網(wǎng)絡(luò)改造方案-

黃岡礦業(yè)網(wǎng)絡(luò)改造方案內(nèi)蒙古萬德系統(tǒng)集成有限責(zé)任公司2021

目錄1 用戶需求分析 -2-1.1 項目改造內(nèi)容 -2-1.2 項目設(shè)計原則 -3-1.2.1 設(shè)計原則 -3-1.2.2 建設(shè)原則 -5-1.3 項目設(shè)計思想 -5-2 項目整體解決方案 -6-2.1 網(wǎng)絡(luò)現(xiàn)狀 -6-2.1.1 現(xiàn)網(wǎng)拓?fù)?-6-2.1.2 網(wǎng)絡(luò)存在問題 -6-2.2 改造建議 -7-2.2.1 改造拓?fù)浼懊枋?-7-2.2.2 改造后優(yōu)勢 -8-3 網(wǎng)絡(luò)系統(tǒng) -8-3.1 組網(wǎng)方案 -8-3.1.1 組網(wǎng)拓?fù)?-8-3.1.2 分層網(wǎng)絡(luò)設(shè)計 -9-3.1.3 IP地址規(guī)劃 -10-3.1.4 IPv4地址規(guī)劃 -12-3.1.5 IPv4路由規(guī)劃 -13-3.1.6 Vlan設(shè)計 -13-3.2 網(wǎng)絡(luò)優(yōu)化系統(tǒng) -16-3.2.1 上網(wǎng)行為管理 -16-3.2.2 網(wǎng)絡(luò)安全審計 -19-4 安全與管理系統(tǒng) -21-用戶需求分析內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司的前身是內(nèi)蒙古赤峰黃崗鐵礦，1993年籌建，1996年投產(chǎn)，是克旗人民政府下屬的全民所有制企業(yè)。2021年3月23日，中共克旗委第66次會議決定，企業(yè)改制為有限責(zé)任公司。公司更名為“內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司”，由集通公司以承債的方式購買企業(yè)的主要產(chǎn)權(quán)，控股經(jīng)營企業(yè)。2021年4月20日各方簽定《關(guān)于設(shè)立內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司協(xié)議書》規(guī)定：注冊資本總額為2400萬元人民幣。2021年9月15日，中共克旗委第38次常委會議決定，同意內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司增資擴(kuò)股，由包頭鋼鐵（集團(tuán)）有責(zé)任公司控股。同時根據(jù)《內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司章程修整案》的規(guī)定，增設(shè)包頭鋼鐵（集團(tuán)）有限責(zé)任公司為新任股東。增設(shè)股東后的內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司股東為6個，注冊資本金為8139萬元，即包頭鋼鐵（集團(tuán)）有限責(zé)任公司出資人民幣5000萬元，占注冊資本金的61.4%，內(nèi)蒙古集通鐵路有限責(zé)任公司出資人民幣1679萬元，占注冊資本金的20.6%，克什克騰旗人民政府出資人民幣660萬元，占注冊金的8.1%，內(nèi)蒙古赤峰地質(zhì)礦產(chǎn)勘察開發(fā)院出資人民幣646萬元，占注冊資本金的7.9%，克旗農(nóng)電局出資人民幣65萬元，占注冊資本金的0.8%，自然人出資人民幣89萬元，占注冊金的1.2%。2021年9月22日，內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司股東會2021年第一次臨時會議同意克旗政府把自己擁有的公司6%的股份以600萬元人民幣的價格協(xié)議轉(zhuǎn)讓給蓮池控股，克旗政府的股東比例由8.1%減至2.1%。其他股東的股權(quán)比例不變。2021年8月，在克旗旗委政府的協(xié)調(diào)下，由內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司將仍在三區(qū)邊緣地帶采礦的“克旗黃崗礦業(yè)有限責(zé)任公司”以1500萬元的價格收購。從此，形成了黃崗一，二，三，四區(qū)由內(nèi)蒙古黃崗礦業(yè)有限責(zé)任公司獨家采選的局面。項目改造內(nèi)容本次項目針對現(xiàn)網(wǎng)存在的問題，提出改造及完善建議。尤其針對出口安全及內(nèi)網(wǎng)互聯(lián)作出詳細(xì)描述。項目設(shè)計原則設(shè)計原則設(shè)計原則是系統(tǒng)設(shè)計時必須要考慮的總體原則，它必須滿足系統(tǒng)設(shè)計目標(biāo)中的要求，遵循系統(tǒng)性整體性、先進(jìn)性和可擴(kuò)充性原則，建立經(jīng)濟(jì)合理、資源優(yōu)化的系統(tǒng)設(shè)計方案。