【正文】 IP地 址 空 間 的 分 配 ， 要 與 網(wǎng) 絡(luò) 層 次 結(jié) 構(gòu) 相 適 應(yīng) ， 既 要 有 效 利 用 地 址 空 間 ， 又 要 體 現(xiàn) 出 網(wǎng) 絡(luò) 的可 擴(kuò) 展 性 和 靈 活 性 ， 同 時(shí) 能 滿 足 路 由 協(xié) 議 的 要 求 ， 提 高 路 由 算 法 的 效 率 ， 加 快 路 由 變 化 的收 斂 速 度 。 總部 IP 地址規(guī)劃：網(wǎng)絡(luò)單元 VLANID IP 地址 網(wǎng)關(guān) 上網(wǎng)方式 IP 獲取方式行政部 2 財(cái)務(wù)部 3 技術(shù)部 4 企業(yè)文化部 5 項(xiàng)目經(jīng)理部 6 信息科 7 信息辦 8 教育中心 9 人力資源部 10 外連部 11 品保部 12 倉儲(chǔ)中心 13 安全環(huán)保部 14 10制造技術(shù)部 15 采供部 16 生產(chǎn)部 17 服務(wù)器集群 分部 IP 地址規(guī)劃：網(wǎng)絡(luò)單元 VLANID IP 地址 網(wǎng)關(guān) 上網(wǎng)方式 IP 獲取方式項(xiàng)目經(jīng)理 2 行政部 3 財(cái)務(wù)部部 4 外聯(lián)部 5 技術(shù)部 6 企業(yè)文化部 7 采供部 8 人力資源部 9 其 他 分 部 IP 地 址 規(guī) 劃 方 法 同 上 。11第 6 章 網(wǎng)絡(luò)安全解決方案通 過 對(duì) 該 項(xiàng) 目 的 要 求 分 析 ,我 們 在 網(wǎng) 絡(luò) 安 全 方 面 主 要 考 慮 的 問 題 如 下 : 必 須 考 慮 這 個(gè) 方 案 的 安 全 性 和 穩(wěn) 定 性 、 可 管 理 性 和 維 護(hù) 性 ， 以 及 能 夠 滿 足 未 來 網(wǎng) 絡(luò)發(fā) 展 的 需 要 。 目 前 網(wǎng) 絡(luò) 地 址 （ 總 部 和 分 部 ） 已 經(jīng) 統(tǒng) 一 規(guī) 劃 ， 不 能 更 改 。 VPN 建 設(shè) 不 能 和 原 來 的 專 線網(wǎng) 絡(luò) 建 設(shè) 發(fā) 生 沖 突 。 對(duì) 于 分 部 的 網(wǎng) 絡(luò) ， 采 用 路 由 器 和 VPN 隧 道 技 術(shù) ， 實(shí) 現(xiàn) 和 總 部 網(wǎng) 絡(luò) 互 通 。 網(wǎng)絡(luò)邊界安全威脅分析網(wǎng) 絡(luò) 的 邊 界 隔 離 著 不 同 功 能 或 地 域 的 多 個(gè) 網(wǎng) 絡(luò) 區(qū) 域 ， 由 于 各 功 能 不 同 ， 相 連 網(wǎng) 絡(luò) 的 密 集也 不 同 ， 這 樣 的 網(wǎng) 絡(luò) 直 接 相 連 ， 必 然 存 在 危 險(xiǎn) ， 下 面 就 是 對(duì) 該 項(xiàng) 目 網(wǎng) 絡(luò) 邊 界 安 全 問 題 的 分 析 。 XX 公 司 總 部 網(wǎng) 絡(luò) 與 各 級(jí) 單 元 的 連 接 ， 可 能 遭 到 來 自 各 地 的 越 權(quán) 訪 問 、 惡 意 攻 擊 和 計(jì)算 機(jī) 病 毒 的 入 侵 。 