我的获奖方案，第二届华硕服务器IT硬件平台搭建大赛-CSDN博客

服务器的构成与微机基本相似，有处理器、硬盘、内存、系统总线等，它们是针对具体的网络应用特别制定的，因而服务器与微机在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面存在差异很大。尤其是随着信息技术的进步，网络的作用越来越明显，企业对自己信息系统的数据处理能力、安全性等的要求也越来越高，如果您在进行电子商务的过程中被***窃走密码、损失关键商业数据；如果您在自动取款机上不能正常的存取，您应该考虑在这些设备系统的幕后指挥者----服务器。

服务器是一种高性能计算机，作为网络的节点，存储、处理网络上80％的数据、信息，因此也被称为网络的灵魂。

随着网络技术的飞速发展，人们重视短期效应的网络弊病逐渐暴露出来，***、病毒、信息盗用、计算机犯罪等网络安全事件日益增多。同时，各种操作系统和应用软件被商业利益推动的前提下开发周期日益缩短，不可避免地存在着很多的漏洞，其中一些足以威胁整个网络系统健康运行。

传统的安全原则是根据资源位置划分安全区域，根据对企业的重要性、面临的外来***风险、内在的运行风险不同，划分成多个网络安全区域。执行划分的原则是将同一网络安全层次内服务器之间的连接控制在相同的区域内，尽量消除不同安全层次之间的联系，实施相互逻辑或物理隔离。在运行维护风险方面，网络设备的故障和各种操作失误都会对相关设备造成影响，有效的分区隔离，可以将这种影响限制在较小的区域内部，有利于保证整体应用系统的网络安全运行。

信息安全架构似乎成了一种固定的模式，以往的安全解决方案往往侧重于先防外后防内、先从服务器安全加固到客户端的安全产品的安装。既然是变革，我们是不是可以采取逆向思维，首先保证所有终端的安全性、保证终端访问的可信、保证操作人行为的可信？如果能够实现这三个方面的可信，那么，服务器也就不会存在***和破化的问题了。PC是网络服务的末梢，是最薄弱的地方，这就需要我们对网络接入进行控制，进行强制的策略管理，从源头入手，保护整个资源应用的稳定通畅。因此，要从根本上解决信息安全问题，就必须考虑网络中每一个个体都是可信的，也是安全防御回到起点部分，走出“迷局”的制胜一步。

本方案打破这种传统的区域划分方法，利用应用服务器将网络安全重新定义，在充分考虑到服务器自身安全的基础上，将用户认证、病毒防护、远程接入、系统备份、数字版权等网络安全特性的开发、集成、部署和管理囊括其中。

一、网络安全平台之【问题分析】

根据***能力的组织结构程度和使用的手段，可以将威胁归纳为四种基本类型：无组织结构的内部和外部威胁与有组织结构的内部和外部威胁。传统意义上讲，对外部威胁，安全性强调防御；对内部威胁，安全性强调威慑。但很多企业依然存在着许多安全管理方面的难题无法解决：

{ 安全策略审计方面： 员工使用弱口令、用户权限分配不合理，无法监控终端用户操作电脑信息和***行为。

{ 系统漏洞修补方面： 如客户端操作系统进行补丁漏洞检测、补丁自动分发部署控制。

{ 资产管理方面： 由于不断添置硬件和应用平台，容易造成资产管理的死角，无法生成详细的资产统计报告；无法完成故障设备的诊断及快速定位。

{ 非法的出站与入站： 无法控制用户绕过防火墙等边界设施直接联入互联网，造成物理隔离网络失效；外来笔记本电脑以及其它移动设备的随意接入，造成整体安防体系遭到破坏。

{ 病毒防护软件势单力薄： 网络管理中心无法实现客户端安装软件自动识别控制，尤其无法对未安装防病毒软件的终端进行统计和远程部署；无法定位网络中病毒的感染的用户，也就无法快速、安全的切断***事件。

