【文章內(nèi)容簡介】 防火墻（Firewall）。（如下圖所示）Intranet/Internet的防火墻是一個(gè)軟件與硬件的結(jié)合，可以對兩個(gè)網(wǎng)絡(luò)之間的信息交換進(jìn)行控制，在一臺(tái)機(jī)器上至少插兩張網(wǎng)卡，一個(gè)連接內(nèi)部網(wǎng)絡(luò)（Secured Network），另一個(gè)連接Internet（Non_Secured Network），并運(yùn)行防火墻軟件。將企業(yè)內(nèi)部應(yīng)用的Web Server，Domain Name Server，E_mail Server放在防火墻內(nèi)，外部網(wǎng)絡(luò)中只有經(jīng)過授權(quán)的用戶才能通過防火墻，進(jìn)入到內(nèi)部網(wǎng)獲取信息，相對地，內(nèi)部網(wǎng)絡(luò)上的用戶若想訪問Internet，則必須通過防火墻的檢查，以確認(rèn)是否合法。 某證券公司防火墻策略及設(shè)計(jì)方案概述某證券公司綜合業(yè)務(wù)網(wǎng)絡(luò)覆蓋了全國多個(gè)省市，各節(jié)點(diǎn)通過廣域網(wǎng)方式互聯(lián)，并通過幾處設(shè)置防火墻連接Internet。對于這些防火墻來說，如果不能統(tǒng)一進(jìn)行管理，將造成混亂，也很可能會(huì)由于設(shè)置不當(dāng)出現(xiàn)安全隱患。Check Point防火墻提供了集中化管理的功能，即無論多個(gè)防火墻的分布如何，都可以通過某個(gè)中心位置的控制進(jìn)行各分行防火墻的管理，這樣既可以達(dá)到全局的統(tǒng)一，又可以節(jié)省人力資源的開銷。在本次需要連入Intranet網(wǎng)絡(luò)的各個(gè)節(jié)點(diǎn)均配置一臺(tái)小型機(jī)作為防火墻服務(wù)器。防火墻的設(shè)計(jì)要依據(jù)建行的實(shí)際需要進(jìn)行全局和局部的分析，在統(tǒng)一規(guī)劃的前提下對具體的問題用相應(yīng)的方式進(jìn)行細(xì)化安排。在此，我們提供了一個(gè)整體方案供建行參考。下一節(jié)將詳細(xì)介紹這個(gè)方案建議。 防火墻實(shí)施策略某證券公司網(wǎng)絡(luò)中心的防火墻服務(wù)器不僅要完成對網(wǎng)絡(luò)中心局域網(wǎng)的保護(hù)，還要管理整個(gè)Intranet各網(wǎng)絡(luò)節(jié)點(diǎn)的其它防火墻，因此它成為安全措施的核心設(shè)備，同時(shí)所有網(wǎng)絡(luò)中心的計(jì)算機(jī)與外界的通訊均要通過防火墻的驗(yàn)證，如果該設(shè)備當(dāng)機(jī)，將導(dǎo)致內(nèi)外通訊癱瘓，需要用兩臺(tái)具有較高的處理能力的主機(jī)相互備份來完成。其它Internet接入點(diǎn)分別設(shè)置一臺(tái)工作站作為防火墻服務(wù)器，由于防火墻服務(wù)器在安裝的時(shí)候會(huì)將其上的其它應(yīng)用停止，因此防火墻服務(wù)器應(yīng)為一臺(tái)專用服務(wù)器，除DNS服務(wù)之外，其它服務(wù)（如WWW，MAIL……）不應(yīng)設(shè)計(jì)在此服務(wù)器上。防火墻通過將安全網(wǎng)和非安全網(wǎng)的各種訪問環(huán)節(jié)（包括主機(jī)、IP地址、網(wǎng)卡、防火墻主機(jī)、子網(wǎng)等等）設(shè)置成不同的單元，通過在各單元之間設(shè)置訪問規(guī)則來實(shí)現(xiàn)安全控制?！?