CN209233863U - 一种网络访问隔离系统 - Google Patents

Abstract

本实用新型实施例公开了一种网络访问隔离系统，包括：路由边缘设备以及至少一个交换机；其中，所述路由边缘设备属于第一网络，所述第一网络具备互联网出口，所述交换机属于第二网络，所述第二网络不具备互联网出口；其中，所述路由边缘设备与所述交换机有线连接，且所述路由边缘设备和所述交换机具备多协议标签交换MPLS功能。本实用新型实施例的技术方案实现在不增加物理链路成本且不改变网络整体架构的前提下，用户便捷接入并使用各专用的互联网，同时做到互联网访问与企业内网的安全隔离。

Description

一种网络访问隔离系统

技术领域

本实用新型实施例涉及通信网络技术领域，尤其涉及一种网络访问隔离系统。

背景技术

MPLS(Multi-Protocol Label Switching，多协议标签交换)是一种用于快速数据包交换和路由的体系，它为网络数据流量提供了目标、路由地址、转发和交换等能力，广泛应用于企业内网中。

目前，对于跨大楼的MPLS企业内网来说，如果只有一个大楼拥有互联网出口，则用户在访问互联网时，只能通过企业内网访问拥有互联网出口所在楼宇。同时，在保证企业内网安全的同时，在互联网与企业内网之间必须设置互联网专用代理。这样，对于没有互联网出口的楼宇的用户或者访客在使用互联网时，必须接入企业内网并且拥有互联网代理的账号。这就给临时来访的外部访客在使用网络方面造成不便。同时，部分对互联网访问的应用，特别是手持移动设备的APP(Application，应用程序)，不支持互联网代理的设置，也无法通过企业内网直接访问。现有的技术主要是通过使用不同的物理链路，将企业内网的数据和访问互联网出口的数据完全物理隔离，以实现互联网数据不进入内网，而直接到达互联网出口位置。但这种技术方案同时会造成高昂的物理链路的租用费，而且费用会随着楼宇数量的增加而增加，从而加重企业的成本。

实用新型内容

本实用新型实施例提供一种网络访问隔离系统，实现在不增加物理链路成本且不改变网络整体架构的前提下，用户便捷接入并使用各专用的互联网，同时做到互联网访问与企业内网的安全隔离。

本实用新型实施例提供了一种网络访问隔离系统，包括：路由边缘设备以及至少一个交换机；

其中，所述路由边缘设备属于第一网络，所述第一网络具备互联网出口，所述交换机属于第二网络，所述第二网络不具备互联网出口；

其中，所述路由边缘设备与所述交换机有线连接，且所述路由边缘设备和所述交换机具备多协议标签交换MPLS功能。

可选的，所述交换机配置第一虚拟专用网络VPN；所述第一VPN与所述第一网络和所述第二网络中的VPN不导通。

可选的，所述路由边缘设备配置所述第一VPN以及第二VPN；其中，所述第一VPN用于存放所述互联网出口接口，以及所述路由边缘设备互联核心交换机的第一路由地址，所述第二VPN用于存放认证服务器、管理平台以及第一接入控制器的接口和虚拟路由冗余协议VRRP地址，以及所述路由边缘设备互联所述核心交换机的第二路由地址；所述第一VPN与所述第二VPN通过边界网管协议BGP导通；

其中，所述第一VPN配置至少一个用户网段，所述第二VPN配置至少一个用户网段。

可选的，所述路由边缘设备和所述核心交换机之间存在第一邻居关系和第二邻居关系，所述第一邻居关系与所述第一路由地址对应，所述第二邻居关系与所述第二路由地址对应。

可选的，所述路由边缘设备中的第一VPN包括缺省路由，用于接收所述交换机发送的数据包。

可选的，所述系统还包括第二接入控制器，所述第二接入控制器与所述交换机有线连接；

所述交换机与所述第二接入控制器还用于配置所述用户网段以及用户无线网关。

可选的，所述系统还包括出口防火墙以及出口安全设备，

所述出口安全设备与所述互联网出口连接，用于对所述互联网出口流出的数据进行过滤；

所述出口防火墙与所述路由边缘设备和所述互联网出口连接，用于对流向所述路由边缘设备的数据进行过滤；

所述出口安全设备还用于对所述用户网段进行过滤，以及提供设定安全策略。

本实用新型实施例提供了一种网络访问隔离系统，该系统包括路由边缘设备以及至少一个交换机；其中，路由边缘设备属于具备互联网出口的第一网络，交换机属于不具备互联网出口的第二网络，路由边缘设备与交换机有线连接，且均具备MPLS功能，能够解决现有企业内网通过增加物理链路实现网络隔离所引发的增加企业成本的问题，实现在不增加物理链路成本且不改变网络整体架构的前提下，用户便捷接入并使用各专用的互联网，同时做到互联网访问与企业内网的安全隔离。

