数据通信课程设计

某企业网络方案设计日期：2011年5月18日

一．概述

现今，网络技术已经成为现代信息技术的主流，人们对网络的认识也随着网络应用的逐渐普及而迅速改变。在不久的将来，网络必将成为和电话一样通用的工具，成为人们生活、工作、学习中必不可少的一部分。

Internet，即国际互联网，是现在网络应用的主流，从它最初在美国诞生至今已经经历了三十多年。这个以TCP/IP协议为主体的国际互联网络已经成为覆盖全世界一百五十多个国家和地区的大型数据通信网络。最初的Internet是由科研网络形成的，主要是由一些大学和研究所等科研教育单位连接而成，逐渐发展到今天的规模。而进入九十年代后，由于各种商业信息进入了Internet，使得Internet 得到了极大地发展，其拥有的主机数，连接的网络数以及覆盖面一直呈指数形式上升。现在在Internet上可以提供或者获得各种各样的服务，比如通过电子邮件进行合同的起草和签订，或利用Internet直接挑选商品和购物。

Internet是一个资源的网络，其中拥有的信息资源几乎覆盖所有的领域。Internet面向人类的社会，世界上数以亿计的人们利用它进行通信和信息共享，通过发送和接收电子邮件，或和其他人的计算机建立连接、参加各种讨论组并免费使用各种信息资源实现信息共享。

Internet也是一个服务的网络。在Internet上，许多单位、公司和组织提供了各种各样的服务。比如WWW（World Wide Web全球信息网）服务、信息查询服务等，向网络上的其他用户展示自己各方面的情况，并帮助这些用户找到需要的信息。

我国对计算机网络的建设投入了大量的人力和物力，在短短的几年中，已经从最初仅仅局限在教育科研单位的网络，迅速发展到今天遍及全国的包括教育、科研、商业、民用各个方面的数个大型网络，如Chinanet（中国邮电网）、Cernet （中国教育网）、Gbnet（金桥网络）等等。目前在网络上提供有价值、有吸引力的信息，对一个单位或学校树立自己的形象，提高自己的知名度，以及开拓和国际上其他学校、组织的联系和往来能够起到很显著的作用。

网络以其无时间限制、传播速度快、信息容量大、查阅方便、交互性强等方面的特点，为其它的媒体所不能比拟，也成为较少投入获得最大回报的最优途径。企业上网不仅可以为客户提供各类信息，挖掘潜在的客户，更可以提供强大的交互功能，为企业在互联网提供各类商业贸易服务（即电子商务）。网络给企业带来了种种便利和新的商机,通过网络企业不仅仅更快得到产品及技术方面的最新资讯,并且带来了更为广阔的市场。对于大中型企业来说,架设一个属于自己的Internet网站,使外界通过网络了解企业,从而进一步通过网络实现企业的电子商务,已经成为当代企业的必经之路。

本系统针对某企业网络需求，设计出了一网络系统，用以满足企业信息化的要求,为各类应用系统提供方便、快捷的信息通路；具有良好的性能，能够支持大容量和实时性的各类应用；能够可靠运行，具有较低的故障率和维护要求。提供网络安全机制，满足企业信息安全的要求，具有较高的性价比，未来升级扩展容易，保护用户投资；用户使用简单、维护容易，为用户提供良好的售后服务。同时，网络设备还选择了拥有足够实力和市场份额的厂商的主流产品，同时设备厂商必须要有良好的市场形象与售后技术支持。

二、系统需求分析

1、企业网络案例分析

基本情况：总部位于福州，在厦门、泉州设置了分部。

总部情况：市场部，2间办公室，共30个信息点

行政部，2间办公室，共20个信息点

技术部，2间办公室，共50个信息点

客服部，1间办公室，共10个信息点

信息中心，1间办公室，共10个信息点

领导办公室，共7间，每间2个信息点

会议室，共3间，每间面积约30 M2，要求做WLAN 覆盖

2、需求情况分析：

●总部及分部间的广域网连接方案

●总部局域网建设方案

●WLAN网络建设

●信息化应用包括邮件、OA系统、公司网站、公司共享资源库、出差的员工能够远程访问公司网络

三、系统可行性分析及周期性

四、网络技术方案设计

1、网络系统设计原则

根据上面对企业网网络需求的分析，我们制定以下系统设计的原则：

（1）整体规划、分步实施原则。

充分考虑整体需求，既要考虑到目前的应用需求，还应考虑企业网建设过程中的资金投入不可能一步到位、以及今后出现新技术和新需求的实际情况，做到升级维护简单易行，后期建设不浪费原有投资。

