企业网络的设计与实现范文

引言：寻求写作上的突破？我们特意为您精选了12篇企业网络的设计与实现范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。

篇1

中图分类号：TP271 文献标识码：A 文章编号：1009-3044（2012）33-7915-03

计算机网络是通过互联网服务来为人们提供各种各样的功能，如果想保证这些服务的有效提供，一是需要全面完善计算机网络的基础设施和配置；二是需要有可靠完善的保障体系。可靠完善的保障体系是为了能够保证网络中的信息传输、信息处理和信息共享等功能能够安全进行。

1　网络安全的定义

网络安全问题不但是近些年来网络信息安全领域经常讨论和研究的重要问题，也是现代网络信息安全中亟待解决的关键问题。网络安全的含义是保证整个网络系统中的硬件、软件和数据信息受到有效保护，不会因为网络意外故障的发生，或者人为恶意攻击，病毒入侵而受到破坏，导致重要信息的泄露和丢失，甚至造成整个网络系统的瘫痪。

网络安全的本质就是网络中信息传输、共享、使用的安全，网络安全研究领域包括网络上信息的完整性、可用性、保密性和真实性等一系列技术理论。而网络安全是集合了互联网技术、计算机科学技术、通信技术、信息安全管理技术、密码学、数理学等多种技术于一体的综合性学科。

2　网络安全技术介绍

2.1　安全威胁和防护措施

网络安全威胁指的是具体的人、事、物对具有合法性、保密性、完整性和可用性造成的威胁和侵害。防护措施就是对这些资源进行保护和控制的相关策略、机制和过程。

安全威胁可以分为故意安全威胁和偶然安全威胁两种，而故意安全威胁又可以分为被动安全威胁和主动安全威胁。被动安全威胁包括对网络中的数据信息进行监听、窃听等，而不对这些数据进行篡改，主动安全威胁则是对网络中的数据信息进行故意篡改等行为。

2.2　网络安全管理技术

目前，网络安全管理技术越来越受到人们的重视，而网络安全管理系统也逐渐地应用到企事业单位、政府机关和高等院校的各种计算机网络中。随着网络安全管理系统建设的规模不断发展和扩大，网络安全防范技术也得到了迅猛发展，同时出现了若干问题，例如网络安全管理和设备配置的协调问题、网络安全风险监控问题、网络安全预警响应问题，以及网络中大量数据的安全存储和使用问题等等。

网络安全管理在企业管理中最初是被作为一个关键的组成部分，从信息安全管理的方向来看，网络安全管理涉及到整个企业的策略规划和流程、保护数据需要的密码加密、防火墙设置、授权访问、系统认证、数据传输安全和外界攻击保护等等。

在实际应用中，网络安全管理并不仅仅是一个软件系统，它涵盖了多种内容，包括网络安全策略管理、网络设备安全管理、网络安全风险监控等多个方面。

2.3　防火墙技术

互联网防火墙结合了硬件和软件技术来防止未授权的访问进行出入，是一个控制经过防火墙进行网络活动行为和数据信息交换的软件防护系统，目的是为了保证整个网络系统不受到任何侵犯。

防火墙是根据企业的网络安全管理策略来控制进入和流出网络的数据信息，而且其具有一定程度的抗外界攻击能力，所以可以作为企业不同网络之间，或者多个局域网之间进行数据信息交换的出入接口。防火墙是保证网络信息安全、提供安全服务的基础设施，它不仅是一个限制器，更是一个分离器和分析器，能够有效控制企业内部网络与外部网络之间的数据信息交换，从而保证整个网络系统的安全。

将防火墙技术引入到网络安全管理系统之中是因为传统的子网系统并不十分安全，很容易将信息暴露给网络文件系统和网络信息服务等这类不安全的网络服务，更容易受到网络的攻击和窃听。目前，互联网中较为常用的协议就是TCP/IP协议，而TCP/IP的制定并没有考虑到安全因素，防火墙的设置从很大程度上解决了子网系统的安全问题。

2.4　入侵检测技术

入侵检测是一种增强系统安全的有效方法。其目的就是检测出系统中违背系统安全性规则或者威胁到系统安全的活动。通过对系统中用户行为或系统行为的可疑程度进行评估，并根据评价结果来判断行为的正常性，从而帮助系统管理人员采取相应的对策措施。入侵检测可分为：异常检测、行为检测、分布式免疫检测等。

3　企业网络安全管理系统架构设计

3.1　系统设计目标

该文的企业网络安全管理系统的设计目的是需要克服原有网络安全技术的不足，提出一种通用的、可扩展的、模块化的网络安全管理系统，以多层网络架构的安全防护方式，将身份认证、入侵检测、访问控制等一系列网络安全防护技术应用到网络系统之中，使得这些网络安全防护技术能够相互弥补、彼此配合，在统一的控制策略下对网络系统进行检测和监控，从而形成一个分布式网络安全防护体系，从而有效提高网络安全管理系统的功能性、实用性和开放性。

3.2　系统原理框图

该文设计了一种通用的企业网络安全管理系统，该系统的原理图如图1所示。

3.2.1　系统总体架构

网络安全管理中心作为整个企业网络安全管理系统的核心部分，能够在同一时间与多个网络安全终端连接，并通过其对多个网络设备进行管理，还能够提供处理网络安全事件、提供网络配置探测器、查询网络安全事件，以及在网络中发生响应命令等功能。

网络安全是以分布式的方式，布置在受保护和监控的企业网络中，网络安全是提供网络安全事件采集，以及网络安全设备管理等服务的，并且与网络安全管理中心相互连接。

网络设备管理包括了对企业整个网络系统中的各种网络基础设备、设施的管理。

网络安全管理专业人员能够通过终端管理设备，对企业网络安全管理系统进行有效的安全管理。

3.2.2　系统网络安全管理中心组件功能

系统网络安全管理中心核心功能组件：包括了网络安全事件采集组件、网络安全事件查询组件、网络探测器管理组件和网络管理策略生成组件。网络探测器管理组件是根据网络的安全状况实现对模块进行添加、删除的功能，它是到系统探测器模块数据库中进行选择，找出与功能相互匹配的模块，将它们添加到网络安全探测器上。网络安全事件采集组件是将对网络安全事件进行分析和过滤的结构添加到数据库中。网络安全事件查询组件是为企业网络安全专业管理人员提供对网络安全数据库进行一系列操作的主要结构。而网络管理策略生产组件则是对输入的网络安全事件分析结果进行自动查询，并将管理策略发送给网络安全。

系统网络安全管理中心数据库模块组件：包括了网络安全事件数据库、网络探测器模块数据库，以及网络响应策略数据库。网络探测器模块数据库是由核心功能组件进行添加和删除的，它主要是对安装在网络探测器上的功能模块进行存储。网络安全事件数据库是对输入的网络安全事件进行分析和统计，主要用于对各种网络安全事件的存储。网络相应策略数据库是对输入网络安全事件的分析结果反馈相应的处理策略，并且对各种策略进行存储。

3.3　系统架构特点

3.3.1　统一管理，分布部署

该文设计的企业网络安全管理系统是采用网络安全管理中心对系统进行部署和管理，并且根据网络管理人员提出的需求，将网络安全分布地布置在整个网络系统之中，然后将选取出的网络功能模块和网络响应命令添加到网络安全上，网络安全管理中心可以自动管理网络安全对各种网络安全事件进行处理。

3.3.2　模块化开发方式

本系统的网络安全管理中心和网络安全采用的都是模块化的设计方式，如果需要在企业网络管理系统中增加新的网络设备或管理策略时，只需要对相应的新模块和响应策略进行开发实现，最后将其加载到网络安全中，而不必对网络安全管理中心、网络安全进行系统升级和更新。

3.3.3　分布式多级应用

对于机构比较复杂的网络系统，可使用多管理器连接，保证全局网络的安全。在这种应用中，上一级管理要对下一级的安全状况进行实时监控，并对下一级的安全事件在所辖范围内进行及时全局预警处理，同时向上一级管理中心进行汇报。网络安全主管部门可以在最短时间内对全局范围内的网络安全进行严密的监视和防范。

4　结论

随着网络技术的飞速发展，互联网中存储了大量的保密信息数据，这些数据在网络中进行传输和使用，随着网络安全技术的不断更新和发展，新型的网络安全设备也大量出现，由此，企业对于网络安全的要求也逐步提升，因此，该文设计的企业网络安全管理系统具有重要的现实意义和实用价值。

篇2

中图分类号：TP311 文献标识码：A 文章编号：1674-7712 （2013） 04-0069-01

一、企业网络安全防护信息管理系统的构建意义

据调查统计显示，源于企业外部网络入侵和攻击仅占企业网络安全问题的5%左右，网络安全问题大部分发生在企业内部网络，内部网络也是网络安全防护的关键部分。因此，对企业内部网络信息资源的有效保护极为重要。传统的网络安全防护系统多数都是防止外部网络对内部网络进行入侵和攻击，这种方式只是将企业内部网络当作一个局域网进行安全防护，认为只要能够有效控制进入内部网络的入口，就可以保证整个网络系统的安全，但是，这种网络安全防护方案不能够很好地解决企业内部网络发生的恶意攻击行为，只有不断加强对企业内部网络的安全控制，规范每个用户的行为操作，并对网络操作行为进行实时监控，才能够真正解决企业内部网络信息资源安全防护问题。