內(nèi) 部 的 各 個(gè) 功 能 網(wǎng) 絡(luò) 通 過 骨 干 交 換 相 互 連 接 ， 這 樣 重 要 的 部 門 或 專 網(wǎng) 將 遭 到 來 自 其他 部 門 的 越 權(quán) 訪 問 。 這 些 越 權(quán) 訪 問 可 能 包 括 惡 意 的 攻 擊 、 誤 操 作 等 ， 但 后 果 都 將 導(dǎo) 致 重 要信 息 泄 漏 或 者 網(wǎng) 絡(luò) 癱 瘓 。 網(wǎng)絡(luò)內(nèi)部安全威脅分析XX 公 司 總 部 內(nèi) 部 及 分 部 內(nèi) 部 網(wǎng) 絡(luò) 風(fēng) 險(xiǎn) 可 能 表 現(xiàn) 在 以 下 幾 個(gè) 方 面 ： 內(nèi) 部 用 戶 的 非 授 權(quán) 訪 問 。 總 部 內(nèi) 部 的 資 源 并 非 對(duì) 任 何 員 工 開 放 ， 也 需 有 相 應(yīng) 的 訪 問權(quán) 限 。 內(nèi) 部 用 戶 的 非 授 權(quán) 訪 問 更 容 易 造 成 資 源 和 重 要 信 息 的 泄 漏 。 內(nèi) 部 用 戶 的 誤 操 作 。 由 于 內(nèi) 部 用 戶 的 失 誤 操 作 也 極 容 易 給 服 務(wù) 器 和 其 他 主 機(jī) 造 成 危害 。 內(nèi) 部 用 戶 的 惡 意 攻 擊 。 相 對(duì) 與 外 部 攻 擊 來 說 ， 內(nèi) 部 攻 擊 更 是 容 易 ， 因 此 ， 對(duì) 內(nèi) 部 用12戶 攻 擊 的 防 范 也 很 重 要 。 設(shè) 備 自 身 安 全 性 也 會(huì) 直 接 關(guān) 系 到 網(wǎng) 絡(luò) 的 正 常 運(yùn) 轉(zhuǎn) 。 重 要 的 服 務(wù) 器 或 操 作 系 統(tǒng) 自 身 存 在 安 全 的 漏 洞 ， 也 將 會(huì) 為 網(wǎng) 絡(luò) 的 安 全 帶 來 很 多 不 安定 的 因 素 。 安全產(chǎn)品選型原則該 項(xiàng) 目 的 網(wǎng) 絡(luò) 屬 于 專 用 網(wǎng) 絡(luò) ， 因 此 在 安 全 產(chǎn) 品 的 選 型 上 應(yīng) 慎 重 ， 其 選 型 的 原 則 包 括 ： 安 保 產(chǎn) 品 的 接 入 不 能 明 顯 影 響 網(wǎng) 絡(luò) 系 統(tǒng) 的 運(yùn) 行 效 率 ， 并 滿 足 工 作 需 要 ， 不 影 響 正常 工 作 。 安 保 產(chǎn) 品 必 須 通 過 國 家 主 管 部 門 指 定 的 測 評(píng) 機(jī) 構(gòu) 的 檢 測 。 安 保 產(chǎn) 品 必 須 具 備 自 保 能 力 。 安 保 產(chǎn) 品 必 須 符 合 國 家 和 國 際 上 的 相 關(guān) 標(biāo) 準(zhǔn) 。 安 保 產(chǎn) 品 必 須 操 作 簡 單 易 用 ， 便 于 簡 單 部 署 和 集 中 管 理 。第 7 章 網(wǎng)絡(luò)技術(shù)介紹 VLAN 技術(shù)：VLAN（ Virtual Local Area Network， 虛 擬 局 域 網(wǎng) ） 技 術(shù) 主 要 為 了 解 決 交 換 機(jī) 在 進(jìn) 行局 域 網(wǎng) 互 連 時(shí) 無 法 限 制 廣 播 的 問 題 。 