（2）先进性和成熟性原则。

要有先进的设计思想和超前意识，设计要充分应用已经成熟的先进技术，采用市场覆盖率高、标准化和技术成熟的软硬件产品，能根据技术的发展平稳的向新技术过渡，保证网络通讯介质、网络设计核心的向后兼容性。

（3）可扩充性原则。

要建设成完整统一、组网灵活、易扩充的弹性网络平台，采用层次性的系统设计原则，使网络具有良好的可扩充性，在将来网络升级或再投资的情况下，能随时通过增加网络设备或模块来对现有设备进行升级和扩充，并能把替换下来的设备应用到分支或边缘网络上。

（4）开放性和标准化原则。

网络设计采用开放技术、开放结构、开放系统组件和开放用户接口，能兼容不同的拓扑结构，支持良好的维护、测量和管理手段，提供网络统一实时监控，实现设备的统一管理；整个网络系统全部采用或符合国际标准，以便和不同厂家的产品互操作和互联，自由地选择不同厂家的计算机、网络设备及操作系统。

（5）安全可靠性原则。

充分考虑整个网络的稳定性，要充分考虑关键链路、设备、系统的冗余设计，支持网络节点的备份和线路保护，通过使用网络用户身份识别、vlan、包过滤、入侵检测及防火墙等技术建立全方位、立体化的网络安全体系，保证网络系统的安全性。

（6）易管理与维护。

企业网络系统的节点数目大，分布范围广，通信介质多种多样，采用的网络技术也较先进，尤其引入交换式网络和虚拟网之后，网络的管理任务加重了，如何有效地管理好网络关系,是否充分有效地利用网络的系统资源等问题就摆在我们面前。用图形化的管理界面和简洁的操作方式，可以提供强大的网络管理功能，使网络日常的维护和操作变得直观、简便和高效。

（7）经济实用性原则。

网络规划设计应具有良好的性价比，要考虑到网络技术的日新月异，选择网络设备时要有前瞻性，要能够兼容未来的标准技术及应用，避免现在选择的技术或设备在一段时间后就会过时甚至被淘汰，造成新一轮的大规模投资，尽量减少二次投资。

上述系统设计的原则将自始自终贯穿整个系统的设计和实现。

2、主要网络设备的选择原则

根据已制定的网络系统设计原则，我们所选择的网络设备必须具有安全、稳定、可靠，技术先进，便于扩展，管理和维护方便等特点，其中网络设备选型基本原则包括：交换机选型原则、路由器选型原则、防火墙选型原则、服务器选型原则、UPS选型原则等。

(1)交换机选型的基本原则：

适用性与先进性相结合的原则：不同品牌的交换机产品价格差异较大，功能也不一样，因此选择时不能只看品牌或追求高价，也不能只看价钱低的，应该根据应用的实际情况，选择性能价格比高，既能满足目前需要，又能适应未来几年网络发展的交换机。

选择市场主流产品的原则：选择交换机时，应选择在国内市场上有相当的份额，具有高性能、高可靠性、高安全性、高可扩展性、高可维护性的产品，如中兴、3Com、华为的产品市场份额较大。

安全可靠的原则：交换机的安全决定了网络系统的安全，选择交换机时这一点是非常重要的，交换机的安全主要表现在VLAN的划分、交换机的过滤技术。

产品与服务相结合的原则：选择交换机时，既要看产品的品牌又要看生产厂商和销售商品是否有强大的技术支持、良好的售后服务。

(2)路由器选型的基本原则：

实用性原则：采用成熟的、经实践证明其实用性的技术。这能满足现行业务的管理，又能适应3~5年的业务发展的要求。

可靠性原则：设计详细的故障处理及紧急事故处理方案，保证系统运行的稳定性和可靠性。

标准性和开放性原则：网络系统的设计符合国际标准和工业标准，采用开放式系统体系结构。

先进性原则：所使用的设备应支持VLAN划分技术、HSRP （热备份路由协议）技术、OSPF等协议，保证网络的传输性能和路由快速改敛性，抑制局域网内广播风暴，减少数据传输延时。

