【关键词】移动办公 安全接入 隧道交换
【中图分类号】TP393 【文献标识码】A 【文章编号】1672-5158（2013）01―0160-01
1 引言
随着信息化时代的来临，信息系统已成为日常工作的基础手段，发挥了越来越重要的作用，而移动办公能使用户随时随地处理工作，极大地提高工作的便利性和处理效率，与此同时移动办公网络的安全性、兼容性也成为一种急迫的需求。
隧道交换技术可以使不同的服务提供商、不同安全域的网络之间实现安全的隧道联系，将目的地址相同的隧道聚合，实现隧道复用，减少隧道维护开销，在保证安全性的同时最大限度的增加移动接人的灵活性。所谓隧道交换就是采用点安全隧道交换模块一点的通信方式实现传统的点到点的隧道通信方式，在两条不同的安全隧道之间交换数据，实现安全隧道的延伸和转发。本文首先分析移动办公网络在安全方面的需求，然后引入隧道交换技术，提出了一种高效的安全接入机制，可以有效提高移动办公网络的安全性、兼容性和部署的灵活性。
2 移动办公网络的安全需求
移动办公就是需要使用移动终端设备，通过相对不安全的信道，通常是Internet网络，接入单位内部网络，以实现随时随地可以办公的目的，但是近年来来自网络的安全威胁越来越大，因而移动办公网络必须至少满足如下的一些安全需求：数据交换需求：保证信息公开服务的准确性与实时性。安全性需求：保证外网服务与内部网络不混杂，杜绝安全患。保密性需求：在数据交换的过程中，必须保证数据传输通道的安全，对数据进行加密，以防止数据被窃取导致的严重后果。可控性需求：保证数据格式统一，不含任何病毒木马。可管理性需求：网络安全设备要能够统一进行管理，可以及时方便掌控整个网络的运行情况。
3 基于隧道交换的移动办公网络安全接入机制
3.1 隧道交换技术
按照隧道交换完成的功能，也就是隧道交换的目的可以分为两类：内外网之间交换和外网两条隧道之间的交换。前者实现内外网之间的隧道交换，类似于隧道中继，使隧道得以向内网延伸，可以进一步保证内网传输数据的安全性和完整性，使得隧道可以终止在网络的任意位置，使得安全隧道的构建更加方便灵活，极大地提高系统得扩展性，能够将数据引导到不同的子网，实现数据流调度。后者实现外网的两条隧道之间进行隧道交换，类似于路由转发。这种方式可以使没有直接隧道互联的实体，借助与双方都有隧道关系的第三方实体实现互联，即可以以较小的隧道开销实现全联通，使不同服务商、不同的安全域之间建立安全通道。
3.2 隧道交换方式
所谓交换方式是指在隧道交换阶段，交换设备采用何种方式处理数据包，实现交换。不管何种处理，交换设备都必须记录需要交换的两个实体的一一对应关系及双方的相关信息，大致可以分为两种隧道交换方式：加解密方式和IP封装方式。在加解密模式下，交换实体均要和隧道交换设备建立安全隧道，隧道交换记录内网地址之间的交换关系以及与保护它们的安全实体之间的安全隧道信息。在IP封装方式中，隧道协商过程可以是在实际通信双方之间直接协商，当然也可以认为协商数据是“透明”的通过隧道交换转发来完成的，也就是说，隧道交换并不解密数据包，进一步确保数据在安全传输途中不会出现安全隐含，这种方式可以实现隧道的嵌套，可以有效提高产品部署的灵活性和可扩展性，本文采用后一种方法但也兼容第一种方式。
3.3 基于隧道交换的安全接入
基于隧道交换的移动办公网络安全接入机制可以支持所有类型的移动办公需求，本文以典型的三种应用为例来论述该机制的原理。
（1）移动用户通过互联网接入内部网络
这里移动用户可以是笔记本、手机等各种移动终端，通过事先安装的隧道交换模块，经过必要的认证与密钥协商之后，与内部网络或主机建立安全隧道，分配内部网络地址，之后这个移动用户就可以像在内部固定地点登陆内部网络一样，自由的处理各种工作，而安全隧道的交换对于用户完全透明，这是由于隧道交换对其进行了必要的封装，存在外部和内部两个IP头部，并对内部地址进行加密、完整性保护，只有到达内部网络经过解密后才能看到内部地址信息。
（2）分支机构通过互联网接入内部网络
分支机构通过互联网接入内部网络的情况与移动用户类似，其不同之处主要在于，分支机构中可能存在多个用户同时在异地接入位于总部的内部网络，这时就需要隧道交换模块建立隧道交换表，分别登记来自同一分支机构的不同用户，并分别设置安全策略、访问权限。这里需要明确的是，分支机构接入内部网络，也只有一个安全隧道，只执行一次加解密和完整性保护运算，并不会增加系统开销，不同用户的区分是由隧道交换来完成的。
（3）多个移动用户通过互联网以及内部网络实现互联
移动办公不仅需要随时随地接入网络，有时也需要多个移动用户之间可以随时随地安全的沟通，比如同时出差的两个单位领导之间，这时二者直接通信由于受到移动设备的限制，比如手机，无法安装复杂的安全模块（如加解密模块等），这时就可以通过隧道交换，即每个移动用户分别与内部网络建立联系，由内部网络执行隧道交换，以实现它们之间的间接连接。这样做还有一个好处，每个移动用户仅仅需要掌握一个安全通信方式，而不必要掌握与每一个可能的移动用户的安全通信方式，大大降低了存储和计算开销，尤其适合计算、存储能力受到限制的移动设备。
4 结束语
本文分析了移动办公网络的安全需求，引入了安全隧道交换机制，给出了两种不同的隧道交换方式，提出了一种高效的安全接入机制，可以有效提高移动办公网络的安全性、兼容性和部署的灵活性。
参考文献
[1]陈娜，李之棠.层次交换式VPN体系结构的设计与研究.华中科技大学硕士学位论文，2004 5
[2]韩儒博，邬钧霆，徐孟春.虚拟专用网络及其隧道实现技术.微计算机信息，2005年14期，6-8页
关键词：软交换；网络安全；安全域
引言
目前，IP网络已经普遍被认为是下一代网络的核心，是下一代网络的主要承载技术。但是，这种承载着多种业务的IP网络，有别于传统的Internet或企业局域网路，由于IP技术与生俱来的自由基因与电信产业的严谨作风存在着深刻的矛盾，如何解决安全和QoS是两个最根本的问题，提供不低于传统电话网络的安全等级，才能确立IP技术在承载网的主导地位。
