【正文】 6)。5) 網(wǎng)安融合。4) 安全合規(guī)。3) 給網(wǎng)絡(luò)綁上安全帶。在隔離范圍上，不知實(shí)現(xiàn)了網(wǎng)絡(luò)層的隔離，更創(chuàng)新地實(shí)現(xiàn)了L2~7隔離，隔離更為徹底。2) 隔離徹底、簡(jiǎn)單。采用虛擬園區(qū)網(wǎng)的設(shè)計(jì)思路，在一套物理網(wǎng)絡(luò)虛擬化出多套邏輯網(wǎng)絡(luò)，邏輯網(wǎng)絡(luò)彼此相互獨(dú)立，資源按需調(diào)整。第七章 方案優(yōu)勢(shì)說明本方案基于對(duì)用戶需求、行業(yè)特點(diǎn)的深入分析，結(jié)合專業(yè)的網(wǎng)絡(luò)設(shè)計(jì)，創(chuàng)新的橫向虛擬化、縱向虛擬化、網(wǎng)安融合等技術(shù)，實(shí)現(xiàn)了項(xiàng)目建設(shè)目標(biāo)，給用戶搭建了一張簡(jiǎn)單、智能、可靠的網(wǎng)絡(luò)。集中管理可以針對(duì)網(wǎng)絡(luò)中所有安全設(shè)備進(jìn)行統(tǒng)一的配置和安全事件管理；對(duì)于較大規(guī)模和分區(qū)域的網(wǎng)絡(luò)環(huán)境，還支持通過分級(jí)管理的方式進(jìn)行總部和分部的統(tǒng)一管理。n 安全事件智能分析對(duì)安全信息與事件進(jìn)行分析，關(guān)聯(lián)聚合常見的安全問題，過濾重復(fù)信息，發(fā)現(xiàn)隱藏的安全問題，使管理員能夠輕松了解突發(fā)事件的起因、發(fā)生位置、被攻擊設(shè)備和端口，并能根據(jù)預(yù)先制定的策略做出快速的響應(yīng)，保障網(wǎng)絡(luò)安全。通過性能任務(wù)的配置，可自動(dòng)獲得網(wǎng)絡(luò)的各種當(dāng)前性能數(shù)據(jù)，并支持設(shè)置性能的門限，當(dāng)性能超過門限時(shí)，可以以告警的方式通知網(wǎng)管系統(tǒng)。n 故障管理故障管理主要功能是對(duì)全網(wǎng)設(shè)備的告警信息和運(yùn)行信息進(jìn)行實(shí)時(shí)監(jiān)控，查詢和統(tǒng)計(jì)設(shè)備的告警信息。將原本分布在網(wǎng)絡(luò)中各自獨(dú)立的安全設(shè)備進(jìn)行統(tǒng)一的管理和監(jiān)控，對(duì)網(wǎng)絡(luò)事件進(jìn)行專業(yè)深入的統(tǒng)計(jì)分析，并通過豐富的報(bào)表展示網(wǎng)絡(luò)安全狀態(tài)，形成一個(gè)集統(tǒng)計(jì)分析和管理配置于一體的安全管理解決方案。用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇自己需要的組件，真正實(shí)現(xiàn)“按需建構(gòu)，全網(wǎng)管理”。同時(shí)，智能流定義通過圖形化配置，配置過程十分簡(jiǎn)單，極大地簡(jiǎn)化安全策略的部署。通過智能流定義技術(shù)，可以指定特定的數(shù)據(jù)流通過特定的業(yè)務(wù)板卡，業(yè)務(wù)板卡的通過順序也可自行定義。 外網(wǎng)安全設(shè)計(jì)與內(nèi)網(wǎng)類似，外網(wǎng)的安全保障通過在外網(wǎng)出口部署負(fù)載均衡、入侵防御、防病毒、上網(wǎng)行為管理及流量控制等業(yè)務(wù)板卡來實(shí)現(xiàn)。這樣就可以針對(duì)不同應(yīng)用提供不同的安全防護(hù)。匯聚層產(chǎn)品支持多種類型的安全業(yè)務(wù)板卡，在與網(wǎng)絡(luò)融合的基礎(chǔ)上，這些板卡可以提供豐富的安全功能。安全設(shè)計(jì)內(nèi)容上，包括幾方面的內(nèi)容：內(nèi)網(wǎng)安全、外網(wǎng)安全。