二、企业网络安全防护信息管理系统总体设计

（一）内网安全防护模型设计。根据企业内部网络安全防护的实际需求，本文提出企业网络安全防护信息管理系统的安全防护模型，能够对企业内部网络的存在的安全隐患问题进行全面防护。

由图1可知，企业网络安全防护信息管理系统的安全防护模型从五个方面对企业内部网络的信息资源进行全方位、立体式防护，组成了多层次、多结构的企业内部网络安全防护体系，对企业内部网络终端数据信息的窃取、攻击等行为进行安全防范，从而保障了企业内部网络信息资源的整体安全。

（二）系统功能设计。企业网络安全防护信息管理系统功能主要包括六个方面：一是主机登陆控制，主要负责对登录到系统的用户身份进行验证，确认用户是否拥有合法身份；二是网络访问控制，负责对企业内部网络所有用户的网络操作行为进行实时监控和监管，组织内网核心信息资源泄露；三是磁盘安全认证，负责对企业内部网络的计算机终端接入情况进行合法验证；四是磁盘读写控制，负责对企业内部网络计算机终端传输等数据信息流向进行控制；五是系统自防护，负责保障安全防护系统不会随意被用户卸载删除；六是安全审计，负责对企业内部网络用户的操作行为和过程进行实时审计。

（三）系统部署设计。本文提出的企业网络安全防护信息管理系统设计方案采用基于C/S模式的三层体系架构，由安全防护、安全防护管理控制台、安全防护服务器三部分共同构成，实时对企业内部网络进行安全防护，保障内部网络信息资源不会泄露。安全防护将企业内部网络计算机终端状态、动作信息等传递给安全防护服务器，安全防护管理控制台发出指令，由安全防护服务器将指令传送给安全防护完成执行。

三、企业网络安全防护信息管理系统详细设计

（一）安全管理控制台设计。安全管理控制台是为企业网络安全防护信息管理系统的管理员提供服务的平台，能够提供一个界面友好、操作方便的人机交互界面。还可以将安全策略管理、安全日志查询等操作转换为执行命令，再传递给安全防护服务器，通过启动安全防护对企业内部网络计算机终端进行有效控制，制定完善的安全管理策略，完成对系统的日常安全管理工作。

安全管理人员登录管理控制台时，系统首先提示用户输入账号和密码，并将合法的USB Key数字认证设备插入主机，经过合法性验证之后，管理员获得对防护主机的控制权。为了对登录系统用户的操作严格控制，本系统采用用户名和密码登录方式，结合USB Key数字认证方式，有效提高了系统安全登录认证强度。用户采取分级授权管理的方式，系统管理人员的日常维护过程可以自动生成日志记录，由系统审计管理人员进行合法审计。

（二）安全防护服务器设计。安全防护服务器主要负责企业网络安全防护信息管理系统数据信息都交互传递，作为一个信息中转中心，安全防护服务器还承担命令传递、数据处理等功能，其日常运行的稳定性和高效性直接影响到整个系统的运行情况。因此，安全防护服务器的设计不但要实现基本功能，还应该注重提高系统的可用性。

安全防护服务器的主要功能包括：负责将安全管理控制台发出的安全控制信息、安全策略信息和安全信息查询指令传送给安全防护；将安全防护上传到系统中的审计日志进行实时存储，及时响应安全管理控制台的相关命令；将安全防护下达的报警命令存储转发；实时监测安全管理控制台的状态，对其操作行为进行维护。

（三）安全防护设计。安全防护的主要功能包括：当安全防护建立新的网络连接时，需要与安全防护服务器进行双向安全认证。负责接收安全防护服务器发出的安全控制策略命令，包括用户身份信息管理、磁盘信息管理和安全管理策略的修改等。当系统文件已经超过设定的文件长度，或者超过了设定的时间间隔，则由安全防护向安全防护服务器发送违规操作信息；当其与安全防护服务器无法成功建立连接时，将日志信息存储在系统数据库中，等待与网络成功重新建立连接时，再将信息传送到安全防护服务器中。

综上所述，本文对企业内部网络信息安全问题进行了深入研究，构建了企业内部网络安全防护模型，提出了企业网络安全防护信息管理系统设计方案，从多方面、多层次对企业内部网络信息资源的安全进行全面防护，有效解决了企业内部网络日常运行中容易出现的内部信息泄露、内部人员攻击等问题。

篇3

中图分类号：TP311.52

网络行为管理系统旨在帮助网络管理员了解网络运行状况和带宽使用状况。作为网络管理较重要的工具之一，网络行为管理系统协助网络管理员更好的掌握网络状态，进而做出相应的管理调整，确保网络的连续正常运行。网络行为管理系统以旁路监听的方式接入网络，不改变网络系统的拓扑结构，对网络性能毫无影响。网络行为管理系统管理平台增加了网络用户管理功能，便于网络管理员管理用户信息，时时掌握网络用户的使用情况。网络行为管理系统基于Windows xp系统开发，对服务器的配置要求很低。即使一台简单得PC机完全可以应付工作。对于网络管理员，可以在任何一台内网机器上通过浏览器打开管理平台。大大降低了在网络方面的管理成本。网络行为管理系统能够监控网络中的数据并进行分析并提供管理平台。可以作为网络管理员有效的网络管理工具，提高网络使用效率。

1 系统需求分析

本企业的网络现状是大部分内网用户因为业务需要具有访问互联网的权限，而连接互联网的链路带宽有限，经常会在工作时间出现带宽占满的情况。行政管理者无法找到带宽使用最多的用户和在工作时间做与工作无关网络行为的用户。

根据现状需要解决如下问题：

（1）能够记录用户访问信息。

（2）能够将办公网内用户的配置信息统一管理。

（3）能够记录内网用户间的访问信息。

网络行为管理系统通常分为两种模式，分别是路由模式和透明模式。路由模式是将网络行为管理系统放置于互联网总出口处，凡是访问互联网的的数据都通过它，可以进行更加严格的权限策略管理。但是，缺点是内网用户间的访问状况就没有监听到。为了达到能够监听到内网用户间的数据和内网用户访问互联网的数据，可以采用透明模式。采用透明模式，捕获内网用户间的网络数据和内网用户访问互联网的网络数据，并进行协议分析，存入数据库，通过管理平台读取数据库的数据进行分析。

设计需求：

（1）实用、稳定、先进、可靠，以实际应用需要为设计依据确保系统总体优化、安全可靠和稳步推进。

（2）充分考虑功能扩容性和技术升级性，以求得最佳的性能价格比。

（3）采用透明模式接入，不破坏现有网络格局。

（4）不需要安装客户端软件，不影响内网用户使用网络。

功能需求：

（1）监听网络内数据，并分析协议。

（2）将分析处理后的数据传入数据库。

管理平台需求：

（1）能够增加删除系统管理员。

（2）能够管理所有用户的信息，增加、删除或修改。

（3）能够查看用户访问记录，内容包含源、目的IP、MAC、协议信息。

性能需求：

在数据量较大的网络中，高效的网络管理可以保障网络的高效使用。本系统最大的目的是快速捕获数据包并进行协议分析，系统的缓慢降低系统的运行效率，不科学的部署还会影响系统在网络的监控能力。因此，在设计与实施中要采用先进的网络技术和系统，最大限度地提高系统的响应速度。本系统采用Mysql数据库并结合PHP开发管理控制平台，能够安全高效的完成对数据的查询、更改。

2 系统设计

2.1 网络数据处理中心设计

Winpcap提供了数据包的捕获功能，在不同的应用中需要设计不同的协议分析模块。针对不同的协议，设计相应的协议分析功能，是基于Winpcap应用的关键所在[1]。

（1）获得本地网络驱动器列表

首先使用WinPcap应用程序函数获取服务器端网卡列表，然后再对捕获网络数据端口进行设定。WinPcap提供pcap_findalldevs_ex（）函数来实现此功能。函数返回一个pcap_if结构体链表，结构体都包含了一个适配器的详细信息。取得网卡列表后显示出来并供用户选择，如果网卡没有被发现就显示有关错误。

（2）打开设备并将其设为混杂模式

网卡在一般工作模式下只接受去往它的包，忽略去往其他主机的数据，混杂模式下的网卡它将接收所有的流经它的数据，这说明在同一个网络里设备可以捕获到本网络其他设备的数据[2]。因此常见的抓包工具通常使用混杂模式。使用pcap_findalldevs_ex（）捕获到网卡后，通过pcap_open（）函数调用此设备。

（3）编译并设置过滤器

数据包过滤处理是数据包捕获技术中的难点和重点，WinPcap或libpcap最强大的特点之一就是数据流的过滤引擎。设置数据流过滤规则实现信息包过滤，用来过滤数据包的函数是pcap_compile（）和pcap_setfilter（）。pcap_compile（）将一个高层的布尔过滤表达式编译成一个能够被过滤引擎所解释的低层的字节码。

pcap_setfilter（）将一个过滤器与内核捕获会话向关联。调用pcap_setfilter（）时，过滤器将被应用到来自网络的所有数据包。所有的符合要求的数据包，将会复制给应用程序。

