第5章網(wǎng)絡安全設計主講：易建勛第5章網(wǎng)絡安全設計第2頁共93頁5.1網(wǎng)絡安全體系結構

網(wǎng)絡安全是一個系統(tǒng)的、全局性的問題。5.1.1TCP/IP協(xié)議的安全模型（1）網(wǎng)絡安全定義網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)能連續(xù)、可靠的正常運行，網(wǎng)絡服務不中斷。主講：易建勛第5章網(wǎng)絡安全設計第3頁共93頁7.1網(wǎng)絡安全體系結構在TCP/IP體系結構中，各層都能提供一定的安全手段。如圖所示。主講：易建勛第5章網(wǎng)絡安全設計第4頁共93頁5.1網(wǎng)絡安全體系結構（2）接口層的安全加密傳輸、防電磁波泄漏等。（3）網(wǎng)絡層的安全網(wǎng)絡層安全威脅：報文竊聽、流量攻擊、拒絕服務攻擊等。網(wǎng)絡層安全技術：路由安全機制、IPSec、防火墻技術等。主講：易建勛第5章網(wǎng)絡安全設計第5頁共93頁5.1網(wǎng)絡安全體系結構（4）傳輸層的安全傳輸層安全協(xié)議：

SSL（安全套接字協(xié)議）SSL提供三個方面的服務：用戶和服務器認證數(shù)據(jù)加密服務維護數(shù)據(jù)的完整性。主講：易建勛第5章網(wǎng)絡安全設計第6頁共93頁5.1網(wǎng)絡安全體系結構（5）應用層的安全應用層安全問題：操作系統(tǒng)漏洞、應用程序BUG、非法訪問、病毒木馬程序等。應用層安全技術：加密、用戶級認證、數(shù)字簽名等。主講：易建勛第5章網(wǎng)絡安全設計第7頁共93頁5.1網(wǎng)絡安全體系結構網(wǎng)絡層面可靠性研究測度指標網(wǎng)絡拓撲層研究拓撲結構的可靠性及網(wǎng)絡組織的要求和改進措施抗毀性、生存性網(wǎng)絡設備層研究通信設備終端到終端的可靠性及整個網(wǎng)絡系統(tǒng)設備的可靠性設備可靠性網(wǎng)絡路由層分析網(wǎng)絡路由算法的效率、流量控制、路由管理網(wǎng)絡運行層研究網(wǎng)絡環(huán)境和網(wǎng)絡異常故障的規(guī)律對網(wǎng)絡可靠性的影響可用性網(wǎng)絡業(yè)務層分析網(wǎng)絡業(yè)務能力及服務質量，對網(wǎng)絡的性能可靠性進行綜合評價完成性、有效性網(wǎng)絡管理層提高維護管理水平的措施網(wǎng)絡可靠性研究主講：易建勛第5章網(wǎng)絡安全設計第8頁共93頁補充：網(wǎng)絡可靠性指標主講：易建勛第5章網(wǎng)絡安全設計第9頁共93頁5.1網(wǎng)絡安全體系結構5.1.2IATF網(wǎng)絡安全體系結構（1）IATE安全技術標準美國國家安全局（NSA）制定了IATF（信息保障技術框架）標準。代表理論是“深度保護戰(zhàn)略”。IATF標準強調人、技術、操作三個核心原則。主講：易建勛第5章網(wǎng)絡安全設計第10頁共93頁5.1網(wǎng)絡安全體系結構（2）邊界有時邊界定義為物理實體，如：人、信息、和信息系統(tǒng)，它們在一個物理區(qū)域中。（3）信息基礎設施在IATF標準中，飛地指位于非安全區(qū)中的一小塊安全區(qū)域。主講：易建勛第5章網(wǎng)絡安全設計第11頁共93頁5.1網(wǎng)絡安全體系結構主講：易建勛第5章網(wǎng)絡安全設計第12頁共93頁5.1網(wǎng)絡安全體系結構（4）對手、動機和攻擊類型可能的對手（攻擊者）：國家、恐怖分子、罪犯、黑客或企業(yè)競爭者。攻擊動機：收集情報、竊取知識產(chǎn)權、或僅僅是為了炫耀。攻擊方法：

