【文章內(nèi)容簡介】 礎(chǔ)之上的，如：Internet或Intranet。 要實現(xiàn)VPN連接，企業(yè)內(nèi)部網(wǎng)絡(luò)方面連接企業(yè)內(nèi)部專用網(wǎng)絡(luò)，另一方面要連接到Internet，也就是說VPN服務(wù)器必須擁有一個公用的IP地址。當客戶機通過VPN連接與專用網(wǎng)絡(luò)中的計算機進行通信時，先由ISP（Internet服務(wù)提供商）將所有的數(shù)據(jù)傳送到VPN服務(wù)器，然后再由VPN服務(wù)器負責(zé)將所有的數(shù)據(jù)傳送到目標計算機。VPN使用三個方面的技術(shù)保證了通信的安全性：隧道協(xié)議、身份驗證和數(shù)據(jù)加密。客戶機向VPN服務(wù)器發(fā)出請求，VPN服務(wù)器響應(yīng)請求并向客戶機發(fā)出身份質(zhì)詢，客戶機將加密的響應(yīng)信息發(fā)送到VPN服務(wù)器，VPN服務(wù)器根據(jù)用戶數(shù)據(jù)庫檢查該響應(yīng)，如果賬戶有效，VPN服務(wù)器將檢查該用戶是否具有遠程訪問權(quán)限，如果該用戶擁有遠程訪問的權(quán)限，VPN服務(wù)器接受此連接。在身份驗證過程中產(chǎn)生的客戶機和服務(wù)器公有密鑰將用來對數(shù)據(jù)進行加密。 防火墻技術(shù) 由于需要與Internet互連，因此易受到非法用戶的入侵。為確保企業(yè)信息和機密的安全，需要在Intranet與Internet之間設(shè)置防火墻。防火墻可看作是一個過濾器，用于監(jiān)視和檢查流動信息的合法性。目前防火墻技術(shù)有以下幾種，即包過濾技術(shù)（Packet filter）、電路級網(wǎng)關(guān)（Circuit gateway）、應(yīng)用級網(wǎng)關(guān)（Application）、規(guī)則檢查防火墻（Stalaful Inspection）。 在實際應(yīng)用中，并非單純采用某一種，而是幾種的結(jié)合。 數(shù)據(jù)加密技術(shù) 數(shù)據(jù)加密技術(shù)是數(shù)據(jù)保護的最主要和最基本的手段。通過數(shù)據(jù)加密技術(shù)，把數(shù)據(jù)變成不可讀的格式，防止企業(yè)的數(shù)據(jù)信息在傳輸過程中被篡改、刪除和替換。 目前，數(shù)據(jù)加密技術(shù)大致可分為專用密匙加密（對稱密匙加密）和公用密匙加密（不對稱密匙加密）兩大類。在密碼通信中，這兩種加密方法都是常用的。專用密匙加密時需用戶雙方共同享有密匙，如DES方法，由于采用對稱編碼技術(shù)，使得專用密匙加密具有加密和解密非?？斓淖畲髢?yōu)點，能有硬件實現(xiàn)，使用于交換大量數(shù)據(jù)。但其最大問題是把密匙分發(fā)到使用該密碼的用戶手中。這樣做是很危險的，很可能在密匙傳送過程中發(fā)生失密現(xiàn)象（密匙被偷或被修改）。公用密匙加密采用與專用密匙加密不同的數(shù)學(xué)算法。有一把公用的加密密匙，如RSA方法 。其優(yōu)點是非法用戶無法通過公用密匙推導(dǎo)出解密密匙，因此保密性好，但運行效率低，不適于大量數(shù)據(jù)。所以在實際應(yīng)用中常將兩者結(jié)合使用，如通過公用密匙在通信開始時進行授權(quán)確認，并確定一個公用的臨時專用密匙，然后再用專用密匙數(shù)據(jù)加密方式進行通信。 系統(tǒng)容錯技術(shù) 網(wǎng)絡(luò)中心是整個企業(yè)網(wǎng)絡(luò)和信息的樞紐，為了確保其能不間斷地運行，需采取一定的系統(tǒng)容錯技術(shù)： （1）網(wǎng)絡(luò)設(shè)備和鏈路冗余備份。