【正文】 作站地址 010 互聯(lián)類 交換機(jī)，路由器等設(shè)備之間 互相連接用 011 應(yīng)用類 1 集團(tuán) OA 類用 111 因特網(wǎng)類 集團(tuán)的因特網(wǎng)連接，因特網(wǎng)應(yīng)用。如圖： 07 811 1213 1417 1821 2231 集團(tuán)標(biāo)識(shí) 子公司標(biāo)識(shí) 預(yù)留 應(yīng)用類 1 VLAN 標(biāo)識(shí) 用戶地址空間 IP 地址分配表： 根據(jù)以上的規(guī)定，具體的地址分 配表如下圖： 第 28 頁(yè) 共 90 頁(yè) 機(jī)構(gòu) 地址空間 用途 /21 總部應(yīng)用類 1 微機(jī)室工作人員 地址空間 子公司 1 子公司 1 的應(yīng)用類 1 后勤部工作人員 全部地址空間 子公司 2 ..子公司 3 第 29 頁(yè) 共 90 頁(yè) 子公司 4 北京分 公司（ 5） 上海分 公司（ 6） 第 30 頁(yè) 共 90 頁(yè) ./21 子公司 6 的應(yīng)用類 1 財(cái)務(wù)部工作人員 全部地址空間 ./21 子公司 6 的應(yīng)用類 1 行政部工作人員 全部地址空間 ./21 子公司 6 的應(yīng)用類 1 研發(fā)部工作人員 全部地址空間 ./21 子公司 6 的應(yīng)用類 1 后勤部工作人員 全部地址空間 ./21 子公司 6 的應(yīng)用類 1 人力資源部工作人員 全部地址空間 ./21 子公司 6 的應(yīng)用類 1 業(yè)務(wù)部工作人員 全部地址空間 其中，在項(xiàng)目實(shí)施的時(shí)候，接入層交換機(jī)的 IP 地址建議使用網(wǎng)管類地址空間 10.*.，多層交換機(jī)的 IP 地址的 LOOPBACK 接口的 IP 地址建議使用網(wǎng)管類地址 10.*.35.*/32；所有匯聚層設(shè)備互聯(lián)IP 地址使建議使用互聯(lián)類空間 ，相互備份的 2 臺(tái)匯聚層設(shè)備的 IP 地址建議使用互聯(lián)類地址空間10.*.。 ⑷ 生成樹(shù)（ STP/RSTP/MSTP） Cisco6509 系列以太網(wǎng)交換機(jī)支持 STP/RSTP/MSTP 生成樹(shù)協(xié)議。 生成樹(shù)協(xié)議的工作原理：網(wǎng)絡(luò)中的橋接設(shè)備根據(jù)設(shè)定的優(yōu)先值第 31 頁(yè) 共 90 頁(yè) 和 MAC 地址，確定最優(yōu)先的設(shè)備為網(wǎng)絡(luò)的根橋，根橋向外定時(shí)發(fā)送 Config BPDU 報(bào)文，每個(gè)收到該報(bào)文的 交換機(jī)將報(bào)文內(nèi)容根據(jù)自身的配置和所掌握的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)進(jìn)行更新下發(fā)到其他端口，當(dāng)一個(gè)交換機(jī)從兩個(gè)或兩個(gè)以上端口接收到 Config BPDU 的時(shí)候就表明網(wǎng)絡(luò)中存在循環(huán)，保留其中一個(gè)端口為轉(zhuǎn)發(fā)狀態(tài)，設(shè)置其余端口為阻塞狀態(tài)?？焖偕蓸?shù)協(xié)議是生成樹(shù)協(xié)議的改進(jìn)，在原有功能的基礎(chǔ)上提高了網(wǎng)絡(luò)保護(hù)的性能。 多生成樹(shù)協(xié)議（ MSTP）可以通過(guò)支持一個(gè)網(wǎng)絡(luò)內(nèi)的多個(gè)生成樹(shù)，這使管理員可以把 VLAN 流量分配給唯一的通路。