正在播放：【达内】网络安全基础教程全集

（１）防火墙（　Ｆｉｒｅｗａｌｌ）

定义　：　相信大家都知道防火墙是干什么用的，　我觉得需要特别提醒一下，防火墙抵御的是外部的攻击，并不能对内部的病毒　（　如ＡＲＰ病毒　）　或攻击没什么太大作用。

功能　：　防火墙的功能主要是两个网络之间做边界防护，　企业中更多使用的是企业内网与互联网的　ＮＡＴ、包过滤规则、端口映射等功能。生产网与办公网中做逻辑隔离使用，　主要功能是包过滤规则的使用。

安排方式　：　网关模式、透明模式　：　

网关模式是现在用的最多的模式，　可以替代路由器并提供更多的功能，适用于各种类型企业透明安排是在不改变现有网络结构的情况下，将防火墙以透明网桥的模式串联到企业的网络中间，　通过包过滤规则进行拜候控制，做安全域的划分。　至于什么时候使用网关模式或者使用透明模式，　需要按照自身需要决定，　没有绝对的安排方式。需不需要将办事器安排在　ＤＭＺ区，取决于办事器的数量、　重要性。

总之怎么安排都是用户本身的选择！

高可用性　：　为了保证网络可靠性，　现在设备都支持主　－　主、主－　备，等各种安排

（２）防毒墙

定义　：　相对于防火墙来说，一般都具有防火墙的功能，　防御的对象更具有针对性，那就是病毒。

功能　：　同防火墙，　并增加病毒特征库，　对数据进行与病毒特征库进行比对，进行查杀病毒。

安排方式　：　同防火墙，大多数时候使用透明模式安排在防火墙或路由器后或安排在办事器之前，进行病毒防范与查杀

（３）入侵防御　（ＩＰＳ）

定义　：　相对于防火墙来说，一般都具有防火墙的功能，防御的对象更具有针对性，　那就是攻击。　防火墙是通过对五元组进行控制，达到包过滤的效果，　而入侵防御　ＩＰＳ，则是将数据包进行检测　（深度包检测　ＤＰＩ）对蠕虫、病毒、木马、拒绝办事等攻击进行查杀。

功能　：　同防火墙，并增加　ＩＰＳ　特征库，对攻击行为进行防御。

安排方式　：　同防毒墙。

特别说明一下　：　防火墙允许符合规则的数据包进行传输，对数据包中是否有病毒代码或攻击代码并不进行检查，　而防毒墙和入侵防御则通过更深的对数据包的检查弥补了这一点。

（４）统一威胁安全网关　（ＵＴＭ）

定义　：　简单的理解，　把威胁都统一了，其实就是把上面三个设备整合到一起了。

功能　：　同时具备防火墙、　防毒墙、入侵防护三个设备的功能。

安排方式　：　因为可以代替防火墙功能，　所以安排方式同防火墙

现在大多数厂商，防病毒和入侵防护已经作为防火墙的模块来用，在不考虑硬件性能以及费用的情况下，　开启了防病毒模块和入侵防护模块的防火墙，和ＵＴＭ其实是一样的。至于为什么网络中同时会出现　ＵＴＭ和防火墙、防病毒、入侵检测同时出现。

第一，实际需要，在办事器区前安排防毒墙，　防护外网病毒的同时，　也可以检测和防护内网用户对办事器的攻击。第二，花钱，大家都懂的。总之还是那句话，设备安排还是看用户。

（５）ＩＰＳＥＣ　ＶＰＮ

把　ＩＰＳＥＣ　ＶＰＮ放到网络安全防护里，其实是因为大多数情况下，　ＩＰＳＥＣ　ＶＰＮ的使用都是通过上述设备来做的，并且通过加密隧道拜候网络，本身也是对网络的一种安全防护。

