术队伍才

能保持成功之果。

1.2应用开发上的误区

应用开发是企业网络系统建设中的重要内容，也是网络建设成功与否的

关键。很多企业网络建设项目中，在应月开发方面也存在一些误区：

1.认为只要有好的计算机专业人员去干就能够了，业务人员不参与应

用开发工作，甚至不很好地配合。事实上，由于专业计算机人员缺

少具体业务知识与经验，无法独立开发出很适合业务部门的应用软

件。

2.认为凡是业务部门、业务人员提出的需求都要进行开发。在应用开

发的范围上，不进行认真地分析，不分主次。实际上，许多现成的

工具软件已包含了许多功能，比如EXECL,但由于不重视业务人员

计算机技能的提高，一切功能都寄希望于开发。这就造成开发成本

的提高与工作重点的分散。

3.认为只有使用最新潮的开发工具与最时髦的开发语言才能开发好的

软件，而不顾自己的实际需求，也不问那些工具与语言到底有什么

用。

4.认为开发软件与操作软件一样容易，因此不重视开发人员的工作，

随意提出需求，之后又随意改动。这样的改动，很可能给开发增加

许多工作量，更为严重的是，破坏开发的总体规划，导致开发进度

的延迟。

5.企业高级领导认为开发工作是下面的情况，不参与总体规划，却对

开发抱着过高的期望，以为开发结果一定应符合自己的想象。

1.3系统管理上的误区

企业网络效果的发挥离不开系统管理，决不仅仅是安装好企业网络的

设备，配置好软件那么简单，同样一个运行良好的企业网离不开人的管

理，系统管理在网络建设与保护中是至关重要的，目前在系统管理方面

存在的误区要紧包含：

1.认为系统管理只要有计算机人员就能够了，不建立规范、有效的管

理制度，没有想到系统管理实际上是企业管理中必不可少的一部分。

2.认为系统管理就是对计算机、网络设备、系统软件的管理，没考虑

到对企业整体信息资源的管理，不注重对数据信息的规范化、标准

化管理。

3.认为系统管理简单，费用不高，投入的财力、人力、物力不足，有

许多企业的系统管理员只会“玩”PC而己，网管软件也被当作是可

有可无的东西。殊不知，随着网络技术的进展与信息的增多，系统

管理工作是相当复杂与繁重的。

4.认为系统管理工作只是辅助性工作，不能为企业制造直接效益，能

够不予重视。结果导致专业计算机人才流失，只好使用非专业人员，

使管理效具大打折扣。

5.认为只有看的见的东西才值钱，因而不愿意在服务上花钱。在系统

管理上无法得到专业厂商的支持，导致管理水平业余而落后C

2.Intranet与网络安全技术

2.1信息安全的重要性与内涵

长期以来，人们把信息安全懂得为对信息的机密性、完整性与可获性的

保护，这固然是对的，但这个观念是在二十多年前主机时代形成的。当时

人们需要保护的是设在专用机房内的主机与数据的安全性，因此它是面向

单机、面向数据的。八十年代进入了微机与局域网时代，计算机已从专用

机房内解放到分散的办公桌面乃至家庭，曰于它的用户/网络结构比较简

单、对称，因此既要依靠技术措施保护，还要制定人人务必遵守的规定，因

此，这个时代的信息安全是面向网管、面向规约的。九十年代进入了互联

网时代，每个用户有都能够联接、使用乃至操纵散布在世界上各个角落的

上网计算机，因此Intcmet的信息安全内容更多，更为强调面向连接、面

向用户（“人”）。由丁在这个崭新的世界里，人与计算机的关系发生了质的

变化。人、网、环境相结合，形成了一个复杂的巨系统。通过网上的协同

与交流，人的智能与计算机快速运行的能力汇合并融合起来，制造了新的

社会生产力，丰富着大量应用（电子商务，网上购物等等）与满足着人们的

各类社会需要（交流、学习、医疗、消费、娱乐、安全感、安全环境等等）。

在这个复杂巨系统中，“人”以货源使用者的身份出现，是系统的主体，处

于主导地位，而系统的资源（包含硬软件、通讯网、数据、信息内容等）则

是客体，它是为主体即“人”服务的，与此相习惯，信息安全的主体也是

“人”（包含用户、团体、社会与国家），其目的要紧是保证主体对信息资

源的操纵。能够这样说：面向数据的安全概念是前述的保密性、完整性与

可获性，而面向使用者的安全概念则是鉴别、授权、访问操纵、抗否认性

与可服务性与在干内容的个人隐私、知识产权等的保护。这两者结合就是

信息安全体系结构中的安全服务功能），而这些安全问题又要依靠密码、数

字签名、身份验证技术、防火墙、安全审计、灾难恢复、防病毒、防黑客

入侵等安全机制（措施）加以解决。其中密码技术与管理是信息安全的核心,

安全标准与系统评估是信息安全的基础。

总之从历史的、人网大系统的概念出发，现代的信息安全涉及到个人权

益、企业生存、金融风险防范、社会稳固与国家的安全C它是物理安全、

网络安全、数据安全、信息内容安全、信息基础设施安全与公共、国家信

息安全的总与。信息安全的完整内涵是与信息安全的方法论相匹配的，信

息安全系统是一个多维、多因素、多层次、多目标的系统。因此，有必要

从方法论的角度云懂得现有的信息安全模式。

1.分析与综合的辩证思维方法：要在分析过程中从整体上把握好分析

要素的内部矛盾，比如:*在威胁分析中的环境灾害与人员失误、无意疏忽

与有意破坏、外部人员与内部职员、窃密篡改与拒绝服务、个人行为与有

组织的信息战威胁等关系。

在脆弱性分析中的软件、协议缺陷与嵌入后门、网络层、系统层、应

用层薄弱环节的关联等。

在攻击分析中的利用技术漏洞与社会工程、行为模式与隐蔽方式等关

系。

在综合方法上则应该面向过程，着眼进展：

