校园网防火墙分布

Question

在设计校园网络时，您将如何分配防火墙

我设计了一个有 2 个校区的大学网络。他们使用租用线路连接两个校区。互联网边缘有防火墙，每个 WAN 边缘都有防火墙。每个网络边缘都有冗余交换机，因此有冗余防火墙。有几个防火墙保护我们的敏感数据。最令人怀疑的是，每栋楼都有防火墙。

我认为这可能太过分了。在每个建筑物中安装防火墙是否重要，因为有人可以从建筑物内访问网络？

据我了解，每个建筑物中的防火墙不会阻止某人与同一建筑物中的另一台计算机混淆。但是它会阻止他们将虚假流量发送到我们的网络核心。

我认为在 Internet 边缘或我们的敏感数据上是否需要防火墙没有任何争论，但我是否需要在每个建筑物和 WAN 边缘安装防火墙？

Answer 1

防火墙的放置与网络拓扑无关，而更多地与安全资产位置和风险向量有关。如上所述，您的问题不足以推荐展示位置。

无论如何，我们需要了解和计划的风险向量：

• 互联网连接
• 无线局域网；你确实说过大学，所以这将是 J. Random Student 将在你的网络上使用他们自己的设备的地方。
• 可公开访问的硬连线网络插孔（计算机实验室、图书馆，也可能是教室）
• 宿舍网络

您将需要面向 Internet、宿舍和 WLAN 连接的强大防御。WLAN 将被证明是有问题的，因为学生可能需要增强对大学资源的访问权限，否则这些资源不会暴露在 Internet 上。宿舍连接实际上可能与大学的普通 Internet 连接完全分开，但可能会有一个交叉连接（或基于子网的直通），供学生使用类似于 WLAN 网络的大学资源。可以通过基于端口的访问控制锁定对特定 MAC 地址的访问来保护网络插孔的重用，无需防火墙。

此外，您需要了解需要隔离日常访问的安全资产。这些你已经知道了，但是...

• 中央ERP系统
• 任何涉及支付基础设施（PCI-DSS 的东西）
• 核心行政服务

这些足够大，它们很可能在自己的安全区域内。

哪里需要防火墙？这取决于很多。您可以使用简单的路由器配置做很多事情（如果建筑物彼此无法访问，则无需将它们彼此隔离）。基于整体风险图而不仅仅是网络拓扑图，智能地执行此操作。