安全性原则：系统具有多层次的安全保护措施，可以满足用户身份鉴别、访问控制、数据完整性、可审核性和保密性传输等要求。

扩展性原则：在业务不断发展的情况下，路由系统可以不断升级和扩充，并保证系统的稳定运行。

性价比：不盲目追求高性能产品，要购买适合自身需求的产品。

(3) 选择核心路由器的基本原则：

核心路由器最需要注意的就是路由器的可靠性和可用性。在核心路由器技术规范中，核心路由器的可靠性与可靠性规定应达到以下要求：

系统应达到或超过99.999%的可用性；

无故障连续工作时间：MTBF>10万小时；

故障恢复时间：系统故障恢复时间< 30 mins；

系统应具有自动保护切换功能。主备用切换时间应小于50ms；

SDH和ATM接口应具有自动保护切换功能，切换时间应小于50ms；

要求设备具有高可靠性和高稳定性。主处理器、主存储器、交换矩阵、电源、总线仲裁器和管理接口等系统主要部件应具有热备份冗余。线卡要求m+n 备份并提供远端测试诊断功能。电源故障能保持连接的有效性。系统必须不存在单故障点。

(4)防火墙选型的基本原则：

总拥有成本和价格：防火墙产品作为网络系统的安全屏障，其总拥有的成本不应该超过受保护网络系统可能遭受最大损失的成本。防火墙的最终功能将是管理的结果，而非工程上的决策。

明确系统需求：即用户需要什么样的网络监视、冗余度以及控制水平。确定总体目标，确定了可接受的风险水平后，可以列出一个必须监测怎样的传输、必须允许怎样的传输流通行，以及应当拒绝什么传输的清单。

应满足企业特殊要求：企业安全政策中的某些特殊需求并不是每种防火墙都能提供的，这常会成为选择防火墙时需考虑的因素之一，企业常见的需求如下：a．加密控制标准；

b．访问控制；

c．特殊防御功能。

防火墙本身是安全的：作为信息系统安全产品，防火墙本身也应该保证安全，不给外部侵入者以可趁之机。

不同用户选择不同：对于电信级用户、企业级用户、个人单机级用户区别对待。

管理与培训：在计算防火墙的成本时，不能只简单地计算购置成本，还必须考虑其总拥有成本。人员的培训和日常维护费用通常会占据较大的比例。

可扩充性：随着网络的扩容和网络应用的增加，网络的风险成本也会急剧上升，因此便需要增加具有更高安全性的防火墙产品。

防火墙的安全性：防火墙产品最难评估的方面是防火墙的安全性能，即防火墙是否能够有效地阻挡外部入侵。这一点同防火墙自身的安全性一样，普通用户通常无法判断，即使安装好了防火墙，如果没有实际的外部入侵，也无从得知产品性能的优劣。但在实际应用检测安全产品的性能是极为危险的，所以用户在选择防火墙产品时，应该尽量选择占市场份额较大同时又通过了国家权威认证机构认证测试的产品。

(5)服务器选型的基本原则：

稳定可靠原则：为了保证网络的正常运转，用户选择的服务器首先要确保稳定。特别是运行用户重要业务的服务器或存放核心信息的数据库服务器。

合适够用原则：对于用户来说，最重要的是从当前实际情况以及将来的扩展出发，有针对性地选择满足当前的应用需要并适当超前，投入又不太高的解决方案。避免服务器采购走向追求性能，求高求好的误区。

