【正文】 么辦呢？這就要采用下面的方法來解決。它可以將專用IP地址（）轉(zhuǎn)換為一個(gè)可全局路由的IPv4地址。這種方式既節(jié)約了IP地址，又能同時(shí)滿足多個(gè)用戶的上網(wǎng)需求，它就是組網(wǎng)的首選了。 如下圖圖2和圖3所示。圖1而NAT池則是在外部網(wǎng)絡(luò)中定義了一系列的合法地址，采用動(dòng)態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò)中。圖3 根據(jù)不同的需要，各種NAT方案都會(huì)有利有弊。使用NAT池，可以從未注冊的地址空間中提供被外部訪問的服務(wù)，也可以從內(nèi)部網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)，而不需要重新配置內(nèi)部網(wǎng)絡(luò)中的每臺機(jī)器的IP地址。而靜態(tài)NAT則只能形成一一對應(yīng)的固定映射方式。但是，目前許多帶有NAT功能的路由器有超時(shí)配置功能，可以根據(jù)連接的時(shí)間來進(jìn)行調(diào)配以緩解IP地址缺少所造成的問題。代理服務(wù)器分配 NAT地址轉(zhuǎn)換方式雖然好，但也有其自身的缺陷。代理服務(wù)器與NAT的工作原理不太一樣，它并不只是簡單地做地址轉(zhuǎn)換，而是代理網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)訪問Internet，并把訪問的結(jié)果返回給當(dāng)初提出該請求的用戶，同時(shí)，把訪問的結(jié)果保存在緩存中。除此之外，代理服務(wù)器還具有部分網(wǎng)絡(luò)防火墻的功能：可以對外隱藏網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)，提高網(wǎng)絡(luò)安全性；可以限制某些計(jì)算機(jī)對Internet的訪問；在帶寬較窄的情況下限制Internet流量；可以禁止對某些網(wǎng)站的訪問等。不過，采用代理服務(wù)器的缺點(diǎn)也是有的，那就是還需要額外添置一臺服務(wù)器，另外，代理服務(wù)器的設(shè)置也比較復(fù)雜。二、專用（私有）IP地址的分配方式可全局路由的IP地址的分配方案算是確定了，它既解決了IP地址不足的問題，同時(shí)又提升了Internet訪問速度。首先，要考慮選用哪一段專用IP地址。如果我們根據(jù)網(wǎng)絡(luò)中計(jì)算機(jī)的數(shù)量來決定需采用的IP地址，這個(gè)方案肯定是行不通的。其實(shí)網(wǎng)絡(luò)的劃分并不是很復(fù)雜，只要考慮到在可預(yù)見的將來的網(wǎng)絡(luò)情況就可以了，同時(shí)要注重它的通用性及其穩(wěn)定性。假如企業(yè)的服務(wù)器操作系統(tǒng)采用的是Windows NT/2000/2003 Server系統(tǒng)， 客戶器采用Windows 98/me/2000/XP系統(tǒng)；Windows為TCP/IP客戶端提供了3種配置IP地址的方法，用于滿足Windows用戶對網(wǎng)絡(luò)的不同需求。手工分配手工設(shè)置IP地址也是經(jīng)常使用的一種分配方式。所以，在通常情況下，被用于設(shè)置網(wǎng)絡(luò)服務(wù)器、計(jì)算機(jī)數(shù)量較少的小型網(wǎng)絡(luò)（比如幾臺到十幾臺的小型網(wǎng)絡(luò)），或者用于分配數(shù)量較少公用IP地址。因此，既可以據(jù)此訪問網(wǎng)絡(luò)內(nèi)的某臺計(jì)算機(jī)，也可以據(jù)此判斷計(jì)算機(jī)是否已經(jīng)開機(jī)并接入網(wǎng)絡(luò)。 在Windows 98/me/2000/XP系統(tǒng)下，手工設(shè)置一臺計(jì)算機(jī)的IP地址。 DHCP分配 為了使TCP/IP協(xié)議更加易于管理，微軟和幾家廠商共同建立了一個(gè)Internet標(biāo)準(zhǔn)動(dòng)態(tài)主機(jī)配置協(xié)議（Dynamic Host configuration Protocol，DHCP），由它提供自動(dòng)的TCP/IP配置。網(wǎng)絡(luò)中的計(jì)算機(jī)可以通過DHCP服務(wù)器自動(dòng)獲取IP地址信息。DHCP是Windows默認(rèn)采用的地址分配方式。我們所要做的就是維護(hù)好一臺DHCP服務(wù)器即可。