建置安全的網(wǎng)路環(huán)境(編輯修改稿)
2025-03-28 23:11 本頁面
【文章內(nèi)容簡(jiǎn)介】 壞與風(fēng)險(xiǎn)阻絕於防火牆之外。 故不論是管理的目的或是安全的目的，妥善的網(wǎng)路規(guī)劃與防火牆的架設(shè)才能達(dá)到事半功倍的效果，也才能符合每一個(gè)企業(yè)網(wǎng)路的需求與期望。 網(wǎng)路的弱點(diǎn) 防火牆網(wǎng)路規(guī)劃 防火牆的網(wǎng)路架設(shè)是有彈性而非一成不變的，是可以根據(jù)每個(gè)企業(yè)的特性與安全政策來建置這樣的網(wǎng)路檢查哨，我們以 下 圖來加以說明： 在圖 中的例子，防火牆是採(cǎi)用三片網(wǎng)路卡的架構(gòu)，這樣的運(yùn)用之下將網(wǎng)路區(qū)隔成了三個(gè)網(wǎng)段： ： 為防火牆與Router之間的網(wǎng)段 ： 俗稱的 DMZ網(wǎng)段 ： 一般辦公區(qū)域的Intra網(wǎng)段 就整體來說，防火牆是在企業(yè)內(nèi)部網(wǎng)路與網(wǎng)際網(wǎng)路之間形成一個(gè)咽喉點(diǎn) (Choke Point)， 來達(dá)到落實(shí)安全政策的目的，因此防火牆的位置就落在與 Router同處一地的 S1網(wǎng)段，並藉由防火牆的分割，將 S2與S3網(wǎng)段獨(dú)立於防火牆的保護(hù)之內(nèi)。 再來看看 S2網(wǎng)段，此網(wǎng)段一般稱之為 DMZ (DeMilitarize Zone)， 這個(gè)非軍事區(qū)的原意本來是為了要區(qū)隔提供公眾服務(wù)的伺服器與 Intra網(wǎng)段之用。因?yàn)槿羰前烟峁?Mail、 Web Services等 Servers放在與 Intra同一網(wǎng)段內(nèi)，則第一個(gè)可能會(huì)由於 Web Site的 Hit Rate太高或 Mail Server使用率很頻繁，造成 Intra整個(gè)網(wǎng)路的擁塞，影響到一般使用者的正常工作。第二則是安全的考量，假如將 Web、 Mail Servers與 Intra架設(shè)在一起，由於是提供公眾服務(wù)的性質(zhì)，因此所顯現(xiàn)出來的 弱點(diǎn)或許就會(huì)比較多一些。若是其中一臺(tái) Server被駭客入侵，那麼這名駭客就有可能透過被入侵的 Server在 Intra裡來去自如，橫行無阻。所以將這類公眾服務(wù)的伺服器與 Intra區(qū)分開來，就可避免 Intra的寶貴資料受到危害。 防火牆與網(wǎng)路架構(gòu) 但是在彈性規(guī)劃的考量下，我們並不一定要局限在 DMZ 這個(gè)名詞的泥淖中。如圖中所示，假如我們有一個(gè)重要的資料庫需要保護(hù)，若是將此資料庫與 Intra擺在同一個(gè)網(wǎng)段中，那麼能保障資料庫裡的資料安全就只有這臺(tái)機(jī)器本身的使用者名稱與密碼而已，這樣的防衛(wèi)是非常薄弱的，如果有人探聽或是用密碼破解工具解析出某使用者在該資料庫的密碼，那麼他對(duì)這臺(tái)伺服器豈不是可以長(zhǎng)驅(qū)直入了嗎？所以若是能把該機(jī)器放置在 S2網(wǎng)段裡，除了本身既有的認(rèn)證機(jī)制外，又多了防火牆的過濾與控管，使得不是人人都可以輕易地靠近它，這樣的雙重保障下更能符合企業(yè)的安全需求。 網(wǎng)路區(qū)段 另外一種常見的網(wǎng)路架構(gòu)如 下 圖： 由於網(wǎng)路的快速有效率，許多企業(yè)已逐漸採(cǎi)用圖 中 的架構(gòu)，將企業(yè)集團(tuán)的每一份子納入了網(wǎng)網(wǎng)相扣的網(wǎng)路世界中，藉以提高工作效率，促進(jìn)資訊快速流通。但是隨之而來的也是一連串管理與安全的問題。圖中防火牆將企業(yè)網(wǎng)路分割成 S1與 S2兩個(gè)網(wǎng)段，其中 R1所擺的位置
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1