风险管理的综合方法：立足于尽量减少风险，实行资产评估，风险估

算，重点选择，综合平衡，政策制定，系统实施，审计监管等的全过程与

全面质量管理。

安全评估的综合方法：面向设计过程，强调系统总体评价。在评估标

准上掌握好传统与现实、国际通用互认与中国特点的关系。在保护轮廓内

掌握好安全功能与保障的关系。

2.从系统复杂性的观点懂得与解决安全问题：信息安全是过程、政策、

标准、管理、指导、监控、法规、培训与工具技术的有机总与。这需要在

不一致层面上面向目标，用定性与定量相结合、技术措施与专家经验相结

合的综合集成方法加以解决。对信息内容的管理则要从源头、传递、网关、

服务网站与用户层面进行综合治理。以创新精神跟上网络与安全技术的新

进展我们处在网络调整进展与科技突飞猛进的时代，信息安全技术是具有

对抗性的敏感技犬，面对日益迫切的需要，唯一的出路就是自主。创新。但

是自主创新并不排斥吸取国外的先进技术相反，只有密切跟踪国际信息安

全技术的新进民才能知己

知彼，为我所用，在技术创新上下列进展值得注意：

1.在信息安全系统的构建、模式、评估方面

风险管理技术已由传统的相对固定的模式向灵活的不断反馈、不断演

进的弹性模式转化，强调可测量的方法体系，形成所谓“有习惯能力的风

险管理模式,

十年前，信息安全系统构建理念是“自上而下”即顶层设计。从

Internet的历史特点与进展现实出发，需要先“自下而上”赴，接着“上下

结合”，然后再在网络的确定范围内从全局上规划，构成安全体系。系统

安全不能作到一劳永逸，需要动态的构建模型。

在安全功能、服务的配置上，过去是先从整体定义入手，但是Internet

量个多元化的应用环境，而且日新月异。因此现实的解决办法是“分而治

之”。各类应用，各个部门，先在统一的规范下，“从我做起”或者者分层

分步实施。这在相当一段时间内，是推动网络进展、激励安全应用的现实

途径。

新的安全协议不断出现，有的已趋于成熟，比如大家熟知IPv6己被公

认安全性较强，又能比IPv4提供更好的互连互通功能，很有可能进入主流,

如何使我们的安全产品能同时支持IPv6已提到日程上

人类社会向来是正义与邪恶并存，在科学技术进步的同时人类也面临新

的威胁，计算机技术的进展带来的计算机犯罪就是其中典型的例子。下面谈

谈实施一个完整的安全体系应该考虑的问题。

2.2国内的信息系统安全吗？

在国家范围的网络建设方面，国家电信事业迅速进展，取得了巨大的成

绩。

但是，国家通信网络的交换机及其通信设备有相当一部分由于没有通

过安全检测，安全问题没有保证，这是由于安全检测工作的建设滞后造成

的。

交换机的嵌入操作系统的安全性也存在问题。通信业务的计算机系统

也多使用开放式的操作系统，安全级别都很低，也没有附加安全措施。这些

系统不能抵抗黑客的攻击与信息炸弹的攻击。在国家政府部门，应当说对信

息系统的安全性还是重视的，但苦于没有好的解决问题的方案与安全建设

经费不足，行业系统安全问题还是相当严重的，计算机系统也多使用开放式

的操作系统，安全级别较低。不能抵抗黑客的攻击与信息炸弹的攻击。有些

系统网络多路出口，对信息系统安全没有概念,完全没有安全措施，更谈不

上安全管理与安全策略的制定。有的行业的信息系统业务是在没有安全保

障的情况下进展的。

在金融领域，有些系统使用了开放操作系统UNIX。在系统采购时，有

些单位没有采购安全系统或者安全系统建设不完善。这些系统安全级别较

低，安全问题是普遍性的。有的商品交易所与证券公司使用的信息系统使用

的是微机网络系统，已经出现内外黑客的攻击，应当说问题已经相当严重。

在产业进展决策方面，当然改革开放以来取得巨大成绩，在行业规划

方面一度存在轻系统重应用的进展思路，对目前出现的信息系统安全问题

是有影响的。行业部门应当重视系统软件的建设工作，由于单靠企业进展系

统软件是不可能在较短的时间内取得地位的，要在系统软件领域占有一席

之地应当成为国黄，甚至不亚于芯片建设的重要性。要加强信息系统安全的

标准化工作,要启动信息系统安全建设的内需，要明确信息系统安全建设的

要求与规范。应当引起我们注意的是操作系统、网络系统与数据库管理系

统的安全问题，是信息系统的核心技术，没有系统的安全就没有信息的安

全。我们应当特别注意，我国在信息系统安全方面与美国是不平等的。在信

息系统安全管理部门信息系统产品的认证与检测工作刚刚开始，任重而道

远

2.3影响网络信息安全的因素

现今的网络信息安全存在的威胁要紧表现在下列几个方面。

1.非授权访问。指对网络设备及信息资源进行非正常使用或者越权使用等。

2.冒充合法用户。要紧指利用各类假冒或者欺骗的手段非法获得合法用户的

使用权限,以达到占用合法用户资源的目的。

3.破坏数据的完整性。指使用非法手段，删除、修改、重发某些重要信息，以

干扰用户的正常使用。

4.干扰系统正常运行。指改变系统的正常运行方法，减慢系统的响应时间等手

段。

5.病毒与恶意攻击。指通过网络传播病毒或者恶意Java、XActive等。

6.线路窃听。指利用通信介质的电磁泄漏或者搭线窃听等手段获取非法信

息。

2.4计算机安全分类及基本功能

根据国家计算机安全规范,可把计算机的安全大致分为三类。一是实体安全,

包含机房、线路，主机等;二是网络与信息安全，包含网络的畅通、准确及其网上的

信息安全;三是应用安全，包含程序开发运行、输入输出、数据库等的安全。下面

重点探讨第二类网络与信息的安全问题。