默認(rèn)情況下，運(yùn)行Windows 98/Me/2000/XP的計(jì)算機(jī)首先嘗試與網(wǎng)絡(luò)中的DHCP服務(wù)器進(jìn)行聯(lián)系，以便從DHCP服務(wù)器上獲得自己的IP地址等信息，并對TCP/IP協(xié)議進(jìn)行配置。使用APIPA時(shí)，并以此配置建立網(wǎng)絡(luò)連接，直到找到DHCP服務(wù)器為止。因此，APIPA僅用于不連接到Internet的單網(wǎng)段的網(wǎng)絡(luò)，如小型公司、家庭、辦公室等。如果網(wǎng)絡(luò)需要與其他的私有網(wǎng)通訊，或者需接入Internet時(shí)，就不能使用APIPA這種分配方式了。 接口：interface fastethernet0/1ip address duplex autospeed autoip nat inside no shutdown interface fastethernet0/2ip address duplex autospeed autoip nat outsideno shutdown路由：ip route 過載：ip nat inside source list 110 interface FastEthernet0/2 overloadaccesslist 110 permit ip any switch和VLANVTP：VTP Version: 2Configuration Revision: 7Maximum VLANs supported locally : 1005Number of existing VLANs: 9VTP Operating Mode: ServerVTP Domain Name: OAVTP Pruning Mode: DisabledVTP V2 Mode: EnabledVTP Traps Generation: EnabledVLAN：coreswvlan database 進(jìn)入vlan配置模式coresw(vlan)vtp domain OA 設(shè)置vtp管理域名稱OAcoresw(vlan)vtp server 設(shè)置交換機(jī)為服務(wù)器模式coresw(vlan)vlan 10 name shichang 創(chuàng)建VLAN 10，為市場部coresw(vlan)vlan 11 name caiwu 創(chuàng)建VLAN 10，為財(cái)務(wù)部coresw(vlan)vlan 12 name sheji 創(chuàng)建VLAN 12，為設(shè)計(jì)部coresw(vlan)vlan 13 name netprinter 創(chuàng)建VLAN 13，為網(wǎng)絡(luò)打印機(jī)coresw(vlan)vlan 20 name server 創(chuàng)建VLAN 20，為服務(wù)器組coresw(config)interface vlan 10coresw(configif)ip address coresw(config)interface vlan 11coresw(configif)ip address coresw(config)interface vlan 12coresw(configif)ip address coresw(config)interface vlan 13coresw(configif)ip address coresw(config)interface vlan 20coresw(configif)ip address 將接入層SW上的端口根據(jù)需要?jiǎng)澐种粮鱾€(gè)VLAN 配置ACL 應(yīng)用在各個(gè)部門VLAN接口上，控制各部門互訪accesslist 10 permit accesslist 10 permit accesslist 10 deny accesslist 10 permit any 進(jìn)入vlan 10ip accessgroup 10 out把訪問控制列表10 應(yīng)用于VLAN 10 OUT方向上，市場部內(nèi)部可以互訪，可以訪問服務(wù)器網(wǎng)段和網(wǎng)絡(luò)打印機(jī)網(wǎng)段，但不能訪問財(cái)務(wù)部和設(shè)計(jì)部所在網(wǎng)段。設(shè)計(jì)部VLAN 12 ，網(wǎng)絡(luò)打印機(jī) VLAN 13，服務(wù)器 VLAN 20 可以訪問任意網(wǎng)段，應(yīng)用訪問控制列表accesslist 110 在in的方向上，封掉常見病毒端口。用IIS架設(shè)（IIS只適用于Window NT/2000/XP操作系統(tǒng)）。進(jìn)入控制面板，找到“添加／刪除程序”，打開后選擇“添加／刪除Window組件”，在彈出的“Window組件向?qū)А贝翱谥校瑢ⅰ癐nternet信息服務(wù)（IIS）”項(xiàng)選中。