（4）捕捉保存数据包

使用循环调用pcap_next来接受数据包。这个函数的参数和回调函数pcap_loop（）一样是由一个网卡描述符作为入口参数和两个指针作为出口参数，这两个指针将在函数中被初始化，然后再返回给用户。我们使用pcap_next_ex（）进行数据包的捕获。

（5）数据包协议解析

捕获后的数据经过解析才能得到想要的信息，如源地址，目的地址，协议类型等信息。因此需要关注的帧的格式，解析的过程是将数据帧中的数据按不同协议进行分析提取。

2.2 数据库设计

数据中心是对来自网络数据处理中心的网络数据作进一步的分析、还原、存储，并根据管理控制台下发的查询指令进行响应。数据中心的主要功能是存储经过处理后的网络数据，和网络管理员通过管理平台删除、增加、修改网络用户的管理信息。网络数据处理中心分析完TCP/IP数据包，还原应用层协议后，将结果存放在数据库中，为了方便以后网络管理员的查询，设计表的时候就要求简洁、易懂。

（1）基础信息维护模块模型如图1所示。

图1 基础信息维护模块物理模型

（2）抓包信息模块如图2所示。

图2 抓包信息模块物理模型

3 功能实现

运行环境配置：

（1）下载WinPcap的安装文件WinPcap_4_1_2.exe，程序员开发包WpdPack_4_1_2.zip，SDK开发环境。

（2）执行安装文件，本机就能运行winPcap程序了。

（3）解压开发包，在VC的option的include和lib中加入winPcap的include和lib。

（4）在程序中加入#include ， #include 。然后在工程的setting中加入预定义宏：WPCAP } HAVE_ REMOTE，导入wpcap.lib库。

在登陆页面输入用户名和密码，点击登陆按钮，将输入的内容提交给登陆验证页面，将输入的的内容连接到数据库查询，验证通过，进入http：//127.0.0.1：8080/function.php，验证失败，进入http：//127.0.0.1：8080/loaderro.php，提示“无权限”。

系统设置页面连接数据库aduser表，读取系统管理员账号信息。并通过增加管理员和删除管理员按钮，来增加或删除系统管理员账号。

用户管理功能是让系统管理员更清楚地掌握本网络内用户的网络配置信息，并通过增加用户和修改用户按钮来增加用户或是修改用户信息，点击删除用户按钮来删除用户，点击查询可以通过IP、MAC两项来查找用户。

日志查看功能帮助网络管理员直观的看到本网络内用户访问的网址和使用的协议以及时间。通过查询网段设置和协议类型设置可以过滤掉不需要的信息，提高管理效率。

网络数据处理中心应用在服务器上，由网络数据处理中心的sniffer工具在网络层捕获数据包，并进行协议分析，并将数据传送给数据库，以供管理控制台进行查询或修改操作。

参考文献：

[1]刘文涛.网络安全编程技术与实例[M].北京：机械工业出版社，2008.

[2]赵心宇，朱齐丹，朱达书.应用winPcap捕获网络数据包[J].应用科技，2004，31（11）：29-31.

[3]雷震甲.网络工程师教程[M].北京：清华大学出版社，2006.

篇4

本课题主要针对现今不同企业或者同一企业内部与外部网络的数据同步要求，提出一套如何在计算机技术上实现这一需求的解决方案。本文不仅对这一技术在应用领域的需求做出了全面具体的分析，而且也阐述了这一技术的设计思想和实现细节，并且对实现过程中涉及的各类技术做出了详细具体的解释，力求让读者明确实现什么，怎么实现，为什么要这样实现，以及实现这一技术的意义。

关键字：数据同步 COM ActiveX ATL ASP 组件制作 电子商务 文件传输 组件注册 网络编程 COM调用 ASP组件调用

目

录

前 言 4

正 文 4

系统概述 4

需求阐述及功能定制 5

技术实现方案 6

模块算法和机制实现过程 11

总结 27

致谢 27

参考文献 28

篇5

中图分类号：TP393.08 文献标识码：A 文章编号：1006-8937（2013）14-0083-01

随着企业网络不断的扩展和互联网技术的不断更新，各大中企业越来越多的通过网络来发展业务。由于大中企业的发展规模不断扩大，员工人数的不断增加，并且扩展了越来越多的分公司。现有的企业网络系统逐渐不能满足企业信息化建设在安全性和可靠性等方面的要求。因此，对大中型企业网络进行改善，以提高网络的可用性、安全性、可靠性、稳定性，并具有一定的可扩展性要求，用来满足企业业务发展的需求是十分必要的。通过按照企业网络的建设规划和总体要求，主要通过利用原有综合布线系统和设备的基础上，重新规划实施，建设安全性高的企业内联网，以满足网络整体性能的要求，并为各种网络服务和信息系统的使用提供运行良好的网络平台。

1 企业网安全建设需求分析

按照目前大中企业网络建设规划和总体要求，将对企业网络设备进行相关的配置和实施，使企业网络满足设计的要求，实现高效的企业网络的办公网络系统。将网络按照层次的要求满足发展中公司信息化的要求，并具有一定的可扩展性。同时，满足企业分公司和总公司的信息传输和资源共享的要求及员工增长的要求。主要进行如下需求分析。

①网络部分的总体设计需求。企业网络大都是通过路由器设备连接成一个统一的企业内联网，满足公司对网络统一管理的要求。本方案计划使用OSPF开放最短路径优先协议和BGP协议分别作为内部和外部路由协议。选用OSPF的好处在于OSPF作为链路状态协议已成为业界标准，并且具有行业内的各大厂商的支持基础，该协议的优点还具有路由信息传输的可控性，还能充分保证链路的负载均衡。在总体需求中，企业网络在结构上主要按网络层次进行分层设计，主要分为三层，分别为核心层，汇聚层和接入层，接入层交换机全部冗余上行链路，分别上联到汇聚层交换机，这个既保证了企业网络的安全性和可靠性，同时又实现了企业虚拟局域网的统一配置管理和企业网络环路避免。

②系统部分的总体设计需求。通过对企业网络的服务器及客户机进行安全方面的设计，以提高网络的安全性，而且公司的服务器等可以在总公司实现，分公司只使用总公司提供的应用服务，不需要自己建设。

③安全部分的总体设计需求。根据企业网的运行规律和安全现状，在企业网络中应用热备份路由协议对交换及路由设备进行备份。即保证了企业网的信息处理和传输系统安全，它侧重于保证企业网络系统正常运行，有效避免了企业网络系统的崩溃对企业信息的处理和资源共享造成大的故障。同时在企业网络的系统信息安全方面还通过域环境管理企业的资源访问，通过设置用户安全问题跟踪，计算机病毒防治，数据加密等避免有害的信息传播后造成的后果。同时为了避免企业网络上大量的机密信息失控，设计时，需要在企业网络的出口处设计防火墙技术，从而使出入企业网络的数据流量都必须经过防火墙的过滤，通过利用防火墙技术对企业网络数据包进行安全过滤，并实现安全访问控制。

④整体规划指导思想。企业网络建设将采用思科公司的网络设备和先进的计算机及软件，以及先进的管理模式，实现一个高效的企业网络的办公网络体系。企业网络的各类服务器以及各种操作系统和应用软件必须考虑技术上的先进性和通用性，并且要有良好的售后技术，而且需要方便维护和升级。

⑤方案实施主要依据原则。方案设计实施依照国家及行业有关标准完成。企业网络安全设计应满足企业未来发展的要求，具有充分的可扩展的能力，随着公司规模的扩大，本设计方案仍然能够满足公司运营的需求或变更和升级。而且项目设计应遵循实用的原则，并且提供良好的培训及售后服务。

2 安全方案设计

按照企业网络的总体建设规划和总体要求，现在将对企业网络新购的和原有的思科公司的设备进行相关的配置和实施，使公司网络满足设计的要求，实现高效的办公网络体系。将网络复杂化进行分层化的处理，满足大中企业发展的信息化的要求，并具有一定的可扩展性，同时满足企业分公司和总公司的规模增长的要求。

企业网络安全方案设计阶段主要分为以下几个部分，分别是交换机部分的设计，路由器部分设计，服务器部分设计，广域网部分设计和网络安全性部分设计。

①交换部分的设计。当企业网络的规模扩大，交换机数量增多时，可以减少管理员的工作量，在维护整个企业网络上VLAN的添加，删除和重命名工作时，还可以确保配置的一致性。从而降低了为止的复杂度，大大减轻了网络管理人员的工作负担，同时提高了安全性。

②MSTP多生成树的设计。企业网络的拥塞问题也会造成网络的效率大大的降低，通过多生成树协议可以避免网络广播的形成，多生成树协议的原理是把网络拓扑的环形结构变成树型结构，最主要的应用是为了避免企业网络中的网络环路，解决以太网网络的广播风暴问题，主要配置命令如下所示：

