安全方案设计

1、IT架构企业的IT架构情况，本方案主要针对IT基础架构部分进行规划，并提供选型和部署参考，关于企业IT业务应用系统部分的规划和建设请参考其它方案。企业IT架构操作系统（操作系统/虚拟化软件）应用系统（ERP系统/企业门户/商业智能）基础软件系统（/数据库/数据仓库/中间件）设备管理网络系统规划当前，企业一般能给信息化方面投入有限。除了人力有限，还缺少专业人才，应用能力、维护能力、开发能力、实施能力等 都普遍较弱，这就要求网络架构成熟、稳定安全、高可靠、高可用，尽可能少投入人力和金钱进行维护。其次，由于企业首要解决 的是生存问题，根本没办法做到“先信息化，再做业务”，因此网络建设实施要求必须容易

2、，实施时间必须极短。企业的组网方案主要要素包括：局域网、广域网连接、网络管理和安全性。具体来说企业组网需求：1 .建立安全的网络架构，总部与分支机构的网络连接；2 .安全网络部署，确保企业正常运行；3 .为出差的人员提供IPSec或者SSL的VPN方式;4 .提供智能管理特性，支持浏览器图形管理;5 .网络设计便于升级，有利于投资保护。企业一般的组网结构如下图，大企业网络核心层一般采用冗余节点和冗余线路的拓扑结构，小企业则单线路的连接方式。通过对一般企业的信息化情况和网络规划要素进行分析，从总体上看，规划方案必须具有以下特点:1 .网络管理简单，采用基于易用的浏览器方式，以直观的图形化界面管理

3、网络2 .用户可以采用多种的广域网连接方式，从而降低广域网链路费用3 .无线接入点覆盖范围广、配置灵活，方便移动办公。4 .便捷、简单的统一通信系统，轻松实现交互式工作环境。5 .带宽压缩技术，高级 QoS的应用，有效降低广域网链路流量。6 .随着公司业务的发展，所有网络设备均可在升级原有网络后继续使用，有效实现投资保护。7 .系统安全，保密性高，应用了适合企业的低成本网络安全解决方案。安全基础网络规划方案根据对某集团的实际调研，获取了企业的网络需求，以此来制定企业基础网络建设规划方案和网络设备选型参考；以下提供 基础版和企业版两种规划方案1）网络需求：企业规划的网络节点为500个，主要的网络

4、需求首先是资源共享，网络内的各个桌面用户可共享文件服务器/数据库、共享打印机，实现办公自动化系统中的各项功能；其次是通信服务，最终用户通过广域网连接可以收发电子邮件、实现Web应用、接入互联网、进行安全的广域网访问；还有就是公司门户网站和网络通信系统（企业邮箱、企业即时通信和企业短信平台等）的建立。2）基础版规划方案本方案适用于200300台电脑联网，核心采用 H3C S5500-28C-SI或S5500-20TP-SI交换机，以千兆双绞线/光纤与接入 交换机及服务器连接；用户接入 H3C S3100-26TP-SI或S3100-52TP-SI交换机，千兆铜缆/光纤上连核心交换机。Intern

5、et出口 采用H3c MSR20-1X 多业务路由器作为Internet出口路由、Secpath F1000-C 或者UTM作为安全网关和移动用户的 VPN接入 网关。网络拓扑图如下：设备选型和部署参考如下:受先需靠设番选型X虎更说明稣都署世宣志国核心交挨机H3C S5500-28C-SI式H3c S5500-20TP-SI全千挺茎工慎心1金心工呈杀人器交换机H3C S31Q0-26TP-SIH3CS3IOO-S2TP-SI接入空支持光里复毛工式 上行.支持运台坦受26TP： 15白52TP： 8台各喽导或机疗跻出番H3C MSR20-1K 诙生器转X率：18口Kpps. 25&M 内

