【正文】 ability, good expansibility and usability and have the work can be management easy maintenance and system platform, with high efficiency, low cost, high speed way of improving the pany39。以“靠品質(zhì)生存，憑信心發(fā)展，以質(zhì)量競爭，拿 效果證明”為宗旨來接受客戶的考驗。我們公司曾與青島海爾集團、中國移動通信 公司 等 進行 過 精誠合作。信息化浪潮、網(wǎng)絡(luò)革命不斷沖擊著社會的發(fā)展，人們逐漸意識到信息的重要意義，許多企業(yè)和個人紛紛建立了自己的網(wǎng)站。它的注冊資金 200 萬，企業(yè)法人代表李董事長。 總部里有 1000 位 員工，但是每個分部公司的員工大約有 100 位 人員需要上網(wǎng)。 4 1 4 需求分析 以 Inter為代表的信息技術(shù)的發(fā)展不僅直接牽動著企業(yè)科技的創(chuàng)新和生產(chǎn)力的提高，也逐漸成為提高企業(yè)競爭力的重要力量。由于總部是各個信息的來源，它是數(shù)據(jù)的匯聚中心，所以他的 安全是我們必須考慮到。 冗余備份： 在總部采用高端路由器做冗余備份，分支機構(gòu)采用中低端路由器做接入。 另 外，公司采用 AD（域管理），即通過域控制器來管理域中的計算機。 第二章 網(wǎng)絡(luò)總體建設(shè)目標(biāo) 網(wǎng)絡(luò)建設(shè)目標(biāo) 為了更好的開展公司的工作，加強和各公司之間的溝通和交流， 形成一個全局范圍互聯(lián)互通的網(wǎng)絡(luò)平臺。 .網(wǎng)絡(luò)及系統(tǒng)建設(shè)內(nèi)容及要求 根據(jù)公司中心機房的網(wǎng)絡(luò)情況，我們把整個網(wǎng)絡(luò)分為內(nèi)部交換網(wǎng)絡(luò)設(shè)計、網(wǎng)絡(luò)出口設(shè)計，網(wǎng)絡(luò)安全設(shè)計幾大部分。 對于總公司與分公司（兩者之間的距離較近）之間的通信我們采用專用的線路（使用廣域網(wǎng)連接的 PPP協(xié)議）進行數(shù)據(jù)通信。 對于邊界網(wǎng)絡(luò)接入網(wǎng)絡(luò)（與合作伙伴、分支機構(gòu)以及 Inter 接入通稱為邊界網(wǎng)絡(luò)），網(wǎng)絡(luò)的安全性將是一個需要考慮的非常重要的因素。 7 1 7 作為一家優(yōu)秀的系統(tǒng)集成商，向用戶提供的不僅僅是設(shè)備，而是整套的技術(shù)與服務(wù)。 3：安全性 在當(dāng)今這樣社會是一個信息社會的時代，信息的安全性將這接影響到企業(yè)的綜合效益。 4：易操作以管理性 在保證網(wǎng)絡(luò)各方面性能的同時，也要注意網(wǎng)絡(luò)管理的易操作﹑以管理性。因此，要保證網(wǎng)絡(luò)具有較好的可擴張性。 7：容錯性 不能因某臺設(shè)備的故障而影響到整個主干網(wǎng)絡(luò)的正常運行；盡量做到任意一條鏈路的中斷不能使得主干網(wǎng)絡(luò)的任何部分中斷工作。在通過 Cisco Catalyst 3560 設(shè)置 vtp，劃分 vlan，有效地控制了兩個子網(wǎng)的安全。以總部為核心網(wǎng)絡(luò)，內(nèi)連接入 包括辦公網(wǎng)絡(luò)、數(shù)據(jù)中心、分公司接入等，9 1 9 各區(qū)域相對獨立，通過核心網(wǎng)絡(luò)進行數(shù)據(jù)的交互。 網(wǎng)絡(luò)層次化設(shè)計 在瞬息萬變的市場上，網(wǎng)絡(luò)應(yīng)用可以幫助企業(yè)決策者 運籌帷幄 ，充分利用各種企業(yè)資源，優(yōu)化企業(yè)資源配置。利用分層網(wǎng)絡(luò)可以方便地實現(xiàn)冗余，從而大幅提高可用性。 針對實際情況我們可以采用分層結(jié)構(gòu)模型，即三層結(jié)構(gòu)模型。