【正文】 和策略管理。安全向導可自動限制對于有敏感數(shù)據(jù)的服務器的未授權訪問。思科網絡助理為思科交換機、路由器和 WLAN接入點提供了集中管理。 管理 新的思科快速設置特性簡化了交換機的初始配置。 Catalyst 2960 系列能通過對思科承諾信息速率（ CIR）功能的支持而執(zhí)行速率限制。 這些 QoS 特性使網絡管理員能將關鍵任務和帶寬密集型流量劃為較高優(yōu)先級，其中包括企業(yè)資源規(guī)劃（ ERP）、語音（ IP 電話流量）和計算機輔助設計及制造（ CAD/CAM）等，而將 FTP 或電子郵件等對應用劃為較低優(yōu)先級。在出口， 交換機執(zhí)行排程和擁塞控制。分類和再分類可根據(jù)源或目的地 IP 地址、源或目的地 MAC 地址或者第 4 層 TCP/UDP 端口等標準進行。這優(yōu)化了流量優(yōu)先級劃分和網絡可用性，且不會帶來復雜配置的問題。此外，可在交換機上配置本地用戶名和密碼數(shù)據(jù)庫。此外， DHCP接口跟蹤器 (選項 82) 特性可為主機 IP 地址請求添加交換機端口 ID，有助于實現(xiàn)對于 IP 地址分配的精確控制。 ACL 查詢在硬件中完成，故此在實施基于 ACL 的安全性時不會影響轉發(fā)性 能。它能動態(tài)管理網絡接入的具體層次。為進一步優(yōu)化網絡運行，部署具備以下特性的功能是十分關鍵的：能使網絡基礎設施高度可用以達到關鍵時間要求、可擴展以便于公司發(fā)展、高度安全以保護保密信息，且能區(qū)分和控制流量。因此， IT 專業(yè)人員必須將網絡邊緣看作有效管理信息和應用的提供的關鍵。目前，工作人員都對網絡有著更高需求，在網絡上同時運行多個應用。 Catalyst 2960 系列具有集成安全特性，包括網絡準入控制 (NAC)、高級服務質量 (QoS)和永續(xù)性，可為網絡邊緣提供智能服務。企業(yè)可選擇銅纜或光纖連接，從而為數(shù)據(jù)中心、園區(qū)或企業(yè)邊緣連接提供了靈活性。 Cisco ASA 5550 的集成 VPN 集群和負載均衡功能可提高 VPN 容量和永續(xù)性。利用其 8 個千兆以太網接口、 4 個 SFP 光纖接口 *和多達 200個的 VLAN，企業(yè)可以將網絡分成多個高性能分區(qū)，從而提高安全性。除了集成 TDM交換， 7200系列還提供了多種通道化接口，這些端口可以同時部分實現(xiàn)語音通道配置和數(shù)據(jù)通道配置。由于對 MOLS VP的行業(yè)標準支持，當您的網絡對 MPLS 主干的可擴展性、靈活性和性能提出要求時， 7200 系列可以提供強大的行業(yè)同盟。 關鍵特性和優(yōu)點 ? 實現(xiàn)服務集中的理想選擇 DSL、 ISDN、有線、無線和移動通信 ? 基于 IP 傳真 /語音、幀中繼或 ATM 的全面多服務網關功能 ? 高性 能交換 支持高速介質和高密度配置：通過其基于 RISC 和 SRAM 配置的系統(tǒng)處理器， Cisco 7200 每秒鐘最高可以交換 30 萬個數(shù)據(jù)包 ? 全面支持基于高性能網絡服務的 Cisco IOS 軟件及其增強功能 高速執(zhí)行包括服務質量、安全性、壓縮和加密在內的多種網絡服務 ? 高端口密度 提供高端口密度和廣泛的 LAN 和 WAN 介質支持，顯著地減少了每端口成本，并允許實現(xiàn)靈活的配置 ? 公共端口適配器 使用與 Cisco 7500 通用接口處理器（ VIP）一樣的端口適配器，簡化了貯存?zhèn)浼⒈Ｗo了客戶在接口上的投資 組網解決方案 因其模塊化、靈活性和出色的性價比， 7200 系列在多種網絡解決方案中都扮演著關鍵的角色。在 7200 系列的配置中，客戶可以選擇 4 種處理引擎、一個 4 或 6 插槽多服務機箱、不同的輸入 /輸出（ I/O）控制器以及多種 LAN 和 WAN 端口適配器，這使 7200 系列能夠提供大量不 同的配置，以滿足不同的網絡需求。 訪客隧道 — 為訪客接入公司網絡提供更高安全性。 這其中包括： 第二層安全功能 — (PEAP, LEAP, TTLS), WPA, (WPA2)和 L2TP 第三層（和更高層次）的安全功能 — IPSec, web 驗證 VLAN 分配 訪問控制列表（ ACL） — IP 限制，協(xié)議類型，端口和差分服務代碼點 (DSCP)數(shù)值 QoS— 多個服務級別，帶寬減少，流量整形和 RF 利用 驗證、授權和記帳 (AAA)/RADIUS— 用戶連接策略和權限管理 網絡準入控制 (NAC)— 實施客戶端配置和行 為策略，以確保只有擁有適當安全工具的終端用戶設備才能訪問網絡。 無線局域網入侵防御和定位 — 思科無線局域網系統(tǒng)不僅可發(fā)現(xiàn)惡意設備或潛在的無線威脅，而且能對這些設備定位。 思科提供了唯一能同時進行無線保護和提供無線局域網服務的無線局域網系統(tǒng)。 ? 動態(tài)功率控制 — 該系統(tǒng)可動態(tài)調整各接入點的功率輸出，來適應不斷變化的網絡情況，以確保達到預期的無線性能和可靠性。 思科無線局域網控制器所管理的特定智能 RF 功能包括： ? 動態(tài)信道分配 — 信道可根據(jù)不斷變化的 RF情況進行調整，以優(yōu)化網絡覆蓋范圍和性能。此外，每個 4400 WLAN控制器均支持一個可選冗余電源，以確保最高可靠性。以這種方式，思科無線局域網控制器可作為單一無縫系統(tǒng)運行，提供一個有數(shù)千 AP 的可擴展 WLAN 網絡。它們使用輕型接入點協(xié)議（ LWAPP），與 Cisco 1000 系列輕型接入點在任意第二層（以太網）或第三層（ IP）基礎設施上通信。無線局域網控制器適用于企業(yè)無線局域網部署，并提供了系統(tǒng)級無線局域網功能，如安全策略、入侵防御、 RF 管理、服務 質量 (QoS)和移動性。經常更新這些程序可以保證網絡安全和穩(wěn)定的運行。只需要很少的配置工作就可以使得這個工具有效的運行起來，比如可能需要修改密碼和設備集名稱，就會被自動的記錄在案，而不用人為的去創(chuàng)建觸發(fā)器或者進行其他的操作。一般而言，管理一個小型的網絡，需要及時地管理并清查網絡基礎設備的變化，定期升級運行在本地和遠程設備的軟件鏡像，執(zhí)行配置更改，優(yōu)化網絡的利用率，部署策略以適應組織新的計劃。 CiscoWorks LMS 提供了足以完成配置、監(jiān)視和解決路由器、交換機或者其他應用程序問題的工具，能快速的控制由于人為因素而導致的錯誤。 第三部分 設備簡介 CiscoWorks 的簡介 CiscoWorks Local Network Management Solution (LMS)是 Cisco 的一個端到端的網絡管理解決方案。同樣的，由于成本限制，不能在外鏈路上使用高端防火墻，因此采用天融信的行為管理設備，限制用戶可以訪問的 Inter 網絡資源。減輕網絡設備負擔也有助于提升整體網絡的穩(wěn)定性。通常的，核心網絡設備會面臨最為險惡的網絡應用環(huán)境，因此必須要對核心實行板卡級或者設備級冗余，來提升網絡本身的穩(wěn)定性。僅從現(xiàn)在的拓撲而言，網絡出口并沒有專職的防火墻來提供對網絡的保護。 方案二： 本方案著眼較低改造成本。而這種增長對于商用型網絡而言，沒有任何意義。結合網絡中的 IPS/IDS， NAM 模塊， MARS 具有更加豐富和準確的數(shù)據(jù)源，因此可以發(fā)揮更好的作用。 現(xiàn)在網絡的接入曾交換機還在使用部分的 3Com 設備，建議本次統(tǒng)一更換為 Cisco 設備，除了擁有更好的性能，也為了能夠使用 CiscoWorks 更好的管理，今后也可以成為網絡 NAC 體系的一部分。必要時侯，使用 ZBF 來進一步強化網絡的整體安全性。基于 的質詢則可以大幅度減少無線網絡需要人工配制的項目的數(shù)量，擁有 OTP 或者密碼的用戶可以接入內網，而其他用戶則只能限制在一個較小的區(qū)域內。兩套 IDS 與防火墻、核心路由器和核心交換機進行聯(lián)動，確保可以準確及時的消除網絡攻擊帶來的隱患。當接口數(shù)目不足的情況下，可以購買另外的接口板，確保所有內部用戶都在 FWSM 的控制之下。同時，將核心設備上的防火墻模塊轉移到 Cisco Catalyst 6509 上 ，新購買NAM 模塊安裝到 Cisco6509 上，用以提供更為詳細的流量統(tǒng)計報告 。一般認為，網絡設備在處理小型數(shù)據(jù)包時候將會付出更多的網絡資源。 冗余 鏈路以下，使用兩臺 F5 LC1500 鏈路負載均衡器，用以實現(xiàn)智能網絡均衡負載能力。因為北京廣播電臺從 社會學上，屬于社會地標組織，極其容易受到攻擊。 Cisco 防火墻是業(yè)界領先的設備，基于簽名的數(shù)據(jù)包過濾技術可以非常容易的發(fā)現(xiàn)已知的攻擊行為，并能進行極深度數(shù)據(jù)包檢查，避免夾雜在數(shù)據(jù)包當中針對特定系統(tǒng)的語義攻擊，更大限度的自外而內保護網絡安全。 整體網絡拓撲 本網絡拓撲較大的改動了網絡現(xiàn)有狀態(tài)。第一套方案傾向高性能和高可靠性，目標是滿足今后至少 5 年網絡情況的發(fā)展，網絡設計有全冗余鏈路，擁有極高的故障恢復和負載可控特性。 ? 可管理性和可維護性 采用先進完善的網絡管理和監(jiān)控工具，對網絡實現(xiàn)一體化管理。方案中所推薦的各級網絡設備能針對各類業(yè)務提供適合的帶寬。改造本著適度超前，著眼今后 5 年實際網絡發(fā)展的原則，為今后更加復雜的網絡應用和面對更加嚴峻的網絡安全形勢，做好充分的準備。 網絡邊緣層。設備上使用 FWSM 用以提升內部網絡的 安全性，提升網絡對于內部攻擊的抵御能力；同時作為對外網絡的第二道防線