广域网安全建设的思路和部署

广域网安全部署的整体思路和方案实施建议

(i) 广域网分支安全建设的整体思路

1. 重点关注客户端的接入安全，建立完整的安全准入机制，实现对用户的认证鉴权

在广域分支的安全建设过程中，员工的接入行为是造成安全风险的重要因素。因此需要合理规范员工的安全接入行为，针对不同属性的员工设定差异化的终端准入访问策略，并通过灵活的技术手段，实现对客户端安全准入组件（如杀毒软件、操作系统）的补丁自动升级维护，对于部分关键业务严格设定用户访问权限，确保整个广域分支用户的"合规"访问。

2. 强调企业分支数据传输通道的安全性，为固定和移动接入用户创造安全的接入环境

结合广域分支办事处员工的工作实际，通过远程接入VPN等方式实现对移动用户办公的支持，同时对于企业分支和总部之间的传输线路。在保证安全的前提下可以利用VPN进行加密，实现统一的VPN安全传输。在产品的选择上，要考虑选择成熟的主流产品和符合技术发展趋势的产品，实现一体化的VPN安全网关，以减少系统维护的工作。

3. 持续进行广域网链路质量的优化，保障关键应用的服务质量，提升应用的交付性能

在规划建设多业务的广域分支时，无论是通过广域网的专线互联，还是利用internet链路进行互联，都需要考虑到多业务对带宽的占用情况。除了不断的扩容之外，持续的优化广域分支的链路质量，对分支业务进行优先级排序并合理安排带宽占用比例，可以有效的分支业务的服务质量和交付性能，同时也可以减缓广域分支链路扩容维护的压力，用最小的代价获得更大的收益。

4. 合理划分广域网的安全区域，加固防护边界安全风险，实现整体安全事件的统一管理

边界安全防护和安全域的划分一直是安全建设的重点，对于广域网的安全建设来说也不例外。在广域网的总部汇聚场合，除了部署传统的防火墙等产品，还可以根据对外提供服务器的位置部署诸如入侵防护等产品；在广域网的分支，安全边界的建设重点聚焦在广域网分支出口的位置。同时针对这些安全防护策略，将广域分支的安全事件进行集中的上报和统一的安全管理，可以及时发现网络中存在的安全风险状况，为后续的策略调整提供技术的支撑。

(ii) 广域网分支安全方案实施建议

如图1所示为广域网安全部署的典型组网。考虑到广域网分支的关键业务职能是满足分支到总部的集中访问，及部分总部应用到分支的及时交付，在进行分支的安全部署时，可以重点关注以下几个方面：

1. 建设综合的VPN接入平台

无论是采用专线方式接入或者是采用internet进行广域分支互联，在涉及到传输通道的加密安全方面，采用合适的VPN技术进行数据加密传输是必然的选择。面对企业的多样化需求，在部署综合VPN接入平台时，需要考虑以下几个方面：

1） 按需选择技术实现。为确保远程分支固定接入点人员和总部的数据安全，选择site-to-site IPSec VPN实现分支和总部的链路加密，为了保证路由协议的正常交付，建议采取GRE+IPSec的方式。

2） 针对内部员工远程移动访问的需求，如果需要访问较多的内部资源，原则上建议采用L2TP+IPSec的远程接入方式，同时客户端要求使用iNode VPN客户端，以便实现较严格的端点安全接入检查；针对部分合作方员工的远程接入访问需求，可以采取SSL VPN的方式进行，用户不需要客户端软件，而且对于访问的资源管理员将严格限定，避免客户端的安全风险对网络造成大的影响。

3） 在具体的认证方式上，对于L2TP+IPSec的接入或者是SSL VPN的接入，无论是采取USBKEY或者是token令牌都可以很好的保证认证安全。

4） 在总部资源的访问上，严格限制通过SSL VPN接入的访问，以保密度不高的web类访问为主。

5） 在设备的选择上，分支设备建议采取UTM多功能网关，在实现基础的安全防护功能的同时，兼作为VPN client网关设备；在总部VPN网关的选择上，如果是中小企业建议选择IPSec VPN和SSL VPN网关合一的设备进行部署，这种方式可以简化组网结构；对于大型广域网而言，可以旁挂部署专业的高性能SSL VPN网关配合高性能防火墙IPSEC VPN网关实现综合的VPN接入。

6） 从可靠性的角度，总部VPN网关建议进行HA双机部署，保证故障情况下的双机业务切换。

图1 企业综合VPN组网示意图

2. 优化安全域的隔离和控制，实现L2-L7层的应用安全防护

在建设安全边界防护控制过程中，面对企业的多个业务部门和分支机构，合理安全域划分是保证安全防护效果的重要环节。尤其是通过internet实现广域各分支安全接入的企业，远程分支和internet之间的安全边界，企业总部汇聚和internet的安全边界，企业总部的DMZ安全防护，各远程分支之间的安全隔离和访问控制等需求更加明显。在具体的安全域隔离和防护方面，主要的部署建议如下：

1） 广域网远程分支的安全防护，建议使用多功能合一的UTM产品实现，除了传统的安全隔离之外，如果远程分支具备internet边界，利用该产品还可以实现对web类应用威胁的访问控制，anti-virus和IPS等特性都可以很好的保证这一点。

