使用 IPsec 与组策略隔离服务器和域-第 2 章:了解服务器和域隔离

L2TP OVER IPSEC对接AD域实现移动用户使用AD用户登录 L2TP OVER IPSEC 对接AD域 阅读详情

自广泛使用局域网 (LAN) 以来,信息技术 (IT) 专业人员就一直努力在维护足够的安全性的同时提供具有还原功能、高可用性的服务。 已引进许多不同的技术与 TCP/IP 配合使用以期解决在网络和传输层上实施安全时出现的问题。 这些技术包括 IPv6、802.1、网络交换机、虚拟 LAN (VLAN) 分段、Internet 协议安全 (IPsec) 等。

引进这些技术时会无意间对网络安全采用多层次方法。 这些层可用于将一个或多个主机或网络与其他主机或网络分隔、分段或隔离。 本章的目的是组织 IPsec 针对其他层提供的安全层,并解释如何在解决方案中将它与组策略配合使用,从而以可管理和可扩展的方式在企业级环境中实现隔离。

本页内容
本章先决条件 本章先决条件
本章的目标读者 本章的目标读者
业务需求 业务需求
标识受信任计算机 标识受信任计算机
服务器和域隔离是如何适用于总体网络安全战略的? 服务器和域隔离是如何适用于总体网络安全战略的?
术语复习 术语复习
如何实现服务器和域隔离? 如何实现服务器和域隔离?
服务器和域隔离防御的是什么? 服务器和域隔离防御的是什么?
如何部署服务器和域隔离? 如何部署服务器和域隔离?
总结 总结

本章先决条件

使用本章提供的信息之前,应完全熟悉下列概念和技术。 虽然不符合这些先决条件也可能会从本指南中获益,但如果符合所有这些先决条件,则更容易实施成功。

预备知识

需要熟悉 Microsoft® Windows Server™ 2003 的以下方面:

•

Active Directory® 目录服务概念,包括 Active Directory 结构和工具;操纵用户、组和其他 Active Directory 对象;以及组策略的使用。

•

身份验证概念,包括使用 Kerberos V5 协议和公钥基础结构 (PKI)。

•

Microsoft Windows® 系统安全;安全概念,如用户、组、审核和访问控制表 (ACL);使用安全模板;相互身份验证概念;标准名称解析方法和概念,如域名系统 (DNS) 和 Windows Internet 命名服务 (WINS);标准 Windows 诊断工具和故障排除概念;以及使用组策略或命令行工具应用安全模板。

•

了解 TCP/IP 概念,包括子网布局、网络屏蔽和路由。 还需了解一些低级别的功能、协议和术语,如 Internet 控制消息协议 (ICMP)、地址解析协议 (ARP) 和最大传输单位 (MTU)。

•

了解安全风险管理规则。

注:Windows Server 2003 部署工具包的第 6 章“部署 IPsec”中所讨论的 IPsec 传输模式的某些方案当时未建议采用。 但是,Microsoft 本身已在其内部部署 IPsec 并同时提供了附加的指导,这意味着现在可以使用这些方案。
多播和广播通信流仍然无法使用 IPsec,但使用 IPsec 应该可以确保所有类型的单播 IP 通信流的安全。 每个客户都必须将在域或服务器隔离方案中部署 IPsec 的好处与成本、影响和其他权衡进行对照评估。 但 Microsoft 现在建议并支持按照本指南在客户网络上广泛使用 IPsec。

组织先决条件

规划组织的安全性不可能是某一个人的责任。 确定组织的准确要求所需的信息通常来自组织中的多个来源。 应咨询组织中其他人员的意见,他们可能需要参与隔离规划,包括扮演下列角色的人:

•

公司所有者

•

用户组代表

•

安全和审核人员

•

风险管理组

•

Active Directory 工程、管理和操作人员

•

DNS、Web 服务器以及网络工程、管理和操作人员

注:根据 IT 组织结构的不同,这些角色可能由几个不同的人担当,或有较少的人跨越几个角色。

服务器和域隔离项目的范围要求整个组都了解业务需求、技术问题、对用户的影响和整个项目过程。 需要进行广泛输入时,有可担当此项目的主要联系人的资深人士是很有益的,如支持人员或在部署中会受影响的用户。 在复杂项目中出现问题的两个主要原因是规划不好和通信差。 项目小组必须了解这些潜在的风险并确保已采取措施对其缓解。

