CN113709157B - 基于云路由和安全控制中心的电力安全研发网络结构 - Google Patents

Abstract

基于云路由和安全控制中心的电力安全研发网络结构，为包括云平台管理控制的云平台内部网络和除云平台内部网络以外的企业办公网络的企业内部局域网；云平台内部网络包括私网和公共服务网络，私网中设置有云路由、研发子网和测试子网，云路由和分别连接到研发子网和测试子网，云路由还连接到企业办公网络；公共服务网络包括企业身份认证服务器、安全控制中心服务器和其它研发公共服务器；研发子网中有为该私网项目员工创建的虚拟机客户端；虚拟机客户端连接到公共服务网络中的安全控制中心服务器。本方案利用云平台采用云路由构建项目专有私网，可以保证虚拟的研发服务器及其配套网络的即需即得，同时还能保证网络策略的即控即变。

Description

基于云路由和安全控制中心的电力安全研发网络结构

技术领域

本发明涉及云平台领域，特别涉及一种基于云路由和安全控制中心的电力安全研发网络结构。

背景技术

随着《中华人民共和国网络安全法》的施行，国家电网公司将网络安全与防护作为重点工作来抓，同时随着监管机构对安全风险的监管落实，也促使其各企业对安全防护不断提出更高的要求。研发网络安全作为网络安全防护重点，其制度规范已率先被要求落实。企业在从原有研发网络环境向安全研发网络环境转变的过程中，由于不同企业在网络安全技术经验上和企业网络环境上的差异，很多企业都还在边摸索边应用，其网络安全防护收效缓慢，这导致其生产工作效率相比网络安全制度实施之前有大幅度的降低。主要体现在以下方面：

1.电力企业研发网络环境拓扑结构较为复杂，而且大多企业还一直保持着网络管理员人工配网的模式。一方面企业网络安全防护要求不断提高，另一方面研发期间项目组不断对网络环境提出新的变更需求，网络管理员的工作量成倍增长，资源与网络调整的需求响应时间过长，导致项目组研发工作效率下降。

2.按电力企业现有网络安全制度，其研发工作必须在企业信息内网进行，采用定制的内网研发计算机入接研发网络，定制的安全设备进行正常需求的电子文档下载。无法与外网工作环境产生联动交互。

3.研发数据存放在研发人员个人计算机磁盘上，设备本身是可以被带走或改动的，个人计算机上的安全管理软件也是可以被卸载清除，从而失去安全限制。这种情况下设备本身的安全只能靠制度和研发人员的自觉性和安全意识来保证。

解决上述问题需要采用云平台来构建研发网络，而现有厂商云平台软件采用专用的网络操作系统来实现云路由，云平台控制节点对云路由的程序调用必须依赖网络操作系统提供商提供的有限接口来管理控制云路由。这种用无法随心所欲地控制云路由工作，即使对这种专用网络操作系统进行二次开发也将受其兼容性的限制。

发明内容

本发明的目的在于：提供了一种基于云路由和安全控制中心的电力安全研发网络结构，利用云平台采用云路由构建私有专用网络的方式，一方面可以保证虚拟服务器及其配套网络的即需即得，同时还能保证网络策略的即控即变。在云平台中，采用定制虚拟服务器为作研发客户端，研发人员的物理终端电脑只能连接到个人客户端后开展工作，这样不仅可以对终端与研发网络的访问做到实时精准地控制，同时隔绝了人为操作的物理途径。

本发明采用的技术方案如下：

一种基于云路由和安全控制中心的电力安全研发网络结构，包括企业内部局域网，所述企业内部局域网包括云平台管理控制的云平台内部网络和除云平台内部网络以外的企业办公网络；

所述云平台内部网络中包括每个项目的私网和公共服务网络，所述每个私网中都设置有云路由、研发子网和测试子网，所述云路由和分别连接到研发子网和测试子网，所述云路由还连接到企业办公网络；所述公共服务网络包括企业身份认证服务器、安全控制中心服务器和其它研发公共服务器；