6、存.支持6E/FE文接模 坟.可异方室口喋法. El,PRl慎学.运考填注.尢董庭坎12忸心投居安全药火装H3C SecPath F1000-C或H3c SecPath U200支持虫尾冬空文过衽1核心机房VPN支持口/PN互兴军专、10M光算接入3胃10M号手委人正薛视嵯比12憬心机方案特点:1 .高性价比：能够让中小企业低投资拥有高性能、经济的网络;2 .简易性：结构简单、安装快速、简单，维护无需配置专职人员；3 .高性能：最低投资做到千兆骨干、百兆接入；4 .可扩展性：灵活的网络架构，能根据用户需要随时扩展，并保护已有投资。3）高级版规划方案：本方案适用于500800台电脑联网，三层网络

7、结构，万兆骨干，百兆接入；网络核心层采用 H3C S7500交换机，同时配置 相应数量的千兆端口分别连接应用服务器、接入交换机及其他设备；网络汇聚层采用H3C S5500-28C-SI ,独有智能堆叠系统可实现高密度千兆端口接入，拥有 96 Gbps的全双工堆叠带宽，消除网络瓶颈，提供优于传统中继聚合配置的更好的可用性和弹性； 接入层可选择 H3CS3100-26TP-SI 或S3100-52TP-SI交换机，千兆铜缆/光纤上连核心交换机，或 H3C S5100-16/24/48P-SI 全 千兆交换机，千兆到桌面。网络拓扑图如下：专业资料S <r： S anw串17 anII路中心 i

8、$IBInternet设备选型和部署参考如下:业务需求设备选型拳考配爱说明部署世量/镀心文挟观H3C 57500(E)系另核心支持下手攀鼠电源. 性壮士是芟1倭心机身汇聚吴文挨 机H3C S5500-28C-S1汇聚支持金千兆;5 出味 曳.澧般飞窑和斐、司对支挣万兆犷界3卷楼层或松穿捷人层交换 机H3C S3100-26/52TP- SI家 H3C S5100-16/24/40P-SI量入三华唱不同北耳胃送 秀侯者亮片千兆爱人号飞 三播52Tpi 10g务族辱或机房费m器H3C MSR50-O6sSH3匚一代表金誉古翳l-v2愫亡M男安金方我港H3C SecPath F1000-C支持三司室

9、殁文之嚣11VPN支持DMPN正兼障装人2ciMz5ctM元轩层入室?20M250 M士弃至入度售态I限龙12修心怛岛方案特点:1 .高性能，全分布式交换网络;2 .高可靠，无间断的通信环境;3 .灵活弹性的网络扩展能力;4 .高效率的网络带宽利用率；5 .全面的QOS部署，多业务融合;6 .完善的网络安全策略，实现深度安全检测，抵御未知风险安全无线网络规划方案无线网络的部署，能够增大员工接入网络的范围，提供更大的上网便利性-无论是在办公室、会议室还是在空间复杂的车间,员工都能与网络保持连接，随时随地访问企业资源，而且可以简化场所的网络布线。安全无线网络解决方案不但能提高员工的生产 效率和协作

10、能力，也能为合作伙伴/客户提供方便的上网服务。根据企业情况，可以采用FAT AP方案：1）无线网络需求：能够获得较高的用户接入速率，构建便利的移动办公环境，实现企业的移动网络办公，成本投入不高，适合简单、小规模的 无线部署。2）规划方案：采用 WA1208E+iMC+CAMS进行组网，配合 CAMS实现802.1x的认证，可以实现基于时长、流量和包月的计费；整网通I过iMC统一管理。网络拓扑图如下：t II IIIII IIIV设备选型和部署参考如下:北片需求设备送型参考配置说明教里部署位置无线无线接入WA1208E双802. Ug无线模块8各楼层无线安全H3C CAMS薪足用户管理身份认证、

11、 权限控制和外费的要求1核心机房无线管理H3C iMC网管系统支持与HP Openview、 5N M Pc等通用网管平台的 集成1核心机房方案特点:1.全面支持802.11i安全机制、802.11e QoS 机制、802.11f L2切换机制;2 .大范围覆盖：高接收灵敏度，达到-97dBm （普通AP-95dBm ）,保证更远覆盖；3 .多VLAN支持：虚拟AP方式支持多VLAN ,最多支持8个虚拟SSID的VLAN划分，每个VLAN用户可以独立认证；4 .兼作网桥使用：WDS模式支持PTP、PTMP工作模式；支持连接速率锁定、传输报文整合，提高传输效率；5 .负载均衡：支持基于用户数的负

