計(jì)算機(jī)網(wǎng)絡(luò)安全(沈鑫剡)第10章

1、計(jì)算機(jī)網(wǎng)絡(luò)平安第10章第10章 平安網(wǎng)絡(luò)設(shè)計(jì)實(shí)例平安網(wǎng)絡(luò)概述；平安網(wǎng)絡(luò)設(shè)計(jì)和分析。平安網(wǎng)絡(luò)是可以保證信息平安目的實(shí)施的網(wǎng)絡(luò)系統(tǒng)，是一個(gè)可以保證授權(quán)用戶實(shí)現(xiàn)訪問(wèn)權(quán)限內(nèi)網(wǎng)絡(luò)資源訪問(wèn)過(guò)程的網(wǎng)絡(luò)系統(tǒng)，是一個(gè)可以抵御并反制黑客任何攻擊的網(wǎng)絡(luò)。10.1 平安網(wǎng)絡(luò)概述平安網(wǎng)絡(luò)設(shè)計(jì)目的；平安網(wǎng)絡(luò)主要構(gòu)件；網(wǎng)絡(luò)資源；平安網(wǎng)絡(luò)設(shè)計(jì)步驟。給出設(shè)計(jì)一個(gè)平安網(wǎng)絡(luò)的根本原那么、過(guò)程和方法。平安網(wǎng)絡(luò)設(shè)計(jì)目的可以有效防御來(lái)自內(nèi)部和外部的攻擊；可以對(duì)網(wǎng)絡(luò)資源的訪問(wèn)過(guò)程實(shí)施有效控制；可以對(duì)用戶行為進(jìn)展有效監(jiān)控；可以對(duì)網(wǎng)絡(luò)運(yùn)轉(zhuǎn)形狀進(jìn)展實(shí)時(shí)監(jiān)測(cè)；可以對(duì)網(wǎng)絡(luò)性能變化過(guò)程和緣由進(jìn)展跟蹤、分析；可以平安傳輸信息。平安網(wǎng)絡(luò)主要構(gòu)件接入控制和

2、認(rèn)證構(gòu)件；分組過(guò)濾和速率限制構(gòu)件；防火墻；入侵防御系統(tǒng)；VPN接入構(gòu)件；認(rèn)證、管理和控制效力器。網(wǎng)絡(luò)資源網(wǎng)絡(luò)設(shè)備；網(wǎng)絡(luò)操作信息；鏈路帶寬；主機(jī)系統(tǒng)；在網(wǎng)絡(luò)中傳輸?shù)男畔?；用戶私密信息。平安網(wǎng)絡(luò)設(shè)計(jì)步驟確定需求維護(hù)的網(wǎng)絡(luò)資源；分析能夠蒙受的攻擊類型；風(fēng)險(xiǎn)評(píng)價(jià)；設(shè)計(jì)網(wǎng)絡(luò)平安戰(zhàn)略；實(shí)現(xiàn)網(wǎng)絡(luò)平安戰(zhàn)略；分析和改良網(wǎng)絡(luò)平安戰(zhàn)略。平安網(wǎng)絡(luò)設(shè)計(jì)和分析平安網(wǎng)絡(luò)系統(tǒng)構(gòu)造；網(wǎng)絡(luò)平安戰(zhàn)略；網(wǎng)絡(luò)平安戰(zhàn)略實(shí)現(xiàn)機(jī)制。經(jīng)過(guò)一個(gè)詳細(xì)的、具有適用價(jià)值的平安網(wǎng)絡(luò)的設(shè)計(jì)和分析過(guò)程，了解平安網(wǎng)絡(luò)設(shè)計(jì)的根本原那么、方法和過(guò)程。平安網(wǎng)絡(luò)系統(tǒng)構(gòu)造平安網(wǎng)絡(luò)構(gòu)造網(wǎng)絡(luò)分成內(nèi)網(wǎng)、外網(wǎng)和非軍事區(qū)三部分，非軍事區(qū)提供公共效力；交換機(jī)等接入設(shè)備完成對(duì)接入用

3、戶的認(rèn)證；平安任務(wù)主要針對(duì)內(nèi)部網(wǎng)絡(luò)資源展開(kāi)，由防火墻擔(dān)任控制內(nèi)部網(wǎng)不同VLAN之間的信息傳輸過(guò)程，限制外網(wǎng)終端對(duì)內(nèi)部網(wǎng)絡(luò)資源的訪問(wèn)，允許授權(quán)終端經(jīng)過(guò)建立第2層隧道接入內(nèi)部網(wǎng)絡(luò)；網(wǎng)絡(luò)入侵防御系統(tǒng)對(duì)進(jìn)出重要終端和效力器的信息流進(jìn)展檢測(cè)；主機(jī)入侵防御系統(tǒng)對(duì)訪問(wèn)重要終端和重要效力器中資源的過(guò)程實(shí)施嚴(yán)密監(jiān)控；網(wǎng)絡(luò)管理系統(tǒng)及時(shí)反響網(wǎng)絡(luò)運(yùn)轉(zhuǎn)情況給管理員。平安網(wǎng)絡(luò)系統(tǒng)構(gòu)造網(wǎng)絡(luò)平安戰(zhàn)略允許內(nèi)部網(wǎng)絡(luò)終端發(fā)起對(duì)Internet的訪問(wèn)，但只能訪問(wèn)外部網(wǎng)絡(luò)中的Web和FTP效力器；允許內(nèi)部網(wǎng)絡(luò)終端發(fā)起對(duì)非軍事區(qū)中的Web和效力器的訪問(wèn)；允許外部網(wǎng)絡(luò)非信任區(qū)終端發(fā)起對(duì)非軍事區(qū)中的Web和效力器的訪問(wèn)；只允許內(nèi)部網(wǎng)絡(luò)終端訪

