導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

企業(yè)局域網(wǎng)安全設(shè)計(jì)與實(shí)現(xiàn)

文檔作者：湯水根文檔來(lái)源：廣州白云工商高級(jí)技工學(xué)校		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月30日
下載地址：點(diǎn)擊這里	文件大小： 812.58 KB 共2頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁(yè)]

本文件共2頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問(wèn)題，下載是正常的。

	文件大小：812.58 KB 共2頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：淺談配網(wǎng)安全管理

上一篇：網(wǎng)絡(luò)安全審計(jì)在校園網(wǎng)安全管理中的作用

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

1．引言
項(xiàng)目所在單位為一家大型外資食品企業(yè)，公司于2002 年
成立，專業(yè)從事大豆產(chǎn)品的深加工與相關(guān)技術(shù)服務(wù)，同年，公
司局域網(wǎng)也建成投入使用。隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)展和企
業(yè)應(yīng)用系統(tǒng)對(duì)網(wǎng)絡(luò)安全性要求的提高，現(xiàn)有局域網(wǎng)的安全性
問(wèn)題日益突顯出來(lái)，客戶機(jī)病毒集中爆發(fā)，服務(wù)器拒絕服務(wù)
等網(wǎng)絡(luò)安全問(wèn)題時(shí)有發(fā)生，提升網(wǎng)絡(luò)安全性勢(shì)在必行。經(jīng)多
方面準(zhǔn)備，網(wǎng)絡(luò)升級(jí)改造項(xiàng)目于2013 年6 月開(kāi)始，歷經(jīng)3 個(gè)月
完成。在本項(xiàng)目中，作者擔(dān)任了該項(xiàng)目的主要負(fù)責(zé)人，負(fù)責(zé)
整個(gè)網(wǎng)絡(luò)安全系統(tǒng)升級(jí)方案的規(guī)劃設(shè)計(jì)，并指導(dǎo)網(wǎng)絡(luò)工程師
進(jìn)行具體的網(wǎng)絡(luò)安全實(shí)現(xiàn)。
2．企業(yè)局域網(wǎng)物理安全設(shè)計(jì)與實(shí)現(xiàn)
物理安全是系統(tǒng)安全的第一道關(guān)卡，由于原網(wǎng)絡(luò)主機(jī)房
使用已近8 年，在機(jī)房面積、防火、防雷及供電系統(tǒng)等方面都
不能滿足企業(yè)信息安全的需求，此次升級(jí)，機(jī)房的物理安全
是作者重點(diǎn)關(guān)注的對(duì)象。主要作了以下設(shè)計(jì)和改進(jìn)：機(jī)房按
《電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》重新裝修，機(jī)房的直流接地、交
流接地機(jī)、防雷保護(hù)接地均與機(jī)房所在大樓的聯(lián)合接地體相
連，并采用了50mm*50mm寬的銅箔做成等電位基準(zhǔn)接地網(wǎng)
格，與機(jī)房的接地系統(tǒng)相連，提高了機(jī)房的按地安全性。房
內(nèi)地板、墻面、電線均采用防火材質(zhì)。機(jī)房供電線路采用了
獨(dú)立的輸入輸出設(shè)計(jì)，對(duì)服務(wù)器和網(wǎng)絡(luò)設(shè)備采用了山特公司
的30 千伏安UPS實(shí)行了雙回路供電。機(jī)房大門(mén)安裝門(mén)禁系
統(tǒng)，建立了機(jī)房出入管理制度。采用硬盤(pán)錄像機(jī)加固定攝像
槍，建立實(shí)時(shí)的全天候24小時(shí)機(jī)房視頻監(jiān)控系統(tǒng)。
3．企業(yè)局域網(wǎng)網(wǎng)絡(luò)體系結(jié)構(gòu)安全設(shè)計(jì)與實(shí)現(xiàn)
一個(gè)好的網(wǎng)絡(luò)體系結(jié)構(gòu)是實(shí)現(xiàn)一個(gè)網(wǎng)絡(luò)安全的前提條