被動攻擊、主動攻擊、物理臨近攻擊、內(nèi)部人員攻擊、分發(fā)攻擊。主講：易建勛第5章網(wǎng)絡安全設計第13頁共93頁5.1網(wǎng)絡安全體系結構表5-1IATF描述的5類攻擊的特點攻擊類型攻擊特點被動攻擊包括分析通信流，監(jiān)視沒有保護的通信，解密弱加密通信，獲取鑒別信息（如口令）等。被動攻擊可能造成在沒有得到用戶同意或告知用戶的情況下，將用戶信息或文件泄漏給攻擊者，如泄露個人信用卡號碼等主動攻擊包括試圖阻斷或攻破保護機制、引入惡意代碼、偷竊或篡改信息。主動攻擊可能造成數(shù)據(jù)資料的泄漏和傳播，或導致拒絕服務及數(shù)據(jù)的篡改物理臨近攻擊指未被授權的個人，在物理意義上接近網(wǎng)絡系統(tǒng)或設備，試圖改變和收集信息，或拒絕他人對信息的訪問內(nèi)部人員攻擊可分為惡意攻擊或無惡意攻擊。前者是指內(nèi)部人員對信息的惡意破壞或不當使用，或使他人的訪問遭到拒絕；后者指由于粗心、無知以及其他非惡意的原因造成的破壞分發(fā)攻擊在工廠生產(chǎn)或分銷過程中，對硬件和軟件進行惡意修改。這種攻擊可能是在產(chǎn)品里引入惡意代碼，如后門等主講：易建勛第5章網(wǎng)絡安全設計第14頁共93頁5.1網(wǎng)絡安全體系結構（5）安全威脅的表現(xiàn)形式信息泄露、媒體廢棄、人員不慎、授權侵犯、非授權訪問、旁路控制、假冒、竊聽、電磁/射頻截獲、完整性侵犯、截獲/修改、物理侵入、重放、業(yè)務否認、業(yè)務拒絕、資源耗盡、業(yè)務欺騙、業(yè)務流分析、特洛伊木馬程序、后門等。主講：易建勛第5章網(wǎng)絡安全設計第15頁共93頁5.1網(wǎng)絡安全體系結構被動攻擊指對信息的保密性進行攻擊。特點是偷聽或監(jiān)視信息的傳輸。主動攻擊是篡改信息來源的真實性、信息傳輸?shù)耐暾院拖到y(tǒng)服務的可用性。包括中斷、偽造、篡改等。主講：易建勛第5章網(wǎng)絡安全設計第16頁共93頁案例：網(wǎng)絡攻擊主講：易建勛第5章網(wǎng)絡安全設計第17頁共93頁5.1網(wǎng)絡安全體系結構（6）深度保護戰(zhàn)略模型深度保護戰(zhàn)略的四個基本領域：保護局域網(wǎng)計算環(huán)境；保護區(qū)域邊界；保護網(wǎng)絡和基礎設施；保護支撐基礎設施。主講：易建勛第5章網(wǎng)絡安全設計第18頁共93頁5.1網(wǎng)絡安全體系結構深度保護戰(zhàn)略體系包含人、技術和操作三個要素。表5-2深度保護戰(zhàn)略的具體內(nèi)容人技術操作培訓意識培養(yǎng)物理安全人事安全系統(tǒng)安全管理深度保護技術框架領域安全標準IT/IA采購風險評估認證和鑒定評估監(jiān)視入侵檢測警報響應恢復主講：易建勛第5章網(wǎng)絡安全設計第19頁共93頁5.1網(wǎng)絡安全體系結構5.1.3網(wǎng)絡安全防護技術（1）安全防護策略設計內(nèi)部網(wǎng)絡的原則：應根據(jù)部門需要劃分子網(wǎng)，并實現(xiàn)子網(wǎng)之間的隔離；采取安全措施后，子網(wǎng)之間應當可以相互訪問。主講：易建勛第5章網(wǎng)絡安全設計第20頁共93頁5.1網(wǎng)絡安全體系結構網(wǎng)絡的安全防護：內(nèi)網(wǎng)接口安全防護外網(wǎng)接口安全防護數(shù)據(jù)庫安全保護服務器主機安全防護客戶端的安全防護主講：易建勛第5章網(wǎng)絡安全設計第21頁共93頁物理環(huán)境用戶層應用層表示層會話層傳輸層網(wǎng)絡層鏈路層物理層可靠性可用性審計管理防止否認數(shù)據(jù)完整數(shù)據(jù)保密訪問控制身份鑒別信息處理單元通信網(wǎng)絡安全管理安全特性結構層次系統(tǒng)單元補充：ISO7498-2安全模型主講：易建勛第5章網(wǎng)絡安全設計第22頁共93頁案例：網(wǎng)絡安全技術主講：易建勛第5章網(wǎng)絡安全設計第23頁共93頁5.1網(wǎng)絡安全體系結構（2）傳輸過程中的安全防護技術網(wǎng)絡物理安全防護網(wǎng)絡地址轉換（NAT）（3）包過濾技術包過濾是最常見的一種安全防護技術包過濾技術是利用IP數(shù)據(jù)包的特征進行訪問控制AAA技術根據(jù)用戶名和密碼進行訪問控制主講：易建勛第5章網(wǎng)絡安全設計第24頁共93頁5.2網(wǎng)絡防火墻技術5.2.1防火墻的功能防火墻是由軟件或硬件構成的網(wǎng)絡安全系統(tǒng)。防火墻用來在兩個網(wǎng)絡之間實施訪問控制策略。（1）防火墻在網(wǎng)絡中的位置防火墻用來解決內(nèi)網(wǎng)和外網(wǎng)之間的安全問題。防火墻在網(wǎng)絡中的位置如圖5-6所示。主講：易建勛第5章網(wǎng)絡安全設計第25頁共93頁5.2網(wǎng)絡防火墻技術LAN防火墻Internet主講：易建勛第5章網(wǎng)絡安全設計第26頁共93頁5.2網(wǎng)絡防火墻技術（2）防火墻的功能只有防火墻安全策略允許的數(shù)據(jù)，才可以自由出入防火墻，其他數(shù)據(jù)禁止通過。防火墻受到攻擊后，應能穩(wěn)定有效的工作。防火墻可以記錄和統(tǒng)計網(wǎng)絡的使用情況。防火墻應能過濾和屏蔽一切有害的服務和信息。防火墻應能隔離網(wǎng)絡中的某些網(wǎng)段。主講：易建勛第5章網(wǎng)絡安全設計第27頁共93頁5.2網(wǎng)絡防火墻技術（3）防火墻設置的基本安全準則部分廠商遵循：