扩展性原则：为了减少升级服务器带来的额外开销和对业务的影响，服务器应当具有较高的可扩展性，可以及时调整配置来适应用户自身的发展。

易于管理原则：所谓易于操作和管理主要是指用相应的技术来简化管理以降低维护费用成本，一般通过硬件与软件两方面来达到这个目标。

售后服务原则：选择售后服务好的厂商的产品是明智的决定。在具体选购服务器时，用户应该考察厂商是否有一套面向客户的完善的服务体系及未来在该领域的发展计划。

(6) UPS电源选型的基本原则：

UPS的容量：UPS的额定容量是指UPS的最大输出功率（电压V和电流A的乘积）。通常市场上所售的UPS电源，容量较小的以“W”（瓦特）为单位来标识。

功率因数：功率因数在0～1之间，它表示了负载电流做的有用功（W）的百分比。

实际负载情况：P=∑Pi/f；即实际所有负载的总和∑Pi，再除以功率因数f，f=0.6~0.8,即可得到实际负载容量P。

预留扩容：考虑到业务发展的可能，在不大量追加投资情况下，增加UPS 输出容量，这可通过选择可以实现现场扩容的UPS产品，如现在模块化UPS产品及提前购买大容量UPS来实现。

电池供电时间：电池供电时间主要受负载大小、电池容量、环境温度、电池放电截止电压等因素影响。根据延时能力，确定所需电池的容量大小，用安时（AH）值来表示，以给定电流安培数时放电的时间小时数来计算。一般UPS配置用以下公式计算:电源功率（V A）×延时时间（小时数）÷电源启动直流=所需蓄电池安时数（AH）

UPS的输入电压范围：即UPS允许市电电压的变化范围，也就是保证UPS 不转入电池逆变供电的市电电压范围。范围越大说明UPS适应性越好。输入电压范围越宽，UPS电池放电的可能性越小，电池的寿命就相对延长。

UPS电源保护解决方案：用户应根据自己网络系统的实际需求，同UPS 广商或经销商讨论采用适宜自己系统的UPS电源保护解决方案。一般有集中式保护、分布式保护和综合式保护等方案。

UPS的外观、体积、重量及噪音等因素：对于大多数中小型网络用户而言，UPS是与计算机、网络设备等一起放置在办公环境中的，所以，在选购UPS时，还应考虑到UPS的外观、体积、重量及噪声等因素。应选择外形美观、体积小、重量轻、低噪声的UPS，尤其要注意UPS中电池组的摆放位置问题，要考虑楼板的负荷。

3、网络设计方案描述

总体网络采用基于树型的双星型结构，使之具有链路冗余特性；整体网络规划为核心及服务器群区域，内部骨干区域（汇聚链路），接入层上联区域，客户端接入区域；核心交换机位于集团总部机房，并为双核心，使用双主干网络设计，保证主交换机网络的容错。在一台交换机出现故障的时候保障网络的正常运行，

也不用手工切换和维护，保证网络的可靠性。采用全交换硬件体系结构，可实现全线速的IP交换；网络主干采用先进的千兆位以太交换技术，可最大限度地提高主干的数据传输速率。使用千兆网络保证网络交易速度与实时性，使用了FEC/GEC 技术实现网络带宽的扩展，适应网络不断扩展的要求。

根据需求概括，我们选择的是D-Link企业级的DES-8503万兆核心交换机为本次网路建设总部机房的核心交换；DES-8503万兆核心路由交换机作为新一代大容量、高密度、高性能、模块化核心路由交换机产品，其背板带宽高达3.2Tbps，包转发速率最大为952Mpps，具备二到四层线速交换能力。DES-8503万兆路由交换机基于先进的模块化理念进行设计，并采用了基于多处理器分布式处理机制和Crossbar空分交换结构的体系结构，关键模块均采用1:1冗余备份。可提供10GE、GE、FE等各种丰富的接口模块，并全面支持IPv4、IPv6、MPLS、NAT、组播、QoS、带宽控制等业务功能。整个系统所具备的高可靠性、高扩展性、强大的业务能力等特点可以满足各种网络核心层的建设需求。DES-8503（3个插槽）作为D-Link行业产品线核心交换机之一，可广泛的应用在各行业的IP网核心、企业数据中心、IP城域网核心和汇聚、校园网核心等场所，为用户提供多种业务接入、路由交换一体化的安全融合网络解决方案。

