【正文】 做畢業(yè)實際就需要把平時學(xué)到的東西在復(fù)習(xí)一遍，因為平時上課還有課后自己的學(xué)習(xí)，都主要在基于理論方面的，雖 然也做很多實驗，但當(dāng)把 畢業(yè)設(shè)計當(dāng)作一個實際的工程來做的時候就會發(fā)現(xiàn)很多的問題，多虧了 老師和同學(xué)們的幫助，使我解決了困惑自己的很多問題。 東南大學(xué)出版社 致 謝 在這幾個多月的畢業(yè)設(shè)計中，我要衷心感謝我的指導(dǎo)老師 在我畢業(yè) 設(shè)計過程中給予我的熱情關(guān)懷和悉心指導(dǎo)，在我做畢業(yè)設(shè)計的過程中，老師傾注了大量的心血和汗水使我能夠及時、順利的完成此次的畢業(yè)設(shè)計。 微軟公司， 《 網(wǎng)絡(luò)安全的實現(xiàn)和管理 》 。 張 堯?qū)W， 《 計算機操作系統(tǒng)教程 》。 通過這次畢業(yè)設(shè)計讓我更加熟悉了從理論到實踐的跨越，也發(fā)現(xiàn)在課本中學(xué)習(xí)到是不足以應(yīng)付實際發(fā)生的問題，這也要我們樹立起不斷學(xué)習(xí)，終身學(xué)習(xí)的概念。網(wǎng)絡(luò)安全性是一個涉及面很廣泛的問題，其中也會涉及到是否構(gòu)成犯罪行為的問題。有必要的話可在服務(wù)器或者主交換機上設(shè)置流量控制，因為好多病毒是以數(shù)據(jù)包形式傳送的 。防毒軟件會確保所有工作站都有常駐內(nèi)存保護，既使某些工作站在安裝過程中沒有連到網(wǎng)絡(luò)上。我們應(yīng)該可以對所有網(wǎng)絡(luò)元素的防毒軟件進行安裝、升級、設(shè)置以及監(jiān)視它們的防毒情況。系統(tǒng)管理員（ Supervisor）定期檢查服務(wù)器中是否帶毒，可按月、周或天集中掃描一下網(wǎng)絡(luò)服務(wù)器； 4） 自動報告功能及病毒存檔； 5） 工作站掃描。目前基于服務(wù)器的防治病毒方法主要以 NLM 可裝載模塊技術(shù)進行程序設(shè)計，以服務(wù)器為基礎(chǔ)，提供實時掃描病毒能力。 安全管理的主要功能指對安全設(shè)備的管理；監(jiān)視網(wǎng)絡(luò)危險情況，對危險進行隔離，并把危險控制在最小范圍內(nèi)；身份認(rèn)證，權(quán)限設(shè)置；對資源的存取權(quán)限的管理；對資源或用戶動態(tài)的或靜態(tài)的審計；對違規(guī)事件，自動生成報警或生成事件消息；口令管理（如操作員的口令鑒權(quán)），對無權(quán)操作人員進行控制；密鑰管理：對于與 密鑰相關(guān)的服務(wù)器，應(yīng)對其設(shè)置密鑰生命期、密鑰備份等管理功能；冗余備份：為增加網(wǎng)絡(luò)的安全系數(shù)，對于關(guān)鍵的服務(wù)器應(yīng)冗余備份。管理的制度化程度極大地影響著整個網(wǎng)絡(luò)的安全，嚴(yán)格的安全管理制度、明確的部門安全職責(zé)劃分、合理的人員角色定義都可以在很大程度上降低其它層次的安全漏洞。 管理是網(wǎng)絡(luò)中安全得到保證的重要組成部分，是防止來自內(nèi)部網(wǎng)絡(luò)入侵必須的部分。 圖 329 網(wǎng)絡(luò)測試 第 4 章 公司網(wǎng)絡(luò)安全維護 公司管理的安全性 管理方面的安全隱患包括：內(nèi)部管理人員或員工圖方便省事，不設(shè)置用戶口令，或者設(shè)置的口令過短和過于簡單，導(dǎo)致很容易破解。 點擊“動作”（ default） ,配置動作為通過，再點擊“保存”按鈕，如圖 328 所示。 圖 324 網(wǎng)絡(luò)地址 （ 3）在“防火墻”選項的“地址轉(zhuǎn)換”對話框內(nèi)，為“靜態(tài) NAT”添加一個默認(rèn)的規(guī)則，出口為 ETH1:WAN 口，如圖 325 所示。將管理主機與防火墻的 eth0 口相連，并設(shè)置 ip 地址設(shè)為 ，在瀏覽器地址欄中輸入 即可訪問 web 管理終端。 遠程監(jiān)控臺的安裝 遠程監(jiān)控臺 RemoteMonitor 是一個防火墻狀態(tài)實時監(jiān)控軟件，可以在網(wǎng)絡(luò)中集中的監(jiān)控多臺遠東網(wǎng)安防火墻，實時的反映各臺防火墻的狀態(tài)信息，如圖 321 所示。 圖 318 安全警報 安裝根證書的方法是將遠東網(wǎng)安防火墻隨機附帶光盤中的根證書 (文件 )復(fù)制到安裝 WEB 管理終端的主機上，雙擊打開此文件查看證書信息，如圖 319 所示，并點擊安裝證書按鈕： 圖 319 證書 點擊安裝證書按鈕就打開了證書導(dǎo)入向?qū)В鐖D 320 所示。 ⑥ 已登錄的用戶如果其主機與防火墻中心系統(tǒng)斷開網(wǎng)絡(luò)連接超過定義的時間，防火墻也會主動將該登錄取消并作記錄。 ② 一臺主機同一時刻只能由一個用戶登錄。 圖 316 一次性口令認(rèn)證 輸入遠東網(wǎng)安防火墻的 IP 信息、登錄用戶名、用戶密碼，然后點擊“連接”按鈕，SecureKey 就會與防火墻建立加密的 SSL 通道，進行用戶名和口令驗證。 用戶認(rèn)證客戶端 SecureKey 用戶登錄遠東網(wǎng)安防火墻使用用戶認(rèn)證客戶端 SecureKey。 圖 315 WEB 管理界面 防火墻的管理 管理權(quán)限： 通過 WEB 管理終端對遠東網(wǎng)安防火墻進行管理操作需要有管理權(quán)限。 ③ 配置計算機 A 的網(wǎng)絡(luò)地址，使其與遠東網(wǎng)安防火墻中心系統(tǒng)的某個網(wǎng)口 E 的網(wǎng)址在同個網(wǎng)段（如果計算 機 A 的網(wǎng)絡(luò)接口與遠東網(wǎng)安防火墻中心系統(tǒng)的網(wǎng)口 E（ eth0）連接，則網(wǎng)絡(luò)地址可以設(shè)置為 ）。 防火墻的安裝 安裝防火墻的 WEB 管理終端 遠東網(wǎng)安防火墻的管理操作主要在 WEB 管理終端提供。防火墻的功能主要是過濾掉不安全服務(wù)和非法用戶與控制對特殊站點的訪問以及提供監(jiān)視 Inter 安全和預(yù)警的方便端點。 經(jīng)常訪問微軟和一些安全站點，下載最新的 Service Pack 和漏洞補丁，是保障服務(wù)器長久安全的唯一方法。 修改注冊表，在 HKEY_LOCAL_MACHINE\System\ CurrentControlSet\Control\LSA\，將 RestrictAnonymous 鍵值改成 “1” 即可。注冊表更改處理不好的話，可能會導(dǎo)致計算機不能正常啟動或計算機某些功能不能用， 甚至當(dāng)將原來的更改還原回去也一樣不能用。 修 改 注 冊 表 ， 在 HKEY_LOCAL_MACHINE\Software\ Microsoft\Windows NT\CurrentVersion\Winlogon\。設(shè)置選項如圖 311 所示。 圖 39 本地安全策略設(shè)置 開啟密碼策略 密碼對系統(tǒng)安全非常重要。當(dāng)有人嘗試對系統(tǒng)進行某種方式（如嘗試用戶密碼，改變帳戶策略和未經(jīng) 許可的文件訪問等等）入侵的時候，都會被安全審核記錄下來。 圖 36 端口掃描表 設(shè)置本機開放的端口和服務(wù)，在 IP 地址設(shè)置窗口中點擊按鈕 “ 高級 ” ，在出現(xiàn)的對話框中選擇選項卡 “ 選項 ” ，選中 “TCP/IP 篩選 ” ，點擊按鈕 “ 屬性 ” ， 設(shè)置端口界面如圖圖 37 所示。要留意服務(wù)器上開啟的所有服務(wù)并每天檢查。默認(rèn)的情況下，這些策略都沒有開啟。此時屏幕上將自動出現(xiàn)一個正在開戶 路由和遠程訪問服務(wù) 的小窗口，當(dāng)它消失之后，打開 管理工具 中的 服務(wù) ，即可以看到 Routing and Remote Access（路由和遠程訪問）項 自動 處于 已啟動 狀態(tài)了！ 已啟動狀態(tài) ,如圖 33 所示。 （ 6）之后系統(tǒng) 會要求你再選擇一個此服務(wù)器所使用的 Inter 連接，在其下的列表中選擇所用的連接方式（比如已建立好的撥號連接或通過指定的網(wǎng)卡進行連接等）再 下一步 。 配置并啟用路由和遠程訪問 ，如圖 31 所示。 （ 1）尚未配置： Win2K 中的 VPN 包含在 路由和遠程訪問服務(wù) 中。企業(yè)只需要租用本地的數(shù)據(jù)專線，連接上本地的公共信息網(wǎng)，各地的機構(gòu)就可以互相傳遞信息。 VLAN 分類 基于端口的 VLAN； 基于 MAC 地址的 VLAN； 基于第 3 層的 VLAN； 基于策略的 VLAN； 公司 VLAN 劃分 財務(wù)部門 VLAN 10 交換機 S1 接入交換機（神州數(shù)碼 DCS5526） 業(yè)務(wù)部門 VLAN 20 交換機 S2 接入交換機（神州數(shù)碼 DCS5526） 核心交換機 S3 核心交換機（神州數(shù)碼 DCRS5526） S1 配置如下 : switch switchena switchcon switch(Config)vlan 10 switch(ConfigVlan10)swithport interface ether 0/0/120 switch(ConfigVlan10)exit switch(Config)exit switchcon switch(Config)interface vlan 10 switch(Configifvlan10)ip address switch(Configifvlan10)no shutdown switch(Configifvlan10)exit