网络工程设计CH8分析.ppt

虚拟专用网（Virtual Private Network，VPN）是通过公用网络（如因特网）将企业分支网络互连在一起，以形成企业专网的一种解决方案 通过VPN传输数据，数据是经过加密处理的，数据包即使被截获，也很难被解密，因此它的安全性更有保证 VPN通信的实质就是在VPN客户与VPN服务器之间建立点对点连接，使企业得到一条逻辑上的专用链路 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 对于远程访问VPN连接，一种是通过软件方式实现 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 另一种实现VPN隧道的方案是使用专用的VPN设备 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * VPN客户端有两种 点对点隧道协议（PPTP）的客户端：这种方式较简单 第二层隧道协议（L2TP）的客户端：需要部署第三方证书服务器，VPN服务器和客户都需要访问此证书服务器以获取证书 尽管VPN技术能保证数据在传输过程中的安全，但这并不意味着能够保证企业网的安全性，仍要注意下列问题： 在VPN终点需要采取适当的安全检测和防御措施，以避免恶意软件对VPN内部的攻击和在其内部传播泛滥 关注哪些流量正在使用VPN资源和带宽，并能控制对网络资源的访问 防止经过本网的其他非VPN通道泄密 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 网络安全设计的步骤 选择网络安全机制 选择数据备份和容错技术 设计网络安全方案 网络工程案例教学 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 案例教学要求： 掌握设计高可靠性网络的基本方法。 用Visio绘制该网络拓扑图 案例教学环境：PC 1台，Microsoft Visio软件1套。 设计要点： 某金融机构的A办公楼和B办公楼中的网络不仅要求有高传输速率，而且要求有高可靠性。 用千兆到交换机，百兆到桌面的传输方案。 采用双交换机互为高速备份的联网方案。 保障金融信息安全至关重要。 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 对于需要高可靠性的网络最基本的方法就是采用冗余设计 为A办公楼和B办公楼各配置1台主交换机，为每个楼层配置1台楼层交换机，楼层交换机分别与两台主交换机用千兆光缆相连 将两台主交换机用链路聚合技术连接起来，并将各种服务器与主交换机相连。一旦某台主交换机出现问题，网络不会全面瘫痪 为了保障网络中金融信息的安全，应采取服务器异地互为备份等其他容错技术 由于IEEE 802.1D规范，我们不必担心交换机环路。 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 其中2台主交换机分别位于A、B两座办公楼，每台主交换机都用千兆光缆与本办公楼以及另一座办公楼的楼层交换机相连 两台主交换机之间采用链路聚合技术形成速率更高的通道 在A、B两个主交换机上都连接了各种重要的服务器，这两个服务器池中的服务器中的信息互为备份 系统中还采用了容错电源等措施 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 你越依赖于网络，网络安全对你越重要。网络安全性设计的基本步骤包括对用户网络的安全需求进行风险评估，开发出有效的安全策略，选择出适当的安全机制，设计出网络安全方案。 你应当能够对安全需求进行风险评估，并能设计网络安全方案 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * Any Questions? 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * * * 公钥密码也有其自身的缺陷，特别是如何获取某一方真正的公钥的问题 确定用于对称密钥密码的共享密钥和安全获取公钥密码的正确公钥的问题，都可通过使用一个可信中介(trusted intermediary)得到解决 对于对称密钥密码体制，可信中介被称为密钥分发中心(key distribution center, KDC)，它是唯一可信的网络实体，任一方能与它创建一个共享密钥 对公钥密码而言，KDC被称为证书权威机构(certification authority, CA) 第8章 网络安全设计 陈鸣：网络工程设计教程-系统集成方法 * 用户可以多种方式公开发布其公钥 放在其个人网页上、把公钥放置在公钥服务器上、或通过电子邮件把公钥发送给对方 要使公钥密码有用，实体(用户、浏览器和路由器等)必须能够确定它们所得到的公钥确实来自其通信的对方 由证书权威机构(CA)把一个特定实体与其公钥绑定到一起，CA的职责就是使得实体身份和其发出的证书有效 ITU X.509 [ITU 1993]规定了证书的一种鉴别服务和特定的证书语法 第8章 网络安全设计 陈鸣：网络