1.网络安全问题解决策略
对IP网络安全问题的讨论是以传统电信网络为参照的，对于能够提供不低于或者接近传统电信网络的安全等级，即认为是安全的。
解决软交换系统安全问题一方面加强软交换系统核心设备软/硬件的安全性设计，采用备份冗余机制，另一方面采用隔离的方式，将软交换系统核心网络与外部隔离开来，提高核心设备防御外部攻击的能力。这其中隔离是软交换系统部署中解决系统安全性的重要手段。
2.网络安全域划分
软交换网络由大量网络设备、软交换终端以及运维、网管设备等组成，网络侧及运营、网管设备一般由专人管理和控制，安全性有一定的保障，而终端设备则位于用户侧，安全性毫无保障，软交换网络的安全需要将网络划分为不同的安全域，针对不同的安全域给出合适的安全方案。可以分为如下3种：
（1）安全级：该网络区域是安全的，该区域被攻击的可能性很小；
（2）信任级：该网络区域是不安全的，但可通过组网方式构建一个相对安全地信任区域；
（3）非安全级：该网络区域是不安全的，需要通过软交换网络特定的安全措施来保证安全性。
按照软交换网络设备和用户终端在软交换网络中所处的位置以及所具有的不同安全等级将软交换网络分解成多个安全域，通过将软交换网络划分为不同的安全域，以及明确不同的安全域的特点和要求，提供有针对性的安全解决方案。专网软交换安全域划分如图1所示。
如图1所示，专网软交换系统可划分为下列5个网络域：
（1）核心网络域：网络域包括软交换网络的核心部件设备及网管等运维设备，是软交换网络安全保护的重点，安全性取决于实际网络中的组网情况，对应的安全级别为信任级；
（2）窄带PSTN网络域：窄带PSTN 网络域即现有的SCN/IN/STP网络，安全性是最高的，对应的安全级别为安全级；
（3）PSTN用户接入域：由于接入方式为窄带接入，所以，该域和窄带PSTN网络域相同为安全级；
（4）局域网IP用户接入域：该区域的安全性通常无法得到保证，安全级别为非安全级；
（5）广域网IP用户接入域：该域显而易见的是无安全保证的区域，该区域对应的安全级别为非安全级。
3.各网络域安全策略
3.1核心网络域
网络域的安全需要网络安全技术作为基础，并以设备的安全和可靠性为补充，共同来保证。
核心网络域处于信任级，该域要求避免受到来自网络层和应用层报文的攻击，需要在网络域和其相邻域之间部署防火墙设备。
由于核心网络域的设备为系统提供了核心的业务，为了避免某个设备的故障影响整个网络的正常运作，该域的设备需要从设备组网和设备本身2个方面考虑业务的安全性。
3.1.1 核心网络域承载网安全策略
（1）承载网的安全核心-----隔离
在技术能力不足以满足要求的情况下，采用物理专网模式或逻辑专网模式组网隔离往往是最有效的策略。物理隔离，指的是新建专网的核心网承载软交换业务；逻辑隔离是指采用VLAN、VPN等技术，从逻辑上将软交换业务同其他业务隔离。在应用中，根据业务要求，选择合适的组合组网模式。核心网络域物理和逻辑隔离方法如图2所示。
（2）承载网安全的保证-----冗余
核心的IP网建设建议采用全网状、半网状的互联组网，要求路由具有备份功能，边缘路由器和网关设备通过双归属的方式跟核心骨干网互联。
核心层双平面组网，平面内采用全网状连接，A、B平面间设置高速通道，A、B平面的设备及链路采用全对称设计，单一平面按照承载全业务量设计。
骨干层全网、半网、环网组网，任何两个路由器之间都有冗余的若干条通道，防止某一个路由器或者链路故障对网络业务造成影响。
为了保证网络的安全和可靠性，可以考虑如下4个方面技术实现：
（1）通过网络设计，采用节点设备间对称连接、备份路径预先设定，为快速切换提供网络拓扑基础；
（2）采用节点间部署快速检测机制APDP/BFD，迅速检测链路和节点故障；
（3）通过IP/LDP/TE FRR技术切换到预先设定的备用链路，无需路由协议收敛重新选路；
（4）切换结束后，通过IGP快速路由收敛到已经切换的链路。
3.1.2 核心网络域设备级安全策略
软交换采用双归属组网，该方案能实现倒换不断话，话单不丢失。
电信级硬件平台、双电源供电，双组风扇散热、双机箱管理，所有单板负荷分担或主备用，所有单板热插拔、设备支持双网口主备用。
完善的机箱管理功能，保证整个机箱正常工作，及时发现机箱故障，完备的机箱告警内容及快速的故障恢复机制。
主备用数据库，主用库在配置过程中出现错误的情况下快速切换到备用数据库，对备用数据库的修改不会影响到正在使用的主用数据库。
多级别负载控制，在业务承载能力达到极限时保证重要业务的安全提供。
完备的协议安全机制：SCTP协议保护机制保证SCTP偶连的安全性，H248、MGCP IPSEC加密、SIPDIGEST鉴权及信令加密、完整的H.235鉴权加密，媒体流SRTP加密传输。
一对信令网关（Signaling Gateway,SG）实现负荷分担、链路互动，保证可靠的信令转接；将每个信令网关分别配置在软交换机的两个中继组中，采用信令组的冗余机制合理使用2个信令网关。
为了防止用户终端设备直接访问核心设备，需要增加SBC对语音业务做，同时SBC设备冗余部署、采用防火墙对SBC加以保护。
3.2 IP用户接入域
用户接入域位于安全级别最低业的用户终端网。由于需要为用户提供接入功能，所有的用户都可以访问到该域的网络，该域的网络处于安全程度最低的非安全级。
SBC接入用户，通过SBC将众多的电话用户和软交换机隔离开，并实现多 种功能，包括私网话音用户接入、提高业务QOS等等。SBC设备可冗余部署。
IPSEC VPN接入，对通过Internet接入的单位或者个人，可以采用VPN的方式接入总部的VPN服务器，建立于总部之间的VPN加密隧道来保证信令和媒体的安全。
3.3 窄带PSTN网络域
窄带网络域在软交换网络安全域模型中属于安全区域，不存在突出的安全性问题。
4.结束语
目前，软交换技术日臻成熟，专网软交换逐步推广，因此，研究和解决其安全问题将有助于其在特殊领域的推广和应用。
参考文献：
关键词：局域网；广域网；网络建设和改造；拓扑结构；VLAN
