【正文】 這些內(nèi)容在宏觀上指導(dǎo)企業(yè)網(wǎng)絡(luò)建設(shè)。我們在此給出多備份中心的網(wǎng)絡(luò)參考模型。在有冗余鏈路的基礎(chǔ)上，作鏈路的切換將是一個系統(tǒng)工程。 建立多個備份網(wǎng)絡(luò)中心節(jié)點的目的是一旦主中心節(jié)點發(fā)生災(zāi)難，可切換到備份中心。對可靠性較高的要求意味著有較大的資金投入。場地的抗干擾（2）機(jī)房的安全等級計算機(jī)房可劃分為不同的安全等級。 （2）訪問控制：根據(jù)身份實現(xiàn)應(yīng)用和服務(wù)的精粒度或細(xì)粒度訪問控制，防止非授權(quán)訪問。數(shù)據(jù)庫對象（如表、視圖、索引、觸發(fā)器等）的所有權(quán)必須明確定義。因此，字段是最小的加密單位。數(shù)據(jù)庫密碼系統(tǒng)應(yīng)采取公開密鑰傳統(tǒng)的密碼系統(tǒng)中，密鑰是秘密的，知道的人越少越好。一般而言，數(shù)據(jù)庫系統(tǒng)提供的上述基本安全技術(shù)能夠滿足一般的數(shù)據(jù)庫應(yīng)用，但對于一些重要部門或敏感領(lǐng)域的應(yīng)用，僅靠上述這些措施是難以完全保證數(shù)據(jù)的安全性的；某些用戶尤其是一些內(nèi)部用戶仍可能非法獲取用戶名、口令字，或利用其它方法越權(quán)使用數(shù)據(jù)庫，甚至可以直接打開數(shù)據(jù)庫文件來竊取或更改信息。有兩種審計的方式，即用戶審計和系統(tǒng)審計：用戶審計時，數(shù)據(jù)庫管理系統(tǒng)的審計系統(tǒng)記錄下所有對自己的表或視圖進(jìn)行訪問的企圖（包括成功的和不成功的）及每次操作的用戶名、時間、操作代碼等信息。具有資源管理權(quán)限的用戶，除了擁有上一類的用戶權(quán)限外，還有創(chuàng)建數(shù)據(jù)庫表、索引等數(shù)據(jù)庫客體的權(quán)限，可以在權(quán)限允許的范圍內(nèi)修改、查詢數(shù)據(jù)庫；還能將自己擁有的權(quán)限授予其他用戶，可以申請審計。在操作系統(tǒng)中安裝網(wǎng)絡(luò)訪問控制驗證工具。（3）操作系統(tǒng)中的漏洞幾乎所有的操作系統(tǒng)均已發(fā)現(xiàn)有安全漏洞，并且越流行的操作系統(tǒng)發(fā)現(xiàn)的問題越多。網(wǎng)絡(luò)操作系統(tǒng)采用管理文件目錄的方法進(jìn)行管理，并且利用口令字標(biāo)志存取控制權(quán)限，用加密及其它一些手段來提高文件的安全性。（2）對關(guān)鍵服務(wù)器的保護(hù) 由于網(wǎng)絡(luò)的安全監(jiān)控系統(tǒng)自身的局限性，不可避免地出會現(xiàn)誤報、漏報等情況。由于性能的限制，防火墻通常不能提供實時的入侵檢測能力。（1）多層病毒防衛(wèi)體系為了企業(yè)的財產(chǎn)免受損失，多數(shù)企業(yè)都選擇多層的病毒防衛(wèi)體系。其主要作用是在網(wǎng)絡(luò)入口點檢查網(wǎng)絡(luò)通訊，根據(jù)客戶設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通訊。一方面，可以實現(xiàn)對撥號用戶帳號的統(tǒng)一管理；另一方面，在身份驗證過程中采用PGP加密手段，避免用戶口令泄露的可能性。數(shù)字簽名作為驗證發(fā)送者身份和消息完整性的根據(jù)。不對稱型加密算法也稱公用密鑰算法，其特點是有二個密鑰，只有二者搭配使用才能完成加密和解密的全過程。網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。網(wǎng)絡(luò)平臺的安全措施應(yīng)涉及局域網(wǎng)、廣域網(wǎng)、互連網(wǎng)、防病毒和防黑客共五個方面。 4)備份和恢復(fù)。檢查安全漏洞。內(nèi)網(wǎng)和外網(wǎng)的連接如下圖所示：七、 企 業(yè) 網(wǎng) 絡(luò) 安 全 訪 問 控 制 機(jī) 制：（1）防范黑客攻擊、計算機(jī)犯罪和有害信息傳播（包括計算機(jī)病毒）（2）加強(qiáng)應(yīng)用和數(shù)據(jù)的安全建立安全管理制度，注意內(nèi)外兼防，重點在內(nèi)部 安全方案的科學(xué)性、可行性是其順利實施的保障。 (3)基于網(wǎng)絡(luò)地址的VLAN。每個交換機(jī)支持的群組數(shù)目有一定的限制。虛擬局域網(wǎng)為企業(yè)局域網(wǎng)絡(luò)帶來的三個好處是： 如果工作組站點的地理分布，與其它工作組網(wǎng)絡(luò)站點地理分布重復(fù)，則需要在同一地理區(qū)域采用同一局域網(wǎng)交換機(jī)連接不同工作組網(wǎng)絡(luò)站點，通過交換機(jī)構(gòu)成符合工作組劃分的虛擬網(wǎng)絡(luò)。 在采用同一局域網(wǎng)技術(shù)的工作組網(wǎng)絡(luò)互連時，如果可以共享帶寬，而且無安全控制需要，只是由于工作組網(wǎng)絡(luò)覆蓋的距離不夠，則可以采用級聯(lián)集線器的方式擴(kuò)展網(wǎng)絡(luò)。 企業(yè)局域網(wǎng)絡(luò)還可以采用第三層或第四層交換技術(shù)，以滿足網(wǎng)絡(luò)主干在性能上的需求。 在外圍提供前面的網(wǎng)絡(luò)互連和系統(tǒng)集成方案，提供端到端的解決方案，提高網(wǎng)絡(luò)互連性和可靠性，減少網(wǎng)絡(luò)擴(kuò)展的成本。從長遠(yuǎn)角度看，采用交換虛擬網(wǎng)絡(luò)技術(shù)可以降低組建企業(yè)網(wǎng)的成本、提高信息技術(shù)與企業(yè)發(fā)展的適應(yīng)能力。ISP提供多種通信鏈路來滿足企業(yè)用戶非實時網(wǎng)絡(luò)應(yīng)用的需求，,DDN,幀中繼，PSTN等。在每個自主系統(tǒng)中要定義BGP PEER路由器，用于在自主系統(tǒng)之間交換路由信 息。由于其采用DUAL 算法，而且只有網(wǎng)絡(luò)拓?fù)渥兓绊懙降穆酚善鞑艆⑴c路由的計算，僅只有拓?fù)渥兓绊懙降穆酚刹胚M(jìn)行廣 播，因此EIGRP對CPU及網(wǎng)絡(luò)帶寬的消耗都將低于OSPF、IGRP、RIP 等路由協(xié)議。而當(dāng)我們進(jìn)行一個大型網(wǎng)絡(luò)IP協(xié)議的選取時，需考慮以下兩方面的因素：n 部分、界限修改－－－EIGRP路由并不周期性地作修改，只是當(dāng) 某路由的計量發(fā)生變化時，才發(fā)送部分更新。 由于有域的概念，OSPF路由協(xié)議比那些不將AS分區(qū)的情況下 所需傳送的路由信息少得多。路由器收集有關(guān)的鏈路狀態(tài)信息，并根據(jù)SPF的算法計算出到每個結(jié)點的最短路徑。n 最大站點數(shù)為15 RIP 協(xié)議允許最大站點數(shù)為15，任何超過15個站點的目的地均認(rèn)為不可達(dá)到的。 為此，我們簡單介紹幾種路由協(xié)議：、RIP（Route Information Protocol） 路 由 信 息 協(xié) 議 RIP路由協(xié)議與UNIX和TCP/IP緊緊地聯(lián)系在一起的。? 路由器查找 主機(jī)必須知道其網(wǎng)關(guān)地址才能通過路由器訪問別的網(wǎng)段。具體地說，? 在以太網(wǎng)環(huán)境下，有一臺主機(jī)能Telnet到Internet的某一臺主機(jī)，不允許Internet上該主機(jī)Telnet到這臺主機(jī)上，但可以作SMTP的訪問。IP的多點廣播為視頻會議，股票交易等提供出色的服務(wù)。使用helper address后，就允許在一個網(wǎng)絡(luò)上的節(jié)點直接向另一個網(wǎng)絡(luò)上的服務(wù)器發(fā)送信息，而不用經(jīng)過路由器。另一部門，由于主干網(wǎng)絡(luò)過于繁忙，此時只允許跨越主干等。 評估二級主干網(wǎng)絡(luò)的服務(wù) ，我們對二級主干網(wǎng)絡(luò)作如下評估。? 優(yōu)化傳輸隊列主干網(wǎng)上信息傳輸可以分成不同的優(yōu)先級別，將重要的信息定為高優(yōu)先級別，優(yōu)先傳輸。： 評估一級主干網(wǎng)絡(luò)的服務(wù) ：? 