SW3-1（config）#spanning-tree vlan 10 root priority

③以太网通道的设计。以太网通道通过捆绑多条以太链路来提高链路带宽，并运行一种机制，将多个以太网端口捆绑成一条逻辑链路，主要配置命令如下：

channel-group 1 mode on

④热备份路由协议设计。企业网络的多台汇聚层交换机或路由器上启用热备份路由协议HSRP，其设计目标是支持特定情况下，当某一设备出现故障时，企业网络数据流量可以从故障设备切换到正常的设备上，并允许设备作为企业网络的网关，可以实现当实际第一条路由尝试失败的状态下，仍能保持整个企业网络的连通，主要命令如下：

SW3-1（config-if）#standby 10 IP IP-address

SW3-1（config-if）#standby 10 priority 120

⑤VPN专线技术设计。虚拟专用网在有总部和分公司的企业是十分有效的安全解决方案，VPN主要是通过一个公用网络建立一个安全隧道连接，它能够实现在公用网络中产生一条安全、稳定的隧道。虚拟专用网是对企业内部网的扩展，通过虚拟专用网可以实现在企业外部的用户、分支机构、商业伙伴及供应商安全有效的与公司内部网建立可靠的安全访问连接，同时保证了数据的安全传输。

⑥网络防火墙安全性设计。防火墙位于企业网络的总公司与外网之间。企业的所有计算机流入流出的所有网络通信均要经过此防火墙。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。一个防火墙作为阻塞点、控制点能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，网络环境变得更安全。所以，在企业网络方案中选择的防火墙是CISCOASA5520-BUN-K9，能更保证我们组建的网络更安全更可靠。

3 结 语

通过设计网络安全方案可以实现大中型企业网络的高效、安全和可靠性的正常运转，在基于思科公司的网络设备的基础上，利用各种交换技术和路由技术等构建适合大中型企业网络的安全解决方案设计，为企业网络的安全高效的运行提供良好的条件，当然随着网络技术的不断更新，还需要不断进行企业网络安全方面的设计。

篇6

计算机网络不仅对人们的生活产生了重大影响，也日益影响着企业科技的创新和生产力的提高。企业信息技术的发展能够更好地提高企业的生产效率和管理水平。这不仅影响着大中型企业，对我国工业企业中占相当比重小企业同样重要。本文选择小企业网络规划与设计进行研究，是因为小企业用户的局域网结构相对简单，主机数量少，易于进行规划设计，且投入成本低、易于普及。

当今阶段，中国市场经济处于转型期，竞争日益激烈，小企业要想生存并更好地发展，必须改变小企业单一、机械的运作模式，追求高效的管理和沟通方法来增强竞争力。而建设小企业自己的网络无疑是顺应社会发展潮流提高小企业运作效率的作法。

一、小企业网络规划需求分析

小企业主机数量较少，易于满足团体信息化的需求。小企业网络规划与设计中只需一个主干网来负责各个子网和应用服务的连接，就能为信息交换提供有效的高速通道。根据企业提出需求，进行分析，最终将采取以下方案解决企业需求。

二、小企业网络规划与设计

2.1网络需求

申请一个10M及以上的带宽，就可以满足小企业内部计算机访问Internet的需求。申请1个公网IP：分配给Internet接入路由器的串行借口；购买一台路由器以实现企业内部网络连接到Internet；考虑在日后小企业的发展，计算机数量可能会有所增加，因此交换机接口可以预留3到5个；将各部门划分在不同的VLAN。单个节点构成的网络通常就能满足小企业的网络需求。小企业网络工作站数量少且接入比较集中，因此核心网络设备选择100M的以太交换机就可以了。

2.2小企业网络拓扑结构设计

根据小企业用户少、计算机数量少的特点，在企业网络规划与设计中采用总线型拓扑结构。总线型结构具有费用低、布线要求简单、扩充容易、数据段用户入网灵活、站点或某个端用户失效不影响其它站点或端用户通信的优点，因此适合处于发展期的小企业网络规划使用。

总线型拓扑结构图如图1。

2.3应用到的VLAN规划技术

一个VLAN可以在一个交换机实现，就可以满足小企业网络规划使用。在小企业网络规划中，VLAN根据网络用户的位置、作用、部门或者根据网络用户所使用的应用程序和协议来进行分组。用来为局域网解决冲突域、广播域、带宽问题。因此使用VLAN技术，结合网络层的交换设备搭建安全可靠的网络。网络管理员通过控制交换机的每一个端口来控制网络用户对网络资源的访问。

小企I的VLAN采取端口划分即可，把同一个部门办公室的端口全部划分进同一个VLAN，具有很好地灵活性和安全性。之后企业有了新的发展，需要进行部门扩充只要在交换机上进行配置就可以了。

2.4网络PDS系统设计

1、布线系统总体结构设计。根据小企业的建筑数量（假设为两栋），选用十二芯单模光纤从总机房连接到其他撞建筑或楼层的设备间，采用10M的光纤以太网接入到因特网服务提供商的网络，然后接入到因特网中，使企业实现与外界的信息交换和网络通信。布线时要考虑价廉、合理、美观、标准。尽量进行夹墙内、地板下、天花板上或者采用架空线槽布线。网络设备要放在一楼机房内。机房内要配备火警报警装置、防尘地板和空调。

2、工作区子系统设计。工作区子系统由各个单元区域构成，是计算机、电话和信息插座的连接部分，包括连接跳线和信息插座。信息插座面板具备：通用、超薄、简易、防尘等特点；信息插座的模块采用类RJ-45模块；线缆采用超五类双绞线；水晶头采用RJ-45标准水晶头。为降低成本和结合客户终端的位置多变的特点，跳线可采用原装跳线与自制跳线相结合的方式跳线采用统一标准，如统一采用EIA/ TIA 568B标准等，以使系统具有更好的兼容性

3、管理子系统设计。单个节点的子系统设计在配线间完成。通过各种规格的配线架（线槽）实现水平、垂直主干线缆的端接及分配；由各种规格的跳线实现布线系统与各种网络、通讯设备的连接，并提供灵活方便的线路管理能力。分配线间是各治理子系统的安装场所，可安装配线架和计算机网络通信设备。对于信息点不是很多，使用功能近似的楼层，可以设置一个共用的子配线间，这样便于维修、管理。

4、干线子系统设计。干线子系统设计采用电缆从主设备间连接各治理子系统。数据主要从网络配线间向各个子配线间敷设12芯单模室内多模光纤。

5、设备间子系统设计。设备间子系统设计由设备间中的电缆、连接器和相关支撑硬件组成，把公共系统（通讯系统，计算机系统等）设备的各种不同设备互连起来。使用多芯单模室内多模光纤将其连接。

6、建筑群子系统设计。建筑群子系统是将一栋建筑物内的电缆延伸到建筑群中的另外一些建筑物内的通信设备和装置上，采用光缆布线是目前主要的建筑间布线方式。建筑间的主干光缆采用12芯单模。

三、施工管理

3.1施工前准备

施工前，企业应认真审核合同，合同签订后，一切照文件实行。

3.2设备及材料

企业应对工程中所用到的所有设备及材料严格把关。选择质量可靠、性能良好的设备及材料、严格按合同进货。

3.3施工过程管理

根据企业的情况，安排好施工进度，并加强对施工人员的管理，保证施工现场的卫生 ，保证不影响到企业工作人员的正常工作 。

3.4施工完成后质量的检查和验收

施工完成后，企业派出有关人员进行全面的质量检查，进行系统的总验收。完全达到双方签订的合同要求后，进行工程的总移交。如在合同范围内，不达到要求的地方一定返工，直到达到要求为止。

四、结束语

在小企业网络规划与设计中，一套可行设计方案就能够满足小企业团体的信息交流和传递，也使外面的客户能够很容易的了解企业。本文在进行小企业网络规划与设计的时候，按照计算机网络设计的原则，采用层次化模型方法，将网络的结构分层为核心层和接入层，设置一个总机房在一楼或者核心层。

采用总线型网络拓扑结构，简单、方便、价廉，在功能性、实用性、安全性等方面完全符合小企业网络的工作需求，并具有一定的可扩展性，达到了小企业网络规划与设计的预期目标。

参 考 文 献

篇7

企业网络安全系统就是企业借助计算机、通信设施等现代设备，构建相应的满足企业日常经营和管理需求的系统模式。随着信息技术的快速发展，企业网络建设更加成熟和完善。整个网络系统能够跨越多个地区、覆盖千家企业和大量用户，网络比较庞大且复杂，不管网络构架多么的复杂，其应用系统种类更加繁多，各系统间关联性更强[1]。目前，企业网络安全系统主要面临以下威胁：（1）物理层安全威胁会导致设备损坏，系统或网络不可用，数据损坏、丢失等。（2）因企业管理人员水平不高，引发企业内部信息泄露的威胁。同时，在整个网络中，内部员工对企业网络结构、应用比较熟悉，自己攻击或泄露内部信息，也会导致系统遭受致命的安全威胁。（3）计算机病毒是一种可以将自身附加值目标机系统的文件程序，其对系统的破坏性非常严重，会导致服务拒绝、破坏数据或导致整个系统面临瘫痪。当病毒释放至网络环境内，其无法预测其产生的危害。

