雙網(wǎng)隔離技術(shù)方案(通用版)

計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)雙網(wǎng)隔離建議方案北京銀信長遠(yuǎn)科技股份有限公司二O一四年七月

目錄第一章公司簡介………………3第二章用戶需求分析…………4第三章總體設(shè)計(jì)指導(dǎo)思想……………………5第四章計(jì)算機(jī)系統(tǒng)雙網(wǎng)隔離方案……………8第五章、投資預(yù)算評估…………17第一章公司簡介北京銀信長遠(yuǎn)科技股份有限公司（簡稱銀信科技）是一家全國性、專業(yè)化的IT服務(wù)整體解決方案提供商，注冊資本1.2億元人民幣，是中國第三方IT運(yùn)維服務(wù)第一家上市公司。公司現(xiàn)有員工近700人，技術(shù)工程師400人，絕大多數(shù)工程師具有原廠各類技術(shù)認(rèn)證證書，證書總數(shù)700多個。銀信科技主要經(jīng)營范圍：IT基礎(chǔ)設(shè)施、IT行業(yè)應(yīng)用系統(tǒng)的建設(shè)和運(yùn)維，包含數(shù)據(jù)中心、云平臺、容災(zāi)備份、虛擬化、信息安全等系統(tǒng)解決方案；各行業(yè)數(shù)據(jù)中心、各類IT設(shè)備系統(tǒng)的運(yùn)營維保服務(wù)、IT技術(shù)培訓(xùn)、IT人員外包服務(wù)、數(shù)據(jù)中心搬遷及其他IT增值服務(wù)；自有IT運(yùn)維管理軟件的銷售，IT運(yùn)維管理咨詢及服務(wù)等。銀信科技資質(zhì):·北京市科學(xué)技術(shù)委員會頒發(fā)的高新技術(shù)企業(yè)證書；·信息產(chǎn)業(yè)部頒發(fā)的計(jì)算機(jī)信息系統(tǒng)集成一級資質(zhì)證書；·中國軟件測評中心頒發(fā)的信息系統(tǒng)運(yùn)維服務(wù)能力二級資質(zhì)證書；·工信部ITSS（信息技術(shù)服務(wù)標(biāo)準(zhǔn)工作組）全權(quán)成員單位證書；·通過ISO9001：2008國際質(zhì)量管理體系認(rèn)證；·通過北京市科學(xué)技術(shù)委員會的雙軟件認(rèn)證。·中國銀行業(yè)數(shù)據(jù)中心IT基礎(chǔ)設(shè)施第三方服務(wù)市場排名中名列第一業(yè)績客戶行業(yè)已涉及金融、電信、電力、航空、政府、教育、交通、商業(yè)、IT業(yè)、制造業(yè)等眾多行業(yè)客戶。公司近三年?duì)I業(yè)收入：2011年?duì)I業(yè)收入約為2億元2012年?duì)I業(yè)收入約為3.4億元2013年?duì)I業(yè)收入約為3.8億元第二章用戶需求分析現(xiàn)需對用戶計(jì)算機(jī)網(wǎng)絡(luò)進(jìn)行物理隔離改造，物理隔離改造工作需要保護(hù)單機(jī)和內(nèi)網(wǎng)的數(shù)據(jù)安全和信息安全，即重要的數(shù)據(jù)不能放到與外網(wǎng)相連的計(jì)算機(jī)硬盤上，工作人員可以在同一臺計(jì)算機(jī)終端上根據(jù)工作需要進(jìn)入內(nèi)網(wǎng)或外網(wǎng)，并在終端上處理重要的數(shù)據(jù)和進(jìn)行工作操作，實(shí)現(xiàn)辦公網(wǎng)與外網(wǎng)的物理隔離，并有效的保障辦公網(wǎng)與外網(wǎng)的數(shù)據(jù)交換安全。用戶分為兩個區(qū)域：一個區(qū)域，約有辦公電腦XXXX臺，其中，20臺需要連接外網(wǎng)；另一區(qū)域，約有辦公電腦XXXXX臺，其中30臺需要連接外網(wǎng)。

