-
虚拟系统间互访
虚拟系统间互访 FW作为企业网络的出口网关，通过虚拟系统功能实现对不同部门网络的区分管理，同时实现虚拟系统间互访。 组网需求 如图1所示，某大型企业园区的区域A中，部署了一台FW作为接入网关。根据权限不同，区域A内网络划分为研发部门和非研发部门，且这两个部门的网络访问权限不同，具体需求如下： 研发部门只有部分员工可以访问Internet，非研发部门的全部员工都可以访问Internet。 研发部门和非研发部门之间相互隔离，但是两个部门之间特定的员工可以互访。 研发部门和非研发部门的业务量差不多，所以为它们分配相同的虚拟系统资源。 图1 虚拟系统间互访组网图 数据规划 项目 数据 说明 vsysa 虚拟系统名：vsysa 公网接口：GE1/0/1 公网接口IP地址：10.1.1.8/24 公网接口所属安全区域：Untrust 私网接口：GE1/0/3 私网接口IP地址：10.3.0.1/24 私网地址范围：10.3.0.0/24 私网接口所属安全区域：Trust 允许访问Internet的地址范围：10.3.0.2～10.3.0.10 - vsysb 虚拟系统名：vsysb 公网接口：GE1/0/2 公网接口IP地址：10.1.1.9/24 公网接口所属安全区域：Untrust 私网接口：GE1/0/4 私网接口IP地址：10.3.1.1/24 私网地址范围：10.3.1.0/24 私网接口所属安全区域：Trust - 资源类 名称：r1 会话保证值：10000 会话最大值：50000 用户数：300 用户组：10 策略数：300 出方向保证带宽：20M - 配置思路 根系统管理员分别创建虚拟系统vsysa、vsysb并为每个虚拟系统分配资源。 根系统管理员为互访的员工配置路由。 根系统管理员为虚拟系统vsysa配置IP地址、路由和安全策略和NAT策略。 根系统管理员为虚拟系统vsysb配置IP地址、路由和安全策略和NAT策略。 操作步骤 根系统管理员分别创建虚拟系统vsysa和vsysb，并为其分配资源。 # ……
SE_YT 2024-10-03
14 0 0 -
网络安全设备常见部署模式介绍
文章目录 前言 串联模式 路由模式 透明模式 旁路模式 旁路监听 代理模式 正向代理 透明代理 反向代理 前言 网络安全设备主要有串联模式和旁路模式。这些模式在网络安全架构中扮演着关键角色，以确保数据传输的安全性和高效性。 串联模式 串联模式要求所有流量都必须通过安全设备进行过滤和转发，这意味着任何数据包都无法绕过这些安全机制。这种模式为网络提供了全面的安全防护，但同时也可能成为性能瓶颈，尤其是在高流量或大量数据处理时。部署串联模式通常需要更复杂的网络配置，包括地址修改、路由调整等，这可能需要较长时间的网络中断来实施 路由模式 路由模式将设备作为网络流量的中介，连接并管理不同网络区域之间的数据流。 路由模式也称为网关模式。 优点： 对经过的网络流量进行细致的检查和管理。通过配置详细的路由规则和ACL，管理员可以精确控制流量的通过、阻止、转发。 对所有进出的数据包进行检查，大大增强网络的安全性。 支持如NAT、VPN等多种高级网络功能，使其适应复杂的网络环境和需求。 缺点： 路由模式需要为设备的每个接口配置IP地址，还可能需要重新规划整个网络结构。这在大型网络中可能导致配置复杂，增加管理难度和出错概率。 深度包检查需要消耗大量计算资源，在高流量环境下情况下影响网络性能。 透明模式 透明模式，也称为桥接模式。这种模式工作在数据链路层，所有的网络接口都不配置IP地址，而是通过MAC地址过滤来控制网络流量。其具备ACL规则检查、ASPF状态过滤、防攻击检查和流量监控等功能。 优点： 允许安全设备在不改变现有网络结构的情况下部署。 缺点： 由于设备对网络其余部分是“隐形”的，所以故障排查和监控比较困难。 工作在较低的网络层面，某些基于IP的高级功能无法使用。 旁路模式 旁路模式采用灵活的方式来增强网络安全监控能力，即使设备出现故障，也不会影响……
SE_Gai 2024-06-21
64 0 0 -
【转载】浅谈——网络安全架构设计（五）
目录 一、负载均衡设备 （1）LTM：基于链路（内网）的负载均衡 （2）GTM：基于服务器（外网）的负载： 一、负载均衡设备 （1）LTM：基于链路（内网）的负载均衡 需求：电信的用户访问web服务器，从电信入口进，从电信的接口出，联通的用户访问web服务器，从联通入口进，从联通的接口出。那么就需要在互联网出口部署一个基于链路的负载均衡（LTM）设备。 ①负载均衡 ②形成主备 （2）GTM：基于服务器（外网）的负载： F5设备根据IP地址找到这三台服务器，然后把三台服务器在F5设备上建立一个服务器的资源池 F5设备会判断当前三台服务器，谁的并发连接数最高，谁的CPU利用率最高，谁的内存比较高.....它可以判断出服务器的健康状态，性能参数。 F5设备会根据不同的算法执行不同的操作！！！ ①轮询算法： 当外网pc2想要访问公司内网的业务的时候，pc2会负载到服务器1上，pc3负载到服务器2上 pc4负载到服务器3上................... ②根据并发连接数。 假设：服务器1并发连接数2万，服务器2的是4万，服务器3的并发连接数8000， 当pc2和pc3访问时，会把pc2和pc3负载到 服务器3上。 ———————————————— 版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。 原文链接：https://blog.csdn.net/qq_62311779/article/details/125923679
