内外网访问控制设计

　　在最近的项目中碰到了关于内部网络主机需要访问互联网资源的情况，因为内部网络是业务核心网络，安全性要求极高，所以，内外网的访问控制策略需要作深入分析研究，我的方案是防火墙体系中的屏蔽子网策略。屏蔽子网通过两台路由器和一个周边网络将内网与外网隔离。外网到内网之间共设计有四道关卡，分别是外网路由、堡垒主机+周边网络、内网路由、内网防火墙。下面就四道关卡的功能做具体介绍。

　　1.外部路由

　　外部路由又称访问路由器，拥有网络地址转换（NAT）功能，将周边网络（办公外网）使用的私有网络地址（一般为192开头的C类地址）翻译成合法的网络IP地址，是办公外网可以访问互联网的同时，使办公主机对外网是不可见的，实现屏蔽内部网络结构的功能，主要执行的安全任务是阻止从外部网络上伪造源地址发送进来的任何数据包。

　　2.堡垒主机+周边网络

　　堡垒主机采用双宿主结构，配有两块网卡，一个用于外网通信，另一个用于内网通信。堡垒主机是内外网交互的唯一入口，是整个防御体系的核心，相当与采用代理技术的防火墙，其外部网卡工作在周边网络的链路层网络中，周边网络的存在可以分散对堡垒主机的攻击和探测。内部网卡工作在内部网络的链路层网络中。内网向堡垒主机提出数据请求，堡垒主机在通过外网获取资源并存入数据库，内部网络访问数据库得到资源。堡垒主机作为代理使得内网获取外网资源成为可能，堡垒主机使用双网卡和独立数据库使得两边的网络实现了物理隔绝，攻击者除非完全控制堡垒主机和数据库服务器才能实现对内网的探测。

　　3.内网路由

　　如果堡垒主机被攻破，则内网会暴露在攻击者的攻击范围内，故数据交互通道中需要内网路由对内部子网进行屏蔽，防止堡垒主机被攻破后发起的源地址欺骗攻击等网络层攻击。

　　4.内网防火墙

　　内网路由只能实现简单的数据包过滤功能，只能在网络层实现数据的安全访问控制，为了应对攻击者来自应用层的攻击，内网访问墙最好采用代理技术，相当于内网堡垒主机。

　　防火墙体系的防御只能阻止外部攻击，如果要防止来自内部的攻击，还需要在内网核心数据库附近加入IDS入侵检测系统，同理在周边网络的堡垒主机附近也可以增加IDS，提高外层网络的安全性。

　　下图为我设计的交互方案，还在学习之中，不足之处请大家指出，谢谢 *_*