网络信息安全需求能够归结为下列几类：

1.基本安全类

包含访问操纵、授权、认证、加密与内容安全等。

访问操纵是提供企业内部与外界及内部不一致信息源之间隔离的基本机制,

也是企业的基本要求。但是提供隔离不是最终目的，企业利用Imemei技术的最终

目的应当是在安全的前题下提供方便的信息访问，这就是授权需求。同时,用户也

希望对授权的人的身份进行有效的识别,这就是认证的需求。为了保证信息在存

储与传输中不被纂改、窃听等需要加密功能，同时，为了实施对进出企业网的流量

进行有效的操纵,就需要引入内容安全要求。

2.管理与记帐类

包含安全策略管理、企业范围内的集中管理、记帐、实时监控,报警等功能。

3.网络互联设备安全类

包含路由器安全管理、远程访问服务器安全管理、通信服务器安全管理、交

换机安全管理等。

4.连接操纵类

要紧为公布企业消息的服务器提供可靠的连接服务，包含负载均衡、高可靠

性与流量管理等。

2.5安全缺口

安全策略经常会与用户方便性相矛盾,从而产生相反的压力，使安全措施与安

全策略相脱节。这种情况称之安全缺口。为什么会存在安全缺口呢?有下面四个

因素：

1、网络设备种类繁多一一当前使用的有各类各样的网络设备，从Windows

NT与UNIX服务器到防火墙、路由器与Web服务器，每种设备均有其特殊的安

全状况与保密功能；

2、访问方式的多样化一一通常来说，您的网络环境存在多种进出方式，许多过

程拔号登录点与新的Internet访问方式可能会使安全策略的设立复杂化；

3、网络的不断变化一一网络不是静态的，一直都处于进展变化中。启用新的

硬件设备与操作系统，实施新的应用程序与Web服务器时,安全配置也有不尽相

同；

4、用户保安专业知识的缺乏一一许多组织所拥有的对网络进行有效保护的

保安专业知识十分有限，这实际上是造成安全缺口最为要紧的一点。

2.6网络安全评估

为堵死安全策略与安全措施之间的缺口,务必从下列三方面对网络安全状况

进行评估：

1、从企业外部进行评估:考察企业计算机基础设施中的防火墙；

2、从企业内部进行评估:考察内部网络系统中的计算机；

3、从应用系统进行评估:考察每台硬件设备上运行的操作系统。

2.7计算机网络的安全策略

2.7.1物理安全策略

物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体与

信链路免受自然灾害、人为破坏与搭线攻击；验证用户的身份与使用权限、防用

户越权操作：确保计算机系统有一个良好的电磁兼容工作环境：建立完备的安全

管理制度，防止非法进入计算机操纵室与各类偷纷、破坏活动的发生。

抑制与防止电磁泄漏（即TEMPEST技术）是物理安全策略的一个要紧问题。

目前要紧防护措施有两类：一类是对传导发射的防护，要紧采取对电源线与信号

线加装性能良好的滤波器，减小传输阻抗与导线间的交叉耦合。另一类是对辐射

的防护，这类防护措施又可分为下列两种：

一是使用各类电磁屏蔽措施，如对设备的金属屏蔽与各类接插件的屏蔽，同

时对机房的下水管、暖气管与金属门窗进行屏蔽与隔离；

二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种

与计算机系统辐射有关的伪噪声向空间辐射来掩盖计算机系统的工作频率与信

息特征。

2.7.2访问操纵策略

访问操纵是网络安全防范与保护的要紧策略，它的耍紧任务是保证网络资源

不被非法使用与非常访问。它也是保护网络系统安全、保护网络资源的重要手段。

各类安全策略务必相互配合才能真正起到保护作用，但访问操纵能够说是保证网

络安全最重要的核心策略之一。下面我们分述各类访问操纵策略。

1）入网访问操纵

入网访问操纵为网络访问提供了第一层访问操纵。它操纵什么用户能够登录

到服务器并获取网络资源，操纵准许用户入网的时间与准许他们在哪台工作站入

网。

用户的入网访问操纵可分为三个步骤：用户名的识别与验证、用户口令的识

别与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过，该用户便

不能进入该网络。

对网络用户的用户名与口令进行验证是防止非法访问的第一道防线。用户注

册时首先输入用户名与口令，服务器将验证所输入的用户名是否合法。假如验证

合法，才继续验证用户输入的口令，否则，用户将被拒之网络之外。用户的口令

是用户入网的关键所在。为保证口令的安全性，用户口令不能显示在显示屏上，

口令长度应很多于6个字符，口令字符最好是数字、字母与其他字符的混合，用

户口令务必通过加密，加密的方法很多，其中最常见的方法有：基于单向函数的

口令加密，基于测试模式的口令加密，基于公钥加密方案的口令加密，基于平方

剩余的口令加密，基于多项式共享的口令加密，基于数字签名方案的口令加密等。

通过上述方法加密的口令，即使是系统管理员也难以得到它。用户还可使用一次

性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。

网络管理员应该能够操纵与限制普通用户的帐号使用、访问网络的时间、方

式。用户名或者用户帐号是所有计算机系统中最基本的安全形式。用户帐号应只

有系统管理员才能建立。用户口令应是每用户访问网络所务必提交的“证件”、

用户能够修改自己的口令，但系统管理员应该能够操纵口令的下列几个方面的限

制：最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后

