【正文】 析 公司背景 華城網(wǎng)絡(luò)有限公司是一家有 100 名員工的中小型網(wǎng)絡(luò)公司，主要以手機應(yīng)用開發(fā)為主營項目的軟件企業(yè)。公司對網(wǎng)絡(luò)的依賴性很強，主要業(yè)務(wù)都要涉及互聯(lián)網(wǎng)以及內(nèi)部網(wǎng)絡(luò)。 公司網(wǎng)絡(luò)安全需求 華城網(wǎng)絡(luò)有限公司根據(jù)業(yè)務(wù)發(fā)展需求，建設(shè)一個小型的企業(yè)網(wǎng)，有 Web、 Mail 等服務(wù)器和辦公區(qū)客戶機。同時由于考慮到 Inteer 的安全性，以及網(wǎng)絡(luò)安全等一些因素，如 DDoS、 ARP 等。 需求分析 通過了解華城網(wǎng)絡(luò)公司的需求與現(xiàn)狀，為實現(xiàn)華城網(wǎng)絡(luò)公司的網(wǎng)絡(luò)安全建設(shè)實施網(wǎng)絡(luò)系統(tǒng)改造，提高企業(yè)網(wǎng)絡(luò)系統(tǒng)運行的穩(wěn)定性，保證企業(yè)各種設(shè)計信息的安全性，避免圖紙、文檔的丟失和外泄。通過網(wǎng)絡(luò)的改造，使管理者更加便于對網(wǎng)絡(luò)中的服務(wù)器、客戶端、登陸用戶的權(quán)限以及應(yīng)用軟件的安裝進行全面的監(jiān)控和管理。 圖 由于華城網(wǎng)絡(luò)公司 是直接從電信接入 IP 為 ，直接經(jīng)由防火墻分為 DMZ 區(qū)域和普通區(qū)域。防火墻接客戶區(qū)端口地址為 。防火墻 DMZ 區(qū)的接口地址為 。 重慶信息技術(shù)職業(yè)學(xué)院畢業(yè)設(shè)計 第 6 頁 第 3 章 華城公司網(wǎng)絡(luò)安全的設(shè)計 華城公司網(wǎng)絡(luò)功能設(shè)計 （ 1） 資源共享功能。 （ 2） 通信服務(wù)功能。 （ 3） 多媒體功能。遠程 VPN撥入訪問功能。 華城公司網(wǎng)絡(luò) 設(shè)計原則 （ 1） 實用性和經(jīng)濟性。 （ 2） 先進性和成熟性。不但能反映當(dāng)今的先進水平，而且具有發(fā)展?jié)摿?，能保證在未來若干年內(nèi)企業(yè)網(wǎng)絡(luò)仍占領(lǐng)先地位。在考慮技術(shù)先進性和開放性的同時，還應(yīng)從系統(tǒng)結(jié)構(gòu)、技術(shù)措施、設(shè)備性能、系統(tǒng)管理、廠商技術(shù)支持及維修能力等方面著手，確保系統(tǒng)運行的可靠性和穩(wěn)定性，達到最大的平均無故障時間， TPLINK 網(wǎng)絡(luò)作為國內(nèi)知名品牌，網(wǎng)絡(luò)領(lǐng)導(dǎo)廠商，其產(chǎn)品的可靠 性和穩(wěn)定性是一流的。在系統(tǒng)設(shè)計中，既考慮信息資源的充分共享，更要注意信息的保護和隔離，因此系統(tǒng)應(yīng)分別針對不同的應(yīng)用和不同的網(wǎng)絡(luò)通信環(huán)境，采取不同的措施，包括系統(tǒng)安全機制、數(shù)據(jù)存取的權(quán)限控制等， TPLINK 網(wǎng)絡(luò)充分考慮安全性，針對小型企業(yè)的各種應(yīng)用，有多種的保護機制，如劃分 VLAN、 MAC 地址綁定、 、 等。為了適應(yīng)系統(tǒng)變化的要求，必須充分考慮以最簡便的方法、最低的投資，實現(xiàn)系統(tǒng)的擴展和維護，采用可網(wǎng)管產(chǎn)品，降低了人力資源的費用，提 高網(wǎng)絡(luò)的易用性。 （ 2） 電力供應(yīng) 機房供電應(yīng)與其他市電供電分開；應(yīng)設(shè)置穩(wěn)壓器和過電壓防護設(shè)備；應(yīng)提供短期的備用電力供應(yīng)（如 UPS 設(shè)備）；應(yīng)建立備用供電系統(tǒng)（如備用發(fā)電機），以備常用供 電系統(tǒng)停電時啟用。 公司內(nèi)部網(wǎng)的設(shè)計 內(nèi)部辦公自動化網(wǎng)絡(luò)根 據(jù)不同用戶安全級別或者根據(jù)不同部門的安全需求，利用三層交換機來劃分虛擬子網(wǎng)（ VLAN），在沒有配置路的情況下，不同虛擬子網(wǎng)間是不能夠互相訪問。 vlan 的劃分和地址的分配 經(jīng)理辦子網(wǎng) (vlan2): 子網(wǎng)掩碼 : 網(wǎng)關(guān)： 生產(chǎn)子網(wǎng) (vlan3)： 子網(wǎng)掩碼 : 網(wǎng)關(guān)： 市場子網(wǎng) (vlan4)： 子網(wǎng)掩碼 : 網(wǎng)關(guān)： 財務(wù)子網(wǎng) (vlan5)： 子網(wǎng)掩碼 : 網(wǎng)關(guān)： 資源子網(wǎng) (vlan6): 子網(wǎng)掩碼 : 網(wǎng)關(guān)： 訪問權(quán)限控制策略 （ 1） 經(jīng)理辦 VLAN2 可以訪問其余所有 VLAN。 （ 3） 市場 VLAN生產(chǎn) VLAN資源 VLAN6 都不能訪問經(jīng)理辦 VLAN財務(wù) VLAN5。 通信保密 數(shù)據(jù)的機密性與完整性，主要是為了保護在網(wǎng)上傳送的涉及企業(yè)秘密的信息，經(jīng)過配備加密設(shè)備，使得在網(wǎng)上傳送 的數(shù)據(jù)是密文形式，而不是明文。 圖 鏈路加密機由于是在鏈路級，加密機制是采用點對點的 加密、解密。通過兩端加密機的協(xié)商配合實現(xiàn)加密、解密過程。如果采用多種鏈路加密設(shè)備的設(shè)計方案則增加了系統(tǒng)投資費用，同時為系統(tǒng)維護、升級、擴展也帶來了相應(yīng)困難。根據(jù)具體策略，來保護內(nèi)部敏感信息和企業(yè)秘密的機密性、真實性 及完整性 [3]。而 VPN 設(shè)備正是一種符合 IPsec 標(biāo)準(zhǔn)的 IP 協(xié)議加密設(shè)備。經(jīng)過對 VPN 的配置，可以讓網(wǎng)絡(luò)內(nèi)的某些主機通過加密隧道，讓另一些主機仍以明文方式傳輸，以達到安全、傳輸效率的最佳平衡。設(shè)備配置見下圖。如圖 所示。對政府行業(yè)網(wǎng)絡(luò)系統(tǒng)這樣一種大型的網(wǎng)絡(luò)， VPN 設(shè)備可以使網(wǎng)絡(luò)在升級提速時具有很好的擴展性。 病毒防護 由于在網(wǎng)絡(luò)環(huán)境下，計算機病毒有不可估量的威脅性和破壞力。因此計算機病毒的防范也是網(wǎng)絡(luò)安全建設(shè)中應(yīng)該考濾的重要的環(huán)節(jié)之一。這類技術(shù)有，加密可執(zhí)行程序、引導(dǎo)區(qū)保護、系統(tǒng)監(jiān)控與讀寫控制（如防病毒卡等）。 （ 3） 殺毒技術(shù) 殺毒技術(shù)通過對計算機病毒代碼的分析，開發(fā)出具有刪除病毒程序并恢復(fù)原文件的軟件。一旦發(fā)現(xiàn)與病毒代碼庫中相匹配的 病毒代碼，反病毒程序會采取相應(yīng)處理措施（清除、更名或刪除），防止病毒進入網(wǎng)絡(luò)進行傳播擴散。簡言之，就是針對應(yīng)用程序或工具在使用過程中可能出現(xiàn)計算、傳輸數(shù)據(jù)的泄露和失竊，通過其他安全工具或策略來消除隱患。在內(nèi)部子網(wǎng)中一般不要輕易開放共享目錄，否則較容易因為疏忽而在與員工間交換信息時泄漏重要信息。雖然說用戶名加口令的機制不是很安全，但對一般用戶而言，還是起到一定的安全防護，即使有刻意破解者，只要口令設(shè)得復(fù)雜些，也得花費相當(dāng)長的時間。對數(shù)據(jù)庫服務(wù)器中的數(shù)據(jù)庫必須做安全備份。 配備防火墻 防火墻是實現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟、最有效的安全措施之一。并且防火墻可以實現(xiàn)單向或雙向控制，對一些高層協(xié)議實現(xiàn)較細粒的訪問控制。 由于采用防火墻、 VPN 技術(shù)融為一體的安全設(shè)備，并采取網(wǎng)絡(luò)化的統(tǒng)一管理，因此具有以下幾個方面的優(yōu)點： （ 1） 管理、維護簡單、方便 。 （ 3） 硬件成本和維護成本低 。 重慶信息技術(shù)職業(yè)學(xué)院畢業(yè)設(shè)計 第 11 頁 第 4 章 華城公司網(wǎng)絡(luò)安全方案的實現(xiàn) 公司網(wǎng)絡(luò)企業(yè)物理安全 華城公司網(wǎng)絡(luò)中保護網(wǎng)絡(luò)設(shè)備的物理安全是其整個計算機網(wǎng)絡(luò)系統(tǒng)安全的前提，物理安全是指保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故、人為操作失誤或各種計算機犯罪行為導(dǎo)致的破壞。物理安全在整個計算機網(wǎng)絡(luò)信息系統(tǒng)安全中占有重要地位。要從一下三個方面考慮： 、物理損壞和設(shè)備故障 、乘機而入、痕跡泄漏等 、意外疏漏等 （ 2） 選用合適的傳輸介質(zhì) 屏蔽式雙絞線的抗干擾能力更強，且要求必須配有支持屏蔽功能的連接器件和要求介質(zhì)有良好的接地（最好多處接 地），對于干擾嚴重的區(qū)域應(yīng)使用屏蔽式雙絞線，并將其放在金屬管內(nèi)以增強抗干擾能力。與雙絞線或同軸電纜不同的是光纖不輻射能量，能夠有效地阻止竊聽。機房的供配電系統(tǒng)設(shè)計既要滿足設(shè)備自身運轉(zhuǎn)的要求，又要滿足網(wǎng)絡(luò)應(yīng)用的要求，必須做到保證網(wǎng)絡(luò)系統(tǒng)運行的可靠性，保證設(shè)備的設(shè)計壽命保證信息安全保證機房人員的工作環(huán) 境。 S1 configure terminal S1(config)vlan 2 S1(configvlan)name vlan2 S1(configvlan)exit S1(config)vlan 3 S1(configvlan)name vlan3 S1(configvlan)exit 1(config)vlan 4 S1(configvlan)name vlan4 S1(co