【正文】 ability, good expansibility and usability and have the work can be management easy maintenance and system platform, with high efficiency, low cost, high speed way of improving the pany39。以“靠品質(zhì)生存，憑信心發(fā)展，以質(zhì)量競(jìng)爭(zhēng)，拿 效果證明”為宗旨來接受客戶的考驗(yàn)。我們公司曾與青島海爾集團(tuán)、中國移動(dòng)通信 公司 等 進(jìn)行 過 精誠合作。信息化浪潮、網(wǎng)絡(luò)革命不斷沖擊著社會(huì)的發(fā)展，人們逐漸意識(shí)到信息的重要意義，許多企業(yè)和個(gè)人紛紛建立了自己的網(wǎng)站。它的注冊(cè)資金 200 萬，企業(yè)法人代表李董事長。 總部里有 1000 位 員工，但是每個(gè)分部公司的員工大約有 100 位 人員需要上網(wǎng)。 4 1 4 需求分析 以 Inter為代表的信息技術(shù)的發(fā)展不僅直接牽動(dòng)著企業(yè)科技的創(chuàng)新和生產(chǎn)力的提高，也逐漸成為提高企業(yè)競(jìng)爭(zhēng)力的重要力量。由于總部是各個(gè)信息的來源，它是數(shù)據(jù)的匯聚中心，所以他的 安全是我們必須考慮到。 冗余備份： 在總部采用高端路由器做冗余備份，分支機(jī)構(gòu)采用中低端路由器做接入。 另 外，公司采用 AD（域管理），即通過域控制器來管理域中的計(jì)算機(jī)。 第二章 網(wǎng)絡(luò)總體建設(shè)目標(biāo) 網(wǎng)絡(luò)建設(shè)目標(biāo) 為了更好的開展公司的工作，加強(qiáng)和各公司之間的溝通和交流， 形成一個(gè)全局范圍互聯(lián)互通的網(wǎng)絡(luò)平臺(tái)。 .網(wǎng)絡(luò)及系統(tǒng)建設(shè)內(nèi)容及要求 根據(jù)公司中心機(jī)房的網(wǎng)絡(luò)情況，我們把整個(gè)網(wǎng)絡(luò)分為內(nèi)部交換網(wǎng)絡(luò)設(shè)計(jì)、網(wǎng)絡(luò)出口設(shè)計(jì)，網(wǎng)絡(luò)安全設(shè)計(jì)幾大部分。 對(duì)于總公司與分公司（兩者之間的距離較近）之間的通信我們采用專用的線路（使用廣域網(wǎng)連接的 PPP協(xié)議）進(jìn)行數(shù)據(jù)通信。 對(duì)于邊界網(wǎng)絡(luò)接入網(wǎng)絡(luò)（與合作伙伴、分支機(jī)構(gòu)以及 Inter 接入通稱為邊界網(wǎng)絡(luò)），網(wǎng)絡(luò)的安全性將是一個(gè)需要考慮的非常重要的因素。 7 1 7 作為一家優(yōu)秀的系統(tǒng)集成商，向用戶提供的不僅僅是設(shè)備，而是整套的技術(shù)與服務(wù)。 3：安全性 在當(dāng)今這樣社會(huì)是一個(gè)信息社會(huì)的時(shí)代，信息的安全性將這接影響到企業(yè)的綜合效益。 4：易操作以管理性 在保證網(wǎng)絡(luò)各方面性能的同時(shí)，也要注意網(wǎng)絡(luò)管理的易操作﹑以管理性。因此，要保證網(wǎng)絡(luò)具有較好的可擴(kuò)張性。 7：容錯(cuò)性 不能因某臺(tái)設(shè)備的故障而影響到整個(gè)主干網(wǎng)絡(luò)的正常運(yùn)行；盡量做到任意一條鏈路的中斷不能使得主干網(wǎng)絡(luò)的任何部分中斷工作。在通過 Cisco Catalyst 3560 設(shè)置 vtp，劃分 vlan，有效地控制了兩個(gè)子網(wǎng)的安全。