對重要服務(wù)器的安全保護(hù)是安全體系中的重要一環(huán)，因此在配置防火墻時(shí)，建議利用防火墻的IP地址屏蔽功能將這些服務(wù)器的IP地址屏蔽掉，使得非安全網(wǎng)絡(luò)的任何用戶不知道服務(wù)器的存在，也就無法對它們進(jìn)行攻擊。IP地址屏蔽功能是防火墻最高級別的安全防護(hù)措施?！?對進(jìn)出防火墻的IP包進(jìn)行過濾是防火墻的一項(xiàng)重要防護(hù)功能，防火墻通過對IP包源地址和目的地址的檢測分析，拒絕非法數(shù)據(jù)包的傳輸?！?將某些主機(jī)設(shè)置為單向傳輸方式。這樣可以利用一些專用主機(jī)進(jìn)行接受數(shù)據(jù)的操作，而它們不可以向非安全網(wǎng)絡(luò)傳輸信息，這樣就可以使外部用戶訪問安全網(wǎng)絡(luò)的路徑受到限制，通過對這些路徑的重點(diǎn)監(jiān)視，提高網(wǎng)絡(luò)通信效率?！?在防火墻上進(jìn)行Proxy Server的設(shè)置，這樣所有在安全網(wǎng)絡(luò)和非安全網(wǎng)絡(luò)之間的訪問均需要通過Proxy Server，即雙方不進(jìn)行直接的通信，Proxy Server提供一個(gè)很大的Disk Cache，這樣的設(shè)置也使得網(wǎng)絡(luò)內(nèi)外的通信流量大大降低，從而節(jié)省了費(fèi)用?！?設(shè)置防火墻的安全郵件功能可以保證郵件傳輸?shù)陌踩裕朽]件均發(fā)送至防火墻，然后由防火墻轉(zhuǎn)發(fā)?！?防火墻安全監(jiān)視器可以隨時(shí)監(jiān)視網(wǎng)絡(luò)的安全體系，當(dāng)發(fā)現(xiàn)存在安全隱患的時(shí)候報(bào)警?！?由于某證券各營業(yè)部有很多終端設(shè)備，內(nèi)部IP地址是由某證券統(tǒng)一分配，如果為這些終端設(shè)備均分配Internet IP并不現(xiàn)實(shí)。我們通過設(shè)置IBM Firewall的NAT（Network Address Translation）功能來進(jìn)行網(wǎng)絡(luò)地址的映射，當(dāng)一個(gè)數(shù)據(jù)包從安全網(wǎng)絡(luò)傳向非安全網(wǎng)絡(luò)時(shí)進(jìn)行網(wǎng)絡(luò)地址轉(zhuǎn)換，這樣做方便了IP地址分配帶來的不便，節(jié)省了IP資源?！?同時(shí)，對于某證券的上網(wǎng)管理也需要有力的措施，杜絕綜合業(yè)務(wù)網(wǎng)內(nèi)計(jì)算機(jī)撥號(hào)上網(wǎng)的情況發(fā)生是有效保障某網(wǎng)絡(luò)安全的措施。 IP電話系統(tǒng)　　基于因特網(wǎng)的實(shí)時(shí)語音通信，是目前Internet技術(shù)應(yīng)用的一個(gè)重大發(fā)展方向，通過IP網(wǎng)絡(luò)，傳送商業(yè)質(zhì)量的話音/傳真，已經(jīng)開始沖擊到傳統(tǒng)的電話業(yè)務(wù)，特別是國際長途業(yè)務(wù)?！　　癡oice Over IP”，就是指應(yīng)用于IP網(wǎng)絡(luò)上實(shí)現(xiàn)話音及傳真信號(hào)傳輸?shù)囊婚T全新的集成業(yè)務(wù)數(shù)據(jù)網(wǎng)絡(luò)技術(shù)。其特點(diǎn)在于其軟硬件均經(jīng)過精心設(shè)計(jì)和開發(fā)，可以 通過任何IP網(wǎng)絡(luò)提供無縫的話音/傳真集成。