如何構(gòu)建安全的網(wǎng)絡(luò)架構(gòu)的方案

網(wǎng)絡(luò)安全系統(tǒng)主要依靠防火墻、網(wǎng)絡(luò)防病毒系統(tǒng)等技術(shù)在網(wǎng)絡(luò)層構(gòu)筑一道安全屏障,并通過把不同的產(chǎn)品集成在同一個安全管理平臺上,實現(xiàn)網(wǎng)絡(luò)層的統(tǒng)一、集中的安全管理。
網(wǎng)絡(luò)層安全平臺
如何構(gòu)建安全的網(wǎng)絡(luò)架構(gòu)的方案?選擇網(wǎng)絡(luò)層安全平臺時主要考慮這個安全平臺能否與其他相關(guān)的網(wǎng)絡(luò)安全產(chǎn)品集成,能否對這些安全產(chǎn)品進行統(tǒng)一的管理,包括配置各相關(guān)安全產(chǎn)品的安全策略、維護相關(guān)安全產(chǎn)品的系統(tǒng)配置、檢查并調(diào)整相關(guān)安全產(chǎn)品的系統(tǒng)狀態(tài)等。
一個完善的網(wǎng)絡(luò)安全平臺至少需要部署以下產(chǎn)品:
防火墻:網(wǎng)絡(luò)的安全核心,提供邊界安全防護和訪問權(quán)限控制;網(wǎng)絡(luò)防病毒系統(tǒng):杜絕病毒傳播,提供全網(wǎng)同步的病毒更新和策略設(shè)置,提供全網(wǎng)殺毒。
安全網(wǎng)絡(luò)拓撲結(jié)構(gòu)劃分
防火墻主要是防范不同網(wǎng)段之間的攻擊和非法訪問。由于攻擊的對象主要是各類計算機,所以要科學(xué)地劃分計算機的類別來細化安全設(shè)計。在整個內(nèi)網(wǎng)當中,根據(jù)用途可以將計算機劃分為三類:內(nèi)部使用的工作站與終端、對外提供服務(wù)的應(yīng)用服務(wù)器,以及重要數(shù)據(jù)服務(wù)器。這三類計算機的作用不同,重要程度不同,安全需求也不同:
第一,重點保護各種應(yīng)用服務(wù)器,特別是要保證數(shù)據(jù)庫服務(wù)的代理服務(wù)器的絕對安全,不能允許用戶直接訪問。對應(yīng)用服務(wù)器,則要保證用戶的訪問是受到控制的,要能夠限制能夠訪問該服務(wù)器的用戶范圍,使其只能通過指定的方式進行訪問。
第二,數(shù)據(jù)服務(wù)器的安全性要大于對外提供多種服務(wù)的WWW服務(wù)器、E-mail服務(wù)器等應(yīng)用服務(wù)器。所以數(shù)據(jù)庫服務(wù)器在防火墻定義的規(guī)則上要嚴于其他服務(wù)器。
第三,內(nèi)部網(wǎng)絡(luò)有可能會對各種服務(wù)器和應(yīng)用系統(tǒng)的直接的網(wǎng)絡(luò)攻擊,所以內(nèi)部辦公網(wǎng)絡(luò)也需要和代理服務(wù)器、對外服務(wù)器(WWW、E-mail)等隔離開。
第四,不能允許外網(wǎng)用戶直接訪問內(nèi)部網(wǎng)絡(luò)。
上述安全需求,需要通過劃分出安全的網(wǎng)絡(luò)拓撲結(jié)構(gòu),并通過VLAN劃分、安全路由器配置和防火墻網(wǎng)關(guān)的配置來控制不同網(wǎng)段之間的訪問控制。劃分網(wǎng)絡(luò)拓撲結(jié)構(gòu)時,一方面要保證網(wǎng)絡(luò)的安全,另一方面不能對原有網(wǎng)絡(luò)結(jié)構(gòu)做太大的更改,為此建議采用以防火墻為核心的支持非軍事化區(qū)的三網(wǎng)段安全網(wǎng)絡(luò)拓撲結(jié)構(gòu)。
根據(jù)這種應(yīng)用模式,使用非軍事化區(qū)結(jié)構(gòu)的網(wǎng)絡(luò)拓撲是一種很自然的提高安全性的措施。如右圖所示,在防火墻上安裝三塊網(wǎng)卡,分別連接三個不同網(wǎng)段:外網(wǎng)、內(nèi)網(wǎng)和DMZ。安全設(shè)置如下:
三網(wǎng)段安全網(wǎng)絡(luò)拓撲結(jié)構(gòu)
1. 內(nèi)網(wǎng)用戶可以被授權(quán)訪問外網(wǎng)和DMZ中的服務(wù)器;