系統(tǒng)平臺作為黃岡礦業(yè)的一項重要的基礎(chǔ)設(shè)施，為用戶總體規(guī)劃和技術(shù)要求提供保障，以便為用戶提供一個先進(jìn)、靈活、可靠、基于標(biāo)準(zhǔn)的多業(yè)務(wù)、多應(yīng)用平臺，不僅能夠滿足目前各種業(yè)務(wù)和應(yīng)用要求，同時可為今后的發(fā)展及其業(yè)務(wù)、應(yīng)用提供良好的擴(kuò)展支持能力。因此，我們在進(jìn)行方案設(shè)計時，應(yīng)遵循以下設(shè)計原則。先進(jìn)性與合理性相結(jié)合的原則在本項目方案設(shè)計中，應(yīng)“立足現(xiàn)在，著眼未來”，在保證技術(shù)成熟及性能穩(wěn)定的前提下，順應(yīng)主流技術(shù)的發(fā)展趨勢，充分采用當(dāng)今國內(nèi)、國際上最先進(jìn)的計算機軟硬件技術(shù)和設(shè)備，使本項目系統(tǒng)能夠最大限度地適應(yīng)今后技術(shù)發(fā)展和業(yè)務(wù)發(fā)展變化的需要。其中，采用的系統(tǒng)結(jié)構(gòu)應(yīng)當(dāng)是先進(jìn)的、開放的體系結(jié)構(gòu)?？煽啃院头€(wěn)定性相結(jié)合的原則為保證黃岡礦業(yè)各項業(yè)務(wù)和應(yīng)用順利進(jìn)行，網(wǎng)絡(luò)系統(tǒng)和IT基礎(chǔ)平臺必須具有較高的可靠性和穩(wěn)定性，要對網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備、配套設(shè)備和環(huán)境設(shè)施等多個方面進(jìn)行高可靠性、高穩(wěn)定性的系統(tǒng)設(shè)計與配置。首先，在設(shè)備選型上要選擇成熟、可靠、穩(wěn)定的產(chǎn)品；其次，要在系統(tǒng)整體結(jié)構(gòu)與連接方式上對可靠性和穩(wěn)定性進(jìn)行充分考慮，要采用切實有效的系統(tǒng)冗余備份方式，提供高效的自愈能力，并在采用硬件備份、設(shè)備冗余等可靠性、穩(wěn)定性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強的管理控制機制和事故監(jiān)控手段，從而充分保障系統(tǒng)是持續(xù)可用的。實用性和可管理性相結(jié)合的原則應(yīng)采用成熟、實用的技術(shù)滿足當(dāng)前的應(yīng)用需求，同時兼顧其它應(yīng)用及系統(tǒng)發(fā)展的運行需求，盡可能延續(xù)原有的設(shè)備、并保證與原有系統(tǒng)兼容。同時，應(yīng)使用先進(jìn)且實用的技術(shù)以適應(yīng)更高的數(shù)據(jù)、信息的傳輸、處理需要，使整個系統(tǒng)在一段時期內(nèi)保持技術(shù)的先進(jìn)性，并具有良好的發(fā)展?jié)摿?，以適應(yīng)未來信息化的發(fā)展和技術(shù)升級的需要。可擴(kuò)展性和開放性相結(jié)合的原則為保證本項目系統(tǒng)符合當(dāng)今技術(shù)飛速發(fā)展的趨勢，并滿足系統(tǒng)發(fā)展的需要，在方案設(shè)計中必須充分考慮網(wǎng)絡(luò)和服務(wù)器系統(tǒng)將來的擴(kuò)展能力。其中，網(wǎng)絡(luò)必須能夠根據(jù)信息化的不斷深入發(fā)展，方便地擴(kuò)展覆蓋范圍、擴(kuò)大網(wǎng)絡(luò)容量和提高網(wǎng)絡(luò)各層次節(jié)點的功能。本項目系統(tǒng)這種工程應(yīng)具備與多種協(xié)議的計算機通信網(wǎng)絡(luò)互連互通的能力，因此為確保本項目系統(tǒng)基礎(chǔ)設(shè)施的作用可以充分發(fā)揮，在結(jié)構(gòu)上必須真正實現(xiàn)開放，采用基于國際開放式的標(biāo)準(zhǔn)，包括各種廣域網(wǎng)、局域網(wǎng)、計算機，堅持統(tǒng)一規(guī)劃的原則，從而為未來的業(yè)務(wù)發(fā)展奠定基礎(chǔ)。安全性和保密性相結(jié)合的原則安全性是本項目系統(tǒng)運行的生命線，在本方案設(shè)計中應(yīng)給予充分考慮。國家對信息安全問題十分重視，信息產(chǎn)業(yè)部、中辦機要局、國家密碼管理委員會等有關(guān)部門對網(wǎng)絡(luò)的信息安全問題制定了許多相應(yīng)法規(guī)、規(guī)定，如《中華人民共和國保守國家秘密法》、《計算機信息系統(tǒng)保密暫行規(guī)定》、《涉及國家秘密的通信辦公自動化和計算機信息系統(tǒng)審批暫行辦法》等。