内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击，主要是防范来自公共的网络服务器如>目前局域网内有大量的网络攻击和欺骗。造成网络无法访问的原因主要是：
（1） 局域网内有大量网络协议欺骗，这样会导致你的主机被虚假的信息欺骗找不到真正的设备或请求回应不到真正主机。例如：大家比较熟悉的ARP欺骗。
（2） 网络中有大量的协议和流量攻击，出现网络通道导致网卡或者交换机无法进行数据传输或交换。这样你的电脑主机就无法访问到服务器了。例如：网络的DDOS攻击、SYN洪水攻击等网络协议攻击。
传统解决方案：（1）、进行ARP绑定，这样可以一定程度减轻一下问题情况。
注：现在利用ARP协议进行网络攻击或欺骗已经有七种形式的攻击了，尤其是二代arp会清除你的绑定。所以ARP绑定是治标（效果还不一定）不治本。
（2）、还有一种粗暴的办法那就是重做系统，让这种利用协议攻击的程序清除掉。
注：费时费力，问题当时肯定可以解决。你还会通过各种途径接触和以后再有肯定还会有同样问题出现。
我接触到能彻底解决网络服务器访问不到问题的方案是：使用巡路免疫网络安全解决方案在网路中的每台电脑网卡上安装“终端免疫驱动” 终端MAC取自物理网卡而非系统，有效防范了MAC克隆和假冒；终端驱动实现的是双向的控制，不仅仅抵御外部对本机的威胁，更重要的是抑制从本机发起的攻击。这样网络协议欺骗和超量攻击直接在网卡上直接拦截了，你就能正常的访问了。
说到这里我对巡路免疫网络安全解决方案简单一下，其实现在很多公司的网络中都存在大量网络协议攻击导致了大家一些应用（网络打印机不能连接，内部服务器访问时快时慢，语音电话不清甚至电脑跟老牛似的）不能正常使用。对于这些大家包括我原来也是认为就是系统病毒或者外网攻击问题造成的，通过与专业人士沟通以后才清楚，简单说：现在很多网络问题80%是由于内部网络问题（网络协议攻击）造成的，传统的解决办法（上防火墙、上入侵检测系统、防毒）主要是外网、系统木马病毒和文件病毒进行被动防范，对于网络协议攻击没有有效的解决办法。巡路免疫网络解决方案不是一个单独的产品，而是一套由软硬件、内网安全协议，安全策略构成的完整组件。它由接入模块、运营中心、终端免疫驱动、内网安全协议、安全策略组成，从内网的角度解决攻击问题，应对目前网络攻击复杂性、多样性、更多从内网发起的趋势，更有效地解决网络威胁。通过这个方案可以让我们的网络变成身体强壮，让咱们的网络可以自我防御和管理一、网络安全概述
以Internet为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，典型的如党政部门信息系统、金融业务系统、企业商务系统等。伴随网络的普及，安全日益成为影响网络效能的重要问题，而Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求，这主要表现在：开放性的网络，导致网络的技术是全开放的，任何一个人、团体都可能获得，因而网络所面临的破坏和攻击可能是多方面的，例如：可能来自物理传输线路的攻击，也可以对网络通信协议和实现实施攻击；可以是对软件实施攻击，也可以对硬件实施攻击。国际性的一个网络还意味着网络的攻击不仅仅来自本地网络的用户，它可以来自Internet上的任何一台机器，也就是说，网络安全所面临的是一个国际化的挑战。自由意味着网络最初对用户的使用并没有提供任何的技术约束，用户可以自由地访问网络，自由地使用和发布各种类型的信息。用户只对自己的行为负责，而没有任何的法律限制。
尽管开放的、自由的、国际化的Internet的发展给政府机构、企事业单位带来了革命性的改革和开放，使得他们能够利用Internet提高办事效率和市场反应能力，以便更具竞争力。通过Internet，他们可以从异地取回重要数据，同时又要面对Internet开放带来的数据安全的新挑战和新危险。如何保护企业的机密信息不受黑客和工业间谍的入侵，已成为政府机构、企事业单位信息化健康发展所要考虑的重要事情之一。
1 什么是安全
安全包括五个要素：机密性、完整性、可用性、可控性与可审查性。
· 机密性：确保信息不暴露给未授权的实体或进程。
· 完整性：只有被允许的人才能修改数据，并能够判别出数据是否已被篡改。
· 可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作。
· 可控性：可以控制授权范围内的信息流向及行为方式。
· 可审查性：对出现的网络安全问题提供调查的依据和手段。
2 安全威胁
一般认为，目前网络存在的威胁主要表现在：
· 利用网络传播病毒：通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。
· 非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法 *** 作、合法用户以未授权方式进行 *** 作等。