4、企业网络组织结构框图及网络拓扑图

在部门接入网络设计上，采用QuidwayS2352P-EI(AC)可网管10/100M以太网交换机，且将其与汇聚层S3700-52P-SI(AC)千兆智能路由并交换机相连接，实现结构化的低成本、高投资回报率的校园接入网解决方案。

五、网络布线系统设计

1、布线系统总体结构设计

总体包括一间位于位于福州总部，和位于厦门、泉州的公司分部，从总部机房用十二芯单模光纤与其他两间分公司的设备间|BD|相连，每个设备间也设用十二芯多模光纤与每层的电信间|FD|，并用五类非屏蔽双绞线从电信间与工作站相连接，公司园区网采用10M的光纤以太网接入到因特网服务提供商的网络，然后接入到因特网中，使公司实现与外界的信息交换和网络通信。公司统一由总部机房的一个出口访问Internet，公司能够控制网络的安全。在服务器和核心交换机间：使用UTP电缆来将服务器连接到核心交换机。

2、工作区子系统设计

工作区子系统由各个单元区域构成，是计算机、电话和信息插座的连接部分，包括连接跳线和信息插座。信息插座面板具备：通用、超薄、简易、防尘等特点；信息插座的模块采用类RJ-45模块；线缆采用超五类双绞线；水晶头采用RJ-45标准水晶头。为降低成本和结合客户终端的位置多变的特点，跳线可采用原装跳线与自制跳线相结合的方式，中心机房内设备之间、楼宇机柜内设备之间、服务器、重点客户终端的跳线采用原装成品跳线，其余采用自制跳线。跳线制作统一采用EIA/TIA 568B标准，以使系统具有更好的兼容性。

3、水平子系统设计

水平子系统主要是实现信息插座和管理子系统，即中间配线架（IDF）间的连接。水平子系统为星形拓扑。在水平子系统中采用超五类非屏蔽双绞线。双绞线水平布线链路中，水平双绞线的最大长度均不超过90m。为了网络系统的稳定性和扩展性超五类非屏蔽双绞线。

4、管理子系统设计

管理子系统设计由配线间构成。由各种规格的配线架实现水平、垂直主干线缆的端接及分配；由各种规格的跳线实现布线系统与各种网络、通讯设备的连接，并提供灵活方便的线路管理能力。分配线间是各治理子系统的安装场所，可安装配线架和计算机网络通信设备。对于信息点不是很多，使用功能近似的楼层，为便于治理，仅设置一个共用的子配线间;对于信息点较多的楼层则在该层设立配线间。

5、干线子系统设计

干线子系统设计由连接主设备间与各治理子系统的室内干线电缆构成。数据主要从网络配线间向各个子配线间敷设12芯单模室内多模光纤。

6、设备间子系统设计

设备间子系统设计由设备间中的电缆、连接器和相关支撑硬件组成，把公共系统（通讯系统，计算机系统和建筑自动化系统等）设备的各种不同设备互连起来。使用12芯单模室内多模光纤将其连接。

六、网络安全性与解决方案

1、网络安全

企业网络安全性在网络界正受到越来越普遍的关注，一方面因为网络入侵事件经常发生，另一方面由于网络安全性技术的大量涌现。因此企业网络安全性设计是网络设计中极其重要的内容，如何利用网络安全性技术保护企业网络系统的安全成为大家所关心的问题。企业网络系统安全设计目标的确立，应以企业网络信息需求为依据,根据企业网络信息处理的主要特点，针对企业网络整个系统各种信息的关键性及敏感程度，合理地评价其安全性级别，综合进行风险分析及系统脆弱点分析，全面确定整体系统的安全策略，建立一套完整的安全控制体系与保证体系。

