【正文】 indow操作系統(tǒng)，這樣便于網(wǎng)絡(luò)管理員進(jìn)行操作。由于公司有大量的顧客以及公司員工要訪問公司web服務(wù)器，我們將通過在核心路由器上配置輪訓(xùn)，以實(shí)現(xiàn)兩臺(tái)web服務(wù)器的負(fù)載均衡。 由于分公司也連接internet，那么內(nèi)部網(wǎng)絡(luò)安全問題仍然不能忽視。分公司人員只有4050人，那么訪問internet占用的流量不多我們建議使用ISA來做分公司的網(wǎng)絡(luò)防火墻。這樣雖說能夠承載的網(wǎng)絡(luò)流量不如硬件防火墻，但能夠滿足分公司的現(xiàn)在以及未來的網(wǎng)絡(luò)需求。 對(duì)于外出的工作人員，他需要了解公司的相關(guān)情況，我們建議通過使用廉價(jià)、方便、快捷的easy VPN實(shí)現(xiàn)外出用戶的遠(yuǎn)程撥入，同時(shí)這樣還能為公司工作人員實(shí)現(xiàn)家庭辦公提供有利的條件。 由于總公司與分公司相距較近，且兩公司之間有大量的實(shí)時(shí)數(shù)據(jù)進(jìn)行傳遞，同時(shí)從安全的角度進(jìn)行考慮，總公司與分公司之間使用專線連接（協(xié)議選擇PPP協(xié)議）是最佳選擇。為保證網(wǎng)路的冗余性如果專線出現(xiàn)問題，我們建議分公司通過IPSEC VPN實(shí)現(xiàn)與總公司的網(wǎng)絡(luò)鏈接。 如上圖所示，整體網(wǎng)絡(luò)可以根據(jù)功能劃分為總部核心網(wǎng)絡(luò)、內(nèi)聯(lián)接入包括辦公網(wǎng)絡(luò)、數(shù)據(jù)中心、分公司接入等，各區(qū)域相對(duì)獨(dú)立，通過核心網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)的交互。各區(qū)域可以各自建立交換網(wǎng)絡(luò)、路由接入、網(wǎng)絡(luò)安全體系，可以有獨(dú)立的安全策略、數(shù)據(jù)流量控制等個(gè)體的特性，而需要和其他區(qū)域的設(shè)備進(jìn)行通訊的時(shí)候，則必須遵守核心網(wǎng)絡(luò)區(qū)的策略。 作為總公司，需要向分公司及總公司內(nèi)的員工進(jìn)行軟件的安全，策略的發(fā)布等。如果通過管理員手動(dòng)設(shè)置的方式進(jìn)行相關(guān)操作，很不現(xiàn)實(shí)，通過域模型可以很方便的解決這個(gè)問題。因此我們建議在總公司設(shè)立一臺(tái)域控制器，以便于對(duì)公司員工的計(jì)算機(jī)進(jìn)行統(tǒng)一的管理。 由于公司員工不僅要上公司內(nèi)部網(wǎng)絡(luò)，同時(shí)還要能夠進(jìn)Internet網(wǎng)絡(luò)，而公司內(nèi)部有自己的DNS服務(wù)器，顯然使用DNS轉(zhuǎn)發(fā)器是一種方便快捷的技術(shù)。 網(wǎng)絡(luò)層次化設(shè)計(jì) 隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和網(wǎng)上應(yīng)用量的增長，分布式的網(wǎng)絡(luò)服務(wù)和交換已經(jīng)移至用戶級(jí)，由此形成了一個(gè)新的、更適應(yīng)現(xiàn)代的高速大型網(wǎng)絡(luò)的分層設(shè)計(jì)模型。這種分級(jí)方法被稱為“多層設(shè)計(jì)”。多層設(shè)計(jì)有以下一些好處：1：多層設(shè)計(jì)有很好的容錯(cuò)功能.2：多層設(shè)計(jì)是模塊化的，網(wǎng)絡(luò)容量可隨著日后網(wǎng)絡(luò)節(jié)點(diǎn)的增加而不斷增大。