【正文】 入網(wǎng)訪問控制是保證網(wǎng)絡(luò)資源不被非法使用，是網(wǎng)絡(luò)安全防范和保護的主要策略。第二章、 局域網(wǎng)安全控制與病毒防治策略安全管理保護網(wǎng)絡(luò)用戶資源與設(shè)備以及網(wǎng)絡(luò)管理系統(tǒng)本身不被未經(jīng)授權(quán)的用戶訪問。另外的解決方法是，在機柜的上部或下部位置安裝軸向水平的強排風扇，增強上部或下部的吸入能力（即減小IT設(shè)備的入口靜壓），從而增加配風風量。這些冷風被機柜內(nèi)的IT設(shè)備吸入，從而為設(shè)備內(nèi)的部件（尤其是CPU）降溫。如果機房空間較大，可以將UPS和空調(diào)都放在機房里；如果空間較小，可以把UPS（包括蓄電池）放在配電房里。在機柜內(nèi)部，線纜的敷設(shè)必須方便、有序，與設(shè)備的線纜接口靠近，以縮短布線距離；減少線纜的空間占用，保證設(shè)備安裝、調(diào)整、維護過程中，不受到布線的干擾，并保證散熱氣流不會受到線纜的阻擋；同時，在故障情況下，能對設(shè)備布線進行快速定位。在機房中，必須放置交換機、功能服務(wù)器群和網(wǎng)絡(luò)打印設(shè)備，以及局域網(wǎng)絡(luò)連接Internet所需的各種設(shè)備，如路由器、防火墻以及網(wǎng)管工作站等；因此機房的網(wǎng)絡(luò)布局一般至少有三個機柜，綜合布線柜和網(wǎng)絡(luò)機柜應(yīng)當緊連在一起，便于調(diào)線操作，接下來是服務(wù)器機柜；將網(wǎng)絡(luò)設(shè)備和布線系統(tǒng)進行合理的布局。綜合布線柜一般配有前后可移動的安裝立柱，自由設(shè)定安裝空間，可按需要配置隔板、風扇、電源插座等附件。這樣做的好處非常明顯：一方面可以使設(shè)備占用最小的空間，另一方面則便于與其它網(wǎng)絡(luò)設(shè)備的連接和管理，同時機房內(nèi)也會顯得整潔、美觀。在做網(wǎng)絡(luò)布線時，最好能夠設(shè)計一個設(shè)備間，放置網(wǎng)絡(luò)設(shè)備。匯聚層與交換層之間的雙絞線，由于是網(wǎng)絡(luò)數(shù)據(jù)傳輸量最大的一個層次，同樣采用超五類屏蔽雙絞線。隨著百兆網(wǎng)絡(luò)設(shè)備的普及，我們交換層的網(wǎng)絡(luò)設(shè)備，肯定首選百兆。如果企業(yè)的接入點較多，我們可以采取接入層、匯聚層、交換層三個網(wǎng)絡(luò)層次的設(shè)計，在此基礎(chǔ)上進行布線系統(tǒng)。第一章、 網(wǎng)絡(luò)布局和布線(一) 實用性企業(yè)組建的局域網(wǎng)應(yīng)當根據(jù)機房的大小、設(shè)備的多少來具體實施，根據(jù)網(wǎng)絡(luò)布線的特點來發(fā)揮網(wǎng)絡(luò)布局實用性是非常重要的。ＩＩＳ與其他專業(yè)的業(yè)務(wù)主機軟件不同，它基于Window用戶賬號進行賬戶管理，本身并不能隨意設(shè)定業(yè)務(wù)主機允許訪問的賬戶，要添加或刪除允許訪問的賬戶，必須先在操作系統(tǒng)自帶的“管理工具”中的“計算機管理”中去設(shè)置Window用戶賬號，然后再通過“安全賬戶”選項卡中的“FTP站點操作員”選項添加或刪除。不同用戶可使用相同的賬戶訪問站點，同一個站點可設(shè)置多個賬戶，每個賬戶可擁有不同的權(quán)限，如有的可以上傳和下載，而有的則只允許下載。點擊“開始→所有程序→管理工具→Internet信息服務(wù)”，進入“Internet信息服務(wù)”窗口后，找到“默認FTP站點”，右擊鼠標，在彈出的右鍵菜單中選擇“屬性”。再點擊右下角的“詳細信息”，在彈出的“Internet信息服務(wù)（IIS）”窗口中，找到“文件傳輸協(xié)議（FTP）服務(wù)”，選中后確定即可。用IIS架設(shè)（IIS只適用于Window NT/2000/XP操作系統(tǒng)）。 