網(wǎng)絡(luò)設(shè)備易發(fā)生故障的接口卡都保留適當?shù)娜哂?，保證網(wǎng)絡(luò)的關(guān)鍵部分無單點故障。 （2）服務(wù)器冷備份。采用雙服務(wù)器，它們都安裝數(shù)據(jù)庫管理系統(tǒng)和Web服務(wù)器軟件，但兩臺服務(wù)器同時運行不同的任務(wù)，一臺運行數(shù)據(jù)庫系統(tǒng)，一臺運行Web服務(wù)器軟件，它們共享外部磁盤陳列，萬一一臺服務(wù)器出現(xiàn)故障，可以通過鍵入預(yù)先編好的命令，把任務(wù)切換到另一臺服務(wù)器上，確保系統(tǒng)在最短時間內(nèi)恢復(fù)正常運行。 （3）數(shù)據(jù)的實時備份。對數(shù)據(jù)進行實時備份，以保證數(shù)據(jù)的完整性和安全性，確保系統(tǒng)安全而穩(wěn)定低運行。如通過ARC Srever對數(shù)據(jù)提供雙鏡象冗余備份，或由SNA Server提供安全快捷的數(shù)據(jù)熱備份。 第3章 網(wǎng)絡(luò)設(shè)計方案 需求分析及設(shè)計原則 西安中鐵現(xiàn)代物流概況中鐵現(xiàn)代物流科技股份有限公司西安分公司是中鐵現(xiàn)代物流的西北區(qū)域業(yè)務(wù)指揮中心，同時是鐵道部在西北地區(qū)最大的物資集散中心。物流企業(yè)總部位于西安，是一家專業(yè)從事國內(nèi)物流、貨運、倉儲、運輸、裝卸、配送等服務(wù)為一體的現(xiàn)代化物流增值企業(yè)，分公司貨運站遍布全國主要西北地區(qū)幾十個大中小城市 ，主要分支機構(gòu)分布與西北的大型物流企業(yè)。物流企業(yè)位于西安的總公司的計算機局域網(wǎng)，需要連接100個左右的信息點，企業(yè)有6個左右的業(yè)務(wù)科室；位于全國的各個分公司規(guī)模大多在20人左右。 需求分析：（1）Internet信息交流：實現(xiàn)資源高度共享。（2）管理等提供Internet接入服務(wù)。（3）視頻會議系統(tǒng)：實現(xiàn)對視頻和音頻數(shù)據(jù)的多路組播和廣播。（4）Web信息發(fā)布。（5）電子郵件、公告牌、電視會議和產(chǎn)品信息查詢等服務(wù)。：（1）骨干層網(wǎng)絡(luò)采用速率為1000Mbps交換技術(shù)。作為公司主干的支撐網(wǎng)絡(luò)，要求安全可靠，并可實現(xiàn)主干網(wǎng)絡(luò)冗余、鏈路容錯等功能。（2）系統(tǒng)各層網(wǎng)絡(luò)之間良好互聯(lián)。（3）千兆交換機與主機服務(wù)器之間良好互聯(lián)。（4）具有良好便捷網(wǎng)絡(luò)管理平臺。網(wǎng)管系統(tǒng)是開放式網(wǎng)管平臺，并可以對全網(wǎng)進行故障管理、配置管理、性能管理、事物處理管理、流量控制管理、日志管理、效率管理和圖形化管理。（5）網(wǎng)絡(luò)骨干設(shè)備具有較高的可靠性；核心設(shè)備支持熱插拔，具有容錯設(shè)計。（6）網(wǎng)絡(luò)設(shè)備具有較好的擴展性，系統(tǒng)能夠平滑升級及擴充。（7）采用國際標準TCP/IP協(xié)議。：（1）配置管理：對初始安裝的支持，主要包括軟件、硬件資源工作參數(shù)的設(shè)定和校核等；網(wǎng)絡(luò)節(jié)點部件，如：插板、端口和冗余結(jié)構(gòu)的配置。