【正文】 1 5 1 65 6 7 81 7 1 8 1 9 2 09 1 0 1 1 1 22 1 2 2 2 3 2 4U P L I N K1 2 3 4 5 6 7 8 9 1 0 1 1 1 21 3 1 4 1 5 1 6 1 7 1 8 1 9 2 0 2 1 2 2 2 3 2 4C O LC O LP W RS W I T C H集 線 器R S C S T R R D T D C DT A L K / D A T AT A L KA D S LR S C S T R R D T D C DT A L K / D A T AT A L KA D S LR S C S T R R D T D C DT A L K / D A T AT A L KA D S L網(wǎng) 絡 督 察公 用 計 算 機讀 卡 器公 用 計 算 機讀 卡 器28 。用戶訪問 Inter通過在瀏覽器等工具里設置代理服務器實現(xiàn)。郵件服務器上有二塊網(wǎng)卡，一塊配公網(wǎng) IP連 Inter，一塊配內(nèi)網(wǎng) IP連局域網(wǎng)，總共一個局域網(wǎng)段 ? 需實現(xiàn)功能 – 訪問日志和內(nèi)容記錄 – 用戶上網(wǎng)權限控制 – 帶寬管理 – 郵件攔截 I n t e r n e t局 域 網(wǎng)計 算 機 計 算 機 計 算 機ADSL總 部DDN郵 件 服 務 器23 。 Copyright 2022 Proway All rights reserved 管理方式 管理方式 描述 優(yōu)先級 基于 IP地址 根據(jù)數(shù)據(jù)包的源 IP地址信息確認用戶身份 3 基于 MAC地址 根據(jù)數(shù)據(jù)包的源 IP地址信息查詢得到的 MAC地址信息確認用戶身份 3 本地驗證 根據(jù)驗證通過的用戶信息確認用戶身份 3 第三方驗證 采集其它驗證設備的信息來確認用戶身份 3 禁止訪問 禁止設定范圍內(nèi)的 IP上網(wǎng)，常用于空閑 IP管理 2 免監(jiān)控 對設定范圍內(nèi)的 IP不做任何控制和記錄 1 注：基于 IP地址、基于 MAC地址、本地驗證和第三方驗證的管理 IP范圍段不能重復 20 。 Copyright 2022 Proway All rights reserved 網(wǎng)絡結構 ? 用戶出口的流量和需管理的電腦數(shù)量 ? 網(wǎng)絡督察接入的接口類型 ? 用戶是多網(wǎng)段的還是單網(wǎng)段的 ? 用戶 IP地址是固定的還是動態(tài)分配 ? 局域網(wǎng)核心交換機到 Inter出口部分的網(wǎng)絡結構 ? 郵件服務器系統(tǒng)的安裝位置，郵件系統(tǒng)使用的協(xié)議 ? 用戶上網(wǎng)的路由，是否有多條路徑 ? 是否通過代理服務器上網(wǎng)，使用什么代理協(xié)議 16 。 Copyright 2022 Proway All rights reserved 網(wǎng)橋方式 ? 采用網(wǎng)橋方式的主要優(yōu)點 – 安裝基本不影響原有網(wǎng)絡拓樸結構 – 設備配置簡單 – 完全監(jiān)控網(wǎng)絡進出數(shù)據(jù) ? 采用網(wǎng)橋方式的主要缺點 – 部分防火墻功能不能實現(xiàn) – 設備故障影響業(yè)務 交 換 機I n t e r n e t用 戶服 務 器 服 務 器用 戶網(wǎng) 絡 督 察網(wǎng) 橋網(wǎng) 關12 。 8 。 ? 19”機架必須有足夠的安裝空間，設備安裝后空氣流通循環(huán)通暢。 ? 設備安裝在一個封閉的并頂上裝有風扇的機架的話，注意機架底部的設備之間要保留足夠的通風空間 ，以保證循環(huán)通風。 6 。 C a ta ly s t 6 5 0 9P IX 5 2 05 。 Copyright 2022 Proway All rights reserved 目錄 安裝準備 安裝方式 網(wǎng)絡配置 接入方案 后臺設置 3 。 Copyright 2022 Proway All rights reserved 安裝準備 安裝場地 電源要求 上架要求 4 。 Copyright 2022 Proway All rights reserved 電源要求 ? 在安裝網(wǎng)絡督察前請檢查輸入電源，確保其符合要求并是穩(wěn)定不間斷的輸入源，有必要的話要加裝 UPS等穩(wěn)壓設備。 Copyright 2022 Proway All rights reserved 上架要求 ? 設備上架前需要安裝機架固定吊耳，吊耳在隨機附件內(nèi)。 ? 合理地布放機架隔板會使空氣有效地循環(huán)，加強設備散熱效果。 ? 設備上架時注意不要堵住設備的通風口，安裝在滑動槽軌上時，注意能固定的地方都要固定穩(wěn)妥。 Copyright 2022 Proway All rights reserved 目錄 安裝準備 安裝方式 網(wǎng)絡配置 接入方案 后臺設置 9 。 Copyright 2022 Proway All rights reserved 網(wǎng)關方式 ? 采用網(wǎng)關方式的主要優(yōu)點 – 能實現(xiàn)防火墻所有功能 – 易于遠程維護 – 完全監(jiān)控網(wǎng)絡進出數(shù)據(jù) ? 采用網(wǎng)關方式的主要缺點 – 安裝可能影響原有網(wǎng)絡結構 – 設備配置復雜 – 設備故障影響業(yè)務 交 換 機I n t e r n e t用 戶服 務 器 服 務 器用 戶 網(wǎng) 絡 督 察網(wǎng) 關R S C S T R R D T D C DT A L K / D A T AT A L KA D S L13 。 