【文章內(nèi)容簡介】 FC1702和RFC1701得出路由器的含義。所有約定的數(shù)據(jù)包密封包裝于其它所有協(xié)議包的對策由GRE 供應(yīng)，換句話說，就是建立一個傳送數(shù)據(jù)信息的加密渠道，進而使VPN得以建成。以上幾種建成通道的方式雖然不盡相同，在多個情境下都可使用。但是其建立都是通過網(wǎng)狀網(wǎng)絡(luò)，進而實現(xiàn)點對點的加密相連，進而使VPN得以建成。因為構(gòu)建該類VPN的技術(shù)都比較純熟，所以其應(yīng)用范圍更廣。以IP隧道技術(shù)為基礎(chǔ)的VPN雖然具備一定支持 QoS 的能力，可是效率不高，究其根本，是由于隧道技術(shù)自身本不具備 QoS 的特性[23]。（2）VPN 標志技術(shù)為了實現(xiàn)VPN，特意規(guī)劃了該技術(shù)，也就是VPNAware 網(wǎng)絡(luò)。其與IP包里鑲?cè)?2位長的VPN 標識符，進而一個 VPNIP 地址就得以建成。VPNIP 地址能夠通過BGP路由約定來探尋路徑，但是數(shù)據(jù)包的轉(zhuǎn)發(fā)就需要使用標志交換技術(shù)(Tag Switching)MPLS(MultiProtocal Label Switching) 多協(xié)議標志交換，具有多種功能，可供給用戶多種體驗方式，將信息數(shù)據(jù)轉(zhuǎn)發(fā)和路由的選取區(qū)分開來，借助于第二、三層路由交換的特征，通道由此確定分組。邊緣部分的標志邊緣路由器（LER）、標志交換路由器（LSR）二者構(gòu)成MPLS 網(wǎng)絡(luò)。組成。交換單元與控制單元構(gòu)成前者，其功效等同于傳統(tǒng)路由器與ATM 交換機向融合；后者承擔確定相應(yīng)的傳送級別和標志交換路徑（LSP）的重任。當前，相當一部分企業(yè)支持RFC 2547 中規(guī)定的 BGP/MPLS VPN，這是以MPLS 的 VPN 為基礎(chǔ)的設(shè)計中最受歡迎的技術(shù)。BGP必須確保發(fā)出的路由數(shù)據(jù)只供該VPN中的路由器獲取，時期具有較高安全性[24]。不過，同時還可以通過一些應(yīng)用程序或者更高幾倍的約定來加強保密性。第3章沂南縣農(nóng)村信用社信息系統(tǒng)網(wǎng)絡(luò)安全設(shè)計原則本章以計算機信息網(wǎng)絡(luò)安全理論為基礎(chǔ)，詳細分析沂南縣農(nóng)村信用社信息系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)和安全問題，進而有針對性的提出該系統(tǒng)網(wǎng)絡(luò)安全設(shè)計的總體原則、規(guī)劃思想和基礎(chǔ)策略，并詳細對規(guī)劃中所運用的網(wǎng)絡(luò)安全要素加以論述。 網(wǎng)絡(luò)安全總體設(shè)計原則（1）整體性和系統(tǒng)性考慮設(shè)計工作人員、管理規(guī)章、軟件、設(shè)施、數(shù)據(jù)等多個要素組成一個計算機網(wǎng)絡(luò)體系，這些要素在系統(tǒng)中具有各自的獨特功效，所占據(jù)的位置也不一，對體系所產(chǎn)生的作用也千差萬別。因此，若要設(shè)計出一個現(xiàn)實可行的計劃，就必須從宏觀的角度來系統(tǒng)和整體的考慮。（2）權(quán)衡剖析風險、需求、成本所有的系統(tǒng)都有可能出現(xiàn)漏洞，而風險、需求和成本都會影響其安全。因此，應(yīng)該對這三種權(quán)衡剖析，全方位調(diào)研其性能、可靠程度等等。（3）必須具有實用性在設(shè)計規(guī)劃時，應(yīng)該根據(jù)當前現(xiàn)狀，設(shè)計成果需具有實用性。