一切未被允許的訪問就是禁止的。部分廠商遵循：

一切未被禁止的訪問就是允許的。主講：易建勛第5章網(wǎng)絡安全設計第28頁共93頁5.2網(wǎng)絡防火墻技術（4）防火墻的不足不能防范不經(jīng)過防火墻的攻擊。不能防范惡意的知情者或內(nèi)部用戶的誤操作。不能防止受病毒或木馬文件。由于防火墻不檢測數(shù)據(jù)的內(nèi)容，因此防火墻不能防止數(shù)據(jù)驅動式的攻擊。主講：易建勛第5章網(wǎng)絡安全設計第29頁共93頁5.2網(wǎng)絡防火墻技術5.2.2防火墻的類型軟件防火墻功能強于硬件防火墻硬件防火墻性能高于軟件防火墻。包過濾防火墻產(chǎn)品：以以色列Checkpoint防火墻、美國Cisco公司PIX防火墻。代理型防火墻產(chǎn)品：美國NAI公司Gauntlet防火墻。主講：易建勛第5章網(wǎng)絡安全設計第30頁共93頁5.2網(wǎng)絡防火墻技術（1）軟件防火墻個人級軟件防火墻：瑞星防火墻產(chǎn)品。企業(yè)級軟件防火墻：微軟公司ISAServerCheckPoint公司FW等。主講：易建勛第5章網(wǎng)絡安全設計第31頁共93頁案例：ISAServer企業(yè)級軟件防火墻主講：易建勛第5章網(wǎng)絡安全設計第32頁共93頁5.2網(wǎng)絡防火墻技術（2）硬件防火墻大多數(shù)企業(yè)級防火墻都基于PC架構。硬件防火墻產(chǎn)品：美國思科公司：CiscoPIX