件。現(xiàn)有網(wǎng)絡(luò)體系結(jié)構(gòu)存在的主要問(wèn)題：首先是服務(wù)器數(shù)量
眾多，造成配置復(fù)雜，管理混亂，容易留下安全隱患。其次，
原網(wǎng)絡(luò)采用二層的網(wǎng)絡(luò)結(jié)構(gòu)體系，對(duì)于一個(gè)具有3000 多個(gè)用
戶節(jié)點(diǎn)的中型企業(yè)局域網(wǎng)絡(luò)來(lái)說(shuō)，在管理和安全上是存在隱
患的。第三，企業(yè)內(nèi)網(wǎng)沒(méi)有實(shí)現(xiàn)子網(wǎng)隔離，網(wǎng)絡(luò)性能低下，導(dǎo)
致ERP、OA等應(yīng)用服務(wù)器響應(yīng)時(shí)間緩慢，財(cái)務(wù)部等敏感部門(mén)
的數(shù)據(jù)容易被竊取和監(jiān)聽(tīng)。分析了現(xiàn)有網(wǎng)絡(luò)體系存在的問(wèn)
題后，提出以下網(wǎng)絡(luò)體系結(jié)構(gòu)安全解決方案。
第一，對(duì)整個(gè)網(wǎng)絡(luò)采用三層的網(wǎng)絡(luò)體系架構(gòu)（接入層，匯
聚層和核心層）進(jìn)行重新設(shè)計(jì)。接入層負(fù)責(zé)將客戶機(jī)接入網(wǎng)
絡(luò)，并在接入層交換機(jī)上對(duì)重要的服務(wù)器做IP 地址、MAC地
址及端口綁定，有效阻止ARP等病毒攻擊。在匯聚層通過(guò)訪
問(wèn)控制列表實(shí)現(xiàn)流量控制和訪問(wèn)權(quán)限約束，配置2 臺(tái)cisco6509
三層交換機(jī)作為核心層交換機(jī)，保證核心層擁有較好
的可靠性和高速數(shù)據(jù)吞吐量，并通過(guò)應(yīng)用HSRP協(xié)議，實(shí)現(xiàn)核
心網(wǎng)關(guān)設(shè)備的冗余。第二，整個(gè)內(nèi)部網(wǎng)絡(luò)采用基于端口的
VLAN劃分方法，按部門(mén)和管理需求劃分成15 個(gè)VLAN，以
保障重要部門(mén)如財(cái)務(wù)部門(mén)等的數(shù)據(jù)安全、提高網(wǎng)絡(luò)帶寬利用
率和減少?gòu)V播風(fēng)暴。第三，采用VMware 公司的ESX Server
虛擬服務(wù)器軟件，將多個(gè)網(wǎng)絡(luò)服務(wù)和企業(yè)應(yīng)用服務(wù)以虛擬機(jī)
的形式整合運(yùn)行在配置較高的10 臺(tái)IBM System x3650 服務(wù)
器上，實(shí)現(xiàn)服務(wù)器的集中管理和配置，并通過(guò)ESX的HA（高
可用性）形成服務(wù)器的冗余。原分布在各臺(tái)服務(wù)器上單獨(dú)存
貯的數(shù)據(jù)采用IBM DS3400 專業(yè)磁盤(pán)柜進(jìn)行數(shù)據(jù)的集中存
儲(chǔ)，并通過(guò)Veritas NetBackup For Windows 專業(yè)備份軟件備
份到IBM TS2900 磁帶庫(kù)中。第四，升級(jí)Internet 接入路由器
和核心交換機(jī)之間的防火墻為華賽USG3030，主要是為了增
加接入設(shè)備的報(bào)文過(guò)濾功能，減輕路由器的處理負(fù)擔(dān)。該防
火墻啟用NAT，方便內(nèi)網(wǎng)用戶訪問(wèn)互聯(lián)網(wǎng)絡(luò)。使用PIX515E
防火墻能有效防止SYN FLOOD、UDP FLOOD、ICMP
FLOOD 和DNS FLOOD 等Dos 攻擊，能有效阻斷RPC 這類
漏洞攻擊。同時(shí)，在防火墻上啟用了IPSec VPN，這樣公司員
工可以遠(yuǎn)程連接到公司內(nèi)網(wǎng)。
4．企業(yè)局域網(wǎng)防病毒和垃圾郵件系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)
企業(yè)局域網(wǎng)安全設(shè)計(jì)與實(shí)現(xiàn)
湯水根
（廣州白云工商高級(jí)技工學(xué)校，廣東廣州510450）
[摘要] 文章以東莞某一大型美資食品公司的企業(yè)局域網(wǎng)升級(jí)項(xiàng)目為案例，討論了企業(yè)局域網(wǎng)的安全設(shè)計(jì)與實(shí)現(xiàn)。從