3：多層網(wǎng)絡(luò)有很大的確定性，因此在運(yùn)行和擴(kuò)展過程中進(jìn)行故障查找和排除非常簡單。4：多層網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)最有效地利用多種第3 層業(yè)務(wù)，包括分段﹑負(fù)載分擔(dān)和故障恢復(fù)等。5：多層網(wǎng)絡(luò)中運(yùn)用智能第3 層業(yè)務(wù)可以大大減少因配置不當(dāng)或故障設(shè)備引起的一般問題。6：多層模式使網(wǎng)絡(luò)的移植更為簡單易行，因?yàn)樗Ａ袅嘶诼酚善骱徒粨Q機(jī)的網(wǎng)絡(luò)原有的尋址方案，對(duì)以往的網(wǎng)絡(luò)有很好的兼容性。7：多層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進(jìn)行很好的隔離。通常pc及無法通過連接多臺(tái)交換機(jī)實(shí)現(xiàn)冗余，但接入層交換機(jī)出現(xiàn)故障，連接此臺(tái)交換機(jī)的pc不能正常運(yùn)行，其它交換機(jī)上的設(shè)備仍能正常工作。9：多層設(shè)計(jì)有很好的冗余性。隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，網(wǎng)絡(luò)的可用性變的越來越重要。 由于分層設(shè)計(jì)的網(wǎng)絡(luò)每臺(tái)接入層交換機(jī)連接兩臺(tái)匯聚層交換機(jī)，每臺(tái)匯聚層交換及連接兩臺(tái)核心層交換機(jī)，借以確保路徑的冗余性。 針對(duì)實(shí)際情況我們可以采用二層結(jié)構(gòu)模型。 二層結(jié)構(gòu)模型劃分核心層、接入層。每個(gè)層次完成不同的功能。核心層 核心層作為整個(gè)網(wǎng)絡(luò)系統(tǒng)的核心。它的功能主要是實(shí)現(xiàn)骨干網(wǎng)絡(luò)之間的優(yōu)化傳輸,核心層一直被認(rèn)為是所有流量的最終承受者和匯聚者，所以對(duì)核心層的設(shè)計(jì)以及網(wǎng)絡(luò)設(shè)備的要求十分嚴(yán)格。核心層設(shè)備將占投資的主要部分，其主要功能是高速、可靠的進(jìn)行數(shù)據(jù)交換。業(yè)務(wù)匯聚層 業(yè)務(wù)匯聚層重點(diǎn)任務(wù)通常是冗余能力、可靠性、為接入層交換機(jī)提供接口和高速的傳輸，同時(shí)進(jìn)行接入層的數(shù)據(jù)流量匯聚，并對(duì)數(shù)據(jù)流量進(jìn)行訪問控制（包括訪問控制列表、VLAN 路由等等）。匯聚層是多臺(tái)接入層交換機(jī)的匯聚點(diǎn)，它必須能夠處理來自接入層設(shè)備的所有通信量，并提供到核心層的上行鏈路，因此匯聚層交換機(jī)與接入層交換機(jī)比較，需要更高的性能，更少的接口和更高的交換速率。接入層 接入層主要任務(wù)是為終端用戶提供足量的接口。因此接入層交換機(jī)具有低成本和高端口密度特性。同時(shí)，接入層是最終用戶與網(wǎng)絡(luò)的接口，它應(yīng)該提供即插即用的接口，同時(shí)應(yīng)該非常易于使用和維護(hù)。主要是進(jìn)行VLAN的劃分、與分布層的連接等等。 核心層設(shè)計(jì) 核心交換機(jī)的作用是盡快地提供所有的區(qū)域間的數(shù)據(jù)交換。我們推薦使用兩臺(tái)Cisco Catalyst 3560交換機(jī)完成此項(xiàng)功能。兩臺(tái)3560交換機(jī)高性能、可靠性、可用性是我們主要考慮的因素。