【正文】 個(gè) 100FX 快速以太網(wǎng)端口和 130 個(gè)千兆比特以太網(wǎng)端口－－業(yè)界最高的端口數(shù)量。CiscoIOS 提供整套軟件業(yè)務(wù)，負(fù)責(zé)管理網(wǎng)絡(luò)安全性，分配并實(shí)施 QoS，提供增值的、實(shí)現(xiàn)高網(wǎng)絡(luò)彈性的業(yè)務(wù)。TACACS＋和 IP 允許清單防止對安全管理環(huán)境中的交換機(jī)進(jìn)行非法訪問。新級別的網(wǎng)絡(luò)彈性 Catalyst6000 家族支持多級別網(wǎng)絡(luò)彈性和可服務(wù)性，旨在處理關(guān)鍵任務(wù)應(yīng)用。強(qiáng)大的管理 Catalyst6000 系列提供了一套綜合管理工具以提供網(wǎng)絡(luò)中所需要的能見度和控制。每個(gè)端口上的內(nèi)置智能遠(yuǎn)程監(jiān)控（RMON）工具提供強(qiáng)大的業(yè)務(wù)監(jiān)視和控制－－每個(gè)端口支持四個(gè) RMON 組，包括統(tǒng)計(jì)、歷史記錄、事件和告38 / 56警組。所有千兆以太網(wǎng)端口均支持接口的靈活性，這樣，接口要求變化時(shí)不再需要更換模塊，簡單的 GBIC 變換即可完成。 關(guān)鍵特性及優(yōu)點(diǎn)：突出性能 10Gbps 的交換背板，高達(dá) 的轉(zhuǎn)發(fā)速率 8MB DRAM 和 4MB FLASH，4MB Shared Memory 10/100M 交換全雙工 CGMP Fast Leave 多點(diǎn)廣播技術(shù) 端口 VLAN 支持 支持 250 個(gè)基于端口的虛網(wǎng)（VLAN） 支持 IEEE 和 Cisco ISL VLAN Trunking（EN 版本軟件） 40 / 56已集成的 IOS 交換特性 Cisco Group Management Protocol（CGMP） Fast EtherChannel 和 Giga EtherChannel 帶寬聚合技術(shù)，故障冗余備份 每個(gè)端口的廣播風(fēng)暴控制和 支持 基于命令行用戶界面（CLI）的調(diào)試設(shè)置 優(yōu)越的管理性能 CVSM 軟件，內(nèi)置 HTTP Server 可通過 Netscape 或 IE 進(jìn)行主頁方式設(shè)置調(diào)試 支持 SNMP 簡單網(wǎng)管協(xié)議和 Tel 界面 RMON、DNS、TFTP、NTP、ARP 功能和協(xié)議支持 多功能發(fā)光二極管（LED）指示端口工作、冗余電源、帶寬利用狀態(tài) 安全和容錯(cuò)特性 端口水平基于 MAC 地址安全訪問，每端口允許 132 個(gè) MAC 地址列表 調(diào)試口、以太網(wǎng)口連接的多級密碼保護(hù) TACACS+安全認(rèn)證（EN 版本軟件） 生成樹冗余堆疊連接 可選 600W 交流冗余電源，平均無故障時(shí)間超過 150000 小時(shí) 保修 Cisco 承諾終生保修41 / 56附件三：IBM RS/6000 系列小型機(jī)服務(wù)器介紹RS/6000 是 IBM 面 向 開 放 系 統(tǒng) 的 產(chǎn) 品 ， 采 用 最 先 進(jìn) 的 處 理 器結(jié) 構(gòu) ， 使 得 這 一 產(chǎn) 品 具 有 極 高 的 性 能 價(jià) 格 比 。SMP 結(jié) 構(gòu) 的 RS/6000 服 務(wù) 器SMP（ SYMMETRIC MULTIPROCESSOR) 對 稱 式 多 處 理 機(jī) 是 現(xiàn) 代 計(jì) 算機(jī) 技 術(shù) 發(fā) 展 的 潮 流 與 趨 勢 。 