电力数据通信网访问控制研究.pdfVIP

·282· 中回电机工程学会电力通信专让叠另金第七届孝术会议论主 电力数据通信网访问控制的研究 张明扬 (福建省电力通信有限责任公司，福建福州350003) 摘要：随着国网公司“SGl86工程”的不断深化，各省网公司都开始进行电力数据通信网的改造 和建设。本文结合电力应用的实际需求，介绍了访问控制的范围，分析了访问控制方式，着重讨 论了如何在网络层有效的部署访问控制策略。 关键词：国网186工程；访问控制；终端划分；防火墙；VPN；ACL 之间的访问。 0 引言 2)部分特定主机，只关注专属的应用系统，不 2006年，国网公司提出在全系统内实施“SGl86需要访问其他应用的任何设备。 工程”的规划。一体化信息系统、二级数据中心和 基于第一条特点，由于不同应用的客户端相互 三级应用的建立，将会带来数据和应用的大集中。 间不需要进行访问，因此可以将各种不同应用的客 尽管集中的优点很多(如效率更高、更利于管理等)， 户端在局域网层面划分到不同的VLAN或MCE内；在 但是也带来了其他的一些问题。访问控制问题便是 城域网、广域网层面，将不同的应用划分到不同的 MPLS 其中最值得关注和研究的一个问题。将应用集中到 VPN内。这样，在客户端所在的局域网和城域 一个数据中心，增加了对不同应用访问控制的复杂 网／广域网层面就实现了客户端之间的隔离。在数据 VPN 度，并使得访问控制存在安全性问题。随着MPLS 中心的局域网上，通过防火墙制定详细的策略，对 技术在电力数据通信网上的广泛应用，使得访问控 不同客户端访问服务器的情况进行细粒度的严格控 制更加复杂。另外，数据大集中的最终实现存在一 制，例如，可以在数据中心防火墙上，对财务客户 个过程，需要充分考虑现有的应用情况和网络状况。 端的某个IP地址或网段进行控制，只允许访问oA 的某一些服务器(如邮件服务器)，而其他的0A服 1访问控制范围 务器不允许访问。为了更好的进行安全访问的审计， 访问控制的前提是隔离，即将不同安全级别的 也可以在防火墙的后端部署IDS或在服务器上部署 应用、服务器和主机分割在不同的区域内，然后在 Log记录，对所有的访问都进行记录。 隔离的基础上进行访问控制。电力数据通信网存在 基于第二条特点，由于这部分特定主机的专业 广域网，城域网和局域网。对于广域网和城域网， 性(如在财务业务中，有部分财务专用主机只用于 主要通过MPLSVPN的方式来实现隔离；对于数据中 财务应用)，可以考虑单独为其在局域网划分不同 心局域网，主要通过防火墙划分不同的安全区来实 VLAN／MCE，在城域网、广域网划分不同的VPN。对 现隔离；对于一般局域网，主要通过VLAN的方式或 于数据中心的局域网，可以考虑不经过防火墙，而 MCE的方式进行隔离。当广域网、城域网和局域网 只做IDS的入侵检测和访问审计，这样可以大大提 都进行隔离之后，不同的应用、服务器和主机在网 高专业主机的访问效率。当采用这种方式后，就可 络上就实现了端到端的隔离。 以考虑让专用主机获得本应用的访问权限，如能够 当隔离实现了之后，需要考虑应用访问的控制。 访问所有的本应用服务器，而对于其他的本应用的 从电力企业现在的具体情况出发，不同应用的访问 非特定主机，