【正文】 個(gè)部門VLAN接口上，控制各部門互訪accesslist 10 permit accesslist 10 permit accesslist 10 deny accesslist 10 permit any 進(jìn)入vlan 10ip accessgroup 10 out把訪問(wèn)控制列表10 應(yīng)用于VLAN 10 OUT方向上，市場(chǎng)部?jī)?nèi)部可以互訪，可以訪問(wèn)服務(wù)器網(wǎng)段和網(wǎng)絡(luò)打印機(jī)網(wǎng)段，但不能訪問(wèn)財(cái)務(wù)部和設(shè)計(jì)部所在網(wǎng)段。accesslist 11 permit accesslist 11 permit accesslist 11 permit accesslist 11 deny accesslist 11 permit any進(jìn)入vlan 11ip accessgroup 11 out把訪問(wèn)控制列表11應(yīng)用在VLAN 11 OUT方向上，財(cái)務(wù)部?jī)?nèi)部可以互訪問(wèn)，可以訪問(wèn)服務(wù)器網(wǎng)段和網(wǎng)絡(luò)打印機(jī)網(wǎng)絡(luò)，可以訪問(wèn)市場(chǎng)部網(wǎng)段，但不能訪問(wèn)設(shè)計(jì)部網(wǎng)段。設(shè)計(jì)部VLAN 12 ，網(wǎng)絡(luò)打印機(jī) VLAN 13，服務(wù)器 VLAN 20 可以訪問(wèn)任意網(wǎng)段，應(yīng)用訪問(wèn)控制列表accesslist 110 在in的方向上，封掉常見(jiàn)病毒端口。accesslist 110 deny tcp any any eq 1068accesslist 110 deny tcp any any eq 2046accesslist 110 deny udp any any eq 2046accesslist 110 deny tcp any any eq 4444accesslist 110 deny udp any any eq 4444accesslist 110 deny tcp any any eq 1434accesslist 110 deny udp any any eq 1434accesslist 110 deny tcp any any eq 5554accesslist 110 deny tcp any any eq 9996accesslist 110 deny tcp any any eq 6881accesslist 110 deny tcp any any eq 6882accesslist 110 deny tcp any any eq 16881accesslist 110 deny udp any any eq 5554accesslist 110 deny udp any any eq 9996accesslist 110 deny udp any any eq 6881accesslist 110 deny udp any any eq 6882accesslist 110 deny udp any any eq 16881accesslist 110 permit ip any any可以根據(jù)實(shí)際需要將此ACL應(yīng)用于任一接口，或者添加一些屏蔽軟件的端口，達(dá)到管理內(nèi)部員工的目的，也可以用局域網(wǎng)內(nèi)部的管理軟件，更加直接方便，并且易于操作。用IIS架設(shè)（IIS只適用于Window NT/2000/XP操作系統(tǒng)）。 安裝：Window XP默認(rèn)安裝時(shí)不安裝IIS組件，需要手工添加安裝。進(jìn)入控制面板，找到“添加／刪除程序”，打開(kāi)后選擇“添加／刪除Window組件”，在彈出的“Window組件向?qū)А贝翱谥?，將“Internet信息服務(wù)（IIS）”項(xiàng)選中。在該選項(xiàng)前的“√”背景色是灰色的，這是因?yàn)閃indow XP默認(rèn)并不安裝FTP服務(wù)組件。再點(diǎn)擊右下角的“詳細(xì)信息”，在彈出的“Internet信息服務(wù)（IIS）”窗口中，找到“文件傳輸協(xié)議（FTP）服務(wù)”，選中后確定即可。