switch(Config)int e 0/0/24 switch(ConfigEther0/0/24)swithport mode trunk Set the port Ether0/0/24 mode TRUNK successfully switch(ConfigEther0/0/24)sw t a v a set the port Ether0/0/24 allowed vlan successfully switch(ConfigEther0/0/24)exit S2 配置如下 : Switch Switchena Switchcon switch(Config)vlan 20 switch(ConfigVlan20)sw int e 0/0/120 switch(ConfigVlan20)exit switch(Config)exit switchcon switch(Config)interface vlan 20 switch(Configifvlan20)ip address switch(Configifvlan20)no shutdown switch(Configifvlan20)exit switch(Config)int e 0/0/24 switch(ConfigEther0/0/24)sw m t Set the port Ether0/0/24 mode TRUNK successfully switch(ConfigEther0/0/24)sw t a v a set the port Ether0/0/24 allowed vlan successfully switch(ConfigEther0/0/24)exit S3 配置如下 : switch switchena switch switchcon switch(Config)hostname S3 S3(Config)vlan 10 S3(ConfigVlan10)vlan 20 S3(ConfigVlan20)exit S3(Config)int e 0/0/12 S3(ConfigPortRange)sw m t S3(ConfigPortRange)sw t a v a S3(ConfigPortRange)exit S3(Config)int vlan 10 S3(ConfigIfVlan10)ip address S3(ConfigIfVlan10)no shutdown S3(ConfigIfVlan10)exit S3(Config)int vlan 20 00:04:23: %LINK5CHANGED: Interface Vlan20, changed state to UP %LINEPROTO5UPDOWN: Line protocol on Interface Vlan20, changed state to UP S3(ConfigIfVlan20)ip address S3(ConfigIfVlan20)no shutdown S3(ConfigIfVlan20)exit S3(Config)exit S3(ConfigIfVlan1)ip address S3(ConfigIfVlan1)no shutdown S3(ConfigIfVlan1)exit S3(Config)exit S3show ip route S3con S3(Config)ip route VPN 功能和作用 VPN 介紹 VPN （虛擬專用網(wǎng)絡(luò)）是指利用公共網(wǎng)絡(luò)建立私有專用網(wǎng)絡(luò)。 控制網(wǎng)絡(luò)上的安全 VLAN 可以提供建立防火墻的機制，防止交換網(wǎng)絡(luò)的過量廣播。這樣，網(wǎng)絡(luò)管理員就能從邏輯上對用戶和網(wǎng)絡(luò)資源進行分配，而無需考慮物理連接方式。 VLAN 可以根據(jù)網(wǎng)絡(luò)用戶的位置、作用、部門或者根據(jù)網(wǎng)絡(luò)用戶所使用的應(yīng)用程序 和協(xié)議來進行分組。 它的作用也就是提供了遠程的系統(tǒng)管理、文件傳輸、打印等功能，提高了工作效率。系統(tǒng)的安全程度跟安全配置及系統(tǒng)的應(yīng)用有很大關(guān)系，操作系統(tǒng)如果進行安全配置，填補安全漏洞，關(guān)閉一些不常用的服務(wù)，禁止開發(fā)一些不常用而又比較敏感的端口等，那么入侵者要成功進入內(nèi)部網(wǎng)是不容易的，這需要相當(dāng)高的技術(shù)水平及相當(dāng)長時間。從安全角度考慮，其變現(xiàn)為裝了很多用不到的服務(wù)模塊，開放了很多不必開放的端口，其中可能隱含了安全風(fēng)險。在不改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的情況下，使公司內(nèi)部的計算機訪問國際互聯(lián)網(wǎng)的時候，經(jīng)過