企业的网络安全精选(五篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的5篇企业的网络安全，期待它们能激发您的灵感。

篇1

随着信息技术和互联网技术的不断发展，计算机网络安全方面的问题，直接影响到了军事、文化、经济、政治等不同的领域。在计算机网络走进千家万户的同时，随之而来的是网络安全问题，在人们享受这网络的方便快捷的同时，也会被或大或小的网络安全问题所困扰。本文以计算机网络安全及企业网络安全应用为基本点，进行详细的分析。

【关键词】计算机网络安全 企业网络安全 应用

在计算机网络应用越来越广泛的今天，人们在享受着网络带来的方便快捷生活的同时，也会被随之而来的网络安全问题而困扰，大多网络用户均属于非专业人士，对网络的认知较浅，只能简单的应用，对于网络上常见的安全问题都会有些束手无策，对于一些需要用到网络的企业而言，网络安全问题更是需要受到重视。

1 计算机网络安全的概述

所谓计算机网络安全是指技术人员对网络的性能和安全实行专业化的管理和控制，针对可能出现的状况制定出合理的解决措施，从而保证数据的保密性以及完整性，且网络环境相对稳定，数据的各方面都能得到有效地保护。对于网络的安全管理主要由两部分构成，一部分为物理安全，另一部分为逻辑安全，物理安全是指整个网络系统的相关硬件以及附带设施实行物理性的保护，防止硬件的丢失或毁损;而逻辑安全则是指对数据传输的完整性、保密性做到全方位的防护。

2 企业网络安全的现状

现阶段，网络的发展和早期所设计的网络意图有所更改，已经将安全问题放在了首位，若不能够将安全问题解决，会在一定程度上直接影响到企业网络的应用。企业网络的信息当中存在着较多的对网络安全会产生不利影响的特性，例如：网络开放性、共享性以及互联性等，在当前经常发生恶性攻击事件，极大地显示出了现阶段严峻的网络安全形势，所以对于网络安全方面的防范措施，需要具备可以解除不同网络威胁的特点。在最近几年，我国的网络协议和系统会产生较多的问题，不能够安全、完善、健全的体现出所具备的影响价值。网络技术和计算机技术由于具备的多样性和复杂性，促使网络安全变为了一种需要不断提升和更新的范畴。因此，计算机网络在企业的应用上，需要拥有相应的网络安全问题的分析，以及网络安全的解决对策，才可以确保企业网络的顺畅运行。

3 企业网络安全应用中的问题

3.1 网络软件的漏洞

网络软件不论多么的优秀，都会产生或多或少的漏洞和缺陷，然而对于较高水平的黑客而言，定会将这些缺陷和漏洞作为首要攻击的目标。在早期发生的黑客攻击事件当中，基本上都是由于产生不完善的软件安全措施所造成的后果。

3.2 人为无意失误

人为的失误方面包含不够恰当的操作员安全配置，会在一定程度上导致安全漏洞的产生，用户缺失较强的安全意识，经常不填写用户口令，会将自身的账号随意的和别人分享或者供他人使用等，会无意间威胁到企业网络。

3.3 人为恶意失误

人为的恶意失误是网络的最大程度威胁因素，例如：计算机犯罪等。类似的攻击，基本上能分成两个层面：其一为被动攻击，是在不影响到网络工作的基础上，开展的破译、窃取、截获后，以此来获取核心性的机密信息。其二为主动攻击，是用不同的方法有选择性的对信息的完整性和有效性进行破坏。这两个层面的攻击，都能够让计算机网络产生较大的威胁，同时会造成机密数据的严重泄漏。

4 企业网络安全应用中的解决对策

4.1 网络设备的安全

在防护网络安全方面，保证网络设备安全是较为基础性的防护模式。其一，需要有效地对设备进行配置，要保证只对设备中必要的服务有所开放，在运行方面，只参考指定人员的访问;其二，重视设备厂商所提出的漏洞，要在第一时间进行网络设备补丁的安装;其三，在计算机网络中的全部设备，有必要定期地进行密码的更换，并且密码方面需要符合相应的复杂度，才能够不被轻易地破解。最后，组织有效的维护设备，保证网络设备的运营稳定性。

