【文章內(nèi)容簡(jiǎn)介】 般都會(huì)先控制局域網(wǎng)絡(luò)內(nèi)部的一臺(tái)Server，然后以此為基地，對(duì)Internet上其他主機(jī)發(fā)起惡性攻擊。因此，應(yīng)在邊界展開(kāi)黑客防護(hù)措施，同時(shí)建立并加強(qiáng)內(nèi)網(wǎng)防范策略。內(nèi)部用戶的惡意攻擊，限制VPN的訪問(wèn)，虛擬專用網(wǎng)(VPN)用戶的訪問(wèn)對(duì)內(nèi)網(wǎng)的安全造成了巨大的威脅。因?yàn)樗鼈儗⑷趸淖烂娌僮飨到y(tǒng)置于企業(yè)防火墻的防護(hù)之外。很明顯VPN用戶是可以訪問(wèn)企業(yè)內(nèi)網(wǎng)的。因此要避免給每一位VPN用戶訪問(wèn)內(nèi)網(wǎng)的全部權(quán)限。這樣可以利用登錄控制權(quán)限列表來(lái)限制VPN用戶的登錄權(quán)限的級(jí)別，即只需賦予他們所需要的訪問(wèn)權(quán)限級(jí)別即可，如訪問(wèn)郵件服務(wù)器或其他可選擇的網(wǎng)絡(luò)資源的權(quán)限。自動(dòng)跟蹤的安全策略，智能的自動(dòng)執(zhí)行實(shí)時(shí)跟蹤的安全策略是有效地實(shí)現(xiàn)網(wǎng)絡(luò)安全實(shí)踐的關(guān)鍵。它帶來(lái)了商業(yè)活動(dòng)中一大改革，極大的超過(guò)了手動(dòng)安全策略的功效。商業(yè)活動(dòng)的現(xiàn)狀需要企業(yè)利用一種自動(dòng)檢測(cè)方法來(lái)探測(cè)商業(yè)活動(dòng)中的各種變更，因此，安全策略也必須與相適應(yīng)。例如實(shí)時(shí)跟蹤企業(yè)員工的雇傭和解雇、實(shí)時(shí)跟蹤網(wǎng)絡(luò)利用情況并記錄與該計(jì)算機(jī)對(duì)話的文件服務(wù)器?？傊?，要做到確保每天的所有的活動(dòng)都遵循安全策略。保護(hù)重要資源，若一個(gè)內(nèi)網(wǎng)上連了千萬(wàn)臺(tái)(例如20000臺(tái))機(jī)子，那么要期望保持每一臺(tái)主機(jī)都處于鎖定狀態(tài)和補(bǔ)丁狀態(tài)是非常不現(xiàn)實(shí)的。大型企業(yè)網(wǎng)的安全考慮一般都有擇優(yōu)問(wèn)題。這樣，首先要對(duì)服務(wù)器做效益分析評(píng)估，然后對(duì)內(nèi)網(wǎng)的每一臺(tái)網(wǎng)絡(luò)服務(wù)器進(jìn)行檢查、分類、修補(bǔ)和強(qiáng)化工作。必定找出重要的網(wǎng)絡(luò)服務(wù)器(例如實(shí)時(shí)跟蹤客戶的服務(wù)器)并對(duì)他們進(jìn)行限制管理。這樣就能迅速準(zhǔn)確地確定企業(yè)最重要的資產(chǎn)，并做好在內(nèi)網(wǎng)的定位和權(quán)限限制工作。建立可靠的無(wú)線訪問(wèn)審查網(wǎng)絡(luò)，為實(shí)現(xiàn)無(wú)線訪問(wèn)建立基礎(chǔ)。排除無(wú)意義的無(wú)線訪問(wèn)點(diǎn)，確保無(wú)線網(wǎng)絡(luò)訪問(wèn)的強(qiáng)制性和可利用性，并提供安全的無(wú)線訪問(wèn)接口。將訪問(wèn)點(diǎn)置于邊界防火墻之外，并允許用戶通過(guò)VPN技術(shù)進(jìn)行訪問(wèn)。建立安全過(guò)客訪問(wèn)對(duì)于過(guò)客不必給予其公開(kāi)訪問(wèn)內(nèi)網(wǎng)的權(quán)限。