【文章內(nèi)容簡介】 Z 區(qū)的網(wǎng)絡(luò)結(jié)構(gòu)有待商榷– 中間業(yè)務(wù)區(qū)的安全防護層次有待強化圖 網(wǎng)絡(luò)安全問題標示圖從網(wǎng)絡(luò)安全技術(shù)角度來看，銀行網(wǎng)絡(luò)部署了相應(yīng)的防火墻、IDS/IPS、防病毒等，具備一定的安全技術(shù)水平，但是在技術(shù)部署方面，存在一定的優(yōu)化空間，部分網(wǎng)絡(luò)安全技術(shù)部署存在一定技術(shù)性缺陷，例如 DMZ 區(qū)的 IDP 設(shè)備，存在單故障節(jié)點的問題。部分安全技術(shù)的部署策略存在不盡合理的問題，例如在核心設(shè)備（C6509）上部署了 378 條訪問控制列表（ACL） ，其中很多策略是基于單體的主機地址，造成管理上的困難，也造成了網(wǎng)絡(luò)通訊性能的下降。部分安全邊界的設(shè)定有待商榷，例如在抽樣的接入層交換機上部署了 ACL 用于控制用戶網(wǎng)段之間的訪問控制，另此類接入設(shè)備的部署點選擇不盡合理。DMZ 區(qū)的安全技術(shù)部署可以考慮進行適當(dāng)?shù)恼希院喕芾怼?存在問題本節(jié)主要從前面在網(wǎng)絡(luò)中所劃分的區(qū)域來闡述網(wǎng)絡(luò)中存在的問題。分別從核心業(yè)務(wù)區(qū)、辦公業(yè)務(wù)區(qū)、中間業(yè)務(wù)區(qū)、網(wǎng)絡(luò)外聯(lián)區(qū)這四個區(qū)域說明網(wǎng)絡(luò)中存在的種種問題。 網(wǎng)絡(luò)核心區(qū)主要存在的問題在如此嚴格的網(wǎng)絡(luò)現(xiàn)狀調(diào)查中，我們可以看出網(wǎng)絡(luò)核心區(qū)的設(shè)備資源配置欠佳，服務(wù)器區(qū)分網(wǎng)段過多，核心區(qū)設(shè)備互聯(lián)架構(gòu)略顯復(fù)雜。EX3200 設(shè)備是固定配置的高性能獨立交換機，具備 L3 交換功能，產(chǎn)品主要定位是適用于分支辦事處、遠程辦事處和園區(qū)網(wǎng)絡(luò)中的接入層部署，在擴展性和可靠性方面并不是最佳的核心交換設(shè)備的選擇。而做為關(guān)鍵業(yè)務(wù)系統(tǒng)接入的交換機 Cisco 6509，在性能方面又存在資源過剩的問題， 陜西理工學(xué)院畢業(yè)設(shè)計 第 7 頁 共 38 頁Cisco 6509 產(chǎn)品的定位是承擔(dān)企業(yè)網(wǎng)絡(luò)核心的任務(wù)；另外，從接口成本角度來看， Cisco6509 的每端口平均成本是明顯高于普通接入交換機。銀川市網(wǎng)點和各個市縣聯(lián)社網(wǎng)點的匯聚路由器分別通過不同設(shè)備接入到網(wǎng)絡(luò)，在管理上增加了管理難度，技術(shù)上也會導(dǎo)致路由相對復(fù)雜?？傂袪I業(yè)部通過總行辦公網(wǎng)接入網(wǎng)絡(luò)，導(dǎo)致網(wǎng)絡(luò)架構(gòu)不統(tǒng)一，造成管理上和安全上潛在問題。核心業(yè)務(wù)區(qū)服務(wù)器劃分網(wǎng)段過多，增加了網(wǎng)絡(luò)管理復(fù)雜度，同時，也給網(wǎng)絡(luò)安全策略部署帶來一定的困難。核心區(qū)設(shè)備互聯(lián)架構(gòu)略顯復(fù)雜，技術(shù)實現(xiàn)存在可優(yōu)化空間。當(dāng)前的核心區(qū)網(wǎng)絡(luò)設(shè)備互聯(lián)架構(gòu)往往是全網(wǎng)狀(full mesh)互聯(lián)，此類架構(gòu)路由冗余度高，并且存在路由相對復(fù)雜的問題，對于路由的穩(wěn)定性和收斂性都存在潛在的影響（圖 a） 。