SE_Ning 2024-06-19
23 0 0 -
【转载】浅谈——网络安全架构设计（四）
目录 一、跳板机（堡垒机）—解决方案 （1） 简介： （2）实列： （3）跳板机作用： 二、数据库审计系统—解决方案 三、日志审计系统—解决方案 四、安全等保 五、双机热备： 六、堆叠 ①横向虚拟：交换机虚拟成一个 ②纵向虚拟：把接入交换机虚拟成核心交换机的虚拟板卡 七、网闸——生产网和办公网解决方案 一、跳板机（堡垒机）—解决方案 （1） 简介： 跳板机（Jump Server），也称堡垒机，是一类可作为跳板批量操作远程设备的网络设备，是系统管理员或运维人员常用的操作平台之一。 （2）实列： 正常情况下，PC1想要访问内网的OA系统， 首先通过web页面访问到跳板机上，然后利用这个跳板朝着OA办公系统发起访问。 而且在跳板机上还可以部署AAA认证技术（认证，授权，审计） ——认证：验证用户是否可以获得网络访问权。可以是密码用户的或者数字证书的认证 ——授权：授权用户可以使用哪些服务，包括授权用户可以使用的命令。可以是给与对应设备对应的访问权限，可以访问哪些网段，可以执行哪些操作。 ——审计：什么登录，什么时候离开....... （3）跳板机作用： ①核心系统运维和安全审计管控； ②过滤和拦截非法访问、恶意攻击，阻断不合法命令，审计监控、报警、责任追踪； ③报警、记录、分析、处理； ————————————————————————————————————————————————————————— 二、数据库审计系统—解决方案 主要为了防止删库跑路： 如果你开发一个游戏，一个web页面，那么这些相关的视频图片.....都是存放在数据库里面， 现在内网的开发人员想要争对这个数据库想要登录的话，首先要经过数据库审计系统进行认证（ 实际上也是基于AAA认证技术的。 ——认证：登录这个数据库时需要一个认证 ——授权：数据库有很多个实列，你能访问哪写实列，不能访问哪些实列，而且对于这个实列的增删改查都有哪些权限，可以控制死。如果某个研发人……
33 0 0 -
【转载】浅谈——网络安全架构设计（三）
目录 一、防火墙解决方案: (1)网络拓扑: (2) 注意点: 二、防火墙透明模式实列: 三、安全准入解决方案: 四、AD域(活动目录)解决方案:: 五、态势感知解决方案: 一、防火墙解决方案: 注:两个防火墙之间的区域也是DMZ区域 (1)网络拓扑: (2) 注意点: ①该解决方案银行等机构比较常见,因为银行里面有很多外连的单位,而这些单位均处于DMZ区域中 ②两个防火墙应该采用异构组网:两个防火墙应该选择两个厂商的,以确保安全性. ③防火墙部署的两个模式(默认路由模式): ________________________________________________________________________________________________ 二、防火墙透明模式实列: 注:下一代防火墙=防火墙+IPS __________________________________________________________________________________________________ 三、安全准入解决方案: 背景需求:如果公司的员工拿着电脑离开公司,到家里或其他地方上网,可能感染了病毒,然后以后电脑带到公司,导致病毒横向扩散,其他设备感染病毒. 解决设备:核心交换机旁挂安全准入设备[ISE(思科)或北信源], 公司所有的电脑上安装一个客户端, 安全准入设备为server端,通过server端控制客户端: 公司笔记本只能连接本公司网络,只能在公司上网,离开公司不能上网. 想要自己安装任何软件都没有权限,甚至USB接口封锁(防止U盘泄密和感染病毒) 连接PC接口启用802.1X认证技术,无论是有线接口还是无线,连接交换机/无线网络时,首先都要通过认证,认证之后还要通过安全准入设备检测电脑是否安全,还要授权和审计(AAA认证技术)(利用安全准入设备和802.1X合作) _____________________________________________________________________________________________________ 四、AD域(活动目录)解决方案:: 背景:很多时候,企业内部还有自己的域控制器 需求: ①内网所有的电脑一开机都有统一……
