【導讀】蒁螆膃膂蚆螞蝿芅葿薈蝿莇蚄袇螈肇蕆螃袇腿蚃蠆袆芁蒅薅裊蒄羋羃襖膃薄衿襖芆莆螅袃莈薂蟻袂肈蒞薇袁膀薀袆羀節(jié)莃螂罿莄蕿蚈羈膄莁蚄羈芆蚇薀羇荿蒀袈羆肈蚅螄羅膁蒈蝕肄芃蚃薆肅蒞蒆裊肂肅艿螁肂芇蒅螇肁莀莇蚃肀聿薃蕿聿膂莆袇肈芄薁螃膇莆莄蠆膆肆蕿薅膆膈莂羄膅莀薈袀膄蒃蒁螆膃膂蚆螞蝿芅葿薈蝿莇蚄袇螈肇蕆螃袇腿蚃蠆袆芁蒅薅裊蒄羋羃襖膃薄衿襖芆莆螅袃莈薂蟻袂肈蒞薇袁膀薀袆羀節(jié)莃螂罿莄蕿蚈羈膄莁蚄羈芆蚇薀羇荿蒀袈羆肈蚅螄羅膁蒈蝕肄芃蚃薆肅蒞蒆裊肂肅艿螁肂芇蒅螇肁莀莇蚃肀聿薃蕿聿膂莆袇肈芄薁螃膇莆莄蠆膆肆蕿薅膆膈莂羄膅莀薈袀膄蒃蒁螆膃膂蚆螞蝿芅葿薈蝿莇蚄袇螈肇蕆螃袇腿蚃

　　

【正文】 工處理的日志數據，使系統更有效。 ? 支持用戶自定義網絡安全策略和網絡安全事件 3 主要技術特點 ? 采用透明工作方式，它靜靜地監(jiān)視本網段數據流，對網絡通訊不附加任何延時，不影響網絡傳輸的效率。 ? 可采用集中管理的分布式工作方式，能夠遠程監(jiān)控?？梢詫γ總€監(jiān)控 器進行遠程配置，可以監(jiān)測多個網絡出口或應用于廣域網絡監(jiān)測。 ? 網絡監(jiān)控系統能進行運行狀態(tài)實時監(jiān)測，遠程啟停管理。 防病毒 為了有效的防止病毒對系統的侵入，必須在系統中安裝防病毒軟件，并指定嚴格的管理制度，保護系統的安全性。 1 應用狀況 一臺專用服務器（ NTSERVER）、一臺代理郵件服務器（ NT SERVERamp。PROXY SERVER,Exchange Server），一臺 WWW SERVER，一臺數據庫 SERVER， 100200臺客戶機。 2 系統要求 能防止通過 PROXYSERVER 從 Inter 下載文件或收發(fā)的 Email 內隱藏的病毒，并對本地的局域網防護的作用。 3 解決方案 采用以下的防病毒產品 所需軟件的名稱 安裝場所 數量 保護對象 ServerProtectforNTServer NTServer 每臺 NTServer 一套 NT SERVER 本身 InterScanWebProtect ProxyServer 按客戶機數量 HTTPFTP、用瀏覽器下開載的程序 ScanMailforExchangeServer ExchangeServer 按客戶機數量 有 EMail 的 用戶 OfficeScancorp 各部門的 NT域服務器 按客戶機數量 自動分發(fā)、更新、實時監(jiān)察客戶機 以下是選用以上 Trend 公司產品的說明： 在 NT 主域控制器和備份域上均采用 Server Protec for WindowsNT（簡體中文 版）保護 NT 服務器免受病毒的侵害。 另鑒于客戶有 100200 臺客戶機，客戶端的病毒軟件的安裝和病毒碼更新等工作，造成 MIS人員管理上的超負荷，因此推薦采用 OfficeScanCorporatcEdition企業(yè)授權版 OfficeScanCorporateIdition 能讓 MIS 人員通過管理程序進行中央控管，軟件的分派（自動安裝，自動更新病毒碼、軟件的自動升級）。 另外在外接 Inter 和郵件服務器上，采用 InterScanWebProtect 和ScanMailForExchange 此兩種軟件是目前唯一能從國際互聯網絡攔截病毒的軟件。設計的理念是，在電腦病毒入侵企業(yè)內部網絡的入口處 Inter 服務器或網關（ Gateway）上安裝此軟件，它可以隨時監(jiān)控網關中的 ETP、電子郵件傳輸和Web 網頁所下載的病毒和惡性程序，并有文件到達網絡系統之前進行掃描偵測出來 。 