第三章總體設(shè)計(jì)指導(dǎo)思想一、系統(tǒng)總體設(shè)計(jì)指導(dǎo)思想1、嚴(yán)格遵循物理隔離技術(shù)規(guī)范，實(shí)現(xiàn)內(nèi)網(wǎng)與互聯(lián)網(wǎng)的物理隔離。2、在重視科學(xué)性、經(jīng)濟(jì)性和實(shí)用性的同時，講求使用效果。3、確保所設(shè)計(jì)的系統(tǒng)能達(dá)到國內(nèi)領(lǐng)先水平。4、改造后的系統(tǒng)，需要有高效的安全防范措施二、系統(tǒng)總體實(shí)現(xiàn)目標(biāo)現(xiàn)需對用戶計(jì)算機(jī)網(wǎng)絡(luò)進(jìn)行物理隔離改造，實(shí)現(xiàn)辦公網(wǎng)絡(luò)(內(nèi)網(wǎng))與國際互聯(lián)網(wǎng)(外網(wǎng))的雙網(wǎng)物理隔離，并保障網(wǎng)絡(luò)和存儲數(shù)據(jù)設(shè)備的數(shù)據(jù)安全和信息安全。通過改造工作，在技術(shù)上達(dá)到：1、在物理傳導(dǎo)上使內(nèi)外網(wǎng)絡(luò)隔斷，確保外部網(wǎng)不能通過網(wǎng)絡(luò)連接侵入內(nèi)部網(wǎng)；同時防止內(nèi)部網(wǎng)信息通過網(wǎng)絡(luò)連接泄漏到外部網(wǎng)。2、在物理存儲上隔斷兩個網(wǎng)絡(luò)環(huán)境，對于斷電后會遺失信息的部件，如內(nèi)存、處理器等暫存部件，要在網(wǎng)絡(luò)轉(zhuǎn)換時作清除處理，防止殘留信息串網(wǎng)；對于斷電非遺失性設(shè)備如磁帶機(jī)、硬盤等存儲設(shè)備，內(nèi)部網(wǎng)與外部網(wǎng)信息要分開存儲；嚴(yán)格限制可移動介質(zhì)的使用范圍及環(huán)境，如U盤、光盤等。三、本建議方案的實(shí)施要點(diǎn)根據(jù)用戶計(jì)算機(jī)網(wǎng)絡(luò)的現(xiàn)實(shí)情況，實(shí)施內(nèi)外網(wǎng)物理隔離的要求是：1、對計(jì)算機(jī)系統(tǒng)要進(jìn)行適當(dāng)?shù)母脑旃ぷ?，做到?nèi)外網(wǎng)服務(wù)器分開設(shè)置；桌面終端計(jì)算機(jī)可直接實(shí)現(xiàn)內(nèi)網(wǎng)辦公或外網(wǎng)應(yīng)用，當(dāng)使用辦公網(wǎng)時，則外網(wǎng)物理隔離，當(dāng)使用外網(wǎng)時，則辦公網(wǎng)物理隔離。終端計(jì)算機(jī)上，辦公網(wǎng)與外網(wǎng)的數(shù)據(jù)存儲倉庫為完全隔離的兩個硬盤，或辦公網(wǎng)存儲于機(jī)房存儲設(shè)備，而外網(wǎng)可存儲于計(jì)算機(jī)的指定硬盤。計(jì)算機(jī)終端需進(jìn)行安全保護(hù)，以防止病毒、木馬、攻擊等威脅設(shè)備安全的事件發(fā)生。2、網(wǎng)絡(luò)改造。真正高效的隔離，是辦公網(wǎng)與外網(wǎng)的網(wǎng)絡(luò)完全分開，即為外網(wǎng)重新鋪設(shè)新的綜合布線系統(tǒng)，從互聯(lián)網(wǎng)接入端到計(jì)算機(jī)終端，外網(wǎng)為獨(dú)立的網(wǎng)絡(luò)系統(tǒng)，并具備信息安全保護(hù)的功能。3、內(nèi)外網(wǎng)數(shù)據(jù)傳輸。內(nèi)外網(wǎng)之間常有些重要信息需要傳輸或備份，雙網(wǎng)系統(tǒng)之間存在數(shù)據(jù)交換需求：外網(wǎng)用戶可以訪問內(nèi)網(wǎng)的數(shù)據(jù)庫，并且能夠保護(hù)內(nèi)網(wǎng)安全。如果使用U盤等移動設(shè)備來拷貝，就會面臨病毒的威脅。但是如果開放網(wǎng)絡(luò)，讓內(nèi)網(wǎng)與外網(wǎng)之間互通，又會使雙網(wǎng)的意義喪失。為保護(hù)辦公網(wǎng)的數(shù)據(jù)和信息安全，需要在辦公網(wǎng)和外網(wǎng)之間架設(shè)安全隔離與信息交換系統(tǒng)，它應(yīng)用在用戶雙網(wǎng)之間，主要負(fù)責(zé)數(shù)據(jù)的安全交換，阻止已知的以及未知的入侵和內(nèi)部信息的泄漏，并且把內(nèi)外網(wǎng)傳來的數(shù)據(jù)掌控在可控的范圍內(nèi)，實(shí)現(xiàn)了可控的、高效的、實(shí)時的、安全的信息交換。網(wǎng)絡(luò)改造完成后的拓樸圖如下：

