大型企业网络架构

目录

DMZ区

办公区

核心区

访问限制

堡垒机

 

注：图中防火墙和IPS更换位置

可以看到，在大型企业网络架构中，有非常多的产品：交换机、路由器、防火墙、IDS、IPS、服务器等设备。

那么有很多人会问，有了防火墙为什么还要IPS和IDS呢？

防火墙较多的应用在内网保护（NAT），流控，过滤等方面；而在对攻击方面的检测和防御方面相对较弱、所以就需要IDS和IPS。

而IDS（Intrusion Detection Systems），只是做些攻击的检测工作，本身并不做防护，它检测到攻击的时候，可能此时攻击已经产生灾难了，所以IDS一般都需要和一些防攻击设备IPS共用；

IPS（Intrusion Prevention System)，它不光对已知的攻击种类能防御，还能检测些异常协议的攻击，比较灵活。

    防火墙是防御系统，属于访问控制类产品
    IDS是入侵检测系统，属于审计类产品
    IPS是入侵防御系统，属于访问控制类产品

IDS虽是IPS的前身，但本质上，IPS已经发生了根本的变化，前者是审计类产品，后者属于访问控制类。

有人说，IDS也可以和防火墙联动执行访问控制，但这并不会改变IDS审计类产品的本质，因为，执行访问控制的是防火墙，而不是IDS。

    防火墙是基于IP地址和端口来执行访问控制的
    IPS是基于入侵检测来执行访问控制的

大型企业网络架构有三层：接入层、汇聚层、核心层。

    接入层接入不同的部门，不同的部门属于不同的VLAN，保证了不同部门之间的安全。
    核心层有两个核心交换机，实现负载均衡和热备份，即使有一个核心交换机宕机了，网络也不会瘫痪。
    对内服务器有一个IDS入侵检测系统，检测对内服务器的安全。
    对外服务器有一个 WAF和IDS ，用来检测外网用户对对外服务器的访问
    边界防火墙主要是用来进行流量控制、流量过滤和进行内外网NAT转换。
    在网络出口处，还有IPS入侵检测系统，实时检测是否有异常攻击行为，并及时阻断。
    出口路由器由两个不同的运营商提供，提供对公网路由
    防火墙、IPS 和 边界路由器都有两个，实现负载均衡和热备份。即使任何一个宕机了，都不会影响企业网络的正常运作。

DMZ区

DMZ(Demilitarized Zone)非军事化区，也就是隔离区，DMZ区是一个对外服务区，在DMZ区域中存放着一些公共服务器，比如对外的服务器、对外的邮箱等等。用户要从外网访问到的服务，理论上都可以放到DMZ区。

内网可以单向访问DMZ区、外网也可以单向访问DMZ区，DMZ访问内网有限制策略，这样就实现了内外网分离。

DMZ可以理解为一个不同于外网或内网的特殊网络区域，即使黑客攻陷了DMZ区，黑客也不能访问内网区域。
办公区

办公区就是企业员工日常办公的区域，办公区安全防护水平通常不高，基本的防护手段大多为杀毒软件或主机入侵检测产品。在实际的网络环境中，攻击者在获取办公区的权限后，会利用域信任关系来扩大攻击面。在一般情况下，攻击者很少能直接到达办公区，攻击者进入办公区的手段通常为 鱼叉攻击、水坑攻击 和其他社会工程学手段。

办公区按照系统可分为OA系统、邮件系统、财务系统、文件共享系统、企业版杀毒系统、内部应用监控系统、运维管理系统等。按照网段可分为域管理网段、内部服务器系统网段、各部门分区网段等。
核心区

核心区内一般存放着企业最重要的数据、文档等资产。例如，域控、核心生产服务器等，安全设置也最为严格。根据业务的不同，相关服务器可能存放于不同的网段中。

核心区按照系统可分为业务系统、运维监控系统、安全系统等，按照网段可分为业务网段、运维监控网段、安全管理网段等。
访问限制

当规划一个拥有DMZ的网络时候,我们可以明确各个网络之间的访问关系,可以确定以下六条访问控制策略。

1.内网可以访问外网

内网的用户显然需要自由地访问外网。在这一策略中，出口路由器需要进行源地址NAT转换。

2.内网可以访问DMZ

此策略是为了方便内网用户使用和管理DMZ中的服务器。

3.外网不能访问内网

很显然，内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。

4.外网可以访问DMZ

DMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由出口路由器完成对外地址到服务器实际地址的转换。

5.DMZ访问内网有限制

很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。

6.DMZ不能访问外网

此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网。
堡垒机

堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、记录、分析、处理的一种技术手段。

其从功能上讲，它综合了核心系统运维和安全审计管控两大主干功能，从技术实现上讲，通过切断终端计算机对网络和服务器资源的直接访问，而采用协议代理的方式，接管了终端计算机对网络和服务器的访问。形象地说，终端计算机对目标的访问，均需要经过运维安全审计的翻译。打一个比方，运维安全审计扮演着看门者的工作，所有对网络设备和服务器的请求都要从这扇大门经过。因此运维安全审计能够拦截非法访问，和恶意攻击，对不合法命令进行命令阻断，过滤掉所有对目标设备的非法访问行为，并对内部人员误操作和非法操作进行审计监控，以便事后责任追踪。

堡垒机原理：

堡垒机实际上是旁路在网络交换机节点上的硬件设备，实现运维人员远程访问维护服务器的跳板，即物理上并联，逻辑上串联。简单的说，就是服务器运维管理人员原先是直接通过远程访问技术进行服务器维护和操作，这期间不免有一些误操作或者越权操作，而“堡垒机”作为远程运维的跳板，使运维人员间接通过堡垒机进行对远程服务的的运维操作。如原来使用微软的远程桌面RDP进行windows服务器的远程运维，现在先访问到堡垒机，再由堡垒机访问远程windows服务器。这期间，运维人员的所有操作都被记录下来，可以以屏幕录像、字符操作日志等形式长久保存。在服务器发生故障时，就可以通过保存的记录查看到以前进行的任何操作。

堡垒机的核心技术实际上就是微软的RDP协议，通过对RDP协议的解析，实现远程运维操作的图形审计。

以windows远程运维操作为例，客户端通过RDP协议访问“堡垒机”，再由堡垒机内置的远程访问客户端访问远程windows服务器，即RDP+RDP。

那么图形界面的操作是如何记录下来的呢？实际上堡垒机内部也是Windows操作系统（不一定，有时候是Windows+Linux），客户端RDP到堡垒机后，又再一次启动了新的RDP，这时堡垒机的windows桌面就是远程访问到远程服务器时的桌面，只需要把这时的桌面情况记录下来就可以了。

由于微软的RDP协议内置了远程访问的屏幕信息，所以只需要正确的解析RDP协议的内容，并且把其中包含的视频信息抽取出来，再进行重组、压缩，就实现了图形操作的审计。

至于字符操作的审计，如FTP，实际上堡垒机内部内置了FTP客户端程序，也是客户端主机先RDP到堡垒机，再由堡垒机启动FTP客户端程序访问远程服务器，这样还是由堡垒机作为跳板，间接地把FTP命令传送到服务器，并把服务器的响应信息反馈给客户端主机，中间的操作过程全都被记录了下来。

堡垒机的核心功能：单点登录、账号管理、身份认证、资源授权、访问控制和操作审计