許多安全技術(shù)人員執(zhí)行的“內(nèi)部無(wú)Internet訪問(wèn)”的策略，使得員工給客戶一些非法的訪問(wèn)權(quán)限，導(dǎo)致了內(nèi)網(wǎng)實(shí)時(shí)跟蹤的困難。因此，須在邊界防火墻之外建立過(guò)客訪問(wèn)網(wǎng)絡(luò)塊?？煽康陌踩珱Q策，在技術(shù)上，采用安全交換機(jī)、重要數(shù)據(jù)的備份、使用代理網(wǎng)關(guān)、確保操作系統(tǒng)的安全、使用主機(jī)防護(hù)系統(tǒng)和入侵檢測(cè)系統(tǒng)等等措施也不可缺少。 安全產(chǎn)品選型原則選擇市場(chǎng)主流產(chǎn)品的原則：選擇產(chǎn)品時(shí)，應(yīng)選擇在國(guó)內(nèi)市場(chǎng)上有相當(dāng)?shù)姆蓊~，具有高性能、高可靠性、高安全性、高可擴(kuò)展性、高可維護(hù)性的產(chǎn)品，如中興、3Com、Cisco、華為的產(chǎn)品市場(chǎng)份額較大。適用原則。絕對(duì)的安全是不存在的，因此您必須具有“安全風(fēng)險(xiǎn)”意識(shí)。信息安全產(chǎn)品的安裝不一定意味信息系統(tǒng)不發(fā)生安全事故。所有的安全產(chǎn)品只是降低安全事件發(fā)生的可能性，減小安全事件所造成的損失，提供彌補(bǔ)損失的手段。您不要（也不可能）追求絕對(duì)的安全。 企業(yè)應(yīng)考慮清楚自己信息系統(tǒng)最大的安全威脅來(lái)自何處，信息系統(tǒng)中最有價(jià)值的是什么，信息系統(tǒng)造成的哪些損失是自己無(wú)法忍受的。安全產(chǎn)品只要為企業(yè)提供足夠的手段應(yīng)對(duì)主要的安全威脅，將可能的損失減小到可以接受的范圍之內(nèi)，就可以了。不降低信息系統(tǒng)綜合服務(wù)品質(zhì)的原則。目前中國(guó)許多企業(yè)往往是在信息系統(tǒng)規(guī)劃（或建設(shè)）完成之后才考慮信息安全，即所謂的“打安全補(bǔ)丁”。這種“補(bǔ)丁”做法往往會(huì)給信息安全產(chǎn)品的選型帶來(lái)很多困難，因?yàn)楹芏鄷r(shí)候，信息安全與系統(tǒng)的使用便利性和效率往往是一對(duì)矛盾。 適用性與先進(jìn)性相結(jié)合原則：不同品牌的產(chǎn)品價(jià)格差異較大，因此選擇時(shí)不能只看品牌或追求高價(jià)，也不能只看價(jià)錢(qián)低的，應(yīng)該根據(jù)應(yīng)用的實(shí)際情況，選擇性能價(jià)格比高，既要滿足目前的需要，又能適應(yīng)未來(lái)幾年網(wǎng)絡(luò)發(fā)展的產(chǎn)品。易于管理原則：所謂易于操作管理主要是指用相應(yīng)的技術(shù)來(lái)簡(jiǎn)化管理以降低維護(hù)費(fèi)用成本，一般通過(guò)硬件與軟件兩個(gè)方面來(lái)達(dá)到這個(gè)目標(biāo)。企業(yè)需要在考慮安全性的前提下，綜合系統(tǒng)的其它性能，結(jié)合評(píng)估系統(tǒng)的服務(wù)品質(zhì)，定下系統(tǒng)綜合服務(wù)品質(zhì)參數(shù)，在此基礎(chǔ)上，以不降低綜合服務(wù)品質(zhì)為原則，對(duì)信息安全產(chǎn)品進(jìn)行選型。