【導讀】貴州南方智軟科技有限公司。二〇二〇年十二月三日。南方智軟XXXX招標公司招標系統(tǒng)建設規(guī)劃方案書

　　

【正文】 、分級管理”的 VPN 網(wǎng)絡管理方案： 統(tǒng)一認證：天融信 VPN 全系列產(chǎn)品（包括網(wǎng)關和軟件包）均支持目前最安全的身份認證方式――數(shù)字電子證書認證，采用 1024bits 密鑰 的 RSA 算法進行數(shù)字證書簽名，數(shù)字證書的發(fā)放、認證過程由“天融信 VPN 安全管理中心”軟件完成；在 XXXX 招標公司 部署“天融信 VPN 安全管理中心”，負責對全網(wǎng) VPN 網(wǎng)絡的入網(wǎng)設備發(fā)放數(shù)字證書，只有擁有合法數(shù)字證書并通過 VPN 安全管理中心認證的 VPN 設備才能接入集團VPN 網(wǎng)絡。 集中監(jiān)控：通過“天融信 VPN 安全管理中心”軟件，可以對整個集團 VPN 網(wǎng)絡中部署的天融信 VPN 產(chǎn)品（包括硬件和軟件）完成實時在線狀態(tài)監(jiān)控，可以及時、清楚的獲取當前在線 VPN 設備的各種狀態(tài)參數(shù)；同時天融信 VPN 網(wǎng)關產(chǎn)品均具有安全的遠程管理的 功能，無論該設備以何種方式接入 XXXX 招標公司 VPN 虛擬網(wǎng)，都可以對其進行遠程配置，因此當通過狀態(tài)查看發(fā)現(xiàn)某個網(wǎng)關設備工作不正常時，中心管理員可以及時遠程修改該設備的各種配置參數(shù)，以保證整個 VPN 系統(tǒng)的運轉正常。 分級管理：天融信 VPN 系列產(chǎn)品（包括網(wǎng)關和軟件包）在安全管理上一個重要的特性是，所有的 VPN 隧道配置都在“安全策略服務器”上進行設置，各種天融信 VPN設備接入因特網(wǎng)后都會從指定的“安全策略服務器”處下載與自己相關的 VPN 隧道配置信息，然后再根據(jù)配置信息與其它設備建立 VPN 隧道；安全策略服務器被內置 在天融信 VPN 硬件網(wǎng)關設備上，通過圖形界面的“安全策略編輯器”對安全策略服務器上的 VPN 策略進行編輯；在 XXXX 招標公司 的 VPN 網(wǎng)絡中可以啟用多級安全策略服務南方智軟 XXXX 招標公司 招標系統(tǒng) 建設規(guī)劃方案書 25 器， XXXX 招標公司 的 VPN 策略由管理員負責編輯維護，其只負責配置直接與 XXXX招標公司 有數(shù)據(jù)通訊關系的 VPN 隧道；在這種管理模式下，大大減輕了 XXXX 招標公司 網(wǎng)絡管理人員的工作強度，提高整個 VPN 網(wǎng)絡的可伸縮性。 支持動態(tài)帶寬管理功能 VPN 網(wǎng)關設備作為企業(yè)內部網(wǎng)絡與因特網(wǎng)的互聯(lián)設備，通常需要完成兩個主要功能： 代理內部網(wǎng)絡用戶訪問因特網(wǎng)； 隧道封裝內部網(wǎng)絡用戶訪問遠端內部網(wǎng)主機的數(shù)據(jù)流。 因此合理分配有限的因特網(wǎng)接入帶寬資源，確保內部的業(yè)務數(shù)據(jù)流快速實時地進行傳輸是 VPN 網(wǎng)關設備必不可少的一項功能。 天融信 VPN 網(wǎng)關系列產(chǎn)品均提供精確的動態(tài)帶寬管理功能。其可根據(jù)因特網(wǎng)接入的總帶寬，定量的控制因特網(wǎng)瀏覽和企業(yè) VPN 數(shù)據(jù)流所占用的帶寬比例；而且可以對上述兩種類型的數(shù)據(jù)流進行更為細致的劃分，例如：可以控制 VPN 數(shù)據(jù)流中流向 XXXX招標公司 的帶寬比例；另外天融信 VPN 網(wǎng)關對帶寬控制采用了自適應的動態(tài)管理策略，例如：當 VPN 數(shù)據(jù)流不大時，因特網(wǎng)瀏覽數(shù) 據(jù)可以自動借用剩余的 VPN 數(shù)據(jù)帶寬，動VPN 數(shù)據(jù)流加大時，因特網(wǎng)瀏覽數(shù)據(jù)又會自動讓出占用的 VPN 數(shù)據(jù)帶寬，從而即可以確保 VPN 數(shù)據(jù)的通訊質量，又不會造成不必要的帶寬資源浪費。 