中图分类号：TU712
文献标识码：B
文章编号：1008-0422（2013）06-0113-02
1 概述
设计行业信息化是世界经济和社会发展的趋势。近十年来设计行业随着国家经济的发展、业务规模及人员规模的快速增长，随之产生的管理需求不断增加，而依靠传统管理模式已无法满足需求。在“十二五”期间，国内建筑行业将加强信息基础设施建设，提高企业信息系统安全水平；同时项目管理软件等应用系统的普及率不断提高，逐步建立企业级的共享网络以及完善相关的信息化标准成了设计院必备的信息化要求。本文以上海浦东建筑设计研究院有限公司为案例，探讨设计院网络规划及管理方法。
上海浦东建筑设计研究院有限公司现已成为集建筑、市政、园林设计三位一体的综合设计企业。公司设有十个设计部门，六个行政部门。由于公司业务需要及公司发展需求，目前在全国各地设有八个分公司及两个办事处。
根据企业信息化建设目标和总体规划，原有的网络架构不能满足企业管理和信息化发展现状，例如单一VLAN的地址已经不够分配，缺乏有效的安全策略，主干网带宽只有百兆，随着设计专业软件的网络需求增加，越来越多的业务需要使用互联网络，因此需进行全面的网络规划和改造。
2 现状需求分析
由于现有网络结构为单一的树状结构，容易出现单点故障而引起所有网络节点的正常运行；层次结构不清晰，导致无法集中管理设备，造成维护极为不便；设备较老、品牌较杂、设备兼容性较差，网络传输较慢，存在数据丢包现象；使用了大量的专业设计软件网络版，客户端和服务端的访问量与日俱增；设备无法控制网络流量，客户端访问互联网非常拥挤；无法有效避免ARP等局域网攻击；客户端操作系统补丁安装不完全，杀毒软件安装不统一。
所以整体改造分为两个主要方面：
（1）内部网络设备方面的改造：将现有的内网互联百兆主干网升级为千兆传输，在网络出口核心连接广域网处升级路由防火墙，更换现有的核心、楼层交换设备，按部门划分VLAN，实现流量监控。
（2）广域网及系统服务方面的改造：构建VPN实现与分公司互通，部署网络行为管理，系统补丁分发，广域网带宽升级，建立企业统一通信邮箱，建立数据备份机制等。
3 规划基本原则
基于对以上需求的深入理解，网络建设应遵循以下基本原则。
3.1 网络设备应首先满足网络中数据交换的要求，网络主干的通讯链路带宽能够满足应用对网络的性能要求。
通常网络的负载流量主要是从边缘设备到核心的数据交换。改善办公网络整体数据交换性能，应该是首先扩充主干交换机的交换性能，增加边缘设备到核心数据的通讯带宽，以改善整个网络的瓶颈，使得应用软件的性能和效率得到提高。除了考虑满足网络规模所要求的主干设备数据交换处理能力，以及边缘设备到核心的链路带宽外，对楼层交换机也有较高的性能要求。
网络设备的选择，尤其是网络核心设备，应该选择可以配置冗余部件，可以冗余备份，设备损坏部件的更换可以进行在线操作，这样可以使影响的时间降低到最小，以保证网络可以在任何时间、任何地点提供信息访问服务。与此同时，网络设备还要求采用主流技术、开放的标准协议，能够支持不同厂家、不同系列产品之间的相互无缝连接与通讯，减少设备互连的兼容问题以及网络维护的费用。
在满足现有规模的网络用户需求的同时，考虑到业务发展、规模的扩大，主干设备的选择应该具备强大的背板带宽，足够的负载容量。对于交换机来说，核心交换引擎应该在可以满足最大配置下，无阻塞地进行端口数据包交换，模块的扩充不影响交换性能。
3.2 通过将网络划分为虚拟网络VLAN网段，可以强化网络管理和网络安全，控制不必要的数据广播。
根据网络中工作组管理功能的划分可以突破共享网络中的地理位置限制，大大提高网络规划和重组的管理功能。在同一个VLAN中客户端不论它们实际与哪个交换机连接，它们之间的通讯象在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的VLAN中去。同时，若没有路由的话，不同VLAN之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。用户可以自由地在企业网络中移动办公，不论他在何处接入交换网络，他都可以与VLAN内其他用户自如通讯。
因此，划分VLAN既可以增加网络的灵活性，也可以有效地阻止VLAN内的大量非法广播，还能隔离VLAN之间的通讯，控制资源的访问权限，提高网络的安全性。同时在网络设备上应该可以进行基于协议、基于MAC地址、基于端口、基于IP地址的包过滤控制功能。
3.3 有效控制网络的访问。
合理的网络安全控制可以使应用环境中的信息资源得到有效保护。在进行安全方案设计时，应考虑网络物理是否安全、网络平台是否安全、系统是否安全、应用是否安全、管理是否安全的风险，对应采取相应的安全措施。这些风险与这个局域网的结构、系统应用、网络服务器等因素密切相关。
关键的应用服务器、主干网络设备，应该只有系统管理人员才有操作、控制的权力。应用客户端只有访问共享资源的权限，网络应该能够阻止任何的非法操作。使网络可以任意连接，又可以控制第二层、第三层控制网络的访问。同时，对连接用户身份的认证也是保障网络安全要考虑的重要内容。
4 网络改造规划设计
4.1 网络拓扑结构（图1）
整个网络安全设计分成内部网络和外部网络，通过一个防火墙隔离开来。防火墙上设置入侵监测和DOS攻击防护等安全防护特性，保证内部用户透明使用网络资源和拒绝外部非法未授权用户的探测和攻击。防火墙上设置VPN功能，用户可以通过使用IPSEC加密的安全通道连接到公司的防火墙，访问公司内部的网络。
此次网络改造主要针对网络交换机层，改造中需要更换一台核心交换机、一台汇聚交换机、若干台分布在各楼层的接入层设备。核心交换机采用H3C 5500-26C，设备具有24个千兆接口和4个SFP接口；汇聚交换机采用H3C 5100-16P，设备具有16个千兆接口及4个SFP接口；接入层交换机采用H3C3100-26TP-SI，具有24个10/100接口和2个千兆接口。
