【文章內(nèi)容簡介】 網(wǎng)功能，不必改變網(wǎng)絡(luò)的物理基礎(chǔ)，即可重新配置網(wǎng)絡(luò)。采用虛網(wǎng)功能，網(wǎng)絡(luò)性能可以獲得較大的改善： ，有效地分割通信量，因而能更好地利用帶寬，提高網(wǎng)絡(luò)總的吞吐量。 而不用更改布線，因?yàn)樘摼W(wǎng)技術(shù)是從邏輯角度而非物理角度來劃分子網(wǎng)的，所以采用虛網(wǎng)技術(shù)能減輕系統(tǒng)的擴(kuò)容壓力，將遷移費(fèi)用降至至最小。 ，增加網(wǎng)絡(luò)的安全性和保密性。虛擬網(wǎng)絡(luò)的安全策略采用的主要主要協(xié)議為 I 議為，此協(xié)議結(jié)合有鑒別和加密技術(shù)以確保整個(gè)網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)據(jù)的保密性和完整性。 ，但與傳統(tǒng)的局域網(wǎng)協(xié)議所不同的是，虛擬局域網(wǎng)能限制廣播的區(qū)域域，從而節(jié)省網(wǎng)絡(luò)帶寬。 ，用封裝的辦法支法支持不不同的網(wǎng)絡(luò)協(xié)議絡(luò)協(xié)議，如SNMP、NMP、IPX、TCP//IP、 等，兼容性非常好性非常好。 “虛網(wǎng)中繼” ，VLAN Trunking 特有技術(shù)特有技術(shù)的采用也成成為了必然。必然。簡而言之，VLAN Trunking 主主要是通過一條高速全雙工通道(200Mbps)來)來實(shí)現(xiàn)將將一個(gè) LAN Switch 端口所劃分的不同 VLAN 與其它 LAN Switch 中各自相應(yīng)的 VLAN 成員進(jìn)行線路復(fù)用連接的技術(shù)。VLAN Trunking 技術(shù)的采用，既節(jié)省了信道數(shù)據(jù)量，又提高了可靠性，并便于管理及方便連接，提高了整個(gè)網(wǎng)絡(luò)吞吐量和性能指標(biāo)。其原理如下圖所示：V1V2V3 V4V1V2V4 V1V1V2V320MbpsBandwith20MbpsBandwithVLAN 1to VLAN 4VLAN 2to VLAN 2 VLAN Trunkig 技 如果采用 VLAN trunking 的技術(shù)，則 VVV3 均可通過一條全雙工的 100Mbps，即 200Mbps 的速率與上級(jí) LAN Switch 進(jìn)行互通并經(jīng)過位于樹根部的路由器進(jìn)行路由與其它的 VLAN 進(jìn)行通訊。VLAN trunking 技術(shù)的優(yōu)點(diǎn)在于采用一條高速通道連接，提高了通道的使用效率，如在，如在 V2，V3 無數(shù)據(jù)量的情況下，V1 可以獨(dú)占此 100M 帶寬；并且可以使得線路的連接變得簡單，從而大大提高可靠性與易維護(hù)性。2 .防火墻 防火墻在網(wǎng)絡(luò)中的地位與它的名字非常相似，它根據(jù)網(wǎng)絡(luò)安全水平和可信任關(guān)系將網(wǎng)絡(luò)劃分成一些相對(duì)獨(dú)立的子網(wǎng)，兩側(cè)間的通信受到防火墻的檢查控制。它可以根據(jù)既定的安全策略允許特定的用戶和數(shù)據(jù)包穿過，同時(shí)將安全策略不允許的用戶和數(shù)據(jù)包隔斷，達(dá)到保護(hù)高安全等級(jí)的子網(wǎng)、阻止墻外黑客的攻擊、限制入侵的蔓延等目的。根據(jù)防火墻的位置，可以分為外部防火墻和內(nèi)部防火墻。外部防火墻將企業(yè)網(wǎng)與外部網(wǎng)隔離開來，而內(nèi)部防火墻的任務(wù)經(jīng)常是在各個(gè)部門子網(wǎng)之間進(jìn)行通信檢查控制。網(wǎng)絡(luò)安全體系不應(yīng)該提供外部系統(tǒng)跨越安全系統(tǒng)直接到達(dá)受保護(hù)的內(nèi)部網(wǎng)絡(luò)系統(tǒng)的途徑。安全體系在任何情況下都不應(yīng)該被旁路。 