网络优化管理方案

华方建筑工程有限公司

网络优化

解决方案

2013年3月

目录

一、需求概述 (1)

1.1背景介绍 (1)

1.2需求分析 (1)

1.3客户具体需求分析 (2)

1.3.1缺乏有效统计方法，无法得知网络使用状况 (2)

1.3.2无法管理带宽流量，无法保障业务的带宽需求 (2)

1.3.3无法有效监控和审计用户的网络行为 (2)

1.3.4无法细致管控用户的上网行为 (3)

二、方案特点及优势 (3)

2.1组网方式 (3)

2.2设备选型 (4)

2.3网络安全解决方案优点总结 (5)

2.4具体实施 (6)

三、华为ASG给用户带来的价值 (6)

3.1最丰富的应用识别，更好地提高办公效率 (7)

3.2全面的内容控制和审计，有效防止信息外泄和协助法规遵从 (7)

3.3电信级高可靠性，为业务保驾护航 (8)

3.4四重保护上网用户，恶意软件无所遁形 (9)

3.5专业报表针对性强，助力企业治理 (9)

一、需求概述

1.1 背景介绍

华方建筑工程有限公司，位于无锡市锡山区，占地80亩，是集建筑施工、市政建设、水电安装、装饰装潢、门窗制作等为一体的总承包企业。目前，华方建筑工程有限公司具有完备的内部网络，网关处已经部署了Dlink-7300路由等网络设备。机构内部也已经应用了众多信息系统，包括WEB服务器、邮件服务器等，各业务应用系统都或多或少的通过互联网平台得到整体应用。

华方建筑工程有限公司现有终端用户数量大约200个。随着华方建筑工程有限公司系统业务的发展，终端用户数将会逐渐增加。目前总部与各工地之间通过专线连接，实现集团内部信息共享。随着华方建筑工程有限公司信息化建设的逐渐发展，以及业务数据量不断的增大，华方建筑工程有限公司目前的网络系统已经无法满足其业务增长的需求。专线内部主要的数据为大量的视频监控数据流和普通数据流，目前缺少专业设备来管理专线内的数据流，因此集团专线网络仍然存在多个问题及隐患。带宽利用率无法满足当前的业务要求，保障视频监控数据流的带宽质量迫在眉睫。

1.2 需求分析

随着Internet接入的普及和带宽的增加，一方面给用户上网条件得到改善，另一方面也给机构带来更高的网络使用危险性、复杂性和混乱性。据IDC调查发现，在上班工作时间非法使用邮件、浏览非法Web网站、进行音乐/电影等BT下载、在线收看流媒体的员工正在日益增加，令网络管理者头疼不已。IDC的数据统计显示，员工30%-40%的上网活动与工作无关；而来自色情网站访问统计的分析表明：70%的色情网站访问量发生在工作时间。而中国员工比其它地区的员工每周多花7.6小时使用IM、玩游戏、P2P软件或流媒体。互联网滥用，给中国企业、政府、高校、行业用户等各行业带来了巨大的损失。

企业用户随意使用互联网将主要导致五个问题：(1)网速越来越慢、 (2)信息和机密外泄、(3)网络违法行为、(4)工作效率低下、(5)安全隐患不断。

为获取外部信息和资源、及与第三方合作伙伴等保持联系和沟通，企业内部网络必然与互联网连通。IT管理者如何及时了解网络运行情况，并对网络整体状况作出基本的分析，发现可能存在的问题（如违规访问、资源滥用、泄密、ARP欺骗等），并进行快速的故障定位，这一切都是对机构内网安全管理的挑战，

因此，如何有效地提高工作效率，提升带宽资源使用效率、改善网络安全环境、杜绝泄密行为、避免法律风险，已经成为各行业信息化建设中的首要任务。当前企业网络和行为管理也随之提升到一个新的高度，在防御从外到内诸如病毒、黑客入侵、垃圾邮件的同时，从内到外诸如访问控制、访问跟踪、流量限制、监控、审计等问题也日益凸现。越来越多的组织机构需要对用户上网行为进行管理以实现网络资源的合理利用。

1.3 客户具体需求分析

随着业务的发展和信息化建设步伐的加快，华方建筑工程有限公司的网络可用性和用户的互联网访问行为管控等问题日益严峻，无孔不入的病毒（尤其是木马、ARP欺骗等）、恶意软件、DOS攻击等仍然大肆泛滥，严重影响了本机构应用系统的运行和业务的正常运作。

更为重要的是上班时间员工的网络访问行为没有很好的管理、控制方法，上班时间长时间使用QQ聊天、收发私人邮件、浏览无关网页、在BBS、论坛上发帖等，不仅导致用户

工作效率低下，还潜在可能向公网泄露机构内部机密信息，并可能因访问非法网站或发别非法言论而违反法律。另外内网用户肆意使用BT、PPLive等P2P工具下载电影等、在线看

