专线广域网安全解决方案

摘要：在众多的安全手段当中，物理隔离是最简单有效的手段之一，因此很多企事业单位都会通过租用专线的形式搭建与Internet物理隔离的专线广域网，以保障自身的信息安全。

在众多的安全手段当中，物理隔离是最简单有效的手段之一，因此很多企事业单位都会通过租用专线的形式搭建与Internet物理隔离的专线广域网，以保障自身的信息安全。此时，已经解决了来自互联网的安全威胁以后，信息安全关注的重点变为如何保障专线广域网的信息安全上来。

专线广域网信息安全的特点

分析专线广域网的应用环境，会发现整网的多管理员的管理模式，是其最大的特点。专线广域网连接的是各个分支机构的局域网，而一半情况下，每个局域网都会有自己的管理员。对于比较大型的专线广域网，也会实行分级网管策略，比如国家到各省的专线广域网为一个管理机构，各省内、市内的专线广域网又是各自独立的网管机构，从而形成多级网管的状态。专线广域网的这种多管理员特点，使得专线广域网在信息安全建设中需要考虑如下几个问题：

■  如何快速有效的抑制蠕虫病毒在网内的传播。

由于专线广域网将所有的局域网进行了连接，一旦某一局域网内出现了蠕虫病毒，则病毒会通过专线广域网快速传播。而多管理员结构又造成这样一种情况，当某一管理员发现蠕虫病毒时，需要通过其它管理员来进行相应动作，从而使得对蠕虫病毒的响应速度变慢，甚至得不到控制。

■  如何解决源自内网攻击行为和对攻击来源的定位问题。

解决了源自Internet的安全威胁，并不意味着攻击不会发生。个别不满员工的报复行为，由于缺少安全意识造成的无意识的破坏行为，由于非法连接外网从而造成成为第三方想内网发起攻击的跳板等等问题，都使得需要对源自内网攻击行为进行识别控制，并且需要定位攻击源。但是同样由于多管理员的问题，造成了定位困难。尤其在某些内部局域网还采用了NAT技术的情况下，问题更为突出。

■  广域网带宽的有效保护问题。

广域网带宽是非常紧缺和昂贵的，而在其上往往又经常承载视频会议等对带宽和时延非常敏感的应用，因此合理使用广域网带宽就显得非常重要。对于比较大型的广域网，内部资源非常丰富，自建FTP甚至P2P下载的情况经常出现，这往往对有限的广域网带宽带来很大的压力。而在多管理员环境下，很难保证全网同一的QoS策略的有效实施。

除上述问题外，对于比较大型的专线广域网往往会采用MPLS VPN技术进行多业务承载，这又对安全设备提出了组网适应性的要求，要求所选用的安全设备能够支持MPLS报文识别、OSPF路由协议等网络特性。

典型组网

DPtech内网控制解决方案是在充分考虑到了专线广域网所面对的全部L2~7层安全威胁的基础上，综合运用杭州迪普科技有限公司的防火墙、UTM、IPS、UAG等产品进行设计的。在近似的防护能力下，对于不同的网络环境、网络节点提供了不同的产品选择。

对于网络的核心节点和大型分支节点，采用独立的高性能的防火墙、IPS、UAG产品进行防护。首先通过DPtech防火墙实现L2~4层访问控制功能。而DPtech IPS实现了病毒库、攻击特征库和协议库的三库合一，因此通过DPtech IPS对包括蠕虫病毒在内的所有L4～7层安全威胁进行防护。DPtech UAG产品则可以对各种应用层协议进行分析，对不同的应用提供灵活的带宽控制和保障。

对于小型的网络分支节点，由于其对性能的要求相对较低，则可以通过DPtech UTM统一实现L2～7层安全威胁防护和广域网带宽控制和保障。

如专线广域网连接的各局域网没有终端准入的机制，则在专线广域网建设中还应该额外考虑广域网的终端准入问题，以解决对攻击源的定位问题。对于此需求，可以通过DPtech UAG上的web认证功能实现无客户端的广域网端点准入。

特点与优势

■  网络级的性能

迪普相关产品基于APP-X硬件平台，可以在吞吐量、并发、新建连接、延时等方面提供网络级的性能。不会因为增加了新的设备而使得应用的性能出现下降。

■  网络适应性

迪普相关产品基于Conplat软件平台，提供了丰富的网络适应性，可以在IPv6、MPLS等复杂网络环境下良好的工作。设备部署的时候，可不受网络环境的限制，也不需要大面积调整网络结构。

■   完善的L2～7安全保护

通过DPtech的防火墙、IPS、UAG提供了完善的L2～7层安全保护。

■   统一安全策略部署

DPtech产品的统一管理和策略部署能力，提供了简便的统一安全策略部署方案。

■  完善的高可靠性保障

DPtech防火墙和IPS都具有双机热备能力，提供完善的高可靠性保障。