公司網(wǎng)絡改造方案

年4月19日公司網(wǎng)絡改造方案文檔僅供參考，不當之處，請聯(lián)系改正。公司網(wǎng)絡改造方案目錄一、當前的網(wǎng)絡情況及特點 21.1、采用普通的交換機 21.2、所有電腦在同一個子網(wǎng) 21.3、文件服務器缺乏基本的保護 21.4．外來電腦可任意接入 31.5.上網(wǎng)行為存在安全因素 3二、網(wǎng)絡整改目和內(nèi)容 3三、解決方案及效果 33.1虛擬局域網(wǎng) 33.2網(wǎng)絡訪問控制 33.3網(wǎng)絡安全系統(tǒng)設計 43.4PC準入控制 43.5上網(wǎng)行為管理 43.6資料及數(shù)據(jù)安全方案 4四、改造后的網(wǎng)絡特點 54.1構建多個虛擬網(wǎng)絡。 54.2虛擬網(wǎng)絡之間訪問控制。 54.3網(wǎng)絡資源訪問控制。 54.4上網(wǎng)行為管理 5五、日常維護及工作 5一、當前的網(wǎng)絡情況及特點 現(xiàn)有網(wǎng)絡無法進行安全管理及控制，缺乏可管理與安全性，一旦網(wǎng)絡出現(xiàn)病毒及網(wǎng)絡攻擊現(xiàn)象，將影響公司內(nèi)部所有IT設備及公司的業(yè)務運作。1.1、采用普通的交換機當前公司的交換機為TP-LINKTL-sf102410/100M共2臺，都是二層普通交換機，功能就是進行數(shù)據(jù)轉發(fā)。無法登進交換機查看交換機狀態(tài)、無法查看網(wǎng)絡流量狀態(tài)、無法根據(jù)網(wǎng)絡的新需求進行新的配置。1.2、所有電腦在同一個子網(wǎng)所有的電腦、服務器、網(wǎng)絡設備在同一個網(wǎng)絡內(nèi)，這意味著這些設備之間能夠任意的互連互通，任意一臺電腦感染病毒或受黑客控制的時候，能夠直接影響公司的所有IT設備。1.3、文件服務器缺乏基本的保護服務器與電腦設備在同一個網(wǎng)絡中，意味著電腦能夠任意訪問服務器的所有端口，而不是根據(jù)應用服務的需要去限制只可訪問需要的服務，這樣服務器的任何一個漏洞都能夠被計算機利用來攻擊服務器。影棚文件服務器，由于該服務器積累了公司大量的重要的數(shù)據(jù)，當前該服務器已使用多年，CPU頻率過低，系統(tǒng)運行緩慢，經(jīng)過上次對服務器檢修，現(xiàn)發(fā)現(xiàn)主板的RAID芯片已壞，且硬盤存儲空間已嚴重不足(8T硬盤，現(xiàn)可用空間為135G)，建議最好更換一臺新的服務器，并作好定期對該服務器的數(shù)據(jù)備份。該部分需要購置一臺新的服務器。1.4．外來電腦可任意接入外來電腦和筆記本能夠任意接進公司網(wǎng)絡，其電腦上所帶的病毒、木馬、惡意工具會影響公司其它電腦以及服務器的安全。更容易造成公司內(nèi)部資料外泄。1.5.上網(wǎng)行為存在安全因素訪問不安全網(wǎng)站，如暴力、黃色、賭博、股票等與業(yè)務無關網(wǎng)站，會導致病毒和木馬進入公司內(nèi)部網(wǎng)絡。員工上班時間下載電影或是在線看視頻資料，會占用極大的帶寬資源，導致業(yè)務開展所需要的帶寬不夠，收發(fā)郵件變慢。員工上班時間看新聞，軍事，足球，玩網(wǎng)絡游戲，炒股票等等會影響到員工的工作效率。二、網(wǎng)絡整改目和內(nèi)容為了控制公司網(wǎng)絡資源浪費和規(guī)范公司員工上班時間的電腦使用行為。公司員工能正確地使用維護各辦公室的計算機,有效使用網(wǎng)絡資，做出以下整改。本次改進方案包括了改進及維護方案兩大類，主要以改進為主。涉及網(wǎng)絡調(diào)整和員工電腦等。三、解決方案及效果3.1虛擬局域網(wǎng)如果根據(jù)網(wǎng)絡應用的不同，建立幾套完全獨立的物理網(wǎng)絡，這樣做不可行，首先為這幾套網(wǎng)絡重新布線，工程量大，其次是不同的網(wǎng)絡需要訪問的資源不一樣，將這些需要訪問的資源再關聯(lián)起來也不是一件容易的事情，因此建議采用虛擬局域網(wǎng)技術來達到網(wǎng)絡隔離的目的。