大型企业信息化建设方案样本

大型公司网间网设计与实现引言：在网络技术不断发展今天，大型公司网络建设面临各种网络技术选取。选取如何网络技术来满足公司将来发展需要，是摆在各大公司面前一种课题。虽然网络技术在飞速发展，但公司网络建设有其内在规律，把握这些内在规律，将有助于指引大型公司网络建设。本文定义大型公司网络是跨地区和有层次网络。公司网络层次和行政构造相相应，网络层次在二层或三层以上，网络连接也许是跨地市、跨省，也也许是全国范畴。例如，银行、国税系统，民航、铁路、政府办公系统等都是跨地区，多层次系统，在网络建设上均有其共同特点。从总体上说，公司网络涉及到系统软件平台、硬件平台，布线系统，局域网建设，广域网建设，应用软件（涉及业务应用和WWW服务等）、网络安全，网络管理等方方面面。本文从大型公司网络设计角度简介大型公司网络设计和实现办法。公司网络建设过程几种阶段公司网络建设总体上分为设计阶段、实行阶段和网络管理维护阶段。从网络设计角度来讲，分为应用驱动法和基本设施法。应用驱动法是采用依照应用需求，从工作组网络、楼宇网络、园区网络到广域网络由近到远设计办法。基本设施法是依照基本网络规划，采用从广域网络、园区网络到楼宇网络由远及近设计办法。公司网络建设过程分为如下几种阶段：1、需求分析阶段。普通大型公司在网络建设中已有某些网络环境，这些网络环境能满足当时网络应用需要。但网络也许是一种个孤立小岛，只能在局部范畴内实现网络应用及资源共享，公司网络没有形成一种整体。公司网络规划时，要考虑网络建设整体性，既要保护原有投资，又要在网络技术选型上有前瞻性。网络需求分析重要是依照公司业务发展需求和公司信息技术应用需求，提出公司网络建设总体目的和核心技术指标。公司网络需求分析包括如下几方面：网络原则和合同规定。全网络信息点分布需求，涉及局域网布线构造规定，广域网传播介质规定。网络层次划分及网络拓扑构造规定。结合应用网络设备解决能力和带宽规定。局域网和广域网规定。Internet接入，外网接入，防火墙技术规定。公司网络应用规定。网络设备选型规定。网络应用和网络技术关系（如多媒体、IP话音和网络构造规定）。网络可靠性、扩展性和安全性规定。网络管理规定。2、网络规划阶段。公司网络规划是从公司网络需求分析到公司网逻辑设计中间必经阶段，重要依照公司网络需求分析得出分离、外在技术指标（如顾客数、桌面微机站点数、最大响应时间规定等等）。运用公司网络自身内在规律和关联算法，得出整个公司网络内在技术框架和技术指标（如桌面带宽规定、主干带宽规定、服务器解决性能规定等等）。3、网络逻辑设计阶段。网络逻辑设计阶段重要依照公司网络需求分析成果，依照公司网络规划内在技术指标，按照计算机网络设计经验和办法，在既有可行网络技术范畴内，设计公司网络连接构造、合同构造以及每个网络功能构造。公司网络设计重要拟定网络连接构造，网络节点类型、功能和容量。网络传播链路类型和容量，以及网络安全控制构造和网络管理构造。网络物理设计阶段。网络物理设计重要拟定实行网络逻辑设计方案厂家产品类型、数量和详细配备，以及与网络逻辑设计方案中连接构造相吻合物理拓扑构造。网络实行阶段。网络实行阶段重要是采购所需硬件设备和软件系统，以及安装、调试和测试网络系统。网络维护和扩展阶段。在公司网络通过测试之后，网络就进入了运营、维护和扩展阶段。公司网络运营维护阶段重要工作是对公司网络寻常维护和管理，涉及网络配备管理、性能管理、故障管理、安全管理和顾客帐户管理，对公司网络防止性测试和容量规划。企业网络层次结构分析及其模块化设计思想大型公司网络层次构造与公司行政构造相相应，普通至少有二层，也有三层和四层构造。多于四层构造作为远程访问服务层看待。咱们从网络层次划分上分析探讨多层网络模块化设计思想。大多数公司网络都可以被层次性划分为三个逻辑服务单元(Backbone)、区域网(Distribute)和访问网(Local－access)。骨干网重要目在于完毕分布于不同区域或逻辑组路由最优化通信；区域网重要是完毕网络流量安全控制机制，以使骨干网和访问网环境隔离开来；访问网重要是支持客户机对服务器访问。2.1模块化网络设计办法模块化网络设计办法目的在于把一种大型网络元素划提成一种个互连网络层次。实质上，模块化方式把网络划分为一种个子网，因而网络节点和流量变得更容易管理。层次化设计办法同步也使网络扩展更容易解决，由于新子网模块和新网络技术能被更容易集成进整个系统中，而不破坏已存在骨干网。层次设计办法可为网络带来如下三个长处：1、层次性网络可扩展性可扩展性是在包互换网络连接中使用层次性设计重要长处。层次性网络具备更多可扩展性是由于它可以让你用模块化方式扩展网络，而不会遇到非层次性网络或平面性网络不久所遇上问题。但是，层次性网络同步也提出了一定问题需要仔细考虑。这些问题涉及：虚电路费用，层次设计（特别是网状拓扑〕内在复杂联系，以及需要额外路由器接口来划分网络层次。为了获得层次性网络构造长处，你必要使你网络层次构造充分与你所在地区拓扑相符合。设计取决于你所使用包互换模式，以及你所想要容错能力、网络性能和网络造价。2、层次性网络可管理性使网络简朴化－－通过把网络元素划分为小单元、层次化，减少了整个网络复杂性。这种网络单元划分使故障诊断变得清晰和简朴了，同步还可以提供防止广播风暴、路由循环等其她潜在问题内在保护机制。使设计更灵活－－层次化设计使得骨干网和区域网之间包互换形式更具灵活性。诸多网络都得益于使用混合方式来构造整个网络架构。在大多数状况下，可在骨干网某些使用专线而在区域网或本地网接入某些使用包互换服务。使路由器管理更容易－－由于层次化网络构造使网络分层，相对缩小网络区域使路由器邻居或对等通信端数量减少，因而路由器配备变得简朴化。3、优化广播和多点广播流量控制在包互换网络中，减少路由器之间广播信息量最直接办法就是使用更少数目路由器组，通过层次化模块设计可以较好地控制网络中广播。