【正文】 針對病毒設(shè)防的各個層面，考慮病毒產(chǎn)品對系統(tǒng)和網(wǎng)絡(luò)資源的占用情況。通過優(yōu)化結(jié)構(gòu)、靈活配置來達到安全與性能的負(fù)載均衡，在性能上使其對企業(yè)內(nèi)的網(wǎng)絡(luò)應(yīng)用和最終用戶的影響降至最低防毒軟件應(yīng)該具有以下功能： 可查殺病毒的種數(shù)固然是多多益善，但也要關(guān)注它對實際流行病毒的查殺能力。 這一點主要從三個方面衡量：軟件供應(yīng)商的病毒信息搜集網(wǎng)絡(luò)、病毒代碼的更新周期和供應(yīng)商對用戶發(fā)現(xiàn)的新病毒的反應(yīng)周期。 按照統(tǒng)計，目前的病毒中最常見的是通過郵件系統(tǒng)來傳輸，另外還有一些病毒通過網(wǎng)頁傳播。這些傳播途徑都有一定的實時性，用戶無法人為地了解可能感染的時間。因此，防病毒軟件的實時監(jiān)測能力顯得相當(dāng)重要。 、方便地升級企業(yè)級防病毒軟件對更新的及時性需求尤其突出。多數(shù)反病毒軟件采用了Internet進行病毒代碼和病毒查殺引擎的更新，并可以通過一定的設(shè)置自動進行，盡可能地減少人力的介入。 、遠程識別由于局域網(wǎng)中，服務(wù)器、客戶端承擔(dān)的任務(wù)不同，在防病毒方面的要求也不大一樣。因此在安裝時如果能夠自動區(qū)分服務(wù)器與客戶端，并安裝相應(yīng)的軟件，這對管理員來說將是一件十分方便的事。 ，易于操作系統(tǒng)的可管理性是系統(tǒng)管理員尤其需要注意的。管理者需要隨時隨地了解各臺計算機病毒感染的情況，并借此制定或調(diào)整防病毒策略。 防病毒程序進行實時監(jiān)控都或多或少地要占用部分系統(tǒng)資源，這就不可避免地要帶來系統(tǒng)性能的降低。 另一個是升級信息的交換，下載和分發(fā)升級信息都將或多或少地占用網(wǎng)絡(luò)帶寬。 系統(tǒng)兼容性并不是僅僅選購防病毒軟件時需要考慮的事，而是買絕大多數(shù)軟件時都必須考慮的因素。不同的是，防病毒軟件的一部分常駐程序如果跟其它軟件不兼容，將會帶來更大的問題。 就價格來說，企業(yè)級防病毒軟件大多是按照網(wǎng)絡(luò)規(guī)模來確定初次購買和后繼的升級費用的。初次購買后，軟件商一般會提供一定時期的免費升級，而此后的升級及服務(wù)如何收費也需做到心中有數(shù)。 軟件商的實力，一方面指它對現(xiàn)有產(chǎn)品的技術(shù)支持和服務(wù)能力，另一方面是指它的后續(xù)發(fā)展能力。因為企業(yè)級防毒軟件實際是用戶企業(yè)與防病毒廠商的長期合作，企業(yè)實力將會影響這種合作的持續(xù)性，從而影響到用戶企業(yè)在此方面的投入成本。 昆鋼集團網(wǎng)絡(luò)信息安全規(guī)劃方案昆鋼集團的網(wǎng)絡(luò)涵蓋了集團內(nèi)所有辦公場所、生產(chǎn)單位、異地分公司和職工住宅區(qū)。網(wǎng)絡(luò)應(yīng)用為集團的辦公、生產(chǎn)和家庭上網(wǎng)，并沒有建立在廣域網(wǎng)上的業(yè)務(wù)應(yīng)用。針對這樣的特點，我們提出以下的網(wǎng)絡(luò)安全建議：l 劃分VALN，內(nèi)部系統(tǒng)集中到一個VLAN里，在這個VLAN里不允許有任何用戶節(jié)點。