從大型數(shù)據(jù)中心建設(shè)經(jīng)驗來看（特別是金融行業(yè)實踐經(jīng)驗）來看，簡化的“口子型”結(jié)構(gòu)是比較成熟地、可靠地、平衡投資與冗余度的模式（圖 b） 。 （a） (b)圖 網(wǎng)絡(luò)冗余示意圖銀行廣域網(wǎng)目前還在大量使用運營商專線（LeasedLine）業(yè)務(wù)，專線業(yè)務(wù)由于是獨占電路，因而存在帶寬小、成本高的問題。目前，在數(shù)據(jù)服務(wù)市場，新興的 MSTP（MultiService Transfer Platform）技術(shù)。由于在服務(wù)側(cè)采用基于 SDH 平臺同時實現(xiàn) TDM、ATM、以太網(wǎng)等業(yè)務(wù)的接入、處理和傳送，從而實現(xiàn)了資源統(tǒng)計復(fù)用的能力，因而成本更低，帶寬更大，也是目前金融行業(yè)在網(wǎng)點覆蓋方面所主要考慮的廣域網(wǎng)接入技術(shù)。銀行可以考慮在適當(dāng)?shù)臅r間進行通信鏈路的升級，一方面降低整體運行成本，另外也為今后的業(yè)務(wù)拓展提供更充裕的鏈路資源。 辦公業(yè)務(wù)區(qū)主要存在的問題辦公業(yè)務(wù)區(qū)的只要存在的問題體現(xiàn)在 OA 及管理系統(tǒng)區(qū)服務(wù)器缺少網(wǎng)路安全防護，直接面向客戶端，存在安全隱患。辦公區(qū)接入用戶分為 2 組：行內(nèi)辦公人員（約 100+人） 。行外系統(tǒng)開發(fā)人員（約 100+人） ，行外開發(fā)人員需要遠程訪問開發(fā)測試區(qū)服務(wù)器進行開發(fā)測試工作。這 2 類用戶需要進行適度的隔離，且對于外部開發(fā)人員對于網(wǎng)絡(luò)的訪問，需要進行高強度的控制?？傂修k公區(qū)接入?yún)^(qū)內(nèi)既有總行辦公人員接入，又有總行營業(yè)部接入，造成網(wǎng)絡(luò)結(jié)構(gòu)的模糊，不利于管理，也存在一定安全隱患。另外，辦公業(yè)務(wù)區(qū)網(wǎng)絡(luò)的匯聚設(shè)備存在一些設(shè)備或技術(shù)問題，導(dǎo)致辦公業(yè)務(wù)區(qū)的網(wǎng)絡(luò)接入不具備冗余接入能力，網(wǎng)絡(luò)穩(wěn)定性存在潛在隱患。 中間業(yè)務(wù)區(qū)主要存在的問題中間業(yè)務(wù)區(qū)主要存在的問題是中間業(yè)務(wù)區(qū) PIX 防火墻設(shè)備端口不足（每設(shè)備只有 4 個端口） ，在處理眾多復(fù)雜的中間業(yè)務(wù)需求時，由于資源限制，導(dǎo)致網(wǎng)絡(luò)靈活性欠佳。中間業(yè)務(wù)區(qū)的冗余結(jié)構(gòu)，也存在類似與核心區(qū)網(wǎng)絡(luò)的全網(wǎng)狀(full mesh)結(jié)構(gòu)與“ 口字型”結(jié)構(gòu)的對比問題。與農(nóng)信銀的網(wǎng)絡(luò)連接除了在中間業(yè)務(wù)區(qū)連接外，在聯(lián)社匯聚路由器上還有 1 條連接農(nóng)信銀的鏈路，此鏈路日常做為與農(nóng)信銀之間的數(shù)據(jù)存儲通信鏈路，在緊急情況下，考慮做為與農(nóng)信銀之間的冗余備份鏈路，此備份鏈路的效能值得商榷，另由于農(nóng)信銀備份鏈路連接到聯(lián)社匯聚路由器，造成網(wǎng)絡(luò)結(jié)構(gòu)的模糊，帶來潛在的管理和安全方面的問題。 