大型企业局域网安全解决方案第一章总则本方案为某大型局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计等。本安全解决方案的目标是在不影响某大型企业局域网当前业务的前提下，实现对他们局域网全面的安全管理。
1、将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。
2、定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。
3、通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同时具备很好的安全取证措施。
4、使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态，最大限度地减少损失。
5、在工作站、服务器上安装相应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒。
第二章网络系统概况
2、1 网络概况这个企业的局域网是一个信息点较为密集的千兆局域网络系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快
速、方便的信息交流平台。不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过公开服务器，企业可以直接对外发布信息或者发送电子邮件。高速交换技术的采用、灵活的网络互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为网络的安全带来了更大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。
2、1、1 网络概述这个企业的局域网，物理跨度不大，通过千兆交换机在主干网络上提供1000M的独享带宽，通过下级交换机与各部门的工作站和服务器连结，并为之提供100M的独享带宽。利用与中心交换机连结的Cisco 路由器，所有用户可直接访问Internet。
2、1、2 网络结构这个企业的局域网按访问区域可以划分为三个主要的区域：Internet区域、内部网络、公开服务器区域。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网，包括：财务子网、领导子网、办公子网、市场部子网、中心服务器子网等。在安全方案设计中，我们基于安全的重要程度和要保护的对象，可以在Catalyst 型交换机上直接划分四个虚拟局域网（VLAN），即：中心服务器子网、财务子网、领导子网、其他子网。不同的局域网分属不同的广播域，由于财务子网、领导子网、中心服务器子网属于重要网段，因此在中心交换机上将这些网段各自划分为一个独立的广播域，而将其他的工作站划分在一个相同的网段。（图省略）
2、2 网络应用这个企业的局域网可以为用户提供如下主要应用：
1、文件共享、办公自动化、WWW服务、电子邮件服务；
2、文件数据的统一存储；
3、针对特定的应用在数据库服务器上进行二次开发(比如财务系统)；
4、提供与Internet的访问；
5、通过公开服务器对外发布企业信息、发送电子邮件等；
2、3 网络结构的特点在分析这个企业局域网的安全风险时，应考虑到网络的如下几个特点：
1、网络与Internet直接连结，因此在进行安全方案设计时要考虑与Internet连结的有关风险，包括可能通过Internet传播进来病毒，黑客攻击，来自Internet的非授权访问等。。
2、网络中存在公开服务器，由于公开服务器对外必须开放部分业务，因此在进行安全方案设计时应该考虑采用安全服务器网络，避免公开服务器的安全风险扩散到内部。
3、内部网络中存在许多不同的子网，不同的子网有不同的安全性，因此在进行安全方案设计时，应考虑将不同功能和安全级别的网络分割开，这可以通过交换机划分VLAN来实现。
4、网络中有二台应用服务器，在应用程序开发时就应考虑加强用户登录验证，防止非授权的访问。
总而言之，在进行网络方案设计时，应综合考虑到这个企业局域网的特点，根据产品的性能、价格、潜在的安全风险进行综合考虑。
第三章网络系统安全风险分析随着Internet网络急剧扩大和上网用户迅速增加，风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损失；另外加上缺乏安全控制机制和对Internet安全政策的认识不足，这些风险正日益严重。
针对这个企业局域网中存在的安全隐患，在进行安全方案设计时，下述安全风险我们必须要认真考虑，并且要针对面临的风险，采取相应的安全措施。下述风险由多种因素引起，与这个企业局域网结构和系统的应用、局域网内网络服务器的可靠性等因素密切相关。下面列出部分这类风险因素：
网络安全可以从以下三个方面来理解：1 网络物理是否安全；2 网络平台是否安全；3 系统是否安全；4 应用是否安全；5 管理是否安全。针对每一类安全风险，结合这个企业局域网的实际情况，我们将具体的分析网络的安全风险。
3、1物理安全风险分析网络的物理安全的风险是多种多样的。
网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的。
3、2网络平台的安全风险分析网络结构的安全涉及到网络拓扑结构、网络路由状况及网络的环境等。
公开服务器面临的威胁这个企业局域网内公开服务器区（WWW、EMAIL等服务器）作为公司的信息发布平台，一旦不能运行后者受到攻击，对企业的声誉影响巨大。同时公开服务器本身要为外界服务，必须开放相应的服务；每天，黑客都在试图闯入Internet节点，这些节点如果不保持警惕，可能连黑客怎么闯
入的都不知道，甚至会成为黑客入侵其他站点的跳板。因此，规模比较大网络的管理人员对Internet安全事故做出有效反应变得分重要。我们有必要将公开服务器、内部网络与外部网络进行隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其他的请求服务在到达主机之前就应该遭到拒绝。整个网络结构和路由状况安全的应用往往是建立在网络系统之上的。网络系统的成熟与否直接影响安全系统成功的建设。在这个企业局域网络系统中，只使用了一台路由器，用作与 Internet连结的边界路由器，网络结构相对简单，具体配置时可以考虑使用静态路由，这就大大减少了因网络结构和网络路由造成的安全风险。
3、3系统的安全风险分析所谓系统的安全显而易见是指整个局域网网络操作系统、网络硬件平台是否可靠且值得信任。
网络操作系统、网络硬件平台的可靠性：对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其他任何商用UNIX 操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。
3、4应用的安全风险分析应用系统的安全跟具体的应用有关，它涉及很多方面。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。
应用系统的安全动态的、不断变化的：应用的安全涉及面很广，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有几种，但其系统内部的编码甚至编译器导致的BUG是很少有人能够发现的，因此一套详尽的测试软
件是相当必须的。但是应用系统是不断发展且应用类型是不断增加的，其结果是安全漏洞也是不断增加且隐藏越来越深。因此，保证应用系统的安全也是一个随网络发展不断完善的过程。
应用的安全性涉及到信息、数据的安全性：信息的安全性涉及到：机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。由于这个企业局域网跨度不大，绝大部分重要信息都在内部传递，因此信息的机密性和完整性是可以保证的。对于有些特别重要的信息需要对内部进行保密的（比如领导子网、财务系统传递的重要信息）可以考虑在应用级进行加密，针对具体的应用直接在应用系统开发时进行加密。
3、5管理的安全风险分析管理是网络安全中最重要的部分管理是网络中安全最最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。
当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。
3、6黑客攻击黑客们的攻击行动是无时无刻不在进行的，而且会利用系统和管理上的一切可能利用的漏洞。公开服务器存在漏洞的一个典型例证，是黑客可以轻易地骗过公开服务器软件，得到Unix的口令文件并将之送回。黑客侵入UNIX服务器后，有可能修改特权，从普通用户变为高级用户，一旦成功，黑客可以直接进入口令文件。黑客还能开发欺骗程序，将其装入UNIX服务器中，用以监听登录会话。当它发现有用户登录时，便开始存储一个文件，这样黑客就
拥有了他人的帐户和口令。这时为了防止黑客，需要设置公开服务器，使得它不离开自己的空间而进入另外的目录。另外，还应设置组特权，不允许任何使用公开服务器的人访问WWW页面文件以外的东西。在这个企业的局域网内我们可以综合采用防火墙技术、Web页面保护技术、入侵检测技术、安全评估技术来保护网络内的信息资源，防止黑客攻击。