將家屬住宅區(qū)單獨劃分一個在VALN中，與中心節(jié)點的內(nèi)部網(wǎng)段隔離，保障內(nèi)部網(wǎng)段沒有后門，并開設(shè)專用的端口以支持家庭辦公，加裝防火墻及入侵檢測設(shè)備，以增加預(yù)防效果提高網(wǎng)絡(luò)管理時效性與可靠性l 設(shè)置代理服務(wù)器，所以用戶終端訪問互連網(wǎng)必通過代理服務(wù)器。使用訪問列表控制內(nèi)部終端訪問外部互接網(wǎng)。嚴(yán)格控制使用權(quán)限，同時代理服務(wù)器也可以控制訪問的站點，減少對可疑站點的訪問，降低風(fēng)險。l 在投資條件的允許下，在最終用戶終端加裝個人防火墻l 采用支持三個網(wǎng)段的專業(yè)防火墻有效保護內(nèi)部網(wǎng)絡(luò)；把WWWserver，Emailserver和DNSserver放到此區(qū)并設(shè)置安全策略允許內(nèi)部網(wǎng)和外部網(wǎng)的所有機器訪問l 使用共享式集線器l 安裝防毒服務(wù)器及為所有電腦安裝防病毒軟件代理l 加裝網(wǎng)絡(luò)防火墻與現(xiàn)有的IDS系統(tǒng)配合使用l 對于網(wǎng)絡(luò)通訊端口，在保證正常業(yè)務(wù)的前提下，將有威脅的端口關(guān)閉。如只開放,smtp服務(wù)。 昆鋼集團網(wǎng)絡(luò)基礎(chǔ)建設(shè)規(guī)劃方案 傳輸網(wǎng)絡(luò)的設(shè)計與建設(shè)昆鋼集團目前使用PDH傳輸設(shè)備，為昆鋼各廠區(qū)及部分礦山提供語音業(yè)務(wù)。鑒于PDH設(shè)備的設(shè)備容量有限，且無法支持其他業(yè)務(wù)應(yīng)用的缺陷，昆鋼集團需要進行一次整體的網(wǎng)絡(luò)基礎(chǔ)建設(shè)以滿足昆鋼集團未來的多業(yè)務(wù)應(yīng)用需求。根據(jù)我們對昆鋼集團網(wǎng)絡(luò)應(yīng)用的理解，昆鋼集團未來的網(wǎng)絡(luò)屬于典型的城域網(wǎng)絡(luò)。在進行城域網(wǎng)絡(luò)的規(guī)劃時，我們遵循以下幾個原則：l 多業(yè)務(wù)承載l 高可用性l 安全性l 高性能l 高可擴展性l 高性價比l 保護現(xiàn)有投資什么是城域網(wǎng)絡(luò)從歷史上看，城域網(wǎng)（ＭＡＮ）最初產(chǎn)生于局域網(wǎng)互連和數(shù)據(jù)新業(yè)務(wù)發(fā)展的需要，以后隨著形勢的變化逐漸發(fā)展成為各類不同背景新興運營公司的區(qū)域性多業(yè)務(wù)通信網(wǎng)，傳統(tǒng)電信運營公司也開始在其相應(yīng)的局間中繼網(wǎng)范圍大量建設(shè)類似的多業(yè)務(wù)區(qū)域性通信網(wǎng)。 從基本特征看，城域網(wǎng)是一種主要面向企事業(yè)用戶的、最大可覆蓋城市及其郊區(qū)范圍的、可提供豐富業(yè)務(wù)和支持多種通信協(xié)議的公用網(wǎng)，實際是一種帶有某些廣域網(wǎng)特點的本地應(yīng)用型公用網(wǎng)絡(luò)。可以說城域網(wǎng)的關(guān)鍵特征是公用多業(yè)務(wù)網(wǎng)，由此帶來了一系列有別于其他網(wǎng)絡(luò)的特點。城域網(wǎng)既不同于局域網(wǎng)，又不同于廣域網(wǎng)。