同意入网的宽限次数。

用户名与口令验证有效之后，再进一步履行用户帐号的缺省限制检查。网络

应能操纵用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数

量。当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限

制，用户如今应无法进入网络访问网络资源C网络应对所有用户的访问进行审计C

假如多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。

2）网络的权限操纵

网络的权限操纵是针末网络非法操作所提出的一种安全保护措施。用户与用户组

被给予一定的权限。网络操纵用户与用户组能够访问什么目录、子目录、文件与

其他资源。能够指定用户对这些文件、目录、设备能够执行什么操作。受托者指

派与继承权限屏蔽（IRM）可作为其两种实现方式。受托者指派操纵用户与用户

组如何使用网络服务器的目录、文件与设备。继承权限屏蔽相当于一个过滤器，

能够限制子目录从父目录那里继承什么权限。我们能够根据访问权限将用户分为

下列几类：

（1）特殊用户（即系统管理员）；

（2）通常用户，系统管理员根据他们的实际需要为他们分配操作权限；

（3）审计用户，负责网络的安全操纵与资源使用情况的审计。用户对网络资源

的访问权限能够用一个访问操纵表来描述。

3）目录级安全操纵

网络应同意操纵用户对目录、文件、设备的访问。用户在目录一级指定的权

限对所有文件与子目录有效，用户还可进一步指定对目录下的子目录与文件的权

限。对目录与文件的访问权限通常有八种：

系统管理员权限(Supervisor)；

读权限(Read)、；

写权限(Write)；

创建权限(Create)；

删除权限(Erase)；

修改权限(Modify)；

文件查找权限(FileScan)；

存取操纵权限(AccessControl)；

用户对文件或者目标的有效权限取决于下列二个因素：用户的受托者指派、

用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员

应当为用户指定适当的访问权限，这些访问权限操纵着用户对服务器的访问。八

种访问权限的有效组令能够让用户有效地完成「作，同时又能有效地操纵用户对

服务器资源的访问，从而加强了网络与服务器的安全性。

4)属性安全操纵

当用文件、目录与网络设备时，网络系统管理员应给文件、目录等指定访问

属性。属性安全操纵能够将给定的属性与网络服务器的文件、目录与网络设备联

系起来。

属性安仝在权限安仝的基础上提供更进一步的安仝性。网络上的资源都应预

先标出一组安全属性。用户对网络资源的访问权限对应一张访问操纵表，用以说

明用户对网络资源的访问能力。

属性设置能够覆盖已经指定的任何受托者指派与有效权限。属性往往能操纵

下列几个方面的权限：向某个文件写数据•、拷贝一个文件、删除目录或者文件、

查看目录与文件、执行文件、隐含文件、共享、系统属性等。网络的属性能够保

护重要的目录与文件，防止用户对目录与文件的误删除、、执行修改、显示等。

5)网络服务器安全操纵

网络同意在服务器操纵台上执行一系列操作。用户使用操纵台能够装载与卸

载模块，能够安装与删除软件等操作。网络服务器的安全操纵包含能够设置口令

锁定服务器操纵台，以防止非法用户修改、删除重要信息或者破坏数据；能够设

定服务器登录时间限制、非法访问者检测与关闭的时间间隔。

6）网络监测与锁定操纵

网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非

法的网络访问，服务器应以图形或者文字或者声音等形式报警，以引起网络管理

员的注意。假如不法之徒试图进入网络，网络服务器应会自动记录企图尝试进入

网络的次数，假如非法访问的次数达到设定数值，那么该帐户将被自动锁定。

7）网络端口与节点的安全操纵

网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并

以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调

制解调器用以防范黑客的自动拨号程序对计算机进行攻击。网络还常对服务器端

与用户端采取操纵，用户务必携带证实身份的验证器（如智能卡、磁卡、安全密

码发生器）。在对用户的身份进行验证之后，才同意用户进入用户端。然后，用

户端与服务裾端再进行相互验证

2.8确保网络安全的措施

由于网络安全的目的是保障用户的重要信息的安全，因此限制直接接触十分

重要。假如用户的网络连入Internet,那麽最好尽可能地把与Internet连接的机器

与网络的其余部分隔离开来。实现这个目标的最安全的方法是将Internet服务器

与网络实际隔开。当然，这种解决方案增加了机器管理的难度。但是假如有人闯

入隔离开的机器，那麽网络的其余部分不可能受到牵连。

最重要的是限制访问。不要让不需要进入网关的人都进入网关。在机器上用

户仅需要一个用户帐号，严格限制它的口令。只有在使用su时才同意进入根帐

号。这个方法保留一份使用根帐号者的记录。

与任何其它Internet服务一样，FTP一直是［而且仍是）易于被滥用的，值

得一提的弱点涉及几个方面。第一个危险是配置不当。它使站点的访问者（或者

潜在攻击者）能够获徨更多超出其预期的数据。

他们一旦进入，下一个危险是可能破坏信息。一个未经审查的攻击者能够抹

