導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

園區(qū)網(wǎng)絡(luò)基于核心路由器安全改造淺析

文檔作者：裴純龔少卿文檔來源：江西財(cái)經(jīng)職業(yè)學(xué)院		點(diǎn) 擊數(shù)：	更新時間： 2021年12月17日
下載地址：點(diǎn)擊這里	文件大?。?591.81 KB 共2頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?91.81 KB 共2頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：提高電力變壓器抗短路能力的改造措施

上一篇：站間安全信息傳輸系統(tǒng)雙套熱備改造方案

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

園區(qū)網(wǎng)絡(luò)基于核心路由器安全改造淺析
裴純龔少卿
(江西財(cái)經(jīng)職業(yè)學(xué)院江西332000)
【摘要】在不影響現(xiàn)有傳統(tǒng)園區(qū)三層網(wǎng)絡(luò)運(yùn)行的情況下進(jìn)行升級改造，將其改造成為以核心路由器為中心的新型網(wǎng)絡(luò)，
增強(qiáng)網(wǎng)絡(luò)的安全性。
【關(guān)鍵詞】vlan；acl；核心路由器；安全；網(wǎng)絡(luò)改造
中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A 文章編號：1009—6833(2014)12—141—02
Campus Network Security Reform Analyses Based on the Core Router
Pei Chun，Gong Shaoqing
Abstract：This does not affect the case of upgrading existing traditional campus network operation，to transform it into a core router as
the center of the new network，and enhance network security
Keywords：vlan；acl；core router；network security；network upgrading
1 網(wǎng)絡(luò)現(xiàn)狀及改造方案
現(xiàn)有園區(qū)網(wǎng)絡(luò)改造前為傳統(tǒng)的三層網(wǎng)絡(luò)構(gòu)架，以傳統(tǒng)三層
核心交換機(jī)cisc06509為中心，各區(qū)域匯聚交換機(jī)掛接在核心交
換機(jī)上，所有應(yīng)用系統(tǒng)直通掛接在核心交換機(jī)上。
其中包括核心業(yè)務(wù)系統(tǒng)，辦公應(yīng)用系統(tǒng)，應(yīng)用服務(wù)器系統(tǒng)
等，各系統(tǒng)之間目前沒有實(shí)施相關(guān)安全防護(hù)措施。各網(wǎng)絡(luò)區(qū)域
間通過核心路由的acl設(shè)定進(jìn)行通信控制。
如上所描述，園區(qū)網(wǎng)絡(luò)整體組網(wǎng)圖沒有安全區(qū)域概念，而
且網(wǎng)絡(luò)安全管理在核心交換機(jī)和各匯聚及接入交換機(jī)上分別設(shè)
置，同一區(qū)域內(nèi)基本沒有網(wǎng)絡(luò)安全措旆，通信基本不受控制，
在網(wǎng)絡(luò)容量不斷增長，網(wǎng)絡(luò)面臨安全威脅不斷增加的情況下，
現(xiàn)有的網(wǎng)絡(luò)安全機(jī)制已不適應(yīng)網(wǎng)絡(luò)運(yùn)行的需求，給網(wǎng)絡(luò)維護(hù)造
成諸多不便。
1．1安全改造方案
改造網(wǎng)絡(luò)結(jié)構(gòu)，以適應(yīng)網(wǎng)絡(luò)應(yīng)用需求，但是改造過程中要