城域網(wǎng)與局域網(wǎng)的主要區(qū)別首先是網(wǎng)絡(luò)性質(zhì)的不同，局域網(wǎng)是企事業(yè)專用網(wǎng)，而城域網(wǎng)是面向公用網(wǎng)應(yīng)用和多用戶環(huán)境的，因此有嚴(yán)格的要求；其次是傳輸距離的擴展，典型局域網(wǎng)的傳輸距離為數(shù)公里，而城域網(wǎng)范圍可擴展到50～300公里；最后是業(yè)務(wù)范圍的擴展，典型局域網(wǎng)通常主要提供數(shù)據(jù)業(yè)務(wù)，而城域網(wǎng)的業(yè)務(wù)范圍不僅有數(shù)據(jù)，還有語音和圖像，是全業(yè)務(wù)網(wǎng)絡(luò)。城域網(wǎng)與廣域網(wǎng)或長途網(wǎng)的主要區(qū)別首先是容量，廣域網(wǎng)或長途網(wǎng)要求很高的容量，而城域網(wǎng)只需中等容量即可；其次是覆蓋距離的縮小，典型廣域網(wǎng)或長途網(wǎng)的傳輸距離可達數(shù)千公里；再有是支持的客戶層信號不同，廣域網(wǎng)或長途網(wǎng)目前只支持ＳＤＨ，將來預(yù)計也只有ＳＤＨ和以太網(wǎng)，而城域網(wǎng)需要支持各種客戶層信號，而且要能很快地提供客戶層信號所需的帶寬；最后是容許的成本不同，廣域網(wǎng)或長途網(wǎng)的高容量可由成千上萬的大量用戶共享，因而可以容許較高的成本，而城域網(wǎng)不行。特別是城域網(wǎng)的成本關(guān)鍵是節(jié)點，而非線路，而長途網(wǎng)恰好相反。 近幾年來，隨著骨干網(wǎng)容量和接入網(wǎng)容量的大幅度提升，網(wǎng)絡(luò)的容量瓶頸已經(jīng)逐漸轉(zhuǎn)移到城域網(wǎng)，特別是電子商務(wù)，關(guān)鍵企事業(yè)業(yè)務(wù)（諸如外聯(lián)網(wǎng)、ERP應(yīng)用、存儲區(qū)域網(wǎng)、災(zāi)難恢復(fù)等）的外包，局域網(wǎng)互連，ＰＯＰ間或ＰＯＰ內(nèi)的互連，高速數(shù)據(jù)傳送，上網(wǎng)瀏覽，點播電視，會議電視等新舊業(yè)務(wù)和應(yīng)用的發(fā)展進一步促進了城域網(wǎng)的發(fā)展。 總的看，城域網(wǎng)是高度競爭和開放的網(wǎng)絡(luò)環(huán)境，受用戶和應(yīng)用驅(qū)動，基本特征是業(yè)務(wù)類型多樣化，業(yè)務(wù)流向流量的不確定性。它不僅是傳統(tǒng)廣域網(wǎng)與局域網(wǎng)的橋接區(qū)或傳統(tǒng)長途網(wǎng)與接入網(wǎng)的橋接區(qū)，也是底層傳送網(wǎng)、接入網(wǎng)與上層各種業(yè)務(wù)網(wǎng)的融合區(qū)，還是傳統(tǒng)電信網(wǎng)與數(shù)據(jù)網(wǎng)的交叉融合地帶乃至未來的三網(wǎng)融合區(qū)，因而各種不同背景的技術(shù)在此碰撞交融，往往會在復(fù)雜的融合過程中產(chǎn)生新的衍生體。多樣化將是城域網(wǎng)有別于長途網(wǎng)的重要特點，而豐富的應(yīng)用是城域網(wǎng)能持續(xù)發(fā)展的原動力。 組網(wǎng)技術(shù)的選擇選擇合理的網(wǎng)絡(luò)主干技術(shù)對于一個營運網(wǎng)絡(luò)來說十分重要，因為它關(guān)系到網(wǎng)絡(luò)的服務(wù)品質(zhì)和可持續(xù)發(fā)展的特性。對于城域網(wǎng)絡(luò)，目前可供選擇的寬帶包括以下幾種：q PDH20世紀(jì)80年代中期以來，光纖通信在電信網(wǎng)中獲得了大規(guī)模應(yīng)用。其應(yīng)用場合已逐漸從長途通信、市話局間中繼通信轉(zhuǎn)向用戶網(wǎng)。光纖通信的廉價、優(yōu)良的帶寬特性正使之成為電信網(wǎng)的主要傳輸手段。