網(wǎng)絡(luò)安全管理結(jié)構(gòu)

1、附件五附件五 湖北移動(dòng)通信湖北移動(dòng)通信 對外互聯(lián)網(wǎng)站擴(kuò)容工程對外互聯(lián)網(wǎng)站擴(kuò)容工程 網(wǎng)絡(luò)解決方案網(wǎng)絡(luò)解決方案 北京泰利特科技發(fā)展有限責(zé)任公司北京泰利特科技發(fā)展有限責(zé)任公司 2004 年年 7 月月 8 日日 地址：北京市東城區(qū)東長安街地址：北京市東城區(qū)東長安街 1 號東方廣場東號東方廣場東 3 辦公樓辦公樓 8 層層 電話：電話：010- 傳真：傳真：010- Http： 目目 錄錄 1.前言.5 2.需求分析.6 2.1.用戶現(xiàn)狀.6 2.1.1.拓?fù)洮F(xiàn)狀.6 2.1.2.設(shè)備現(xiàn)狀.6 2.1.3.業(yè)務(wù)量現(xiàn)狀.7 2.2.用戶需求及分析.9 2.2.1.網(wǎng)絡(luò)需求.10 3.設(shè)計(jì)原則.11 3.

2、1.網(wǎng)絡(luò)設(shè)計(jì)原則.12 4.網(wǎng)絡(luò)擴(kuò)容方案.13 4.1.方案簡述.13 4.2.防火墻擴(kuò)容.14 4.3.核心交換機(jī)擴(kuò)容.15 4.4.接入交換機(jī)擴(kuò)容.17 4.5.服務(wù)器均衡負(fù)載擴(kuò)容.17 5.系統(tǒng)安全擴(kuò)容.24 5.1.安全體系綜述.24 5.1.1.網(wǎng)絡(luò)安全體系建立原則.24 5.1.2.整體網(wǎng)絡(luò)安全體系結(jié)構(gòu).25 5.1.3.網(wǎng)絡(luò)安全層次.27 5.1.4.全方位安全體系.28 5.1.5.安全管理因素.29 5.2.系統(tǒng)安全設(shè)計(jì)思想與原則.30 5.2.1.系統(tǒng)安全設(shè)計(jì)思想.30 5.2.2.系統(tǒng)安全設(shè)計(jì)原則.30 5.3.整體網(wǎng)絡(luò)安全設(shè)計(jì)方案.31 5.3.1.整體安全防護(hù)系統(tǒng)綜述

3、.31 5.3.2.ACL 策略控制 .32 5.3.3.采用 VLAN 技術(shù).32 5.3.4.網(wǎng)絡(luò)入侵檢測系統(tǒng).32 5.3.5.網(wǎng)絡(luò)防病毒措施.36 5.3.6.網(wǎng)絡(luò)安全掃描系統(tǒng).39 5.3.7.防火墻安全防護(hù)體系.43 5.3.8.設(shè)備管理及平臺(tái)安全管理.46 6.網(wǎng)絡(luò)發(fā)展方向的建議.47 7.設(shè)備主要功能說明.48 7.1.核心交換機(jī).48 7.2.接入交換機(jī).50 7.3.防火墻.52 7.4.均衡負(fù)載設(shè)備.55 7.5.入侵檢測系統(tǒng).57 7.6.漏洞掃描系統(tǒng).59 掃描范圍.60 漏洞類別.60 7.7.防病毒系統(tǒng).61 8.設(shè)備物理規(guī)格說明.64 8.1.1.核心交換機(jī) 4

4、507 .64 8.1.2.均衡負(fù)載交換機(jī) WSD .65 8.1.3.接入層交換機(jī).66 8.1.4.防火墻.66 8.1.5.入侵檢測系統(tǒng).66 8.1.6.漏洞掃描系統(tǒng).67 8.1.7.集中控制臺(tái).68 9.設(shè)備可靠性聲明.68 1. 前言前言 湖北移動(dòng)網(wǎng)上客戶服務(wù)系統(tǒng)（原湖北移動(dòng)對外互聯(lián)網(wǎng)站）始建 于 2002 年 6 月。系統(tǒng)主要硬件設(shè)備包括應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、 WWW 服務(wù)器、存儲(chǔ)設(shè)備（磁盤陣列） 、網(wǎng)絡(luò)設(shè)備（局域網(wǎng)交換機(jī)） 、 防火墻等設(shè)備組成。 由于訪問用戶的不斷增長，以及網(wǎng)站應(yīng)用的不斷豐富，訪問數(shù) 據(jù)量不斷增多，現(xiàn)有的設(shè)備和結(jié)構(gòu)已經(jīng)不能負(fù)擔(dān)未來業(yè)務(wù)的增長需 求。針對湖

5、北移動(dòng)網(wǎng)上客服系統(tǒng)的擴(kuò)容需求，泰利特公司憑借豐富 的集成經(jīng)驗(yàn)榮幸的為湖北移動(dòng)提供擴(kuò)容建議方案。 2. 需求分析需求分析 2.1. 用戶現(xiàn)狀用戶現(xiàn)狀 2.1.1. 拓?fù)洮F(xiàn)狀拓?fù)洮F(xiàn)狀 湖北移動(dòng)對外互聯(lián)網(wǎng)站現(xiàn)狀網(wǎng)絡(luò)拓?fù)鋱D 2.1.2. 設(shè)備現(xiàn)狀設(shè)備現(xiàn)狀 網(wǎng)絡(luò)硬軟件、網(wǎng)絡(luò)配置如下： 硬件配置 網(wǎng)絡(luò)配置 設(shè)備名稱型號備注 交換機(jī)FoundryServeriton XL 交換機(jī)Submit 48 防火墻Netscreen-100F 2.1.3. 業(yè)務(wù)量現(xiàn)狀業(yè)務(wù)量現(xiàn)狀 網(wǎng)站訪問情況網(wǎng)站訪問情況 Netscreen防火墻 EXP300磁盤陣列 WEB服務(wù)器 網(wǎng)上1860服務(wù)器數(shù)據(jù)庫服務(wù)器(應(yīng)用服務(wù)器)應(yīng)用服務(wù)

6、器(數(shù)據(jù)庫服務(wù)器) Submit 48交換機(jī) INTERNET 1860客服 Foundry交換機(jī) 2004 年年 02 月月 01 日日-2004 年年 02 月月 29 日網(wǎng)站流量統(tǒng)計(jì)日網(wǎng)站流量統(tǒng)計(jì) 有效統(tǒng)計(jì)天數(shù)： 29 天天 總訪問量： 人次人次 平均訪問量： 9399 人次人次 日最高訪問量： 13964 人次人次 最高日訪問量 日期： 2004-02-02 月最高訪問量： 人次人次 最高月訪問量 月份： 2004-2 最高訪問量時(shí) 段： 16:00-17:00 最低訪問量時(shí) 段： 5:00-6:00 訪問最多的欄 目： 短信業(yè)務(wù)短信業(yè)務(wù)(33737 人次人次) 訪問最少的欄 目： 工

7、具箱工具箱(1389 人次人次) 18601860訪問情況訪問情況 1860 訪問流量統(tǒng)計(jì) 2004 年年 02 月月 01 日日-2004 年年 02 月月 29 日日 有效統(tǒng)計(jì)天數(shù)： 29 天天 總訪問量： 次次 平均訪問量： 4962 次次 日最高訪問量： 8399 次次 最高日訪問量 日期： 2004-02-25 最高訪問量時(shí) 段： 16:00-17:00 最低訪問量時(shí) 段： 5:00-6:00 業(yè)務(wù)查詢及業(yè)務(wù)辦理情況業(yè)務(wù)查詢及業(yè)務(wù)辦理情況 2004 年年 02 月月 01 日日-2004 年年 02 月月 29 日自助服務(wù)業(yè)務(wù)統(tǒng)計(jì)日自助服務(wù)業(yè)務(wù)統(tǒng)計(jì) 業(yè)務(wù)名稱 業(yè)務(wù)辦理筆業(yè)務(wù)辦理筆 數(shù)

8、數(shù) 成功辦理成功辦理 的筆數(shù)的筆數(shù) 成功百分比 話費(fèi)清單 99.71% 客戶帳單6997845470 64.97% 用戶總帳4355133247 76.34% 欠費(fèi)總額117697971 67.72% 積分查詢2699421869 81.01% 繳費(fèi)記錄3752536386 96.96% 實(shí)時(shí)話費(fèi)7255057165 78.79% 報(bào)停1524660 43.3% 報(bào)開788612 77.66% 取消短信功能628361 57.48% 取消 WAP 功能18181054 57.97% 取消呼叫保持功 能 42171 16.86% 取消呼叫轉(zhuǎn)移功 能 593202 34.06% 受理短信新功能83