3、7通用网关接口（CGI）漏洞有一类风险涉及通用网关接口（CGI）脚本。许多页面文件和指向其他页面或站点的超连接。然而有些站点用到这些超连接所指站点寻找特定信息。搜索引擎是通过CGI脚本执行的方式实现的。黑客可以修改这些CGI脚本以执行他们的非法任务。通常，这些CGI脚本只能在这些所指WWW服务器中寻找，但如果进行一些修改，他们就可以在WWW服务器之外进行寻找。要防止这类问题发生，应将这些CGI脚本设置为较低级用户特权。提高系统的抗破坏能力，提高服务器备份与恢复能力，提高站点内容的防篡改与自动修复能力。
3、8恶意代码恶意代码不限于病毒，还包括蠕虫、特洛伊木马、逻辑炸弹、和其他未经同意的软件。应该加强对恶意代码的检测。
3、9病毒的攻击计算机病毒一直是计算机安全的主要威胁。能在Internet 上传播的新型病毒，例如通过E-Mail传播的病毒，增加了这种威胁的程度。病毒的种类和传染方式也在增加，国际空间的病毒总数已达上万甚至更多。当然，查看文档、浏览图像或在Web上填表都不用担心病毒感染，然而，下载可执行文件和接收来历不明的E-Mail文件需要特别警惕，否则很容易使系统导致严重的破坏。典型的“CIH”病毒就是一可怕的例子。
3、10不满的内部员工不满的内部员工可能在WWW站点上开些小玩笑，甚至破坏。不论如何，他们最熟悉服务器、小程序、脚本和系统的弱点。对于已经离职的不满员工，可以通过定期改变口令和删除系统记录以减少这类风险。但还有心怀不满的在职员工，这些员工比已经离开的员工能造成更大的损失，例如他们可以传出至关重要的信息、泄露安全重要信息、错误地进入数据库、删除数据等等。
3、11网络的攻击手段一般认为，目前对网络的攻击手段主要表现在：
非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
信息泄漏或丢失：指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括，信息在传输中丢失或泄漏（如 "黑客"们利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对信息流向、流量、通信频度和长度等参数的分析，推出有用信息，如用户口令、帐号等重要信息。），信息在存储介质中丢失或泄漏，通过建立隐蔽隧道等窃取敏感信息等。
破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。
拒绝服务攻击：它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。
利用网络传播病毒：通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。第四章安全需求与安全目标
4、1安全需求分析通过前面我们对这个企业局域网络结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、
重要网段的保护以及管理安全上。因此，我们必须采取相应的安全措施杜绝安全隐患，其中应该做到：
公开服务器的安全保护防止黑客从外部攻击入侵检测与监控信息审计与记录病毒防护数据安全保护数据备份与恢复网络的安全管理针对这个企业局域网络系统的实际情况，在系统考虑如何解决上述安全问题的设计时应满足如下要求：
1、大幅度地提高系统的安全性（重点是可用性和可控性）；
2、保持网络原有的能特点，即对网络的协议和传输具有很好的透明性，能透明接入，无需更改网络设置；
3、易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；
4、尽量不影响原网络拓扑结构，同时便于系统及系统功能的扩展；
5、安全保密系统具有较好的性能价格比，一次性投资，可以长期使用；
6、安全产品具有合法性，及经过国家有关管理部门的认可或认证；
7、分布实施。
4、2网络安全策略安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。该安全策略模型包括了建立安全环境的三个重要组成部分，即：
威严的法律：安全的基石是社会法律、法规、与手段，这部分用于建立一套安全管理标准和方法。即通过建立与信息安全相关的法律、法规，使非法分子慑
于法律，不敢轻举妄动。
先进的技术：先进的安全技术是信息安全的根本保障，用户对自身面临的威胁进行风险评估，决定其需要的安全服务种类，选择相应的安全机制，然后集成先进的安全技术。
严格的管理：各网络使用机构、企业和单位应建立相宜的信息安全管理办法，加强内部管理，建立审计和跟踪体系，提高整体信息安全意识。
4、3系统安全目标基于以上的分析，我们认为这个局域网网络系统安全应该实现以下目标：
建立一套完整可行的网络安全与网络管理策略将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信建立网站各主机和服务器的安全保护措施，保证他们的系统安全对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝加强合法用户的访问认证，同时将用户的访问权限控制在最低限度全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为加强对各种访问的审计工作，详细记录对网络、公开服务器的访问行为，形成完整的系统日志备份与灾难恢复强化系统备份，实现系统快速恢复加强网络安全管理，提高系统全体人员的网络安全意识和防范技术第五章网络安全方案总体设计
5、1安全方案设计原则在对这个企业局域网网络系统安全方案设计、规划时，应遵循以下原则：
综合性、整体性原则：应用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。即计算机网络安全应遵循整体安全性原则，根据规定的安
全策略制定出合理的网络安全体系结构。
需求、风险、代价平衡的原则：对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。
一致性原则：一致性原则主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安全的内容光焕发及措施，实际上，在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施，不但容易，且花费也小得多。
易操作性原则：安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。
分步实施原则：由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络脆弱性也会不断增加。一劳永逸地解决网络安全问题是不现实的。同时由于实施信息安全措施需相当的费用支出。因此分步实施，即可满足网络系统及信息安全的基本需求，亦可节省费用开支。
多重保护原则：任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
可评价性原则：如何预先评价一个安全设计并验证其网络的安全性，这需要通过国家有关网络信息安全测评认证机构的评估来实现。
5、2安全服务、机制与技术安全服务：安全服务主要有：控制服务、对象认证服务、可靠性服务等；安全机制：访问控制机制、认证机制等；安全技术：防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安全的开放环境中，用户可以使用各种安全应用。安全应用由一些安全服务来实现；而安全服务又是由各种安全机制或安全技术来实现的。应当指出，同一安全机制有时也可以用于实现不同的安全服务。
第六章网络安全体系结构通过对网络的全面了解，按照安全策略的要求、风险分析的结果及整个网络的安全目标，整个网络措施应按系统体系建立。具体的安全控制系统由以下几个方面组成：物理安全、网络安全、系统安全、信息安全、应用安全和安全管理
6、1物理安全保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。
它主要包括三个方面：环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国标GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；媒体安全：包括媒体数据的安全及媒体本身的安全。
在网络的安全方面，主要考虑两个大的层次，一是整个网络结构成熟化，主要是优化网络结构，二是整个网络系统的安全。
6、2、1网络结构安全系统是建立在网络系统之上的，网络结构的安全是安全系统成功建立的基础。在整个网络结构的安全方面，主要考虑网络结构、系统和路由的优化。
网络结构的建立要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、网络维护管理、网络应用与业务定位等因素。成熟的网络结构应具有开放性、标准化、可靠性、先进性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营管理的简便性，完善的安全保障体系。网络结构采用分层的体系结构，利于维护管理，利于更高的安全控制和业务发展。