Inter 外聯(lián)區(qū)主要存在的問題陜西理工學(xué)院畢業(yè)設(shè)計 第 8 頁 共 38 頁Inter 網(wǎng)絡(luò)外聯(lián)主要存在的問題是 Inter 接入?yún)^(qū)網(wǎng)絡(luò)架構(gòu)相對復(fù)雜，不易管理。由于DMZ 區(qū)架構(gòu)，造成內(nèi)網(wǎng)訪問 DMZ 區(qū)數(shù)據(jù)流路徑不盡合理。DMZ 區(qū)的 IDS 設(shè)備在部署架構(gòu)上不盡合理，導(dǎo)致存在單點故障的缺陷。DMZ 區(qū)的設(shè)備資源可以考慮進行適當(dāng)調(diào)整，以簡化結(jié)構(gòu)，以利于管理。陜西理工學(xué)院畢業(yè)設(shè)計 第 9 頁 共 38 頁3 新網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)設(shè)計分析新的網(wǎng)絡(luò)構(gòu)架是將現(xiàn)狀調(diào)研和需求分析作為輸入，結(jié)合實踐和規(guī)范做出符合網(wǎng)絡(luò)規(guī)范和業(yè)務(wù)需求做出來的網(wǎng)絡(luò)構(gòu)架。 網(wǎng)絡(luò)構(gòu)架總覽基于銀行網(wǎng)絡(luò)現(xiàn)狀，從控制風(fēng)險的角度考慮，對于原網(wǎng)絡(luò)規(guī)劃做出適當(dāng)簡化調(diào)整，以利于后續(xù)的項目的平穩(wěn)過渡，后續(xù)銀行將逐步向未來目標架構(gòu)演進?；趪鴥?nèi)外金融行業(yè) IT 發(fā)展實踐經(jīng)驗，未來的銀行網(wǎng)絡(luò)將是面向服務(wù)的架構(gòu)，強調(diào)快速的業(yè)務(wù)響應(yīng)和業(yè)務(wù)的高可用設(shè)計，實現(xiàn)資源共享，著力于端到端的業(yè)務(wù)支持能力，以提升 IT 的服務(wù)能力。因此對銀行的網(wǎng)絡(luò)作如下設(shè)計。主數(shù)據(jù)中心網(wǎng)絡(luò)功能區(qū)規(guī)劃，如圖 所示，主要是根據(jù)模塊化的設(shè)計方法, 將網(wǎng)絡(luò)功能模塊化搭建。將 SOA 和數(shù)據(jù)中心作為核心的設(shè)計理念，構(gòu)建高性能、高擴展性的三層交換核心區(qū)，并通過數(shù)據(jù)中心核心交換區(qū)將不同網(wǎng)絡(luò)功能區(qū)連接為一個整體。按照功能需求、邏輯分層，并考慮安全域劃分細化各功能區(qū)的功能服務(wù)。原規(guī)劃中的業(yè)務(wù)服務(wù)區(qū)和渠道服務(wù)區(qū)將共用安全服務(wù)設(shè)備，但分別使用獨立的匯聚設(shè)備。簡化互聯(lián)網(wǎng)接入設(shè)計，不設(shè)置面向內(nèi)部用戶的辦公互聯(lián)網(wǎng)訪問服務(wù)，將業(yè)務(wù)互聯(lián)網(wǎng)服務(wù)區(qū)與辦公互聯(lián)網(wǎng)服務(wù)區(qū)合并。暫不考慮負載均衡、SSLOffload、Web 防火墻等安全服務(wù)，留待后續(xù)項目逐步建設(shè)。在局域網(wǎng) LAN 接入?yún)^(qū)內(nèi)增加公共服務(wù)子區(qū)，將防病毒等一般性公共服務(wù)類服務(wù)器從辦公服務(wù)區(qū)剝離出來，公共服務(wù)區(qū)通過 LAN 接入?yún)^(qū)的匯聚交換機接入，必要時可考慮通過 ACL 進行適當(dāng)?shù)脑L問控制。圖 主數(shù)據(jù)中心網(wǎng)絡(luò)功能區(qū)規(guī)劃圖依據(jù)雙中心互備模式的策略, 同城災(zāi)備中心將建設(shè)和主中心功能和邏輯基本一致的數(shù)據(jù)中心網(wǎng)絡(luò)，但在功能區(qū)配置以及網(wǎng)絡(luò)接入規(guī)模、性能方面，可以考慮做出適當(dāng)裁剪，以平衡投資成本與效益。