园区边界安全部署

日期：2007.07杭州华三通信技术有限公司H3C安全部署最佳部署解决方案目录•企业整体安全部署•园区边界之安全分区•园区边界之安全网关部署•园区边界之流量分析部署•园区边界之病毒防护部署•园区边界之日志管理部署①端点准入防御②汇聚交换机安全③核心交换机集成安全④数据中心安全⑤外部服务器安全⑥安全管理中心⑦园区边界出口安全⑧专网分支机构安全⑨Internet分支机构安全PrivateWAN③②①⑤⑦④⑧⑨⑩⑥①端点准入防御EAD②汇聚交换机集成安全设备防攻击、SSH、SFTP、基于用户级别的管理、DHCPoption82安全特性、DHCPsnooping防止IP仿冒、DHCPsnooping防止ARP仿冒、Portsecurity实现MAC地址flooding防御、802.1x认证、STP边缘端口和bpdu保护、组播源抑制、端口环回检测、ARP限速汇聚交换机L3＋板和Xlog配合对园区进行流量分析③核心交换机集成安全设备防攻击、SSH、SFTP、基于用户级别的管理、端口镜像、端口流量抑制、路由协议验证、SecBladeFW④数据中心安全ACL包过滤、ASPF状态防火墙、攻击防范（DoS、DDoS）、异常流量监控、深度检测、L4-L7层的安全、病毒防范、木马攻击防范、BT等业务管理、防火墙NSM板对数据中心流量进行分析及安全监控⑤外部服务器安全DMZ区、IPS深度检测防御、设备防攻击、SSH、SFTP⑥管理中心安全SecCenter安全事件管理中心，XLOG日志中心⑦园区边界出口安全ACL访问控制、ASPF状态防火墙、防DDOS攻击、邮件内容过滤、拥塞管理、安全日志防火墙NSM板对园区出口进行流量分析及安全监控⑧专网分支机构安全L2TP、GRE、IPSec/IKE、L2TP/GREOverIPSec、IPSecOverL2TP/GRE⑨Internet分支机构安全L2TP、GRE、IPSec/IKE、L2TP/GREOverIPSec、IPSecOverL2TP/GRE企业网整体安全Internet/WANPrivateWAN③②①⑤⑦④⑧⑨⑩⑥接入解决方案边界安全解决方案安全管理智能安全管理解决方案虚拟安全服务/综合防病毒目录•企业整体安全部署•园区边界之安全分区•园区边界之安全网关部署•园区边界之流量分析部署•园区边界之病毒防护部署•园区边界之日志管理部署不区分安全区域的园区网不区分信任域的园区网网络中的所有用户共在一个开放的网络环境中每个用户的接入控制单独完成内部、外部服务器，内网用户等不同安全级别的区域暴露在Internet等非信任区域下内部服务器外部服务器内网用户管理员InternetWAN/VPN安全区域划分安全区域划分方法：横向划分：将物理位置相近，并具有相同网络安全策略的安全资产划分进入同一个安全区域。安全区域划分安全区域划分方法：纵向划分：根据网络业务和用户访问权限对具有相同访问需求的用户划分进入同一安全区域。目录•企业整体安全部署•园区边界之安全分区•园区边界之安全网关部署•园区边界之流量分析部署•园区边界之病毒防护部署•园区边界之日志管理部署在园区网的设计中按照区域的划分会产生多个边界网络边界网络的定义是园区网连接到广域网/Internet等外部网络的边缘区域通常对于园区的边界有以下几种定义广域网出口公共服务器区域分支结构VPN远程用户VPNPSTN拨号用户Internet出口园区网络边界定义出口路由器(可选)公共服务器路由器/安全网关/VPN网关园区边界典型的单设备园区网出口仅有Internet一个边界出口与外部网络互连有一个公共服务器区对外部提供等服务远程用户（包括移动接入用户和小型分支节点）通过Internet建立VPN隧道接入到园区网络内边界安全设计要求设备成本低，通常将出口路由器和VPN安全网关/防火墙集成在一台出口设备上通过在路由器上配置NAM板实现出口流量监控设备MSR50/30/20AR28/46SecPath系列出口路由器(可选)公共服务器路由器/安全网关/VPN网关园区边界设备AR系列MSR系列SecPathF100VPN网关IPSecVPNGREoverIPSecL2TPoverIPSecSSLVPNInternet出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控园区网与外界网络互连出口包括Internet/WAN几部分公共服务器对外部提供等服务移动用户可以通过Internet建立VPN接入园区网远程分支机构可以通过Internet建立VPN接入园区网，也可以通过私有的WAN网络接入园区网部署专业的防火墙、VPN和IPS等设备增加边界安全性通过在防火墙上配置NAM板实现出口流量监控专业安全设备园区出口边界安全Internet公共服务器防火墙园区边界VPN网关出口路由器分支机构VPN网关移动用户分支机构IPS园区网WAN网关SecPathV100-SSecPathV1000-A分支机构VPN网关SecPathV100-S防火墙SecPathF1000-SSecPathF1000-AIPSTippingPoint-50TippingPoint-200E出口路由器MSR50/30/20AR28/46流量监控NSMNAMInternet公共服务器防火墙园区边界VPN网关出口路由器分支机构VPN网关移动用户分支机构IPS园区网WAN园区网移动用户VPN网关IPSecVPNGREoverIPSecL2TPoverIPSecSSLVPN防火墙ACL访问控制ASFP状态检测防DoS攻击DMZ区NATIPS深度检测防御防病毒攻击防DoS攻击防蠕虫病毒防木马病毒出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控园区网与外界网络互连出口包括Internet/PSTN和WAN几部分公共服务器对外部提供等服务移动用户可以通过Internet建立VPN接入园区网远程分支机构可以通过Internet建立VPN接入园区网，也可以通过私有的WAN网络接入园区网部署专业的防火墙、VPN和IPS等设备增加边界安全性园区出口部署双VPN网关实现负载均衡和备份，部署双防火墙实现状态热备，提供高可靠性通过在防火墙/路由器上配置NSM/NAM板实现出口流量监控Internet公共服务器防火墙园区边界Internet出口路由器专网WAN出口路由器远程分支机构专网分支机构VPN网关IPSIPSInternet/WAN移动用户园区网专业安全设备园区出口边界安全部署网关SecPathV1000-A分支机构VPN网关SecPathV100-S防火墙SecPathF1800-ASecPathF1000-AIPSTippingPoint-400TippingPoint-1200ETippingPoint-2400E出口路由器MSR50/30/20AR28/46流量监控NSMNAMInternet公共服务器防火墙园区边界Internet出口路由器专网WAN出口路由器远程分支机构专网分支机构VPN网关IPSIPSInternet/WAN移动用户园区网专业安全设备园区出口边界安全部署移动用户园区网Internet出口路由器ACL访问控制路由协议认证设备访问安全SSH防火墙ACL访问控制ASFP状态检测防DoS攻击DMZ区状态热备NATIPS深度检测防御防病毒攻击防DoS攻击防蠕虫病毒防木马病毒VPN网关VRRP+IPSecGREoverIPSEC+VRRPL2TPoverIPSec+VRRPWAN出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控专业安全设备园区出口边界安全部署园区网与外界网络互连出口包括Internet/PSTN和WAN几部分公共服务器对外部提供等服务移动用户可以通过Internet建立VPN接入园区网远程分支机构可以通过Internet建立VPN接入园区网，也可以通过私有的WAN网络接入园区网通过一台设备支持防火墙&VPN功能，降低组网成本园区出口部署高可靠方案实现负载分担和冗余备份通过在防火墙/路由器上配置NSM/NAM板实现出口流量监控园区网Internet公共服务器防火墙/VPN/NATInternet出口路由器专网WAN出口路由器远程分支机构远程拨号用户专网分支机构IPSIPSInternet/WAN移动用户园区多出口网关集成边界安全部署总部防火墙/VPN网关SecPathF100/F1000分支机构VPN网关SecPathV100-SIPSTippingPoint-400TippingPoint-1200ETippingPoint-2400E出口路由器MSR50/30/20AR28/46流量监控NSMNAM园区网Internet公共服务器防火墙/VPN/NATInternet出口路由器专网WAN出口路由器远程分支机构远程拨号用户专网分支机构IPSIPSInternet/WAN移动用户园区多出口网关集成边界安全部署公共服务器防火墙/VPN/NATInternet出口路由器专网WAN出口路由器远程分支机构远程拨号用户专网分支机构IPSIPSInternet/WAN移动用户园区网Internet出口路由器基本ACL访问控制路由协议认证设备访问安全SSHVPN网关&防火墙GREoverIPSEC+VRRP实现安全网关冗余备份。ACL访问控制ASFP状态检测防DoS攻击DMZ区IPS深度检测防御防病毒攻击防DoS攻击防蠕虫病毒防木马病毒WAN出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控园区多出口网关集成边界安全部署目录•企业整体安全部署•园区边界之安全分区•园区边界之安全网关部署•园区边界之流量分析部署•园区边界之病毒防护部署•园区边界之日志管理部署