變更核心設(shè)備，勢必會對網(wǎng)絡(luò)運(yùn)行造成重大影響，在此過程當(dāng)
中如何保障網(wǎng)絡(luò)的正常運(yùn)行是改造實(shí)施的要點(diǎn)。
為了保障在網(wǎng)絡(luò)改造中，現(xiàn)網(wǎng)業(yè)務(wù)的正常運(yùn)行，改造分兩
步，首先做中期改造，將核心路由旁掛在現(xiàn)網(wǎng)的核心交換機(jī)上，
將數(shù)據(jù)按區(qū)域逐步割接至核心路由器中進(jìn)行轉(zhuǎn)發(fā)，將數(shù)據(jù)割接
全部完成后再將原核心交換的主出口轉(zhuǎn)移到核心路由器上，實(shí)
現(xiàn)平滑過渡。
改造完畢后的網(wǎng)絡(luò)數(shù)據(jù)流經(jīng)核心交換機(jī)到達(dá)核心路由器，
再進(jìn)入網(wǎng)絡(luò)出口設(shè)備。核心區(qū)采用1臺核心路由器做為核心，
進(jìn)行數(shù)據(jù)高速轉(zhuǎn)發(fā)。為了保證交換核心對數(shù)據(jù)的快速轉(zhuǎn)發(fā)，不
再額外部署安全設(shè)置。所有業(yè)務(wù)，按照功能不同從不同的邏輯
區(qū)域接入核心。接入時將增加防病毒、防DDOS等措施進(jìn)行安
全控制。
1．2網(wǎng)絡(luò)核心改造過程
網(wǎng)絡(luò)核心安全改造初期架構(gòu)如下圖所示：
翟母
I冒
冒
冒
圖1 網(wǎng)絡(luò)核心安全改造初期架構(gòu)
將核心路由器旁掛在原有的核心交換機(jī)上，網(wǎng)絡(luò)中各區(qū)域
交換機(jī)按規(guī)劃分區(qū)域逐個進(jìn)行改造，核心交換和核心路由器同
步配合，保證改造過程中網(wǎng)絡(luò)業(yè)務(wù)不中斷，直至將所有數(shù)據(jù)均
轉(zhuǎn)移到核心路由器上，此時再將出口鏈路割接至核心路由上，
完成改造過程。
1．3功能區(qū)域安全改造
教學(xué)區(qū)、辦公區(qū)、實(shí)訓(xùn)區(qū)和賓館等網(wǎng)絡(luò)主要區(qū)域，經(jīng)交換
設(shè)備接入核心路由器，網(wǎng)絡(luò)中心的網(wǎng)絡(luò)安全設(shè)計(jì)采用大二層模
塊化的設(shè)計(jì)方法，將所有接入交換機(jī)端口規(guī)劃入指定的vlan當(dāng)
中，各端口連接設(shè)備的通信均由核心路由器統(tǒng)一進(jìn)行管理。全
網(wǎng)采用靜態(tài)口地址接入。
將網(wǎng)絡(luò)功能模塊和安全區(qū)域模塊統(tǒng)一起來。根據(jù)業(yè)務(wù)需求，
對安全區(qū)域定義了相應(yīng)的安全級別，對不同的安全區(qū)域采取不
同的安全保護(hù)方式。通過核心區(qū)域部署一臺高性能的MX960
路由器上行鏈路聯(lián)接天融信防火墻，下連各區(qū)域交換交換機(jī)。
MX960與交換機(jī)6509和天融信防火墻采用千兆／萬兆端口互
連，業(yè)務(wù)遷移過程中采用單個業(yè)務(wù)系統(tǒng)逐步遷入。
具體的安全設(shè)施部署如下：
籃直墨
◇采用一臺核心路由器部署在網(wǎng)絡(luò)核心，教學(xué)區(qū)、賓館區(qū)
和辦公區(qū)和實(shí)訓(xùn)區(qū)均接入該核心路由器；
◇在核心路由器設(shè)備上均采用路由模式；業(yè)務(wù)采用靜態(tài)路由。
2改造整體規(guī)劃
按照嚴(yán)格的網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)，為了保證每個區(qū)域的數(shù)據(jù)流都
必須嚴(yán)格控制，整個網(wǎng)絡(luò)拓?fù)渲饕譃閹讉€區(qū)域：
辦公區(qū)、教學(xué)區(qū)、實(shí)訓(xùn)區(qū)、賓館區(qū)
2．1設(shè)備信息
核心路由：
l型號主機(jī)描述
