基于多協(xié)議標(biāo)簽交換的網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、VPN（虛擬專用網(wǎng)絡(luò)）實(shí)例間隔離性出色是MPLS（多協(xié)議標(biāo)簽交換）網(wǎng)絡(luò)的一個(gè)重要特點(diǎn)，也正是由于這一優(yōu)勢(shì)，在最近幾年，不同企業(yè)甚至不同行業(yè)間，均廣泛采用這一網(wǎng)絡(luò)。然而，VPN實(shí)例內(nèi)的安全性問題卻沒有進(jìn)行充分的考慮。當(dāng)前階段中，通常將安全設(shè)備安裝在MPLS VPN的網(wǎng)絡(luò)邊緣處，也就是CE（用戶邊緣）設(shè)備部位，以達(dá)到保護(hù)的效果。然而，在網(wǎng)絡(luò)的分支機(jī)構(gòu)比較復(fù)雜的情況下，CE設(shè)備也通常會(huì)隨之增加，在這種情況下，利用這一方式通常需要支付較高的成本

2、，而且不利于整網(wǎng)的實(shí)用性，同時(shí)，在后續(xù)維護(hù)和管理中也會(huì)帶來較大的困難。因此，設(shè)計(jì)一個(gè)既能有效地針對(duì)MPLS VPN實(shí)例進(jìn)行安全防護(hù)又能節(jié)省工程成本的安全解決方案非常有必要。
　　本文描述了如何在BGP/MPLS VPN網(wǎng)絡(luò)環(huán)境中的P（服務(wù)提供商）設(shè)備旁掛UTM（統(tǒng)一威脅管理）設(shè)備，實(shí)現(xiàn)對(duì)MPLS VPN實(shí)例的安全防護(hù)，打破了目前常規(guī)的在MPLS VPN網(wǎng)絡(luò)邊緣處部署安全設(shè)備進(jìn)行防護(hù)的做法。文中對(duì)系統(tǒng)需求進(jìn)行詳細(xì)分析，定義了系統(tǒng)設(shè)計(jì)

3、目的、設(shè)計(jì)原則、用戶角色、業(yè)務(wù)流程、功能性及非功能性需求，從原理出發(fā)設(shè)計(jì)了系統(tǒng)的實(shí)施環(huán)境，并對(duì)主要的幾個(gè)原理進(jìn)行詳細(xì)解釋，在之后的系統(tǒng)實(shí)現(xiàn)和測(cè)試中取得了預(yù)期的測(cè)試結(jié)果。文中首次提出利用BGP（邊界網(wǎng)關(guān)協(xié)議）路由協(xié)議的local-pref屬性，實(shí)現(xiàn)MPLS VPN報(bào)文的引流、回注，同時(shí)利用路由策略防止環(huán)路的出現(xiàn)以及多個(gè)分支機(jī)構(gòu)互訪帶來的各種問題，并在UTM設(shè)備上開啟IPS（入侵防御系統(tǒng)）、AV（反病毒）防護(hù)，實(shí)現(xiàn)整網(wǎng)的可用性和安全性的平衡