然而，隨著電信網(wǎng)的發(fā)展和用戶要求的提高，基于點對點傳輸?shù)臏?zhǔn)同步（PDH）系統(tǒng)正暴露出一些固有的弱點。只有地區(qū)性的數(shù)字信號速率和幀結(jié)構(gòu)標(biāo)準(zhǔn)，而不存在世界性標(biāo)準(zhǔn)。－－45Mbit/s－N45Mbit/s，－－32Mbit/s－100Mbit/s－400Mbit/s，而歐洲的標(biāo)準(zhǔn)則為2Mbit/s－8Mbit/s－34Mbit/s－140Mbit/s。三者互不兼容，造成設(shè)備互通的困難。沒有世界性的標(biāo)準(zhǔn)光接口規(guī)范，導(dǎo)致各個廠家自行開發(fā)的專用光接口大量滋生。這些專用光接口無法在光路上互通，唯有轉(zhuǎn)換成標(biāo)準(zhǔn)電接口（）接口才能互通，限制了聯(lián)網(wǎng)應(yīng)用的靈活性，也增加了網(wǎng)絡(luò)復(fù)雜性和運營成本。準(zhǔn)同步系統(tǒng)的復(fù)用結(jié)構(gòu)除了幾個低速率等級的信號（，歐洲為2Mbit/s）采用同步復(fù)用外，其它多數(shù)等級的信號采用異步復(fù)用，即靠塞入一些額外比特使支路信號與復(fù)用設(shè)備同步并復(fù)用成高速信號。這種方式難以從高速信號中識別和提取低速支路信號。為了上下電路，唯一的辦法就是將整個高速線路信號一步一步的解復(fù)用到所要同步的低速信號等級，上下支路信號后，再一步一步的復(fù)用至高速線路信號進行傳輸。可見復(fù)用結(jié)構(gòu)不僅復(fù)雜，也缺乏靈活性，硬件數(shù)量大，上下業(yè)務(wù)費用高，數(shù)字交叉連接功能（DXC）的實現(xiàn)十分復(fù)雜。傳統(tǒng)的準(zhǔn)同步系統(tǒng)的網(wǎng)絡(luò)運行、管理和維護（OAM）主要靠人工的數(shù)字信號交叉連接和停業(yè)務(wù)測試，因而復(fù)用信號幀結(jié)構(gòu)中不需要安排很多用于網(wǎng)絡(luò)OAM的比特。而今天，這種輔助比特的嚴(yán)重缺乏已成了進一步改進OAM能力的重要障礙，使傳統(tǒng)的準(zhǔn)同步系統(tǒng)無法適應(yīng)不斷演變的電信網(wǎng)要求，更難以很好支持新一代的網(wǎng)絡(luò)。由于建立在點對點結(jié)構(gòu)基礎(chǔ)上的復(fù)用結(jié)構(gòu)缺乏靈活性，使數(shù)字通道識別的利用率很低，非最短的通道路由占了業(yè)務(wù)流量的大部分。例如北美大約有77%的DS3(45Mbit/s)數(shù)率信號的傳輸需要一次以上的轉(zhuǎn)接，僅有23%的DS3數(shù)率信號是點對點傳輸?shù)??？梢娺@種建立在點到點傳輸基礎(chǔ)上的體制無法提供最佳的路由選擇，也難以經(jīng)濟的提供不斷出現(xiàn)的各種新業(yè)務(wù)。另一方面，用戶和網(wǎng)絡(luò)的要求正在不斷變化，一個現(xiàn)代通信網(wǎng)要求能迅速地、經(jīng)濟地為用戶提供電路和業(yè)務(wù)，甚至最終希望能對電路帶寬和業(yè)務(wù)提供在線實時控制。