提供豐富的冗余備份方案 天融信 VPN 網(wǎng)關提供兩種冗余備份解決方案，為保證 VPN 網(wǎng)絡的穩(wěn)定性提供了強有力的工具。具體方案如下： 雙機單線路主從備份 在這種方案中，正常情況下僅有工作機進行工作，備份機處于熱等待狀態(tài)，并使用心跳信號實時偵聽工作機的運轉狀態(tài)；當工作機出現(xiàn)故障時，備份機自動接替工作機的工作，完成 VPN 隧道的加解密和 數(shù)據(jù)隧道封裝工作；當工作機恢復正常后，備份重新進入熱等待狀態(tài)。 南方智軟 XXXX 招標公司 招標系統(tǒng) 建設規(guī)劃方案書 26 雙機雙線路鏡像備份 在這種方案中兩臺 VPN 設備均為工作狀態(tài)，而且各種配置信息完全自動鏡像，數(shù)據(jù)流選擇主線路還是備份線路是由路由器的 HSRP備份協(xié)議自動協(xié)商完成的。 同時，天融信 VPN 軟件網(wǎng)關作為極低成本的備份方案，更是受到了廣大客戶的青睞 . 多線路捆綁和隧道級負載均衡？ 多線路捆綁是將多條出口線路（通常指 ADSL 線路）連至同一臺 VPN 設備，以提高出口帶寬。如果多出口帶寬僅僅用于提高內部主機上網(wǎng)瀏覽速度，那么這是一個純粹的網(wǎng)絡通訊技術 ，和 VPN 沒有太大關系。天融信 VPN 網(wǎng)關實現(xiàn)了多線路接入情況下隧道級的負載均衡。上網(wǎng)數(shù)據(jù)流和 VPN 隧道數(shù)據(jù)流都可以享受多線路帶來的高帶寬和高冗余性的好處。天融信 VPN 網(wǎng)關可以支持 4 條線路的捆綁和負載均衡，這取決于硬件網(wǎng)關的物理網(wǎng)口數(shù)。 提供功能強大的 VPN 軟件包 作為完整的 VPN 解決方案，提供支持移動辦公用戶遠程訪問 VPN 系統(tǒng)的客戶端軟件包是必不可少的。 工作在應用層的 VPN 客戶端軟件包 作為完整的 VPN 解決方案，支持移動辦公用戶遠程訪問 XXXX 招標公司 內網(wǎng)的VPN 客戶端軟件包是必不可少 的。但現(xiàn)在絕大多數(shù)的 VPN 客戶端軟件都需要在操作系統(tǒng)內核中嵌入一個龐大的墊片，經(jīng)常導致與個人防火墻、防病毒等軟件的沖突。天融信VPN 客戶端軟件則采用獨有的非核心層 IPSec 實現(xiàn)方案，與其它桌面軟件的兼容性極佳。 天融信 VPN 客戶端軟件不但提供完整的 IPSec 協(xié)議實現(xiàn)，而且為移動用戶提供基于用戶名 /口令、證書、動態(tài)令牌卡等多種認證方式，支持與 MAC 地址等硬件特征碼綁定的安全措施，安裝配置簡單，其操作過程類似配置 windows 的撥號網(wǎng)絡，只需輸入南方智軟 XXXX 招標公司 招標系統(tǒng) 建設規(guī)劃方案書 27 接入網(wǎng)關地址、用戶名、口令即可。 2. 天融信解決方案的優(yōu)勢 天 融信 VPN 解決方案的優(yōu)勢包括： 1) 天融信 VPN 產(chǎn)品由于開發(fā)早，應用面廣，目前其市場占有率、客戶數(shù)目、在線工作的機器數(shù)量等領先于同類產(chǎn)品，產(chǎn)品成熟度和工程實施經(jīng)驗明顯居于前列。 2) 由于采用了切合實際的設計理念，其產(chǎn)品的結構合理性和網(wǎng)絡適應性得到有效保證。 3) 作為 VPN 類產(chǎn)品，它完整地通過了國家密碼管理委員會立項、安全審查、技術鑒定全過程。 4) 無縫支持 NAT 穿越（ NATT）。 5) 支持動態(tài)域名解析。 6) 支持星形、網(wǎng)狀互聯(lián)。 7) 完善的集中管理功能。 8) 提供功能強大的軟件安全包。 9) 完整的 QoS 功能。 10) 集成完善的防火墻功能。 