搜索
某企业交换机防火墙网络安全建设技术方案北京麦弗瑞科技有限公司目录1综述...........................................................................................................................................31.1网络设计原则...............................................................................................................32企业网业务需求分析...............................................................................................................42.1网络结构设计...............................................................................................................52.2防火墙系统部署方案...................................................................................................52.3交换机接入...................................................................................................................63Juniper的企业网结构设计......................................................................................................73.1网络拓扑图...................................................................................................................74企业网选用设备.......................................................................................................................74.1JuniperEX系列交换机..............................................................................................74.2防火墙SRX系列...........................................................................................................94.3J系列路由器..............................................................................................................101综述本方案是依据贵公司提出的建网要求，而出的技术实施方案。本方案将以贵公司要求为依据，结合市场需求和现有条件，并以高速、高带宽、高可靠性、技术先进、简单实用、节省投资为网络的建设原则，建设一个先进的、具有高可靠性的综合业务数据网络。1.1网络设计原则交换网络作为方正县人民政府网络重要组成部分，建设目标应该致力于能够提供一个灵活、先进和可靠的多业务平台，为网络进一步承载更多业务，建立自动化全网络的业务，降低企业运作成本。我们在进行网络设计时，应着重考虑如下几点：1)网络的可靠性网络的可靠性是网络设计中需要考虑的一个主要原则。在网络设计时，应避免网络中出现单故障点，并应该考虑在出现故障时的网络性能，通过网络设计减少故障对网络性能的影响。2)流量的合理分配由于企业网络的重要性，在网络的各个层面需要部署冗余的设备和链路，在网络中流量出入会存在多条可达的路径，随着企业网络流量的不断增长，不合理的流量设计会造成网络瓶颈的出现。因此，网络流量的负载分担问题成为网络设计时需要考虑的一个主要因素，必须使网络的流量能够比较合理的分布在各个设备以及各条链路上。3)网络的性能企业网一般会成为承载多种业务的统一网络平台，其中必然有很多重要的业务，在强调带宽和吞吐量的同时，应该为重要程度不等的业务提供不同的服务质量保证。因此，在网络设计时应该考虑网络性能的因素，使网络能够满足现有以及未来新业务对服务质量的要求。4)可扩展性随着IT技术的飞速发展，提升和改善企业业务运行效率以及竞争力的IT产品会不断推陈出新，而体系会成为企业生存、发展和壮大的必然装备，作为企业业务流量转发的重要部分，设计时应该充分考虑到网络的可扩展性以及对未来开展业务的支持。5)高性价比充分考虑网络的容量，合理配置设备和链路，除了一次性投资考虑，还应重点考虑设备后期运行和维护的费用。6)网络管理的简易性企业交换网络的覆盖面广，设备数量众多，而且未来也有可能不断扩大规模。网络管理的工作量是需要重点考虑的问题。因此，在网络设计应该考虑网络管理的因素，尽量减少网络管理的难度和复杂性。2企业网业务需求分析随着网络不断的发展，企业网已从被动的、背景式的角色逐步演变为主动式的、高可视化的核心组成部分。企业的日常运行以及良好的市场竞争力都依赖于企业网的正常高效运行。现在的企业网已成为需要在任何时间从任何地点都可以访问的战略设施，同时还要在所有节点上规模的提供快速、安全和可靠的服务。