普通在包互换网络中最常用路由器之间广播信息流量是路由更新信息，如果在一种区域或一种层次中有太多路由器，那么就会由于广播因素而导致网络瓶颈。层次化网络构造使你可以对区域网向骨干网广播作出限制。依照这种层次化网络设计思想原则，咱们可以把公司Intranet网络工程整个网络体系构造分为如下三层或四层构造二级或三级网络主干：即由公司中心节点与二级节点构成一级主干网络，由二级节点和三级节点构成二级网络，三级节点和四级节点构成三级网络。如下图2.1所示：图2.1评估一级主干网络服务如图2.1所示一级主干网络所能提供功能特性涉及如下几种某些：主干网络带宽管理：为了优化主干网络操作，路由器提供几种性能调节办法，如优先权队列管理和数据压缩，动态路由合同权值定义，动态路由合同发包时间间隔优化，合同本地确认等优化和节约广域网带宽。数据传播途径优化路由器最重要特点之一是在逻辑网络环境内，自动选取最优途径传播信息。路由器依托路由合同（静态和各类动态路由合同）完毕最优途径查找工作。路由合同是在网络第三层上操作，并且各类网络合同有相应路由合同支持。如，在IP网络环境中，Cisco公司所有路由器支持所有路由合同，如OSPFRouting,RIPRouting,IGRPRouting,E-IGRPRouting,BGPRouting,EGPRoutingandHELLOPacket。路由收敛问题：途径选取涉及有关问题是路由收敛。当网络发生变化时，如主干网上路由器关机或故障，或通信线路故障，或主干网上路由器配备变化等，都会引起路由表变化，这种变化过程引起网络不能正常工作。因而，选取收敛速度快动态路由合同和避免路由慢收敛问题是网络设计核心问题之一。优化传播队列主干网上信息传播可以提成不同优先级别，将重要信息定为高优先级别，优先传播。路由器可以对诸如不同合同类型，不同传播层合同，不同应用类型设定不同传播优先级。对IP合同来讲，在网络应用层，可对诸如TELNET,FTP,SMTP,WWW等应用进行传播队列优先权设定，以保证重要数据优先传播。对传播队列优化是在各类合同及子合同基本上进行，如下图所示：负载均衡路由器支持多链路负载均衡，最多可支持四条负载均衡链路，每条链路负载阀值可以调节。途径备份一级主干网上传播都是重要信息，一级主干网途径备份就特别重要。考虑到投资成本，不规定主干网上所有路由器都双链路连接，而只考虑主干网上各中间节点到中心节点双链路连接，各中间节点之间可以无链路连接。各中间节点之间通信都跨越全国中心路由器实现。因而，全国中心路由器必要具备强大解决能力。2.3评估二级主干网络服务如图2.1所示，咱们对二级主干网络作如下评估。区域和服务过滤信息流过滤是建立在区域划分和服务类型上。来自区域内部信息不必要跨越广域网一级主干网络，这样可以减缓一级主干网络通信压力。同步，在区域内部可以针对网络服务类型（如TELNET,FTP,SMTP等）和网段地址作访问控制，这样可保证重要数据访问安全性。在路由器中，设立access-list，路由器鉴定满足条件信息包通过网络。基于方略信息分发基于方略信息分发目是保证传播性能和信息完整性。在网间网中，这种方略可以定义成一种规则或一组规则，以此来控制跨越广域主干端对端数据传播。例如一种部门，它也许有三种网络合同要跨越主干，但只但愿携带重要应用一种特殊合同迅速通过主干。另一部门，由于主干网络过于繁忙，此时只容许e-mail跨越主干等。路由合同一致性咱们建议一级和二级广域网主干动态路由合同应是一致，并采用开放路由合同如ISIS或BGP4或OSPF。采用那种动态路由合同，要依照公司网络构造和部门间从属关系拟定。介质转换介质转换技术是将不同网络链路层上帧格式转换为另一网络帧格式，例如以态网与令牌环网转换。由于区域内网络环境较为复杂，厂家必要有相应设备支持。2.4评估接入访问服务接入访问服务包括如下内容：网络增值地址网络增值地址（helpernetworkaddress）是用来解决某些特殊信息传播，使得本来是广播方式传播变为多点传播。这样，可以减少网络广播压力和路由器负载。例如，Novell客户端本来通过广播方式查找它服务器，而如果服务器不在本网段，广播信息必要通过路由器。使用helperaddress后，就容许在一种网络上节点直接向另一种网络上服务器发送信息，而不用通过路由器。网段局部访问服务基本规定是将网络提成若干网段，每个网段实行各自信息传播方略，通过路由器从而实现各网段广播信息互相隔离，减少主干网络拥塞。拟定网段，是通过子网掩码实现。灵活网段划分，通过路由器access-list网段地址过滤，可以实现灵活网络安全访问控制方略。广播和多点广播如上所说，路由器能隔离网段广播信息。然而，如果需要，路由器可以中继广播。通过路由器中继某些广播以达到一定目。IP多点广播是从一种站点向指定各种目站点发布信息，而不是向每个站点发布信息。IP多点广播为视频会议，股票交易等提供出众服务。参加多点广播计算机，必要运营IGMP合同。路由器配备IGMP(InternetGroupManagementProtocol)后，可以实现位于不同网段内计算机多点广播。安全方略如果所有信息被所有员工随意访问得到，那么安全侵犯和不合法文献访问就不可避免。为了避免这些问题，路由器要做如下工作：防止局部网络信息不正本地进入网络主干防止网络主干信息不合法进入部门或工作组实现这两大功能手段是路由包过滤。一方面，包过滤能控制未受权顾客访问，增长安全性，同步能减少网络拥塞，减少网络问题发生。路由器有一整套信息过滤方略。如对地址访问过滤，对合同访问过滤，相应用层访问过滤。详细地说，在以太网环境下，有一台主机能Telnet到Internet某一台主机，不容许Internet上该主机Telnet到这台主机上，但可以作SMTP访问。