可 以 把 一 個(gè) LAN 劃 分 成 多 個(gè) 邏 輯 Vlan， 每 個(gè) Vlan 是 一個(gè) 廣 播 域 ， Vlan 內(nèi) 的 主 機(jī) 間 通 信 和 在 一 個(gè) LAN 內(nèi) 一 樣 ， 而 Vlan 間 則 不 能 直 接 互 通 ， 這 樣 ，廣 播 報(bào) 文 被 限 制 在 一 個(gè) Vlan 內(nèi) 。 使用 VLAN 技術(shù)的優(yōu)勢(shì)： 通 過 劃 分 VLAN 子 網(wǎng) ， 能 劃 小 了 廣 播 域 ， 避 免 了 廣 播 風(fēng) 暴 的 產(chǎn) 生 。 提 高 交 換 網(wǎng) 絡(luò) 的 交換 效 率 ， 保 證 網(wǎng) 絡(luò) 穩(wěn) 定 ， 提 高 網(wǎng) 絡(luò) 安 全 性 ， 根 據(jù) Ambow 公 司 內(nèi) 部 網(wǎng) 絡(luò) 機(jī) 構(gòu) 的 需 求 ， 采 用VLAN 技 術(shù) 來 劃 分 企 業(yè) 網(wǎng) 絡(luò) ， 一 個(gè) VLAN 可 以 將 公 司 部 門 、 項(xiàng) 目 組 或 者 服 務(wù) 器 組 將 不 同 地 理位 置 的 工 作 站 劃 分 為 一 個(gè) 邏 輯 網(wǎng) 段 。 在 不 改 動(dòng) 網(wǎng) 絡(luò) 物 理 連 接 的 情 況 下 可 以 任 意 地 將 工 作 站在 子 網(wǎng) 之 間 移 動(dòng) ， VLAN 提 供 了 網(wǎng) 段 和 機(jī) 構(gòu) 的 彈 性 組 合 機(jī) 制 ， VLAN 技 術(shù) 很 好 的 解 決 了 網(wǎng) 絡(luò) 管理 的 問 題 ， 能 實(shí) 現(xiàn) 網(wǎng) 絡(luò) 監(jiān) 督 與 管 理 的 自 動(dòng) 化 ， 從 而 更 有 效 的 進(jìn) 行 網(wǎng) 絡(luò) 監(jiān) 控 。 VLAN 劃分13 根 據(jù) 端 口 劃 分 Vlan 以 交 換 機(jī) 端 口 劃 分 網(wǎng) 絡(luò) 成 員 ， 配 置 過 成 簡 單 明 了 ， 是 常 用 的 一 種 方 式 。 根 據(jù) MAC 地 址 劃 分 VLAN 根 據(jù) 每 個(gè) 主 機(jī) 的 MAC 地 址 來 劃 分 ， 即 對(duì) 每 個(gè) MAC 地 址 的 主 機(jī) 都 配 置 它 屬 于 哪 VLAN。這 種 劃 分 方 法 的 優(yōu) 點(diǎn) 是 當(dāng) 用 戶 物 理 位 置 移 動(dòng) 時(shí) ， VLAN 不 用 重 新 配 置 ， 缺 點(diǎn) 是 初 始 化 時(shí) ，所 有 的 用 戶 都 必 須 進(jìn) 行 配 置 ， 如 果 有 幾 百 個(gè) 甚 至 上 千 個(gè) 用 戶 的 話 ， 管 理 員 的 配 置 工 作 量非 常 大 。 根 據(jù) 網(wǎng) 絡(luò) 層 劃 分 VLAN 根 據(jù) 每 個(gè) 主 機(jī) 的 網(wǎng) 絡(luò) 層 地 址 或 協(xié) 議 類 型 劃 分 。 