虛擬局域網(wǎng)技術，在一個物理網(wǎng)絡中，根據(jù)應用的不同，把不同的電腦劃分到不同的虛擬局域網(wǎng)中，而這些不同的虛擬局域網(wǎng)之間是不可訪問的，該技術成熟并得到廣泛應用。3.2網(wǎng)絡訪問控制在虛擬局域網(wǎng)的基礎上，根據(jù)應用的不同，控制其能夠訪問的網(wǎng)絡資源。3.3網(wǎng)絡安全系統(tǒng)設計內(nèi)網(wǎng)安全設計：訪問控制，經(jīng)過密碼、口令（不定期修改、定期保存密碼與口令）等禁止非授權用戶對服務器的訪問，以及對以后所用到的ERP軟件及辦公自動化平臺的訪問和管理、用戶身份真實性的驗證、內(nèi)部用戶訪問權限設置、ARP病毒的防御、數(shù)據(jù)完整、審計記錄、防病毒入侵。外網(wǎng)安全設計：安裝軟件、硬件、防火墻，網(wǎng)絡防病毒軟件，客戶端防病毒軟件；利用代理服務器提供Internet與Intranet之間的防火墻功能；經(jīng)過網(wǎng)管實時記錄網(wǎng)絡的運行狀態(tài)。設置遠程訪問身份認證，防止垃圾郵件等。3.4PC準入控制在交換機端口上綁定公司電腦的MAC地址。當外來電腦接入到公司網(wǎng)絡的時候，交換機會為外來電腦的MAC地址不屬于公司網(wǎng)絡，從而禁止外來電腦接入公司網(wǎng)絡，從內(nèi)部加強公司網(wǎng)絡的安全性。3.5上網(wǎng)行為管理管理網(wǎng)絡帶寬。根據(jù)各個部門業(yè)務需求不同，分配不同的最高帶寬。同時也根據(jù)應用需求的帶寬，給不同的業(yè)務分配不同的帶寬。保障關鍵的員工和業(yè)務能夠獲得足夠的帶寬。提升工作效率。針對URL,聊天工具，上網(wǎng)時間，應用程序進行管理，最大限度減少員工利用上網(wǎng)做與工作無關事情的時間。如經(jīng)過URL庫，禁止員工訪問與業(yè)務無關的網(wǎng)站，只允許訪問與工作相關的網(wǎng)站。同時對上千萬條URL記錄分為新聞，可根據(jù)需要禁止訪問其中某些類的網(wǎng)站。保障內(nèi)網(wǎng)安全。阻止各類假冒網(wǎng)銀和假冒網(wǎng)上證券等釣魚網(wǎng)站，保護員工的合法權益。禁止色情，反動，邪教等非法網(wǎng)站。對傳輸文件格式進行控制，防止不安全格式的文件進入內(nèi)網(wǎng)。防DOS攻擊3.6資料及數(shù)據(jù)安全方案考慮到公司客戶定單和公司設計資料的安全，能夠經(jīng)過做ACL設置用戶訪問權限，防止用戶訪問不該訪問的機密電腦資料，而且并部分控制對E-MAIL，QQ等的泄密管道，防止資料外泄，因此加強防火墻的安全管理很重要，能夠在防火墻上設置禁止對外的smtp服務，禁止經(jīng)過外部郵箱outlook傳遞資料，關于USB的封堵，原來應該靠購買行為軟件來規(guī)范，或者經(jīng)過AD域的組策略來實施，但考慮到預算成本，能夠經(jīng)過腳本（一個exe的可執(zhí)行文件），只需要用管理員的身份登陸電腦，點擊一下，就能夠完成PC注冊表的修改，禁止該電腦的USB口四、改造后的網(wǎng)絡特點4.1構建多個虛擬網(wǎng)絡。公司的網(wǎng)絡被虛擬成決策層、管理層、行政部、財務部、設計部、客服部、品保部、資材部、服務器區(qū)等多個虛擬網(wǎng)絡。并可根據(jù)需求增加新的虛擬網(wǎng)絡4.2虛擬網(wǎng)絡之間訪問控制。不同的虛擬網(wǎng)絡之間，是不能夠直接訪問。一個虛擬網(wǎng)絡必須經(jīng)過中心交換機才能夠訪問其它虛擬網(wǎng)絡的電腦。4.3網(wǎng)絡資源訪問控制。在中心交換機上，能夠根據(jù)需要開通相關的訪問權限。如只允許辦公電腦訪問郵件服務器的25和110號兩個端口，保障郵件服務器其它端口的安全。4.4上網(wǎng)行為管理優(yōu)化上網(wǎng)行為，提高上網(wǎng)安全采用雙鏈路，