以總部為核心網(wǎng)絡(luò)，內(nèi)連接入 包括辦公網(wǎng)絡(luò)、數(shù)據(jù)中心、分公司接入等，9 1 9 各區(qū)域相對(duì)獨(dú)立，通過核心網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)的交互。 網(wǎng)絡(luò)層次化設(shè)計(jì) 在瞬息萬變的市場(chǎng)上，網(wǎng)絡(luò)應(yīng)用可以幫助企業(yè)決策者 運(yùn)籌帷幄 ，充分利用各種企業(yè)資源，優(yōu)化企業(yè)資源配置。利用分層網(wǎng)絡(luò)可以方便地實(shí)現(xiàn)冗余，從而大幅提高可用性。 針對(duì)實(shí)際情況我們可以采用分層結(jié)構(gòu)模型，即三層結(jié)構(gòu)模型。能夠迅速的轉(zhuǎn)發(fā)大量的數(shù)據(jù)。核心層一直被認(rèn)為是所有流量的最終承受者和匯聚者，所以對(duì)核心層的設(shè)計(jì)要求十分的嚴(yán)格。 Cisco Catalyst3560 系列交換機(jī)是一個(gè)固定配置的企業(yè)級(jí)的交換機(jī)系列。 接入層設(shè)計(jì) 在核心層和匯聚層的設(shè)計(jì)中主要考慮的是網(wǎng)絡(luò)性能和功能性要高，那么11 1 11 我們?cè)诮尤雽釉O(shè)計(jì)上主張使用性能價(jià)格比高的設(shè)備。 內(nèi)聯(lián)接入 內(nèi)聯(lián)接入的作用是用于連接南京分公司和北京辦公網(wǎng)絡(luò)。 ；接入時(shí)主要作用是生產(chǎn)運(yùn)營系統(tǒng)的數(shù)據(jù)交換，查詢等等和管理以及監(jiān)控。而除了 DR/BDR以外發(fā)送的 OSPF 包的目標(biāo)地址為 ,這個(gè)地址叫 AllDRouters. NBMA 網(wǎng)絡(luò) ： 比如 ,Frame Relay,和 ATM,不具備廣播的能力 ,因此鄰居要人工來指定 ,在這樣的網(wǎng)絡(luò)上要選舉 DR 和 BDR,OSPF包采用 unicast的方式 下面是 Eigrp與 OSPF的區(qū)別： Eigrp是 Cisco的專用，而 OSPF則是通用協(xié)議。 14 1 14 Eigrp的路徑度量是復(fù)合型， OSPF則是 cost型的。 EIGRP(增強(qiáng)的內(nèi)部網(wǎng)關(guān)路由選擇協(xié)議 )，可以使路由器交換信息比使用早先的 網(wǎng)絡(luò)協(xié)議 更加有效。與 RIP相對(duì)， OSPF是鏈路狀態(tài) 路由協(xié)議 ，而 RIP是距離 向量 路由協(xié)議 。但 RIPv2的跳數(shù)限制以及慢收斂使它仍然不適用于大型網(wǎng)絡(luò) 所以 相比 RIP而言， OSPF更適合用于大型網(wǎng)絡(luò) : 沒有跳數(shù)的限制 ， 支持可變長子網(wǎng)掩碼 (VLSM) 使用組播發(fā)送鏈路狀態(tài)更新，在鏈路狀態(tài)變化時(shí)使用觸發(fā)更新，提高了帶寬的利用率 ， 收斂速度快 ， 具有認(rèn)證功 能。 Ip 的分配原則： IP 地址是 IP 網(wǎng)絡(luò)中數(shù)據(jù)傳輸?shù)囊罁?jù)，它標(biāo)識(shí)了 IP 網(wǎng)絡(luò)中的一個(gè)連接，一臺(tái)主機(jī)可以有多個(gè) IP 地址。 根據(jù)用途和安全性級(jí)別的不同， IP 地址還可以大致分為兩類：公共地址和私有地址。由于有這種唯一的地址，才保證了用戶在連 網(wǎng)的計(jì)算機(jī)上操作時(shí)，能夠高效而且方便地從千千萬萬臺(tái)計(jì)算機(jī)中選出自己所需的對(duì)象來。