定义　：　采用　ＩＰＳｅｃ　协议来实现远程接入的一种　ＶＰＮ技术，至于什么是　ＩＰＳＥＣ　什么是　ＶＰＮ，小伙伴们请自行百度吧

功能　：　通过使用　ＩＰＳＥＣ　ＶＰＮ使客户端或一个网络与别的一个网络连接起来，多数用在分支机构与总部连接。

安排方式　：　网关模式、旁路模式

鉴于网关类设备基本都具备　ＩＰＳＥＣ　ＶＰＮ功能，所以很多情况下都是直接在网关设备上启用　ＩＰＳＥＣ　ＶＰＮ功能，也有个别情况新购买ＩＰＳＥＣ　ＶＰＮ设备，在对现有网络没有影响的情况下进行旁路安排，安排后需要对　ＩＰＳＥＣ　ＶＰＮ设备放通安全规则，做端口映射等等。也可以使用　ｗｉｎｄｏｗｓ　ｓｅｒｖｅｒ　安排　ＶＰＮ，需要的同学也请自行百度　～比拟硬件设备，本身安排没有什么花费，但　ＩＰＳＥＣ　ＶＰＮ受操作系统影响，比拟硬件设备不变性会差一些。

以上设备常见厂家　（　不排名啊不排名　）

Ｊｕｎｉｐｅｒ　Ｃｈｅｃｋ　Ｐｏｉｎｔ　Ｆｏｒｔｉｎｅｔ　（飞塔）思科　天融信　山石网科　启明星辰　深信服　绿盟　网御星云　网御神州　华赛　梭子鱼　迪普　Ｈ３Ｃ

１）　网闸

定义　：　全称安全隔离网闸。安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，　并能够在网络间进行安全适度的应用数据交换的网络安全设备

功能　：　主要是在两个网络之间做隔离并需要数据交换，网闸是具有中国特色的产品。

安排方式　：　两套网络之间

防火一般在两套网络之间做逻辑隔离，　而网闸符合相关要求，可以做物理隔离，阻断网络中　ｔｃｐ　等协议，使用私有协议进行数据交换，一般企业用的比力少，　在对网络要求稍微高一些的单位会用到网闸　．

（２）　ＳＳＬ　ＶＰＮ

定义　：　采用　ＳＳＬ协议的一种　ＶＰＮ技术，比拟　ＩＰＳＥＣ　ＶＰＮ使用起来要更加便利，毕竟　ＳＳＬ　ＶＰＮ使用浏览器即可使用。

功能　：　随着移动办公的快速发展，ＳＳＬ　ＶＰＮ的使用也越来越多，除了移动办公使用，通过浏览器登录ＳＳＬ　ＶＰＮ连接到其他网络也十分便利，　ＩＰＳＥＣ　ＶＰＮ更倾向网络接入，而　ＳＳＬ　ＶＰＮ更倾向对应用发布

安排　：ＳＳＬ　ＶＰＮ的安排一般采用旁路安排方式，在不改变用户网络的状况下实现移动办公等功能。

（３）　ＷＡＦ　（Ｗｅｂ　Ａｐｐｌｉｃａｔｉｏｎ　Ｆｉｒｅｗａｌｌ）　ｗｅｂ　应用防护系统

定义　：　名称就可以看出，　ＷＡＦ的防护方面是　ｗｅｂ应用，说白了防护的对象是网站及　Ｂ／Ｓ　结构的各类系统。

功能　：　针对　ＨＴＴＰ／ＨＴＴＰＳ协议进行分析，对　ＳＱＬ注入攻击、ＸＳＳ攻击　Ｗｅｂ攻击进行防护，并具备基于　ＵＲＬ　的拜候控制；　ＨＴＴＰ协议合规；　Ｗｅｂ敏感信息防护；文件上传下载控制；　Ｗｅｂ　表单关键字过滤。网页挂马防护，　Ｗｅｂｓｈｅｌｌ　防护以及　ｗｅｂ应用交付等功能。