主干網(wǎng)絡(luò)帶寬管理： 為了優(yōu)化主干網(wǎng)絡(luò)的操作，路由器提供幾種性能調(diào)節(jié)方法，如優(yōu)先權(quán)隊列管理和數(shù)據(jù)壓縮，動態(tài)路由協(xié)議權(quán)值定義，動態(tài)路由協(xié)議發(fā)包時間間隔優(yōu)化，協(xié)議本地確認(rèn)等優(yōu)化和節(jié)省廣域網(wǎng)帶寬。很多網(wǎng)絡(luò)都得益于使用混合方式來構(gòu)造整個網(wǎng)絡(luò)架構(gòu)。這些問題包括：虛電路的費用，層次設(shè)計（尤其是網(wǎng)狀拓?fù)洹车膬?nèi)在復(fù)雜聯(lián)系，以及需要額外的路由器接口來劃分網(wǎng)絡(luò)層次。大多數(shù)企業(yè)網(wǎng)絡(luò)都可以被層次性劃分為三個邏輯服務(wù)單元(Backbone)、區(qū)域網(wǎng)(Distribute)和訪問網(wǎng)(Local－access)。 網(wǎng)絡(luò)實施階段。企業(yè)網(wǎng)絡(luò)規(guī)劃是從企業(yè)網(wǎng)絡(luò)需求分析到企業(yè)網(wǎng)邏輯設(shè)計中間必經(jīng)階段，主要根據(jù)企業(yè)網(wǎng)絡(luò)需求分析得出分離的、外在的技術(shù)指標(biāo)（如用戶數(shù)、桌面微機(jī)的站點數(shù)、最大響應(yīng)時間要求等等）。n 局域網(wǎng)和廣域網(wǎng)要求。通常大型企業(yè)在網(wǎng)絡(luò)建設(shè)中已有部分的網(wǎng)絡(luò)環(huán)境，這些網(wǎng)絡(luò)環(huán)境能滿足當(dāng)時網(wǎng)絡(luò)應(yīng)用的需要。例如，銀行、國稅系統(tǒng)，民航、鐵路、政府辦公系統(tǒng)等都是跨地域，多層次系統(tǒng)，在網(wǎng)絡(luò)建設(shè)上都有其共同的特點。雖然網(wǎng)絡(luò)技術(shù)在飛速發(fā)展，但企業(yè)網(wǎng)絡(luò)建設(shè)有其內(nèi)在規(guī)律，把握這些內(nèi)在的規(guī)律，將有助于指導(dǎo)大型企業(yè)的網(wǎng)絡(luò)建設(shè)。應(yīng)用驅(qū)動法是采用根據(jù)應(yīng)用需求，從工作組網(wǎng)絡(luò)、樓宇網(wǎng)絡(luò)、園區(qū)網(wǎng)絡(luò)到廣域網(wǎng)絡(luò)的由近到遠(yuǎn)的設(shè)計方法。n 全網(wǎng)絡(luò)信息點分布需求，包括局域網(wǎng)布線結(jié)構(gòu)要求，廣域網(wǎng)傳輸介質(zhì)要求。n 網(wǎng)絡(luò)可靠性、擴(kuò)展性和安全性要求。網(wǎng)絡(luò)傳輸鏈路的類型和容量，以及網(wǎng)絡(luò)安全控制結(jié)構(gòu)和網(wǎng)絡(luò)管理結(jié)構(gòu)。二、 企 業(yè) 網(wǎng) 絡(luò) 層 次 結(jié) 構(gòu) 分 析 及 其 模 塊 化 設(shè) 計 思 想大型企業(yè)網(wǎng)絡(luò)層次結(jié)構(gòu)與企業(yè)的行政結(jié)構(gòu)相對應(yīng)，一般至少有二層，也有三層和四層結(jié)構(gòu)。層次設(shè)計方法可為網(wǎng)絡(luò)帶來以下三個優(yōu)點：層次性網(wǎng)絡(luò)的可擴(kuò)展性可擴(kuò)展性是在包交換網(wǎng)絡(luò)連接中使用層次性設(shè)計的主要優(yōu)點。這種網(wǎng)絡(luò)單元的劃分使故障診斷變得清晰和簡單了，同時還可以提供防止廣播風(fēng)暴、路由循環(huán)等其他潛在問題的內(nèi)在保護(hù)機(jī)制。通常在包交換網(wǎng)絡(luò)中最常見的路由器之間的廣播信息流量是路由更新信息，如果在一個區(qū)域或一個層次中有太多的路由器，那么就會因為廣播的原因而造成網(wǎng)絡(luò)瓶頸。 路由收斂問題：路徑選擇涉及的相關(guān)問題是路由收斂?？紤]到投資成本，不要求主干網(wǎng)上所有路由器都雙鏈路連接，而只考慮主干網(wǎng)上各中間節(jié)點到中心節(jié)點的雙鏈路連接，各中間節(jié)點之間可以無鏈路連接。? 