因此本方案在進(jìn)行網(wǎng)絡(luò)設(shè)計(jì)的同時(shí)，進(jìn)行安全設(shè)計(jì)。如圖63所示。在本方案中，通過橫向一虛多虛擬化技術(shù)可以將以上的一套物理網(wǎng)進(jìn)行操作系統(tǒng)級(jí)虛擬化，虛擬化為內(nèi)外兩套網(wǎng)絡(luò)。此外，環(huán)境感知、環(huán)境監(jiān)控和070℃寬工作溫度等環(huán)境增強(qiáng)設(shè)計(jì)，降低維護(hù)成本，簡(jiǎn)化網(wǎng)絡(luò)管理，使網(wǎng)絡(luò)應(yīng)用率先進(jìn)入低碳時(shí)代。接入交換機(jī)通過萬兆光纖上連至匯聚交換機(jī)。本次方案安全均部署在匯聚層及出口，并以插卡模式與匯聚交換機(jī)完全融合并同步虛擬化，所以要求本次匯聚交換機(jī)能夠支持至少FW、IPS、WAF、漏洞掃描、負(fù)載均衡、上網(wǎng)行為管理及流控等業(yè)務(wù)模塊擴(kuò)展。所有接入設(shè)備通過雙鏈路上行，提高鏈路可靠性。匯聚交換機(jī)在網(wǎng)絡(luò)特性上，需支持IPv4/IPv三層/二層MPLS VPN、OSPF等豐富的網(wǎng)絡(luò)特性，并提供千兆電、千兆光、萬兆電、萬兆光等各種高密端口。這就要求匯聚層設(shè)備必須具備良好的可擴(kuò)展性，必須使用模塊化的體系結(jié)構(gòu)，以便匯接更多的接入層設(shè)備。設(shè)備自身可靠性上，提供主控冗余、交換網(wǎng)板冗余、N+M電源、不間斷重啟等技術(shù)，％的電信級(jí)可靠性?？煽啃陨希桨覆渴痣p核心，采用橫向多虛一技術(shù)虛擬化成一臺(tái)邏輯設(shè)備。因此核心節(jié)點(diǎn)的擴(kuò)建，通常必須遵循以下幾個(gè)原則：1) 必須具備高可靠性及高冗余性；2) 必須具備模塊化產(chǎn)品設(shè)計(jì)；3) 必須具有迅速升級(jí)能力；4) 必須具有較少的時(shí)延和好的可管理性；5) 必須具有多業(yè)務(wù)應(yīng)用擴(kuò)展性；本方案在核心區(qū)部署兩臺(tái)Clos架構(gòu)大緩存數(shù)據(jù)中心級(jí)別交換機(jī)，通過橫向多虛一技術(shù)將兩臺(tái)設(shè)備虛擬化成一臺(tái)邏輯設(shè)備。物理網(wǎng)絡(luò)采用“核心匯聚接入”組網(wǎng)架構(gòu)，基于100G的核心設(shè)備、骨干萬兆、千兆到桌面，滿足辦公人員的上網(wǎng)需求。面對(duì)這樣的需求，需建設(shè)一套簡(jiǎn)單、可靠的物理網(wǎng)上承載內(nèi)外網(wǎng)兩部分業(yè)務(wù)，兩部分的隔離效果與物理隔離相當(dāng)，并且確保兩套網(wǎng)絡(luò)內(nèi)部的安全防護(hù)，整體安全防護(hù)水平滿足等級(jí)保護(hù)網(wǎng)絡(luò)安全部分的所有要求。需部署融合業(yè)務(wù)網(wǎng)關(guān)實(shí)現(xiàn)網(wǎng)絡(luò)與應(yīng)用的融合，在解決以上問題的同時(shí)，讓網(wǎng)絡(luò)可以根據(jù)應(yīng)用進(jìn)行交換、路由、控制、加速，從而保障用戶信息安全、提升用戶體驗(yàn)，降低用戶總體擁有成本（TCO）。配置過程極其簡(jiǎn)單，將網(wǎng)管人員的工作效率提高70%，并且后期維護(hù)成本也很低，徹底實(shí)現(xiàn)了L2~7融合，給用戶帶來不可替代的價(jià)值。一旦遇到設(shè)備升級(jí)、網(wǎng)絡(luò)調(diào)整，或是網(wǎng)管人員變動(dòng)，繁雜的網(wǎng)絡(luò)設(shè)計(jì)更是讓網(wǎng)管人員頭疼不已，維護(hù)成本極高。只能在有限的產(chǎn)品型號(hào)、有限的組網(wǎng)模式下才能多插卡組網(wǎng)。