去用户的整个FTP站点。

最后一个危险不必长篇累牍，这是由于它不可能造成破坏，而且是低水平的。

它由用户的FTP站点构成，关于交换文件的人来说，用户的FTP站点成为“麻

木不仁的窝脏点”。这些文件无所不包，能够是盗版软件，也能够是色情画，这

种交换如何进行的呢？简单的很。发送者发现了一个他们有权写入与拷入可疑文

件的FTP站点。通过某些其它方法，发送者通知它们的同伙文件能够使用。

所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是

同意FTP用户有机会写入。当用户通过FTP访问一个系统时，这通常是FTP用

户所做的事。因此，FTP用户能够访问，用户的访问者也能够使用。所有这些问

题都是由未正确规定许可条件而引起的。最大的一个问题可能是同意FTP用户

有机会写入。当用户通过FTP访问一个系统时，这通常是FTP用户所做的事。

因此，FTP用户能够访问，用户的访问者也能够访问。

通常说来，FTP月户不是用户的系统中已经有的。因此，用户要建立FTP

用户。不管如何要保证将外壳设置为真正外壳以外的东西。这一步骤防止FTP

用户通过远程登录进行注册（用户或者许已经禁止远程登录，但是万一用户没有

这样做，确认一下也不可能有错）。

将所有文件与目录的主人放在根目录下，不要放在ftp下.这个预防措施防

止FTP用户修改用户认真构思出的口令。然后，将口令规定为755（读与执行，

但不能写，除了主人之外）。在用户希望匿名用户访问的所有目录上做这项工作。

尽管这个规定同意他们读目录，但它也防止他们的什麽东西放到目录中来。

用户还需要编制某些可用的库。然而，由于用户已经在往常建立了必要的目

录，因此这一步仅执行一部分。因此，用户需要做的一切是将/usr/lib/libe.so.l与

/usr/lib/libsocket.so/1拷贝至kftp/usr/lib中。接着将-ftp/usr/lib上的口令改为555,

并建立主接收器。

最后，用户需要在~ftp/dev/中建立/dev/null与/dev/socksys设备结点。用户能

够用mknod手工建立它们。然而，让系统为用户工作会更加容易。SCO文档说

用cpio,但是copy（非cp）很管用。

假如用户想建立一个人们都可用留下文件的目录，那麽可将它称作输入。同

意其他人写入这个目录，但不能读。这个预防措施防止它成为麻木不仁的窝脏点。

人们能够在这里放入他们想放的任何东西，但是他们不能将它们取出。假如用户

认为信息比较适合共享，那麽将拷贝到另一个目录中。

2.9提高企业内部网安全性的几个步骤

1）限制对网关的访问。限制网关上的帐号数。不要同意在网络上进行根注册；

2）不要信任任何人。网关不信任任何机器。没有一台机器应该信任网关；

3）不要用NFS向网关传输或者接收来自网关的任何文件系统：

4）不要在网关上使用NIS（网络信息服务）；

5）制订与执行一个非网关机器上的安全性方针；

6）关闭所有多余服务与删除多余程序

7）删除网关的所有多余程序（远程登录、Hogin、FTP等等）；

8）定期阅读系统记录。

3.Intranet安全解决方案

3.1Intranet安全解决方案

过去我们往往把信息安全局限于通信保密，局限于对信息加密功能要求，事实

上网络信息安全牵涉到方方面面的问题，是一个极其复杂的系统工程。从简化的

角度来看，要实施一个完整的网络与信息安全体系，至少应包含三类措施,同时三

者缺一不可。一是社会的法律政策、企业的规章制度与安全教育等外部软环境。

在该方面政府有关部门、企业的要紧领导应当扮演重要的角色C二是技术方面的

措施，如防火墙技术、网络防毒、信息加密存储通信、身份认证、授权等。只有

技术措施并不能保证百分之百的安全。三是审计与管理措施，该方面措施同时包

含了技术与社会措施。其要紧措施有:实时监控企业安全状态、提供实时改变安

全策略的能力、对现有的安全系统实施漏洞检查等，以防患于未然。

企业要实施一个安全的系统应该三管齐下。其中法律、企业领导层的重视应

处于最重要的位置。没有社会的参与就不可能熨施安仝保障。

网络信息安全包含了建立安全环境的几个重要构成部分，其中安全的基石是

社会法律、法规与手段，这部分用于建立一套安全管理标准与方法。

第二部分为增强的用户认证，用户认证在网络与信息的安全中属于技术措施

的第一道大门，最后防线为审计与数据备份，不加强这道大门的建设，整个安全体

系就会较脆弱。用户认证的要紧目的是提供访问操纵与不可抵赖的作用。用户认

证方法按其层次不一致能够根据下列三种因素提供认证。

I.用户持有的证件,如大门钥匙、门卡等等；

2.用户明白的信息，如密码；

3.用户特有的特征，如指纹、声音、视网膜扫描等等。

根据在认证中使用因素的多少，能够分为单因素认证、双因素认证，多因素认

证等方法。

第三部分是授权，这要紧为特许用户提供合适的访问权限，并监控用户的活动,

使其不越权使用。该部分与访问操纵(常说的隔离功能)是相对立的。隔离不是管

理的最终目的，管理的最终目的是要加强信息有效、安全的使用，同时对不一致用

户实施不一致访问许匕。

第四部分是加密。在上述的安全体系结构中，加密要紧满足下列几个需求。

1.认证一一识别用户身份，提供访问许可；

2.一致性一一保证数据不被非法篡改；

3.隐密性一一保护数据不被非法用户查看；

4.不可抵赖一一使信息接收者无法否认曾经收到的信息。