接口：interface fastethernet0/1ip address duplex autospeed autoip nat inside no shutdown interface fastethernet0/2ip address duplex autospeed autoip nat outsideno shutdown路由：ip route 過載：ip nat inside source list 110 interface FastEthernet0/2 overloadaccesslist 110 permit ip any switch和VLANVTP：VTP Version: 2Configuration Revision: 7Maximum VLANs supported locally : 1005Number of existing VLANs: 9VTP Operating Mode: ServerVTP Domain Name: OAVTP Pruning Mode: DisabledVTP V2 Mode: EnabledVTP Traps Generation: EnabledVLAN：coreswvlan database 進入vlan配置模式coresw(vlan)vtp domain OA 設(shè)置vtp管理域名稱OAcoresw(vlan)vtp server 設(shè)置交換機為服務(wù)器模式coresw(vlan)vlan 10 name shichang 創(chuàng)建VLAN 10，為市場部coresw(vlan)vlan 11 name caiwu 創(chuàng)建VLAN 10，為財務(wù)部coresw(vlan)vlan 12 name sheji 創(chuàng)建VLAN 12，為設(shè)計部coresw(vlan)vlan 13 name netprinter 創(chuàng)建VLAN 13，為網(wǎng)絡(luò)打印機coresw(vlan)vlan 20 name server 創(chuàng)建VLAN 20，為服務(wù)器組coresw(config)interface vlan 10coresw(configif)ip address coresw(config)interface vlan 11coresw(configif)ip address coresw(config)interface vlan 12coresw(configif)ip address coresw(config)interface vlan 13coresw(configif)ip address coresw(config)interface vlan 20coresw(configif)ip address 將接入層SW上的端口根據(jù)需要劃分至各個VLAN 配置ACL 應(yīng)用在各個部門VLAN接口上，控制各部門互訪accesslist 10 permit accesslist 10 permit accesslist 10 deny accesslist 10 permit any 進入vlan 10ip accessgroup 10 out把訪問控制列表10 應(yīng)用于VLAN 10 OUT方向上，市場部內(nèi)部可以互訪，可以訪問服務(wù)器網(wǎng)段和網(wǎng)絡(luò)打印機網(wǎng)段，但不能訪問財務(wù)部和設(shè)計部所在網(wǎng)段。因此，APIPA僅用于不連接到Internet的單網(wǎng)段的網(wǎng)絡(luò)，如小型公司、家庭、辦公室等。默認情況下，運行Windows 98/Me/2000/XP的計算機首先嘗試與網(wǎng)絡(luò)中的DHCP服務(wù)器進行聯(lián)系，以便從DHCP服務(wù)器上獲得自己的IP地址等信息，并對TCP/IP協(xié)議進行配置。DHCP是Windows默認采用的地址分配方式。 DHCP分配 為了使TCP/IP協(xié)議更加易于管理，微軟和幾家廠商共同建立了一個Internet標準動態(tài)主機配置協(xié)議（Dynamic Host configuration Protocol，DHCP），由它提供自動的TCP/IP配置。因此，既可以據(jù)此訪問網(wǎng)絡(luò)內(nèi)的某臺計算機，也可以據(jù)此判斷計算機是否已經(jīng)開機并接入網(wǎng)絡(luò)。手工分配手工設(shè)置IP地址也是經(jīng)常使用的一種分配方式。