4.2 无线网络的安全

因为无线网络信号会利用空气运行，极易产生恶意用户的窃取，因此无线网络安全在一定程度上成为了预防安全隐患的重点。只是加密无线信号，不可以达成安全性的要求。现阶段，在企业的内部提倡应用认证和加密的结合形式，其中所涉及到的认证需要与AD相融合，以此来有效地提升账户的可管理性。

4.3 客户端的安全管理

在大中型的企业当中拥有着较多的客户端，往往都属于Windows操作系统，对其进行分别的管理较为麻烦，需要在企业的内部利用Windows组策略进行客户端的管理。组策略就是利用一次的设定，制约一部分的对象。能够在组策略中创设较为严谨的策略，以此来把控客户端的安全运行。主要的策略包含：加强账户策略、合理删除Guest等类似次要的用户;加强系统日志审核功能;局限非管理员的相应操作权限等。这一系列的策略是企业内部较为通用的策略。针对企业内部生产使用中的客户端，因为作业人员只应用几个建议的操作，因此有必要开展较为严格的限制。例如：最小化系统操作、最小化系统开放端口、最小化运行的用户进程等。其中的最小化运行用户进程所指的是，除了特定的系统进程，不能够使用其他的进程。最小化系统操作包含：禁用注册表、禁用命令提示符、禁用控制面板、禁用鼠标右键等。

5 总结

根据以上的论述，网络安全是较为复杂性、综合性的问题，会与较多的因素相联系，具体包含多种管理、产品以及技术等。不可以单纯的依赖防护系统，也不能够只是将防护系统作为摆设，而不去贯彻落实。想要将企业高效的进行网络运行，就需要为企业解决网络安全的实质性问题，才能做好企业网络信息的可用性、完整性以及保密性。

参考文献

[1]郭晶晶，牟胜梅，史蓓蕾.关于某金融企业网络安全应用技术的探讨[J].数字技术与应用，2013，12（09）：123-125.

[2]王拥军，李建清.浅谈企业网络安全防护体系的建设[J].信息安全与通信保密，2013，11（07）：153-171.

[3]胡经珍.深入探讨企业网络安全管理中的常见问题[J].计算机安全，2013，11（07）：152-160.

[4]周连兵，张万.浅议企业网络安全方案的设计[J].中国公共安全：学术版，2013，10（02）：163-175.

篇2

    关键词：企业网  网络安全  安全体系  入侵检测  病毒防护

    随着互联网技术的发展，在企业中运用计算机网络进行各项工作更加的深入和普及，通过企业网络向师生提供高效、优质、规范、透明和全方位的信息服务，冲破了人与人之间在时间和空间分隔的制约，越来越被更多的人们所接受和应用。然而由于企业网络自身的特点，使安全问题在企业网络的运行与管理中格外突出，研究构建、完善基于企业网的信息安全体系，对企业网安全问题的解决具有重要意义。

一、企业网络安全风险状况概述

   企业网络是在企业范围内，在一定的思想和理论指导下，为企业提供资源共享、信息交流和协同工作的计算机网络。随着我国各地企业网数量的迅速增加，如何实现企业网之间资源共享、信息交流和协同工作以及保证企业网络安全的要求是越来越强烈。与其它网络一样，企业网也同样面临着各种各样的网络安全问题。但是在企业网络建设的过程中，由于对技术的偏好和运营意识的不足，普遍都存在”重技术、轻安全、轻管理”的倾向，随着网络规模的急剧膨胀，网络用户的快速增长，关键性应用的普及和深入，企业网络在企业的信息化建设中已经在扮演了至关重要的角色，作为数字化信息的最重要传输载体，如何保证企业网络能正常的运行不受各种网络黑客的侵害就成为各个企业不可回避的一个紧迫问题，解决网络安全问题刻不容缓，并且逐渐引起了各方面的重视。