附图说明

图1是本实用新型实施例一提供的一种网络访问隔离系统的示意图；

图2是本实用新型实施例一提供一种的网络访问隔离系统的具体网络结构示意图。

具体实施方式

下面结合附图和实施例对本实用新型作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本实用新型，而非对本实用新型的限定。

实施例一

图1是本实用新型实施例一提供的一种网络访问隔离系统的示意图，如图1所示，该网络访问隔离系统的结构包括：路由边缘设备10以及至少一个交换机20；

其中，路由边缘设备10属于第一网络，第一网络具备互联网出口30，交换机属于20第二网络，所述第二网络不具备互联网出口；

其中，路由边缘设备10与交换机20有线连接，且路由边缘设备10和交换机20具备MPLS功能。

其中，路由边缘设备10可以是综合承载多业务的，位于网络外围(边缘)的路由设备。路由边缘设备10可以采用路由器或交换机等网络设备，示例性的，路由边缘设备10可以采用华为S6720系列网络交换机等。交换机20主要用于为第二网络提供信息交互功能。示例性的，交换机20可以采用华为S12708或H3C S12518等交换机设备。互联网出口30可以为第一网络提供互联网的访问功能。

在本实用新型实施例中，路由边缘设备10可以直接采用第一网络中的其中一个具备信息交互功能的网络设备，无需额外添加其他的网络设备。而交换机20同样是第二网络中原有的网络设备。另外，在本实用新型实施例中，第二网络可以有多个，也即，第一网络可以为多个第二网络提供互联网访问以及网络访问隔离功能。

本实用新型实施例中网络访问隔离系统的工作原理是：路由边缘设备10所在的第一网络具备互联网出口，且路由边缘设备10与交换机20都具备MPLS功能。可以通过对路由边缘设备10与交换机20进行软件配置，无需加入额外的物理链路即可实现用户便捷接入并使用各专用的互联网，同时做到与企业内网的安全隔离。

本实用新型实施例提供了一种网络访问隔离系统，该系统包括路由边缘设备以及至少一个交换机；其中，路由边缘设备属于具备互联网出口的第一网络，交换机属于不具备互联网出口的第二网络，路由边缘设备与交换机有线连接，且均具备MPLS功能，能够解决现有企业内网通过增加物理链路实现网络隔离所引发的增加企业成本的问题，实现在不增加物理链路成本且不改变网络整体架构的前提下，用户便捷接入并使用各专用的互联网，同时做到互联网访问与企业内网的安全隔离。

在本实用新型的一个可选实施例中，交换机20配置第一VPN(Virtual PrivateNetwork，虚拟专用网络)；第一VPN与第一网络和第二网络中的VPN不导通。

在本实用新型实施例中，为了在不增加物理链路的前提下使得第二网络可以具备接入外网的功能，可以在交换机20中新增第一VPN。同时，为了实现网络访问隔离，第一VPN与第一网络和第二网络中的任何VPN之间均不导通。

在本实用新型的一个可选实施例中，路由边缘设备10配置第一VPN以及第二VPN；其中，第一VPN用于存放互联网出口30接口，以及路由边缘设备10互联核心交换机的第一路由地址，第二VPN用于存放认证服务器、管理平台以及第一接入控制器的接口和VRRP(Virtual Router Redundancy Protocol，虚拟路由冗余协议)地址，以及路由边缘设备10互联核心交换机的第二路由地址；第一VPN与第二VPN通过BGP(Border Gateway Protocol，边界网管协议)导通；其中，第一VPN配置至少一个用户网段，第二VPN配置至少一个用户网段。

