计算机网络安全课件(沈鑫剡)第10章

管理服务器
Web 服务器 12.13.4.5
安全网络结构
计算机网络安全
安全网络设计实例
安全网络系统结构
网络分成内网、外网和非军事区三部分， 网络分成内网、外网和非军事区三部分，非军事区提供 公共服务； 公共服务； 交换机等接入设备完成对接入用户的认证； 交换机等接入设备完成对接入用户的认证； 安全工作主要针对内部网络资源展开， 安全工作主要针对内部网络资源展开，由防火墙负责控 制内部网不同VLAN之间的信息传输过程，限制外网终 之间的信息传输过程， 制内部网不同 之间的信息传输过程 端对内部网络资源的访问，允许授权终端通过建立第2层 端对内部网络资源的访问，允许授权终端通过建立第 层 隧道接入内部网络； 隧道接入内部网络； 网络入侵防御系统对进出重要终端和服务器的信息流进 行检测； 行检测； 主机入侵防御系统对访问重要终端和重要服务器中资源 的过程实施严密监控； 的过程实施严密监控； 网络管理系统及时反馈网络运行情况给管理员。 网络管理系统及时反馈网络运行情况给管理员。
计算机网络安全
安全网络设计实例
网络安全策略实现机制
防火墙访问控制机制 防火墙访问控制策略分两部分， 防火墙访问控制策略分两部分，一是控制 内网各个VLAN之间的信息传输过程，限 之间的信息传输过程， 内网各个 之间的信息传输过程 制外网终端对内网资源的访问过程。二是 制外网终端对内网资源的访问过程。 定义授权终端通过第2层隧道接入内部网 定义授权终端通过第 层隧道接入内部网 络的方法； 络的方法； 访问控制策略定义三种信息： 访问控制策略定义三种信息：信息传输方 源和目的终端范围， 向、源和目的终端范围，以服务方式确定 消息交换过程。 消息交换过程。
计算机网络安全
安全网络设计实例
安全网络设计和分析
安全网络系统结构； 安全网络系统结构； 网络安全策略； 网络安全策略； 网络安全策略实现机制。 网络安全策略实现机制。 通过一个具体的、 通过一个具体的、具有实用价值的安全网 络的设计和分析过程， 络的设计和分析过程，了解安全网络设计 的基本原则、方法和过程。 的基本原则、方法和过程。
计算机网络安全
安全网络设计实例
网络安全策略实现机制
主机入侵防御系统 监测服务器安全状态； 监测服务器安全状态； 检测进出服务器的信息流； 检测进出服务器的信息流； 控制服务器中资源的访问过程； 控制服务器中资源的访问过程； 限制进程调用过程。 限制进程调用过程。 网络入侵防御系统 监测进出重要终端和服务器的异常信息流； 监测进出重要终端和服务器的异常信息流； 对进出重要终端和服务器的信息流进行攻击特征匹配； 对进出重要终端和服务器的信息流进行攻击特征匹配； 监测是否发生对重要终端和服务器的拒绝服务攻击； 监测是否发生对重要终端和服务器的拒绝服务攻击； 监测是否发生端口扫描侦察； 监测是否发生端口扫描侦察； 监测进出重要终端和服务器的信息流是否符合交互式特性。 监测进出重要终端和服务器的信息流是否符合交互式特性。
计算机网络安全
安全网络设计实例
安全网络主要构件
接入控制和认证构件； 接入控制和认证构件； 分组过滤和速率限制构件； 分组过滤和速率限制构件； 防火墙； 防火墙； 入侵防御系统； 入侵防御系统； VPN接入构件； 接入构件； 接入构件 认证、管理和控制服务器。 认证、管理和控制服务器。
பைடு நூலகம்
计算机网络安全
计算机网络安全
安全网络设计实例
安全网络系统结构