网络结构的优化，在网络拓扑上主要考虑到冗余链路；防火墙的设置和入侵检测的实时监控等。
6、2、2网络系统安全
6、2、2、1 访问控制及内外网的隔离访问控制访问控制可以通过如下几个方面来实现：
1、制订严格的管理制度:可制定的相应：《用户授权实施细则》、《口令字及帐户管理规范》、《权限管理制度》。
2、配备相应的安全设备：在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同网络或网络安全域之间信息的唯一出入口。
防火墙主要的种类是包过滤型，包过滤防火墙一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入网络的信息流。同时可实现网络地址转换（NAT）、审记与实时告警等功能。由于这种防火墙安装在被保护网络与路由器之间的通道上，因此也对被保护网络和外部网络起到隔离作用。
防火墙具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。
6、2、2、2 内部网不同网络安全域的隔离及访问控制在这里，主要利用VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，实现内部一个网段与另一个网段的物理隔离。这样，就能防止影响一个网段的问题穿过整个网络传播。针对某些网络，在某些情况下，它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比
另一个更敏感。通过将信任网段与不信任网段划分在不同的VLAN段内，就可以限制局部网络安全问题对全局网络造成的影响。
6、2、2、3 网络安全检测网络系统的安全性取决于网络系统中最薄弱的环节。如何及时发现网络系统中最薄弱的环节？如何最大限度地保证网络系统的安全？最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞。
网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。检测工具应具备以下功能：具备网络监控、分析和自动响应功能找出经常发生问题的根源所在；建立必要的循环过程确保隐患时刻被纠正；控制各种网络安全危险。
漏洞分析和响应配置分析和响应漏洞形势分析和响应认证和趋势分析具体体现在以下方面：
防火墙得到合理配置内外WEB站点的安全漏洞减为最低网络体系达到强壮的耐攻击性各种服务器操作系统，如E_MIAL服务器、WEB服务器、应用服务器、，将受黑客攻击的可能降为最低对网络访问做出有效响应，保护重要应用系统（如财务系统）数据安全不受黑客攻击和内部人员误操作的侵害
6、2、2、4 审计与监控审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样地使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统地识别问题，并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。
因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行
实时检查、监控、报警和阻断，从而防止针对网络的攻击与犯罪行为。
6、2、2、5 网络防病毒由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，一次计算机病毒的防范是网络安全性建设中重要的一环。
网络反病毒技术包括预防病毒、检测病毒和消毒三种技术：
1、预防病毒技术：它通过自身常驻系统内存，优先获得系统的控制权，监视和判断系统中是否有病毒存在，进而阻止计算机病毒进入计算机系统和对系统进行破坏。这类技术有，加密可执行程序、引导区保护、系统监控与读写控制（如防病毒软件等）。
2、检测病毒技术：它是通过对计算机病毒的特征来进行判断的技术，如自身校验、关键字、文件长度的变化等。
3、清除病毒技术：它通过对计算机病毒的分析，开发出具有删除病毒程序并恢复原文件的软件。
网络反病毒技术的具体实现方法包括对网络服务器中的文件进行频繁地扫描和监测；在工作站上用防病毒芯片和对网络目录及文件设置访问权限等。
所选的防毒软件应该构造全网统一的防病毒体系。主要面向MAIL 、Web服务器，以及办公网段的PC服务器和PC机等。支持对网络、服务器、和工作站的实时病毒监控；能够在中心控制台向多个目标分发新版杀毒软件，并监视多个目标的病毒防治情况；支持多种平台的病毒防范；能够识别广泛的已知和未知病毒，包括宏病毒；支持对Internet/ Intranet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏；支持对电子邮件附件的病毒防治，包括WOR D、EXCEL中的宏病毒；支持对压缩文件的病毒检测；支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，重新命名等；支持病毒隔离，当客户机
试图上载一个染毒文件时，服务器可自动关闭对该工作站的连接；提供对病毒特征信息和检测引擎的定期在线更新服务；支持日志记录功能；支持多种方式的告警功能（声音、图像、电子邮件等）等。
6、2、2、6 网络备份系统备份系统为一个目的而存在：尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。根据系统安全需求可选择的备份机制有：场点内高速度、大容量自动的数据存储、备份与恢复；场点外的数据存储、备份与恢复；对系统设备的备份。备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。
在确定备份的指导思想和备份方案之后，就要选择安全的存储媒介和技术进行数据备份，有“冷备份”和“热备份”两种。热备份是指“在线”的备份，即下载备份的数据还在整个计算机系统和网络中，只不过传到令一个非工作的分区或是另一个非实时处理的业务系统中存放。“冷备份”是指“不在线”的备份，下载的备份存放到安全的存储媒介中，而这种存储媒介与正在运行的整个计算机系统和网络没有直接联系，在系统恢复时重新安装，有一部分原始的数据长期保存并作为查询使用。热备份的优点是投资大，但调用快，使用方便，在系统恢复中需要反复调试时更显优势。热备份的具体做法是：可以在主机系统开辟一块非工作运行空间，专门存放备份数据，即分区备份；另一种方法是，将数据备份到另一个子系统中，通过主机系统与子系统之间的传输，同样具有速度快和调用方便的特点，但投资比较昂贵。冷备份弥补了热备份的一些不足，二者优势互补，相辅相成，因为冷备份在回避风险中还具有便于保管的特殊优点。
6、3系统安全系统的安全主要是指操作系统、应用系统的安全性以及网络硬件平台的可靠性。对于操作系统的安全防范可以采取如下策略：对操作系统进行安全配置，提高系统的安全性；系统内部调用不对Internet 公开；关键性信息不直接公开，尽可能采用安全性高的操作系统。
应用系统在开发时，采用规范化的开发过程，尽可能的减少应用系统的漏洞；网络上的服务器和网络设备尽可能不采取同一家的产品；通过专业的安全工具
（安全检测系统）定期对网络进行安全评估。
6、4信息安全在这个企业的局域网内，信息主要在内部传递，因此信息被窃听、篡改的可能性很小，是比较安全的。
6、5应用安全在应用安全上，主要考虑通信的授权，传输的加密和审计记录。这必须加强登录过程的认证（特别使在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。另外，在加强主机的管理上，除了上面谈的访问控制和系统漏洞检测外，还可以采用访问存取控制，对权限进行分割和管理。应用安全平台要加强资源目录管理和授权管理、传输加密、审计记录和安全管理。对应用安全，主要考虑确定不同服务的应用软件并紧密注视其Bug ；对扫描软件不断升级。
6、6安全管理为了保护网络的安全性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，安全管理规范也是网络安全所必须的。安全管理策略一方面从纯粹的管理上即安全管理规范来实现，另一方面从技术上建立高效的管理平台（包括网络管理和安全管理）。安全管理策略主要有：定义完善的安全管理模型；建立长远的并且可实施的安全策略；彻底贯彻规范的安全防范措施；建立恰当的安全评估尺度，并且进行经常性的规则审核。当然，还需要建立高效的管理平台。
6、6、1安全管理规范面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络安全管理规范的建立，因为诸多的不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题，所以应引起各计算机网络应用部
门领导的重视。
1、安全管理原则网络信息系统的安全管理主要基于三个原则。
多人负责原则：每一项与安全有关的活动，都必须有两人或多人在场。这些人应是系统主管领导指派的，他们忠诚可靠，能胜任此项工作；他们应该签署工作情况记录以证明安全工作已得到保障。具体的活动有：
