◆喬 健 徐 靖

?

數(shù)據(jù)中心的網(wǎng)絡(luò)設(shè)備安全防護(hù)

◆喬 健 徐 靖

（上海市信息網(wǎng)絡(luò)有限公司 上海 200081）

互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）是目前高速發(fā)展的行業(yè)，針對IDC面臨的各種網(wǎng)絡(luò)安全問題，提出對數(shù)據(jù)中心內(nèi)網(wǎng)絡(luò)設(shè)備建立安全配置基線，結(jié)合其他技術(shù)和管理手段來防御面臨的各種網(wǎng)絡(luò)安全威脅。

數(shù)據(jù)中心；安全防護(hù)；安全基線；配置要求

0 引言

近幾年來，互聯(lián)網(wǎng)數(shù)據(jù)中心在國內(nèi)發(fā)展迅猛，與此同時(shí)互聯(lián)網(wǎng)安全事件也愈演愈烈，數(shù)據(jù)中心安全事件的發(fā)生率呈指數(shù)上升趨勢。各種黑客攻擊軟件，隱藏在服務(wù)器中的病毒，以及網(wǎng)絡(luò)內(nèi)的僵尸主機(jī)，都可能會(huì)成為網(wǎng)絡(luò)攻擊源。攻擊會(huì)導(dǎo)致網(wǎng)絡(luò)服務(wù)質(zhì)量下降導(dǎo)致網(wǎng)絡(luò)不可用，嚴(yán)重影響運(yùn)營商的品牌形象。在日趨嚴(yán)峻的網(wǎng)絡(luò)安全形勢面前，需要盡可能地提高網(wǎng)絡(luò)健壯性，有效抑止一些常見的攻擊和病毒，降低安全事件發(fā)生的概率和影響程度。

目前針對數(shù)據(jù)中心基礎(chǔ)架構(gòu)的網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)病毒主要有以下幾類：一類是攻擊直接針對網(wǎng)絡(luò)設(shè)備，造成網(wǎng)絡(luò)設(shè)備處理器和內(nèi)存資源大量消耗，使得網(wǎng)絡(luò)性能收到影響，甚至中斷；另一類是采用大數(shù)據(jù)包的攻擊，使網(wǎng)絡(luò)帶寬擁塞，影響網(wǎng)絡(luò)的性能；還有一類是采用小數(shù)據(jù)包的攻擊，造成網(wǎng)絡(luò)設(shè)備三層轉(zhuǎn)發(fā)負(fù)載加重，使設(shè)備性能降低，影響網(wǎng)絡(luò)性能。

結(jié)合筆者十多年的數(shù)據(jù)中心建設(shè)維護(hù)和安全防御經(jīng)驗(yàn)，提出從技術(shù)上建立數(shù)據(jù)中心網(wǎng)絡(luò)配置標(biāo)準(zhǔn)，對設(shè)備進(jìn)行安全加固。通過對網(wǎng)絡(luò)安全體系的各個(gè)安全環(huán)節(jié)、各個(gè)保護(hù)對象的防御措施等方面的均衡，提高IDC整體防護(hù)能力，降低上述幾種攻擊模式對數(shù)據(jù)網(wǎng)絡(luò)的沖擊，實(shí)現(xiàn)網(wǎng)絡(luò)整體安全水平的提高。

1 IDC數(shù)據(jù)中心設(shè)備進(jìn)行安全加固

主要實(shí)施對象是機(jī)房網(wǎng)絡(luò)設(shè)備，通過對設(shè)備自身的安全加固，提升網(wǎng)絡(luò)的自我防護(hù)能力，加強(qiáng)重點(diǎn)設(shè)備的抗攻擊能力，提高網(wǎng)絡(luò)的生存性和可用性。

1.1通用性安全配置要求

為保證IDC內(nèi)數(shù)據(jù)安全，建議對機(jī)房內(nèi)各設(shè)備按照如下安全配置要求進(jìn)行策略部署：

（1）設(shè)備端口安全管理

對于網(wǎng)絡(luò)設(shè)備的服務(wù)端口遵循最小化原則，關(guān)閉不必要的應(yīng)用端口和服務(wù)，主要包括如下內(nèi)容：關(guān)閉IP直接廣播;關(guān)閉控制平面未使用的服務(wù)，如代理ARP、IP源路由;關(guān)閉不使用的管理平面服務(wù)：Bootp，F(xiàn)inger、PAD、CDP，DHCP，小TCP/UDP等，對于不使用Web方式管理的網(wǎng)絡(luò)設(shè)備關(guān)閉其HTTP服務(wù)，對于必須啟用WEB管理的設(shè)備，需通過訪問控制列表進(jìn)行訪問限制。