（1）网络安全模块

一般说来，如果网络系统能够满足以下规则或条件，则可以认为这个系统是安全的：

1）．资源访问(包括逻辑和物理访问)前必须经过认证和授权(帐号或钥匙)。网络资源指网络基础设施设备，网络主机，网络中传输的数据。

2）．只有访问这些资源的人员才能获得帐号或钥匙。用户不能以任何方式获得和其身份不符的帐号及权限。

3）．合法用户接收的信息是完整的、正确的，即信息在传输或保存期间没有被篡改或者破坏。

4）．以上规则被破坏的，或者违反以上规则所付出的代价要超过信息本身的价值。

5）．系统能够拒绝非法的请求。

6）．用户对资源的访问要受到监察记录。

满足前四个条件，可以认为这个系统的数据或信息是安全的，即保证非法用户不能够访问网络系统中的资源，包括不能读取更改网络设备、操作系统的配置和应用系统中的数据。第五个条件是保证系统免受DoS(Denial of Service)类型的攻击。只有完全满足前5个条件的系统才是真正安全的。事实上由于受系统所选择的产品和技术的限制，不可避免地存在某些缺陷，比如为防止用户窃取口令，系统对所有口令予以加密，由于算法的限制，理论上攻击者只要有足够的耐心和足够强的运算能力，最终是能够破解的；另外由于管理等方面的原因，也会导致帐号失窃等事件发生。所以一般来说，完全满足安全模型中前面四个条件是很困

难的。第五个条件就是要保证如果系统的前面四个规则被破坏，系统管理员能够很快发现问题并知道问题发生的原因，从而有助于防范下一次攻击。

（2）网络攻击类型

网络攻击大致可以分为这样几种类型：

a由于管理员设置上的原因，让某些用户可以访问其不该访问的资源，即违反

上述安全模型的第二条。

b由于网络产品本身设计上的缺陷，系统对用户访问某些资源没有作限制。

c还有一些攻击不是利用管理或者系统的漏洞，而是由整个系统的安全性设计方面的问题，

即由计算机网络安全性所导致。

前两种攻击一般是从管理和产品上予以防范，这类攻击也比较容易理解。第三种攻击的具体表现形式比较丰富，一般说来，计算机网络安全性的攻击类别有：a中断攻击(Interruption)，这种攻击是破坏系统的可用性。

b窃听攻击(Interception)，获得机密数据或者信息，包括用户的帐号和机密文件。

c修改数据攻击(Modification)，修改传输过程中的数据，破坏系统数据的完整性。

d伪造数据攻击(Fabrication)，未经授权的用户向系统发送数据包破坏系统。

（3）现有的网络安全技术

1）认证技术

一般系统会有自己的认证系统或者认证技术。常见的认证技术有：S/Key、Token口令认证模式、PPP的PAP，CHAP，EAP、以及TACACS+、RADIUS、Kerberos、DCE、FORTEZZA等。

S/Key认证可以防止Replay攻击；PPP的PAP认证在网络上传输的ID/Password是明文方式；PPP CHAP通过两端共享相同密钥，认证过程不需要传送密钥，而且在连接建立后认证可以重复；TACACS+和RADIUS一般认证的客户端一般是NAS(Networks Access Server——访问服务器)，TACACS+能够接收任意长度和内容的认证，包括支持：PPP PAP、PPP CHAP、token cards和Kerberos；Kerberos一般用于认证网络资源请求，客户端和服务器端信任一个公共的服务器，客户访问服务器资源之前需要向该公共服务器申请，认证通过公共服务器会给客户端一个有时间限制的的Ticket。DCE(Distributed Computing Environment)是一组技术规范，这些技术提供对数据和名字服务访问的安全保护和控制，它同时提供授权和认证，认证事实上就是kerberos；FORTEZZA属于MISSI(Multilevel Information System Security Initiative)中的一部分，MISSI是美国NSA(National Security Agency)领导制定一个安全性解决方案框架，通过该框架内的各个部分用户可以灵活地搭建满足自己需要的安全性解决方案，FORTEZZA 需要应用的支持，主要的FORTEZZA应用包括E-MAIL，EDI，WWW以及文件加密和身份标识及认证等内容。

2）防火墙技术

通过防火墙技术将不同安全等级的网络予以隔离，不同安全等级间网络的访问由防火墙设备来监控，防火墙通过检测每一个数据包并判断这些数据包是否符合某个特定的规则决定是否转发该数据包，从而达到保护网络以及使重要系统免受DoS攻击。防火墙有多种类型，它可以是一个专用的设备，也可以是一个