綜上所述，對于昆鋼集團而言，PDH組網(wǎng)方式有以下不足之處：l PDH只能組建鏈型網(wǎng)，無法組建環(huán)網(wǎng)，業(yè)務(wù)無保護；l PDH組網(wǎng)方式復(fù)雜，網(wǎng)絡(luò)缺乏合理規(guī)劃；l 由于PDH組網(wǎng)方式上的缺陷，大量占用光纖資源；l PDH無法統(tǒng)一網(wǎng)管，統(tǒng)一監(jiān)控，給維護帶來不便，設(shè)備故障時很難定位故障；l PDH設(shè)備無法提供多業(yè)務(wù)接口，不能直接接入以太網(wǎng)業(yè)務(wù)及ATM業(yè)務(wù)；l PDH設(shè)備能提供的業(yè)務(wù)量有限， 已無法提供昆鋼信息化發(fā)展所需要的帶寬；SDH同步數(shù)字體系SDH是國際電報電話咨詢委員會(CCITT)于1998年命名的，CCITT使之成為不僅適用于光纖也適用于衛(wèi)星和微波傳輸?shù)耐ㄓ眉夹g(shù)體制。所謂光同步數(shù)字傳輸網(wǎng)是由一些SDH網(wǎng)絡(luò)單元（NE）組成的，在光纖上進行同步信息傳輸、復(fù)用和交叉連接的網(wǎng)絡(luò)。它有全世界統(tǒng)一的網(wǎng)絡(luò)節(jié)點接口(NNI)，從而簡化了信號的互通以及信號的傳輸、復(fù)用、交叉連接和交換過程；它有一套標(biāo)準(zhǔn)化的信息結(jié)構(gòu)等級，稱為同步傳送模塊STMSTM4和STM16，并具有一種塊狀幀結(jié)構(gòu)，允許安排豐富的開銷比特（即網(wǎng)絡(luò)節(jié)點接口比特流中扣除凈負(fù)荷后的剩余部分）用于網(wǎng)絡(luò)的OAM。它的基本網(wǎng)絡(luò)單元有同步光纜線路系統(tǒng)、同步復(fù)用器(SM)、分插復(fù)用器(ADM)和同步數(shù)字交叉連接設(shè)備（SDXC）等等；其功能各異，但都有統(tǒng)一的標(biāo)準(zhǔn)光接口，能夠在基本光纜段上實現(xiàn)橫向兼容性，即允許不同廠家設(shè)備在光路上互通；它有一套特殊的復(fù)用結(jié)構(gòu)，允許現(xiàn)存準(zhǔn)同步數(shù)字體系、同步數(shù)字體系和BISDN信號都能進入其幀結(jié)構(gòu)，因而具有廣泛的適應(yīng)性；它大量采用軟件進行網(wǎng)絡(luò)配置和控制，使得新功能和新特性的增加比較方便，適于將來的不斷發(fā)展。光同步數(shù)字傳輸網(wǎng)的主要特點可以總結(jié)如下：（三個地區(qū)性標(biāo)準(zhǔn)）在STM1等級以上獲得統(tǒng)一。今后，數(shù)字信號在跨越不同廠家設(shè)備時，不再需要轉(zhuǎn)換成另一種標(biāo)準(zhǔn)，第一次真正實現(xiàn)了數(shù)字傳輸體制上的世界性標(biāo)準(zhǔn)；采用了同步復(fù)用方式和靈活的復(fù)用映射結(jié)構(gòu)。各種不同等級的碼流在幀結(jié)構(gòu)凈負(fù)荷內(nèi)的排列是有規(guī)律的，而凈負(fù)荷與網(wǎng)絡(luò)是同步的，因而只需利用軟件即可使高速信號一次直接分插出低速支路信號，即所謂的一步復(fù)用特性。這樣即不影響別的支路信號，又避免了需要對全部高速復(fù)用信號進行解復(fù)用的做法，省去了全套背靠背復(fù)用設(shè)備，使上下業(yè)務(wù)十分容易，也使DXC的實現(xiàn)大大簡化。此外，背靠背接口的減少還可以改善網(wǎng)絡(luò)的業(yè)務(wù)透明型，便于端到端的業(yè)務(wù)管理，使網(wǎng)絡(luò)易于容納和加速各種新的寬帶業(yè)務(wù)的引入。SDH幀結(jié)構(gòu)中安排了豐富的開銷比特（大約占信號的5%），因而使網(wǎng)絡(luò)的OAM能力大大加強，諸如故障檢測、區(qū)段定位、端到端性能監(jiān)視、單端維護能力等等。