    由于Internet上存在各种各样不可预知的风险，网络入侵者可以通过多种方式攻击内部网络。此外,由于企业网用户网络安全尚欠缺，很少考虑实际存在的风险和低效率，很少学习防范病毒、漏洞修复、密码管理、信息保密的必备知识以及防止人为破坏系统和篡改敏感数据的有关技术。

    因此，在设计时有必要将公开服务器和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对网络通讯进行有效的过滤，使必要的服务请求到达主机，对不必要的访问请求加以拒绝。

二、企业网络安全体系结构的设计与构建

    网络安全系统的构建实际上是入侵者与反入侵者之间的持久的对抗过程。网络安全体系不是一劳永逸地能够防范任何攻击的完美系统。人们力图建立的是一个网络安全的动态防护体系，是动态加静态的防御，是被动加主动的防御甚至抗击，是管理加技术的完整安全观念。但企业网络安全问题不是在网络中加一个防火墙就能解决的问题，需要有一个科学、系统、全面的网络安全结构体系。

（一）企业网络安全系统设计目标

    企业网络系统安全设计的目标是使在企业网络中信息的采集、存储、处理、传播和运用过程中，信息的自由性、秘密性、完整性、共享性等都能得到良好保护的一种状态。在网络上传递的信息没有被故意的或偶然的非法授权泄露、更改、破坏或使信息被非法系统辨识、控制，网络信息的保密性、完整性、可用性、可控性得到良好保护的状态。

（二） 企业网防火墙的部署

    1.安全策略。所有的数据包都必须经过防火墙;只有被允许的数据包才能通过防火墙;防火墙本身要有预防入侵的功能;默认禁止所有的服务，除非是必须的服务才被允许。

   2.系统设计。在互联网与企业网内网之间部署了一台硬件防火墙，在内外网之间建立一道安全屏障。其中WEB、E一mail、FTP等服务器放置在防火墙的DMZ区(即“非军事区”，是为不信任系统提供服务的孤立网段，它阻止内网和外网直接通信以保证内网安全)，与内网和外网间进行隔离，内网口连接企业网，外网口通过电信网络与互联网连接。

    3.入侵检测系统的设计和部署。入侵检测系统主要检测对网络系统各主要运营环节的实时入侵，在企业网网络与互联网之间设置瑞星RIDS一100入侵检测系统，与防火墙并行的接入网络中，监测来自互联网、企业网内部的攻击行为。发现入侵行为时，及时通知防火墙阻断攻击源。

    4.企业网络安全体系实施阶段。第一阶段:基本安全需求。第一阶段的目标是利用已有的技术，首先满足企业网最迫切的安全需求，所涉及到的安全内容有:

①满足设备物理安全

②VLAN与IP地址的规划与实施

③制定相关安全策略

④内外网隔离与访问控制

⑤内网自身病毒防护

⑥系统自身安全

⑦相关制度的完善

  第二阶段:较高的安全需求。这一阶段的目标是在完成第一阶段安全需求的前提下，全面实现整个企业网络的安全需求。所涉及的安全内容有:

①入侵检测与保护

②身份认证与安全审计

③流量控制

④内外网病毒防护与控制

⑤动态调整安全策略

  第三阶段:后续动态的安全系统调整与完善。相关安全策略的调整与完善以及数据备份与灾难恢复等。

     在上述分析、比较基础上，我们利用现有的各种网络安全技术，结合企业网的特点，依据设计、构建的企业网络安全体系，成功构建了如图4-1的企业网络安全解决方案，对本研究设计、构建的企业网络安全体系的实践应用具有重要的指导意义。 

 