电视、看电影、听歌等，严重吞噬了有限的带宽资源，影响了机构内部关键应用（如视频监控数据流）和业务的开展。

通过对本机构内部网络目前存在的问题，我们看到华方建筑工程有限公司在内网用户的互联网访问行为管控方面需要解决几个问题。

1.3.1缺乏有效统计方法，无法得知网络使用状况

对于机构网络的使用情况，有限的公网出口带宽的占用情况，用户最常发生的网络访问行为，TOP 10用户最常访问的网站等，IT管理者当前都无法掌握真实情况，而只能靠部分用户反映或抱怨，通常只能简单记录的一些IP访问情况，查询、审计非常不便。

1.3.2无法管理带宽流量，无法保障业务的带宽需求

华方建筑工程有限公司的公网出口带宽通常看似充裕，但是，比如一个带宽2M的Internet出口，即使有两个内部用户全速下载BT、eMule等，其他用户和业务系统的访问

与开展都会及其缓慢，甚至完全不可用。而IT管理者一方面无法有效的获知机构现有带宽资源的使用情况和利用率，同时对于各种P2P等非业务相关的网络访问行为也无法有效管控。

正常收发Email缓慢，关键的视频监控系统无法正常运作，大型图纸、文件传输速度极慢等，都需要IT管理者优化机构有限带宽资源的使用情况，有效的限制非业务系统对带宽的占用，合理的划分和分配更多的带宽供业务系统所使用。

1.3.3无法有效监控和审计用户的网络行为

提到网络安全问题，大多数用户都只关注对外安全。但其实机构内部的信息资产更多的不是被黑客窃取，而是通过内部泄漏的。IT部门无法对内网用户的网络行为进行有效的监

控和审计。

内网用户可能通过MSN聊天即将机构的机密信息无意间泄露出去，而更典型的是通过Email邮件，将机构的信息资产通过邮件及附件发送到公网；还可能通过向公网BBS、论坛发贴的方式，不仅泄露机构信息，也可能发表不良言论、网络造谣等，不仅泄露机构的信息资产，还难免招致法律问题；这就需要有别于传统防火墙的解决方案，对用户的网络访问行为进行有效的监控和审计，做到有据可查。

1.3.4无法细致管控用户的上网行为

机构因为需要获取外部信息和资源而与Internet实现互联，通过Email等IT应用系统，用户不仅可以与合作伙伴、第三方单位保持沟通，而且外网用户也可以方便的通过Internet 访问机构内部的WWW网站、FTP下载服务器等。

但是如果没有完善的互联网访问权限控制手段，而仅仅依靠传统的防火墙等设备，将无法有效管控内网用户的各种网络访问行为；内网用户在上班时间使用QQ、MSN等聊天，浏览各种网站（甚至色情、反动网站），BBS、论坛发贴（包括不负责任的反动言论等），在线炒股、网络游戏娱乐等，不仅降低了工作效率，甚至通过Email泄漏机构机密信息，给机构带来直接经济损失，还可能引起不必要的法律纠纷。

二、方案特点及优势

2.1 组网方式

ASG产品有网关模式，网桥模式和旁路模式。

直路部署在互联网出口是ASG产品在中小企业和分支机构中常见的应用场景。主要用于规范员工上网行为、带宽管理和保证员工上网安全。

如下图所示，将ASG部署在公司与Internet连接的出口，通过规范员工上网行为、保证对外关键服务（如视频监控等）的带宽、保证上网安全和防止企业重要信息资产外泄，为企业打造可管控的安全上网环境。

中小企业和分支机构上网行为管理典型组网图

该应用场景主要实现如下目的：

管控上网权限

杜绝上班时间出现QQ聊天、玩游戏和在线视频观看等行为，提高工作效率。

●管控外发数据

管控Web、邮件和IM发送行为，有效防止信息外泄。

●管理出口带宽

充分利用出口带宽，封堵网络游戏、在线网页视频和P2P视频等带宽滥用的应用，

保证重要应用和对外服务器的带宽。

●威胁过滤

拦截钓鱼、网马和恶意软件下载等恶意页面，自动过滤病毒和携带威胁的流量，确

保用户安全上网。

●免管控用户

配置免管控用户后系统对免管控用户不审计、不控制。

●出口网关

部署在Internet出口作为网关，提供路由接入、攻击防范、源NAT和虚拟服务器

（对外提供企业网站、邮件等服务）功能。

●移动办公WiFi接入

ASG2100/2200支持作为WiFi网关，公司内移动办公用户可使用WiFi接入Internet。

●定位异常终端

检测ARP和IP欺骗、Flood攻击、端口和地址扫描等异常行为，并自动防御。2.2 设备选型

根据对华方建筑工程有限公司的需求的分析，与客户的进行深入的交流，我们对其网络进行了充分的了解与分析。华方建筑工程有限公司现网有约200用户左右。我们推荐使用1台华为的ASG2100来满足华方建筑工程有限公司的需求。