（2）設(shè)備認(rèn)證控制和密碼管理

設(shè)備采用集中認(rèn)證方式，通過Radius或者Tacacs+認(rèn)證模式登錄，由認(rèn)證服務(wù)器對維護(hù)操作人員進(jìn)行認(rèn)證授權(quán)，用戶權(quán)限遵循最小授權(quán)原則，在設(shè)備增加本地賬戶，作為認(rèn)證服務(wù)器失效時(shí)的備用管理賬號(hào)。對于所有的設(shè)備配置中登錄密碼，必須使用加密顯示，控制臺(tái)接口必須啟用密碼保護(hù)功能。認(rèn)證服務(wù)器可將相關(guān)的認(rèn)證授權(quán)操作信息送到安全管理平臺(tái)。

不允許使用系統(tǒng)缺省配置的用戶和口令，應(yīng)給網(wǎng)管人員配置各自的用戶名和口令，做到個(gè)人賬號(hào)專人專用，建議每三個(gè)月進(jìn)行一次密碼更新，口令要求不少于8個(gè)字符，口令使用大寫字母、小寫字母、數(shù)字、標(biāo)點(diǎn)及特殊字符四種字符中至少三種的組合，口令以加密方式存儲(chǔ)。網(wǎng)管人員離職、崗位調(diào)動(dòng)必須通過相應(yīng)的管理流程對其賬號(hào)、密碼進(jìn)行刪除。

（3）設(shè)備訪問限制

在網(wǎng)絡(luò)設(shè)備上限定只允許網(wǎng)管地址網(wǎng)段能實(shí)現(xiàn)和設(shè)備之間的管理通信；限定設(shè)備登錄的并發(fā)連接數(shù)，限定登錄最大連接時(shí)長，對于支持SSH模式的設(shè)備，一律采用SSH方式進(jìn)行遠(yuǎn)程訪問。需要外網(wǎng)操作的設(shè)備，建議采用VPN方式登錄到網(wǎng)管中心，然后通過網(wǎng)管中心作為跳板進(jìn)行設(shè)備訪問。為加強(qiáng)跳板的可用性，可以采用主備冗余方式。

（4）設(shè)備關(guān)鍵資源保護(hù)

使用RACL和COPP等類似技術(shù)部署設(shè)備控制卡板的防護(hù)策略，對設(shè)備處理能力進(jìn)行保護(hù)，增強(qiáng)設(shè)備本身的安全性。

（5）路由安全

對于啟用動(dòng)態(tài)路由的設(shè)備，要求在建立鄰接關(guān)系時(shí)使用MD5算法加密，保證路由信息的可信度。對于無需參與動(dòng)態(tài)路由計(jì)算的端口，建議配置為被動(dòng)接口。對于多跳EBGP互聯(lián)鄰居，為避免路由震蕩和攻擊，在確定路由跳數(shù)的情況下，應(yīng)啟用BGPTTLsecurity-check功能。與用戶通過BGP互連時(shí)，在EBGP鄰接上使用AS-PATH嚴(yán)格匹配對方廣播的路由，并使用IP prefix-list過濾缺省和私有路由，原則上只接收掩碼為/24或以內(nèi)等路由。

（6）服務(wù)質(zhì)量配置要求

與信任域進(jìn)行對接時(shí)，如對方服務(wù)質(zhì)量（QOS）標(biāo)記規(guī)則與網(wǎng)內(nèi)不一致，在對接處需要按照流量標(biāo)記對應(yīng)關(guān)系對每類流量進(jìn)行標(biāo)記重置，對非信任域的所有流量的標(biāo)記應(yīng)重置為0。

