【正文】 ，結(jié)果如下圖。 企業(yè)生產(chǎn)區(qū)內(nèi)部 IP 地址采用 段的私有 IP 地址，企業(yè)辦公區(qū)內(nèi)部 IP 地址采用 段的私有 IP 地址，并目對(duì)企業(yè)內(nèi)部局域網(wǎng)進(jìn)行 VLAN 劃分，其優(yōu)點(diǎn)是可以減少網(wǎng)絡(luò)內(nèi)的廣播數(shù)據(jù)包， 提高網(wǎng)絡(luò)運(yùn)行效率，區(qū)分不同的應(yīng)用和用戶等，方便網(wǎng)絡(luò)的管理與維護(hù) 。 當(dāng)前的報(bào)價(jià)為每臺(tái) 1580 元，是一款性能較高的集線器。 這款 AP 在市場(chǎng)上報(bào)價(jià)約 320 元，價(jià)位也比較適合中小型企業(yè)使用?？蓴U(kuò)展性強(qiáng)，符合中小型企業(yè)網(wǎng)絡(luò)服務(wù)器的選型。 戴爾 PowerEdge T310 是一款塔式四核的服務(wù)器。對(duì)服務(wù)器的選擇不僅僅是滿足當(dāng)前已開展的各項(xiàng)業(yè)務(wù)需要，更要著眼 于 未來(lái)。 圖 32 Cisco 1841 系列路由器 服務(wù)器選型 在選擇服務(wù)器時(shí)，不僅要看當(dāng)前的性能，還要看生產(chǎn)廠商的服務(wù)能力。 思科 1841 路由器專為安全數(shù)據(jù)連接設(shè)計(jì)，與前幾代思科 1700 系列路由器相比，提供了五倍以上的性能提高，經(jīng)由 Cisco IOS 軟件安全鏡像支持基硬件的集成加密，能夠大大提高了接口卡性能和密度。 可以選擇 CISCO 3560E 系列的交換機(jī)。 可以選擇 CISCO 2950 系列 智能以太網(wǎng)交換機(jī) 。 員工在上班期間不能上 進(jìn)行聊天，下班后就可以。企業(yè)的生產(chǎn)區(qū)有會(huì)議室、 員工 宿舍樓和車間等需要 進(jìn) 行 網(wǎng)絡(luò)布線；辦公區(qū)有多個(gè)部門，分別是經(jīng)理部、財(cái)務(wù)部、銷售部、客戶部、售后服務(wù)部。 安全 需求 傳統(tǒng)企業(yè)網(wǎng)絡(luò)的安全措施主要是通過(guò)部署防火墻、 IDS 、殺毒軟件以及配合交換機(jī)或路由器的 ACL 來(lái)實(shí)現(xiàn)對(duì)于病毒和黑客攻擊的防御，而本文主要通過(guò)介紹 ACL 功能 和 開發(fā)應(yīng)用來(lái)探討信息網(wǎng)絡(luò)安全中利用交換機(jī) 或路由器 的訪問(wèn)控制列表 (ACL)來(lái)構(gòu)建計(jì)算機(jī)網(wǎng)絡(luò)安全體系的一種方法。企業(yè)計(jì)劃搭建郵件服務(wù)器實(shí)現(xiàn)企業(yè)內(nèi)部的消息傳遞平臺(tái)，需要在企業(yè)生產(chǎn)區(qū)建立郵件服務(wù)器，允許所有員工進(jìn)行收發(fā)電子郵件。 （ 3） FTP 服務(wù)器 為了實(shí)現(xiàn)企業(yè)內(nèi)部的文件資源的存儲(chǔ)、管理和轉(zhuǎn)發(fā)，企業(yè)計(jì)劃采用兩種方式管理文件資源，總部及各子公司設(shè)立自己的文件服務(wù)器、上項(xiàng)工作由各單位的系統(tǒng)管理員自行完成。 某企業(yè)是一家生產(chǎn)研發(fā)型企業(yè)，為了加快信息化建設(shè)，將組建一個(gè)以辦公自 動(dòng)化、電子商務(wù)、業(yè)務(wù)綜合管理、多媒體視頻會(huì)議、遠(yuǎn)程通訊、信息發(fā)布及查詢?yōu)楹诵?，以現(xiàn)代網(wǎng)絡(luò)技術(shù)為依托，技術(shù)先進(jìn)、擴(kuò)展性強(qiáng) 的企業(yè)內(nèi)部網(wǎng)絡(luò) ，將企業(yè)的各部門辦公室、多媒體會(huì)議室、PC 終端設(shè)備和應(yīng)用系統(tǒng)通過(guò)網(wǎng)絡(luò)連接起來(lái)，實(shí)現(xiàn)內(nèi)、外溝通的現(xiàn)代化計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)。特別在 當(dāng) 今信息化的現(xiàn)代社會(huì)，企業(yè)的運(yùn)作模式也發(fā)生了根本性變化。 