【正文】 做好系統(tǒng)還原保護(hù) 為了保證每臺 PC 盡可能小的機(jī)會染上病毒。所以我們也 需要實時跟蹤最新的一些已經(jīng)發(fā)現(xiàn)的病毒和網(wǎng)絡(luò)攻擊，找出他們攻擊的方式或利用的協(xié)議漏洞， TCP、 UDP 或是其它的一些協(xié)議，有的是針對特點端口的攻擊，那就需要關(guān)掉相應(yīng)的端口，阻止針對特點端口的攻擊。 網(wǎng)吧安全防范 預(yù)案 對 PC 的連接數(shù)進(jìn)行限制 為了防止某些人使用大的網(wǎng)絡(luò)帶寬發(fā)動網(wǎng)絡(luò)攻擊，避免造成大的損失后后果，有必要對每臺 PC 的連接數(shù)進(jìn)行限制，一旦發(fā)動網(wǎng)絡(luò)攻擊的時候會建立非常多的網(wǎng)絡(luò)連接，嚴(yán)重消耗網(wǎng)絡(luò)資源，對連接數(shù)進(jìn)行限制以后，及時某些 PC 被控制實施網(wǎng)絡(luò)攻擊，由于受限于連接數(shù)，所以其攻擊造成的危害相對會小一些，攻擊能力會較弱，也可以起到一定的防護(hù)作用。 對每個用戶上流量進(jìn)行限制和監(jiān)控，如果流量持續(xù)非常大，而且不是正常應(yīng)用的網(wǎng)絡(luò)地址，要找到對應(yīng)機(jī)器，查看運行情況。 監(jiān)控網(wǎng)絡(luò)設(shè)備狀態(tài)，并調(diào)整網(wǎng)絡(luò)配置 調(diào)整網(wǎng)絡(luò)出口設(shè)備安全配置，只允許本地合法 IP 報文發(fā)送，過濾非法報文。 條件允許的話最好能夠配置一臺日志服務(wù)器，詳細(xì)記錄網(wǎng)吧的上網(wǎng)日志信息，發(fā)生安全事件或是某些人利用網(wǎng)吧網(wǎng)絡(luò)環(huán)境發(fā)表一些非法言論時，能夠及時記錄在冊便于后期的跟蹤和處理。利用交換機(jī)防御 DDoS 攻擊，防御效率高，對 PC 和網(wǎng)絡(luò)無影響，是目前最經(jīng)濟(jì)高效的防御方式。同時交換機(jī)在開啟 DDoS 攻擊防御的同時，啟用自身協(xié)議保護(hù)，保證自身的 CPU 不被DDoS 報文影響。該處理方法無需對 PC 進(jìn)行任何操作，節(jié)省了 PC 的資源。這種方式在交換機(jī)生成每臺 PC 的 IP、 MAC 關(guān)系映射表，通過交換機(jī)自身 的ARP 過濾模塊，過濾每個端口下連接的 PC 發(fā)出的 ARP 報文。 第三 .可能引起局域網(wǎng)內(nèi) ARP 廣播風(fēng)暴 。 第二 .AntiARP 驅(qū)動在系統(tǒng) 0 層運行，其實用戶相當(dāng)于將全部權(quán)限給了 AntiARP，如果這個軟件萬一染毒，任何殺毒軟件都無效。 比如 AntiARP 類型的軟件是通過包裝驅(qū)動層 NDIS 來過濾 ARP 數(shù)據(jù)包，每一個流進(jìn)或流出的數(shù)據(jù)包都要經(jīng)過 NDIS 才能到達(dá)網(wǎng)卡，因此這是一個典型的串行系統(tǒng)。受限于軟件自身的處理能力，該類型的軟件一般 僅過濾 TCP 協(xié)議，而對網(wǎng)吧中大量游戲、視頻應(yīng)用使用的 UDP、 ICMP、 ARP 等報文不做過濾。 在 PC 上安裝過濾軟件 26 在 PC 上安裝過濾軟件， PC 成為軟件防火墻過濾 PC 發(fā)出 DDoS 報文以及欺騙的 ARP 報文，一般這類軟件稱自己為防水墻。 