【正文】 .............................................. 27 基于時(shí)間的訪(fǎng)問(wèn)控制列表的格式 : ................................................................................. 27 ............................................................................. 29 封堵常見(jiàn)病毒端口 .......................................................................................... 29 封堵 P2P 端口 .................................................................................................. 29 總結(jié) ....................................................................................................... 31 參考文獻(xiàn) ............................................................................................... 31 致謝 ....................................................................................................... 32 在 21 世紀(jì)的今天，世界信息化席卷全球，因特網(wǎng)的迅猛發(fā)展不僅帶動(dòng)了信息產(chǎn) 業(yè)和國(guó)民經(jīng)濟(jì)的增長(zhǎng)，也為企業(yè)的發(fā)展帶來(lái)了生機(jī) 勃勃 的 景象 。 企業(yè)規(guī)模的不斷壯大和業(yè)務(wù)量的不斷增 多，原來(lái) 的工作方式已 經(jīng)再也不能滿(mǎn)足現(xiàn)代企業(yè)的 發(fā)展 需要，特別是對(duì)突發(fā)事件的處理能力的 需求。現(xiàn)代企業(yè)如果沒(méi)有信息技術(shù)的支持，就不能稱(chēng)之為現(xiàn)代企業(yè)。 隨著信息技術(shù)的發(fā)展的， 網(wǎng)絡(luò)技術(shù)的不斷成熟， 企業(yè)對(duì)信 息 要求越來(lái)越高 。 當(dāng)今社會(huì)人員流動(dòng)越來(lái)越頻繁，使得管理工作也變的越來(lái)越復(fù)雜。如何管理好企業(yè)內(nèi)部的信息，成為企業(yè)管理中一個(gè)人的問(wèn)題。如果能實(shí)現(xiàn)信息管理的自動(dòng)化，無(wú)疑將給公司帶來(lái)很人的方便。因此，企業(yè)網(wǎng)絡(luò)的建設(shè)是企業(yè)向信息化發(fā)展的必 然選擇。企業(yè)網(wǎng)絡(luò)為企業(yè)的現(xiàn)代化發(fā)展、綜合信息管理和辦公自動(dòng)化等一系列應(yīng)用提供了基礎(chǔ)平臺(tái)。 為了適應(yīng)業(yè)務(wù)的發(fā)展和國(guó)際化的需求，積極參與國(guó)家信 息 化 的 進(jìn)程，提高管理水平，發(fā)展全新的形象， 某 公司準(zhǔn)備 組建 一個(gè)現(xiàn)代化的 企業(yè)網(wǎng)絡(luò)，實(shí)現(xiàn)信息資源 的共享、協(xié)作和通訊，并和下屬 各個(gè)部門(mén) 進(jìn)行 互聯(lián)。 在此基礎(chǔ) 上， 開(kāi)發(fā)建設(shè)現(xiàn)代化的企業(yè)應(yīng)用系統(tǒng)，實(shí)現(xiàn) 智 能型、信息化、快節(jié)奏、高效率的管理模式。 