在 RFC1884 中，規(guī) 定的標(biāo)準(zhǔn)語法建議把 IPv6 地址的 128 位（ 16 個(gè)字節(jié)）寫成 8 個(gè) 16 位的無符號(hào)整數(shù)，每個(gè)整數(shù)用四個(gè)十六進(jìn)制位表示，這些數(shù)之間用冒號(hào)（：）分開 Ip 地址的規(guī)劃表格： 17 1 17 第五 章 網(wǎng)絡(luò)安全解決方案 網(wǎng)絡(luò)邊界安全威脅分析 18 1 18 為了解決資源的共享而建立了網(wǎng)絡(luò) ，然而 安全卻成了問題 ，網(wǎng)絡(luò)的邊界隔離著不同功能或地域的多個(gè)網(wǎng)絡(luò)區(qū)域，由于職責(zé)和功能的不同，相互連接的網(wǎng)絡(luò)的安全級(jí)別也不盡相同，此網(wǎng)絡(luò)也必然存在著安全風(fēng)險(xiǎn)，下面我們將對(duì)公司網(wǎng)絡(luò)就網(wǎng)絡(luò)邊界問題做脆弱性和風(fēng)險(xiǎn)的分析。 下面我們分析如何防護(hù)邊界？ 首先建立城墻，把城內(nèi)與外界分割開來，阻斷其與外界的所有聯(lián)系，然后再修建幾座城門，作為進(jìn)出的檢查關(guān)卡，監(jiān)控進(jìn)出 的所有人員與車輛，是安全的第一種方法；為了防止入侵者的偷襲，再在外部挖出一條護(hù)城河，讓敵人的行動(dòng)暴露在寬闊的、可看見的空間里，為了通行，在河上架起吊橋，把路的使用主動(dòng)權(quán)把握在自己的手中，控制通路的關(guān)閉時(shí)間是安全的第二種方法。 防火墻的安全設(shè)計(jì)原理來自于包過濾與應(yīng)用代理技術(shù)，兩邊是連接不同網(wǎng)絡(luò)的接口，中間是訪問控制列表 ACL，數(shù)據(jù)流要經(jīng)過 ACL的過19 1 19 濾才能通過。防火墻的缺點(diǎn)是：不能對(duì)應(yīng)用層識(shí)別，面對(duì)隱藏在應(yīng)用中的病毒、木馬都好無辦法。 網(wǎng)閘的安全思路來自于 “不 同時(shí)連接 ”。 這樣邊界的安全可以得到較好的保證。內(nèi)網(wǎng)安全威脅主要源于企業(yè)內(nèi)部。因?yàn)樗鼈儗⑷趸淖烂娌僮飨到y(tǒng)置于企業(yè)防火墻的防護(hù)之外。 自動(dòng)跟蹤的安全策略 ， 智能的自動(dòng)執(zhí)行實(shí)時(shí)跟蹤的安全策略是有效地實(shí)現(xiàn)網(wǎng)絡(luò)安全實(shí)踐的關(guān)鍵?？傊龅酱_保每天的所有的活動(dòng)都遵循安全策略。必定找出重要的網(wǎng)絡(luò)服務(wù)器 (例如實(shí)時(shí)跟蹤客戶的服務(wù)器 )并對(duì)他們進(jìn)行限制管理。將訪問點(diǎn)置于邊界防火墻之外，并允許用戶通過 VPN技術(shù)進(jìn)行訪問?？煽康陌踩珱Q策 ， 在技術(shù)上，采用安全交換機(jī)、重要數(shù)據(jù)的備份、使用代理網(wǎng)關(guān)、確保操作系統(tǒng)的安全、使用主機(jī)防護(hù)系統(tǒng)和入侵檢 測(cè)系統(tǒng)等等措施也不可缺少。信息安全產(chǎn)品的安裝不一定意味信息系統(tǒng)不發(fā)生安全事故。安全產(chǎn)品只要為企業(yè)提供足夠的手段應(yīng)對(duì)主要的安全威脅，將可能的損失減小到可以接受的范圍之內(nèi)，就可以了。 