本項目的安全性方案應(yīng)嚴(yán)格按照信息安全主管部門的有關(guān)規(guī)定設(shè)計，使本項目系統(tǒng)成為一個安全的通信平臺，并確保系統(tǒng)信息傳輸?shù)陌踩１卷椖堪踩w系方案設(shè)計的原則是：1、整個系統(tǒng)必須是一個嚴(yán)密的安全體系；2、采取的安全措施不能影響整個網(wǎng)絡(luò)的運行效率；3、系統(tǒng)設(shè)計應(yīng)具有完善的安全管理機制，以保證網(wǎng)絡(luò)和數(shù)據(jù)的安全；4、保證各個環(huán)節(jié)的安全保密，統(tǒng)籌規(guī)劃；5、安全方案的制訂和實施應(yīng)遵循國家系統(tǒng)安全的相關(guān)規(guī)定。建設(shè)原則建設(shè)應(yīng)遵循如下指導(dǎo)原則：統(tǒng)一領(lǐng)導(dǎo)，統(tǒng)一規(guī)劃，統(tǒng)一標(biāo)準(zhǔn)。以應(yīng)用帶發(fā)展，以效益促應(yīng)用，分步實施，逐步完善。網(wǎng)絡(luò)結(jié)構(gòu)穩(wěn)定，易于升級、擴(kuò)展；應(yīng)用系統(tǒng)靈活，易于共享、溝通。網(wǎng)絡(luò)安全，信息保密，穩(wěn)定可靠，高效運行。綜合考慮整體性、實用性、先進(jìn)性和經(jīng)濟(jì)性。利用現(xiàn)有資源滿足業(yè)務(wù)急需，保持持續(xù)發(fā)展。管理運行體系與工程建設(shè)同步進(jìn)行。項目設(shè)計思想1、組建安全、可靠、快速的三層匯聚交換網(wǎng)絡(luò)。2、采用先進(jìn)、成熟的技術(shù)3、保證原有系統(tǒng)的完整性和業(yè)務(wù)不中斷4、舊系統(tǒng)的搬遷和新舊系統(tǒng)的無縫融合，軟硬件應(yīng)平滑過渡和升級5、采用高可靠、可擴(kuò)展的設(shè)備和架構(gòu)項目整體解決方案網(wǎng)絡(luò)現(xiàn)狀現(xiàn)網(wǎng)拓?fù)渚W(wǎng)絡(luò)存在問題防火墻承擔(dān)安全策略及路由NAT功能，X86架構(gòu)的CPU不能滿足用戶及出口帶寬的增長，造成網(wǎng)速變慢甚至CPU超負(fù)荷后斷網(wǎng)。核心交換機未啟用三層功能，網(wǎng)關(guān)在防火墻上，內(nèi)網(wǎng)用戶通信流量再次轉(zhuǎn)嫁至防火墻。用戶上網(wǎng)行為不能監(jiān)控，員工帶寬不能限制，造成資源浪費。礦區(qū)之間使用光電轉(zhuǎn)換器的不可靠連接，增加了故障率。用戶普遍使用TP-LINLK作為接入設(shè)備，不方便管理。安全策略、路由協(xié)議等較落后，不滿足現(xiàn)網(wǎng)需求。改造建議改造拓?fù)浼懊枋龆^(qū)新增核心路由及核心交換機，新增上網(wǎng)行為管理設(shè)備。一區(qū)、三區(qū)、四區(qū)、尾礦新增匯聚交換機。原有接入交換機作為用戶接入設(shè)備，原設(shè)備均利舊使用，不造成資源浪費。內(nèi)網(wǎng)安全策略、路由協(xié)議均重新規(guī)劃。改造后優(yōu)勢新增路由器啟用NAT功能、分擔(dān)防火墻壓力，防火墻只做安全策略。新增核心交換機啟用三層功能，劃分VLAN，優(yōu)化內(nèi)網(wǎng)環(huán)境并提供光接口。替換所有光電轉(zhuǎn)換器為光接入交換機，較少線路故障率。原設(shè)備均利舊使用，不造成資源浪費。新增用戶行為及審計功能。合理化的帶寬分配，不會因員工下載造成網(wǎng)速緩慢。重新調(diào)試的網(wǎng)絡(luò)策略更適于現(xiàn)在使用情況。網(wǎng)絡(luò)系統(tǒng)組網(wǎng)方案網(wǎng)絡(luò)做為一個系統(tǒng)的傳輸平臺，它為業(yè)務(wù)系統(tǒng)提供了可靠傳輸通道，是業(yè)務(wù)系統(tǒng)的支撐系統(tǒng)，是一個系統(tǒng)的路，是一個單位信息化的基礎(chǔ)。組網(wǎng)拓?fù)淠壳?，組網(wǎng)的拓?fù)浣Y(jié)構(gòu)設(shè)計中通常采用三種結(jié)構(gòu)：星型、網(wǎng)狀和部分網(wǎng)狀結(jié)構(gòu)。拓樸結(jié)構(gòu)星型結(jié)構(gòu)（Star）：星型結(jié)構(gòu)是指所有的外圍設(shè)備通過單一鏈路連接到處于網(wǎng)絡(luò)中心的核心設(shè)備上。星型結(jié)構(gòu)的優(yōu)點是節(jié)約線路開支，網(wǎng)絡(luò)結(jié)構(gòu)簡單，易于增容與維護(hù)；但對中心設(shè)備與連接鏈路有依賴性，容易出現(xiàn)單點故障，要求中心節(jié)點必須保證高可靠性。