访问控制使用证件的发放与回收；信息处理系统使用的媒介发放与回收；处理保密信息；硬件和软件的维护；系统软件的设计、实现和修改；重要程序和数据的删除和销毁等；任期有限原则：一般地讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务是专有的或永久性的。为遵循任期有限原则，工作人员应不定期地循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行。
职责分离原则：在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情，除非系统主管领导批准。出于对安全的考虑，下面每组内的两项信息处理工作应当分开。
计算机操作与计算机编程；机密资料的接收和传送；安全管理和系统管理；应用程序和系统程序的编制；访问证件的管理与其它工作；计算机操作与信息处理系统使用媒介的保管等。
2、安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制定相应的管理制度或采用相应的规范。具体工作是：根据工作的重要程度，确定该系统的安全等级根据确定的安全等级，确定安全管理的范围制订相应的机房出入管理制度对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。出入管理可采用证件识别或安装自动识别登记系统，采用磁卡、身份卡等手段，对人员进行识别、登记管理。
制订严格的操作规程操作规程要根据职责分离和多人负责的原则，各负其
责，不能超越自己的管辖范围。
制订完备的系统维护制度对系统进行维护时，应采取数据保护措施，如数据备份等。维护时要首先经主管部门批准，并有安全管理人员在场，故障的原因、维护内容和维护前后的情况要详细记录。
制订应急措施要制定系统在紧急情况下，如何尽快恢复的应急措施，使损失减至最小。建立人员雇用和解聘制度，对工作调动和离职人员要及时调整响应的授权。
6、6、2网络管理管理员可以在管理机器上对整个内部网络上的网络设备、安全设备、网络上的防病毒软件、入侵检测探测器进行综合管理，同时利用安全分析软件可以从不同角度对所有的设备、服务器、工作站进行安全扫描，分析他们的安全漏洞，并采取相应的措施。
6、6、3安全管理安全管理的主要功能指对安全设备的管理；监视网络危险情况，对危险进行隔离，并把危险控制在最小范围内；身份认证，权限设置；对资源的存取权限的管理；对资源或用户动态的或静态的审计；对违规事件，自动生成报警或生成事件消息；口令管理（如操作员的口令鉴权），对无权操作人员进行控制；密钥管理：对于与密钥相关的服务器，应对其设置密钥生命期、密钥备份等管理功能；冗余备份：为增加网络的安全系数，对于关键的服务器应冗余备份。安全管理应该从管理制度和管理平台技术实现两个方面来实现。安全管理产品尽可能的支持统一的中心控制平台。
局域网课程设计 某公司局域网设计方案学院 课题某公司局域网设计方案姓名 组员 专业/班级 实训时间 成绩评定 指导老师 目录
1.公司概况 1.1公司简介 该公司成立2014年，公司是一家生产、经营电子工具、塑胶制品、工业装备及辅助材料的专业化公司。为现代化企业的生产和管理提供优质服务，并最大限度地降低物流仓储成本，实现理想的物流仓储系统工程，是本行业的优秀代表。 “深思熟虑的结构设计，一丝不苟的生产、质量上的严格把关“是本公司坚定不移的原则，正是这一点使我们成为行业中的佼佼者，客户从我们产品中得到的竞争力的强化也逐渐体现出来，为我们奠定了一个长期的发展基础。 1.2公司结构 总经理办公室（总经理1名）销售部（销售部经理1名其他人员20名） 财务部（财务部经理1名其他人员5名）物流部（物流部经理1名其他人员20名） 后勤部（后勤部经理1名其他人员10名）市场部（市场部经理1名其他人员10名） 技术部（技术部经理1名其他人员10名） 1.3公司资产：100万 1.4公司主营：电子工具、塑胶制品、工业装备及辅助材料
2.公司需求分析 企业共有员工91人，欲实现平均2人拥有一台办公电脑。现已将公司分为6个部门，其中销售部门占用2个办公室，其他各部门各占用一个。电脑分配如下：总经理办公室1台笔记本电脑；财务部5台台式机（以下皆为台式机）；技术部5台；后勤部5台；市场部5台；销售部共10台（2个办公室分别为5和5台）；物流部5台（注：因物流部主要负责货物运输与产品进购，因此对电脑需求较轻，故只分配5台）因本企业规模较小，资产较少，故只购买廉价经济的台式机。其他网络配件（路由器，交换机等）也应尽量往经济实用型靠近。 图1 办公楼结构图 表1办公楼员工数量及房间分配表
企业网络规划设计方 案
XXX企业网络安全综合设计方案 重庆电子工程职业学院 冉亚东 2011年11月
目录 第一章设计背景分析 (3) 第二章需求分析 (3) 2.1设计需求 (3) 2.2 网络设计需求分析 (4) 2.3 功能需求分析 (4) 2.4 环境需求分析 (5) 2.5 性能需求分析 (5) 第三章网络组网技术选型 (6) 第四章网络拓扑图 (9) 4.1 网络拓扑结构图 (9) 4.2 VLAN划分及编制方案 (10) 第五章设备清单及所需网络设备介绍 (11) 第六章网络PDS系统设计 (21) 第七章网络储存设计 (22) 7.1 存储备份必要性分析 (22) 7.2 基于HP SERVER的数据存储与备份方案 (22)
7.3 备份工作实现自动化 (25) 7.4 实现跨平台备份 (25) 第八章网络安全设计 (26) 8.1 概要安全风险分析 (26) 8.2 实际安全风险分析 (26) 8.3 网络系统的安全原则 (27) 8.4 安全产品 (27) 8.5 风险评估 (28) 8.6 安全服务 (29) 8.7 网络维护 (29) 参考文献 (30) 第一章设计背景分析 当今世界信息化浪潮席卷正全球。因特网的迅猛发展不仅带动了信息产业和国民经济地迅猛增长，也为企业的发展带来了勃勃生机。以因特网为代表的信息技术的发展不仅直接牵动了企业科技的创新和生产力的提高，也逐渐成为提高企业竞争力的重要力量。就在我们为我国小企业网络建设拍掌击节的时
候，我们也注意到这样一个事实，即我国小企业网络建设和应用中存在着许多问题。总结一下，主要有以下几点：首先，服务器接入访问成为瓶颈。这一问题主要出自于软件应用体系的变化，因为C/S、W/S等软件应用模式的演变，服务器的数据运算和传输负荷也在不断提高，导致的直接结果就是服务器需要不断升级。服务器的发展，技术发展。一个企业建立网络成了企业成长的关键部分。 随着信息技术的发展的，企业对信息要求越来越高；当今社会人员流动越来越频繁，使得管理工作也变的越来越复杂。如何管理好企业内部的信息，成为企业管理中一个大的问题。如果能实现信息管理的自动化，无疑将给公司带来很大的方便。办公自动化（OA）是将现代化办公化和计算机网络功能结合起来的一种新型的办公方式，是当前新技术革命中一个非常活跃和具有很强生命力的技术应用领域，是信息化社会的产物。企业内部办公系统能够建立企业自身的一套职务体系，每个职务有其所对应的职级、所需基本信息及对信息的使用资格。允许合法的使用者通过网络对企业职员的人事信息、公司的流水帐目信息、核销单的流向信息、账单的生成和查询及同行各个企业的信息进行管理。信息成了公司发展不可却少的动力。 第二章需求分析 2.1 设计需求 在中国中小企业占到全国工业企业的97%以上，是中国的经济命脉。在今天竞争激烈的市场环境下，许多中小型企业都在追求高效的管理与沟通方法，
局域网设计方案范文 网更多原创-() 一、概述校园网络系统为了满足园区的不断发展和在校工作人员以及学员对 __络系统的要求和加强其管理系统，拟对现有的计算机局域网络系统进行改造。在满足校园办公和学员使用的同时，接入inter，并承载服务系统、财务管理系统、资金结算系统、人力资源管理系统、工程管理系统、档案管理系统等多种应用，是一个高速、稳定、安全、可靠、成熟的高性能系统。 1.1．设计依据 ?校园建筑平面图?学校信息管理部门提出的功能需求?国际和国 内有关网络、数据系统的标准 1.2．设计范围 ?校园局域网系统的改造设计?Inter接入?网络安全改造?网络计费系统建设 1.3．设计内容 l网络架构 ?IP地址规划?虚拟局域网规划?系统管理?Inter接入 l网络安全
l计费软件和管理系统 l系统软硬件清单 l计算机机房要求 二、技术规范和标准 本设计依据的标准有： ?有关的网络技术国际标准?RFC有关文件?民用建筑数据标准（接地）EIA/TIA-607 ?民用建筑数据管理标准EIA/TIA-606?局域网标准IEEE802.3 ?数据光缆的一般要求GB/T7427-87?光纤分布式数据接口高速局域网标准ANSIFDDI ?综合业务数字网基本数据速率接口标准CCITTISDA 三、网络设计方案
3.1．内部网络的连接 本局域网系统的网络结构采用区域化的结构设计，使网络具有良好的扩充性、可管理性，依据应用层次的不同将网络划分成不同的区域，包括核心交换区、关键业务区及服务器存储区、互连网信息发布区、普通楼层办公区、系统内广域信息接入区等。各个区域均通过接入交换机与核心交换机冗余连接，实现清晰的系统边界，整个系统的拓扑如下图所示： 整个系统的拓扑 从功能上，整个局域网系统可以分为三个部分。分别是： 各楼及楼群网络部分 校园局域网部分用来连接内部所有的桌面PC机。局域网部分以图书馆网络机房为中心，下设各个楼配线间。局域网核心配置2台三层高端千兆交换机作为整个网络的核心交换机，所有楼及楼群交换机则通过多模光纤分别连接到两台核心交换机上。其中公寓各楼及公共场所部分（主要是学员使用笔记本电脑上网部分）的网络通过会聚交换
