审计流控解决方案剖析.doc

广东省交通运输高级技工学校解决方案 深信服科技有限公司 2016年05月04日  目录 第1章 概述——需求分析 第2章 深信服解决方案 2.1 组网拓扑 第3章 方案价值 3.1 控制功能：细致的访问控制，有效管理用户上网 3.2 带宽及流量管理功能：强大流量分析及带宽划分与分配 3.3 网页过滤 3.5 发帖过滤 3.6 邮件过滤 第4章 设备选型 第5章 深信服品牌优势 概述——需求分析 随着互联网行业的逐渐发展，网络已经发展成为广东省交通运输高级技工学校不可或缺的办公依托，然而校园网内用户肆意的上网行为也带来挑战同时传统的流控方式是使用QoS技术实现基于源地址、目的地址、源端口、目的端口以及协议类型等“五元组”的流量控制。通过“五元组”定义各种流量，针对不同流量实施不同的排队机制和拥塞机制以实现控制流量的目的。但这种传统的IP数据包流量识别和QoS技术，仅根据数据包头中的“五元组”信息进行分析，却无法识别出流量中所涉及的应用，因此，无法对应用进行精细的流控。网络中心的监管压力，内部的管理压力，这一切都要求广东省交通运输高级技工学校对学校的互联网进行有效的管理，具体问题如下： 可管理性 由于系统本身具有一定复杂性，随着业务的不断发展，网络管理的任务必定会日益繁重。所以在方案设计中，必须具备全面的网络管理解决方案。网络设备必须采用智能化，可管理的设备，同时实现先进的分布式管理。最终能够实现监控、监测整个系统的运行情况，合理分配资源、动态配置策略、可以迅速确定故障点等。通过先进的管理策略、管理工具提高系统的运行性能、可靠性，简化维护工作，从而为办公、管理提供最有力的保障。 带宽滥用 随着互联网的普及，学校业务几乎都依托于互联网进行。OA、Mail、电子商务等系统已成为基础设施，共同构成业务信息化平台。但是在内部网络中，除了这些关键业务系统外，还存在着P2P下载、在线视频、网络炒股、购物、游戏、在线小说等非关键业务应用，形成了复杂的网络应用“脉络”。 在众多的网络应用中，尤以P2P应用的带宽侵蚀性最为强烈。据调查统计，P2P应用对带宽占用比大致是40%~60%，在极端情况下占用比会达到80%~90%。同时，再加上其他与工作无关的应用占用了带宽资源。因此，在日常办公当中带宽有效利用率不到30%。 数据泄密 学校业务依托于互联网开展，都承载着有关于学校的机密信息，比如学生和老师的个人信息，学校文档资料等。在没有任何网络安全防护措施下，学校将承受机密信息外泄风险。因此，为了防止数据安全隐患，既要预防黑客入侵系统窃取资料，又要禁止学校内部人员主动外发资料。 违法行为 学校师生在日常办公中拥有访问互联网的权限，可通过QQ、MSN、论坛或微博等方式外发信息，如果包含了色情、赌博、反动等不良信息，都属于网络违规违法行为，学校或个人将承担法律责任。 安全隐患 互联网的开放给学校带来了信息共享的便利，为业务系统提供了传输平台，但是正因为互联网的开放，网络病毒、蠕虫、木马等不安全因素也随之出现。某些网络安全意识薄弱的师生，在互联网上随意打开网页、点击链接，中毒受感染，并且在内部网络中传播导致大范围严重影响。因此，如何避免来自互联网的侵袭，解决内网安全管理问题，是信息化系统建设中需要考虑的重点问题。 深信服解决方案 充分考虑广东省交通运输高级技工学校的实际网络状况，建议采用上网行为管理的集中部署解决方案。 上网行为管理策略： 通过强大的流量管理系统轻实现基于不同用户/用户组、时间段、应用类型/网站类型/上传下载文件类型、结合QoS优先级机制，进行带宽划分和分配，实现带宽资源利用率的最大化。 内置千万级URL库，具备URL智能识别功能，对反人类、反政府、色情、赌博、毒品等包含不良信息的网页进行过滤。 可对发帖进行关键字过滤。天涯、猫扑、百度贴吧等论坛网站，可设置看帖看不允许发帖，或者实行发帖关键字过滤，避免发表不良言论给学校带来法律追究责任的风险。 对所有日志进行报表呈现、数据分析，做到全网网络的透明化管理。 学校的出口带宽有限，随着网络应用的丰富，出现各种吞噬带宽的应用，如P2P应用，若不对这些应用加以限制管理，学校的带宽资源必会被抢占，而核心业务却得不到带宽，从而导致整体网络速度变慢，影响正常的邮件发送和网络访问。因此，学校需要一种流量管理工具，识别应用流量，对现有的带宽进行合理的分配。 整套网络基于学校的实际网络进行设置和建设，在统一平台进行集中管控： 1）方便快速部署：通过集中管理平台，实现对校区上网行为管理的配置、选型配置等，实现快速的部署模式，且此种部署模式有利于最大程度的缩减实施成本及网络搭建成本。 2）集中管理：网络中心管理人员可通过集中管理设备统一