在網(wǎng)絡(luò)絡(luò)設(shè)計中，針對主干框架的選擇應(yīng)充分考慮網(wǎng)絡(luò)性能、維護(hù)難易程度以及可靠性等因素，同時也要考慮系統(tǒng)的性價比，從而權(quán)衡利弊，作出最為符合實際情況的結(jié)構(gòu)方案。分層網(wǎng)絡(luò)設(shè)計優(yōu)良的拓?fù)浣Y(jié)構(gòu)是網(wǎng)絡(luò)穩(wěn)定、可靠運行的基礎(chǔ)。一個大規(guī)模的局域網(wǎng)絡(luò)系統(tǒng)往往被分為幾個較小的部分，它們之間既相對獨立又互相關(guān)聯(lián)，這種化整為零的做法是分層進(jìn)行的。通常網(wǎng)絡(luò)拓?fù)涞姆謱咏Y(jié)構(gòu)包括三個層次，即核心層、分布層和接入層。每一層都有其自身的規(guī)劃目標(biāo)：核心層處理高速數(shù)據(jù)流，其主要任務(wù)是數(shù)據(jù)包的交換。分布層負(fù)責(zé)聚合路由路徑，收斂數(shù)據(jù)流量。接入層將流量饋入網(wǎng)絡(luò)，執(zhí)行網(wǎng)絡(luò)訪問控制，并且提供相關(guān)邊緣服務(wù)。網(wǎng)絡(luò)大都是依照上面的分層原則設(shè)計的星型以太網(wǎng)，配合各種最新的技術(shù)如VLAN、TRUNK、Qos等，極大地提高了網(wǎng)絡(luò)的性價。其邏輯結(jié)構(gòu)如下圖所示：IP地址規(guī)劃IP地址的合理規(guī)劃是網(wǎng)絡(luò)設(shè)計中的重要一環(huán)，大型計算機網(wǎng)絡(luò)必須對ＩＰ地址進(jìn)行統(tǒng)一規(guī)劃并得到實施。IP地址規(guī)劃的好壞，影響到網(wǎng)絡(luò)路由協(xié)議算法的效率，影響到網(wǎng)絡(luò)的性能，影響到網(wǎng)絡(luò)的擴(kuò)展，影響到網(wǎng)絡(luò)的管理，也必將直接影響到網(wǎng)絡(luò)應(yīng)用的進(jìn)一步發(fā)展。在網(wǎng)絡(luò)設(shè)計中IP編址方案的設(shè)計非常重要，它將直接影響網(wǎng)絡(luò)的運行效率。為了使網(wǎng)絡(luò)達(dá)到最高的運行效率，在設(shè)計IP編址方案時要遵從以下原則：1、IP地址分層設(shè)計IP地址分層設(shè)計是指在分配IP地址時參考物理網(wǎng)絡(luò)設(shè)計的層次結(jié)構(gòu)和網(wǎng)絡(luò)應(yīng)用的邏輯層次結(jié)構(gòu)，按層次劃分IP地址。在分層設(shè)計中將地址按層次化結(jié)構(gòu)進(jìn)行分配，可有效避免隨機分配所帶來的地址浪費的可能性，使IP地址資源得到最有效的利用。在網(wǎng)絡(luò)設(shè)計中，我們都要盡可能使路由表保持簡潔，由于使用分層地址設(shè)計，使得路由總結(jié)技術(shù)的使用成為可能，它意味著計算路由和查找路由表時占用路由器CPU時間的減少、路由內(nèi)存需求的減少。2、使用變長子網(wǎng)掩碼變長子網(wǎng)掩碼（VLSM）是指一個網(wǎng)絡(luò)可以分層次配置不同的掩碼。把一個網(wǎng)分成多個子網(wǎng)時，變長子網(wǎng)掩碼解決了子網(wǎng)數(shù)和主機數(shù)的可能沖突，保證更大的靈活性。如果沒有VLSM，一個子網(wǎng)掩碼只能提供給所有子網(wǎng)，可能造成不必要的地址浪費。VLSM還帶來另外的好處就是可以更好地使用路由總結(jié)，VLSM允許在地址分配中使用更多的層次，從而在路由表中更好地使用路由總結(jié)。3、路由總結(jié)在大型的、復(fù)雜的互聯(lián)網(wǎng)絡(luò)中，可能存在成百上千的網(wǎng)絡(luò)地址；在這種環(huán)境下，通常路由表中不需要包括所有這些路由。路由總結(jié)是通過使用單一的總結(jié)性地址來表示一系列網(wǎng)絡(luò)號從而減少路由器所必須包含的路由數(shù)目的方法。路由總結(jié)的使用可以降低路由器內(nèi)存的占用和路由協(xié)議的網(wǎng)絡(luò)流量占用率。使用路由總結(jié)的另外一個好處就是它可以隔離其它分區(qū)域內(nèi)的拓?fù)浣Y(jié)構(gòu)的變化，也就是說，如果網(wǎng)絡(luò)中某一部分區(qū)域的拓?fù)浣Y(jié)構(gòu)發(fā)生變化，而它的總結(jié)地址沒有改變，那么它的結(jié)構(gòu)變化帶來的路由信息的更新將不會傳到網(wǎng)絡(luò)的其他分區(qū)域，從而提高整個網(wǎng)絡(luò)的可靠性。4、盡可能使用保留地址段內(nèi)部網(wǎng)不需要與INTERNET網(wǎng)絡(luò)直接連接，IANA預(yù)見到了這個問題，并預(yù)留了A、B和C的一些網(wǎng)絡(luò)號，以提供給內(nèi)部網(wǎng)使用。