基于策略的信息分發(fā)基于策略的信息分發(fā)的目的是確保傳輸性能和信息的完整性。 接入訪問服務(wù)包含如下內(nèi)容：? 網(wǎng)絡(luò)增值地址網(wǎng)絡(luò)增值地址（helper network address）是用來解決一些特殊的信息傳輸，使得原來是廣播方式的傳輸變?yōu)槎帱c傳輸。然而，如果需要，路由器可以中繼廣播。一方面，包過濾能控制未受權(quán)的用戶訪問，增加安全性，同時能減少網(wǎng)絡(luò)的擁塞，減少網(wǎng)絡(luò)問題的發(fā)生。另外還有遠(yuǎn)程訪問控制，通常采用認(rèn)證機(jī)制。三、 企 業(yè) 網(wǎng) 間 網(wǎng) 路 由 協(xié) 議 我們對企業(yè)網(wǎng)絡(luò)的層次結(jié)構(gòu)及相應(yīng)的網(wǎng)絡(luò)服務(wù)作了系統(tǒng)的分析，各層次的網(wǎng)絡(luò)服務(wù)是建立在網(wǎng)絡(luò)協(xié)議第三層動態(tài)路由或靜態(tài)路由基礎(chǔ)上。n 具有學(xué)習(xí)功能 路由器定時向每個鄰近網(wǎng)絡(luò)廣播報文，通過路由器間相互學(xué)習(xí)， 不斷更新自己的路由。OSPF作為IETF（網(wǎng)間工程任務(wù)組織）為IP 網(wǎng)絡(luò)開發(fā)的一種IGP（內(nèi)部網(wǎng)關(guān)協(xié)議）協(xié)議，克服了RIP 路由協(xié)議的缺點。 一個自治域AS可分為多個域（Area），域是由相鄰的網(wǎng)絡(luò)和連接的主機(jī)組成。、EIGRP（enchansed Interior Gateway Routing Protocol） EIGRP 即為CISCO公司所提出的IGRP路由協(xié)議的增強(qiáng)版。其優(yōu)點為不會產(chǎn)生動態(tài)路由所特 有的路由信息廣播或路由信息、更新或HELLO 從而不會在系統(tǒng)資 源：內(nèi)存、CPU、帶寬等方面制成額外的開銷。 OSPF 的網(wǎng)絡(luò)拓樸必須是層次結(jié)構(gòu)的，分骨干域和邊緣域，在設(shè)計OSPF網(wǎng)絡(luò)時最重要的是域邊界的定義地址分配，域邊界的定義決定了哪些路由器和連接包 括在骨干域中，哪些包括在每一個下連的域中。如下圖： 區(qū)域劃分可減少各路由器的路由表尺寸；利于網(wǎng)絡(luò)擴(kuò)展；支持 VLSM，可通過路徑的疊合（ summarization）優(yōu)化地址的設(shè)計和路由的計算。 所有區(qū)域必物理地連接到主干區(qū)域；四、 企 業(yè) 廣 域 網(wǎng) 鏈 路 選 擇我們從理論上分析了大型企業(yè)網(wǎng)絡(luò)的層次結(jié)構(gòu)和動態(tài)路由協(xié)議。目前，國內(nèi)ISP沒有開放ATM業(yè)務(wù)，但企業(yè)如有需要可以申請ATM服務(wù)。利用ATM技術(shù)的高效擁擠控制和流量控制，高可用性和功能全面的網(wǎng)絡(luò)控制，動態(tài)用戶組管理及有效的流量管理，滿足大批量數(shù)據(jù)傳輸對帶寬的需求，同時滿足多媒體應(yīng)用對不同類型信息流和不同服務(wù)質(zhì)量的需求。如果樓宇內(nèi)部有電磁干擾，可以采用光纖作為傳輸媒體。重點終端用戶采用光纖接入核心交換機(jī)，實現(xiàn)安全傳輸。 業(yè)務(wù)部門工作組的邏輯組合更為靈活。還有其它類型的VLAN劃分： (1)基于MAC地址的VLAN劃分，這種VLAN劃分方法靈活，但管理復(fù)雜； (2)基于協(xié)議規(guī)則的VLAN劃分，把具有相同的第三層協(xié)議網(wǎng)絡(luò)站點歸并成一個VLAN。顯然，內(nèi)網(wǎng)和外網(wǎng)間加裝防火墻。網(wǎng)絡(luò)平臺系統(tǒng)平臺應(yīng)用平臺安全管理物理環(huán)境數(shù)據(jù)完整結(jié)構(gòu)層次身份鑒別訪問控制數(shù)據(jù)保密不可抵賴審計管理可用性、可靠性應(yīng)用層表示層會話層傳輸層網(wǎng)絡(luò)層鏈路層物理層安全特性系統(tǒng)單元安全框架的具體模型和介紹如下： 根據(jù)安全框