本文從企業(yè)網(wǎng)絡(luò)的需求開(kāi)始分析，根據(jù)現(xiàn)階段 CISCO 公司主流網(wǎng)絡(luò)設(shè)備進(jìn)行選材， 結(jié)合中小型企業(yè)的實(shí)際需求，舉例分析、設(shè)計(jì)、配置、模擬組建出一個(gè)典型的中小 型企業(yè)網(wǎng)絡(luò)。規(guī)劃出最適用于該公司網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，建設(shè)一個(gè)合理的網(wǎng)絡(luò)設(shè)計(jì)方案。 背景分析 目前， 在中國(guó)中小企業(yè)占到全國(guó)工業(yè)企業(yè)的 97%以上， 已經(jīng)成為 中國(guó) 企業(yè)的主要組成部分 。在 競(jìng)爭(zhēng)激烈 的市場(chǎng)環(huán)境下，許多中小型企業(yè)都在追求高效的管理與溝通方法，發(fā)展跨地區(qū)、跨國(guó)業(yè)務(wù)，促進(jìn)客戶(hù)服務(wù)，增強(qiáng)企業(yè)的市場(chǎng)競(jìng)爭(zhēng)力。特別在 當(dāng) 今信息化的現(xiàn)代社會(huì)，企業(yè)的運(yùn)作模式也發(fā)生了根本性變化。建設(shè)企業(yè)網(wǎng)絡(luò)來(lái)提高企業(yè)運(yùn)作效率的做法越來(lái)越普及。所以近年來(lái)，許多中小型企業(yè)都建立了自己 的網(wǎng)絡(luò)，但是，由于許多中小企業(yè)的決策者對(duì)網(wǎng)絡(luò)的管理 及應(yīng)用，在認(rèn)識(shí)上存在著 一定的局限 性 ，以及現(xiàn)有企業(yè)條件和信息技術(shù)力量的局限，往往會(huì)在 使用 網(wǎng) 絡(luò) ，尤其是在如何管理好企業(yè)的網(wǎng)絡(luò)、挖掘和整合 好 企業(yè)網(wǎng)絡(luò)資源 的優(yōu)勢(shì)上， 還存有許多不盡 人意的地方，致使不少中小企業(yè)的網(wǎng)絡(luò)系統(tǒng)，從建立網(wǎng)絡(luò)，到應(yīng)用網(wǎng)絡(luò)， 再到 管理網(wǎng)絡(luò)，缺乏一 定的 科學(xué)性、有序化和規(guī)范化的發(fā)展態(tài)勢(shì)，甚至直接影響乃至制約著企業(yè)核心業(yè)務(wù)的持續(xù)發(fā)展。所以一個(gè)良好的中小型網(wǎng)絡(luò)成為了企業(yè)發(fā)展好壞的決定 性因 素。 某企業(yè)是一家生產(chǎn)研發(fā)型企業(yè)，為了加快信息化建設(shè)，將組建一個(gè)以辦公自 動(dòng)化、電子商務(wù)、業(yè)務(wù)綜合管理、多媒體視頻會(huì)議、遠(yuǎn)程通訊、信息發(fā)布及查詢(xún)?yōu)楹诵?，以現(xiàn)代網(wǎng)絡(luò)技術(shù)為依托，技術(shù)先進(jìn)、擴(kuò)展性強(qiáng) 的企業(yè)內(nèi)部網(wǎng)絡(luò) ，將企業(yè)的各部門(mén)辦公室、多媒體會(huì)議室、PC 終端設(shè)備和應(yīng)用系統(tǒng)通過(guò)網(wǎng)絡(luò)連接起來(lái)，實(shí)現(xiàn)內(nèi)、外溝通的現(xiàn)代化計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)。 應(yīng)用 需求 （ 1） Web 服務(wù)器 隨著企業(yè)業(yè)務(wù)的不斷拓展，企業(yè)在業(yè)界的影響力越來(lái)越大，越來(lái)越多的商業(yè)合作伙伴和客戶(hù)需要從互聯(lián)網(wǎng)上了解集團(tuán)的信息，并希望通過(guò)互聯(lián)網(wǎng)進(jìn)行商務(wù)合作。為了進(jìn)一步提高企業(yè)知名度并在互聯(lián)網(wǎng)發(fā)布集團(tuán)及子公司的商業(yè)信息，企業(yè)需要在自己的網(wǎng)絡(luò)中建 立 WEB服務(wù)器。 （ 2） WWW 服務(wù)器 眾所周知， WWW服務(wù)器主要功能是提供網(wǎng)上信息瀏覽服務(wù)，是 Inter 目前發(fā)展最快和目前用的最廣泛的服務(wù)。 （ 3） FTP 服務(wù)器 為了實(shí)現(xiàn)企業(yè)內(nèi)部的文件資源的存儲(chǔ)、管理和轉(zhuǎn)發(fā)，企業(yè)計(jì)劃采用兩種方式管理文件資源，總部及各子公司設(shè)立自己的文件服務(wù)器、上項(xiàng)工作由各單位的系統(tǒng)管理員自行完成。另外，在企業(yè)生產(chǎn)區(qū)建立自己的 FTP 服務(wù)器，此項(xiàng)工作包含在本項(xiàng)目中，由工程實(shí)施單位完成。 FTP 服務(wù)的建立要求具備足夠的存儲(chǔ)空間用于存儲(chǔ)各單位的文檔資料及應(yīng)用軟件并能夠?qū)崿F(xiàn)利用 FTP客戶(hù)端軟件及 WEB 瀏覽器訪(fǎng)問(wèn)。 （ 4） 郵件服務(wù)器 隨著企業(yè)規(guī)模的不斷擴(kuò)大，企業(yè)內(nèi)部的信息交流變得越來(lái)越重要，企業(yè)迫切的需要建立自己內(nèi)部的消息傳遞平臺(tái)，用于讓員工之間方便的傳輸各種文件、數(shù)據(jù)和其他消息。企業(yè)計(jì)劃搭建郵件服務(wù)器實(shí)現(xiàn)企業(yè)內(nèi)部的消息傳遞平臺(tái)，需要在企業(yè)生產(chǎn)區(qū)建立郵件服務(wù)器，允許所有員工進(jìn)行收發(fā)電子郵件。通過(guò)企業(yè)的郵件服務(wù)器，員工還可以和外部的用戶(hù)之間收發(fā)電 子郵件。 （ 5） DNS 服務(wù)器 計(jì)算機(jī)網(wǎng)絡(luò)間的通信首先必須由 DNS 將域名解析為 IP 地址，為了公司內(nèi)部網(wǎng)絡(luò)之間能夠通信， DNS 可以為員工訪(fǎng)問(wèn)內(nèi)部網(wǎng)絡(luò)提供域名解析， 同時(shí)也提高了網(wǎng)絡(luò)訪(fǎng)問(wèn)的速度和準(zhǔn)確度。 （ 6） 文件服務(wù)器 企業(yè)內(nèi)部需要大量數(shù)據(jù)文件進(jìn)行交換，且 各部門(mén)的資料訪(fǎng)問(wèn)權(quán)限 各不相 同， 有一個(gè) 文件服務(wù)器 不僅可以提供大容量的存儲(chǔ)空間，還可以設(shè)置不同的訪(fǎng)問(wèn)權(quán)限，企業(yè)內(nèi)部的一些機(jī)密文件會(huì)更加安全。 安全 需求 傳統(tǒng)企業(yè)網(wǎng)絡(luò)的安全措施主要是通過(guò)部署防火墻、 IDS 、殺毒軟件以及配合交換機(jī)或路由器的 ACL 來(lái)實(shí)現(xiàn)對(duì)于病毒和黑客攻擊的防御，而本文主要通過(guò)介紹 ACL 功能 和 開(kāi)發(fā)應(yīng)用來(lái)探討信息網(wǎng)絡(luò)安全中利用交換機(jī) 或路由器 的訪(fǎng)問(wèn)控制列表 (ACL)來(lái)構(gòu)建計(jì)算機(jī)網(wǎng)絡(luò)安全體系的一種方法。 網(wǎng)絡(luò)可擴(kuò)展需求 網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)應(yīng)具有可擴(kuò)展性即網(wǎng)絡(luò)聯(lián)結(jié)必須在系統(tǒng)結(jié)構(gòu)、系統(tǒng)容量與處理能力、物理接連、產(chǎn)品支持等方面具有可擴(kuò)充與升級(jí)換代的可能，采用的產(chǎn)品要遵循通用的工業(yè)標(biāo)準(zhǔn)，以便不同的設(shè)備能方便靈活地 接 入網(wǎng) 絡(luò) 并滿(mǎn)足系統(tǒng)規(guī)模擴(kuò)充的要求。 為了使所實(shí)現(xiàn)系統(tǒng)能夠在應(yīng)用發(fā)生變化的情 況下保護(hù)原有的開(kāi)發(fā)投資，在設(shè)計(jì)系統(tǒng)時(shí)，應(yīng)將系統(tǒng)按功能做成模塊化 ，可根據(jù)需要增加和刪除功能模塊。 