中小型企業(yè)局域網(wǎng)的安全方案與對策

1、.廣州現(xiàn)代信息工程職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)（論文）課題名稱：中小型企業(yè)局域網(wǎng)的安全設(shè)計(jì)方案學(xué)號 0901231151趙健溢性別 男 專業(yè) 計(jì)算機(jī)網(wǎng)絡(luò)技術(shù) 年級、班級 2009網(wǎng)絡(luò)技術(shù)班 指導(dǎo)教師 肖東升 職稱高級工程師2012年 4月 13日摘要本設(shè)計(jì)（論文）主要是對現(xiàn)在中小型的企業(yè)局域網(wǎng)，辦公網(wǎng)絡(luò)進(jìn)行規(guī)劃和設(shè)計(jì)。目前國內(nèi)經(jīng)濟(jì)發(fā)展迅速，改革開放以來私企和一些中小型的私人企業(yè)、股份企業(yè)如雨后春筍。尤其在21世紀(jì)的十年里，伴隨這激烈的競爭各企業(yè)不斷改進(jìn)管理模式，加大了在企業(yè)信息化和辦公自動(dòng)化方面的投入，使得信息網(wǎng)絡(luò)產(chǎn)業(yè)發(fā)展迅速。中小企業(yè)網(wǎng)絡(luò)化能夠促進(jìn)產(chǎn)業(yè)的發(fā)展，加大工作效率。關(guān)鍵詞：網(wǎng)絡(luò)規(guī)劃設(shè)計(jì) 綜合

2、布線 網(wǎng)絡(luò)設(shè)備 WEB服務(wù)器 DHCP服務(wù)器目 錄前言1. 緒論61.1 項(xiàng)目背景 61.2 中小企業(yè)網(wǎng)絡(luò)概述62. 需求分析62.1 企業(yè)描述72.2 網(wǎng)絡(luò)概況82.3公司需求82.4解決方案92.5可行性分析93. 網(wǎng)絡(luò)邏輯方案103.1 布線邏輯方案103.2 網(wǎng)絡(luò)邏輯方案114. 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì)方案 12 4.1網(wǎng)絡(luò)配置方案12 4.2服務(wù)器配置方案 195. 項(xiàng)目測試與維護(hù) 20總結(jié)21致謝22參考文獻(xiàn)23前 言隨著現(xiàn)代網(wǎng)絡(luò)通信技術(shù)的應(yīng)用和發(fā)展，互聯(lián)網(wǎng)迅速發(fā)展起來，世界逐步進(jìn)入到網(wǎng)絡(luò)化、共享化，我國已經(jīng)進(jìn)入到信息化的新世紀(jì)。在整個(gè)互聯(lián)網(wǎng)體系巾，局域網(wǎng)是其巾最重要的部分，公司網(wǎng)、企業(yè)網(wǎng)、

3、銀行金融機(jī)構(gòu)網(wǎng)、政府、學(xué)校、社區(qū)網(wǎng)都屬于局域網(wǎng)的范疇。局域網(wǎng)實(shí)現(xiàn)了信息的傳輸和共享，為用戶方便訪問互聯(lián)網(wǎng)、提升業(yè)務(wù)效率和效益提供了有效途徑。（1）建立企業(yè)局域網(wǎng)，可以同分利用企業(yè)現(xiàn)有的硬件資源。節(jié)約公司的開支，實(shí)現(xiàn)無紙化辦公。提高企業(yè)員工的工作效率，由于局域網(wǎng)企業(yè)內(nèi)部的資源可以得到共享，避免了不必要的重復(fù)工作也可以提高時(shí)間的利用率。（2）局域網(wǎng)建成后可以節(jié)約企業(yè)在使用網(wǎng)絡(luò)資源方面節(jié)約更多的開支，便于公司員工查閱和接受網(wǎng)絡(luò)信息，也可以簡化公司對計(jì)算機(jī)的日常維護(hù)和管理，節(jié)約維護(hù)成本。（3）建立局域網(wǎng)提高公司在辦公自動(dòng)化水平和企業(yè)內(nèi)部應(yīng)用電子商務(wù)的能力，逐步實(shí)現(xiàn)業(yè)務(wù)級網(wǎng)絡(luò)應(yīng)用。更有利于企業(yè)獲得更快、