9、2357 42.9% 受理 WAP 新功 能 1048461 43.98% 受理呼叫保持新 功能 366266 72.67% 受理呼叫轉(zhuǎn)移功 能 589383 65.02% 業(yè)務(wù)查詢成功次業(yè)務(wù)查詢成功次 數(shù)：數(shù)： 次次 業(yè)務(wù)成功辦理筆業(yè)務(wù)成功辦理筆 數(shù)：數(shù)： 4429 筆筆 數(shù)據(jù)量大小計(jì)算： 按照每比最大網(wǎng)站訪問量計(jì)算（首頁為 400KB,業(yè)務(wù)查詢及 1860 都為 200KB） ，計(jì)算得出每天訪問量在最大業(yè)務(wù)時(shí)的數(shù)據(jù)量最大業(yè)務(wù)時(shí)的數(shù)據(jù)量： 每天最大數(shù)據(jù)量每天最大數(shù)據(jù)量=最大每天網(wǎng)站日最高訪問次數(shù)*每次數(shù)據(jù)最大流量+1860 日最高訪問次數(shù)*每次數(shù)據(jù)=（13964*400+8399*200）=

10、（KB） 按照流量高峰時(shí)間為 8 小時(shí)計(jì)算（上午四小時(shí)，下午 4 小時(shí)） 平均每秒最大數(shù)據(jù)量平均每秒最大數(shù)據(jù)量=（KB）/8*3600 秒=252.3k/秒=2018Kbits/秒2.02M/S 最大每秒突發(fā)數(shù)據(jù)量最大每秒突發(fā)數(shù)據(jù)量=平均每秒最大數(shù)據(jù)量平均每秒最大數(shù)據(jù)量*突發(fā)系數(shù)突發(fā)系數(shù) 當(dāng)前最大每秒突發(fā)數(shù)據(jù)量當(dāng)前最大每秒突發(fā)數(shù)據(jù)量=2.02M/S*3=6M 依此數(shù)據(jù)分析，現(xiàn)有的百兆帶寬及百兆設(shè)備轉(zhuǎn)發(fā)能力均滿足需求現(xiàn)階段需 求 2.2. 用戶需求及分析用戶需求及分析 2.2.1. 網(wǎng)絡(luò)需求網(wǎng)絡(luò)需求 . 業(yè)務(wù)量預(yù)測業(yè)務(wù)量預(yù)測及需求及需求 據(jù)業(yè)務(wù)部門預(yù)測，至 2005 年底業(yè)務(wù)量見下

11、表。 1)網(wǎng)站每日可承受訪問量 20 萬人次； 2)網(wǎng)站在線訪問人數(shù)2 萬人 3)網(wǎng)站可承受并發(fā)響應(yīng)數(shù) 100 人； 4)網(wǎng)上自助服務(wù)在線訪問人數(shù) 1 萬人； 5)網(wǎng)上自助服務(wù)可承受并發(fā)響應(yīng)數(shù) 60 人； 6)電子帳單、電子期刊郵件發(fā)送能力為每月 2000 萬次 依照業(yè)務(wù)量現(xiàn)狀分析的數(shù)據(jù)得知，未來業(yè)務(wù)量為現(xiàn)有業(yè)務(wù)量的 14.4 倍。 （原日最高訪問量：13964 人次，人次，先要求每日可承受訪問量 20 萬人次，20 萬/1.396 萬=14.4 倍） 未來網(wǎng)站帶寬需求未來網(wǎng)站帶寬需求=當(dāng)前最大每秒突發(fā)數(shù)據(jù)量當(dāng)前最大每秒突發(fā)數(shù)據(jù)量*（未來承受最大訪問人數(shù)/現(xiàn) 在最大訪問人數(shù)） 因此，未來網(wǎng)站數(shù)

12、據(jù)量需求將達(dá)到 6M*14.4= 87.2M/秒 現(xiàn)有主要設(shè)備能滿足未來用戶量增長需求：現(xiàn)有防護(hù)墻 Netscreen-100F 吞 吐量為 100M。 Netscreen 最大吞吐量為 200M（雙工）,最大會(huì)話數(shù)為 128，000 但是現(xiàn)有防火墻是非冗余結(jié)構(gòu)，容易產(chǎn)生單點(diǎn)故障。Netscreen-100 冗余必 須相同的硬件平臺(tái)和軟件平臺(tái)，但與移動(dòng)網(wǎng)站相同配置的 Netscreen-100 現(xiàn)在已 無貨。因此為冗余性，排除單點(diǎn)故障，需要將現(xiàn)有防火墻升級為新型號防火墻， 不利舊。 而且如果隨著未來業(yè)務(wù)的發(fā)展，和客戶服務(wù)質(zhì)量的不斷提升，新型軟件應(yīng) 用（網(wǎng)頁，查詢）的變化及數(shù)據(jù)內(nèi)容形式的變化，比

13、如面向用戶的多媒體等新 技術(shù)的應(yīng)用，網(wǎng)頁帶寬將成倍增長，帶寬要求將超過百兆防火墻的承受能力， 增大到 87.2M*N,N1。 因此對帶寬的需求不斷加大的情況下，本需求分析現(xiàn)有防火墻能力明顯不 足，應(yīng)用層數(shù)據(jù)量變化將導(dǎo)致設(shè)備的負(fù)載能力將不能滿足整個(gè)平臺(tái)的需求。需 要更換新型號防火墻。 . 可靠性需求可靠性需求 由于用戶在現(xiàn)有拓?fù)浜徒Y(jié)構(gòu)中，所有核心網(wǎng)絡(luò)設(shè)備均未冗余配置，很容易 產(chǎn)生單點(diǎn)故障，而單點(diǎn)故障帶來的損失遠(yuǎn)遠(yuǎn)大于冗余設(shè)備的投入，為保證業(yè)務(wù) 的不間斷運(yùn)行及整個(gè)平臺(tái)不間斷的提供服務(wù)，有增強(qiáng)現(xiàn)有網(wǎng)絡(luò)設(shè)備和結(jié)構(gòu)可靠 性的需求。 . 均衡負(fù)載設(shè)備需求均衡負(fù)載設(shè)備需求 本系統(tǒng)

14、運(yùn)行要求最大并發(fā)響應(yīng)數(shù)為 100 人，根據(jù)經(jīng)驗(yàn)，把平均每個(gè)對 網(wǎng)站訪問折算成動(dòng)態(tài)內(nèi)容與靜態(tài)內(nèi)容的服務(wù)，每個(gè)動(dòng)態(tài)內(nèi)容/靜態(tài)內(nèi)容需要 不同的硬件處理能力。 當(dāng)前對用于網(wǎng)上服務(wù)的主機(jī)性能評估主要是針對主機(jī)的處理能力。對于 當(dāng)前對用于網(wǎng)上服務(wù)的主機(jī)性能評估主要是針對主機(jī)的處理能力。對于主機(jī) 處理能力主要是針對主機(jī)對交易的并發(fā)計(jì)算處理能力，通常以 TPMC(TPC- C 值)來進(jìn)行評估。即計(jì)算主機(jī)性能 TPMC 的經(jīng)驗(yàn)公式為： web TPMC=N*(S*ST+D*DT+DC*DCT+DB*DBT) 并發(fā)訪問數(shù)N(按照 100 個(gè)計(jì)算) 每個(gè)并發(fā)中靜態(tài)頁面S(按照 2 個(gè)計(jì)算)|ST(每個(gè)頁面需要 30

15、 個(gè) TPCC) 每個(gè)并發(fā)中動(dòng)態(tài)頁面D(按照 1 個(gè)計(jì)算)|DT(每個(gè)頁面需要 60 個(gè) TPCC) 動(dòng)態(tài)頁面訪問內(nèi)容庫DC(按照 2 個(gè)計(jì)算)|DCT(需要 60 個(gè) TPCC) 動(dòng)態(tài)頁面訪問后臺(tái) DB(按照 2 個(gè)計(jì)算)|DBT(需要 60 個(gè) TPCC) 計(jì)算過程為： Total TPCC=N*(S*ST+D*DT+DC*DCT+DB*DBT)=36000 考慮到瞬間突發(fā)高峰的要求其處理能力有 20的冗余，因此該主機(jī)的 網(wǎng)站訪問處理能力 TPMC 值至少為 36000（120）43200 tpm 若網(wǎng)站 web 服務(wù)器采用 P615 服務(wù)器，其 TPMC 值約為 33359tpm tpm

