發(fā)布時間：所屬分類：管理論文瀏覽：1次
摘 要： 【摘要】近年，某單位進(jìn)行了大規(guī)模的檔案整理和數(shù)字化工作，此項工作對對網(wǎng)絡(luò)數(shù)據(jù)的高速傳輸、數(shù)據(jù)傳輸?shù)陌踩院屯暾远继岢隽撕芨叩囊螅疚慕榻BACL技術(shù)在數(shù)字化工作網(wǎng)絡(luò)搭建中對控制流量、節(jié)約網(wǎng)絡(luò)資源、提高網(wǎng)絡(luò)安全等方面的運(yùn)用。 【關(guān)鍵詞】檔案,數(shù)
【摘要】近年，某單位進(jìn)行了大規(guī)模的檔案整理和數(shù)字化工作，此項工作對對網(wǎng)絡(luò)數(shù)據(jù)的高速傳輸、數(shù)據(jù)傳輸?shù)陌踩院屯暾远继岢隽撕芨叩囊螅疚慕榻BACL技術(shù)在數(shù)字化工作網(wǎng)絡(luò)搭建中對控制流量、節(jié)約網(wǎng)絡(luò)資源、提高網(wǎng)絡(luò)安全等方面的運(yùn)用。
【關(guān)鍵詞】檔案,數(shù)字化網(wǎng)絡(luò),ACL
1引言
自2011年起，某單位進(jìn)行了大規(guī)模的明清檔案整理和數(shù)字化工作，其中，檔案的數(shù)字化加工工作對網(wǎng)絡(luò)數(shù)據(jù)的高速傳輸、數(shù)據(jù)傳輸?shù)陌踩院屯暾远加泻芨叩囊蟆ｋS著網(wǎng)絡(luò)規(guī)模的擴(kuò)大和流量的增加，網(wǎng)絡(luò)訪問控制列表(即AccessControlList，以下簡稱ACL)的靈活運(yùn)用可以有效防止非法用戶對網(wǎng)絡(luò)的訪問，同時也可以控制流量、節(jié)約網(wǎng)絡(luò)資源，本文結(jié)合該單位實際，談ACL技術(shù)在明清檔案數(shù)字化工作中的應(yīng)用。
2基本概念的梳理
網(wǎng)絡(luò)環(huán)境，是指將分布在不同地點(diǎn)的多個計算機(jī)物理上進(jìn)行互聯(lián)，依據(jù)某種協(xié)議互相通信，實現(xiàn)軟、硬件及其網(wǎng)絡(luò)文件共享的系統(tǒng)。網(wǎng)絡(luò)環(huán)境是單位信息化建設(shè)的一個重點(diǎn)，也是現(xiàn)代化管理軟件運(yùn)用的平臺。由于單位的網(wǎng)絡(luò)建設(shè)需要花費(fèi)大量的資金投入，運(yùn)行和維護(hù)費(fèi)用高，網(wǎng)絡(luò)應(yīng)用與技術(shù)開發(fā)難度大，以及硬件更新?lián)Q代快的特點(diǎn)，需要從本單位的實際出發(fā)，根據(jù)工作實際的需要，科學(xué)構(gòu)建合理高效實用的網(wǎng)絡(luò)環(huán)境，保證單位網(wǎng)絡(luò)切實為工作服務(wù)，提高網(wǎng)絡(luò)效率。
訪問控制列表(即AccessControlList，以下簡稱ACL)是路由器和交換機(jī)的重要功能之一，是基于包過濾的軟件防火墻，根據(jù)網(wǎng)絡(luò)中數(shù)據(jù)包所含的信息，決定是否允許數(shù)據(jù)包通過，從而簡單高效地實現(xiàn)對網(wǎng)絡(luò)的保護(hù)。ACL是由一系列語句組成，這些語句主要包括匹配條件和采取的動作(允許或者拒絕)兩個部分。
當(dāng)交換機(jī)的端口接收到報文后，即根據(jù)當(dāng)前端口上應(yīng)用的ACL規(guī)則對報文的字段進(jìn)行分析，在識別出特定的報文之后，根據(jù)預(yù)先設(shè)定的策略允許或禁止相應(yīng)的數(shù)據(jù)包通過。由ACL定義的數(shù)據(jù)包匹配規(guī)則，也可以被其它需要對流量進(jìn)行區(qū)分的功能引用，如QoS中流分類規(guī)則的定義。