除了一台核心三层交换机，因核心机房还有若干应用服务器，为保证服务器高速连接到网络中，缓解核心交换机转发压力，设计通过一台5100-16P-SI交换机连接服务器组，与核心交换机的连接通过两路以太网线捆绑互联，保证设备间的高速、稳定通信。
楼层接入交换机通过布放的超五类以太网线与核心交换机连接，其连接方式同样使用两路以太网线捆绑，以使接人层交换机快速、稳定地与核心交换机互联，达到冗余备份、负载均衡。
此次改造所有以太网交换机互联均通过千兆接口。
4.2 VLAN规划
由于内部网络是由多个部门组成，按照应用部门之间需求进行统一通信控制，为了达到这种通信的要求，需要利用核心交换机对局域网进行VLAN划分，从而达到部门之间通信的安全性。
网络结构及功能初步规划包括以下几个方面：设备连接规划（千兆链路汇聚）；VLAN规划（业务VLAN、管理VLAN）；IP地址规划（设备管理IP、业务IP）；DHCP服务器规划（多VLAN DHCP规划）；接入层设备静态MAC+端口绑定（防止ARP欺骗）；设备命名、管理服务、管理账号规划；内部路由设计；访问控制规划（VLAN间安全、业务安全）。
公司内部部门较多，按照设计必须每个VLAN对应一个网段地址，为节约地址、达到地址的唯一性、可扩展性，采用了C类地址；DHCP服务由核心交换机实现地址动态分配。
由于涉及到多VLAN的环境，将会导致局域网计算机在网上邻居看不到其他VLAN内的计算机，为解决设计部门间互访的要求，需将网络系统模式提升为AD模式，同时架设WINS服务。
工作在网络第二层的VLAN技术能将一组用户归纳到一个广播域当中，从而限制广播流量，提高带宽利用率。同时缺省情况下不同VLAN之间用户是不能相互访问的。通讯通过三层设备转发，这就便于实施访问控制，提高数据的安全性。
在网络用户VLAN规划方面，根据用户所属的部门，以及具体的网络应用权限来划分出设计部门，财务及管理部门，其他行政部门，机房设备等VLAN。
具体VLAN分配原则制定后，根据VLAN内用户分布情况，在交换机上安排相应的网络端口，在不同交换机之间，如果需要交换同一VLAN的数据和信息，则在交换机互联的端口上设置其工作在Trunk模式下，使其能转发带有802.1Q标签的不同VLAN的数据包。
4.3 安全管理规划
结合实际情况，内网安全规划通过以下方法来预防及控制：按照部门或楼层等划分相应的VLAN，控制广播及病毒泛滥；对设备设置管理用户及密码，并定期更改；及时更新系统补丁和防病毒软件；通过IP+MAC+端口绑定未防止ARP攻击；通过利用防火墙对客户端进行访问策略限制，保证网络资源合理应用。
局域网内部路由，主要是为防火墙与内网多个网段之间建立通信，因为内网涉及多个网段，所以需要在三层交换机上面设置一条缺省路由到防火墙内网接口，同时在防火墙上需要设置一条聚合路由指向三层交换机。
内网客户端访问外网将通过在防火墙上实现访问控制。防火墙将按照实际应用需求设置开放相应的服务策略。通过核心三层交换机和防火墙，定义相关的访问控制列表及策略。
在网络设备配置中，利用三层设备的ACL（访问控制列表）功能，保护那些对网络安全要求较高的主机、服务器以及特定的网段（例如财务）。ACL是手工配置在网络设备上面的一组判断条件，对于满足条件的数据包，设备进行“转发”或者“丢弃”的处理。ACL的主要作用是实施对网段的访问控制，针对数据包的源地址和目的网络地址的组合，通过在网络设备上配置访问控制过滤功能，提供网络管理人员对网络资源进行有效安全管理的技术。
预防网络中ARP病毒攻击，通过在接入层交换机上配置静态MAC+端口绑定，预先设定接入层交换机端口连接到哪台终端，以及终端网卡硬件MAC地址。
在服务器上安装ServerProtect产品，可以提供集中式多重网域安装及管理、远端安全管理、实时侦测并清除病毒、自动更新及传送病毒码文件等安全措施。在客户端PC机上安装OfficeScan产品，通过浏览器进行所有的设定及配置，可以提供远程安装、主控台集中管理客户端扫描及清毒、对客户端进行实时监护等安全措施。
【关键词】 软交换 网络安全 下一代网络
网络发展的目的是为用户提供多样化的服务，满足用户在网络方面的需求，而下一代网络正是通信网络的发展方向，软交换是下一代网络的关键，辅助实现了多项通信业务。软交换应用的过程中，需严谨控制网络安全，规避电信网络内潜在的安全风险，优化软交换运行的网络环境，改善软交换在下一代网络中的应用状态。
一、软交换中的网络安全
按照软交换在下一代网络中的应用，可以将软交换的网络安全划分为三个领域，即：用户、网络和业务，其中网络安全是软交换的重点，本文主要针对网络安全中的攻击进行研究，同时提出相关的安全机制，保护软交换中的网络安全。
1.1 网络安全攻击
软交换中的网络安全，按照攻击属性分类，大致可以分为四类…。分析如：（1）网络中断：软交换中的网络资源受到破坏，网络中形成了攻击性的行为，导致网络突然中断，终止软交换的具体服务，网络中断能够消耗软交换中的系统资源，直接降低了软交换的运行质量，出现了严重的破坏；（2）网络修改：此类网络攻击破坏具有非常大的攻击性，主要发生在资源窃取的过程中，非法用户自行修改软交换的资源信息，破坏软交换原有的系统结构，既可以通过直接修改的方式进行攻击，也能通过数据传输的方式进行，不利于软交换资源的有效维护；（3）网络截取：利用网络攻击的行为截取部分访问数据，以便非法获得访问权，网络截取在网络安全攻击中的频率较高，通过特定的技术手段就能截取网络信息；（4）网络捏造：向软交换网络中植入虚假的信息，同样属于主动攻击的范畴，攻击者捏造授权身份并连接到电信网络，随意攻击真实的数据信息。
1.2 网络安全机制
针对软交换中的网络安全攻击，提出相关的安全机制，保障软交换网络的安全运行。分析如：（1）网络保密：为防止软交换中网络资源的破坏，采用安全加密机制，通过明文、密文的相互转化，加密软交换中的网络资源，即使非法用户窃取到软交换中的网络资源，也不能获取资源信息，而且防止非法用户的恶意坚挺，达到优质的保密标准；（2）完整性控制：借助VPN技术，阻止非法用户的修改行为，保障软交换传输的安全性，在完整性控制中实行数字签名或检测技术，避免软交换内网络资源受到破坏；（3）认证技术：有利于软交换中的相互认证，在认证的状态下完成软交换通讯，保障软交换的双方可以准确识别对方信息，确保电信网络片j户的合法性，最主要的是利用认证技术维护软交换网络的权限，强化网络安全的防攻击能力；（4）访问限制：对软交换中的网络实行授权体制，依照授权权限分配网络资源，禁止授权以外的用户访问软交换网络，实行高级别的安全防护