加密是信息安全应用中最早开展的有效手段之一，数据通过加密能够保证在

存取与传送的过程中不被非法查看、篡改、窃取等。在实际的网络与信息安全建

设中，利用加密技术至少应能解决下列问题：

1.钥匙的管理，包含数据加密钥匙、私人证书、私密等的保证分发措施；

2.建立权威钥匙分发机构；

3.保证数据完整性技术；

4.数据加密传输；

5.数据存储加密等。

第五部分为审计与监控，确切说，还应包含数据备份，这是系统安仝的最后一

道防线。系统一旦出了问题,这部分能够提供问题的再现、责任追查、重要数据

复原等保障。

在网络与信息安全模型中，这五个部分是相辅相成、缺一不可的。其中底层

是上层保障的基础，假如缺少下面各层次的安全保障，上一层的安全措施则无从说

起。假如一个企业没有对授权用户的操作规范、安全政策与教育等方面制定有效

的管理标准，那么对用户授权的操纵过程与事后的审”等的工作就会变得非常困

难。

3.2网络信息安全产品

为了实施上面提出的安全体系,可使用防火墙产品来满足其要求。

使用NctScrccn公司的硬件防火墙解决方案NctScrccn-IO&NctScrccn-lOO

能够满足下列功能。

(1)访问操纵

实施企业网与外部、企业内部不一致部门之间的隔离。其关键在于应支持目

前Internet中的所有协议，包含传统的面向连接的协议、无连接协议、多媒体、视

频、商业应用协议与用户自定义协议等。

(2)普通授权与认证

提供多种认证与授权方法，操纵不一致的信息源。

(3)内容安全

对流入企业内部的网络信息流实施内部检查，包含URL过滤等等。

(4)加密

提供防火墙与防火墙之间、防火墙与移动用户之间信息的安全传输。

(5)网络设备安全管理

目前一个企业网络可能会有多个连通外界的出口，如连接ISP的专线、拨号

线等，同时，在大的企业网内不一致部门与分公司之间可能亦会有由多级网络设备

隔离的小网络。根据信息源的分布情况，有必要对不一致网络与资源实施不一致

的安全策略与多种级另J的安全保护，如能够在防火墙上实施路由器、交换机、访

问服务器的安全管理。

(6)集中管理

实施一个企业一种安全策略，实现集中管理、集中监控等。

(7)提供记帐、报警功能

实施移动方式的报警功能，包含E-mail、SNMP等。

3.3企业如何选择合适的防火墙

计算机网络将有效的实现资源共享，但资源共享与信息安全是一对矛盾，

随着资源共享进•步加强，随之而来的信息安全问题也日益突出。

并不是每一款防火墙都习惯于每个用户的需求，根据用户需求的不一

致，所需要的防火墙可能完全不一致。下面列举了儿种网络中的防火墙应用。

3.3.1INTERNET或者信息公布服务

这种情况非常普遍，ISP或者ICP,企业的网页，在INTERNET上提供

息服务或者提供数据库服务等。任何一种想提供普遍服务或者广而告之的网

络行为，务必同意用户能够访问到你提供服务的主机，都属于这种情况。

对访问服务行业而言，访问服务提供者务必把要提供服务的服务器主机放

在外部用户能够访问的地方，也就是说，主机安全几乎是唯一的保证。除非明确

地明白谁会对你的访问惊醒破坏，才能够对出口路由器或者出口防火墙惊醒一

些针对性的限制访问操纵的设定，否则，访问操纵变得亳无意义。

主机安全是一个非常有效的手段。所谓的主机安全是一个非常广义的概念,

首先是要有一个安全的操作系统，建立在一个不安全、甚至稳固性都很差的操作

系统上，是无法作到一个安全的主机。然后是认确实检查你所提供的服务，假如

不是你所务必提供的服务，建议除掉一切你所不需要的进程，对你的服务而言，

它们都是你安全上的隐患。能够使用一些安全检测或者网络扫描工具来确定你的

服务器上到底有伸麽服务，以保证是否有安全漏洞或者隐患。最后是对主机确定

非常严格的访问限制规则，除了同意提供商愿意提供的服务之外，宣纸并拒绝所

有未同意的服务，这是一个非常严格的措施。

除了主机安全以外，假如还需要提高服务的安全性，就该考虑使用网络实

时监控与交互式动态防火墙。网络实时监控系统，会自动捕捉网络上所有的通信

包，并对其进行分析与解析，并推断出用户的行为与企图。假如发现用户的行为

或者企图与服务商所同意的服务不一致，交互式防火墙立即采取措施，封堵或者

拒绝用户的访问，将其拒绝在防火墙之外，并报警。网络实时监控系统与交互式

防火墙具有很强的审计功能，但成本相对偏高。

3.3.2INTERNET与内部网

企业一方面访问INTERNET,得到INTERNET所带来的好处，另一方面，却

不希望外部用户去访问企业的内部数据库与网络。企业当然没有办法去建立两套

网络来满足这种需求。

防火墙的基本思想不是对每台主机系统进行保护，而是让所有对系统的访

问通过某一点，同时保护这一点，并尽可能地对受保护的内部网与不可信任的外

界网络之间建立一道屏障，它能够实施比较惯犯的安全政策来操纵信息流，防止

不可预料的潜在的入侵破坏。

根据企业内部网安全政策的不一致，采取防火墙的技术手段也是完全不一

致的。

1）包过滤防火墙

包过滤防火墙的安全性是基于对包的1P地址的校验。在Internet上，所

有信息都是以包的形式传输的，信息包中包含发送方的IP地址与接收方的IP

地址。包过滤防火墙将所有通过的信息包中发送方TP地址、接收方TP地址、TCP

端口、TCP链路状态等信息读出，并按照预先设定过滤原则过滤信息包。那些不

符合规定的IP地址的信息包会被防火墙过滤掉，以保证网络系统的安全。