终上所述，ASG2100上网行为管理设备在这个项目上是十分合适的，以下为ASG2000系

2.3 网络安全解决方案优点总结

●最高应用识别能力，助力员工高效办公、高速上网

?数量最大：URL分类库6500+万，应用1200+，覆盖企业网络主流应用和300+移动智能终端应用

?覆盖最全：130+种内容分类、10+种语言

?更新最快：全球云端统一自动、及时更新

?控制手段丰富：基于用户及组织结构的精细策略管理，提供阻截、限速、审计、时段限制、时长限制等丰富控制手段

●最专业的审计报表，助力企业治理

?面向管理层，提供办公效率、带宽利用、法律合规等综合和专项分析报表，协助发现问题，完善公司治理

?面向技术层，提供10余种查询日志以及几十种单项分析报表，轻松发现、定位、处理问题，协助策略调优

?针对互联网审计：详尽记录用户上网行为和外发内容，并提供多种查询方式，满足企业内部治理和国家法规的要求

?针对分布式部署：实现全网用户上网行为日志统一汇总、查询、分析

●最安全的四重威胁防护体系，确保员工上网安全

?检出率最高：提供全球第一的病毒和漏洞利用检出率，基于业界领先的启发式检测技术，有效面对变形和新型攻击

?检测最全面：提供对浏览器、文件（PDF、SWF、Office等）漏洞利用的防御，提供Botnet、蠕虫、木马等流量的检测阻断

?WEB信誉领先：提供全球Web信誉同步，迅速感知新的恶意站点或钓鱼网站

2.4 具体实施

根据华方建筑工程有限公司的网络情况，上网行为管理系统部署图如下：

工地一

存储系统

大屏监控

视频服务器

工地

邮件服务器

日常办公局域……

…

网桥模式将ASG2100等同于一根连接在网关路由和交换机之间的“智能网线”，可以

对所有流经ASG2100的数据流进行审计、管理和控制。

三、华为ASG给用户带来的价值

ASG是华为在充分了解客户和市场需求的基础上，通过成熟的系统设计推出的上网行为管理产品，具有精准的应用识别、电信级高可靠性、全面威胁过滤和专业报表等特点。

3.1 最丰富的应用识别，更好地提高办公效率

员工在互联网上进行一些与工作无关的活动将导致工作效率低下，增加企业的人力成本。ASG可以通过丰富的特征库协助企业解决此类问题。

在网络快速发展的今天，新型应用层出不穷，URL站点变化频繁，当应用和URL站点增加、减少和变更时，华为会在第一时间更新特征库，提高识别准确率。华为具有专业的应用特征库和URL分类库研发团队，密切跟踪全球应用和URL变化，积累了国内第一、国际领先的应用特征库和URL库：