二、软交换网络安全的系统方案
结合软交换网络安全的基本状态，设计强化网络安令的系统方案，大范围的保护软交换网络，进而维护下一代网络运行的稳定。
1、分离组网。分离组网是指利用高安全级别的网络组成核心控制网，在TG、AG的连接下达到安全传送的标准。核心控制网需要在分离的状态下进行安全保护，采取公用IP对软交换中的用户进行保护，确保软交换中的分离组网系统方案能够落实安全机制，引入入侵防护的方法，提高软交换网络安全的水平。
2、组网。软交换在网络安全中，通过组网的方式对用户进行汇总，推行Proxy、Relay方式，处理电信用户的各种请求。因为组网直接面对用户，可以管控软交换的内部网络，所以能够保护软交换网络的核心部分，防止其受到外部攻击的影响，进而降低了软交换中的网络风险。
3、安全组网。安全组网系统方案的思路是加强软交换设备的保护利用，形成加密状态的通道，维护需求安全并保障软交网络的容量。安全组网能够隔离软交换中的通信没备，降低了软交换中网络的攻击性，提高软交换网络的可靠性，还能优化软交换网络资源的应用，保护用户的网络安全。
关键词：网络；安全
中图分类号：TP393.08
四川台现有广播业务网络于2011年建成，涉及广播的所有关键业务，在广播节目制作和管理中发挥着重要的作用。近年来随着广播与新媒体融合，网上应用和移动应用不断融入节目制作播出和信息业务中，网络应用的服务范围较以前传统的、小型的局域网系统逐渐向大型、互联互通方向扩展。随着网络规模的不断扩大、接入点数量增多、内部网络结构复杂化，对自身网络的安全性提出了更高的要求，因此梳理网络系统架构，才能及时查清网络安全状况。
1 网络安全技术分析
在网络的使用中，既需要互联互通，又需要系统安全。网络安全技术不断更新发展，网络安全产品很多，如何合理取舍，在网络中配置安全设备，确保网络业务安全？如果为了安全而过多的配置安全产品，必然拖慢网速，造成网络的不良体验，甚至造成网络业务阻塞。网络安全的关键点在于连通，网络安全产品是对连通业务的安全防护，主要采用的相关技术有以下几种。
1.1 防火墙技术
防火墙就是在内网和外网之间设置一道屏障，来保证内部网络安全，防止外部网对内网的非法入侵。它是一个或一组系统，配置在两个或三个网络的连接处，通过实施侦测，可监测、限制、更改跨越防火墙的数据流，确认其来源及去处，检查数据的格式及内容，并依照用户的规则传送或阻止数据。通过参数配置，可以设定哪些内部服务可已被外界访问，以及哪些外部服务可以被内部人员访问，主要采用数据包过滤、监测型、服务器等技术类型。
1.2 虚拟专用网络（VPN）技术
虚拟专用网（VPN）是实现内部网在因特网等公共网络上的延伸，通过加密在公共网络等外部网上创建一个安全的私有连接，采用复杂的算法来加密传输的信息，使得敏感的数据不会被窃听。VPN技术主要提供在公网上的安全的双向通讯，可使分布在不同地方的专用网络通过不可信任的公共网络，实现安全通信，将远程用户、分支机构等与内部业务网连接起来，构成一个扩展延伸的内部网络，仿佛公共网络是内部网络的一部分，所有的使用都处于内部网络之中。
1.3 计算机病毒的防范
当前全球计算机网络上流行的计算机网络病毒有4万多种，在各种操作系统中包括Windows、UNIX和Netware系统都有大量能够造成危害的计算机病毒，这就要求安装的防病毒软件有较强的查毒、杀毒能力。能够查杀多种系统环境下的病毒，完善的升级服务，以查杀不断出现的新的网络病毒。
1.4 内外网安全隔离技术
内外网络隔离技术种类很多，大致分类为：网桥、网闸等。
网桥是将两个相似的网络连接起来，并对网络数据的流通进行管理，网桥隔离信息，将同一个网络划分成多个网段，隔离出安全网段，防止其他网段内的用户非法访问。网桥工作于数据链路层，能扩展网络的距离或范围，可提高网络的性能、可靠性和安全性。由于网络的分段，各网段相对独立，一个网段的故障不会影响到另一个网段的运行。
安全隔离网闸采用SU-Gap安全隔离技术，创建一个内、外网物理断开的环境。安全隔离网闸的硬件由三部分组成：外部处理单元（外端机）、内部处理单元（内端机）、仲裁处理单元（仲裁机），各单元之间采用了隔离安全数据交换单元。
2 广播业务网络架构的安全分析
广播业务网络分为主干交换和楼层交换两个层次。主干网采用光纤千兆网，两台核心交换机，交换机采用模块化，双电源和双交换引擎进行热备份。播出服务器和楼层交换机通过光纤同时联接到两台核心交换机，任何一台核心交换机的故障都不影响播出。楼层交换部分（水平布线）采用10/100/1000Base-T的网络，使用5类或超5类双绞线进行联接。
服务器采用双电源配置，两块硬盘镜像作为系统盘，服务器之间两两主备，当其中一台出项故障的时候，另外一台可以很快的接管整个工作。确保任何一块硬盘和电源出现故障的时候，服务器能正常工作。
2.1 存储安全
整个存储系统根据业务需要，组成一个逻辑阵列，由机头和阵列构成。机头采用负载均衡的冗余备份方式，同时对外提供存储服务，当其中一个机头失效后，其它个机头接替失效机头的功能，担负起对外提供服务的任务，同时升级冷备机头接替失效机头继续工作。
存储阵列配置相同，形成冗余备份，每个阵列做成RAID，除了用于构建RAID的磁盘外，还配热备盘，当某块RAID盘失效时，能自动启动热备盘重建程序，替代失效的盘。
2.2 防火墙等审核日志记录
配置安全系统防火墙和上网行为管理，并且所有的服务器都开启管理员审核日志记录功能，来记录系统执行的操作，对每一个操作产生记录。通过对需要审核的网络动作进行配置，可以控制网络操作，限制非法的网络操作。事后通过对日志查询，可以追踪网络中所有的操作，进而修正网络破坏。