第四章計(jì)算機(jī)系統(tǒng)雙網(wǎng)隔離方案一、企業(yè)外網(wǎng)網(wǎng)絡(luò)的新建為了打造企業(yè)辦公網(wǎng)和外網(wǎng)完全隔離的網(wǎng)絡(luò)系統(tǒng)，需要新建一套與企業(yè)辦公網(wǎng)平行的企業(yè)外網(wǎng)網(wǎng)絡(luò)系統(tǒng)。主要設(shè)備包括：計(jì)算機(jī)終端改造、獨(dú)立的服務(wù)器（可選）、防火墻、交換機(jī)、綜合布線系統(tǒng)、計(jì)算機(jī)終端安全防護(hù)系統(tǒng)等。企業(yè)外網(wǎng)網(wǎng)絡(luò)系統(tǒng)的拓?fù)鋱D如下：根據(jù)培訓(xùn)與評價(jià)中心的終端分布情況，整個系統(tǒng)分為兩個區(qū)域，貴陽區(qū)域計(jì)算機(jī)終端20臺，2-3臺帶智能網(wǎng)管功能的千兆交換機(jī)，1臺高性能可進(jìn)行分段IP映射的防火墻，6類非屏蔽綜合布線系統(tǒng)，免工具綜合布線數(shù)據(jù)終端等若干。清鎮(zhèn)區(qū)域計(jì)算機(jī)終端30臺，3-5臺帶智能網(wǎng)管功能的千兆交換機(jī)，1臺高性能可進(jìn)行分段IP映射的防火墻，6類非屏蔽綜合布線系統(tǒng)，免工具綜合布線數(shù)據(jù)終端等若干。對計(jì)算機(jī)終端進(jìn)行改造，配置物理隔離卡、獨(dú)立硬盤及主板，以達(dá)到雙硬盤雙網(wǎng)的物理隔離，同時，還需要對每個需要連接外網(wǎng)的計(jì)算機(jī)終端安裝殺毒軟件和個人電腦防火墻等安全防護(hù)。如有必要，為保障數(shù)據(jù)防泄漏等要求，還可以在后期對網(wǎng)絡(luò)和終端建設(shè)一套全生命周期數(shù)據(jù)泄露防護(hù)體系，包含：文檔安全管理系統(tǒng)；文件透明加密系統(tǒng)；文檔全線管理系統(tǒng)；文檔外發(fā)管理系統(tǒng)；文檔加密安全網(wǎng)關(guān)系統(tǒng)；可信介質(zhì)管理系統(tǒng)；電子文件保險(xiǎn)柜；全盤加密安全介質(zhì)終端；磁盤全盤加密系統(tǒng)；數(shù)據(jù)防泄漏平臺。二、內(nèi)外網(wǎng)數(shù)據(jù)傳輸安全 針對用戶應(yīng)用需求的實(shí)際情況，需要在機(jī)房內(nèi)布置一套安全隔離與信息交換系統(tǒng)。使用安全隔離與信息交換系統(tǒng)的文件交流方式，Web服務(wù)器將接收到的請求轉(zhuǎn)換成文件，通過安全隔離與信息交換系統(tǒng)傳輸?shù)綐I(yè)務(wù)網(wǎng)，業(yè)務(wù)網(wǎng)處理完該數(shù)據(jù)后，再將結(jié)果轉(zhuǎn)換成文件通過安全隔離與信息交換系統(tǒng)傳輸給Web服務(wù)器，見圖：三、技術(shù)方案各產(chǎn)品功能介紹1、計(jì)算機(jī)終端改造在不更換終端的情況下，對計(jì)算機(jī)終端進(jìn)行改造，增加物理隔離卡、硬盤及主板等。產(chǎn)品特點(diǎn)1）支持用戶自定義開機(jī)選界面功能。

2）支持檢測外設(shè)功能（包括檢測：USB、光驅(qū)、軟驅(qū)）

3）均支持標(biāo)準(zhǔn)機(jī)箱和超薄機(jī)使用4）支持windows64位操作系統(tǒng)及新版BIOS技術(shù)參數(shù)1）總線模式:PCI或PCI-E