12、载均衡、基于流量的负载均衡；6 .针对各类室外、特殊室内应用如仓库等复杂环境，可以提供专门的型号。广域网互联VPN规划方案伴随企业和公司的不断扩张，公司分支机构及客户群分布日益分散，合作伙伴日益增多，越来越多的现代企业迫切需要利用公共Internet资源来进行促销、销售、售后服务、培训、合作及其它咨询活动，这为 VPN的应用奠定了广阔市场。在 VPN方式下，VPN客户端和设置在内部网络边界的 VPN网关使用隧道协议，利用Internet或公用网络建立一条“隧道”作为传输通道，从而保证数据的完整性、机密性和合法性同时VPN连接采用身份认证和数据加密等技术避免数据在传输过程中受到侦听和篡改, 通过

13、VPN方式，企业可以利用现有的网络资源实现远程用户和分支机构对内部网络资源的访问，不但节省了大量的资金，而且具 有很高的安全性。另外，随着企业规模的扩大，分散办公也越来越普遍，如何实现小型分支、出差员工、合作伙伴的远程网络访问也被越来越 多的企业关注。从成本、易用性、易管理等多方面综合考虑，SSL VPN无疑是一种最合适的方案：只需要在总部部署一台设备，成本更低，管理维护也很容易；无需安装客户端、无需配置，登陆网页就能使用。1）网络需求1IPSec VPN和SSL VPN各有所长，功能互补，对企业来说都是需要的： IPSec VPN用于总部和中大型分支互连， SSL VPN 用于为小型分支、合

14、作伙伴、出差人员提供远程网络访问。但传统方法下，企业总部需要采购两台设备来支持两种VPN ,不仅成本更高，而且可能存在 VPN策略冲突，导致性能下降、管理困难。2）规划方案融合VPN针对企业的实际需要，一台设备融合 IPSec / SSL两种VPN ,只需部署在总部，既可以用于为合作伙伴、出差人员 提供远程网络访问，也可以和分支机构进行IPSec VPN互连，帮助企业降低采购、部署、维护三方面成本。VPN网关选择方面，H3c的防火墙、路由器都能够实现融合 VPN,提供给企业更加灵活的选择。例如，如果企业非常强调网 络安全、VPN性能，就选择防火墙；如果企业更注重多业务处理能力，如IP语音通信、

15、3G上网、无线接入等，推荐选择路由器。在总部局域网Internet边界防火墙后面配置一台或两台双机热备的VPN网关，在分支机构Internet边界防火墙后面配置一台VPN网关，由此两端的VPN网关建立IPSec VPN隧道，进行数据封装、加密和传输；另外，通过总部的VPN网关提供SSL VPN 接入业务；在总部局域网数据中心部署H3C VPN Manager组件，实现对 VPN网关的部署管理和监控；在总部局域网内部或Internet边界部署H3C BIMS系统，实现对分支机构 VPN网关设备的自动配置和策略部署。如下图：VP hl BiMSVPN* fyFR手制 ft '路由HInte

16、rnet中e分支行台Km Flu 苔弗、PN掰美小E升点节小小T外，rd中学处方F，ISP商的VPDN服务;ISP商的MPLS VPN服务。设备选型和部署参考如下:北芳壬* 而不设备选型参考酉嗤说明救里部署位置网络互连VPN网关H3C SecPath F1000VPN 网美H3C SecPath F100 VPN 网关嵬H3C MSR50路由器H3C MSR20-1X 路曲器总部和大型机构配鼾工。0。型号中小型机构配置FIDO型号总部1台分支机构投霎求配置核心机房网络管理H3C VPN ManagerH3C BIMS帮助用户部署、管理UPN网 络1核心机房如果省内分支机构较多、较分散，但对速率