网络管理 工作站 S1 200.1.1.1 S2 200.1.2.1 200.1.3.1 S3 防火墙 S4 1 S5 1 VPN 隧道 193.1.3.1 193.1.3.2 3 2 193.1.2.254 网络入侵 防御系统 S6 交换机 193.1.2.5 193.1.2.6 Web 服务器 邮件服务器 主机入侵 200.1.5.1 防御系统 重要终端 200.1.4.1 数据库服务器 193.1.2.0/24 LAN 2 非军事区 Internet 非信任区 接入终端 FTP 服务器 200.1.9.5
计算机网络安全
安全网络设计实例
网络安全策略
允许内部网络终端发起对Internet的访问，但只能访问外部网络中 允许内部网络终端发起对 的访问， 的访问 服务器； 的Web和FTP服务器； 和 服务器 允许内部网络终端发起对非军事区中的Web和E-MAIL服务器的访问； 服务器的访问； 允许内部网络终端发起对非军事区中的 和 服务器的访问 允许外部网络（非信任区）终端发起对非军事区中的Web和E-MAIL 允许外部网络（非信任区）终端发起对非军事区中的 和 服务器的访问； 服务器的访问； 只允许内部网络终端访问内部网络中的服务器， 只允许内部网络终端访问内部网络中的服务器，但允许内部员工通 过第2层隧道经外部网络访问内部网络中的 层隧道经外部网络访问内部网络中的FTP服务器； 服务器； 过第 层隧道经外部网络访问内部网络中的 服务器 内部网络终端接入内部网络时须经身份认证； 内部网络终端接入内部网络时须经身份认证； 内部网络终端的平均传输速率和峰值传输速率限制为3Mbps和 内部网络终端的平均传输速率和峰值传输速率限制为 和 5Mbps； ； 不允许以交互方式访问内部网络的数据库服务器； 不允许以交互方式访问内部网络的数据库服务器； 能够监测对内部网络数据库服务器发起的攻击； 能够监测对内部网络数据库服务器发起的攻击； 内部网络使用本地IP地址 非军事区服务器使用全球IP地址 地址， 地址， 内部网络使用本地 地址，非军事区服务器使用全球 地址，内部 网络结构对外部网络终端是不可见的。 网络结构对外部网络终端是不可见的。
计算机网络安全
FTP 服务器
VPN数据传输过程 数据传输过程
数据传输过程中，防火墙就是一个互连点对点链路和以太网的路由器； 数据传输过程中，防火墙就是一个互连点对点链路和以太网的路由器； 终端通过点对点链路和防火墙相连，因此， 终端通过点对点链路和防火墙相连，因此，终端采用的链路层协议是 PPP； ； 由于点对点链路是第2层隧道 因此， 层隧道， 帧必须被封装成第2层隧道报 由于点对点链路是第 层隧道，因此，PPP帧必须被封装成第 层隧道报 帧必须被封装成第 由于隧道两端之间采取安全传输机制，进行IPSec的封装过程。 的封装过程。 文，由于隧道两端之间采取安全传输机制，进行 的封装过程
计算机网络安全
安全网络设计实例
网络安全策略实现机制
防火墙 端口 3 193.1.3.1 第二层隧道 PPP 连接 认证身份、分配本地 IP 地址 认证身份、 全球 IP 地址 12.34.56.78
终端通过VPN接入内部网络过程 终端通过 接入内部网络过程
防火墙作为远程接入控制设备，配置内部网络本地 地址池 地址池， 防火墙作为远程接入控制设备，配置内部网络本地IP地址池，用户名 和口令等用户认证信息； 和口令等用户认证信息； 建立终端和防火墙之间的第2层隧道 基于第2层隧道完成终端的身份 层隧道， 建立终端和防火墙之间的第 层隧道，基于第 层隧道完成终端的身份 认证和本地IP地址分配 地址分配； 认证和本地 地址分配； 为了实现第2层隧道的安全传输 隧道两端建立双向的的安全关联； 层隧道的安全传输， 为了实现第 层隧道的安全传输，隧道两端建立双向的的安全关联； 防火墙添加指明通往终端的传输路径的路由项。 防火墙添加指明通往终端的传输路径的路由项。