16、 未達(dá) 到 43200 tpm,為了節(jié)省投資，可采用流行的均衡負(fù)載設(shè)備，變縱向的擴(kuò)展服務(wù) 器檔次，Cpu 個(gè)數(shù)為橫向添加服務(wù)器數(shù)目，將高 TMPC 需求均衡負(fù)載到多臺(tái)服 務(wù)器上，并增強(qiáng)服務(wù)冗余性，服務(wù)維護(hù)性，利用均衡負(fù)載可以方便的維護(hù)應(yīng)用 （在訪問低峰時(shí)采取漸進(jìn)式停機(jī)方式，停下一臺(tái)主機(jī)進(jìn)行維護(hù)） 。 3. 設(shè)計(jì)原則設(shè)計(jì)原則 3.1. 網(wǎng)絡(luò)設(shè)計(jì)原則網(wǎng)絡(luò)設(shè)計(jì)原則 工程應(yīng)按照“統(tǒng)一領(lǐng)導(dǎo)、統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一組織”的要求進(jìn)行， 對整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)本著實(shí)用性、先進(jìn)性、可靠性、安全性、靈活性、可擴(kuò)展性、 開放性、互連性、經(jīng)濟(jì)性、高性價(jià)比和可管理性等幾個(gè)方面來考慮，具體來說 就是以下幾點(diǎn)： 實(shí)用性和先進(jìn)性

17、相結(jié)合：采用先進(jìn)的網(wǎng)絡(luò)技術(shù)以適應(yīng)更高的數(shù)據(jù)、多媒體 信息的傳輸需要，但是不過分追求最新技術(shù)，取得穩(wěn)定性、成熟性和新技術(shù)的 統(tǒng)一，從而保證網(wǎng)絡(luò)的高可用性。 可靠性：對網(wǎng)絡(luò)結(jié)構(gòu)、通信線路、核心設(shè)備等各方面進(jìn)行可靠性設(shè)計(jì)和建 設(shè)，并采用硬件備份、冗余、迂回、策略等技術(shù)。 安全性：在采用多種可靠性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強(qiáng) 的管理機(jī)制、控制手段、故障監(jiān)控和網(wǎng)絡(luò)安全保密等技術(shù)措施。 靈活性與可擴(kuò)展性：能夠適應(yīng)通信業(yè)務(wù)不斷發(fā)展的需要，方便地?cái)U(kuò)展網(wǎng)絡(luò) 覆蓋范圍，擴(kuò)大網(wǎng)絡(luò)容量，提高網(wǎng)絡(luò)各節(jié)點(diǎn)的功能。具備支持多種通信媒體、 多種物理接口的能力，提供技術(shù)升級、設(shè)備更新的靈活性。 經(jīng)濟(jì)性：以較低的成本

18、、較少的人員投入來維持系統(tǒng)運(yùn)轉(zhuǎn)，提供高效能與 高效益。 可管理性：通過先進(jìn)的策略管理和管理工具提高網(wǎng)絡(luò)運(yùn)行性的可靠性，簡 化網(wǎng)絡(luò)的維護(hù)工作。 保護(hù)原有投資：對于本系統(tǒng)中的一些輔助產(chǎn)品則盡可能利用原有的設(shè)備。 高性價(jià)比：在采用可實(shí)現(xiàn)、可持續(xù)發(fā)展技術(shù)的基礎(chǔ)上，合理選擇最佳性價(jià) 比的技術(shù)及設(shè)備，保證投資的高效率。 設(shè)備利舊：能夠在現(xiàn)有主機(jī)系統(tǒng)基礎(chǔ)上，利用現(xiàn)有設(shè)備，保護(hù)前期的設(shè)備 投資。 4. 網(wǎng)絡(luò)擴(kuò)容方案網(wǎng)絡(luò)擴(kuò)容方案 4.1. 方案簡述方案簡述 如果隨著未來業(yè)務(wù)的發(fā)展，和客戶服務(wù)質(zhì)量的不斷提升，新型應(yīng)用（網(wǎng)頁， 查詢）的變化，比如面向用戶的多媒體等新技術(shù)的應(yīng)用，對帶寬的需求不斷加 大的情況下，設(shè)備的

19、負(fù)載能力將不能滿足整個(gè)平臺(tái)的需求。 因此，本方案將在利舊不能滿足未來應(yīng)用需求的前提下，采用大幅度提高 能力的新設(shè)備替換現(xiàn)有網(wǎng)絡(luò)平臺(tái)的各個(gè)設(shè)備來滿足未來業(yè)務(wù)需求。 4.2. 防火墻擴(kuò)容防火墻擴(kuò)容 考慮到未來互連網(wǎng)站的網(wǎng)絡(luò)流量需要滿足無單點(diǎn)故障，具備冗余性。 由于原有防火墻型號 Netscreen-100 已停止供貨，而高可靠性的雙機(jī)防火墻 必須使用同一型號，同一版本的軟件。因此不得不將原有防火墻 Netscreen-100 換下。同時(shí)增加兩臺(tái) Netscree-204 防火墻,該防火墻具備 4 x 10/100 M 以太網(wǎng)端 口，支持 HA 雙 active,在冗余的同時(shí)可增大與互聯(lián)網(wǎng)的帶寬。

20、Netscreen 最大吞吐量為 400M,最大會(huì)話數(shù)為 128，000。完全滿足未來業(yè) 務(wù)增長需求。 兩臺(tái)防火墻支持雙激活形式，具備均衡負(fù)載相互備份的能力。完全能夠適 應(yīng)和滿足未來發(fā)展的需求。 4.3. 核心交換機(jī)擴(kuò)容核心交換機(jī)擴(kuò)容 由于原有交換機(jī)除可靠性不滿足未來用戶需求，且其數(shù)據(jù)流量負(fù)載能力不 能滿足用戶需求（網(wǎng)站擴(kuò)容規(guī)范要求核心交換機(jī)參數(shù)為：千兆網(wǎng)交換機(jī)，提供 10Gbps 級 100Gbps 級的背板帶寬）而原有核心交換機(jī) FoundryServeriton XL 參數(shù)為： ServerIronXLServerIronXL 并發(fā)會(huì)話 1,000,000 吞吐量 2 Gbps 交換能力

21、 4.2 Gbps 數(shù)據(jù)包轉(zhuǎn)發(fā)速率 (包/秒) 3,000,000 pps 虛擬 IP 地址數(shù)目不限 真實(shí)服務(wù)器數(shù)目 1,024 10/100 端口數(shù)目 24 千兆位端口數(shù)目 2 總端口數(shù)目 26 第 3 層交換功能服務(wù)器可以位于與 VIP 不同的子網(wǎng)上 其交換能力遠(yuǎn)遠(yuǎn)小與需求的 10Gbps 級。因此不可利舊原有交換機(jī)，只可替換 原有交換機(jī)為冗余的兩臺(tái)高性能交換機(jī)。本方案采用交換機(jī)為 Cisco4507 交換 機(jī) CiscoCisco 4507R4507R 采用引擎 Supervisor Engine IV(WS-X4515)支持交換能力 64Gbps，三層轉(zhuǎn)發(fā)能力 48Mpps 冗余引擎支

22、持：冗余引擎支持： Cisco Catalyst 4500 的冗余機(jī)制是在無源背板上使用可拆除的網(wǎng)絡(luò)冗余模塊， 以便將流量交換到主動(dòng)超級引擎。每塊線路卡有一個(gè)網(wǎng)絡(luò)冗余模塊。每個(gè)標(biāo)準(zhǔn) 的 Catalyst 4507R 機(jī)箱都配有矩陣冗余模塊和冗余時(shí)鐘。為了便于維護(hù)，思科 還提供了備用矩陣冗余模塊和時(shí)鐘模塊。 冗余風(fēng)扇：冗余風(fēng)扇： 為了制冷，每個(gè) Cisco Catalyst 4500 機(jī)箱都采用了一個(gè)風(fēng)扇架。所有風(fēng)扇 架都由獨(dú)立風(fēng)扇組成。如果一個(gè)風(fēng)扇出現(xiàn)故障，系統(tǒng)仍然能夠繼續(xù)正常操作， 而不會(huì)出現(xiàn)散熱問題。當(dāng)系統(tǒng)檢測到某個(gè)風(fēng)扇出現(xiàn)故障，風(fēng)扇架需要更換時(shí)， 將向用戶發(fā)出通知（通過 LED、CLI

23、和 SNMP） 。 支持熱插拔：支持熱插拔： 所有模塊支持熱插拔。 支持如下協(xié)議：支持如下協(xié)議： 標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議 以太網(wǎng) IEEE 802.3，10BASE-T 快速以太網(wǎng) IEEE 802.3u，100BASE-TX IEEE 802.3，100BASE-FX 千兆位以太網(wǎng) IEEE 802.3z IEEE 802.3x IEEE 802.3ab 1000BASE-X (GBIC) 1000BASE-SX 1000BASE-LX/LH 1000BASE-ZX 虛擬 LAN（VLAN）中繼/標(biāo)記 IEEE 802.1Q IEEE 802.3ad 生成樹協(xié)議 IEEE 802.1D IEEE 80