陜西理工學(xué)院畢業(yè)設(shè)計 第 10 頁 共 38 頁同城災(zāi)備中心架構(gòu)設(shè)計內(nèi)容如圖 。同城災(zāi)備中心只保留基本的生產(chǎn)和辦公服務(wù)以及存儲設(shè)備的數(shù)據(jù)同步服務(wù)?？紤]到同城災(zāi)備中心場地系租用運營商環(huán)境，因此不設(shè)置運維管理區(qū)和帶外管理，所有設(shè)備的監(jiān)控管理由數(shù)據(jù)中心的網(wǎng)管平臺集中實施。同城災(zāi)備中心不設(shè)置面向內(nèi)部用戶移動辦公的 VPN 接入服務(wù)，因此，在同城災(zāi)備中心取消業(yè)務(wù)互聯(lián)網(wǎng)區(qū)。同城災(zāi)備中心基本定位于“無人值守”狀態(tài)，因此不設(shè)置用戶接入服務(wù)。圖 同城災(zāi)備數(shù)據(jù)中心網(wǎng)絡(luò)功能區(qū)規(guī)劃整體網(wǎng)絡(luò)構(gòu)架已完成設(shè)計，然后詳細的分解網(wǎng)絡(luò)構(gòu)架，將每一個區(qū)域的網(wǎng)絡(luò)逐步完善。 網(wǎng)絡(luò)功能區(qū)拓撲結(jié)構(gòu)網(wǎng)絡(luò)功能區(qū)拓撲結(jié)構(gòu)是按照功能區(qū)域分開介紹的。分別從核心、業(yè)務(wù)、辦公、外聯(lián)、業(yè)務(wù)互聯(lián)、運維等區(qū)域介紹了各自的網(wǎng)絡(luò)結(jié)構(gòu)。 核心交換及廣域網(wǎng)接入核心網(wǎng)絡(luò)是整個網(wǎng)絡(luò)中的龍骨，所以核心網(wǎng)絡(luò)的設(shè)計必須有足夠的性能，及擴展能力。如圖 所示就是核心網(wǎng)絡(luò)拓撲架構(gòu)。主數(shù)據(jù)中心核心交換機為雙機冗余部署，同城災(zāi)備中心核心交換機為單節(jié)點設(shè)計，核心交換機之間全網(wǎng)狀互連。主備數(shù)據(jù)中心之間雙鏈路連接，1 條線路為DWDM（Dense Wavelength Division Multiplexing，密集型光波復(fù)用） ，另 1 條 MSTP 線路做為備份。廣域網(wǎng)接入?yún)^(qū)部署匯聚交換機，整合廣域網(wǎng)區(qū)路由及鏈路，以便于管理和維護，同時廣域網(wǎng)區(qū)匯聚交換機也做為未來以 MSTP（Mutiservice TransmitPlatform）線路接入到數(shù)據(jù)中心的廣域網(wǎng)匯聚設(shè)備，例如連接總行、同城機構(gòu)、網(wǎng)點（MSTP 線路接入） 。同城匯聚接入路由器用于為同城的離行式自助設(shè)備（ATM、POS、自助服務(wù)終端等）的廣域網(wǎng)接入。主數(shù)據(jù)中心、災(zāi)備數(shù)據(jù)中心的廣域網(wǎng)接入?yún)^(qū)架構(gòu)相同（災(zāi)備中心不設(shè)同城匯聚接入路由器，待未來有需求時再行考慮建設(shè)） 。可用性設(shè)計：考慮廣域網(wǎng)區(qū)匯聚交換機與核心交換機之間的鏈路、設(shè)備的冗余，保證網(wǎng)絡(luò)架構(gòu)的高可用（災(zāi)備中心不考慮冗余） 。數(shù)據(jù)中心廣域網(wǎng)區(qū)接入路由器雙鏈路連接到匯聚交換機。廣域網(wǎng)遠端節(jié)點雙鏈路分別連接主備數(shù)據(jù)中心，日?？梢圆渴鸩呗月酚蓪崿F(xiàn)生產(chǎn)、辦公的數(shù)據(jù)流分流，以提高帶寬利用率。