根 據(jù) IP 組 播 劃 分 VLAN IP 組 播 實(shí) 際 上 也 是 一 種 VLAN 的 定 義 ， 即 認(rèn) 為 一 個(gè) 組 播 就 是 一 個(gè) VLAN， 這 種 劃 分 的方 法 將 VLAN 擴(kuò) 大 到 了 廣 域 網(wǎng) ， 因 此 這 種 方 法 具 有 更 大 的 靈 活 性 ， 而 且 也 很 容 易 通 過 路由 器 進(jìn) 行 擴(kuò) 展 ， 當(dāng) 然 這 種 方 法 不 適 合 局 域 網(wǎng) ， 主 要 是 效 率 不 高 。 基 于 規(guī) 則 的 VLAN也 稱 為 基 于 策 略 的 VLAN。 這 是 最 靈 活 的 VLAN 劃 分 方 法 ， 具 有 自 動(dòng) 配 置 的 能 力 ， 整 個(gè)網(wǎng) 絡(luò) 可 以 非 常 方 便 地 通 過 路 由 器 擴(kuò) 展 網(wǎng) 絡(luò) 規(guī) 模 。 按 用 戶 定 義 、 非 用 戶 授 權(quán) 劃 分 VLAN基 于 用 戶 定 義 、 非 用 戶 授 權(quán) 來 劃 分 VLAN， 是 指 為 了 適 應(yīng) 特 別 的 VLAN 網(wǎng) 絡(luò) ， 根 據(jù) 具 體的 網(wǎng) 絡(luò) 用 戶 的 特 別 要 求 來 定 義 和 設(shè) 計(jì) VLAN， 而 且 可 以 讓 非 VLAN 群 體 用 戶 訪 問 VLAN， 但 是需 要 提 供 用 戶 密 碼 ， 在 得 到 VLAn 管 理 的 認(rèn) 證 后 才 可 以 加 入 一 個(gè) Vlan。 VTP 技術(shù)： VTP（ VLAN Trunking Protocol） ： 是 Vlan 中 級(jí) 協(xié) 議 ， 也 稱 為 虛 擬 局 域 網(wǎng) 干 道 協(xié) 議 。VTP 協(xié) 議 是 思 科 的 專 用 協(xié) 議 ， 大 多 數(shù) 的 Catalys 交 換 機(jī) 都 支 持 該 協(xié) 議 ， VTP 可 以 減 少 Vlan 的相 關(guān) 管 理 任 務(wù) 。 VTP 有三種工作模式：V TPServer、 VTPClient 和 VTPTransparent。 使用 VTP 技術(shù)的優(yōu)勢(shì)：使 用 VTP 技 術(shù) ， 主 要 是 為 了 防 止 不 需 要 的 廣 播 信 息 從 一 個(gè) vlan 泛 洪 到 VTP 域 中 所 有 的中 繼 鏈 路 。 Vtp 修 剪 允 許 交 換 機(jī) 協(xié) 商 將 那 些 VLAN 分 配 到 中 繼 鏈 路 另 一 端 的 端 口 ， 因 此 剪 除未 分 配 到 遠(yuǎn) 程 交 換 機(jī) 端 口 的 VLAN。 VTP 修 剪 功 能 默 認(rèn) 為 禁 用 ， 可 以 使 用 全 局 配 置 命 令 vtp 14pruning 啟 用 vtp 修 剪 ， 只 需 要 在 域 內(nèi) 一 臺(tái) VTP 服 務(wù) 器 交 換 機(jī) 上 啟 用 修 剪 功 能 即 可 。 STP 生成樹協(xié)議：STP (Spanning Tree Protocol)生 成 樹 協(xié) 議 該 協(xié) 議 的 目 的 是 在 實(shí) 現(xiàn) 交 換 機(jī) 之 間 的 冗 余連 接 的 同 時(shí) ， 避 免 網(wǎng) 絡(luò) 環(huán) 路 的 出 現(xiàn) ， 實(shí) 現(xiàn) 網(wǎng) 絡(luò) 的 高 可 靠 性 。 邏 輯 上 斷 開 環(huán) 路 ， 防 止 廣 播 風(fēng)暴 的 產(chǎn) 生 。 