本區(qū)的安全性可以由邊界防火墻提供，如有需要在3560 上面可以部署安全策略，使得核心交換區(qū)的安全性進(jìn)一步地增強(qiáng)。Cisco Catalyst 3560 系列憑借眾多智能服務(wù)將控制擴(kuò)展到網(wǎng)絡(luò)邊緣，其中包括先進(jìn)的服務(wù)質(zhì)量 (QoS)、可預(yù)測(cè)性能、高級(jí)安全性和全面的管理，同時(shí)它還支持圖形化配置。它提供帶集成永續(xù)性的出色控制，將永續(xù)性集成到硬件和軟件中，縮短了網(wǎng)絡(luò)停運(yùn)時(shí)間。Cisco Catalyst 3560 系列的模塊化架構(gòu)、介質(zhì)靈活性和可擴(kuò)展性減少了重復(fù)運(yùn)營開支，提高了投資回報(bào)（ROI），從而在延長部署壽命的同時(shí)降低了擁有成本。 接入層設(shè)計(jì) 對(duì)于公司連接員工的接入層交換機(jī)采用思科的WSC2960 以千兆以太鏈路和匯聚交換機(jī)相連接，并為用戶終端提供10/100M 自適應(yīng)的接入，從而形成千兆為骨干，百兆到桌面的以太網(wǎng)三層結(jié)構(gòu)。辦公系統(tǒng)所需的各種服務(wù)器如WEB服務(wù)器、郵件服務(wù)器、FTP服務(wù)器、域控制器等組成服務(wù)器群，數(shù)據(jù)中心的多種金融系統(tǒng)應(yīng)用服務(wù)器, 連接到匯聚交換機(jī)的千兆模塊上面,因此，內(nèi)部的局域網(wǎng)是采用雙層結(jié)構(gòu)組建。對(duì)于連接服務(wù)器的接入層交換機(jī)，建議使用有較高吞吐量的交換機(jī)二層交換機(jī)來做接入層接入，以滿足當(dāng)前以及未來的網(wǎng)絡(luò)需求，在這里我們建議使用SR2042系列交換機(jī) 內(nèi)聯(lián)接入 內(nèi)聯(lián)接入的作用是用于連接總公司和分公司之間的網(wǎng)絡(luò)。我們推薦總公司是用CISCO 2821路由器、分公司是用2811路由器。CISCO 2821自帶2個(gè)10/100/1000兆自適應(yīng)端口，可以作為連接兩臺(tái)3560系列交換機(jī)是用，是用WIC模塊連接廣域網(wǎng)接口。與相似價(jià)位的前幾代思科路由器相比，Cisco 2800系列的性能提高了五倍、安全性和話音性能提高了十倍、具有全新內(nèi)嵌服務(wù)選項(xiàng)，且大大提高了插槽性能和密度，同時(shí)保持了對(duì)目前Cisco 1700系列和Cisco 2600系列中現(xiàn)有90多種模塊中大多數(shù)模塊的支持，從而提供了極大的性能優(yōu)勢(shì)，它是當(dāng)前CISCO公司唯一種價(jià)格低廉，功能完備的路由器，是做內(nèi)聯(lián)接入的首選路由器。 由于總部網(wǎng)絡(luò)和分部機(jī)房屬于公司的內(nèi)部網(wǎng)絡(luò)的一部分，因此可信度很高；接入時(shí)主要作用是生產(chǎn)運(yùn)營系統(tǒng)的數(shù)據(jù)交換，查詢等等和管理以及監(jiān)控加上CISCO 2811，2821都有自帶的防火墻設(shè)備?？偨Y(jié)以上的原因，內(nèi)聯(lián)路由器與核心交換網(wǎng)絡(luò)間不需要配置額外的防火墻。第4章 路由設(shè)計(jì) 路由協(xié)議選擇 為達(dá)到路由快速收斂、尋址以及方便網(wǎng)絡(luò)管理員管理的目的，我們建議采用動(dòng)態(tài)路由協(xié)議。目前較好的動(dòng)態(tài)路由協(xié)議是OSPF 協(xié)議和EIGRP 協(xié)議。