只容许一种网段通过OSPF动态路由合同，其他网段OSPF被禁止。限止某些主机访问某些网段。限止某些网段访问另某些网段。上述访问控制手段是惯用办法。此外尚有远程访问控制，普通采用认证机制。对于MODEM访问方式站点，可采用TACACS(TerminalAccessControllerAccessControlSystem)认证机制。对电话拨号站点，运营ppp合同，可采用chap或pap认证机制。路由器查找主机必要懂得其网关地址才干通过路由器访问别网段。可以用人工或动态路由方式配备主机网关地址。主机至少有一种路由器局域网端口地址作为其网关地址。但是，当有各种路由器时，主机如何拟定其网关地址呢?普通来说，主机选取那台能到达目站点最佳途径路由器作为其网关，这种状况涉及路由器查找。支持这种查找有关合同有如下几种：EndSystem-to-IntermediateSystem(ES-IS)合同ICMPRoutingDiscoveryProtocol(IRDP)合同ProxyAddressResolutionProtocol(ARP)合同OSPF和RIP合同通过对上述网络分层服务分析，咱们得出结论：对于大型公司Intranet网络工程来说，要想建设成为一种全国性、网络性能优良、网络控制极为灵活、具备很强扩展能力和升级能力大型公司综合性网络，那么在网络设计中就必要采用层次化网络设计思想。企业网间网路由协议咱们对公司网络层次构造及相应网络服务作了系统分析，各层次网络服务是建立在网络合同第三层动态路由或静态路由基本上。由于各类网络动态路由合同都存在算法上缺陷，没有一种全优网络动态路由合同能完全满足公司网络运营需要。因而，网络动态路由选取必要和整体网络构造相协调，同步和公司网络运营方式、运营成本相协调。为此，咱们简朴简介几种路由合同：3.1、RIP（RouteInformationProtocol）路由信息协议RIP路由合同与UNIX和TCP/IP紧紧地联系在一起。在互连网中RIP是最惯用路由合同。作为广泛使用一种距离矢量（DistanceVector）路由合同，RIP路由合同有如下特点：基于距离矢量路由合同路由器依照距离选取使用路由。当计算那条途径为最短途径时，路由器拟定这条途径为最佳途径并维持这条最佳途径。当新路由比原路由更佳时，由新路由将代替老路由。具备学习功能路由器定期向每个邻近网络广播报文，通过路由器间互相学习，不断更新自己路由。仅以跳数（hopcount）作为距离度量在路由器路由决策中，要考虑因素可以诸多（例如：带宽、延迟、可靠性、路由等），如果参加决策因素越多，路由方略最佳路由更加趋于合理，对网络描述更加精准。因此RIP路由合同仅将跳数作为距离度量有缺陷。最大站点数为15RIP合同容许最大站点数为15，任何超过15个站点目地均以为不可达到。RIP最大站数大大限制了大型网间网环境应用。每30秒向相邻路由器广播一次路由信息RIP路由合同采用了不少计数器，路由新计数器普通被设计为30秒。保证每个路由器在每30秒向其邻接路由器发送一次路由表。3.2、OSPF（OpenShortestPathFirst）开放式最短途径优先合同80年代中期，由于RIP路由器合同越来越不适应大规模异构网络互连。OSPF作为IETF（网间工程任务组织）为IP网络开发一种IGP（内部网关合同）合同，克服了RIP路由合同缺陷。其采用SPF（ShortestPathFirst）算法，基于链路状态路由合同。OSPF路由合同有如下特点：需要每台路由器向同域（Area）所有其他路由器发送链路状态广播（LSA）信息。路由器收集关于链路状态信息，并依照SPF算法计算出到每个结点最短途径。同域内路由器共享相似拓扑信息。路由选取分级与RIP路由合同不同，OSPF可在一种域（Area）内进行路由选取。域最大集合是自治域（AS）。AS是共享同一路由选取方略网络集合。一种自治域AS可分为各种域（Area），域是由相邻网络和连接主机构成，如图3.2.a所示。依照源点和目地与否在同一域内,OSPF有两种类型路由选取方式：当源和目在同一区域时，采用域内路由选取。当源和目不在同区域时，采用域间路由选取。由于有域概念，OSPF路由合同比那些不将AS分区状况下所需传送路由信息少得多。支持VLSM（VanableLengthSubnetMask）可变长度子网掩码技术。由于每个发布目地均涉及IP子网掩码，从而可运用子网掩码将IP网络分为不同大小子网，这种办法可节约IP地址空间并给网络管理员管理带来灵活性。对带宽和CPU等资源消耗这个SPF算法占用了CPU资源，普通来说与运算量与网内链路数目与路由器数目乘积成正比。此外当SPF路由器通电，初始链路状态包泛滥（Floodting）占用网络带宽，这些状况都是在网络设计中要考虑。3.3、EIGRP（enchansedInteriorGatewayRoutingProtocol）EIGRP即为CISCO公司所提出IGRP路由合同增强版。它是一种混合型路由选取合同，它结合了链路状态合同及距离矢量协议长处，涉及如下特点：迅速聚合－－－增强IGRP使用扩散更新算法（DUALDiffusingUpdateAlgorithm）来迅速达到聚合，运营EIGRP路由器存储有相邻路由器路由选取表,因而能迅速地适应路由变化，若不存在适当路由，EIGRP查询其相邻路由器，以发现一种不同路由，这种查询传播始终持续到新路由发现为止。变长子网掩码－－－EIGRP涉及全支持变长子网掩码，子网路由自动汇集到一种网络号边境上，除此之外，EIGRP能被配备集中在任意接口任意位边界上。某些、界限修改－－－EIGRP路由并不周期性地作修改，只是当某路由计量发生变化时，才发送某些更新。自动更新信息是自动定义其边界，因此只有那些需要此类信息路由器才修改其路由表，由于EIGRP具备这两种功能，因而它比IGRP、OSPF消耗频宽更少。