办公网公网线路整改总结-10-10

办公网公网线路整改总结1、整改原状1.1业务分散各业务部门公网光纤线路均采用单点接入，线路部署分散，故障发生需要较长时间进行故障节点判定，业务影响时间较长。1.2无流量监管现有公网光纤线路均采用2层设备接入，不具备流量监控条件，不能对各部门业务流量进行分析处理，无法对后期网络布局影响范围、线路带宽增减等提供依据1.3缺乏安全管控目前所有线路均由公网直接接入局域网内部，所有访问路径未部署任何安全管控设备，服务端遭受外部恶意主机攻击不仅影响该业务线路，对公司内网安全也有很大安全风险。2、整改方案2.1改造方向对公网线路、内网连接重新部署，完成统一整合，形成完整且独立的事业部公网网络区域实现公网线路的流量监控和安全防护功能，对各业务流量进行分析，为后期线路增减提供依据并且实现内网外网的安全隔离整合后的网络必须具备一定的可用性，由于接入线路比较集中，要尽量避免重要节点的单点故障造成的整体线路中断2.2网络架构图整体网络架构图如下：图1-1公网线路调整拓扑图3、实施情况3.1公网整改架构调整为了更好的达到公网整合后预期的效果，在实施方案形成后，经过不断的商讨和凝练，我们定义了新的网络架构拓扑，如下图：图1-2调整后拓扑由于后期，针对于公网公网网络现状的深入了解，发现有部分公网线路已经存在类似防火墙之类的网络设备接入，从现有的设备中，我们即可观察到线路利用情况，因此对需要整改的公网线路进行精简后，发现一台防火墙足以承载相关流量，此次实际梳理的公网线路如下表：电信联通移动备注61.191.24.226~242218.106.92.85120.209.157.36~4360.166.12.146~158220.248.245.130~142220.178.24.66~9660.166.12.114~126220.178.7.102220.180.238.172-17660.166.12.1983.2公网物理线路整理由于整改前的公网线路，在上线实施使用前，并没有经过周全的布线规划，导致网络线缆凌乱不堪，交织在一起，此次实施前，我们清理掉全部不在使用的光电转换设备及其线缆，在实施中，我们针对全部线缆进行了统一梳理、部署及扎线贴标工作，使其看起来简单有序，但由于历史缘故，仍有部分其他设备线路无法挪动，美中仍有不足。4、整改后效果4.1流量监控通过将公网流量透过防火墙的方式，实现对所有公网线路的监控，在防火墙主页中，可以实时监控所有线路的总机带宽及会话数。图4.1监控防火墙整机流量图在首页中，我们只能看到所有线路的总体流量情况趋势图，为了监控到每一条线路每一个IP地址的流量情况，我们可以自定义根据公网IP地址来监控其对应的流量，根据每条线路所拥有的IP地址段，定义一个监控组，即可监控这条线路的IP地址使用情况及该地址的流量使用情况，如下图所示：图4-2自定义公网线路监控1图4-3自定义公网线路监控2如图中所以，我们根据公网线路的作用定义了流量监控组，在流量监控组中可以清晰的看到每一个在用IP地址的流量使用情况及历史曲线图，可以一目了然的看到每条线路的带宽使用情况，然后评估该线路的利用率是否符合公司要求。4.2安全管控将所有公网流量透过防火墙之后，防火墙即可对这些流量进行安全分析，进行安全监测、安全过滤，保障内网服务器的安全。在监控防火墙上，开启二层安全防护后，可以针对流入防火墙的流量进行固定的安全防护，并针对不同的攻击类型，做出相应响应，完成对内网服务器的安全防护，如下图：图4-4开启攻击防护在开启公网防护后，防火墙会针对外部不安全流量进行安全管控，根据默认的安全管控行为，做出相应措施，如下图：图4-5攻击防护措施如上图所示，当有攻击发生后，防火墙会匹配防护措施，实现对外部不安全流量的管控功能，途中针对ICMP泛洪攻击，防火墙及时有效的drop掉疑似攻击流量，完成对内网安全域防护功能。5、整改外公网线路监控由于此次公网线路整改，并没有涉及全部公网线路，因为部分公网线路已经存在4层以上设备，可做监控使用，这部分线路梳理如下：公网线路监控设备备注61.190.35.226-230~166:4430/220.248.245.130~142通过上表，可以通过相关监控设备对相应的公网线路进行流量监控，举例说明如下：图5-1深信服设备流量监控6、实施总结在实施前，由于对实施工作及细节考虑的不充分，导致线路整改方案一改再改，实施时间一推再推，最终成型的方案，也就是我们实施的方案，最终全部实现了最初预期的畅想，完成了对公网线路的整理，对公网流量的监控，对公网安全性进行了防护工作，使科大讯飞A1楼公网梳理成一个有机的整体，具体可观性、可控性，使我们可以对每一条线路了然于目，知道其使用情况，带宽利用率。在实施过程中，突发将所有线路整合到同一台交换机后，所有线路开始丢包，导致整体公网线路均不可用，后考虑是交换机性能不足，通过更换高型号交换机后，使情况得到改善，后期通过调控防护墙的安全防护动作，使疑似攻击流量不在被丢弃，改为告警后，终于解决了整个链路丢包的过程。