安排　：　通常安排在　ｗｅｂ应用办事器前进行防护

ＩＰＳ　也能检测出部分ｗｅｂ攻击，但没有ＷＡＦ针对性强，所以按照防护对象不同选用不同设备，效果更好　。

（１）网络安全审计

定义　：　审计网络方面的相关内容

功能　：　针对互联网行为提供有效的行为审计、　内容审计、　行为报警、行为控制及相关审计功能。　满足用户对互联网行为审计备案及安全庇护办法的要求，提供完整的上网记录，便于信息追踪、系统安全办理和风险防范。

安排　：　采用旁路安排模式，通过在核心交换机上设置镜像口，将镜像数据发送到审计设备。

（２）数据库安全审计

定义　：　数据库安全审计系统主要用于监视并记录对数据库办事器的各类操作行为。

功能　：　审计对数据库的各类操作，精确到每一条　ＳＱＬ命令，并有强大的报表功能。

安排　：　采用旁路安排模式，通过在核心交换机上设置镜像口，将镜像数据发送到审计设备。

（３）日志审计

定义　：　集中采集信息系统中的系统安全事件、用户拜候记录、系统运行日志、系统运行状态等各类信息，经过规范化、过滤、归并和告警分析等处理后，　以统一格式的日志形式进行集中存储和办理，结合丰富的日志统计汇总及关联分析功能，　实现对信息系统日志的全面审计。

功能　：　通过对网络设备、　安全设备、　主机和应用系统日志进行全面的标准化处理，及时发现各种安全威胁、异常行为事件，为办理人员提供全局的视角，确保客户业务的不间断运营安全安排　：　旁路模式安排。　通常由设备发送日志到审计设备，　或在办事器中安装代理，由代理发送日志到审计设备。

（４）运维安全审计　（　堡垒机　）

定义　：　在一个特定的网络环境下，　为了保障网络和数据不受来自内部合法用户的不合规操作带来的系统损坏和数据泄露，　而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、记录、分析、处理的一种技术手段。

功能　：　主要是针对运维人员维护过程的全面跟踪、　控制、记录、回放，以帮手内控工作事前规划预防、事中实时监控、违规行为响应、事后合规报告、变乱追踪回放。

安排　：　旁路模式安排。　使用防火墙对办事器拜候权限进行限制，只能通过堡垒机对网络设备　／　办事器　／　数据库等系统操作。

可以看出审计产品最终的目的都是审计，只不外是审计的内容不同罢了，　按照不同需求选择不同的审计产品，　一旦出现攻击、不法操作、违规操作、误操作等行为，对事后处理提供有利证据。

（５）入侵检测（　ＩＤＳ）

定义　：　对入侵攻击行为进行检测

功能　：　通过对计算机网络或计算机系统中若干关键点收集信息并对其进行分析，　从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象

安排　：　采用旁路安排模式，通过在核心交换机上设置镜像口，将镜像数据发送到入侵检测设备。

入侵检测虽然是入侵攻击行为检测，　但监控的同时也对攻击和异常数据进行了审计，所以把入侵检测系统也放到了审计里一起介绍。入侵检测系统是等保三级中必配设备。

上网行为办理

定义　：　顾名思义，就是对上网行为进行办理

功能　：　对上网用户进行流量办理、上网行为日志进行审计、对应用软件或站点进行阻止或流量限制、关键字过滤等

安排　：　网关安排、透明安排、旁路安排

网关安排　：　中小型企业网络较为简单，可使用上网行为办理作为网关，　代替路由器或防火墙并同时具备上网行为办理功能

透明安排　：　大多数情况下，企业会选择透明安排模式，将设备安排在网关与核心交换之间，对上网数据进行办理

旁路安排　：　仅需要上网行为办理审计功能时，也可选择旁路安排模式，　在核心交换机上配置镜像口将数据发送给上网行为办理

个人觉得上网行为办理应该属于网络优化类产品，　流控功能是最重要的功能，随着技术的发展，微信认证、防便携式　ｗｉｆｉ　等功能不竭完善使之成为了网络办理员的最爱　～

（２）负载均衡

定义　：　将网络或应用多个工作分摊进行并同时完成，　一般分为链路负载和应用负载　（　办事器负载　）　

功能　：　确保用户的业务应用能够快速、　安全、可靠地交付给内部员工和外部办事群　，　扩展网络设备和办事器的带宽、　增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性

