【正文】 參考文獻[1] 弗魯姆(Richard Froom).CCNP學(xué)習指南:組建Cisco多層交換網(wǎng)絡(luò)(BCMSN)(第4版)[M].2007.[2] Security Essentials Applications and Standards Third Edition[M].2007.[3] 施敏 、李亞明、[M].2007.[4] [J].,15(10).[5] [J].,14(9)：269~。根據(jù)不同的應(yīng)用業(yè)務(wù)以及不同的安全級別，將網(wǎng)絡(luò)分段并進行隔離，實現(xiàn)相互間的訪問控制，可以達到限制用戶非法訪問的目的。結(jié)論Internet技術(shù)的迅速發(fā)展，各行業(yè)信息化網(wǎng)絡(luò)的快速膨脹，中小型企業(yè)局域網(wǎng)由于需求也得到了空前的發(fā)展，它為員工提供了全新的工作環(huán)境，利用計算機和網(wǎng)絡(luò)進行工作、交流，改變了傳統(tǒng)的工作方式，極大的提高了工作的質(zhì)量和效率。隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展計算機病毒形式及傳播途徑日趨多樣化，安全問題日益復(fù)雜化，網(wǎng)絡(luò)安全建設(shè)已不再像單臺計算安全防護那樣簡單。通過以上策略的設(shè)置，能夠及時發(fā)現(xiàn)網(wǎng)絡(luò)運行中存在的問題，快速有效的定位網(wǎng)絡(luò)中病毒、蠕蟲等網(wǎng)絡(luò)安全威脅的切入點，及時、準確的切斷安全事件發(fā)生點和網(wǎng)絡(luò)。一般而言，查殺是否徹底，界面是否友好、方便，能否實現(xiàn)遠程控制、集中管理是決定一個網(wǎng)絡(luò)殺毒軟件的三大要素。在使用移動存儲設(shè)備之前進行病毒的掃描和查殺，也可把病毒拒絕在外。這些措施對杜絕病毒，主觀能動性起到很重要的作用。防病毒體系是建立在每個局域網(wǎng)的防病毒系統(tǒng)上的，主要從以下幾個方面制定有針對性的防病毒策略： a增加安全意識和安全知識，對工作人員定期培訓(xùn)。防毒的重點是控制病毒的傳染。特別是通過網(wǎng)絡(luò)傳播的計算機病毒，能在很短的時間內(nèi)使整個計算機網(wǎng)絡(luò)處于癱瘓狀態(tài)，從而造成巨大的損失。啟用殺毒軟件強制安裝策略，監(jiān)測所有運行在局域網(wǎng)絡(luò)上的計算機，對沒有安裝殺毒軟件的計算機采用警告和阻斷的方式強制使用人安裝殺毒軟件。它能控制以下幾個方面的權(quán)限：防止用戶對目錄和文件的誤刪除、執(zhí)行修改、查看目錄和文件、顯示向某個文件寫數(shù)據(jù)、拷貝、刪除目錄或文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。由于采用了無空閑IP地址策略，可以有效防止IP地址引起的網(wǎng)絡(luò)中斷和移動計算機隨意上內(nèi)部局域網(wǎng)絡(luò)造成病毒傳播和數(shù)據(jù)泄密。這項功能通常借助于TDI層的網(wǎng)絡(luò)數(shù)據(jù)攔截，得到操作網(wǎng)絡(luò)數(shù)據(jù)報的進程的詳細信息加以實現(xiàn)。訪問網(wǎng)絡(luò)進程跟蹤。時等。至少，這需要能夠終止傳輸層協(xié)議，并且在整個數(shù)據(jù)流而不是僅僅在單個數(shù)據(jù)包中尋找惡意模式。應(yīng)用層攻擊涉及多種數(shù)據(jù)包，并且常常涉及不同的數(shù)據(jù)流。雖然URL過濾是一項重要的操作，可以阻止通常的腳本類型的攻擊。一旦應(yīng)用流量是明文格式，就必須檢測HTTP請求的URL部分，尋找惡意攻擊的跡象，這就需要一種方案不僅能檢查RUL，還能檢查請求的其余部分。深度數(shù)據(jù)包處理要求以極高的速度分析、檢測及重新組裝應(yīng)用流量，以避免應(yīng)用時帶來時延。采用防火墻技術(shù)發(fā)現(xiàn)及封阻應(yīng)用攻擊所采用的技術(shù)有：1）深度數(shù)據(jù)包處理。