適用性與先進(jìn)性相結(jié)合原則：不同品牌的產(chǎn)品價(jià)格差異較大，因此選擇時(shí)不能只看品 牌或追求高價(jià)，也不能只看價(jià)錢低的，應(yīng)該根據(jù)應(yīng)用的實(shí)際情況，22 1 22 選擇性能價(jià)格比高，既要滿足目前的需要，又能適應(yīng)未來幾年網(wǎng)絡(luò)發(fā)展的產(chǎn)品。 。基于交換機(jī)的虛擬局域網(wǎng)能夠?yàn)榫钟蚓W(wǎng)解決沖突域、廣播域、帶寬問題。在這個(gè) AS 中，所有的 OSPF 路由器都維護(hù)一個(gè)相同的描述這個(gè) AS 結(jié)構(gòu)的數(shù)據(jù)庫，該數(shù)據(jù)庫中存放的是路由域中相應(yīng)鏈路的狀態(tài)信息， OSPF 路由器正是通過這個(gè)數(shù)據(jù)庫計(jì)算出其 OSPF路由表的。這中增加帶寬的方法在當(dāng)單一交換機(jī)和節(jié)點(diǎn)之間連接不能滿足負(fù)荷時(shí)是比較有效的。 SpanningTree協(xié)議 生成樹協(xié)議是交換式以太網(wǎng)中的重要概念和技術(shù)，該協(xié)議的目的是在實(shí)現(xiàn)24 1 24 交換機(jī)之間的冗余連接的同時(shí)，避免網(wǎng)絡(luò)環(huán)路的出現(xiàn)，實(shí)現(xiàn)網(wǎng)絡(luò)的高可靠 性。 使用路徑值則即可以聯(lián)相同的交換機(jī)與可以聯(lián)不同的交換機(jī)。 所謂的 PPP（ PointtoPoint Protocol 點(diǎn)到點(diǎn)協(xié)議） 協(xié)議就 是為在同等單元之間傳輸數(shù)據(jù)包這樣的簡(jiǎn)單鏈路設(shè)計(jì)的鏈路層協(xié)議。 PPP 中完成上述工作的組件是鏈路控制協(xié)議 LCP（ Link Control Protocol， LCP）。如對(duì)于 IP 提供 IPCP接口，對(duì)于 IPX 提供 IPXCP 接口，對(duì)于 APPLETALK提供 ATCP接口等。 26 1 26 使用 AD 域管理器 域控制器中包含了由這個(gè)域的賬戶、密碼、屬于這個(gè)域的計(jì)算機(jī)等信息構(gòu)成的數(shù)據(jù)庫。 要把一臺(tái)電腦加入域，僅僅使它和服務(wù)器在網(wǎng)上鄰居中能夠相互“看”到是遠(yuǎn)遠(yuǎn)不夠的，必須要由網(wǎng)絡(luò)管理員進(jìn)行相應(yīng)的設(shè)置，把這臺(tái)電腦加入到域中。所有用戶只要登入到域，在域內(nèi)均能進(jìn)行身份驗(yàn)證，管理人員可以較好的管理計(jì)算機(jī)資源，管理網(wǎng)絡(luò)的成本大大降低。 使用漫游賬戶和文件夾重定向技術(shù)，個(gè)人賬戶的工作文件及數(shù)據(jù)等可以存儲(chǔ)在服務(wù)器上，統(tǒng)一進(jìn)行備份、管理，用戶的數(shù)據(jù)更加安全、有保障。 方便用戶使用各種資源。即使資源位置改變，用戶也不需任何操作，只需管理 員修改鏈接指向并設(shè)置相關(guān)權(quán)限即可，用戶甚至不會(huì)意識(shí)到資源位置的改變，不用像從前那樣，必須記住哪些資源在哪臺(tái)服務(wù)器上。 Cisco3800系列集成多業(yè)務(wù)路由器建立在思科 20年創(chuàng)新技術(shù)的基礎(chǔ)之上，通過為客戶提供無與倫比的網(wǎng)絡(luò)靈活性、性能和智能性，鞏固了思科在多服務(wù)路由領(lǐng)域的領(lǐng)先地位。 Cisco 3800 系列的集成化服務(wù)路由架構(gòu)構(gòu)建于強(qiáng)大的 Cisco 3700系列路由器的基礎(chǔ)之上，它內(nèi)嵌并集成了安全和話音處理以及先進(jìn)服務(wù)，以迅速部署新應(yīng)用，包括應(yīng)用層功能、智能網(wǎng)絡(luò)服務(wù)和融合通信。