网络安全与数据保护手册.docxVIP

网络安全与数据保护手册

第1章网络安全基础架构

1.1网络拓扑设计与物理隔离

网络拓扑设计需遵循“最小权限”与“单一出口”原则，在物理层面将核心业务区、管理区与办公区完全划分为独立的安全域。例如，建议采用“星型拓扑”结构，所有终端设备通过统一的交换机汇聚至核心交换机，而核心交换机则通过专用的物理光纤链路或高速光口连接至防火墙，形成主从备份的物理链路，确保单点故障不影响整体连通性。必须实施严格的物理隔离策略，利用防火墙硬件或软件逻辑将内网划分为DMZ（公用区）、内网区及数据中心区。在物理上，DMZ区应部署在防火墙之后，且仅允许特定的管理端口（如Telnet/SSH）开放，严禁开放互联网访问端口，防止外部攻击者直接穿透至内网核心。

针对关键基础设施，应采用“双活”或“三活”的冗余架构设计，确保当主链路发生物理中断时，备用链路能在毫秒级内自动接管流量。例如，配置两台互为热备的防火墙设备，通过冗余IP地址进行负载均衡，当一台设备因故障下线时，另一台设备自动接管所有入站请求，实现99.99%的可用性。在交换机端口层面，应启用“端口安全”与“端口镜像”功能，限制每个端口接入的最大MAC地址数量（如5个），并设置违规端口立即阻断。同时，将核心交换机端口配置为“动态学习”模式，仅学习来自信任源（如可信网关）的MAC地址，未知源直接丢弃，防止MAC地址欺