【文章內(nèi)容簡介】 網(wǎng)功能，不必改變網(wǎng)絡的物理基礎，即可重新配置網(wǎng)絡。采用虛網(wǎng)功能，網(wǎng)絡性能可以獲得較大的改善： ，有效地分割通信量，因而能更好地利用帶寬，提高網(wǎng)絡總的吞吐量。 而不用更改布線，因為虛網(wǎng)技術(shù)是從邏輯角度而非物理角度來劃分子網(wǎng)的，所以采用虛網(wǎng)技術(shù)能減輕系統(tǒng)的擴容壓力，將遷移費用降至至最小。 ，增加網(wǎng)絡的安全性和保密性。虛擬網(wǎng)絡的安全策略采用的主要主要協(xié)議為 I 議為，此協(xié)議結(jié)合有鑒別和加密技術(shù)以確保整個網(wǎng)絡內(nèi)部數(shù)據(jù)據(jù)的保密性和完整性。 ，但與傳統(tǒng)的局域網(wǎng)協(xié)議所不同的是，虛擬局域網(wǎng)能限制廣播的區(qū)域域，從而節(jié)省網(wǎng)絡帶寬。 ，用封裝的辦法支法支持不不同的網(wǎng)絡協(xié)議絡協(xié)議，如SNMP、NMP、IPX、TCP//IP、 等，兼容性非常好性非常好。 “虛網(wǎng)中繼” ，VLAN Trunking 特有技術(shù)特有技術(shù)的采用也成成為了必然。必然。簡而言之，VLAN Trunking 主主要是通過一條高速全雙工通道(200Mbps)來)來實現(xiàn)將將一個 LAN Switch 端口所劃分的不同 VLAN 與其它 LAN Switch 中各自相應的 VLAN 成員進行線路復用連接的技術(shù)。VLAN Trunking 技術(shù)的采用，既節(jié)省了信道數(shù)據(jù)量，又提高了可靠性，并便于管理及方便連接，提高了整個網(wǎng)絡吞吐量和性能指標。其原理如下圖所示：V1V2V3 V4V1V2V4 V1V1V2V320MbpsBandwith20MbpsBandwithVLAN 1to VLAN 4VLAN 2to VLAN 2 VLAN Trunkig 技 如果采用 VLAN trunking 的技術(shù)，則 VVV3 均可通過一條全雙工的 100Mbps，即 200Mbps 的速率與上級 LAN Switch 進行互通并經(jīng)過位于樹根部的路由器進行路由與其它的 VLAN 進行通訊。VLAN trunking 技術(shù)的優(yōu)點在于采用一條高速通道連接，提高了通道的使用效率，如在，如在 V2，V3 無數(shù)據(jù)量的情況下，V1 可以獨占此 100M 帶寬；并且可以使得線路的連接變得簡單，從而大大提高可靠性與易維護性。2 .防火墻 防火墻在網(wǎng)絡中的地位與它的名字非常相似，它根據(jù)網(wǎng)絡安全水平和可信任關系將網(wǎng)絡劃分成一些相對獨立的子網(wǎng)，兩側(cè)間的通信受到防火墻的檢查控制。它可以根據(jù)既定的安全策略允許特定的用戶和數(shù)據(jù)包穿過，同時將安全策略不允許的用戶和數(shù)據(jù)包隔斷，達到保護高安全等級的子網(wǎng)、阻止墻外黑客的攻擊、限制入侵的蔓延等目的。根據(jù)防火墻的位置，可以分為外部防火墻和內(nèi)部防火墻。外部防火墻將企業(yè)網(wǎng)與外部網(wǎng)隔離開來，而內(nèi)部防火墻的任務經(jīng)常是在各個部門子網(wǎng)之間進行通信檢查控制。網(wǎng)絡安全體系不應該提供外部系統(tǒng)跨越安全系統(tǒng)直接到達受保護的內(nèi)部網(wǎng)絡系統(tǒng)的途徑。安全體系在任何情況下都不應該被旁路。 防火墻并不是萬能的，它在很多方面存在弱點。它無法防止來自防火墻內(nèi)側(cè)的攻擊。對各種已識別類型的攻擊的防御有賴于正確的配置，對各種最新的攻擊類型的防御取決于防火墻知識庫更新的速度和相應的配置更新的速度。一般來說，防火墻擅長于保護設備服務，而不擅長保護數(shù)據(jù)。并且，防火墻可能會導致內(nèi)部網(wǎng)絡安全管理的松懈。3 .防火墻的基本類型 實現(xiàn)防火墻的技術(shù)包括兩大類型：包過濾（PF） 、應用級防火墻。它們之間各有所長，具體使用哪一種或是否混合使用，要看具體需要。（1）. 包過濾型防火墻檢查的范圍涉及網(wǎng)絡層、傳輸層和會話層，過濾匹配的原則可以包括源地址、目的地址、傳輸協(xié)議、目的端口等。還可以根據(jù) TCP 序列號、TCP 連接的握手序列（如 SYN、ACK）的邏輯分析等進行判斷，較為有效地抵御類似 IP Spoofing、Sync flooding 等類型的攻擊。