然 而 卻 同時(shí) 增 加 了 維 持 緩 存 一 致 性 的 必 要 性 ， 如 圖 2 所 示 ， 當(dāng) P1 的 緩 存中 A 的 數(shù) 據(jù) 被 更 改 后 ， 同 一 份 在 P2 中 的 A 的 數(shù) 據(jù) 就 必 須 同 時(shí) 有一 個(gè) 機(jī) 構(gòu) 去 更 改 ， 以 免 發(fā) 生 數(shù) 據(jù) 不 一 致 的 現(xiàn) 象 ， 而 不 可 避 免 的 ，這 種 更 改 必 須 通 過 內(nèi) 存 總 線 去 執(zhí) 行 ， 當(dāng) 所 有 的 CPU 都 在 全 力 運(yùn)行 時(shí) ， 這 樣 的 動 作 當(dāng) 然 更 增 加 了 內(nèi) 存 總 線 的 忙 碌 程 度 。45 / 56P1 P2 P3 P4Memory DatCrosBarSwitchCPUCacheMemory BusI/O圖 3 為 了 解 決 SMP 系 統(tǒng) 的 穩(wěn) 定 性 問 題 ， RS/6000 的 所 有 SMP 系 統(tǒng)上 都 標(biāo) 準(zhǔn) 配 備 有 一 個(gè) 名 為 SYSTEM GUARD 的 SERVICE PROCESSOR， 這 個(gè)獨(dú) 立 的 PROCESSOR 可 執(zhí) 行 許 多 功 能 。 而 RS/6000 則 是 自 最 小 型 的 G40 機(jī) 型 就 全 部 配 備 有這 樣 的 重 要 功 能 。 當(dāng) 連 線 建 立 好 之 后 ， 亦 可 同 步 通 知 IBM 系 統(tǒng) 維護(hù) 部 門 處 理 。此 高 速 資 料 傳 輸 交 換 機(jī) 對 于 商 用 數(shù) 據(jù) 庫 的 應(yīng) 用 程 序 尤 其 顯 得重 要 ， 此 類 應(yīng) 用 程 序 需 要 大 量 使 用 硬 盤 的 資 料 ， 而 一 般 客 戶 內(nèi) 存又 不 會 非 常 大 ， 系 統(tǒng) 必 須 花 費(fèi) 非 常 多 的 時(shí) 間 來 處 理 CPU， 內(nèi) 存 及 I/O 之 間 的 資 料 傳 輸 問 題 ， IBM SMP 系 統(tǒng) 乃 針 對 客 戶 實(shí) 際 應(yīng) 用程 序 需 要 ， 花 下 大 資 本 研 發(fā) 高 速 資 料 交 換 機(jī) ， 對 擴(kuò) 大 商 用 客 戶 的應(yīng) 用 程 序 而 言 ， 將 可 大 大 提 供 資 料 傳 輸 速 度 ， 解 決 傳 輸 瓶 頸 。傳 統(tǒng) SMP 的 限 制 主 要 還 有 以 下 幾 點(diǎn) ：內(nèi) 存 總 線 競 爭 :當(dāng) 多 個(gè) CPU 共 享 一 個(gè) 內(nèi) 存 總 線 時(shí) ， 一 定 會 發(fā) 生 類 似ETHERNET 上 的 碰 撞 情 形 (如 圖 一 所 示 )， 圖 1 中 的 P1 在 存 取 內(nèi) 存的 數(shù) 據(jù) 時(shí) ， P P P4 就 不 能 使 用 這 唯 一 的 一 條 內(nèi) 存 總 線 ， 因 此其 他 的 CPU 就 必 須 要 “空 轉(zhuǎn) ”， 等 待 P1 使 用 完 畢 才 可 能 存 取 它 們所 需 要 的 數(shù) 據(jù) 。RS/6000 的 顯 示 子 系 統(tǒng) 支 持 OSF/MOTIF 和 MIT 的 XWINDOWS 窗 口標(biāo) 準(zhǔn) 環(huán) 境 ， 并 支 持 SGI 的 圖 形 庫 ， 提 供 了 XWINDOWS 產(chǎn) 品 的 各種 窗 口 化 的 管 理 工 具 和 編 程 功 能 ， 功 能 強(qiáng) 大 ， 方 便 易 用 。