软件，甚至某些路由器也可以执行某些类似防火墙的功能，一般来说，专用的防火墙设备或者软件由于其能够针对具体应用的数据包进行分析，所以所能防范的攻击类型也丰富得多。硬件防火墙目前市场占有率比较高的是Cisco公司的PIX 防火墙，软件防火墙有Checkpoint公司的Firewall-I，整个防火墙市场目前市场份额最大的是Checkpoint公司的产品。关于防火墙技术的介绍目前有大量的资料，在有关网络安全性或者一般的IT媒体网站上均能找到相关资料，这里不作具体的分析。

3）代理服务器技术

代理服务器通过代理内部网络主机和外部网络主机进行通信，隔离内部网络和外部网络从而达到保护内部网络的目的。代理服务器一般是针对某种具体的应用，如HTTP和FTP代理，或者要求被代理的主机支持某些特定的标准或规范，如winsock或socks，所以对有些应用来说并不适合，典型的例子是一般代理服务器不支持H.323协议。

这几种技术可单独使用，也可结合使用，以进一步提高系统的安全性。具体选择哪种技术应依据具体的应用环境而定。

2、网络安全解决方案

网络的安全性不是单纯的技术问题，它和系统的管理维护制度等方面密切相关。要实现完整的企业网络安全性，首先要制定一个完整的企业安全策略。一个完整的企业网络系统安全策略涵盖的内容很多，整个网络系统的安全性也不仅依赖于安全可靠的网络操作、应用系统和网络设备的安全性。

1.制定网络安全策略是应注意的原则

制定企业的网络安全策略时，要注意一些原则，这些原则是企业设计网络安全策略时通常需要考虑的：

1).需求、风险、代价平衡分析的原则：对一个网络要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。保护成本、被保护信息的价值必须平衡。

2).授权、认证原则：对那些确实需要保护的企业网络资源——包括设备、软件、数据等，保证在对这些资源的访问前，用户必须经过授权和认证，符合身份验证及授权的用户才能够获得相应的访问权限。

3).一致性原则：主要指只有应该具备访问权的人才能够获得相应的访问资源的帐号。这里要特别注意因为员工更换部门，或者离开公司，其相应的帐号或者权限也要相应取消。

4).综合性、完整性原则：运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。

5).建立安全监控、报警手段或者机制：可对网络的安全策略是否得到了正确实施，以及对违反安全策略的行为予以报警，有助于确保整个网络系统的安全性。

6).易操作性原则：如果措施过于复杂，对人的要求过高，本身就降低了安全性。

7).适应性、灵活性原则：安全措施必须能随网络性能及安全需求的变化而变化，要容易适应、容易修改。

8).多重保护原则

2.网络安全设计策略

制定一个完整的企业网络安全策略后，就可以采用相应的技术及产品实现这些安全策略，保证系统的安全性。

1).局域网络安全

企业网络设计支持虚拟网络功能。虚拟网络是一种物理网络,可利用网络管理应用软件逻辑地把它分割成分离的、独立的工作组。这些逻辑工作组或称虚拟LAN,如同共享介质LAN一样工作,而不受介质带宽限制。虚拟LAN(VLAN)中的每个端点用户可直接与同一VLAN中的其它用户通信。VLAN之间的网络交通必须通过某种策略管理设备来管理,如路由器。这就允许网管人员为安全原因设置火墙保护,在工作组间建立安全策略。在一个给定的物理基础设施中可分割出多种不同的VLAN组合。这种灵活性允许VLAN的成员可根据网络用户的需要决定,而不是根据它们在网上的物理位置决定。单个的VLAN的操作就如同一个子网一样,子网上的用户可彼此直接通信,当跨越子网边界时要通过路由器。虚拟LAN能够改善网络安全性。安全性的一个方面是控制进入网络的用户连接。由于具有了对移动、加入以及变更的控制能力,使得网络中的连接控制也得到加强。