防火墻并不是萬能的，它在很多方面存在弱點(diǎn)。它無法防止來自防火墻內(nèi)側(cè)的攻擊。對(duì)各種已識(shí)別類型的攻擊的防御有賴于正確的配置，對(duì)各種最新的攻擊類型的防御取決于防火墻知識(shí)庫更新的速度和相應(yīng)的配置更新的速度。一般來說，防火墻擅長于保護(hù)設(shè)備服務(wù)，而不擅長保護(hù)數(shù)據(jù)。并且，防火墻可能會(huì)導(dǎo)致內(nèi)部網(wǎng)絡(luò)安全管理的松懈。3 .防火墻的基本類型 實(shí)現(xiàn)防火墻的技術(shù)包括兩大類型：包過濾（PF） 、應(yīng)用級(jí)防火墻。它們之間各有所長，具體使用哪一種或是否混合使用，要看具體需要。（1）. 包過濾型防火墻檢查的范圍涉及網(wǎng)絡(luò)層、傳輸層和會(huì)話層，過濾匹配的原則可以包括源地址、目的地址、傳輸協(xié)議、目的端口等。還可以根據(jù) TCP 序列號(hào)、TCP 連接的握手序列（如 SYN、ACK）的邏輯分析等進(jìn)行判斷，較為有效地抵御類似 IP Spoofing、Sync flooding 等類型的攻擊。路由器通過配置其中的訪問控制列表（Accesslist）可以作為包過濾防火墻使用，但是過多的控制列表會(huì)嚴(yán)重降低路由器的性能。所以在業(yè)務(wù)量較大的場合需要將路由和包過濾兩種功能分開，也就是說有必要單獨(dú)購買專門的防火墻。訪問控制表（ACL）定義了各種規(guī)則來表明是否同意或拒絕包的通過，包過濾防火墻檢查每一條規(guī)則直至發(fā)現(xiàn)包中的信息與某規(guī)則相符。 如果規(guī)則都不符合，則缺省操作為丟棄該包。包過濾型防火墻 配置簡潔、速度快、費(fèi)用較低，并且對(duì)用戶透明，但是對(duì)應(yīng)用層的信息無法控制，對(duì)內(nèi)網(wǎng)的保護(hù)有限。Cisco 公司的 PIX 就屬于該類型的防火墻產(chǎn)品。另外，各種路由器和 UNIX 主機(jī)都可以經(jīng)過配置作為簡單的防火墻使用，來滿足一般的需要。（2）. 應(yīng)用級(jí)防火墻 應(yīng)用級(jí)防火墻能夠檢查進(jìn)出的數(shù)據(jù)包，透視應(yīng)用層協(xié)議，與既定的安全策略進(jìn)行比較。該類型防火墻能夠進(jìn)行更加細(xì)化復(fù)雜的安全訪問控制，并做精細(xì)的注冊(cè)和稽核。根據(jù)是否允許兩側(cè)通信主機(jī)直接建立鏈路，又可以分為網(wǎng)關(guān)和代理兩種。前者允許兩側(cè)建立直接連接，而是依靠某種算法來識(shí)別進(jìn)出的應(yīng)用層數(shù)據(jù)，這些算法通過已知合法數(shù)據(jù)包的模式來比較進(jìn)出數(shù)據(jù)包。而后者通過特定的代理程序在兩側(cè)主機(jī)間復(fù)制傳遞數(shù)據(jù)，不允許建立直接連接。每一種應(yīng)用需要相應(yīng)的代理軟件，使用時(shí)防火墻負(fù)載較大，效率不如前者。目前在市場上流行的防火墻大多屬于應(yīng)用級(jí)防火墻。 4 .防火墻的安全功能 各種防火墻的安全性能不盡相同。一般來說，防火墻采取以下幾種安全措施。（1）內(nèi)容檢查（2）用戶認(rèn)證（3）負(fù)載分擔(dān)（4）網(wǎng)絡(luò)地址翻譯（5）開放式結(jié)構(gòu)設(shè)計(jì)（6）圖形化的實(shí)時(shí)監(jiān)視在本方案網(wǎng)絡(luò)安全設(shè)計(jì)中，選擇防火墻隔離內(nèi)部局域網(wǎng)與外部網(wǎng)，采用國產(chǎn)的能士防火墻，具有防止黑客的侵入等等功能。通過防火墻來保護(hù)內(nèi)部數(shù)據(jù)信息的安全。附 件附件一：局域網(wǎng)絡(luò)技術(shù)1．1 概述 計(jì)算機(jī)局域網(wǎng)指的是在較小范圍內(nèi)（一般在 10 公里之內(nèi)） ，速度較高（一般在 5M 以上）的計(jì)算機(jī)網(wǎng)絡(luò)。 