{ 日志分析： ***检测系统、病毒防护系统、系统日志报告等，每个系统都会记录大量的安全日志，这些日志之间没有合并，大量的日志将冲垮管理中心的日常工作，导致无法看到真正关心的日志。

这些网络管理方面的问题举不胜举，为病毒泛滥、******等行为发生搭建了温床。作为***者来说，普遍都在使用“最易***原则”，即在系统中最薄弱的地方进行***。目前***手法已经是融合了多种技术，以“多头蠕虫病毒”为例，就融合了缓冲区溢出技术、网络扫描技术和病毒感染技术。这时候，如果网络中的服务器还是孤军作战：防病毒软件只能查杀病毒，却不能有效地组织病毒地传播；IDS可以检查出蠕虫在网络上的播，却不能清除蠕虫；补丁管理可以防止蠕虫的感染，却不能查杀蠕虫，等等，我们的网络就会危在旦夕！
二、网络安全平台之【实现目标】

深度防御运用于信息安全领域已经很多年了，为保护重要的数据安全，我们不得不将网络划分出信任等级，把相同等级的主体划分到一个区域里面，把数据一层一层的包裹的严严实实。但从现实来看，大多数企业的安全机制仍然是分散的。分支机构和移动办公依然存在着安全隐患，而现有的网络接入和身份管理技术都还存在着不足，企业利用现有的认证、授权、管理、审计方式都不足以应对网络安全事件爆发的频率，随着应用数量的增加，企业的管理难度也会越发明显。

信息安全保护框架的法则包括：安全防御的完备性、一致性与有效性。

① 完备性：是指安全保护体系中不应有安全漏洞；

② 一致性：是指信息安全框架中的所有终端具有同样的安全防御功能；

③ 有效性：是指信息安全防御框架中的任何一台计算机信息系统所实现的安全策略和安全机制符合用户的当前需要。

本方案中所有技术的应用与服务器部署都遵循上述安全法则，实现如下目标：

{ 提升安全管理

从端点接入行为的管理开始，仅仅做到进行身份认证是不够的，必须能够对端点的行为进行识别，对用户的网络访问行为进行管理，让“行为识别”取代简单的“口令”认证，这是实现构建安全网络平台的基本条件。

{ 强制策略

把一切不符合网络安全规范的设备，在试图到接入到网络中的时候就对其进行检查，在没有任何授权的情况下对其所有行为进行屏蔽。强制策略将不符合安全策略的端点隔离在网外，它可以起到规范用户接入网络行为的作用，这样可以从源头上解决网络安全的问题。例如：一台终端计算机一接入网里面的时候，对其进行检查，监管系统补丁是否更新完整，病毒定义代码是否升级，那么客户端的安全程度会比以往有大幅度的提升。

{ 行为监控

在不影响网络运行效率和不改变现有网络拓扑的情况下，对被监控的网络和主机进行有效的监控和管理。并为终端用户定制成专门用于监控单位内部敏感文件访问情况和敏感文件操作情况的管理系统。与此同时，实现对被控对象的Internet上网行为（如：网页、邮件），内部网络的访问行为（如：访问网上邻居、关键服务器、敏感文件）和计算机用户的操作行为（如：应用程序、剪贴板）的实时监控和管理。现在的用户个性化意识较强，个人的信息接收和存储设备也种类繁多。为了避免敏感数据被非法复制，我们不但要联网主机进行监测，对便携笔记本电脑带入带出网络接入其它网络行为，也要针对U盘、移动硬盘、等其它新增设备的接入行为进行控制。

{ 隔离策略

安全事件源阻断是与行为监控并驾齐驱的功能组成部分。除了非法接入之外，在出现病毒、蠕虫***等安全问题后，对事件源主机实时、快速、精确定位，远程阻断隔离。阻断与监控的妥当使用不但能够在安全等级上面得到提高，同时也会提高用户网络使用的效率。

