【正文】 第 4 章 超市辦公網(wǎng)絡(luò)的配置 二層交換的配置 VLAN 的配置 公司 VLAN 在二層交換機(jī)的劃分 [H3C]vlan 10 [H3Cvlan10]de [H3Cvlan10]description chanpin [H3Cvlan10]quit [H3C]vlan 20 [H3Cvlan20]de [H3Cvlan20]description xingzheng [H3Cvlan20]quit [H3C]vlan 30 [H3Cvlan30]de [H3Cvlan30]description caiwu [H3Cvlan30]quit [H3C]vlan 40 [H3Cvlan40] [H3Cvlan40]de [H3Cvlan40]description kufang [H3Cvlan40]quit [H3C]vlan 50 [H3Cvlan50]de [H3Cvlan50]description sheji [H3Cvlan50]quit [H3C]vlan 60 [H3Cvlan60]de [H3Cvlan60]description jinli [H3Cvlan60]quit [H3C]vlan 70 [H3Cvlan70]de [H3Cvlan70]description fuwuqi [H3Cvlan70]quit [H3C]vlan 100 [H3Cvlan100]de [H3Cvlan100]description lianjieluyou [H3Cvlan100]quit [H3C] [H3C]vlan 1000 [H3Cvlan1000]de [H3Cvlan1000]description guanli [H3Cvlan1000]quit 將指定的端口劃分到對(duì)應(yīng)的 VLAN，以一至二口劃分到 VLAN10 為例： [H3C]vlan 10 [H3Cvlan10]port Ether 1/0/1 to e [H3Cvlan10]port Ether 1/0/1 to Ether 1/0/2 ? [H3Cvlan10]port Ether 1/0/1 to Ether 1/0/2 [H3Cvlan10]dis vlan 10 VLAN ID: 10 VLAN Type: static Route Interface: configured Description: VLAN 0010 Broadcast MAXratio: 100% Tagged Ports: Ether1/0/24 Untagged Ports: Ether1/0/1 Ether1/0/2 [H3Cvlan10]quit TRUNK 的配置 將 2 層交換機(jī) 的 2 口設(shè)置為 TRUNK 口，并設(shè)置允許通過(guò)的 VLAN，出口 ，以 24 口為例： [H3C]int e1/0/24 [H3CEther1/0/24]port lin [H3CEther1/0/24]port linkt [H3CEther1/0/24]port linktype tr [H3CEther1/0/24]port linktype trunk [H3CEther1/0/24]port tr [H3CEther1/0/24]port trunk per [H3CEther1/0/24]port trunk permit vlan 10 20 30 40 50 60 100 1000 Please wait... Done. [H3CEther1/0/24]undo per [H3CEther1/0/24]undo tr [H3CEther1/0/24]undo port tr [H3CEther1/0/24]undo port trunk per [H3CEther1/0/24]undo port trunk permit vlan 1 Please wait... Done. [H3CEther1/0/24]dis this [H3CEther1/0/24]dis this interface Ether1/0/24 port linkmode bridge port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 10 20 30 40 50 60 100 1000 三層交換機(jī)的配置 三層交換機(jī)配置 VLAN 及 VLAN 地址 [H3C]vlan 10 [H3Cvlan10]de [H3Cvlan10]description chanpin [H3Cvlan10]quit [H3C]vlan 20 [H3Cvlan20]de [H3Cvlan20]description xingzheng [H3Cvlan20]quit [H3C]vlan 30 [H3Cvlan30]de [H3Cvlan30]description caiwu [H3Cvlan30]quit [H3C]vlan 40 [H3Cvlan40] [H3Cvlan40]de [H3Cvlan40]description kufang [H3Cvlan40]quit [H3C]vlan 50 [H3Cvlan50]de [H3Cvlan50]description sheji [H3Cvlan50]quit [H3C]vlan 60 [H3Cvlan60]de [H3Cvlan60]description jinli [H3Cvlan60]quit [H3C]vlan 70 [H3Cvlan70]de [H3Cvlan70]description fuwuqi [H3Cvlan70]quit [H3C]vlan 100 [H3Cvlan100]de [H3Cvlan100]description lianjieluyou [H3Cvlan100]quit [H3C] [H3C]vlan 1000 [H3Cvlan1000]de [H3Cvlan1000]description guanli [H3Cvlan1000]quit [H3C]int vlan 10 [H3CVlaninterface10]ip add [H3CVlaninterface10]ip address 24 [H3CVlaninterface10]quit [H3C]int vlan 20 [H3CVlaninterface20]ip add [H3CVlaninterface20]ip address 24 [H3CVlaninterface20]quit [H3C]int vlan 30 [H3CVlaninterface30]ip add [H3CVlaninterface30]ip address 24 [H3CVlaninterface30]quit [H3C]int vlan 40 [H3CVlaninterface40]ip add [H3CVlaninterface40]ip address 24 [H3CVlaninterface40]quit [H3C]int vlan 50 [H3CVlaninterface50]ip add [H3CVlaninterface50]ip address 24 [H3CVlaninterface50]quit [H3C]int 。我們?cè)试S用戶在遠(yuǎn)地機(jī)器上建立一個(gè)登錄會(huì)話，然后通過(guò)執(zhí)行命令來(lái)實(shí)現(xiàn)更一般的服務(wù)，就像在本地操作一樣。然而實(shí)際并非你想象的那樣簡(jiǎn)單，如果我們僅需要遠(yuǎn)程編輯文件，那么剛才所構(gòu)想的服務(wù)完全可以勝任，但假如我們的要求并不是這么簡(jiǎn)單，我們還想實(shí)現(xiàn)遠(yuǎn)程用戶管理，遠(yuǎn)程數(shù)據(jù)錄入，遠(yuǎn)程系統(tǒng)維護(hù)，想實(shí)現(xiàn)一切可以在遠(yuǎn)程主機(jī)上實(shí)現(xiàn)的操作，那么我們將需要大量專(zhuān)用的服務(wù)器程序并為每一個(gè)可計(jì)算服務(wù)都使用一個(gè)服務(wù)器進(jìn)程，隨之而來(lái)的問(wèn)題是：遠(yuǎn)程機(jī)器會(huì)很快對(duì)服務(wù)器進(jìn)程應(yīng)接不暇，并淹 沒(méi)在進(jìn)程的海洋里（我們?cè)谶@里排除最專(zhuān)業(yè)化的遠(yuǎn)程機(jī)器）。以上便是一個(gè)標(biāo)準(zhǔn)而普通的客戶機(jī) /服務(wù)器模型的服務(wù)。 我們可以先構(gòu)想一個(gè)提供遠(yuǎn)程文字編輯的服務(wù)，這個(gè)服務(wù)的實(shí)現(xiàn)需要一個(gè)接受編輯文件請(qǐng)求和數(shù)據(jù)的服務(wù)器以及一個(gè)發(fā)送此請(qǐng)求的客戶機(jī)。 遠(yuǎn)程登陸是指用戶使用 Tel 命令，使自己的計(jì)算機(jī)暫時(shí)成為遠(yuǎn)程主機(jī)的一個(gè)仿真終端的過(guò)程。 先來(lái)看看什么叫登錄：分時(shí)系統(tǒng)允許多個(gè)用戶同時(shí)使用一臺(tái)計(jì)算機(jī)，為了保證系統(tǒng)的安全和記賬方便，系統(tǒng)要求每個(gè)用戶有單獨(dú)的帳號(hào)作為登錄標(biāo)識(shí)，系統(tǒng) 還為每個(gè)用戶指定了一個(gè)口令。它的一些較新的版本在本地執(zhí)行更多的處理，于是可以提供更好的響應(yīng)，并且減少了通過(guò)鏈路發(fā)送到遠(yuǎn)程主 機(jī)的信息數(shù)量。它的基本功能是，允許用戶登錄進(jìn)入遠(yuǎn)程主機(jī)系統(tǒng)。 Tel 是常用的遠(yuǎn)程控制 Web 服務(wù)器的方法 ?？梢栽诒镜鼐湍芸刂品?wù)器 [10]。在終端使用者的電腦上使用 tel 程序，用它連接到服務(wù)器。 TELENT 技術(shù)及規(guī)劃 Tel 協(xié)議是 TCP/IP 協(xié)議族中的一員，是 Inter 遠(yuǎn)程登陸服務(wù)的標(biāo)準(zhǔn)協(xié)議和主要方式。我們都知道，由于 Inter 的迅速擴(kuò)展，針對(duì)遠(yuǎn)程安全登入的需求也日益提升。就使用成本而言， SSLVPN具有更大的優(yōu)勢(shì)，由于這是一個(gè)即插即用設(shè)備，在部署實(shí)施以后，一個(gè)具有一定 IT 知識(shí)的普通工作人員就可以完成日常的管理 工作。 