【文章內(nèi)容簡介】 網(wǎng)絡(luò)維護(hù)管理等，這些管理不僅在本地網(wǎng)絡(luò)上可以操作，而且能夠在遠(yuǎn)程網(wǎng)絡(luò)間進(jìn)行互操作。 網(wǎng)絡(luò)的兼容性 當(dāng)一個(gè)已有的網(wǎng)絡(luò)在采用新技術(shù)或新的網(wǎng)絡(luò)設(shè)備進(jìn)行改進(jìn)、擴(kuò)充和升級(jí)時(shí)，這些新的網(wǎng)絡(luò)設(shè)施 (軟、硬件 )是否能與原有的或其他的網(wǎng)絡(luò)設(shè)施兼容是非常重要的。兼容性好可以保護(hù)原有的投資，可使新投資與原有的投資同時(shí)發(fā)揮效益。 網(wǎng)絡(luò)的可用性 建成后網(wǎng)絡(luò)的可用性高低是網(wǎng)絡(luò)用戶最為關(guān)心的，它也是對(duì)網(wǎng)絡(luò)質(zhì)量和網(wǎng)絡(luò)性能的綜合衡量?？捎眯允蔷W(wǎng)絡(luò)本身很多物理特性的總體體現(xiàn)，如網(wǎng)絡(luò)的帶寬、網(wǎng)絡(luò)帶寬效 率、網(wǎng)絡(luò)時(shí)延、網(wǎng)絡(luò)負(fù)載、網(wǎng)絡(luò)故障頻率等狀況。同時(shí)也是網(wǎng)絡(luò)系統(tǒng)環(huán)境、網(wǎng)絡(luò)應(yīng)用環(huán)境和網(wǎng)絡(luò)應(yīng)用的支持能力、水平和質(zhì)量的總體反映。 網(wǎng)絡(luò)的 擴(kuò)展 縮性 網(wǎng)絡(luò)的可伸縮性不只是一種網(wǎng)絡(luò)設(shè)施在構(gòu)造網(wǎng)絡(luò)時(shí)，在規(guī)模上可依據(jù)需要擴(kuò)大或減小，而且還應(yīng)體現(xiàn)在網(wǎng)絡(luò)的模塊化和結(jié)構(gòu)化方面。網(wǎng)絡(luò)體系結(jié)構(gòu)的模塊化、結(jié)構(gòu)化是現(xiàn)代化網(wǎng)絡(luò)技術(shù)產(chǎn)品的標(biāo)志和趨勢，為今后黨政網(wǎng)絡(luò)體系的構(gòu)成注入新的活力。網(wǎng)絡(luò)管 理的任意性和網(wǎng)絡(luò)配置的簡便性等是網(wǎng)絡(luò)可伸縮性的另一重要方面。 網(wǎng)絡(luò)的經(jīng)濟(jì)性 一個(gè)好的網(wǎng)絡(luò)并不是高價(jià)網(wǎng)絡(luò)設(shè)備的簡單堆積，并不是網(wǎng)絡(luò)設(shè)備越好，網(wǎng)絡(luò)就越好。衡量一個(gè)網(wǎng)絡(luò)的好壞和它的經(jīng)濟(jì)性，不能單看所用的投資的多少，而應(yīng)以網(wǎng)絡(luò)所具 有的功能和網(wǎng)絡(luò)可承擔(dān)的負(fù)荷，如網(wǎng)上的用戶數(shù)、數(shù)據(jù)流量等參數(shù)去綜合衡量。以 “ 少花錢，多辦事 ”的原則，獲得更大的經(jīng)濟(jì)效益和社會(huì)效益。 網(wǎng)絡(luò)設(shè)計(jì) 網(wǎng)絡(luò)拓?fù)鋱D IP 地址設(shè)計(jì) 設(shè)計(jì)原則： 簡單性；地址的分配應(yīng)該簡單，避免在小區(qū)內(nèi)采用復(fù)雜的掩碼方式。 連續(xù)性；為同一個(gè)樓內(nèi)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地 址，便于管理，易于維護(hù)。 可擴(kuò)充性；為整個(gè)小區(qū)或樓內(nèi)區(qū)域分配的網(wǎng)絡(luò)地址應(yīng)該具有一定的容量，便于主機(jī)數(shù)量增加時(shí)仍然能夠保持地址的連續(xù)性。 靈活性；地址分配不應(yīng)該基于某個(gè)網(wǎng)絡(luò)路由策略的優(yōu)化方案，應(yīng)該便于多數(shù)路由策略在該地址分配方案上實(shí)現(xiàn)優(yōu)化。 可管理性；地址的分配應(yīng)該有層次，某個(gè)局部的變動(dòng)不要影響上層、全局。 安全性；小區(qū)內(nèi)應(yīng)按工作內(nèi)容劃分成不同網(wǎng)段即子網(wǎng)以便進(jìn)行管理。 