其中，核心交换机为第一网络中的核心交换机。

在本实用新型实施例中，还可以在路由边缘设备10中配置第二VPN。第一VPN可以存放互联网出口30接口信息，以及路由边缘设备10互联核心交换机的第一路由地址信息，第二VPN用于存放认证服务器、管理平台以及第一接入控制器的接口和VRRP地址，以及路由边缘设备10互联核心交换机的第二路由地址。其中，第一路由地址和第二路由地址不同。具体地址信息可以依据实际需求进行设定，本实用新型实施例对此并不进行限制。同时，认证服务器、管理平台以及第一接入控制器的型号也可以依据实际需求进行选择，本实用新型实施例对此同样不进行限制。在第一VPN和第二VPN中，均可以配置至少一个用户网段，用于用户可以通过第一网络或第二网络接入互联网。

在本实用新型的一个可选实施例中，路由边缘设备10和核心交换机之间存在第一邻居关系和第二邻居关系，第一邻居关系与第一路由地址对应，第二邻居关系与第二路由地址对应。

相应的，为了实现公共数据链路的共享，在路由边缘设备10和核心交换机之间需要建立不同的邻居关系。由于本实用新型实施例中存在第一VPN和第二VPN，所以要对应建立第一邻居关系和第二邻居关系。当有更多VPN存在时，可以对应建立更多的邻居关系。在本实用新型实施例中，第一邻居关系与第一路由地址对应，第二邻居关系与第二路由地址对应。

在本实用新型的一个可选实施例中，路由边缘设备10中的第一VPN包括缺省路由，用于接收交换机20发送的数据包。

在本实用新型实施例中，可以在路由边缘设备10中的第一VPN发布一条缺省路由。该缺省路由的作用可以是接收各交换机20所发送的数据包，以使路由边缘设备10根据接收的数据包进一步确定其目标地址。

在本实用新型的一个可选实施例中，网络访问隔离系统还可以包括第二接入控制器，第二接入控制器与交换机有线连接；

交换机与第二接入控制器还用于配置用户网段以及用户无线网关。

在本实用新型实施例中，交换机还可以设置相应的接入控制器，用于对管理无线网络的部署和配置。相应的，为了实现用户在第二网络中可以接入互联网，可以在交换机和第二接入控制器中新增第一VPN以及第二VPN中配置的用户网段。

在本实用新型的一个可选实施例中，系统还可以包括出口防火墙以及出口安全设备，

出口安全设备与互联网出口30连接，用于对互联网出口30流出的数据进行过滤；

出口防火墙与路由边缘设备10和互联网出口30连接，用于对流向路由边缘设备10的数据进行过滤；

出口安全设备还用于对用户网段进行过滤，以及提供设定安全策略。

其中，出口安全设备主要用于互联网出口流出的数据进行过滤，从而为企业内网提供第一道安全保障。出口安全设备包括但不限于各类防火墙设备或IPS(IntrusionPrevention System，入侵预防系统)设备等。设定安全策略可以是根据实际需求所制定的，用于保证互联网数据的安全性以及预防各种网络攻击的策略，本实用新型并不对设定安全策略的具体内容进行限定。

在本实用新型实施例中，为了保证企业内网的安全性，可以在互联网出口处设置相应的出口防火墙和出口安全设备。出口安全设备与互联网出口30相连接，用于对互联网出口30流出的数据以及用户网段进行过滤，并提供设定安全策略。出口防火墙可以与路由边缘设备10以及互联网出口30相连接，主要用于对流向路由边缘设备10的数据进行过滤，出口防火墙和出口安全设备可以为企业内网提供更多层的安全保障。

图2是本实用新型实施例一提供一种的网络访问隔离系统的具体网络结构示意图。在一个具体的例子中，如图2所示，假设总公司的企业内网40(即相当于第一网络)已经具备完整的访客接入、公司员工接入以及移动端接入等功能，但是A大楼的企业内网50(即相当于第二网络)和B大楼的企业内网60(即相当于第二网络)尚不具备直接接入外网的功能。在不改变网络架构及不增加物理链路的前提下，可以通过对总公司、A大楼和B大楼现有网络设备的基础上进行配置，使得A大楼和B大楼的企业内网具备直接接入外网的功能，同时能够与企业内网做到有效隔离。

如图2所示，总公司的企业内网40可以包括路由边缘设备10和互联网出口30，路由边缘设备10可以采用两台互联的无线汇聚S6720设备。A大楼的企业内网50中的交换机20可以采用S12518和无线汇聚S5500等型号的交换机，B大楼的企业内网60中的交换机20可以采用S12708型号的交换机。

