网络安全防护与检测手册.docxVIP

网络安全防护与检测手册

第1章

网络基础架构与访问控制

1.1核心网络拓扑设计与路由策略

在构建核心网络时，首先需划分核心、汇聚与接入三个层级，其中接入层负责用户终端接入，汇聚层负责聚合多条接入链路，核心层则作为全网流量的最高汇聚点，确保高带宽和低延迟。路由策略应基于OSPF或BGP协议配置，通过计算最短路径优先（SPF）算法确定最佳转发路径，利用BGP的AS路径属性实现多出口负载均衡，防止单点故障导致全网瘫痪。

必须实施严格的路由过滤机制，仅允许内部网段和受信任的外部IP地址段进入核心网段，严禁非授权IP进行直连路由，通过配置路由表项限制非法流量。针对关键业务系统（如金融交易、医疗数据），需配置静态路由备份，确保在核心路由器宕机时，备用路由能在毫秒级内切换，保障业务连续性。核心网络需部署动态路由协议（如EIGRP或IS-IS），定期监听邻居状态（HelloInterval）和可达性信息（Reachability），自动剔除死路由并重新计算最优路径。

所有路由协议配置需遵循最小权限原则，仅开放必要的邻居关系，关闭不必要的端口监听，并定期审计路由表中的邻居数量，防止“邻居爆炸”导致网络拥塞。

1.2边界安全域划分与访问控制列表（ACL）

边界安全域应明确划分为内部可信区、管理区（DMZ）和外部不可信区，DMZ区域用于放置对外提供