2. 外網(wǎng)用戶只能夠訪問到DMZ中的相關(guān)服務(wù)器,不能訪問內(nèi)網(wǎng);
3. DMZ還放置各種應(yīng)用服務(wù)器,應(yīng)用模式中,對應(yīng)的是各種Web服務(wù)器。這些服務(wù)器允許有控制地被各種用戶訪問,也能主動訪問Internet。建議不允許DMZ服務(wù)器主動訪問內(nèi)網(wǎng)主機;
4. 在內(nèi)網(wǎng)某臺服務(wù)器上安裝網(wǎng)絡(luò)版防病毒軟件的系統(tǒng)中心,定制全網(wǎng)殺毒策略并監(jiān)控網(wǎng)絡(luò)病毒情況;
5. 通過網(wǎng)絡(luò)版防病毒軟件的漏洞檢測功能可以及時發(fā)現(xiàn)內(nèi)網(wǎng)機器存在的漏洞,及時查堵防患未然。
通過以上三個方面就可以構(gòu)建安全的網(wǎng)絡(luò)架構(gòu)了,謝謝閱讀,希望能幫到大家,請繼續(xù)關(guān)注腳本之家,我們會努力分享更多優(yōu)秀的文章。
相關(guān)文章
ASP.NET架構(gòu)及開發(fā)技術(shù)詳細講解教程
ASP.net構(gòu)架是可以用Microsoft(R)公司最新的產(chǎn)品 Visual Studio.net開發(fā)環(huán)境進行開發(fā),ASP.net是基于通用語言的編譯運行的程序,它的強大性和適應(yīng)性,可以使它運行在Web2014-03-03DCN校園網(wǎng)大二層架構(gòu)的設(shè)計方案
校園網(wǎng)是為學(xué)校師生提供快捷高效的教學(xué)、科研和綜合信息服務(wù)的網(wǎng)絡(luò),那么校園網(wǎng)大二層架構(gòu)是怎么設(shè)計的呢?請和腳本之家的小編一起來看一下2014-09-26fast無線路由器設(shè)置方法 FAST FW300R無線路由器設(shè)置圖解
下面介紹下Fast FW300R無線路由器寬帶共享上網(wǎng)的設(shè)置圖解。隨著網(wǎng)絡(luò)的發(fā)展無線路由器已近逐步的普及到家庭用戶中了。本網(wǎng)站主要介紹各類路由器設(shè)置的圖解教程,下面開始介2015-05-12怎么做網(wǎng)線,網(wǎng)線水晶頭接法和線序(圖文詳解)
公司搬家了, 網(wǎng)線需要重新做下了,經(jīng)常不做網(wǎng)線了對水晶頭的排序都忘了,特從網(wǎng)上整理了一些資料,方便需要的朋友。2022-11-04水星MW300R 11N無線路由器的設(shè)置詳細方法 視頻圖文教程
水星MW300R無線路由器,該產(chǎn)品有高達300M的網(wǎng)絡(luò)帶寬和雙天線設(shè)計,可以極大的滿足了對帶寬和信號覆蓋范圍要求比較苛刻的用戶的需要,市場參考價格僅售108元,無論是家庭、S2012-05-11- 根據(jù)網(wǎng)上的調(diào)查,發(fā)現(xiàn)還有很多電腦的新手朋友,還不知道原來電腦是可以給手機發(fā)短信的,下面小編將針對“如何用電腦給手機發(fā)短信”這一主題給大家詳細講解2011-12-31
- 談?wù)勎覀兊倪M程間通信,上次我們談進程是什么?進程是社會的一個個人,每個都有自己的財產(chǎn),都有自己的空間,那么人需要通信嗎2012-05-11
添加局域網(wǎng)打印機(網(wǎng)絡(luò)打印機)的圖文方法
辦公室里有一臺打印機,連接到我的電腦上,其他同事在需要打印的時候,是不是必須把文件傳給我,讓我來打印呢?不是的,其他同事的電腦,只要連接到我的打印機,在自己電腦2011-09-20如何設(shè)置開機寬帶自動連接 自動寬帶連接設(shè)置圖文步驟
設(shè)置開機時寬帶自動連接(適用WindowsXP),很多人在使用包月的寬帶,都想一開機就能自動進行寬帶連接。沒有購買路由器或沒有將寬帶貓配置路由的朋友,其實也可以實現(xiàn)這一目2013-03-04- 其實三層架構(gòu)就是使用類,三層所指的就是:1.界面層2.數(shù)據(jù)庫訪問層3.業(yè)務(wù)邏輯層,而這三層都是為一個層服務(wù)的是2016-07-18