美國杰科公司：NetScreen

中國天融信公司：網(wǎng)絡衛(wèi)士中國華為公司防火墻等主講：易建勛第5章網(wǎng)絡安全設計第33頁共93頁案例：CiscoPIX防火墻產(chǎn)品主講：易建勛第5章網(wǎng)絡安全設計第34頁共93頁案例：華為1800F硬件防火墻主講：易建勛第5章網(wǎng)絡安全設計第35頁共93頁5.2網(wǎng)絡防火墻技術（4）包過濾防火墻包過濾防火墻的弱點：☆過濾的依據(jù)只是網(wǎng)絡層和傳輸層的有限信息，安全要求不可能充分滿足?！铍S著過濾規(guī)則的增加，性能會受到很大影響?！钊鄙賹徲嫼蛨缶瘷C制。主講：易建勛第5章網(wǎng)絡安全設計第36頁共93頁案例：防火墻包過濾策略主講：易建勛第5章網(wǎng)絡安全設計第37頁共93頁5.2網(wǎng)絡防火墻技術（5）代理型防火墻代理型防火墻是工作在應用層。優(yōu)點：可以對網(wǎng)絡中任何一層的數(shù)據(jù)進行篩選和保護。缺點：速度較慢，當網(wǎng)關吞吐量較高時，容易成為內(nèi)網(wǎng)與外網(wǎng)之間的瓶頸。主講：易建勛第5章網(wǎng)絡安全設計第38頁共93頁5.2網(wǎng)絡防火墻技術代理服務器工作流程真實的客戶端真實服務器轉發(fā)請求外部網(wǎng)絡代理客戶機代理服務器應用協(xié)議分析響應內(nèi)部網(wǎng)絡請求轉發(fā)響應主講：易建勛第5章網(wǎng)絡安全設計第39頁共93頁5.2網(wǎng)絡防火墻技術5.2.3PIX防火墻配置案例（1）防火墻的接口內(nèi)網(wǎng)接口：下行連接內(nèi)部網(wǎng)絡設備外網(wǎng)接口：上行連接公網(wǎng)的路由器等設備DMZ接口：接非軍事區(qū)網(wǎng)絡設備硬件防火墻中的網(wǎng)卡一般都設置為混雜模式，這樣就可以監(jiān)測到流過防火墻的數(shù)據(jù)。主講：易建勛第5章網(wǎng)絡安全設計第40頁共93頁Internet

