VPN为邮政储蓄中间业务数据集中保驾护航.pdfVIP

Information In Technology VPN为邮政储蓄中问业务数据集中保驾护航 内蒙古自治区邮政信息技术局 乔惠琼 中间业务的发展要求邮政储蓄具有高度集中的信 中，这是邮政储蓄连接外单位的典型模式：PIX防火 息化管理系统，同时具备对安全的全面管理。目前我 墙提供基于连接状态的包过滤、网络地址转换NAT、 省邮政储蓄基本业务已经完成数据的集中，中间业务 端口地址转换PAT以及其他网络安全保护。PIX防火 的前置机数据也趋向集中。这有利于中间业务快速、 墙设置多个端口，即将网络隔离为多个区域，按安全 统一地推出市场。我们知道，中间业务不可避免地要 级别依次为：Inside DMZ2 DMZ1，Outside。外部网 和业务合作伙伴例如证券公司、电信部门、保险公司 络(OUtSide)不能直接访问邮政储蓄内部网络 等交流数据，即邮政储蓄网络需要和合作单位的网络 (Inside)，而要通过DMZ区的代理服务器。可以将 互联。在目前储蓄数据和中间业务前置机数据的环境 不同应用的代理服务器放置在不同的DMZ区，或者 下，如何既要在各地连接外单位网络，又必须保证储 用Private VLAN进行隔离。然而，在数据集中之后， 蓄网络和数据的安全性呢? 主机和中间业务代理服务器都集中在数据中心，情形 就不同了 (如图2所示)。 一 、 数据集中后新的中间业务连接模式 中间业务系统涉及到外部用户对储蓄内部数据的 访问，因此网络安全尤为重要。要想严格隔离内部网 络和外部网络，通常采用单独的接入路由器和拨号访 问服务器，并采用防火墙隔离外部网络、DMZ区和 内部网络(如图1所示)。 镰蠹一 越■ 在数据ql,U设置了DMZ区和中间业务代理服务 器，并通过防火墙和外部网络相连，为了增强安全性， 可能会采用多个DMZ区和多层防火墙。外部网络 (Outside)不能直接访问到内部网络(Inside)，而要 通过防火墙和代理服务器。在前置系统也是通过防火 墙和外部网络连接，但外部网络通过防火墙后直接进 入了内部网络，要穿越内部网络才能到达位于中心的 在综合网主机和中间业务代理服务器分散的环境 DMZ区的代理服务器，形成了从Outside—InsIde— 44现代邮政2008／1 DMZ—Inside的数据流向。这就存在了安全隐患，外 地址空间，不用担心地址空间的冲突问题。 部网络可能对内部网络非法访问或进行攻击。当然， 各个VPN和骨干网络的地址空间和路由信息都 我们可以在防火墙、路由器等设备上设置访问控制列 是完全隔离的，可以认为该网络提供的是和二层网络 表进行数据包过滤，这对防止非法访问比较有效，但 如ATM、帧中继的虚电路相同的安全性。尽管在广域 对针对主机和网络设备的攻击的防范却存在一定的局 网上是共享设备和带宽的IP骨干网，但对于DMZ区 限性，而且设置复杂、烦琐，容易出错或疏忽遗漏， 来看，相当于租用了一条专线或虚电路连到中心的 每增加一个新业务都要修改配置。在部署新的中间业 DMZ区。要想侵入其他VPN和骨干网是不可能的，除 务，连接新的外部网络时，安全常常成为殚精竭虑的 非专门为了某种需要这样配置。 问题，从而延误新业务的上线。 可以说，骨干网络的任何信息对于外部网络都是 另外，外单位网络的IP地址有可能和邮政储蓄内 隐藏的，