VLAN 的實現 VLAN 實現過程 當一個網橋或交換機接收到來自于某個計算機工作站的數據幀，它將給這個數據幀加上一個標簽以標識這個數據幀來自于哪個 VLAN。加標簽的原則有多種：可以基于數據幀來自于網橋的哪個端口、可以基于數據幀的數據鏈路層協議源地址、可以基于數據幀的網絡層協議源地址、也可以基于數據幀的其它字段或多個字段的綜合。為了能夠使用任意一種方法給數據幀加標簽，網橋必須有一個不斷升級更新的數據庫。這個數據庫叫做過濾數據庫，包含了本網絡中全部VLAN 之間的映射以及它們使用哪個字段作為標簽。例如， 如果通過基于端口的方式來加標簽，該數據庫應該指示哪個端口屬于哪個 VLAN。網橋必須能夠維護這樣的一個數據庫并且應保證所有在這個 LAN 中的網橋在它們的過濾數據庫中有同樣的信息。 基于 IEEE 協議時， 4 個字節(jié)的 VLAN 標簽加到傳統的以太網幀的目的 MAC 地址字段和協議類型字段（在符合 IEEE 協議的幀中是長度字段）之間。其中包含有一個 12 比特大小的 VLAN ID 號以區(qū)別各個 VLAN，如圖 12所示： 圖 1 基于 VLAN幀格式封裝類型 由于 協議的標簽頭的 4 個字節(jié)是新增加的，故目前使用的計算機并不支持 ，即計算機發(fā)送出去的數據包的以太網幀頭還不包含這 4 個字節(jié)，同時也無法識別這 4 個字節(jié)。對于交換機來說，如果它所連接的以太網段的所有主機都能識別和發(fā)送這種帶 標簽頭的數據包，該端口稱為 Tag Aware 端 口，需要給數據幀加標簽。反之，如果該交換機端口所連接的以太網段里只要有一臺主機不支持這種帶 標簽頭的數據包，該端口稱為 Access 端口，則不能給數據幀加標簽。對于每一個到來的 VLAN 幀，網橋或交換機將根據查找過濾數據庫的結果決定該幀歸屬于哪一個 VLAN、將從哪個接口被轉發(fā)出去。一旦網橋或交換機決定了某個數據幀的下一步去向，它就得決定是否需要給這個數據幀加標簽。具體實現包括以下三個過程： (1)接收過程：負責接收數據包，數據包可以是帶標簽頭的，也可以不帶標簽頭。如果不帶，交換機會根據該端口所屬的 VLAN 添加上相應的標簽頭。 (2)查找 /路由過程：根據數據包的目的 MAC 地址、 VLAN 標識，查找過濾數據庫中注冊的信息，以決定把數據包發(fā)送到哪個端口。 (3)發(fā)送過程：將數據包發(fā)送到以太網段上，如果該網段的主機不能識別 標簽頭，則在出端口前將該標簽頭去掉；如果是發(fā)送到互連的其它交換機的端口，則標簽頭一般不去掉。 校園網 VLAN 的規(guī)劃 隨著校園網規(guī)模的不斷擴大，用戶不斷增加，網絡應用也不斷增長，網絡變得越來越擁擠，沖突不斷產生，管理難度日益加大。為了有效地提高網絡管理的靈活性，提高網絡效率和 網絡安全性，一個合理的 VLAN 規(guī)劃給網絡的管理更加有效。校園網目前的電腦數目已經上千臺了。如果把這個龐大的網絡作為一個VLAN，那么校園網的網絡性能和安全性就會大大的降低，而且能產生網絡風暴使網絡癱瘓。因此，應對這個龐大的校園網進行 VLAN 的規(guī)劃，把它劃分為若干個虛擬子網，這樣可以提高校園網的網絡性能和安全性，防止網絡風暴。 圖 2學院校園網的網絡結構拓撲圖 如上圖所示，網絡根據地理區(qū)域分為 3 個部分：辦公樓﹑學生樓﹑教學樓及圖書館和生活區(qū)。