陜西理工學(xué)院畢業(yè)設(shè)計 第 11 頁 共 38 頁圖 網(wǎng)絡(luò)中心網(wǎng)絡(luò)最終拓撲 業(yè)務(wù)服務(wù)區(qū)業(yè)務(wù)服務(wù)區(qū)網(wǎng)絡(luò), 是支持銀行業(yè)務(wù)服務(wù)資源的重要網(wǎng)絡(luò)功能區(qū)，分別支持核心柜面業(yè)務(wù)類、業(yè)務(wù)處理類和辦公管理類等的主要應(yīng)用服務(wù)器的接入。網(wǎng)絡(luò)拓撲圖如圖 ：區(qū)域內(nèi)分層設(shè)計：安全保護層、區(qū)域匯聚層和區(qū)域接入層。安全保護層：在業(yè)務(wù)服務(wù)器接入與網(wǎng)絡(luò)核心交換之間定義安全邊界，部署防火墻，保護功能區(qū)內(nèi)部的服務(wù)資源，設(shè)置訪問控制。防火墻串接在網(wǎng)絡(luò)核心與區(qū)域匯聚設(shè)備之間，為服務(wù)器提供安全防護，防火墻需要建立失效應(yīng)急機制，例如在網(wǎng)絡(luò)核心設(shè)備與區(qū)域匯聚設(shè)備之間設(shè)置浮動靜態(tài)路由，互指到互連接口（日常情況下 shutdown） ，優(yōu)先級高于指向防火墻的靜態(tài)路由，在防火墻緊急故障時激活互連接口，從而旁路防火墻，提供服務(wù)緊急恢復(fù)功能。安全保護層，作為業(yè)務(wù)服務(wù)出口，以 Layer3 方式連接到核心區(qū)。區(qū)域接入層：區(qū)域內(nèi)匯聚層和接入層合并為匯聚接入層，設(shè)備為服務(wù)器接入提供網(wǎng)關(guān)和網(wǎng)絡(luò)物理接入服務(wù)，作為 Layer3 Layer2 之間邊界，實現(xiàn)功能區(qū)內(nèi) Vlan 間路由和相應(yīng)的區(qū)域內(nèi)訪問控制點。冗余架構(gòu)，滿足高可用性要求。災(zāi)備中心業(yè)務(wù)服務(wù)區(qū)不考慮冗余設(shè)計，如圖 為同城災(zāi)備中心業(yè)務(wù)服務(wù)區(qū)拓撲圖。陜西理工學(xué)院畢業(yè)設(shè)計 第 12 頁 共 38 頁圖 業(yè)務(wù)服務(wù)區(qū)網(wǎng)絡(luò)拓撲圖圖 災(zāi)備中心業(yè)務(wù)服務(wù)區(qū)拓撲圖 辦公服務(wù)區(qū)辦公互聯(lián)網(wǎng)區(qū)承擔(dān)著實現(xiàn)內(nèi)部用戶訪問 Inter、對外提供公眾服務(wù)、內(nèi)部移動辦公用戶接入以及遠程維護接入等功能。辦公服務(wù)區(qū)網(wǎng)絡(luò)區(qū)域內(nèi)分層設(shè)計，如圖 ：安全保護層、區(qū)域匯聚層和區(qū)域接入層安全保護層：在業(yè)務(wù)服務(wù)器接入與網(wǎng)絡(luò)核心交換之間定義安全邊界，部署防火墻，保護功能區(qū)內(nèi)部的服務(wù)資源，設(shè)置訪問控制。防火墻串接在網(wǎng)絡(luò)核心與區(qū)域匯聚設(shè)備之間，為服務(wù)器提供安全防護，防火墻需要建立失效應(yīng)急機制，例如在網(wǎng)絡(luò)核心設(shè)備與區(qū)域匯聚設(shè)備之間設(shè)置浮動靜態(tài)路由，互指到互連接口（日常情況下 shutdown） ，優(yōu)先級高于指向防火墻的靜態(tài)路由，在防火墻緊急故障時激活互連接口，從而旁路防火墻，提供服務(wù)緊急恢復(fù)功能。安全保護層，作為業(yè)務(wù)服務(wù)出口，以Layer3 方式連接到核心區(qū)。區(qū)域接入層：區(qū)域內(nèi)匯聚層和接入層合并為匯聚接入層，設(shè)備為服務(wù)器接入提供網(wǎng)關(guān)和網(wǎng)絡(luò)物理接入服務(wù)，作為 Layer3 Layer2 之間邊界，實現(xiàn)功能區(qū)內(nèi) Vlan 間路由和相應(yīng)的區(qū)域內(nèi)訪問控制點。