4、更準(zhǔn)確的市場信息，為公司決策提供更科學(xué)的依據(jù)等。（4）建立局域網(wǎng)也可以是外界能更快更好的認(rèn)識本企業(yè)，加強(qiáng)企業(yè)知名度。本研究以在中小企業(yè)為背景，多層面探索這些企業(yè)在網(wǎng)絡(luò)規(guī)設(shè)計(jì)碰到的問題和解決方法，供有關(guān)部門作為研究、管理決策、規(guī)劃的參考。1 緒論1.1 項(xiàng)目背景中小企業(yè)網(wǎng)絡(luò)主要是企業(yè)內(nèi)部網(wǎng)絡(luò)建設(shè)，包括企業(yè)內(nèi)部計(jì)算機(jī)節(jié)點(diǎn)的分布與整個(gè)網(wǎng)絡(luò)的物理線路連接合理布局，以及門戶網(wǎng)站、電子商務(wù)平臺的搭建。進(jìn)入21世紀(jì)后我國的中小企業(yè)大都進(jìn)入信息化和辦公自動(dòng)化或者半信息半自動(dòng)化。網(wǎng)絡(luò)能夠提高整個(gè)企業(yè)的工作效率，加大市場宣傳面，增加業(yè)務(wù)業(yè)務(wù)量。因此中小企業(yè)網(wǎng)絡(luò)將在20年內(nèi)得到高速的發(fā)展。公司追求形象，所以在網(wǎng)絡(luò)設(shè)

5、計(jì)和布設(shè)方面要求特別高，要求絕對的合理化。另外合理的網(wǎng)絡(luò)布局使我們企業(yè)辦公場所環(huán)境優(yōu)良，企業(yè)的網(wǎng)絡(luò)化使得公司工作效率普遍較高，WEB服務(wù)器和辦公服務(wù)器的架設(shè)，使得公司對外宣傳面擴(kuò)大，提高了效益。同時(shí)網(wǎng)絡(luò)化辦公也使員工能夠在網(wǎng)絡(luò)上找到疑問的答案。網(wǎng)絡(luò)使得公司各方面都得到了很快的發(fā)展。中小企業(yè)的網(wǎng)絡(luò)規(guī)劃、設(shè)計(jì)和維護(hù)越來越需要標(biāo)準(zhǔn)化和規(guī)范化。1.2 中小企業(yè)網(wǎng)絡(luò)概述中小企業(yè)網(wǎng)絡(luò)主要是企業(yè)內(nèi)部網(wǎng)絡(luò)建設(shè)，包括企業(yè)內(nèi)部計(jì)算機(jī)節(jié)點(diǎn)的分布與整個(gè)網(wǎng)絡(luò)的物理線路連接合理布局，以及門戶網(wǎng)站、電子商務(wù)平臺的搭建。進(jìn)入21世紀(jì)后我國的中小企業(yè)大都進(jìn)入信息化和辦公自動(dòng)化或者半信息半自動(dòng)化。網(wǎng)絡(luò)能夠提高整個(gè)企業(yè)的工作效率，

6、加大市場宣傳面，增加業(yè)務(wù)業(yè)務(wù)量。因此中小企業(yè)網(wǎng)絡(luò)將在20年內(nèi)得到高速的發(fā)展。2 需求分析2.1 企業(yè)描述：2.1.1 職能描述如圖2-1所示：行政主管行政主管業(yè)務(wù)主管業(yè)務(wù)主管技術(shù)主管技術(shù)主管業(yè)務(wù)總監(jiān)行政總監(jiān)技術(shù)總監(jiān)董事長圖21 職能描述該公司新購一個(gè)辦公樓層，需要在目前簡易裝修的基礎(chǔ)上設(shè)計(jì)企業(yè)網(wǎng)絡(luò)，并且與下面的再次裝修基本同步進(jìn)行，外網(wǎng)接入電信光纖。董事長單獨(dú)1間辦公室；三個(gè)總監(jiān)共3間辦公室；技術(shù)部1間辦公室（技術(shù)主管在技術(shù)部辦公）；業(yè)務(wù)部1間辦公室（業(yè)務(wù)主管在業(yè)務(wù)部辦公）；行政部1間辦公室（行政主管在行政部辦公）；公司內(nèi)設(shè)一個(gè)機(jī)房。一個(gè)信息技術(shù)操作室2.1.2 公司的建筑物理布局如圖22所示