· 信息泄漏或丢失：指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括，信息在传输中丢失或泄漏（如“黑客”们利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对信息流向、流量、通信频度和长度等参数的分析，推出有用信息，如用户口令、账号等重要信息。），信息在存储介质中丢失或泄漏，通过建立隐蔽隧道等窃取敏感信息等。
· 破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。
· 拒绝服务攻击：它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。
3 安全服务、机制与技术
· 安全服务：包括服务控制服务、数据机密性服务、数据完整性服务、对象认证服务、防抵赖服务 。
· 安全机制：包括访问控制机制、加密机制、认证交换机制、数字签名机制、防业务流分析机制、路由控制机制 。
· 安全技术：包括防火墙技术、加密技术、鉴别技术、数字签名技术、审计监控技术、病毒防治技术 。
在安全的开放环境中，用户可以使用各种安全应用。安全应用由一些安全服务来实现；而安全服务又是由各种安全机制或安全技术实现的。应当指出，同一安全机制有时也可以用于实现不同的安全服务。
4 安全工作目的
安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成以下任务：
· 使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证网络系统的可用性。
· 使用授权机制，实现对用户的权限控制，即不该拿走的“拿不走”，同时结合内容审计机制，实现对网络资源及信息的可控性。
· 使用加密机制，确保信息不暴露给未授权的实体或进程，即“看不懂”，从而实现信息的保密性。
· 使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。
· 使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。
二、网络安全问题分析
网络面临的威胁大体可分为对网络中数据信息的危害和对网络设备的危害，我们这里主要研究的是前者。具体来说，危害网络安全的主要威胁有：非授权访问，即对网络设备及信息资源进行非正常使用或越权使用等；冒充合法用户，即利用各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的；破坏数据的完整性，即使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用；干扰系统正常运行。指改变系统的正常运行方法，减慢系统的响应时间等手段；病毒与恶意攻击，即通过网络传播病毒或恶意Java、XActive等。
除此之外，Internet非法内容也形成了对网络的另一大威胁。有关部门统计显示，有30%-40%的Internet访问是与工作无关的，甚至有的是去访问色情、暴力、反动等站点。在这样的情况下，Internet资源被严重浪费。尤其对教育网来说，面对形形色色、良莠不分的网络资源，如不具有识别和过滤作用，不但会造成大量非法内容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢等问题，而且某些不良网站含有暴力、色情、反动消息等内容，将极大地危害青少年的身心健康。
三、网络安全策略
通过对网络的全面了解，按照安全策略的要求及风险分析的结果，整个网络措施应按系统体系建立，具体的安全控制系统由以下几个方面组成: 物理安全、网络安全、信息安全。
1 物理安全
保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为 *** 作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：
环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；
设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；
媒体安全：包括媒体数据的安全及媒体本身的安全。
显然，为保证信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米，这给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散，通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。
2 网络安全
网络安全，包括:系统（主机、服务器）安全、反病毒、系统安全检测、审计分析网络运行安全、备份与恢复、局域网与子网安全、访问控制（防火墙）、网络安全检测、入侵检测。
3 信息安全