24、2.1w IEEE 802.1s 安全 IEEE 802.1x 以太網(wǎng)饋線供電（PoE） IEEE 802.3af 支持 TCP/IP 協(xié)議 支持 OSPF、IS-IS、RIP、BGP 等多種路由協(xié)議，支持多路由的負(fù)載均衡； 支持 HSRP/VRRP 熱備份協(xié)議； 支持 IP Multicast 技術(shù)，支持 IGMP、MOSPF、PIM 等多種 IP Multicast 路由 協(xié)議； 支持 STP 協(xié)議； 支持 VLAN 劃分和 802.1Q VLAN TRUNK 協(xié)議； 提供強(qiáng)大的 QoS 管理功能，支持 802.1p 標(biāo)準(zhǔn)和 IP Precedence/DSCP 標(biāo)準(zhǔn)， 提供第二層和第三層

25、的 QoS 支持； 支持 SNMP 和 SNMPv2 協(xié)議； 關(guān)鍵模塊如中心引擎、電源、風(fēng)扇等支持冗余備份，電源、風(fēng)扇等冗余，并 可熱插拔； 系統(tǒng)板、關(guān)鍵 I/O 板由于采取的是雙交換機(jī)冗余構(gòu)架，在已經(jīng)冗余的基礎(chǔ)上 考慮節(jié)省投資，支持冗余系統(tǒng)引擎的功能，但每臺(tái)核心交換機(jī)不配置冗余引擎。 平均無故障時(shí)間大于 8000 小時(shí)，可用性不小于 99.99%； 核心交換機(jī)端口配置說明及端口擴(kuò)展能力：核心交換機(jī)端口配置說明及端口擴(kuò)展能力： 每臺(tái) Cisco 4507 具有 7 個(gè)槽位，其中使用三個(gè)槽位（一個(gè)槽位用于引擎， ， 第二個(gè)槽位為 48 端口 10/100Basetx 模塊） ，支持五個(gè)槽位的擴(kuò)展

26、能力。 48 端口 10/100Basetx 用于接駁： 防病毒系統(tǒng)、入侵檢測系統(tǒng)集中控制臺(tái)、網(wǎng)管工作站、漏洞掃描系統(tǒng)、其 他管理工作臺(tái) 4.4. 接入交換機(jī)擴(kuò)容接入交換機(jī)擴(kuò)容 在內(nèi)網(wǎng)區(qū)域各增加一臺(tái)冗余用交換機(jī) Cisco 3550-24，使現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)和設(shè) 備變?yōu)槿哂?、可靠。Cisco 3550-24 具備 24 個(gè) 10/100BasetX 端口，具備三層路 由能力，支持主流各種協(xié)議，具有良好兼容性，滿足未來業(yè)務(wù)增長的用戶需求。 4.5. 服務(wù)器均衡負(fù)載擴(kuò)容服務(wù)器均衡負(fù)載擴(kuò)容 為節(jié)省投資，充分利用現(xiàn)有 web 服務(wù)器資源，增強(qiáng)處理能力，滿足未來業(yè) 務(wù)對服務(wù)器處理能力的需求，新添置兩臺(tái) Ra

27、dware WSD 均衡負(fù)載交換機(jī)，兩臺(tái) 交換機(jī)互為冗余，互為備份，Radware WSD 可提供 9.6Gbps 交換能里支持 2（Gb）X8（10/100）交換機(jī)端口。 其主要功能如下： 使用 Radware 的 Web Server Director (WSD) 應(yīng)用交換機(jī)系列產(chǎn)品，可以 確保公司的 IP 應(yīng)用不會(huì)因?yàn)?Web 上固有的不確定性而發(fā)生癱瘓。不論您的 內(nèi)容位于單個(gè)或多個(gè)數(shù)據(jù)中心，都能確保用戶獲得優(yōu)質(zhì)服務(wù)和網(wǎng)絡(luò)的高可用性。 為不確定的動(dòng)態(tài)網(wǎng)絡(luò)提供不間斷服務(wù) 應(yīng)用狀態(tài)監(jiān)控 首先，WSD 可靠的狀態(tài)監(jiān)控機(jī)制可以保證用戶獲得最佳的服務(wù)。WSD 可 以監(jiān)視服務(wù)器在 IP、TCP、UD

28、P、應(yīng)用和內(nèi)容等所有協(xié)議層上的工作狀態(tài)。如 果發(fā)現(xiàn)故障，用戶即被透明地重定向到正常工作的服務(wù)器上。這可以保證用戶 始終能夠獲得他們所期望的信息。 交易完整性的可靠保證 為了確保服務(wù)正常運(yùn)行，WSD 監(jiān)控從 Web 服務(wù)器、中間件服務(wù)器到后端 數(shù)據(jù)庫服務(wù)器的整個(gè)路徑上工作狀態(tài)，確保整個(gè)數(shù)據(jù)路徑上的服務(wù)器都處于正 常狀態(tài)。如果存在一個(gè)故障服務(wù)器，WSD 則不會(huì)將用戶分配到這個(gè)發(fā)生故障 路徑的服務(wù)器，從而保證為用戶提供透明的數(shù)據(jù)完整性保障。 完全的容錯(cuò)與冗余 WSD 的配置提供設(shè)備間的完全容錯(cuò)，以確保網(wǎng)絡(luò)最大的可用性。兩個(gè)設(shè)備 通過網(wǎng)絡(luò)相互檢查各自的工作狀態(tài)，為其所管理的應(yīng)用保障完全的網(wǎng)絡(luò)可用性。

29、它們可工作于“主用-備用”模式或“主用-主用”模式，在“主用-主用”模式 下，因?yàn)閮蓚€(gè)設(shè)備都處于工作狀態(tài)，從而最大限度地保護(hù)了投資。并且所有的 信息都可在設(shè)備間進(jìn)行鏡像，從而提供透明的冗余和完全的容錯(cuò)，確保在任何 時(shí)候用戶都可以獲得從點(diǎn)擊到內(nèi)容的最佳服務(wù)。 通過正常退出服務(wù)保證穩(wěn)定運(yùn)行 當(dāng)需要進(jìn)行服務(wù)器升級或系統(tǒng)維護(hù)時(shí)，WSD 保證穩(wěn)定的服務(wù)器退出服務(wù)以 避免服務(wù)中斷。當(dāng)選定某臺(tái)服務(wù)器要從服務(wù)器退出服務(wù)后，WSD 將不會(huì)將任 何新的用戶分配到該服務(wù)器。但是，它可以要退出服務(wù)的服務(wù)器上完成對當(dāng)前 用戶的服務(wù)。從而保證了無中斷的優(yōu)質(zhì)服務(wù)，以及服務(wù)器組的簡易管理能力。 智能的服務(wù)器服務(wù)恢復(fù) 將重新啟

30、動(dòng)的服務(wù)器應(yīng)用到服務(wù)中時(shí)，避免新服務(wù)器因突然出現(xiàn)的流量沖擊 導(dǎo)致系統(tǒng)故障是非常重要的。所以，在將新服務(wù)器引入服務(wù)器組時(shí)，WSD 將逐 漸地增加分配到該服務(wù)器的流量，直至達(dá)到其完全的處理能力。從而不僅保證 用戶在服務(wù)器退出服務(wù)時(shí)，同時(shí)還保證服務(wù)器在啟動(dòng)期間以及應(yīng)用程序開始時(shí)， 均能獲得不間斷服務(wù)。 其他功能如下： 通過應(yīng)用交換保證最佳服務(wù) 通過負(fù)載均衡優(yōu)化服務(wù)器資源 WSD 執(zhí)行復(fù)雜的負(fù)載均衡算法， 在多個(gè)本地和遠(yuǎn)程服務(wù)器間動(dòng)態(tài)分配 負(fù)載。這些算法包括循環(huán)、最少用戶 數(shù)、最小流量、Native Windows NT 以 及定制代理支持。除了這些算法， WSD 還可以為每個(gè)服務(wù)器分配一個(gè)可 以配置

31、的性能加權(quán)，從而提高服務(wù)器 組的性能。 應(yīng)用交換 WSD 根據(jù) IP 地址、應(yīng)用類型和 內(nèi)容類決定流量分配。這樣，管理員 就可以為不同類型的應(yīng)用程序分配不 同的服務(wù)器資源。應(yīng)用交換支持不同 協(xié)議上的各種應(yīng)用，包括 TCP、UDP、IP、Telnet、Rshell、TFT P、流、被動(dòng) FTP、HTTP、e- mail、DNS、VOIP 等等。Radware 還 為運(yùn)行于動(dòng)態(tài)端口并要求同步的應(yīng)用 設(shè)計(jì)了特殊支持功能。 Web 交換 WSD 完全支持 URL 交換，根據(jù) URL 和 HTTP 信息分配流量。每個(gè) 簡單的管理 WSD 可以通過 CLI、Telnet、Web 應(yīng)用、HPOV 插件以及