防火墻技術(shù)是通常安裝在單獨的計算機上，與網(wǎng)絡(luò)的其余部分隔開，它使內(nèi)部網(wǎng)絡(luò)與Internet之間或與其他外部網(wǎng)絡(luò)互相隔離，限制網(wǎng)絡(luò)互訪，用來保護內(nèi)部網(wǎng)絡(luò)資源免遭非法使用者的侵入，執(zhí)行安全管制措施，記錄所有可疑事件。刪除重要信息或破壞數(shù)據(jù)，提高系統(tǒng)安全性，對密碼不符合要求的計算機在多次警告后阻斷其連網(wǎng)。啟用密碼策略，強制計算機用戶設(shè)置符合安全要求的密碼，包括設(shè)置口令鎖定服務(wù)器控制臺，以防止非法用戶修改。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制用戶入網(wǎng)的時間和在哪臺工作站入網(wǎng)。入網(wǎng)訪問控制是保證網(wǎng)絡(luò)資源不被非法使用，是網(wǎng)絡(luò)安全防范和保護的主要策略。利用現(xiàn)有的安全管理軟件加強對以上三個方面的管理是當前解決局域網(wǎng)安全的關(guān)鍵所在。目前網(wǎng)絡(luò)管理工作量最大的部分是客戶端安全部分，對網(wǎng)絡(luò)的安全運行威脅最大的也同樣是客戶端安全管理。 c加強網(wǎng)絡(luò)知識培訓(xùn)，通過培訓(xùn)掌握一定的網(wǎng)絡(luò)知識，能夠掌握IP地址的配置、數(shù)據(jù)的共享等網(wǎng)絡(luò)基本知識，樹立良好的計算機使用習慣。對局域網(wǎng)內(nèi)部人員，從下面幾方面進行培訓(xùn)： a加強安全意識培訓(xùn)，讓每個工作人員明白數(shù)據(jù)信息安全的重要性，理解保證數(shù)據(jù)信息安全是所有計算機使用者共同的責任。增強內(nèi)部人員的安全防范意識，提高內(nèi)部管理人員整體素質(zhì)。所以必須加強對使用網(wǎng)絡(luò)的人員的管理，注意管理方式和實現(xiàn)方法。從行業(yè)和組織的業(yè)務(wù)角度看，主要涉及管理、技術(shù)和應(yīng)用三個層面。 正是由于局域網(wǎng)內(nèi)應(yīng)用上這些獨特的特點，造成局域網(wǎng)內(nèi)的病毒快速傳遞，數(shù)據(jù)安全性低，網(wǎng)內(nèi)電腦相互感染，病毒屢殺不盡，數(shù)據(jù)經(jīng)常丟失。 （5）IP地址沖突局域網(wǎng)用戶在同一個網(wǎng)段內(nèi)，經(jīng)常造成IP地址沖突，造成部分計算機無法上網(wǎng)。 （4）局域網(wǎng)用戶安全意識不強許多用戶使用移動存儲設(shè)備來進行數(shù)據(jù)的傳遞，經(jīng)常將外部數(shù)據(jù)不經(jīng)過必要的安全檢查通過移動存儲設(shè)備帶入內(nèi)部局域網(wǎng)，同時將內(nèi)部數(shù)據(jù)帶出局域網(wǎng)，這給木馬、蠕蟲等病毒的進入提供了方便同時增加了數(shù)據(jù)泄密的可能性。2007年，兩種軟件的結(jié)合推動舊有寄生軟件變種增長3倍之多。寄生軟件可以修改磁盤上現(xiàn)有的軟件，在自己寄生的文件中注入新的代碼。雖然在網(wǎng)絡(luò)出口有防火墻阻斷對外來攻擊，但無法抵擋來自局域網(wǎng)內(nèi)部的攻擊（3）計算機病毒及惡意代碼的威脅由于網(wǎng)絡(luò)用戶不及時安裝防病毒軟件和操作系統(tǒng)補丁，或未及時更新防病毒軟件的病毒庫而造成計算機病毒的入侵。同時由于用戶缺乏數(shù)據(jù)備份等數(shù)據(jù)安全方面的知識和手段，因此會造成經(jīng)常性的信息丟失等現(xiàn)象發(fā)生。最常用的手法是冒充一些真正的網(wǎng)站來騙取用戶的敏感的數(shù)據(jù)。局域網(wǎng)的網(wǎng)絡(luò)安全威脅通常有以下幾類： （1）欺騙性的軟件使數(shù)據(jù)安全性降低 由于局域網(wǎng)很大的一部分用處是資源共享，而正是由于共享資源的“數(shù)據(jù)開放性”，導(dǎo)致數(shù)據(jù)信息容易被篡改和刪除，數(shù)據(jù)安全性較低。