此外，由于SDH中的DXC和ADM等一類網(wǎng)絡(luò)單元是智能化的，通過嵌入在SDH中的控制通路可以使部分網(wǎng)絡(luò)管理能力分配（即軟件下載）到網(wǎng)絡(luò)單元，實現(xiàn)分布式管理，使新特性和新功能的開發(fā)變得比較容易，還可以實現(xiàn)具有高可靠性的自愈環(huán)性網(wǎng)結(jié)構(gòu)。由于將標(biāo)準(zhǔn)光接口綜合進各種不同的網(wǎng)絡(luò)單元，減少了將傳輸和復(fù)用分開的需要，從而簡化了硬件，緩解了布線擁擠。例如網(wǎng)絡(luò)單元有了標(biāo)準(zhǔn)光接口后，光纖可以直通到DXC，省去了單獨的傳輸和復(fù)用設(shè)備，以及又貴又不可靠的人工數(shù)字配線架。此外，有了標(biāo)準(zhǔn)光接口信號和通信協(xié)議后，使光接口成為開放型接口，還可以在基本光纜段上實現(xiàn)橫向兼容，滿足多廠家產(chǎn)品環(huán)境要求，使網(wǎng)絡(luò)成本節(jié)約10%到20%。SDH網(wǎng)具有信息凈負(fù)荷的透明性。即網(wǎng)絡(luò)可以傳送各種凈負(fù)荷及其混合體而不管其具體信息結(jié)構(gòu)如何。凈負(fù)荷與SDH網(wǎng)的接口僅僅在網(wǎng)絡(luò)邊界上才有，一旦凈負(fù)荷裝入虛容器后，網(wǎng)絡(luò)內(nèi)部所有設(shè)備只需處理虛容器即可，從而減少了管理實體數(shù)量，簡化了網(wǎng)絡(luò)管理。SDH網(wǎng)還具有定時透明性。理想地看，SDH是作為同步網(wǎng)工作的，網(wǎng)絡(luò)單元連接至高精度基準(zhǔn)時鐘，這樣可以減少調(diào)度頻率和改善網(wǎng)絡(luò)性能。然而，各種互通的網(wǎng)絡(luò)單元可能屬于不同的業(yè)務(wù)提供者，這樣盡管在每一業(yè)務(wù)提供者范圍內(nèi)（同步島）是同步的，但不同范圍內(nèi)卻是準(zhǔn)同步的。SDH采用了指針調(diào)整技術(shù)使得凈負(fù)荷可以在不同同步島之間進行傳送而不影響業(yè)務(wù)質(zhì)量。換言之，SDH網(wǎng)的這種定時透明性使其能在準(zhǔn)同步環(huán)境下很好工作，并有能力經(jīng)受定時基準(zhǔn)的丟失。由于用一個光接口代替了大量電接口，因而SDH網(wǎng)所傳輸?shù)臉I(yè)務(wù)信息可以不必經(jīng)由常規(guī)同步系統(tǒng)所具有的一些中間背靠背電接口而直接經(jīng)光接口通過中間節(jié)點，省去了大量相關(guān)電路單元和跳線光纜，使網(wǎng)絡(luò)可用性和誤碼性能都獲得改善，而且，由于電接口數(shù)量銳減導(dǎo)致運行操作任務(wù)的簡化及備件種類和數(shù)量的減少，使運營成本減少20%30%。SDH信號結(jié)構(gòu)的設(shè)計已經(jīng)考慮了網(wǎng)絡(luò)傳輸和交換應(yīng)用的最佳性，因而在電信網(wǎng)的各個部分（長途、市話和用戶網(wǎng)）中都能提供簡單、經(jīng)濟和靈活的信號互連及管理，使得傳統(tǒng)電信網(wǎng)各個部分的差別正在漸漸消失，彼此的直接互連變得十分簡單和有效，從而在電信網(wǎng)中可能出現(xiàn)一個單一的SDH基本網(wǎng)絡(luò)設(shè)施。此外，由于有了唯一的網(wǎng)