安全部署主打胶片.ppt

安全部署主打胶片.ppt

《安全部署主打胶片.ppt》由会员分享，可在线阅读，更多相关《安全部署主打胶片.ppt（59页珍藏版）》请在冰豆网上搜索。

日期：

2007.04.18,杭州华三通信技术有限公司,H3C安全部署最佳部署解决方案,企业整体安全部署安全部署之安全分区安全部署之边界安全安全部署之安全管理,目录,企业网整体安全部署,Internet/WAN,端点准入防御汇聚交换机安全核心交换机集成安全数据中心安全外部服务器安全安全管理中心园区边界出口安全专网分支机构安全Internet分支机构安全,PrivateWAN,端点准入防御EAD,汇聚交换机集成安全设备防攻击、SSH、SFTP、基于用户级别的管理、DHCPoption82安全特性、DHCPsnooping防止IP仿冒、DHCPsnooping防止ARP仿冒、Portsecurity实现MAC地址flooding防御、802.1x认证、STP边缘端口和bpdu保护、组播源抑制、端口环回检测、ARP限速汇聚交换机L3板和Xlog配合对园区进行流量分析,核心交换机集成安全设备防攻击、SSH、SFTP、基于用户级别的管理、端口镜像、端口流量抑制、路由协议验证、SecBladeFW,数据中心安全ACL包过滤、ASPF状态防火墙、攻击防范（DoS、DDoS）、异常流量监控、深度检测、L4-L7层的安全、病毒防范、木马攻击防范、BT等业务管理、防火墙NSM板对数据中心流量进行分析及安全监控,外部服务器安全DMZ区、IPS深度检测防御、设备防攻击、SSH、SFTP,管理中心安全SecCenter安全事件管理中心，XLOG日志中心,园区边界出口安全ACL访问控制、ASPF状态防火墙、防DDOS攻击、邮件内容过滤、拥塞管理、安全日志防火墙NSM板对园区出口进行流量分析及安全监控,专网分支机构安全L2TP、GRE、IPSec/IKE、L2TP/GREOverIPSec、IPSecOverL2TP/GRE,Internet分支机构安全L2TP、GRE、IPSec/IKE、L2TP/GREOverIPSec、IPSecOverL2TP/GRE,企业网整体安全,Internet/WAN,PrivateWAN,H3C园区安全最佳部署,对应解决方案,局域网安全,企业网安全,数据中心安全,终端安全,远程用户安全,分支机构安全,园区出口安全,安全局域网解决方案,数据中心安全解决方案,EAD解决方案,综合VPN接入解决方案,综合VPN接入解决方案,边界安全解决方案,安全管理,智能安全管理解决方案,虚拟安全服务/综合防病毒,目录,企业整体安全部署安全部署之安全分区安全部署之边界安全安全部署之安全管理,不区分安全区域的园区网,不区分信任域的园区网网络中的所有用户共在一个开放的网络环境中每个用户的接入控制单独完成内部、外部服务器，内网用户等不同安全级别的区域暴露在Internet等非信任区域下,内部服务器,外部服务器,内网用户,管理员,Internet,WAN/VPN,安全区域划分,安全区域划分方法：