本章的目标读者

本章是针对负责为组织设计自定义的服务器和域隔离解决方案的技术决策者和技术架构师而编写的。 要从本章获益最大,需要从技术上了解所采用的技术和组织的当前基础结构。

业务需求

组织的业务需求应推动本解决方案,了解这一点是很重要的。 隔离定义为将一台或多台计算机从其他计算机的网络通信中进行逻辑或物理分离。 安全限制将始终影响组织内员工的日常操作。 作为本解决方案的一部分进行的更改将改变域中的计算机之间相互通信以及与不受信任计算机通信的方式。 本解决方案要求项目小组花时间规划和调查项目的可行性,还要求培训 IT 支持人员,以及至少提供具有职员最低意识的项目。 为网络通信流提供的附加安全服务在某些情况下可能还包括附加的服务器内存或硬件加速网卡。 并且可能还需提供其他的解决方案来完成相同或类似的隔离目标。 因此,访问本解决方案打算提供给企业的货币价值是很重要的。

确保遵守法规

随着越来越多的个人信息存储在计算机中,数据保密也越来越重要。 控制对客户和员工信息的访问不再仅仅是良好的商业行为。 根据所在国家的本地法律,无法保护机密信息的组织需追究其主要的财务和法律责任。 例如,在美国运作的组织可能需要满足下列一个或多个法规:

•

联邦信息安全管理法案 (FISMA)

•

Sarbanes-Oxley 上市公司会计改革和投资人保护法

•

Gramm-Leach-Bliley 金融服务现代化法案 (GLBA)

•

健康保险流通与责任法案 (HIPAA)

HIPAA 包含一个安全规则,此规则详述了有关保健组织如何处理电子个人保健信息 (ePHI) 的严格指南。 虽然 HIPAA 要求或建议不使用特定技术,但规定了遵守法规所必需的能力及如何缓解 ePHI 泄密的风险。 应对域或服务器隔离与 IPsec 保护配合使用进行评估,以此作为一种技术保护来帮助满足下列 HIPAA 各部分的要求:

•

访问控制 164.312(a)(1),通过使用组策略授权保护对受信任计算机的入站网络访问并使用加密以防止 EPHI 在网络通信流中泄密。

•

审核控制 164.312(b),通过审核哪些计算机相互通信。

•

完整性 164.312(c)(1),通过将对带有 ePHI 的计算机进行入站网络访问限制为仅对经授权和受信任的计算机及用户的特定小组进行入站网络访问。 同时,通过为应用程序连接中的所有网络数据包提供完整性和真实性来阻止在网络传输中更改 ePHI。

•

个人或实体身份验证 164.312(d),通过要求对受信任计算机进行身份验证和授权以便对其他受信任计算机进行入站网络访问。

•

传输安全性 164.312(e)(1),通过提供真实性、完整性和加密。

通常,通过使用安全套接字层 (SSL) 和传输层安全 (TLS) 可满足这些要求。 例如,应用程序可将 Microsoft .NET 技术与 SSL/TLS 配合使用以帮助符合 HIPAA 安全法规。 有关详细信息,请参阅白皮书“Healthcare Without Boundaries: Integration
Technology for the New Healthcare Economy
”,网址为 www.microsoft.com/Resources/Healthcare/
HealthcareEconomy.aspx。

但应用程序通信必须正确地集成 SSL/TLS 用法和算法控制。 IPsec 隔离解决方案的主要优点在于:它保护所有应用程序和主机操作系统,并且可为现有的应用程序提供网络通信流安全而无需更改这些应用程序。 有关详细信息,请参阅本章后面的“比较 SSL/TLS 和 IPsec”一节。