二、企业网络安全防护系统设计

1身份认证系统的设计与实现

身份认证作为网络安全的重要组成部分，企业网络安全系统中设计基于RSA的认证系统，该系统为三方身份认证协议。

（1）申请认证模块的设计与实现

CA设置在企业主服务器上，本系统主要包含申请认证、身份认证、通信模块。其中，申请认证完成与申请认证相关的操作，该模块实现流程如下：用鼠标点击菜单项中的“申请证书”，弹出相应的认证界面。在申请书界面内，输入用户的姓名及密码，传递至CA认证。

CA接收到认证方所发出的名称和明码后，并将认证结果发送至申请证书方，当通过用户验证将公钥传给CA。

CA接收申请证书一方传来的公钥，把其制作为证书发送给申请方，完成CA各项功能。申请方接收CA传来的证书后，保存至初始化文件.ini内。在申请方.ini文件内可以看见用户设置的公钥。

（2）身份认证模块

实施身份认证的双方，依次点击菜单项中的身份认证项，打开相应的身份认证对话框，提出验证方的请求连接，以此为双方创建连接[2]。

实际认证过程中，采用产生的随机数字N1、N2来抵抗攻击。B验证A证书有效后，获取自己的证书，产生随机数N1对其实施签名。随之把证书、签名的N1两条信息一起传递至A。A接收B发出的信息后，将其划分为两个部分，并验证B的身份同时获取B公钥。A验证B证书属于有效后，取出N传出的随机数N1，并产生随机数字N2，把密钥采用B公钥加密，最终把加密后的密钥采用A传送至B。B接受A发出的信息后，对A签名数据串进行解签，对传输的数据进行验证。如果验证失败，必须重新实施认证。实现代码如下：

UCHARdata[1024]={0}：//解密后的私钥文件UINT4datalen=10224//解密后私钥文件长度if（RTN_OK！=CryptionProe（ATTRIB_SDBI_KEY，Dec_keylen，DNCRYPT，kk->length，data，&datalen））{m_List.AddMSg（解密私钥失败”，M_ERROR）：deletekk；retllrn；}e1se.

2安全防护系统的设计及实现

设计安全防护系统旨在保护企业内部信息的安全，实现对各个协议和端口过滤操作，并实时监测网络的安全性。

（1）Windos网络接口标准

安全防护系统总设计方案是基于Windows内核内截取所有IP包。在Windows操作系统内，NDIS发挥着重要的作用，其是网络协议与NIC之间的桥梁，Windows网络接口见图1。其中，NDIS设置在MinpORT驱动程序上，Miniport相当于数据链路层的介质访问控制子层。

（2）数据包过滤系统

数据包过滤系统主要过滤IP数据包、UDP数据包、传输层TCP、应用层HTTP等。包过滤技术遵循“允许或不允许”部分数据包通过防火墙，数据包过滤流程见图2。包过滤装置对数据包进行有选择的通过，采用检查数据量中各数据包后，依据数据包源地址、TCP链路状态等明确数据包是否通过[3]。

综上所述，现阶段，我国多数企业设置的安全防护系统主要预防外部人员的非法入侵和供给，对企业内部人员发出的网络攻击、信息窃取无法起到防护的效果。文中对网络系统安全存在的安全风险展开分析，提出企业网络身份认证系统和安全防护系统设计与实现步骤，以此提升企业网络信息的安全性，为企业更好地发展提供安全支持。

参考文献：

[1]徐哲明.企业网络系统安全修补程序构架的设计[J].计算机安全，2013，17（8）：47-50.

[2]劳伟强.企业数据网安全防护体系的研究与实现[J].电子世界，2013，35（22）：154-154.

篇8

1构建稳定可靠的企业网的目的和意义

现代企业，无论规模大小，建设不同要求的企业网对大多数企业而言是必须的。即便是一个最小规模的工作室，最简单的局域网都能给用户带来资源共享（文件共享）的便利和费用的节省（比如共享上网）。

随着企业规模的扩大，企业网是各信息应用系统正常运行的基础，企业网带给用户的就不仅仅只有资源共享及节约费用了，而是能和运行在其上的信息应用系统共同带给用户新的生产力。运行在企业网之上的信息应用系统涉及企业管理、生产的各个方面，能极大提高企业效率。因此，企业网的建设已是规模企业的必然选择；同时，企业网的稳定可靠也成为企业网建设中最重要的追求。

本文后面阐述的思想及技术实现适用于1 000人左右的企业用于构建稳定可靠的企业网。本文对网络建设中的常规思路及通用做法着墨不多，以介绍经验为主；重点介绍冗余技术的设计与实现。如果读者的业对网络的要求较低或从降低成本考虑，可适当降低冗余配置程度，比如核心与各汇聚局域网以单链路连接、单因特网宽带接入等，但这样做的后果就是可靠性大大降低。本文的思路与技术实现已经在实例网络中得到体现。

2构建稳定可靠企业网的几个要点

2.1稳定可靠的网络结构

确立网络结构时，除了要考虑可扩展性、可管理性等方面外，更应看重稳定性、可靠性方面的设计。

首先确定网络拓扑结构。各种拓扑结构各有优缺点也各有针对性，如果没有特殊需求，一般建议选择星型拓扑结构，因为这种拓扑结构有结构简单、容易实现、便于管理及故障点容易检测和排除。此结构是目前构建中小型企业网的主流结构。但是星型结构在可靠性方面有个大缺陷，就是中心节点的故障会导致网络瘫痪。对此缺陷，必须采取必要措施加以弥补，这个措施就是中心节点的冗余配置。企业网的中心节点一般是核心交换机。中心节点的冗余配置不是指设置2个中心，而是指加强作为中心节点的核心交换机的配置，使得中心节点非常可靠，不容易失败。

接着，确定网络的层次结构。清晰合理的层次结构也有利于网络的稳定可靠。网络具有层次结构，既有利于后期的管理，也有利于故障的隔离。在实例中，把网络划分成了三个层次：核心层、汇聚层、接入层。接入层直接为终端提供接入；汇聚层终结VLAN；核心层以转发各局域网网间流量为主。

然后，确定同城不同区域局域网的互联方法。这部分可根据企业应用系统的要求，同时根据成本花销情况（毕竟租用电信运行商线路是很昂贵的），选择适合自己企业的互联方法。可以租用数据专线，也可通过因特网以VPN的方式互联。本例中，采取的是数据专线做互联主链路，VPN做备用链路。

图1就是按照上述思路强化了结构的网络实例拓扑图。针对星型结构的缺陷，中心节点由2台核心交换机组成。核心交换机与各局域网都以双链路连接，因特网宽带也采取双链路接入。

图1结构加强过的实例网络拓扑图

2.2IP规划及路由策略

IP规划及路由策略问题往往容易被中小型企业网设计者轻视，但等网络建成了，才会发现由于前期缺少策划导致后面的工作很繁琐。

由于中型企业内部网段比较多，如果仍然像在小型企业网那样在私有网段内随意指定IP地址段，往往会导致后期的路由指向困难及其它问题。

而路由策略不仅要考虑是否要启用动态路由，还要考虑采用路由聚合，及支持策略路由功能等。启用动态路由的理由是应对可能的IP网段太多；采用路由聚合的理由是简化路由指向；策略路由能解决一些基于源地址的路由指向。

规划IP时，适当考虑可变长度子网掩码（VLSM）技术，便于灵活调整子网的个数及主机的数量，以满足网络划分的不同数量要求。也要考虑路由聚合，把便于路由聚合的IP地址段分配给同一局域网内。

在核心层启用互联网段，用于各汇聚层网络的互联互通。

2.3远程接入及访问因特网部分的设计

这部分通常的网络方案设计中，设计人员喜欢既配置了路由器又配置防火墙。其实，如果路由要求不高的情况下，可以只选配防火墙。

本网络实例中，防火墙不但承担了对因特网的访问任务，还承担了外埠分支机构的VPN接入任务。考虑到现代企业对因特网访问的依赖程度提高了，实例网络安排了双防火墙双因特网接入。

而针对外埠分支机构的专线接入，可直接接入核心交换机，也无需路由器。

这样做的好处是结构简单，在功能上也没什么缺失。结构简单的好处是低故障率，出了故障也容易排查。

2.4网络管理

网络管理其实是开始于设计阶段的，设计网络结构时要考虑后面的运行管理，比如分层的网络结构让VLAN终结在汇聚交换机。IP在规划时考虑到路由的聚合，会给后期的路由指向带来方便。

谈网络管理，必然要涉及网管软件。网管软件不是网络管理的必需，但随着网络规模的扩大，它的作用就越大，也越重要。对于规模不大的中小型企业网络，尽量在设计阶段就考虑到管理因素而又针对性地设计，以求网络开始运行后，在没有采用任何网管软件前能够手工地较快速地定位故障点，进而排除故障。

之所以有这样的考虑，是因为选择一种适合本企业网络的网管软件并不是一件简单的事情。选择网管软件首先要清楚，自己要管理什么，是性能管理？故障管理？配置管理？安全管理？计费管理？或者全部，或者部分。其次，在技术上要清楚，网管软件大体分三个层次，即网元治理、网络层治理和业务治理，而本企业需要什么样的治理？基于以上原因，网管软件更适合在网络系统建立并运行后，在需求分析的基础上选择平台级的网管软件。开始阶段可选择由设备厂商提供的网元治理类的网管软件，比如CISCO Works。

