《Bluecoat proxySG方案》由会员分享，可在线阅读，更多相关《Bluecoat proxySG方案（32页珍藏版）》请在金锄头文库上搜索。
1、互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1 1 江苏移动江苏移动 Bluecoat ProxySG 网络改造网络改造 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 2 2 目目 录录 前言前言.4 一、一、BLUE COAT SYSTEMS 公司公司简介简介.6 二、互联网出口安全控制改造方案二、互联网出口安全控制改造方案.8 2.1 当前网络情况.8 2.2 BLUE COAT PROXYSG 改造建议方案 9
2、2.2.1 策略修改9 2.3 方案描述.9 2.3.1用户认证域控制9 2.3.2 NTLM用户认证域定义11 2.3.3 NTLM服务器定义11 2.3.4 IWA通用信息配置12 2.3.5 LDAP用户认证域定义14 2.3.6 LDAP服务器定义16 2.3.7 LDAP DN定义.16 2.3.8 LDAP Base DN举例.17 2.3.9 LDAP检索用户定义.18 2.3.10 LDAP对象类定义20 2.3.11 LDAP通用信息配置.21 2.3.12 本地用户列表定义22 2.3.13 VPM配置.24 2.4 测试与回退.25 2.5 方案特点.25 三、主要技术及
3、产品描述三、主要技术及产品描述.26 3.1 BLUE COAT互联网代理技术用户认证、授权和统计26 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 3 3 3.1.1 内容安全控制27 3.1.2 灵活的策略控制29 总结总结.32 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 4 4 前言前言 Web 浏览器作为应用访问和互联网通讯的手段，已经完全渗透到桌面环境中；越 来越多的企业和机构正在实现基于浏览器的应用，作为
4、它们业务操作的几乎所有应用 的解决方案；同时，浏览器已经成为员工从互联网获取和传递信息的主要手段。因此， 建立一个高效、快速、安全的互联网访问环境，成为企业及机构网络建设的一个主要 任务。 建设快速高效的企业互联网环境，所面对的主要问题在于带宽和互联网连接所造 成的互联网访问响应速度问题，因此，互联网高速缓存得到广泛应用，而网络安全主 要由防火墙提供保护；然而，由于支持各种 Web 协议的浏览器功能多样，而病毒、黑 客、“木马”类“间谍”软件能够通过各种途径，在用户进行互联网访问时，在不知 不觉中侵入到企业网络中来，通常我们把这一类威胁定义为“应用级威胁”，其破坏 力与广为人知的网络安全漏洞一
5、样严重。 现在病毒、黑客技术更多的以消耗网络资源为攻击目的，对保障企业互联网环境 的高效、快速提出了新的挑战，而这些问题不是仅靠缓存能够解决，应用级的安全控 制和保障成为加速企业互联网访问的一个必要的选择。 防火墙被认为是抵御来自外部威胁（如：病毒、黑客）的最佳的安全解决方式， 防火墙被设计在网络的边界进行保护，然而，防火墙不能控制进出企业的用户通讯， 这需要一个基于 Proxy 的解决方案，能够提供对所有网络用户的 Web 通讯进行全面的 控制；防火墙保护网络，从而减少企业外部的威胁，而 Proxy 控制 Web 通讯，从而减 少企业的“应用级威胁”造成的网络性能和效率的影响。 随着互联网上
6、应用的增长，员工互联网访问的压力也在不断提高，江苏移动为各 政府机关提供互联网访问出口，网络安全防护是极为重要的，建议采用 Blue Coat 公 司的代理专用设备 ProxySG 实现互联网安全策略控制、带宽优化和并实现网关级的 Web 病毒扫描，基于 Blue Coat 公司技术和产品的解决方案，将能够实现： 为江苏移动互联网出口，提供及时的带宽优化 增强全网的内容安全性 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 5 5 提供高效的网关 Web 病毒保护 为高效的内容过滤提供强有力的平台 针对基于
7、Web 标准的应用（如：B/S 结构的业务应用、Web 页面、 Streaming），增强内容传递，提高访问速度 内容传递系统基于工业标准协议和应用 在最小的网络中断下，升级整个企业网络 便于使用和管理 Blue Coat Systems 是业界唯一一家完全致力于提供全面的、安全的互联网访问 控制和安全保护解决方案的公司。Blue Coat Systems 产品能够为用户提供一个灵活的、 可扩展的平台，而且便于安装、配置和维护。Blue Coat 专用设备提供的强大的互联网 访问代理功能、缓存功能、策略控制功能，使 Blue Coat Systems 公司具有建立强大 的企业互联网代理体系的能
8、力。 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 6 6 一、一、BLUEBLUE COATCOAT SYSTEMSSYSTEMS 公司公司简介简介 Blue Coat 帮助企业保持“好”员工不在互联网上做“坏”事。Blue Coat 公司 专注于提供安全的代理专用设备，提供互联网访问的可见性，并据此管理 Web 通讯， 以保护企业网络免受间谍软件侵害的风险，并且能防止员工访问不合适的网页、不恰 当地使用即时通讯工具、滥用流媒体及点对点文件下载，从而提高 Web 的安全及性能。 Blue Coat 专用代
