科技型企业计算机网络的安全设计与实现论文.pdf

2005年全国自动化新技术学术交流会会议论文集 科技型企业计算机网络的安全设计与实现 郑京香，肖正宇，朱金录 (冶金自动化研究设计院， 北京100071) 摘要：介绍了一般存在于科技型企业计算机网络中的一些安全风险，以及如何规避这些风险，既保证 网络的安全性，也不失去灵活性。 关键词：企业局域阿、安全、VLAN、身份认证 中圈分类号：TP393 文献标识码：A 0概述 迄今为止，全球各国的企业由于网络安全问题、病毒感染等原因引起的网络修复或营运停摆， 已造成数以亿计的利润损失。伴随着计算机网络应用带来的便捷，原来由某个节点的计算机安全事 故引起的损害可能通过网络传播到其他节点乃至整个网络系统，引起大范围的瘫痪和损失。同时， 也存在数据失密等方面的隐患。尤其是对于一些经费有限的科技型企业，设计资料、实验数据等知 识产权和财务、客户等资料即要允许在一定范围内共享，又要确保这些信息的安全，所以，如何经 济而又安全地构筑计算机网络至关重要。 计算机网络的一般存在着网络物理、网络系统、网络应用、病毒攻击和入侵、网络管理等方面 的安全风险。结合某科技型企业的计算机局域网(AriNet)的实际情况，针对上述安全风险进行分 析，并设计和实施为规避风险而采取的防范措施。以下是AriNet的网络拓扑结构示意图。 1 网络的物理安全风险 网络的物理安全风险主要是指由网络设备和线路等硬件故障引起的网络运行风险。 为了减少由于物理原因造成的网络停运故障，AriNet中的主干网络交换机采用了冗余设计。考 技术实现双工4GB的通道，联接这两台交换机，构成了高可用性的双机双备份，从而提供稳定可靠 的网络传输核心，为整个网络提供不间断的服务。 分别在两台主干交换机上划分虚拟局域网，通过VLAN级的生成树协议，使每台交换机的数据 作者简介：郑京香(1955)，女，北京，高工，计算机网络． 270 2005年全国自动化新技术学术交流会会议论文集 流量负载均衡，并相互备份。当一台交换机发生故障，第二台交换机可以自动切换、接替工作。各 个接入层交换机也使用光纤集联，并通过两条千兆光纤上联到主干交换机，实现了两条链路的负载 均衡和相互备份，当其中一条链路出现故障时，另一条链路可承载全部的数据流量，避免了单点硬 件故障的安全风险。 2 网络系统的安全风险 网络系统的安全风险主要来自网络拓扑结构设计，以及网络硬件平台、网络操作系统和身份认 证等方面。 AriNet网络的拓扑结构采用主干冗余链路，提高了网络运行的可靠性。作为科技企业，接入互 联网不可或缺。AriNet在内部网与互联网入El之间，设置了包过滤型防火墙。这是保护内部网安全 的最重要、同时也是最有效、最经济的措施之一。包过滤防火墙是利用IP和TCP包的头信息对进 出被保护网络的IP包信息进行过滤，企业可根据具体情况，制定安全策略来控制(允许、拒绝、监 测)出入网络的信息流。同时可实现网络地址转换(NAT)、审计与实时告警等功能。由于这种防火 墙安装在内部网和外部网络之间的通道上，因此对内部网和外部网络起到了隔离作用。 以太网具有“连通、共享”等优点，但缺乏安全防范机制，任何用户都能够随意地入网访问网 络资源。尽管交换机所提供的端口与MAC地址绑定具有一定的防范功能，但是配置繁琐、灵活性 差，对于假冒MAC地址和IP地址欺骗等手段，则不能提供有效的控制和解决办法。所以，在AriNet 中，配置了专用的安全访问控制系统ACS。 BaseNetworkAccess ACS符合IEEE802．1X协议。该协议是基于端El的访问控制协议(Port Control 和授权手段，达到接受合法用户接入，保护网络安全的目的。 在802．1X认证体系结构中，必须具备认证服务器、客户端、认证系统三个基本元素，才能够 实现“基于端口的访问控制的用户认证和授权。在具有802．1X认证系统的网络中，当一个用户 需要对网络资源进行访问肘，认{正服务器会对收到客户端发来的用户信息，用随机生成的加密字对 “口令”进行加密处理(MD5加密算法)，并将该加密字传给客户端，由客户端利用该加密字对“口 令”进行加密。认证服务器将这两个加密后的口令进行对