服務器可以使用私有地址隱藏內(nèi)部網(wǎng)絡的結構WWWFTP

MAILDNS

：80——：80：21——：21：25——：25：53——：53：21案例：網(wǎng)絡端口映射主講：易建勛第5章網(wǎng)絡安全設計第41頁共93頁5.3DMZ網(wǎng)絡安全設計5.3.1DMZ的功能與安全策略（1）DMZ的基本慨念DMZ區(qū)域內(nèi)通常放置一些不含機密信息的公用服務器，如Web、Email、FTP等服務器。DMZ并不是網(wǎng)絡組成的必要部分。主講：易建勛第5章網(wǎng)絡安全設計第42頁共93頁5.3DMZ網(wǎng)絡安全設計主講：易建勛第5章網(wǎng)絡安全設計第43頁共93頁5.3DMZ網(wǎng)絡安全設計（3）DMZ網(wǎng)絡訪問控制策略基本原則：☆設計最小權限，定義允許訪問的網(wǎng)絡資源和網(wǎng)絡的安全級別?！畲_定可信用戶和可信任區(qū)域?！蠲鞔_網(wǎng)絡之間的訪問關系，制定訪問控制策略。主講：易建勛第5章網(wǎng)絡安全設計第44頁共93頁案例：DMZ區(qū)域與外網(wǎng)的訪問控制主講：易建勛第5章網(wǎng)絡安全設計第45頁共93頁5.3DMZ網(wǎng)絡安全設計5.3.2DMZ網(wǎng)絡拓撲結構（1）堡壘主機防火墻結構堡壘主機是一臺具有多個網(wǎng)絡接口的計算機，它可以進行內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間的路由，也可以充當與這臺主機相連的若干網(wǎng)絡之間的路由。攻擊者如果掌握了登錄到堡壘主機的權限，那么內(nèi)部網(wǎng)絡就非常容易遭到攻擊。主講：易建勛第5章網(wǎng)絡安全設計第46頁共93頁5.3DMZ網(wǎng)絡安全設計主講：易建勛第5章網(wǎng)絡安全設計第47頁共93頁5.3DMZ網(wǎng)絡安全設計（2）單防火墻DMZ網(wǎng)絡結構DMZ將網(wǎng)絡劃分為：內(nèi)網(wǎng)、外網(wǎng)和DMZ區(qū)域。（3）雙防火墻DMZ網(wǎng)絡結構如圖5-14所示，有兩臺防火墻連接到DMZ公共子網(wǎng)，一臺位于DMZ子網(wǎng)與內(nèi)部網(wǎng)絡之間，而另一臺防火墻位于外部網(wǎng)絡與DMZ之間。主講：易建勛第5章網(wǎng)絡安全設計第48頁共93頁5.3DMZ網(wǎng)絡安全設計5.3.3網(wǎng)絡安全區(qū)域設計（1）定義網(wǎng)絡安全區(qū)域（2）安全區(qū)域中的服務（3）網(wǎng)絡服務區(qū)域的安全問題數(shù)據(jù)庫等服務器，不允許內(nèi)部用戶直接訪問；應用服務器，為內(nèi)部用戶提供服務，并且需要訪問數(shù)據(jù)庫服務器。主講：易建勛第5章網(wǎng)絡安全設計第49頁共93頁5.3DMZ網(wǎng)絡安全設計在安全策略設置中，應當不允許內(nèi)部用戶直接訪問信任域，允許內(nèi)部用戶通過DMZ訪問信任域，允許不信任域訪問DMZ區(qū)域。這樣就可以實現(xiàn)三個層次的安全防護。主講：易建勛第5章網(wǎng)絡安全設計第50頁共93頁案例：網(wǎng)絡安全設計主講：易建勛第5章網(wǎng)絡安全設計第51頁共93頁5.4IDS和IPS網(wǎng)絡安全設計5.4.1IDS入侵檢測技術（1）入侵檢測系統(tǒng)入侵檢測過程：

信息收集、信息預處理、數(shù)據(jù)檢測分析和響應等。入侵檢測系統(tǒng)本質上是一種“嗅探設備”。主講：易建勛第5章網(wǎng)絡安全設計第52頁共93頁補充：入侵檢測原理主講：易建勛第5章網(wǎng)絡安全設計第53頁共93頁5.4IDS和IPS網(wǎng)絡安全設計IDS通常設計為兩部分：安全服務器和主機代理。（2）IDS常用的入侵檢測方法特征檢測、統(tǒng)計檢測與專家系統(tǒng)。（3）其他入侵防御技術防火墻、口令驗證系統(tǒng)、虛擬專用網(wǎng)（VPN）、系統(tǒng)完整性檢測（SIV）、蜜罐系統(tǒng)（給黑客提供一個容易攻擊的假目標）。主講：易建勛第5章網(wǎng)絡安全設計第54頁共93頁5.4IDS和IPS網(wǎng)絡安全設計5.4.2IDS網(wǎng)絡安全設計（1）IDS系統(tǒng)在網(wǎng)絡中的布署IDS系統(tǒng)可以部署在網(wǎng)絡中各個關鍵節(jié)點，它們的工作效果大不相同的。主講：易建勛第5章網(wǎng)絡安全設計第55頁共93頁案例：IDS在網(wǎng)絡設計中的部署主講：易建勛第5章網(wǎng)絡安全設計第56頁共93頁5.4IDS和IPS網(wǎng)絡安全設計（2）IDS系統(tǒng)產(chǎn)品選擇最大處理流量（以pps為單位衡量）產(chǎn)品的擴展性是否通過了國家權威機構的評測主講：易建勛第5章網(wǎng)絡安全設計第57頁共93頁5.4IDS和IPS網(wǎng)絡安全設計5.4.3IDS存在的問題誤報/漏報率高沒有主動防御能力缺乏準確定位和處理機制性能普遍不足主講：易建勛第5章網(wǎng)絡安全設計第58頁共93頁5.4IDS和IPS網(wǎng)絡安全設計5.4.4IPS入侵防御技術（1）IPS的功能IPS是一種主動、積極的入侵防御系統(tǒng)，IPS不但能檢測入侵的發(fā)生，并且能實時終止入侵行為。IPS一般部署在網(wǎng)絡的進出口處。IPS只能串聯(lián)在網(wǎng)絡上，對防火墻不能過濾的攻擊進行處理。主講：易建勛第5章網(wǎng)絡安全設計第59頁共93頁5.4IDS和IPS網(wǎng)絡安全設計（2）IPS工作原理IPS檢測技術：