不僅要配置業(yè)務(wù)插卡，還要配置交換機(jī)的內(nèi)聯(lián)接口。當(dāng)交換機(jī)部署多插卡時(shí)，規(guī)劃更為復(fù)雜。所以考慮上述問題，本次項(xiàng)目必須選用融合業(yè)務(wù)網(wǎng)關(guān)，真正實(shí)現(xiàn)了L2~7的融合。對(duì)于傳統(tǒng)安全廠商來說，其操作系統(tǒng)對(duì)應(yīng)用層功能支持完善，但網(wǎng)絡(luò)特性往往只支持基礎(chǔ)的二三層轉(zhuǎn)發(fā)功能，對(duì)MPLS、大二層、IPv6等特性支持不完善。 同一個(gè)管理界面本方案中，L2~7所有的功能通過融合式網(wǎng)關(guān)的一個(gè)管理界面去集中配置、管理和日志集中分析。網(wǎng)絡(luò)、應(yīng)用仍是兩張皮。如圖所示，整機(jī)對(duì)外3個(gè)IP地址。2) 交換設(shè)備對(duì)外一個(gè)IP地址，同類型業(yè)務(wù)板卡一個(gè)IP地址。從業(yè)界來看，這些“交換機(jī)+業(yè)務(wù)板”的設(shè)備，主要有兩種情況：1) 交換設(shè)備對(duì)外一個(gè)IP地址，每塊業(yè)務(wù)板卡一個(gè)IP地址。 同一個(gè)IP網(wǎng)絡(luò)與應(yīng)用融合的大趨勢(shì)下，傳統(tǒng)的OSI七層架構(gòu)正在受到挑戰(zhàn)，網(wǎng)絡(luò)廠商也越來越重視其產(chǎn)品對(duì)應(yīng)用層的支持能力。實(shí)現(xiàn)L2~7功能時(shí)，用戶無需進(jìn)行復(fù)雜的引流設(shè)置和規(guī)劃。L2~7所有功能均為一個(gè)操作系統(tǒng)，而不是多個(gè)操作系統(tǒng)。L2~7所有功能均通過一個(gè)管理界面，而不是單獨(dú)的管理界面去管理。整機(jī)對(duì)外呈現(xiàn)一個(gè)IP地址，在網(wǎng)絡(luò)中為一個(gè)節(jié)點(diǎn)。融合與整合存在質(zhì)的區(qū)別，主要有以下幾方面：1) 同一臺(tái)設(shè)備能提供L2~7所有功能，包括交換、訪問控制、入侵防御、病毒防范、流量控制、行為審計(jì)、負(fù)載均衡等功能；而不是僅提供兩到三種功能，比如防火墻、IPS。在具體實(shí)現(xiàn)上，業(yè)界有兩種實(shí)現(xiàn)方式：n 交換機(jī)+插卡，實(shí)現(xiàn)網(wǎng)絡(luò)安全的整合。后續(xù)增加新的安全功能，或是網(wǎng)絡(luò)性能擴(kuò)容時(shí)，會(huì)讓網(wǎng)絡(luò)更加復(fù)雜。難以在大容量線速無阻塞轉(zhuǎn)發(fā)條件下，保證網(wǎng)絡(luò)及業(yè)務(wù)的安全、快速、可用。6) 網(wǎng)絡(luò)特性支持不完善，如MPLS VPN、IPv虛擬化等。5) 時(shí)延高。多廠商、多設(shè)備間相互兼容困難，特別是隨著網(wǎng)絡(luò)規(guī)模和組網(wǎng)模式的不斷革新，難以實(shí)現(xiàn)性能、功能、接口的按需擴(kuò)展。大量的安全設(shè)備部署到網(wǎng)絡(luò)中，設(shè)備如何部署、以什么模式部署、設(shè)備之間的組網(wǎng)關(guān)系、如何進(jìn)行流量規(guī)劃、網(wǎng)絡(luò)策略規(guī)劃都變得非常復(fù)雜。如果采用雙機(jī)部署，盒式安全設(shè)備的雙機(jī)備份時(shí)間往往在秒級(jí)，甚至十秒級(jí)，可靠性不高。網(wǎng)絡(luò)中要增加防火墻、IPS、流量控制、應(yīng)用交付、漏洞掃描系統(tǒng)、上網(wǎng)行為審計(jì)、Web應(yīng)用防火墻等大量的安全設(shè)備，使整網(wǎng)的可靠性降低。