大型企業網絡設計方案書(編輯修改稿)

　

【文章內容簡介】 網絡維護管理等，這些管理不僅在本地網絡上可以操作，而且能夠在遠程網絡間進行互操作。 網絡的兼容性 當一個已有的網絡在采用新技術或新的網絡設備進行改進、擴充和升級時，這些新的網絡設施 (軟、硬件 )是否能與原有的或其他的網絡設施兼容是非常重要的。兼容性好可以保護原有的投資，可使新投資與原有的投資同時發揮效益。 網絡的可用性 建成后網絡的可用性高低是網絡用戶最為關心的，它也是對網絡質量和網絡性能的綜合衡量。可用性是網絡本身很多物理特性的總體體現，如網絡的帶寬、網絡帶寬效 率、網絡時延、網絡負載、網絡故障頻率等狀況。同時也是網絡系統環境、網絡應用環境和網絡應用的支持能力、水平和質量的總體反映。 網絡的 擴展 縮性 網絡的可伸縮性不只是一種網絡設施在構造網絡時，在規模上可依據需要擴大或減小，而且還應體現在網絡的模塊化和結構化方面。網絡體系結構的模塊化、結構化是現代化網絡技術產品的標志和趨勢，為今后黨政網絡體系的構成注入新的活力。網絡管 理的任意性和網絡配置的簡便性等是網絡可伸縮性的另一重要方面。 網絡的經濟性 一個好的網絡并不是高價網絡設備的簡單堆積，并不是網絡設備越好，網絡就越好。衡量一個網絡的好壞和它的經濟性，不能單看所用的投資的多少，而應以網絡所具 有的功能和網絡可承擔的負荷，如網上的用戶數、數據流量等參數去綜合衡量。以 “ 少花錢，多辦事 ”的原則，獲得更大的經濟效益和社會效益。 網絡設計 網絡拓撲圖 IP 地址設計 設計原則： 簡單性；地址的分配應該簡單，避免在小區內采用復雜的掩碼方式。 連續性；為同一個樓內區域分配連續的網絡地 址，便于管理，易于維護。 可擴充性；為整個小區或樓內區域分配的網絡地址應該具有一定的容量，便于主機數量增加時仍然能夠保持地址的連續性。 靈活性；地址分配不應該基于某個網絡路由策略的優化方案，應該便于多數路由策略在該地址分配方案上實現優化。 可管理性；地址的分配應該有層次，某個局部的變動不要影響上層、全局。 安全性；小區內應按工作內容劃分成不同網段即子網以便進行管理。 設計方案： 1． 公司對外只有一個公網 IP，所以采用內網采用內網地址 到。邊界路由進行 NAT 轉換。 2． 全網根據個部門的分工，及職能進行子網的劃分。以及 VLAN 的劃分。 3． 同一建筑物進行連續的網絡地址劃分。 4． 進行層次化的劃分方式。 5． 考慮全局的路由策略。 6． 考慮網絡的可擴展性。 無類別域間路由和路由匯聚 無類別域間路由（ CIDR） CIDR 是開發用于幫助減緩 IP 地址和路由表增大問題的一項技術。 CIDR（ Classless InterDomain Routing，無類域間路由）的基本思想是取消 IP 地址的分類結構，將多個地址塊聚合在一起生成一個更大的網絡，以包含更多的主機。 CIDR 支持路由聚合，能夠將路由表中的許多路 由條目合并為成更少的數目，因此可以限制路由器中路由表的增大，減少路由通告。同時， CIDR有助于 IPv4 地址的充分利用。 CIDR 叫做無類域間路由 ,ISP 常用這樣的方法給客戶分配地址 ,ISP 提供給客戶 1 個塊 (block size),類似這樣 :,這排數字告訴你你的子網掩碼是多少 ,/28 代表多少位為 1,最大 /的 1 點是 :不管是 A 類還是 B 類還是其他類地址 ,最大可用的只能為 30/,即保留 2位給主機位。 安全體系設計 物理安全 網絡的物理安全是整個網絡系統安全的前提。