Copyright 2022 Proway All rights reserved 郵件系統(tǒng)工作原理 L o c a l M a i l S e r v e rM T AM a i l b o xP O P 3S e r v e rI n t e r n e tS M T PR e m o t e M a i l S e r v e rM T AM a i l b o xP O P 3S e r v e rS M T PL o c a l M a i l C l i e n tM a i lF o l d e r sM U AP O P 3C l i e n tR e m o t e M a i l C l i e n tM a i lF o l d e r sM U AP O P 3C l i e n tP O P 3 P O P 3S M T P S M T P①②①17 。 Copyright 2022 Proway All rights reserved 需求一 ? Inter和內(nèi)部局域網(wǎng)通過防火墻隔離，內(nèi)部局域網(wǎng)劃分成多個 VLAN段，用戶計算機的 IP地址都是動態(tài)分配的，郵件服務器在局域網(wǎng)內(nèi) ? 需實現(xiàn)功能 – 訪問日志和內(nèi)容記錄 – 用戶上網(wǎng)權限控制 – 帶寬管理 – 郵件攔截 I n t e r n e t防 火 墻局 域 網(wǎng)V L A N V L A N V L A N郵 件 服 務 器D H C P 服 務 器21 。 Copyright 2022 Proway All rights reserved 方案二 ? 增加一個交換機，將 ADSL和 DDN路由器內(nèi)網(wǎng)接口都連接到交換機上 ? 網(wǎng)絡督察的三個口都做成網(wǎng)橋模式 ? 網(wǎng)絡督察串接在交換機和局域網(wǎng)核心交換機之間 ? 郵件服務器內(nèi)網(wǎng)接口連接到網(wǎng)絡督察 ? 采用基于 IP或 MAC地址管理方式，可以做 IP和 MAC地址綁定 網(wǎng) 絡 督 察I n t e r n e t局 域 網(wǎng)計 算 機 計 算 機 計 算 機ADSL總 部DDN郵 件 服 務 器交 換 機24 。防火墻只有 5個連接許可 ? 需實現(xiàn)功能 – 訪問日志和內(nèi)容記錄 – 用戶上網(wǎng)權限控制 – 帶寬管理 I n t e r n e t防 火 墻局 域 網(wǎng)計 算 機 計 算 機 計 算 機路 由 器代 理 服 務 器25 。 Copyright 2022 Proway All rights reserved 需求五 ? 有二個網(wǎng)絡出口，核心交換機、路由器都是二個，郵件服務器為 Lotus Notes，郵件通過 Mail Relay轉發(fā) ? 需實現(xiàn)功能 – 郵件攔截 防 火 墻I n t e r n e t防 火 墻D M Z F a r mI M S ST r e n dS e r v e r F a r mN o t e s S e r v e rM a i l R e l a y29 。 Copyright 2022 Proway All rights reserved 需求七 ? 每個機房有臺教師機，上有二塊網(wǎng)卡，學生機通過教師機 NAT上網(wǎng)。 Copyright 2022 Proway All rights reserved 需求八 ? 每個學校分別連接到對應的市或區(qū)教委，市或區(qū)教委都有單獨的 Inter出口 ? 需實現(xiàn)功能 – 所有電腦的訪問日志和內(nèi)容記錄 – 用戶上網(wǎng)權限控制 I n t e r n e t市 教 委學 校. . .學 校 學 校區(qū) 教 委學 校. . .學 校 學 校區(qū) 教 委學 校. . .學 校 學 校35 。 Copyright 2022 Proway All rights reserved 登錄 Linux系統(tǒng) ? Host Name欄填設備的 IP地址 ? Port欄填 22 ? Protocol選 SSH 39 。 Copyright 2022 Proway All rights reserved 配置 DNS ? /etc/ 舉例： more /etc/ nameserver nameserver 43 。 44 。 ?iptables 的三個內(nèi)建鏈 ( Builtin Chains ) 分別是 ﹕ INPUT﹑ OUTPUT﹑ 與 FORWARD。 Copyright 2022 Proway All rights reserved OUTPUT 是 local process 產(chǎn)生的封包才會經(jīng)過。 ? PREROUTING 就是在 ROUTING 之前 ﹐ 通常是封包從一個界面進入之后 ﹐尚未交給路由判斷之前的處理 ﹐ 在這里進行 DNAT 的 socket 替換 ? POSTROUTING 則是在路由判斷之后 ﹐ 通常是當封包離開界面之前的處理，在這里進行 SNAT 的 socket 替換。 是 產(chǎn)生的封包才會經(jīng)過。 ? 一定比例的限制條件 ? 抵擋拒絕服務的攻擊 (像是大量 syn)和端口的掃描 ， 而且也限制重復的程序上登入的次數(shù) 。 Copyright 2022 Proway All rights reserved OUTPUT 是 local process 產(chǎn)生的封包才會經(jīng)過。 Copyright 20