同時(shí)Catalyst 3500XL 交換機(jī)的高性能 IOS 軟件配合 Cisco Visual Switch Manager（CVSM）交換機(jī)網(wǎng)管軟件可以方便實(shí)現(xiàn)以主頁方式的設(shè)置和網(wǎng)管。投資保護(hù) Catalyst6000 家族支持許多旨在保護(hù)客戶投資的特性。所有 Catalyst6000 家族交換機(jī)中都有 VMPS，能為所有 Cisco 網(wǎng)絡(luò)服務(wù)提供實(shí)施策略所需的數(shù)據(jù)庫信息。Catalyst6000 家族的交換機(jī)還能在 3 層路徑上進(jìn)行負(fù)載平衡。Catalyst6000 系列可采用相同的策略機(jī)制來保證話音－數(shù)據(jù)業(yè)務(wù)穿過網(wǎng)絡(luò)。資源預(yù)留協(xié)議(RSVP)優(yōu)先映射亦可使用，以確保及時(shí)提供時(shí)間敏感的 Intra 應(yīng)用。為保護(hù)投資，兩種交換機(jī)均支持同一套 Supervisor、接口線路板和電源，提供廣泛的價(jià)格/性能比選擇。可擴(kuò)展的端口密度 Catalyst6000 家族由 Catalyst6000 系列、Catalyst6500 系列組成。如果不同廠商產(chǎn)品的互操作問題得不到解決，各個(gè)廠商 ATM 解決方案之間沒有可協(xié)調(diào)之處，那么，ATM 的發(fā)展必將會受到阻礙。有了QoS，網(wǎng)絡(luò)管理員就可以很方便地管理各種網(wǎng)絡(luò)資源，嚴(yán)格掌握網(wǎng)絡(luò)主干的帶寬分配，并且根據(jù)實(shí)際應(yīng)用需求，對不同的業(yè)務(wù)類型劃分優(yōu)先級，以確保重要或機(jī)密業(yè)務(wù)優(yōu)先。當(dāng)千兆以太網(wǎng)技術(shù)真正實(shí)現(xiàn)了較高的服務(wù)質(zhì)量，也許就是它在局域網(wǎng)中替代 ATM 的時(shí)候了。它保護(hù)了用戶在設(shè)備和技術(shù)方面的投資，也為園區(qū)局域網(wǎng)升級提供了較為合理的解決方案。 同步光纖網(wǎng)(SONET)是許多 ATM 光纖通信的標(biāo)準(zhǔn)，以光纖為傳輸媒介的 ATM 廣域網(wǎng)早已在世界上許多地方投入了商業(yè)運(yùn)行，并發(fā)揮了相當(dāng)高的效率。ATM 與千兆以太網(wǎng)比較差別之一：布線和傳輸距離 千兆以太網(wǎng)技術(shù)的出現(xiàn)令深受網(wǎng)絡(luò)擁塞之苦的用戶欣喜若狂，好象盼到了救星一般，特別是它“可由傳統(tǒng)以太網(wǎng)平滑升級”和“最大限度保護(hù)傳統(tǒng)以太網(wǎng)用戶已有投資”的承諾，更使網(wǎng)絡(luò)用戶倍感親切。千兆以太網(wǎng)能夠繼續(xù)延用其他種類的以太網(wǎng)幀格式，延用網(wǎng)管員現(xiàn)在的應(yīng)用、管理工具、配置、安裝和故障排除手段，從而使得企業(yè)在已有硬件和應(yīng)用的配置和培訓(xùn)上進(jìn)行很小投資即可獲得性能的大幅度提高。隨著有關(guān)千兆網(wǎng)標(biāo)準(zhǔn)的逐一制定和完善，各種設(shè)備也將大量推出。由于兩條鏈路連接到 FDDI 網(wǎng)絡(luò)上，當(dāng)主環(huán)出現(xiàn)故障時(shí)，它可以使用備份環(huán)來傳遞數(shù)據(jù)。 FDDI 主要優(yōu)點(diǎn)為帶寬高、穩(wěn)定性高、可靠性高，缺點(diǎn)是建設(shè)造價(jià)高。