網(wǎng)絡物理安全規(guī)劃概述 以 Inter 為代表的全球性信息化浪潮迅猛發(fā)展，信息網(wǎng)絡技術的應用正日益普及和廣泛，應用層次正在深入，應用領域也從傳統(tǒng)的、小型業(yè)務系統(tǒng)逐漸向大型、關鍵業(yè)務系統(tǒng)擴展，典型的如行政部門業(yè)務系統(tǒng)、金融業(yè)務系統(tǒng)、企業(yè)商務系統(tǒng)等。伴隨網(wǎng)絡的普及，越來越多的企業(yè)、個人通過互聯(lián)網(wǎng)進行重要數(shù)據(jù)的傳輸、商務活動的實現(xiàn)。因此網(wǎng)絡安全問題也更加關鍵和重要。因為在開放的 Inter 上有形形色色的人，他們的意圖也是多種多樣的。如何使網(wǎng)絡信息系統(tǒng)不受黑 客和工業(yè)間諜的入侵，已成為政府機構、企事業(yè)單位信息化健康發(fā)展所必需考慮和解決的重要問題。 XXXX 招標公司 計算機網(wǎng)絡網(wǎng)絡連接，它的作用是為 XXXX 招標公司 在決策工作中提供完整、準確、及時的各項數(shù)據(jù)和分析結果，是其決策科學化的重要工具和手段。因此在現(xiàn)在這樣一個信息化高速發(fā)展的世紀必須做好安全工作，包括網(wǎng)絡安全。 南方智軟 XXXX 招標公司 招標系統(tǒng) 建設規(guī)劃方案書 28 同時由于其廣域網(wǎng)跨越電信部門的公共網(wǎng)絡，而且在網(wǎng)上傳輸?shù)男畔⒖赡苡猩婷苄畔ⅲ云湫畔踩珕栴}，如敏感信息的泄露、黑客的侵擾、網(wǎng)絡資源的非法使用以及計算機病毒等都將對其構成安全威脅。為保證某網(wǎng)絡安全， 有必要對其網(wǎng)絡進行專門安全設計。 北京天融信網(wǎng)絡安全技術有限公司是我國最早專業(yè)從事因特網(wǎng)（ Inter）及計算機通信網(wǎng)絡信息安全研究、產(chǎn)品開發(fā)與系統(tǒng)集成的高新技術企業(yè)。天融信公司已成功開發(fā)出了防火墻系統(tǒng)、加密機（ VPN）系統(tǒng)及信息審計系統(tǒng)等網(wǎng)絡安全產(chǎn)品，并分別獲得了公安部、國家安全部、國家保密局、國家密碼管理委員會等國家安全主管部門的許可或認證，在國內的郵電、電子、教育、科研、國防等行業(yè)及國家政府部門、企事業(yè)單位得到廣泛應用，贏得了政府、社會和用戶的廣泛贊譽，為開創(chuàng)我國信息安全事業(yè)做出了積極貢獻。 趨勢 科技 — 防病毒及內容安全軟件服務領域的全球領導者。趨勢科技以卓越的前瞻和技術革新能力引領了從桌面防毒到網(wǎng)絡服務器和網(wǎng)關防毒的潮流。 Gartner Group 連續(xù)四年把趨勢科技評定為最具創(chuàng)新能力的防毒管理供應商。 IDC 數(shù)據(jù)表明，趨勢科技在全球服務器架構防毒解決方案居領導地位，在整體服務器防毒軟件市場、群組防毒軟件市場、網(wǎng)關防毒軟件市場的占有率均高居全球第一位。 網(wǎng)絡結構分析 XXXX 招標公司 網(wǎng)絡拓撲中，核心交換機接入與各個部門實現(xiàn)連接。局域網(wǎng)的結構是以路由器、以太網(wǎng)交換為核心，利用多層交換技術，實現(xiàn)桌面用戶以 10/100M 以太網(wǎng)連接接入的園區(qū)網(wǎng)。 XXXX 招標公司 的局域網(wǎng)，是一個高性能和可擴充的分層次式的網(wǎng)絡。 網(wǎng)絡風險分析 從風險分析和網(wǎng)絡分層方面考慮， XXXX 招標公司 在不同的網(wǎng)絡層次上面臨不同的風險，本方案重點闡述網(wǎng)絡層面臨的風險，涉及到網(wǎng)絡拓撲結構、網(wǎng)絡路由狀況及整個網(wǎng)絡環(huán)境等。數(shù)據(jù)安全備份面臨的風險，涉及到網(wǎng)絡數(shù)據(jù)的安全備份、網(wǎng)絡數(shù)據(jù)的異地存儲、數(shù)據(jù)的災難恢復、數(shù)據(jù)遠程調用的安全性以及實時性。 XXXX 招標公司 網(wǎng)絡直接連接互聯(lián)網(wǎng)?