：網(wǎng)管中心或終端可以通過人/機接口，根據(jù)不同業(yè)務(wù)特性要求，配置通路，建立點到點的連接。（2）性能管理性能管理主要包括：性能信息的收集、性能信息的存儲、閾值處理和報告形成等。包括CPU的利用率，BUFFER利用率，MEMORY的利用率等。（3）故障(或維護)管理故障(或維護)管理具有激活檢測、故障定位、告警監(jiān)視和校正非正常操作的功能。（4）安全管理安全管理可以避免非法接入網(wǎng)路，控制接入級別和范圍?？梢耘渲糜脩糇R別符、口令，以及登錄操作員的查詢指令等。：網(wǎng)絡(luò)安全主要解決訪問互聯(lián)網(wǎng)及中心服務(wù)器的安全問題，考慮以下因素：（1）公司網(wǎng)與Internet網(wǎng)相連后具有“防火墻”過濾功能，以防止網(wǎng)絡(luò)黑客入侵網(wǎng)絡(luò)系統(tǒng)。（2）通過特定網(wǎng)段及服務(wù)建立的訪問控制體系，系統(tǒng)將絕大多數(shù)攻擊阻止在到達攻擊目標之前。（3）對安全漏洞進行周期性的檢查，使得攻擊即使到達目標，也使絕大多數(shù)攻擊無效。（4）通過特定網(wǎng)段及服務(wù)建立的攻擊監(jiān)控體系，系統(tǒng)可實時檢測出絕大多數(shù)攻擊，并采取相應(yīng)的行為(如斷開網(wǎng)絡(luò)連接、記錄攻擊過程、跟蹤攻擊源等)。（5）主動對通信信息進行加密，可使攻擊者不能了解、修改敏感信息。（6）良好的認證體系可防止假冒合法用戶的攻擊。（7）良好的備份和恢復(fù)機制，可在攻擊造成損失時，幫助系統(tǒng)盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。（8）多層防御，攻擊者在突破第一道防線后，應(yīng)有多層防御可以延緩或阻斷其到達攻擊目標。（9）通過NAT地址轉(zhuǎn)換功能隱藏內(nèi)部信息，這樣可以使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。（10）設(shè)立安全監(jiān)控中心為信息系統(tǒng)提供安全體系管理、監(jiān)控、保護及緊急情況服務(wù)。 設(shè)計原則網(wǎng)絡(luò)的設(shè)計原則主要有以下幾點：（1）先進性：目前，千兆以太網(wǎng)正在普及，隨著多媒體應(yīng)用的發(fā)展，網(wǎng)絡(luò)只有采用交換方式才能滿足需求；同時，交換機的價格和集線器差別已經(jīng)不大，所以，本方案中采用了交換以太網(wǎng)技術(shù)。（2）經(jīng)濟性：盡量利用性能價格比較好的網(wǎng)絡(luò)及計算機設(shè)備，以低廉的投資獲取較高性能。 （3）可操作性: 界面圖形化、操作按鈕化，使辦公人員在簡單培訓(xùn)后便能熟練運用。（4）可靠性與安全性： 網(wǎng)絡(luò)是企業(yè)信息系統(tǒng)應(yīng)用所依賴的基礎(chǔ)，要求系統(tǒng)連續(xù)安全可靠地運行，所以在系統(tǒng)結(jié)構(gòu)設(shè)計、網(wǎng)絡(luò)型號選擇、供應(yīng)商技術(shù)、維護服務(wù)等方面都要嚴格考察。盡可能利用成熟的技術(shù)，網(wǎng)絡(luò)關(guān)鍵部分要有備份措施 ，對于重要的網(wǎng)絡(luò)節(jié)點應(yīng)采用先進可靠的容錯技術(shù)，以保證網(wǎng)絡(luò)系統(tǒng)的可靠性和安全性。 （5）開放性: 網(wǎng)絡(luò)技術(shù)是不斷發(fā)展變化的。建網(wǎng)時所選產(chǎn)品必須符合國際標準及流行的工業(yè)標準，這樣才能為網(wǎng)絡(luò)的未來發(fā)展提供保證。 