支持各种网络层－－－EIGRP支持Appletalk、IP以及NOVELL等各种合同。3.4、静态路由协议以上咱们简介均为动态路由合同，固然尚有此外一种路由合同便是静态路由合同。静态路由合同是由网络系统管理员人工定制，需要制出一切所需路由。其长处为不会产生动态路由所特有路由信息广播或路由信息、更新或HELLO从而不会在系统资源：内存、CPU、带宽等方面制成额外开销。但其缺陷为会给系统管理员管理工作带来大量工作，另一方面，由于路由是静态因而不能适应网络动态变化需要而变化路由。在上面简介中咱们可以看出，作为一种大型综合公司网内部路由合同可供选取事实上有静态路由、IGRP、EIGRP和OSPF。而当咱们进行一种大型网络IP合同选用时，需考虑如下两方面因素：网络路由聚合时间网络路由环境可维护性3.5动态路由比较EIGRP是Cisco公司开发一种先进路由技术，它结合了距离向量(DV)合同和连接状态(LS)合同长处，采用了扩散更新算法（DUALDiffusingUpdateAlgorithm）达到网络迅速收敛。EIGRP支持层次化和平面网络构造，支持VLSM网络地址分派，可在任意位边界对直接相连网络进行途径叠合，只有在网络变化时EIGRP才发送路由表更新信息，因而广域网带宽挥霍很少，DUALDiffusingUpdate算法使其具备最佳收敛性，EIGRP采用五维参数来决定最佳途径：带宽、时延、可靠性、线路负载和最大数据包尺寸，不同带宽平行线路可负载平衡地同步传播数据。它采用模块化软件支持IP、IPX和AT合同。OSPF是原则、基于最短途径优先(连接状态)、能迅速收敛路由合同，它只合用于IP合同。OSPF网络拓朴必要是层次构造，分骨干域和边沿域，在设计OSPF网络时最重要是域边界定义地址分派，域边界定义决定了哪些路由器和连接包括在骨干域中，哪些涉及在每一种下连域中。OSPF支持VLSM地址分派，其途径叠合能力有限，必要在路由器中手工设立。在大型公司网络中，RIP由于其固有局限性，它已被裁减，最常用路由合同是OSPF和EIGRP，它们比较如下：OSPFEIGRP迅速收敛是是带宽运用率高高内存使用两者差不多CPU使用两者差不多路由算法dyjkstraDUAL传播类型LinkStateDistanceVector途径叠合有限任意边界合同过滤非常有限非常强rtg合同速率调节无有各种缺省途径无有区域拓朴层次必要要不要开放原则是不是顾客端可用是不是保持邻居状态是是变化只传播不是是到相关网络可用于各种不是是L3协议负载平衡传播非常有限很强网络可扩性好较好从以上比较可看出，EIGRP凝聚了距离矢量和链路状态两种算法精华，避免了两种算法各自缺陷，因而可达到最迅速度聚合。由于其采用DUAL算法，并且只有网络拓扑变化影响到路由器才参加路由计算，仅只有拓扑变化影响到路由才进行广播，因而EIGRP对CPU及网络带宽消耗都将低于OSPF、IGRP、RIP等路由合同。在大型公司网络设计中，除考虑线路带宽、延迟、可靠性等因素外，路由表大小、网络延展性、路由迅速收敛同样是影响网络功能重要因素。动态路由合同选取对于大型公司网，平面构造路由合同（如RIP，IGRP）不能满足网络性能规定。咱们推荐采用E-IGRP,OSPF路由合同,多于三层构造网络需采用BGP4网间网合同。OSPF合同是一层次化构造路由合同，可将大型网络提成若干区域。如下图： 区域划分可减少各路由器路由表尺寸；利于网络扩展；支持VLSM，可通过途径叠合（summarization）优化地址设计和路由计算。在OSPF合同中，Backbone区域是中心主干区域（Area0），主干区域路由器保持OSPF信息，负责各路由区域间路由信息分派；跨接各种区域路由器为ABR（AreaBorderRouter），其保持所连接区域路由信息，并完毕途径叠合功能（summarization）；当网络大到需提成各种自主系统（AS）时，跨接AS路由器为ASBR，在一种自主系统中可依照上述办法选取路由合同，而自主系统之间当前最佳办法是采用BGP合同进行互连。BGP最新原则是BGP4(RFC1654)，它支持CIDR。在每个自主系统中要定义BGPPEER路由器，用于在自主系统之间互换路由信息。对于OSPF区域划分原则为：每个区域内路由器不超过100个；每个路由器接口相邻路由器不超过60个；每个路由器所属区域不超过3个；所有区域必物理地连接到主干区域；企业广域网链路选择咱们从理论上分析了大型公司网络层次构造和动态路由合同。普通公司租用ISP通信线路，按照设计好层次构造进行广域连接。在申请通信线路时要综合考虑公司业务需求、QOS、运营维护费用等各种因素。ISP提供各种通信链路来满足公司顾客非实时网络应用需求，如X.25,DDN,帧中继，PSTN等。也可以选取拨号VPN技术，专线VPN技术。也可使用标记互换技术，MPLS技术等。选取通信类型要依照运营成本和运营效率综合考虑。对于广域网上实现语音、图像等多媒体应用广域网DDN，FrameRelay和ATM都能实现，但从运营费用和服务质量保证来看，采用ATM作广域链路是较好选取。当前，国内ISP没有开放ATM业务，但公司如有需要可以申请ATM服务。企业园区局域网设计(1)公司园区局域网络采用虚拟互换网络从网络性价比来看，公司局域网络逻辑构造采用互换虚拟网技术已是大势所趋。互换虚拟网络是基于ATM和局域网互换机为平台技术，其目的是真正建立一种可以满足将来多媒体信息解决时代需要公司网络。从长远角度看，采用互换虚拟网络技术可以减少组建公司网成本、提高信息技术与公司发展适应能力。互换虚拟网可以满足公司网络在如下几种方面对计算机网络需求：通过互换技术，向最后顾客提供更高带宽。可以向不同顾客、不同应用提供所需服务质量保证网络服务。