4、問(wèn)內(nèi)部網(wǎng)絡(luò)中的效力器，但允許內(nèi)部員工經(jīng)過(guò)第2層隧道經(jīng)外部網(wǎng)絡(luò)訪問(wèn)內(nèi)部網(wǎng)絡(luò)中的FTP效力器；內(nèi)部網(wǎng)絡(luò)終端接入內(nèi)部網(wǎng)絡(luò)時(shí)須經(jīng)身份認(rèn)證；內(nèi)部網(wǎng)絡(luò)終端的平均傳輸速率和峰值傳輸速率限制為3Mbps和5Mbps；不允許以交互方式訪問(wèn)內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)庫(kù)效力器；可以監(jiān)測(cè)對(duì)內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)庫(kù)效力器發(fā)起的攻擊；內(nèi)部網(wǎng)絡(luò)運(yùn)用本地IP地址，非軍事區(qū)效力器運(yùn)用全球IP地址，內(nèi)部網(wǎng)絡(luò)構(gòu)造對(duì)外部網(wǎng)絡(luò)終端是不可見(jiàn)的。網(wǎng)絡(luò)平安戰(zhàn)略實(shí)現(xiàn)機(jī)制交換機(jī)采用基于MAC地址的接入控制機(jī)制；一旦終端經(jīng)過(guò)認(rèn)證，終端的MAC地址被添加到訪問(wèn)控制列表，交換機(jī)允許正常轉(zhuǎn)發(fā)經(jīng)過(guò)該端口接納到的以MAC A為源MAC地址的MAC幀；交換機(jī)采用本地認(rèn)證機(jī)制，不采

5、用一致的認(rèn)證效力器。交換機(jī)接入控制過(guò)程防火墻訪問(wèn)控制機(jī)制防火墻訪問(wèn)控制戰(zhàn)略分兩部分，一是控制內(nèi)網(wǎng)各個(gè)VLAN之間的信息傳輸過(guò)程，限制外網(wǎng)終端對(duì)內(nèi)網(wǎng)資源的訪問(wèn)過(guò)程。二是定義授權(quán)終端經(jīng)過(guò)第2層隧道接入內(nèi)部網(wǎng)絡(luò)的方法；訪問(wèn)控制戰(zhàn)略定義三種信息：信息傳輸方向、源和目的終端范圍，以效力方式確定音訊交換過(guò)程。網(wǎng)絡(luò)平安戰(zhàn)略實(shí)現(xiàn)機(jī)制防火墻作為遠(yuǎn)程接入控制設(shè)備，配置內(nèi)部網(wǎng)絡(luò)本地IP地址池，用戶名和口令等用戶認(rèn)證信息；建立終端和防火墻之間的第2層隧道，基于第2層隧道完成終端的身份認(rèn)證和本地IP地址分配；為了實(shí)現(xiàn)第2層隧道的平安傳輸，隧道兩端建立雙向的的平安關(guān)聯(lián)；防火墻添加指明通往終端的傳輸途徑的路由項(xiàng)。網(wǎng)絡(luò)平安戰(zhàn)略實(shí)現(xiàn)機(jī)制終端經(jīng)過(guò)VPN接入內(nèi)部網(wǎng)絡(luò)過(guò)程數(shù)據(jù)傳輸過(guò)程中，防火墻就是一個(gè)互連點(diǎn)對(duì)點(diǎn)鏈路和以太網(wǎng)的路由器；終端經(jīng)過(guò)點(diǎn)對(duì)點(diǎn)鏈路和防火墻相連，因此，終端采用的鏈路層協(xié)議是PPP；由于點(diǎn)對(duì)點(diǎn)鏈路是第2層隧道，因此，PPP幀必需被封裝成第2層隧道報(bào)文，由于隧道兩端之間采取平安傳輸機(jī)制，進(jìn)展IPSec的封裝過(guò)程。網(wǎng)絡(luò)平安戰(zhàn)略實(shí)現(xiàn)機(jī)制VPN數(shù)據(jù)傳輸過(guò)程主機(jī)入侵防御系統(tǒng)監(jiān)測(cè)效力器平安形狀；檢測(cè)進(jìn)出效力器的信息流；控制效力器中資源的訪問(wèn)過(guò)程；限制進(jìn)程調(diào)用過(guò)程。網(wǎng)絡(luò)入侵防御系統(tǒng)監(jiān)測(cè)進(jìn)出重要終端和效力器的異常信息流；對(duì)進(jìn)出重