雙向綁定 其中雙向綁定是過去比較常用的一種方法，它在路由器或者 ROS 代理服務(wù)器上上綁定內(nèi)網(wǎng)所有 PC 的 IP 地址和 MAC 地址，在每一臺 PC 上 綁定網(wǎng)關(guān)的 IP 地址和 MAC 地址，形成一個相對固定映射關(guān)系來防止 ARP 欺騙。 圖 8 安全防護(hù)設(shè)置示意圖 協(xié)議分析 +計數(shù)器法 協(xié)議分析 +計數(shù)器法，該處理方法兼有協(xié)議分析法的精確與計數(shù)器法的性能，它對所有非內(nèi)部引起的連接進(jìn)行監(jiān)控及協(xié)議匹配，并對其進(jìn)行嚴(yán)格的計數(shù)控制，同時該處理方法還修改了 TCP/IP 協(xié)議棧，加強了抗 DDoS 能力，目前該處理方式可支持的 DDoS 攻擊協(xié)議分析已達(dá) 10 種以上。但是該 處理方式粗放，一旦端口上的數(shù)據(jù)量達(dá)到設(shè)定的閥值就進(jìn)行全局限速，進(jìn)而影響全局的應(yīng)用。 七 .日常管理維護(hù) 網(wǎng)絡(luò)安全管理 其中針對路由器的攻擊會導(dǎo)致網(wǎng)吧的出口癱瘓，而目前路由器常見的防 DDoS 攻擊的 24 方法有三種： ， ， +計數(shù)器。 系統(tǒng)交付驗收方法：完成安裝、運行、測試、集成后并通過驗收。如果 7 天內(nèi)測試通不過， 我方可拒收 施工方公司 系統(tǒng)。 六 .工程驗收 我方與 施工方 組成驗收小組，對提供的產(chǎn)品和集成系統(tǒng)進(jìn)行檢驗。 網(wǎng)吧在進(jìn)行綜合布線時 ,最好在裝修之前完成 ,所有的測試也必須在裝修完工之前有一個定論。 :測試外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的互聯(lián)互通性能 ,主要包括以下幾點 :下載速度測試、網(wǎng)絡(luò) 游戲順暢程度、在線影院流暢度等。然后測試點與點之間的網(wǎng)絡(luò)傳輸速度 。 :網(wǎng)絡(luò)設(shè)備安裝完畢后 ,加電進(jìn)行測試。 三 .檢測 :網(wǎng)線布設(shè)完畢、水晶頭安裝在兩端后 ,立即用網(wǎng)絡(luò)測試儀測試線路是否可以正常工作。 :網(wǎng)絡(luò)布線時 ,把每條雙絞線都做一個編號 ,并且雙絞線的兩端要做相同的編號。 23 :雙絞線都有一定的使用壽命 ,加上客觀自然條件的影響 ,雙絞線損壞是正常的事情 ,所以進(jìn)行網(wǎng)絡(luò)布線時 ,對于從主交換機(jī)到二級交換機(jī)之間的級聯(lián)線 ,至少要布放 12 根備份線路。 :無論是主交換機(jī)還是二級交換機(jī) ,在選擇安裝位置時 ,一定要把交換機(jī)放置在節(jié)點的中間位置 ,一方面可以節(jié)約網(wǎng)線的使用量 ,另外還可以將網(wǎng)絡(luò)的傳輸距離減小到最短 ,從而提高網(wǎng)絡(luò)傳輸質(zhì)量。 :選擇水晶頭時 ,中檔品牌就可以 ,但切記不能選擇低檔的劣質(zhì)貨。 568B 接線標(biāo)準(zhǔn)中 ,定義的標(biāo)準(zhǔn)線序是 :橙白、橙、綠白、藍(lán)、藍(lán)白、綠、棕白、棕 ,從左至右是 1 號線至 8 號線 。 二 .布線施工及注意事項 :根據(jù)網(wǎng)絡(luò)布線標(biāo)準(zhǔn) ,雙絞線有 568A 和 568B 兩種標(biāo)準(zhǔn)接法 ,目前使用最廣泛的接法是 568B 接法。 