图4-1 企业网络安全体系应用解决方案

篇3

关键词：企业网络 安全管理 维护

中图分类号：TN915.08 文献标识码：A 文章编号：1672-3791（2012）12（a）-0024-01

随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。逐渐地使经营管理对计算机应用系统依赖性增强，计算机应用系统对网络依赖性增强。然而，网络的安全是伴随着网络的产生而产生，可以说，有网络的地方就存在网络安全隐患。如病毒入侵和黑客攻击之类的网络安全事件，速度之快，范围之广，已众所周知。企业为阻止恶意软件入侵攻击、防止非法用户通过网络访问和操作、防止用户邮件被非法截取或篡改等采取的安全措施，既保证企业数据安全、网络系统运行稳定，又防止非法入侵等问题才是企业网络安全管理的重要内容。

1 威胁信息安全的主要因素

1.1 软件的内在缺陷

这些缺陷不仅直接造成系统宕机，还会提供一些人为的恶意攻击机会。对于某些操作系统，相当比例的恶意攻击就是利用操作系统缺陷设计和展开的，一些病毒、木马也是盯住其破绽兴风作浪，由此造成的损失实难估量。应用软件的缺陷也可能造成计算机信息系统的故障，降低系统安全性能。

1.2 恶意攻击

攻击的种类有多种，有的是对硬件设施的干扰或破坏，有的是对应用程序的攻击，有的是对数据的攻击。对硬件设施的攻击，可能会造成一次性或永久性故障或损坏。对应用程序的攻击会导致系统运行效率的下降，严重的会导致应用异常甚至中断。对数据的攻击可破坏数据的有效性和完整性，也可能导致敏感数据的泄漏、滥用[1]。

1.3 管理不善

许多企业网络都存在重建设、重技术、轻管理的倾向。实践证明，安全管理制度不完善、人员安全风险意识薄弱，是网络风险的重要原因之一。比如，网络管理员配备不当、企业员工安全意识不强、用户口令设置不合理等[2]，都会给信息安全带来严重威胁。

1.4 网络病毒的肆虐

只要上网便避免不了的受到病毒的侵袭。一旦沾染病毒，就会通过各种途径大面积传播病毒，就会造成企业的网络性能急剧下降，还会造成很多重要数据的丢失，给企业带来巨大的损失。

1.5 自然灾害

对计算机信息系统安全构成严重威胁的灾害主要有雷电、鼠害、火灾、水灾、地震等各种自然灾害。此外，停电、盗窃、违章施工也对计算机信息系统安全构成现实威胁。

2 完善网络信息安全的管理机制

2.1 规范制度化企业网络安全管理

网络和信息安全管理真正纳入安全生产管理体系，并能够得到有效运作，就必须使这项工作制度化、规范化。要在企业网络与信息安全管理工作中融入安全管理的思想，制定出相应的管理制度。

2.2 规范企业网络管理员的行为

企业内部网络安全岗位的工作人员要周期性进行轮换工作，在公司条件允许的情况下，可以每项工作指派2～3人共同参与，形成制约机制。网络管理员每天都要认真查看日志，通过日志来发现有无外来人员攻击公司内部网络，以便及时应对，采取相应措施。

2.3 规范企业员工的上网行为

目前，琳琅满目的网站及广告铺天盖地，鼠标一点，就非常有可能进入非法网页，普通电脑用户无法分辩，这就需要我们网管人员对网站进行过滤，配置相应的策略，为企业提供健康的安全上网环境。为此，企业要制定规范，规定员工的上网行为，如免费软件、共享软件等没有充分安全保证的情况下尽量不要安装，同时，还要培养企业员工的网络安全意识，注意移动硬件病毒的防范和查杀的问题，增强计算机保护方面的知识。