32、Radware 的 ConfigWare （一個(gè)獨(dú)立的全 GUI Java 實(shí)用工具）來進(jìn)行管理。這個(gè)獨(dú)立的 平臺(tái)管理系統(tǒng)使您可以非常方便地遠(yuǎn) 程連接和管理設(shè)備。其直觀的布局和 易于使用的菜單與向?qū)?，使用戶可?按部就班地進(jìn)行系統(tǒng)配置，并對配置 內(nèi)容進(jìn)行備份。ConfigWare 還提供統(tǒng) 計(jì)資料，幫助您更好地了解網(wǎng)絡(luò)的流 量需求，并有效地管理服務(wù)器資源。 簡單的網(wǎng)絡(luò)安裝 WSD 可以非常容易地集成到任何 網(wǎng)絡(luò)中，而不需對現(xiàn)有網(wǎng)絡(luò)做任何改 動(dòng)，從而避免了工作量和花費(fèi)。 Radware 的多種配置可以安裝成為網(wǎng) 橋、路由器或單臂配置（“棒棒糖” ） ， 保證簡單快速的安裝。 可靠的應(yīng)用交換性能

33、Radware 在提供最小延遲時(shí)間的電 線速度連接的同時(shí)，還提供豐富的功 能集和智能負(fù)載均衡。Radware 的應(yīng) URL 都可以重定向到某服務(wù)器，或在 多個(gè)服務(wù)器之間進(jìn)行負(fù)載均衡，從而 提供優(yōu)化的 Web 交換性能。根據(jù) URL 文本中包含的信息，WSD 可以 保持客戶持續(xù)性，從而保證內(nèi)容的個(gè) 性化。 內(nèi)容交換 內(nèi)容交換使管理員可以根據(jù)交易的 內(nèi)容來分配服務(wù)器資源。例如，CGI 腳本可以位于一個(gè)單獨(dú)的服務(wù)器組， 當(dāng)發(fā)生對該內(nèi)容的請求時(shí)，會(huì)話就被 重定向到其中某個(gè)服務(wù)器。WSD 的內(nèi) 容交換能力可以廣泛支持 SSL ID 和 cookies， 保持客戶持續(xù)性，保證最佳 流量管理和應(yīng)用內(nèi)容個(gè)性化

34、。 用交換平臺(tái)具有多層交換技術(shù)和千兆 位級連接，提高了速度并保證您得到 更快的響應(yīng)。 本地解決方案 站點(diǎn)可用性 可用性和就近性 產(chǎn)品規(guī)格 Web Server Director 本地和全局流量管理 RISC 處理器MPC 750 266 MHz (Power 底板速度9.6 Gbps 10/100 兆以太網(wǎng)端 口 8 千兆以太網(wǎng)端口2 L2 交換線速 RAM64 Mb (128 Mb) VLAN64 實(shí)際服務(wù)器數(shù)10,000 VIP（虛擬 IP）512/3,000 IP 路由接口2,000 路由表數(shù)128,000 并發(fā)客戶500,000 并發(fā)會(huì)話數(shù)無限制 路由協(xié)議OSPF, RIP, RIP

35、II 網(wǎng)絡(luò)管理 命令行接口(CLI) HP OpenView for Sun Solaris Web SNMP Telnet 圖形界面(GUI) 標(biāo)準(zhǔn) 10BASE-T/100BASE-TX (IEEE 802.3, 802.3u), 1000BASE-SX (IEEE 802.3z), SNMP (1213 MIB-II, 1643 Ethernet, 1493 Bridge), IP, OSPF, RIPv1, RIPv2, TFTP, BootP, Telnet 1000BASE-SX 端口 全雙工千兆位以太網(wǎng) SC 光纖接口 1000BASE-SX 工作距離 短波 (850 nm) 6

36、2.5 納米光纖 2 到 275 米， 50 納米光纖 2 到 550 米 10BASE-T/100BASE-TX 端口 10/100 全雙工或半雙工（自動(dòng)識(shí)別） ， 用于 UTP 端口的 RJ-45 接口。 RS-232C 控制 DB-9 串行接口，用于頻帶外管理的 DCE 接口(孔式) 5. 系統(tǒng)安全擴(kuò)容系統(tǒng)安全擴(kuò)容 5.1. 安全體系綜述安全體系綜述 5.1.1. 網(wǎng)絡(luò)安全體系建立原則網(wǎng)絡(luò)安全體系建立原則 可實(shí)施性原則可實(shí)施性原則 安全體系中的網(wǎng)絡(luò)風(fēng)險(xiǎn)分析、網(wǎng)絡(luò)安全需求分析都是從可 實(shí)施的角度出發(fā)的，按照體系的指導(dǎo)，可以直接把目前已有的安全技術(shù)、安全 產(chǎn)品、安全措施、網(wǎng)絡(luò)設(shè)施建設(shè)、直至管

37、理規(guī)范都規(guī)劃到某個(gè)安全層次中去。 因此，本體系不是一個(gè)學(xué)術(shù)化的理論體系，而是一個(gè)用于指導(dǎo)實(shí)際工作的一個(gè) 可實(shí)施的安全體系。 可管理性原則可管理性原則 在進(jìn)行網(wǎng)絡(luò)的安全性改造時(shí)往往存在一個(gè)問題，就是花了 很多錢，買了很多設(shè)備，但是往往網(wǎng)絡(luò)的安全性得不到顯著的改善，常常出現(xiàn) 由于管理制度的不完善，或職責(zé)劃分的不明確，導(dǎo)致采取的安全技術(shù)、購買的 安全設(shè)備不能很好地發(fā)揮作用。我們制訂安全體系的原則之二就是試圖建立一 個(gè)動(dòng)態(tài)的、可控的安全體系結(jié)構(gòu)，管理人員不需要掌握具體的安全技術(shù)，在一 套合理的安全規(guī)范的指導(dǎo)下，就可以管理網(wǎng)絡(luò)的安全。這樣，可以有效地對安 全設(shè)備和安全技術(shù)進(jìn)行利用與管理，使得整個(gè)網(wǎng)絡(luò)的安

38、全性是可控的。 安全完備性原則安全完備性原則 安全是一個(gè)多層面的問題，同樣，安全體系也是一個(gè) 多層次的結(jié)構(gòu)。以安全的層次理論模型為基礎(chǔ)，從安全層次出發(fā)，對湖北移動(dòng) 互聯(lián)網(wǎng)站擴(kuò)容進(jìn)行詳細(xì)的安全分析，再從每一個(gè)層次中分離出若干子系統(tǒng)，完 整地將網(wǎng)絡(luò)的總體安全因素都考慮在內(nèi)，可以保證基本不會(huì)遺漏大的安全問題 和安全隱患。 可擴(kuò)展性原則可擴(kuò)展性原則 隨著網(wǎng)絡(luò)的擴(kuò)展，其網(wǎng)絡(luò)結(jié)構(gòu)和應(yīng)用結(jié)構(gòu)也會(huì)日趨復(fù)雜。 本安全體系考慮到了這一點(diǎn)，安全體系的可擴(kuò)充性結(jié)構(gòu)為以后的網(wǎng)絡(luò)擴(kuò)展和業(yè) 務(wù)擴(kuò)充都預(yù)留了接口，只要在安全防護(hù)體系的指導(dǎo)下，安全子系統(tǒng)的實(shí)施都可 以采取更新的技術(shù)、更換更高檔次的產(chǎn)品、或進(jìn)行拓?fù)涞臄U(kuò)充來對安全功

39、能進(jìn) 行擴(kuò)展和延續(xù)。 專業(yè)性原則專業(yè)性原則 安全體系所涉及的所有網(wǎng)絡(luò)安全的概念、系統(tǒng)定義、體 系思想，都是參考目前國內(nèi)、國際有關(guān)網(wǎng)絡(luò)安全的專業(yè)規(guī)范制定的，均符合相 關(guān)的安全標(biāo)準(zhǔn)，這樣可以確保本安全體系的技術(shù)深度和專業(yè)性。 5.1.2. 整體網(wǎng)絡(luò)安全體系結(jié)構(gòu)整體網(wǎng)絡(luò)安全體系結(jié)構(gòu) 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的安全體系結(jié)構(gòu)是劃分為若干層次的一種多層次、 多方面、立體的安全構(gòu)架。針對“全網(wǎng)安全”的要求，網(wǎng)絡(luò)安全體系涉及的各 個(gè)環(huán)節(jié)包括：網(wǎng)絡(luò)安全策略指導(dǎo)、網(wǎng)絡(luò)安全標(biāo)準(zhǔn)規(guī)范、網(wǎng)絡(luò)安全防范技術(shù)、網(wǎng) 絡(luò)安全管理保障、網(wǎng)絡(luò)安全服務(wù)支持體系等幾部分。如圖 1 所示。 網(wǎng)絡(luò)安全策略 安全標(biāo)準(zhǔn) 規(guī)范體系 安全管理 保障體系