{ 自愈性

自愈性，主要是针对“强制策略”的补充部分。比如，很多时候终端用户并不是有意识触犯网络安全的策略，比如说出差很久了，没有升级病毒库版本，我们就需要提供了自动修复的功能，一旦发现这个终端不符合安全的要求，要为用户提供自动恢复的机制，使它可以达到预先制定的安全等级规定，就可以按照它原来的权限访问网络上的资源。

三、网络安全平台之【服务器角色】

1．用户身份验证服务器

{ Active Directory

ADFS 提供了基于Web的Extranet 验证/授权、单一签名登陆（SSO）和针对 Windows Server 环境的联合的身份服务，从而提高了在涉及 B<?xml:namespace prefix = st1 ns = "urn:schemas-microsoft-com:office:smarttags" />2C Extranet、Intra company和 B2B Internet场景中、现有活动目录部署的价值。另外，通过将 AD 域控制器作为主 NIS 服务器，并同步 Unix 和 Windows 环境中的用户密码，UNIX 集成有助于在操作系统间建立不间断的用户访问和有效的网络资源管理。

{ Internet Authentication Service

如果活动目录森林工作在跨森林模式下，并且有着双向信任关系，那么 Internet 验证服务/远程验证拨入用户服务(IAS/RADIUS)可以使用这个特性来验证用户账号。它使得管理员拥有了将现有环境中现存的 IAS或RADIUS 服务和新的分支机构网络集成在一起的能力。

{ RADIUS

RADIUS 隐藏机制使用 RADIUS 共享机密、请求验证者以及 MD5 哈希算法加密用户密码和其他属性，例如通道密码和 MS-CHAP-MPPE 密钥。RFC 2865 指明了可能需要评估威胁环境和确定是否应使用附加安全措施。

{ 身份生命周期管理

提供了身份生命周期管理（用户自主维护、注册和配置）、身份控制（访问和隐私控制、单一登录和审计）、身份联合（在信任的Web服务应用程序之间共享用户身份验证和属性信息）以及身份建立（目录和工作流），从而有效地管理内部用户以及互联网上日益增多的客户和合作伙伴。

2．企业数字证书颁发服务器

在信息安全如此重要的今天，几乎所有的网络应用中都支持身份识别的多种存在形式，“用户名+密码”是最简单也是最常用的身份认证方法，它是基于“What you know”的验证手段。任何一个用户能够正确输入密码，计算机就认为他是合法用户，然而实际工作中，由于许多用户为了防止忘记密码，经常采用诸如自己的生日、电话号码等有意义的字符串作为密码，这也就使得静态密码的存在如同虚设。增加数字证书管理服务器，针对私钥、数字证书和可信证书颁发机构建立和验证服务器标识和信任，这将提升整个用户认证安全的防御水平。

3．远程用户接入服务器

***（Virtual Private Network）即虚拟专用网络，就是两个具有***发起连接能力的设备（计算机或防火墙）通过Internet形成的一条安全的隧道。在隧道的发起端（即服务端），用户的私有数据通过封装和加密之后在Internet上传输，到了隧道的接收端（即客户端），接收到的数据经过拆封和解密之后安全地到达用户端。接入服务器（Access Server）又称为网络接入服务器NAS或远程接入服务器RAS，它是位于公用电话网与IP网之间的一种远程访问接入设备。用户可通过公用电话网拨号到接入服务器上接入IP网，实现远程接入INTERNET、虚拟专网（***）、构建企业内部等网络应用。

4．用户网络地址分配服务器

DHCP（Dynamic Host Configure Protocol，动态主机配置协议）服务器在网络中起着重要的作用，它可以为网络中的计算机自动分配TCP/IP地址、子网掩码、网关地址、DNS地址和WINS服务器地址等参数，使用DHCP服务器，可以极大地减轻网管员的负担。

在本方案中，我们将使用DHCP强制技术，它可以使用一个DHCP 网络接入强制服务器，以及一个DHCP 网络接入强制客户端。无论何时，只要一台电脑释放或者更新了自己的IP地址，DHCP服务器就强制执行健康策略。

