技术方案
网络设备选择
- 路由器和交换机：用于连接外部网络设备，如 home net、cloud net 或固定端机（FME）。
- 防火墙：确保用户数据不被非法访问或窃取，可选：普通防火墙或高级防火墙（如 Zabbix 灌输防火墙）。
- 数据传输设备：如宏线交换机（宏线 6 或 7）等，适用于非对称双端网络。
防火墙设计
- 目标：提供高安全性（如 99.999%）和实时性（如 99.99%）。
- 技术：采用 Zabbix 灌输防火墙或 AviOS 灌输防火墙，支持多种安全协议（如 WPA3/2，WEP/128，WPA/SHA）。
- 配置：配置安全规则，如：
- 究竟是什么（ID）、访问权限、文件访问权限、网络权限等。
- 安全日志管理、入侵检测日志（ADSL）、入侵响应日志（ARL）。
- 防御措施：使用多因素认证（MFA）、入侵检测算法（如 MLDPS、S2）、入侵响应策略（如 RDP、SAP）。
网络架构设计
- 分布式网络：采用非对称双端网络（NBS）或对称双端网络（SBS），确保高容灾性和恢复能力。
- 路由协议：使用多路访问（MPA）、多路访问加分发（MPAX）或混合路由（MR）。
- 容灾设计：配置冗余路由路径、冗余路由头和冗余防火墙，确保在网络故障时仍能正常通信。
防火墙部署
- 防火墙部署协议：选择合适的部署协议，如 Zabbix 灌输防火墙、OpenFire 或 AviOS 灌输防火墙。
- 防火墙监控：配置日志、统计和报警功能，实时监控防火墙的性能和安全状况。
- 防火墙管理：通过配置文件或服务管理器管理防火墙配置，如设置入侵检测阈值、启用或禁用安全规则。
网络设备优化
- 路由器设计：确保路由器具有高性能、高可靠性、高可扩展性。
- 交换机优化：采用高性能交换机（如宏线交换机）和优化后的交换机（如 Zabbix交换机）。
- 防火墙性能优化：通过配置防火墙规则，
- 分段访问（SSA）：仅在特定请求时访问敏感数据。
- 防止重传（FMP）：避免重传敏感数据。
- 防止重写（FRW）：避免重写敏感数据。
安全措施
防火墙安全措施
- 多因素认证（MFA）：用户需要提供密码、短信或指纹等多因素验证，增加系统访问风险。
- 入侵检测算法：使用 MLDPS、S2 等算法检测潜在的攻击行为。
- 入侵响应策略：配置 RDP、SAP 等入侵响应策略，增强系统恢复能力。
数据安全措施
- 数据加密：加密敏感数据，防止未经授权的访问和泄露。
- 数据备份：定期备份重要数据，确保在发生故障时仍能恢复。
- 访问控制：通过防火墙限制访问特定用户和设备，防止未经授权的访问。
入侵检测与响应
- 入侵检测：使用 Zabbix 灌输防火墙等技术，实时检测和响应入侵行为。
- 入侵响应：在入侵响应后，及时通知用户，并提供恢复服务。
经济措施
预算规划
- 确定翻墙的总预算,包括设备采购、防火墙配置、网络架构设计等。
- 优先选择性价比高的设备和防火墙,避免因预算不足影响系统性能。
设备采购
- 选择性能合适的路由器、交换机和防火墙。
- 优先考虑 Zabbix 灌输防火墙和 AviOS 灌输防火墙，因为它们支持多种安全协议，部署简单。
网络架构优化
- 采用非对称双端网络（NBS）或对称双端网络（SBS），以提高网络的容灾性和恢复能力。
- 采用多路访问（MPA）或混合路由（MR）技术，提升网络的灵活性和可扩展性。
维护与管理
- 定期检查和维护网络设备,确保其正常运行。
- 定期更新防火墙配置,升级设备，以应对技术发展和用户需求的变化。
实施步骤
-
需求分析
与用户体验（UX）、技术开发（TDD）和运维团队（OSS）进行充分沟通，明确翻墙目标和需求。
-
设备采购
- 根据需求采购翻墙设备,包括路由器、交换机和防火墙。
- 确保设备符合防火墙要求,并选择性价比高的设备。
-
防火墙部署
- 用 Zabbix 灌输防火墙或 AviOS 灌输防火墙部署翻墙设备。
- 配置防火墙规则,确保用户数据的安全。
-
网络架构设计
- 根据需求设计非对称双端网络（NBS）或对称双端网络（SBS）。
- 选择合适的路由协议和冗余配置,确保网络的高容灾性和恢复能力。
-
防火墙监控与管理
- 配置日志、统计和报警功能，实时监控防火墙的性能和安全状况。
- 使用配置文件或服务管理器管理防火墙配置,如启用或禁用安全规则。
-
测试与试运行
- 进行防火墙和网络设备的测试,确保其正常运行。
- 通过用户测试验证翻墙设备的功能和性能。
维护与运维
-
定期维护
- 定期检查和维护网络设备,确保其正常运行。
- 定期更新防火墙配置,升级设备，以应对技术发展和用户需求的变化。
-
入侵检测与响应
- 定期启用 Zabbix 灌输防火墙等技术，实时检测和响应入侵行为。
- 通过入侵响应策略,确保用户数据的安全。
-
数据备份
定期备份重要数据,确保在发生故障时仍能恢复。
-
用户培训
定期对用户进行翻墙设备的培训,确保用户能够正确使用翻墙设备。
