【正文】 的選型上，必須慎重，選型的原則包括：安全保密產(chǎn)品的接入應(yīng)不明顯影響網(wǎng)絡(luò)系統(tǒng)運(yùn)行效率，并且滿足工作的要求，不影響正常的業(yè)務(wù)；安全保密產(chǎn)品必須滿足上面提出的安全需求，保證整個(gè)公司企業(yè)網(wǎng)絡(luò)的安全性。絕對(duì)的安全是不存在的，因此公司必須具有“安全風(fēng)險(xiǎn)”意識(shí)。所有的安全產(chǎn)品只是降低安全事件發(fā)生的可能性，減小安全事件所造成的損失，提供彌補(bǔ)損失的手段。安全產(chǎn)品只要為企業(yè)提供足夠的手段應(yīng)對(duì)主要的安全威脅，將可能的損失減小到可以接受的范圍之內(nèi)。目前中國(guó)許多企業(yè)往往是在信息系統(tǒng)規(guī)劃（或建設(shè)）完成之后才考慮信息安全，即所謂的“打安全補(bǔ)丁”。企業(yè)需要在考慮安全性的前提下，綜合系統(tǒng)的其它性能，結(jié)合評(píng)估系統(tǒng)的服務(wù)品質(zhì)，定下系統(tǒng)綜合服務(wù)品質(zhì)參數(shù)，在此基礎(chǔ)上，以不降低綜合服務(wù)品質(zhì)為原則，對(duì)信息安全產(chǎn)品進(jìn)行選型。 網(wǎng)絡(luò)常用技術(shù)介紹HSRP 協(xié)議 我們使用HSRP來(lái)實(shí)現(xiàn)對(duì)故障路由器的接管,HSRP中文解釋是熱備份路由協(xié)議，其含義是系統(tǒng)中有多臺(tái)路由器，它們組成一個(gè)或多個(gè)“熱備份組”。在任一時(shí)刻，這個(gè)組內(nèi)只有一個(gè)路由器是活動(dòng)的，并由它來(lái)轉(zhuǎn)發(fā)數(shù)據(jù)包，如果活動(dòng)路由器發(fā)生了故障，將選擇一個(gè)備份路由器（需配置端口搶占）來(lái)替代活動(dòng)路由器，但是在本網(wǎng)絡(luò)內(nèi)的主機(jī)看來(lái)，本機(jī)的網(wǎng)關(guān)仍然沒(méi)有down掉。由于每一個(gè)熱備份組中的活動(dòng)路由器可以不集中在一個(gè)路由器上（可通過(guò)優(yōu)先級(jí)配置），因此HSRP能夠較好的實(shí)現(xiàn)負(fù)載均衡。如果活躍的激活路由器在保持時(shí)間（缺省條件為10秒）的可配置時(shí)間段內(nèi)無(wú)法發(fā)送hello，擁有最高優(yōu)先級(jí)的備份路由器將被激活，開(kāi)始接收發(fā)網(wǎng)組MAC地址的包。 OSPF工作原理是：通過(guò)hello報(bào)文發(fā)現(xiàn)鄰居，在通過(guò)LSA的泛洪形成相同的鏈路狀態(tài)數(shù)據(jù)庫(kù)，最后通過(guò)SPF算法計(jì)算出到達(dá)目的地的最短路徑，將其寫(xiě)入路由表。Down狀態(tài)沒(méi)有收到hello包；init狀態(tài)是指收到hello包；twoway狀態(tài)雙方都收到對(duì)方的hello包；exstart狀態(tài)通過(guò)路由器優(yōu)先級(jí)選出DR、BDR；loading狀態(tài)雙方互發(fā)LSA、LSU；full狀態(tài)雙方真正的建立鄰居關(guān)系。路由LSA：它是由非DR、BDR。網(wǎng)絡(luò)匯總LSA：它是由ABR始發(fā)通告其它區(qū)域的LSA給 0 區(qū)域。自治域系統(tǒng)LSA：它是由ASBR始發(fā)，向area 0 通告不同AS之間的路由信息。 對(duì)于大型的網(wǎng)絡(luò)，為了進(jìn)一步減少路由協(xié)議通信流量，OSPF可以將網(wǎng)絡(luò)劃分不同的區(qū)域，防止網(wǎng)絡(luò)中大量的LSA防洪影響網(wǎng)絡(luò)的運(yùn)行速度。VLAN 技術(shù)Vlan（Virtual Local Area Network）即虛擬局域網(wǎng)，是一種通過(guò)將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個(gè)個(gè)網(wǎng)段從而實(shí)現(xiàn)虛擬工作組的新興技術(shù)。