提供完整网络管理和控制系统，控制网络成本，特别是隐含网络成本开销，例如网络管理、网络控制等方面开销。在外围提供前面网络互连和系统集成方案，提供端到端解决方案，提高网络互连性和可靠性，减少网络扩展成本。构造虚拟工作组网络以支持虚拟工作组工作。(2)公司局域网络主干互换公司局域网络主干作用就是互连网络各个某些，传递分布到网络各个某些数据流。主干网必要具备高效率、高可用性特性，在主干上任何一点不合理延迟都是劫难性！采用ATM互换技术可以提供边沿互换机之间高速连通性、可靠性和服务质量保证，以及支持各种数据流类型，如IP、IPX、DECnet。运用ATM技术高效拥挤控制和流量控制，高可用性和功能全面网络控制，动态顾客组管理及有效流量管理，满足大批量数据传播对带宽需求，同步满足多媒体应用对不同类型信息流和不同服务质量需求。采用千兆以太网技术可以提供极高网络主干带宽，并融合老式以太网技术和互换技术，给终端顾客提供满足应用需求带宽。虽然在带宽上满足终端顾客需求，但在网络流量管理上和服务质量上不及ATM。公司局域网络还可以采用第三层或第四层互换技术，以满足网络主干在性能上需求。(3)公司园区楼宇网络设计公司园区楼宇设计必要基于建筑物内已有或者也许设立布线构造进行设计，同步要考虑每个楼宇内信息资源中心设立，局域网之间数据通信类型和也许通信量，局域网之间需要设立安全访问控制方略，拟定网络互连模式和构造。楼宇内设计采用路由互连技术、ATM互换互连网技术和虚拟局域网组网技术。楼宇网络设计需要考虑如下问题：楼宇内部如果没有干扰，并且传播距离在100米之内，普通采用双绞线作为网络传播媒体。如果楼宇内部有电磁干扰，可以采用光纤作为传播媒体。如果楼宇内部传播距离不不大于100米，可以采用互连设备级联，也可以采用光纤作为传播媒体。在采用同一局域网技术工作组网络互连时，如果可以共享带宽，并且无安全控制需要，只是由于工作组网络覆盖距离不够，则可以采用级联集线器方式扩展网络。在采用同一种局域网技术工作组网络互连时，如果各个工作组需要独立传播带宽，则通过局域网互换机连接。采用不同局域网技术工作组网络互连时，如果互连工作组网络较少，各个工作组之间无需提供安全访问控制，并且，各个工作组网络之间需要提供迅速连接，则采用支持各种局域网接口互换机。采用不同局域网技术工作组网络互连时，如果互连工作组网络数量较多，各个工作组网络内部有较大广播报文，或工作组网络之间需要有较为严格安全访问控制，且在工作组之间没有多媒体应用，则采用路由器互连各个工作组网络。如果工作组站点地理分布，与其他工作组网络站点地理分布重复，则需要在同一地理区域采用同一局域网互换机连接不同工作组网络站点，通过互换机构成符合工作组划分虚拟网络。对于具备多媒体应用点到点站点网络服务质量保证传播信道，采用ATM技术，到桌面采用25M服务器设备接入：采用光纤155MATM接入或光纤100M以太网接入。重点终端顾客采用光纤接入核心互换机，实现安全传播。(4)公司园区虚拟局域网网络厂商相继开发了“开放”互联技术VTP(VLANTrunkingProtocol)，支持原则是ISL、802.1Q，MPLS。ATM互换机和局域网互换机为虚拟局域网提供了基本平台。虚拟局域网为公司局域网络带来三个好处是：在最大限度地减少对路由器依赖基本上，有效地控制局域网内广播流量，提高站点传播效率。减少由于网络站点增长、移动和更改而增长网络维护成本。业务部门工作组逻辑组合更为灵活。在VLAN划分中，都与“群组”这个概念关于。群组是指局域网互换机一种集合。每个互换机支持群组数目有一定限制。因而，在网络规划时，必要考虑业务部门逻辑工作组数量，并选取相应互换机型号，使得互换机VLAN数量和解决性能满足业务应用需要。一种群组可以涉及全网中不同互换机端口，每个群组可以看作是一种独立通信域。如果不使用路由功能，则一种群组中通信量不能转发到另一种群组中，群组特性如下：(1)一种群组是一种广播域；(2)一种群组是互换机物理端口集合；(3)群组可以跨越各种互换机；(4)群组不能互相重叠，即每个端口只能属于一种群组；(5)群组之间帧可以通过路由转发；(6)同一群组中不同VLAN帧也可以通过路由转发。群组概念事实上是基于以端口为基本VLAN。尚有其他类型VLAN划分：(1)基于MAC地址VLAN划分，这种VLAN划分办法灵活，但管理复杂；(2)基于合同规则VLAN划分，把具备相似第三层合同网络站点归并成一种VLAN。这些站点连接互换机端口构成一种广播域，以减少在同一网络环境下不同合同栈之间互相干扰。选取不同合同类型构成不同VLAN：1、所有IP合同流量；2、所有IPX合同流量；3、所有DECnet合同流量；所有AppleTtalk流量；4、所有指定以太类型流量；5、所有携带指定源点和目点SAP（服务访问点）报头流量；6、所有携带指定SNAP（子网访问合同）类型流量。(3)基于网络地址VLAN。用IP地址和IP网络掩码划分网段。(4)基于顾客定义规则VLAN。企业网络与外网连接公司网络与外网连接发生在公司网络各个层次上，其中涉及Internet接入等。咱们称公司内部网为内网，公司外部网为外网。显然，内网和外网间加装防火墙。普通，内网和外网间采用静态路由或缺省路由。内网和外网信息访问通过防火墙进行过滤。内网和外网连接如下图所示：企业网络安全访问控制机制7.1公司安全系统设计目的是：（1）防范黑客袭击、计算机犯罪和有害信息传播（涉及计算机病毒）（2）加强应用和数据安全建立安全管理制度，注意内外兼防，重点在内部7.2安全框架安全方案科学性、可行性是其顺利实行保障。安全方案必要架构在科学安全框架之上。安全框架是安全方案设计和分析基本。美国国防部DISSP（DefenseWideInformationSystemSecurityProgram）筹划中提出三维安全框架构造，是事实上原则，反映了信息系统安全需求和体系构造共性。