安裝完后需要重啟。Window NT／2000和Window XP的安裝方法相同。 設(shè)置：電腦重啟后，業(yè)務(wù)主機(jī)就開(kāi)始運(yùn)行了，但還要進(jìn)行一些設(shè)置。點(diǎn)擊“開(kāi)始→所有程序→管理工具→Internet信息服務(wù)”，進(jìn)入“Internet信息服務(wù)”窗口后，找到“默認(rèn)FTP站點(diǎn)”，右擊鼠標(biāo)，在彈出的右鍵菜單中選擇“屬性”。在“屬性”中，我們可以設(shè)置業(yè)務(wù)主機(jī)的名稱、IP、端口、訪問(wèn)賬戶、FTP目錄位置、用戶進(jìn)入FTP時(shí)接收到的消息等。 FTP站點(diǎn)基本信息：進(jìn)入“FTP站點(diǎn)”選項(xiàng)卡，其中的“描述”選項(xiàng)為該FTP站點(diǎn)的名稱，用來(lái)稱呼你的服務(wù)器，這里設(shè)置名稱為 “業(yè)務(wù)主機(jī)”；“IP地址”為服務(wù)器的IP，；“TCP端口”一般仍設(shè)為默認(rèn)的21端口；“連接”選項(xiàng)用來(lái)設(shè)置允許同時(shí)連接服務(wù)器的用戶最大連接數(shù)；“連接超時(shí)”用來(lái)設(shè)置一個(gè)等待時(shí)間，如果連接到服務(wù)器的用戶在線的時(shí)間超過(guò)等待時(shí)間而沒(méi)有任何操作，服務(wù)器就會(huì)自動(dòng)斷開(kāi)與該用戶的連接。設(shè)置賬戶及其權(quán)限：很多FTP站點(diǎn)都要求用戶輸入用戶名和密碼才能登錄，這個(gè)用戶名和密碼就叫賬戶。不同用戶可使用相同的賬戶訪問(wèn)站點(diǎn)，同一個(gè)站點(diǎn)可設(shè)置多個(gè)賬戶，每個(gè)賬戶可擁有不同的權(quán)限，如有的可以上傳和下載，而有的則只允許下載。 ：進(jìn)入“安全賬戶”選項(xiàng)卡，有“允許匿名連接”和“僅允許匿名連接”兩項(xiàng)，默認(rèn)為“允許匿名連接”，此時(shí)業(yè)務(wù)主機(jī)提供匿名登錄?！皟H允許匿名連接”是用來(lái)防止用戶使用有管理權(quán)限的賬戶進(jìn)行訪問(wèn)，選中后，即使是Administrator（管理員）賬號(hào)也不能登錄，F(xiàn)TP只能通過(guò)服務(wù)器進(jìn)行“本地訪問(wèn)”來(lái)管理。至于“FTP站點(diǎn)操作員”選項(xiàng)，是用來(lái)添加或刪除本業(yè)務(wù)主機(jī)具有一定權(quán)限的賬戶。ＩＩＳ與其他專業(yè)的業(yè)務(wù)主機(jī)軟件不同，它基于Window用戶賬號(hào)進(jìn)行賬戶管理，本身并不能隨意設(shè)定業(yè)務(wù)主機(jī)允許訪問(wèn)的賬戶，要添加或刪除允許訪問(wèn)的賬戶，必須先在操作系統(tǒng)自帶的“管理工具”中的“計(jì)算機(jī)管理”中去設(shè)置Window用戶賬號(hào)，然后再通過(guò)“安全賬戶”選項(xiàng)卡中的“FTP站點(diǎn)操作員”選項(xiàng)添加或刪除。但對(duì)于Window 2000和Window XP專業(yè)版，系統(tǒng)并不提供“FTP站點(diǎn)操作員”賬戶添加與刪除功能，只提供Administrator一個(gè)管理賬號(hào)。：最后設(shè)置FTP主目錄（即用戶登錄FTP后的初始位置），進(jìn)入“主目錄”選項(xiàng)卡，在“本地路徑”中選擇好FTP站點(diǎn)的根目錄，并設(shè)置該目錄的讀取、寫(xiě)入、目錄訪問(wèn)權(quán)限。設(shè)置完成后，業(yè)務(wù)主機(jī)就算建成了。第一章、 網(wǎng)絡(luò)布局和布線(一) 實(shí)用性企業(yè)組建的局域網(wǎng)應(yīng)當(dāng)根據(jù)機(jī)房的大小、設(shè)備的多少來(lái)具體實(shí)施，根據(jù)網(wǎng)絡(luò)布線的特點(diǎn)來(lái)發(fā)揮網(wǎng)絡(luò)布局實(shí)用性是非常重要的。