這就可以起到均衡網(wǎng)絡(luò)流量，提高可靠性的作用。 ⑸ 鏈路聚合（ Link Aggregation ） 為了在以太網(wǎng)上 獲得更高的數(shù)據(jù)傳輸帶寬， Cisco6509 系列以太網(wǎng)交換機(jī)提供了二層的端口鏈路聚合功能（基于標(biāo)準(zhǔn) IEEE 第 32 頁(yè) 共 90 頁(yè) ）。在作了鏈路聚合的端口之間可以做冗余備份和負(fù)載分擔(dān)。即使是多播和廣播報(bào)文也不會(huì)被復(fù)制多份，也要通過(guò)對(duì)地址的邏輯計(jì)算，將流量平衡分配到不同的端口上。如果新地址是在聚合的端口上時(shí)，根據(jù)二層和三層的不同，使用 MAC 地址或 IP 地址進(jìn)行邏輯計(jì)算，根據(jù)邏輯的結(jié)果選擇相應(yīng)端口為轉(zhuǎn)發(fā)端口，發(fā)往該目的地址的幀將按照計(jì)算負(fù)載均衡后的結(jié)果進(jìn)行轉(zhuǎn)發(fā)，實(shí)現(xiàn)端口之間負(fù)載均衡和冗余保護(hù)，保證數(shù)據(jù)流不出現(xiàn)亂序現(xiàn)象。 HSRP 向主機(jī)提供了缺省網(wǎng)關(guān)的冗余性，減少了主機(jī)維護(hù)路由表的任務(wù)。通過(guò)使用熱備份路由份協(xié)議（ HSRP），可使網(wǎng)絡(luò)對(duì)最終用戶的可用性得到充分的保證。 第 33 頁(yè) 共 90 頁(yè) 旭日集團(tuán)園區(qū)網(wǎng)的 IP 地址規(guī)范中規(guī)定：網(wǎng)關(guān)的地址統(tǒng)一使用子網(wǎng)的最后一個(gè)可用地址。 在成對(duì)的兩臺(tái)匯聚層多層交換機(jī)上，具體的 HSRP 配置規(guī)范如下： 1． 接口的 IP地址：在第一臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第三個(gè)可用地址，在第二臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第二個(gè)可用地址。 3．熱備份地址：熱備份地址是子網(wǎng)的最后一個(gè)可用地址。并且主用的匯聚層交換機(jī)配置占先權(quán)。等價(jià)路由即為到達(dá)同一個(gè)目 的 IP 或者目的網(wǎng)段存在多條 Cost 值相等的不同路由路徑，當(dāng)設(shè)備支持等價(jià)路由時(shí)，發(fā)往該目的 IP 或者目的網(wǎng)段的三層轉(zhuǎn)發(fā)流量就可以通過(guò)不同的路徑分擔(dān)，實(shí)現(xiàn)網(wǎng)絡(luò)的負(fù)載均衡，并在其中某些路徑出現(xiàn)故障時(shí)，由其它路徑代替完成轉(zhuǎn)發(fā)處理，實(shí)現(xiàn)路由冗余備份功能。以前部分路由交換機(jī)雖然也宣稱支持等價(jià)路由，但實(shí)際上只是從軟件上支持，對(duì)軟件轉(zhuǎn)發(fā)的報(bào)文可以使用等價(jià)路由，但對(duì)于由硬件直接轉(zhuǎn)發(fā)的報(bào)文，則只能從一條固定路徑轉(zhuǎn) 發(fā)。 Cisco6509 系列以太網(wǎng)路由交換機(jī)最大支持 4 條等價(jià)路由，并且不論 RIP、 OSPF 等路由協(xié)議產(chǎn)生的路由，還是靜態(tài)配置路由，不論是網(wǎng)段路由還是主機(jī)路由，甚至缺省路由，都可以支持等價(jià)路由。通過(guò)數(shù)據(jù)流的目的 IP 地址和源 IP 地址進(jìn)行計(jì)算， Cisco6509 系列以太網(wǎng)路 由交換機(jī)可以保證同一個(gè) IP 轉(zhuǎn)發(fā)流都從同一個(gè)路由路徑被轉(zhuǎn)發(fā)出去，從而保證了整個(gè)端到端網(wǎng)絡(luò)的路由報(bào)文轉(zhuǎn)發(fā)的有序性，避免了 TCP 全局同步等問(wèn)題的發(fā)生。