2.3 网桥防护
广播业务网是一个相对独立的网络，这样可以有效防止病毒的传染和黑客的入侵。但是考虑到广播制播网和综合业务网之间需要进行数据交换，因此在广播业务网与外网之间建立安全连接网桥，通过安全连接网桥来传递允许通过的数据，从而保证广播业务网的安全。安全连接网桥建立在非通用协议基础上的，并且只能允许音频文件等被授权的数据，具备文件格式检测，能够识别伪装成音频文件的可执行文件等，防止木马程序进入系统内部。
3 适应业务网络架构的安全运维
在网络安全设备运转的基础上，加强技术维护，进行网络防护操作，通过封应用端口协议，来实现防护堵漏洞，防止外来的攻击，防止内部链接危险站点。对于相关操作系统打系统补丁，定期更新防火墙、上网行为管理等系统的补丁，定期检查路由器和交换机的更新及设置，保证安全设备运行效果。
配置网管软件记录收集网络日志，将服务器、交换机、防火墙、主机等的各项指标信息收集集中，以报表形式呈现，通过技术巡查，及早发现问题。
4 结束语
广播业务网络采用网络设备冗余，防火墙等内外网隔离连通技术，确保内部网络业务安全畅通，实现对网络操作审核日志记录，可追溯网络操作。这样通过网络安全设备合理配置，以及技术运维管理，达到确保网络安全畅通。
参考文献：
[1]龚敏斌，潘理，钱宏.网络系统策略完整性安全机制[J].信息安全与通信保密，2013（08）：73-75.
[2]王宇，陆松年.Web应用防火墙的设计与实现[J].信息安全与通信保密，2011（05）：104-106.
关键词：等级保护；网络安全；信息安全；安全防范
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）19-4433-03
随着我国国际地位的不断提高和经济的持续发展，我国的网络信息和重要信息系统面临越来越多的威胁，网络违法犯罪持续大幅上升，计算机病毒传播和网络非法入侵十分猖獗，犯罪分子利用一些安全漏洞，使用木马间谍程序、网络钓鱼技术、黑客病毒技术等技术进行网络诈骗、网络盗窃、网络等违法犯罪，给用户造成严重损失，因此，维护网络信息安全的任务非常艰巨、繁重，加强网络信息安全等级保护建设刻不容缓。
1 网络信息安全等级保护
信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。网络信息安全等级保护体系包括技术和管理两大部分，如图1所示，其中技术要求分为数据安全、应用安全、网络安全、主机安全、物理安全五个方面进行建设。
图1 等级保护基本安全要求
1） 物理安全
物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。
2） 主机安全
主机系统安全是计算机设备（包括服务器、终端/工作站等）在操作系统及数据库系统层面的安全；通过部署终端安全管理系统（TSM），准入认证网关（SACG），以及专业主机安全加固服务，可以实现等级保护对主机安全防护要求。
3） 网络安全
网络是保障信息系统互联互通基础，网络安全防护重点是确保网络之间合法访问，检测，阻止内部，外部恶意攻击；通过部署统一威胁管理网关USG系列，入侵检测/防御系统NIP，Anti-DDoS等网络安全产品，为合法的用户提供合法网络访问，及时发现网络内部恶意攻击安全威胁。
4） 应用安全
应用安全就是保护系统的各种应用程序安全运行，包括各种基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等；部署的文档安全管理系统（DSM），数据库审计UMA-DB，防病毒网关AVE等产品。并且通过安全网关USG实现数据链路传输IPSec VPN加密，数据灾备实现企业信息系统数据防护，降低数据因意外事故，或者丢失给造成危害。
5） 数据安全
数据安全主要是保护用户数据、系统数据、业务数据的保护；通过对所有信息系统，网络设备，安全设备，服务器，终端机的安全事件日志统一采集，分析，输出各类法规要求安全事件审计报告，制定标准安全事件应急响应工单流程。
2 应用实例
近年来卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，某医院的核心系统按照等级保护三级标准建设信息系统安全体系，全面保护医院内网系统与外网系统的信息安全。
医院网络的安全建设核心内容是将网络进行全方位的安全防护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护；通过安全域划分，实现对不同系统的差异防护，并防止安全问题扩散。业务应用以及基础网络服务、日常办公终端之间都存在一定差异，各自可能具有不同的安全防护需求，因此需要将不同特性的系统进行归类划分安全域，并明确各域边界，分别考虑防护措施。经过梳理后的医院网络信息系统安全区域划分如图2所示，外网是一个星型的快速以太交换网，核心为一台高性能三层交换机，下联内网核心交换机，上联外网服务器区域交换机和DMZ隔离区，外联互联网出口路由器，内网交换机向下连接信息点（终端计算机），外网核心交换机与内网核心交换机之间采用千兆光纤链路，内网交换机采用百兆双绞线链路下联终端计算机，外网的网络安全设计至关重要，直接影响到等级保护系统的安全性能。
图 2 医院网络信息系统安全区域划分图
2.1外网网络安全要求
系统定级为3级，且等级保护要求选择为S3A2G3，查找《信息系统安全等级保护基本要求》得到该系统的具体技术要求选择，外网网络安全要求必须满足如下要求：边界完整性检查（S3） 、入侵防范（G3） 、结构安全（G3） 、访问控制（G3） 、安全审计（G3） 、恶意代码防范（G3） 和网络设备防护（G3） 。
2.2网络安全策略
根据对医院外网机房区域安全保护等级达到安全等级保护3级的基本要求，制定相应的网络安全策略
1） 网络拓扑结构策略