其简化版本阐明如下（安全框架是一种三维构造）：第一维（Ｘ轴）是安全特性，给出了七种安全属性；第二维（Ｙ轴）是系统单元，给出了信息网络系统构成；第三维（Ｘ轴）是构造层次，给出了国际原则化组织ISO开放系统互连（ISO）模型。网络平台系统平台网络平台系统平台应用平台安全管理物理环境数据完整构造层次身份鉴别访问控制数据保密不可抵赖审计管理可用性、可靠性应用层表达层会话层传播层网络层链路层物理层安全特性系统单元7.3安全方案制定 依照安全框架制定安全方案详细思路如下：拟定安全方案涉及系统单元，明确安全方案系统单元；拟定安全方案系统单元在各个层次构造安全特性。安全方案构成如下：网络平台安全方案系统平台安全方案应用平台安全方案物理环境安全安全管理方案7.4网络平台安全方案7.4.1网络系统方案功能要点1)访问控制。通过对特定网段、服务建立访问控制体系，将绝大多数袭击制止在到达袭击目的之前。检查安全漏洞。通过对安全漏洞周期检查，虽然袭击可到达袭击目的，也可使绝大多数袭击无效。袭击监控。通过对特定网段、服务建立袭击监控体系，可实时检测出绝大多数袭击，并采用相应行动（如断开网络连接、记录袭击过程、跟踪袭击源等）。2)加密通讯。积极加密通讯，可使袭击者不能理解、修改敏感信息。3)认证。良好认证体系可防止袭击者假冒合法顾客。4)备份和恢复。良好备份和恢复机制，可在袭击导致损失时，及时地恢复数据和系统服务。5)多层防御。袭击者在突破第一道防线后，延缓或阻断其到达袭击目的。6)隐藏内部信息。使袭击者不能理解系统内基本状况。7)设立安全管理机构。为信息系统提供安全体系管理、监控、保护及紧急状况服务。7.4.2网络平台安全办法网络平台安全办法应涉及局域网、广域网、互连网、防病毒和防黑客共五个方面。局域网安全办法由于局域网中采用广播方式，因而，本广播域信息传递都会暴露在黑客面前。可采用下列办法提高安全性：（1）网络分段网络分段是保证安全一项重要办法，将非法顾客与网络资源互相隔离，从而达到限制顾客非法访问目。网络分段可分为物理分段和逻辑分段两种方式：物理分段普通是指将网络从物理层和数据链路层上分为若干网段，使各网段互相间无法进行直接通讯。逻辑分段则是指将整个系统在网络层上进行分段。把网络提成若干IP子网，各子网间必要通过路由器、路由互换机、网关或防火墙等设备进行连接，运用这些中间设备（含软件、硬件）安全机制来控制各子网间访问。（2）VLAN技术虚拟网技术重要基于局域网互换技术（ATM和以太网互换）。互换技术将老式基于广播局域网技术发展为面向连接技术。网管系统有能力限制局域网通讯范畴而无需通过开销很大路由器。采用应用互换器和VLAN技术，可将广播转变为点到点通讯，从而防止大某些基于网络监听入侵手段。通过虚拟网设立访问控制，也可使在虚拟网外网络节点不能直接访问虚拟网内节点。广域网安全办法广域网采用公网传播数据，在广域网上传播信息也许会被不法分子截取。因而在广域网上发送和接受信息时要保证：（1）除了发送方和接受方外，其她人是不可知悉（隐私性）；（2）传播过程中不被篡改（真实性）；（3）发送方能确信接受方不会是假冒（非伪装性）；（4）发送方不能否认自己发送行为（非否认）。有效办法是对传播信息进行加密，采用数据签名和认证技术加密技术数据加密技术分为三类，即对称型加密、不对称型加密和不可逆加密。对称型加密使用单个密钥对数据进行加密或解密，其特点是计算量小、加密效率高。但是此类算法在分布式系统上使用较为困难。不对称型加密算法也称公用密钥算法，其特点是有二个密钥，只有两者搭配使用才干完毕加密和解密全过程。合用于分布式系统中数据加密，在Internet中得到了广泛应用。不对称加密另一用法称为“数字签名”（digitalsignature）。在网络系统中应用不对称加密算法有RSA算法和DSA算法（DigitalSignatureAlgorithm）。不可逆加密算法特性是加密过程不需要密钥，不可逆加密算法不存在密钥保管和分发问题，但是其加密计算工作量相称可观，因此通惯用于数据量有限情形下加密，例如计算机系统中口令就是运用不可逆算法加密。数字签名和认证技术认证技术重要解决网络通讯过程中通讯双方身份承认，数字签名作为身份认证技术中一种详细技术，同步数字签名还可用于通信过程中不可抵赖规定实现。认证过程普通涉及到加密和密钥互换。普通，加密可使用对称加密、不对称加密及两种加密办法混合。数字签名作为验证发送者身份和消息完整性依照。公共密钥系统（如RSA）基于私有/公共密钥对，作为验证发送者身份和消息完整性依照。CA使用私有密钥计算其数字签名，运用CA提供公共密钥，任何人均可验证签名真实性。伪造数字签名从计算能力上是不可行。并且，如果消息随数字签名一同发送，对消息任何修改在验证数字签名时都将会被发现。（5）远程访问安全性从外部拨号访问内部局域网顾客，由于使用公用电话网进行数据传播，必要严格控制其安全性。一方面，应严格限制拨号上网顾客所能访问系统信息和资源，这一功能可通过在拨号访问服务器后设立防火墙来实现。另一方面，应加强对拨号顾客身份验证功能，使用TACACS+、RADIUS等专用身份验证合同和服务器。一方面，可以实现对拨号顾客帐号统一管理；另一方面，在身份验证过程中采用PGP加密手段，避免顾客口令泄露也许性。第三，在数据传播过程中采用加密技术，防止数据被非法窃取。一种办法是使用PGP,对数据直接加密。另一种办法是采用防火墙所提供VPN（虚拟专网）技术。VPN在提供网间数据加密同步，也提供了针对单机顾客加密客户端软件，即采用软件加密技术来保证数据传播安全性。互连网安全办法对网络安全威胁重要体当前：非授权访问、冒充合法顾客、破坏数据完整性、干扰系统正常运营、运用网络传播病毒、线路窃听等方面。这就规定咱们对与Internet互连所带来安全性问题予以足够注重。