☆并行處理檢測

☆協(xié)議重組分析主講：易建勛第5章網(wǎng)絡安全設計第60頁共93頁補充：IPS工作原理主講：易建勛第5章網(wǎng)絡安全設計第61頁共93頁5.4IDS和IPS網(wǎng)絡安全設計5.4.5IPS網(wǎng)絡安全設計IPS產(chǎn)品在網(wǎng)絡中采用串聯(lián)式連接。主講：易建勛第5章網(wǎng)絡安全設計第62頁共93頁5.4IDS和IPS網(wǎng)絡安全設計5.4.6IPS存在的問題（1）單點故障如果IPS出現(xiàn)問題，則會嚴重影響網(wǎng)絡的正常運轉。（2）性能瓶頸要求對數(shù)據(jù)包做快速轉發(fā)。加載數(shù)量龐大的檢測特征庫時，IPS設備無法支持這種響應速度。主講：易建勛第5章網(wǎng)絡安全設計第63頁共93頁5.4IDS和IPS網(wǎng)絡安全設計（3）誤報和漏報（4）規(guī)則動態(tài)更新（5）總體擁有成本主講：易建勛第5章網(wǎng)絡安全設計第64頁共93頁5.5網(wǎng)絡隔離設計我國2000年1月1日起實施的《計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》第二章保密制度第六條的規(guī)定：“涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡相連接，必須實行物理隔離”。主講：易建勛第5章網(wǎng)絡安全設計第65頁共93頁5.5網(wǎng)絡隔離設計5.5.1網(wǎng)絡隔離的技術特點（2）網(wǎng)絡物理隔離卡技術思路：首先切斷可能的攻擊途徑（如物理鏈路），然后再盡力滿足用戶的應用需求。（3）協(xié)議隔離技術協(xié)議隔離指兩個網(wǎng)絡之間存在直接的物理連接，但通過專用協(xié)議來連接兩個網(wǎng)絡。主講：易建勛第5章網(wǎng)絡安全設計第66頁共93頁5.5網(wǎng)絡隔離設計（4）網(wǎng)絡隔離的安全要求在物理傳輸上使內(nèi)網(wǎng)與外網(wǎng)絡隔斷。在物理輻射上隔斷內(nèi)網(wǎng)與外網(wǎng)。在物理存儲上隔斷兩個網(wǎng)絡環(huán)境。保證網(wǎng)絡之間交換的只是應用數(shù)據(jù)。在網(wǎng)絡隔離的前提下，保證網(wǎng)絡暢通。主講：易建勛第5章網(wǎng)絡安全設計第67頁共93頁5.5網(wǎng)絡隔離設計5.5.2網(wǎng)絡物理隔離卡工作原理（1）單主板安全隔離計算機采用雙硬盤，將內(nèi)網(wǎng)與外網(wǎng)的轉換功能做入主板BIOS中，并將主板網(wǎng)卡插槽也分為內(nèi)網(wǎng)和外網(wǎng)。（2）網(wǎng)絡物理隔離卡技術采用雙硬盤技術，啟動外網(wǎng)時關閉內(nèi)網(wǎng)硬盤，啟動內(nèi)網(wǎng)時關閉外網(wǎng)硬盤，使兩個網(wǎng)絡和硬盤進行物理隔離。主講：易建勛第5章網(wǎng)絡安全設計第68頁共93頁5.5網(wǎng)絡隔離設計主講：易建勛第5章網(wǎng)絡安全設計第69頁共93頁案例：網(wǎng)絡物理隔離解決方案主講：易建勛第5章網(wǎng)絡安全設計第70頁共93頁案例：網(wǎng)絡安全隔離解決方案主講：易建勛第5章網(wǎng)絡安全設計第71頁共93頁5.5網(wǎng)絡隔離設計5.5.3安全隔離網(wǎng)閘工作原理（1）GAP技術原理GAP技術包含兩個獨立的主機系統(tǒng)和一套固態(tài)開關讀寫介質系統(tǒng)。