3热备功能的实现及其它功能的说明

结构上做了冗余设计，要真正地发挥设备和链路的热备的作用，还要进行相关设定后才能实现。其它功能也是企业网必须具备的。

3.1HSRP实现双机热备

HSRP原理，首先由多台路由器组成备份组，此备份组可看成是一台虚拟的路由器，有独立的虚拟IP，网内主机以这台虚拟路由器为网关。在备份组内有一台路由器是活动路由器，由它来完成虚拟路由器的工作，当此台活动路由器出故障时，组内的另一台路由器会接替活动路由器，来完成虚拟路由器的转发工作。而这些，对网内主机是透明的，它们只能看到虚拟路由器。CISCO大部分3层交换机都支持HSRP。

以某VLAN为例给出设置要点。

1、在核心交换机A上

Interface VLAN7

ip address 192.168.7.253255.255.255.0

standby7192.168.7.254/*虚拟路由器的IP

standby7priority 110/*设置优先级

standby7preempt /*设置抢占模式

2、在核心交换机B上

Interface VLAN7

ip address 192.168.7.252255.255.255.0

standby7192.168.7.254

standby7preempt

3、在网内电脑上

把网关设置为192.168.7.254

3.2SLA实现双链路自动切换

SLA(Service Level Agreement)服务品质保障协议，可用于网络侦测，通过发送指定协议的报文来侦测链路的情况，根据链路情况选择路由。

如果第二链路是另一家电信运营商的租用线路，实现此功能相对简单。如果考虑降低成本，一线多用，可用宽带线路通过IPSEC VPN来搭建第二链路，这就多了IPSEC VPN的设置工作。

由于IPSEC VPN的实现因网关设备的不同而不同，本文就省略这部分设置的说明，只说明下交换机端的设置要点。实现原理：路由器（或三层交换机）通过（ICMP）PING远端路由器（或三层交换机）来验证第一链路的状态，如果第一链路失败，则激活第二链路，实现故障切换。使用对象跟踪功能（object track）保证静态路由的可靠备份。

ip sla 1

icmp-echo 192.168.1.6 /*ping远端交换机第一链路接口

timeout 1000

threshold 2

frequency 3

ip sla schedule 1 life forever start-time now

……

track 1 ip sla 1 reachability/*跟踪ip sla 1，如果没有返回ping包，则track状态为down

……

ip route 192.168.176.0255.255.240192.168.1.6track 1/*只有track状态为up时，此静态路由建立。如果track为down，则下面这条路有开始转发数据。

ip route 192.168.176.0255.255.240.0192.168.1.210

注：远端网络由若干C类网段组成，所以掩码是255.255.240.0，这里采用了路由聚合。要采用路由聚合，必须先有网络地址规划，即便是私有地址，也不可以随意指定。

3.3其它功能

其它几个基本功能，有些是必须要采用的功能，比如VLAN、DHCP、访问控制列表等，能满足基本的网络管理要求；有些则是高级功能，如策略路由、QoS、动态路由等，能满足一些高级的网络管理要求，或者能提供管理的方便性。

对于VLAN、DHCP、访问控制列表的使用，是企业网络管理中最基本的要求，网络管理员都应熟练掌握，本文不再赘述。而那些高级功能，则在网络运转起来后，根据需求决定是否采用。我在此提醒一下，有些功能需要交换机OS（操作系统）的升级。比如策略路由，一般三层交换机预装的OS都不支持，如果本企业确实需要这样的功能，可以通过升级OS来得到。

4结束语

基于上述思路具有了冗余设计的实例网络在建成后，除了正常提供基本的网络功能外，在运行过程中还经历过一系列的故障的考验。某台核心交换机的一块接口业务板曾经损坏，由于是双核心交换机配置，得以迅速切换到另一台交换机，短时间内恢复了用户网络。核心网络与某局域网的电信专线连接也因为电信方的故障而中断过多次，而因为采用了基于SLA技术的设置实现了链路的自动切换，对用户应用并没有造成可感知的延时。以上事实足以证明实例网络在强化冗余能力方面的设计是成功的。

篇9

随着互联网技术的发展，企业网络规模不断扩大，企业网的运行安全性更加重要。但是企业网运行中安全时间频繁出现，严重影响企业业务的发展，保障网络安全已经成为企业迫切需要解决的问题。

1企业网络规划和安全管理需求分析

公司网络系统成立初期以经营业务为主，建网时间长，部分设备陈旧，网络不安全因素来自本身安全缺陷和认为因素。企业网络均由单个节点构成，所有的工作站和服务器通过双绞线联入交换机。信息中心部署在信息部，形成星状网络结构。每层办公地方设置节点。信息点分布需求方面，每层办公楼设置节点，与信息面板连接。在网络规划中，需要满足企业网的需求，一方面实现网络隔离技术限制部门的访问，另一方面实现防火墙技术配置策略设置规则。同时网络信息的传输要求能够实时监控。网络上资源的访问通过资源具有的IP地址实现，地址划分应该满足简单性原则、连续性原则，地址分配剂量简单，避免采用复杂掩码，同一区域需要采用连续分配网络地址方便管理。

2网络规划设计

网络拓扑结构设计分为核心层、接入层和边界层，核心层由三层交换机组成，接入层由二层交换机组成，边界层设计中，需要使用入侵检测系统和防火墙系统保证安全。公司与下属公司的信息安全传输通过专用网连接VPN实现。IP地址分配。将企业各个部门划分为独立的VLAN，并配置相应的网关和网段，为方面增加日后信息点，不划分子网，采用子网掩码方式。行政部IP地址172.16.10.0/24，方案所IP地址172.16.11.0/24，建筑所IP地址172.16.12.0/24，结构所IP地址172.16.13.0/24，给水排水所IP地址172.16.21.0/24，暖通所IP地址172.16.16.0/24，电气所IP地址172.16.17.0/24。核心层和接入层设备配置Vlan，创建核心交换机，制定名字，进入配置模式，制定IP地址，配置STP、ACL、DHCP，并配置聚合链路。企业内网都可以访问互联网，内网交换机设置中采用防火墙策略，路由器和防火墙建立IPSECVPN隧道，遵守最小介入原则优化和细分安全策略。先进入到防火墙端口，核心层三层交换机连接防火墙s3g，核心二层交换机连接防火墙s3g2，由于核心层承接企业核心业务，因此将接口等级设置为高安全等级，并且将连个接口设置在trust区域中。外来用户访问来自外网，属于非信任区，因此将安全等级设定为低等级。设置防火墙静态路由器，保证内网服务区能够通过防火墙访问外网。配置防火墙策略路由器，根据优先等级设置链路，链路切换通过探测机制实现。设置防火墙安全策略，将不同区域设定为不同的安全等级和IP地址。配置防火墙VPN，在总部防火墙和下级防火墙建立IPSeeVPN隧道。入侵检测系统实现信息传输监控，并能够终端隔离有害信息。在建设初期将检测系统设定为透明桥模式。终端和服务器安全管理系统设置中，设置补丁管理、终端桌面管理、文件审计管理等，防治ATP攻击，过滤恶意URL，加速补丁修复，管理资产、单点维护，实现移动存储管理等。

3安全管理分析

利用网络安全性技术保护网络系统安全。网络系统安全管理设计中分析系统安全技术，从硬件设计、非法用户入侵、网络安全等角度进行分析。硬件设备安全是保证系统安全可靠的基础，系统硬件设备组成部门包括工作组交换机、服务器、工作站等，硬件设备的安全性还取决于设备本身的性能。数据中心机房安全设计中，要求根据实际情况进行装修，设置接地和防雷装置，并配备UPS。总配线设置中应充分考虑电磁干扰因素，机房温度适宜，湿度维持在30~50%。在机房设置独立接地系统，安装合适接地端子，要求天花板高度在2.5米以上。安全管理做好病毒防护工作。利用全范围企业防毒产品，集中保护网络电脑，采用病毒防护技术、程度内核安全技术保护数据。病毒防护方案中实施统一监控和分布式的部署方式，公司根据实际情况制定防病毒策略和计划，总公司负责全网病毒定义码、将升级文件分配到相应的服务器。提交被隔离的文件，并进行扫描引擎。通过广域网集中控制和管理病毒管理服务器，在必要时，直接管理下级公司病毒服务器。针对公司线以后的管理体制和系统架构，设计二级管理中心来复杂病毒防护系统的实施。公司复杂局域网防病毒软件安装，制定防病毒策略，监控局域网防病毒状态，下属负责自己局域网监控，并作出响应。建立统一分级管理病毒管理体系，用来存储网络病毒事件，了解病毒发生地方、过程、事件、危害以及处理等。同时在管理中心成立响应中心和安全事件管理中心，根据网络可能需求部署安全产品，如入册检测系统、防火墙、扫描系统等。同时建立垃圾邮件过滤系统方案，外部发来邮件先经过DNS解析后发送至IMSS，有效查杀邮件传播病毒。对设计系统进行测试和维护，测试结果显示网络规划能够确保挽留过安全。在后期维护中主要负责网络正常运转。

4结语

综上所述，文章在分析企业网络需求基础上进行网络规划，满足企业网安全需求，实现交互数据交换。企业网络规划安全管理中，安全管理最为企业重要组成部分，同样需要建立管理制度，促使员工遵循使用规则，避免病毒入网。

引用：

[1]关天柱.中小型企业网络规划及安全管理的研究[J].电脑知识与技术，2010，06（9X）：7197-7198.