再點(diǎn)擊右下角的“詳細(xì)信息”，在彈出的“Internet信息服務(wù)（IIS）”窗口中，找到“文件傳輸協(xié)議（FTP）服務(wù)”，選中后確定即可。Window NT／2000和Window XP的安裝方法相同。點(diǎn)擊“開始→所有程序→管理工具→Internet信息服務(wù)”，進(jìn)入“Internet信息服務(wù)”窗口后，找到“默認(rèn)FTP站點(diǎn)”，右擊鼠標(biāo)，在彈出的右鍵菜單中選擇“屬性”。 FTP站點(diǎn)基本信息：進(jìn)入“FTP站點(diǎn)”選項(xiàng)卡，其中的“描述”選項(xiàng)為該FTP站點(diǎn)的名稱，用來稱呼你的服務(wù)器，這里設(shè)置名稱為 “業(yè)務(wù)主機(jī)”；“IP地址”為服務(wù)器的IP，；“TCP端口”一般仍設(shè)為默認(rèn)的21端口；“連接”選項(xiàng)用來設(shè)置允許同時(shí)連接服務(wù)器的用戶最大連接數(shù)；“連接超時(shí)”用來設(shè)置一個(gè)等待時(shí)間，如果連接到服務(wù)器的用戶在線的時(shí)間超過等待時(shí)間而沒有任何操作，服務(wù)器就會(huì)自動(dòng)斷開與該用戶的連接。不同用戶可使用相同的賬戶訪問站點(diǎn)，同一個(gè)站點(diǎn)可設(shè)置多個(gè)賬戶，每個(gè)賬戶可擁有不同的權(quán)限，如有的可以上傳和下載，而有的則只允許下載?！皟H允許匿名連接”是用來防止用戶使用有管理權(quán)限的賬戶進(jìn)行訪問，選中后，即使是Administrator（管理員）賬號也不能登錄，F(xiàn)TP只能通過服務(wù)器進(jìn)行“本地訪問”來管理。ＩＩＳ與其他專業(yè)的業(yè)務(wù)主機(jī)軟件不同，它基于Window用戶賬號進(jìn)行賬戶管理，本身并不能隨意設(shè)定業(yè)務(wù)主機(jī)允許訪問的賬戶，要添加或刪除允許訪問的賬戶，必須先在操作系統(tǒng)自帶的“管理工具”中的“計(jì)算機(jī)管理”中去設(shè)置Window用戶賬號，然后再通過“安全賬戶”選項(xiàng)卡中的“FTP站點(diǎn)操作員”選項(xiàng)添加或刪除。：最后設(shè)置FTP主目錄（即用戶登錄FTP后的初始位置），進(jìn)入“主目錄”選項(xiàng)卡，在“本地路徑”中選擇好FTP站點(diǎn)的根目錄，并設(shè)置該目錄的讀取、寫入、目錄訪問權(quán)限。第一章、 網(wǎng)絡(luò)布局和布線(一) 實(shí)用性企業(yè)組建的局域網(wǎng)應(yīng)當(dāng)根據(jù)機(jī)房的大小、設(shè)備的多少來具體實(shí)施，根據(jù)網(wǎng)絡(luò)布線的特點(diǎn)來發(fā)揮網(wǎng)絡(luò)布局實(shí)用性是非常重要的。(三) 便于維護(hù)與升級網(wǎng)絡(luò)的組網(wǎng)不是一成不變的，隨著IT企業(yè)業(yè)務(wù)的不斷發(fā)展的需求，原先組建的局域網(wǎng)就需要不斷地完善和擴(kuò)充；在日常的網(wǎng)絡(luò)運(yùn)行維護(hù)中，規(guī)劃網(wǎng)絡(luò)布局時(shí)就應(yīng)該考慮到便于以后網(wǎng)絡(luò)的維護(hù)與升級操作。如果企業(yè)的接入點(diǎn)較多，我們可以采取接入層、匯聚層、交換層三個(gè)網(wǎng)絡(luò)層次的設(shè)計(jì)，在此基礎(chǔ)上進(jìn)行布線系統(tǒng)。匯聚層是整個(gè)局域網(wǎng)的核心部分，匯聚層網(wǎng)絡(luò)設(shè)備一般支持網(wǎng)絡(luò)管理功能，方便我們的管理和維護(hù)，方便以后我們的網(wǎng)絡(luò)升級和改造。隨著百兆網(wǎng)絡(luò)設(shè)備的普及，我們交換層的網(wǎng)絡(luò)設(shè)備，肯定首選百兆。在布線時(shí)，最好使用專門的通道，而且不要與電源線，空調(diào)線等具有輻射的線路混合布線。匯聚層與交換層之間的雙絞線，由于是網(wǎng)絡(luò)數(shù)據(jù)傳輸量最大的一個(gè)層次，同樣采用超五類屏蔽雙絞線。網(wǎng)絡(luò)設(shè)備的放置，最好放在節(jié)點(diǎn)的中央位置，這樣做，不是為了節(jié)約綜合布線的成本，而是為了提高網(wǎng)絡(luò)的整體性能，提高網(wǎng)絡(luò)傳輸質(zhì)量。在做網(wǎng)絡(luò)布線時(shí)，最好能夠設(shè)計(jì)一個(gè)設(shè)備間，放置網(wǎng)絡(luò)設(shè)備。