40、 安全技術(shù) 防范體系 安全服務(wù)支持體系 圖1 網(wǎng)絡(luò)安全的環(huán)節(jié) 網(wǎng)絡(luò)安全策略 安全標(biāo)準(zhǔn) 規(guī)范體系 安全管理 保障體系 安全技術(shù) 防范體系 安全服務(wù)支持體系 圖1 網(wǎng)絡(luò)安全的環(huán)節(jié) 我們認(rèn)為湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的安全是一個(gè)動(dòng)態(tài)的概念。我們已經(jīng) 制定和開發(fā)出針對性的一系列安全方案、技術(shù)框架和應(yīng)用工具，并發(fā)展成 為一種有效的網(wǎng)絡(luò)安全解決方案動(dòng)態(tài)安全模型，它能夠提供給用戶比 較完整、合理的安全機(jī)制。 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的動(dòng)態(tài)安全管理公式可由下面公式概括： 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的網(wǎng)絡(luò)安全湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的網(wǎng)絡(luò)安全 = 風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)分析 + 制訂策略制訂策略 + 系統(tǒng)防護(hù)系統(tǒng)防護(hù) + 實(shí)時(shí)監(jiān)測實(shí)時(shí)監(jiān)測

41、+ 實(shí)時(shí)響應(yīng)實(shí)時(shí)響應(yīng) + 恢復(fù)恢復(fù) 即：網(wǎng)絡(luò)的安全是一個(gè)“AP2DR2”的動(dòng)態(tài)安全公式，如圖 2 所示。 風(fēng)險(xiǎn)分析 安全策略 系統(tǒng)防護(hù) 實(shí)時(shí)監(jiān)測 實(shí)時(shí)響應(yīng) 災(zāi)難恢復(fù) 網(wǎng)絡(luò)安全 圖2 網(wǎng)絡(luò)動(dòng)態(tài)安全體系模型 從安全體系的實(shí)施的動(dòng)態(tài)性角度，湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容動(dòng)態(tài)安全管理公 式的設(shè)計(jì)充分考慮到了風(fēng)險(xiǎn)評估、安全策略的制定、防御系統(tǒng)、監(jiān)控與檢測、 響應(yīng)與恢復(fù)等各個(gè)方面，并且考慮到各個(gè)部分之間的動(dòng)態(tài)關(guān)系與依賴性。 安全需求和風(fēng)險(xiǎn)評估安全需求和風(fēng)險(xiǎn)評估是制定湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容安全策略的依據(jù)。風(fēng)險(xiǎn) 分析（又稱風(fēng)險(xiǎn)評估、風(fēng)險(xiǎn)管理） ，是指確定網(wǎng)絡(luò)資產(chǎn)的安全威脅和脆弱性、并 估計(jì)可能由此造成的損失或影響的過程。

42、風(fēng)險(xiǎn)分析有兩種基本方法：定性分析 和定量分析。我們協(xié)助制訂業(yè)務(wù)網(wǎng)絡(luò)安全策略的時(shí)候，是從全局進(jìn)行考慮，基 于風(fēng)險(xiǎn)分析的結(jié)果進(jìn)行決策，建議究竟是加大投入，采取更強(qiáng)有力的保護(hù)措施， 還是可以容忍一些小的風(fēng)險(xiǎn)存在而不采取措施。因此，我們采取了科學(xué)的風(fēng)險(xiǎn) 分析方法對湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的安全進(jìn)行風(fēng)險(xiǎn)分析，風(fēng)險(xiǎn)分析的結(jié)果作為 制定安全策略的重要依據(jù)之一。 根據(jù)安全策略安全策略的要求，我們協(xié)助選擇相應(yīng)的安全機(jī)制和安全技術(shù)，實(shí)施安安 全防御系統(tǒng)全防御系統(tǒng)、進(jìn)行監(jiān)控與檢測監(jiān)控與檢測。我們認(rèn)為湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容安全防御系統(tǒng) 必須包括技術(shù)和管理兩方面，涵蓋物理層、系統(tǒng)層、網(wǎng)絡(luò)層、應(yīng)用層和管理層 各個(gè)層面上的諸多風(fēng)

43、險(xiǎn)類。安全防御系統(tǒng)搭建得完善與否，直接決定了湖北移 動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的安全程度，無論哪個(gè)層面上的安全措施不到位，都可能是很 大的安全隱患，都有可能造成業(yè)務(wù)網(wǎng)絡(luò)中的后門。 響應(yīng)與恢復(fù)系統(tǒng)響應(yīng)與恢復(fù)系統(tǒng)是保障湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容安全性的重要手段。我們協(xié) 助采取檢測手段，制訂緊急事件響應(yīng)的方法與技術(shù)。根據(jù)檢測和響應(yīng)的結(jié)果， 可以發(fā)現(xiàn)防御系統(tǒng)中的薄弱環(huán)節(jié)，或者安全策略中的漏洞，進(jìn)一步進(jìn)行風(fēng)險(xiǎn)分 析，修改安全策略，根據(jù)技術(shù)的發(fā)展和業(yè)務(wù)的變化，逐步完善安全策略，加強(qiáng) 業(yè)務(wù)網(wǎng)安全措施。 5.1.3. 網(wǎng)絡(luò)安全層次網(wǎng)絡(luò)安全層次 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容對網(wǎng)絡(luò)的安全需求是全方位的、整體的，相應(yīng)的網(wǎng) 絡(luò)安全體系也是分層

44、次的，在不同層次反映了不同的安全問題。根據(jù)網(wǎng)絡(luò)的應(yīng) 用現(xiàn)狀情況和網(wǎng)絡(luò)的結(jié)構(gòu)，我們將安全體系的層次劃分為五層：物理層安全、 系統(tǒng)層安全、網(wǎng)絡(luò)層安全、應(yīng)用層安全、安全管理。如圖 3 所示： 安全管理 應(yīng)用層安全 系統(tǒng)層安全 網(wǎng)絡(luò)層安全 物理層安全 圖3 安全體系層次結(jié)構(gòu) 層次一：物理環(huán)境的安全性（物理層安全）層次一：物理環(huán)境的安全性（物理層安全） 包括通信線路的安全，物理設(shè)備的安全，機(jī)房的安全等。物理層的安 全主要體現(xiàn)在通信線路的可靠性（線路備份、網(wǎng)管軟件、傳輸介質(zhì)） ；軟硬 件設(shè)備安全性（替換設(shè)備；拆卸設(shè)備；增加設(shè)備） ；設(shè)備的備份；防災(zāi)害能 力、防干擾能力；設(shè)備的運(yùn)行環(huán)境（溫度、濕度、煙塵）

45、；不間斷電源保障， 等等。 層次二：操作系統(tǒng)的安全性（系統(tǒng)層安全）層次二：操作系統(tǒng)的安全性（系統(tǒng)層安全） 這一層次的安全問題來自網(wǎng)絡(luò)內(nèi)使用的操作系統(tǒng)：Windows NT，Windows 2000，Unix 等。系統(tǒng)層的安全性問題表現(xiàn)在三方面：一是操 作系統(tǒng)本身的缺陷帶來的不安全因素，主要包括身份認(rèn)證、訪問控制、系 統(tǒng)漏洞等；二是對操作系統(tǒng)的安全配置問題；三是病毒對操作系統(tǒng)的威脅。 層次三：網(wǎng)絡(luò)的安全性（網(wǎng)絡(luò)層安全）層次三：網(wǎng)絡(luò)的安全性（網(wǎng)絡(luò)層安全） 該層次的安全問題主要體現(xiàn)在網(wǎng)絡(luò)信息的安全性。包括網(wǎng)絡(luò)層身份認(rèn) 證，網(wǎng)絡(luò)資源的訪問控制，數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性，遠(yuǎn)程接入的安全， 域名系統(tǒng)的安全，

46、路由系統(tǒng)的安全，入侵檢測的手段，網(wǎng)絡(luò)設(shè)施防病毒等。 層次四：應(yīng)用的安全性（應(yīng)用層安全）層次四：應(yīng)用的安全性（應(yīng)用層安全） 該層次的安全考慮湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容提供服務(wù)所采用的應(yīng)用軟件 和數(shù)據(jù)的安全性，包括：Web 服務(wù)、電子郵件系統(tǒng)、各類服務(wù)器等。此外， 還包括病毒對系統(tǒng)的威脅。 層次五：管理的安全性（管理層安全）層次五：管理的安全性（管理層安全） 安全管理包括安全技術(shù)和設(shè)備的管理，安全管理制度，部門與人員的 組織規(guī)則等。管理的制度化程度極大地影響著整個(gè)網(wǎng)絡(luò)的安全，嚴(yán)格的安 全管理制度、明確的部門安全職責(zé)劃分、合理的人員角色定義都可以在很 大程度上降低其它層次的安全漏洞。 5.1.4. 全方位

