論雙防火墻結(jié)構(gòu)在企業(yè)信息網(wǎng)中的應(yīng)用(編輯修改稿)
2024-07-25 21:25 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 的域名和IP地址就不會(huì)被外界所了解。除了安全作用，防火墻還支持具有Internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN（虛擬專用網(wǎng)）。 防火墻所具有的基本特性 （一）內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過(guò)防火墻 這是防火墻所處網(wǎng)絡(luò)位置特性，同時(shí)也是一個(gè)前提。因?yàn)橹挥挟?dāng)防火墻是內(nèi)、外部網(wǎng)絡(luò)之間通信的唯一通道，才可以全面、有效地保護(hù)企業(yè)網(wǎng)部網(wǎng)絡(luò)不受侵害。 根據(jù)美國(guó)國(guó)家安全局制定的《信息保障技術(shù)框架》，防火墻適用于用戶網(wǎng)絡(luò)系統(tǒng)的邊界，屬于用戶網(wǎng)絡(luò)邊界的安全保護(hù)設(shè)備。所謂網(wǎng)絡(luò)邊界即是采用不同安全策略的兩個(gè)網(wǎng)絡(luò)連接處，比如用戶網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間連接、和其它業(yè)務(wù)往來(lái)單位的網(wǎng)絡(luò)連接、用戶內(nèi)部網(wǎng)絡(luò)不同部門之間的連接等。防火墻的目的就是在網(wǎng)絡(luò)連接之間建立一個(gè)安全控制點(diǎn)，通過(guò)允許、拒絕或重新定向經(jīng)過(guò)防火墻的數(shù)據(jù)流，實(shí)現(xiàn)對(duì)進(jìn)、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問(wèn)的審計(jì)和控制。 典型的防火墻體系網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示。從圖可以看出，防火墻的一端連接企事業(yè)單位內(nèi)部的局域網(wǎng)，而另一端則連接著互聯(lián)網(wǎng)。所有的內(nèi)、外部網(wǎng)絡(luò)之間的通信都要經(jīng)過(guò)防火墻。 （二）只有符合安全策略的數(shù)據(jù)流才能通過(guò)防火墻 防火墻最基本的功能是確保網(wǎng)絡(luò)流量的合法性，并在此前提下將網(wǎng)絡(luò)的流量快速的從一條鏈路轉(zhuǎn)發(fā)到另外的鏈路上去。從最早的防火墻模型開(kāi)始談起，原始的防火墻是一臺(tái)“雙穴主機(jī)”，即具備兩個(gè)網(wǎng)絡(luò)接口，同時(shí)擁有兩個(gè)網(wǎng)絡(luò)層地址。防火墻將網(wǎng)絡(luò)上的流量通過(guò)相應(yīng)的網(wǎng)絡(luò)接口接收上來(lái)，按照OSI協(xié)議棧的七層結(jié)構(gòu)順序上傳，在適當(dāng)?shù)膮f(xié)議層進(jìn)行訪問(wèn)規(guī)則和安全審查，然后將符合通過(guò)條件的報(bào)文從相應(yīng)的網(wǎng)絡(luò)接口送出，而對(duì)于那些不符合通過(guò)條件的報(bào)文則予以阻斷。因此，從這個(gè)角度上來(lái)說(shuō)，防火墻是一個(gè)類似于橋接或路由器的、多端口的（網(wǎng)絡(luò)接口=2）轉(zhuǎn)發(fā)設(shè)備，它跨接于多個(gè)分離的物理網(wǎng)段之間，并在報(bào)文轉(zhuǎn)發(fā)過(guò)程之中完成對(duì)報(bào)文的審查工作。 （三）防火墻自身應(yīng)具有非常強(qiáng)的抗攻擊免疫力 這是防火墻之所以能擔(dān)當(dāng)企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護(hù)重任的先決條件。防火墻處于網(wǎng)絡(luò)邊緣，它就像一個(gè)邊界衛(wèi)士一樣，每時(shí)每刻都要面對(duì)黑客的入侵，這樣就要求防火墻自身要具有非常強(qiáng)的抗擊入侵本領(lǐng)。它之所以具有這么強(qiáng)的本領(lǐng)防火墻操作系統(tǒng)本身是關(guān)鍵，只有自身具有完整信任關(guān)系的操作系統(tǒng)才可以談?wù)撓到y(tǒng)的安全性。其次就是防火墻自身具有非常低的服務(wù)功能，除了專門的防火墻嵌入系統(tǒng)外，再?zèng)]有其它應(yīng)用程序在防火墻上運(yùn)行。當(dāng)然這些安全性也只能說(shuō)是相對(duì)的。二、防火墻網(wǎng)絡(luò)安全結(jié)構(gòu)的規(guī)劃實(shí)施摘要：我單位原來(lái)的內(nèi)部信息網(wǎng)跟第三方或者互聯(lián)網(wǎng)之間沒(méi)有設(shè)置防火墻，為了內(nèi)部信息網(wǎng)的信息安全，按照省局的要求，需要設(shè)置雙防火墻的方案。但結(jié)合本單位的實(shí)際情況，如何規(guī)劃合理的網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)絡(luò)配置，令到雙防火墻結(jié)構(gòu)既發(fā)揮應(yīng)有的功能和作用，又不會(huì)影響局部和整體網(wǎng)絡(luò)的性能，是擺在面前的問(wèn)題。2008年5月，我作為單位防火墻網(wǎng)絡(luò)安全方案的主要技術(shù)負(fù)責(zé)人，設(shè)計(jì)和實(shí)施了單位的防火墻網(wǎng)絡(luò)安全方案。企業(yè)信息安全的現(xiàn)狀分析企業(yè)原有的網(wǎng)絡(luò)結(jié)構(gòu)如下：說(shuō)明：企業(yè)有兩個(gè)內(nèi)部信息網(wǎng)絡(luò)，一個(gè)為辦公網(wǎng)、另外一個(gè)為內(nèi)部生產(chǎn)網(wǎng)。 網(wǎng)絡(luò)設(shè)備包括包括一個(gè)核心三層交換機(jī)和一些二層接入層交換機(jī) 針對(duì)以上的網(wǎng)
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1