篇10

随着数字化和信息化进程的不断加速，企业网络规模和应用范围日益扩大。制药企业作为技术密集型企业，多以精深工艺、提升品质、加强管理为目的，建立了由ERP、电子商务、Web网站、OA构成的网络系统。目前，网络已应用于制药企业各个事务层面，因此网络安全尤为重要，必须建立多层次的安全体系架构，作为企业网络系统的基础保障。

一、安全架构设计要点

（一）多元线程。安全架构分为“预防”、“治理”、“巩固”三个线程。“预防”是通过Windows Server Update Services更新服务，及时修补内网终端与服务器的系统漏洞。“治理”是针对不同的安全威胁进行防护。对于病毒威胁和黑客入侵，进行软硬件联合防御。“巩固”是保存完整网络日志，有科学的备份策略，对终端计算机的严格管理，保证终端安全。

（二）立体布局。安全架构设计要兼顾物理层、链路层、网络层和应用层，形成立体化的防护布局。以安全域来划分为主线，同一安全域共享公用的信息资源、安全基础设施、网络基础设施等。

（三）系统管理。安全架构包括技术层和管理层两方面，必须建立安全管理系统与安全技术相适应。管理系统要求严密的岗位分工，以及日常维护管理制度。一个合理的管理系统能够明确网络边界，增强网络的可控性，实现有计划的访问控制，有效阻止渗透式网络攻击。

二、安全架构设计方案

（一）网络平台方案设计

1.网络结构设计。制药企业的网络设置采用拓扑结构，根据药品的生产、销售、组织、管理等部门分成多个子网，共同构建企业网络平台。在各VLAN之间布置路由，实现各VLAN间的自由互访。但各子网间互访需要进行网络验证，避免某子网的安全威胁获得扩大性传播。

2.域管理设计。为实现集中式管理，应在制药企业网络平台布局域管理。域管理可以实现单一账户登录，单节点管理，具有安全便捷的优点。企业内网络终端设备较多，因此要进行网络标签设置，具体规则如下：XX――X――XX，字符分别代表了一定含义，第一段字符代表所属网关，第二段代表部门，第三段代表姓名全拼，唯一的网络标签可以保证定位的速度与精度。

3.入侵检测设计。网络入侵检测是通过防火墙和专用软件（IDS）实现的。配置企业级防火墙，可以杜绝内外网间的病毒威胁，提供相对安全的网络环境。而网康、绿盟、安全胄甲等专业入侵检测软件（IDS）则是对防火墙的合理补充，IDS从企业网络中采集关键信息，分析总流量、上传量、ERP等数据变化，自主判断网络中违反安全策略的行为。联合应用防火墙与IDS，可以实时、动态地保护网络平台，扩展系统管理员的安全管理能力，形成完整的网络安全平台结构。

（二）防治病毒方案设计

1.分布式部署。一般而言，制药企业规模庞大且机构复杂，由多个服务器构成子网，因此在防毒软件的安装方面，要采用分布部署的方法，分地域、分工段、分部门进行配置，并根据企业现有的网络构架，设立多级病毒防治管理中心，负责各自网段的病毒查杀工作。

2.网络边缘防护。网络边缘是靠近用户端的网络层面，对其进行病毒防护的方法是在部署好防病毒网关后再连接外网，全面扫描网络后安置硬件防毒墙。建议使用网神、驱逐舰、趋势，瑞星、 MacAfee等品牌防毒墙，针对HTTP、FTP协议进行查杀病毒。再配置一套符合企业网络应用需要的安全策略，控制多项网络端口，填补边缘防护缺口，建立起软硬件相结合的安全屏障。

3.防病毒管理。防毒技术是网络安全架构的技术保障，而技术需要管理制度作为保障才能发挥最大效用。制药企业防毒管理制度应包括：强制实施防病毒策略，严肃工作纪律；定期检查硬件防毒墙运行状态，调整工作参数，避免过热过劳运行；定期升级防毒软件病毒库，如有大规模病毒爆发需进行专项治理；加强移动存储介质管理，不使用来源不明的存储介质。

（三）数据备份和审计方案设计

数据备份和审计是制药企业网络安全架构的重要组件。数据备份的作用是记录各类网络信息，为查找漏洞、排除问题、安全设置提供参考。考虑到制药企业数据备份的规模及对数据安全的要求，可利用IBM公司开发的iSCSI接口，将现有SCSI接口与以太网络结合，实现服务器与IP网络储存装置的资料交换。由于备份管理软件对存储性能有重要影响，应用符合一定技术标准的备份软件，具备快速存取能力、极简管理能力和灾难恢复能力。另外，备份软件要适应当前的网络条件，能同时支持64位和32位WINDOWS系统、UNIX、IOS系统，能在常用系统平台进行主动式备份。建议采用FileGee等备份软件，实现自动备份文件，并可进行多介质服务器管理，提供集中管理备份策略。

数据备份的目的是进行数据审计，通过检索备份数据，分析数据特征和变化趋势，对企业内服务器和终端设备进行安全审计。终端设备审计方案是：调取网络数据，对各种网络应用进行识别、记录和控制，在此基础上判断网络行为正当与否，如存在安全隐患则采取紧急策略，对问题网络端口进行控制。服务器审计方案是：在数据库中提取记录企业服务器运行信息，包括网络设备、安全设备、主机、数据库和应用系统日志，作出勘察、判断与决策，防止误操作和不当操作行为，预防各种潜在的违规操作行为。

三、总结

本文立足于制药企业的网络管理实际，拟定了三项网络系统安全架构的设计要点，提出安全规划，明确建设目标。网络安全架构设计以平台安全、防治病毒、数据备份和审计为基点，兼顾了整体性和可操作性，设计出符合线程化、立体化、系统化要求的安全架构，为制药企业网络安全应用和管理提供了技术支持。

参考文献：

篇11

中小企业是我国国民经济中的一个重要组成部分，也是社会经济发展不可或缺的要素。中小企业的发展，对应促进我国经济的持续发展和社会稳定具有极为重要的意义。然而，随着全球经济一体化的步伐不断加快和市场竞争的更趋激烈，生存于大企业夹缝当中的中小企业怎样在这一大潮当中取得生存与发展，这已经成为中小企业面临的实际问题。然而，随着网络营销的兴起，让中小企业能够突破传统因素的种种制约，为其和大型企业开展公平竞争提供了新的机遇。

一、网络营销的内涵及特征

网络营销主要是指以网络为基础，运用数字化信息及网络媒体交互性以辅助实现营销目标的一种新兴市场营销行为。也就是说，网络营销就以互联网为其主要实施手段，目前是为了实现一定的营销目的。其特征如下：一是实现了跨时空营销。网络营销能够让中小企业有更多的时间与更大的空间实施营销，能够随时随地地提供全球同步营销服务。消费者不需要再受时间与地点等各方面的限制，只需依据个人的喜欢程度或者需求去选择有关信息并进行比较，从而做出决策。二是实现互动式定制化。网络为中小企业提供了和消费者进行交流的渠道，一对一地为消费者提供了独特化与个性化服务。中小企业立足于网络为消费者展示本企业的产品目录，还应制作出调查表以搜集消费者所提出的意见，还能让消费者参与到产品设计与开发之中，真正实现以消费者为中心来设计出更加符合消费者所需之产品。三是实现了低成本营销。实施网络营销有可能让运营成本得到大幅下降，并将应用网络手段来抑制促销成本。

二、网络营销的主要优势

（一）能够满足消费者的个性化需求

网络营销以客户为主导，以消费者的个性化需求为提供服务的出发点。消费者需要哪种产品，就和与企业在网络上进行直接沟通，让客户参与到产品与服务设计之中。比如，日本家用电器制造企业就邀请家庭主妇来帮助其设计产品。网络的出现让定制营销真正成为了可能，企业完全可依据客户之需求来量身定制，从而完全满足客户的个性化需求。

（二）能够满足消费者追求物美价廉的需求

价格的高低与否是影响消费者能否购买的一个重要因素，网络营销彻底改变了传统意义上的分销途径，实现了把商品直接传递至客户手中，从而抛开了介入中间的经销商，让产品成本与价格下降成为现实。网络的同步性让消费者更为容易接近于名牌与名店，从而得到世界范围内最具竞争实力的报价。

（三）能够满足消费者购物方便的需求

对于普通消费者来说，快节奏工作与生活让其愈来愈珍惜休闲时光，网络购物模式能够满足消费者便于购物与省时省力等需求，能够足不出户就买到合乎心意的产品。与此同时，当代消费者更为注重于精神的愉悦与心理的轻松，网络购物能让消费者们免受干扰，能够在最大限度上得到心理上的满足。

三、促进中小企业网络营销良性发展的几点建议

（一）建立正确的营销观

中小企业管理层应当认真学习网络营销方面的知识，从而建立起科学的网络意识，借助于网络来改善经营，开发出本企业的新产品，推出能够提升本企业的市场竞争力的网络营销新观念。中小企业应当对传统经营管理方式加以改进，重建企业内部营销流程，形成更为科学规范的企业治理结构，并从企业发展战略的高度上重新认识占领网络市场的重要意义，从而抓住时机实施网络营销。