要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。要采取一定的技术措施，监控网络中存在的安全隐患、脆弱点。并利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。
2） 访问控制策略
访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
3） 网络入侵检测策略
系统中应该设置入侵检测策略，动态地监测网络内部活动并做出及时的响应。
4） 网络安全审计策略
系统中应该设置安全审计策略，收集并分析网络中的访问数据，从而发现违反安全策略的行为。
5） 运行安全策略
运行安全策略包括：建立全网的运行安全评估流程，定期评估和加固网络设备及安全设备。
2.3网络安全设计
根据对医院外网安全保护等级达到安全等级保护3级的基本要求，外网的网络安全设计包括网络访问控制，网络入侵防护，网络安全审计和其他安全设计。
1） 网络访问控制
实现以上等级保护的最有效方法就是在外网中关键网络位置部署防火墙类网关设备，采用一台天融信网络卫士猎豹防火墙、一台CISCO公司的PIX515和一台网络卫士入侵防御系统TopIDP。
①外网互联网边界防火墙：在局域网与互联网边界之间部署CISCO公司的PIX515百兆防火墙，该防火墙通过双绞线连接核心交换区域和互联网接入区域，对外网的互联网接入提供边界防护和访问控制。
②对外服务区域边界防火墙：对外服务区域与安全管理区域边界部署一台千兆防火墙（天融信NGFW4000-UF），该防火墙通过光纤连接核心交换机和对外服务区域交换机，通过双绞线连接区域内服务器，对其他区域向对外服务区域及安全管理区域的访问行为进行控制，同时控制两个区域内部各服务器之间的访问行为。
③网络入侵防御系统：在托管机房区域边界部署一台网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，为托管机房区域提供边界防护和访问控制。
2） 网络入侵防护
外网局域网的对外服务区域，防护级别为S2A2G2，重点要实现区域边界处入侵和攻击行为的检测，因此在局域网的内部区域边界部署网络入侵检测系统（天融信网络入侵防御系统TopIDP）；对于外网托管机房的网站系统，防护级别为S3A2G3，由于其直接与互联网相连，不仅要实现区域边界处入侵和攻击行为的检测，还要能够有效防护互联网进来的攻击行为，因此在托管机房区域边界部署网络入侵防御系统（启明星辰天阗NS2200）。
①网络入侵防御系统：在托管机房区域边界部署一台采用通明模式的网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，其主要用来防御来自互联网的攻击流量。
②网络入侵检测系统：在外网的核心交换机上部署一台千兆IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致；在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至IDS监听端口；IDS用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行检测。
3） 网络安全审计
信息安全审计管理应该管理最重要的核心网络边界，在外网被审计对象不仅仅包括对外服务区域中的应用服务器和安全管理区域的服务器等的访问流量，还要对终端的互联网访问行为进行审计；此外重要网络设备和安全设备也需要列为审计和保护的对象。
由于终端的业务访问和互联网访问都需要在网络设备产生访问流量，因此在外网的核心交换机上部署网络行为审计系统（天融信网络行为审计TopAudit），交换机必需映射一个多对一抓包端口，网络审计引擎通过抓取网络中的数据包，并对抓到的包进行分析、匹配、统计，从而实现网络安全审计功能。
①在外网的核心交换机上部署一台千兆网络安全审计系统，监听端口类型需要和核心交换机对端的端口类型保持一致，使用光纤接口；
②在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至网络安全审计系统的监听端口；
③网络安全审计系统用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行安全审计；
④开启各区域服务器系统、网络设备和安全设备的日志审计功能。
4） 其他网络安全设计
其他网络安全设计包括边界完整性检查，恶意代码防范，网络设备防护，边界完整性检查等。
①边界完整性检查：在托管机房的网络设备上为托管区域服务器划分独立VLAN，并制定严格的策略，禁止其他VLAN的访问，只允许来自网络入侵防御系统外部接口的访问行为；对服务器系统进行安全加固，提升系统自身的安全访问控制能力；
②恶意代码防范：通过互联网边界的入侵防御系统对木马类、拒绝服务类、系统漏洞类、webcgi类、蠕虫类等恶意代码进行检测和清除；部署服务器防病毒系统，定期进行病毒库升级和全面杀毒，确保服务器具有良好的防病毒能力。
③网络设备防护：网络设备为托管机房单位提供，由其提供网络设备安全加固服务，应进行以下的安全加固：开启楼层接入交换机的接口安全特性，并作MAC绑定； 关闭不必要的服务（如：禁止CDP（Cisco Discovery Protocol），禁止TCP、UDP Small服务等）， 登录要求和帐号管理， 其它安全要求（如：禁止从网络启动和自动从网络下载初始配置文件，禁止未使用或空闲的端口等）。
3 结束语
信息安全等级保护是实施国家信息安全战略的重大举措，也是我国建立信息安全保障体系的基本制度。作为国家信息安全保障体系建设的重要依据，在实行安全防护系统建设的过程中，应当按照等级保护的思想和基本要求进行建设，根据分级、分域、分系统进行安全建设的思路，针对一个特定的信息系统（医院信息管理系统）为例，提出全面的等级保护技术建设方案，希望能够为用户的等级保护建设提出参考。
参考文献：
[1] 徐宝海.市县级国土资源系统信息网络安全体系建设探讨[J].中国管理信息化，2014（4）.