這些預(yù)留地址如下所示：ClassAClassB16個B類地址ClassC256個C類地址任何組織都可以在他們的內(nèi)部網(wǎng)中使用這些地址，同時這些地址將不會出現(xiàn)在INTERNET中，這樣這些組織如果需要連入INTERNET的話，他們可以通過出口路由器地址轉(zhuǎn)換功能與INTERNET上的主機通訊，而不需要重新設(shè)定內(nèi)部網(wǎng)絡(luò)地址。IP地址空間分配，要與網(wǎng)絡(luò)拓?fù)鋵哟谓Y(jié)構(gòu)相適應(yīng)，既要有效地利用地址空間，又要體現(xiàn)出網(wǎng)絡(luò)的可擴(kuò)展性和靈活性，同時能滿足路由協(xié)議的要求，以便于網(wǎng)絡(luò)中的路由聚類，減少路由器中路由表的長度，減少對路由器CPU、內(nèi)存的消耗，提高路由算法的效率，加快路由變化的收斂速度，同時還要考慮到網(wǎng)絡(luò)地址的可管理性。具體分配時要遵循以下原則：唯一性：一個IP網(wǎng)絡(luò)中不能有兩個主機采用相同的IP地址；簡單性：地址分配應(yīng)簡單易于管理，降低網(wǎng)絡(luò)擴(kuò)展的復(fù)雜性，簡化路由表項連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡(luò)中易于進(jìn)行路徑疊合，大大縮減路由表，提高路由算法的效率可擴(kuò)展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴(kuò)展時能保證地址疊合所需的連續(xù)性靈活性：地址分配應(yīng)具有靈活性，以滿足多種路由策略的優(yōu)化，充分利用地址空間。主流的IP地址規(guī)劃方案分為純公網(wǎng)地址、純私網(wǎng)地址和混合網(wǎng)絡(luò)地址三種。IPv4地址規(guī)劃地址編碼規(guī)范建議校園（城域）網(wǎng)的IP地址進(jìn)行嚴(yán)格的編碼，每位代表不同的含義。其編碼規(guī)則（舉例如下）為：通過地址標(biāo)識可以清楚地區(qū)分出IP地址地來源，便于路由匯聚和訪問控制。從上表中我們也可以看出，通過我們的規(guī)劃，我們能從IP地址分析出IP地址的來源、用途等，這將為網(wǎng)絡(luò)的維護(hù)帶來方便。具體的IP地址定義將結(jié)合實際情況確定。IP地址使用可以采用靜態(tài)或動態(tài)的方式，可以開啟網(wǎng)絡(luò)設(shè)備或服務(wù)器DHCP協(xié)議，對于固定IP地址用戶，需要針對標(biāo)識符（MAC地址）設(shè)定保留IP地址。IPv4路由規(guī)劃整個骨干網(wǎng)絡(luò)采用動態(tài)路由協(xié)議，動態(tài)協(xié)議在整個骨干網(wǎng)中不會引起路由回環(huán)，利于骨干網(wǎng)的健壯性，也可以根據(jù)準(zhǔn)旗教育局采用動態(tài)路由加靜態(tài)路由方式。在匯聚與核心之間采用動態(tài)路由的方式，動態(tài)路由的方式可以減少網(wǎng)絡(luò)中心人員的維護(hù)量。動態(tài)只在核心骨干中進(jìn)行運行這樣大大減少了骨干節(jié)點之間動態(tài)協(xié)議的收斂周期，在實際的應(yīng)用的過程當(dāng)中可以提高穩(wěn)定性。Vlan設(shè)計隨著網(wǎng)絡(luò)的迅速發(fā)展，用戶對于網(wǎng)絡(luò)數(shù)據(jù)通信的安全性提出了更高的要求，諸如防范黑客攻擊、控制病毒傳播等，都要求保證網(wǎng)絡(luò)用戶通信的相對安全性；傳統(tǒng)的解決方法是給每個客戶分配一個VLAN和相關(guān)的IP子網(wǎng)，通過使用VLAN，每個客戶被從第2層隔離開，可以防止任何惡意的行為和Ethernet的信息探聽。。在交換機上基于端口劃分VLAN時，可以在同一交換機劃分多個VLAN，也可跨主干劃分同一個VLAN，網(wǎng)絡(luò)中應(yīng)盡量使用本地VLAN的劃分方法，并通過Trunk鏈路實現(xiàn)多個VLAN的跨主干連接，最終通過中心/核心/匯聚交換機的路由功能實現(xiàn)VLAN之間的通信。對VLAN進(jìn)行集中管理的技術(shù)中，可以使用GVRP協(xié)議。GVRP（GARPVLANRegistrationProtocol，GARPVLAN注冊協(xié)議）是GARP的一種應(yīng)用，它基于GARP的工作機制，維護(hù)交換機中的VLAN動態(tài)注冊信息，并傳播該信息到其它的交換機中。所有支持GVRP特性的交換機能夠接收來自其它交換機的VLAN注冊信息，并動態(tài)更新本地的VLAN注冊信息，包括當(dāng)前的VLAN成員、這些VLAN成員可以通過哪個端口到達(dá)等。