（二）全面规划企业网站建设

中小企业在实施网站建设时要依据实际，对企业网站的功能、结构、形象、信息分类与标准化等多个方面进行综合考虑。一个成功的企业网站肯定具备了信息量较大、更新较快、富有特色等过人之处。及时提供特色化服务与快速更新信息更是中小企业网站建设取得成功的关键所在。因此，在中小企业网站建设网站中，首先要明确本网站建设的目标访问者。因为这一群体是该网站的最主要服务对象，也是本企业的目标客户。对目标访问者进行确定就决定了本网站的内容以及服务定位；其次是要开展特色服务，以吸引目标客户或者潜在客户的高度重视，并且增加销售的机会。最后是要在管理中跟进配合。鉴于网站建设是一个复杂的系统工程，因此需要得到企业各方面的大力支持。应当建立健全一套适合于本企业网络管理制度体系，才能更好地发挥网站的优势。

（三）出台合理的网络营销策略

网络营销策略实质上属于渠道营销策略，企业网络营销策略之实施决不能盲目地进行，而是要与企业整体营销及经营战略相互结合起来。中小企业在制定适合本企业的网络营销策略时一定要考虑到满足渠道所能接触到的不同类型客户，考虑到怎样说服客户去使用网站所预设的在线服务；考虑到如何有效转化潜在客户等等。

（四）打造专业化网络营销团队

中小企业要想实现成功的网络营销，一个重要的前提条件就是要拥有专业化的网络营销团队，且这支队伍并非是孤立存在着的，而是应当将其归到企业的销售部门之中。建立专业化网络营销专业团队应当做到以下三点：一是要通过各种形式来招聘具有网络营销技术的专业人才，二是要邀请专业网络营销企业培训教师到本企业为营销人员进行内训，从而提升销售人员对于网络营销之理解，三是要将企业现有从事传统营销的员工与新招聘的从事网络营销的员工加以整合，从而使其成长为有战斗力的网络营销团队。

（五）加强网站的维护与监测

中小企业在实施上述各类网络营销措施以后，还需对网络营销的效果开展及时有效的分析与监控。比如，可运用网络营销分析工具来了解本企业网络营销的投入、实际流量、潜在客户转化状况等，通过及时调整本企业的网络营销策略，以实现经济收益的不断提高。

四、结束语

综上所述，中小企业应当在发展传统营销的基础上积极发展网络营销，不仅要体现出让消费者参与到营销之中的理念，而且还要将各类网络技术与营销方式加以结合，让企业与消费者进行全面沟通，从而让中小企业的网络营销活动更为符合其经营的目标。

参考文献

[1]陈金先. 浅议中小企业如何构建自己的营销网络[J]. 经济师，2011（6）.

篇12

中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2011) 11-0000-01

Talking on How to Build Enterprise Intranet Security System

Chen Kankan

(Fuzhou Local Taxation Bureau Foreign Tax Bureau,Fuzhou350000,China)

Abstract:At present,China has been into the Internet age,is inseparable from development and construction of network system.However,because too many companies rely on network functions,and ignore the network environment information system operating risks,resulting in unnecessary losses.This will be the construction of corporate Intranetsecurity risks and protection system of the establishment of strategies to analyze and explain the problem to improve network efficiency and security applications.

Keywords:Enterprise;Intranet;Security

随着商业竞争全球化的发展趋势，企业若想得到长远发展，必须不断拓展业务并提高客户满意度，同时加强对运营成本的控制。随着信息化时代的到来，很多企业依赖网络开拓市场，加强与客户、合作商之间的沟通效率。但是应该认识到，电子商务作为一把双刃剑，既给企业带来发展便利、提高综合竞争力，同时也给企业内部及外部带来安全隐患，甚至对企业发展产生不利，对企业的运营成本、盈利水平及客户满意度等均产生负面影响。

一、网络环境下企业发展面临的安全隐患

（一）物理环境影响。在物理环境中，涉及到计算机硬件、网络设备、数据安全等问题，其中对企业网络安全产生影响的主要因素为：辐射、静电、硬件故障、自然灾害等，以及偷窃、盗用等人为因素。另外，除了光缆以外的通信介质都存在不同程度的电磁辐射，而计算机入侵者就可以通过利用电磁辐射，对各种协议分析仪或者信道检测器等窃听，通过对信息的分析，能轻易得到用户口令、账号、ID等重要安全信息。

（二）黑客攻击与非法入侵。黑客通过非法入侵及恶意攻击等行为，对企业用户的网络使用及商务活动产生破坏。黑客已经成为当前互联网业务以及企业辅助工作中最严重的安全问题之一。黑客攻击与非法入侵主要对企业产生以下影响：组织计算机系统的正常使用；通过向企业发送垃圾信息，堵塞网络正常通信；植入木马等病毒，并对企业重要数据进行监控、复制、删除或者毁坏。无论是出于什么目的的黑客入侵，最终都可能导致企业无法正常工作、数据损坏等问题。

（三）网络协议安全隐患。网络协议中多采用tcp/ip协议，目前设计的目标是互联、互通与互操作，而缺乏对安全的重视，同时由于网络处于完全公开状况下，造成协议中存在诸多安全隐患。

二、构建企业网络安全防护体系的有效策略

（一）加强防火墙技术。防火墙主要由硬件设备与软件设备组合而成，是企业或者网络计算机与外界沟通的渠道，对于外部用户对内部网络的访问产生限制，并对内部用户的访问网络权利实现管理。防火墙主要分为内部防火墙与外部防火墙两部分，其中内部防火墙用于控制内部各部门的子网之间通信安全；外部防火墙则用于隔离外部网络与内部网络，又是沟通内部网络与外部网络的通信桥梁。

另外，放置防火墙的位置也十分重要，一般建议使用出口路由器替换防火墙，可在路由形式下开展工作，以实现出口网关工作模式。这种模式可有效确保内部开放服务器与路由器自身安全，并将内部开放服务集中在DMZ区的隔离，在规则配置方面则实现差异化配置，简化了网络拓扑，便于及时监测网络故障。

（二）重视网络安全预警。在现代化企业网络安全预警系统中，主要分为入侵预警与病毒预警。一方面，入侵预警系统中的入侵检查工作可对网络传输数据的授权进行确认，如果检测到入侵信号，将会及时发出警报，避免网络威胁问题产生。通过入侵预警系统，可以对网络、系统等实现扫描，并综合实时监控与防火墙产生的安全数据，提供内部网络与外部网络的实时分析，对发现的风险源产生直接响应，并提供企业网络安全风险管理报告，报告中应包含实时风险、安全漏洞、攻击条件等内容的分析。通过入侵告警报告，可对入侵信息起到提示作用，并分析入侵趋势，最终确定网络是否在安全环境下运行。另一方面，病毒预警系统可对网络发出的数据包实现全天24小时监控及持续扫描，一旦发现病毒立即发出报警信号，通知网络管理人员，并通过IP地址定位及端口定位等手段跟踪病毒来源，同时产生扫描日志和报告，实现网络病毒跟踪。

（三）强化入侵防御系统（IPS）。入侵防御系统（IPS）通过深度感知及监测数据流量，可实现对恶意攻击的阻断，对滥用报文现象限流，以确保网络带宽资源，如果发现攻击行为，立即发出响应，主动切断连接。在部署形式上，IPS主要以串联方式接入，当监测到攻击时，会在攻击扩散到网络之前阻止，及时终止通信。因此，IPS技术更符合企业内网安全建设。

（四）充分利用数字加密与数字签名。由于网络安全很难做到完全控制，因此在企业内网中可采用一系列加密手段，尤其对重要文件实现加密存储，如重要邮件的发送及文件传输等，也可实现文件加密或者数字签名，以确保数据安全性。数据加密技术是当前保护数据传输安全与存储安全的有效方法之一，可实现对内网数据、口令、文件及控制信息的保护，避免信息被非法用户阅读、操作或者修改，防止非授权用户入网。

（五）定期备份数据。在企业网络安全防护体系中，应按照规定及时采取定期备份数据处理，完善应用程序与系统软件，并对备份的存储介质加强安全保护。一般数据应采取每天备份的形式，而应用程序与系统软件由于一般变化不大，可每周或者每月进行备份。对于整个企业网络系统的备份频率主要由信息系统读写与修改的情况决定。如果计算机系统中的操作参数或者安全控制参数等发生改变，应对整个系统进行重新备份。对于已经备份好的资料应注意维护与保存，内部审计师也应加强对其存放的检查工作，并对存放场所的安全可靠性进行评价。

由上可见，企业通过网络安全防护体系的建立，提高安全防范意识，有效保障信息系统运行的稳定性、可靠性、完整性，确保数据传输在快捷、安全的环境下运行，同时企业网络系统安全性的提高，也需要管理人员及用户等多方面的努力，主观因素与客观因素缺一不可。

参考文献：

[1]别玉玉.企业网络安全防护策略之"人工层"策略[J].硅谷,2010,17

[2]孙乐.某科技企业网络防病毒系统的设计与实施[J].北京邮电大学:软件工程,2008