安排　：　旁路模式、网关模式、代理模式

旁路模式　：　通常使用负载均衡进行应用负载时，旁路安排在相关应用办事器交换机上，进行应用负载

网关模式　：　通常使用链路负载时，使用网关模式安排

随着各种业务的增加，负载均衡的使用也变得广泛，　ｗｅｂ应用负载，数据库负载都是比力常见的办事器负载。鉴于国内运营商比力恶心，互联互通问题较为严重，使用链路负载的用户也比越来越多。

（３）漏洞扫描

定义　：　漏洞扫描是指基于漏洞数据库，　通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，　发现可利用的漏洞的一种安全检测（渗透攻击）行为。

功能　：　按照自身漏洞库对目标进行脆弱性检测，　并生产相关报告，提供漏洞修复意见等。一般企业使用漏洞扫描较少，主要是大型网络及等、分保检测机构使用较多

安排　：　旁路安排，　通常旁路安排在核心交换机上，　与检测目标网络可达即可。

（４）异常流量清洗

定义　：　看名字吧

功能　：　对异常流量的牵引、　ＤＤｏＳ流量清洗、　Ｐ２Ｐ带宽控制、流量回注，也是现有针对　ＤＤＯＳ攻击防护的主要设备

安排　：　旁路安排

（一）ＶＰＮ　定义

ＶＰＮ　（　Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ　）虚拟专用网络　，简单的讲就是因为一些特定的需求，　在网络与网络之间，　或终端与网络之间建立虚拟的专用网络，通过加密隧道进行数据传输　（　当然也有不加密的　）　，因其安排便利且具有必然的安全保障，被广泛运用到各个网络环境中。

（　二）ＶＰＮ分类

常见的　ＶＰＮ有　Ｌ２ＴＰ　ＶＰＮ　、ＰＰＴＰ、ＶＰＮ、ＩＰＳＥＣ、ＶＰＮ、ＳＳＬ、ＶＰＮ以及　ＭＰＬＳ　ＶＰＮ。

ＭＰＬＳ　

ＶＰＮ　运营商使用较多，使用场景多为总部与分支机构之间。其他　ＶＰＮ因安排便利，成本较低成为现在使用最为广泛的　ＶＰＮ。

Ｌ２ＴＰ　ＶＰＮ与　ＰＰＴＰ　ＶＰＮ因使用的隧道协议都属于二层协议，所以也称为二层　ＶＰＮ。ＩＰＳＥＣ　ＶＰＮ则采用　ＩＰＳｅｃ　协议，属于三层　ＶＰＮ。

ＳＳＬ　ＶＰＮ是以　ＨＴＴＰＳ协议为基础　ＶＰＮ技术，使用维护简单安全，成为　ＶＰＮ技术中的佼佼者

（　三）ＶＰＮ安排与实现方式及应用场景介绍

１、　安排模式主要采用网关模式和旁路模式安排两种，使用专业ＶＰＮ硬件设备建立ＶＰＮ时多为旁路安排模式，　对现有网络不需要改动，　即使　ＶＰＮ设备出现问题也不会影响现有网络。使用防火墙　／　路由器自带ＶＰＮ功能建立　ＶＰＮ时，　随其硬件安排模式安排。