(二) 可靠性組網(wǎng)無(wú)論怎樣布局，最終的目的是保證我們的局域網(wǎng)的所有設(shè)備能可靠穩(wěn)定地運(yùn)行，使得網(wǎng)絡(luò)能正常運(yùn)轉(zhuǎn)。(三) 便于維護(hù)與升級(jí)網(wǎng)絡(luò)的組網(wǎng)不是一成不變的，隨著IT企業(yè)業(yè)務(wù)的不斷發(fā)展的需求，原先組建的局域網(wǎng)就需要不斷地完善和擴(kuò)充；在日常的網(wǎng)絡(luò)運(yùn)行維護(hù)中，規(guī)劃網(wǎng)絡(luò)布局時(shí)就應(yīng)該考慮到便于以后網(wǎng)絡(luò)的維護(hù)與升級(jí)操作。有了好的機(jī)房，網(wǎng)絡(luò)設(shè)備就有了好的“家”，組建的IT網(wǎng)絡(luò)應(yīng)當(dāng)通過(guò)布線系統(tǒng)將機(jī)房和辦公地點(diǎn)互聯(lián)起來(lái)，確保網(wǎng)絡(luò)的正常運(yùn)行。如果企業(yè)的接入點(diǎn)較多，我們可以采取接入層、匯聚層、交換層三個(gè)網(wǎng)絡(luò)層次的設(shè)計(jì)，在此基礎(chǔ)上進(jìn)行布線系統(tǒng)。對(duì)于接入層來(lái)說(shuō)，選擇一個(gè)合理的接入設(shè)備，是最關(guān)鍵的，而且我們要根據(jù)接入設(shè)備選擇合適的帶寬。匯聚層是整個(gè)局域網(wǎng)的核心部分，匯聚層網(wǎng)絡(luò)設(shè)備一般支持網(wǎng)絡(luò)管理功能，方便我們的管理和維護(hù)，方便以后我們的網(wǎng)絡(luò)升級(jí)和改造。交換層是整個(gè)網(wǎng)絡(luò)中的中間層，連接著匯聚層和網(wǎng)絡(luò)節(jié)點(diǎn)，是決定我們整體網(wǎng)絡(luò)傳輸質(zhì)量的很重要的一個(gè)環(huán)節(jié)。隨著百兆網(wǎng)絡(luò)設(shè)備的普及，我們交換層的網(wǎng)絡(luò)設(shè)備，肯定首選百兆。布線是連接網(wǎng)絡(luò)接入層、匯聚層、交換層和網(wǎng)絡(luò)節(jié)點(diǎn)的重要環(huán)節(jié)。在布線時(shí)，最好使用專門的通道，而且不要與電源線，空調(diào)線等具有輻射的線路混合布線。接入層與匯聚層之間的雙絞線，可以選擇超五類屏蔽雙絞線，以使網(wǎng)絡(luò)性能得到最大的提升。匯聚層與交換層之間的雙絞線，由于是網(wǎng)絡(luò)數(shù)據(jù)傳輸量最大的一個(gè)層次，同樣采用超五類屏蔽雙絞線。交換層與網(wǎng)絡(luò)節(jié)點(diǎn)之間，我們就可以采用普通的超五類非屏蔽雙絞線。網(wǎng)絡(luò)設(shè)備的放置，最好放在節(jié)點(diǎn)的中央位置，這樣做，不是為了節(jié)約綜合布線的成本，而是為了提高網(wǎng)絡(luò)的整體性能，提高網(wǎng)絡(luò)傳輸質(zhì)量。由于雙絞線的傳輸距離是100米，在95米才能獲得最佳的網(wǎng)絡(luò)傳輸質(zhì)量。在做網(wǎng)絡(luò)布線時(shí)，最好能夠設(shè)計(jì)一個(gè)設(shè)備間，放置網(wǎng)絡(luò)設(shè)備。為了確保網(wǎng)絡(luò)、計(jì)算機(jī)系統(tǒng)穩(wěn)定、安全、可靠地運(yùn)行，以及保障機(jī)房工作人員有良好的工作環(huán)境，做到技術(shù)先進(jìn)、經(jīng)濟(jì)合理、安全適用、確保質(zhì)量，符合國(guó)家有關(guān)的機(jī)房設(shè)計(jì)規(guī)定。機(jī)房的設(shè)計(jì)具備以下幾點(diǎn)：防靜電；防火；防盜；防雷；保濕、保溫目前的網(wǎng)絡(luò)設(shè)備大都采用機(jī)架式的結(jié)構(gòu)（多為扁平式，活像個(gè)抽屜），如交換機(jī)、路由器、硬件防火墻等。這些設(shè)備之所以有這樣一種結(jié)構(gòu)類型，是因?yàn)樗鼈兌及磭?guó)際機(jī)柜標(biāo)準(zhǔn)進(jìn)行設(shè)計(jì)，這樣大家的平面尺寸就基本統(tǒng)一，可把一起安裝在一個(gè)大型的立式標(biāo)準(zhǔn)機(jī)柜中。