能夠迅速的轉(zhuǎn)發(fā)大量的數(shù)據(jù)。核心層一直被認為是所有流量的最終承受者和匯聚者，所以對核心層的設(shè)計要求十分的嚴(yán)格。 Cisco Catalyst3560 系列交換機是一個固定配置的企業(yè)級的交換機系列。 接入層設(shè)計 在核心層和匯聚層的設(shè)計中主要考慮的是網(wǎng)絡(luò)性能和功能性要高，那么11 1 11 我們在接入層設(shè)計上主張使用性能價格比高的設(shè)備。 內(nèi)聯(lián)接入 內(nèi)聯(lián)接入的作用是用于連接南京分公司和北京辦公網(wǎng)絡(luò)。 ；接入時主要作用是生產(chǎn)運營系統(tǒng)的數(shù)據(jù)交換，查詢等等和管理以及監(jiān)控。而除了 DR/BDR以外發(fā)送的 OSPF 包的目標(biāo)地址為 ,這個地址叫 AllDRouters. NBMA 網(wǎng)絡(luò) ： 比如 ,Frame Relay,和 ATM,不具備廣播的能力 ,因此鄰居要人工來指定 ,在這樣的網(wǎng)絡(luò)上要選舉 DR 和 BDR,OSPF包采用 unicast的方式 下面是 Eigrp與 OSPF的區(qū)別： Eigrp是 Cisco的專用，而 OSPF則是通用協(xié)議。 14 1 14 Eigrp的路徑度量是復(fù)合型， OSPF則是 cost型的。 EIGRP(增強的內(nèi)部網(wǎng)關(guān)路由選擇協(xié)議 )，可以使路由器交換信息比使用早先的 網(wǎng)絡(luò)協(xié)議 更加有效。與 RIP相對， OSPF是鏈路狀態(tài) 路由協(xié)議 ，而 RIP是距離 向量 路由協(xié)議 。但 RIPv2的跳數(shù)限制以及慢收斂使它仍然不適用于大型網(wǎng)絡(luò) 所以 相比 RIP而言， OSPF更適合用于大型網(wǎng)絡(luò) : 沒有跳數(shù)的限制 ， 支持可變長子網(wǎng)掩碼 (VLSM) 使用組播發(fā)送鏈路狀態(tài)更新，在鏈路狀態(tài)變化時使用觸發(fā)更新，提高了帶寬的利用率 ， 收斂速度快 ， 具有認證功 能。 Ip 的分配原則： IP 地址是 IP 網(wǎng)絡(luò)中數(shù)據(jù)傳輸?shù)囊罁?jù)，它標(biāo)識了 IP 網(wǎng)絡(luò)中的一個連接，一臺主機可以有多個 IP 地址。 根據(jù)用途和安全性級別的不同， IP 地址還可以大致分為兩類：公共地址和私有地址。由于有這種唯一的地址，才保證了用戶在連 網(wǎng)的計算機上操作時，能夠高效而且方便地從千千萬萬臺計算機中選出自己所需的對象來。在 RFC1884 中，規(guī) 定的標(biāo)準(zhǔn)語法建議把 IPv6 地址的 128 位（ 16 個字節(jié)）寫成 8 個 16 位的無符號整數(shù)，每個整數(shù)用四個十六進制位表示，這些數(shù)之間用冒號（：）分開 Ip 地址的規(guī)劃表格： 17 1 17 第五 章 網(wǎng)絡(luò)安全解決方案 網(wǎng)絡(luò)邊界安全威脅分析 18 1 18 為了解決資源的共享而建立了網(wǎng)絡(luò) ，然而 安全卻成了問題 ，網(wǎng)絡(luò)的邊界隔離著不同功能或地域的多個網(wǎng)絡(luò)區(qū)域，由于職責(zé)和功能的不同，相互連接的網(wǎng)絡(luò)的安全級別也不盡相同，此網(wǎng)絡(luò)也必然存在著安全風(fēng)險，下面我們將對公司網(wǎng)絡(luò)就網(wǎng)絡(luò)邊界問題做脆弱性和風(fēng)險的分析。 下面我們分析如何防護邊界？ 首先建立城墻，把城內(nèi)與外界分割開來，阻斷其與外界的所有聯(lián)系，然后再修建幾座城門，作為進出的檢查關(guān)卡，監(jiān)控進出 的所有人員與車輛，是安全的第一種方法；為了防止入侵者的偷襲，再在外部挖出一條護城河，讓敵人的行動暴露在寬闊的、可看見的空間里，為了通行，在河上架起吊橋，把路的使用主動權(quán)把握在自己的手中，控制通路的關(guān)閉時間是安全的第二種方法。 