区域边界的访问控制防护可以通过利用各区域边界交换机设置ACL(访问控制列表)实现,但该方法不便于维护管理,并且对于访问控制的粒度把控的效果较差。从便于管理维护及安全性的角度考虑,通过在关键网络区域边界部署防火墙,实现对区域边界的访问控制。访问控制措施满足以下功能需求:
a)应在网络边界部署访问控制设备,启用访问控制功能;
b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;
c)应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;
d)应在会话处于非活跃一定时间或会话结束后终止网络连接;
e)应限制网络最大流量数及网络连接数;
f)重要网段应采取技术手段防止地址欺骗;
各安全区域针对自身业务特点设定访问控制策略。