本解决方案符合美国政府法规
使用 IPsec 与组策略隔离服务器和域-第 5 章:为隔离组创建 IPsec 策略 本章的目的是为实施服务器和域隔离设计提供指示。 先前各章说明了设计过程以及本章提供的指导背后的理论基础。 如果您尚未阅读这几章,则强烈建议您在继续本章之前先阅读它们。本章为实现第 4 章“设计和规划隔离组”中设计的域隔离和服务器隔离组的安全要求提供全面指导。组合以下元素将实现这些要求:•隔离域和隔离组的入站和出站访问要求:•专为隔离组设计的 Internet 协议安全性 (IPsec) 策略,该策 阅读详情

相关推荐

使用 IPsec 与组策略隔离服务器和域-第 7 章:IPsec 疑难解答

本章提供有关如何对 Internet 协议安全性 (IPsec) 问题(如服务器和域隔离方案中的安全性问题)进行疑难解答的信息,这些信息依赖于 Microsoft 信息技术 (IT) 小组的经验和方法。 在有可能的时候,本章将引用现有的 Microsoft 疑难解答过程及相关信息。Microsoft IT 支持基于一个多层支持模型,咨询台被称为第 1 层支持。 汇报过程使咨询台职员能够汇报需要专家

FreeXploiT 1万+

使用 IPsec 与组策略隔离服务器和域-第 1 章:服务器和域隔离简介

在物理上隔离计算机和网络以保护数据或通信免遭破坏的做法已沿用了许多年。 物理隔离存在的问题是,不容易在硬物理边界背后对许多企业组织的信息技术 (IT) 基础结构进行保护。 移动客户端的广泛使用以及分布式网络环境的特性使得此类物理限制极不灵活,难以实施和运作。服务器与域隔离使得有可能创建一个安全层来对计算机或网络间流动的网络通信流实现逻辑隔离。 如果攻击者设法获得对公司内部网络的物理访问权限并试图访

FreeXploiT 2909

使用 IPsec 与组策略隔离服务器和域-第 7 章 IPsec 疑难解答

使用 IPsec 与组策略隔离服务器和域-第 7 章 IPsec 疑难解答

qq_43667702的博客 889

从‘本地安全策略’到‘组策略’:一次讲透Windows IPsec在企业域环境下的部署差异

本文深入解析Windows IPsec在企业域环境中的部署差异,重点比较本地安全策略与组策略两种配置方式的技术细节与适用场景。通过实战案例展示如何利用IPsec策略管理器构建安全高效的企业网络加密体系,涵盖从单机配置到域环境集中管理的完整解决方案。

weixin_29254029的博客 433

47、利用组策略配置 Windows 防火墙与 IPsec 全解析

本文深入解析了如何利用组策略配置Windows防火墙与IPsec,涵盖防火墙规则基础、IPsec身份验证与加密机制、服务器和域隔离实现方法、WFAS中新旧IPsec规则的区别与配置流程,并详细说明了防火墙属性与规则的优先级计算方式。同时介绍了证书服务、EFS等未详述的安全功能及相关学习资源,帮助管理员通过组策略有效提升网络安全性。

onion的博客 100

泛微E10 eBuilder低代码平台避坑指南:新手最容易犯的5个错误及解决方案

本文针对泛微E10 eBuilder低代码平台的新手开发者,总结了5个最常见错误及解决方案,包括表单联动配置、流程设计权限、动作流时序、数据加工类型转换和权限管理过度配置等问题。通过实战经验和代码示例,帮助开发者避开常见陷阱,提升开发效率。

weixin_30919429的博客 539

紫光同创国产FPGA学习之Fabric Debugger

文章从紫光同创参考书拷贝过来的。因为我用的时候,看了一下就会用了(纯粹只是会用了,默认和xilinx的一样),没有看教程。先更新点文本,后面在写程序。 一、      软件简介 Fabric Debugger是一款界面化的FPGA芯片调试工具,能够针对公司目前以及未来的FPGA芯片进行在线调试。本软件直接与JtagHub、DebugCore交互,能够实时的配置目标FPGA、设置触发条件并且观测结...