但是，通過這種方式來實(shí)現(xiàn)，當(dāng)網(wǎng)絡(luò)規(guī)模逐步擴(kuò)大時(shí)，會(huì)極大的增加系統(tǒng)的維護(hù)復(fù)雜度，或者對(duì)防火墻設(shè)備的性能提出高的要求，且很難在防火墻與交換機(jī)之間增加IPS等其他安全設(shè)備，實(shí)踐上幾乎是不可行的。更重要的是，這種傳統(tǒng)的網(wǎng)絡(luò)與安全設(shè)備獨(dú)立，“二層到網(wǎng)絡(luò)，三層到安全”的組網(wǎng)方式，難以實(shí)現(xiàn)對(duì)園區(qū)網(wǎng)絡(luò)內(nèi)部的流量進(jìn)行安全策略控制的目標(biāo)。傳統(tǒng)的盒式安全設(shè)備部署一般采用串聯(lián)的方式部署在園區(qū)網(wǎng)外圍，不同功能的設(shè)備串接在一起，往往會(huì)造成核心層網(wǎng)絡(luò)拓?fù)渥兊姆浅?fù)雜。這種解決方法在新的技術(shù)發(fā)展趨勢(shì)下，顯現(xiàn)出越來越多的問題：1) 園區(qū)網(wǎng)裸奔，只在出口做防護(hù)。 網(wǎng)安融合 傳統(tǒng)方案的局限性隨著云計(jì)算、物聯(lián)網(wǎng)的不斷發(fā)展，用戶的數(shù)據(jù)業(yè)務(wù)飛速增長(zhǎng)，不僅使網(wǎng)絡(luò)架構(gòu)變得非常復(fù)雜，也使網(wǎng)絡(luò)安全、應(yīng)用體驗(yàn)性、業(yè)務(wù)持續(xù)可用面對(duì)巨大挑戰(zhàn)。另外在出口部署了多條寬帶鏈路，需考慮對(duì)鏈路進(jìn)行負(fù)載均衡以及對(duì)出站流量及入站流量進(jìn)行智能調(diào)度：出站流量根據(jù)訪問目的調(diào)度到相應(yīng)運(yùn)營(yíng)商鏈路；入站流量根據(jù)訪問源將資源調(diào)度到對(duì)應(yīng)運(yùn)營(yíng)商。 具體框架結(jié)構(gòu)如圖所示：圖58 等級(jí)保護(hù)要求信息安全等級(jí)保護(hù)工作是個(gè)龐大的系統(tǒng)工程，關(guān)系信息化建設(shè)的方方面面，這就決定了這項(xiàng)工作的開展必須分步驟、分階段、有計(jì)劃的實(shí)施。其中，類表示《基本要求》在整體上大的分類，其中技術(shù)部分分為：物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全及備份恢復(fù)等5大類，管理部分分為：安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等5大類，一共分為10大類。等保建設(shè)主要依據(jù)信息系統(tǒng)安全建設(shè)和改造過程中使用的標(biāo)準(zhǔn)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（以下簡(jiǎn)稱《基本要求》），進(jìn)行方案設(shè)計(jì)。根據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》，信息系統(tǒng)的定級(jí)分為五個(gè)等級(jí)。 等保合規(guī)信息安全等級(jí)保護(hù)制度（以下簡(jiǎn)稱“等?！保┦俏覈?guó)信息安全建設(shè)的基本國(guó)策?？紤]到本次智慧園區(qū)網(wǎng)在DMZ區(qū)部署大量對(duì)外Web服務(wù)，需通過部署Web應(yīng)用防火墻（WAF）對(duì)HTTP協(xié)議進(jìn)行深入分析，能夠?yàn)閃eb應(yīng)用提供全面的實(shí)時(shí)有效的防御能力，解決愈演愈烈的Web安全問題，優(yōu)化業(yè)務(wù)資源，并且高效保障Web應(yīng)用的可用性和可靠性。支持對(duì)終端、服務(wù)器、路由/交換設(shè)備、操作系統(tǒng)（Windows/Linux/Un