包过滤防火墙是基于访问操纵来实现的。它利用数据包的头信息（源IP地

址、封装协议、端口号等）判定与过滤规则相匹配与否决定舍取。建立这类防火

墙需按如下步骤去做；建立安全策略；写出所同意的与禁止的任务；将安全策略

转化为数据包分组字段的逻辑表达式；用相应的句法重写逻辑表达式并设置之，

包过滤防火墙要紧是防止外来攻击，或者是限制内部用户访问某些外部的

资源。假如是防止外部攻击，针对典型攻击的过滤规则，大体有：

•应付源IP地址欺骗式攻击（SourceIPAddressSpoofingAttacks）

对入侵者假冒内部主机，从外部传输一个源IP地址为内部网络IP地址的

数据包的这类攻击，防火墙只需把来自外部端口的使用内部源地址的数据包统统

丢弃掉。

•应付残片攻击（TinyFragmentAttacks）

入侵者使用TCP/T数据包分段特性，创建极小的分段并强行将TCP/IP头

信息分成多个数据包，以绕过用户防火墙的过滤规则。黑客期望防火墙只检查第

一个分段而同意其余的分段通过。应付这类攻击，防火墙只需将TCP/IP协议片

断位移植（FragmentOffset）为1的数据包仝部丢弃即可。

包过滤防火墙简单、透明，而且非常行之有效，能解决大部分的安全问题,

但务必熟悉包过滤防火墙不能做伸麽与有伸麽缺点。

关于使用动态分配端口的服务，如很多RPC（远程过程调用）服务有关联的

服务器在系统启动时随机分配端口的，就很难进行有效地过滤。

包过滤防火墙只按照规则丢弃数据包而不对其作日志，导致对过滤的IP地

址的不一致用户，不具备用户身份认证功能，不具备检测通过高层协议（如应用

层）实现的安全攻击的能力。

2）代理防火墙

包过滤防火墙从很大意义上像一场战争，黑客想攻击，防火墙坚决予以拒

绝。而代理服务器则是另外一种方式，能回避就回避，甚至干脆隐臧起来。代理

服务器接收客户请求后会检查验证其合法性，如其合法，代理服务器象一台客户

机一样取回所需的信息再转发给客户。它将内部系统与外界隔离开来，从外面只

能看到代理服务器而看不到任何内部资源。代理服务器只同意有代理的服务通

过，而其他所有服务都完全被封锁住。

代理服务器非常适合那些根本就不希望外部用户访问企业内部的网络，而

也不希望内部的用户无限制的使用或者滥用INTERNET。使用代理服务器，能够

把企业的内部网络隐藏起来，内部的用户需要验证与授权之后才能够去访问

INTERNETo

代理服务器包含两大类：一类是电路级代理网关，另一类是应用级代理网

关。

电路级网关又称线路级网关，它工作在会话层。它在两主机收次建立TCP

连接时创立一个电子屏障。它作为服务器接收外来请求，转发请求；与被保护的

主机连接时则担当客户机角色、起代理服务的作用。它监视两主机建立连接时的

握手信息，如Nyn、Ack与序列数据等是否合乎逻辑,信号有效后网关仅复制、

传递数据，而不进行过滤。电路网关中特殊的客户程序只在初次连接时进行安全

协商操纵，其后就透明了。只有懂得如何与该电路网关通信的客户机才能到达防

火墙另一边的服务器。

电路级网关的防火墙的安全性比较高，但它仍不能检查应用层的数据包以

消除应用层攻击的威胁。

应用级网关使用软件来转发与过滤特定的应用服务，如TELNET、FTP等服

务的连接。这是一种代理服务。它只同意有代理的服务通过，也就是说只有那些

被认为“可信赖的”服务才被同意通过防火墙。另外代理服务还能够过滤协议，

如过渡FTP连接、拒绝使用FTP放置命令等。应月级网关的安全性高，其不足是

要为每种应用提供专门的代理服务程序。

两种代理技术都具有登记、日记、统计与报告功能，有很好的审计功能。

还能够具有严格的用户认证功能。先进的认证措施，如验证授权RADIUS.智能

卡、认证令牌、生物统计学与基于软件的工具己被用来克服传统口令的弱点。

3）状态监控技术

网络状态监控技术普遍被认为是下一代的网络安全技术。传统的网络状态

监控技术对网络安全正常的工作完全没有影响的前提卜.，使用捕捉网络数据包的

方法对网络通信的各个层次实行监测，并作安全决策的根据。监视模块支持多种

网络协议与应用协议，能够方便地实现应用与服务扩充。状态监视服务能够监视

RPC（远程过程调用）与UDP（用户数据包）端口信息，而包过滤与代理服务则

都无法做到。

网络状态监控对主机的要求非常高，128M的内存可能是一个基本的要求，

硬盘的要求也非常大，至少要求9G,对SWAP区至少也要求192M以上。一个好

的网络状态监控系统，处理的量可能高达每秒45M左右（一条T3的线路）。

网络状态的监控的结果，直接就是要求能够有一种交互式的防火墙来满足

客户较高的要求。中网的IP防火墙就是这样一种产品。

4虚拟专用网VPN

EXTRANET与VPN是现代网络的新热点。虚拟专用网的本质实际上涉及到

密码的问题。在无法保证电路安全、信道安全、网络安全、应用安全的情况下，

或者者也不相信其他安全措施的情况下，一种行之有效的办法就是加密，而加密

就是务必考虑加密算法与密码的问题。考虑到我国对密码管理的体制情况，密码

是一个单独的领域。对防火墙而言，是否防火墙支持对其他密码体制的支持，支

持提供API来调用第三方的加密算法与密码，非常重要。

3.3.3如何构筑虚拟专用网VPN

企业利用Internet构筑虚拟专用网络（VPN）,意味着能够削减巨额广域网

成本，然而在VPN中确保关键数据的安全等因素又是企业务必面对的问题。

削减广域网成本，吸引新客户，这是当今每一位企业主管的求胜之路，但