7、：業(yè)務(wù)總監(jiān)技術(shù)總監(jiān)網(wǎng)管操作機(jī)房會議室業(yè)務(wù)辦公區(qū)技術(shù)部業(yè)務(wù)辦公區(qū)前臺行政部接待董事長辦公室行政總監(jiān)茶水間洗手間2.2 網(wǎng)絡(luò)概況電信網(wǎng)絡(luò)獨(dú)享百兆接入，由于電信法相關(guān)規(guī)定，地址轉(zhuǎn)換翻譯有特殊規(guī)定，使用一個(gè)ip為全公司整個(gè)網(wǎng)絡(luò)使用，會導(dǎo)致違反規(guī)定，會被誤認(rèn)為是黑網(wǎng)吧之類的節(jié)點(diǎn)，因此公司采取使用全部公網(wǎng)。電信分配的ip地址為3掩碼：.另外電信的路由是終結(jié)的。 2.3 公司需求節(jié)點(diǎn)需求：名稱節(jié)點(diǎn)數(shù)IP分配機(jī)房10個(gè)3645調(diào)試室2個(gè)3435董事長辦公室1個(gè)192.168

8、.1.233總監(jiān)辦公室共3個(gè)3032技術(shù)辦公區(qū)8個(gè)行政辦公區(qū)6個(gè)05業(yè)務(wù)辦公區(qū)24個(gè)5前臺1個(gè)6無線1個(gè)29服務(wù)器需求：Web服務(wù)器、數(shù)據(jù)庫服務(wù)器、dhcp、辦公、存儲網(wǎng)絡(luò)需求：（1） WEB需要至少30M的流量（上傳下載速率：30*128kb，約為3M/S）。（2） 數(shù)據(jù)庫服務(wù)器同上。（3） 辦公服務(wù)器（辦公系統(tǒng)），內(nèi)網(wǎng)使用。（4） DHCP內(nèi)網(wǎng)使用和郵件服務(wù)器。（5） 存儲

9、服務(wù)器。（6） 董事長辦公室、總監(jiān)辦公室各獨(dú)享3M。（7） 布線必須不影響公司整個(gè)裝修的美觀。2.4 解決方案綜合布線需求主要是價(jià)廉、合理、美觀、標(biāo)準(zhǔn)。因此進(jìn)行夾墻內(nèi)、地板下、天花板上布線。網(wǎng)絡(luò)設(shè)備主要放在機(jī)房和大廳個(gè)辦公區(qū)域頭部柜子內(nèi)。機(jī)房內(nèi)使用一個(gè)機(jī)柜（33U、1.6M），防塵地板，和空調(diào)。Web和數(shù)據(jù)庫服務(wù)器必須7*24不間斷,使用linux操作系統(tǒng)架設(shè)web和ftp。辦公服務(wù)器和主要的網(wǎng)絡(luò)設(shè)備放置機(jī)房機(jī)柜。辦公服務(wù)器采用windows 2003操作系統(tǒng)。主要為ftp和辦公系統(tǒng)。公司辦公網(wǎng)上網(wǎng)使用CICSO路由器實(shí)現(xiàn)dhcp，調(diào)試室使用靜態(tài)公網(wǎng)ip地址。2.5 可行性分析通過對該企業(yè)寫字

10、樓的現(xiàn)場調(diào)查和需求分析后，對其可行性進(jìn)行分析。技術(shù)上可行：該系統(tǒng)所需硬件設(shè)備，市場上銷售且價(jià)格較低，操作系統(tǒng)采用linux、Windows系列操作系統(tǒng)，數(shù)據(jù)庫采用SQL，這些軟件已被大量應(yīng)用，技術(shù)上都比較成熟。因此在技術(shù)上是可行的。經(jīng)濟(jì)上可行：網(wǎng)絡(luò)企業(yè)主要的是實(shí)現(xiàn)辦公自動(dòng)化和信息化。網(wǎng)絡(luò)是網(wǎng)絡(luò)企業(yè)發(fā)展的命脈和根本，沒有網(wǎng)絡(luò)該類型企業(yè)無法發(fā)展。因此，這項(xiàng)投入是企業(yè)必須的。因此經(jīng)濟(jì)上沒有問題。管理上可行：整個(gè)公司的辦公資料是通過辦公服務(wù)器集中存儲處理的，整個(gè)網(wǎng)絡(luò)設(shè)備都是集中的機(jī)房并且具有專人進(jìn)行維護(hù)。因此可以達(dá)到了集中管理。管理上是可行的。綜上所述，設(shè)計(jì)建設(shè)該網(wǎng)絡(luò)項(xiàng)目在技術(shù)上、經(jīng)濟(jì)上、管理上都是可