實(shí)現(xiàn)目標(biāo) 某一家 生產(chǎn)研發(fā)型企業(yè) 分為生產(chǎn)區(qū)和辦公區(qū)兩個(gè)區(qū)域，現(xiàn)在要對(duì)這家企業(yè)的網(wǎng)絡(luò)進(jìn)行組建。企業(yè)的生產(chǎn)區(qū)有會(huì)議室、 員工 宿舍樓和車(chē)間等需要 進(jìn) 行 網(wǎng)絡(luò)布線(xiàn)；辦公區(qū)有多個(gè)部門(mén)，分別是經(jīng)理部、財(cái)務(wù)部、銷(xiāo)售部、客戶(hù)部、售后服務(wù)部。 要求實(shí)現(xiàn)經(jīng)理部可以訪(fǎng)問(wèn)財(cái)務(wù)部，而其他部門(mén)不能訪(fǎng)問(wèn)財(cái)務(wù)部， 財(cái)務(wù)部能夠訪(fǎng)問(wèn)其他部門(mén)。 各個(gè)部門(mén)間可以進(jìn)行 相互 通信。部門(mén)和部門(mén)之間用不同的 VLAN 劃分。 員工在上班期間不能上 進(jìn)行聊天，下班后就可以。只容許 網(wǎng)段的用戶(hù)在周末訪(fǎng)問(wèn) FTP 服務(wù)器，并下載 FTP 資源，其他時(shí)間段不能下載該 FTP 資源。 交換機(jī)選型 中小企業(yè)網(wǎng)絡(luò)通信量不大，并且 網(wǎng)絡(luò)應(yīng)用不是非常復(fù)雜，所以接入層均采用二層固 定端口交換機(jī)，匯聚層采用三 層模塊化交換機(jī)，考慮到對(duì)網(wǎng)絡(luò)接入和網(wǎng)絡(luò)安全的管理，所有交換機(jī)全部采用可網(wǎng)管交換機(jī)。交換機(jī)選型時(shí)，應(yīng)該遵循以下原則 : 接入 層 交換機(jī)全部采用可網(wǎng)管交換機(jī)，實(shí)現(xiàn)對(duì)每臺(tái)接入計(jì)算機(jī)的控制，實(shí)現(xiàn) VLAN 的劃分，確保最大限度的網(wǎng)絡(luò)訪(fǎng)問(wèn)安全。 可以選擇 CISCO 2950 系列 智能以太網(wǎng)交換機(jī) 。這一系列的交換機(jī) 是一個(gè)全新的、固定配置的獨(dú)立設(shè)備系列，提供桌面快速以太 網(wǎng)和 10/100/1000千兆以太網(wǎng)連接。 由于 CISCO 2950 已經(jīng)停產(chǎn)，我們可以選擇 CISCO 2960 系列交換機(jī) 代替 ，當(dāng)前報(bào)價(jià)為每臺(tái) 3750 元。 圖 311 Cisco Catalyst 2960 系列交換機(jī) 匯聚 層 交換機(jī)采用擁有千兆位端口的可網(wǎng)管交換機(jī)， 實(shí)現(xiàn) VLAN 間的快速轉(zhuǎn)發(fā)， 實(shí)現(xiàn)與核心交換機(jī)的高速連接， 并借助訪(fǎng)問(wèn)控制列表抓制計(jì)算機(jī)接入和網(wǎng)絡(luò)服務(wù) ， 避免可能產(chǎn)生的網(wǎng)絡(luò)瓶頸。 可以選擇 CISCO 3560E 系列的交換機(jī)。 CISCO 3560E 系列的交換機(jī)具有很好的易用性 、 可擴(kuò)展性和很高的 IP 路由功能，可以提供千兆的以太網(wǎng)速度和智能服務(wù)，確保網(wǎng)絡(luò)的順暢運(yùn)行。 如今網(wǎng)絡(luò)上報(bào)價(jià)為 萬(wàn)元。 圖 312 Cisco Catalyst 3560E 系列接入和匯聚交換機(jī) 路由器選型 思科 1841 路由器采用模塊化架構(gòu)設(shè)計(jì)，適用 于 中小型企業(yè)，提供了業(yè)界范圍最廣的安全連接選項(xiàng)以及可用性和可靠性 的 特性。 思科 1841 路由器專(zhuān)為安全數(shù)據(jù)連接設(shè)計(jì)，與前幾代思科 1700 系列路由器相比，提供了五倍以上的性能提高，經(jīng)由 Cisco IOS 軟件安全鏡像支持基硬件的集成加密，能夠大大提高了接口卡性能和密度。 通過(guò)提供集成服務(wù)、出色模塊化密度和高性能，思科 1841 路由器為中小型企業(yè)、小型企業(yè)分支機(jī)構(gòu)和服務(wù)供應(yīng)商客戶(hù)邊緣提供了針 對(duì)多個(gè)應(yīng)用的安全性、多功能性、可擴(kuò)展性和 靈活性。