標(biāo)準(zhǔn)性：網(wǎng)絡(luò)安全產(chǎn)品選型符合國(guó)家標(biāo)準(zhǔn)，產(chǎn)品的質(zhì)量以及屬性必須達(dá)到國(guó)家所要求的，符合本產(chǎn)品的性能；安全性原則：產(chǎn)品系統(tǒng)具有多層次的安全保護(hù)措施，可以滿足用戶身份鑒別、訪問(wèn)控制、數(shù)據(jù)完整性、可審核性和保密性傳輸?shù)纫螅粩U(kuò)展性原則：在業(yè)務(wù)不斷發(fā)展的情況下 ，產(chǎn)品系統(tǒng)可以不斷升級(jí)和擴(kuò)充，并保證系統(tǒng)的穩(wěn)定運(yùn)行；性價(jià)比：不盲目追求高性能產(chǎn)品，要購(gòu)買(mǎi)適合自身需求的產(chǎn)品；產(chǎn)品與服務(wù)相結(jié)合原則：選擇產(chǎn)品時(shí)，既要看產(chǎn)品的品牌又要看生產(chǎn)廠商和銷售商品是否有強(qiáng)大的技術(shù)支持、良好的售后服務(wù)，否則買(mǎi)回的產(chǎn)品出現(xiàn)故障時(shí)既沒(méi)有技術(shù)又沒(méi)有產(chǎn)品服務(wù)，使企業(yè)蒙受損失。 網(wǎng)絡(luò)常用技術(shù)介紹VLAN技術(shù)VLAN（虛擬局域網(wǎng)）是對(duì)連接到的第二層交換機(jī)端口的網(wǎng)絡(luò)用戶的邏輯分段，不受網(wǎng)絡(luò)用戶的物理位置限制而根據(jù)用戶需求進(jìn)行網(wǎng)絡(luò)分段。一個(gè)VLAN可以在一個(gè)交換機(jī)或者跨交換機(jī)實(shí)現(xiàn)。VLAN可以根據(jù)網(wǎng)絡(luò)用戶的位置、作用、部門(mén)或者根據(jù)網(wǎng)絡(luò)用戶所使用的應(yīng)用程序和協(xié)議來(lái)進(jìn)行分組?；诮粨Q機(jī)的虛擬局域網(wǎng)能夠?yàn)榫钟蚓W(wǎng)解決沖突域、廣播域、帶寬問(wèn)題。OSPF高級(jí)路由協(xié)議隨著Internet技術(shù)在全球范圍的飛速發(fā)展，OSPF已成為目前企業(yè)網(wǎng)采用最多、應(yīng)用最廣泛的路由協(xié)議之一。OSPF路由協(xié)議是一種典型的鏈路狀態(tài)（Linkstate）的路由協(xié)議，一般用于同一個(gè)路由域內(nèi)。在這里，路由域是指一個(gè)自治系統(tǒng)（Autonomous System），即AS。在這個(gè)AS中，所有的OSPF路由器都維護(hù)一個(gè)相同的描述這個(gè)AS結(jié)構(gòu)的數(shù)據(jù)庫(kù)，該數(shù)據(jù)庫(kù)中存放的是路由域中相應(yīng)鏈路的狀態(tài)信息，OSPF路由器正是通過(guò)這個(gè)數(shù)據(jù)庫(kù)計(jì)算出其OSPF路由表的。Trunk技術(shù)Trunk是一種封裝技術(shù)，它是一條點(diǎn)到點(diǎn)的鏈路，鏈路的兩端可以都是交換機(jī)，也可以是交換機(jī)和路由器，還可以是主機(jī)和交換機(jī)或路由器。基于端口匯聚（Trunk）功能，允許交換機(jī)與交換機(jī)、交換機(jī)與路由器、主機(jī)與交換機(jī)或路由器之間通過(guò)兩個(gè)或多個(gè)端口并行連接同時(shí)傳輸以提供更高帶寬、更大吞吐量， 大幅度提供整個(gè)網(wǎng)絡(luò)能力。TRUNK（端口匯聚）是在交換機(jī)和網(wǎng)絡(luò)設(shè)備之間比較經(jīng)濟(jì)的增加帶寬的方法，如服務(wù)器、路由器、工作站或其他交換機(jī)。這中增加帶寬的方法在當(dāng)單一交換機(jī)和節(jié)點(diǎn)之間連接不能滿足負(fù)荷時(shí)是比較有效的。Trunk可以提供負(fù)載均衡能力以及系統(tǒng)容錯(cuò)。由于Trunk實(shí)時(shí)平衡各個(gè)交換機(jī)端口和服務(wù)器接口的流量，一旦某個(gè)端口出現(xiàn)故障，它會(huì)自動(dòng)把故障端口從Trunk組中撤消，進(jìn)而重新分配各個(gè)Trunk端口的流量，從而實(shí)現(xiàn)系統(tǒng)容錯(cuò)。