每一個部分建設一個網絡中心，三個中心之間采用 GE 骨干互聯。網絡設計 充分利用了堆疊技術，簡化了網絡結構。目前，我校園網主要是以Cisco Catalyst 6500E 作為核心路由交換機。其它的網絡部分采用堆疊組網的方式，主要是由幾臺 Cisco Catalyst 4500E 交換機組成堆疊組。 校園網的 VLAN 規(guī)劃主要是根據學院校園的網絡拓撲圖，首先基于核心路由交換機 Cisco Catalyst 6500E 上根據每分配一個 C 類的 IP 地址劃分為一個VLAN；然后再基于 Cisco Catalyst 4500E 交換機根據網絡管理的要求和網絡的安全需要進行 VLAN 劃分。如為了使 有些部門之間在網絡中不能進行訪問，確保本部門的信息不會被本部門以外的人竊聽，而把各個部門劃分為各個單獨的VLAN，從而提高各個部門的網絡安全性。 VLAN 的配置 隨著校園網的建成，對于校園網的管理的要求也越來越高了。目前，由于數據廣播在網絡中起著非常重要的作用，隨著校園網內的計算機數量的增加， VOD視頻的大量應用，廣播的數量在積聚增加，當廣播的數量占到總量的 30%時，網絡的傳輸效率將會明顯下降。特別是當某網絡設備出現故障后，會不停地向網絡發(fā)送廣播，從而導致通信陷于癱瘓。當校園網絡內的計算機數 超過 200 臺后，就需要采取措施將網絡分隔開來，將一個大的廣播域劃分成若干個小的廣播域。目前，校園網的計算機已經有上千臺，因此更應將這個大的廣播域劃分成若干個小的廣播域，劃分廣播域的方式主要是將校園網劃分為若干個虛擬子網，也就是VLAN。對校園網進行 VLAN 劃分，可以強化網絡管理和網絡的安全，控制不必要的廣播的數量。 為了使校園網的管理更加完善，校園網的安全性更強，則必須要對校園網進行 VLAN 的劃分。對校園網的 VLAN 的劃分，主要是根據學院的網絡拓撲圖，首先是基于核心路由交換機 Cisco Catalyst 6500E 上根據為每個分配一個 C 類的IP 地址劃分為一個 VLAN；然后再基于 Cisco Catalyst 4500E 交換機根據網絡管理的要求和網絡的安全需要進行 VLAN 劃分。如下分別是以學生宿舍 1 棟為例關于基于 Cisco Catalyst 6500E、 Cisco Catalyst 4500E 的 VLAN 配置。 1） 網絡設備的安全配置命 令 S enable 進入特權模式 S configure terminal 進入全局配置模式 S(config) hostname name 改變交換機名稱 S(config) enable password level level_ password 設 置 用 戶 口 令（ level_=1)或特權口令（ level_=15) S(config) line console 0 進入控制臺接口 S(configline) password console_password 接上一條命令，設置控制臺口令 S(config) line vty 0 15 進入虛擬終端 S(configline) password tel_password 接 上一條命令，設置 Tel 口令 S(configline) login 允許 Tel 登錄 S(config) enable password|secret privilege_password 配置特權口令（加密或不加密） 2）網絡設備基本配置命令 S(config) interface ether|fastether|gigabitether slot_/port_