OSPF 以協(xié)議標(biāo)準(zhǔn)化強(qiáng)，支持廠家多，受到廣泛應(yīng)用，而EIGRP 協(xié)議由Cisco 公司發(fā)明，不便于未來網(wǎng)絡(luò)擴(kuò)展，考慮到網(wǎng)絡(luò)的快速收斂和擴(kuò)展性、公開性、投資的保護(hù)等原因，我們?cè)O(shè)計(jì)采用OSPF路由協(xié)議和靜態(tài)路由相結(jié)合的路由方式。OSPF(Open Shortest Path First開放式最短路徑優(yōu)先)是一個(gè)內(nèi)部關(guān)協(xié)議(Interior Gateway Protocol,簡稱IGP)，用于在單一自治系統(tǒng)(autonomous system,AS)內(nèi)決策路由。OSPF的協(xié)議管理距離（AD）是110。優(yōu)點(diǎn)： OSPF收斂速度快：能夠在最短的時(shí)間內(nèi)將路由變化傳遞到整個(gè)治系統(tǒng)。 提出區(qū)域（area）劃分的概念，將自治系統(tǒng)劃分為不同區(qū)域后，通過區(qū)域之間的對(duì)路由信息的摘要，大大減少了需傳遞的路由信息數(shù)量。也使得路由信息不會(huì)隨網(wǎng)絡(luò)規(guī)模的擴(kuò)大而急劇膨脹。 將協(xié)議自身的開銷控制到最小。良好的安全性，ospf支持基于接口的明文及md5 驗(yàn)證。 OSPF適應(yīng)各種規(guī)模的網(wǎng)絡(luò)，最多可達(dá)數(shù)千臺(tái)。OSPF 支持明文以及MD5加密驗(yàn)證，并且提供等價(jià)的負(fù)載均衡功能，如果計(jì)算出到某個(gè)目的站有若干條費(fèi)用相同的路由，OSPF 路由器會(huì)把通信流量均勻地分配給這幾條路由，沿這幾條路由把該分組發(fā)送出去； OSPF對(duì)于網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變化可以迅速地做出反應(yīng)，進(jìn)行相應(yīng)調(diào)整，提供短的收斂期，使路由表盡快穩(wěn)定化，并且與其它路由協(xié)議相比，OSPF能夠劃分多區(qū)域，在對(duì)網(wǎng)絡(luò)拓?fù)渥兓奶幚磉^程中僅需要很少的通信流量；OSPF支持CIDR（無類型域間路由）地址和VLSM(可變長子網(wǎng))。 路由規(guī)劃拓?fù)鋱D IP地址規(guī)劃 IP地址是用來標(biāo)識(shí)網(wǎng)絡(luò)中的一個(gè)節(jié)點(diǎn)。IP 地址空間的分配，要與網(wǎng)絡(luò)層次結(jié)構(gòu)相適應(yīng)，既要有效地利用地址空間，又要便于管理員手動(dòng)配置以及ip地址的擴(kuò)展性和靈活性，同時(shí)能滿足路由協(xié)議的要求，提高路由算法的效率，加快路由變化的收斂速度。我們根據(jù)以下幾個(gè)原則來分配IP 地址：唯一性：一個(gè)IP 網(wǎng)絡(luò)中不能有兩個(gè)主機(jī)采用相同的IP 地址。簡單性：地址分配應(yīng)簡單易于管理，降低網(wǎng)絡(luò)擴(kuò)展的復(fù)雜性，簡化路由表的款項(xiàng)。連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡(luò)中易于進(jìn)行路由總結(jié)(RouteSummarization)，大大縮減路由表，提高路由算法的效率可擴(kuò)展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴(kuò)展時(shí)能保證地址總結(jié)所需的連續(xù)性。