企業(yè)局域網(wǎng)的物理安全、網(wǎng)絡(luò)體系結(jié)構(gòu)、防病毒及垃圾郵件和網(wǎng)絡(luò)管理四個(gè)方面給出了相關(guān)的網(wǎng)絡(luò)安全解決方案，在設(shè)計(jì)中考
慮并遵循了網(wǎng)絡(luò)信息安全系統(tǒng)的木桶原則、整體性原則、有效性和實(shí)用性原則，并盡量利用現(xiàn)有的網(wǎng)絡(luò)安全方面的成熟技術(shù)。
完成安全升級(jí)后的局域網(wǎng)已經(jīng)開(kāi)始在該公司運(yùn)行，運(yùn)行結(jié)果表明，基本滿足設(shè)計(jì)需求，是一個(gè)運(yùn)行良好可管理的安全局域網(wǎng)
絡(luò)。
[關(guān)鍵詞] 局域網(wǎng)；網(wǎng)絡(luò)安全；設(shè)計(jì)
——————————————
作者簡(jiǎn)介：湯水根，男，江西宜春人，本科，高級(jí)工程師，研究方向：計(jì)算機(jī)網(wǎng)絡(luò)組建、管理，計(jì)算機(jī)網(wǎng)絡(luò)安全。
2014 年第6 期
安全技術(shù) 學(xué)術(shù)探討
- 61 -
第一，防病毒解決方案：經(jīng)過(guò)多次調(diào)研和測(cè)試，采用趨勢(shì)
科技的防毒墻網(wǎng)絡(luò)版8．0 代替代原來(lái)的單機(jī)版的殺毒軟
件。除了趨勢(shì)科技防毒墻正常的掃毒殺毒功能以外，作者還
在其上配置了與防毒墻配套的損害清除服務(wù)和Web 威脅防
護(hù)組件，形成了具有高度集成的防病毒解決方案。針對(duì)防病
毒軟件的被動(dòng)防護(hù)特點(diǎn)，作者在Internet 接入路由器上建立
了一個(gè)策略禁止訪問(wèn)常見(jiàn)病毒攻擊端口，并且把它應(yīng)用到
Internet 出口上，防止病毒入侵。第二，防垃圾郵件解決方案：
通過(guò)引入Symantec 8360 垃圾郵件硬件防火墻，通過(guò)配置IP
阻斷清單、用戶自定義規(guī)則、垃圾郵件指紋過(guò)濾、垃圾郵件意
圖分析等，解決了公司郵件服務(wù)器經(jīng)常中毒、接收轉(zhuǎn)發(fā)大量
的垃圾郵件問(wèn)題。
5．企業(yè)局域網(wǎng)網(wǎng)絡(luò)管理安全設(shè)計(jì)與實(shí)現(xiàn)
該公司網(wǎng)絡(luò)規(guī)模較大，為了避免網(wǎng)絡(luò)安全管理上的混亂
和漏洞，將網(wǎng)絡(luò)從被動(dòng)管理狀態(tài)轉(zhuǎn)為主動(dòng)管理狀態(tài)，采用一
套專業(yè)網(wǎng)絡(luò)管理軟件建立統(tǒng)一的網(wǎng)絡(luò)管理平臺(tái)是非常重要
的。本方案中采用溢信科技的IP-Guard 專業(yè)網(wǎng)絡(luò)管理軟件
對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)控和安全管理。利用IP-Guard 的補(bǔ)丁管理功
能實(shí)現(xiàn)了局域網(wǎng)內(nèi)所有服務(wù)器和客戶機(jī)微軟補(bǔ)丁下載、安裝
自動(dòng)化，避免了操作系統(tǒng)和軟件漏洞引起的網(wǎng)絡(luò)安全。利用
IP-Guard 的漏洞檢查功能，定期對(duì)網(wǎng)內(nèi)所有機(jī)器進(jìn)行安全檢
查，包括共享資源權(quán)限、管理員帳號(hào)密碼是否安全、Guest 帳
號(hào)是否禁用、是否有限制匿名連接、啟用了哪些服務(wù)和端口、
IE 安全漏洞等，幫助作者公司信息化部門(mén)的網(wǎng)絡(luò)管理人員確
定計(jì)算機(jī)是否安全。IP-Guard 系統(tǒng)報(bào)警功能一旦檢查出網(wǎng)
絡(luò)配置、系統(tǒng)啟動(dòng)項(xiàng)、系統(tǒng)服務(wù)、系統(tǒng)時(shí)鐘等發(fā)生變化，將及
時(shí)通過(guò)郵件對(duì)網(wǎng)絡(luò)管理員發(fā)出報(bào)警。因此，IP-Guard 為網(wǎng)絡(luò)
管理人員提供了強(qiáng)大而又實(shí)用的網(wǎng)絡(luò)安全管理平臺(tái)。最后，
安全是“三分技術(shù)、七分管理”，如果沒(méi)有良好的管理機(jī)制，沒(méi)