通過將多個(gè)獨(dú)立設(shè)備的功能集成入單一小巧設(shè)備之中， Cisco 3800系列大幅降低了管理遠(yuǎn)程網(wǎng)絡(luò)的成本和復(fù)雜度。 Cisco IOS軟件集成了強(qiáng)大的防火墻功能和入侵檢測(cè)功能，并可以提供先進(jìn)的安全功能，例如基于應(yīng)用的狀態(tài)過濾；針對(duì)單個(gè)用戶的動(dòng)態(tài)身份認(rèn)證和授權(quán)；防范網(wǎng)絡(luò)攻擊； Java阻塞；30 1 30 實(shí)時(shí)警報(bào) Cisco 3725作為全新的模塊化路由器，可實(shí)現(xiàn)新的電子商務(wù)應(yīng)用在集成化分支機(jī)構(gòu)訪問平臺(tái)中的靈活、可擴(kuò)展的部署。 Cisco Catalyst 2960 Cisco Catalyst174?，F(xiàn)有的解決方案如運(yùn)行在應(yīng)用層的基于代理的防火墻具有很多限制條件，包括性能低、需要昂貴的通用平臺(tái)、使用開放系統(tǒng)如 UNIX時(shí)本身具有安全風(fēng)險(xiǎn)等。只有存在已確定連接關(guān)系的正確的連接時(shí)，訪問才被允許通過 Cisco Secure PIX 防火墻。而專用的 Cisco Secure PIX 防火墻是為了實(shí)現(xiàn)安全、高性能 的保護(hù)而專門設(shè)計(jì)。微軟最初發(fā)行了兩個(gè) 32 位的版本：專業(yè)版（ windows Professional Edition）和家庭版（ windows xp Home Edition）， 64 位專業(yè)版于 2020 年 3 月28 日發(fā)布。市面上所采用的盜版均以Professional Edition 的 VOL 版本為基礎(chǔ)進(jìn)行修改。這種特性減少了將數(shù)據(jù)載入虛擬內(nèi)存，以及查找讀取數(shù)據(jù)寫入數(shù)據(jù)存儲(chǔ)設(shè)備所花費(fèi)的時(shí)間，因此可使應(yīng)用程序運(yùn)行地等快、更高效。 F ( 40 to 85176。 ATM,4和 8端口 T1/E1 NM1 端口 DS3/E3 NM。 ISDN/通道 ,1 和 2端口 T1/E1通道化 /ISDN Pri NM4 和 8端口 T1/E1 ISDN BRI NMISDN BRI WIC。 F (0 到 40176。最高可支持 16BT 的虛擬內(nèi)存。 在這個(gè)剛剛建立的公司中我們采用的企業(yè)版本即專業(yè)版，所謂的 windows XP Professional Edition 是面向企業(yè)、開發(fā)人員的版本。它的零售版于 2020年 10月 25 日上市。 另外，實(shí)時(shí)嵌入式系統(tǒng)還能進(jìn)一步提高 Cisco Secure PIX 防火墻系列的安全性。靜31 1 31 態(tài)安全性雖然比較簡(jiǎn)單，但與包過濾相比，功能卻更加強(qiáng)勁；另外，與應(yīng)用層代理防火墻相比，其性能更高，擴(kuò)展性更強(qiáng)。 Catalyst 2960 系列軟件提供了集成安全特性，包括網(wǎng)絡(luò)準(zhǔn)入控制 (NAC)，以及先進(jìn)的服務(wù)質(zhì)量 (QoS)和永續(xù)性，為網(wǎng)絡(luò)邊緣提供了智能服務(wù) 。 Cisco 3725的部署可幫助客戶更快地降低電子商務(wù)應(yīng)用的成本并從中受益，降低客戶基礎(chǔ)設(shè)施的總擁有成本，并可改進(jìn)網(wǎng)絡(luò)利用率和增強(qiáng)網(wǎng)絡(luò)的競(jìng)爭(zhēng)能力