重庆港务局网络改造 保证网络安全畅通

重庆港务局网络安全系统分析
 重庆港系国家一类口岸，主要从事港口装卸、客货运输、水陆中转、仓储服务、物流配送、酒店旅游等多种综合性经营服务。重庆港务物流集团是具有现代企业制度雏型的大型国有独资企业，是重庆市重点企业。
重庆港务物流集团的网络组建于1996年，不仅连接港务集团的办公网络，而且与下属各级单位连通，是整个重庆港业务运转必不可少的信息载体，其网络结构和系统应用复杂多样：网络由集团中心网络和下属单位局域网组成，上行出口通过防火墙与Internet连接。防火墙在整个集团的网络安全体系中处于桥头堡的地位，具体拓扑结构如下图所示：

曙光防火墙保护内网安全
根据重庆港务局网络安全性的要求，在内网和外网连接的出入口配置曙光天罗防火墙，根据港务局应用服务的种类设定恰当的安全规则，从而保证内网安全不受侵害：
防火墙处于内外网的连接关口，可以为网络提供较高的基础安全服务，如：防止端口扫描、DDOS攻击等攻击数据包、控制用户网络访问行为、过滤P2P协议数据、建立带宽管理机制，对不同的外出访问占用的带宽进行统一的分配、抗IP欺骗，防止其他接口区域的IP被此接口区域内的主机冒用等等。
内网通过防火墙访问外网采用地址转换（SNAT）技术，外出访问的数据包出去的时候改变原地址（SNAT）；数据被动回来通过防火墙进入内网的时候改变目的地址（UN SNAT)。这样，就可以对外网屏蔽内部网络包括IP地址，网关等任何内网信息，从而提高了网络的安全性。
港务局网络服务器应用种类繁多，为提高网络服务的安全性，采用地址映射技术隐藏内部网络结构。用户访问服务器对外提供的服务，目的地址为防火墙网口地址，防火墙将访问服务器对进出的数据进行相应的地址转换（DNAT）。这样，即保证了网络访问的正常，又能有效地保护对外服务器的安全。
此外，从拓扑图上可以看出，移动办公和下属单位上行连接到集团网络中心，都通过信任度较低的Internet互联网络。在后续的项目中，将采用曙光防火墙内置的VPN功能，为集团中心和下属单位构建专用的加密隧道，防止异地互联时产生的数据泄密风险。
曙光满足应用需求
曙光天罗防火墙获得重庆港务局用户的很好的评价。曙光防火墙的突出特点主要表现在为安全性、可靠性、性能、适用性四个方面：
安全性
使用专用的安全操作系统，专为安全应用设计开发，最大程度确保系统自身的安全性。管理系统采用“三权分立”方法，形成一个相互制约的稳定系统。除本地串口管理方式外，管理员与防火墙之间的连接，采用128位的高强度加密通讯，黑客根本无法破解。
可靠性
采用工业控制级硬件平台，相关的零部件达到工业级要求，确保物理层可靠性。专用的操作系统，系统内部使用零拷贝技术，保证了系统的性能，提高了可靠性。
性能
精简的操作系统，专用硬件及先进的核心处理机制的完美结合，实现吞吐量、带宽的安全检测，确保安全的同时，保证正常的网络应用。高性能的数据通讯模型，采用自适应的设计模型，过滤和通讯处理并发处理。
适用性
支持众多的网络通讯协议，并对各种协议可以进行细粒度的过滤，如IPX、NetBEUI和大部分的P2P协议，可以充分保证正常的网络应用。支持混合工作模式、高级路由、日志与审计、流量控制、双机热备、应用代理、双接入、内容过滤、VPN等强大的功能。