GAP所連接的兩個獨立主機系統(tǒng)之間，不存在通信連接，沒有命令，沒有協(xié)議，沒有TCP/IP連接，沒有包轉發(fā)等。只有數(shù)據(jù)文件的無協(xié)議“擺渡”，且對固態(tài)存儲介質只有“讀”和“寫”兩個命令。主講：易建勛第5章網(wǎng)絡安全設計第72頁共93頁5.5網(wǎng)絡隔離設計（2）GAP數(shù)據(jù)交換過程內(nèi)網(wǎng)與專網(wǎng)之間無信息交換時，安全隔離網(wǎng)閘與內(nèi)網(wǎng)，安全隔離網(wǎng)閘與專網(wǎng)，內(nèi)網(wǎng)與專網(wǎng)之間是完全斷開的，即三者之間不存在物理連接和邏輯連接，如圖5-21所示。主講：易建勛第5章網(wǎng)絡安全設計第73頁共93頁5.5網(wǎng)絡隔離設計主講：易建勛第5章網(wǎng)絡安全設計第74頁共93頁5.5網(wǎng)絡隔離設計當內(nèi)網(wǎng)數(shù)據(jù)需要傳輸?shù)綄＞W(wǎng)時，安全隔離網(wǎng)閘主動向內(nèi)網(wǎng)服務器數(shù)據(jù)交換代理發(fā)起非TCP/IP協(xié)議的數(shù)據(jù)連接請求，并發(fā)出“寫”命令，將寫入開關合上，并把所有的協(xié)議剝離，將原始數(shù)據(jù)寫入存儲介質。如圖5-22所示。主講：易建勛第5章網(wǎng)絡安全設計第75頁共93頁5.5網(wǎng)絡隔離設計一旦數(shù)據(jù)寫入存儲介質，開關立即打開，中斷與內(nèi)網(wǎng)的連接。轉而發(fā)起對專網(wǎng)的連接請求，當專網(wǎng)服務器收到請求后，發(fā)出“讀”命令，將安全隔離網(wǎng)閘存儲介質內(nèi)的數(shù)據(jù)導向專網(wǎng)服務器。服務器收到數(shù)據(jù)后，按TCP/IP協(xié)議重新封裝接收到的數(shù)據(jù)，交給應用系統(tǒng)，完成內(nèi)網(wǎng)到專網(wǎng)的信息交換。如圖5-23所示。主講：易建勛第5章網(wǎng)絡安全設計第76頁共93頁5.5網(wǎng)絡隔離設計（4）GAP與其他技術的區(qū)別防火墻側重于網(wǎng)絡層至應用層的隔離GAP屬于從物理層到應用層數(shù)據(jù)級別的隔離一個物理隔離卡只能管一臺計算機GAP可管理整個網(wǎng)絡，并且不需要物理隔離卡物理隔離卡每次切換網(wǎng)絡都要重新啟動GAP進行網(wǎng)絡轉換不需要開關機主講：易建勛第5章網(wǎng)絡安全設計第77頁共93頁5.5網(wǎng)絡隔離設計5.5.4安全隔離網(wǎng)絡設計（1）利用GAP技術的組網(wǎng)設計（2）利用網(wǎng)絡物理隔離卡組網(wǎng)設計使用網(wǎng)絡物理隔離卡的安全主機，內(nèi)網(wǎng)和外網(wǎng)最好分別使用兩個IP地址。主講：易建勛第5章網(wǎng)絡安全設計第78頁共93頁5.6VPN網(wǎng)絡安全設計5.6.1VPN技術特點（2）VPN的定義VPN使用IP機制仿真出一個私有的廣域網(wǎng)。（3）VPN隧道技術工作原理VPN在公用網(wǎng)上建立一條數(shù)據(jù)通道（隧道），讓數(shù)據(jù)包通過這條隧道進行安全傳輸。隧道技術是指包括數(shù)據(jù)封裝，傳輸和解包在內(nèi)的全過程。主講：易建勛第5章網(wǎng)絡安全設計第79頁共93頁5.6VPN網(wǎng)絡安全設計