横向划分：

将物理位置相近，并具有相同网络安全策略的安全资产划分进入同一个安全区域。

安全区域划分,安全区域划分方法：

纵向划分：

根据网络业务和用户访问权限对具有相同访问需求的用户划分进入同一安全区域。

目录,企业整体安全部署安全部署之安全分区安全部署之边界安全安全部署之安全管理,在园区网的设计中按照区域的划分会产生多个边界网络边界网络的定义是园区网连接到广域网/Internet等外部网络的边缘区域通常对于园区的边界有以下几种定义广域网出口公共服务器区域分支结构VPN远程用户VPNPSTN拨号用户Internet出口,园区网络边界定义,单设备园区出口边界安全,园区网络,Internet,出口路由器（可选）,公共服务器,路由器/安全网关/VPN网关,ISP路由器,园区边界,典型的单设备园区网出口仅有Internet一个边界出口与外部网络互连有一个公共服务器区对外部提供WWW/E-MAIL等服务远程用户（包括移动接入用户和小型分支节点）通过Internet建立VPN隧道接入到园区网络内边界安全设计要求设备成本低，通常将出口路由器和VPN安全网关/防火墙集成在一台出口设备上通过在路由器上配置NAM板实现出口流量监控,设备MSR50/30/20AR28/46SecPath系列,单设备园区出口边界安全,园区网络,Internet,出口路由器（可选）,公共服务器,路由器/安全网关/VPN网关,ISP路由器,园区边界,设备AR系列MSR系列SecPathF100,VPN网关IPSecVPNGREoverIPSecL2TPoverIPSec,Internet出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控,园区网与外界网络互连出口包括Internet/PSTN和WAN几部分公共服务器对外部提供WWW/E-MAIL等服务移动用户可以通过Internet建立VPN接入园区网远程分支机构可以通过Internet建立VPN接入园区网，也可以通过私有的WAN网络接入园区网部署专业的防火墙、VPN和IPS等设备增加边界安全性通过在防火墙/路由器上配置NSM/NAM板实现出口流量监控,专业安全设备园区出口边界安全,Internet,公共服务器,防火墙,园区边界,Internet出口路由器,VPN网关,出口路由器,分支机构VPN网关,移动用户,分支机构,IPS,园区网,WAN,专业安全设备园区出口边界安全,总部VPN网关SecPathV100-SSecPathV1000-A分支机构VPN网关SecPathV100-S防火墙SecPathF1000-SSecPathF1000-AIPSTippingPoint-50TippingPoint-200E出口路由器MSR50/30/20AR28/46流量监控NSMNAM,Internet,公共服务器,防火墙,园区边界,Internet出口路由器,VPN网关,出口路由器,分支机构VPN网关,分支机构,IPS,WAN,园区网,移动用户,专业安全设备园区出口边界安全部署,Internet,公共服务器,防火墙,园区边界,Internet出口路由器,VPN网关,出口路由器,分支机构VPN网关,分支机构,IPS,Internet/WAN,园区网,移动用户,Internet出口路由器ACL访问控制路由协议认证设备访问安全SSH,VPN网关IPSecVPNGREoverIPSecL2TPoverIPSec,防火墙ACL访问控制ASFP状态检测防DoS攻击DMZ区NAT,IPS深度检测防御防病毒攻击防DoS攻击防蠕虫病毒防木马病毒,出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控,园区网与外界网络互连出口包括Internet/PSTN和WAN几部分公共服务器对外部提供WWW/E-MAIL等服务移动用户可以通过Internet建立VPN接入园区网远程分支机构可以通过Internet建立VPN接入园区网，也可以通过私有的WAN网络接入园区网部署专业的防火墙、VPN和IPS等设备增加边界安全性园区出口部署双VPN网关实现负载均衡和备份，部署双防火墙实现状态热备，提供高可靠性通过在防火墙/路由器上配置NSM/NAM板实现出口流量监控,园区网络多出口边界安全,Internet,公共服务器,防火墙,园区边界,Internet出口路由器,专网WAN出口路由器,远程分支机构,专网分支机构,VPN网关,IPS,IPS,Internet/WAN,移动用户,园区网,园区网络多出口边界安全,总部VPN网关SecPathV1000-A分支机构VPN网关SecPathV100-S防火墙SecPathF1800-ASecPathF1000-AIPSTippingPoint-400TippingPoint-1200ETippingPoint-2400E出口路由器MSR50/30/20AR28/46流量监控NSMNAM,Internet,公共服务器,防火墙,园区边界,Internet出口路由器,专网WAN出口路由器,远程分支机构,专网分支机构,VPN网关,IPS,IPS,Internet/WAN,移动用户,园区网,园区网络多出口边界安全部署,Internet,公共服务器,防火墙,Internet出口路由器,专网WAN出口路由器,远程分支机构,专网分支机构,VPN网关,IPS,IPS,Internet/WAN,移动用户,园区网,Internet出口路由器ACL访问控制路由协议认证设备访问安全SSH,防火墙ACL访问控制ASFP状态检测防DoS攻击DMZ区状态热备NAT,IPS深度检测防御防病毒攻击防DoS攻击防蠕虫病毒防木马病毒,VPN网关VRRP+IPSecGREoverIPSEC+VRRPL2TPoverIPSec+VRRP,WAN出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控,园区网络多出口边界安全,园区网与外界网络互连出口包括Internet/PSTN和WAN几部分公共服务器对外部提供WWW/E-MAIL等服务移动用户可以通过Internet建立VPN接入园区网远程分支机构可以通过Internet建立VPN接入园区网，也可以通过私有的WAN网络接入园区网通过一台设备支持防火墙&VPN功能，降低组网成本园区出口部署高可靠方案实现负载分担和冗余备份通过在防火墙/路由器上配置NSM/NAM板实现出口流量监控,园区网,Internet,公共服务器,防火墙/VPN/NAT,Internet出口路由器,专网WAN出口路由器,远程分支机构,远程拨号用户,专网分支机构,IPS,IPS,Internet/WAN,移动用户,园区网络多出口边界安全,总部防火墙/VPN网关SecPathF100/F1000分支机构VPN网关SecPathV100-SIPSTippingPoint-400TippingPoint-1200ETippingPoint-2400E出口路由器MSR50/30/20AR28/46流量监控NSMNAM,园区网,Internet,公共服务器,防火墙/VPN/NAT,Internet出口路由器,专网WAN出口路由器,远程分支机构,远程拨号用户,专网分支机构,IPS,IPS,Internet/WAN,移动用户,园区网,Internet,公共服务器,防火墙/VPN/NAT,Internet出口路由器,专网WAN出口路由器,远程分支机构,远程拨号用户,专网分支机构,IPS,IPS,Internet/WAN,移动用户,园区网络多出口边界安全,园区网,Internet出口路由器基本ACL访问控制路由协议认证设备访问安全SSH,VPN网关&防火墙GREoverIPSEC+VRRP实现安全网关冗余备份。

ACL访问控制ASFP状态检测防DoS攻击DMZ区,IPS深度检测防御防病毒攻击防DoS攻击防蠕虫病毒防木马病毒,WAN出口路由器L2TP/GRE/IPSecNATACL访问控制ASPF深度业务监控防病毒/防DoS攻击SSH异常流量监控流量分析监控,目录,企业整体安全部署安全部署之安全分区安全部署之边界安全安全部署之安全管理,网络管理中心的基础功能,OSI网络管理标准中定义了网络管理中心的5大基础功能,配置管理,故障管理,性能管理,计费管理,安全管理,包括网元配置、业务配置、网元控制、业务控制等管理；构造和维护网络系统的配置；对配置的一致性进行严格检验。

包括故障检测、故障诊断、故障隔离、故障恢复等；有效发现、定位网络故障，给出排错建议与排错工具；形成整套的故障发现、告警与处理机制。

包括网络性能分析、流量分析等；分析网络服务质量分析，统计网络运行状态；对网络的使用发展作出评估，为网络规划与调整提供依据。

包括时长、流量等多种计费方式；产生多种信息统计报告及流量对