第二 .交換機(jī)最大的級聯(lián)數(shù)目 :對于一些面積較大的網(wǎng)吧 ,機(jī)器數(shù)目多且位置 分散 ,交換機(jī)通常需要級聯(lián) ,而級聯(lián)的最大數(shù)目不能超過五個。在網(wǎng)絡(luò)布線設(shè)計前 ,必須了解以下兩點基礎(chǔ)知識 : 第一 .雙絞線最長的通訊距離 :目前 ,網(wǎng)吧內(nèi)使用最多的就是超五類雙絞線 ,理論上其點與點之間最大的通訊距離是 100 米 ,而實際上只有 95 米。 一 .網(wǎng)絡(luò)布線設(shè)計 網(wǎng)絡(luò)布線必須根據(jù)網(wǎng)吧的網(wǎng)絡(luò)結(jié)構(gòu)來設(shè)計。 網(wǎng)吧電源系統(tǒng)的布線 ,最好找專業(yè)的電工技師或者專業(yè)的綜合布線人員來做 ,并且要做好布線的檔案記錄工作 ,每一條電源線的負(fù)責(zé)范圍、走向如何等都要記錄在文檔中 ,以方便日后維護(hù)。 :對于百臺以上的網(wǎng)吧 ,在設(shè)計電源系統(tǒng)時最好準(zhǔn)備一個獨立的空間安裝空氣開關(guān)、 UPS 及其它的網(wǎng)吧電源設(shè)備。 :對于網(wǎng)吧電源系統(tǒng)的主干線路或一些不方便檢修的線路 ,一定要布設(shè)備 22 份線路 ,如果主線路損壞 ,立即更換成備份線路。因此 ,在網(wǎng)吧電源布線時 ,必須安裝地線。 :細(xì)心的技術(shù)人員會發(fā)現(xiàn) ,在電腦的三相電源插頭中 ,負(fù)責(zé)接地的那一芯 ,是沒有電源 線的 ,也就是缺乏有效的接地措施。超負(fù)荷運行的時間可以在十個小時左右 ,根據(jù)實際情況進(jìn)行測試。在全負(fù)載運行過程中 ,如果出現(xiàn)空氣開關(guān)自動跳閘或者保險絲被燒斷 ,請務(wù)必仔細(xì)檢查原因。 :運行第一步測試后 ,把網(wǎng)吧內(nèi)的設(shè)備分批次打開 ,并逐步達(dá)到網(wǎng)吧的全負(fù)載功率運行。 三 .驗收 所有電源布線工作結(jié)束后 ,必須在所有的布線管道未封閉之前進(jìn)行一系列的驗收和檢測。 ,應(yīng)該做上一些標(biāo)記。對于一些不易進(jìn)行二次施工的管道 ,請務(wù)必布設(shè)備用線路。 ,最好在布線施工時多布設(shè)一條線路做備份線路。 :對于有專業(yè)機(jī)柜的網(wǎng)吧 ,建議對路由器等價值較高的網(wǎng)絡(luò)設(shè)備加 UPS 后備電源 ,以保護(hù)網(wǎng)絡(luò)設(shè)備的安全。一般來說 ,主干線路使用銅芯線 ,下面的分支線路可以使用鋁芯線 (建議 ,最好網(wǎng)吧電源系統(tǒng)的所有線路全部采用 GB 的銅芯線 )。然后 ,可視實際情況把電腦按 10 臺或 16 臺為一組 ,每組由一個空氣開關(guān)控制 ,整個網(wǎng)吧可以分為 46 組或者更多的組。機(jī)器數(shù)量增多 ,功率就明顯增大。 :一般在對網(wǎng)吧電源系統(tǒng)布線設(shè)計時 ,容易產(chǎn)生一個誤區(qū) ,認(rèn)為電腦使用的電源線隨便拉一條就行。三相供電的空調(diào) ,功率大 ,可以滿足網(wǎng)吧這一特殊經(jīng)營場所的需求。對于普通網(wǎng)吧來說 ,網(wǎng)吧的主要用電系統(tǒng)有 : :對網(wǎng)吧來說 ,空調(diào)已經(jīng)成為一種標(biāo)準(zhǔn)配置 ,一般使用柜式空調(diào) ,而且功耗很大 ,每臺功率一般在 35004500W 之間。 