企业网络规划和设计方案 目录 一、工程概况 (2) 1、工程详述 (2) 2、项目工期 (3) 二、需求分析 (3) 1、网络要求 (3) 2、系统要求 (5) 3、用户要求 (5) 4、设备要求 (6) 三、网络系统设计规划 (6) 1、网络设计指导原则 (6) 2、网络设计总体目标 (7) 3、网络通信联网协议 (7) 4、网络IP 地址规划 (8) 5、网络技术方案设计 (8) 6、网络应用系统选择 (13) 7、网络安全系统设计 (14) 8、网络管理维护设计 (14)
四、网络布线系统设计 (14) 1、布线系统总体结构设计 (14) 2、工作区子系统设计 (15) 3、水平子系统设计 (15) 4、管理子系统设计 (16) 5、干线子系统设计 (16) 6、设备间子系统设计 (16) 7、建筑群子系统设计 (16) 一、工程概况 1、工程详述 集团总部公司有1000 台PC；公司共有多个部门，不同部门的相互访问要有限制，公司有自己的内部网页与外部网站；公司有自己
的OA 系统；公司中的台机能上互联网；核心技术采用VPN ；集团包括六家子公司，包括集团总部在内共有2000 多名员工；集团网内部覆盖7 栋建筑物，分别是集团总部和子公司的办公和生产经营场所，每栋建筑高7 层，都具有一样的内部物理结构。一层设有本建筑的机房，少量的信息点，供未来可能的需求使用，目前并不使用(不包括集团总部所在的楼)。二层和三层，每层楼布有96 个信息点。四层到七层，每层楼布有48 个信息点，共3024 个信息点。。每层楼有一个设备间。楼内综合布线的垂直子系统采用多模光纤，每层楼到一层机房有两条12 芯室内多模光纤。每栋建筑和集团总部之间通过两 条12 芯的室外单模光纤连接。要求将除一层以外的全部信息点接入 网络，但目前不用的信息点关闭。 2、项目工期 2009 年5 月28 日-------2009 年6 月28 日 二、需求分析 1、网络要求 满足集团信息化的要求,为各类应用系统提供方便、快捷的信息 通路；具有良好的性能，能够支持大容量和实时性的各类应用；能够 可靠运行，具有较低的故障率和维护要求。提供网络安全机制，满足 集团信息安全的要求，具有较高的性价比，未来升级扩展容易，保护
某大型企业局域网安全解决方案 总则本方案为某大型局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计、等。本安全解决方案的目标是在不影响某大型企业局域网当前业务的前提下，实现对他们局域网全面的安全管理。 1、将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。 2、定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。 3、通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同时具备很好的安全取证措施。 4、使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态，最大限度地减少损失。 5、在工作站、服务器上安装相应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒。第二章网络系统概况 2、1 网络概况这个企业的局域网是一个信息点较为密集的千兆局域网络系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过公开服务器，企业可以直接对外发布信息或者发送电子邮件。高速交换技术的采用、灵活的网络互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为网络的安全带来了更大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。 2、1、1 网络概述这个企业的局域网，物理跨度不大，通过千兆交换机在主干网络上提供1000M的独享带宽，通过下级交换机与各部门的工作站和服务器连结，并为之提供100M的独享带宽。利用与中心交换机连结的Cisco 路由器，所有用户可直接访问Internet。 2、1、2 网络结构这个企业的局域网按访问区域可以划分为三个主要的区域：Internet区域、内部网络、公开服务器区域。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网，包括：财务子网、领导子网、办公子网、
目录 一、设计原则： (2) 1、先进性 (2) 2、可靠性 (2) 3、网络的实用性 (3) 二、项目需求分析： (3) 一、局域网改造需求 (3) 二、系统目前现状 (3) 三、设计思路： (4) 第一部分系统需求分析 (4) 第二部分概要规划设计 (5) 第三部分详细规划设计 (5) 四、综合布线系统实施要求 (13) 五、工程预算: (16)
一、设计原则： 1、先进性 先进性和超前性是每一个企业网建设期望达到的目标。随着计算机及网络技术的发展，先进的、新的网络技术面临着技术和产品上不十分成熟的问题，而原有的成熟的网络技术和产品又势必被新的技术所取代，所以要选择目前具有较长生命期的先进且成熟的网络技术和产品。 网络设计的超前性是将企业网看成一个系统工程，不但要设计到它的产生还要设计它的发展和未来，将着眼点放在目前的应用系统及现有的技术并考虑以最小的代价来适应网络技术的不断的发展，使现有系统能够与业务需求同步增长，在系统规模急骤扩张中亦不需要重新进行系统规划与设计，并能够顺利、平稳地向更新的技术过渡 2、可靠性 网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持工作的正常进行。在设计中所选用的设备本身应具有较高的可靠性。
3、网络的实用性 系统的性能指标应能够满足网络内各项业务对处理能力的要求。整个系统的性能应当是可靠的，便于管理的，所采用的设备应当是易于配置维护。从客户方的角度出发，在完全满足网络应用要求的条件下，尽量压缩项目所需投资，争取达到最优的性能价格比。 二、项目需求分析： 一、局域网改造需求 为了实现公司内部信息的共享和快速传递，进一步提高信息化应用水平，迫切要求建设一个快速、可靠的网络运营平台。 本次改造的主要内容如下：数据交换网络的改造，随着应用的进一步深入，网络交换设备的负荷将大大增大，因此本次项目需要考虑利用千兆以太网交换技术来对整个网络数据交换平台进行建设，以满足企业办公自动化需求。 二、系统目前现状 居于现有网络组建简单，只是简单对等网的组建模式。 等网也称工作组网，它不像企业专业网络是通过域来控制的，在对等网中没有“域”，只有“工作组”，这一点要首先清楚。正因如此，在后面的具体网络配置中，就没有域的配置，而需配置工作组。很显然，“工作组”的概念远没有“域”那么广，所以对等网所能容纳的用户数也是非常有限的对等网络相对比较简单，计算机的数量通常不会超过20台。在对等网络中，对等网上各台计算机的有相同的功能，无主从之分，网上任意节点计算机既可以作为网络服务器，为其他计算机提供资源；也可以作为工作站，以分享其他服务器的资源。任一台计算机均可同时兼作服务器和工作站，也可只作其中之一。同时，对等网除了共享文件之外，还可以共享打印机，可被网络上的任一节点使用，如同使用本地打印机一样方便。因为对等网不需要专门的服务器来做网络支持，也不需要其他组件来提高网络的
企业网络工程设计方案第一章网络系统设计概述 1.1项目背景 为了适应业务的发展和国际化的需要，积极参与国家信息化进程，提高管理水平，展现全新的形象，某厂准备建立一个现代化的机构内部网，实现信息的共享、协作和通讯，并和属下个部门互连，并在此基础上开发建设现代化的企业应用系统，实现智能型、信息化、快节奏、高效率的管理模式。 在本方案中，我们借鉴了大型高端网络系统集成的经验，充分利用当今最成熟、最先进的网络技术，对该信息网络系统的建设与实施提出方案。 1.2需求分析 为实现上述目标，可以把整个系统建设分成两个部分，即：网络平台建设和Internet/Intranet平台建设。 （1）网络平台是建立在结构化布线基础上的最基本的平台。可靠的网络平台是Internet/Intranet系统及应用系统正常运行的基础。网络平台的设计应包括局域网的设计、广域网的设计。 （2）Internet/Intranet平台包括Intranet、Internet和Extranet。三者的关系如图： Extranet Intranet Internet Internet/Intranet系统具有客户端单一界面、易于使用的特点。在中中国港湾建设总公司的平台建设中，Extranet部分对应于与各合作伙伴信息交流的相关部分。 网络系统主要是以光纤作为传输媒介、以IP 和Intranet技术为技术主体、以核心交换机为交换中心、下属部门信息网络系统为分节点的多层结构、提供与各种职能相关的、功能齐全、技术先进、资源统一的网上应用系统，进一步