（4）易操作效率也是一個重要方面，因此，該系統(tǒng)應(yīng)該具備易操作性，以保證其安全性。（5）具有統(tǒng)一性網(wǎng)絡(luò)的工作周期和網(wǎng)絡(luò)安全問題二者相互依存，因此，構(gòu)建安全系統(tǒng)時要與網(wǎng)絡(luò)安全需要相統(tǒng)一。（6）靈活多變，適應(yīng)性強網(wǎng)絡(luò)安全需要和性能都會影響到安全對策的實施，因而，其應(yīng)該具有靈活多變性和較強的適應(yīng)性。（7）設(shè)置多重保護設(shè)計多重保護，以加強關(guān)鍵區(qū)域安全風險的防范。 網(wǎng)絡(luò)安全設(shè)計的總體目標和實現(xiàn)途徑沂南縣農(nóng)村信用社信息系統(tǒng)網(wǎng)絡(luò)安全設(shè)計的總體目標是:第一，確定清晰的網(wǎng)絡(luò)界限，避免加大安全風險；第二，網(wǎng)絡(luò)接口和界限的安全是重中之重，必須加強密保措施；第三，加強內(nèi)部網(wǎng)絡(luò)安全防范，以免內(nèi)部人員非法操作；第四，必須保證數(shù)據(jù)信息平安、完整的傳送；第五，必須確保網(wǎng)絡(luò)物理上的風險較低；第六，是建立一套相應(yīng)的機制，用以分析出現(xiàn)問題時的追責；第七，是建立一套健全的病毒防范制度；第八，是建立一套完善的網(wǎng)絡(luò)安全管控規(guī)章制度，將管理方式和技術(shù)向結(jié)合，進而得出健全的安全管理體制。在規(guī)劃網(wǎng)絡(luò)安全時分為兩個時期進行。第一階段，主要對網(wǎng)絡(luò)安全區(qū)域和防火墻進行分布，同時調(diào)試侵犯測試技術(shù)，建成相應(yīng)的管控標準，以保證以及中心的網(wǎng)絡(luò)安全。第二階段，從整體著手，實現(xiàn)第一階段的所有安全指標。促進該系統(tǒng)建成的方法：（1）科學(xué)區(qū)分網(wǎng)絡(luò)界限按照網(wǎng)絡(luò)界限，把整個平臺區(qū)分為多個部分，具體為生產(chǎn)應(yīng)用、核心交換、信息（MIS）服務(wù)、運行管理網(wǎng)絡(luò)、開發(fā)檢測、生產(chǎn)外聯(lián)、廣域網(wǎng)、辦公部分。根據(jù)安全的要求等級，設(shè)置出對應(yīng)的訪問對策。（2）合理使用技術(shù)方式使用防火墻技術(shù)、漏洞掃描、侵犯測試、安全審計等方式對網(wǎng)絡(luò)一級中心的安全進行保護。（3）科學(xué)分層網(wǎng)絡(luò)網(wǎng)絡(luò)平臺可以根據(jù)節(jié)點層次的不同而分為網(wǎng)絡(luò)一級中心、網(wǎng)絡(luò)二級中心、營業(yè)網(wǎng)點。層次的區(qū)別，使其對應(yīng)的安全需求也有很大區(qū)別，應(yīng)重點關(guān)注網(wǎng)絡(luò)一級中心的防范策略，以及其外鏈接口處的網(wǎng)絡(luò)節(jié)點。廣域網(wǎng)內(nèi)數(shù)據(jù)信息的傳送是各層別網(wǎng)絡(luò)節(jié)點安全設(shè)計的關(guān)鍵。 網(wǎng)絡(luò)安全的技術(shù)措施沂南縣農(nóng)村信用社網(wǎng)絡(luò)系統(tǒng)極具特殊性，其對安全性能的要求極高，數(shù)據(jù)信息處理量龐大，同時具有大范圍的遮蓋面。因此，在對網(wǎng)絡(luò)系統(tǒng)規(guī)劃的時候，應(yīng)該結(jié)合多方面加以思索，設(shè)計出科學(xué)的網(wǎng)絡(luò)安全技術(shù)，同時在設(shè)施的選擇上，應(yīng)該科學(xué)合理，以確保系統(tǒng)安全宗旨。 