本文從企業(yè)網(wǎng)絡(luò)的需求開始分析，根據(jù)現(xiàn)階段 CISCO 公司主流網(wǎng)絡(luò)設(shè)備進(jìn)行選材， 結(jié)合中小型企業(yè)的實(shí)際需求，舉例分析、設(shè)計(jì)、配置、模擬組建出一個(gè)典型的中小 型企業(yè)網(wǎng)絡(luò)。因此，企業(yè)網(wǎng)絡(luò)的建設(shè)是企業(yè)向信息化發(fā)展的必 然選擇。 隨著信息技術(shù)的發(fā)展的， 網(wǎng)絡(luò)技術(shù)的不斷成熟， 企業(yè)對(duì)信 息 要求越來(lái)越高 。 本文從企業(yè)網(wǎng)絡(luò)需求開始分析，根據(jù)現(xiàn)階段 CISCO公司主流網(wǎng)絡(luò)設(shè)備進(jìn)行選材，規(guī)劃最適用于目標(biāo)網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，建設(shè)合理的網(wǎng)絡(luò)設(shè)計(jì)方案，并測(cè)試其結(jié)果最終驗(yàn)證網(wǎng)絡(luò)的規(guī)劃與設(shè)計(jì)符合企業(yè)的需求。 眾多行業(yè)巨 頭 紛紛 采取 各種應(yīng)用方案且取得 了巨 大的成功，使信息化建設(shè)更具吸引力。 二 〇一二 屆本科畢業(yè)論文（設(shè)計(jì)）報(bào)告 題目： 中小型企業(yè)網(wǎng)絡(luò)的規(guī)劃與設(shè)計(jì) 學(xué)生姓名： 所 在 系： 學(xué) 號(hào)： 專 業(yè)： 指導(dǎo)教師： 中 小 型企業(yè)網(wǎng)絡(luò)的規(guī)劃 與 設(shè)計(jì) 【摘要】 隨著 信 息技術(shù)的快速發(fā)展，中 小 型企業(yè)的業(yè)務(wù)進(jìn)一步的電子化，與 Inter的聯(lián)系 也 更加緊密。任何決策的科學(xué)性和 可靠性都是以信息為基礎(chǔ)的，信息和決策是同一管理過(guò)程中的兩個(gè)方面，因此行業(yè)信息化 也就成了人們所討論并實(shí)踐著的重要課題 。針對(duì)絕大多數(shù)中 小 型企業(yè)集中辦公這一現(xiàn)實(shí)特點(diǎn)，我們?cè)O(shè)計(jì) 出了 中 小 型企業(yè)信息化常用解決方案，能夠較好地發(fā)揮企業(yè)網(wǎng)的使用效果和水平， 具有很強(qiáng)的代表性?，F(xiàn)代企業(yè)如果沒(méi)有信息技術(shù)的支持，就不能稱之為現(xiàn)代企業(yè)。如果能實(shí)現(xiàn)信息管理的自動(dòng)化，無(wú)疑將給公司帶來(lái)很人的方便。 在此基礎(chǔ) 上， 開發(fā)建設(shè)現(xiàn)代化的企業(yè)應(yīng)用系統(tǒng)，實(shí)現(xiàn) 智 能型、信息化、快節(jié)奏、高效率的管理模式。在 競(jìng)爭(zhēng)激烈 的市場(chǎng)環(huán)境下，許多中小型企業(yè)都在追求高效的管理與溝通方法，發(fā)展跨地區(qū)、跨國(guó)業(yè)務(wù)，促進(jìn)客戶服務(wù)，增強(qiáng)企業(yè)的市場(chǎng)競(jìng)爭(zhēng)力。所以一個(gè)良好的中小型網(wǎng)絡(luò)成為了企業(yè)發(fā)展好壞的決定 性因 素。 （ 2） WWW 服務(wù)器 眾所周知， WWW服務(wù)器主要功能是提供網(wǎng)上信息瀏覽服務(wù)，是 Inter 目前發(fā)展最快和目前用的最廣泛的服務(wù)。 （ 4） 郵件服務(wù)器 隨著企業(yè)規(guī)模的不斷擴(kuò)大，企業(yè)內(nèi)部的信息交流變得越來(lái)越重要，企業(yè)迫切的需要建立自己內(nèi)部的消息傳遞平臺(tái)，用于讓員工之間方便的傳輸各種文件、數(shù)據(jù)和其他消息。 （ 6） 文件服務(wù)器 企業(yè)內(nèi)部需要大量數(shù)據(jù)文件進(jìn)行交換，且 各部門的資料訪問(wèn)權(quán)限 各不相 同， 有一個(gè) 文件服務(wù)器 不僅可以提供大容量的存儲(chǔ)空間，還可以設(shè)置不同的訪問(wèn)權(quán)限，企業(yè)內(nèi)部的一些機(jī)密文件會(huì)更加安全。 