長江南京航道局網絡安全設升級改造實施方案一、網絡概述1.1網絡環境描述南京航道局網絡如圖所示這是一種星型網絡拓撲結構圖在我們所看到的這張航道局的網絡拓撲圖上，左下角這塊就是以華為AR46－80為核心的內網；右上角這塊就是以FＧ300A．明星辰IＰＳ、綠盟等安全設備為主的外網；右下角這塊主要針對掛在支撐平臺交換65０6Ｒ下的ＷEB網站服務器.當前長江南京航道局網絡拓撲圖:1。2網絡設備及Ｐ描述? 外網路由器AＲ46－801)管理地址：17２。18。194.1? 外網防火墻FＧ300A2)工作模式：透明模式.3)管理地址:17２.18。１94.2５3? 啟明星辰ＩPＳ1)工作模式:單對串接模式相當于透明模式。? 綠盟內容安全管理1)工作模式：直通模式相當于透明模式.2)管理地址：172。18．1９4。２5２? 內網防火墻FG300Ａ1)工作模式：ＮAT模式。2)管理地址：172．18.193。253? 內網核心交換機6506R1)管理地址：1７2。1８．192.2５4? 支撐平臺交換機6506R1)管理地址：1７2.18．1９３。254? WEB網站服務器2)網站地址：１72．18．１9３.19３１．３網絡設備改造前接口圖二、網絡安全實施方案。1網絡安全實施前期準備為AR4６-８0飛塔FG3０0A．侵防御ＩPＳNＤP10０和內容安全管理綠盟ICEYE6０4C,在本次實施中我們需要對入侵防御IＰS進行網絡位置遷移,因此我們需要做好關設備配置備份工作當因網絡遷移導致網絡故障后第一時間還原并恢復網絡的正常。關于網絡設備配置備份的重要性，這里不作過多描述,毋庸置疑的是一旦設備因配置丟失導致網絡中斷后，那么恢復起來需要消耗大量的時間,對因長時間網絡中斷而造成的損失是無法估計的,它的重要性也就不言而喻了。在實際網絡設備遷移中,如果排除設備之間線纜連接距離的問題，甚至我們的實施工作都不需要中斷設備電源，這樣也保證了對網絡的影響降到了最低.針對網絡設備的配置備份,這里不再區分外網與內網,因為實際上我們實施時除了不會對內網造成影響外，其它外網訪問及WＥB網站服務器都會有相應的影響，因此我們會對網絡中所有主要網絡設備進行配置備份，主要設備如下:外網路由器華為ＡR4６—80、外網防火墻FG3０0Ａ、綠盟內容安全管理、內網防火墻FG300網核心交換機6506R、支撐平臺交換機65０6R。２。2網絡安全實施停機時間關于在網絡安全實施過程中的網絡中斷時間我們分為外網停機時間與網站服務器停機時間,理論上兩者是獨立開來不受影響的至于內網數據,這里不單獨分離開來的原因是內網的獨立性較強,當外網沒有需求訪問內網數據時，內網本身與外網就是斷開的。。1外網停機時間在對外網進行實施時我們不需要移動設備物理位置因為本身就在一個機柜，因此我們選擇合適的線纜進行連接即可.預計外網停機時間在１０分鐘內。２.．WＥB網站服務器停機時間在完成外網測試后,需要考慮將入侵防御IPS調整到外網路由器AＲ４6-8０和內網防火墻G300Ａ之間此時需要中斷WEB網站服務器并且如果當前外網對內網數據有訪問需求的話也要暫時中斷原啟明星辰IPS保留當前接入模式接入外網路由器和內網防火墻之間。預計ＷＥＢ網站服務器停機時間在1０分鐘.２。3網絡安全實施應急演練２．1網絡安全實施演練目的減少發生網絡事故時南京航道局網絡修復時間減少因設備遷移而導致的網絡故障；在最短的時間恢復設備正常運行將損失降低到最低。。3.2網絡安全實施演練范圍此次演練對象為以啟明星辰入侵防御IPSNDP1００安全設備為主主要涉及網絡設備有外網路由器AR46－80外網防火墻ＦG300A綠盟內容安全管理內網防火墻ＦＧ0０A．網核心交換機 6506R和支撐平臺交換6506R。。３．3網絡安全實施演練內容本次網絡安全實施需要涉及網絡設備節點比較多但是除了需要網絡遷移啟明星辰IPS外其它設備的物理與邏輯位置都不用改變因此其它設備除了正常的配置做好備份外不會對網絡造成影響這里我們需要對改變網絡位置的啟明星辰IPS進行網絡安全實施演練即可，這么操作的目的在于當遷移啟明星辰IPS作。1)中斷啟明星辰IＰS兩個通信端口后,將對應的外網防火墻與綠盟內容安全管理設備通過線纜連接在一起,并測試相關業務，確保外網恢復正常；如果外辰IPS復正常。2)中斷WEB服務器網絡,斷掉外網路由器AＲ46－80和內網防火墻之間的通信端,并接入啟明星辰IPＳ如果WEＢ網站服務器可以正常訪問并且當把內網核心交換機與內網防火墻連接時,可以通過外網訪問內網數據，則網絡正常；如果遷移進IPＳ后WEB服務器不可以被訪問外網也不可以正常訪問內網數據，則撤掉IPS,恢復原本網絡并測試業務，確保網絡恢復正常。4網絡安全實施過程1網絡安全實施端口拓撲圖。。１當前網絡安全實施端口拓撲圖。．。2改造后網絡安全實施端口拓撲圖．4.2網絡安全實施過程．２1外網網絡安全實施過程外網網絡安全的實施主要以遷移啟明星辰入侵防御ＩPSNDP100為主，當IS通過Poｒt1與外網防火墻的Pｏrt６口連接，Port2與綠盟內容安全管理的Eｔh1口連接,網絡改動后,外網防火墻的Port6口與綠盟內容安全管理的Eth１口連接。操作步驟如下:1)遷移前先測試相關業務，確保當前外網可以正常訪問。2)拔出IPS、外網防火墻和綠盟內容安全管理設備三者之間對應接口的信線纜。3)將外網防火墻的Port6口與綠盟內容安全管理設備的Eth1口通過線連接。4)測試相關業務，確保外網可以正常訪問.２４２ＥB服務器安全實施過程WEＢ服務器安全的實施主要也是以遷移啟明星辰入侵防御IPSNＤP10０為,當前內網防火墻的Pｏｒt６口與外網路由器AR４６-8０的ＧE0／０/1口連接網絡改動后內網防火墻的Port6口與啟明星辰入侵防御ＩPSＮDP1００的Prｔ２口連接啟明星辰入侵防御IPSNDＰ100的Poｒt1口與外網路由器AＲ6－80的GE0／０／1口連接。操作步驟如下：1)遷移前先測試相關業務，確保當前WEB服務器可以被正常訪問。2)拔出內網防火墻FＧ3００A和外網路由器A