其實網(wǎng)絡(luò)的劃分并不是很復雜，只要考慮到在可預(yù)見的將來的網(wǎng)絡(luò)情況就可以了，同時要注重它的通用性及其穩(wěn)定性。首先，要考慮選用哪一段專用IP地址。不過，采用代理服務(wù)器的缺點也是有的，那就是還需要額外添置一臺服務(wù)器，另外，代理服務(wù)器的設(shè)置也比較復雜。代理服務(wù)器與NAT的工作原理不太一樣，它并不只是簡單地做地址轉(zhuǎn)換，而是代理網(wǎng)絡(luò)內(nèi)的計算機訪問Internet，并把訪問的結(jié)果返回給當初提出該請求的用戶，同時，把訪問的結(jié)果保存在緩存中。但是，目前許多帶有NAT功能的路由器有超時配置功能，可以根據(jù)連接的時間來進行調(diào)配以緩解IP地址缺少所造成的問題。使用NAT池，可以從未注冊的地址空間中提供被外部訪問的服務(wù)，也可以從內(nèi)部網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)，而不需要重新配置內(nèi)部網(wǎng)絡(luò)中的每臺機器的IP地址。圖1而NAT池則是在外部網(wǎng)絡(luò)中定義了一系列的合法地址，采用動態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò)中。這種方式既節(jié)約了IP地址，又能同時滿足多個用戶的上網(wǎng)需求，它就是組網(wǎng)的首選了。但是動態(tài)分配IP地址也不是隨時適用的，當網(wǎng)絡(luò)內(nèi)的計算機的數(shù)量達到上百臺之多時，幾個動態(tài)IP地址顯然不夠用，那怎么辦呢？這就要采用下面的方法來解決。什么是動態(tài)分配IP地址呢？打個比方說，公司一共有10臺計算機，而須要使用計算機的卻有15個人，顯然每人一臺計算機是不可能的。如果網(wǎng)絡(luò)中每臺計算機都采用靜態(tài)的分配方案，那么很可能是IP地址不夠用。 2：IP地址規(guī)劃之分配篇 在IP地址規(guī)劃時，我們已經(jīng)知道IP地址包括公網(wǎng)和專用（私有）兩種類型，公網(wǎng)IP地址又稱為可全局路由的IP地址，是在Internet中使用的IP地址，目前對企業(yè)來說主要是ISP提供的一個或幾個C類地址；而專用（私有）IP地址則包括A、B和C類三種，另外就是Microsoft Windows的APIPA預(yù)留的（ ）網(wǎng)段地址；下面就和大家談?wù)勥@些IP地址的在企業(yè)局域網(wǎng)的分配方式?；谕瑯拥脑?，也要將所有的服務(wù)器劃分至一個獨立的網(wǎng)段。同一網(wǎng)段的計算機數(shù)量越多，廣播包的數(shù)量越大，有效帶寬就損失得越多，網(wǎng)絡(luò)傳輸效率也越低。由于某些網(wǎng)絡(luò)設(shè)備（如寬帶路由器或無線路由器）或應(yīng)用程序（如ICS）擁有自動分配IP地址功能，因此，在采用該IP地址段時，往往容易導致IP地址沖突或其他故障。如果企業(yè)網(wǎng)絡(luò)自己提供DNS服務(wù)，那么DNS服務(wù)器的IP地址就是內(nèi)部DNS服務(wù)器的IP地址。所以只有設(shè)置好網(wǎng)關(guān)IP地址，TCP/IP協(xié)議才能實現(xiàn)不同網(wǎng)絡(luò)之間的相互通信。由此可見，子網(wǎng)掩碼的位數(shù)越多，所取得子網(wǎng)的數(shù)量也就越多，但每個子網(wǎng)中所容納的主機數(shù)也就越少，同時損失的IP資源也就越多。因此，當廠地址與子網(wǎng)掩碼二者相“與”（and）時，非零部分即為網(wǎng)絡(luò)號，為零部分即為主機號。子網(wǎng)掩碼子網(wǎng)掩碼是與IP地址結(jié)合使用的一種技術(shù)。 IP地址信息 通常來說，一個完整的IP地址信息應(yīng)該包括IP地址、子網(wǎng)掩碼、默認網(wǎng)關(guān)和DNS等4部分內(nèi)容，只有當它們各司其職、協(xié)同工作時，我們才可以訪問Internet，并被Internet中的計算機所訪問。