網(wǎng)絡(luò)規(guī)劃 拓撲結(jié)構(gòu)在局域網(wǎng)拓撲結(jié)構(gòu)方面，本方案選用了星型結(jié)構(gòu)，這種拓撲結(jié)構(gòu)網(wǎng)絡(luò)的基本特點主要有如下幾點：（1）容易實現(xiàn)：它所采用的傳輸介質(zhì)一般都是采用通用的雙絞線，這種傳輸介質(zhì)相對來說比較便宜，，光纜那更不用說了。這種拓撲結(jié)構(gòu)主要應(yīng)用于IEEE 、IEEE ；（2）節(jié)點擴展、移動方便：節(jié)點擴展時只需要從集線器或交換機等集中設(shè)備中拉一條線即可，而要移動一個節(jié)點只需要把相應(yīng)節(jié)點設(shè)備移到新節(jié)點即可，而不會像環(huán)型網(wǎng)絡(luò)那樣“牽其一而動全局”；（3）便于維護：一個節(jié)點出現(xiàn)故障不會影響其它節(jié)點的連接，可任意拆走故障節(jié)點；（4）采用廣播信息傳送方式：任何一個節(jié)點發(fā)送信息在整個網(wǎng)中的節(jié)點都可以收到，這在網(wǎng)絡(luò)方面存在一定的隱患，但這在局域網(wǎng)中使用影響不大。 工作模式客戶/服務(wù)器模式：（C/S）這是一種基于服務(wù)器的網(wǎng)絡(luò)，在這種模式中，其中一臺或幾臺較大的計算機集中進行共享數(shù)據(jù)庫的管理和存取，稱為服務(wù)器；而將其它的應(yīng)用處理工作分散到網(wǎng)絡(luò)中其它微機上去做，構(gòu)成分布式的處理系統(tǒng)，服務(wù)器控制管理數(shù)據(jù)的能力己由文件管理方式上升為數(shù)據(jù)庫管理方式，因此，C/S網(wǎng)絡(luò)模式的服務(wù)器也稱為數(shù)據(jù)庫服務(wù)器。這類網(wǎng)絡(luò)模式主要注重于數(shù)據(jù)定義、存取安全、備份及還原，發(fā)控制及事務(wù)管理，執(zhí)行諸如選擇檢索和索引排序等數(shù)據(jù)庫管理功能。它有足夠的能力做到把通過其處理后用戶所需的那一部分數(shù)據(jù)而不是整個文件通過網(wǎng)絡(luò)傳送到客戶機去，減輕了網(wǎng)絡(luò)的傳輸負荷。C／S網(wǎng)絡(luò)模式是數(shù)據(jù)庫技術(shù)的發(fā)展和普遍應(yīng)用與局域網(wǎng)技術(shù)發(fā)展相結(jié)合的結(jié)果。這種模式與點對點模式主要存在以下兩個方面的不同：（1）后端數(shù)據(jù)庫負責(zé)完成大量的任務(wù)處理，如果C/S型數(shù)據(jù)庫查找一個特定的信息片段，在搜尋整個數(shù)據(jù)庫期間并不返回每條記錄的結(jié)果，而只是在搜尋結(jié)束時返回最后的結(jié)果。（2）如果數(shù)據(jù)庫應(yīng)用程序的客戶機在處理數(shù)據(jù)庫事務(wù)時失敗，服務(wù)器為了維護數(shù)據(jù)庫的完整性，將自動重新執(zhí)行這個事件。 系統(tǒng)設(shè)計在公司總部局域網(wǎng)的的設(shè)計上，本方案采用了分布式交換網(wǎng)絡(luò)設(shè)計方案，具有清晰的分層模型：接入層、匯聚層、核心層。在這種方案中，充分考慮了各個主機的流量需求，關(guān)鍵設(shè)備實現(xiàn)冗余備份，路由技術(shù)和交換技術(shù)有機結(jié)合，為企業(yè)構(gòu)建一個高速、穩(wěn)定、可靠的多業(yè)務(wù)實施解決方案。接入層選用了華為的S3000系列智能二層交換機，為主機提供100BaseT