100M 的以太網(wǎng)由于其高帶寬、技術(shù)成熟、簡單易用，同時(shí)又與 10M 以太網(wǎng)兼容，所以是中小企業(yè)建設(shè)自己的局域網(wǎng)的首選技術(shù)。在這種情況下，同時(shí)發(fā)送的數(shù)據(jù)都是無效的。環(huán)型拓?fù)浣Y(jié)構(gòu)優(yōu)點(diǎn)是所需電纜長度短，布線簡單，特別適合于光纖媒體。 盡管，星型網(wǎng)絡(luò)結(jié)構(gòu)也存在著投資較多，中心設(shè)備要求較高的缺點(diǎn)。 為消除網(wǎng)絡(luò)瓶頸，各種新的網(wǎng)絡(luò)傳輸技術(shù)不斷涌現(xiàn)。 4 .防火墻的安全功能 各種防火墻的安全性能不盡相同。另外，各種路由器和 UNIX 主機(jī)都可以經(jīng)過配置作為簡單的防火墻使用，來滿足一般的需要。（1）. 包過濾型防火墻檢查的范圍涉及網(wǎng)絡(luò)層、傳輸層和會話層，過濾匹配的原則可以包括源地址、目的地址、傳輸協(xié)議、目的端口等。安全體系在任何情況下都不應(yīng)該被旁路。VLAN Trunking 技術(shù)的采用，既節(jié)省了信道數(shù)據(jù)量，又提高了可靠性，并便于管理及方便連接，提高了整個(gè)網(wǎng)絡(luò)吞吐量和性能指標(biāo)。 而不用更改布線，因?yàn)樘摼W(wǎng)技術(shù)是從邏輯角度而非物理角度來劃分子網(wǎng)的，所以采用虛網(wǎng)技術(shù)能減輕系統(tǒng)的擴(kuò)容壓力，將遷移費(fèi)用降至至最小。15 / 56 網(wǎng)絡(luò)安全的實(shí)現(xiàn)1 .網(wǎng)絡(luò)隔離 根據(jù)功能、保密水平、安全水平等要求的差異將網(wǎng)絡(luò)進(jìn)行分段隔離，對整個(gè)網(wǎng)絡(luò)的安全性有很多好處。（3）上網(wǎng)信息要建立逐級審核機(jī)制，建立保密安全責(zé)任制。2 . 網(wǎng)絡(luò)管理方案 本網(wǎng)絡(luò)設(shè)置網(wǎng)絡(luò)管理系統(tǒng)，實(shí)現(xiàn)對整個(gè)網(wǎng)絡(luò)實(shí)現(xiàn)統(tǒng)一的管理。安全管理的一個(gè)更為廣闊的形式是保證安全策略在整個(gè)網(wǎng)絡(luò)上是一致的。這保證了對軟件版本的嚴(yán)格控制。 主機(jī)方案特點(diǎn)? 技術(shù)中心系統(tǒng)采用 HACMP 雙機(jī)熱備份方式，可以提高系統(tǒng)可靠性。當(dāng) SSA 的環(huán)路斷開時(shí)，并不影響數(shù)據(jù)的讀寫，僅僅是速率變?yōu)?0Mb/s，而 SCSI 系統(tǒng)總線斷開時(shí)，整個(gè)總線上的硬盤系統(tǒng)便會崩潰。H70 建立在 IBM 第二代 RISC 芯片的基礎(chǔ)上，具有先進(jìn)的 SMP 結(jié)構(gòu)。? 具備優(yōu)良的性能價(jià)格比。采用先進(jìn)的虛擬網(wǎng) VLAN 技術(shù)，以減少各種業(yè)務(wù)、各種應(yīng)用數(shù)據(jù)流之間的通信量，做到各種業(yè)務(wù)數(shù)據(jù)流量的隔離，進(jìn)一步增強(qiáng)網(wǎng)絡(luò)的安全性、可管理性和帶寬有效利用，優(yōu)化整個(gè)網(wǎng)絡(luò)。詳見下圖： 網(wǎng)絡(luò)系統(tǒng)方案特點(diǎn)局域網(wǎng)設(shè)計(jì)先進(jìn)，實(shí)現(xiàn)分層不同容量交換6 / 56 整個(gè)網(wǎng)絡(luò)建設(shè)符合 ISO/IEC11801 標(biāo)準(zhǔn)和中國工程建設(shè)規(guī)范。