VLAN 技術(shù)允許網(wǎng)絡(luò)管理者將一個(gè)物理的LAN 邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個(gè)VLAN 都包含一組有著相同需求的計(jì)算機(jī)工作站，與物理上形成的LAN 有著相同的屬性。一個(gè)VLAN內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備投資、簡(jiǎn)化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性。Trunk 是指交換機(jī)之間或交換機(jī)與路由器之間VLAN 之間的連接，VLAN 信息通過(guò)Trunk 在交換機(jī)之間或路由器之間傳遞，從而可以將VLAN 跨越整個(gè)網(wǎng)絡(luò)，而不僅僅是局限在一臺(tái)交換機(jī)上。其中IEEE 是業(yè)界的標(biāo)準(zhǔn)協(xié)議，而ISL 是CISCO 專有的協(xié)議，用于在一條鏈路上封裝多個(gè)VLAN 的信息。對(duì)于CISCO 交換機(jī)的Trunk 端口， 或ISL，也可以通過(guò)DTP 協(xié)議（Dynamic Trunking Protocol）自動(dòng)協(xié)商。 對(duì)Trunk 的定義只能在快速以太網(wǎng)端口和千兆以太網(wǎng)端口上進(jìn)行，它既可以是單個(gè)的快速以太網(wǎng)端口或千兆以太網(wǎng)端口，也可以是快速以太網(wǎng)通道（FEC）或千兆以太網(wǎng)通道（GEC）。SpanningTree協(xié)議 在局域網(wǎng)中是不允許出現(xiàn)環(huán)路的，而為了實(shí)現(xiàn)冗余和負(fù)載的均衡，通常會(huì)有多條鏈路的連接，這樣就會(huì)引入環(huán)路。STP 算法會(huì)將網(wǎng)絡(luò)中的連接生成一個(gè)樹(shù)，通過(guò)特定的算法自動(dòng)將優(yōu)先權(quán)高的鏈路激活，將優(yōu)先權(quán)低的鏈路阻塞，保證在網(wǎng)絡(luò)中任何時(shí)候都不會(huì)出現(xiàn)環(huán)路。STP 算法會(huì)造成網(wǎng)絡(luò)的暫時(shí)的不穩(wěn)定狀態(tài)，該轉(zhuǎn)換時(shí)間在30秒之內(nèi)，亦即在30 秒之內(nèi)網(wǎng)絡(luò)會(huì)重新恢復(fù)到穩(wěn)定狀態(tài)。在交換機(jī)上可以通過(guò)修改端口的優(yōu)先級(jí)來(lái)改變連接的優(yōu)先權(quán)，使得STP 算法將高優(yōu)先權(quán)的連接作為活動(dòng)連接，例如：兩個(gè)交換機(jī)之間有兩條鏈路連接，一條是光纖連接，另一條是雙絞線連接，由于光纖連接明顯要比雙絞線連接更穩(wěn)定、更可靠，我們可以將交換機(jī)上的光纖端口的優(yōu)先權(quán)設(shè)定成比雙絞線端口更高的優(yōu)先權(quán)，這樣STP 算法就會(huì)將光纖連接作為活動(dòng)連接，而將雙絞線連接阻塞。這個(gè)特征是很多廠商的設(shè)備所不具備的。對(duì)于指定的VLAN，具有該VLAN 最高優(yōu)先權(quán)的端口轉(zhuǎn)發(fā)該VLAN的信息，其它VLAN 的信息則阻塞。 CISCO 交換機(jī)端口支持每VLAN 的生成樹(shù)協(xié)議，每個(gè)端口都可設(shè)置基于VLAN 的Cost 或Priority 參數(shù)，從而實(shí)現(xiàn)在多條路徑上的負(fù)載均衡能力。采用多個(gè)STP 域顯然可以獲得比單個(gè)域高的網(wǎng)絡(luò)可靠性。DHCP工作原理：DHCP客戶端首次正確登錄網(wǎng)絡(luò)后，以后再登錄網(wǎng)絡(luò)時(shí)，只需要廣播包含上次分配ip地址的DHCP_request報(bào)文即可，不需要再次發(fā)送DHCP_discover報(bào)文。 