而且所有支持GVRP特性的交換機能夠?qū)⒈镜氐腣LAN注冊信息向其它交換機傳播，以便使同一交換網(wǎng)內(nèi)所有支持GVRP特性的設(shè)備的VLAN信息達(dá)成一致。GVRP傳播的VLAN注冊信息既包括本地手工配置的靜態(tài)注冊信息，也包括來自其它交換機的動態(tài)注冊信息。GVRP在IEEE802.1Q標(biāo)準(zhǔn)文本中有詳細(xì)的表述。GVRP的主要作用是在802.1QTrunk口上實現(xiàn)提供802.1Q兼容的VLAN修剪與動態(tài)VLAN創(chuàng)建。使用GVRP，交換機可以和其它使用GVRP的交換機交換VLAN配置信息，在802.1QTrunk鏈路上修剪不需要的廣播和未知的單播流量，動態(tài)創(chuàng)建和管理VLAN。VLAN在交換機上的實現(xiàn)方法，可以大致劃分為4類:1）.基于端口劃分的VLAN

這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機的端口來劃分，比如交換機的1~4端口為VLAN

10，5~17為VLAN

20，18~24為VLAN30，當(dāng)然，這些屬于同一VLAN的端口可以不連續(xù)，如何配置，由管理員決定，如果有多個交換機，例如，可以指定交換機1的1~6端口和交換機2的1~4端口為同一VLAN，即同一VLAN可以跨越數(shù)個以太網(wǎng)交換機，根據(jù)端口劃分是目前定義VLAN的最廣泛的方法，IEEE802.1Q規(guī)定了依據(jù)以太網(wǎng)交換機的端口來劃分VLAN的國際標(biāo)準(zhǔn)。這種劃分的方法的優(yōu)點是定義VLAN成員時非常簡單，只要將所有的端口都指定義一下就可以了。它的缺點是如果VLAN

A的用戶離開了原來的端口，到了一個新的交換機的某個端口，那么就必須重新定義。2）．基于MAC地址劃分VLAN這種劃分VLAN的方法是根據(jù)每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬于哪個組。這種劃分VLAN的方法的最大優(yōu)點就是當(dāng)用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，所以，可以認(rèn)為這種根據(jù)MAC地址的劃分方法是基于用戶的VLAN，這種方法的缺點是初始化時，所有的用戶都必須進(jìn)行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的。而且這種劃分的方法也導(dǎo)致了交換機執(zhí)行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，這樣就無法限制廣播包了。另外，對于使用筆記本電腦的用戶來說，他們的網(wǎng)卡可能經(jīng)常更換，這樣，VLAN就必須不停的配置。3）.基于網(wǎng)絡(luò)層劃分VLAN這種劃分VLAN的方法是根據(jù)每個主機的網(wǎng)絡(luò)層地址或協(xié)議類型(如果支持多協(xié)議)劃分的，雖然這種劃分方法是根據(jù)網(wǎng)絡(luò)地址，比如IP地址，但它不是路由，與網(wǎng)絡(luò)層的路由毫無關(guān)系。它雖然查看每個數(shù)據(jù)包的IP地址，但由于不是路由，所以，沒有RIP，OSPF等路由協(xié)議，而是根據(jù)生成樹算法進(jìn)行橋交換，這種方法的優(yōu)點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據(jù)協(xié)議類型來劃分VLAN，這對網(wǎng)絡(luò)管理者來說很重要，還有，這種方法不需要附加的幀標(biāo)簽來識別VLAN，這樣可以減少網(wǎng)絡(luò)的通信量。這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng)絡(luò)層地址是需要消耗處理時間的(相對于前面兩種方法)，一般的交換機芯片都可以自動檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)禎頭，但要讓芯片能檢查IP幀頭，需要更高的技術(shù)，同時也更費時。當(dāng)然，這與各個廠商的實現(xiàn)方法有關(guān)。4）．根據(jù)IP組播劃分VLANIP