所述研发子网中有为该私网项目员工创建的能够从企业办公网络或互联网远程连接的虚拟机客户端；所有虚拟机客户端均连接到公共服务网络中的安全控制中心服务器。

为了更好地实现本方案，进一步地，所述云路由至少包括一个WAN口、两个LAN口和一个控制口，云路由的一个LAN口连接到研发子网，另一个LAN口连接到测试子网，WAN口连接到企业办公网络。

为了更好地实现本方案，进一步地，所述云平台内部网络还包括管理所有项目的私网中资源的云平台控制节点，所述云平台控制节点分别和所有的私网连接。

为了更好地实现本方案，进一步地，所述云平台控制节点分别和所有私网中的云路由连接。一般来说，这里云平台控制节点是与各项目私网中云路由的控制口连接。

为了更好地实现本方案，进一步地，所述研发子网中有和该研发子网中的虚拟机客户端连接的研发服务器，测试子网中有和该测试子网中的虚拟机客户端连接的测试服务器。

为了更好地实现本方案，进一步地，所述虚拟机客户端内安装有监控代理，监控代理连接到公共服务网络中的安全控制中心服务器。

为了更好地实现本方案，进一步地，所述虚拟机客户端上定制有研发和测试所需的所有工具软件。

本发明基于企业私有云平台中的IaaS平台应用场景，通过云平台中可动态构建的云路由网络来满足特定办公网络环境的即需即得，同时通过对云路由网络的细粒度访问控制为企业内的租户提供随需可变安全等级的授权访问。具体情形包括以下几个方面：

（1）实现研发人员与研发网络的即时接入与安全违规阻断

企业办公期间，个人电脑作为接入企业网络环境的终端接入设备工具，其安全管理几乎只能依赖人和制度的管控。而这种管控机制因为人的不确定性和设备的差异性等因素，并不能完全达到安全管控的目标。而员工在个人电脑上的工作成果往往需要提交到研发网络中的服务器上。这就造成了逻辑上不可避免的安全问题。本方案将研发终端进行统一管控，通过在企业统一定制的云平台内部网络中项目私网的研发子网创建虚拟服务器，将连接虚拟服务器的虚拟机客户端分配给不同研发人员，研发人员的个人电脑以企业办公网络或互联网远程连接的方式进入虚拟机客户端后在虚拟机客户端上开展研发工作。研发人员在虚拟机客户端上的动作将会被安全控制中心服务器监控，若研发人员存在违规动作，则安全控制中心服务器通过云平台内部网络联系云平台控制节点，使得云平台控制节点自动关闭该虚拟机客户端与研发子网的所有通道，这将从逻辑上隔断研发人员对研发服务器的违规操作途径。

（2）企业研发人员基于互联网远程办公即时安全接入

疫情期间，很多企业只能在家远程办公，家里的个人电脑需要通过互联网访问公司云平台中的虚拟服务器，这就需要企业私有云平台可以根据员工工作的需要即时定向开通和关闭从员工家庭到公司云平台虚拟服务器的安全访问。而这种情况下，研发子网的安全边界延伸到了互联网上，这将为企业的研发子网带来更大的安全风险。研发人员从互联网连接虚拟机客户端时，公共服务网络中的企业身份认证服务器会对用互联网接入的用户进行身份认证和来源控制，其中，来源控制是确定用户是否处于一个安全的网络环境下。

（3）通过云路由实现不同研发项目的私有网络组网与即时安全访问控制

研发项目立项以后，需要该项目的虚拟机的私网及私网的配套网络能立即到位。研发项目的私网只有该研发项目的成员才能够访问，不同的研发项目之间的私网按需即时开闭访问。同一研发人员同时参与多个研发项目，或者项目研发人员间需要临时工作支持时，可以即时开闭研发人员与其它项目的访问。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