以管理、以維護(hù)性：由于網(wǎng)絡(luò)中需要啟用NAT技術(shù)，在進(jìn)行網(wǎng)絡(luò)規(guī)劃是我們認(rèn)為不必要考慮 ip地址浪費(fèi)問題。我們著重考慮的應(yīng)該是網(wǎng)絡(luò)的ip地址配置、子網(wǎng)掩碼配置的方便、簡單、易操作等問題（我們盡可能的使用主網(wǎng)地址）。 第5章 網(wǎng)絡(luò)安全解決方案 網(wǎng)絡(luò)邊界安全威脅分析 網(wǎng)絡(luò)的邊界隔離著不同功能或地域的多個(gè)網(wǎng)絡(luò)區(qū)域，由于職責(zé)和功能的不同，相連網(wǎng)絡(luò)的密級(jí)也不同，這樣的網(wǎng)絡(luò)直接相連，必然存在著安全風(fēng)險(xiǎn)，下面我們將對(duì)公司網(wǎng)絡(luò)就網(wǎng)絡(luò)邊界問題做脆弱性和風(fēng)險(xiǎn)的分析。公司網(wǎng)絡(luò)主要存在的邊界安全風(fēng)險(xiǎn)包括：1:公司總網(wǎng)絡(luò)與各級(jí)單位的連接，可能遭到來自各地的越權(quán)訪問、2:惡意攻擊和計(jì)算機(jī)病毒的入侵；3：惡意軟件或從Internet 下載的黑客程序惡意攻擊內(nèi)部站點(diǎn)，致使網(wǎng)絡(luò)局部或整體癱瘓；4：網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)設(shè)計(jì)也直接影響到網(wǎng)絡(luò)系統(tǒng)的安全性。假如在外部和內(nèi)部網(wǎng)絡(luò)進(jìn)行通信時(shí)，內(nèi)部網(wǎng)絡(luò)的機(jī)器安全就會(huì)受到威脅，同時(shí)也影響在同一網(wǎng)絡(luò)上的許多其他系統(tǒng)。5:內(nèi)部的各個(gè)功能網(wǎng)絡(luò)通過骨干交換相互連接，這樣的話，重要的部門或者專網(wǎng)將遭到來自其他部門的越權(quán)訪問。這些越權(quán)訪問可能包括惡意的攻擊、誤操作等等，但是它們的后果都將導(dǎo)致重要信息的泄漏或者是網(wǎng)絡(luò)的癱瘓。 網(wǎng)絡(luò)內(nèi)部安全威脅分析公司內(nèi)部網(wǎng)絡(luò)的風(fēng)險(xiǎn)分析主要針對(duì)整個(gè)內(nèi)網(wǎng)的安全風(fēng)險(xiǎn)，主要表現(xiàn)為以下幾個(gè)方面：內(nèi)部用戶的非授權(quán)訪問；內(nèi)部的資源也不是對(duì)任何的員工都開放的，也需要有相應(yīng)的訪問權(quán)限。內(nèi)部用戶的非授權(quán)的訪問，更容易造成資源和重要信息的泄漏。內(nèi)部用戶的誤操作；由于內(nèi)部用戶的計(jì)算機(jī)造作的水平參差不齊，對(duì)于應(yīng)用軟件的理解也各不相同，如果一部分軟件沒有相應(yīng)的對(duì)誤操作的防范措施，極容易給服務(wù)系統(tǒng)和其他主機(jī)造成危害。內(nèi)部用戶的惡意攻擊；就網(wǎng)絡(luò)安全來說，據(jù)統(tǒng)計(jì)約有70％左右的攻擊來自內(nèi)部用戶，相比外部攻擊來說，內(nèi)部用戶具有更得天獨(dú)厚的優(yōu)勢(shì)，因此，對(duì)內(nèi)部用戶攻擊的防范也很重要。4:設(shè)備自身安全性也會(huì)直接關(guān)系到各種系統(tǒng)和各種網(wǎng)絡(luò)應(yīng)用的正常運(yùn)轉(zhuǎn)。例如，路由設(shè)備存在路由信息泄漏、交換機(jī)和路由器設(shè)備配置風(fēng)險(xiǎn)等。