組播實際上也是一種VLAN的定義，即認(rèn)為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴(kuò)大到了廣域網(wǎng)，因此這種方法具有更大的靈活性，而且也很容易通過路由器進(jìn)行擴(kuò)展，當(dāng)然這種方法不適合局域網(wǎng)，主要是效率不高。5）．推薦的VLAN劃分方式及邏輯圖根據(jù)用戶應(yīng)用的實際情況和我們多年的系統(tǒng)集成經(jīng)驗推薦VLAN的劃分方式可以是按照基于端口的劃分。可以按照部門的不同劃分不同的VLAN，比如財務(wù)部門VLAN，人事部門VLAN,存儲網(wǎng)絡(luò)VLAN等，推薦的邏輯示意圖如下：網(wǎng)絡(luò)優(yōu)化系統(tǒng)安裝完畢后，隨系統(tǒng)的運行，新業(yè)務(wù)數(shù)據(jù)流的增加、原有業(yè)務(wù)數(shù)據(jù)的調(diào)整，其要應(yīng)用設(shè)備運行效率會有所變化。系統(tǒng)的運行效率與系統(tǒng)各部分的參數(shù)有很大的關(guān)系，系統(tǒng)性能調(diào)優(yōu)是一個重要的工作，及時地為用戶做系統(tǒng)性能調(diào)整，是一項必要的服務(wù)。我公司會對黃岡礦業(yè)網(wǎng)絡(luò)系統(tǒng)在定期或不定期的巡檢的同時進(jìn)行系統(tǒng)性能的調(diào)化，也可以是在用戶提出性能優(yōu)化的要求時，我公司派出相應(yīng)的工程師進(jìn)行系統(tǒng)的優(yōu)化。上網(wǎng)行為管理何謂上網(wǎng)行為管理？幫助互聯(lián)網(wǎng)用戶控制和管理對互聯(lián)網(wǎng)的使用，包括對網(wǎng)頁訪問過濾、網(wǎng)絡(luò)應(yīng)用控制、帶寬流量管理、信息收發(fā)審計、用戶行為分析。為什么要管理上網(wǎng)行為“隨著互聯(lián)網(wǎng)的發(fā)展，它已經(jīng)到了必須控制和管理的時代，因為網(wǎng)上充滿了錯誤的信息、虛假的信息，和非民主的力量?！钡倌?伯納斯?李（互聯(lián)網(wǎng)之父）水能載舟亦能覆舟!互聯(lián)網(wǎng)一方面能夠幫助企業(yè)提高生產(chǎn)力、促進(jìn)企業(yè)發(fā)展；另一方面也在企業(yè)管理、工作效率、信息安全、法律遵從、IT投資等方面給企業(yè)提出了嚴(yán)峻的問題與挑戰(zhàn)。網(wǎng)速為什么越來越慢？在辦公室里經(jīng)常會聽到有人抱怨“網(wǎng)速為什么這么慢？”，幾乎所有的企業(yè)都存在這樣的問題。那么企業(yè)花錢租用的10M甚至100M帶寬都被用在哪里了？為什么帶寬不斷擴(kuò)充，而網(wǎng)速并沒有明顯改善？真相：帶寬資源也許正被濫用!根據(jù)聯(lián)通公司發(fā)布的一份調(diào)查顯示：以迅雷、BT、eDonkey、KaZaA等為代表的P2P應(yīng)用，消耗了40%以上的有效網(wǎng)絡(luò)帶寬。而在企業(yè)租用的有限帶寬里，充斥著大量P2P下載、網(wǎng)絡(luò)電視等應(yīng)用流量，導(dǎo)致大量帶寬被非工作應(yīng)用所占用。而且，由于P2P的應(yīng)用特征，使得企業(yè)高額投資的帶寬成了互聯(lián)網(wǎng)公共服務(wù)。誰？在什么時間？可以擁有多少帶寬資源？可以使用哪些網(wǎng)絡(luò)應(yīng)用？問題2：網(wǎng)絡(luò)安全事故為什么防不勝防？“堵漏洞、砌高墻、防外攻、防內(nèi)賊，防不勝防”，防火墻越“砌”越“高”，入侵檢測越做越復(fù)雜，病毒庫越來越龐大，身份系統(tǒng)層層設(shè)保，卻依然無法應(yīng)對層出不窮網(wǎng)絡(luò)安全威脅，難道那么多安全產(chǎn)品都是擺設(shè)？真相：安全隱患來自內(nèi)部員工!無論如何豪華的防線，一個漏洞就可以毀滅所有一切。MetaGroup發(fā)布研究報告稱：“持續(xù)增長的安全威脅源自您的員工”。內(nèi)部人員通過互聯(lián)網(wǎng)與外部通訊時，可能會引入含有惡意的或者攻擊性的內(nèi)容，如若未能得到監(jiān)測和控制，這將成為企業(yè)的一大隱患。并且充滿誘惑的網(wǎng)絡(luò)資源往往是風(fēng)險的發(fā)源地。誰？在什么時間？是否可以上網(wǎng)？是否阻止訪問可能含有安全風(fēng)險的網(wǎng)絡(luò)內(nèi)容？問題3：辦公室為成了免費網(wǎng)吧!據(jù)一項調(diào)查顯示，普通企業(yè)員工每天的互聯(lián)網(wǎng)訪問活中40％與工作無關(guān)，對色情等非法網(wǎng)站的訪問量70％都發(fā)生在工作時間。上班時間“上網(wǎng)休閑”已經(jīng)成為普遍現(xiàn)象，聊天、游戲、炒股、購物、BBS、電影、博客等無時無刻不在搶占正常的工作時間，辦公室因此淪為不需要花錢的“網(wǎng)吧”。誰？在什么時間？可以用什么應(yīng)用？不可以訪問什么網(wǎng)站？約束員工在互聯(lián)網(wǎng)上的行為，其實是在幫助員工匡正工作行為，丟棄不好的習(xí)慣，成為一個專業(yè)、敬業(yè)的職業(yè)人，這對員工自身的職業(yè)發(fā)展也是大有裨益的。