2） 在远程分支的内部，基于UTM产品实现对安全区域的严格划分，各个业务部门可以有自己独立的安全域，通过安全域可以很好的实现相互之间的访问控制。

3） 总部广域汇聚区域的安全隔离方面，需要考虑各个分支之间的安全隔离，涉及到internet接入方式的情况下，还需要考虑DMZ安全区域的安全防护，需要考虑对web应用层安全威胁的防护；其整体的部署示意图如图2所示。

4） 在设备形态方面，对于广域网的总部汇聚位置，建议使用多功能集成的安全平台，通过在交换路由平台集成高性能的安全模块进行组网，以简化设备的部署和管理。

5） 在设备的功能要求方面，除了传统的安全特性之外，如果设备支持的情况下，可以考虑使用虚拟化防火墙特性，实现不同业务之间或者是企业不同分支之间的彻底安全隔离，如图3所示。

                          图2 广域网安全典型部署组网      

  图3 广域分支和总部防火墙虚拟化部署

3. 强调广域网应用的交付质量，聚焦低成本的广域网带宽管理和优化

面对多业务广域分支建设对高带宽的需求，单纯的链路扩容并不能解决可持续性发展的问题。如果选择昂贵的广域网优化设备，建设成本会提高很多给企业带来压力。在这种情况下，利用现有的深度业务识别技术，在充分了解现有链路带宽的利用情况下，优先保证重点业务的服务质量、并有策略的限制与工作无关的流量，也可以在一定程度上缓解多业务应用和高带宽之间的矛盾，业务部署流程如下：

1）先看：通过设备部署对现有网络流量应用情况进行学习监控，获取整个广域分支的流量分布和带宽占用情况，同时依托智能管理平台实现业务的多维度精细化呈现，帮助网络维护人员真正了解企业网络状况。

2）后控：在深度业务识别的基础上，根据自身的业务优先级，对业务流量进行优先级的标记，对高优先级业务进行带宽的保证，对工作无关业务实现速率限制或者丢弃，确保带宽不被滥用。

3）再调整：策略部署完成之后，可以基于可视化的报表平台，进一步监控分析策略部署的效果，同时可以根据实时的业务需求继续对策略进行调整控制，以便做到对业务从识别到控制再到调整再到监控的闭环流程。如图4所示。

图4 广域网业务识别和流量管理典型部署示意图

4.

5. 实施端点安全准入控制，确保分支网络接入安全

尽管很多客户端PC都已经安装有专业的杀毒软件，但是由于安全状况不可控的终端接入而导致整个分支网络受到病毒攻击的行为仍然时有发生，因此对于终端的安全接入控制显得尤其重要。考虑到广域网分支的组网环境，典型的部署建议如下：

1）在认证网关的选择上，建议使用广域分支出口设备或总部入口作为认证网关，实现集中的portal认证；用户通过广域网访问总部数据需要进行安全认证和端点健康状况的检查，在保证访问控制权限的基础上，确保总部资源不会因为终端安全风险而受到影响。

2）企业所有用户均集中到企业总部的EAD管理中心进行认证；对于个分支机构管理员赋予分权管理能力，即分支机构的管理员可登录企业总部的EAD管理中心，对于其分支机构的接入用户、接入设备和安全策略进行维护管理，而无权访问其它机构的EAD信息。

3）认证服务器、补丁服务器等可集中部署、统一管理，便于执行全网一致的安全策略、降低分支维护管理的复杂度。同时还可支持服务器分布部署、分权管理、分级管理等应用方案。

4）对于小于50人、且广域带宽比较紧张的分支，建议将终端分成N组，每次同时有1/N的用户升级，并且下发基于用户和业务的QoS策略，控制升级业务对带宽的占用；对于大于50人的分支，建议在远程分支内部署区域补丁服务器服务器，在线路闲时与中心补丁服务器同步，完成用户本地补丁自动升级

5）基于上述的组网模型，可以忽略分支内部多厂商的设备组网，无需调整分支内部网络，即能实现安全加固的平滑升级。如图5所示。

图5 广域网分支端点准入典型组网图

6. 建设统一的安全管理平台，实现对整网安全的"可视、可控和可管"

优秀的安全管理平台，不但可以实现对整个广域分支和总部网络的多设备统一配置管理，同时可以作为整网安全事件的集中处理平台，通过对整网安全日志的关联分析，发现各广域分支存在的安全攻击事件，从而为防护策略的制定及策略推送到指定安全设备提供基础，实现从安全事件的监控-关联分析-策略响应-再监控的闭环操作。具体的部署建议主要有4个方面：

1）在多厂商设备共存的情况下，要求各厂商设备的日志格式遵循统一日志规范，以便管理平台分析。

2）需要根据自身的信息安全制度设定恰当的安全策略，并定制适合自身需求的安全事件分析报表的模板。

3）对各种安全事件的优先级制定紧急事件应急响应流程；加强对内部员工的安全风险培训。

4）定期进行安全事件的分析评审，结合当前的安全威胁状况调整安全策略，真正实现安全事件的可视、可控制和可管理。如图6所示。

图6 企业统一安全管理平台逻辑示意图

结束语

广域网的安全体系的建设，既离不开通用安全建设理论（如ISO27001）的指导，也需要考虑广域网在自身业务开展过程中的实际的安全需求。在理论结合实际的基础上，通过不断研究安全威胁的新变化，并及时动态调整自身的安全防护策略，可以使得整个广域网的安全防护体系与时俱进，为多业务广域分支的建设保驾护航。