防火墻的安全設(shè)計原理來自于包過濾與應(yīng)用代理技術(shù)，兩邊是連接不同網(wǎng)絡(luò)的接口，中間是訪問控制列表 ACL，數(shù)據(jù)流要經(jīng)過 ACL的過19 1 19 濾才能通過。防火墻的缺點是：不能對應(yīng)用層識別，面對隱藏在應(yīng)用中的病毒、木馬都好無辦法。 網(wǎng)閘的安全思路來自于 “不 同時連接 ”。 這樣邊界的安全可以得到較好的保證。內(nèi)網(wǎng)安全威脅主要源于企業(yè)內(nèi)部。因為它們將弱化的桌面操作系統(tǒng)置于企業(yè)防火墻的防護之外。 自動跟蹤的安全策略 ， 智能的自動執(zhí)行實時跟蹤的安全策略是有效地實現(xiàn)網(wǎng)絡(luò)安全實踐的關(guān)鍵。總之，要做到確保每天的所有的活動都遵循安全策略。必定找出重要的網(wǎng)絡(luò)服務(wù)器 (例如實時跟蹤客戶的服務(wù)器 )并對他們進行限制管理。將訪問點置于邊界防火墻之外，并允許用戶通過 VPN技術(shù)進行訪問?？煽康陌踩珱Q策 ， 在技術(shù)上，采用安全交換機、重要數(shù)據(jù)的備份、使用代理網(wǎng)關(guān)、確保操作系統(tǒng)的安全、使用主機防護系統(tǒng)和入侵檢 測系統(tǒng)等等措施也不可缺少。信息安全產(chǎn)品的安裝不一定意味信息系統(tǒng)不發(fā)生安全事故。安全產(chǎn)品只要為企業(yè)提供足夠的手段應(yīng)對主要的安全威脅，將可能的損失減小到可以接受的范圍之內(nèi)，就可以了。 適用性與先進性相結(jié)合原則：不同品牌的產(chǎn)品價格差異較大，因此選擇時不能只看品 牌或追求高價，也不能只看價錢低的，應(yīng)該根據(jù)應(yīng)用的實際情況，22 1 22 選擇性能價格比高，既要滿足目前的需要，又能適應(yīng)未來幾年網(wǎng)絡(luò)發(fā)展的產(chǎn)品。 ?；诮粨Q機的虛擬局域網(wǎng)能夠為局域網(wǎng)解決沖突域、廣播域、帶寬問題。在這個 AS 中，所有的 OSPF 路由器都維護一個相同的描述這個 AS 結(jié)構(gòu)的數(shù)據(jù)庫，該數(shù)據(jù)庫中存放的是路由域中相應(yīng)鏈路的狀態(tài)信息， OSPF 路由器正是通過這個數(shù)據(jù)庫計算出其 OSPF路由表的。這中增加帶寬的方法在當(dāng)單一交換機和節(jié)點之間連接不能滿足負荷時是比較有效的。 SpanningTree協(xié)議 生成樹協(xié)議是交換式以太網(wǎng)中的重要概念和技術(shù)，該協(xié)議的目的是在實現(xiàn)24 1 24 交換機之間的冗余連接的同時，避免網(wǎng)絡(luò)環(huán)路的出現(xiàn)，實現(xiàn)網(wǎng)絡(luò)的高可靠 性。 使用路徑值則即可以聯(lián)相同的交換機與可以聯(lián)不同的交換機。 所謂的 PPP（ PointtoPoint Protocol 點到點協(xié)議） 協(xié)議就 是為在同等單元之間傳輸數(shù)據(jù)包這樣的簡單鏈路設(shè)計的鏈路層協(xié)議。 PPP 中完成上述工作的組件是鏈路控制協(xié)議 LCP（ Link Control Protocol， LCP）。如對于 IP 提供 IPCP接口，對于 IPX 提供 IPXCP 接口，對于 APPLETALK提供 ATCP接口等。 26 1 26 使用 AD 域管理器 域控制器中包含了由這個域的賬戶、密碼、屬于這個域的計算機等信息構(gòu)成的數(shù)據(jù)庫。 要把一臺電腦加入域，僅僅使它和服務(wù)器在網(wǎng)上鄰居中能夠相互“看”到是遠遠不夠的，必須要由網(wǎng)絡(luò)管理員進行相應(yīng)的設(shè)置，把這臺電腦加入到域中。所有用戶只要登入到域，在域內(nèi)均能進行身份驗證，管理人員可以較好的管理計算機資源，管理網(wǎng)絡(luò)的成本大大降低。 使用漫游賬戶和文件夾重定向技術(shù)，個人賬戶的工作文件及數(shù)據(jù)等可以存儲在服務(wù)器上，統(tǒng)一進行備份、管理，用戶的數(shù)據(jù)更加安全、有保障。 方便用戶使用各種資源。