設(shè)計(jì)方案： 1． 公司對(duì)外只有一個(gè)公網(wǎng) IP，所以采用內(nèi)網(wǎng)采用內(nèi)網(wǎng)地址 到。邊界路由進(jìn)行 NAT 轉(zhuǎn)換。 2． 全網(wǎng)根據(jù)個(gè)部門的分工，及職能進(jìn)行子網(wǎng)的劃分。以及 VLAN 的劃分。 3． 同一建筑物進(jìn)行連續(xù)的網(wǎng)絡(luò)地址劃分。 4． 進(jìn)行層次化的劃分方式。 5． 考慮全局的路由策略。 6． 考慮網(wǎng)絡(luò)的可擴(kuò)展性。 無類別域間路由和路由匯聚 無類別域間路由（ CIDR） CIDR 是開發(fā)用于幫助減緩 IP 地址和路由表增大問題的一項(xiàng)技術(shù)。 CIDR（ Classless InterDomain Routing，無類域間路由）的基本思想是取消 IP 地址的分類結(jié)構(gòu)，將多個(gè)地址塊聚合在一起生成一個(gè)更大的網(wǎng)絡(luò)，以包含更多的主機(jī)。 CIDR 支持路由聚合，能夠?qū)⒙酚杀碇械脑S多路 由條目合并為成更少的數(shù)目，因此可以限制路由器中路由表的增大，減少路由通告。同時(shí)， CIDR有助于 IPv4 地址的充分利用。 CIDR 叫做無類域間路由 ,ISP 常用這樣的方法給客戶分配地址 ,ISP 提供給客戶 1 個(gè)塊 (block size),類似這樣 :,這排數(shù)字告訴你你的子網(wǎng)掩碼是多少 ,/28 代表多少位為 1,最大 /的 1 點(diǎn)是 :不管是 A 類還是 B 類還是其他類地址 ,最大可用的只能為 30/,即保留 2位給主機(jī)位。 安全體系設(shè)計(jì) 物理安全 網(wǎng)絡(luò)的物理安全是整個(gè)網(wǎng)絡(luò)系統(tǒng)安全的前提。在 校園網(wǎng)工程建設(shè)中，由于網(wǎng)絡(luò)系統(tǒng)屬于弱電工程，耐壓值很低。因此，在網(wǎng)絡(luò)工程的設(shè)計(jì)和施工中，必須優(yōu)先考慮保護(hù)人和網(wǎng)絡(luò)設(shè)備不受電、火災(zāi)和雷擊的侵害；考慮布線系統(tǒng)與照明電線、動(dòng)力電線、通信線路、暖氣管道及冷熱空氣管道之間的距離；考慮布線系統(tǒng)和絕緣線、裸體線以及接地與焊接的安全；必須建設(shè)防雷系統(tǒng)，防雷系統(tǒng)不僅考慮建筑物防雷，還必須考慮計(jì)算機(jī)及其他弱電耐壓設(shè)備的防雷?？傮w來說物理安全的風(fēng)險(xiǎn)主要有，地震、水災(zāi)、火災(zāi)等環(huán)境事故；電源故障；人為操作失誤或錯(cuò)誤；設(shè)備被盜、被毀； 電磁干擾；線路截獲；高可用性的硬件；雙機(jī)多冗余的設(shè) 計(jì)；機(jī)房環(huán)境及報(bào)警系統(tǒng)、安全意識(shí)等，因此要盡量避免網(wǎng)絡(luò)的物理安全風(fēng)險(xiǎn)。 網(wǎng)絡(luò)傳輸安全 ? 網(wǎng)絡(luò)傳輸數(shù)據(jù)保護(hù)； 由安裝在網(wǎng)絡(luò)上的 VPN 設(shè)備實(shí)現(xiàn)各內(nèi)部網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸加密保護(hù)，并可同時(shí)采取加密或隧道的方式進(jìn)行傳輸 ? 網(wǎng)絡(luò)隔離保護(hù)； 與 INTERNET 進(jìn)行隔離，控制內(nèi)網(wǎng)與 INTERNET 的相互訪問 ? 集中統(tǒng)一管理，提高網(wǎng)絡(luò)安全性； ? 降低成本（設(shè)備成本和維護(hù)成本）； 訪問控制 ? 控制外部合法用戶對(duì)內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)訪問； ? 控制外部合法用戶對(duì)服務(wù)器的訪問； ? 禁止外部非法用戶對(duì)內(nèi)部網(wǎng)絡(luò)的訪問； ? 控制內(nèi)部用戶對(duì)外部網(wǎng)絡(luò)的網(wǎng)絡(luò)； ? 阻 止外部用戶對(duì)內(nèi)部的網(wǎng)絡(luò)攻擊； ? 