5．域名解析与名称服务器

在各种强制方式中，DHCP方式实现起来最简单，而且具有最广泛的覆盖能力，因为大部分客户端电脑都需要续订IP地址（除了那些采用固定IP的电脑），但是IPSec强制方式是最强大的方式。当一台电脑的连接受到限制，它仍然有能力访问DNS和DHCP服务器，还有治疗服务器。当然，管理员可以制定策略，将第二个DNS服务器放置在受限网络中，或转发到受限网络中，而不是让安全程度较低的电脑直接访问DNS服务器。

6．防火墙与代理发布服务器

在“安全第一”的网络环境中，Web服务器暴露在网络外部，就有可能招受***而导致服务器瘫痪或网页被更改等潜在的问题。因此就需要使用防火墙来保护它，而保护对外发布信息的Web服务器的方式是使用包过滤型的防火墙。传统意义上的包过滤防火墙有很多弊病，归纳起来有三点：

{ 通信方面：包过滤防火墙只能访问部分数据包的头信息；

{ 状态监管：包过滤防火墙是无状态的，所以它不可能保存来自于通信和应用的状态信息；

{ 信息处理：包过滤防火墙处理信息的能力是有限的。

比如我们熟知的基于IIS漏洞的Unicode***，以及最近比较流行的“SQL注入技术”，因为这种***是选择了防火墙所允许的80端口，而包过滤的防火墙无法对数据包内容进行核查，因此此时防火墙等同于虚设，即使在防火墙的屏障之后，也会被***者轻松拿下超级用户的权限。

而反向代理服务器对外就表现为一个Web服务器，外部网络就可以简单把它当作一个标准的Web服务器而不需要特定的配置。不同之处在于，这个服务器没有保存任何网页的真实数据，所有的静态网页或者CGI程序，都保存在内部的Web服务器上。因此对反向代理服务器的***并不会使得网页信息遭到破坏，这样就增强了Web服务器的安全性。

Microsoft Internet Security and Acceleration (ISA) Server不但是一个高级应用级别的防火墙、同时还具有了虚拟专用网 (***) 和完整的Web 缓存解决方案。安全的服务器发布有助于保护 Web 服务器、电子邮件服务器和电子商务应用程序免受外部***的威胁。ISA Server通过对已发布服务器进行模拟，从而增加了一层安全性。在服务器被发布出去的同时，默认情况下会禁用缓存，我们可以通过配置一个缓存驱动器并为其分配空间来启用缓存。它的多层体系结构和高级策略引擎为所需要的资源提供了精确的控制，形成一个庞大的Cache Cluster。与此同时，当启用了缓存后，正向缓存和反向缓存都将被启用，简化我们部署服务器的难度。

7．安全策略服务器

不论是网络接入客户端和在网络设备，在防止蠕虫和自身免疫功能实现的过程中，安全策略至关重要。安全策略被安装在安全策略服务器当中，无论是PC、移动终端还是PDA，只要进入网络都要先做检查，其中包括该机器是否采取了安全措施，有没有感染病毒等项目，之后就要依据安全策略对欲进入网络的设备进行裁决。安全策略服务器还可以评估防毒客户端上防毒组件和系统更新的状态。通过安全策略服务器配置选项，在风险客户机上执行操作，从而使之符合预先设定的防毒与操作系统更新策略。

　　安全策略服务器会定期轮询防毒和补丁服务器，以请求病毒码文件和扫描引擎信息使其数据保持最新。随后，它使用用户所配置的策略，将这些信息与客户机安全状态数据进行比较。在此之后，策略服务器会创建状态令牌，并将其传递回客户端。最后，客户端执行状态令牌中配置的操作。

