计算机系统安全原理与技术课件第5章第3节

5.3 网络架构安全
❖ 5.3.1 网络架构安全的含义 ❖ 5.3.2 网络架构安全设计
1
计算机系统安全原理与技术（第4版）
5.3.1 网络架构安全的含义
❖ 网络架构是指对由计算机软硬件、互联设备等构成的网络 结构和部署，用以确保可靠的信息传输，满足业务需要。
❖ 网络架构设计是为了实现不同物理位置的计算机网络的互 通，将网络中的计算机平台、应用软件、网络软件、互联 设备等网络元素有机地连接在一起，使网络能满足用户的 需要。一般网络架构的设计以满足企业业务需要，实现高 性能、高可靠、稳定安全、易扩展、易管理维护的网络为 衡量标准。
• 信息认证和身份认证。保证信息的完整性、合法性和来源可 靠性（不可抵赖性）。
• 访问控制。不同的用户应该分别具有不同的访问权限。 • 虚拟专用网络可以帮助远程用户、公司分支机构、商业伙伴
以及供应商等和公司内部网络建立可信的安全连接，并保证 数据的安全传输。
12
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
• 4）特别安全防护。采用当前较为先进的边界防护技术，必要 时可以采用物理隔离安全机制，实现特别的安全要求的边界安 全防护。
10
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 4．虚拟专用网设计 ▪ （ 1 ） 虚 拟 专 用 网 （ Virtual Private Network ， VPN）的概念 ▪ VPN提供一种在现有网络或点对点连接上建立一至多 条安全数据信道的机制。它只分配给受限的用户组独 占使用，并能在需要时动态地建立和撤销。主机网络 可为专用的或公共的。
• 安全域划分的目的是把一个大规模复杂系统的安全问题，化解 为小区域的安全保护问题，它是实现大规模复杂信息系统安全 保护的有效方法。
4
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 1．安全域划分 ▪ （1）安全域的概念
对信息系统安全域（保护对象）的划分应主要考虑如下因素： • 1）业务和功能特性。业务系统逻辑和应用关联性，业务系统
• 1）接入互联网时，同时采用不同电信运营商线路，相互备 份且互不影响。
• 2）核心层、汇聚层的设备和重要的接入层设备均应双机热 备，例如，核心交换机、服务器群接入交换机、重要业务管 理终端接入交换机、核心路由器、防火墙、均衡负载器、带 宽管理器及其他相关重要设备。
• 3）保证网络带宽和网络设备的业务处理能力具备冗余空间 ，满足业务高峰期和业务发展需要。
❖ 网络架构安全是指在进行网络信息系统规划和建设时，依 据用户的具体安全需求，利用各种安全技术，部署不同安 全设备，通过不同的安全机制、安全配置、安全部署，规 划和设计相应的网络架构。
2
计算机系统安全原理与技术（第4版）
5.3.1 网络架构安全的含义
❖ 一般地，网络架构安全设计需要考虑以下问题。 ▪ 1）合理划分网络安全区域。 ▪ 2）规划网络IP地址，制定网络IP地址分配策略，制定 网络设备的路由和交换策略。 ▪ 3）在网络边界部署安全设备，设计设备具体部署位置 和控制措施，维护网络安全。 ▪ 4）规划网络远程接入安全，保障远程用户安全地接入 到网络中。 ▪ 5）采用入侵容忍技术。
8
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 3．网络边界访问控制策略设置
▪ 网络边界安全访问总体策略为：允许高级别的安全域访 问低级别的安全域，限制低级别的安全域访问高级别的 安全域，不同安全域内部分区进行安全防护，做到安全 可控。
▪ 常见的配置模式：
• 1）基本安全防护。基本安全防护采用常规的边界防护机制， 如登录、连接控制等，实现基本的信息系统边界安全防护，可 以使用路由器或者三层交换机来实现。
的交换机隔离不同组内网络设备间的数据交换，可以达到网
络安全的目的。该方式允许同一VLAN上的用户互相通信，
而处于不同VLAN的用户在数据链路层上是断开的，只能通
过3层路由器才能访问。
7
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 2．IP地址规划
▪ 所谓IP地址规划，是指根据IP编址特点，为所设计的 网络中的节点、网络设备分配合适的IP地址。
• 2）较严格安全防护。采用较严格的安全防护机制，如较严格 的登录、连接控制，普通功能的防火墙、防病毒网关、入侵防 御系统、信息过滤、边界完整性检查等。
9
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 3．网络边界访问控制策略设置
▪ 常见的配置模式：
• 3）严格安全防护。随着当前信息安全对抗技术的发展，需要 采用严格的安全防护机制，如严格的登录、连接机制，高安全 功能的防火墙、防病毒网关、入侵防御系统、信息过滤、边界 完整性检查等。