27 0 0 -
【转载】浅谈——网络安全架构设计（二）
目录 一、实现需求: 二、安全优化: (1)修改后网络架构 (2)安全评估: 三、再优化 (1)优化方案 (2)防火墙区域及作用: (3)优化后架构 一、实现需求: 需求:内网服务器要对互联网提供web服务， 而内网ＩＰ均为私有ｉｐ所以须在出口路由器做NAT转换: 把192.168.20.1 TCP 80映射到100.1.1.1 TCP 80 此时PC3只要访问到10.1.1.1 TCP 80端口就等同于访问到了内网服务器192.168.20.1 ______________________________________________________________________________________________________ 二、安全优化: (1)修改后网络架构 (2)安全评估: IPS能够防御入侵攻击实际上靠的是入侵数据库,每一种入侵的方式都有一系列的行为特征,把行为特征提取出来写成攻击特征数据库,然后把这个数据库升级到IPS里面,IPS才可以争对一些最新的攻击进行防御 但是如果现在有一个最新的BUG和最新的攻击方式,IPS做相关的防御还是极其困难的 如果PC3是一个恶意攻击者,你既然允许他访问web服务器,他采用最新的病毒或最新攻击方式,把web服务器入侵了, 则他把web服务器入侵之后,利用web服务器为跳板,向内网其他的服务器或设备展开攻击,就及其难防御 ____________________________________________________________________________________________________ 三、再优化 (1)优化方案 ①对服务器进行安全加固[安装安全软件(火绒、卡巴斯基...)] ②把服务器上没有使用的服务端口关闭,保留必要端口号 ③服务器前安装WAF应用防火墙:WAF应用防火墙主要是争对HTTP以及HTTPS协议去做深度的入侵检测的(为七层防火墙) ④底层操作系统加固 ⑤利用硬件防火墙划分区域(防火墙接口必须划分区域) (2)防火墙区域及作用: 防火墙提供的是区域和区域间的访问控制(华为,华三,山石网科,绿盟......)默认情况下,区域之间都不能互通.所以防火墙一开始是实现公司内外网的安全隔……
20 0 0 -
【转载】浅谈——网路安全架构设计（一）
目录 一、行为审计 1、背景需求： 2、主体功能： 二、AV杀毒网关&IPS 一、行为审计 1、背景需求： 条件：如果此时公司有100人，申请了100M带宽 但是是否能满足需求呢？ 如果这100人之中有人上班期间，刷视频，打游戏,购物等等.........由此可见由许多和工作无关的流量，实际上浪费了有限的出口带宽， 即需要对上网行为进行控制，所以需要行为审计设备（物理设备）（在互联网出口与核心交换机之间串一个行为审计设备 —————————————————————————————————————————————————————————— 2、主体功能： ①流量审计控制： 凡是上网的流量都会经过我（行为审计设备），所以可以发现上班期间有没有一些下载的流量， 购物的，刷视频的.....流量,凡是这类流量我可以给他限速， 或者一旦发现这种违规的流量可以直接给他干掉。 但是一般公司的采购部门，一般情况下，购物流量这些事必须的，所以怎么办？ 可以在行为审计上针对某个网站，某个业务设置一个白名单和黑名单： 可以节省带宽 列如： 我可以对于购物的流量 采购部门（可以是IP地址）的设置为白名单，其他的设置为黑名单， 可以把公司主要高管设置为白名单 ②舆情监控：公司员工出现不正确言论时，可以把他监控其他，防止制造舆论 ③防泄密： 凡是发到互联网上的电子邮件，它可以根据关键字去匹配你有没有这种泄密的行为， 甚至有权限查看电子邮件 ④其他安全功能 ———————————————————————————————————————————————————————— 二、AV杀毒网关&IPS ———————————————— 版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。 原文链接：https://blog.csdn.net/qq_62311779/article/details/125841065
36 0 0 -
UDP服务器与客户端之间的区别