如果此ip地址無(wú)法再分配給該DHCP客戶端使用（例如已分配給其它客戶端），DHCP服務(wù)器將返回DHCP_nak報(bào)文。DHCP服務(wù)器分配給客戶端的動(dòng)態(tài)ip地址通常有一定的租借期限，期滿后服務(wù)器會(huì)收回該ip地址。實(shí)際使用中，在DHCP客戶端啟動(dòng)或ip地址租約期限達(dá)到一半時(shí)，DHCP客戶端會(huì)自動(dòng)向DHCP服務(wù)器發(fā)送DHCP_request報(bào)文，以完成ip租約的更新。 動(dòng)態(tài)分配指的是：當(dāng) DHCP 第一次從 DHCP 服務(wù)器端租用到 IP 地址之后，并非永久的使用該地址，只要租約到期，客戶端就得釋放(release)這個(gè) IP 地址，以給其它工作站使用。這樣在一定的程度上可以減少IP地址的浪費(fèi)問(wèn)題。第6章 產(chǎn)品簡(jiǎn)介 PIX 525防火墻 PIX 525是Cisco的硬件防火墻，硬件防火墻有工作速度快，使用方便等特點(diǎn)。 Cisco Secure PIX 525防火墻是世界領(lǐng)先的Cisco Secure PIX防火墻系列的組成部分，能夠?yàn)楫?dāng)今的網(wǎng)絡(luò)客戶提供無(wú)與倫比的安全性、可靠性和性能。 防火墻是網(wǎng)絡(luò)安全的屏障。由于只有經(jīng)過(guò)精心選擇的應(yīng)用協(xié)議才能通過(guò)防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。Pix 525防火墻同時(shí)可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項(xiàng)中的源路由攻擊和ICMP重定向中的重定向路徑。主要特性： Tbps 的交換能力、線速性能、可擴(kuò)展性，以及平穩(wěn)的硬件和軟件升級(jí)途徑為所有線卡以及SPA 和SIP 系列提供了全面轉(zhuǎn)發(fā)兼容性可擴(kuò)展至邊緣，在同一機(jī)箱中支持針對(duì)骨干或邊緣優(yōu)化的線卡通過(guò)10G 上行鏈路最大限度提高線速邊緣應(yīng)用的價(jià)值IP QoS 和擁塞控制部署，支持實(shí)時(shí)服務(wù)，例如VoIP 和視頻。數(shù)據(jù)包轉(zhuǎn)發(fā)在路由處理器切換之前、中、后期，均保持不中斷 Cisco Catalyst 3560 系列集成交換機(jī) 思科新推出的Cisco Catalyst 3560 系列交換機(jī)是一個(gè)創(chuàng)新的產(chǎn)品系列，它結(jié)合業(yè)界領(lǐng)先的易用性和最高的冗余性，里程碑地提升了堆疊式交換機(jī)在局域網(wǎng)中的工作效率。這代表了堆疊式交換機(jī)新的工業(yè)技術(shù)水平和標(biāo)準(zhǔn)。此外，Cisco Catalyst 3750 系列針對(duì)高密度千兆位以太網(wǎng)部署進(jìn)行了專門(mén)的優(yōu)化，其中包含多種可以滿足接入、匯聚或者小型網(wǎng)絡(luò)骨干網(wǎng)連接需求的交換機(jī)。SMI 功能集包括先進(jìn)的服務(wù)質(zhì)量（QoS）、速率限制、訪問(wèn)控制列表（ACL）和基本的靜態(tài)和路由信息協(xié)議（RIP）路由功能。思科StackWise 技術(shù)是一種針對(duì)千兆位以太網(wǎng)優(yōu)化的、先進(jìn)的堆疊架構(gòu)。利用特殊的堆疊互聯(lián)電纜和堆疊軟件，思科StackWise 技術(shù)最多可以將9 臺(tái)單獨(dú)的Cisco Catalyst 3750 交換機(jī)連接到一個(gè)統(tǒng)一的邏輯單元中。主交換機(jī)可以自動(dòng)地創(chuàng)建和升級(jí)所有的交換信息和可選的路由表。 Cisco Catalyst 2960 系列集成交換機(jī) Cisco