當(dāng) 線 路 出 現(xiàn) 故 障 ， 斷 開 的 接 口 被 激 活 ， 恢 復(fù) 通 信 ， 起 到 線 路 備 份 的 作 用 。Stp 使 用 生 成 樹 算 法 （ STA） 計(jì) 算 網(wǎng) 絡(luò) 中 的 那 些 交 換 機(jī) 端 口 應(yīng) 配 置 為 阻 塞 以 防 止 出 現(xiàn)環(huán) 路 。 所 有 參 與 STP 的 交 換 機(jī) 互 相 交 換 BPDU 幀 ， BPDU 幀 是 運(yùn) 行 STP 的 交 換 機(jī) 之 間 交 換 的包 含 STP 消 息 的 幀 。 每 個(gè) BPDU 都 包 含 一 個(gè) BID， 用 于 標(biāo) 識(shí) 發(fā) 送 該 BPDU 的 交 換 機(jī) 。 使用 STP 協(xié)議的優(yōu)勢(shì)：根 據(jù) 所 設(shè) 計(jì) 的 拓 撲 圖 ， 采 用 生 成 樹 的 協(xié) 議 ， 該 協(xié) 議 的 目 的 是 在 實(shí) 現(xiàn) 交 換 機(jī) 之 間 的 冗 余連 接 的 同 時(shí) ， 避 免 網(wǎng) 絡(luò) 環(huán) 路 的 出 現(xiàn) ， 實(shí) 現(xiàn) 網(wǎng) 絡(luò) 的 高 可 靠 性 ， 它 實(shí) 現(xiàn) 在 交 換 機(jī) 之 間 傳 遞 橋 接 。， 當(dāng) 邏 輯 上 斷 開 環(huán) 路 ， 防 止 廣 播 風(fēng) 暴 的 產(chǎn) 生 ， 當(dāng) 線 路 出 現(xiàn) 故 障 ， 斷 開 的 借 口 唄 激 活 ， 恢 復(fù)通 信 ， 起 備 份 線 路 的 作 用 。 EtherChannel：以 太 通 道 也 稱 為 以 太 端 口 捆 綁 、 端 口 聚 集 或 以 太 鏈 路 聚 集 。 以 太 通 道 為 交 換 機(jī) 提 供 了端 口 捆 綁 的 技 術(shù) ， 將 多 個(gè) 物 理 以 太 網(wǎng) 端 口 聚 合 在 一 起 形 成 一 個(gè) 邏 輯 上 的 聚 合 組 ； 同 一 聚 合組 內(nèi) 的 多 條 物 理 鏈 路 視 為 一 條 邏 輯 鏈 路 。 鏈 路 聚 合 可 以 實(shí) 現(xiàn) 出 /入 負(fù) 荷 在 聚 合 組 中 各 個(gè) 成 員端 口 之 間 分 擔(dān) ， 以 增 加 帶 寬 。 同 時(shí) ， 同 一 聚 合 組 的 各 個(gè) 成 員 端 口 之 間 彼 此 動(dòng) 態(tài) 備 份 ， 提 高了 連 接 可 靠 性 。 以太通道的特點(diǎn)：1. 以 太 網(wǎng) 通 道 最 多 可 以 捆 綁 8 條 物 理 鏈 路 ， 可 以 是 雙 絞 線 ， 也 可 以 是 光 纖 。 2. 以 太 通 道 的 規(guī) 則 ： 參 與 捆 綁 的 端 口 必 須 屬 于 同 一 個(gè) VLAN， 或 者 都 是 中 繼 模 式 3. 如 果 端 口 配 置 是 中 繼 模 式 ， 則 鏈 路 中 的 兩 個(gè) 端 口 必 須 都 是 中 繼 模 式 4. 所 有 參 與 捆 綁 的 端 口 的 物 理 參 數(shù) 必 須 相 同 ， 例 如 全 部 為 半 雙 工 或 者 全 部 為 全 雙 工。 使用 Etherchannel 的優(yōu)勢(shì)：GEC 技 術(shù) 一