實(shí)現(xiàn)目標(biāo) 某一家 生產(chǎn)研發(fā)型企業(yè) 分為生產(chǎn)區(qū)和辦公區(qū)兩個(gè)區(qū)域，現(xiàn)在要對(duì)這家企業(yè)的網(wǎng)絡(luò)進(jìn)行組建。部門和部門之間用不同的 VLAN 劃分。交換機(jī)選型時(shí)，應(yīng)該遵循以下原則 : 接入 層 交換機(jī)全部采用可網(wǎng)管交換機(jī)，實(shí)現(xiàn)對(duì)每臺(tái)接入計(jì)算機(jī)的控制，實(shí)現(xiàn) VLAN 的劃分，確保最大限度的網(wǎng)絡(luò)訪問(wèn)安全。 圖 311 Cisco Catalyst 2960 系列交換機(jī) 匯聚 層 交換機(jī)采用擁有千兆位端口的可網(wǎng)管交換機(jī)， 實(shí)現(xiàn) VLAN 間的快速轉(zhuǎn)發(fā)， 實(shí)現(xiàn)與核心交換機(jī)的高速連接， 并借助訪問(wèn)控制列表抓制計(jì)算機(jī)接入和網(wǎng)絡(luò)服務(wù) ， 避免可能產(chǎn)生的網(wǎng)絡(luò)瓶頸。 圖 312 Cisco Catalyst 3560E 系列接入和匯聚交換機(jī) 路由器選型 思科 1841 路由器采用模塊化架構(gòu)設(shè)計(jì)，適用 于 中小型企業(yè)，提供了業(yè)界范圍最廣的安全連接選項(xiàng)以及可用性和可靠性 的 特性。 當(dāng)前價(jià)位為 每臺(tái) 3700 元 。 服務(wù)器是系統(tǒng)中至關(guān)重要的核心設(shè)備，其作用是為各類應(yīng)用提供硬件運(yùn)行平臺(tái)。由十各項(xiàng)業(yè)務(wù)屬十對(duì)外開放的，因此作為集中放置數(shù)據(jù)載體的服務(wù)器系統(tǒng)，一旦出現(xiàn)數(shù)據(jù)丟失或者差錯(cuò)將給用戶造成重大經(jīng)濟(jì)損失和 極壞影響，因此在服務(wù)器選型和系統(tǒng)配置時(shí)，應(yīng)該充分考慮到系統(tǒng)可靠性在今后系統(tǒng)運(yùn)行時(shí)的重要地位。 具有 擴(kuò)展槽 ： 2PCIE G2 x8 插槽（一個(gè)具有 x16 接口） ， 1PCIE G2 x4 插槽（具有 x8 接口） ， 2PCIE G2 x1 插槽 。還可以通過(guò) Web 界面對(duì) TLWAS501G+進(jìn)行在線 軟件升級(jí)，以適應(yīng)將來(lái)更高層次和更新要求。有 24 個(gè) RJ45， 2 個(gè) BNC 同軸電纜線接口， 1 個(gè) AUI 接口 ，符合 ，10BsetT， 10Bset2 的網(wǎng)絡(luò)標(biāo)準(zhǔn)。 ? 屏幕尺寸： 20 英寸 ? CPU 型號(hào)： AMD 閃龍 X2 190 ? CPU 頻率： 2500MHz ? 內(nèi)存容量： 2GB DDR3 ? 硬盤容量： 500GB 7200 轉(zhuǎn)， SAT ? 顯卡芯片： ATI Radeon HD 5450 ? 光驅(qū)類型： DVDROM ? 操作系統(tǒng)： Linux ? 產(chǎn)品類型：家用電腦 ? 顯卡類 型：獨(dú)立顯卡 ? 聲卡描述：集成 聲卡 ? 網(wǎng)卡描述： 1000Mbps 以太網(wǎng)卡 圖 36 聯(lián)想新圓夢(mèng) F358 IP 地址劃分 企業(yè) 申請(qǐng)的 公網(wǎng) IP 地址為 :。 接入交換機(jī)下的 PC 間 的連通性測(cè)試， 以 結(jié)果如下圖。 5． ACL 策略下的實(shí)現(xiàn)方案 標(biāo)準(zhǔn) ACL 例如，建立一個(gè)標(biāo)準(zhǔn) ACL 命名為 test，允許 通過(guò)，禁止 網(wǎng)段 通過(guò)，其他 主 機(jī)禁 止。 R2 (config}ip accesslist extended testl R2（ configextnacl}deny tcp any host eq 23 R2 （ configextnacl） permit tcp any any R2(config}int g1/0/1 R2 (configif)ip accessgroup test in //接口應(yīng)用 為 入方向 反向訪問(wèn)控制列表 我們使 用訪問(wèn)控制列表除 了合理管理網(wǎng)絡(luò)訪問(wèn)以外還有一個(gè)更 重要的方面，那就是防范病毒，我們可以將平時(shí)常見(jiàn)病毒傳播使用的端口進(jìn)行過(guò)濾，將使用這些端口的數(shù)據(jù) 包丟棄 。 