8．统一防毒中心服务器

隔离服务器推动 IAS 与系统运行状况验证器之间的通信，并根据已配置的一组系统运行状况策略进行系统运行状况分析。企业安装统一防毒服务器，可以通中央控管中心对网络内的服务器、客户机进行远程策略设置、病毒查杀、远程安装等各种管理操作。实现跨地区、跨平台的网络防毒系统实施统一管理和监控。同时可以保证，对进出邮件服务器的邮件实施病毒扫描，防止病毒通过邮件进行传播和泛滥。网络中的任意一台计算机均可设置为移动管理控制台，网络管理员通过账号和口令使用移动管理控制台，即可清楚地掌握整个网络环境中各个节点的病毒监测状态，对网络任何一个节点进行远程集中式安全管理。其它实现的功能技术包括：远程杀毒、远程报警、远程操作、自动安装、自动升级。如果客户端没有升级病毒库版本，服务器立即提供自动更新和修复功能。

9．系统更新服务器

“一只蝴蝶在纽约中央公园的小黄花上扇动了一下翅膀，于是东京掀起风暴电闪雷鸣！”拓扑学中说这叫——“蝴蝶效应”，来源于“混沌理论”。在“混沌理论”中，主要关心 “对初始条件的敏感性”，相对于网络安全来讲，任何一个客户端如果没有在系统更新的情况下，都可能在浏览网页过程中被植入***，这就有可能造成整个安全防御体系的彻底崩溃。

我们可以使用诸如微软WSUS2.0的系统更新程序，针对客户端操作系统、Office、SQL、Exchange产品的提供补丁。同时，所有补丁细分为Feature Pack、Service Pack、安全更新程序、更新程序、更新程序集、工具、关键更新程序、驱动程序共8个门类。在客户端接入后，即可将上述8种分类分别对比，这都依赖于系统更新服务器的工作效率和稳定性。

10．日志收集与分析服务器

在一个完整的信息系统里面，日志系统是一个非常重要的功能组成部分。查看交换机、路由器和其他网络设备的日志，可以帮助网管员迅速解释和诊断问题。很多网管员经常将认为日志管理是信息安全管理的内容，和系统管理关系不大，这是绝对错误的。

在可信网络中，日志管理的地位更加突出。这些操作包括指引客户机更新其防毒墙网络版客户机组件、启用实时扫描，以及执行“立即扫描”和“立即清除”。其中还包括在客户机上显示通知消息以通知用户防毒策略违规的功能。为了帮助分析防病毒策略的性能，用户还可以选择选项以查看策略服务器日志，日志中记录有诸如策略服务器评估客户机的时间以及评估结果之类的信息。功能如下：

ü 收集并解释与安全事件操作相关的所有网络事件；

ü 收集和报告与安全事件相关的所有网络设备和服务器系统日志事件；

ü 收集和解释与网络安全相关的所有服务器事件，包括客户端的安全状况；

ü 报告每个终端站点、用户的所有准入活动；

ü 报告每个终端站点、用户的多次相同事件活动，设置阀值自动通知管理员；

ü 无响应的主机报告、被拒绝的主机站点报告、按照主机报告进行补救的时间；

ü 按照应用类型对网络状态进行的总结。

11．备份与恢复服务器

信息系统灾难的恢复并不仅仅是针对信息系统的数据恢复和系统恢复，而是面向整个现代型企业的生存规划。它将接受来自各个方面的威胁和挑战，灾难恢复关注的不是灾难本身，而是预防灾难和应对灾难的方法。建立一套完整的容灾体系需要经历下面几个重要环节：灾难恢复计划阶段；数据收集和关键需求分析阶段；风险分析阶段；数据保护阶段；灾难恢复阶段；测试和培训阶段；维护和修改阶段。

企业的核心数据急速膨胀导致在企业中数据安全恐慌，由于传统的备份方式中关注本地备份化，不可避免的存在磁带（磁盘）等物理介质损坏、利用效能较低的缺点，这种单一的备份模式逐步推出了主流。但是，异地备份由于资金投入较大，部署较为复杂，一直以来处于被动状态。