大型网络系统与Internet互连第一道屏障是防火墙。其重要作用是在网络入口点检查网络通讯，依照客户设定安全规则，在保护内部网络安全前提下，提供内外网络通讯。防火墙能做到：保护脆弱服务 通过过滤不安全服务，可以极大地提高网络安全和减少子网中主机风险。控制对系统访问 提供对系统访问控制。集中安全管理 对公司内部网实现集中安全管理，防火墙所定义安全规则可以运用于整个内部网络系统，而不必在内部网每台机器上分别设立安全方略。增强保密性 可以制止袭击者获取袭击网络系统有用信息记录和记录网络运用数据以及非法使用数据记录和记录通过防火墙网络通讯，提供关于网络使用记录数据，还可以提供记录数据，用以判断也许袭击。但防火墙做不到：停止所有外部入侵；完全不能制止内部袭击；防病毒；终结有经验黑客；提供完全网络安全性。因而，系统还应当具备防病毒和防黑客功能。防病毒安全办法由于Internet迅速发展，将文献附加在电子邮件中能力不断提高，使得病毒扩散速度急骤提高，范畴越来越广。（1）多层病毒防卫体系为了公司财产免受损失，多数公司都选取多层病毒防卫体系。多层病毒防卫体系，是指在公司每个台式机上要安装台式机反病毒软件，在服务器上要安装基于服务器反病毒软件，在INTERNET网关上要安装基于INTERNET网关反病毒软件。（2）市场反病毒产品当前市场上有各种反病毒软件：第一种是高档桌面反病毒套装软件。第二种是服务器级反病毒套装件。第三种Internet网反病毒软件。防黑客安全办法 （1）入侵检测运用防火墙技术，通过仔细配备，普通可以在内外网之间提供安全网络保护，减少了网络安全风险。但是，仅仅使用防火墙，网络安全还远远不够,这是由于：入侵者可寻找防火墙背后也许敞开后门。入侵者也许就在防火墙内。由于性能限制，防火墙普通不能提供实时入侵检测能力。入侵检测系统是近年浮现新型网络安全技术，目是提供实时入侵检测及采用相应防护手段，如记录证据用于跟踪和恢复、断开网络连接等。实时入侵检测不但可以对付来自内部网络袭击，也可以制止黑客入侵。入侵检测系统可分为基于主机和基于网络两类。基于主机入侵检测系统用于保护核心服务器，实时监视可疑连接，检查系统日记和制止非法访问闯入，并且提供对典型应用如WEB服务器应用监视。基于网络入侵检测系统用于实时监控网络核心途径信息。基于主机及网络入侵监控系统普通可配备为分布式模式，其要点如下：在需要监视服务器上安装监视模块（Agent），分别向管理服务器报告及上传证据，提供跨平台入侵监视解决方案。在需要监视网络途径上，放置监视模块（Sensor），分别向管理服务器报告及上传证据，提供跨网络入侵监视解决方案。（2）对核心服务器保护 由于网络安全监控系统自身局限性，不可避免地出会现误报、漏报等状况。因而，在提供核心服务服务器上，安装实时安全监控系统，可以使整个网络安全系统更加强健。 实时安全监控系统为核心服务器提供了实时保护。通过监视来自网络袭击、非法闯入和异常进程，并作出切断服务/重启服务器进程/发出警报/记录入侵过程等动作。 实时监控也可配备为分布式模式，由安装在每台服务器上监视模块进行袭击辨认及动作执行，服务器则完毕管理和记录工作。当前，此类系统可安装于NT4.0、Solaris2.5、2.6AIX4.1.5以上操作系统。关于系统安全和网络安全办法，可进一步参阅第四章关于内容。7.5系统平台安全方案7.5.1操作系统安全方案网络操作系统是计算机和顾客之间接口，是管理网络资源核心系统，它负责向通信设备发送信息，管理存储设备上存储空间和将信息装入内存等调度工作。网络操作系统采用管理文献目录办法进行管理，并且运用口令字标志存取控制权限，用加密及其他某些手段来提高文献安全性。 UNIX主机在Internet上有着非常重要地位，而WindowsNT具备较好顾客界面和域特性，因而它们被广大顾客所采用。（1）UNIX系统安全特性UNIX系统自身具备良好安全性，按照可信计算机评价原则，它达到C2级原则。它提供如下安全特性：操作可靠性选取性访问控制对象可用性个人身份标记与认证审计网络文献系统（2）WindowsNT安全特性WindowsNT已将安全性嵌入操作系统，有选取访问控制可使系统管理员能对单个文献赋予权限。在安全管理上，采用了分布式安全服务与集中式安全管理相结合方略，可以简化域管理，改进系统性能。此外，还集成了基于公用钥加密Internet安全技术。WindowsNT顾客可以使用易于使用工具和通用顾客界面，通过对话来管理她们用于访问Inetrnet资源私钥/公钥对和身份证书。个人安全证书通过安全存储方式存储。（3）操作系统中漏洞几乎所有操作系统均已发既有安全漏洞，并且越流行操作系统发现问题越多。（4）操作系统安全办法选取由大写字母、小写安母、数字构成6个符号作为口令。避免用有特殊意义口令，例如实际名字或单字。经常定期变化口令，且不告诉别人。对超级顾客采用双口令。注册次数限制。对于多次不对的注册顾客，进行一次性回绝。不断增长供货商发布安全补丁。在操作系统中安装网络访问控制验证工具。7.6数据库管理系统安全方案7.6.1数据库系统基本安全框架数据库系统信息安全性依赖于两个层次：一层是数据库管理系统自身提供顾客名/口令字辨认、使用权限控制、审计等管理办法，另一层是靠应用程序设立控制管理。作为数据库顾客，最关怀是自身数据安全，特别是顾客查询权限问题。对此，当前某些大型数据库管理系统如Oracle、SyBASE等产品提供了如下几种重要手段：（1）顾客分类对不同类型顾客授予不同数据管理权限。普通将权限分为三类：数据库登录权限类；资源管理权限类；数据库管理员权限类。有了数据库登录权限顾客才干进入数据库管理系统，才干使用数据库管理系统所提供各类工具和实用程序。同步，数据库客体主人可以授予此类顾客以数据查询、建立视图等权限。