機柜內(nèi)的布線空間也是需要提前考慮的，因為當機柜內(nèi)的功率密度提高時，設(shè)備后部的線纜將明顯增加風阻，所以必須考慮線纜管理及走線空間的問題。另一方面，機柜內(nèi)的設(shè)備需要供電以及與機柜外部進行通信。例如，把熱負荷最大的設(shè)備安裝在機柜中部位置，以便獲得最大的配風風量。當機柜內(nèi)設(shè)備增加到一定數(shù)量時，由地板出風口送出的冷風風量將不能滿足所有設(shè)備的需求，從而形成部分IT設(shè)備配風不足而過熱。一方面，機柜內(nèi)的設(shè)備需要溫度、濕度適宜并且風量充足的冷風（冷空氣）。需要注意的是如果大樓里安裝有“中央空調(diào)”的話，機房里也必須安裝獨立的空調(diào)，因為中央空調(diào)不可能24小時都開著，上班的時間可以利用中央空調(diào)，下班和星期節(jié)假日的時候，如果服務(wù)器、網(wǎng)絡(luò)設(shè)備需要正常運行的話，則必須要開機房里的獨立空調(diào)。制冷系統(tǒng)（空調(diào)）涉及到機房的整個物理環(huán)境，包括空調(diào)、地板、機柜及房間布局等諸多方面；因此UPS和空調(diào)我們也要考慮好將它們放置在一個合適的位置。供電系統(tǒng)和制冷系統(tǒng)是計算機機房的兩個重要部分。所以，機柜必須提供充足的線纜通道，能從機柜頂部、底部進出線纜。在網(wǎng)絡(luò)布局中，每個機柜最好留點空間，便于以后網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備的擴充，綜合布線柜里有可能除了網(wǎng)絡(luò)布線外，還有能布置電話線，所以要在機柜里留下一定空間。配線架不僅僅是便于管理線對，而且可以防止串擾，增加線對的隔離空間，提供360度的線對隔離。配線架通常安裝在機柜里，配線架的一面是RJ45口，并標有編號；另一面是跳線接口，上面也標有編號，這些編號和上面的RJ45口的編號是一一對應(yīng)的。服務(wù)器擺放好后，它的所有I/O線全部從機柜的后方引出（機架服務(wù)器的所有接口也在后方），統(tǒng)一安置在機柜的線槽中，一般貼有標號，便于管理。我們經(jīng)常接觸到的放置機房里有網(wǎng)絡(luò)機柜、服務(wù)器機柜以及綜合布線柜，從這三個機柜的名字就可以看出它們各自所起的作用；一般來說，網(wǎng)絡(luò)設(shè)備如交換機、路由器、防火墻、加密機等以及網(wǎng)絡(luò)通信設(shè)備如光端機、調(diào)制解調(diào)器等是放置在網(wǎng)絡(luò)機柜的；服務(wù)器機柜的寬度為19英寸，高度以U為單位 （1U==），通常有1U，2U，3U，4U幾種標準的服務(wù)器。這些設(shè)備之所以有這樣一種結(jié)構(gòu)類型，是因為它們都按國際機柜標準進行設(shè)計，這樣大家的平面尺寸就基本統(tǒng)一，可把一起安裝在一個大型的立式標準機柜中。在做網(wǎng)絡(luò)布線時，最好能夠設(shè)計一個設(shè)備間，放置網(wǎng)絡(luò)設(shè)備。網(wǎng)絡(luò)設(shè)備的放置，最好放在節(jié)點的中央位置，這樣做，不是為了節(jié)約綜合布線的成本，而是為了提高網(wǎng)絡(luò)的整體性能，提高網(wǎng)絡(luò)傳輸質(zhì)量。匯聚層與交換層之間的雙絞線，由于是網(wǎng)絡(luò)數(shù)據(jù)傳輸量最大的一個層次，同樣采用超五類屏蔽雙絞線。在布線時，最好使用專門的通道，而且不要與電源線，空調(diào)線等具有輻射的線路混合布線。隨著百兆網(wǎng)絡(luò)設(shè)備的普及，我們交換層的網(wǎng)絡(luò)設(shè)備，肯定首選百兆。匯聚層是整個局域網(wǎng)的核心部分，匯聚層網(wǎng)絡(luò)設(shè)備一般支持網(wǎng)絡(luò)管理功能，方便我們的管理和維護，方便以后我們的網(wǎng)絡(luò)升級和改造。如果企業(yè)的接入點較多，我們可以采取接入層、匯聚層、交換層三個網(wǎng)絡(luò)層次的設(shè)計，在此基礎(chǔ)上進行布線系統(tǒng)。d保濕、保溫機房里的濕度應(yīng)保持在20%80%