本方案中，利用操作系统中自带的“软件卷影复制服务（Volume Shadow Copy Service）”，用户可以自行创建卷影复制备份和完全相同的文件副本，其中包括所有正在打开的文件。例如，以独占方式打开的数据库以及由操作员和系统活动打开的文件都将在卷影复制过程中备份，这样就可以保证在备份过程中更改的文件将被正确复制。这种复制机制属于基于软件的快照（又称为元数据复制）“写时复制”机制，基于软件的快照可确保原始文件系统中的所有数据块在发生变化（在磁盘上）之前都复制到专门的区域（备份服务器外挂存储设备，同时利用低成本磁带机建立存储池）。

12．文档与数字版权加密服务器

随着企业越来越依赖于计算机应用，企业的大部分信息也都实现了数字化，怎样来保护这些数字信息的安全就显得越来越重要，比如怎样来保护企业的机密电子邮件不被转寄，怎样保证企业网内的数字文档不被带到网外等等，这些安全要求都是以前的防火墙、访问控制列表等安全措施所不能完全解决的，所以有必要寻找新的保护方案。

如果依靠用户的自我约束和责任感来实现数字内容的共享与使用，则可能会给网络安全模型带来无法接受的风险。即使是偶然的安全漏洞，也可能带来严重后果。例如：用户可能会将包含敏感信息的电子邮件或文档错误地转发给不怀好意的人；或者在为企业用户展示文档内容时非法被盗取。

开始文档保护之前，我们必须应用到EFS（文件加密），活动目录、证书服务器、备份服务器等等安全防御技术，遵循本文档中的涉及的各种服务器角色内容，大部分服务器技术都是不可或缺的。我们建议您使用Microsoft® Windows® Rights Management 服务，RMS 是一种服务器技术，用于 Windows Server 2003 认证可信实体，许可受 RMS 保护的信息，注册服务器和用户，并执行权限管理功能。使用 RMS 技术，可以方便地进行设置以允许可信实体使用受 RMS 保护的信息。

四、网络安全平台之【服务器选型】

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />

案例：

公司名称： XX 国际货运公司

公司总部：北京

公司员工人数： 800 人

公司总接入客户端数： 800

移动办公设备： 40%

<?xml:namespace prefix = w ns = "urn:schemas-microsoft-com:office:word" />

采用微软System Center Capacity Planner 2006工具，自定义服务器选型向导。Capacity Planner会在IT架构模块上仿真使用者工作量，将计算架构上每一个设备的使用量，包括服务器，磁盘子系统，局部局域网络与广域网络频宽。根据这些模拟信息，我们采用70%的服务器负荷工作量为满工作量，预留30%的提升空间，部署能够符合现行与未来的性能与容量需求。这样科学测试的结果可以保证在一个应用程序的生命周期中内，将能够帮助IT专业人员持续地确保企业应用程序与服务器能有效地运作并避免遇到瓶颈。

图1 System Center Capacity Planner 2006 模拟压力测试

序号：S01

服务器名称：	Sec_Server_AD
服务器扮演角色：	用户身份验证服务器、企业数字证书颁发服务器
安装服务：	Active Directory Internet Authentication Service RADIUS 企业根域证书服务（ CA ） IIS Web Service DNS Service
服务器型号：	ASUS RS260-E4/RX8
服务器说明：	由于安装目录服务等一系列的服务，系统资源占用应该是个绝对挑战。而对证书服务、 IAS 服务这些网络应用的核心来说，高效与稳定两者必须同时存在。入选理由： 2006 年第十四届“台湾精品奖”得主，以“磐石”品质与精湛的美学设计赢得了评委的充分认可。四核英特尔 ® 至强 ® 5300 处理器平台，