路由器或網(wǎng)關(guān)會自動將這些IP地址攔截在局域網(wǎng)絡(luò)之內(nèi)，而不會將其路由到公有網(wǎng)絡(luò)中，所以即使在兩個局域網(wǎng)中均使用相同的私有IP地址段，彼此之間也不會發(fā)生沖突。E類IP地址 以“l(fā)lll0”開始，為將來使用保留， 全零（“”）地址對應(yīng)于當前主機；全“1”的IP地址（“”）是當前子網(wǎng)的廣播地址。C類網(wǎng)絡(luò)可達209萬余個，每個網(wǎng)絡(luò)能容納254個主機。 需要注意的是網(wǎng)絡(luò)號不能為127，這是因為該網(wǎng)絡(luò)號被保留用作回路及診斷功能。即網(wǎng)絡(luò)號部分和主機號部分：網(wǎng)絡(luò)號表示其所屬的網(wǎng)絡(luò)段編號，主機號則表示該網(wǎng)段中該主機的地址編號。通常我們使用點式十進制來表示。在進行IP地址規(guī)劃時，必須滿足未來業(yè)務(wù)發(fā)展對IP地址的需求。 C類網(wǎng)絡(luò)：；前24位字節(jié)定義了網(wǎng)絡(luò)，剩下8位定義了主機。如該數(shù)字為24代表32位地址中前24位數(shù)相同即屬同一子網(wǎng)，反之則否，后8位代表不同的主機。這樣，你就不會浪費一組的IP地址（當然也不必花錢購買新的地址段）。假設(shè)如果需要構(gòu)建8個子網(wǎng)，一些只需10個地址，但是另外一些需60個地址，那么傳統(tǒng)子網(wǎng)劃分方式會迫使你購買一個額外的C類網(wǎng)絡(luò)。 熱門推薦：Windows集群網(wǎng)絡(luò)配置最佳做法五種經(jīng)典方式來巧妙設(shè)置路由器 高效的子網(wǎng)劃分方案 隨著所構(gòu)建網(wǎng)絡(luò)的發(fā)展，一般總會有必要將它們劃分成子網(wǎng)——舉個例子來說，一組分配給某個特定樓層或某一大樓的所有計算機的地址群。這些服務(wù)器需要公共IP地址，并且這些地址需要長時間的保持一致，如果你的服務(wù)器改變了地址，那么互聯(lián)網(wǎng)的使用者將會難以訪問。公共IP地址是由網(wǎng)絡(luò)服務(wù)運營商所提供的，是一個固定地址或者是一個由動態(tài)主機配置協(xié)議所分配的地址。 可以發(fā)現(xiàn)CIDR路由尋址提供了更好的適用性和規(guī)?？烧{(diào)整性。地市級支公司局域網(wǎng)絡(luò)編碼結(jié)構(gòu)行業(yè)標識8位 擴展預(yù)留1位 一級地域標識7位 二級地域標識5位 性質(zhì)位1位 網(wǎng)絡(luò)地址空間10位區(qū)縣級支公司局域網(wǎng)絡(luò)編碼結(jié)構(gòu)行業(yè)標識8位 擴展預(yù)留1位 一級地域標識7位 二級地域標識5位 性質(zhì)位1位 三級地域標識5位 網(wǎng)絡(luò)地址空間5位 子網(wǎng)掩碼為： 子網(wǎng)掩碼決定的是一個子網(wǎng)的計算機數(shù)目計算公式是2的m次冪，m是子網(wǎng)掩碼后面0的個數(shù)，m是8，那么這個子網(wǎng)掩碼可容納2的8次冪=256臺，兩個IP是不可用的，0是本網(wǎng)，1是廣播，所以可容納的就是254臺。如該數(shù)字為24代表32位地址中前24位數(shù)相同即屬同一子網(wǎng)，反之則否，后8位代表不同的主機。這樣，你就不會浪費一組的IP地址（當然也不必花錢購買新的地址段）。假設(shè)如果需要構(gòu)建8個子網(wǎng)，一些只需10個地址，但是另外一些需60個地址，那么傳統(tǒng)子網(wǎng)劃分方式會迫使你購買一個額外的C類網(wǎng)絡(luò)。高效的子網(wǎng)劃分方案 隨著所構(gòu)建網(wǎng)絡(luò)的發(fā)展，一般總會有必要將它們劃分成子網(wǎng)——舉個例子來說，一組分配給某個特定樓層或某一大樓的所有計算機的地址群。這些服務(wù)器需要公共IP地址，并且這些地址需要長時間的保持一致，如果你的服務(wù)器改變了地址，那么互聯(lián)網(wǎng)的使用者將會難以訪問。公共IP地址是由網(wǎng)絡(luò)服務(wù)運營商所提供的，是一個固定地址或者是一個由動態(tài)主機配置協(xié)議所分配的地址。20位的B類用于私有地址， ，提供了16個連