目前，世界數(shù)據(jù)網(wǎng)絡(luò)通信領(lǐng)域的領(lǐng)先廠商均開發(fā)了這方面的產(chǎn)品?！　τ谄髽I(yè)用戶來說，通過IP網(wǎng)關(guān)傳送長途電話/傳真，同樣具有重要的意義:　　1． 節(jié)省長途電話費(fèi)用　　用IP網(wǎng)絡(luò)完成所有話音/傳真的傳送，能極大地降低了公司內(nèi)部跨地域、跨國界的電話/傳真成本?！　?． 減少設(shè)備投資　　公司可以在原來只能傳送數(shù)據(jù)的網(wǎng)絡(luò)上獲得增值的話音服務(wù)，而無需再另外租用或者購買單獨(dú)用于話音的設(shè)備和線路。由于所有內(nèi)部通信（話音、數(shù)據(jù)、傳真）都通過同一網(wǎng)絡(luò)傳送，企業(yè)可以大大降低購買和維護(hù)設(shè)備的費(fèi)用。 IP電話的工作原理　　通常，我們可以通過合理地管理IP網(wǎng)絡(luò)，達(dá)到實(shí)時(shí)通信的目的。例如，可以采用具有優(yōu)先級別的包和帶寬分配機(jī)制，在現(xiàn)有的IP網(wǎng)絡(luò)上建立一個(gè)附加的語音/傳真網(wǎng)絡(luò)，從而使任何擁有IP地址的人都可以通過網(wǎng)絡(luò)發(fā)送和接收語音/傳真?！　C到PC之間的通話，只要有合適的客戶端軟件就可以實(shí)現(xiàn)?！　〉且獙?shí)現(xiàn)公眾電話網(wǎng)（PSTN）與 Intranet之間的互通，從而完成基于IP電話網(wǎng)關(guān)的PhonetoPhone的語音通信和基于IP電話網(wǎng)關(guān)的PhonetoPC的語音通信，則有很多額外的工作要做。ITUT已就如何實(shí)現(xiàn)數(shù)據(jù)通信網(wǎng)上的多媒體業(yè)務(wù)（包括語音和視頻），使得IP電話的規(guī)范逐步完善，各廠商的設(shè)備可以互通。語音壓縮技術(shù)的不斷進(jìn)步也為IP電話的發(fā)展鋪平了道路?！　∥覀円员敬沃袊腎P電話試驗(yàn)網(wǎng)為例，說明IP電話的工作原理。　　當(dāng)用戶A想通過Internet撥打用戶B時(shí)，首先撥打IP電話的接入服務(wù)號(hào)碼（179xx）到本地的接入服務(wù)器（IP電話網(wǎng)關(guān)）。待連通后，再撥叫被叫用戶B的電話號(hào)碼。A端的接入服務(wù)器根據(jù)該號(hào)碼查到B端接入服務(wù)器的IP地址，通過 Internet與B端的接入服務(wù)器建立連接，然后告訴B端接入服務(wù)器B用戶的電話號(hào)碼，B端接入服務(wù)器則根據(jù)這號(hào)碼呼叫B用戶。如果B摘機(jī)，則電話接通。通話過程中，并封裝成IP包，然后通過實(shí)時(shí)傳輸協(xié)議RTP傳給B端的接入服務(wù)器。B端的接入服務(wù)器則將此包解開，并還原成音頻流傳給用戶B。反之亦然。IP傳真的原理同IP電話。 IP電話的技術(shù)標(biāo)準(zhǔn)　　 ，其目的在于給IP電話提供一個(gè)國際標(biāo)準(zhǔn)，其基本組成如下:　　:Terminal,Gateway,MCU(Multipoint Control Unit)和Gatekeeper?！　erminal:，可以是軟件（如netmeeting）也可以是硬件（如專用的Internet Phone）,它提供了實(shí)時(shí)的雙向傳輸用以傳送聲音?！　ateway:完成PSTN/PBA/ISDN網(wǎng)絡(luò)之間的協(xié)議轉(zhuǎn)換，主要包括傳輸格式的轉(zhuǎn)換（），通信過程的轉(zhuǎn)換（）,另外還完成音頻格式的轉(zhuǎn)換和呼叫建立。