进一步的，在总公司的企业内网40中，还可以包括两个出口路由器410，如Cisco3925E，用于分别负责接入不同的宽带网络，如电信200M和联通600M两种类型的宽带网络；用于端口扩展的交换机420，如Outside internet3750，负载均衡430，如Linkpro-2008，同样用于端口扩展的交换机440，如Internet3750-vlan500，防火墙450，如Nokia:IP565。在防火墙450后还可以再增加两个用于端口扩展的交换机460，如思科4948系列交换机。在交换机460后还可以连接其他类型的负载均衡或代理设备470，在交换机460后还可以接入网络应用管理设备480，如网康提供的网络应用管理设备。相应的，在网络应用管理设备480后还可以分别接入QoS(Quality of Service，服务质量)设备490和防火墙4A0，在QoS设备490后，同样可以接入用于端口扩展的交换机400，如Proxy-5700设备，以及内网防火墙4B0，同时，在路由边缘设备10后，还可以接入核心交换机4C0，如CE 12812系列交换机。另外，路由边缘设备10还可以与管理平台4D0(如Esight设备)、第一接入控制器4E0(如AC-WX6605系列接入控制器)和认证服务器4F0相连，以及与多个POE(Power Over Ethernet，有源以太网)交换机4G0相连(如华为5720系列交换机)。最后，为了保证企业内网的安全性，还可以在出口路由器410后接入出口安全设备4H0，出口安全设备4H0可以是防DDoS(Distributed Denial of Service，分布式拒绝服务)攻击的设备，如华赛USG9310设备，在出口安全设备4H0上可以新增用户网段的过滤以及设定安全策略。

进一步的，在A大楼的企业内网50中，交换机20可以采用S12708系列交换机，在交换机20后还可以接入交换机设备510，如无线汇聚S5500，在交换机设备510后可以接入第二接入控制器520(如Aruba系列接入控制器)以及运营级接入交换机530。

进一步的，在B大楼的企业内网60中，交换机20可以采用S12518系列交换机，交换机20还可以接入运营级接入交换机530。

进一步的，总公司的企业内网与A大楼的企业内网50和B大楼的企业内网60之间还可以设置路由器70和路由器80，路由器70可以用于负责数据接入和分离，路由器80可以负责全网路由的分配和发布。

需要说明的是，在本实用新型实施例中，任何交换机、防火墙、路由器、服务器、网络应用管理设备或控制器等网络设备可以相同，也可以不同，也可以替换成其他型号的对应设备，本实用新型实施例对此并不进行限制。

具体的，在A大楼和B大楼新增专用于直接访问Internet的无线专用VPN：WLAN_CNOOC_SVR，该VPN不与现网任何VPN进行导通，且可以发布一条缺省路由。将A大楼和B大楼新增的两个用户网段CNOOC-INTERNET和CNOOC-VIP放在无线VPN WLAN_CNOOC_SVR中。调整总公司现有的无线汇聚S6720作为MCE(Mutiple custom edge，多角色用户边缘)设备，并在无线汇聚S6720上部署两个VPN，即GX_CNOOC_SVR和WLAN_CNOOC_SVR。在总公司无线汇聚S6720设备上将认证服务器、管理平台、接入控制器接口放入到GX_CNOOC_SVR中，互联网出口放在WLAN_CNOOC_SVR中，使用BGP本地导通两个VPN的直连接口，以便WLAN_CNOOC_SVR能够访问到认证服务器和管理平台等设备，并且使用静态路由回指用户网段路由。

如果A大楼的企业内网中存在现有设备S12518和无线汇聚S5500，B大楼的企业内网中存在现有设备S12708，则在设备S12518、无线汇聚S5500和S12708中部署无线VPNWLAN_CNOOC_SVR。同时，在总公司的两个VPN，即GX_CNOOC_SVR和WLAN_CNOOC_SVR中可以进行如下规划：(1)将与无线汇聚S6720连接的HUAWEI无线Esight(即管理平台)、接入控制器与无线汇聚S6720的VRRP地址、无线汇聚S6720OSPF 20互联S12708地址规划至GX_CNOOC_SVR中；(2)将无线汇聚S6720互联互联网出口接口、无线汇聚S6720OSPF 30互联S12708地址规划至WLAN_CNOOC_SVR中；(3)对无线SSID(Service Set Identifier，服务集标识)，即用户网段，进行配置：将CNOOC-EMPLOYEE用户网段规划至GX_CNOOC_SVR中，并将CNOOC-INTERNET、CNOOC-VIP以及CNOOC-GUEST等用户网段地址规划至WLAN_CNOOC_SVR中。其中，CNOOC-EMPLOYEE和CNOOC-GUEST用户网段为总公司现有的用户网段。