可扩展成为多功能网络平台。 总体目标是建立该企业的办公业务信息网络交换平台，集成下属各部门信息网络系统，功能齐全、技术先进、集成化的网络系统。 （一）设计网络需求如下： (1) 信息的共享； (2) 公司管理； (3) 办公自动化； (4) 高速Internet 冲浪。 （二）企业办公网主干和信息点需求及分布 拟建的企业网络主要涉及到四幢建筑物：行政楼（含附近的门卫）、 生产车间（含附近的厂区办）、运输楼（含附近的工段办）。这四幢建筑物之间拟通过光缆连接。网络中心和机房设在行政楼内。信息点需求为：行政楼：801个（含门卫1个） 生产车间：364个（含厂区办4个） 运输楼：20个（全为工段办） 主干网接入全球互联信息网外接（Internet），各子网再接入主干通信网。主干网接入Internet的方式可是有线综合宽带网，速率可在100Mbps左右。主干为千兆光纤线路，其它线路为超五类双绞线。 （三）投资预算 要求投资在20万元以内，包括局域网设计（可利用原有宽带设备），交换机设备，综合布线等。 1.3编制依据 《计算机信息系统保密管理暂行规定》（国家保密局1988 年 2 月26 日印发） （国家保密局1999 年12 月29 《计算机信息国际联网保密管理暂行规定》 日印发） 《中国公众多媒体通信网技术体制》 《中国公众多媒体通信网工程实施技术要求》 IEEE 工业标准：802.1d，802.1p，802.1q，802.1x，802.3，802.3u，802.3z 支持路由协议：IP 的RIP v1/2，OSPF，BGP-4；IPX 的RIP 多址广播协议：IGMP，DVMRP，PIM-DM，PIM-SM 网络管理协议：SNMP，RMON，RMON2
浅析办公局域网的安全风险及防护措施 摘要:随着科学技术的不断发展，网络在人们生活中的应用越来越广泛，而在企业的经营活动中，网络早已成为必不可少的办公手段，网络世界复杂繁琐，其中更是潜藏着巨大的安全隐患。对于一个企业来讲，办公局域网的安全关系着企业各方面的利益，只有及时识别办公局域网的安全风险并采取有效的防护措施，才能确保企业稳定的经营。本文探析办公局域网的安全风险及其防护措施，为确保办公网络的安全开辟思路。 关键词：办公局域网；网络安全；网络风险；局域网安全防护analysis office lan security risks and protective measures ma zhe (beijing railway bureau,shijiazhuang property maintenance section, shijiazhuang 050031,china) abstract: with the continuous development of science and technology networks in people’s lives become increasingly wide range of business activities, the network has already become an indispensable means of office, the online world is complicated, which is hidden huge security risk. for an enterprise in terms of the office lan security relationship with the corporate interests of all parties, only to identify the office lan security risks and take effective protective
本科生毕业论文（设计） 题目：中小企业局域网的设计及实现 系 名：电子通信与软件工程 专 业：08级计算机科学与技术 学 号：081051207 姓 名：钟大雄 指导教师：林川 二○一二年四月 装 订 线 中山大学南方学院
摘要 随着计算机技术的飞速发展，人们已经从电气时代迈入了互联网信息时代。在这个新的时代中，网络技术正扮演着越来越重要的角色，而作为其基础的网络建设更是在这个社会中逐步普及。 现如今，使用网络进行信息传输已成为社会运行的一种基本方式。随着办公信息化、自动化的需求，各单位为提高办公效率，促进信息交流和适应现代化办公，需要组建企业局域网。企业网络的优劣已经成为衡量企业竞争力的重要标准之一，对于一个集行政办公、教学培训和考试认证为一身的培训公司更是如此。组建企业局域网涉及很多方面，首先需要一个正确的需求分析和设计规划，然后需要处理布线、网络设备选型与配置、服务器设备选型与配置等步骤，最后还需要进该局域网进行优化与安全设置，这都需要按部就班的逐一实现。本文就如何规划和设计企业局域网进行浅述。 本文首先从总体上对该局域网的建设、目标、思路、国内外现状进行了分析研究，然后对局域网进行具体的需求分析，确定企业网络拓扑结构、综合布线设计原则、网络设备选择、具体网络配置等。从各个方面对该局域网建设提出了规划的方案，具体在其上应用OSPF、EIGRP、BGP等路由协议、VLAN、ACL、NAT、STUB、NSSA 等网络优化技术以及AAA认证、TELNET认证、HSRP热备份、PASSTIVE 被动接口、VTP模式等安全维护技术，力求实现一个完整的网络培训公司局域网。 关键词：局域网，OSPF路由协议，VLAN区域，AAA认证
目录 设计概况 (2) 1背景分析： (2) 2公司需求： (2) 3需求分析： (3) 4目标： (4) 5、设计标准、规范和原则： (6) 设计方案1 1拓扑结构图： (8) 2方案优点： (10) 3具体方案设计： (10) 4设备匹配： (11) 网络集成设计 (10) 1设备选择 (10) 2方案2 (12) 3信息配置： (13) 4采购预算： (13) 网络的安全管理 (13) 1局域网安全 (13) 接入互联网 (13) 1接入Interner方式： (13) 2网络互连方式： (16)
一．设计概况 1．背景分析： 在市内新租一栋写字楼一层、八层和九层（直线距离超过100米）作为公司总部，分三层，每层大约有50个信息点。预计未来5年内也不会超过200个信息点。 第九层为核心部门，路右器及三层交换机的所在。其余各层分别为一个部门，并且有相应的二层交换机。 公司有三个部门，每个部门为一个网段，即有三个网段。 另外公司在郊区有一生产线（距离30公里），大约30 个信息点（未来5年内不会超过40个信息点） 2．公司需求： 1完成公司办公局域网的组建； 2因保密原因企业技术研发部只允许本部门人员访问； 3企业局域网需新采购Web服务器、数据库服务器和域控制服务器各一台； 3．需求分析 根据公司部门的分布情况，在结构化布线方案中，信息主干线采用单模光纤，构成公司的一级网络链路。部门之间采用朗讯超5类结构化双绞线布线系统，这是因为超5类结构化双绞线布线系统具有高可靠性，确保系统完全满足语音、高速数据网络的通信需求，且结构灵活、方便，对建筑物内不同系统应用提供完全开放式的支持。公司内部网络与
湖南工业职业技术学院 工程项目实践报告 项目名称：企业网络规划与设计 院(系)：信息工程系 专业：计算机网络 班级：s2011-2-22 学生姓名：朱佳才 指导教师：黄晗文 完成时间：2014.3.23
目录 No table of contents entries found. 一．工程概况 公司有一栋独立大楼，高4层，每层面积2000平方米。由研发技术部（成员60人，分成硬件（25）和软件（35）2大部门）、生产部（主要产品是手持电子产品，110人，管理人员10人）和市场部（30个销售，10个工程师）组成。还有一般企业都有的后勤部门和财务部门等。公司管理层组成：董事会，1个总经理，3个副总经
理。3个总监。 二．需求分析 1. 用户需求 公司网络需求主要有以下几点： (1).1层为市场部和后勤部； 2层为生产部； 3层为研发技术部； 4层为公司内部管理人员办公室和财务部。 (2). 各部门都有各自独立的文件服务器，且文件服务器通常 不允许跨部门访问。.但管理层办公室可以访问四个部门的文件服务器。 (3). 公司内部的计算机间采用公司内部的电子邮件系统和 IM（即时通讯）系统联系。 (4). 公司内部网络与Interner之间采用10M光纤接入。 (5). 公司内部架设Web服务器，对Internet提供公司的形 象和电子商务服务。 (6). 财务部可以访问财务数据服务器，其他部门不能访问财 务数据服务器。 (7). 为保证安全，Internet与公司内部网络间应该采用防护 措施，防止外界对内部网络未经授权的访问。 (8). 具体要求：
WWW服务 E-mail、FTP服务 集团内行政管理 拨号上网服务 文件服务管理系统 数据库服务 防火墙系统 邮件服务 视频会议系统 2.稳定可靠需求 现代企业的网络应具有更全面的可靠性设计，以实现网络通信的实时畅通，保障企业生产运营的正常进行。随着企业各种业务应用逐渐转移到计算机网络上来，网络通信的无中断运行已经成为保证企业正常生产运营的关键。现代大型企业网络在可靠性设计方面主要应从以下3个方面考虑。 （1）、设备的可靠性设计：不仅要考察网络设备是否实现了关键部件的冗余备份，还要从网络设备整体设计架构、处理引擎种类等多方面去考察。 （2）、业务的可靠性设计：网络设备在故障倒换过程中，是否对业务的正常运行有影响。 （3）、链路的可靠性设计：以太网的链路安全来自于多路径选择，所以在企业网络建设时，要考虑网络设备是否能够提供有效的链路自