2).广域及远程网络连接安全

当将局域网连接到Internet上时,防止外部侵入所能够采取的唯一重要的措施就是设立防火墙。采用Internet网关防火墙,在保证网络安全的前提下建立全面、透明和真正的Internet连接。建立Internet防火墙主要有两种方法：网关这种方法比较安全但效率不高,对用户和应用不透明,难于建立和管理,只有少量应用支持而且对每一种应用都要对其加以裁剪以适应需要；包过滤这种方法一般不很安全,但却很有效,它是一种综合性的方法,对多种协议和应用透明,传统的包过滤器是无状态的(Stateless),只有低层协议理解,难于建立和确认,同时缺乏监听的机制也是一种主要的缺点。另外,企业网络在远程存取方面还可采用具有安全特性的远程通信服务器实现远程通信,提供企业网络全面的远程拨入存取控制功能。

3).网络与系统管理工具的安全特性

采用企业级网络管理工具提供系统级工具来进行网络管理与系统状态诊断及监测,并可进行企业网络远程监测。它具有下面一些特性：可以监测企业内的所有路由器、集线器和交换机的运行状态；可及时确认出错设备和性能问题；可以显示出错设备的概要信息等。

4).数据库管理系统的安全保护

数据库管理系统的安全保护,主要表现在对数据库的存取控制上。同时,数据库本身的完整性问题也直接关系到数据库数据的安全可靠。

①数据库的完整性数据库的完整性是指数据的正确性与相容性。一方面数据库管理系统要提供完整性约束条件来保证数据库中数据的正确性,其中包括:数据值的约束、数据结构的约束、静态约束、动态约束、立即执行约束、延迟约束等。另一方面,由于数据库是资源共享,必然存在并发操作,而且可能会并发存取相同的数据,因此,数据库管理系统必须能对并发事务加以控制,保证数据的一致性、相容性和数据库的完整性。

②数据库的存取控制保证数据库中数据的安全性,主要依靠存取控制机制,即限制一些用户使其只能对数据库某些授权的子集进行存取或修改,同时也限制非法用户对数据库的任何访问行动,以免数据丢失或泄露。在系统设计中,可利用分布式RDBMS系统先进与完备的安全管理措施。备份服务器在一个大型数据库(VLDB)中,对数据及日志的有效存储和装载可以确保用户管理和操纵VLDB。备份服务器一般完成对数据的连接备份: ·联机备份,备份服务器允许从正在运行中的RDBMS中同时实现对数据和事务日志的备份,并且这种备份过程对

RDBMS的其它处理几乎没有影响; ·转储分解,允许用户同时使用多台外设转储,能以接近理论的传送速度运转; ·异地转储,备份可在无人情况下自动进行或通过DBA管理多个远程服务器的备份及装载。安全服务器对一些需要比NCSC 更高安全性的企业而言,安全服务器可以实现更强功能的安全管理: ·符合NCSC B1级和ITSEC F/E3(B1)级安全标准; ·安全性在服务器被加强从而消除在客户端加强的需要; ·支持在同一数据库(甚至在同一表)内存储在许多不同安全级别上的数据的受控存取,取消昂贵的数据冗余; ·支持自由访问控制(DAC)和托管访问控制(MAC)的强制安全性; ·提供用户用综合审计进行追踪的管理能力; ·多级授权描述、支持多级和单级用户。数据库监听服务器数据库监听服务器补充RDBMS已有的安全功能,使企业可控制不同层次的审计和注册安全性,实现登录安全和多种层次的审计控制,并支持用户有效性验证和与场地有关的加密算法。

5).计算机病毒的防治对策

在网络环境下，计算机病毒对计算机网络的安全构成巨大威胁。具体施行方法有：

①从管理入手，进行防治；实行严格的用机制度；禁止非法拷贝软件，严格控制外来软件，进行磁媒体的安全检查，严禁随便使用来历不明的程序；实行安全的备份制度；实施网络防病毒策略。

②在技术上加强预防措施；设立网络防病毒系统；配备专用的病毒免疫程序。

为方便用户对资源访问以及方便网络管理，有必要建立一个统一的安全认证及授权系统，比如用户在企业内部访问邮件服务器和其拨号帐号，与访问Internet的帐号是一致的，统一的帐号管理有助于确保安全策略的实施及管理。还可在网络上配置能够对入侵进行检测的主动防御系统。Cisco、ISS、Abirnet 以及Internet tools等公司均提供产品。

七、总报价