主要涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三方面，具体包括数据加密、数据完整性鉴别、防抵赖、信息存储安全、数据库安全、终端安全、信息的防泄密、信息内容审计、用户授权。
面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络的安全管理，组织管理和人员录用等方面有许多的不安全因素，而这又是计算机网络安全所必须考虑的基本问题，所以应引起网络管理员的重视。
四、防治计算机病毒
计算机病毒在网络中泛滥已久，一旦入侵到本地网络，在本地局域网中会快速繁殖，导致局域网计算机的相互感染，下面介绍一下有关局域网病毒的入侵原理及防范方法。
1 局域网病毒入侵原理及现象
一般来说，计算机网络的基本构成包括网络服务器和网络节点站（包括有盘工作站、无盘工作站和远程工作站）。计算机病毒一般首先通过各种途径进入到有盘工作站，也就进入网络，然后开始在网上的传播。具体地说，其传播方式有以下几种。
1）病毒直接从工作站拷贝到服务器中或通过邮件在网内传播；
2）病毒先传染工作站，在工作站内存驻留，等运行网络盘内程序时再传染给服务器；
3）病毒先传染工作站，在工作站内存驻留，在病毒运行时直接通过映像路径传染到服务器中
4）如果远程工作站被病毒侵入，病毒也可以通过数据交换进入网络服务器中一旦病毒进入文件服务器，就可通过它迅速传染到整个网络的每一个计算机上。
在网络环境下，网络病毒除了具有可传播性、可执行性、破坏性等计算机病毒的共性外，还具有一些新的特点。
1）感染速度快
在单机环境下，病毒只能通过介质从一台计算机带到另一台，而在网络中则可以通过网络通讯机制进行迅速扩散。根据测定，在网络正常工作情况下，只要有一台工作站有病毒，就可在十几分钟内将网上的数百台计算机全部感染。
2）扩散面广
由于病毒在网络中扩散非常快，扩散范围很大，不但能迅速传染局域网内所有计算机，还能通过远程工作站将病毒在一瞬间传播到千里之外。
3）传播的形式复杂多样
计算机病毒在网络上一般是通过“工作站”到“服务器”到“工作站”的途径进行传播的，但现在病毒技术进步了不少，传播的形式复杂多样。
4）难于彻底清除
单机上的计算机病毒有时可以通过带毒文件来解决。低级格式化硬盘等措施能将病毒彻底清除。而网络中只要有一台工作站未能清除干净，就可使整个网络重新被病毒感染，甚至刚刚完成杀毒工作的一台工作站，就有可能被网上另一台带毒工作站所感染。因此，仅对工作站进行杀毒，并不能解决病毒对网络的危害。
5）破坏性大
网络病毒将直接影响网络的工作，轻则降低速度，影响工作效率，重则使网络崩溃，破坏服务器信息，使网络服务瘫痪。
2 局域网病毒防范方法
查杀病毒的基本步骤：
1）首先要断开网络，使受感染的机器隔离；
2）使用杀毒软件进行查杀，可以使用金山或瑞星的专杀工具，彻底清除病毒；
3）安装IE 相应最新补丁或升级IE 版本，如果是服务器还要安装IIS补丁；
4）把系统中出现的一些非法共享（如C、D 等），应该将其共享属性去掉；对于服务器，查看一下Administrators 组中是否加进了“guest”用户，要把guest 用户从Administrators 组中删除。
随着各公司机构内部网不断建立和扩充，用户通过局域网与因特网连接，内部有Web服务器和FTP服务器，一旦网络病毒在内部局域网传播，即便将每台电脑的网线都拔下，也很难彻底查杀干净，另外管理员的工作量也变得很大。实际上目前已经有很多解决这种问题的产品和方案，网络版杀毒软件是其中比较好的一个选择。网络版杀毒软件和单机版杀毒软件最大的区别在于，网络版是针对局域网内部电脑的管理而设置了控制 *** 作平台，供网管统一管理使用，而单机版杀毒软件是不具备管理功能的。并且，随著信息化进程的不断推进，网络环境日益复杂，面对日益复杂的网络环境，以及一些黑客程序和木马程序的攻击，单机版无法保证整个网络安全。如果把单机版杀毒软件当作网络版杀毒软件使用，用户将不能随时了解每台机器的状况。若局域网中的一台机器感染了病毒，将会在很短的时间内传播开，而通过网络版杀毒软件，网络管理员就可以通过一台服务器管理整个局域网的机器，由中心端来对客户端进行统一管理，对客户端自动分发最新病毒码，即便客户端不能访问外网，也可以保持最新的病毒码定义。
五、过滤不良网络信息
网络一项重要的功能就是让用户通过路由器或代理服务器（网关）浏览Internet，面对形形色色、良莠不分的网络资源，如不具有识别和过滤作用，不但会造成大量非法内容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢等问题，而且某些网站的娱乐、游戏、甚至暴力、色情、 反动消息等不良内容，将极大地危害青少年学生的身心健康。
许多企业和学校都在努力尝试解决不良信息的浏览问题，由于多数不良信息来源于互联网，解决方法主要是针对互联网进行限制，主要可以分为三类：断开物理连接、地址库过滤和防火墙过滤。