ACL通過一系列的匹配條件對數(shù)據(jù)包進(jìn)行分類，這些條件可以是數(shù)據(jù)包的源地址、目的地址、端口號等。根據(jù)應(yīng)用目的，可將ACL分為以下四種：A.基本ACL：只根據(jù)數(shù)據(jù)包的源IP地址制定規(guī)則。B.高級ACL：根據(jù)數(shù)據(jù)包的源IP地址、目的IP地址、IP承載的協(xié)議類型、協(xié)議特性等三、四層信息制定規(guī)則。C.二層ACL：根據(jù)數(shù)據(jù)包的源MAC地址、目的MAC地址、802.1p優(yōu)先級、二層協(xié)議類型等二層信息制定規(guī)則。D.用戶自定義ACL：以數(shù)據(jù)包的頭部為基準(zhǔn)，指定從第幾個字節(jié)開始與掩碼進(jìn)行“與”操作，將從報文提取出來的字符串和用戶定義的字符串進(jìn)行比較，找到匹配的報文。
ACL在交換機(jī)上的應(yīng)用支持兩種應(yīng)用方式：A.基于硬件的應(yīng)用：即ACL被下發(fā)到硬件。例如配置Qos功能時引用ACL，對報文進(jìn)行流分類，在這種情況下，交換機(jī)對匹配此ACL的報文采取的動作由Qos中流行為定義的動作決定。B.基于軟件的應(yīng)用：ACL被上層軟件引用，在這種情況下，交換機(jī)對匹配此ACL的報文采取的動作由ACL規(guī)則中定義的動作決定。
3核心交換機(jī)上ACL的實現(xiàn)
考慮到某單位檔案整理和數(shù)字化項目的啟動，會擴(kuò)大網(wǎng)絡(luò)規(guī)模，本單位內(nèi)有更多的機(jī)器需要連入局域網(wǎng)，同時引入社會力量加入此項工作，需要更多的計算機(jī)為外包公司工作服務(wù)。根據(jù)實際情況采用的是核心層一接入層兩層的網(wǎng)絡(luò)結(jié)構(gòu)。配備了高性能的核心交換機(jī)，對辦公網(wǎng)絡(luò)和數(shù)據(jù)加工網(wǎng)絡(luò)進(jìn)行整合，同時搭配大量的接入層交換機(jī)，把館內(nèi)所有的終端計算機(jī)接入網(wǎng)絡(luò)。
網(wǎng)絡(luò)核心層主要作用是高速轉(zhuǎn)發(fā)通信，提供網(wǎng)絡(luò)優(yōu)化、可靠的骨干傳輸結(jié)構(gòu)，通過核心交換的接口、VLAN、協(xié)議設(shè)計等，確保整合后的網(wǎng)絡(luò)環(huán)境安全可信。網(wǎng)絡(luò)的高性能和高可靠性是設(shè)計的重點(diǎn)。網(wǎng)絡(luò)接入層是底層網(wǎng)絡(luò)的接口，相對結(jié)構(gòu)簡單，目的是允許終端用戶連接到網(wǎng)絡(luò)，因此接入層交換機(jī)具有低成本和高端口密度特性為了局域網(wǎng)的安全和工作的需要，辦公區(qū)內(nèi)的計算機(jī)之間可以互訪，各個外包公司之間不可以互相訪問。
辦公區(qū)和外包公司都可以訪問特定VLAN的服務(wù)器。為實現(xiàn)此功能，我們配置了高級的IPv4ACL。下面以A外包公司的網(wǎng)絡(luò)控制為例講述網(wǎng)絡(luò)訪問控制的實現(xiàn)。A外包公司劃為VLANI6，終端計算機(jī)的IP為192.168.160.XXX，A外包公司內(nèi)部之間可以互相訪問，并且可以訪問虛擬服務(wù)器，上傳下載檔案資料。
