【導讀】隨著辦公信息化、自動化的需求，各單位為提高辦公效率，促進。信息交流，適應現(xiàn)代化辦公的要求，需要組建企業(yè)辦公局域網(wǎng)。計企業(yè)局域網(wǎng)進行淺述。網(wǎng)絡拓撲結(jié)構(gòu)、綜合布線設計原則、中心機房規(guī)劃與設計、網(wǎng)絡設備選擇等。本畢業(yè)設計課題將主要以華迪公司網(wǎng)絡規(guī)劃與設計過程可能用到的各種技術(shù)。及實施方案為設計方向，為公司網(wǎng)的建設提供理論依據(jù)和實踐指導。

　　

【正文】 務攻擊 等。 b、 高性能的核心抓包機制 。 c、 功能強大的事件管理 。 d、 多樣化的報警響應方式 。 e、 大規(guī)模網(wǎng)絡下的入侵檢測能力 。 f、 強大的協(xié)作聯(lián)動能力 。 g、靈活的入侵規(guī)則定制。 h、可持續(xù)的規(guī)則庫升級。 i、完備的自身安全性。 j、方便易用的 WEB 管理方式。 k、同時，鷹眼網(wǎng)絡入侵檢測系統(tǒng)具有以下六種報警響應方式：數(shù)據(jù)庫報、電子郵件報警、 SNMP TRAP 告警、 SYSLOG 告警 主動切斷、防火墻聯(lián)動響應。 服務器： (5 臺 ) 因為公司的規(guī)模小，要建立一個 100 多人的 OA 辦公系統(tǒng)，且 WEB 服務器平時訪問量不大，、 FTP 服務器只用于員工資源的上傳與下載，從可靠性和節(jié)省角度出發(fā)，打算公司的服務器采用組裝服務器。 表 服務器配置表 品名 規(guī)格 數(shù)量 參數(shù) 蘭州理工大學畢業(yè)設計 20 CPU Intel Xeon E5520(至強系列 ) 1 主頻 2260MHz。針腳數(shù) 1366 pin。L2 緩存 2MB。 L3緩存 8MB 。前端總線：1333MHz。內(nèi)核 Gainestown 。核心數(shù)量 :四核心 。超線程技術(shù) 支持 ,支持 DDR3 內(nèi)存規(guī)格 :1066, 800 內(nèi)存 金士頓 DDR3 4G ECC1 4(按需求增減 ) 校驗服務器專用內(nèi)存； 內(nèi)存規(guī)格： DRR3；內(nèi)存主頻：1333MHZ；內(nèi)存容量： 4G； 插槽類型： DIMM 主板 Intel S5500BC 1 主板架構(gòu)： ATX；支持 CPU類型： 支持 Intel 處理器 ,2Xeon 5500 處理器 ； 支持內(nèi)存類型 DDR3。8 條內(nèi)存槽 ； 內(nèi)存描述 ： 4 通道(800/1066/1333 MHz)； 雙千兆 intel 以太網(wǎng)卡 ； 磁盤 陣列類型 ： SATA； 磁盤陣列模式 ：集成 SATA RAID 0/1/10,可選 SW RAID 5 激活卡 ； 硬盤接口 ： 6 SATA 接口 (3 Gbps)； 硬盤 希捷 Constellation ES 企業(yè) 級 1TB 7200 轉(zhuǎn) 64MB SATA3（ ST1000NM0011） 1（按需求增減） 硬盤容量： 1TB。接口類型：SATA 。轉(zhuǎn)速： 7200 轉(zhuǎn) /分 。緩存： 64MB。接口速率：6Gb/s 電源 航嘉磐石 1 500w 1U 專用電源 機箱 國鑫 GX1014B 1U 機架機箱 1 可擴展 4 路熱插拔硬盤的設計 蘭州理工大學畢業(yè)設計 21 顯示器 Voc 冠捷 1 鼠鍵套裝 任意 1 Intel 至強 4 核心處理器，大容量擴展內(nèi)存，大容量磁盤陣列，英特爾 5500 芯片組服務器主板，為了數(shù)據(jù)安全，用 RAID 0+1 保證速度和數(shù)據(jù)備份。 WEB 服務器對安全穩(wěn)定要有一定保障，為了 7*24 小時不間斷供電，所以在預算充足下考慮低端的 UPSX2 電源。 六、防火墻 （ 1 臺） ：龍馬衛(wèi)士防火墻 WLMB1000SX ： 2*1000M+1*100M 選購理由： （ 1）傳統(tǒng)防火墻一般是以 IP 地址為核心進行訪問 監(jiān)控，而新一代的龍馬衛(wèi)士防火墻是以用戶為核心進行訪問監(jiān)控，實現(xiàn)了用戶的認證，授權(quán)，記帳（ AAA）功能。 