這樣做的好處非常明顯：一方面可以使設(shè)備占用最小的空間，另一方面則便于與其它網(wǎng)絡(luò)設(shè)備的連接和管理，同時(shí)機(jī)房?jī)?nèi)也會(huì)顯得整潔、美觀。我們經(jīng)常接觸到的放置機(jī)房里有網(wǎng)絡(luò)機(jī)柜、服務(wù)器機(jī)柜以及綜合布線柜，從這三個(gè)機(jī)柜的名字就可以看出它們各自所起的作用；一般來(lái)說(shuō)，網(wǎng)絡(luò)設(shè)備如交換機(jī)、路由器、防火墻、加密機(jī)等以及網(wǎng)絡(luò)通信設(shè)備如光端機(jī)、調(diào)制解調(diào)器等是放置在網(wǎng)絡(luò)機(jī)柜的；服務(wù)器機(jī)柜的寬度為19英寸，高度以U為單位 （1U==），通常有1U，2U，3U，4U幾種標(biāo)準(zhǔn)的服務(wù)器。機(jī)柜的尺寸也是采用通用的工業(yè)標(biāo)準(zhǔn)，通常從22U到42U不等；機(jī)柜內(nèi)按U的高度有可拆卸的滑動(dòng)拖架，用戶可以根據(jù)自己服務(wù)器的標(biāo)高靈活調(diào)節(jié)高度，以存放服務(wù)器、集線器、磁盤陣列柜等設(shè)備。服務(wù)器擺放好后，它的所有I/O線全部從機(jī)柜的后方引出（機(jī)架服務(wù)器的所有接口也在后方），統(tǒng)一安置在機(jī)柜的線槽中，一般貼有標(biāo)號(hào)，便于管理。綜合布線柜一般配有前后可移動(dòng)的安裝立柱，自由設(shè)定安裝空間，可按需要配置隔板、風(fēng)扇、電源插座等附件。配線架通常安裝在機(jī)柜里，配線架的一面是RJ45口，并標(biāo)有編號(hào)；另一面是跳線接口，上面也標(biāo)有編號(hào)，這些編號(hào)和上面的RJ45口的編號(hào)是一一對(duì)應(yīng)的。每一組跳線都標(biāo)識(shí)有棕、藍(lán)、橙、綠的顏色，雙絞線的色線要和這些跳線一一對(duì)應(yīng)，這樣做不容易接錯(cuò)。配線架不僅僅是便于管理線對(duì)，而且可以防止串?dāng)_，增加線對(duì)的隔離空間，提供360度的線對(duì)隔離。在機(jī)房中，必須放置交換機(jī)、功能服務(wù)器群和網(wǎng)絡(luò)打印設(shè)備，以及局域網(wǎng)絡(luò)連接Internet所需的各種設(shè)備，如路由器、防火墻以及網(wǎng)管工作站等；因此機(jī)房的網(wǎng)絡(luò)布局一般至少有三個(gè)機(jī)柜，綜合布線柜和網(wǎng)絡(luò)機(jī)柜應(yīng)當(dāng)緊連在一起，便于調(diào)線操作，接下來(lái)是服務(wù)器機(jī)柜；將網(wǎng)絡(luò)設(shè)備和布線系統(tǒng)進(jìn)行合理的布局。在網(wǎng)絡(luò)布局中，每個(gè)機(jī)柜最好留點(diǎn)空間，便于以后網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備的擴(kuò)充，綜合布線柜里有可能除了網(wǎng)絡(luò)布線外，還有能布置電話線，所以要在機(jī)柜里留下一定空間。從機(jī)柜內(nèi)部線纜附設(shè)的角度看，機(jī)柜配置密度更高，容納的IT設(shè)備更多，大量采用冗余配件(如冗余電源、存儲(chǔ)陣列等)，機(jī)柜內(nèi)設(shè)備配置頻繁變換，數(shù)據(jù)線和電纜隨時(shí)增減。所以，機(jī)柜必須提供充足的線纜通道，能從機(jī)柜頂部、底部進(jìn)出線纜。在機(jī)柜內(nèi)部，線纜的敷設(shè)必須方便、有序，與設(shè)備的線纜接口靠近，以縮短布線距離；減少線纜的空間占用，保證設(shè)備安裝、調(diào)整、維護(hù)過(guò)程中，不受到布線的干擾，并保證散熱氣流不會(huì)受到線纜的阻擋；同時(shí)，在故障情況下，能對(duì)設(shè)備布線進(jìn)行快速定位。供電系統(tǒng)和制冷系統(tǒng)是計(jì)算機(jī)機(jī)房的兩個(gè)重要部分。在供電系統(tǒng)中，一般采用在線的UPS供電方式，蓄電池實(shí)際可供使用的容量與蓄電池的放電電流大小、蓄電池的環(huán)境工作溫度、貯存時(shí)間的長(zhǎng)短以及負(fù)載的性質(zhì)（電阻性、電感性、電容性）密切相關(guān)。