思科 1841 路由器為客戶(hù)提供了業(yè)界靈活性、安全性和可適應(yīng)性最高的基礎(chǔ)設(shè)施，可滿(mǎn)足現(xiàn)在及未來(lái)企業(yè)對(duì)最高投資回報(bào)的需要。 當(dāng)前價(jià)位為 每臺(tái) 3700 元 。 圖 32 Cisco 1841 系列路由器 服務(wù)器選型 在選擇服務(wù)器時(shí)，不僅要看當(dāng)前的性能，還要看生產(chǎn)廠(chǎng)商的服務(wù)能力。這種能力包括兩個(gè)方面，一方面是基本的安裝和調(diào)試能力，另一方面是開(kāi)發(fā)和升級(jí)能力，后一種能力是最為重要的，企業(yè)系統(tǒng)的每一次升級(jí)換代都可能面臨著產(chǎn)品的升級(jí)后功能的增減。如果廠(chǎng)商有升級(jí)能力，企業(yè)的每一 次升級(jí)都有相應(yīng)的保障，相反，就會(huì)給企業(yè)造成很大的浪費(fèi)和經(jīng)濟(jì)損失。 服務(wù)器是系統(tǒng)中至關(guān)重要的核心設(shè)備，其作用是為各類(lèi)應(yīng)用提供硬件運(yùn)行平臺(tái)。對(duì)服務(wù)器的選擇不僅僅是滿(mǎn)足當(dāng)前已開(kāi)展的各項(xiàng)業(yè)務(wù)需要，更要著眼 于 未來(lái)。對(duì)網(wǎng)絡(luò)服務(wù)器的選擇，首先應(yīng)從系統(tǒng)性能入手，通過(guò)客觀(guān)的分析比較，確定一款或者一系列具有令人滿(mǎn)意的主頻處理速度和 I/0 吞吐量的服務(wù)器。產(chǎn)品質(zhì)量要有保證，嚴(yán)格執(zhí)行國(guó)際質(zhì)量認(rèn)證體系，確定產(chǎn)品穩(wěn)定可靠。由十各項(xiàng)業(yè)務(wù)屬十對(duì)外開(kāi)放的，因此作為集中放置數(shù)據(jù)載體的服務(wù)器系統(tǒng)，一旦出現(xiàn)數(shù)據(jù)丟失或者差錯(cuò)將給用戶(hù)造成重大經(jīng)濟(jì)損失和 極壞影響，因此在服務(wù)器選型和系統(tǒng)配置時(shí)，應(yīng)該充分考慮到系統(tǒng)可靠性在今后系統(tǒng)運(yùn)行時(shí)的重要地位。 戴爾 PowerEdge T310 是一款塔式四核的服務(wù)器。其 CPU 頻率可達(dá) ,智能加速主頻為 ，內(nèi)存容量為 4GB， DDR3 型號(hào)的，內(nèi)存 插槽數(shù)量 為 6 個(gè)，允許擴(kuò)充的最大 內(nèi)存容量為 32GB。硬盤(pán)容量為 1TB，允許擴(kuò)充的最大容量為 4TB。 具有 擴(kuò)展槽 ： 2PCIE G2 x8 插槽（一個(gè)具有 x16 接口） ， 1PCIE G2 x4 插槽（具有 x8 接口） ， 2PCIE G2 x1 插槽 ?？蓴U(kuò)展性強(qiáng)，符合中小型企業(yè)網(wǎng)絡(luò)服務(wù)器的選型。當(dāng)前價(jià)位為每臺(tái) 7800 元，性?xún)r(jià)比高。 圖 33 戴爾 PowerEdge T310 系列服務(wù)器 無(wú)線(xiàn) AP 選型 TLWA501G 是 TPLINK 公司旗下的一款高性?xún)r(jià)比的無(wú)線(xiàn) AP ,提供全中文 Web 配置界面，可以通過(guò) Web 瀏覽器方便的對(duì) TLWA501G 進(jìn)行訪(fǎng)問(wèn)和控制，配置直觀(guān)、簡(jiǎn)單、快捷。還可以通過(guò) Web 界面對(duì) TLWAS501G+進(jìn)行在線(xiàn) 軟件升級(jí)，以適應(yīng)將來(lái)更高層次和更新要求。 這款 AP 在市場(chǎng)上報(bào)價(jià)約 320 元，價(jià)位也比較適合中小型企業(yè)使用。 圖 34 TLWA501G 系列無(wú)線(xiàn) AP 集線(xiàn)器選型 集線(xiàn)器 BLi