一 . 布線設(shè)計 現(xiàn)在市電供應(yīng)系統(tǒng)普遍采用三相四線制供電模式 ,建議仍在使用兩相供電的網(wǎng)吧更換為三相四線制的供電模式。對于網(wǎng)吧經(jīng)營者來說 ,一般不太重視電源系統(tǒng)的布線設(shè)計 ,而這一塊恰恰是最容易出問題的一部分 ,也是影響網(wǎng)絡(luò)傳輸速度的無形殺手。 ，清除失敗為刪除，設(shè)置 windows 自己帶的防火墻。如果你使用了 還要保留 Asp賬戶。 在安全設(shè)置 本地策略 安全選項中將“不顯示上次的用戶名”設(shè)為啟用 。將 Guest 賬戶禁用并更改名稱和描述，然后輸入一個復(fù)雜的密碼。 安全策略設(shè)計 為防黑客入侵、病毒的影響，保證網(wǎng)吧數(shù)據(jù)的安全，要設(shè)置好外部網(wǎng)接入到網(wǎng)吧必須先 經(jīng)過路由器本身自帶著防火墻，同時也在服務(wù)器安裝殺毒軟件防止外部入侵。每一臺客戶機(jī)都設(shè)置網(wǎng)管呼叫服務(wù)、點歌服務(wù)、客戶意見等，并且隨時提交到服務(wù)器接受，由服務(wù)器轉(zhuǎn)交到服務(wù)臺。 為了方便客戶下載文件，所以每一臺電腦安裝一個 40GB 的硬盤僅本機(jī)使用。安全性好獨一無二的超級保護(hù)功能足以讓有盤工作站相形見絀，不怕惡意攻擊和破壞，實現(xiàn)無人值守及零維護(hù)，不用整天手忙腳亂地 Ghost 硬盤了。 主要配置如下： CPU：四核英特爾 至強 處理器 E5506 內(nèi)存： 4GB 硬盤： 4TB 網(wǎng)卡： 21000M 自適應(yīng)網(wǎng)卡 操作系統(tǒng)： Windows Server 2021 主要服務(wù)：磁盤配額 文件系統(tǒng)： NTFS IP 地址： 網(wǎng)關(guān)： 放 置位置：控制中心 網(wǎng)絡(luò)連接：直接連路由器端口上 支持硬盤熱插拔 客戶端配置設(shè)計 在每一臺客戶機(jī)中使用無硬盤系統(tǒng)，無盤網(wǎng)絡(luò)的是為了降低工作站的成本，但主要卻是為了管理和維護(hù)的方便。 18 在服務(wù)器上使用 NTFS 文件系統(tǒng)中提供的磁盤配額功能保障存儲空間得到有效合理的利用。其中 C 盤、 D 盤 E盤應(yīng)用到客戶機(jī)上， F 盤為密碼盤，不給客戶機(jī)操作， G 盤為共享。）等。 服務(wù)器設(shè)置 這個服務(wù)器主要是負(fù)責(zé)控制收費、公安監(jiān)控服務(wù)、證劵服務(wù)、各類悠閑上網(wǎng)（如聊天、視頻、內(nèi)網(wǎng)電影計費是所有管理工作的重中之中，費時繁瑣，并且不允許絲毫差錯。當(dāng)用戶訪問網(wǎng)站及其連接時，代理服務(wù)器首先在 cache中搜索它的內(nèi)容， 若有所需的就從 cache 中讀取，若沒有就自動通過 modem 訪問該網(wǎng)站及其連接，加快訪問速度。 劃分子網(wǎng) （一共 64 個可用地址）給本項目其 他設(shè)備使用，其中，交換機(jī) 1 控制子網(wǎng)號段為 ，交換機(jī) 2 控制 其他 IP 地址留做備用 服務(wù)器配置設(shè)計 提供網(wǎng)絡(luò)代理服務(wù)的服務(wù)器，網(wǎng)絡(luò)用戶可以通過代理服務(wù)器來訪問 inter 網(wǎng)上的web 服務(wù)器、 ftp 服務(wù)器、 pop3 服務(wù)器等等。 