路由器通過配置其中的訪問控制列表（Accesslist）可以作為包過濾防火墻使用，但是過多的控制列表會嚴重降低路由器的性能。所以在業(yè)務量較大的場合需要將路由和包過濾兩種功能分開，也就是說有必要單獨購買專門的防火墻。訪問控制表（ACL）定義了各種規(guī)則來表明是否同意或拒絕包的通過，包過濾防火墻檢查每一條規(guī)則直至發(fā)現(xiàn)包中的信息與某規(guī)則相符。 如果規(guī)則都不符合，則缺省操作為丟棄該包。包過濾型防火墻 配置簡潔、速度快、費用較低，并且對用戶透明，但是對應用層的信息無法控制，對內(nèi)網(wǎng)的保護有限。Cisco 公司的 PIX 就屬于該類型的防火墻產(chǎn)品。另外，各種路由器和 UNIX 主機都可以經(jīng)過配置作為簡單的防火墻使用，來滿足一般的需要。（2）. 應用級防火墻 應用級防火墻能夠檢查進出的數(shù)據(jù)包，透視應用層協(xié)議，與既定的安全策略進行比較。該類型防火墻能夠進行更加細化復雜的安全訪問控制，并做精細的注冊和稽核。根據(jù)是否允許兩側(cè)通信主機直接建立鏈路，又可以分為網(wǎng)關和代理兩種。前者允許兩側(cè)建立直接連接，而是依靠某種算法來識別進出的應用層數(shù)據(jù)，這些算法通過已知合法數(shù)據(jù)包的模式來比較進出數(shù)據(jù)包。而后者通過特定的代理程序在兩側(cè)主機間復制傳遞數(shù)據(jù)，不允許建立直接連接。每一種應用需要相應的代理軟件，使用時防火墻負載較大，效率不如前者。目前在市場上流行的防火墻大多屬于應用級防火墻。 4 .防火墻的安全功能 各種防火墻的安全性能不盡相同。一般來說，防火墻采取以下幾種安全措施。（1）內(nèi)容檢查（2）用戶認證（3）負載分擔（4）網(wǎng)絡地址翻譯（5）開放式結(jié)構(gòu)設計（6）圖形化的實時監(jiān)視在本方案網(wǎng)絡安全設計中，選擇防火墻隔離內(nèi)部局域網(wǎng)與外部網(wǎng)，采用國產(chǎn)的能士防火墻，具有防止黑客的侵入等等功能。通過防火墻來保護內(nèi)部數(shù)據(jù)信息的安全。附 件附件一：局域網(wǎng)絡技術(shù)1．1 概述 計算機局域網(wǎng)指的是在較小范圍內(nèi)（一般在 10 公里之內(nèi)） ，速度較高（一般在 5M 以上）的計算機網(wǎng)絡。 目前，在國內(nèi)的局域網(wǎng)市場中以太網(wǎng)（Ether）以安裝方便、靈活易用等優(yōu)點占據(jù)著主導地位。但是隨著網(wǎng)絡應用的大量增加，標準的 10M 共享式以太網(wǎng)的缺點逐漸暴露出來。尤其是多媒體技術(shù)對實時傳送聲音與視頻的要求，使其愈發(fā)顯得力不從心，不堪重負，網(wǎng)絡性能下降，網(wǎng)絡傳輸速率成為網(wǎng)絡應用的瓶頸。 為消除網(wǎng)絡瓶頸，各種新的網(wǎng)絡傳輸技術(shù)不斷涌現(xiàn)。這些技術(shù)主要依靠提高帶寬和采用交換技術(shù)，改變共享式結(jié)構(gòu)的方法。100M共享式以太網(wǎng) 100BASEX 的出現(xiàn)，緩解了以太網(wǎng)帶寬不夠的問題，它將以太網(wǎng)的帶寬提高至 100M，從而滿足了大多數(shù)應用系統(tǒng)包括部分多媒體信息傳輸?shù)囊蟆?．2 局域網(wǎng)的拓撲結(jié)構(gòu) 拓撲結(jié)構(gòu)描述了網(wǎng)絡設備之間的連接和信息流動關系。 目前，局域網(wǎng)廣泛使用的網(wǎng)絡拓撲結(jié)構(gòu)有星型、總線型、環(huán)型和混合型等。 1．星型拓撲結(jié)構(gòu) 所謂星型網(wǎng)絡結(jié)構(gòu)就是點對點形式，將網(wǎng)絡各站點連接到一個中心站點的網(wǎng)絡結(jié)構(gòu)。由于集線器、交換機等設備大量的應用，采用星型拓撲結(jié)構(gòu)的局域網(wǎng)越來越普遍。其特點有： 可靠性高，任何一個站點的故障都不會影響整個網(wǎng)絡的運行； 連接簡單，安裝方便； 維護管理簡單，故障的檢測和隔離方便； 升級擴展容易，只需擴充中心設備的容量和更換新設備即可。 盡管，星型網(wǎng)絡結(jié)構(gòu)也存在著投資較多，中心設備要求較高的缺點。