1.本发明所述的一种基于云路由和安全控制中心的电力安全研发网络结构，利用云平台采用云路由构建项目专有私网的方式，可以保证虚拟的研发服务器及其配套网络的即需即得，同时还能保证网络策略的即控即变；

2.本发明所述的一种基于云路由和安全控制中心的电力安全研发网络结构，在云平台中，采用定制虚拟的研发服务器为作研发客户端，研发人员的物理终端电脑只能连接到个人的虚拟机客户端后开展工作，这样不仅可以对物理终端与研发子网的访问做到实时精准地控制，同时隔绝了人为破坏安全操作的物理途径，还能满足从互联网远程安全办公。

附图说明

为了更清楚地说明本技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图，其中：

图1是本发明的网络结构示意图；

图2是本发明的虚拟机客户端受到安全控制中心服务器监控的示意图；

图3是本发明的虚拟机客户端检测违规动作和阻断的示意图；

图4是本发明的物理终端连接到虚拟机客户端的示意图。

具体实施方式

为了更清楚地说明本发明实施例的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，应当理解，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例，因此不应被看作是对保护范围的限定。基于本发明中的实施例，本领域普通技术工作人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“设置”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；也可以是直接相连，也可以是通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

下面结合图1至图4对本发明作详细说明。

实施例1：

一种基于云路由和安全控制中心的电力安全研发网络结构，如图1，包括企业内部局域网，所述企业内部局域网包括云平台管理控制的云平台内部网络和除云平台内部网络以外的企业办公网络；

所述云平台内部网络中包括每个项目的私网和公共服务网络，所述每个私网中都设置有云路由、研发子网和测试子网，所述云路由和分别连接到研发子网和测试子网，所述云路由还连接到企业办公网络；所述公共服务网络包括企业身份认证服务器、安全控制中心服务器和其它研发公共服务器，

所述研发子网中有为该私网项目员工创建的能够从企业办公网络或互联网远程连接的虚拟机客户端；所有虚拟机客户端均连接到公共服务网络中的安全控制中心服务器。

工作原理：如图1，每个研发人员和测试人员可以通过企业外部研发终端电脑，即个人电脑，从互联网远程连接到云平台内部网络中为每个员工创建的虚拟机客户端，也可以从企业内部研发终端电脑，即企业内的企业办公网络下的电脑从企业办公网络连接到云平台内部网络中为每个员工创建的虚拟机客户端。研发人员能通过虚拟机客户端访问该研发人员所参与项目的私网中，所有人员均可通过个人的虚拟机客户端访问公共服务网络中的服务。

实施例2：

本方案在实施例1的基础上，所述云路由至少包括一个WAN口、两个LAN口和一个控制口，云路由的一个LAN口连接到研发子网，另一个LAN口连接到测试子网，WAN口连接到企业办公网络。

本实施例的其他部分与上述实施例1相同，故不再赘述。

实施例3：

本方案在实施例1的基础上，所述云平台内部网络还包括管理所有项目的私网中资源的云平台控制节点，这里云平台控制节点与各项目私网中云路由的控制口连接。

本实施例的其他部分与上述实施例1相同，故不再赘述。

实施例4：

本方案在实施例1的基础上，所述研发子网中有和该研发子网中的虚拟机客户端连接的研发服务器，测试子网中有和该测试子网中的虚拟机客户端连接的测试服务器。

所述虚拟机客户端内安装有监控代理，监控代理连接到公共服务网络中的安全控制中心服务器。所述虚拟机客户端上定制有研发和测试所需的所有工具软件。

工作原理：如图2，为了避免非法设备冒充接入研发网络，虚拟机客户端在创建完成的初始状态下默认仅开放它对安全控制中心服务器的访问，研发人员的虚拟机客户端上内置安装了监控代理，监控代理将随虚拟机客户端的启动而启动，它将每隔固定时间（一般为30秒）向安全控制中心服务器发送一次心跳，以此方式告知安全控制中心服务器，该虚拟机客户端仍然在正常被安全控制中心服务器监控。心跳信息中将包括虚拟机客户端的唯一机器编号、IP地址以及加密口令，以确保心跳和虚拟机客户端的一一对应关系及心跳信息安全。安全控制中心服务器首次收到合法的心跳信息后将研发客户端的唯一机器编号和IP地址保存起来，同时向云平台控制节点请求开通该虚拟机的网络访问，然后云平台控制节点将向云路由发送开通网络的指令，立即开通该虚拟机客户端的在云平台内部网络中应有的网络访问权限。

