云南电网为南方电网的全资子公司，负责云南省电力的输送和销售工作，承担着全省电网的统一规划、统一建设、统一管理、统一调度。输电网络覆盖全省16个州(市)，并承担西电东送和向越南、老挝送电的任务。

　　近年来，国家对企业信息化建设的要求不断提高，特别是对与企业的安全、内控提出了更高的要求，相继出台了《国家信息化领导小组关于加强信息安全保障工作的意见》和《信息系统安全等级保护基本要求》等相关的政策和规范，要求企业加强内部的安全管理和控制。

　　【客户挑战】

　　云南电网网络准入系统目前覆盖公司总部、昆明地区分子公司和16个地市供电局局域网，且涵盖地市供电局县公司局域网络。之前采用策略集中管理，通过部署在省公司广域网边缘的准入控制网关，实现对省公司、17个供电局互联网访问的准入控制，包括对终端用户的身份准入、及桌面终端的补丁管理和桌面管理的功能。但全网统一VPN管理实施后，在广域网核心上的策略路由将失效，导致准入系统失效。

　　【华为方案】

　　云南电网信息中心根据国家及南网相关制度及规范要求，在现有安全措施基础上，针对性的加强安全保障能力，确保全年网络与信息系统安全稳定运行。

　　2016年，华为对现网进行深入调研后，提出将网络准入控制网关下沉到各地市17个供电局(玉溪、曲靖、楚雄、红河、大理、昭通、普洱、文山、怒江、丽江、临沧、版纳、德宏、保山、迪庆、瑞丽)，在各供电局城域网上部署两套设备(主备模式)，17个供电局需要34套网络准入控制网关设备。在原有准入控制系统基础上，各地州新增部署准入控制网关，与本地部署的准入认证SC服务器联动实现对地州本地业务服务器的保护，即地州用户访问本地的业务服务器资源也需要进行准入认证。

　　同时，通过旁路部署，整个方案部署简单，网络环境适应性好，可以完全不改变原有网络拓扑。同时可在交换机上设置逃生通道，进一步提升整体网络可靠性。

　　方案部署 ：

　　核心层交换机旁路部署SACG网关，通过策略路由将用户的上行流量引流到SACG网关进行控制。 网关支持双机热备。

　　方案优势

　　部署SACG网关，认证点少，同时提供客户端认证和无客户端认证，方便管理维护。

　　部署简单，网络环境适应性好，可以完全不改变原有网络拓扑。 可在交换机上设置逃生通道，进一步提升整体网络可靠性。

　　部署后的认证流、数据流如下：

　　1、 SC部署在主机区。

　　2、 在城域网核心路由器旁挂准入控制网关防火墙同时在核心路由器上开启策略路由，保证用户通过认证之后才能访问服务器。

　　3、 为了保证系统的稳定性，网络准入控制网关防火墙需要实现双机热备。在网络准入控制网关防火墙上开启逃生机制，当认证服务器宕机时，先保证业务优先，这种情况下是免认证的。

　　4、 各园区网内部(如主机区内不同用户主机)不需要做认证就能互相访问。园区之间(如办公区访问生产区)需要做认证才能互相访问。

　　【客户收益】

　　通过主机安全防护建设和优化项目，可以加强云南电网信息网络的整体防护水平，确保云南电网各供电局的业务系统安全稳定运行，提供稳定、高效的业务系统服务，提升安全基线符合度，保障终端安全防护满足要求，避免因广域网之间流量访问无准入控制而造成的安全事故。

　　同时，能够及时发现内网攻击入侵行为，避免遭受安全攻击而瘫痪，保护其信息不受威胁，减少敏感信息泄漏隐患，避免了业务中断及黑客攻击可能带来的巨大经济及声誉损失。通过本工程的实施，提升了信息系统的安全防护水平，可以为云南电网带来积极的经济效益。

　　云南电网信息中心主管表示：“通过实施华为主机安全防护方案，加强了云南电网信息网络的整体防护水平，避免因广域网之间流量访问无准入控制而造成的安全事故。”