●安全服务中心提供超过1000种的应用识别，覆盖企业网络主流应用，如P2P、在

线视频、流媒体、股票行情、网络游戏和网络存储等。

●安全服务中心提供超过6500万条的海量URL库，细分为百余种类别，涵盖工作无

关网站，木马、钓鱼和恶意软件网站，以及黄赌毒等不良站点。

●特征库更新频率快，让用户在最短时间内获得最新的特征库。通过丰富的应用识别

库，精准识别用户访问的应用协议，并通过对不同的应用协议采取合适的动作，从

而更好地管理员工上网行为、提高办公效率。

通过丰富的应用识别库，精准识别用户访问的应用协议，并通过对不同的应用协议采取合适的动作，从而更好地管理员工上网行为、提高办公效率。

3.2 全面的内容控制和审计，有效防止信息外泄和协助法规遵从

ASG通过多种方式的内容控制防止敏感信息外泄和员工发布违反法律法规的不良言论，全面的审计功能为事后审查提供有力证据。

ASG支持控制通过Web、邮件和IM软件的内容外发，覆盖企业大部分的内容外发方式。

●Web内容控制包括提交内容关键字过滤（禁止关键字内容对外发布）和HTTP协议、

FTP协议文件外传控制。

●邮件内容控制包括限制发件人和收件人，邮件内容关键字过滤（禁止关键字内容邮

件发送）和附件外发控制。

●IM软件内容控制通过管理员配置的文件大小和文件类型限制内网用户通过IM软件

外发文件。

ASG支持全面的内容审计，协助企业事后审查。

●Web审计

记录用户访问的URL

记录用户通过网页上传的文本内容

记录用户通过HTTP方式外发的文件名称、大小和类型，对于不大于10M的外

发文件，还支持保存小于指定大小的原始文件

记录用户通过HTTP方式下载的文件名称、大小和类型

●IM软件审计

支持对QQ、阿里旺旺、飞信、MSN、雅虎通和Gtalk软件的审计。审计内容包括

记录聊天内容和外发文件的属性，对于不大于10M的外发文件，还支持保存原始

文件。

●邮件审计

对于企业员工发送的邮件，记录发件人、收件人、邮件标题、邮件正文和附件的

名称、大小、类型，对于不大于10M的附件，还支持保存小于指定大小的原始文

件。

对于企业员工接收的邮件，记录记录发件人、收件人、邮件标题、邮件正文和附

件的名称、大小、类型。

3.3 电信级高可靠性，为业务保驾护航

ASG产品通过设备级和网络级的多种可靠性手段来保证业务的连续性。

设备级高可靠性

ASG按照电信级产品可靠性要求，采用专门设计的硬件系统，可长期运行于温度0℃～45℃，湿度10%RH～90%RH（无冷凝）的恶劣环境中。此外，ASG2600/2800支持温度监控、风扇热插拔，电源模块采用双电源（1＋1备份），两个电源模块可以互相热备份，并且支持热插拔，电源倒换时不影响系统运行。

网络级高可靠性

●双机热备

ASG支持双机热备份组网，支持HRP（Huawei Redundancy Protocol）协议，双机热备包括主备备份和负载分担两种方式。

主备备份方式组网时，一个备份组内包括一个主用设备和一个备用设备。HRP协议负责在主/备设备之间备份关键配置和会话表状态信息，从而确保主用设备出现故障时能由备用设备平滑地接替工作。

负载分担方式组网时，两台设备互为主备，正常情况下两台设备同时处理业务。当其中一台设备发生故障时，另外一台设备会立即承担其业务，保证原来需要通过这台设备转发的业务不中断。相对于主备备份方式来说，主用设备和备用设备共同处理业务流量，可以提高网络的转发效率，降低主用设备发生故障的几率。

●硬件Bypass

ASG2600/2800支持插入电Bypass接口卡和光Bypass接口卡，当ASG2600/2800出现故障时，Bypass接口卡将上下游设备直接相连，保证业务不中断；当故障排除后，所有流量恢复由ASG2600/2800处理后再发送，保证业务的安全性。

●软件Bypass

启用软件Bypass功能后，ASG不对业务做控制和审计，相当于上下游设备直接连接。

●引擎失效、过载保护

当URL分类过滤、恶意流量检测、病毒检测和内容过滤等引擎失效或者过载后，将未能通过这些引擎检测的流量直接放行，确保业务不中断。

3.4 四重保护上网用户，恶意软件无所遁形

针对用户上网面临的威胁，提供多重防护确保上网安全。

用户上网时面临着各种安全威胁，如钓鱼网站、网页木马、文件病毒、黑客攻击等，ASG产品提供全方位的防护措施，具备多重防护能力，确保用户上网安全。

●迅速感知新的恶意站点，防止用户因访问这些网站遭受财务诈骗、私密信息泄漏等。

●基于业界领先的赛门铁克专业防病毒引擎，实现高达99%的病毒检测率。

●基于漏洞利用和启发式检测引擎，有效防御未知恶意软件和各种变形攻击行为。

●检测用户机器被黑客操控以及通过木马外传信息等异常流量行为，并及时阻断。

3.5 专业报表针对性强，助力企业治理

ASG提供带宽利用、工作效率、法律合规和威胁过滤等丰富的报表，协助企业进行上网业务运维、发现上网问题和完善内部管理，辅助企业在上网方面的管理和投资决策。

ASG通过B/S架构的专业管理中心进行日志、报表管理。

支持访问网站日志、邮件日志、文件外传日志、异常行为日志和流量日志等多种日志明细查询。

专业的报表系统提供统计报表、趋势报表、对比报表和综合报表四种报表形式，并且支持多种输出格式，同时具有柱状图、饼状图和曲线图等丰富的呈现方式。

●统计报表

提供上网时长、上网流量、上网行为和网络威胁统计报表，可以从用户、部门和应用类型等多维度分别展示办公效率、带宽利用和威胁过滤方面的整体情况。

●趋势报表

提供上网流量和上网行为的趋势分析报表，可以从用户、部门和应用类型等多维度展示办公效率和带宽利用率的发展趋势。

●对比报表

提供上网流量和上网行为的对比分析报表，可以对比分析基准日期和前一天、上一周、上一月部门员工上网流量和访问指定类型网站次数，展示办公效率和带宽利用率的对比情况。

●综合报表

●提供综合报表，展示用户在办公效率、带宽利用、威胁过滤和合规性方面的总体概况和

专项评估情况，以辅助管理和投资决策。