；诨ヂ?lián)網(wǎng)的開放性及網(wǎng)絡服務的復雜性，南方智軟 XXXX 招標公司 招標系統(tǒng) 建設規(guī)劃方案書 29 使得網(wǎng)絡系統(tǒng)經(jīng)常面臨一些互 聯(lián)網(wǎng)的無法預測的風險和缺陷。與內部網(wǎng)絡相連的一臺機器安全受損，就會同時影響在同一網(wǎng)絡上的許多其它系統(tǒng)。透過 Inter 連接，還會影響到連上 Inter 的其他機構的網(wǎng)絡；影響所及還可能涉及法律、金融等安全敏感領域。每天，黑客都在試圖闖入 Inter 節(jié)點，這些節(jié)點如果不保持警惕，可能連黑客怎么闖入的都不知道，甚至會成為黑客入侵其他站點的跳板。我們有必要將公開服務器同外網(wǎng)及內部網(wǎng)絡進行必要的隔離，避免網(wǎng)絡結構信息外泄；同時還要對外網(wǎng)的服務請求加以過濾，只允許正常通信的數(shù)據(jù)包到達相應主機，其它的請求服務 在到達主機之前就應該遭到拒絕；各分支機構在接入到時的安全保障，用戶的安全審計，使用權限的分級制管理等。 病毒防范系統(tǒng) 防病毒系統(tǒng)設計原則 整個系統(tǒng)的實施過程應保持流暢和平穩(wěn)，做到盡量不影響既有網(wǎng)絡系統(tǒng)的正常工作。 安裝在原有應用系統(tǒng)上的防毒產(chǎn)品必須保證其穩(wěn)定性，不影響其它應用的功能。在安裝過程中應盡量減少關閉和重啟整個系統(tǒng)。 防病毒系統(tǒng)的管理層次與結構應盡量符合企業(yè)自身的管理結構。 防病毒系統(tǒng)的升級和部署功能應做到完全自動化，整個系統(tǒng)應具有每日更新的能力。 應做到能夠對整個系 統(tǒng)進行集中的管理和監(jiān)控，并能集中生成日志報告與統(tǒng)計信息。 整體防毒系統(tǒng)所達到的效果 XXXX 招標公司 希望部署防病毒整體解決方案后，能夠達到以下效果： 對進出 XXXX 招標公司 的郵件進行全面防毒掃描，發(fā)現(xiàn)病毒即時進行處理，并且給出系統(tǒng)管理員即時的通知信息； 對 XXXX 招標公司 網(wǎng)絡內的應用服務器進行全面防護，斬斷病毒在服務器內的寄生及傳播； 南方智軟 XXXX 招標公司 招標系統(tǒng) 建設規(guī)劃方案書 30 對所有的客戶機進行全面防護，徹底消除病毒對客戶機的破壞，保證所有員工都有一個干凈、安全的平臺； 所有防毒軟件的升級、防毒策略的制定，通過控管系統(tǒng)集中實現(xiàn)，一方面保證所有防毒軟 件得到即時更新，另一方面保證整個防毒策略的一致。同時生成整個 XXXX 招標公司 統(tǒng)一的病毒報告日志，便于系統(tǒng)管理人員即時對病毒發(fā)現(xiàn)情況進行掌握，制定更加有效的網(wǎng)絡平臺安全使用策略； 建立及時、快速的病毒響應機制，能夠迅速抑制病毒在企業(yè)網(wǎng)中傳播。 整體防病毒方案規(guī)劃 (1)防病毒體系設計思路 為了構建一個強壯、有效的防病毒體系，在分析了 XXXX 招標公司 網(wǎng)絡架構及相關應用之后，針對潛在的病毒傳播威脅，采用結合產(chǎn)品、防御策略、服務為一體的防病毒體系。 由于 XXXX 招標公司 為了方便集中管理，需要有一套切實可行的集中管理 機制，以方便管理員實時掌控防病毒狀況。 XXXX 招標公司 設計的防病毒體系中，充分考慮到集中及分權管理的需求，構建邏輯結構為 3 層的防病毒體系： (2)產(chǎn)品部署建議 基于對 XXXX 招標公司 網(wǎng)絡架構及應用系統(tǒng)的分析，判斷潛在的病毒防護漏洞，建議 XXXX 招標公司 采用 網(wǎng)絡 防病毒產(chǎn)品 。 基礎平臺簡介 系統(tǒng)平臺總體構架 客戶端服務系統(tǒng) 微軟 Inter Explorer – 基于網(wǎng)頁 Inter/Intra 應用程序，支持控件、 XML、 DHTML、 HTML、 CSS 和 Script；基于 Microsoft Win32174。 的應用程序 – 南方智軟