11、行的。3 網(wǎng)絡(luò)邏輯方案3.1 布線方案布線主要采取外線進(jìn)入公司機(jī)房然后星形對外布線，如圖31所示：各領(lǐng)導(dǎo)辦公室各服務(wù)器 防火墻無線路由器交換機(jī)公司路由設(shè)備INTERNET各辦公區(qū)1辦公區(qū)交換機(jī)1各辦公區(qū)2辦公區(qū)交換機(jī)2圖31 布線邏輯方案公司是光纖接入，然后通過自己的路由器接到交換機(jī)，然后接分交換機(jī)3.2 網(wǎng)絡(luò)邏輯方案4. 網(wǎng)絡(luò)配置方案4.1.1 配置概述為了降低成本，公司采用路由器實(shí)現(xiàn)dhcp功能。IP地址分配：路由器：3/內(nèi)網(wǎng)使用私有地址：/網(wǎng)絡(luò)設(shè)備地址：R2: E0: 3 E1:1

12、 S1: VLAN1: S2: VLAN1: S3: VLAN1: 服務(wù)器地址：OA: 40 OA備用: 41 WEB: 42 WEB備：43 備機(jī)：44 存儲：45 無線路由器：294.1.2 路由器配置（1）概述：由于電信拉來的專線是終結(jié)的，所以我們的路由器只需要設(shè)置PAT地址轉(zhuǎn)換和dhcp功能。另外我們采用路由器作為我們的防火墻，因此需要配置acl訪

13、問控制。路由器f0/0為外網(wǎng)進(jìn)口ip設(shè)置為3/ .路由器內(nèi)網(wǎng)端口ip設(shè)置為：/也就是說內(nèi)網(wǎng)采用 /這個(gè)網(wǎng)絡(luò)。然后設(shè)置PAT地址轉(zhuǎn)換。再通過配置ACL來做防火墻。（2）PAT地址轉(zhuǎn)換配置如下：由于本操作主要是在公司路由器上，所以以一臺路由器模擬電信接入的INTERNET，另外一臺R2屬于公司內(nèi)部的路由器，然后接到交換機(jī)，并以四臺pc模擬內(nèi)網(wǎng)。R1 E0/0: 2/R2E0/0: 3/255.255.

14、255.0E0/1:/配置如下：R1enR1*conf tR1(config)*int f0/0R1(config-if)*ip add 2 R1(config-if)*no shutR1(config-if)*endR1*writeBuilding configuration.OKR2enR2*conf tR2(config)*int f0/0R2(config-if)*ip add 3 R2(config-if)*no shut R2(config-i

15、f)*exitR2(config)*int f0/1R2(config-if)*ip add R2(config-if)*no shutR2(config-if)*exitR2(config)*ip nat pool MYNET 33 netmask R2(config)*ip nat inside source list 1 pool MYNET overloadR2(config)*access-list 1 permit 55R2(

16、config)*interface fastEthernet 0/1R2(config-if)*ip nat insideR2(config-if)*exitR2(config)*interface fastEthernet 0/0R2(config-if)*ip nat outsideR2(config-if)*endR2*debug ip nat IP NAT debugging is onR2*writeBuilding configuration.OKpc0到pc1的ip地址設(shè)置為0-3測試結(jié)果如下：Packet Tracer PC Comm

17、and Line 1.0PC0ping 2 模擬器內(nèi)可以通PC1ping 2 模擬器內(nèi)可以通PC2ping 2 模擬器內(nèi)可以通PC3ping 2 模擬器內(nèi)可以通查看路由器內(nèi)PAT信息：R2*show ip nat translationsNAT: s=2- 3, d=2 5NAT*: s=2, d= 3-2 44NAT: s=2- 202.