[2] 李光辉.全台网信息安全保障体系初探[J].电脑知识与技术，2013（33）.
关键词：隔离网络；数据交换；文件交换
隔离网络数据安全交换系统可以在安全内部网络与非信任网络之间在物理隔离的前提下安全完成两网之间的信息交换功能。在对非法网络通路进行安全网络隔离的同时，还能保证正常、合法的网络应用，从而实现既保证正常、合法的网络应用，又保证关键网络资源的安全网络隔离(有限连接，无限隔离)的理想目标。
一、隔离网络数据安全交换系统整体概述
隔离网络数据安全交换系统由主控机、内网数据交换机、外网数据交换机三部分组成。而连接主控机与内外网数据交换机的安全隔离开关经过特殊的电路设计，使它在任一时刻即使出现了误操作也不可能将两端网络直接相连，真正实现了物理隔离。系统架构如图1所示。
隔离开关在内外网之间切换，确保任何时刻内外网之间不能直接相连，从而彻底杜绝了非信任网络的黑客对安全内部网络的攻击和信息泄漏。
主控机子系统对于非信任网络不提供任何服务，避免了来自非信任网络的攻击。采用自有专用协议，不同于网络上通用的传输格式，有效控制不符合传输格式的数据包，此类数据包将赦丢掉，并记录。
系统采用主机身份进行验证，对没有纪录的主机拒绝服务；采用随机端口，在数据包校验的环节加入了随机处理，使非法用户无法摸透本系统的传播路径，无法攻击内网服务器。
系统提供安全审计功能和日志系统，记录系统用户的每个操作。并有大容量空间连续纪录。系统有流量控制，并可以根据费率进行记费。
二、隔离网络数据安全交换系统典型工作流程分析
隔离网络数据安全交换系统的应用非常灵活，可以广泛应用于内部网络和Internet之间，内部保密网和普通内网之间，客户端和关键服务器之间，甚至个人电脑和网络之间的连接／隔离(有限连接，无限隔离)。
具体访问流程如下(假设位于内网的用户需要访问位于Internet的资源)：
1 用户的访问请求传送到隔离网络数据安全交换系统的内网数据交换机，由机向主控机发出请求。
2 隔离网络数据安全交换系统对该访问请求进行合法性判断，可以采用多种技术手段进行合法性判断。例如，用户IP地址，MAC地址。端口号，数字证书。时间段，访问权限等等。
3 如果该访问非法。不做任何操作(相当于阻断，因为处于网络隔离状态)，记录本次非法访问行为。
4 如果该访问合法，开关盒自动连通，将访问请求从内部系统转发到外部系统。再由外部系统将访问请求发送到Internet。
5 外部系统在获得返回信息之后，判断是不是所需要的访问结果。
6 如果不是，不做任何操作(相当于阻断，因为处于网络隔离状态)，记录本次非法访问行为。
7 如果是，用专有通讯协议通过专有硬件通讯设备将访问结果从外部系统转发到内部系统。
8 内部系统将访问结果发送到发起该访问请求的原始客户端，完成通信。
三、系统实现
1 系统主要模块分析
(1)文件交换模块
隔离网络数据安全交换系统文件传输模块以安全隔离硬件模块为基础，在保证内部安全网络系统安全运行的同时，提供与非信任网络进行安全文件交换的功能，在扩展性方面支持采用多个模块保证在互不信任的网络之间进行安全文件交换。保证数据传输全部由信任方主动请求。提供多管道方式，支持多对多的文件传输功能。在管理配置方面提供友好的管理配置界面。
(2)数据库数据交换模块
隔离网络数据安全交换系统数据库交换模块以安全隔离硬件模块为基础，在保证信任网络业务系统安全运行的同时，提供与不信任网络进行安全数据交换的功能，在扩展性方面支持采用多个模块保证在互不信任的网络之间进行安全数据交换。保证数据传输全部由信任方主动请求，采用多线程方式对数据库信息进行提取，保证数据的时效性。在管理配置方面提供智能数据配置提取、方向控制选择等强大管理控制功能。兼容性方面目前数据库交换模块支持多种主流数据库。
(3)邮件数据交换模块
隔离网络数据安全交换系统邮件模块以安全隔离硬件模块为基础。在保证信任网络与非信任网络安全隔离即链路层断开的前提下，提供了与非信任网络之间进行安全收发邮件的功能。对于非信任网络采取无服务模式。保证邮件收发控制全部由信任方主动请求；提供邮件病毒查杀功能；提供邮件内容过滤功能，防止机密、敏感信息的泄露和侵入；信息报警系统能及时隔离危险邮件并将信息通知管理员；证书系统提供的身份验证机制防止信息的无意泄漏等。该系统的多功能模块集成设计，充分保证了在安全隔离状态下收发邮件的安全性、可管理性和可审计性。
2 系统关键组件分析
(1)内网数据交换机
内网数据交换机主要起着联络内网和主控机的作用，可为用户提供一个作业批处理系统。通过该系统，远程用户可完成系统状态查询，作业提交、状态查询、获得结果及删除，系统对用户行为进行备份和记帐。并依据用户的需求及系统的负载信息，自动选择执行结点。对用户作业进行自动分配，达到充分利用系统资源、提高系统吞吐率的目的。本系统支持并行和串行两种作业，并支持多个用户。
(2)外网数据交换机
外网数据交换机主要起着联络外网和主控机的作用，可为用户提供一个作业批处理系统。凭借这个系统，远程用户可完成系统状态查询，作业提交、状态查询、获得结果及删除，系统对用户行为进行备份和记帐。并依据用户的需求及系统的负载信息。自动选择执行结点，对用户作业进行自动分配，达到充分利用系统资源，提高系统的吞吐率的目的。
(3)主控机
连接内外网的枢纽，可以在主控机上自行定义传输格式，有效控制了不符合传输格式的数据包。访问控制技术未经授权的数据包将被丢弃。主机身份的识别，对没有档案记录的主机。拒绝服务。随机端口在数据包的校验环节加入了随机数处理，使非法用户无法捉摸本系统的传输途径。
四、结束语