制冷系統(tǒng)（空調(diào)）涉及到機(jī)房的整個(gè)物理環(huán)境，包括空調(diào)、地板、機(jī)柜及房間布局等諸多方面；因此UPS和空調(diào)我們也要考慮好將它們放置在一個(gè)合適的位置。如果機(jī)房空間較大，可以將UPS和空調(diào)都放在機(jī)房里；如果空間較小，可以把UPS（包括蓄電池）放在配電房里。需要注意的是如果大樓里安裝有“中央空調(diào)”的話，機(jī)房里也必須安裝獨(dú)立的空調(diào)，因?yàn)橹醒肟照{(diào)不可能24小時(shí)都開(kāi)著，上班的時(shí)間可以利用中央空調(diào)，下班和星期節(jié)假日的時(shí)候，如果服務(wù)器、網(wǎng)絡(luò)設(shè)備需要正常運(yùn)行的話，則必須要開(kāi)機(jī)房里的獨(dú)立空調(diào)。機(jī)柜的擴(kuò)展性表現(xiàn)在機(jī)柜內(nèi)設(shè)備密度的擴(kuò)展和機(jī)柜數(shù)量的擴(kuò)展，因此網(wǎng)絡(luò)布局時(shí)必須將機(jī)柜的配風(fēng)能力（通常稱為散熱能力）以及配電能力考慮在內(nèi)。一方面，機(jī)柜內(nèi)的設(shè)備需要溫度、濕度適宜并且風(fēng)量充足的冷風(fēng)（冷空氣）。這些冷風(fēng)被機(jī)柜內(nèi)的IT設(shè)備吸入，從而為設(shè)備內(nèi)的部件（尤其是CPU）降溫。當(dāng)機(jī)柜內(nèi)設(shè)備增加到一定數(shù)量時(shí)，由地板出風(fēng)口送出的冷風(fēng)風(fēng)量將不能滿足所有設(shè)備的需求，從而形成部分IT設(shè)備配風(fēng)不足而過(guò)熱。解決機(jī)柜內(nèi)設(shè)備密度擴(kuò)展時(shí)遇到的這種局部熱點(diǎn)問(wèn)題可以采用調(diào)配IT設(shè)備位置的方式來(lái)解決。例如，把熱負(fù)荷最大的設(shè)備安裝在機(jī)柜中部位置，以便獲得最大的配風(fēng)風(fēng)量。另外的解決方法是，在機(jī)柜的上部或下部位置安裝軸向水平的強(qiáng)排風(fēng)扇，增強(qiáng)上部或下部的吸入能力（即減小IT設(shè)備的入口靜壓），從而增加配風(fēng)風(fēng)量。另一方面，機(jī)柜內(nèi)的設(shè)備需要供電以及與機(jī)柜外部進(jìn)行通信。當(dāng)機(jī)柜內(nèi)的IT設(shè)備數(shù)量增加時(shí)，這些線纜、連接端子同時(shí)成倍地增加，從而對(duì)機(jī)架式電源排插的容量、插口數(shù)量都提出了擴(kuò)展要求。機(jī)柜內(nèi)的布線空間也是需要提前考慮的，因?yàn)楫?dāng)機(jī)柜內(nèi)的功率密度提高時(shí)，設(shè)備后部的線纜將明顯增加風(fēng)阻，所以必須考慮線纜管理及走線空間的問(wèn)題。第二章、 局域網(wǎng)安全控制與病毒防治策略安全管理保護(hù)網(wǎng)絡(luò)用戶資源與設(shè)備以及網(wǎng)絡(luò)管理系統(tǒng)本身不被未經(jīng)授權(quán)的用戶訪問(wèn)。目前網(wǎng)絡(luò)管理工作量最大的部分是客戶端安全部分，對(duì)網(wǎng)絡(luò)的安全運(yùn)行威脅最大的也同樣是客戶端安全管理。只有解決網(wǎng)絡(luò)內(nèi)部的安全問(wèn)題，才可以排除網(wǎng)絡(luò)中最大的安全隱患，對(duì)于內(nèi)部網(wǎng)絡(luò)終端安全管理主要從終端狀態(tài)、行為、事件三個(gè)方面進(jìn)行防御。利用現(xiàn)有的安全管理軟件加強(qiáng)對(duì)以上三個(gè)方面的管理是當(dāng)前解決局域網(wǎng)安全的關(guān)鍵所在。入網(wǎng)訪問(wèn)控制是保證網(wǎng)絡(luò)資源不被非法使用，是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略。它為網(wǎng)絡(luò)訪問(wèn)提供了第一層訪問(wèn)控制。它控制哪些