合理的網(wǎng)絡(luò)結(jié)構(gòu)（1）在規(guī)劃出入口時，應(yīng)該科學(xué)布局，將和外界連接的出口點重點保護，以避免網(wǎng)絡(luò)被惡意攻破。（2）將負載均衡和高可用性(HA)等技術(shù)運用在重要節(jié)點之上，以避免單點出現(xiàn)問題，使用動態(tài)路由技術(shù)，進而使得網(wǎng)絡(luò)更具安全性。（3）在內(nèi)部網(wǎng)絡(luò)之間區(qū)分出各個不同的功效部分，并植入防火墻對其阻隔，于功能部分內(nèi)部對VLAN 加以細致劃分，進而保證安全風險較小。 合理的網(wǎng)絡(luò)物理安全措施物理網(wǎng)絡(luò)安全的規(guī)劃，可以網(wǎng)絡(luò) OSI 七層模型的分層概念為基礎(chǔ)，分為鏈路層與物理層兩個層面的安全設(shè)計。（1）鏈路層安全通過加密通訊、MAC 地址綁定、ACL 報文過濾等方式來確保遠程網(wǎng)的安全。例如，Cisco路由器使用 accesslistpermit/deny 可對協(xié)議的報文進行過濾。Cisco 上使用 accesslistpermit/deny eq〔協(xié)議應(yīng)用端口號〕，可對相應(yīng)協(xié)議應(yīng)用加以隔絕和公開，比如TCP 中的 23 端口限定是 Telnet,21 限定是 ftp。等。用戶是否合法，則可借由MAC 地址在交換機上的安全捆綁來進行區(qū)分。（2）物理層安全將公共網(wǎng)絡(luò)和專用網(wǎng)絡(luò)相融合，以對物理通路加以保護。比如，租用電信公司 2M SDH 光纖線路作為主干途徑，而以 64K DDN 線路作為備用途徑。再如，大樓局域網(wǎng)的布線做到內(nèi)外網(wǎng)的雙網(wǎng)物理阻絕，在物理鏈路上規(guī)避外網(wǎng)和內(nèi)網(wǎng)同時被相同的計算機所使用。 合理的網(wǎng)絡(luò)安全措施只有對網(wǎng)絡(luò)層和應(yīng)用層的安全合理規(guī)劃，才能保證網(wǎng)絡(luò)軟件的安全運行。前者主要通過虛擬專用網(wǎng)(Virtual Private Network，VPN)進行設(shè)計規(guī)劃，特別是針對局域網(wǎng)（VLAN）的防火墻(Firewall)系統(tǒng)和侵犯檢測系統(tǒng)(Intrusion Detection System，IDS)。（1）防火墻防火墻常用于確定用戶網(wǎng)絡(luò)系統(tǒng)的界限，是將外部網(wǎng)絡(luò)隔絕的一種防范抵御系統(tǒng)，其代表性的連接示意圖見圖 。防火墻技術(shù)包括了代理服務(wù)、數(shù)據(jù)包過濾、屏蔽子網(wǎng)、狀態(tài)檢測、雙宿主機網(wǎng)關(guān)、分布式防火墻等等[26]。 防火墻連接示意圖不同的防火墻由不同的技術(shù)組成，其各具優(yōu)勢，但也存在一些漏洞。通過提前進行權(quán)限設(shè)置，防火墻可以自動通過或者拒絕相應(yīng)的訪問請求，以避免一些可疑訪問入侵；同時，還可以保護內(nèi)部用戶的數(shù)據(jù)信息，將作為網(wǎng)絡(luò)活動獨有的訪問點進行錄入；網(wǎng)絡(luò)地址轉(zhuǎn)換的應(yīng)用，在環(huán)境公共IP通路不足的同時，還能夠使公司內(nèi)部網(wǎng)絡(luò)的地址不被泄露。盡管如此，漏洞依然存在。一些不經(jīng)由防火墻的訪問，無法被其阻擋；無法避免內(nèi)部網(wǎng)絡(luò)的互相入侵和破壞；對于入侵的訪問，只能拒絕，不能清除；并發(fā)連接的數(shù)量受到約束，極易造成堵塞 [27]；無法阻擊病毒；防火墻也會出現(xiàn)問題，被惡意攻擊。