MX960 Juniper Care Core Support for MX960 Chassis
(includes RE／SCB／P、Ⅳlt仇玳0S)
2．2用戶地址池
用戶分配的口段
教學(xué)樓：10．0．48．0／24；賓館：10．0．255．0／24=服務(wù)器區(qū)：
10．0．0．0／24
辦公區(qū)：10．0．16．0／20；實(shí)訓(xùn)區(qū)： 10．0．80．0／25至
10．0．122．128／25
2．3路由設(shè)置
根據(jù)安全設(shè)計(jì)，核心區(qū)MX960采用靜態(tài)路由的方式部署，教
學(xué)區(qū)、行政區(qū)和實(shí)訓(xùn)區(qū)所有數(shù)據(jù)通過核心路由器進(jìn)行路由轉(zhuǎn)發(fā)。
2．4管理設(shè)置
設(shè)備管理選項(xiàng)
通過在設(shè)備上啟用包括：
H11’P／H．rrPS／Telnet／SSH／Sm仲，丌P等服務(wù)，允許合法口
來管理MX960設(shè)備。
日志管理
核心路由器的日志包括messages log和claissis Log，
messages Log主要包括設(shè)備的狀態(tài)信息、防攻擊信息、設(shè)備的
管理信息等。而chissisLog指設(shè)備的機(jī)框日志。
(下轉(zhuǎn)第144頁)
一嘎¨一
：耆≈‘
勺_山一
烹¨
。
：，
+嗣≯ ∥蘢黼。幽|㈣一。㈦一。㈣一㈦峨
萬方數(shù)據(jù)
善曙光天羅100D防火墻系統(tǒng)的防護(hù)作用，實(shí)現(xiàn)曙光天羅100D
防火墻對曙光高性能計(jì)算機(jī)群的有效管理和可靠保護(hù)。曙光計(jì)
算機(jī)群的高性能屬性為更多的用戶提供了便利、使用戶的使用
范圍逐漸廣泛，機(jī)群管理者不僅能夠?qū)崿F(xiàn)對局域網(wǎng)內(nèi)部的用戶
管理，還能為機(jī)群可靠性的提高貢獻(xiàn)力量。
有數(shù)據(jù)顯示，70％以上的計(jì)算機(jī)網(wǎng)絡(luò)軟件可靠性面臨著的
嚴(yán)重問題都來自網(wǎng)絡(luò)內(nèi)部，致使連接局域網(wǎng)的高性能計(jì)算機(jī)面
臨著可靠性問題，為此，必須著手打造高性能機(jī)群的立體安全
pJ。首先，設(shè)置防火墻SNAT以形成局域網(wǎng)與互聯(lián)網(wǎng)之間的可
靠保護(hù)屏障，使所有對機(jī)群的訪問信息都通過防護(hù)墻的防御渠
道，從而提高機(jī)群可靠性。其次，計(jì)算機(jī)網(wǎng)絡(luò)用戶需要通過天
羅防火墻實(shí)現(xiàn)對訪問權(quán)限的控制。最后要實(shí)現(xiàn)節(jié)點(diǎn)映射的安全
管理，加強(qiáng)節(jié)點(diǎn)管理的可靠性，切實(shí)做到對節(jié)點(diǎn)的直接訪問。
4結(jié)束語
計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)是現(xiàn)階段高科技技術(shù)發(fā)展的核心，隨著我
國信息化的普及和應(yīng)用，實(shí)現(xiàn)計(jì)算機(jī)網(wǎng)絡(luò)的可靠性成為了現(xiàn)階
段計(jì)算機(jī)發(fā)展的主要趨勢，計(jì)算機(jī)網(wǎng)絡(luò)的可靠性是保證計(jì)算機(jī)
(上接第140頁)
現(xiàn)在相關(guān)法律法規(guī)缺失，不能有效維護(hù)用戶個人信息安全。
其次，企業(yè)必須推動信息安全管理和安全運(yùn)維體系的建設(shè)。采
用新技術(shù)確保數(shù)據(jù)的安全，保證個人信息不被非法收集和不當(dāng)
利用，提高用戶對個人信息的可控性。
(3)提高用戶的信息安全素養(yǎng)。提高個人安全意識，做好
數(shù)據(jù)的使用和銷毀工作。比如用戶在處理舊手機(jī)時，不僅要清
空通訊錄、照片、以及QQ聊天記錄，還應(yīng)及時清空微博、QQ