在 校園網工程建設中，由于網絡系統屬于弱電工程，耐壓值很低。因此，在網絡工程的設計和施工中，必須優先考慮保護人和網絡設備不受電、火災和雷擊的侵害；考慮布線系統與照明電線、動力電線、通信線路、暖氣管道及冷熱空氣管道之間的距離；考慮布線系統和絕緣線、裸體線以及接地與焊接的安全；必須建設防雷系統，防雷系統不僅考慮建筑物防雷，還必須考慮計算機及其他弱電耐壓設備的防雷。總體來說物理安全的風險主要有，地震、水災、火災等環境事故；電源故障；人為操作失誤或錯誤；設備被盜、被毀； 電磁干擾；線路截獲；高可用性的硬件；雙機多冗余的設 計；機房環境及報警系統、安全意識等，因此要盡量避免網絡的物理安全風險。 網絡傳輸安全 ? 網絡傳輸數據保護； 由安裝在網絡上的 VPN 設備實現各內部網絡之間的數據傳輸加密保護，并可同時采取加密或隧道的方式進行傳輸 ? 網絡隔離保護； 與 INTERNET 進行隔離，控制內網與 INTERNET 的相互訪問 ? 集中統一管理，提高網絡安全性； ? 降低成本（設備成本和維護成本）； 訪問控制 ? 控制外部合法用戶對內部網絡的網絡訪問； ? 控制外部合法用戶對服務器的訪問； ? 禁止外部非法用戶對內部網絡的訪問； ? 控制內部用戶對外部網絡的網絡； ? 阻 止外部用戶對內部的網絡攻擊； ? 防止內部主機的 IP 欺騙； ? 對外隱藏內部 IP 地址和網絡拓撲結構； ? 網絡監控； ? 網絡日志審計； 入侵檢測 網絡安全不可能完全依靠單一產品來實現，網絡安全是個整體的，必須配相應的安全產品。作為必要的補充，入侵檢測系統（ IDS）可與安全 VPN 系統形成互補。入侵檢測系統是根據已有的、最新的和可預見的攻擊手段的信息代碼對進出網絡的所有操作行為進行實時監控、記錄，并按制定的策略實行響應（阻斷、報警、發送 Email）。從而防止針對網絡的攻擊與犯罪行為。入侵檢測系統一般包括控制臺和探測器（網絡引擎）。控制臺用作制定及管理所有探測器（網絡引擎）。探測器（網絡引擎）用作監聽進出網絡的訪問行為，根據控制臺的指令執行相應行為。由于 探測器采取的是監聽而不是過濾數據包，因此，入侵檢測系統的應用不會對網絡系統性能造成多大影響。 漏洞掃描 作為一個完善的通用安全系統，應當包含完善的安全措施，定期的安全評估及安 全分析同樣相當重要。由于網絡安全系統在建立后并不是長期保持很高的安全性，而是隨著時間的推移和技術的發展而不斷下降的，同時，在使用過程中會出現新的安全問題，因此，作為安全系統建設的補充，采取相應的措施也是必然。 本方案中，采用漏洞掃描設備對網絡系統進行定期掃描，對存在的系統漏洞、網絡漏洞、應用程序漏洞、操作系統漏洞等進行探測、掃描，發現相 應的漏洞并告警，自動提出解決措施，或參考意見，提醒網絡安全管理員作好相應調整。 病毒防護 因為病毒在網絡中存儲、傳播、感染的方式各異且途徑多種多樣，相應地企業在構建網絡防病毒系統時，應利用全方位的企業防毒產品，實施“層層設防、集中控制、以防為主、防殺結合”的策略。具體而言，就是針對網絡中所有可能的病毒攻擊設置對應的防毒軟件，通過全方位、多層次的防毒系統配置，使網絡沒有薄弱環節成為病毒入侵的缺口。本方案中在選擇殺毒軟件時應當注意幾個方面的要求：具有卓越的病毒防治技術、程序內核安全可靠、對付國產和國外病毒能力超 群、全中文產品，系統資源占用低，性能優越、可管理性高，易于使用、產品集成度高、高可靠性、可調配系統資源占用率、便捷的網絡化自動升級等優點。 病毒對信息系統的正常工作運行產生很大影響，據統計，信息系統的 60%癱瘓是由于感染