9、理设备的使用量已超过 20000 台，已被许多世界上最具影响力的组织 和机构所信任。Blue Coat 全球总部设于美国硅谷的 Sunnyvale，成立于 1996 年。 背景背景 随着企业越来越依赖于互联网与客户、合作伙伴和员工进行通讯，Blue Coat 具 有巨大的成长机遇。Web 浏览器已成为关键的业务通讯和信息交流的通用工具，但它同 时也增加了企业的安全风险，如： 由于间谍软件导致 PC 崩溃使支持中心的服务量大幅增加； 由于员工访问不恰当的 Web 内容而导致生产力降低及潜在的法律风险； 由于个人 Web 邮件的使用，使病毒出入网络有了新的“后门”； P2P 和流媒体的滥用耗尽了网
10、络的带宽； 员工工作效率的下降； 当企业内所有用户都使用 Web 浏览器时，不管是有意还是无意，每个用户都有可 能而且有办法去访问一些对企业网络基础设施有害的内容。 产品优势产品优势 Blue Coat ProxySG 安全代理专用设备产品系列具有完整的 Web 代理功能，能够 实现最强大的策略控制。这些 ICSA Labs 认证的解决方案基于 Blue Coat 自主开发的 专用操作系统 SGOS，包含专利的策略处理引擎极其灵活的 Web 通讯管理框架结 构，实现细致的内容策略、应用策略、用户策略。Blue Coat 端到端的产品系列包括全 面的统计报告软件、策略和配置管理解决方案，满足集中
11、部署和分散部署等不同要求。 Blue Coat 助您助您建立高效、快速的互联网建立高效、快速的互联网通讯通讯环境环境 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 7 7 Blue Coat Systems 是建立高效、快速、安全的企业互联网通讯环境的企业的正确 选择。对此，Gartner 是这样评述的：“Blue Coat 是企业安全代理用户对外访问互联网 的正确选择。” 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage
12、8 8 二、互联网出口安全控制改造方案二、互联网出口安全控制改造方案 2.12.1 当前网络情况当前网络情况 SG 旁接在核心交换机,通过 IP 地址进行访问控制限制. ISP 内网 ProxySG ISP 内网 ProxySG 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 9 9 2.22.2 BlueBlue CoatCoat ProxySGProxySG 改造建议方案改造建议方案 2.2.12.2.1 策略修改策略修改 本次改造主要是在原本通过 IP 进行上网控制的基础上,加入第三方用户认证来加 强管
13、理内部人员的上网行为,主要通过修改策略实现. 2.32.3 方案描述方案描述 通过 Configuration/Authentication 选项进入用户认证配置，包括：管理员用 户名、密码，上网用户的用户认证域定义等。用户可以选择采用本地用户列表、 NTLM、LDAP、Radius 等多种用户认证方式。 2.3.12.3.1 用户认证域控制用户认证域控制 从 Authentication/Realms 进入用户认证域控制页面，如下图示： 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1010 其中：将显示
14、所有已定义的用户认证域， 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1111 2.3.22.3.2 NTLMNTLM 用户认证域定义用户认证域定义 IWA 用户认证是定义 ProxySG 使用 Windows NT 服务器的用户认证的方法，定义页 面如下图示： 其中，Realm name 定义一个标示名，Primary Server host 定义 Blue Coat NTLM Agent 安装的服务器 IP 地址(也可以直接指定 DC 的地址)，16101 为缺省使用的端口。 2.3.32.3.3 N
15、TLMNTLM 服务器定义服务器定义 IWA 服务器定义页面如下图示： 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1212 其中，可以定义备份的 IWA 服务器。 2.3.42.3.4 IWAIWA 通用信息配置通用信息配置 从 IWA/IWA General 进入配置通用信息配置页面，如下图示： 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1313 其中，Realm name 为 IWA 认证域的名字，Crede
16、ntials refresh time 为认证信 息缓存的时间，缺省为 900 秒。 Vitual URL 用于 Origin Redirect 的认证方式，主要将用户的认证请求 Redirect 到这个虚拟的 URL 上。 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1414 2.3.52.3.5 LDAPLDAP 用户认证域定义用户认证域定义 从 Authentication/LDAP 进入 LDAP 定义页面，可以定义选择 Windows Active Directory、Sun LDAP、Novel LDAP 等用户认证域，如下图示： 选择 New，定义新的 LDAP 用户认证域。页面如下图示： 互联网出口安全控制改造方案建议书 BlueBlue CoatCoat Systems,Systems, IncIncPagePage 1515 其中： Realm name 定义认证域名， Type of LDAP Server 选择 LDAP 服务