（2）侵犯檢測系統(tǒng) IDS作為繼防火墻之后的安全屏障，系統(tǒng)的運行狀態(tài)都可以由IDS對其監(jiān)督，一旦發(fā)現(xiàn)惡意侵犯，即對當前的網(wǎng)絡(luò)行為進行掃描，錄入和監(jiān)督網(wǎng)絡(luò)流量，按照事先設(shè)置的標準，將流量加以過濾，及時拉響安全警報。IDS 可分為兩類，即以網(wǎng)絡(luò)為基礎(chǔ)的侵犯測試系統(tǒng)（NIDS）與以主機為基礎(chǔ)的侵犯測試系統(tǒng)（HIDS）兩類，二者具備不同的特色。IDS 系統(tǒng)具有以下問題：第一，容易出現(xiàn)錯誤報告和漏報率，需要多方面配合測試，才可以是數(shù)據(jù)分析的可信性更高。第二，工作不具主動性，對于入侵，只能測試，卻無法隔絕。第三，維持和管控都具有較大的難度，必須確保安全方法現(xiàn)實可行。第四，一旦被拒絕訪問的請求破壞系統(tǒng)時，它的失效開放機制的設(shè)置，很容易出現(xiàn)已經(jīng)被攻擊卻未發(fā)覺的問題。該機制指的是，系統(tǒng)不再運行時，整個網(wǎng)絡(luò)就不再具有隱秘性，毫無安全可言。這一點，恰恰和防火墻的防御機制完全不同。第五，系統(tǒng)無法支撐數(shù)據(jù)龐雜的網(wǎng)絡(luò)運行 [28]。第六，和其他設(shè)施難以聯(lián)合運行。該系統(tǒng)可監(jiān)測的范圍極窄，而且準確度極低，一旦進行網(wǎng)絡(luò)互換，就很難繼續(xù)運行，同時網(wǎng)絡(luò)風險識別水平較低。不過，其實時監(jiān)督能力較高，而且較為精確。主機的一些關(guān)鍵資源雖然會被HIDS占用，但是其能夠快速辨別侵犯行為，并且即刻做出回應(yīng)，還可以自動辨別行為類型 [29]。 合理的 VPN 安全措施VPN 其實是一種網(wǎng)絡(luò)通道，它是一種點對點的安全連接，通常創(chuàng)建于具有風險的環(huán)境當中，其是通過通道約定達成連接。認證、加密、訪問控制、密鑰管理是其通道安全的基礎(chǔ)，而 IPSec約定將這些基礎(chǔ)要素相互連接，該約定具有較強的隨機應(yīng)變性，可以多方面的協(xié)助上述基礎(chǔ)，提高安全級別。通道約定長與網(wǎng)絡(luò)操作系統(tǒng)向融合，比如Windows95 里的點對點(PPTP)約定，其應(yīng)用普及度較高。通常，通道約定由第二層和第三層約定組成，二者以傳送的數(shù)據(jù)包封裝的具體位置而區(qū)分 [30]。L2TP 通道約定L2TP 通道約定的數(shù)據(jù)包格式組成如圖 所示。IPUDPL2TPPPP(數(shù)據(jù))圖 L2TP 隧道協(xié)議的數(shù)據(jù)包格式圖一個 VPN 約定由個低等級的約定組成，其包括如幀中繼、 IP、ATM PVC 等的傳送約定，如L2TP,L2F, GRE等的封裝約定，如 PPP、SLIP 等的乘客約定等。等級不一樣的約定其支撐體系也大有區(qū)別。其中，傳送約定被很多終端機所接受，像 Cisco 路由器等就接受封裝協(xié)議。比如，如果借由因特網(wǎng)把分公司相互連接，可是其網(wǎng)絡(luò)外環(huán)境卻為IPX，此時，IP就能夠作為傳送約定被用戶所接受，進而通過封裝數(shù)據(jù)包，借因特網(wǎng)將數(shù)據(jù)傳送。除此之外，該約定還可以對一些ISP配置的動態(tài)IP加以支持。比如，很多公司的網(wǎng)站都設(shè)置了防火墻，以防被攻擊，當內(nèi)部工作人員通過 ISP 撥號上網(wǎng)時卻無法穿越防火墻，也就沒辦法訪問相關(guān)內(nèi)容。但是一旦運用通道約定，那么通過撥號也就可以進入公司內(nèi)部網(wǎng)頁，查詢所需內(nèi)容。