等其他應(yīng)用賬號信息。
5結(jié)束語
大數(shù)據(jù)帶來了新的發(fā)展機(jī)遇，同時也對信息安全提出了新
的挑戰(zhàn)。本文對大數(shù)據(jù)的概念、特征、安全問題及應(yīng)對措施做
了簡要分析。當(dāng)前大數(shù)據(jù)的研究還處于初步階段，大數(shù)據(jù)安全
技術(shù)的相關(guān)研究還需要很長的路要走。
參考文獻(xiàn)：
網(wǎng)絡(luò)數(shù)據(jù)和信息正常傳輸?shù)幕A(chǔ)，也是計(jì)算機(jī)網(wǎng)絡(luò)正常運(yùn)行的
主要保障，只有將理論和實(shí)踐相結(jié)合，總結(jié)在計(jì)算機(jī)網(wǎng)絡(luò)工作
過程中遇到的問題，解決經(jīng)驗(yàn)，優(yōu)化計(jì)算機(jī)網(wǎng)絡(luò)的電子設(shè)備，
才能從根本上解決如今面對的計(jì)算機(jī)可靠性問題，本文以我國
計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)容為基礎(chǔ)，對相關(guān)計(jì)算機(jī)網(wǎng)絡(luò)的可靠性設(shè)計(jì)原則
進(jìn)行了簡要探析，希望能對相關(guān)研究工作者提供寶貴的參考性
建議。
參考文獻(xiàn)：
[1】唐鏡雯．提高計(jì)算機(jī)網(wǎng)絡(luò)可靠性的方法研究Ⅱ】．通訊世界，
2013，02：40-41．
[2]聶巍．提高計(jì)算機(jī)網(wǎng)絡(luò)可靠性的方法研究[J】．計(jì)算機(jī)光盤軟件
與應(yīng)用，2014，14：117-118．
【3】宮婷．提高計(jì)算機(jī)網(wǎng)絡(luò)可靠性的方法研究U】．科技創(chuàng)新與應(yīng)用，
2014，30：77．
【4】朱云娜．提高計(jì)算機(jī)網(wǎng)絡(luò)可靠性的探討Ⅱ】．計(jì)算機(jī)光盤軟件與
應(yīng)用，2012。10：165．
CODEN RUXUEWJournal ofSoftware，2014，25(4)：691-692
【doi：10．13328／j．cnki．jos．004572】
【2]Viktor Mayer—Schonberger，Kenneth Cukier．Big Data：A
Revolution that Will Transforln How We Live，Work and Think．
Boston：Houghton Mifflin Harcourt，2013．
[3】陶雪嬌，胡曉峰，劉洋．大數(shù)據(jù)研究綜述Ⅱ】．系統(tǒng)仿真學(xué)報(bào)，2013
年8月增刊．P142-146
【4】馮登國，張敏，李昊．大數(shù)據(jù)安全與隱私保護(hù)Ⅱ】．計(jì)算機(jī)學(xué)報(bào)，
2014年1月，P246-255。
作者簡介：
馬顏軍(1982一)，男，山東沂水，碩士，講師，研究方向：
網(wǎng)絡(luò)安全。
張宇(198卜)，女，山東桓臺，碩士，工程師，研究方向：
腫瘤基因組學(xué)。
遼寧省教育廳科學(xué)研究一般項(xiàng)目《云計(jì)算環(huán)境下的取證技術(shù)研
[1】孟小峰，高宏．大數(shù)據(jù)專題前-glJ]．軟件學(xué)報(bào)ISSNl000-9825， 究》(項(xiàng)目編號：L2013490)。
(上接第141頁)
由于設(shè)備本身對日志存儲空間有限，建議將日志信息發(fā)送
到專門的syslog服務(wù)器上，由syslog服務(wù)器來對設(shè)備所有日志
信息進(jìn)行收集和存儲。
配置命令：
system{
syslog{
user+{any emergency；}
file messages{any notice；
authorization info：}
file interactive·commands{
interactive-commands any：}}}
2．5防DDoS配置