断开物理连接的做法很直接，就是在内网里使用虚拟互联网软件单独设置一个区域给用户用来上网，但是实际上这个区域和互联网是断开的，用户使用浏览器浏览网页的时候实际上是在浏览本地服务器。用户虽然可以用浏览器浏览网页，但是可以浏览的资源有限，而且网页内容也完全取决于本地服务器的更新速度。这样做虽然可以起到一定的作用，但同时也忽视了互联网最大的特点──实时性，而且可浏览的范围太小。而且因为要经常从互联网下载网页，网络管理员的工作量增加，大大降低了网络的使用效率。
地址库过滤则是在局域网连接互联网接口的网关处设置一个软件的“关卡”，这个“关卡”会检查每个>一、 *** 作系统的选择
FTP服务器首先是基于 *** 作系统而运作的，因而 *** 作系统本身的安全性就决定了FTP服务器安全性的级别。虽然Windows 98／Me一样可以架设FTP服务器，但由于其本身的安全性就不强，易受攻击，因而不要采用。Windows NT就像鸡肋，不用也罢。采用Windows 2000及以上版本，并记住及时打上补丁。至于Unix、Linux，则不在讨论之列。
二、使用防火墙
端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全，一般来说，仅打开你需要使用的端口，将其他不需要使用的端口屏蔽掉会比较安全。限制端口的方法比较多，可以使用第三方的个人防火墙，如天网个人防火墙等，这里只介绍Windows自带的防火墙设置方法。
1。利用TCP／IP筛选功能
在Windows 2000和Windows XP中，系统都带有TCP／IP筛选功能，利用它可以简单地进行端口设置。以Windows XP为例，打开“本地连接”的属性，在“常规”选项中找到“Internet协议（TCP／IP）”，双击它打开该协议的属性设置窗口。点击右下方的“高级”按钮，进入“高级TCP／IP设置”。在“选项”中选中“TCP／IP筛选”并双击进入其属性设置。这里我们可以设置系统只允许开放的端口，假如架设的FTP服务器端口为21，先选中“启用TCP／IP筛选（所有适配器）”，再在TCP端口选项中选择“只允许”，点“添加”，输入端口号21，确定即可。这样，系统就只允许打开21端口。要开放其他端口，继续添加即可。这可以有效防止最常见的139端口入侵。缺点是功能过于简单，只能设置允许开放的端口，不能自定义要关闭的端口。如果你有大量端口要开放，就得一个个地去手工添加，比较麻烦。
2。打开Internet连接防火墙
对于Windows XP系统，自带了“Internet连接防火墙”功能，与TCP／IP筛选功能相比，设置更方便，功能更强大。除了自带防火墙端口开放规则外，还可以自行增删。在控制面板中打开“网络连接”，右击拨号连接，进入“高级”选项卡，选中“通过限制或阻止来自Internet的对此计算机的访问来保护我的计算机和网络”，启用它。系统默认状态下是关闭了FTP端口的，因而还要设置防火墙，打开所使用的FTP端口。点击右下角的“设置”按钮进入“高级设置”，选中“FTP服务器”，我它。由于FTP服务默认端口是21，因而除了IP地址一栏外，其余均不可更改。在IP地址一栏中填入服务器公网IP，确定后退出即可即时生效。如果架设的FTP服务器端口为其他端口，比如22，则可以在“服务”选项卡下方点“添加”，输入服务器名称和公网IP后，将外部端口号和内部端口号均填入22即可。
三、对IIS、Serv－U等服务器软件进行设置
除了依靠系统提供的安全措施外，就需要利用FTP服务器端软件本身的设置来提高整个服务器的安全了。
1。IIS的安全性设置
1）及时安装新补丁
对于IIS的安全性漏洞，可以说是“有口皆碑”了，平均每两三个月就要出一两个漏洞。所幸的是，微软会根据新发现的漏洞提供相应的补丁，这就需要你不断更新，安装最新补丁。
2）将安装目录设置到非系统盘，关闭不需要的服务
一些恶意用户可以通过IIS的溢出漏洞获得对系统的访问权。把IIS安放在系统分区上，会使系统文件与IIS同样面临非法访问，容易使非法用户侵入系统分区。另外，由于IIS是一个综合性服务组件，每开设一个服务都将会降低整个服务的安全性，因而，对不需要的服务尽量不要安装或启动。
3）只允许匿名连接
FTP的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。而IIS又是基于Windows用户账户进行管理的，因而很容易泄漏系统账户名及密码，如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿名连接”，可以免却传输过程中泄密的危险。进入“默认FTP站点”，在属性的“安全账户”选项卡中，将此选项选中。
4）谨慎设置主目录及其权限
IIS可以将FTP站点主目录设为局域网中另一台计算机的共享目录，但在局域网中，共享目录很容易招致其他计算机感染的病毒攻击，严重时甚至会造成整个局域网瘫痪，不到万不得已，使用本地目录并将主目录设为NTFS格式的非系统分区中。这样，在对目录的权限设置时，可以对每个目录按不同组或用户来设置相应的权限。右击要设置的目录，进入“共享和安全→安全”中设置，如非必要，不要授予“写入”权限。