my_share的专栏 6388

EMC系列EtherCAT总线运动控制器(二):Motion通讯连接、总线配置及诊断

雷赛-EMC系列EtherCAT总线运动控制器(二):Motion通讯连接、总线配置及诊断

weixin_38570076的博客 1883

探索Three.js:利用ShaderMaterial实现动态着色器特效

本文深入探讨了Three.js中ShaderMaterial的应用,指导开发者利用GLSL编写自定义着色器实现动态特效。文章从核心概念GLSL、Uniforms与Attributes讲起,通过创建动态颜色变化平面的实战案例,逐步进阶到实现波纹扩散与动态光影等高级效果,并提供了性能优化与调试技巧,帮助读者掌握创建高性能WebGL视觉特效的关键技能。

weixin_29250403的博客 201

车载以太网入坑指南,从小白到懂哥的进阶之路【技术分享】

各位技术大佬们好!最近公司项目涉及到车载以太网,刚开始完全懵逼,花了大半个月时间各种查资料、测试设备,总算是摸清了门道。想着互联网上卧虎藏龙,肯定有不少大佬对这个技术感兴趣,所以写个帖子分享一下,顺便求各位大佬指点。

starelink的博客 1260

WebRTC TURN协议初识及turnserver实践

但是TURN协议对服务器有很高的依赖,服务器在带宽和集群上有很大的压力,所以TURN协议通常是当作ICE协议中的一部分来使用。ChannelData message不使用STUN头部,而使用一个4字节的头部,包含了一个称之为信道号的值(channel number),每一个使用中的信道号都与一个特定的peer绑定,即作为对等端地址的一个记号。该relay地址是个公网地址,可以看作是客户端A在公网上的一个代理,任何想要联系A的客户端,只要将数据发送到A的relay地址就可以了。

yinshipin007的博客 566

Python+QMT量化交易实战:从零搭建你的第一个极速策略(附完整代码)

本文提供了一份详细的Python+QMT量化交易实战指南,手把手教你从零搭建一个可回测、可实盘的极速策略。内容涵盖环境配置、QMT核心机制解析、双均线策略的完整代码实现、回测优化方法以及实盘部署要点,帮助量化交易新手快速入门并掌握核心开发流程。

b9c0d的博客 1012

MT6816角度传感器SPI通信避坑指南:从数据手册到稳定读取的3个关键步骤

本文详细解析了MT6816角度传感器SPI通信中的常见问题与解决方案,包括寄存器地址计算、SPI时序配置和数据校验等关键步骤。通过实测波形和代码示例,帮助工程师避开数据手册中的隐藏陷阱,实现稳定可靠的角度数据读取,特别适用于高精度电机控制场景。