set firewall policer 001 if-exceeding bandwidth·limit 20k
(上接第142頁)
2．3實(shí)行電磁屏蔽。避免電磁輻射
進(jìn)行網(wǎng)絡(luò)系統(tǒng)操作時若出現(xiàn)信息的泄露，一般來說有以下
兩種可能：首先，借助電源線及信號線等所進(jìn)行的傳導(dǎo)發(fā)射；
其次是利用空間散播的輻射發(fā)射。有效信息的泄露非常容易導(dǎo)
致內(nèi)部機(jī)密的外傳，造成大量的損失，所以說做好防止電磁泄
露這項(xiàng)工作很有必要。
2．4強(qiáng)化內(nèi)部工作人員的技能
這項(xiàng)措施是現(xiàn)階段解決國內(nèi)存在的網(wǎng)絡(luò)安全問題的一項(xiàng)重
要舉措。對網(wǎng)絡(luò)專業(yè)人員的技能培訓(xùn)，其根本目的是使所有的
網(wǎng)絡(luò)管理人員都能為維護(hù)網(wǎng)絡(luò)安全做出自己的努力，同時讓網(wǎng)
絡(luò)操作人員及時追蹤網(wǎng)絡(luò)系統(tǒng)并完成系統(tǒng)升級工作，更快更好
地提升解決網(wǎng)絡(luò)安全問題的水平。目前，對于絕大多數(shù)國內(nèi)的
網(wǎng)絡(luò)安全廠家來說，此對策是最具關(guān)鍵性也是最有效的措施之
一，并且越來越受到重視。
3結(jié)束語
set firewall policer 001 igexceeding burst-size-limit 2k
set firewall policer 001 then discard
撐在設(shè)備內(nèi)網(wǎng)接口下調(diào)用policer
set interfaces ge-0／0／0．0 family inet policer arp 001
網(wǎng)絡(luò)核心改造完成后，各區(qū)域內(nèi)和區(qū)域間的數(shù)據(jù)通信均由
核心路由器進(jìn)行路由轉(zhuǎn)發(fā)，在核心路由器上進(jìn)行相關(guān)的安全設(shè)
置可控制網(wǎng)內(nèi)的病毒傳播及其他對安全有威脅的行為，同時可
通過對網(wǎng)絡(luò)內(nèi)的通信進(jìn)行記錄便于后期的審計(jì)。經(jīng)改造后網(wǎng)絡(luò)
的安全性可上一個臺階。
作者簡介：
裴純(1975一)。男，漢族，浙江開化，本科，講師，研究方
向：計(jì)算機(jī)網(wǎng)絡(luò)及應(yīng)用。
龔少卿(1983_一)，男，漢族，江西九江，本科，講師，研究
方向：計(jì)算機(jī)應(yīng)用技術(shù)。
伴隨著網(wǎng)絡(luò)通訊技術(shù)的迅速提高，網(wǎng)絡(luò)手段在信息的獲取
及流通、交換過程中會變得越發(fā)重要；再加上目前我國網(wǎng)絡(luò)信
息技術(shù)正處于上升階段，一些創(chuàng)新性技術(shù)問世的同時，也會不
可避免地出現(xiàn)一些漏洞。所以說，我們應(yīng)當(dāng)更加重視網(wǎng)絡(luò)安全
問題，針對近來國內(nèi)出現(xiàn)的各種網(wǎng)絡(luò)安全問題及時制定合理有
效的解決對策。
參考文獻(xiàn)：
[1】1巨乃岐．信息安全一網(wǎng)絡(luò)世界的保護(hù)神【M】．北京：軍事科
學(xué)，2003．
【2】陳慧明，李艷華．計(jì)算機(jī)安全網(wǎng)絡(luò)對策【J】網(wǎng)絡(luò)安全技術(shù)與
應(yīng)用．2004．
【3】謝希仁．計(jì)算機(jī)網(wǎng)絡(luò)【M】．北京：電子工業(yè)出版社，1999．
作者簡介：
吳疆(1978一)，男，漢族，武漢大學(xué)，大學(xué)本科，湖北省信
息中心網(wǎng)絡(luò)運(yùn)行部主任，研究方向：計(jì)算機(jī)。

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05