因此，如果要建立異種網(wǎng)絡(luò)間的通話（如PSTN到Internet）,網(wǎng)關(guān)是必需的，否則網(wǎng)關(guān)可以省略?！　atekeeper:負(fù)責(zé)用戶注冊和管理，如地址映射，呼叫認(rèn)證和管理，呼叫記錄和區(qū)域管理?！　CU:其功能是實(shí)現(xiàn)多點(diǎn)通信，使得Internet能夠支持諸如網(wǎng)絡(luò)會(huì)議這樣的一些多點(diǎn)應(yīng)用?！　?設(shè)計(jì)目的：為什么要為某網(wǎng)絡(luò)工程設(shè)計(jì)IP電話系統(tǒng)技術(shù)的進(jìn)步和發(fā)展促進(jìn)了IP電話的增長，使其技術(shù)成本不斷降低，并且更加具有實(shí)用價(jià)值。同時(shí)，IP電話的關(guān)鍵部件DSP的成本已經(jīng)顯著下降?！　≌缥覀兯M電話呼叫無論采用何種轉(zhuǎn)換方式，都要占用64Kbps的帶寬，這樣，高速數(shù)據(jù)線路的用戶也許要把相當(dāng)數(shù)量的帶寬用于傳送語音，當(dāng)多媒體應(yīng)用越來越廣泛的時(shí)候，帶寬資源就會(huì)顯得相當(dāng)緊張。　　DSP則可以把模擬信號(hào)轉(zhuǎn)換成8Kbps或帶寬更窄的數(shù)據(jù)流。所以，如果把語音轉(zhuǎn)換成一種數(shù)據(jù)流后，用戶就可以在同一條線路上傳輸比采用模擬技術(shù)時(shí)更多的呼叫，從而使數(shù)據(jù)通信的經(jīng)營效益更好?！　?shí)際上在多年以前，語音數(shù)字化在技術(shù)上就可以實(shí)現(xiàn)了，那時(shí)的主要問題是用戶負(fù)擔(dān)不起這筆費(fèi)用。而最近幾年內(nèi)，DSP技術(shù)在功能和性能上迅速取得了進(jìn)展，因此，用戶不但負(fù)擔(dān)得起，而且還能夠很快獲得投資收益?！　∥磥砭W(wǎng)絡(luò)發(fā)展的方向無疑是邁向三網(wǎng)合一， 在一條線路上綜合傳輸話音、數(shù)據(jù)和視頻，當(dāng)然這是一個(gè)漫長的過程。同時(shí)， IP電話運(yùn)營的更深涵義并不僅僅在于從中獲取利益，而是通過IP電話的使用使企業(yè)發(fā)展成一個(gè)成熟的現(xiàn)代化企業(yè)，并能夠?yàn)橛脩籼峁┫驝ALL CENTER這樣的現(xiàn)代化服務(wù)。某證券綜合業(yè)務(wù)網(wǎng)的建設(shè)，是一個(gè)多業(yè)務(wù)、多應(yīng)用的網(wǎng)絡(luò)工程。利用基礎(chǔ)網(wǎng)絡(luò)的建設(shè)，實(shí)現(xiàn)IP電話系統(tǒng)就是其中一個(gè)重要方面。 IP電話資費(fèi)分析為充分利用項(xiàng)目建設(shè)的廣域網(wǎng)資源，可以通過網(wǎng)絡(luò)進(jìn)行電話通信，范圍覆蓋總公司到每一個(gè)營業(yè)部，可以極大地減少長途電話支出（作為一個(gè)跨省的大公司，此項(xiàng)為一重要支出）。中國電信所提供的長途電話資費(fèi)有兩種：1. 省內(nèi)長途：2. 省外長途：如果利用現(xiàn)有的網(wǎng)絡(luò)資源安裝IP電話，那么就可節(jié)約下所有的長途費(fèi)用了。而安裝IP電話到底需要多少的初期投入呢？一個(gè)VOIP的模塊加上兩個(gè)電話接口插件需要￥22,800元，總共能同時(shí)接通四路IP電話，那么每個(gè)接口（既每路IP電話的安裝）實(shí)際上只投入了￥5,520元，再根據(jù)在以往的業(yè)務(wù)中所交納的長途費(fèi)，就可以知道多少時(shí)間可以收回IP電話的安裝投入了。 