序号：S02-1

服务器名称：	Sec_Server_ac1
服务器扮演角色：	远程用户接入服务器、防火墙与代理发布服务器
安装服务：	*** Service Microsoft Internet Security and Acceleration Microsoft Cluster Service Active Directory
服务器型号：	ASUS RS100-E4/PI2
服务器说明：	由于安装 Microsoft Cluster Service 和 *** Service ，所以在关注服务器计算功能的同时更倾向于网络处理性能的保证。在安装 Cluster Service 同时需要对外网发布服务器，所以在磁盘空间上和配置过程中需要加入磁盘阵列。入选理由： RS100-E4/PI2 采用双服务器等级的 Broadcom® BCM5721 PCI-E 千兆网卡接口，有组合（ Teaming ）与故障转移（ Failover ）功能机制，网络连接将会更顺畅与快速。

序号：S02-2

服务器名称：	Sec_Server_ac2
服务器扮演角色：	远程用户接入服务器、防火墙与代理发布服务器
安装服务：	*** Service Microsoft Internet Security and Acceleration Microsoft Cluster Service Active Directory
服务器型号：	ASUS RS100-E4/PI2
服务器说明：	与 S02-1 相同

序号：S03

服务器名称：	Sec_Server_UP
服务器扮演角色：	用户网络地址分配服务器、域名解析与名称服务器、系统更新服务器
安装服务：	DHCP Service DNS Service WINS Service Windows Update Services
服务器型号：	ASUS RS1613-E4
服务器说明：	耗电量成为今年关注的焦点，因为耗电量过高除了带来昂贵的电力成本外，企业也必须投资散热设备来控制网络设备不会因为过热而让内部数据损毁。根据资料显示，在典型的机房中，制冷系统占电力总消耗的 38% ，电源系统占 15% ，而电费支出则占 TCO （总体拥有成本）的 25% 。入选理由： RS163-E4/RX4 支持两颗 AMD socket1207 处理器以及 8 根支持 DDR2 533/667 内存插槽，系统能耗得到有效的控制，再配以智能风扇技术，可以监控系统温度，并可根据系统的温度智能调节风扇速度以达到最佳的运行环境，是一款高性能计算节能产品的典范。

序号：S04

服务器名称：	Sec_Server_nap
服务器扮演角色：	安全策略服务器、网络接入控制服务器
安装服务：	Network Access Quarantine Control in Windows Server 2003 升级策略（ Windows Server Longhorn ）
服务器型号：	ASUS RS260-E4/RX8
服务器说明：	主要入选理由是未来的扩展性，即 Windows Server Longhorn 部署；其它选型的原则与 S01 相同。

序号：S05

服务器名称：	Sec_Server_vs
服务器扮演角色：	病毒防御控制服务器
安装服务：	McAfee VirusScan Enterprise 注：Network Access Protection 合作伙伴 [url]www.microsoft.com/china/windowsserver2003/partners/nappartners.mspx[/url]
服务器型号：	ASUS RS163-E4
服务器说明：	入选理由同 S03

序号：S06

服务器名称：	Sec_Server_log
服务器扮演角色：	日志收集与分析服务器
安装服务：	ASUS ASWM Microsoft Systems Management Server MRTG （流量分析系统）
服务器型号：	ASUS RS163-E4
服务器说明：	入选理由同 S03

序号：S07

服务器名称：	Sec_Server_bk
服务器扮演角色：	备份与恢复服务器
安装服务：	Microsoft System Center Data Protection Manager 2006
服务器型号：	ASUS RS163-E4
服务器说明：	入选理由同 S03 。本服务器需要外界磁带机，所以本身的存储空间并不需要很大。

序号：S08

服务器名称：	Sec_Server_FILE
服务器扮演角色：	文档与数字版权加密服务器
安装服务：	Microsoft Windows Rights Management Services (RMS) Microsoft Windows Small Business Server 2003 R2
服务器型号：	ASUS TS300-E4/PX4
服务器说明：	TS300-E4/PX4 采用英特尔 ® 至强 ® 3000 系列双核处理器和英特尔 ® 3000 MCH 芯片组，支持 DDR533/667 内存，作为 5U 入门级服务器提供快速处理能力和更高的性能。 TS300-E4/PX4 通过 LSI® 1068 PCI-X mini-SAS x 4 接口支持 RAID 0 、 1 、 1E ，并且可以选购 LSI® ZCR （ Zero-Channel-RAID ） PCI-X 卡升级支持 RAID 5 ，被公认为“性能领先的 SAS 存储”。