冗余架構(gòu)，滿足高可用性要求。災(zāi)備中心辦公服務(wù)區(qū)不考慮冗余設(shè)計。陜西理工學(xué)院畢業(yè)設(shè)計 第 13 頁 共 38 頁圖 辦公服務(wù)區(qū)網(wǎng)絡(luò)拓撲圖 外聯(lián)服務(wù)區(qū)外聯(lián)服務(wù)區(qū)提供銀行與外部監(jiān)管機構(gòu)、協(xié)作機構(gòu)的網(wǎng)絡(luò)接入和應(yīng)用接入，以及外聯(lián)類業(yè)務(wù)前置服務(wù)器的接入。數(shù)據(jù)中心外聯(lián)服務(wù)區(qū)拓撲如圖 ，使用防火墻構(gòu)造半安全區(qū)(DMZ)，分隔非安全區(qū)和安全區(qū)，在半安全區(qū)(DMZ)，部署需要和外部單位交互的前置服務(wù)器等。防火墻控制合作伙伴只能訪問半安全區(qū)(DMZ)內(nèi)的前置服務(wù)器，再經(jīng)由前置服務(wù)區(qū)發(fā)起對內(nèi)部服務(wù)器的訪問，而外部機構(gòu)不能直接訪問內(nèi)部服務(wù)器。地址轉(zhuǎn)換策略：針對數(shù)據(jù)中心從內(nèi)到外的訪問，外聯(lián)單位指定分配的IP 地址，在防火墻上轉(zhuǎn)成對方提供的 IP。針對數(shù)據(jù)中心從外到內(nèi)的訪問，外聯(lián)單位提供的 IP 地址與數(shù)據(jù)中心內(nèi)部地址沖突，在外聯(lián)路由器上轉(zhuǎn)成銀行規(guī)劃的外聯(lián)地址，外聯(lián)單位需要直接訪問數(shù)據(jù)中心內(nèi)部業(yè)務(wù)區(qū)服務(wù)器，需要在外聯(lián)區(qū)防火墻，將外聯(lián)單位的源地址轉(zhuǎn)換成規(guī)劃好的內(nèi)部地址。災(zāi)備中心外聯(lián)服務(wù)區(qū)不考慮冗余設(shè)計。圖 數(shù)據(jù)中心外聯(lián)服務(wù)區(qū)拓撲圖陜西理工學(xué)院畢業(yè)設(shè)計 第 14 頁 共 38 頁 業(yè)務(wù)互聯(lián)網(wǎng)區(qū)業(yè)務(wù)互聯(lián)網(wǎng)區(qū)提供網(wǎng)銀、企業(yè) WEB 網(wǎng)站等通過互聯(lián)網(wǎng)提供業(yè)務(wù)服務(wù)的服務(wù)器接入和互聯(lián)網(wǎng)接入，架構(gòu)規(guī)劃參照人民銀行相關(guān)要求，并參考業(yè)界實踐，主要關(guān)注高可用性、安全性的需求。如圖 所示數(shù)據(jù)中心業(yè)務(wù)互聯(lián)區(qū)拓撲圖。對業(yè)務(wù)互聯(lián)區(qū)從兩個方面描述：功能部署：對基于互聯(lián)網(wǎng)提供業(yè)務(wù)服務(wù)的服務(wù)器提供網(wǎng)絡(luò)接入。在業(yè)務(wù)互聯(lián)網(wǎng)區(qū)可考慮部署入侵檢測等服務(wù)。根據(jù)安全分區(qū)的需要，作為非安全區(qū)的業(yè)務(wù)互聯(lián)網(wǎng)區(qū)在訪問內(nèi)部核心安全區(qū)和安全區(qū)時，需要通過防火墻（內(nèi)層）進行保護性隔離；在業(yè)務(wù)互聯(lián)區(qū)接入到互聯(lián)網(wǎng)之前，提供防火墻（外層）保護，這種雙層防火墻架構(gòu)可以提供更好的安全性能，同時也利于安全策略的部署，內(nèi)外層防火墻建議采用不同品牌產(chǎn)品（異構(gòu)） ，以提高入侵成本，進一步增強安全性。服務(wù)