2.4 加强企业员工的网络安全培训

企业网络安全的培训大致可以包括理论培训、产品培训、业务培训等。通过培训可以有效解决企业的网络安全问题，同时，还能减少企业进行网络安全修护的费用。

3 提高企业网络安全的维护的措施

3. 1病毒的防范

在网络环境下，病毒的传播性、破坏性及其变种能力都远远强于过去，鉴于“熊猫烧香”、“灰鸽子”、“机器狗”等病毒给太多的企业造成严重的损失，惨痛的教训告诫我们，选用一款适合于企业网的网络版防病毒产品，是最有效的方法。网络版的产品具备统一管理、统一升级、远程维护、统一查杀、协助查杀等多种单机版不具备的功能。有效缓解系统管理员在网络防病毒方面的压力。

3.2 合理配置防火墙

利用防火墙，在网络通讯时执行一种访问控制尺度，允许防火墙同意访问的人与数据进入自己的内部网络，同时将不允许的用户与数据拒之门外，最大限度地阻止网络中的黑客来访问自己的网络，防止他们随意更改、移动甚至删除网络上的重要信息。防火墙的配置需要网络管理员对本单位网络有较深程度的了解，在保证性能及可用性的基础上，制定出与本单位实际应用较一致的防火墙策略。

3.3 配置专业的网络安全管理工具

这种类型的工具包括入侵检测系统、Web，Email，BBS的安全监测系统、漏洞扫描系统等。这些系统的配备，可以让系统管理员能够集中处理网络中发生的各类安全事件，更高效、快捷的解决网络中的安全问题。

3.4 提高使用人员的网络安全意识和配备相关技术人员

企业网络漏洞最多的机器往往不是服务器等专业设备，而是用户的终端机。因此，加强计算机系统使用人员的安全意识及相关技术是最有效，但也是最难执行的方面。这需要在企业信息管理专业人员，在终端使用人员网络安全技术培训、网络安全意识宣传等方面多下功夫。

3.5 保管数据安全

企业数据的安全是安全管理的重要环节。特别是近年来，随着企业网络系统的不断完善，各专业应用如财务、人事、营销、生产、OA、物资等方方面面均已进入信息系统的管理范围。系统数据一旦发生损坏与丢失，给企业带来的影响是不可估计的。任何硬件及软件的防范都仅能提高系统可靠性，而不能杜绝系统灾难。在这种情况下，合理地制定系统数据保护策略，购置相应设备，做好数据备份与系统灾难的恢复预案，做好恢复预案的演练，是最有效的手段。

3.6 合理规划网络结构

合理规划网络结构，可使用物理隔离装置将重要的系统与常规网络隔离开来，是保障重要系统安全稳定的最有效手段。

4 结语

总而言之，企业网络系统的安全防护是一项长期以来极具挑战性的课题。它的发展往往伴随着网络技术的发展其自身也在不断的更新和调整。信息安全是一个企业赖以生存的基础保障，只有信息安全得到保障，企业的网络系统才有其存在的价值。网络安全是一项系统的工程，需要我们综合考虑很多实际的需求问题，灵活运用各种网络安全技术才能组建一个高效、稳定、安全的企业网络系统。

参考文献

篇4

随着企业网络信息技术的快速发展和广泛应用，社会信息化进程不断加快，生产制造、物流网络、自动化办公系统对信息系统的依赖程度越来越大，因此，保证信息系统的安全稳定运行也越来越重要。如何保证企业网络信息化安全、稳定运行就需要网络规划设计师在设计初始周全的考虑到网络安全所需达到的条件（包括硬件、OSI/RM各层、各种系统操作和应用）。