企业网承载的业务从传统的客户端/服务器数据流到端到端的数据流，同时需要容纳快速增长的服务和设备。为适应企业更多重要业务的需求，企业网必须颠覆传统的设计思路，围绕企业网安全、连接性和性能进行全面的考虑，在具备良好稳定性、可靠性和高性能的同时具备简单和灵活，在适应新的业务发展时不用重新设计网络。企业网处在非常重要的地位，包含企业主要位置的一栋或者多栋相邻的建筑，一般是公司的总部或者主要站点。企业大部分重要的服务和应用都分布在各个建筑甚至是很多楼层里面，而这些应用大部分都是需要在线运行的，企业网任何downtime或者效率低下都会导致企业受到损失。Juniper的企业网交换解决方案旨在提供全面得安全、高性能、高可用的网络，保障企业网所有组件一直正常在线服务，从而提高生产力和客户满意度。为了优化高效的商业运作，企业网必须提供如下高级别服务：安全服务：安全是所有企业网服务的关键，对网络和应用的访问是开放和普遍存在的，但是得保证牢固和可控制。LAN连接服务：提供多种接入方式，包括计算机、语音电话、PDA、监控摄像头、智能电话等等。高性能服务：企业网在任何时间满足所有应用的传送需求。HA：拒绝企业网的Downtime，提供99.999%的可靠性。HA贯穿整个企业网，Juniper网络设备和软件提供成本高效的、特性丰富的和高可用的服务，并且提供集中化的管理服务以减少downtime和维护费用。2.1网络结构设计方案概述近年来，随着企业信息化的深入进行，企业网络整体的快速发展，企业网已经成为企业最重要的学习和生产设施，企业网络面临的挑战变得日益突出。瞻博网络企业网出口解决方案可以有效解决目前企业的问题以及CERNET和其它电信运营商间互联带宽不足或者使用不充分，造成访问速度缓慢不能满足员工需求的供需矛盾；二是网络应用日益丰富，造成病毒泛滥，网络安全提出的更高需求的矛盾。方案介绍针对企业网的上述特点建议部署一台瞻博网络高性能J2320路由器，J2320路由器对外接入CERNET，并提供高性能的路由功能，同时J2320路由器对内通过GE链路接入到防火墙安全设备上。该方案的技术特点：高性能的路由转发与良好的扩展性通过在J2320路由器上进行路由设置，将流量合理快速至出口链路，有效利用带宽，提高访问其他电信运营商网内资源的速度。今后要是多出口的情况下还可以，根据流量实际情况，可以详细划分各种应用将其分布到不同的链路上。便捷的配置，设置企业网出口设备—J2320承担了高效的路由转发，出入企业网流量控制，这样重任由出口路由器来承担，从而使得路由器的选择就非常的重要。2.2防火墙系统部署方案防火墙系统在网络边界设置进出口控制，可以防御外来攻击、监控往来通讯流量，是企业网络安全的第一道关卡，其重要性不言而喻。网络防火墙系统从其设置的物理位置来说，最恰当的位置就是不同安全级别的网络物理边界的出入口。所以可以说，网络安全系统最为关键的组成部分实际上是利用上述的各种技术手段，通过对网络出入口的控制实现安全服务的目的。目前所有厂商的高端防火墙系统本身都支持多物理端口，同时其物理端口还可进一步支持802.1Q协议。因此，安全域的划分既可通过网段的物理端口连接实现，也可以通过VLAN虚拟端口方式连接。我们可将安全等级不同的网络划分在不同物理网段或逻辑VLAN中，然后将物理网段直接与防火墙不同的物理端口相连或将VLAN指定为防火墙系统的某个接口的网逻辑子接口。这样，防火墙系统就成为不同网段或VLAN之间相互访问的唯一通道，所有跨网段或VLAN间的流量都要经过防火墙模块的检测，实现安全域的划分。2.3交换机接入交换机直接与防火墙相连接组成局域网，瞻博网络EX2200系列固定配置以太网交换机，具备完整的第2层交换功能和基本的第3层交换功能，可满足当今高绩效企业的分支办事处和低密度配线室的连接需求。该产品提供四种平台配置：24个和48个10/100/1000BASE-T端口，可按不同需求完全满足企业的内网需求。3Juniper的企业网结构设计3.1网络拓扑图4企业网选用设备4.1JuniperEX系列交换机Juniper网络EX系列以太网交换机运营商级可靠性安全风险管理网络虚拟化应用控制降低TCO运营商公认的硬件和软件威胁牵制和统一接入控制虚拟路由和GRE隧道穿越JUNOS和统一管理应用可视性和服务质量根据公司实际情况推荐交换机型号为EX2200交换机Juniper网络EX2200系列以太网交换机展示了五种关键特性，结合在一起构成了真正的企业级交换解决方案：运营商级可靠性、安全风险管理、网络虚拟化、应用控制、降低总体拥有成本(TCO)。运营商级可靠性：一顺百顺，一通百通。因此，Juniper网络EX系列以太网交换机使用被全球最大规模电信运营商网络所部署的、经过实践验证的相同技术——包括应用特定的高性能集群电路(ASIC)、系统架构和JUNOS™软件，从而构成了强韧的、经久耐用的、高度可靠的网络基础设施解决方案来为高绩效企业服务。安全风险管理：Juniper网络EX系列以太网交换机完全兼容Juniper网络统一接入控制(UAC)解决方案，能够提供另一层安全保护。产品首先实施用户和病毒检查，然后才执行端到端的、精准的安全策略，用于决定谁有权访问哪些网络资源，并通过实施服务质量(QoS)策略来确保业务流程的交付。基于异常的集群威胁检测功能能够识别出并阻断分布式拒绝服务(DDoS)攻击，从而提供更深入的保护。网络虚拟化：EX系列交换机采用Juniper网络集群交换技术，最多允许10个EX4200交换机互连在一起，并作为单一系统发挥作用。通过集群交换技术，用户能够在一个经济高效的小巧平台中获得机箱式系统的可靠性、可用性和高端口密度，从而实现机箱式和可堆叠交换机的双重优势。EX系列交换机还支持通用路由封装(GRE)隧道穿越技术，用于从远程位置向网络运行中心的监控产品发送镜像流量，以便集中分析、排除故障或构建相