有落實(shí)好管理機(jī)制，所有的技術(shù)都將成為空談，為此，作者制
定了嚴(yán)格的企業(yè)信息安全管理制度，并確保執(zhí)行到位，如作
者要求網(wǎng)管人員每天必須檢查服務(wù)器的運(yùn)行日志，通過(guò)日志
可以及時(shí)發(fā)現(xiàn)有無(wú)異常登錄、有無(wú)對(duì)系統(tǒng)作出修改等操作。
6．總結(jié)
本文從企業(yè)局域網(wǎng)物理安全、網(wǎng)絡(luò)體系結(jié)構(gòu)、防病毒及
垃圾郵件和網(wǎng)絡(luò)管理四個(gè)方面闡述了企業(yè)局域網(wǎng)的安全設(shè)
計(jì)與實(shí)現(xiàn)，升級(jí)后的網(wǎng)絡(luò)體系結(jié)構(gòu)層次分明，內(nèi)、外網(wǎng)絡(luò)安全
隔離，內(nèi)網(wǎng)核心設(shè)備具備冗余功能，服務(wù)器通過(guò)虛擬化技術(shù)
實(shí)現(xiàn)集中配置和管理，并形成服務(wù)器冗余。公司數(shù)據(jù)集中存
儲(chǔ)和備份。在局域網(wǎng)中部署了網(wǎng)絡(luò)版防毒軟件，配置了專業(yè)
的網(wǎng)絡(luò)安全管理軟件，基本實(shí)現(xiàn)了一個(gè)運(yùn)行良好、可管理的
安全企業(yè)局域網(wǎng)。由于成本等原因，也存在一些不足之處，
未來(lái)可進(jìn)一步改進(jìn)：一是Internet 接入路由器和接入鏈路都
沒(méi)有冗余備份，容易出現(xiàn)單點(diǎn)故障，引起整個(gè)網(wǎng)絡(luò)出口中斷；
二是如果資金充足，可在網(wǎng)絡(luò)中加裝專業(yè)的IDS 或IPS 設(shè)備，
與防火墻設(shè)備聯(lián)動(dòng)，可更加有效地預(yù)防和阻擋來(lái)自內(nèi)、外部
的網(wǎng)絡(luò)攻擊。
參考文獻(xiàn)：
[1] 朱俊．計(jì)算機(jī)網(wǎng)絡(luò)安全方案的設(shè)計(jì)[J]．中北大學(xué)學(xué)報(bào)，2008，
(24)：74．
[2] 姜枊．龐德明．VMware ESX Server 解決方案[R]．中國(guó)通信學(xué)
會(huì)，2008．
Security Design and Implementation of Enterprise Local Area Network
Shang Shuigen
(Guangzhou Baiyun Business Senior Technical School, Guangzhou 510450, Guangdong)
【Abstract】 Taking the enterprise LAN upgrade project of a large American food company in dongguan as an example, this paper
discusses the security design and implementation of enterprise LAN. The network security solution is proposed from four aspects:
the physical security, enterprise LAN architecture, anti-virus and spam and network management, following the cask principle, the
integrity principle, the validity principle and the practicability principle, and making the best use of the existing mature technology
of network security. The upgraded LAN has started running in the company. Results show that it basically meets the design requirements
and performs well.
【Keywords】 LAN; network security; design
2014 年第6 期
學(xué)術(shù)探討安全技術(shù)
- 62 -

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

05-01