TRUNK功能用于交換機(jī)之間的級(jí)聯(lián)，通過(guò)犧牲端口數(shù)來(lái)給交換機(jī)之間的數(shù)據(jù)交換提供捆綁的高帶寬，提高網(wǎng)絡(luò)速度，突破網(wǎng)絡(luò)瓶頸，進(jìn)而大幅提高網(wǎng)絡(luò)性能。SpanningTree協(xié)議生成樹(shù)協(xié)議是交換式以太網(wǎng)中的重要概念和技術(shù)，該協(xié)議的目的是在實(shí)現(xiàn)交換機(jī)之間的冗余連接的同時(shí)，避免網(wǎng)絡(luò)環(huán)路的出現(xiàn)，實(shí)現(xiàn)網(wǎng)絡(luò)的高可靠 性。它通過(guò)在交換機(jī)之間傳遞橋接協(xié)議數(shù)據(jù)單元（Bridge Protocol Data Unit，BPDU）來(lái)互相告知諸如交換機(jī)的橋ID、鏈路性質(zhì)、根橋（Root Bridge）ID等信息，以確定根橋，決定哪些端口處于轉(zhuǎn)發(fā)狀態(tài)，哪些端口處于阻斷狀態(tài)，以免引起網(wǎng)絡(luò)環(huán)路。當(dāng)交換機(jī)之間有多個(gè)VLAN時(shí)Trunk線路負(fù)載會(huì)過(guò)重，這時(shí)需要 設(shè)置多個(gè)Trunk端口，但這樣會(huì)形成網(wǎng)絡(luò)環(huán)路。STP協(xié)議便可以解決這一問(wèn)題.可以通過(guò)配置STP端口權(quán)值STP路徑值來(lái)實(shí)現(xiàn)負(fù)載均衡. 如果使用STP端口權(quán)值來(lái)配置那么二條負(fù)載均衡的trunk必須聯(lián)同一交換機(jī)上。使用路徑值則即可以聯(lián)相同的交換機(jī)與可以聯(lián)不同的交換機(jī)。使用STP端口權(quán)值的負(fù)載均衡當(dāng)同一臺(tái)交換機(jī)的二個(gè)口形成環(huán)路時(shí)， STP端口權(quán)值用來(lái)決定那個(gè)口是enable的， 那些VLAN, 有較高權(quán)值的端口（數(shù)字較小的）vlan, 將處于轉(zhuǎn)發(fā)狀態(tài)，同一個(gè)VLAN在另一個(gè)trunk有較低的權(quán)值（數(shù)字較大）則將處在阻斷狀 態(tài)。 即同一VLAN只在一個(gè)trunk上發(fā)送接受。PPP協(xié)議由于這個(gè)方案中總部和分部之間是采用物理線路進(jìn)行連接的，所以為了能夠保證信息的安全，我們采用的廣域網(wǎng)的ppp協(xié)議。所謂的PPP（PointtoPoint Protocol點(diǎn)到點(diǎn)協(xié)議）協(xié)議就是為在同等單元之間傳輸數(shù)據(jù)包這樣的簡(jiǎn)單鏈路設(shè)計(jì)的鏈路層協(xié)議。這種鏈路提供全雙工操作，并按照順序傳遞數(shù)據(jù)包。設(shè)計(jì)目的主要是用來(lái)通過(guò)撥號(hào)或?qū)＞€方式建立點(diǎn)對(duì)點(diǎn)連接發(fā)送數(shù)據(jù)，使其成為各種主機(jī)、網(wǎng)橋和路由器之間簡(jiǎn)單連接的一種共通的解決方案。PPP有很多豐富的可選特性，如支持多協(xié)議、提供可選的身份認(rèn)證服務(wù)、可以以各種方式壓縮數(shù)據(jù)、支持動(dòng)態(tài)地址協(xié)商、支持多鏈路捆綁等等PPP的功能PPP主要完成了以下功能：鏈路控制PPP為用戶發(fā)起呼叫以建立鏈路；在建立鏈路時(shí)協(xié)商參數(shù)選擇；通信過(guò)程中隨時(shí)測(cè)試線路，當(dāng)線路空閑時(shí)釋放鏈路等。