局域网设计方案 一、概述 校园网络系统为了满足园区的不断发展和在校工作人员以及学员对信息网络系统的要求和加强其管理系统，拟对现有的计算机局域网络系统进行改造。在满足校园办公和学员使用的同时，接入Internet，并承载服务系统、财务管理系统、资金结算系统、人力资源管理系统、工程管理系统、档案管理系统等多种应用，是一个高速、稳定、安全、可靠、成熟的高性能系统。 ．设计依据 2校园建筑平面图2学校信息管理部门提出的功能需求2国际和国内有关网络、数据系统的标准 ．设计范围 2校园局域网系统的改造设计2Internet接入2网络安全改造2网络计费系统建设 ．设计内容 l网络架构 2IP地址规划2虚拟局域网规划2系统管理2Internet 接入 l网络安全 l计费软件和管理系统
l系统软硬件清单 l计算机机房要求 二、技术规范和标准 本设计依据的标准有： 2有关的网络技术国际标准2RFC有关文件2民用建筑数据标准（接地）EIA/TIA-607 2民用建筑数据管理标准EIA/TIA-6062局域网标准 2数据光缆的一般要求GB/T7427-87 2光纤分布式数据接口高速局域网标准ANSIFDDI 2综合业务数字网基本数据速率接口标准CCITTISDA 三、网络设计方案 ．内部网络的连接 本局域网系统的网络结构采用区域化的结构设计，使网络具有良好的扩充性、可管理性，依据应用层次的不同将网络划分成不同的区域，包括核心交换区、关键业务区及服务器存储区、互连网信息发布区、普通楼层办公区、系统内广域信息接入区等。各个区域均通过接入交换机与核心交换机冗余连接，实现清晰的系统边界，整个系统的拓扑如下图所示： 整个系统的拓扑 从功能上，整个局域网系统可以分为三个部分。分别是：
本方案为大型局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计、等。本安全解决方案的目标是在不影响企业域网当前业务的前提下，实现对他们局域网全面的安全管理。 1. 将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。 2. 定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。 3. 通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同时具备很好的安全取证措施。 4. 使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态，最大限度地减少损失。 5. 在工作站、服务器上安装相应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒。 第二章网络系统概况 2.1 网络概况 这个企业的局域网是一个信息点较为密集的千兆局域网络系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Internet 的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过公开服务器，企业可以直接对外发布信息或者发送电子邮件。高速交换技术的采用、灵活的网络互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为网络的安全带来了更大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。 2.1.1 网络概述 这个企业的局域网，物理跨度不大，通过千兆交换机在主干网络上提供1000M的独 享带宽，通过下级交换机与各部门的工作站和服务器连结，并为之提供100 M的独享带 宽。利用与中心交换机连结的Cisco 路由器，所有用户可直接访问Internet 2.1.2 网络结构
公司网络组建设计与方案 一、需求分析 1.1背景： 公司新办公地点共一层楼，面积约为600平方多米 分为两家公司 集团总公司：董事长助理（1台电脑）、总经理室（1台电脑）、财务部（6台电脑）、人力资源（4台电脑）、审计监察（3台电脑）、营运管理部（2台电脑）、后勤部（2台电脑）、企划设计部（4台电脑）、营销部（5台电脑）共：28台 电子商务公司：网络技术部（3台电脑）、策划广告部（2台电脑）、泛媒体拓展部（3台电脑）、产品部（1台电脑）、行政部（2台电脑）、培训部（1台电脑）、财务部（1台电脑）、总经理办公室（1台电脑）、营运总监（1台电脑）、执行副总（1台电脑）、策划总监（1台电脑）、客服中心部（30台电脑）共：47台 1.2未来发展： 未来的3—5年，单位电脑会增加到100台左右，主要增加在电子商务公司的客服中心，计划该部门增加到50台电脑。 1.3用户需求分析： 为了能让公司更好的与现代社会的发展接轨，更快的获取市场信息及为了让外界了解该本公司的相关信息特组建企业网，以实现对“公司档案管理”、“产品信息”、“供求信息”等进行计算机网络化管理。 1.4网络功能： 根据公司现有规模，业务需要及发展范围建立的网络有如下功能： a)建立公司自己的网站以及电子商务平台非常健康网，可向外界发布信息，并进行网络上的业务。 b)要求市场部、客服中心可以连接Internet，与各企业保持联络，接受订单及发布本公 司产品信息。其他部门也可连接Internet，但要求公司内部服务器网络严格监控。 c)公司内部网络实现资源共享，以提高工作效率。 d)建立网络时应注意网络的扩展性，以方便日后的网络升级和增加计算机。 e)在公司内部建立公司的OA系统，如员工档案，业务计划，会议日程等。 f)建立公司内部重要数据服务器，及时的备份公司重要数据和客服中心相关资料信息。 g)网络分为集团公司网络和电子商务公司网络，两个网络段实现某些数据的共享。 二、网络结构设计 2.1现场勘察分析： 根据公司大楼的结构特点制定详细的网络连接图，其中包括如下信息： a)网络上个信息电（即办公点）的分布图，工作空间大小与距离 b)电源插座的位置，包括目前正在使用的插座的设备 c)所有不可移动的物品的位置（如支撑柱，分隔墙，内置柜等） d)所有办公家具的当前位置 e)所有计算机和类似打印机的外部设备的位置 f)门和窗口的位置 g)通风管道和目前电线的位置
展讯通信（天津）有限公 司 网络系统集成方案 2012.5.14
一、前言 1.1．集团综合信息系统建设目标-----------------------------------------------------3 1.2.用户具体需求----------------------------------------------------------------------------4 1.3．集团综合信息系统建设原则----------------------------------------------------4 1.3.1 先进性 (5) 1.3.2 标准性 (5) 1.3.3 兼容性 (5) 1.3.4 可升级和可扩展性 (5) 1.3.5 安全性 (6) 1.3.6 可靠性 (6) 1.3.7 易操作性 (7) 1.3.8 可管理性.. (7) 二．综合布线方案-----------------------------------------------------------------------------8 2.1需求分析 (8) 2.2 综合布线系统的结构 (9) 2.3系统总体设计 (10) 2.4系统结构设计描述 (11) 2.5在施工中注意事项 (12) 三．网络设计方案---------------------------------------------------------------------------13 3.1 网络设计需求 (13) 3.2总体方案设计策略 (14) 3.3展讯通信集团园区结构示意图 (15) 3.4网络设备选型 (15) 3.4.1选型原则 (15) 3.4.2核心层交换机 (17) 3.4.3汇聚层交换机 (18) 3.4.4接入层交换机 (19) 3.5主干网络技术选型 (20) 3.6路由交换技术部分设计 (25) 3.7网络安全设计 (35) 四．网络系统设计 (37) 4.1 系统设计总体需求 (37) 4.2 系统设计原则 (38) 4.3 系统设计方案 (39) 4.3.1系统构架设计 (39) 4.3.2 系统管理设计 (41) 4.3.2 系统安全设计 (42) 五Windows服务器解决方案--------------------------------------------------------------45 5.1WEB服务器 (45) 5.2 FTP服务器角色：配置文件服务器 (60) 5.3 Exchange Server 2003 产品概述 (71) 六．工程实施与项目测试--------------------------------------------------------------------87 七．项目费用-----------------------------------------------------------------------------------86 八．技术支持服务-----------------------------------------------------------------------------88