weixin_42520573的博客 516

深度学习工具包 DeepLearningToolbox

深度学习工具包Deprecation notice.-----This toolbox is outdated and no longer maintained.There are much better tools available for deep learning than this toolbox, e.g. [Theano](http://deeplearning.net/software/theano/), [torch](http://torch.ch/) or [tensorflow](http://www.tensorflow.org/)I would suggest you use one of the tools mentioned above rather than use this toolbox.Best, Rasmus.DeepLearnToolbox================A Matlab toolbox for Deep Learning.Deep Learning is a new subfield of machine learning that focuses on learning deep hierarchical models of data.It is inspired by the human brain's apparent deep (layered, hierarchical) architecture.A good overview of the theory of Deep Learning theory is[Learning Deep Architectures for AI](http://www.iro.umontreal.ca/~bengioy/papers/ftml_book.pdf)For a more informal introduction, see the following videos by Geoffrey Hinton and Andrew Ng.* [The Next Generation of Neural Networks](http://www.youtube.com/watch?v=AyzOUbkUf3M) (Hinton, 2007)* [Recent Developments in Deep Learning](http://www.youtube.com/watch?v=VdIURAu1-aU) (Hinton, 2010)* [Unsupervised Feature Learning and Deep Learning](http://www.youtube.com/watch?v=ZmNOAtZIgIk) (Ng, 2011)If you use this toolbox in your research please cite [Prediction as a candidate for learning deep hierarchical models of data](http://www2.imm.dtu.dk/pubdb/views/publication_details.php?id=6284)```@MASTERSTHESIS\{IMM2012-06284, author = "R. B. Palm", title = "Prediction as a candidate for learning deep hierarchical models of data", year = "2012",}```Contact: rasmusbergpalm at gmail dot comDirectories included in the toolbox-----------------------------------`NN/` - A library for Feedforward Backpropagation Neural Networks`CNN/` - A library for Convolutional Neural Networks`DBN/` - A library for Deep Belief Networks`SAE/` - A library for Stacked Auto-Encoders`CAE/` - A library for Convolutional Auto-Encoders`util/` - Utility functions used by the libraries`data/` - Data used by the examples`tests/` - unit tests to verify toolbox is workingFor references on each library check REFS.mdSetup-----1. Download.2. addpath(genpath('DeepLearnToolbox'));Example: Deep Belief Network---------------------```matlabfunction test_example_DBNload mnist_uint8;train_x = double(train_x) / 255;test_x = double(test_x) / 255;train_y = double(train_y);test_y = double(test_y);%% ex1 train a 100 hidden unit RBM and visualize its weightsrand('state',0)dbn.sizes = [100];opts.numepochs = 1;opts.batchsize = 100;opts.momentum = 0;opts.alpha = 1;dbn = dbnsetup(dbn, train_x, opts);dbn = dbntrain(dbn, train_x, opts);figure; visualize(dbn.rbm{1}.W'); % Visualize the RBM weights%% ex2 train a 100-100 hidden unit DBN and use its weights to initialize a NNrand('state',0)%train dbndbn.sizes = [100 100];opts.numepochs = 1;opts.batchsize = 100;opts.momentum = 0;opts.alpha = 1;dbn = dbnsetup(dbn, train_x, opts);dbn = dbntrain(dbn, train_x, opts);%unfold dbn to nnnn = dbnunfoldtonn(dbn, 10);nn.activation_function = 'sigm';%train nnopts.numepochs = 1;opts.batchsize = 100;nn = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.10, 'Too big error');```Example: Stacked Auto-Encoders---------------------```matlabfunction test_example_SAEload mnist_uint8;train_x = double(train_x)/255;test_x = double(test_x)/255;train_y = double(train_y);test_y = double(test_y);%% ex1 train a 100 hidden unit SDAE and use it to initialize a FFNN% Setup and train a stacked denoising autoencoder (SDAE)rand('state',0)sae = saesetup([784 100]);sae.ae{1}.activation_function = 'sigm';sae.ae{1}.learningRate = 1;sae.ae{1}.inputZeroMaskedFraction = 0.5;opts.numepochs = 1;opts.batchsize = 100;sae = saetrain(sae, train_x, opts);visualize(sae.ae{1}.W{1}(:,2:end)')% Use the SDAE to initialize a FFNNnn = nnsetup([784 100 10]);nn.activation_function = 'sigm';nn.learningRate = 1;nn.W{1} = sae.ae{1}.W{1};% Train the FFNNopts.numepochs = 1;opts.batchsize = 100;nn = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.16, 'Too big error');```Example: Convolutional Neural Nets---------------------```matlabfunction test_example_CNNload