5）尽量不要使用默认端口号21
启用日志记录，以备出现异常情况时查询原因。
2。Serv－U的安全性设置
与IIS的FTP服务相比，Serv－U在安全性方面做得比较好。
1）对“本地服务器”进行设置
首先，选中“拦截FTP＿bounce攻击和FXP”。什么是FXP呢？通常，当使用FTP协议进行文件传输时，客户端首先向FTP服务器发出一个“PORT”命令，该命令中包含此用户的IP地址和将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息建立与用户的连接。大多数情况下，上述过程不会出现任何问题，但当客户端是一名恶意用户时，可能会通过在PORT命令中加入特定的地址信息，使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器，但是如果FTP服务器有权访问该机器的话，那么恶意用户就可以通过FTP服务器作为中介，仍然能够最终实现与目标服务器的连接。这就是FXP，也称跨服务器攻击。选中后就可以防止发生此种情况。
其次，在“高级”选项卡中，检查“加密密码”和“启用安全”是否被选中，如果没有，选择它们。“加密密码”使用单向hash函数（MD5）加密用户口令，加密后的口令保存在ServUDaemon。ini或是注册表中。如果不选择此项，用户口令将以明文形式保存在文件中：“启用安全”将启动Serv－U服务器的安全成功。
2）对域中的服务器进行设置
前面说过，FTP默认为明文传送密码，
容易被人嗅探，对于只拥有一般权限的账户，危险并不大，但如果该账户拥有远程管理尤其是系统管理员权限，则整个服务器都会被别人远程控制。Serv－U对每个账户的密码都提供了以下三种安全类型：规则密码、OTP S／KEY MD4和OTP S／KEY MD5。不同的类型对传输的加密方式也不同，以规则密码安全性最低。进入拥有一定管理权限的账户的设置中，在“常规”选项卡的下方找到“密码类型”下拉列表框，选中第二或第三种类型，保存即可。注意，当用户凭此账户登录服务器时，需要FTP客户端软件支持此密码类型，如CuteFTP Pro等，输入密码时选择相应的密码类型方可通过服务器验证。
与IIS一样，还要谨慎设置主目录及其权限，凡是没必要赋予写入等能修改服务器文件或目录权限的，尽量不要赋予。最后，进入“设置”，在“日志”选项卡中将“启用记录到文件”选中，并设置好日志文件名及保存路径、记录参数等，以方便随时查询服务器异常原因。由于病毒摧毁计算机所造成的威胁有越来越严重的趋势，企业对于功能更强大的防毒软件的需求也越来越迫切。许多的企业也因为之前没有对网络架构作好防毒措施，付出了惨痛而昂贵的代价。前几天我们这里的行政部门的的所有计算机由于感染了尼姆达病毒，搞得整个局域网瘫痪了，我们几个整整忙了两天才完全恢复正常。在工作期间，我发现这个单位网络安全意识低得真让人不敢相信，大多数计算机没有安装防火墙，就算安装了也好久没有升级了。（同志们，这可是我们政府机关啊！）所以建构一个全面的防毒策略，成为了大多数单位的一个重要问题，大面我和大家谈谈企业如何构建一个电脑病毒防护的安全策略。
企业的防毒策略
在早期的计算机环境中，其实病毒并不是一个非常令人头痛的事，只要我不用来路不明的磁盘，基本上可以防止 80％ 的病毒入侵，但是进入互联网的新世纪，绝大部分的信息经由互联网交换，那么更容易从互联网上染上病毒，因此企业防毒策略的制定，更是绝对不能没有的计划。一般而言，一个需要作好防毒措施的网络架构可以分成以下三个不同的阶层：
1、网络（SMTP）网关（Internet Gateways）防毒机制
首先针对病毒可能会入侵的通道加以防堵，第一步就是企业的大门，在企业的局域网络中，网关扮演了举足轻重的角色，通常企业的网关就是通往内部网络的门，或者是安全性更高防护措施更完善的企业网络架构中，会有一个非军事区网络 ( DMZ， De-Militarized Zone ) ，在这个地方就是一个非常重要的部署防毒墙或者是防毒过滤软件的地方。
以网关或是DMZ部分的部署，通常可以分为两种模式：
第一种为网关模式，也就是将防毒服务器或是防毒墙(例如McAfee WebShield e50 硬件式防毒墙 ) 当成内部路由器的部署方式，此种配置方式乃是将防毒网关配置在防火墙装置的内部或是所有内部主机系统的最外部，也就是防毒墙或防毒服务器将成为名符其实的一个资料网关(有点像是路由器)，如此一来所有进出企业体的封包，将一一被扫描过滤，一个都不会错过。
我以一般企业简单的网络架构来说明，一般来说位在网关的防毒机制，考虑到运作效能的问题，是不需要负责太复杂的防毒，通常是专门针对某些通讯协议加以侦测扫描，例如针对SMTP、FTP、>
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）