認證（ Authentication）：用來證明用戶的真實身份，如：“我是用戶 Bob，我的密碼證明了我確實是?！碑斢脩敉ㄟ^防火墻進行訪問時，首先需要對其身份進行認證，認證方式簡單方便，認證的工具可以是任何支持認證的網(wǎng)頁瀏覽器如 Microsoft Inter Explorer（ IE）或 Netscape，身份認證是基于密碼技術(shù)的，對管理員用戶名和口令在傳輸時進行加密，并且，對防火墻和控制端之間通過網(wǎng)絡傳輸 的所有數(shù)據(jù)全部加密，這樣有效地防止了在網(wǎng)絡傳輸過程中數(shù)據(jù)被竊聽、篡改，達到更高可靠性的身份認證。龍馬衛(wèi)士防火墻支持多種認證方式，如用戶名和口令，一次性口令認證（ OTP）、 PAM、 PAP/CHAP、 MSCHAP、NTDomain、 Radius、 Kerberos、 LDAP 等，并可以根據(jù)用戶需求擴展其他認證方式。 授權(quán)（ Authorization）：在經(jīng)過了認證后，授權(quán)決定了該用戶可以進行何種訪問活動，如：“用戶 Bob 可以對主機 NT_host 進行 Tel 訪問。” 龍馬衛(wèi)士 防火墻可以對所有用戶進行分組管理，對 用戶組進行授權(quán)。認證通過后確定用戶所屬的用戶組，系統(tǒng)將檢查安全策略中對此用戶組的授權(quán)。用戶被授權(quán)后所有的資源訪問能夠進行記錄實現(xiàn)記帳。 記帳（ Accounting）：記錄了用戶實際上進行的訪問活動，如某個用戶進行了何種訪問，對誰進行了訪問等信息，如：“用戶早 10： 00 從自己的主機對主機 NT_host 進行了 Tel訪問?！饼堮R衛(wèi)士防火墻跟蹤所有用戶的訪問記錄，為系統(tǒng)審計，發(fā)現(xiàn)入侵活動等提供分析依據(jù)。 龍馬衛(wèi)士防火墻的 AAA 模塊主要由網(wǎng)絡訪問服務器（ NAS）以及認證控制服務器（ ACS）兩部分組成。認證控制服 務器是一個標準的 Radius 認證服務器，完全遵循 RFC2862866 和部分 2869 的規(guī)范。并以用戶為核心，同時具有授權(quán)和記帳等功能。認證控制服務 蘭州理工大學畢業(yè)設計 22 器可以為任何支持 Radius 協(xié)議的其他防火墻，路由器和撥號服務器等提供認證服務。認證控制服務器支持多種認證方式，并可以根據(jù)用戶需求擴展其他認證方式。同時，認證控制服務器還支持認證代理，可以將認證轉(zhuǎn)發(fā)給其他的 Radius 認證服務器。龍馬衛(wèi)士防火墻的認證控制服務器的結(jié)構(gòu)高度模塊化，具有良好的可擴展性，并能夠擴展新的認證方式。龍馬衛(wèi)士防火墻還為 AAA 服務提供管理工具。 管理工具采用 B/S 結(jié)構(gòu)，通過瀏覽器來管理認證服務器上的用戶、進程、日志等，并且可以進行遠程管理，界面友好，使用方便。 （ 2） 實時的連接狀態(tài)監(jiān)控功能包過濾是防火墻中的一項主要安全技術(shù)，它通過防火墻對進出網(wǎng)絡的數(shù)據(jù)流進行控制與操作。 龍馬衛(wèi)士 防火墻不僅根據(jù)數(shù)據(jù)包的地址、方向、協(xié)議、服務、端口、訪問時間進行訪問控制，同時還對任何網(wǎng)絡連接和會話的當前狀態(tài)進行分析和監(jiān)控。傳統(tǒng)防火墻的包過濾只是與規(guī)則表進行匹配，對符合規(guī)則的數(shù)據(jù)包進行處理，不符合規(guī)則的丟棄。由于是基于規(guī)則的檢查，屬于同一連接的不同包毫無任何聯(lián)系，每個包都要依據(jù) 規(guī)則順序過濾，這樣隨著安全規(guī)則的增加，勢必會使防火墻的性能大幅度的降低，造成網(wǎng)絡擁塞。甚至黑客會采用 IP Spoofing 的辦法將自己的非法包偽裝成屬于某個合法的連接。這樣的包過濾既缺乏效率又容易產(chǎn)生安全漏洞。 （ 3） 龍馬衛(wèi)士 防火墻采用了基于連接狀態(tài)檢查的包過濾，將屬于同一連接的所有包作為一個整體的數(shù)據(jù)流看待，通過規(guī)則表與連接狀態(tài)表的共同配合，大大地提高了系統(tǒng)的性能和安全性。龍馬衛(wèi)士防火墻在進行包的檢測時不僅將其看成是獨立的單元，同時還要考慮與它的前面包的關(guān)聯(lián)性。而無連接的包過濾規(guī)則沒有考慮這些內(nèi)在的關(guān)聯(lián)信息，對 每個數(shù)據(jù)包都進行孤立的規(guī)則檢測，這樣就降低了傳輸效率和安全性。尤其值得一提的是，對于基于 UDP 協(xié)議、 ICMP 的應用來說，是很難用簡單的包過濾技術(shù)進行處理的，因為 UDP協(xié)議本身對于順序錯誤或丟失的包，是不做糾錯或重傳的。而 ICMP 與 IP 位于同一層，它被用來傳送 IP 的差錯和控制信息。龍馬衛(wèi)士防火墻在對基于 UDP 協(xié)議的連接處理時，會為 UDP 建立虛擬的連接，同樣能夠?qū)B接過程狀態(tài)進行監(jiān)控。通過規(guī)則與連接狀態(tài)的共同配合，達到包過濾的高效與安全。可以這么說，能夠?qū)崿F(xiàn)對 UDP、 ICMP 協(xié)議的實時狀態(tài)監(jiān)控，是龍馬衛(wèi)士防火墻 有別于其它廠商防火墻的顯著特點之一。 （ 4） 動態(tài)過濾技術(shù) ,在進行網(wǎng)絡通訊時，應用程序的端口必須打開才能進行通訊。傳統(tǒng)防火墻一般采用的是靜態(tài)過濾技術(shù)，即事先打開很多端口以滿足各種應用的需要，但是有時某些應用程序的端口是動態(tài)變化的，如 FTP、 、視頻會議等應用，事先打開的端口很難滿足這種動態(tài)變化的需要，而且如果事先打開的端口過多，可能造成很多不安全的隱患，為了解決這些問題，在龍馬衛(wèi)士防火墻中，使用了動態(tài)過濾技術(shù)。動態(tài)過濾技術(shù)指 蘭州理工大學畢業(yè)設計 23 的是根據(jù)實際應用的需要，為合法的訪問連接動態(tài)地打開其所需要的端口，在訪問結(jié)束時自動地 將打開的端口關(guān)閉。這樣在實際應用中，事先只需打開極少數(shù)必須打開的端口，在建立合法的訪問連接時再適當打開某些需要的端口，當連接結(jié)束時，自動地關(guān)閉相應的端口，這樣能夠有效的防止系統(tǒng)存在的‘開口’隱患，解決了事先打開的端口不能滿足應用程序的需求等問題，并能在最大程度上挫敗黑客的惡意進攻。 （ 5） IP 地址盜用自動檢測技術(shù)每一塊網(wǎng)絡接口都具有一個唯一的物理標識號碼，也就是 MAC 地址。龍馬衛(wèi)士防火墻提供了將網(wǎng)絡接口的 IP 地址同它的 MAC 地址進行綁定的功能，因此即使某一用戶盜用 IP 地址，在通過防火墻時也因接口的 MAC 地址不匹配 而拒絕通過。龍馬衛(wèi)士防火墻給用戶提供一種自動搜索局域網(wǎng)內(nèi)給定網(wǎng)段的 MAC 地址的方法，能夠自動獲取所有 IP 地址對應的 MAC 地址，有效地防止 IP 地址欺騙。這樣，防火墻能夠自動監(jiān)視內(nèi)部 IP 地址資源的使用情況。 （ 6） 靈活多樣的網(wǎng)絡地址轉(zhuǎn)換（ NAT） 龍馬衛(wèi)士 防火墻利用 NAT 技術(shù)對內(nèi)部地址做轉(zhuǎn)換，使外部網(wǎng)絡無法了解內(nèi)部網(wǎng)絡的結(jié)構(gòu)，使黑客很難對內(nèi)部網(wǎng)的一個用戶發(fā)起攻擊。同時允許內(nèi)部網(wǎng)絡使用自己定制的 IP 地址和專用網(wǎng)絡，防火墻能詳盡記錄每一個主機的通信，確保每個分組送往正確的地址。并且，無論防火墻工作在何種模式（路由，透明，混合）下，都能實現(xiàn) NAT 功能。 龍馬衛(wèi)士 防火墻不僅提供了傳統(tǒng)的“內(nèi)部網(wǎng)到外部網(wǎng)”，“外部網(wǎng)到內(nèi)部網(wǎng)” NAT 功能，而且提供任意網(wǎng)絡接口的地址轉(zhuǎn)換功能，規(guī)則能夠根據(jù)源地址范圍，目的地址范圍，端口以及協(xié)議等精密匹配。