策略路由（ PolicyBased Routing，簡(jiǎn)稱 PBR）是目前越來(lái)越多的路由器或三層交換機(jī)設(shè)備正在支持的一項(xiàng)路由擴(kuò)展功能，支持策略路由的設(shè)備不僅能以報(bào)文的目的 IP 地址為依據(jù)來(lái)進(jìn)行路由選擇，還可以以報(bào)文的源 IP地址、源 MAC 地址、報(bào)文大小、報(bào)文進(jìn)入的端口、報(bào)文 類型、報(bào)文的 VLAN 屬性等等其它擴(kuò)展條件來(lái)選擇路由。策略路由是設(shè)置在接收?qǐng)?bào)文接口而不是發(fā)送接口。 ⑼ VPN Cisco6509 系列以太網(wǎng)路由交換機(jī)支持 VPN,VPN（虛擬專網(wǎng)）是利用公共網(wǎng)絡(luò)資源 (如公用 電信網(wǎng) )為客戶組建專用網(wǎng)的一種技術(shù)，它通過(guò)對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行封包和加密傳輸，在公網(wǎng)上傳輸私有數(shù)據(jù)，達(dá)到私有網(wǎng)絡(luò)的安全級(jí)別，從而利用公網(wǎng)構(gòu)筑專網(wǎng)（即 VPN）。 網(wǎng)絡(luò)安全設(shè)計(jì) 旭日集團(tuán)園區(qū)網(wǎng)有 5000 用戶，網(wǎng)絡(luò)規(guī)模比較大，并且和因特網(wǎng)存在連接。 一個(gè)網(wǎng)絡(luò)的安全，首先要有嚴(yán)格和有效執(zhí)行的管理制度。其次，必須具有一定的技術(shù)手段來(lái)保障網(wǎng)絡(luò)的安全。 通過(guò)以下幾個(gè)技術(shù)方面的實(shí)施，可以在一定程度上保障網(wǎng)絡(luò)第 36 頁(yè) 共 90 頁(yè) 的安全： ? 提高設(shè)備的物理安全性 ? 配置設(shè)備的口令 ? 進(jìn)行 VTP 域的認(rèn)證 ? 園區(qū)網(wǎng)用戶的接入控制 ? 應(yīng)用系統(tǒng)的訪問(wèn)控制 ? 因特網(wǎng)的接入安全控制 ⑴ 提高設(shè)備的物理安全性 設(shè)備的物理安全性是指運(yùn)行中的設(shè)備，未經(jīng)授權(quán)的人員不能直接接觸到。通過(guò)將設(shè)備安置在獨(dú)立的設(shè)備間中，并增加門 禁系統(tǒng)，確保只有授權(quán)的管理和維護(hù)人員才能接觸到物理設(shè)備。 要為所有的設(shè)備 設(shè)置口令?？诹罟芾碇贫劝诹畹脑O(shè)置，保管，更改，口令的強(qiáng)度等內(nèi)容。 設(shè)置了口令之后，除非交換 機(jī)設(shè)置了正確的口令，否則。保證了局域網(wǎng)的運(yùn)行安全，可以避免因?yàn)?VLAN 被錯(cuò)誤或者惡意的增加。 ⑷ 園區(qū)用戶的接入控制 因?yàn)橐话愕陌踩胧┒疾皇轻槍?duì)網(wǎng)絡(luò)呢的用戶的，嚴(yán)格控制用戶的接入，可以避免非法用戶接入帶來(lái)的潛在的安全隱患。只有用戶使用申請(qǐng)通過(guò)批準(zhǔn)之后 網(wǎng)絡(luò)管理員才能將端口激活。 ⑹ 因特網(wǎng)的接入安全控制 因特網(wǎng)的接入安全控制是非常重要的，不僅需要布置防火墻等安全設(shè)備，還要指定嚴(yán)格的安全策略。同時(shí)需要建立 WEB 服務(wù)器，用于 在互聯(lián)網(wǎng)上發(fā)布企業(yè)信息。