17、要求不高的连锁型单位，也可以选用电信或如果多个分支机构间有多点对多点通信需求的企业、商业机构，也可以直接选用电信或网络性能指标要求带盅要求线路质量要求局域网客户端到服务器：lOMba上，推荐100Mb 各服务器之间：200M以上，推荐1000Mb丢包率小于0.1%延迟小于20 ms广域网分支机构带宽：每客户5到28。总部出口带宽：（最大并发数/3）Ml28Kb总部服务器之间：200M以上，推荐1U00MD芸包率小于2%延迟小于50ms网络安全规划网络安全是整个系统安全运行的基础，是保证系统安全运行的关键。网络系统的安全需求包括以下几个方面:1 .网络边界安全需求2 .入侵监测与实时监控需求3

18、.安全事件的响应和处理需求分析这些需求在各个应用系统上的不同组合就要求把网络分成不同的安全层次o我们针对企业网络层的安全策略采用硬件保护与软件保护，静态防护与动态防护相结合，由外向内多级防护的总体策略根据安全需求和应用系统的目的，整个网络可划分为六个不同的安全层次。具体是:4 .核心层：核心数据库；5 .安全层：应用信息系统中间件服务器等应用;6 .基本安全层：内部局域网用户;7 .可信任层：公司本部与营业部网络访问接口；8 .危险层：Internet。信息系统各安全域中的安全需求和安全级别不同，网络层的安全主要是在各安全区域间建立有效的安全控制措施，使网间的 访问具有可控性。具体的安全策略如

19、下：核心数据库采用物理隔离策略应用系统采用分层架构方式，客户端只需要访问中间件服务器即可进行日常业务处理，从物理上不能直接访问数据库服务器， 保障了核心层数据的高度安全。应用系统中间件服务器采取综合安全策略：应用系统中间件的安全隐患主要来自局域网内部，为了保障应用系统中间件服务的安全，在局域网中可通过划分虚拟子网对 各安全区域、用户和安全域间实施安全隔离，提供子网间的访问控制能力。同时，中间件服务器本身可以通过配置相应的安全策略， 限定经过授权的工作站、用户方能访问系统服务，保障了中间件服务器的安全性；内部局域网采取信息安全策略：公司本部及营业部内部局域网处于基本安全层的网络，主要是对于安全防

20、护能力较弱的终端用户在使用，因此考虑的重点在 于两个方面，一个是客户端的病毒防护，另一个是防止内部敏感信息的对外泄露。因此，通过选用网络杀毒软件达到内部局域网的 病毒防护，同时，使用专用网络安全设备（如硬件防火墙）建立起有效的安全防护，通过访问控制ACL等安全策略的配置，有效地控制内部终端用户和外部网络的信息交换，实现内部局域网的信息安全。公司本部与下属机构之间网络接口采取通讯安全策略：处于可信任层的网络，其安全主要考虑各下属单位上传的业务数据的保密安全，因此，可采用数据层加密方式，通过硬件防 火墙提供的VPN隧道进行加密，实现关键敏感性信息在广域网通信信道上的安全传输。Internet采取通

21、讯加密策略：Internet属于非安全层和危险层，由于Internet存在着大量的恶意攻击，因此考虑的重点是要避免涉密信息在该层次中的流 动。通过硬件防火墙提供专业的网络防护能力，并对所有访问请求进行严格控制，对所有的数据通讯进行加密后传输。同时，建议设置严格的机房管理制度，严禁非授权的人员进入机房，也能够进一步提升整个网络系统的安全。1）广域网安全规划企业广域网安全，主要是通过防火墙和VPN等设备或技术来保障。防火墙对流经它的网络通信进行扫描，能够过滤掉一些攻击，防火墙还可以关闭不使用的端口，防火墙具有很好的保护作用， 入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机，所以出于安全考虑，企业必须购置防火墙以保证其服务器安全，将 应用系统服务器放置在防火墙内部专门区域。一般硬件防火墙比软件防火墙的性能更好，建议选择企业级的硬件防火墙，硬件防火 墙市场知名度高的品牌有 CISCO、Check Point、Juniper、 H3C、天融信、华为赛门铁克、联想网御等，用户应根据应用情况选 择合适的防火墙。VPN即虚拟专用网（