计算机网络安全
安全网络设计实例
网络安全策略实现机制
防火墙路由表 防火墙路由表 目的网络 目的网络 转发端口 下一跳 通信链路 200.1.9.0/24 端口 1 直接 以太网 200.1.11.1/32 端口 3 直接 第 2 层隧道 防火墙 200.1.9.0/24 200.1.9.5 端口 1 端口 3 200.1.11.1 第二层隧道
安全网络设计实例
安全网络设计目标
能够有效防御来自内部和外部的攻击； 能够有效防御来自内部和外部的攻击； 能够对网络资源的访问过程实施有效控制； 能够对网络资源的访问过程实施有效控制； 能够对用户行为进行有效监控； 能够对用户行为进行有效监控； 能够对网络运行状态进行实时监测； 能够对网络运行状态进行实时监测； 能够对网络性能变化过程和原因进行跟踪、 能够对网络性能变化过程和原因进行跟踪、 分析； 分析； 能够安全传输机密信息。 能够安全传输机密信息。
计算机网络安全
第10章
© 2006工程兵工程学院 计算机教研室
安全网络设计实例
第10章 安全网络设计实例 10章
安全网络概述； 安全网络概述； 安全网络设计和分析。 安全网络设计和分析。 安全网络是能够保障信息安全目标实施的网 络系统， 络系统，是一个能够保证授权用户实现访问 权限内网络资源访问过程的网络系统， 权限内网络资源访问过程的网络系统，是一 个能够抵御并反制黑客任何攻击的网络。 个能够抵御并反制黑客任何攻击的网络。
安全网络设计实例
网络资源
网络设备； 网络设备； 网络操作信息； 网络操作信息； 链路带宽； 链路带宽； 主机系统； 主机系统； 在网络中传输的信息； 在网络中传输的信息； 用户私密信息。 用户私密信息。
计算机网络安全
安全网络设计实例
安全网络设计步骤
确定需要保护的网络资源； 确定需要保护的网络资源； 分析可能遭受的攻击类型； 分析可能遭受的攻击类型； 风险评估； 风险评估； 设计网络安全策略； 设计网络安全策略； 实现网络安全策略； 实现网络安全策略； 分析和改进网络安全策略。 分析和改进网络安全策略。
计算机网络安全
安全网络设计实例
网络安全策略实现机制
用户 A EAPOL-Start
地址＝ EAPOL（EAP 请求（身份） 源 MAC 地址＝MAC A 允许转发 （ 请求（身份） ） ，峰值速率=5Mbps EAPOL（EAP 响应（用户 A） 平均速率 响应（ （ ） 平均速率=3Mbps，峰值速率 ）
计算机网络安全
安全网络设计实例
10.1 安全网络概述
安全网络设计目标； 安全网络设计目标； 安全网络主要构件； 安全网络主要构件； 网络资源； 网络资源； 安全网络设计步骤。 安全网络设计步骤。 给出设计一个安全网络的基本原则、 给出设计一个安全网络的基本原则、过程 和方法。 和方法。
计算机网络安全
S5
EAPOL（ EAPOL（EAP 请求（CHAP） 请求（CHAP） ） EAPOL EAP 响应 CHAP） （ （ ） ） EAPOL（EAP 成功） （ 成功）
交换机接入控制过程
交换机采用基于MAC地址的接入控制机制； 地址的接入控制机制； 交换机采用基于 地址的接入控制机制 一旦终端通过认证，终端的MAC地址被添加到访问控制列表，交换机允 地址被添加到访问控制列表， 一旦终端通过认证，终端的 地址被添加到访问控制列表 许正常转发通过该端口接收到的以MAC A为源 为源MAC地址的 地址的MAC帧； 许正常转发通过该端口接收到的以 为源 地址的 帧 交换机采用本地认证机制，不采用统一的认证服务器。 交换机采用本地认证机制，不采用统一的认证服务器。