反 向訪問(wèn)控 制列表 的用途 反 向 訪問(wèn)控制列表屬 于 ACL 的 一種高級(jí)應(yīng)用。反向 ACL 控制的就是上面提到的連接請(qǐng)求。 在 ，我們通過(guò)反向 ACL 設(shè)置保護(hù)這 些 服務(wù)器免受來(lái)自 這個(gè)網(wǎng)段的病毒攻擊。 Router(config)int f0/1 //進(jìn)入 f0/1 端口 Router(configif)ip accessgroup 101 out //將 ACL101 宣告出去 設(shè)置完畢后病毒就不會(huì)輕易的從 傳播到 的 服務(wù)器區(qū)了?；?于時(shí)間的訪問(wèn)控制列表就屬于高級(jí)技巧之一。這里我們主要講解下定義時(shí)間段，具體格式如下 : timerange 時(shí)問(wèn)段名稱 absolute start[小時(shí) :分鐘 ][日 月 年 ][end][小時(shí) :分鐘 ][日 月 年 ] 例如： timerange softer absolute start 0:00 1 may 2021 end 12:00 1 june 2021 //定義了一個(gè)時(shí)問(wèn)段，名稱為 softer, 并且設(shè)置了這個(gè)時(shí)間段的起始時(shí)間為 2021 年 5月 1 日零點(diǎn)，結(jié)束時(shí)間為 2021 年 6 月 1 日中午 12 點(diǎn)。 路 由 器 連 接 了 二 個(gè) 網(wǎng) 段 ， 分 別 為,。當(dāng)然可以使用 periodic weekdays 定義工作日或跟星期幾定義具體的周幾。 Router(configif)ip accessgroup 101 out //宣告 ACL 101 基 于 時(shí)間的 ACL 比較適合于 時(shí) 間 段的管理，通過(guò)上 面 的設(shè)置 的 用戶就只能在周末訪問(wèn)服務(wù)器提供的 FTP 資源了，平時(shí)無(wú)法訪問(wèn)。配置擴(kuò)展 ACL: sw（ config） accesslist 110 deny udp any any eq 135 sw（ config） accesslist 110 deny udp any any eq 445 sw（ config） accesslist 110 deny tcp any any eq 135 sw（ config） accesslist 110 deny tcp any any eq 139 sw（ config） accesslist 110 deny tcp any any eq 445 sw（ config） accesslist 110 deny tcp any any eq 593 sw（ config） accesslist 110 deny tcp any any eq 1025 sw（ config） accesslist 110 deny tcp any any eq 1029 sw（ config） accesslist 110 deny udp any any eq 1434 sw（ config） accesslist 110 deny tcp any any eq 4444 sw（ config） accesslist 110 deny udp any any eq 4672 sw（ config） accesslist 110 deny tcp any any eq 5000 sw（ config） accesslist 110 deny tcp any any eq 5900 sw（ config） accesslist 110 deny tcp any any eq 6667 sw（ config） accesslist 110 permit any any 將該擴(kuò)展 ACL 應(yīng)用到各 VLAN，以 vlan2 為例，配置命令如下 : sw（ config） interface vlan 2 sw（ configif） iip accessgroup 110 in sw（ configif） ip accessgroup 110 out sw（ configif） exit 封堵 P2P 端口 可以在出口路由器上利用 ACL 控制列表限制 P2P 端口。 Router (config) acce