局域网设计方案 1小型局域网 小型局域网主要是用来实现网内用户全部信息资源共享，例如实现文件共享、打印共享、 收发电子邮件、Web发布、财务管理以及人事管理等功能。由于此类局域网往往接入的计算机节点比较少，一般在20台--50台之间，而且各节点相对集中，每个站点与集线器或交换机之间的距离不超过 100m，采用双绞线进行结构化布线就足够了。 在选用硬件方面，由于交换机十分强调端***换能力，内置交换模块，性能比集线器高出许多，采用交换机可以提高整个网络的性能；另一方面现在低端桌面交换机价格比较便宜, 与集线器相比价格已经贵不了多少，所以可以采用桌面交换机。 小型局喊网模型 此外由于现在10/100 Mb/s自适应网卡与10Mb/s网卡价位相差无几，因此所有计算机（包括服务器和PC机）都可以选用10/100 Mb/s自适应网卡，如果交换机端口不够，可以考虑采用PC机通过集线器相连然后接入交换机。 考虑到更好的电磁特性和将来的可升级性，所有的连线均采用UTP5类或超5类线，并 且严格桉照EIA/TIA 568规范进行综合布线。综合布线的优点不仅仅是使办公环境整洁，更重要的是规范、可靠安全。由于在设计网络的时候采用了桌面交换机，所以网络传输速度比 较快，能适应高速网络的发展，并且升级容易。 中型局域网 中型局域网需要连接的计算机节点一般都在60台以上，并且各节点之间的距离也较远， 一般都会超过100m甚至更远，利用双绞线作为传输介质已经远远不够。此时企业办公环境对网络的性能要求较高，对网络的传输速度也有一定的要求，相对来讲企业往往有较多的资 金投入，可以使用光纤介质来连接整个企业园区的主干网络，因为光纤的有效传输距离可以
电力企业局域网的安全管 理示范文本 In The Actual Work Production Management, In Order To Ensure The Smooth Progress Of The Process, And Consider The Relationship Between Each Link, The Specific Requirements Of Each Link To Achieve Risk Control And Planning 某某管理中心 XX年XX月
电力企业局域网的安全管理示范文本使用指引：此管理制度资料应用在实际工作生产管理中为了保障过程顺利推进，同时考虑各个环节之间的关系，每个环节实现的具体要求而进行的风险控制与规划，并将危害降低到最小，文档经过下载可进行自定义修改，请根据实际需求进行调整与使用。 摘要：文章分析了局域网的安全管理所涉及的问题， 并根据自己的经验提出了相应的解决方法。 关键字：系统、防火墙、INTERNET、信息安全、数据 库、病毒 随着计算机信息技术的发展，网络已成为我们生活的 重要组成部分。但网络在应用过程中也会带来许多问题， 由于频繁使用互联网，病毒的传播日益猖獗，黑客的攻击 也越来越多，给局域网数据的管理、网络的安全带来很多 问题，笔者从事局域网的管理工作多年，结合自己的工作 实际，提出一些关于局域网的安全管理方面的经验与教 训，供大家借鉴。 我们单位的局域网综合了公司生产管理、经营管理、
物资管理、安全管理、生产日报、月报等各方面的许多信息，并且这些信息都是每天靠相关专业人员写进数据库的，因此在使用中出现了许多问题，但通过我们的努力工作，网络运行状况一直良好。经验告诉我们：要管好局域网，必须由局域网用户和管理员共同来努力。 一.网络管理员应作到的安全措施 1.加强服务器主机的独立性 局域网中,通常有一台以上的主服务器,提供所有计算机的连结并控制.这台计算机就是黑客攻击的主要目标.因此,企业内部应对服务器主机的安全性加强控制,尽可能将其独立,不要将重要资料放置此处,将重要资料独立放在内部机器上,这样可保证资料的安全性、完整性。 2.网络分段 把网络上相互间没有直接关系的系统分布在不同的网段，由于各网段
WORD格式 XXX企业网络安全综合设计方案 重庆电子工程职业学院 冉亚东 2011年11月
目录 第一章设计背景分析???????????????????? ?.3 第二章需求分析????????????.?????????3 2.1 设计需求???????????????.?????? 3 2.2 网络设计需求分析??????????????.???.4 2.3 功能需求分析?????????????? (4) 2.4 环境需求分析?????????????????..5 2.5 性能需求分析?????????????? (5) 型.?????????????????..6 第三章网络组网技术选 第四章网络拓扑图?????????????? (9) 4.1 网络拓扑结构图????????????????? (9) 4.2 VLAN 划分及编制方案??????????????..? (10) 第五章设备清单及所需网络设备介绍????????????...??11 第六章网络PDS 系统设计??????????????????..?21 第七章网络储存设计????????????????????? (22) 7.1 存储备份必要性分析?????????????????.22 7.2 基于HP SERVER的数据存储与备份方案???????..?22 7.3 备份工作实现自动化???????????????? (25) 7.4 实现跨平台备份?????????????????...?..25 第八章网络安全设计??????????????????? ?..?..26 8.1 概要安全风险分析????????????????? ?.26 8.2 实际安全风险分析????????????????? ?.26 8.3 网络系统的安全原则???????????????? (27) 8.4 安全产品??????????????????????.27 8.5 风险评估??????????????????????.28 8.6 安全服务??????????????????????.29 8.7 网络维护??????????????????????.29 参考文献????????????????????????????30
家庭局域网系统 设 计 方 案 专业：计算机网络技术 班级： 学号： 姓名： 目录
一、项目概述 (2) 二、需求分析 (2) 三、技术方案介绍 (3) 3.1、设计原则、依据、标准 (3) 3.2、局域网拓扑图 (5) 3.3、技术方案实施 (5) 3.4主要设备介绍 (7) 四、设备清单及报价 (7)
一、项目概述 1.1建设原因：当今社会电脑已经比较普及，有好多亲戚朋友家已经有了电脑，我也想为家里安一台新的台式机电脑，去年自己已经购买过一台笔记本电脑了，加上家里现在每人都有一部手机。家中希望通过电信营业厅办理一个账号，使台式机、笔记本、手机都能上网。其实这是小型的网络的组建我们自己也是可以解决的，下面就是我对自己家的家庭网络的组件方案。 1.2建设目标：家里安装两个台式电脑，可以使手机、笔记本电脑同时使用一个账号上网，可以共享一个打印机，互相传输文件。 二、需求分析 2.1家庭组网的必要性：组建家庭局域网最大的优势就是资源可以得到最大限度的利用，我们可以简单地将其总结为以下几点： （1）老机新用 组建局域网可以让家中一些性能较弱的老机共享到新机的部分功能，如共享新机的光驱、刻录机、打印机等，从而能够焕发青春；而新机则可以利用老机做一些颇具危险性的操作，减轻新机反复重装系统的麻烦。 （2）增加娱乐性 组建家庭局域网可以让家庭成员一起进行联网游戏、影视共享等。
（3）共享宽带网络 如今的宽带网络越发普及，组建家庭局域网使宽带资源得以充分发挥是很值得进行的。 2.2网络覆盖的空间范围：该家庭局域网的覆盖范围为一个家庭，可以是一个房间，几个房间之间或者是一栋楼里 2.3网络所提供的服务：家庭局域网可实现文件传输，电子邮件的发送，虚拟终端等服务的系统需求 2.4网络管理和系统安全的需求：家庭局域网管理的是范围是一个家庭，用户对网络管理功能的需求较大，网络管理功能涉及网络配置管理，性能管理，故障管理，安全管理等。 2.5布线系统的需求：需要了解建筑物的内部结构和外部环境，根据用户的服务和业务类型，确定布线系统的类型和方式 三、技术方案介绍 3.1、设计原则、依据、标准 1、实用性和集成性 系统的软硬件设计、还是集成，均以适用为第一宗旨，在系统充分适应企业信息化的需求的基础上进而再来考虑其他的性能。 2、标准性和开往性 只有支持标准性和开放性的系统，才能支持与其它开放型系统一起协同工作，在网络中采用的硬件设备及软件产品应该支持国际工作标准或事实上的标准，以便能和不同厂家的开放性产品在同一网络中同时共存。