PPP中完成上述工作的組件是鏈路控制協(xié)議LCP（Link Control Protocol，LCP）。網(wǎng)絡(luò)控制當(dāng)LCP將鏈路建立好了以后，PPP要開(kāi)始根據(jù)不同用戶的需要，配置上層協(xié)議所需的環(huán)境。PPP使用網(wǎng)絡(luò)控制協(xié)議NCP（Network Control Protocol，NCP）來(lái)為上層提供服務(wù)接口。針對(duì)上層不同的協(xié)議類型，會(huì)使用不同的NCP組件。如對(duì)于IP提供IPCP接口，對(duì)于IPX提供IPXCP接口，對(duì)于APPLETALK提供ATCP接口等。PPP協(xié)議包括以下三個(gè)部分：1． 數(shù)據(jù)幀封裝方法。2． 鏈路控制協(xié)議LCP（Link Control Protocol）:它用于對(duì)封裝格式選項(xiàng)的自動(dòng)協(xié)商，建立和終止連接，探測(cè)鏈路錯(cuò)誤和配置錯(cuò)誤。 3． 針對(duì)不同網(wǎng)絡(luò)層協(xié)議的一族網(wǎng)絡(luò)控制協(xié)議NCP(Network Control Protocol): PPP協(xié)議規(guī)定了針對(duì)每一種網(wǎng)絡(luò)層協(xié)議都有相應(yīng)的網(wǎng)絡(luò)控制協(xié)議，并用它們來(lái)管理各個(gè)協(xié)議不同的需求。使用AD域管理器域控制器中包含了由這個(gè)域的賬戶、密碼、屬于這個(gè)域的計(jì)算機(jī)等信息構(gòu)成的數(shù)據(jù)庫(kù)。當(dāng)電腦聯(lián)入網(wǎng)絡(luò)時(shí)，域控制器首先要鑒別這臺(tái)電腦是否是屬于這個(gè)域的，用戶使用的登錄賬號(hào)是否存在、密碼是否正確。如果以上信息有一樣不正確，那么域控制器就會(huì)拒絕這個(gè)用戶從這臺(tái)電腦登錄。不能登錄，用戶就不能訪問(wèn)服務(wù)器上有權(quán)限保護(hù)的資源，他只能以對(duì)等網(wǎng)用戶的方式訪問(wèn)Windows共享出來(lái)的資源，這樣就在一定程度上保護(hù)了網(wǎng)絡(luò)上的資源。 要把一臺(tái)電腦加入域，僅僅使它和服務(wù)器在網(wǎng)上鄰居中能夠相互“看”到是遠(yuǎn)遠(yuǎn)不夠的，必須要由網(wǎng)絡(luò)管理員進(jìn)行相應(yīng)的設(shè)置，把這臺(tái)電腦加入到域中。這樣才能實(shí)現(xiàn)文件的共享。 域管理的優(yōu)點(diǎn)權(quán)限管理比較集中，管理成本大大下降。 ：域環(huán)境，所有網(wǎng)絡(luò)資源，包括用戶，均是在域控制器上維護(hù)，便于集中管理。所有用戶只要登入到域，在域內(nèi)均能進(jìn)行身份驗(yàn)證，管理人員可以較好的管理計(jì)算機(jī)資源，管理網(wǎng)絡(luò)的成本大大降低。 ：防止公司員工在客戶端亂裝軟件, 能夠增強(qiáng)客戶端安全性、減少客戶端故障，降低維護(hù)成本。安全性加強(qiáng),比如說(shuō)某個(gè)盤(pán)某個(gè)人可以進(jìn)，但另一個(gè)人就不可以進(jìn)；哪一個(gè)文件只讓哪個(gè)人看；或者讓某些人可以看,但不可以刪/改/移等。 ，防止公司機(jī)密資料的外泄。 