1网络安全、信息安全标准

网络安全性标准是指为了规范网络行为，净化网络环境而制定的强制性或指导性的规定。目前，网络安全标准主要有针对系统安全等级、系统安全等级评定方法、系统安全使用和操作规范等方面的标准。世界各国纷纷颁布了计算机网络的安全管理条例，我国也颁布了《计算机网络国际互联网安全管理方法》等多个国家标准，用来制止网络污染，规范网络行为，同时各种网络技术在不断的改进和完善。1999年9月13日，中国颁布了《计算机信息系统安全保护等级划分准则》（GB17859：1999），定义了计算机信息系统安全保护能力的5个等级，分别如下：（1）第一级：用户自主保护级。它的安全保护机制使用户具备自主安全保护的能力，保护用户的信息免受非法的读写破坏。（2）第二级：系统审计保护级。除继承前一个级别的安全功能外，还要求创建和维护访问的审计踪记录，使所有的用户对自己行为的合法性负责。（3）第三级：安全标记保护级。除继承前一个级别的安全功能外，还要求以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制访问。（4）第四级：结构化保护级。除继承前一个级别的安全功能外，将安全保护机制划分为关键部分和非关键部分，对关键部分直接控制访问者对访问对象的存取，从而加强系统的抗渗透能力。（5）第五级：访问验证保护级。除继承前一个级别的安全功能外，还特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动。

2企业网络主要安全隐患

企业网络主要分为内网和外网，网络安全体系防范的不仅是病毒感染，还有基于网络的非法入侵、攻击和访问，但这些非法入侵、攻击、访问的途径非常多，涉及到整个网络通信过程的每个细节。从以往的网络入侵、攻击等可以总结出，内部网络的安全威胁要多于外部网络，因为内网受到的入侵和攻击更加容易，所以做为网络安全体系设计人员要全面地考虑，注重内部网络中存在的安全隐患。

3企业网络安全防护策略

设计一个更加安全的网络安全系统包括网络通信过程中对OSI/RM的全部层次的安全保护和系统的安全保护。七层网络各个层次的安全防护是为了预防非法入侵、非法访问、病毒感染和黑客攻击，而非计算机通信过程中的安全保护是为了预防网络的物理瘫痪和网络数据损坏的。OSI/RM各层采取的安全保护措施及系统层的安全防护如图1所示。

4OSI/RM各层主要安全方案

4.1物理层安全

通信线路的屏蔽主要体现在两个方面：一方面是采用屏蔽性能好的传输介质，另一方面是把传输介质、网络设备、机房等整个通信线路安装在屏蔽的环境中。（1）屏蔽双绞线屏蔽与非屏蔽的普通五类、超五类双绞线的主要区别是屏蔽类双绞线中8条（4对）芯线外集中包裹了一屏蔽层。而六类屏蔽双绞和七类双绞线除了五类、超五类屏蔽双绞线的这一层统一屏蔽层外，还有这些屏蔽层就是用来进行电磁屏蔽的，一方面防止外部环境干扰网线中的数据传输，另一方防止传输途中的电磁泄漏而被一些别有用心的人侦听到。（2）屏蔽机房和机柜机房屏蔽的方法是在机房外部以接地良好的金属膜、金属网或者金属板材（主要是钢板）包围，其中包括六面板体和一面屏蔽门。根据机房屏蔽性能的不同，可以将屏蔽机房分为A、B、C三个级别，最高级为C级。机柜的屏蔽是用采用冷扎钢板围闭而成，这些机柜的结构与普通的机柜是一样的，都是标准尺寸的。（3）WLAN的物理层安全保护对于无线网络，因为采用的传输介质是大气，大气是非固定有形线路，安全风险比有线网络更高，所以在无线网络中的物理层安全保护就显得更加重要了。如果将机房等整个屏蔽起来，成本太高，现在主要采用其他方式如多位数共享密钥、WPA/WPA2动态密钥、IEEE802.1X身份验证等。现在最新的无线宽带接入技术——WiMAX对于来自物理层的攻击，如网络阻塞、干扰，显得很脆弱，以后将提高发射信号功率、增加信号带宽和使用包括跳频、直接序列等扩频技术。

4.2数据链路层安全

在数据链路层可以采用的安全保护方案主要包括：数据链路加密、MAC地址绑定（防止MAC地址欺骗）、VLAN网段划分、网络嗅探预防、交换机保护。VLAN隔离技术是现代企业网络建设中用的最多的技术，该技术可分为基于端口的VLAN、基于MAC地址的VLAN、基于第三层的VLAN和基于策略的VLAN。