接下来，可以在总公司无线汇聚S6720与核心交换机12812之间建立OSPF20、30邻居关系，A大楼中的S12518与1#2#无线汇聚S5500和3#无线汇聚S5500(即两个无线汇聚S5500设备)之间建立OSPF邻居关系，并在总公司无线汇聚S6720的WLAN_CNOOC_SVR VPN中发布一条缺省路由。总公司无线汇聚S6720可以通过BGP进程将WLAN_CNOOC_SVR与GX_CNOOC_SVR两个VPN之间的直连路由进行导通。同时，在朝阳门总公司无线AC-WX6605设备上将现有CNOOC-INTERNET、CNOOC-GUEST两个SSID的用户网段迁移到无线汇聚S6720上。最后，可以在B大楼S12708、接入控制器以及A大楼无线汇聚S5500、接入控制器设备上部署新增无线SSID：CNOOC-INTERNET和CNOOC-VIP，以及用户无线网关配置。同时，还需要在总公司互联网出口防火墙设备上新增A大楼和B大楼无线用户网段的回指路由以及NAT(NetworkAddress Translation，网络地址转换)配置。

注意，上述仅为本实用新型的较佳实施例及所运用技术原理。本领域技术人员会理解，本实用新型不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本实用新型的保护范围。因此，虽然通过以上实施例对本实用新型进行了较为详细的说明，但是本实用新型不仅仅限于以上实施例，在不脱离本实用新型构思的情况下，还可以包括更多其他等效实施例，而本实用新型的范围由所附的权利要求范围决定。

Claims (7)

1.一种网络访问隔离系统，其特征在于，包括：路由边缘设备以及至少一个交换机；

其中，所述路由边缘设备属于第一网络，所述第一网络具备互联网出口，所述交换机属于第二网络，所述第二网络不具备互联网出口；

其中，所述路由边缘设备与所述交换机有线连接，且所述路由边缘设备和所述交换机具备多协议标签交换MPLS功能；

其中，所述交换机配置第一虚拟专用网络VPN。

2.根据权利要求1所述的系统，其特征在于，所述第一VPN与所述第一网络和所述第二网络中的VPN不导通。

3.根据权利要求2所述的系统，其特征在于，所述路由边缘设备配置所述第一VPN以及第二VPN；其中，所述第一VPN用于存放所述互联网出口接口，以及所述路由边缘设备互联核心交换机的第一路由地址，所述第二VPN用于存放认证服务器、管理平台以及第一接入控制器的接口和虚拟路由冗余协议VRRP地址，以及所述路由边缘设备互联所述核心交换机的第二路由地址；所述第一VPN与所述第二VPN通过边界网管协议BGP导通；

其中，所述第一VPN配置至少一个用户网段，所述第二VPN配置至少一个用户网段。

4.根据权利要求3所述的系统，其特征在于，所述路由边缘设备和所述核心交换机之间存在第一邻居关系和第二邻居关系，所述第一邻居关系与所述第一路由地址对应，所述第二邻居关系与所述第二路由地址对应。

5.根据权利要求4所述的系统，其特征在于，所述路由边缘设备中的第一VPN包括缺省路由，用于接收所述交换机发送的数据包。

6.根据权利要求5所述的系统，其特征在于，还包括第二接入控制器，所述第二接入控制器与所述交换机有线连接；

所述交换机与所述第二接入控制器还用于配置所述用户网段以及用户无线网关。

7.根据权利要求3所述的系统，其特征在于，还包括出口防火墙以及出口安全设备；

所述出口安全设备与所述互联网出口连接，用于对所述互联网出口流出的数据进行过滤；

所述出口防火墙与所述路由边缘设备和所述互联网出口连接，用于对流向所述路由边缘设备的数据进行过滤；

所述出口安全设备还用于对所述用户网段进行过滤，以及提供设定安全策略。