使用漫游賬戶和文件夾重定向技術(shù)，個(gè)人賬戶的工作文件及數(shù)據(jù)等可以存儲(chǔ)在服務(wù)器上，統(tǒng)一進(jìn)行備份、管理，用戶的數(shù)據(jù)更加安全、有保障。當(dāng)客戶機(jī)故障時(shí)，只需使用其他客戶機(jī)安裝相應(yīng)軟件以用戶帳號(hào)登錄即可，用戶會(huì)發(fā)現(xiàn)自己的文件仍然在“原來(lái)的位置”（比如，我的文檔），沒(méi)有丟失，從而可以更快地進(jìn)行故障修復(fù)。卷影副本技術(shù)可以讓用戶自行找回文件以前的版本或者誤刪除的文件（限保存過(guò)的32個(gè)版本）。在服務(wù)器離線時(shí)（故障或其他情況），“脫機(jī)文件夾”技術(shù)會(huì)自動(dòng)讓用戶使用文件的本地緩存版本繼續(xù)工作，并在注銷或登錄系統(tǒng)時(shí)與服務(wù)器上的文件同步，保證用戶的工作不會(huì)被打斷。 方便用戶使用各種資源?？捎晒芾韱T指派登錄腳本映射分布式文件系統(tǒng)根目錄，統(tǒng)一管理。用戶登錄后就可以像使用本地盤(pán)符一樣，使用網(wǎng)絡(luò)上的資源，且不需再次輸入密碼，用戶也只需記住一對(duì)用戶名/密碼即可。并且各種資源的訪問(wèn)、讀取、修改權(quán)限均可設(shè)置，不同的賬戶可以有不同的訪問(wèn)權(quán)限。即使資源位置改變，用戶也不需任何操作，只需管理員修改鏈接指向并設(shè)置相關(guān)權(quán)限即可，用戶甚至不會(huì)意識(shí)到資源位置的改變，不用像從前那樣，必須記住哪些資源在哪臺(tái)服務(wù)器上。 SMS（System Management Server）能夠分發(fā)應(yīng)用程序、系統(tǒng)補(bǔ)丁等，用戶可以選擇安裝，也可以由系統(tǒng)管理員指派自動(dòng)安裝。并能集中管理系統(tǒng)補(bǔ)?。ㄈ鏦indows Updates），不需每臺(tái)客戶端服務(wù)器都下載同樣的補(bǔ)丁，從而節(jié)省大量網(wǎng)絡(luò)帶寬。Space of NAU ?.\ g3[ r d x第六章 產(chǎn)品簡(jiǎn)介 Cisco3800 系列集成多業(yè)務(wù)路由器思科系統(tǒng)公司通過(guò)一個(gè)全新的集成多業(yè)務(wù)路由器系列重新定義了最佳企業(yè)路由，該系列經(jīng)過(guò)了優(yōu)化，可安全、線速地提供同步數(shù)據(jù)、話音和視頻服務(wù)。 Cisco3800系列集成多業(yè)務(wù)路由器建立在思科20年創(chuàng)新技術(shù)的基礎(chǔ)之上，通過(guò)為客戶提供無(wú)與倫比的網(wǎng)絡(luò)靈活性、性能和智能性，鞏固了思科在多服務(wù)路由領(lǐng)域的領(lǐng)先地位。憑借透明地將先進(jìn)技術(shù)、可適應(yīng)服務(wù)和安全企業(yè)通信集成入單一永續(xù)系統(tǒng)，Cisco 3800系列路由器簡(jiǎn)化了部署和管理、降低了網(wǎng)絡(luò)成本和復(fù)雜度，并提供了無(wú)可匹敵的投資保護(hù)。Cisco 3800系列路由器具有內(nèi)嵌安全處理、大幅系統(tǒng)和內(nèi)存優(yōu)化以及全新高密度接口，可在要求最嚴(yán)格的企業(yè)環(huán)境中提供擴(kuò)展關(guān)鍵任務(wù)安全性、IP電話、商業(yè)視頻、網(wǎng)絡(luò)分析和Web應(yīng)用所需的性能、可用性和可靠性。Cisco 3800系列路由器的設(shè)計(jì)核心就是出色性能，能以線速T3/E3提供多種同步服務(wù)。Cisco 3800 系列的集成化服務(wù)路由架構(gòu)構(gòu)建于強(qiáng)大的Cisco 3700系列