其具體實現(xiàn)是通過ACL3000實現(xiàn)，并通過在A外包公司所屬于的VLAN內(nèi)下發(fā)，可實現(xiàn)入方向的報文匹配。如下所示，aclnumber3000rule0permitipsource192.168.160.00.0.0.255destination192.168.20.00.0.0.255rulelpermitipsource192.168.160.00.O.0.255destjnatjon】92.】68.】6O.O0.0.0.255rule2denyipinterfacevlan16ipaddress192.168.160.254255.255.255.0packet—filter3000inbound我們實現(xiàn)的ACL都是軟件實現(xiàn)的ACL，為了具體看到匹配信息，可以通過命令行，看到底層的ACL匹配原則。
通過匹配原則可以看到，Rule0的意思是任何IPv4報文，進(jìn)入核心交換機(jī)的任何端口，如果是來自于VLAN16，，同時滿足源IP地址是192.168.160.XXX，目的IP地址是192.168.20.XXX，則允許通過。Rule1的意思是任何IPv4報文，進(jìn)入核心交換機(jī)的任何端口，如果是來自于VLANI6，入方向的報文滿足源IP地址和目的IP地址都是192.168.20.XXX，則允許通過。
4ACL在病毒防范上的運(yùn)用
2017年5月全球爆發(fā)了勒索病毒。病毒制造者通過美國NSA泄露的黑客武器庫攻擊Windows操作系統(tǒng)的漏洞。病毒通過加密技術(shù)鎖死文件，限期繳納贖金，否則刪除文件。由于采用了非對稱的加密算法，一旦中毒很難進(jìn)行數(shù)據(jù)恢復(fù)。
根據(jù)某網(wǎng)絡(luò)公司安全中心分析，國內(nèi)傳播的勒索病毒是由名為“永恒之藍(lán)”的黑客武器，借助互聯(lián)網(wǎng)或企業(yè)內(nèi)網(wǎng)(即局域網(wǎng))，通過遠(yuǎn)程掃描并攻擊未進(jìn)行防護(hù)的445等端口，在計算機(jī)及服務(wù)器進(jìn)行傳播。
將館內(nèi)殺毒軟件客戶端升級到可查殺“勒索病毒”的最新版本，對封閉445等端口、計算機(jī)補(bǔ)丁升級、防病毒應(yīng)急工具包等技術(shù)手段在科內(nèi)計算機(jī)上小范圍試用局域網(wǎng)全部交換機(jī)下發(fā)訪問控制策略，禁止向445端口等收發(fā)報文各個端口下發(fā)如下規(guī)則：ac]nE~mber3700rule0denytcpdestination—porteq135rule5denytcpdestination—porteq137rulei0denytcpdestination—porteq138rule15denytcpdestination-porteq139rule20denytcpdestination—porteq445結(jié)合殺毒軟件升級、windows系統(tǒng)升級，很好的杜絕了勒索病毒的蔓延。
5結(jié)語
ACL技術(shù)是交換機(jī)上的關(guān)鍵技術(shù)，靈活有效的運(yùn)用，有利于科學(xué)構(gòu)建合理高效實用的網(wǎng)絡(luò)環(huán)境，保證單位網(wǎng)絡(luò)切實為工作服務(wù)，提高網(wǎng)絡(luò)效率。
【參考文獻(xiàn)】
[1]陸軍.應(yīng)用訪問控制列表技術(shù)增強(qiáng)網(wǎng)絡(luò)安全計算機(jī)安全[J】.2011.O1.
相關(guān)期刊推薦：《檔案學(xué)研究》(雙月刊)是創(chuàng)辦于1987年的季刊，是中國檔案學(xué)會會刊，它的任務(wù)是促進(jìn)檔案學(xué)研究，提高檔案科學(xué)技術(shù)水平，組織和協(xié)調(diào)群眾性檔案學(xué)術(shù)研究活動，培養(yǎng)和提高廣大會員和檔案工作者的研究能力和學(xué)術(shù)水平，進(jìn)行國際檔案學(xué)術(shù)交流。本刊結(jié)合我國檔案事業(yè)的實際，開展學(xué)術(shù)研究，促進(jìn)檔案資源的開發(fā)與利用，加強(qiáng)國際交流合作。