其它设备：

{ HP StorageWorks Modular Smart Array 500 G2

{ HP StorageWorks 1/8第二代

五、网络安全平台之【拓扑结构说明】

1.网络安全接入技术实现原理概述

图2 自动防御系统实现模型

安全网络接入和策略部署包括下列内容：

{ 适用于动态主机配置协议和***、IPSec 的NAP 客户端计算机；

{ 安全管理平台，对于不符合当前系统运行状况要求的计算机进行强制受限网络访问，同时运行Internet 身份验证服务 (IAS)，支持系统策略配置和 NAP 客户端的运行状况验证协调；

{ 策略服务器，为IAS服务器提供当前系统运行情况，并包含可供接入客户端访问以纠正其非正常运行状态所需的修补程序、配置和应用程序。策略服务器还包括防病毒隔离和软件更新服务器。

{ 证书服务器，向基于IPsec的网络接入客户端颁发运行状况证书。

2．分层模型

图3 客户端安全策略分层模型

根据上图所示，NAP 服务器有一个“强制隔离客户端”（QES/ QEC）组件层。每个QES/ QEC都针对不同类型的网络访问而定义。例如，有用于 DHCP 配置和 *** 连接的 QES与具备 NAP 能力的客户端一起工作。隔离服务器推动 IAS 与系统运行状况验证器（SHV）之间的通信，并根据已配置的一组系统运行状况策略进行系统运行状况分析。在用于防病毒和用于操作系统更新的 SHV层，用于检查防病毒签名的 SHV 与存储最新防病毒更新版本号的服务器匹配。在隔离方面，NAP提供了DHCP 隔离包含、*** 隔离、IPsec 隔离多种取保通信的访问机制。

3．网络拓扑图

图4安全区域划分拓扑图

六、网络安全平台之【实现效果】

{ 高可用性

在保证服务器数据完整性的同时，方案中的选型服务器都可以为用户提供实时访问保障。如ISA Server中的***服务、Web发布服务等，都可以在检测到故障的同时，透明地重定向或将故障程序切换给冗余系统。

{ 可扩充性

可扩充性是指增加服务器容量（在合理范围内）的能力。随着企业的发展和操作系统的升级，访问服务器资源的用户越来越多，服务器的压力也将会与日俱增。因此我们在服务器选型阶段就已经考虑了：增加内存的能力、增加处理器的能力、增加磁盘容量的能力与操作系统升级后可能会遇到的限制。

{ 持续性度量

正如本文所述，网络安全的实现首先解决的是可信的度量问题。也可以理解为前提安全评估，任何将要获得控制权的主体，都需要先接受可信度的评估。例如：从客户端加电直到运行环境的建立，度量过程都一直在进行，包括系统中的每一个硬件、操作系统以及应用软件都是可信的，遭受到病毒、***威胁的计算机自动修复，达到接入等级。

{ 数据安全

用户的密钥及身份证书在全新的网络改造中是的唯一的身份标识的数据，用户可以将这样的敏感数据存储在USB智能卡中，并将用户的个人数据与芯片内封装的密钥绑定在一起。即便是数据被窃取，但由于数据已经与用户身份绑定，在平台的信息发生变化后，其它用户也无法获取数据的内容。真正做到身份认证、授权访问控制和安全责任审计的“每客户”模式。

{ 打破区域限制

针对网络安全应用增加的服务器应用，可实现网络信任系统中“无区域”的概念。利用服务器安全管理的资源应用，所有的访问必须通过策略服务器的授权协议来完成的，只有通过合法授权才能访问资源，最大限度的保护了敏感数据区域的访问。