在眾多的安全手段當(dāng)中，物理隔離是最簡單有效的手段之一，因此很多企事業(yè)單位都會通過租用專線的形式搭建與Internet物理隔離的專線廣域網(wǎng)，以保障自身的信息安全。此時，已經(jīng)解決了來自互聯(lián)網(wǎng)的安全威脅以后，信息安全關(guān)注的重點變?yōu)槿绾伪Ｕ蠈＞€廣域網(wǎng)的信息安全上來。

專線廣域網(wǎng)信息安全的特點

分析專線廣域網(wǎng)的應(yīng)用環(huán)境，會發(fā)現(xiàn)整網(wǎng)的多管理員的管理模式，是其最大的特點。專線廣域網(wǎng)連接的是各個分支機(jī)構(gòu)的局域網(wǎng)，而一半情況下，每個局域網(wǎng)都會有自己的管理員。對于比較大型的專線廣域網(wǎng)，也會實行分級網(wǎng)管策略，比如國家到各省的專線廣域網(wǎng)為一個管理機(jī)構(gòu)，各省內(nèi)、市內(nèi)的專線廣域網(wǎng)又是各自獨立的網(wǎng)管機(jī)構(gòu)，從而形成多級網(wǎng)管的狀態(tài)。專線廣域網(wǎng)的這種多管理員特點，使得專線廣域網(wǎng)在信息安全建設(shè)中需要考慮如下幾個問題：

■  如何快速有效的抑制蠕蟲病毒在網(wǎng)內(nèi)的傳播。

由于專線廣域網(wǎng)將所有的局域網(wǎng)進(jìn)行了連接，一旦某一局域網(wǎng)內(nèi)出現(xiàn)了蠕蟲病毒，則病毒會通過專線廣域網(wǎng)快速傳播。而多管理員結(jié)構(gòu)又造成這樣一種情況，當(dāng)某一管理員發(fā)現(xiàn)蠕蟲病毒時，需要通過其它管理員來進(jìn)行相應(yīng)動作，從而使得對蠕蟲病毒的響應(yīng)速度變慢，甚至得不到控制。

■  如何解決源自內(nèi)網(wǎng)攻擊行為和對攻擊來源的定位問題。

解決了源自Internet的安全威脅，并不意味著攻擊不會發(fā)生。個別不滿員工的報復(fù)行為，由于缺少安全意識造成的無意識的破壞行為，由于非法連接外網(wǎng)從而造成成為第三方想內(nèi)網(wǎng)發(fā)起攻擊的跳板等等問題，都使得需要對源自內(nèi)網(wǎng)攻擊行為進(jìn)行識別控制，并且需要定位攻擊源。但是同樣由于多管理員的問題，造成了定位困難。尤其在某些內(nèi)部局域網(wǎng)還采用了NAT技術(shù)的情況下，問題更為突出。

■  廣域網(wǎng)帶寬的有效保護(hù)問題。

廣域網(wǎng)帶寬是非常緊缺和昂貴的，而在其上往往又經(jīng)常承載視頻會議等對帶寬和時延非常敏感的應(yīng)用，因此合理使用廣域網(wǎng)帶寬就顯得非常重要。對于比較大型的廣域網(wǎng)，內(nèi)部資源非常豐富，自建FTP甚至P2P下載的情況經(jīng)常出現(xiàn)，這往往對有限的廣域網(wǎng)帶寬帶來很大的壓力。而在多管理員環(huán)境下，很難保證全網(wǎng)同一的QoS策略的有效實施。

除上述問題外，對于比較大型的專線廣域網(wǎng)往往會采用MPLS VPN技術(shù)進(jìn)行多業(yè)務(wù)承載，這又對安全設(shè)備提出了組網(wǎng)適應(yīng)性的要求，要求所選用的安全設(shè)備能夠支持MPLS報文識別、OSPF路由協(xié)議等網(wǎng)絡(luò)特性。

典型組網(wǎng)

DPtech內(nèi)網(wǎng)控制解決方案是在充分考慮到了專線廣域網(wǎng)所面對的全部L2~7層安全威脅的基礎(chǔ)上，綜合運(yùn)用杭州迪普科技有限公司的防火墻、UTM、IPS、UAG等產(chǎn)品進(jìn)行設(shè)計的。在近似的防護(hù)能力下，對于不同的網(wǎng)絡(luò)環(huán)境、網(wǎng)絡(luò)節(jié)點提供了不同的產(chǎn)品選擇。

對于網(wǎng)絡(luò)的核心節(jié)點和大型分支節(jié)點，采用獨立的高性能的防火墻、IPS、UAG產(chǎn)品進(jìn)行防護(hù)。首先通過DPtech防火墻實現(xiàn)L2~4層訪問控制功能。而DPtech IPS實現(xiàn)了病毒庫、攻擊特征庫和協(xié)議庫的三庫合一，因此通過DPtech IPS對包括蠕蟲病毒在內(nèi)的所有L4～7層安全威脅進(jìn)行防護(hù)。DPtech UAG產(chǎn)品則可以對各種應(yīng)用層協(xié)議進(jìn)行分析，對不同的應(yīng)用提供靈活的帶寬控制和保障。

對于小型的網(wǎng)絡(luò)分支節(jié)點，由于其對性能的要求相對較低，則可以通過DPtech UTM統(tǒng)一實現(xiàn)L2～7層安全威脅防護(hù)和廣域網(wǎng)帶寬控制和保障。

如專線廣域網(wǎng)連接的各局域網(wǎng)沒有終端準(zhǔn)入的機(jī)制，則在專線廣域網(wǎng)建設(shè)中還應(yīng)該額外考慮廣域網(wǎng)的終端準(zhǔn)入問題，以解決對攻擊源的定位問題。對于此需求，可以通過DPtech UAG上的web認(rèn)證功能實現(xiàn)無客戶端的廣域網(wǎng)端點準(zhǔn)入。

特點與優(yōu)勢

■  網(wǎng)絡(luò)級的性能

迪普相關(guān)產(chǎn)品基于APP-X硬件平臺，可以在吞吐量、并發(fā)、新建連接、延時等方面提供網(wǎng)絡(luò)級的性能。不會因為增加了新的設(shè)備而使得應(yīng)用的性能出現(xiàn)下降。

■  網(wǎng)絡(luò)適應(yīng)性

迪普相關(guān)產(chǎn)品基于Conplat軟件平臺，提供了豐富的網(wǎng)絡(luò)適應(yīng)性，可以在IPv6、MPLS等復(fù)雜網(wǎng)絡(luò)環(huán)境下良好的工作。設(shè)備部署的時候，可不受網(wǎng)絡(luò)環(huán)境的限制，也不需要大面積調(diào)整網(wǎng)絡(luò)結(jié)構(gòu)。

■   完善的L2～7安全保護(hù)

通過DPtech的防火墻、IPS、UAG提供了完善的L2～7層安全保護(hù)。

■   統(tǒng)一安全策略部署

DPtech產(chǎn)品的統(tǒng)一管理和策略部署能力，提供了簡便的統(tǒng)一安全策略部署方案。

■  完善的高可靠性保障

DPtech防火墻和IPS都具有雙機(jī)熱備能力，提供完善的高可靠性保障。