IP電話帶寬占用分析大家知道，IP電話的接通是要占用帶寬的。那么IP電話會(huì)不會(huì)影響正常業(yè)務(wù)的運(yùn)作呢？讓我們來一級級的分析：如下圖所示，在我們所設(shè)計(jì)的方案中，每個(gè)3級節(jié)點(diǎn)如果用一個(gè)VOIP模塊的話，最多能同時(shí)通四路IP電話，也就是說，最多同時(shí)占用32K的帶寬。而三級節(jié)點(diǎn)的DDN帶寬為64K，那么最少還有32K可用。我們知道行情信息的信息量很大，但是因?yàn)樗玫氖切l(wèi)星廣播，所以可以不考慮在內(nèi)。而交易信息的信息量一般也就占用10—20K。綜上所述，在三級節(jié)點(diǎn)安裝IP電話最多用到32K帶寬，無論它接的是二級節(jié)點(diǎn)還是網(wǎng)絡(luò)中心都是不會(huì)影響正常業(yè)務(wù)的。在二級節(jié)點(diǎn)中，我們建議用兩個(gè)模塊，最多可同時(shí)接通8路IP電話。如圖所示，二級節(jié)點(diǎn)到網(wǎng)絡(luò)中心用的是128K的專線連接，那么這條線路最多要承載多少路IP電話呢？理論上講應(yīng)該是這個(gè)二級節(jié)點(diǎn)本身的最大通路數(shù)加上它所連接的所有三級節(jié)點(diǎn)的IP電話路數(shù)總和，按照現(xiàn)有連接狀況看，要占用8 X （8+4 X 4）=192K帶寬！但是，實(shí)際情況不是這樣的，因?yàn)楹苌儆锌赡芩B接的所有的IP電話都同時(shí)通過這個(gè)二級節(jié)點(diǎn)到中心的專線。而且，我們可以用CISCO的QOS（質(zhì)量控制）來保障關(guān)鍵業(yè)務(wù)的正常運(yùn)作，具體方法是：限制IP電話所占用的最大帶寬；設(shè)置各種業(yè)務(wù)的優(yōu)先級別。通過這些手段完全可以控制二級節(jié)點(diǎn)到三級節(jié)點(diǎn)的關(guān)鍵業(yè)務(wù)不受IP電話的影響。所以，在二級節(jié)點(diǎn)安裝IP電話也是不會(huì)影響正常業(yè)務(wù)的。網(wǎng)絡(luò)中心也是IP電話的一個(gè)集散中心，它的IP電話業(yè)務(wù)量也是非常巨大的，所以，我們建議在網(wǎng)絡(luò)中心安裝16路IP電話。而網(wǎng)絡(luò)中心與其它節(jié)點(diǎn)的專線帶寬承載能力前面已經(jīng)討論過，這里就不再復(fù)述。 IP電話的實(shí)現(xiàn)IP電話在現(xiàn)在已經(jīng)是一個(gè)很普及的應(yīng)用了，如Internet上常見的Media Ring、IP2Phone等等，都屬于IP電話。MS ，不但能實(shí)現(xiàn)電話功能，同時(shí)還能實(shí)現(xiàn)更多信息服務(wù)，如白板等。而且與視頻會(huì)議系統(tǒng)有互操作性。，所以采用視頻會(huì)議系統(tǒng)也同時(shí)能夠?qū)崿F(xiàn)IP電話，但這可能在使用上比較麻煩一些。如果采用普通電話，則需要專門的設(shè)備，如Cisco 的Voice/IP模塊、IP Phone Access Gateway等，可以直接連接在電話機(jī)或PBX交換機(jī)上。采用普通電話有操作方便、人人可用、管理方便等有點(diǎn)，所以這也是一個(gè)可選的方式。 設(shè)計(jì)目的某證券綜合業(yè)務(wù)網(wǎng)的建設(shè)，是一個(gè)多業(yè)務(wù)、多應(yīng)用