此类顾客只能查阅某些数据库信息，不能改动数据库中任何数据。具备资源管理权限顾客，除了拥有上一类顾客权限外，尚有创立数据库表、索引等数据库客体权限，可以在权限容许范畴内修改、查询数据库；还能将自己拥有权限授予其她顾客，可以申请审计。具备数据库管理员权限顾客将具备数据库管理一切权限，涉及访问任何顾客任何数据，授予（或回收）顾客各种权限，创立各种数据库客体，完毕数据库整库备份，装入重组，以及进行全系统审计等工作。此类顾客工作是谨慎而带全局性工作，只有很少数顾客属于这种类型。（2）数据分类同一类权限顾客，对数据库中数据管理和使用范畴又也许是不同。为此数据库管理系统提供了将数据分类功能，即建立视图。管理员把某顾客查询数据逻辑归并起来，建成一种或各种视图，并赋予名称，再把该视图查询权限授予该顾客（也可以授予各种顾客）。这种数据分类可以进行得很细，其最小粒度是数据库二维表中一种交叉元素。（3）审计功能大型数据库管理系统提供审计功能是一种十分重要安全办法，它用于监视各顾客对数据库施加动作。有两种审计方式，即顾客审计和系统审计：顾客审计时，数据库管理系统审计系统记录下所有对自己表或视图进行访问企图（涉及成功和不成功）及每次操作顾客名、时间、操作代码等信息。这些信息普通都被记录在数据字典（系统表）之中；顾客可以运用这些信息进行审计分析。系统审计由系统管理员进行，其审计内容重要是系统一级命令以及数据库客体使用状况。例如，Oracle8数据库具备审计发生在其内部所有操作能力。它可对三种不同类型操作进行审计：注册企图、对象访问和数据库操作。注册审计：对每个连接数据库企图进行审计。操作审计：对影响数据库对象（如表、数据库链、表空间、索引等）任何操作（如create、alter和drop等）进行审计。对象审计：对对象数据互换操作（涉及对表选取、插入、更新和删除等）进行审计。7.6.2数据库加密普通而言，数据库系统提供上述基本安全技术可以满足普通数据库应用，但对于某些重要部门或敏感领域应用，仅靠上述这些办法是难以完全保证数据安全性；某些顾客特别是某些内部顾客仍也许非法获取顾客名、口令字，或运用其他办法越权使用数据库，甚至可以直接打开数据库文献来窃取或更改信息。因而，有必要对数据库中存储重要数据进行加密解决，以实现数据存储安全保护。（1）数据库加密特点与老式信息加密技术相比，数据库密码系统有其自身规定和特点。老式加密以报文为单位，加密和解密都是从头到尾进行。数据库数据使用方针决定了它不也许以整个数据库文献为单位进行加密。当符合检索条件记录被检索出来后，就必要及时对该记录解密。然而该记录是整个数据库文献中随机一段，无法从中间开始解密，除非从头到尾进行一次解密，然后再去查找相应这个记录。显然，这是不适当，必要解决随机地从数据库文献中某一段数据开始解密问题。数据库密码系统应采用公开密钥老式密码系统中，密钥是秘密，懂得人越少越好。人们一旦获取了密钥和密码体制就能攻破密码，解开密文。而数据库数据是共享，有权限顾客随时需要懂得密钥来查询数据。因而，数据库密码系统宜采用公开密钥加密办法。假设数据库密码系统加密算法是保密，并且具备相称强度，那么运用密钥，采用OS和DBMS层工具，也无法得到数据明文。加密机制有些公开密钥体制密码，如RSA密码，其加密密钥是公开，算法也是公开，但其算法是各人一套；而作为数据库密码加密算法不也许因人而异，加之寻找这种算法有其自身困难和局限性，机器中也不也许存储诸各种算法，因而此类典型公开密钥加密体制也不适合于数据库加密。数据库加/解密密钥应当是相似、公开，而加密算法应当是绝对保密。多级密钥构造数据库关系运算中参加运算最小单位是字段，查询途径依次是库名、表名、记录号和字段名。因而，字段是最小加密单位。也就是说，当查得一种数据后，该数据所在库名、表名、记录名、字段名都应是懂得。相应库名、表名、记录号、字段名都应当具备自己子密钥；这些子密钥构成一种可以随时加/脱密公开密钥。可以设计一种数据库，其中存储关于数据库名、表名、字段名子密钥，普通办法应是在该记录中增长一条子密钥数据字段。（2）数据库加密范畴数据加密通过对明文进行复杂加密操作，来达到她人无法发现明文和密钥之间内在关系目，也就是说，通过加密数据经得起来自操作系统和数据库管理系统袭击。另一方面，DBMS要完毕对数据库文献管理和使用，必要具备可以辨认某些数据条件。据此，只能对数据库中数据进行某些加密。7.6.3数据库安全办法数据库管理系统安全性能达到C2级原则(Oracle产品能满足此规定)。数据库对象（如表、视图、索引、触发器等）所有权必要明拟定义。为系统安全管理员提供创立和修改顾客口令功能，而数据库管理人员应不懂得顾客口令。按照顾客或操作行为有选取地进行审计，审计信息加以保护，防止非法访问，审核信息必要涉及充分数据，以拟定“谁”在“什么时候”从“何地”访问了“何种数据”。审核信息作为系统备份方略一某些经常备份，在超过保存期后，旧审核信息应归档，应提供工具，以简化数据库管理员对审核信息访问。顾客离开后，其帐号必要注销，长期离职状况下，其帐号应暂停使用。应做必要检测以防止从操作系统级越过数据库管理系统对数据库进行非法操作。对敏感数据进行加密管理。7.7应用平台安全方案 应用平台重要指应用软件和数据管理，其安全功能重要涉及如下内容： （1）身份认证：完毕顾客和服务器之间双向身份认证，实现跨平台、跨应用系统安全单点登录，它是实现访问控制、审计和抗否认等基本。 （2）访问控制：依照身份实现应用和服务精粒度或细粒度访问控制，防止非授权访问。 （3）数据完整性和保密性：在身份认证、访问控制、数据传播等过程中，对数据进行加密保护或完整性保护。 （4）审计记录：审计功能具备可扩充性，可溯性且能进行全局审计。详细记录资源被访问状况，能跟踪到“谁”在“何时”、“何地”、“修改”、“访问了”、“何种数据