UDP是一种无连接的协议，不需要在通信双方之间建立连接，UDP服务器在处理数据时具有较低的延迟，能够实现高实时性的数据传输，那么UDP服务器与客户端之间有哪些区别呢？ UDP服务器与客户端之间的主要区别是在于它们的行为和角色，服务器一般是等待并响应来自客户端的请求，客户端则是主动发送请求并且等待服务器的响应。 UDP协议有着无连接的特性，致使UDP服务器可以同时处理多个客户端的请求，与TCP服务器相比较，TCP服务器则需要为每一个客户端维护一个连接，对服务器的并发处理能力提出了更高的请求。 UDP协议采用数据报文的可靠性传输，数据报文有可能会出现丢失、重复和乱序的情况，所以在实现UDP服务器和客户端时，需要考虑一下该怎样来处理这些问题。 总而言之UDP服务器与客户端之间的区别就在于它们的连接方式、并发处理能力和可靠性方面都是不同的。 ———————————————— 原文链接：https://blog.csdn.net/wanhengwangluo/article/details/139093889
SE_Zhang 2024-05-30
26 0 0 -
网络基础（三）——网络层
IP协议 1、基本概念 2、协议头格式 2.1、报头和载荷如何有效分离 2.2、如果超过了MAC的规定，IP应该如何做呢？ 2.3、分片会有什么影响 3、网段划分 4、特殊的ip地址 5、ip地址的数量限制 6、私有ip地址和公网ip地址 7、路由 IP协议 网络层解决的问题是将数据从一台主机送到到另一台主机，即在复杂的网络环境中确定一个合适的路径。 ip = 目标网络 + 目标主机（在构建网络的时候，为我们将来高速定位一台主机，提供了基础保障） 1、基本概念 · 主机：配有IP地址, 但是不进行路由控制的设备; · 路由器：即配有IP地址, 又能进行路由控制; · 节点：主机和路由器的统称; 2、协议头格式 4位版本号(version)：指定IP协议的版本，对于IPv4来说，就是4。 4位头部长度(header length)：IP头部的长度是多少个32bit，也就是 length * 4 的字节数。 4bit表示最大的数字是15，因此IP头部最大长度是60字节。 8位服务类型(Type Of Service)：3位优先权字段(已经弃用)，4位TOS字段，和1位保留字段(必须置为0)。4位 TOS分别表示：最小延时，最大吞吐量，最高可靠性，最小成本。这四者相互冲突，只能选择一个。对于 ssh/telnet这样的应用程序，最小延时比较重要。对于ftp这样的程序，最大吞吐量比较重要。 16位总长度(total length)：IP数据报整体占多少个字节。 16位标识(id)：唯一的标识主机发送的报文。如果IP报文在数据链路层被分片了，那么每一个片里面的这个id都是相同的。 3位标志字段：第一位保留(保留的意思是现在不用，但是还没想好说不定以后要用到)。第二位置为1表示禁止分片，这时候如果报文长度超过MTU，IP模块就会丢弃报文。第三位表示"更多分片"，如果分片了的话，最后一个分片置为1，其他是0。类似于一个结束标记。 13位分片偏移(framegament offset)：是分片相对于原始IP报文开始处的偏移。其实就是在表示当前……
18 0 0 -
网络安全——传输层安全协议
目录 前言 一.传输层安全协议 二.SSL协议背景 1.SSL协议介绍 2.SSL协议三种安全特性 3.SSL之间通信 三.SSL协议简介 1.SSL两层组成 2.SSL协议三个基本性质 前言 本周将会讲解传输层的安全协议。了解SSL协议 一.传输层安全协议 传输层安全协议(Transport Layer Security Protocol,TLS）正是为了解决传输层安全问题而提的。 传输层安全性就是要保证因特网上任意两个主机进程之问数据交换的安全性，包括建立连接时的用户身份合法性、数据交换过程中的数据机密性、数据完整性以及不可否认性等方面。 传输层安全协议增强了传输层协议的安全性，它在传输层协议的基础上增加了安全协商和数据加密/解密处理等安全机制和功能。 现实中，大多数用户通常选择使用的传输层安全协议是安全套接字层(Secure Sockets layer,SSL.)协议 二.SSL协议背景 1.SSL协议介绍 SSL协议对于用户而言是透明的，普通用户使用SSL进行网络连接的区别不外乎是浏览器地址栏中的URL地址是以https作为开头，地址栏最右端或状态栏会有一个挂锁或钥匙的图标。 实际上，SSL是一个独立于平台和应用的协议。图4-1显示了SSL.在协议栈中的位置，用于保护基于TCP的应用，SSL在TCP层之上、应用层之下，就像TCP连接的套接字一样工作。 2.SSL协议三种安全特性 （1）数据机密性：采用对称加密算法来加密数据，密钥是在双方握手时协商指定的。 （2）数据完整性：采用消息鉴别码（MAC）来验证数据的完整性，MAC是采用Hash函数实现的。 (3）身份合法性：采用非对称密码算法和数字证书来验证通信实体的身份合法性。 3.SSL之间通信 SSL协议的基本目标是在两个通信实体之间建立安全的通信连接，为基于客户机/服务器模式的网络应用提供安全保护。 图4-2给出了一个典型基于SSL的VPN应用. 展示一个高校研究人员如何通过Web浏览器或专用客户端安全访问内部资源。 首先，……
63 0 0
网络安全