2）物理介質(zhì)接口：RJ45

3）使用網(wǎng)絡(luò)類型：10M以太網(wǎng)、100M或1000M快速以太網(wǎng)

4）工作溫度：0℃-50℃

5）存儲溫度：-20℃-70℃

6）內(nèi)外網(wǎng)切換軟件：V3.02、網(wǎng)絡(luò)交換機(jī)核心交換機(jī)全千兆以太網(wǎng)交換機(jī)，它提供了靈活的全千兆以太網(wǎng)端口的接入密度、豐富的業(yè)務(wù)特性，并支持IRF（智能彈性架構(gòu)）技術(shù)，擁有24個10/100/1000Base-T以太網(wǎng)端口，4個1000Base-X

SFP千兆以太網(wǎng)端口（非復(fù)用的SFP插槽）；整機(jī)交換容量192Gbps，包轉(zhuǎn)發(fā)率42Mpps，性能相當(dāng)強(qiáng)勁。支持特有的ARP入侵檢測功能，可有效防止黑客或攻擊者通過ARP報(bào)文實(shí)施網(wǎng)絡(luò)中逐漸盛行的“中間人”攻擊，對不符合DHCP

Snooping動態(tài)綁定表或手工配置的靜態(tài)綁定表的非法ARP欺騙報(bào)文直接丟棄。同時支持IP

Source

Check特性，防止包括MAC欺騙、IP欺騙、MAC/IP欺騙在內(nèi)的非法地址仿冒，以及大量地址仿冒帶來的DoS攻擊。另外，利用DHCP

Snooping的信任端口特性還可以有效杜絕私設(shè)DHCP服務(wù)器，保證DHCP環(huán)境的真實(shí)性和一致性。接入交換機(jī)二層線速以太網(wǎng)交換機(jī)，它是專為要求具備高性能且易于安裝的網(wǎng)絡(luò)環(huán)境而設(shè)計(jì)的智能型產(chǎn)品。該款交換機(jī)支持Vlan劃分、端口鏡像、端口聚合和QoS等功能，可以通過WEB界面進(jìn)行方便地配置。支持地址自動學(xué)習(xí)、自動老化（老化時間為5分鐘）；它最多可支持8KMAC（MediumAccessControl）地址。它支持基于端口VLAN，VLAN最大數(shù)目為26；它最多可設(shè)置3組端口聚合，具備線路診斷等功能產(chǎn)品類型網(wǎng)管交換機(jī)應(yīng)用層級二層傳輸速率10/100/1000Mbps交換方式存儲-轉(zhuǎn)發(fā)背板帶寬8.8Gbps包轉(zhuǎn)發(fā)率6.55MppsMAC地址表8K端口結(jié)構(gòu)非模塊化端口數(shù)量26個端口描述24個10/100Base-TX自適應(yīng)以太網(wǎng)端口，2個千兆光電復(fù)用端口控制端口1個Console接口接口介質(zhì)10Base-T：3/4/5類雙絞線

100Base-TX：5類雙絞線

1000Base-T：5類雙絞線傳輸模式全雙工/半雙工自適應(yīng)網(wǎng)絡(luò)標(biāo)準(zhǔn)IEEE802.3，IEEE802.3u，IEEE802.3ab，IEEE802.3z，ANSI/IEEE802.3NWay自動協(xié)商，IEEE802.3xVLAN基于端口VLAN

支持VLAN最大數(shù)目：26

支持128個802.1Q的VLAN，VLANID1-4094可配QOS標(biāo)準(zhǔn)：802.1p

隊(duì)列數(shù)：4個網(wǎng)絡(luò)管理基于Web的管理

支持配置文件導(dǎo)入/導(dǎo)出狀態(tài)指示燈Link/Act，Speed，電源電源電壓AC100-240V，50-60Hz電源功率最大15W產(chǎn)品尺寸440×230×44mm環(huán)境標(biāo)準(zhǔn)工作溫度：0-40℃