• VLAN也为网络提供了一定程度的安全性保证。
• 通过VLAN隔离技术，可以把一个网络中众多的网络设备分 成若干个虚拟的工作组，组和组之间的网络设备相互隔离， 形成不同的区域，将广播流量限制在不同的广播域。
• 由于VLAN技术是基于2层和3层协议之间的隔离，可以将不
同的网络用户与网络资源进行分组，并通过支持VLAN技术
11
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 4．虚拟专用网设计 ▪ （ 1 ） 虚 拟 专 用 网 （ Virtual Private Network ， VPN）的概念 ▪ 一个虚拟专用网络至少应该能提供如下功能：
• 数据加密。保证通过公共网络传输的数据即使被他人截获也 不至于泄露信息。
▪ 入侵容忍技术是一项综合性的技术，涉及的问题很多 。实现入侵容忍的技术很大一部分是建立在传统的容 错技术之上：
• 1）冗余组件技术。 • 2）复制技术。 • 3）多样性。
14
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 5．网络冗余配置
❖ （2）网络冗余配置
▪ 一个和互联网（或外部网络）有连接的组织网络在考 虑网络冗余配置时，应当从以下几个方面着手。
是否需要对外连接。 • 2）安全性要求。安全要求的相似性，可用性、保密性和完整
性的要求是否类似；威胁相似性，威胁来源、威胁方式和强度 是否类似；资产价值相近性，重要与非重要资产要区分。 • 3）现有状况。分析现有网络结构的状况，包括现有网络结构 、地域和机房等；分析现有的机构部门的职责划分。
5
计算机系统安全原理与技术（第4版）
– 3）承载协议。用于传送经过隧道协议封装后的数据分组，把隧道协议 当作自己的数据（载荷）来传输，典型的承载协议有IP、ATM、以太 网等。
13
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 5．网络冗余配置 ❖ （1）入侵容忍
▪ 入侵容忍（也称作容忍入侵或容侵）是指，当一个网 络系统遭受入侵，即使系统的某些组件遭受攻击者的 破坏，但是整个系统仍能提供全部或者降级的服务， 同时保持系统数据的机密性与完整性等安全属性。
6
计算机系统安全原理与技术（第4版）
5.3.2 网络架பைடு நூலகம்安全设计
❖ 1．安全域划分
▪ （3）虚拟局域网VLAN设计
• VLAN是一种划分互相隔离子网的技术，通过将网内设备逻 辑地划分成一个个网段，从而实现虚拟工作组。
• VLAN技术已成为大大提高网络运转效率、提供最大程度的 可配置性而普遍采用的成熟的技术。
3
计算机系统安全原理与技术（第4版）
5.3.2 网络架构安全设计
❖ 1．安全域划分 ▪ （1）安全域的概念
• 安全域是由一组具有相同安全保护需求并相互信任的系统组成 的逻辑区域。
• 每一个逻辑区域有相同的安全保护需求，具有相同的安全访问 控制和边界控制策略，区域间具有相互信任关系，而且相同的 网络安全域共享同样的安全策略。
▪ IP地址规划要和网络层次规划、路由协议规划、流量 规划等结合起来考虑。
▪ IP地址分配一般包括：
• 1）静态分配地址。就是给网络中每台计算机、网络设备分 配一个固定的、静态不变的IP地址。
• 2）动态分配地址。是指在计算机连接到网络时，每次为其 临时分配一个IP地址。
• 3 ） NAT 地 址 分 配 。 网 络 地 址 转 换 （ Network Address Translation，NAT）是一种将私有IP地址映射到公网IP地 址的方案。
5.3.2 网络架构安全设计
❖ 1．安全域划分
▪ （2）安全域的划分
• 一般可以把网络划分为4个部分：本地网络、远程网络、公共 网络和伙伴访问网络。
• 例如，一个大型企业的网络的安全域通常可以细分为：核心局 域网安全域、部门网络安全域、分支机构网络安全域、异地备 灾中心安全域、互联网门户网站安全域、通信线路运营商广域 网安全域等。其中，核心局域网又可以划分为中心服务器子区 、数据存储子区、托管服务子区、核心网络设备子区、线路设 备子区等多个子区域。
❖ 4．虚拟专用网设计
▪ （2）隧道技术
• 隧道是利用一种协议来封装传输另外一种协议的技术。简单 而言就是：原始数据报文在A地进行封装，到达B地后把封装 去掉还原成原始数据报文，这样就形成了一条由A到B的通信 “隧道”。
• 隧道技术的标准化表现形式就是隧道协议。一个隧道协议通 常包含3个内容，从高层到底层分别是：
15
计算机系统安全原理与技术（第4版）
应用实例：静态NAT和动态NAT应用
❖ （1）静态NAT应用过程
16
计算机系统安全原理与技术（第4版）
应用实例：静态NAT和动态NAT应用
❖ （2）动态NAT应用过程
17
计算机系统安全原理与技术（第4版）
– 1）乘客协议。即被封装的协议，如PPP（Point to Point，点对点） 、SLIP（Serial Line Internet Protocol，串行线路网际协议）等。