使用 SSLVPN 具有很好的經(jīng)濟(jì)性，因?yàn)橹恍枰诳偛糠胖靡慌_(tái)硬件設(shè)備就可以實(shí)現(xiàn)所有用戶的遠(yuǎn)程安全訪問(wèn)接入。就是說(shuō)，雖然都可以進(jìn)入內(nèi)部網(wǎng)絡(luò)，但是不同人員可以訪問(wèn)的數(shù)據(jù)是不同的。 用戶部署 VPN 是為了保護(hù)網(wǎng)絡(luò)中重要數(shù)據(jù)的安全。而對(duì)于 SSLVPN 的聯(lián)機(jī)，病毒傳播會(huì)局限于這臺(tái)主機(jī)，而且這個(gè)病毒必須是針對(duì)應(yīng)用系統(tǒng)的類(lèi)型，不同類(lèi)型的病毒是不會(huì)感染到這臺(tái)主機(jī)的。不論是IPSecVPN 或 SSLVPN 聯(lián)機(jī)，對(duì)于入口的病毒偵測(cè)效果是相同的，但是比較從遠(yuǎn)程客戶端入侵的可能性，就會(huì)有所差別。這樣，使用零客戶端的 SSLVPN 遠(yuǎn)程訪問(wèn)的用戶可以為遠(yuǎn)程員工、客戶、合作伙伴及供應(yīng)商等，通過(guò) SSLVPN，客戶端可以在任何時(shí)間任何地點(diǎn)對(duì)應(yīng)用資源進(jìn)行訪問(wèn)，也就是說(shuō)是基于 B/S 結(jié)構(gòu)的業(yè)務(wù)時(shí)，可以直接使用瀏覽器完成 SSL的 VPN建立 ； 而 IPSecVPN 只允許已經(jīng)定義好的客戶端進(jìn)行訪問(wèn)，所以它更適用于企業(yè)內(nèi)部。 客戶端的區(qū)別是 SSLVPN 最大的優(yōu)勢(shì)。 SSLVPN 作為一個(gè)安全的訪問(wèn)連接建立工具，所有的訪問(wèn)都要經(jīng)過(guò)這個(gè)網(wǎng)關(guān)，所以記錄日志對(duì)于網(wǎng)關(guān)來(lái)說(shuō)非常重要。前面已經(jīng)提到，對(duì)于SSLVPN 要保護(hù)的后臺(tái)應(yīng)用，可以為其設(shè)置不同的級(jí) 別，只有相應(yīng)級(jí)別的用戶才可以訪問(wèn)到其對(duì)應(yīng)級(jí)別的資源，從而保證了的可用性。由于 SSLVPN一般在 GATEWAY 上或者在防火墻后面，把企業(yè)內(nèi)部需要被授權(quán)外部訪問(wèn)的內(nèi)部應(yīng)用注冊(cè)到 SSLVPN 上，這樣對(duì)于 GATEWAY 來(lái)講，需要開(kāi)通 443 這樣的端口到 SSLVPN 即可，而不需要開(kāi)通所有內(nèi)部的應(yīng)用的端口，如果有黑客發(fā)起攻擊也只能到 SSLVPN 這里，攻擊不到內(nèi)部的實(shí)際應(yīng)用。黑客想要竊聽(tīng)網(wǎng)絡(luò)中的 數(shù)據(jù)，就要能夠解開(kāi)這些加密算法后的數(shù)據(jù)包。用戶的設(shè)置可以有設(shè)置帳戶、使用證書(shū)、 Radius 機(jī)制等不同的方式。傳輸?shù)膬?nèi)容是經(jīng)過(guò)加密的。 保密性就是對(duì)抗對(duì)手的被動(dòng)攻擊，保證不泄漏給未經(jīng)授權(quán)的人。然后， SSLVPN 網(wǎng)關(guān)作為客戶端的代理和應(yīng)用服務(wù)器之間建立 TCP 連接，在客戶端和應(yīng)用服務(wù)器之間轉(zhuǎn)發(fā)數(shù)據(jù)。目前常見(jiàn)的 SSLVPN 方案有兩種 ： 直路方式和旁路方式。 SSL VPN 技術(shù)及規(guī)劃 SSLVPN、 IPSecVPN、 網(wǎng)絡(luò)安全 VPN 是一項(xiàng)非常實(shí)用的技術(shù)，它可以擴(kuò)展企業(yè)的內(nèi)部網(wǎng)絡(luò)，近期，傳統(tǒng)的 IPSecVPN 出現(xiàn)了客戶端不易配置等問(wèn)題，相對(duì)而言， SSLVPN 作為一種全新的技術(shù)正在被廣泛關(guān)注， SSL 利用內(nèi)置在每個(gè) Web 瀏覽器中的加密和驗(yàn)證功能，并與安全網(wǎng)關(guān)相結(jié)合，提供安全遠(yuǎn)程訪問(wèn)企業(yè)應(yīng)用的機(jī)制，這樣，遠(yuǎn)程移動(dòng)用戶可以輕松訪問(wèn)公司內(nèi)部 B/S 和 C/S應(yīng)用及其他核心 資源 [9]。 命名的 IPX 訪問(wèn)控制列表與命名的 IP 訪問(wèn)控制列表一樣，命名的 IPX 訪問(wèn)控制列表是使用列表名取代列表編號(hào)。 ? 擴(kuò)展 IPX 訪問(wèn)控制列表 ： 擴(kuò)展 IPX 訪問(wèn)控制列表在標(biāo)準(zhǔn) IPX 訪問(wèn)控制列表的基礎(chǔ)上，增加了對(duì) IPX報(bào)頭中以下幾個(gè) 字 段的檢查，它們是協(xié)議類(lèi)型、源 Socket、目標(biāo) Socket。 ? 命名的 IP 訪問(wèn)控制列表