機(jī)房的設(shè)計(jì)具備以下幾點(diǎn)：防靜電；防火；防盜；防雷；保濕、保溫目前的網(wǎng)絡(luò)設(shè)備大都采用機(jī)架式的結(jié)構(gòu)（多為扁平式，活像個(gè)抽屜），如交換機(jī)、路由器、硬件防火墻等。這樣做的好處非常明顯：一方面可以使設(shè)備占用最小的空間，另一方面則便于與其它網(wǎng)絡(luò)設(shè)備的連接和管理，同時(shí)機(jī)房內(nèi)也會(huì)顯得整潔、美觀。機(jī)柜的尺寸也是采用通用的工業(yè)標(biāo)準(zhǔn)，通常從22U到42U不等；機(jī)柜內(nèi)按U的高度有可拆卸的滑動(dòng)拖架，用戶可以根據(jù)自己服務(wù)器的標(biāo)高靈活調(diào)節(jié)高度，以存放服務(wù)器、集線器、磁盤陣列柜等設(shè)備。綜合布線柜一般配有前后可移動(dòng)的安裝立柱，自由設(shè)定安裝空間，可按需要配置隔板、風(fēng)扇、電源插座等附件。每一組跳線都標(biāo)識有棕、藍(lán)、橙、綠的顏色，雙絞線的色線要和這些跳線一一對應(yīng)，這樣做不容易接錯(cuò)。在機(jī)房中，必須放置交換機(jī)、功能服務(wù)器群和網(wǎng)絡(luò)打印設(shè)備，以及局域網(wǎng)絡(luò)連接Internet所需的各種設(shè)備，如路由器、防火墻以及網(wǎng)管工作站等；因此機(jī)房的網(wǎng)絡(luò)布局一般至少有三個(gè)機(jī)柜，綜合布線柜和網(wǎng)絡(luò)機(jī)柜應(yīng)當(dāng)緊連在一起，便于調(diào)線操作，接下來是服務(wù)器機(jī)柜；將網(wǎng)絡(luò)設(shè)備和布線系統(tǒng)進(jìn)行合理的布局。從機(jī)柜內(nèi)部線纜附設(shè)的角度看，機(jī)柜配置密度更高，容納的IT設(shè)備更多，大量采用冗余配件(如冗余電源、存儲(chǔ)陣列等)，機(jī)柜內(nèi)設(shè)備配置頻繁變換，數(shù)據(jù)線和電纜隨時(shí)增減。在機(jī)柜內(nèi)部，線纜的敷設(shè)必須方便、有序，與設(shè)備的線纜接口靠近，以縮短布線距離；減少線纜的空間占用，保證設(shè)備安裝、調(diào)整、維護(hù)過程中，不受到布線的干擾，并保證散熱氣流不會(huì)受到線纜的阻擋；同時(shí)，在故障情況下，能對設(shè)備布線進(jìn)行快速定位。在供電系統(tǒng)中，一般采用在線的UPS供電方式，蓄電池實(shí)際可供使用的容量與蓄電池的放電電流大小、蓄電池的環(huán)境工作溫度、貯存時(shí)間的長短以及負(fù)載的性質(zhì)（電阻性、電感性、電容性）密切相關(guān)。如果機(jī)房空間較大，可以將UPS和空調(diào)都放在機(jī)房里；如果空間較小，可以把UPS（包括蓄電池）放在配電房里。機(jī)柜的擴(kuò)展性表現(xiàn)在機(jī)柜內(nèi)設(shè)備密度的擴(kuò)展和機(jī)柜數(shù)量的擴(kuò)展，因此網(wǎng)絡(luò)布局時(shí)必須將機(jī)柜的配風(fēng)能力（通常稱為散熱能力）以及配電能力考慮在內(nèi)。這些冷風(fēng)被機(jī)柜內(nèi)的IT設(shè)備吸入，從而為設(shè)備內(nèi)的部件（尤其是CPU）降溫。解決機(jī)柜內(nèi)設(shè)備密度擴(kuò)展時(shí)遇到的這種局部熱點(diǎn)問題可以采用調(diào)配IT設(shè)備位置的方式來解決。另外的解決方法是，在機(jī)柜的上部或下部位置安裝軸向水平的強(qiáng)排風(fēng)扇，增強(qiáng)上部或下部的吸入能力（即減小IT設(shè)備的入口靜壓），從而增加配風(fēng)風(fēng)量。當(dāng)機(jī)柜內(nèi)的IT設(shè)備數(shù)量增加時(shí)，這些線纜、連接端子同時(shí)成倍地增加，從而對機(jī)架式電源排插的容量、插口數(shù)量都提出了擴(kuò)展要求。第二章、 局域網(wǎng)安全控制與病毒防治策略安全管理保護(hù)網(wǎng)絡(luò)用戶資源與設(shè)備以及網(wǎng)絡(luò)管理系統(tǒng)本身不被未經(jīng)授權(quán)的用戶訪問。只有解決網(wǎng)絡(luò)內(nèi)部的安全問題，才可以排除網(wǎng)絡(luò)中最大的安全隱患，對于內(nèi)部網(wǎng)絡(luò)終端安全管理主要從終端狀態(tài)、行為、事件三個(gè)方面進(jìn)行防御。入網(wǎng)訪問控制是保證網(wǎng)絡(luò)資源不被非法使用，是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略。它控制哪些用戶能