系統(tǒng)建立完成后，要求能滿足企業(yè)個(gè)方面的應(yīng)用需求，包括辦公自動(dòng)化，郵件收發(fā)，信息共享和發(fā)布，員工帳戶管理，系統(tǒng)安全管理等。集團(tuán)總部和各個(gè)分公司應(yīng)是相互獨(dú)立的管理單元，各個(gè)單位在自己公司范圍內(nèi)實(shí)現(xiàn)用戶賬戶及網(wǎng)絡(luò)安全的管理。使管理員在任何一個(gè)位置均能對(duì)服務(wù)器進(jìn)行維護(hù)和管理?？偛抗芾韱T對(duì)集團(tuán)所有系統(tǒng)有管理權(quán)限。 ? 合理的用戶管理：所有的用戶采用統(tǒng)一的命名規(guī)則，每個(gè)單位對(duì)本單位員工帳戶進(jìn)行獨(dú)立的管理，并按不同部門管理賬號(hào)。本方案采用 Windows 系統(tǒng)提供的域模式來(lái)組織和管理全部系統(tǒng)資源，采用域的模式，不僅可以集中存儲(chǔ)網(wǎng)絡(luò)對(duì)象，并且管理簡(jiǎn)單，即實(shí)現(xiàn)了集中管理，又可以滿足不 同公司自身的安全需求。 采用這種結(jié)構(gòu)，可以將網(wǎng)絡(luò)中的全部資源，分散到每個(gè)域的域控制器中存儲(chǔ)，減少了每臺(tái)域控制器的信息存儲(chǔ)，從而減少?gòu)?fù)制流量和網(wǎng)絡(luò)對(duì)象的查詢時(shí)間。即使域中的一臺(tái)域控制器發(fā)生故障，仍然能保障系統(tǒng)的正常運(yùn)行。 操作主機(jī)分配：操作主機(jī)域中扮演著重要的角色，直接影響到域是否能夠正常工作，在 Windows2020 的域中，一共有五種操作主機(jī)，分別是構(gòu)架主機(jī)，域名主機(jī)， RID 主機(jī)， PDC 仿真器，結(jié)構(gòu)主機(jī)。 系統(tǒng)管理設(shè)計(jì) 在系統(tǒng)設(shè)計(jì)時(shí)包括三個(gè)部分，分別是 OU，用戶及組的設(shè)計(jì)，為了更好的滿足集團(tuán)的需要，便于系統(tǒng)管理員方便管理企業(yè)中的所有用戶，系統(tǒng)管理結(jié)構(gòu)與集團(tuán)的管理結(jié)構(gòu)相匹配，方案中采用了如下所述的設(shè)計(jì)。在本方案中按部門劃分 OU 的方法，將每個(gè)公司中以部門為單位創(chuàng)建 OU， 并在部門 OU 中保存該部門的用戶帳戶，計(jì)算機(jī)帳戶及組 采用這種設(shè)計(jì)的方法，可以在系統(tǒng)管理中清楚的體現(xiàn)公司的管理結(jié)構(gòu)，一般情況下，一個(gè)部門內(nèi)部中的用戶常常有相似的安全需求，利用這樣的設(shè)計(jì)方法，也可以方便的將安全策略應(yīng)用到某個(gè)部門。用戶帳戶在所屬的部門的 OU 中創(chuàng)建。在 每個(gè)域中創(chuàng)建全局組，用與組織本域的帳戶，在沒(méi)個(gè)域中創(chuàng)建域本地組，用于完成權(quán)限的指派。 如圖所示： 系統(tǒng)的安全 設(shè)計(jì) 在設(shè)計(jì)方案中，安全的設(shè)計(jì)主要分 2 個(gè)部分，首先是 ISA Server的應(yīng)用，通過(guò) ISA Server 的配置，建立軟件防火墻，保護(hù)集團(tuán)內(nèi)部網(wǎng)絡(luò)不受外部用戶的攻擊，同時(shí)利用 ISA Server 提供的網(wǎng)站 過(guò)濾功能和服務(wù)器發(fā)布功能，對(duì)企業(yè)內(nèi)部用戶的上網(wǎng)行為進(jìn)行規(guī)范，并能保障服務(wù)器的安全使用。