地址轉(zhuǎn)換分為源地址轉(zhuǎn)換和目的地址轉(zhuǎn)換，另外，為了適應復雜的網(wǎng)絡結(jié)構(gòu)，防火墻還提供外部網(wǎng)絡到內(nèi)部網(wǎng)絡的源地址轉(zhuǎn)換功能。也就是說，對于任何一個網(wǎng)絡接口，可以進行向外的源地址轉(zhuǎn)換，向內(nèi)的目的地址轉(zhuǎn)換以及向內(nèi)的源地址轉(zhuǎn)換三種 NAT。 綜合布線設計 綜合布線系統(tǒng)是建筑物或建筑群內(nèi)的信息傳輸系統(tǒng)。它使話音和數(shù) 據(jù)通信設備、交換機設備、信息管理系統(tǒng)及設備控制系統(tǒng)彼此相連，也使這些設備與外部通信網(wǎng)絡相連接。它包括建筑物到外部網(wǎng)絡或電話局線路上的連線、與工作區(qū)的話音或數(shù)據(jù)終端之間的所有電纜及相關(guān)聯(lián)的布線部件。布線系統(tǒng)由不同系列的部件組成，其中包括：傳輸介質(zhì)、線路管理硬件、連接器、插座、插頭、適配器、傳輸電子線路、電器保護設備和支持硬件 本綜合布線系統(tǒng)方案依據(jù)四川華迪信息技術(shù)有限公司新辦公樓分布情況，將數(shù)據(jù)、語 蘭州理工大學畢業(yè)設計 24 音、多媒體信息的傳輸介質(zhì)主要引用于大樓的計算機網(wǎng)絡系統(tǒng)、通信系統(tǒng)。配備先進的計算機網(wǎng)絡系統(tǒng)和通訊系統(tǒng)設備。為了有 效地利用這些設備，并讓它們發(fā)揮最大的效果，將采用綜合布線系統(tǒng)實現(xiàn)電話和計算機系統(tǒng)資源的綜合利用。本方案在滿足需求的前提下，重點考慮今后的系統(tǒng)擴充、可靠性、易維護、易管理等問題。 工作區(qū)子系統(tǒng)設計介紹 工作區(qū)布線子系統(tǒng)由終端設備連接到信息插座的連線（或軟線）組成，它包括信息插座、信息模塊、網(wǎng)卡和連接所需的跳線、裝配軟線、適配器和連接所需的擴展軟線，并在終端設備和 I/O 之間搭橋。據(jù)適應今后計算機網(wǎng)絡的發(fā)展，語音和數(shù)據(jù)信息插座全部采用六類模塊化信息插座，提高系統(tǒng)的互換性。 在本系統(tǒng)中，各層水平電纜的兩端 （插座面板和配線面板）均采用超五類非屏蔽 RJ45模塊，電話線用的 RJ11 插頭（電話機一般都配有這種電纜）可以直接插入 RJ45 插座內(nèi)。信息插座與電源插座低邊延線距地 30cm。工作區(qū)子系統(tǒng)圖如圖 ： 圖 信息插座面板示意 圖 VABC 為語音點編號， A 為配線架序號， B 為配線架端口序號， C 為語音點總序號。 DABC 為語音點編號， A 為配線架序號， B 為配線架端口序號， C 為語音點總序號。 此序號在與插座相連的五類線的端部也有標識，便于以后維護。 所以本系統(tǒng)的可互換性非常好，這樣就實現(xiàn)了語音 /數(shù) 據(jù)完全可互換，使電話與電腦之間的線路轉(zhuǎn)換十分簡單，僅僅只需要在配線架上改變跳線即可，大大方便了今后的實際應用，使綜合布線系統(tǒng)的靈活性得到最完美的體現(xiàn)。 水平干線子系統(tǒng)設計介紹 水平布線子系統(tǒng)將電纜從樓層配線架連接到各工作區(qū)的信息插座上，一般處在同一樓層。通常采用 5類或 5E類 8芯 4對雙絞線， 5類或 5E類雙絞線都是由 8根 24AWG（ ） 蘭州理工大學畢業(yè)設計 25 銅線組成，符合或超過 EIA/TIA568 標準。 水平干線子系統(tǒng)是整個布線系統(tǒng)的一部分，它是從工作區(qū)的信息插座開始到管理間子系統(tǒng)的配線架。結(jié)構(gòu)一般為星型結(jié) 構(gòu)。由超五類 4 對 U T P（非屏蔽雙絞線）組成，能支持大多數(shù)現(xiàn)代化通信設備，如果有磁場干擾或信息保密時可用屏蔽雙絞線。 線纜長度估算公式： LT=[（ Lmax+Lmin） /2+H ] * *N