如何构建安全的企业网络

如何构建安全的企业网络 

　　如何构建安全的企业网络

　　“人在江湖漂，哪能不挨刀”——这应该算得上是引用率非常高的一句经典俏皮话。如今，企业在网络中如何避免这句谶语落到自家头上也成了企业互相慰问或扪心自问时常常想起的一件事。而在构建安全的企业网络这样一个并不简单的问题上，看看别人的应用实践和组网思路，应该可以让企业尽早懂得如何利用自己的长处来保护自己。

　　网络江湖防身术

　　—如何构建安全的企业网络

　　实践中，网络平台从总体上可以分为用户接入区和应用服务区。应用服务区从结构上又可以分成三部分：发布区即外部区域，面向公众供直接访问的开放网络；数据区，通过防火墙隔离的、相对安全和封闭的数据资源区，把大量重要的信息资源服务器放置在该区域内，在较严密的安全策略控制下，不直接和外网访问用户发生连接；内部工作区主要连接内网服务器和工作站，完成网站管理、信息采集编辑等方面的工作。

　　布阵

　　采用两台防火墙将整个网络的接入区和应用服务区彻底分开。接入区通过接入交换机，利用光纤、微波、电话线等通信介质，实现各部门、地市的网络接入。出于性能和安全上的考虑，数据区放在第二道防火墙之后。对于Web服务器的服务请求，由Web服务器提交应用服务器、数据库服务器后，进行相关操作。

　　为避免网站内容遭到入侵后被篡改，在数据区还设置一个Web页面恢复系统，通过内部通讯机制，Web恢复系统会实时检测WWW服务器的页面内容，如果发现未授权的更改，恢复系统会自动将一份拷贝发送到Web服务器上，实现Web页面的自动恢复。发布区域的主机充分暴露，有WWW、FTP、DNS、E-mail。在与二个防火墙的两个接口上使用入侵检测系统实时检测网络的使用情况，防止对系统的滥用和入侵行为。

　　中心交换机可选用高性能路由交换器，例如Catalyst 6000，它具有提供虚网划分及内部路由连接功能，避免了网络广播风暴，减轻了网络负荷，同时也提供了一定的安全性。冗余电源及冗余连接为网络正常运行打下了较好的基础，把第二层交换机的转发性能和路由器的可伸缩性及控制能力融于一身。第二级交换机可选用类似Catalyst 3500级别的设备，它支持VLAN功能，交换能力强大，提供高密度端口集成，配置光纤模块，提供与Catalyst 6000的高带宽上行连接，保证了部门接入网络、工作站的高带宽应用。

　　网络平台总体结构图

　　招数

　　首先，把第一台防火墙设置在路由器与核心交换机之间，实现较粗的访问控制，以降低安全风险。设置第二台防火墙则主要为了保护数据区内的服务器，合理地配置安全策略，使服务器的安全风险降到最低。只开放服务器必要的服务端口，对于不必要的服务端口一律禁止。

　　其次，IP地址分配。所有部门的接入网络都在防火墙之后，一律使用内部保留IP地址。每个部门各分配一个完整的C类地址。

　　再次，中心交换机VLAN配置。具体划分采用基于端口的虚拟LAN方式，将每一个部门作为一个 VLAN， VLAN间的路由协议采用 RIP。

　　此外，通用信息服务设计。外网的建设，突出了统一规划、资源共享的原则。除了在安全问题上由网络平台统一考虑外，对于各部门需要通用的信息服务系统如域名系统、邮件系统、代理系统等，也统一设计、统一实施。

　　最后，邮件服务器统一规划，采用集中的邮件服务，给用户提供了完整的TCP/IP支持下的邮件系统。

　　秘笈

　　网站建设主要体现以下技术特点：

　　其一，网站应用系统从传统的两层客户机/服务器结构，转向BWAD(浏览器+Web 应用服务器+数据库)的三层体系架构。这种跨平台、多技术融合的三层结构的技术方案，保证网站应用系统的先进性和可扩展性。

　　其二，采用非结构化和结构化数据库技术，灵活支持、方便扩展宽带应用和多媒体应用，使用户界面不只是文字和图片，而是以文字、声音、图像、视频等发布的全媒体界面,提高用户的关注率、提升服务水平。

　　其三，采用自主开发的网站动态管理平台技术，可以任意组合和改变网页界面风格，定义不同模板，将网站管理的人力成本降低，并降低由于网站管理复杂而产生的技术风险和人员更迭风险。降低和减少了页面开发的工作量，使大量的人力可以投入到具体的政务应用系统中去。

　　其四，网站管理系统为网站的建设、管理、维护、统计分析提供了一个统一的环境。提供各类业务系统上网发布接口，以及信息发布模板和工具，使普通用户不需要编程就可建立信息发布栏目，并可自行对栏目信息进行编辑与维护。网站管理系统具有灵活的功能，方便的内容创作环境，灵活的发布方式，强大的信息查询能力，能进行实用而有效的模板设计、支持丰富的内容类型，按照栏目结构进行信息组织。它采用了ASP、JSP和数据库的技术，基于B/S结构，还可以对用户的IP地址进行限定信息检索功能。

　　战绩

　　从运行的效果上看，所设定的方案合理、可靠，有效地保护了内部网络，因为所有的访问都是一个间接过程，直接攻击比较困难。代理技术的使用，随着内部网络规模的扩大，重复访问的可能性就越大，使传输效果的改善也就越明显，同时也提高了信道的利用率，降低了网络使用成本。通用信息服务系统的统一建设，使得管理和维护的重点落在个别设备上，从总体水平上讲，对每个部门管理运行人员的专业水平要求降低，非常有利于网络的普及和延伸。