4.3网络层安全

在网络层首先是身份的认证，最简单的身份认证方式是密码认证，它是基于windows服务器系统的身份认证可针对网络资源的访问启用“单点登录”，采用单点登录后，用户可以使用一个密码或智能卡一次登录到windows域，然后向域中的任何计算机验证身份。网络上各种服务器提供的认证服务，使得口令不再是以明文方式在网络上传输，连接之间的通信是加密的。加密认证分为PKI公钥机制（非对称加密机制），Kerberos基于私钥机制（对称加密机制）。IPSec是针对IP网络所提出的安全性协议，用途就是保护IP网络通信安全。它支持网络数据完整性检查、数据机密保护、数据源身份认证和重发保护，可为绝大部分TCP/IP族协议提供安全服务。IPSec提供了两种使用模式：传输模式（TransportMode）和隧道模式（TUNNELMode）。

4.4传输层安全

传输层的主要作用是保证数据安全、可靠的从一端传到另一端。TLS/SSL协议是工作在传输层的安全协议，它不仅可以为网络通信中的数据提供强健的安全加密保护，还可以结合证书服务，提供强大的身份谁、数据签名和隐私保护。TLS/SSL协议广泛应用于Web浏览器和Web服务器之间基于HTTPS协议的互联网安全传输。

4.5防火墙

因防火墙技术在OSI/RM各层均有体现，在这里简单分析一下防火墙，防火墙分为网络层防火墙和应用层防火墙，网络层防火墙可视为一种IP封包过滤器，运作在底层的TCP/IP协议堆栈上。应用层防火墙是在TCP/IP堆栈的“应用层”上运作，应用层防火墙可以拦截进出某应用程序的所有封包。目前70%的攻击是发生在应用层，而不是网络层。对于这类攻击，传统网络防火墙的防护效果，并不太理想。

5结语

以上对于实现企业网络建设安全技术及信息安全的简单论述，是基于网络OSI/RM各层相应的安全防护分析，重点分析了物理层所必须做好的各项工作，其余各层简单分析了应加强的主要技术。因网络技术日新月益，很多新的网络技术在本文中未有体现，实则由于本人时间、水平有限，请各位读者给予见解。文章中部分内容借签于参考文献,在此非常感谢各位作者的好书籍。

作者:单位:西山煤电（集团）有限公司物资供应分公司

引用：

[1]李磊.网络工程师考试辅导.北京：清华大学出版社，2009．

[2]王达，阚京茂.网络工程方案规划与设计.北京：中国水利水电出版社，2010．

篇5

【关键词】IPSecVPN网络安全防火墙；

1引言

IPSecVNP作为一种主流网络安全技术已经发展了多年，无论是目前流行的正在使用的IPv4网络还是发展中的IPv6网络，无论是移动办公还是局域网间通讯，都在大量使用IPSecVNP作为网络安全通讯基础设备。本论文通过研究IPSec协议族，实现了一个较为完整的IPSecVNP系统。包括客户端、服务器端软硬件设计和实现、网络配置及内嵌以管理等。还解决了IPSec协议通过CBAC防火墙问题。

2 IPSecVPN系统设计

本文实现了IPSecVNP系统的功能，满足了政府、金融行业和企事业单位低成本安全通讯的需求，可以按照客户实际需要的VPN系统进行安装部署、调试维护。IPSecVPN的主要作用是采用加密、认证等方式保护网络通信的安全性、私密性、可认证性和完整性。

IPSecVNP网关作为IPSecVNP系统中主要的设备，担负大部分计算任务，两台以上IPSecVNP网关就可以搭建IPSecVPN系统的基本框架。IPSec移动客户端（easyVPN）是专为单台主机或便携式电脑设计的，目的是使其拥有与IPSecVPN网关保护的局域网络通信的能力。如图1所示。

IPSecVPN网关工作在本地局域网及与其通信的远程局域网的网关位置，具有加密和认证功能，使用互联网作为信道。通过IPSecVPN网关的加密能力确保信息在不安全的互联网上以密文形式传输。数据校验功能确保了即便信息被截取，也无法窥视、篡改通讯内容。