47、安全體系全方位安全體系 與其它安全體系類似，湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的安全體系應(yīng)包含： (1)訪問控制。通過對特定網(wǎng)關(guān)、網(wǎng)段、服務(wù)建立的訪問控制 體系，將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前。通過安全產(chǎn)品，嚴(yán)格 控制不同安全等級間的訪問，保證數(shù)據(jù)由安全級別較高的專業(yè)生產(chǎn)系統(tǒng) 向安全級別較低的管理系統(tǒng)等流動(dòng)的單向性。 (2)檢查安全漏洞。通過對安全漏洞的周期檢查，即使攻擊可 到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無效。 (3)攻擊監(jiān)控。通過對特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系， 可實(shí)時(shí)檢測出絕大多數(shù)攻擊，并采取相應(yīng)的行動(dòng)（如斷開網(wǎng)絡(luò)連接、記 錄攻擊過程、跟蹤攻擊源等） 。 (4)加密通訊。主動(dòng)的加密通訊，可使

48、攻擊者不能了解、修改 敏感信息。 (5)認(rèn)證。良好的認(rèn)證體系可防止攻擊者假冒合法用戶。 (6)備份和恢復(fù)。良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失 時(shí)，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。 (7)多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到 達(dá)攻擊目標(biāo)。 (8)隱藏內(nèi)部信息，使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。 (9)設(shè)立安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控， 及緊急情況服務(wù)。 5.1.5. 安全管理因素安全管理因素 系統(tǒng)安全可以采用多種技術(shù)來增強(qiáng)和執(zhí)行。但是，很多安全威脅來源于管 理上的松懈及對安全威脅的認(rèn)識(shí)。 安全威脅主要利用以下途徑：安全威脅主要利用以下途徑： (1)系統(tǒng)實(shí)現(xiàn)存在的漏洞

49、。 (2)系統(tǒng)安全體系的缺陷。 (3)使用人員的安全意識(shí)薄弱。 (4)管理制度的薄弱。 良好的系統(tǒng)管理有助于增強(qiáng)系統(tǒng)的安全性：良好的系統(tǒng)管理有助于增強(qiáng)系統(tǒng)的安全性： (1)及時(shí)發(fā)現(xiàn)系統(tǒng)安全的漏洞。 (2)審查系統(tǒng)安全體系。 (3)加強(qiáng)對使用人員的安全知識(shí)教育。 (4)建立完善的系統(tǒng)管理制度。 5.2. 系統(tǒng)安全設(shè)計(jì)思想與原則系統(tǒng)安全設(shè)計(jì)思想與原則 5.2.1. 系統(tǒng)安全設(shè)計(jì)思想系統(tǒng)安全設(shè)計(jì)思想 考慮到安全層次、技術(shù)難度及經(jīng)費(fèi)支出等因素，在設(shè)計(jì)方案時(shí)我們遵 循了如下設(shè)計(jì)思想： (1) 盡可能的提高系統(tǒng)的安全性和保密性； (2) 保持網(wǎng)絡(luò)原有的性能特點(diǎn)，即對網(wǎng)絡(luò)的協(xié)議和傳輸具有很好的透明性； (3

50、) 易于操作、維護(hù)、并便于自動(dòng)化管理，而不增加或少增加附加操作； (4) 盡量不影響原網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，便于系統(tǒng)結(jié)構(gòu)及系統(tǒng)功能的擴(kuò)展； (5) 網(wǎng)絡(luò)安全系統(tǒng)具有較好的性能價(jià)格比，一次性投資，可以長期使用。 5.2.2. 系統(tǒng)安全設(shè)計(jì)原則系統(tǒng)安全設(shè)計(jì)原則 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容安全方案的設(shè)計(jì)遵循了如下原則： (1) 需求、風(fēng)險(xiǎn)、代價(jià)平衡的原則需求、風(fēng)險(xiǎn)、代價(jià)平衡的原則 對任一網(wǎng)絡(luò)，絕對安全難以達(dá)到，也不一定是必要的。應(yīng)對一個(gè)網(wǎng)絡(luò)進(jìn)行 實(shí)際研究(包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等)，并對網(wǎng)絡(luò)面臨的威 脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確 定安全策略。 (2) 綜合性

51、、整體性原則綜合性、整體性原則 安全模塊和設(shè)備的引入應(yīng)該體現(xiàn)系統(tǒng)運(yùn)行和管理的統(tǒng)一性。一個(gè)完整的系 統(tǒng)的整體安全性取決于其中安全防范最薄弱的一個(gè)環(huán)節(jié)，必須提高整個(gè)系統(tǒng)的 安全性以及系統(tǒng)中各個(gè)部分之間的嚴(yán)密的安全邏輯關(guān)聯(lián)的強(qiáng)度，以保證組成系 統(tǒng)的各個(gè)部分協(xié)調(diào)一致地運(yùn)行。 (3) 可用性原則可用性原則 安全措施需要人為去完成，如果措施過于復(fù)雜，對人的要求過高，本身就 降低了安全性。 (4) 設(shè)備地先進(jìn)性與成熟性設(shè)備地先進(jìn)性與成熟性 安全設(shè)備的選擇，既要考慮其先進(jìn)性，還要考慮其成熟性。先進(jìn)意味著技 術(shù)、性能方面的優(yōu)越，而成熟性表示可靠與可用。 (5) 無縫接入無縫接入 安全設(shè)備的安裝、運(yùn)行，應(yīng)不改變網(wǎng)

52、絡(luò)原有的拓?fù)浣Y(jié)構(gòu)，對網(wǎng)絡(luò)內(nèi)的用戶 應(yīng)是透明的，不可見的，同時(shí)，安全設(shè)備的運(yùn)行應(yīng)該不會(huì)對網(wǎng)絡(luò)傳輸造成通信 “瓶頸” 。 (6) 可管理性與擴(kuò)展性可管理性與擴(kuò)展性 安全設(shè)備應(yīng)易于管理，而且支持通過現(xiàn)有網(wǎng)絡(luò)對網(wǎng)上的安全設(shè)備進(jìn)行安全 地統(tǒng)一管理、控制，能夠在網(wǎng)上監(jiān)控設(shè)備的運(yùn)行狀況，進(jìn)行實(shí)時(shí)的安全審計(jì)。 5.3. 整體網(wǎng)絡(luò)安全設(shè)計(jì)方案整體網(wǎng)絡(luò)安全設(shè)計(jì)方案 5.3.1. 整體安全防護(hù)系統(tǒng)綜述整體安全防護(hù)系統(tǒng)綜述 對于整體湖北移動(dòng)互聯(lián)網(wǎng)網(wǎng)絡(luò)系統(tǒng)，為了保證其充分的安全性，以下對整 體網(wǎng)絡(luò)安全架構(gòu)進(jìn)行了論述： 核心區(qū)域部分：核心區(qū)域部分： 在對外提供 WEB 服務(wù)網(wǎng)絡(luò)部分和核心網(wǎng)絡(luò)間設(shè)置冗余防火墻，以控制來 自

53、互聯(lián)網(wǎng)網(wǎng)絡(luò)部分與核心網(wǎng)絡(luò)之間的相互訪問。所有流量須經(jīng)防火墻審查過濾 才能在兩個(gè)區(qū)域間通過，并通過安全等級設(shè)置和地址翻譯等手段，使核心網(wǎng)絡(luò) 可以主動(dòng)訪問外部網(wǎng)絡(luò)（INTERNET）和非軍事化區(qū)（DMZ） ，而外部網(wǎng)絡(luò)只 能夠訪問非軍事化區(qū)，而不能主動(dòng)訪問核心網(wǎng)絡(luò)，從而確保核心網(wǎng)絡(luò)基本是一 個(gè)相對安全的、可信任的網(wǎng)絡(luò)。 僅僅通過防火墻在網(wǎng)絡(luò)層進(jìn)行安全防護(hù)是不夠的，為充分保障外部接入網(wǎng) 絡(luò)系統(tǒng)的安全，通過添加入侵檢測系統(tǒng)并與防火墻系統(tǒng)進(jìn)行聯(lián)動(dòng)，可以及時(shí)發(fā) 現(xiàn)并切斷來自 Internet 的應(yīng)用層面上的掃描和攻擊，防止漏洞和后門造成的危 險(xiǎn)。 同時(shí)對整個(gè)核心網(wǎng)絡(luò)布置了網(wǎng)絡(luò)防病毒系統(tǒng)、漏洞掃描系統(tǒng)，通過