18、16.100.33, d=2 11NAT*: s=2, d= 3-2 50NAT*: s=2-2, d= 3 52NAT*: s=2, d= 3-1 52NAT: s=1- 3, d=2 6NAT: s= 3, d=2-2

19、 6NAT*: s=2, d= 3-0 60NAT: s=0- 3, d=2 12NAT: s= 3, d=2-2 12NAT*: s=2-2, d= 3 61NAT*: s=2, d= 3-0 62NAT: s=3- 20

20、3, d= 2 5NAT*: s=2, d= 3-3 64NAT: s=3- 3, d=2 6NAT*: s=2, d=3-3 65NAT: expiring 3 (2) icmp 5 (5)NAT: expiring 3 (2) icmp 6 (6)N

21、AT: expiring 3 (1) icmp 1024 (5)NAT: expiring 3 (1) icmp 1029 (10)NAT: expiring 3 (0) icmp 1032 (11)NAT: expiring 3 (0) icmp 1033 (12)NAT: expiring 3 (3) icmp 5 (5)NAT: expiring 202.16.

22、100.33 (3) icmp 6 (6)（以上返回信息直接在模擬器上拷貝的，并且將部分重復(fù)的刪除掉了，主機(jī)ping 2路由器會出現(xiàn)以上信息）（3）路由器實(shí)現(xiàn)DHCP配置如下：R2enR2*configureR2(config)*ip dhcp pool NETDHCPR2(dhcp-config)*network R2(dhcp-config)*default-router R2(dhcp-config)*dns-server 40R2(dhcp-config)*e

23、xitR2(config)*ip dhcp excluded-address 0（保留1-10，這個(gè)是內(nèi)網(wǎng)路由接口的地址和內(nèi)網(wǎng)各網(wǎng)絡(luò)設(shè)備的地址）R2(config)*ip dhcp excluded-address 40 54（保留240-154這些ip）R2(config)*enR2*en測試：在局域網(wǎng)內(nèi)隨便找?guī)着_機(jī)器ping外網(wǎng)，本項(xiàng)目中ping通2即可將pc機(jī)的地址該為自動(dòng)獲取。 以上是模擬器中測試的結(jié)果，是沒有問題的。（4）路由器安全設(shè)置：配置口令：R2（config）*en

24、able secret ciscoR2 (config) *line vty 0 4 R2 config-line)*password ciscoR2 (config-line)*endR2 *writeBuilding configuration.OK配置ACL配置禁止135-445，禁止外網(wǎng)telnet公司路由。R2(config)*access-list 120 deny tcp any any eq 23R2(config)*access-list 120 deny tcp any any eq 135R2(config)*access-list 120 deny tcp any an

25、y eq 136R2(config)*access-list 120 deny tcp any any eq 137R2(config)*access-list 120 deny tcp any any eq 138R2(config)*access-list 120 deny tcp any any eq 139R2(config)*access-list 120 deny tcp any any eq 389R2(config)*access-list 120 deny tcp any any eq 445R2(config)*access-list 120 deny tcp any an

26、y eq 4444R2(config)*access-list 120 deny udp any any eq 69 R2(config)*access-list 120 deny udp any any eq 135R2(config)*access-list 120 deny udp any any eq 136R2(config)*access-list 120 deny udp any any eq 137R2(config)*access-list 120 deny udp any any eq 138R2(config)*access-list 120 deny udp any a

27、ny eq 139R2(config)*access-list 120 deny udp any any eq snmpR2(config)*access-list 120 deny udp any any eq 389R2(config)*access-list 120 deny udp any any eq 445R2(config)*access-list 120 deny udp any any eq 1434R2(config)*access-list 120 deny udp any any eq 1433R2(config)*access-list 120 permit ip a

28、ny anyR2(config)*int f0/0R2(config-if)*ip access-group 120 in2(config-if)*endR2*writeBuilding configuration.OK如果需要?jiǎng)h除規(guī)則：（config）*no access-list 120查看規(guī)則可以：R2*show running-config4.1.3 交換機(jī)配置概述：交換機(jī)只做監(jiān)控使用，因此只設(shè)置遠(yuǎn)程管理權(quán)限。（1）主交換機(jī)端口分配：機(jī)柜和調(diào)試室使用端口14-22分給機(jī)柜，23-24備用；領(lǐng)導(dǎo)網(wǎng)絡(luò)端口分配：1-4，5-6備用；行政和技術(shù)部端口分配：7，8備用；業(yè)務(wù)部和前臺端口分配：9，