防止內(nèi)部主機(jī)的 IP 欺騙； ? 對(duì)外隱藏內(nèi)部 IP 地址和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)； ? 網(wǎng)絡(luò)監(jiān)控； ? 網(wǎng)絡(luò)日志審計(jì)； 入侵檢測 網(wǎng)絡(luò)安全不可能完全依靠單一產(chǎn)品來實(shí)現(xiàn)，網(wǎng)絡(luò)安全是個(gè)整體的，必須配相應(yīng)的安全產(chǎn)品。作為必要的補(bǔ)充，入侵檢測系統(tǒng)（ IDS）可與安全 VPN 系統(tǒng)形成互補(bǔ)。入侵檢測系統(tǒng)是根據(jù)已有的、最新的和可預(yù)見的攻擊手段的信息代碼對(duì)進(jìn)出網(wǎng)絡(luò)的所有操作行為進(jìn)行實(shí)時(shí)監(jiān)控、記錄，并按制定的策略實(shí)行響應(yīng)（阻斷、報(bào)警、發(fā)送 Email）。從而防止針對(duì)網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測系統(tǒng)一般包括控制臺(tái)和探測器（網(wǎng)絡(luò)引擎）。控制臺(tái)用作制定及管理所有探測器（網(wǎng)絡(luò)引擎）。探測器（網(wǎng)絡(luò)引擎）用作監(jiān)聽進(jìn)出網(wǎng)絡(luò)的訪問行為，根據(jù)控制臺(tái)的指令執(zhí)行相應(yīng)行為。由于 探測器采取的是監(jiān)聽而不是過濾數(shù)據(jù)包，因此，入侵檢測系統(tǒng)的應(yīng)用不會(huì)對(duì)網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。 漏洞掃描 作為一個(gè)完善的通用安全系統(tǒng)，應(yīng)當(dāng)包含完善的安全措施，定期的安全評(píng)估及安 全分析同樣相當(dāng)重要。由于網(wǎng)絡(luò)安全系統(tǒng)在建立后并不是長期保持很高的安全性，而是隨著時(shí)間的推移和技術(shù)的發(fā)展而不斷下降的，同時(shí)，在使用過程中會(huì)出現(xiàn)新的安全問題，因此，作為安全系統(tǒng)建設(shè)的補(bǔ)充，采取相應(yīng)的措施也是必然。 本方案中，采用漏洞掃描設(shè)備對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行定期掃描，對(duì)存在的系統(tǒng)漏洞、網(wǎng)絡(luò)漏洞、應(yīng)用程序漏洞、操作系統(tǒng)漏洞等進(jìn)行探測、掃描，發(fā)現(xiàn)相 應(yīng)的漏洞并告警，自動(dòng)提出解決措施，或參考意見，提醒網(wǎng)絡(luò)安全管理員作好相應(yīng)調(diào)整。 病毒防護(hù) 因?yàn)椴《驹诰W(wǎng)絡(luò)中存儲(chǔ)、傳播、感染的方式各異且途徑多種多樣，相應(yīng)地企業(yè)在構(gòu)建網(wǎng)絡(luò)防病毒系統(tǒng)時(shí)，應(yīng)利用全方位的企業(yè)防毒產(chǎn)品，實(shí)施“層層設(shè)防、集中控制、以防為主、防殺結(jié)合”的策略。具體而言，就是針對(duì)網(wǎng)絡(luò)中所有可能的病毒攻擊設(shè)置對(duì)應(yīng)的防毒軟件，通過全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡(luò)沒有薄弱環(huán)節(jié)成為病毒入侵的缺口。本方案中在選擇殺毒軟件時(shí)應(yīng)當(dāng)注意幾個(gè)方面的要求：具有卓越的病毒防治技術(shù)、程序內(nèi)核安全可靠、對(duì)付國產(chǎn)和國外病毒能力超 群、全中文產(chǎn)品，系統(tǒng)資源占用低，性能優(yōu)越、可管理性高，易于使用、產(chǎn)品集成度高、高可靠性、可調(diào)配系統(tǒng)資源占用率、便捷的網(wǎng)絡(luò)化自動(dòng)升級(jí)等優(yōu)點(diǎn)。 病毒對(duì)信息系統(tǒng)的正常工作運(yùn)行產(chǎn)生很大影響，據(jù)統(tǒng)計(jì)，信息系統(tǒng)的 60%癱瘓是由于感染