目前，在國內(nèi)的局域網(wǎng)市場中以太網(wǎng)（Ether）以安裝方便、靈活易用等優(yōu)點(diǎn)占據(jù)著主導(dǎo)地位。但是隨著網(wǎng)絡(luò)應(yīng)用的大量增加，標(biāo)準(zhǔn)的 10M 共享式以太網(wǎng)的缺點(diǎn)逐漸暴露出來。尤其是多媒體技術(shù)對(duì)實(shí)時(shí)傳送聲音與視頻的要求，使其愈發(fā)顯得力不從心，不堪重負(fù)，網(wǎng)絡(luò)性能下降，網(wǎng)絡(luò)傳輸速率成為網(wǎng)絡(luò)應(yīng)用的瓶頸。 為消除網(wǎng)絡(luò)瓶頸，各種新的網(wǎng)絡(luò)傳輸技術(shù)不斷涌現(xiàn)。這些技術(shù)主要依靠提高帶寬和采用交換技術(shù)，改變共享式結(jié)構(gòu)的方法。100M共享式以太網(wǎng) 100BASEX 的出現(xiàn)，緩解了以太網(wǎng)帶寬不夠的問題，它將以太網(wǎng)的帶寬提高至 100M，從而滿足了大多數(shù)應(yīng)用系統(tǒng)包括部分多媒體信息傳輸?shù)囊蟆?．2 局域網(wǎng)的拓?fù)浣Y(jié)構(gòu) 拓?fù)浣Y(jié)構(gòu)描述了網(wǎng)絡(luò)設(shè)備之間的連接和信息流動(dòng)關(guān)系。 目前，局域網(wǎng)廣泛使用的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)有星型、總線型、環(huán)型和混合型等。 1．星型拓?fù)浣Y(jié)構(gòu) 所謂星型網(wǎng)絡(luò)結(jié)構(gòu)就是點(diǎn)對(duì)點(diǎn)形式，將網(wǎng)絡(luò)各站點(diǎn)連接到一個(gè)中心站點(diǎn)的網(wǎng)絡(luò)結(jié)構(gòu)。由于集線器、交換機(jī)等設(shè)備大量的應(yīng)用，采用星型拓?fù)浣Y(jié)構(gòu)的局域網(wǎng)越來越普遍。其特點(diǎn)有： 可靠性高，任何一個(gè)站點(diǎn)的故障都不會(huì)影響整個(gè)網(wǎng)絡(luò)的運(yùn)行； 連接簡單，安裝方便； 維護(hù)管理簡單，故障的檢測和隔離方便； 升級(jí)擴(kuò)展容易，只需擴(kuò)充中心設(shè)備的容量和更換新設(shè)備即可。 盡管，星型網(wǎng)絡(luò)結(jié)構(gòu)也存在著投資較多，中心設(shè)備要求較高的缺點(diǎn)。當(dāng)前，大多數(shù)局域網(wǎng)都采用星型網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。 2．總線型拓?fù)浣Y(jié)構(gòu) 總線型拓?fù)浣Y(jié)構(gòu)就是采用單根電纜作為網(wǎng)絡(luò)傳輸介質(zhì)，所有網(wǎng)絡(luò)點(diǎn)都串接到該電纜上，該傳輸電纜稱為總線。 因?yàn)樗械男盘?hào)都在總線上傳播，在某一時(shí)刻可能有兩個(gè)或兩個(gè)以上站點(diǎn)傳播信號(hào)，而造成信息碰撞。因此需要介質(zhì)訪問控制策略來決定哪個(gè)站點(diǎn)傳輸信號(hào)。總線拓?fù)浣Y(jié)構(gòu)主要優(yōu)點(diǎn)是所需電纜少，易于布線和維護(hù)，擴(kuò)充性好等。缺點(diǎn)是傳輸速度慢、容易產(chǎn)生信息擁塞等。 3．環(huán)型拓?fù)浣Y(jié)構(gòu) 環(huán)型拓?fù)浣Y(jié)構(gòu)，各工作站連接到一個(gè)中繼器上，中繼器通過電纜連成一個(gè)閉合的環(huán)，所有工作站共享該環(huán)路。環(huán)型拓?fù)浣Y(jié)構(gòu)優(yōu)點(diǎn)是所需電纜長度短，布線簡單，特別適合于光纖媒體。其缺點(diǎn)是重新配置網(wǎng)絡(luò)、故障診斷和隔離比較困難。 