是涉及到Internet,企业有得又有失，比如专用线路的高可靠性及安全性就是

VPN需要重点考虑的地方。相比之下VPN比租用专线的费用低近80%,而且能够

将Internet上的多个网站连接起来，使企业接触新的企业伙伴与客户。

1）明确远程访问的需求

首先企业要明确需要与哪种WAN连接，用户是通过LAN/WAN还是拨号链路

进入企业网络，远程用户是否为同一机构的成员等问题。

WAN的连接有两类：内联网连接与外联网连接。内联网连接着同个机构内

的可信任终端与用户，这一类典型连接是总部与下属办事处、远程工作站及路途

中用户的连接。

关于内联网连接,VPN应提供对企业网络相同的访问途径就好象用户或者下

属办事处真正与总部连接起来。内联网VPN执行的安全决策通常是标准的公司决

策，远程用户至少要通过一次认证。

围绕下属办事处，VPN要考虑的一个关键问题是这些办事处的物理安全性。

物理安全性涵盖了一切因素，从下属办事处的密钥与锁，到计算设备的物理访问，

再到可访问设施的非雇员数量等等。假如所有这一切都万无一失，在总部与下属

办事处之间就能够建立一个“开放管道”的VPN。这类似于LAN到LAN的连接。

即不需要基于VPN的用户认证，由于我们认为这样的连接是安全的。但是，假如

这些地方有问题，网络设计人员就要考虑使用更严格的安全措施。比如，VPN需

要严格认证，或者者将对总部网络的访问限制在某个孤立的子网中。

VPN对外联网的安全要求通常十分严格，对保密信息的访问只有在需要时才

能获准，而敏感的网络资源则禁止访问。由于外联网连接可能会涉及机构外人员，

解决用户的变化问题则很有挑战性。从根本上说，这是严格政治问题。但在机构

确定用户时，这是严格急需解决的技术问题。

2）注重管理

企业网络是攻击者垂涎的目标，因此,管理层务必保护公司网络免遭远程入

侵。一个机构的安全决策应界定何种形式的远程访问是同意的或者不同意的，决

策中还要确定相应的VPN设备与实施选择方法。

通常来说，决策者应解决VPN特有的儿个问题：远程访问的资格，可执行

的计算能力，外联网连接的责任，与VPN资源的监管。另外，还应包含为出差旅

行的员工及远程工作站的员工提供的访问步骤。当然，决策中应包含一些技术细

节，比如加密密钥长度，假如VPN的加密算法要求公开认证，则还需要法律的支

持保护。

对外另外而言，决策中应具体说明及时通报远程用户人员变更的步骤，被

解雇的人员务必尽快从数据库中清除。这需要外联网用户机构同VPN管理人员之

间进行良好的协作。通常，企业的人事部门已制定有人事管理规定，这些规定可

能也适用于VPN用户。

3）确定最佳的产品组合

可选择的VPN产品很多，但产品基本上可分成三大类：基于系统的硬件、

独立的软件包与基于系统的防火墙。大部分产品对LAN到LAN及远程拨号连接都

支持。

硬件VPN产品是典型的加密路由器，由于它们在设备的硅片中存储了加密密

钥，因此,较之基于软件的同类产品更不易被破坏.另外,加密路由器的速度快,事

实上,假如链路的传输速度超过Tld.554Mbps),这样的VPN是名列前茅的。

基于软件的VPN可能提供更多的灵活性。许多产品同意根据地址或者协议

打开通道，而硬件产品则不一致，它们通常为全部信息流量打开通道，而不考虑

协议要求。因流量类型不一致，特定的通道在远程站点可能遇到混合信息流时分

优先级，比如有些信息流需要通过VPN进入总部的数据库，有些信息流则是在网

上冲浪。在通常情况下，如通过拨号链路连接的月户，软件结构也许是最佳的选

择。

软件系统的问题在于难于管理，它要求使外者熟悉主机操作系统、应用程

序本身与相应的安全机制，甚至一些软件包需要对路由表与网络地址方案进行改

动。

基于防火墙的VP\则利用了防火墙安全机制的优势，能够对内部网络访问

进行限制.此外，它们还执行地址的翻译，满足严格的认证功能要求,提供实时

报警，具备广泛的登录能力。大多数商业防火墙还能通过剔除危险或者不必要的

服务加固主机操作系统内核。由于很少有VPN厂商提供操作系统级的安全指导，

因此，提供操作系统保护是这种VPN的一大优势。

什么时候企业选择基于防火墙的VPN呢？通常是在远程用户或者网络充满

潜在敌意的时候。这时，网管员可建立起所谓的非军事区(DMZ),部分，系统通

常使用在防火墙上的一个第三方界面，并有自己的访问操纵规则。攻击者也许能

到达DMZ,但不能破坏内部部分。基于防火墙的VPN关于仅仅实施内联网应用的

企业还是蛮好的，它是软件产品中最容易保证安全与管理的产品。

关于这三种VPN产品，网管员还要在四个领域进行考核：协议处理、IP安

全支持、认证服务器支持与加密密钥的引出。

比如：尽管大多数公司网络为多协议型，但VPN产品只解决IP协议的传输,

假如其他协议如IPX或者SNA需要传送，用户需要寻找能为这些协议加密，或者

者能将它们打包成IP,让基于IP的VPN系统处理的方案。显然，后一种选择可

能会降低系统性能。

Ipsec是IETF(InternetEngineeringTaskForce)组织为TCP/IP协议集

增加的标准认证与加密功能。随着Ipsec越来越稳固与实施越来越广泛，VPN的

终端用户能够不必使用同一厂商的产品以保证可靠工作，但是到目前为止，实施

成功的VPN通常意味着要从同一家厂商购买所有的设备。

尽管大部分VPN可保留自己的认证数据库，但网管员也希望借助于现有的

认证服务器。比如，许多远程访问服务器使用下述两种协议之一的外部系统来认