（7）時(shí)間同步和流量監(jiān)控

機(jī)房網(wǎng)絡(luò)設(shè)備必須采用網(wǎng)絡(luò)時(shí)間協(xié)議（NTP）方式實(shí)現(xiàn)時(shí)間同步。全網(wǎng)設(shè)備使用統(tǒng)一的時(shí)間服務(wù)器，在服務(wù)器上通過訪問控制列表對客戶端接入限制。要求機(jī)房內(nèi)設(shè)備都啟用簡單網(wǎng)絡(luò)管理協(xié)議（SNMP）來監(jiān)控端口流量，應(yīng)只采用只讀模式，同時(shí)要求設(shè)備只允許網(wǎng)管網(wǎng)絡(luò)的網(wǎng)段來讀取流量，共同體字串建議采用強(qiáng)口令要求長度8位以上，包含特殊字符、大小寫和數(shù)字。要求網(wǎng)管軟件能對端口流量設(shè)置基線，當(dāng)端口流量嚴(yán)重超過基線時(shí)能發(fā)出告警。

（8）設(shè)備日志要求

設(shè)備必須配置日志功能，其中必須包括設(shè)備訪問、配置、狀態(tài)等安全相關(guān)事件的來源、時(shí)間、描述等信息內(nèi)容，并對高風(fēng)險(xiǎn)的事件產(chǎn)生告警；將設(shè)備產(chǎn)生的日志信息發(fā)送至日志服務(wù)器；為了保障日志信息的安全性，必須嚴(yán)格限制設(shè)備日志發(fā)送的目的設(shè)備。對于接入層設(shè)備，要求日志服務(wù)器保存至少3個(gè)月的原始設(shè)備日志；對于匯聚層以上設(shè)備，要求保存至少6個(gè)月原始設(shè)備日志。系統(tǒng)日志可通過接口將相關(guān)的日志信息送到安全管理平臺(tái)。

1.2核心層設(shè)備特殊配置要求

核心層設(shè)備主要實(shí)現(xiàn)數(shù)據(jù)報(bào)文的高速轉(zhuǎn)發(fā)，在安全方面的措施主要目的是為了保障設(shè)備正常穩(wěn)定的運(yùn)行，除了一些通用性要求之外還要求核心層設(shè)備實(shí)施以下安全措施。

核心設(shè)備的重要部件、模塊實(shí)現(xiàn)冗余，即主控單元1：1備份，交換單元N:1備份，電源風(fēng)扇冗余。核心層設(shè)備間建議使用全網(wǎng)狀連接模式。啟用Netflow功能實(shí)施流量分析和建立流量基線。配置主備日志服務(wù)器。與城域網(wǎng)互聯(lián)的出口路由器需要做路由聚合，只向城域網(wǎng)發(fā)布城域聚合路由，原則上掩碼在/25以內(nèi)（如：/21、/20、/19等掩碼的路由）。

1.3匯聚層設(shè)備特殊安全配置要求

匯聚層設(shè)備可實(shí)施較全面的安全策略，建議除滿足基本安全配置要求外使用如下策略：

（1）端口過濾

禁止常見及危害程度較大的病毒、木馬常用端口，主要如下：

Deny udp any anyeq 1434 //sqlworm病毒端口

Denyudpanyanyeq1433

Denyudpanyanyeq1027-1028//灰鴿子木馬端口

Deny udp any anyeq 135-139//禁止netbios端口

Deny udp any anyeqnetbios-ss

Deny tcp any anyeq 445//SMB共享服務(wù)端口

Deny tcp any anyeq 4444 //沖擊波病毒端口

Deny tcp any anyeq 5554 //在感染“震蕩波”病毒后會(huì)通過5554端口向其他感染的計(jì)算機(jī)傳送蠕蟲病毒

（2）源路由監(jiān)測和流量分析

設(shè)備上啟用單播反向路由查找（URPF）功能，防范假冒源地址攻擊；啟用Netflow功能，實(shí)施流量分析。

（3）ICMP控制

建議對ICMP流量進(jìn)行限制，僅允許通過一些必須的ICMP報(bào)文，包括ICMP-echo、ICMPecho-reply、ICMPpacket-too-big、ICMPsource-quench、ICMPtime-exceeded、ttl-exceeded、port-unreachable。建議對ICMP協(xié)議的echo、echo-reply流量限制為700K/S；建議對ICMP協(xié)議ttl-exceeded、port-unreachable和packet-too-big流量限制為500K/S；建議對Traceroute所用的UDP協(xié)議，端口范圍從33434到33678流量限制為500K/S/路由器。