工作濕度：5%-95%（無凝結(jié)）3、防火墻設(shè)備類型：企業(yè)級防火墻網(wǎng)絡(luò)端口：1個配置口(CON);5GE;1個mini插槽...入侵檢測：Dos,DDoS管理：支持標(biāo)準(zhǔn)網(wǎng)管SNMPv3，并且兼容S...VPN支持：支持安全標(biāo)準(zhǔn)：FCC,CE控制端口：console其他性能：防火墻、VPN可同時擴(kuò)展卡巴斯基...電源：輸入額定電壓:100VAC～240VAC;47...產(chǎn)品尺寸：300×260×43.6mm管理支持標(biāo)準(zhǔn)網(wǎng)管SNMPv3，并且兼容SNMPv2c、SNMPv1,支持NTP時間同步,支持Web方式進(jìn)行遠(yuǎn)程配置管理,支持SNMP/TR-069網(wǎng)管協(xié)議,支持SecCenter安全管理中心進(jìn)行設(shè)備管理防火墻、VPN可同時擴(kuò)展卡巴斯基病毒防護(hù)、URL過濾特征庫升級服務(wù)、攻擊防護(hù)（IPS）服務(wù)以及特征庫升級、垃圾郵件特征庫升級服務(wù)、P2P/IM/網(wǎng)游等應(yīng)用層流量控制和用戶行為審計(jì)等功能4、安全隔離與信息交換系統(tǒng)本系統(tǒng)根據(jù)國內(nèi)計(jì)算機(jī)網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)，開發(fā)出的一種快速、安全的網(wǎng)絡(luò)安全隔離產(chǎn)品，已采用DTP物理隔離通道控制系統(tǒng)和嵌入式內(nèi)核控制技術(shù)，以及多重安全措施，有效地防止了黑客攻擊、病毒侵入和信息泄露等安全隱患，確保內(nèi)網(wǎng)與外網(wǎng)的可靠隔離和信息的可控交換，是一種安全性極高的網(wǎng)絡(luò)安全產(chǎn)品。產(chǎn)品功能*采用類似電子郵件的工作方式進(jìn)行文件傳送，具備小型公文交換系統(tǒng)的功能，可以實(shí)現(xiàn)內(nèi)網(wǎng)到內(nèi)網(wǎng)、內(nèi)網(wǎng)到外網(wǎng)、外網(wǎng)到內(nèi)網(wǎng)的點(diǎn)對點(diǎn)、一對多、多對一的文件傳送，并可直接從FTP服務(wù)內(nèi)共享目錄上讀取文件。

*支持對傳輸文件的文件名控制機(jī)制；

*支持對黑白名單控制；

*支持文件自動收發(fā)功能，文件交換服務(wù)能夠控制單個用戶和分組用戶的文件收發(fā)權(quán)限；支持增量傳輸，超大文件交換；

*支持實(shí)時或定時文件擺渡，文件傳輸支持?jǐn)帱c(diǎn)續(xù)傳；

*支持文件格式特征過濾。產(chǎn)品特點(diǎn)*獨(dú)有DTP物理隔離通道控制系統(tǒng)徹底阻斷網(wǎng)絡(luò)間的直連通路。

*特有控制邏輯和專用通訊協(xié)議控制數(shù)據(jù)的實(shí)時交換。

*專用安全操作系統(tǒng)及嵌入式程序控制確保系統(tǒng)本身免受攻擊。

*可選配取得國家密碼權(quán)威部門檢驗(yàn)認(rèn)可、基于PKI技術(shù)的完善安全認(rèn)證TPCS系統(tǒng)。*產(chǎn)品小型化，接口可組合擴(kuò)展。5、綜合布線系統(tǒng)3M綜合布線系統(tǒng)，全球十大綜合布線品牌，美國3M公司的布線產(chǎn)品一直有布線行業(yè)的貴族之稱，具有性能高超，外形美觀，產(chǎn)品種類齊全的特點(diǎn)：*標(biāo)準(zhǔn)化，全面符合國際和地區(qū)標(biāo)準(zhǔn)*產(chǎn)品全系列:非屏蔽,屏蔽,光纖*產(chǎn)品高性能級別:增強(qiáng)五類,六類，6A*產(chǎn)品模塊化,多媒介,集成度高*高質(zhì)量,專利多，外觀美，多顏色*適應(yīng)多種安裝環(huán)境,安裝簡便可靠*標(biāo)識管理手段豐富*產(chǎn)品和系統(tǒng)均可提供性能測試報(bào)告*第三方測試和認(rèn)證*帶UL，CSA，CE，AULCEL等認(rèn)證標(biāo)記系統(tǒng)產(chǎn)品組成信息模塊及面板、工作區(qū)跳線平板或角型19英寸機(jī)架式配線架配置要求信息模塊及面板語音模塊、數(shù)據(jù)模塊、Keystone6類模塊。數(shù)據(jù)：86型面板工作區(qū)跳線：工廠定制。第五章、投資預(yù)算評估此投資預(yù)算為初步預(yù)算，需要根據(jù)后續(xù)實(shí)際勘查進(jìn)