54、這些安 全系統(tǒng)可以實(shí)現(xiàn)對網(wǎng)絡(luò)各層次更詳盡的安全監(jiān)控，及時(shí)的發(fā)現(xiàn)網(wǎng)絡(luò)中的安全漏 洞和病毒，對網(wǎng)絡(luò)定期的作出安全評估。 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的安全問題是一個(gè)系統(tǒng)工程，我們在制定安全網(wǎng)絡(luò) 策略時(shí)盡可能地考慮到網(wǎng)絡(luò)中的各個(gè)方面及網(wǎng)絡(luò)的拓展性，采用 TCP/IP 協(xié)議進(jìn) 行網(wǎng)絡(luò)通信的網(wǎng)絡(luò)，在網(wǎng)絡(luò)層對計(jì)算機(jī)通信進(jìn)行安全保護(hù)是業(yè)界流行的安全解 決辦法。遵照上述設(shè)計(jì)思想及設(shè)計(jì)原則，通常我們下面幾個(gè)章節(jié)的幾項(xiàng)措施。 5.3.2. ACL 策略控制策略控制 在對外路由器上設(shè)置過濾規(guī)則，形成第一道防護(hù)網(wǎng)。使用過濾規(guī)則設(shè)置功 能，作過濾防護(hù)，形成網(wǎng)絡(luò)與 Intranet 第一道防護(hù)網(wǎng)； 5.3.3. 采用采用 VLA

55、N 技術(shù)技術(shù) 湖北移動(dòng)互聯(lián)網(wǎng)站擴(kuò)容的局域網(wǎng)均采用 Ethernet 技術(shù)，為了更好的保證局 域網(wǎng)的安全，我們應(yīng)按照用戶群組和系統(tǒng)資源的訪問權(quán)限進(jìn)行安全劃分。也可 以按照機(jī)構(gòu)的設(shè)置來劃分 VLAN，如將特殊業(yè)務(wù)所在的網(wǎng)絡(luò)單獨(dú)化為一個(gè) VLAN(SVLAN)，其業(yè)務(wù)分別作為一個(gè) VLAN，并且控制 SVLAN 與其它 VLAN 之間的單向信息流出，即允許 SVLAN 查看其它 VLAN 的相關(guān)信息，其 它 VLAN 不能訪問 LVLAN 的信息。 5.3.4. 網(wǎng)絡(luò)入侵檢測系統(tǒng)網(wǎng)絡(luò)入侵檢測系統(tǒng) 利用防火墻技術(shù)，經(jīng)過仔細(xì)的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng) 絡(luò)保護(hù)，降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，但是入侵者

56、可尋找防火墻背后可能敞開的后門， 入侵者也可能就在防火墻內(nèi)。入侵檢測系統(tǒng)，對網(wǎng)絡(luò)進(jìn)行實(shí)時(shí)監(jiān)控與阻斷響應(yīng)， 它集成了在線網(wǎng)絡(luò)入侵監(jiān)測、入侵即時(shí)處理、離線入侵分析、入侵偵測查詢、 報(bào)告生成等多項(xiàng)功能的分布式計(jì)算機(jī)安全系統(tǒng)，不僅能即時(shí)監(jiān)控網(wǎng)絡(luò)資源運(yùn)行 狀況，為網(wǎng)絡(luò)管理員及時(shí)提供網(wǎng)絡(luò)入侵預(yù)警和防范解決方案，還使得對于檢查 黑客入侵，變得有跡可尋，為用戶采取進(jìn)一步行動(dòng)提供了強(qiáng)有力的技術(shù)支持， 大大加強(qiáng)了對惡意黑客的威懾力量。 本方案采用的為安式 LinkTrust IDS100。 安氏公司的網(wǎng)絡(luò)入侵檢測系統(tǒng)NetworkDefenderTM采用了新一代的入侵 檢測技術(shù)，包括基于狀態(tài)的協(xié)議分析技術(shù)、開放靈

57、活的行為描述代碼、安全的 嵌入式操作系統(tǒng)、先進(jìn)的體系架構(gòu)、豐富完善的各種功能，配合高性能專用硬 件設(shè)備，是最先進(jìn)的網(wǎng)絡(luò)實(shí)時(shí)入侵檢測系統(tǒng)。它以不引人注目的方式最大限度 地、全天候地監(jiān)控和分析企業(yè)網(wǎng)絡(luò)的安全問題。捕獲安全事件，給予適當(dāng)?shù)捻?應(yīng)，阻止非法的入侵行為，保護(hù)企業(yè)的信息資產(chǎn)。 NetworkDefender的技術(shù)核心是新一代的協(xié)議分析技術(shù)。該技術(shù)結(jié)合了高速 信息包捕捉、協(xié)議分析、及行為描述代碼來探測攻擊。這種技術(shù)是 NetworkDefender所有解決方案的基礎(chǔ)，它顯著地提高了入侵檢測系統(tǒng)的性能 并帶來單平臺(tái)千兆IDS的時(shí)代。 NetworkDefender使用了所有最先進(jìn)的入侵檢測技術(shù)

58、，見下圖： TAPSPANMuti- Port 硬硬件件加加速速包包截截獲獲技技術(shù)術(shù) 多處理器并行處理多進(jìn)程多線程 高高性性能能實(shí)實(shí)時(shí)時(shí)操操作作系系統(tǒng)統(tǒng) 連接追蹤碎片重組拒絕服務(wù)檢測 T TC CP P/ /I IP P 協(xié)協(xié)議議狀狀態(tài)態(tài)檢檢測測 代碼編譯解釋器內(nèi)建函數(shù)觸發(fā)器/過濾器 行行為為描描述述代代碼碼虛虛擬擬機(jī)機(jī) 協(xié)議狀態(tài)追蹤協(xié)議異常分析可調(diào)整參數(shù) 應(yīng)應(yīng)用用層層協(xié)協(xié)議議分分析析 攻擊事件整理快速匹配有效數(shù)據(jù)匹配 攻攻擊擊特特征征匹匹配配 NetworkDefender所使用的新一代入侵檢測技術(shù)帶來許多基本的好處： 顯著地提高性能：顯著地提高性能：協(xié)議分析技術(shù)充分利用通信協(xié)議結(jié)構(gòu)，與模

59、式匹配系統(tǒng)使用簡單匹配相比，可以更快更有效的處理數(shù)據(jù)包和連接。 提高準(zhǔn)確度：提高準(zhǔn)確度：協(xié)議分析技術(shù)比一個(gè)非智能模式匹配IDS系統(tǒng)有 少得多的錯(cuò)誤傾向和誤診斷。NetworkDefender將命令解析（語法分析） 技術(shù)與協(xié)議分析技術(shù)相結(jié)合，來模擬一個(gè)命令串的執(zhí)行，從而在通信 流到達(dá)操作系統(tǒng)或應(yīng)用之前決定該通信流是否是惡意的。 基于狀態(tài)的分析：基于狀態(tài)的分析：當(dāng)協(xié)議分析引擎評估一個(gè)信息包時(shí)，它考慮 信息包的前后關(guān)系，前面有什么、下一步可能發(fā)生什么，而模式匹配 系統(tǒng)只能獨(dú)立的看待每一個(gè)信息包。 靈活高效的行為描述代碼：靈活高效的行為描述代碼：允許用戶根據(jù)自己的需要自創(chuàng)建幾 乎任意的新的特征簽名，配

60、置為最適合自己的入侵檢測系統(tǒng)。 反躲避：反躲避：由于協(xié)議分析引擎能夠判斷一個(gè)通信會(huì)話實(shí)際內(nèi)容及 含義，它們不太容易受到黑客IDS躲避技術(shù)的影響，這些技術(shù)包括 URL編碼、干擾、及IP或TCP碎片。 資源消耗：資源消耗：協(xié)議分析技術(shù)的高效性使網(wǎng)絡(luò)傳感器系統(tǒng)資源消耗 極低，模式匹配技術(shù)則是非常消耗資源的。 NetworkDefenderTM采用基于狀態(tài)的協(xié)議分析技術(shù)，結(jié)合模式匹配、異常統(tǒng) 計(jì)來檢測網(wǎng)絡(luò)誤用行為和異?；顒?dòng)。它采用專門定制的硬件平臺(tái)，能夠在高負(fù) 載的千兆網(wǎng)絡(luò)上提供高水平的性能；同時(shí)使用內(nèi)置操作系統(tǒng)和傳感器程序的 CDROM 進(jìn)行引導(dǎo)，從而提供了可能達(dá)到的最安全的操作環(huán)境。 Networ