（4）非法地址過濾

過濾RFC定義的私有地址數(shù)據(jù)流（出口）

Deny ip 127.0.0.00.255.255.255 any //環(huán)回地址

Deny ip 10.0.0.00.255.255.255 any //RFC1918定義的私網(wǎng)地址

Deny ip 172.16.0.00.15.255.255 any

Deny ip 192.168.0.00.0.255.255 any

Deny ip 169.254.0.00.0.255.255 any //本地鏈路保留地址

Deny ip 240.0.0.015.255.255.255 any//保留地址

Deny icmp any any fragments //丟棄ICMP碎片報(bào)文，以防范DDOS攻擊

1.4接入層設(shè)備特殊安全配置要求

接入層設(shè)備連接用戶網(wǎng)絡(luò)和運(yùn)營商網(wǎng)絡(luò)，是實(shí)現(xiàn)安全過濾的第一道防線，建議在用戶接入層面除了配置上述通用策略外，實(shí)施以下安全策略：

首先在接入設(shè)備側(cè)針對用戶接入端口實(shí)施限速策略，其次在接入設(shè)備側(cè)針對用戶接入端口實(shí)施廣播包速率抑制，最后在用戶接入端口啟用MAC數(shù)量限制策略。對于接入用戶應(yīng)盡可能實(shí)現(xiàn)PUPV，減少用戶之間的干擾。對于接入用戶群中必須通過同一VLAN承載的業(yè)務(wù)，盡量采用私有VLAN等端口隔離技術(shù)進(jìn)行用戶間隔離，避免用戶之間的相互干擾。

2 網(wǎng)絡(luò)設(shè)計(jì)安全要求

對于網(wǎng)絡(luò)建設(shè)設(shè)計(jì)需要遵循一定的安全配置要求，保障網(wǎng)絡(luò)的高可用性，主要包括以下方面：地址統(tǒng)一規(guī)劃，體現(xiàn)網(wǎng)絡(luò)層次性，有利于路由的組織。要求路由設(shè)計(jì)具備較高的可用性和擴(kuò)展性。匯聚層及以上設(shè)備必須使用雙鏈路上聯(lián)，實(shí)現(xiàn)鏈路備份和負(fù)載均衡。

設(shè)備選型優(yōu)先選擇支持NSF/SSO/ISSU功能的設(shè)備，應(yīng)考慮部署防火墻、流量清洗等安全設(shè)備。當(dāng)安全設(shè)備性能不足以保護(hù)整個(gè)機(jī)房網(wǎng)絡(luò)時(shí)，采用旁掛在核心設(shè)備側(cè)方式，當(dāng)被攻擊時(shí)采用路由引流模式將攻擊流量導(dǎo)引到安全設(shè)備進(jìn)行處理。安全設(shè)備應(yīng)該具備防應(yīng)用層DDOS攻擊能力，應(yīng)用層DDOS攻擊一般消耗很小的帶寬，而特性更加隱秘，比如不斷與服務(wù)器上的應(yīng)用建立連接，從而耗盡應(yīng)用的表項(xiàng)空間等資源，導(dǎo)致正常的用戶無法連接。針對大流量流量，應(yīng)該考慮購買運(yùn)營商的防DDOS服務(wù)，將攻擊流量進(jìn)入機(jī)房前導(dǎo)引到城域網(wǎng)防DDOS平臺(tái)進(jìn)行清洗。

3 結(jié)束語

本文在目前網(wǎng)絡(luò)安全理論基礎(chǔ)上，提出一種對IDC機(jī)房網(wǎng)絡(luò)設(shè)備建立配置安全基線，進(jìn)行網(wǎng)絡(luò)安全加固的方案。本方法已經(jīng)在中國電信上海分公司上海熱線機(jī)房、真西北機(jī)房、海量存儲(chǔ)機(jī)房、全華機(jī)房、市北機(jī)房采用。實(shí)際運(yùn)行結(jié)果表明，采用本方法后機(jī)房網(wǎng)絡(luò)設(shè)備安全故障率和影響業(yè)務(wù)時(shí)間均有較大程度減少。同時(shí)，本文的結(jié)果也適應(yīng)于在不同場景下的運(yùn)營商網(wǎng)絡(luò)設(shè)備安全加固。

[1]程小丹，李崇輝，曹潔.數(shù)據(jù)中心設(shè)施運(yùn)維指南[M].電子工業(yè)出版社，2016.

[2]陳熹.軟件定義數(shù)據(jù)中心技術(shù)與實(shí)踐[M].機(jī)械工業(yè)出版社，2013.