防止用戶進(jìn)行非授權(quán)的訪問(wèn)，保護(hù)用戶在工作環(huán)境不受破壞。集團(tuán)中所有的客戶端做為 ISA 的客戶端，所有的互聯(lián)網(wǎng)的訪問(wèn)均通過(guò)ISA 服務(wù)器轉(zhuǎn)發(fā)，這樣，就可以在 ISA 服務(wù)器上對(duì)所有網(wǎng)絡(luò)流 量進(jìn)行監(jiān)控并對(duì)實(shí)現(xiàn)網(wǎng)絡(luò)訪問(wèn)的過(guò)濾。 ? 客戶端：在所有用戶計(jì)算機(jī)上安裝 ISA 客戶端軟件，并配置瀏覽器使用 ISA Server 作為代理服務(wù)器上網(wǎng)。各個(gè)子公司的系統(tǒng)管理員可以獨(dú)立的管理子公司的域，并可以在以后修改和編輯組策略，以適應(yīng)公司未來(lái)的需求。 IIS 經(jīng)過(guò)改善的結(jié)構(gòu)可以完全滿足全球客戶的需求。 IIS 同樣增強(qiáng)了網(wǎng)絡(luò)應(yīng)用的開(kāi)發(fā)與國(guó)際性支持。 特點(diǎn) 描述 可靠性與可伸縮性 IIS 提供了更智能的、更可靠的 Web 服務(wù)器 環(huán) 境 ， 新 的 環(huán) 境 包 括 應(yīng) 用 程 序 健 康 監(jiān) 測(cè) 、 應(yīng)用程序自動(dòng)地循環(huán)利用。 更 安 全 、 易于管理 IIS 在安全與管理方面做出了重大的改進(jìn) 。 另 外 ， 增 強(qiáng) 了 在 安 全 方 面 的 認(rèn) 證 和 授權(quán)。 服務(wù)器合并 IIS 是一個(gè)具有高伸縮性的 Web 服務(wù)器，它為 Web 服務(wù)器的合并提供了新的機(jī)遇。服務(wù)器合并還可以降低企業(yè)與人工、硬件以及站點(diǎn)管理相關(guān)的成本?；?IIS 第 47 頁(yè) 共 90 頁(yè) ， Windows Server 2020 為開(kāi)發(fā)者提供高標(biāo)準(zhǔn) 的 附 加 功 能 ， 包 括 快 速 應(yīng) 用 程 序 開(kāi) 發(fā) 以 及 廣泛 的 語(yǔ) 言 選 擇 ， 同 時(shí) 也 提 供 了 國(guó) 際 化 支 持 和 支持最新的 Web 標(biāo)準(zhǔn)。 I I S 在默認(rèn)情況下處于鎖定狀態(tài)，從而減少了暴露在攻擊者面前的攻擊表面積。 IIS 還提供了更多更強(qiáng)大的管理功能，改善了對(duì) XML 元 數(shù) 據(jù) 庫(kù) （ metabase） 的 管 理 ， 并 且 提供了新的命令行工具。 Web 服務(wù)器更高的可靠性和可用性 IIS 已經(jīng)經(jīng)過(guò)了廣泛的重新設(shè)計(jì)，以提高 Web 服 務(wù)器的可靠性和可用性。 功能特性 描述 容錯(cuò)進(jìn)程架構(gòu) IIS 的容錯(cuò)式進(jìn)程架構(gòu)將 Web 站點(diǎn)和應(yīng)用程序隔離到一個(gè)自包含的單元之中（又稱應(yīng)用程序池）。 健康狀況監(jiān)視 IIS 定期檢查應(yīng)用程序池的狀態(tài)，并自動(dòng)重新啟動(dòng)第 48 頁(yè) 共 90 頁(yè) 應(yīng)用程序池中發(fā)生故障的 Web 站點(diǎn)或應(yīng)用程 序，從而提高了應(yīng)用程序的可用性。 自動(dòng)進(jìn)程回收 IIS 可以根據(jù)一組靈活的標(biāo)準(zhǔn)和條件 ——例如 CPU 利用率和內(nèi)存占用情況，自動(dòng)停止和重新啟動(dòng)發(fā)生故障的 Web 站點(diǎn)和應(yīng)用程序，同時(shí)將請(qǐng)求