即使資源位置改變，用戶也不需任何操作，只需管理 員修改鏈接指向并設(shè)置相關(guān)權(quán)限即可，用戶甚至不會意識到資源位置的改變，不用像從前那樣，必須記住哪些資源在哪臺服務(wù)器上。 Cisco3800系列集成多業(yè)務(wù)路由器建立在思科 20年創(chuàng)新技術(shù)的基礎(chǔ)之上，通過為客戶提供無與倫比的網(wǎng)絡(luò)靈活性、性能和智能性，鞏固了思科在多服務(wù)路由領(lǐng)域的領(lǐng)先地位。 Cisco 3800 系列的集成化服務(wù)路由架構(gòu)構(gòu)建于強大的 Cisco 3700系列路由器的基礎(chǔ)之上，它內(nèi)嵌并集成了安全和話音處理以及先進服務(wù)，以迅速部署新應(yīng)用，包括應(yīng)用層功能、智能網(wǎng)絡(luò)服務(wù)和融合通信。通過將多個獨立設(shè)備的功能集成入單一小巧設(shè)備之中， Cisco 3800系列大幅降低了管理遠程網(wǎng)絡(luò)的成本和復(fù)雜度。 Cisco IOS軟件集成了強大的防火墻功能和入侵檢測功能，并可以提供先進的安全功能，例如基于應(yīng)用的狀態(tài)過濾；針對單個用戶的動態(tài)身份認證和授權(quán)；防范網(wǎng)絡(luò)攻擊； Java阻塞；30 1 30 實時警報 Cisco 3725作為全新的模塊化路由器，可實現(xiàn)新的電子商務(wù)應(yīng)用在集成化分支機構(gòu)訪問平臺中的靈活、可擴展的部署。 Cisco Catalyst 2960 Cisco Catalyst174?，F(xiàn)有的解決方案如運行在應(yīng)用層的基于代理的防火墻具有很多限制條件，包括性能低、需要昂貴的通用平臺、使用開放系統(tǒng)如 UNIX時本身具有安全風(fēng)險等。只有存在已確定連接關(guān)系的正確的連接時，訪問才被允許通過 Cisco Secure PIX 防火墻。而專用的 Cisco Secure PIX 防火墻是為了實現(xiàn)安全、高性能 的保護而專門設(shè)計。微軟最初發(fā)行了兩個 32 位的版本：專業(yè)版（ windows Professional Edition）和家庭版（ windows xp Home Edition）， 64 位專業(yè)版于 2020 年 3 月28 日發(fā)布。市面上所采用的盜版均以Professional Edition 的 VOL 版本為基礎(chǔ)進行修改。這種特性減少了將數(shù)據(jù)載入虛擬內(nèi)存，以及查找讀取數(shù)據(jù)寫入數(shù)據(jù)存儲設(shè)備所花費的時間，因此可使應(yīng)用程序運行地等快、更高效。 F ( 40 to 85176。 ATM,4和 8端口 T1/E1 NM1 端口 DS3/E3 NM。 ISDN/通道 ,1 和 2端口 T1/E1通道化 /ISDN Pri NM4 和 8端口 T1/E1 ISDN BRI NMISDN BRI WIC。 F (0 到 40176。最高可支持 16BT 的虛擬內(nèi)存。 在這個剛剛建立的公司中我們采用的企業(yè)版本即專業(yè)版，所謂的 windows XP Professional Edition 是面向企業(yè)、開發(fā)人員的版本。它的零售版于 2020年 10月 25 日上市。 另外，實時嵌入式系統(tǒng)還能進一步提高 Cisco Secure PIX 防火墻系列的安全性。靜31 1 31 態(tài)安全性雖然比較簡單，但與包過濾相比，功能卻更加強勁；另外，與應(yīng)用層代理防火墻相比，其性能更高，擴展性更強。 Catalyst 2960 系列軟件提供了集成安全特性，包括網(wǎng)絡(luò)準(zhǔn)入控制 (NAC)，以及先進的服務(wù)質(zhì)量 (QoS)和永續(xù)性，為網(wǎng)絡(luò)邊緣提供了智能服務(wù) 。 Cisco 3725的部署可幫助客戶更快地降低電子商務(wù)應(yīng)用的成本并從中受益，降低客戶基礎(chǔ)設(shè)施的總擁有成本，并可改進網(wǎng)絡(luò)利用率和增強網(wǎng)絡(luò)的競爭能力