LAC和 LNS構(gòu)成了 L2TP 第二層通道約定，其將L2F 和 PPTP 二者的優(yōu)勢相融合，可接受多種約定，客戶能夠從服務(wù)器端申請鏈接訪問。L2TP 是把鏈路層 PPP 幀封裝在如 IP, ATM,Frame Relay 中加以通道傳送的封裝約定。Cisco, Ascend, Microsoft 和 Red Back的研究中們通過多次反復(fù)改正，終于在1999 年 8 月將L2TP 的標準 RFC2661公布。除此之外，多個 PPP 鏈路的融合的問題也被L2TP 合理處置，進而使物理上連接到不一樣的 NAS 的 PPP 鏈路，在邏輯上的終結(jié)點共用相同的物理設(shè)施[31]。L2TP 的建立過程是:a） 首先，用戶進行撥號，通過ISDN或者公共電話實現(xiàn)服務(wù)器 LAC接入，當收到撥號信號時，LAC初步對其識別，整個過程可供選擇的規(guī)則較多，比如，撥號 ID 業(yè)務(wù)、域名、呼叫線路識別(CLID)等。b）一旦用戶的身份被確認，VPN通道就會建立。c）企業(yè)自身內(nèi)部的安全服務(wù)器，對撥號用戶的身份進去確認。d）遠程用戶和LNS就PPP 信息進行交換，獲取相應(yīng)的地址。因為公司內(nèi)部的源 IP 和目的地的 IP 地址都需要借由服務(wù)提供商的網(wǎng)絡(luò)在 PPP 信息包內(nèi)傳送，網(wǎng)絡(luò)的提供者可以隨意的金融公司內(nèi)部地址。因此， LNS 可使用用公司還沒注冊的 IP或者服務(wù)提供商空間對IP 地址進行分派。e）LNS接收端到端的數(shù)據(jù)傳送。在現(xiàn)實運用時，LAC 先將撥號用戶的 PPP 進行幀封裝，然后輸送至LNS, LNS再將封裝包頭取消，得到 PPP 幀，再去掉 PPP 幀頭，進而才可以獲取網(wǎng)絡(luò)層數(shù)據(jù)包。供應(yīng)者和用戶可以享受到L2TP 帶來的相應(yīng)優(yōu)勢，即用戶不用刻意再裝軟件，公司可以利用還沒有注冊過的IP 地址，在本地得到身份確認之后，即可使用，有效縮減了公司維護資金和運行本錢。除此之外，相較于 PPTP 和 L2F，L2TP 還具有差錯和流量管控的優(yōu)勢。作為 PPP 的擴展，L2TP 支持標準 CHAP 和 PAP，可以對用戶身份信息加以辨別，向每一個建立的通道提供一個隨機密匙，從而加強風險防范，但是對于傳送的信息卻沒有密匙 [32]。 GREGRE 在 RFC1701/RFC1702 中定義，它確認了如何用一種網(wǎng)絡(luò)層約定去將另一種網(wǎng)絡(luò)層約定封裝的策略，GRE 的通道由其兩端的源 IP和目的 IP 地址來命名。它同意用戶采用IP 封裝 IP,IPX, AppleTalk 并支持全部的路由協(xié)議如 RIP,OSPF，IGRP, EIGRP。通過 GRE 封裝的用戶，則能夠通過公共 IP 網(wǎng)絡(luò)， IPX 網(wǎng)絡(luò)、AppleTalk 網(wǎng)絡(luò)相連接，也可以使用保留地址來完成網(wǎng)絡(luò)互聯(lián)，抑或?qū)⒐緝?nèi)部網(wǎng)的 IP 地址對公共網(wǎng)絡(luò)藏匿。校驗和包括了 GRE 包頭和完整的乘客約定和信息；GRE 包頭中包含了約定種類用于標明乘客約定的種類；序列號用于接收端數(shù)據(jù)包的排序和差錯控制；密鑰用于接收端驗證接收的數(shù)據(jù)；路由用于本數(shù)據(jù)包的路由[33]。GRE 所示。 GRE工作例圖當來自 子網(wǎng)的數(shù)據(jù)包要發(fā)至子網(wǎng) 時，首先由路由器對數(shù)據(jù)包進行接收，進而檢測路由表，覺察可以通過通道通往 。路由器將把數(shù)據(jù)包送至通道進行 GRE 封裝。原數(shù)據(jù)包被打包進一個源地址為