IPSecVPN实现的总体结构分为IPSec输入输出处理、SPD和SAD策略管理、IKE密钥交换、加密算法和认证算法、NAT兼容等模块。其中IPSec安全协议的处理是数据处理的核心，策略管理模块提供IPSec处理策略，IKE密钥交换模块用于通讯双方SA协商，加密算法和认证算法模块是安全通讯基础，NAT兼容提供复杂网络环境下IPSecVPN应用的解决方法。

在用户层提供手工注入SA和IKE动态协商SA程序。用一个IKE守护进程监听动态协商请求，并进行相应的协商处理。策略系统实现存储、管理及验证策略。并提供用户层操作到内核的接口Pfkey Sockets（手工注入SA和利用IKE动态协商SA的接口及SAD与SPD的接口）。在内核中除实现与用户的接口外，还将实现SAD，SPD的管理、IPSec协议进入/外出处理及认证加密算法。IPSec协议处理部分建议采用IP+IPSec方案。这样会进一步加快IPSec的处理速度。

3 IPSecVPN穿越防火墙设计

前提：A、B、C三台cisco3750边缘路由器分别处于两局域网网关位置，两两一组，形成冗余。网关后各有一台主机，这两台主机之间进行IPsec安全通讯。每台边缘路由器都已经配置好相应的IPsec隧道及相关策略，而且配置了基于cisco ios CBAC状态型防火墙，两局域网由两路由器模拟的Internet网云连接。

3.1首先，对于防火墙主要进行如下一些配置：开启inspect检测，这样可以让每个接口自动检查ACL允许的流量，deny的不检查，有通信时建立状态表，没有通信时就不建立，也就是有会话时就有ACL，没有就删除。以下是针对IPSec协议的检测，在outside方向，开启对isakmp协商的检测。

ip inspect name outside udp timeout 5

ip inspect name outside isakmp

ip inspect name outside icmp

3.2对outside区域运用防火墙策略。由于AH和ESP的协议号分别为50和51，所以在outside方向上，让有限状态机对协议号为50的AH和51的ESP报文进行检测放行。

permit ahp any any

permit esp any any

由于isakmp的协商属于UDP协议，且端口号为500和4500，在outside方向，让有限状态机对isakmp的4500和500端口进行检测放行，以便isakmp协商成功。

permit udp any any eq isakmp

permit udp any any eq non500-isakmp

验证：在A路由器上使用 show access-list命令可以看到，如图2所示。

图2显示ESP格式报文的加密报文和isakmp的通道协商已经与防火墙的规则进行了匹配并且放行。Ping测试显示成功，如图3所示。

4加密流量与非加密流量对比

前提：为了达到加密与非加密流量对比，需要在配置两台服务器，一台处于内网中，受到IPSecVPN的加密保护，一台在公网上，供外网客户访问，不采用IPSec加密。服务器上包括WWW、FTP、DNS、MAIL常用服务。

（1）在外网和内网服务器上开启wireshark进行抓包并分析；（2）访问服务器www网页；（3）访问FTP服务器；（4）使用OE发送邮件；（5）使用OE进行收邮件；（6）使用telent登录服务器；（7）打开wireshark显示抓包分析结果，外网服务器的抓包结果显示，所有包的协议都可以显示出来，包括WWW的网址与内容，FTP和TELNET的用户名与密码，这些都是极其不安全的，而经过IPSec加密的内网服务器则所有包都是用ESP包头进行封装加密，显示不出任何包信息，这样可以很好的保护企业的数据。如图5和图6所1示。

5小结

本文通过研究IPSec协议族，实现了一个较为完整的IPSecVPN系统。包括客户端、服务器端软硬件设计和实现、网络配置及内嵌管理等，还解决了IPSec协议通过CBAC防火墙问题。

参考文献：