mnist_uint8;train_x = double(reshape(train_x',28,28,60000))/255;test_x = double(reshape(test_x',28,28,10000))/255;train_y = double(train_y');test_y = double(test_y');%% ex1 Train a 6c-2s-12c-2s Convolutional neural network %will run 1 epoch in about 200 second and get around 11% error. %With 100 epochs you'll get around 1.2% errorrand('state',0)cnn.layers = { struct('type', 'i') %input layer struct('type', 'c', 'outputmaps', 6, 'kernelsize', 5) %convolution layer struct('type', 's', 'scale', 2) %sub sampling layer struct('type', 'c', 'outputmaps', 12, 'kernelsize', 5) %convolution layer struct('type', 's', 'scale', 2) %subsampling layer};cnn = cnnsetup(cnn, train_x, train_y);opts.alpha = 1;opts.batchsize = 50;opts.numepochs = 1;cnn = cnntrain(cnn, train_x, train_y, opts);[er, bad] = cnntest(cnn, test_x, test_y);%plot mean squared errorfigure; plot(cnn.rL);assert(er<0.12, 'Too big error');```Example: Neural Networks---------------------```matlabfunction test_example_NNload mnist_uint8;train_x = double(train_x) / 255;test_x = double(test_x) / 255;train_y = double(train_y);test_y = double(test_y);% normalize[train_x, mu, sigma] = zscore(train_x);test_x = normalize(test_x, mu, sigma);%% ex1 vanilla neural netrand('state',0)nn = nnsetup([784 100 10]);opts.numepochs = 1; % Number of full sweeps through dataopts.batchsize = 100; % Take a mean gradient step over this many samples[nn, L] = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.08, 'Too big error');%% ex2 neural net with L2 weight decayrand('state',0)nn = nnsetup([784 100 10]);nn.weightPenaltyL2 = 1e-4; % L2 weight decayopts.numepochs = 1; % Number of full sweeps through dataopts.batchsize = 100; % Take a mean gradient step over this many samplesnn = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.1, 'Too big error');%% ex3 neural net with dropoutrand('state',0)nn = nnsetup([784 100 10]);nn.dropoutFraction = 0.5; % Dropout fraction opts.numepochs = 1; % Number of full sweeps through dataopts.batchsize = 100; % Take a mean gradient step over this many samplesnn = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.1, 'Too big error');%% ex4 neural net with sigmoid activation functionrand('state',0)nn = nnsetup([784 100 10]);nn.activation_function = 'sigm'; % Sigmoid activation functionnn.learningRate = 1; % Sigm require a lower learning rateopts.numepochs = 1; % Number of full sweeps through dataopts.batchsize = 100; % Take a mean gradient step over this many samplesnn = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.1, 'Too big error');%% ex5 plotting functionalityrand('state',0)nn = nnsetup([784 20 10]);opts.numepochs = 5; % Number of full sweeps through datann.output = 'softmax'; % use softmax outputopts.batchsize = 1000; % Take a mean gradient step over this many samplesopts.plot = 1; % enable plottingnn = nntrain(nn, train_x, train_y, opts);[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.1, 'Too big error');%% ex6 neural net with sigmoid activation and plotting of validation and training error% split training data into training and validation datavx = train_x(1:10000,:);tx = train_x(10001:end,:);vy = train_y(1:10000,:);ty = train_y(10001:end,:);rand('state',0)nn = nnsetup([784 20 10]); nn.output = 'softmax'; % use softmax outputopts.numepochs = 5; % Number of full sweeps through dataopts.batchsize = 1000; % Take a mean gradient step over this many samplesopts.plot = 1; % enable plottingnn = nntrain(nn, tx, ty, opts, vx, vy); % nntrain takes validation set as last two arguments (optionally)[er, bad] = nntest(nn, test_x, test_y);assert(er < 0.1, 'Too big error');```[![Bitdeli Badge](https://d2weczhvl823v0.cloudfront.net/rasmusbergpalm/deeplearntoolbox/trend.png)](https://bitdeli.com/free "Bitdeli Badge")

假人有限元模型

假人模型,车辆碰撞假人有限元模型,适合做乘员安全的研究者利用

efm32 入门.pdf

本PDF共计22页,介绍的是操作驱动API,下载与否自己斟酌。

jdk-8u144-linux-x64.tar.gz.

该资源为搭建Linux系统Java环境用,资源的后缀为tar.gz格式的压缩包

上一篇: 使用 IPsec 与组策略隔离服务器和域-第3 章:确定 IT 基础结构的当前状态
下一篇: 使用 IPsec 与组策略隔离服务器和域-第 1 章:服务器和域隔离简介
freexploit
博客等级 码龄22年 315粉丝 778原创
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付:10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值