２、　实现方式主要有以下几种　：　

（１）　通过使用专业　ＶＰＮ软件来建立　ＶＰＮ　

优点　：　投入较少，安排比力灵活

缺点　：　不变性受办事器硬件、操作系统等因素影响

（２）　通过使用办事器自行架设　ＶＰＮ办事器建立　ＶＰＮ，ｗｉｎｄｏｗｓ　办事器为主

优点　：　投入较少，安排比力灵活，　ｗｉｎｄｏｗｓ　系统自带

缺点　：　不变性受办事器硬件、操作系统等因素影响，需自行配置

（３）　通过使用防火墙　／　路由器设备自带　ＶＰＮ功能建立　ＶＰＮ。

优点　：　投入较少，不变性好

缺点　：　因使用现有设备自带　ＶＰＮ模块，对　ＶＰＮ拜候量较大的需求不建议使用，以免出现设备性能不足影响防火墙　／　路由器使用。作为现有设备的自带模块，无法满足用户特殊要求。安排方式相对固定

（４）　通过使用专业的　ＶＰＮ硬件设备建立　ＶＰＮ。

优点　：　产品成熟适用于各种　ＶＰＮ场景应用，功能强大，性能不变。

缺点　：　比力花钱　～～～～～硬件设备需要花钱，　用户授权需要花钱，　反正啥都需要花钱

３、让更多人纠结的应该是在何场景下选择哪种方式来建立ＶＰＮ，按照本人工作经验为大家介绍一些常见的　ＶＰＮ应用场景。

场景一　总部与分支机构互联

大型企业总部与分支结构通常使用　ＭＰＬＳ　ＶＰＮ进行互联，相对于大型企业中小型企业则选择使用投入较低的　ＩＰＳＥＣ　ＶＰＮ进行互联。

例如　：　某大型超配　（　超市配送　）　企业，总部与自营大型超市之间使用ＭＰＬＳ　ＶＰＮ进行数据传输，总部与自营小型超市则使用　ＩＰＳＥＣ　ＶＰＮ进行数据传输。按照各超市数据传输需要选择不同的　ｖｐｎ　技术相结合使用，节约投入成本的同时最大限度的满足与总部的数据传输。

场景二　移动办公

网管远程维护设备、　员工拜候内网资源、　老总出差电子签批等移动办公已成为企业信息化建设的重要组成部分，　同时也为ＶＰＮ市场带来了巨大商机。　ＳＳＬ　ＶＰＮ因其使用维护便利成为了移动办公的不贰之选，打开浏览器即可使用。在没有　ＳＳＬ　ＶＰＮ条件下，网管进行设备远程维护则通常使用　Ｌ２ＴＰ　ＶＰＮ或　ＰＰＴＰ　ＶＰＮ。

场景三　远程应用发布

ＳＳＬ　ＶＰＮ中的功能，主要针对需要安装客户端的　Ｃ／Ｓ办事拜候需求，手机和平板因屏幕大小、鼠标、键盘使用等因素体验感欠佳。特定场景下　ＰＣ拜候效果较好。

例如　：　某公司财务部门对使用的财务软件做远程应用发布，其他用户无需安装财务软件客户端也可以便利使用。

场景四　手机　ＡＰＰ与　ＶＰＮ结合

随着手机的普及，大家都希望通过手机能解决很多工作中的问题，　手机　ＡＰＰ解决了远程应用发布中存在的一些使用问题，　但考虑到安全方面的问题，用户希望通过手机　ＡＰＰ与　ＶＰＮ技术相结合，便利使用的同时也降低了安全风险。

例如　：　某集团　ＯＡ手机　ＡＰＰ，直接通过互联网地址映射拜候存在必然安全隐患，配合　ＶＰＮ技术使用，先将手机与集团建立　ＶＰＮ隧道，再通过ＡＰＰ拜候集团内部　ＯＡ　ＡＰＰ办事器。

最后做一个的总结　：　究竟使用哪一种　ＶＰＮ技术来满足用户的需求，还是要按照用户业务需求来考虑，　所以希望大家要对相关业务有一个初步的了解，　对症下药。　还有一些如　ＶＰＤＮ、ＤＭＶＰＮ等内容没有做介绍，主要是使用相对较少。