安全性： 在網(wǎng)絡(luò)信息時(shí)代，大流量的數(shù)據(jù)傳輸和管理在整個(gè)網(wǎng)絡(luò)系統(tǒng)中占很重要的位置，同時(shí)有些數(shù)據(jù)文件是高度秘密，防止外來黑客的侵入，所以在本系統(tǒng)的設(shè)計(jì)中有較好的穩(wěn)定性和安全性。實(shí)用性： 本系統(tǒng)的建設(shè)將始終遵循“面向應(yīng)用，注重實(shí)效”的指導(dǎo)思想。同時(shí)還應(yīng)注意所選用的技術(shù)、設(shè)備和開發(fā)工具是最普及通用和成熟的，能與最新技術(shù)接軌，對市場的任何變化具有極強(qiáng)的適應(yīng)性。在網(wǎng)絡(luò)核心層，確保連接可靠性，建議采用兩臺業(yè)界杰出的 Cisco 6509 模塊化千兆以太網(wǎng)5 / 56交換機(jī)互為備份，作為系統(tǒng)主干交換機(jī)。局域網(wǎng)分配層 Cisco 3548 快速以太網(wǎng)交換機(jī)，具有 48 個(gè) 10/100Mbps 端口，帶 2 個(gè)模塊插槽，支持千兆位端口，背板帶寬高達(dá) 10 Gbps。網(wǎng)絡(luò)擴(kuò)展性強(qiáng)、保護(hù)投資 技術(shù)中心核心層網(wǎng)絡(luò)設(shè)備為高性能模塊化設(shè)計(jì)，Catalyst 6509千兆位以太網(wǎng)交換機(jī)的九個(gè)插槽僅用五個(gè)，網(wǎng)絡(luò)結(jié)構(gòu)采用層次化設(shè)計(jì)，高層網(wǎng)絡(luò)設(shè)備在不能滿足工作要求時(shí)，可降級使用。從業(yè)務(wù)處理的復(fù)雜程度來講，煙草行業(yè)業(yè)務(wù)相對簡單。例如，它可以在系統(tǒng)未開機(jī)的情況下執(zhí)行系統(tǒng)的檢測動作，也可以在系統(tǒng)任何一個(gè)元件發(fā)生問題時(shí)自動將系統(tǒng)重新啟動，并將有問題的元件隔離待修，不需人工的處理。這意味著當(dāng)主機(jī)發(fā)生意外時(shí)，備份機(jī)不僅接管主機(jī)的 IP 地址、主機(jī)名，而且接管主機(jī)網(wǎng)卡的 MAC 地址，從而真正作到無縫接管，即 Client 端不必重新啟動計(jì)算機(jī)或刷新 ARP表，便可直接與主機(jī)（實(shí)際為備份機(jī)）通訊。11 / 56第三章 網(wǎng)絡(luò)管理與網(wǎng)絡(luò)安全 網(wǎng)絡(luò)管理 網(wǎng)絡(luò)互聯(lián)使得管理變得更加困難，同時(shí)也更加重要。這將允許為指定的系統(tǒng)改進(jìn)和定制模型。它們存在的理由是它們可以使公司的效率更高。 本網(wǎng)絡(luò)的安全需求要在常德卷煙廠信息系統(tǒng)安全的統(tǒng)一規(guī)劃下來指定具體的規(guī)則來實(shí)施。 最后一種是當(dāng)前互聯(lián)網(wǎng)絡(luò)所面臨的最大威脅，是電子商務(wù)、政府上網(wǎng)工程等順利發(fā)展的最大障礙，也是企業(yè)網(wǎng)絡(luò)安全策略最需要解決的問題。前面兩種的配置較為直觀，下面主要分析防火墻技術(shù)。 ，但與傳統(tǒng)的局域網(wǎng)協(xié)議所不同的是，虛擬局域網(wǎng)能限制廣播的區(qū)域域，從而節(jié)省網(wǎng)絡(luò)帶寬。2 .防火墻 防火墻在網(wǎng)絡(luò)中的地位與它的名字非常相似，它根據(jù)網(wǎng)絡(luò)安全水平和可信任關(guān)系將網(wǎng)絡(luò)劃分成一些相對獨(dú)立的子網(wǎng)，兩側(cè)間的通信受到防火墻的檢查控制。對各種已識別類型的攻擊的防御有賴于正確的配置，對各種最新的攻擊類型的防御取決于防火墻知