如图3，当研发人员在虚拟机客户端上执行违规操作时，将被监控代理监控到，并立即通知安全控制中心服务器，安全控制中心服务器收到违规通知后向云平台控制节点发起断网请求，云平台控制节点收到断网请求后，将向云路由发送断网指令，立即断开该虚拟机客户端在云平台内部网络的网络访问，此时云平台内部网络外的物理终端设备也将断开与该虚拟机客户端的连接，以此保证违规操作发生时将会被立即阻断。当研发人员当天工作结束，关闭虚拟机客户端后，其与安全控制中心服务器的心跳也将中断，同样会断开该虚拟机客户端在云平台内部网络的网络访问，以避免其它设备冒充接入。

如图4，研发人员可通过互联网或企业内部研发终端电脑（即企业内部的办公电脑）接入存在于云平台中内部网络中的研发客户端虚拟机。这两种情况，网络访问请求都将先被物理路由器转发到该虚拟机客户端所在项目私网的云路由上，然后再由云路由转发到虚拟机客户端上。由于研发人员的企业内部研发终端电脑的IP地址一般是固定的，因此，该研发人员的虚拟机客户端被创建时，将在其项目组所在云路由上开通仅允许该IP地址访问自己的虚拟机客户端。而当研发终端电脑放在互联网上时，其公网IP地址通常是动态变化的，而且安全风险更高。因此，研发人员从互联网访问时需要先认证其身份，然后动态开通来自其公网IP地址的访问。

本实施例的其他部分与上述实施例1相同，故不再赘述。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims (5)

1.一种基于云路由和安全控制中心的电力安全研发网络结构，包括企业内部局域网，其特征在于：所述企业内部局域网包括云平台管理控制的云平台内部网络和除云平台内部网络以外的企业办公网络；

所述云平台内部网络中包括每个项目的私网和公共服务网络，所述每个私网中都设置有云路由、研发子网和测试子网，所述云路由和分别连接到研发子网和测试子网，所述云路由还连接到企业办公网络；所述公共服务网络包括企业身份认证服务器、安全控制中心服务器和研发公共服务器；

所述研发子网中有为该私网项目员工创建的能够从企业办公网络或互联网远程连接的虚拟机客户端；所有虚拟机客户端均连接到公共服务网络中的安全控制中心服务器；

所述云平台内部网络还包括管理所有项目的私网中资源的云平台控制节点，所述云平台控制节点分别和所有的私网连接；所述云平台控制节点分别和所有私网中的云路由连接。

2.根据权利要求1所述的一种基于云路由和安全控制中心的电力安全研发网络结构，其特征在于：所述云路由至少包括一个WAN口、两个LAN口和一个控制口，云路由的一个LAN口连接到研发子网，另一个LAN口连接到测试子网，WAN口连接到企业办公网络。

3.根据权利要求1所述的一种基于云路由和安全控制中心的电力安全研发网络结构，其特征在于：所述研发子网中有和该研发子网中的虚拟机客户端连接的研发服务器，测试子网中有和该测试子网中的虚拟机客户端连接的测试服务器。

4.根据权利要求1所述的一种基于云路由和安全控制中心的电力安全研发网络结构，其特征在于：所述虚拟机客户端内安装有监控代理，监控代理连接到公共服务网络中的安全控制中心服务器。

5.根据权利要求1所述的一种基于云路由和安全控制中心的电力安全研发网络结构，其特征在于：所述虚拟机客户端上定制有研发和测试所需的所有工具软件。

Images