4．樹型拓?fù)浣Y(jié)構(gòu) 樹型拓?fù)浣Y(jié)構(gòu)結(jié)合了總線型和星型拓?fù)浣Y(jié)構(gòu)的優(yōu)點(diǎn)，易于擴(kuò)展和故障隔離。1．3 10M 以太網(wǎng) 本技術(shù)遵循的標(biāo)準(zhǔn)是 。本技術(shù)使用 CSMA/CD（載波監(jiān)聽多路訪問/碰撞檢測）的技術(shù)。CSMA/CD 上的每一個(gè)站點(diǎn)都能隨時(shí)訪問網(wǎng)絡(luò)上的任何資源。在數(shù)據(jù)傳輸之前，每個(gè)工作站監(jiān)聽網(wǎng)絡(luò)是否正在被使用，如果網(wǎng)絡(luò)正在被使用，當(dāng)前站點(diǎn)處于等待狀態(tài)，如果沒被使用，當(dāng)前站點(diǎn)開始傳送數(shù)據(jù)。當(dāng)兩個(gè)工作站同時(shí)監(jiān)聽到網(wǎng)絡(luò)空閑時(shí)，則同時(shí)開始傳送數(shù)據(jù)，這樣就出現(xiàn)了碰撞。在這種情況下，同時(shí)發(fā)送的數(shù)據(jù)都是無效的。兩個(gè)工作站會(huì)在隨后的某個(gè)時(shí)刻各自重新發(fā)送數(shù)據(jù)。由于使用了 CSMA/CD 的技術(shù)，兩臺(tái)工作站知道何時(shí)重發(fā)數(shù)據(jù)。本技術(shù)的優(yōu)點(diǎn)是造價(jià)便宜，但其缺點(diǎn)是網(wǎng)絡(luò)的利用率極低，不適應(yīng)應(yīng)用發(fā)展對(duì)網(wǎng)絡(luò)帶寬的要求。1．4 100M 以太網(wǎng) 本技術(shù)遵循的標(biāo)準(zhǔn)是 。100M 以太網(wǎng)是一種高速局域網(wǎng)，它為工作站和服務(wù)器提供了更高的帶寬。它和 10M 的技術(shù)一樣采用了相同的 介質(zhì)訪問控制和沖突檢測方法。100M 技術(shù)是對(duì) 10M 技術(shù)的重大改進(jìn)，緩解了網(wǎng)絡(luò)應(yīng)用對(duì)帶寬的需求。100M 的以太網(wǎng)由于其高帶寬、技術(shù)成熟、簡單易用，同時(shí)又與 10M 以太網(wǎng)兼容，所以是中小企業(yè)建設(shè)自己的局域網(wǎng)的首選技術(shù)?？焖僖蕴W(wǎng)與以太網(wǎng)的比較性能 快速以太網(wǎng) 以太網(wǎng)傳輸速度 100Mbit/s 10Mbit/s標(biāo)準(zhǔn) 介質(zhì)訪問控制CSMA/CD CSMA/CD拓?fù)浣Y(jié)構(gòu) 星型 總線或星型傳輸介質(zhì) UTP、STP、光纖 電纜、UTP、光纖最大長度 雙絞線 100 米，光纖2022 米雙絞線 100 米，光纖2022 米全雙工支持支持 支持廠商支持 廣泛 廣泛1．5 FDDI 光纖分布式數(shù)據(jù)接口(FDDI)規(guī)定了采用光纖的 100M 雙令牌環(huán)局域網(wǎng)。FDDI 通常被用作高速骨干網(wǎng)絡(luò)技術(shù)。因?yàn)樗韧S電纜支持更高的的帶寬和更遠(yuǎn)的傳輸距離。FDDI 采用雙環(huán)的體系結(jié)構(gòu)，兩環(huán)上的信息反向流動(dòng)。雙環(huán)中一環(huán)成為主環(huán)，另一環(huán)稱為次環(huán)。在正常情況下，主環(huán)傳輸數(shù)據(jù)，次環(huán)處于空閑狀態(tài)。雙環(huán)可以提高網(wǎng)絡(luò)的穩(wěn)定性和可靠性。 FDDI 主要優(yōu)點(diǎn)為帶寬高、穩(wěn)定性高、可靠性高，缺點(diǎn)是建設(shè)造價(jià)高。FDDI 可以作為高速局域網(wǎng)在小范圍內(nèi)互聯(lián)高速計(jì)算機(jī)系統(tǒng)，或作為城域網(wǎng)互聯(lián)較小的網(wǎng)絡(luò)，或作為主干網(wǎng)用于互聯(lián)分布