29、10備用；無線路由端口分配：11，12備用；（2）交換機(jī)權(quán)限配置：S1enS1*confS1 (config)*interface vlan 1S1 (config-if)*ip add S1 (config-if)*no shutS1 (config-if)*exitS1 (config)*enable secret ciscoS1 (config)*line vty 0 4S1 (config-line)*password ciscoS1 (config-line)*endS1*wBuilding configuration.OKS2enS2*co

30、nf tS2 (config)*interface vlan 1S2 (config-if)*ip add S2 (config-if)*no shutS2 (config-if)*exitS2 (config)*enable secret ciscoS2 (config)*line vty 0 4S2 (config-line)*password ciscoS2 (config-line)*endS1*wBuilding configuration.OKS3enS3*conf tS3 (config)*interface vlan 1S3 (conf

31、ig-if)*ip add S3 (config-if)*no shutS3 (config-if)*exitS3 (config)*enable secret ciscoS3 (config)*line vty 0 4S3 (config-line)*password ciscoS3 (config-line)*endS3*wr4.1.4 金盾防火墻配置選用金盾防火墻的原因就是他具有防止DDOS攻擊功能，可以限制局域網(wǎng)的ip地址的速度。還有人性化的web圖形管理界面。只允許訪問.mynet.這個(gè)域名。在金盾防火墻白名單里允許該域名訪問，并且禁止其它域

32、名指向我們的ip，這個(gè)是防止惡意指向，致使我們出現(xiàn)未備案被查情況的發(fā)生。 將相應(yīng)的節(jié)點(diǎn)限制速度即可，具體要求如下：總經(jīng)理和總監(jiān)辦公室網(wǎng)速限制為4M/節(jié)點(diǎn);技術(shù)部和調(diào)試室限制為6M/節(jié)點(diǎn)；業(yè)務(wù)部和行政部限制為2M/節(jié)點(diǎn)；Web服務(wù)器限制為40M； 設(shè)置方法：選擇主機(jī)列表選擇所有主機(jī)然后找到特定ip設(shè)置流量和規(guī)則。（局域網(wǎng)的主機(jī)是防火墻自動(dòng)識別的）4.2 服務(wù)器配置方案4.2.1 WEB服務(wù)器采用linux操作系統(tǒng)，apache服務(wù)，sql數(shù)據(jù)庫，asp網(wǎng)站程序，并配置FTP用于上傳文件，郵件服務(wù)器用于溝通。（1）系統(tǒng)技術(shù)工程師安裝配置apche、sql、asp環(huán)境。（2）系統(tǒng)工程師安裝配置郵件服

33、務(wù)器Sendmail。（3）系統(tǒng)技術(shù)工程師安裝配置ftp服務(wù)器。（4）架設(shè)公司web網(wǎng)站，上傳數(shù)據(jù)庫文件。（5）做好備份鏡像辦公系統(tǒng)服務(wù)器。4.2.2 OA辦公系統(tǒng)公司軟件技術(shù)人員在windows 2003下架設(shè)OA系統(tǒng)，采用sql 數(shù)據(jù)庫。做好備份鏡像辦公系統(tǒng)服務(wù)器。4.2.3 存儲服務(wù)器存儲服務(wù)器主要存儲公司主要的軟件，備份公司重要文件和重要數(shù)據(jù)庫，以及各員工的重要項(xiàng)目、進(jìn)度文件。主要采取FTP實(shí)現(xiàn)上傳和下載的功能。員工間進(jìn)行隔離。如果需要共享資料，只需要在自己的辦公電腦上開啟共享就好，不用存儲服務(wù)器共享。5 項(xiàng)目測試與維護(hù) 網(wǎng)絡(luò)測試和維護(hù)在每個(gè)辦公區(qū)和每臺服務(wù)器對外網(wǎng)（定為www.baidu.）進(jìn)行ping測試。在外網(wǎng)，ping公司的網(wǎng)站域名，測