重要服務(wù)器或操作系統(tǒng)自身存在安全的漏洞，如果管理員沒有及時(shí)的發(fā)現(xiàn)并且進(jìn)行修復(fù)，將會(huì)為網(wǎng)絡(luò)的安全帶來很多不安定的因素。重要服務(wù)器的當(dāng)機(jī)或者重要數(shù)據(jù)的意外丟失，都將會(huì)造成內(nèi)部的業(yè)務(wù)無法正常運(yùn)行。如斷電、硬盤損壞等問題。安全管理的困難，對(duì)于眾多的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)安全設(shè)備，安全策略的配置和安全事件管理的難度很大。8：所謂系統(tǒng)的安全是指整個(gè)網(wǎng)絡(luò)操作系統(tǒng)和網(wǎng)絡(luò)硬件平臺(tái)是否可靠且值得信任。目前恐怕沒有絕對(duì)安全的操作系統(tǒng)可以選擇。因此不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺(tái)，并對(duì)操作系統(tǒng)進(jìn)行安全配置。而且，必須加強(qiáng)登錄過程的認(rèn)證（特別是在到達(dá)服務(wù)器主機(jī)之前的認(rèn)證），確保用戶的合法性；其次應(yīng)該嚴(yán)格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。 管理的安全威脅分析管理是網(wǎng)絡(luò)中安全最最重要的部分。責(zé)權(quán)不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險(xiǎn)。當(dāng)網(wǎng)絡(luò)出現(xiàn)攻擊行為或網(wǎng)絡(luò)受到其它一些安全威脅時(shí)（如內(nèi)部人員的違規(guī)操作等），無法進(jìn)行實(shí)時(shí)的檢測(cè)、監(jiān)控、報(bào)告與預(yù)警。　　建立全新網(wǎng)絡(luò)安全機(jī)制，必須深刻理解網(wǎng)絡(luò)并能提供直接的解決方案。因此，最可行的做法是制定健全的管理制度和嚴(yán)格管理相結(jié)合。保障網(wǎng)絡(luò)的安全運(yùn)行，使其成為一個(gè)具有良好的安全性、可擴(kuò)充性和易管理性的信息網(wǎng)絡(luò)便成為了首要任務(wù)。一旦上述的安全隱患成為事實(shí)，所造成的對(duì)整個(gè)網(wǎng)絡(luò)的損失都是難以估計(jì)的。因此，管理中責(zé)任的劃分建設(shè)是朝陽公司網(wǎng)絡(luò)建設(shè)過程中重要的一環(huán)。 安全產(chǎn)品選型原則 公司網(wǎng)絡(luò)屬于一個(gè)行業(yè)的專用網(wǎng)絡(luò)，因此在安全產(chǎn)品的選型上，必須慎重，選型的原則包括：安全保密產(chǎn)品的接入應(yīng)不明顯影響網(wǎng)絡(luò)系統(tǒng)運(yùn)行效率，并且滿足工作的要求，不影響正常的業(yè)務(wù)；安全保密產(chǎn)品必須滿足上面提出的安全需求，保證整個(gè)公司企業(yè)網(wǎng)絡(luò)的安全性。安全保密產(chǎn)品必須通過國家主管部門指定的測(cè)評(píng)機(jī)構(gòu)的檢測(cè)；安全保密產(chǎn)品必須具備自我保護(hù)能力；安全保密產(chǎn)品必須符合國家和國際上的相關(guān)標(biāo)準(zhǔn)；適用原則。絕對(duì)的安全是不存在的，因此公司必須具有“安全風(fēng)險(xiǎn)”意識(shí)。信息安全產(chǎn)品的安裝不一定意味信息系統(tǒng)不發(fā)生安全事故。所有的安全產(chǎn)品只是降低安全事件發(fā)生的可能性，減小安全事件所造成的損失，提供彌補(bǔ)損失的手段。結(jié)合實(shí)