安裝 tcp/ip 協(xié)議，并且指定 ip 地址。同時，也可通過基于 Web 的界面管理， 實現(xiàn)配置、安裝、升級等較為簡單。其內(nèi)置 2 個固化的 1000BaseT 千兆銅纜端口，無需另外花錢添置千 兆模塊，就可直接連接到千兆骨干交換機(jī)上，性價比較高。 17 二級交換設(shè)備主要為 SMC6724AL2 和 SMC6750L2。 同時，通過 L2/L4 訪問控制列表（ ACL）可以防止未授權(quán)訪問和非法者的入侵。 網(wǎng)絡(luò)設(shè)備的選擇 方案采用了千兆三層交換機(jī) SMC8612XL3 和二層交換機(jī) SMC8624T 作為本網(wǎng)吧的千兆核心。骨干網(wǎng)通過高速線路接入 INTERNET，網(wǎng)吧內(nèi)實現(xiàn)主干千兆交換、百兆到點，整個 網(wǎng)吧內(nèi)實現(xiàn)無阻塞通信。所采用的骨干產(chǎn)品都支持 標(biāo)準(zhǔn) VLAN 和 IGMP 組播協(xié)議，全部支持網(wǎng)管到桌面。大概要用超五類雙絞線為 550 米，線槽大（ 200150 ）約 10 米，中（ 200 100）約 15 米，?。?200 50）約 35 米。在每一個端口打上和計算機(jī)臺號一樣的標(biāo)志，網(wǎng)線的兩端也打上對應(yīng)的臺號標(biāo)簽卡，對接網(wǎng)線的時候，端口要和計算機(jī)臺號一一對應(yīng)，方便出現(xiàn)問題的時候容易找出問題的所在，所有模塊和配線架都使用 568B（白橙 | 橙 | 白綠 | 藍(lán) | 白藍(lán) | 綠 | 白棕 | 棕）的線序接線纜。在網(wǎng)吧中間的圓形平臺內(nèi)放置 四 個 24 口配線架交換 機(jī)和一個核心交換機(jī)。從網(wǎng)吧現(xiàn)有的組織結(jié)果入手，及房屋實際的構(gòu)造，在空間內(nèi)分如下圖詳細(xì)布局的三組；管線設(shè)計也是根據(jù)下圖的線條主干線槽及信息點的分布情況，符合《 TIA/EIA 568 商用建筑物電信布線標(biāo)準(zhǔn)》。 :網(wǎng)絡(luò)布線時 ,把每條雙 絞線都做一個編號 ,并且雙絞線的兩端要做相同的編號。 :雙絞線都有一定的使用壽命 ,加上客觀自然條件的影響 ,雙絞線損壞是正常的事情 ,所以進(jìn)行網(wǎng)絡(luò)布線時 ,對于從主交換機(jī)到二級交換機(jī)之間的級聯(lián)線 ,至少要布放 12 根備份線路。 :無論是主交換機(jī)還是二級交換機(jī) ,在選擇安裝位置時 ,一定要把交換機(jī)放置在節(jié)點的中間位置 ,一方面可以節(jié)約網(wǎng)線的使用量 ,另外還可以將網(wǎng)絡(luò) 的傳輸距離減小到最短 ,從而提高網(wǎng)絡(luò)傳輸質(zhì)量。 :選擇水晶頭時 ,中檔品牌就可以 ,但切記不能選擇低檔的劣質(zhì)貨。 568B 接線標(biāo)準(zhǔn)中 ,定義的標(biāo)準(zhǔn)線序是 :橙白、橙、綠白、藍(lán)、藍(lán)白、綠、棕白、棕 ,從左至右是 1 號線至 8 號線 。 網(wǎng) 絡(luò)線路 系統(tǒng)建設(shè)要求 :根據(jù)網(wǎng)絡(luò)布線標(biāo)準(zhǔn) ,雙絞線有 568A 和 568B 兩種標(biāo)準(zhǔn)接法 ,目前使用最廣泛的接法是 568B 接法。