當前，大多數(shù)局域網(wǎng)都采用星型網(wǎng)絡拓撲結(jié)構(gòu)。 2．總線型拓撲結(jié)構(gòu) 總線型拓撲結(jié)構(gòu)就是采用單根電纜作為網(wǎng)絡傳輸介質(zhì)，所有網(wǎng)絡點都串接到該電纜上，該傳輸電纜稱為總線。 因為所有的信號都在總線上傳播，在某一時刻可能有兩個或兩個以上站點傳播信號，而造成信息碰撞。因此需要介質(zhì)訪問控制策略來決定哪個站點傳輸信號?？偩€拓撲結(jié)構(gòu)主要優(yōu)點是所需電纜少，易于布線和維護，擴充性好等。缺點是傳輸速度慢、容易產(chǎn)生信息擁塞等。 3．環(huán)型拓撲結(jié)構(gòu) 環(huán)型拓撲結(jié)構(gòu)，各工作站連接到一個中繼器上，中繼器通過電纜連成一個閉合的環(huán)，所有工作站共享該環(huán)路。環(huán)型拓撲結(jié)構(gòu)優(yōu)點是所需電纜長度短，布線簡單，特別適合于光纖媒體。其缺點是重新配置網(wǎng)絡、故障診斷和隔離比較困難。 4．樹型拓撲結(jié)構(gòu) 樹型拓撲結(jié)構(gòu)結(jié)合了總線型和星型拓撲結(jié)構(gòu)的優(yōu)點，易于擴展和故障隔離。1．3 10M 以太網(wǎng) 本技術(shù)遵循的標準是 。本技術(shù)使用 CSMA/CD（載波監(jiān)聽多路訪問/碰撞檢測）的技術(shù)。CSMA/CD 上的每一個站點都能隨時訪問網(wǎng)絡上的任何資源。在數(shù)據(jù)傳輸之前，每個工作站監(jiān)聽網(wǎng)絡是否正在被使用，如果網(wǎng)絡正在被使用，當前站點處于等待狀態(tài)，如果沒被使用，當前站點開始傳送數(shù)據(jù)。當兩個工作站同時監(jiān)聽到網(wǎng)絡空閑時，則同時開始傳送數(shù)據(jù)，這樣就出現(xiàn)了碰撞。在這種情況下，同時發(fā)送的數(shù)據(jù)都是無效的。兩個工作站會在隨后的某個時刻各自重新發(fā)送數(shù)據(jù)。由于使用了 CSMA/CD 的技術(shù)，兩臺工作站知道何時重發(fā)數(shù)據(jù)。本技術(shù)的優(yōu)點是造價便宜，但其缺點是網(wǎng)絡的利用率極低，不適應應用發(fā)展對網(wǎng)絡帶寬的要求。1．4 100M 以太網(wǎng) 本技術(shù)遵循的標準是 。100M 以太網(wǎng)是一種高速局域網(wǎng)，它為工作站和服務器提供了更高的帶寬。它和 10M 的技術(shù)一樣采用了相同的 介質(zhì)訪問控制和沖突檢測方法。100M 技術(shù)是對 10M 技術(shù)的重大改進，緩解了網(wǎng)絡應用對帶寬的需求。100M 的以太網(wǎng)由于其高帶寬、技術(shù)成熟、簡單易用，同時又與 10M 以太網(wǎng)兼容，所以是中小企業(yè)建設自己的局域網(wǎng)的首選技術(shù)?？焖僖蕴W(wǎng)與以太網(wǎng)的比較性能 快速以太網(wǎng) 以太網(wǎng)傳輸速度 100Mbit/s 10Mbit/s標準 介質(zhì)訪問控制CSMA/CD CSMA/CD拓撲結(jié)構(gòu) 星型 總線或星型傳輸介質(zhì) UTP、STP、光纖 電纜、UTP、光纖最大長度 雙絞線 100 米，光纖2022 米雙絞線 100 米，光纖2022 米全雙工支持支持 支持廠商支持 廣泛 廣泛1．5 FDDI 光纖分布式數(shù)據(jù)接口(FDDI)規(guī)定了采用光纖的 100M 雙令牌環(huán)局域網(wǎng)。FDDI 通常被用作高速骨干網(wǎng)絡技術(shù)。因為它比同軸電纜支持更高的的帶寬和更遠的傳輸距離。FDDI 采用雙環(huán)的體系結(jié)構(gòu)，兩環(huán)上的信息反向流動。雙環(huán)中一環(huán)成為主環(huán)，另一環(huán)稱為次環(huán)。在正常情況下，主環(huán)傳輸數(shù)據(jù)，次環(huán)處于空閑狀態(tài)。雙環(huán)可以提高網(wǎng)絡的穩(wěn)定性和可靠性。 FDDI 主要優(yōu)點為帶寬高、穩(wěn)定性高、可靠性高，缺點是建設造價高。FDDI 可以作為高速局域網(wǎng)在小范圍內(nèi)互聯(lián)高速計算機系統(tǒng)，或作為城域網(wǎng)互聯(lián)較小的網(wǎng)絡，或作為主干網(wǎng)用于互聯(lián)分布