問題4：企業(yè)要為員工的網(wǎng)絡(luò)行為背黑鍋嗎？目前，大部分企業(yè)內(nèi)部員工上網(wǎng)并不受限制，但是他們在網(wǎng)上做了什么？對外發(fā)了什么信息？企業(yè)完全不知情，也無記錄可查詢，這就給企業(yè)埋下了巨大的法律風(fēng)險。某企業(yè)被當(dāng)?shù)毓簿志W(wǎng)絡(luò)監(jiān)察處執(zhí)行嚴(yán)厲處罰，原因是查出該企業(yè)內(nèi)有員工在網(wǎng)上發(fā)布了違反法律的信息，但是無法查出是哪位員工所為，最后企業(yè)只得為這名“幕后英雄”背黑鍋。那么在這種情況下，企業(yè)必須為員工的個人網(wǎng)絡(luò)行為負(fù)責(zé)嗎？誰？在什么時間？以何種方式？對外發(fā)了什么信息？發(fā)給了誰？問題5：發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)問題后不能快速的找到根源？當(dāng)出口擁塞，網(wǎng)絡(luò)訪問異常時，只能通過網(wǎng)絡(luò)層面的的設(shè)備分析原因，簡單的插拔網(wǎng)線，復(fù)位設(shè)備，以希圖問題解決。但本質(zhì)，內(nèi)在的源頭無法定位。IT系統(tǒng)追求的的是性價比，一位的遷就會隱藏更大的隱患，我們需要專業(yè)的洞悉網(wǎng)絡(luò)問題應(yīng)用源頭的能力，能夠分析問題的普遍性，嚴(yán)重性，共通性。利用上網(wǎng)行為管理產(chǎn)品能夠做到：哪些人群的應(yīng)用異常？哪些行為在單位內(nèi)最普遍？哪些部門隱患最突出？上網(wǎng)行為管理的實施步驟洞悉－＞管控－＞駕馭step1:企業(yè)要做好上網(wǎng)行為管理，必須先洞悉企業(yè)內(nèi)使用互聯(lián)網(wǎng)的過程中存在哪些問題？因為不同企業(yè)面臨的問題不同，需要先了解到底有哪些問題？step2:然后分析問題的根源，再制定有針對性的策略管控問題；上網(wǎng)行為管理策略必須是有針對性的、個性化的，這樣才能符合不同企業(yè)本身的管理制度、企業(yè)文化等的要求和需求；step3:最后通過審計報表了解問題解決的程度和效果，再根據(jù)報表做管理策略優(yōu)化，進(jìn)而達(dá)到駕馭互聯(lián)網(wǎng)、實現(xiàn)上網(wǎng)行為管理的價值。上網(wǎng)行為管理主要功能網(wǎng)頁訪問過濾互聯(lián)網(wǎng)上的網(wǎng)頁資源非常豐富，如果員工長時間訪問如色情、賭博、病毒等具有高度安全風(fēng)險的網(wǎng)頁，以及購物、招聘、財經(jīng)等與工作無關(guān)的網(wǎng)頁，將極大的降低生產(chǎn)效率。通過上網(wǎng)行為管理產(chǎn)品，用戶可以根據(jù)行業(yè)特征、業(yè)務(wù)需要和企業(yè)文化來制定個性化的網(wǎng)頁訪問策略，過濾非工作相關(guān)的網(wǎng)頁。網(wǎng)絡(luò)應(yīng)用控制聊天、看電影、玩游戲、炒股票等等，互聯(lián)網(wǎng)上的應(yīng)用可謂五花八門，如果員工長期沉迷于這些應(yīng)用，也將成為企業(yè)生產(chǎn)效率的巨大殺手，并可能造成網(wǎng)速緩慢、信息外泄的可能。通過上網(wǎng)行為管理產(chǎn)品，用戶可以制定有效的網(wǎng)絡(luò)應(yīng)用控制策略，封堵與業(yè)務(wù)無關(guān)的網(wǎng)絡(luò)應(yīng)用，引導(dǎo)員工在合適的時間做合適的事。帶寬流量管理P2P下載、在線游戲、在線看電影電視等都在搶占著有限的帶寬資源。面對日益緊張的帶寬資源，除了增加預(yù)算擴(kuò)充帶寬以外，企業(yè)還可以選擇合理化分配和管理帶寬。通過上網(wǎng)行為管理產(chǎn)品，用戶可以制定精細(xì)的帶寬管理策略，對不同崗位的員工、不同網(wǎng)絡(luò)應(yīng)用劃分帶寬通道，并設(shè)定優(yōu)先級，合理利用有限的帶寬資源，節(jié)省投入成本。信息內(nèi)容審計發(fā)郵件、泡BBS、寫B(tài)log、聊IM已經(jīng)司空見慣，然而信息的機密性、健康性、政治性等問題也隨之而來。通過上網(wǎng)行為管理產(chǎn)品，用戶可以制定全面的信息收發(fā)監(jiān)控策略，有效控制關(guān)鍵信息的傳播范圍，以及避免可能引起的法律風(fēng)險。上網(wǎng)行為分析隨著互聯(lián)網(wǎng)上的活動愈演愈烈，實時掌握員工互聯(lián)網(wǎng)使用狀況可以避免很多隱藏的風(fēng)險。通過上網(wǎng)行為管理產(chǎn)品，用戶可以實時了解、統(tǒng)計、分析互聯(lián)網(wǎng)使用狀況，并根據(jù)分析結(jié)果對管理策略做調(diào)整和優(yōu)化。網(wǎng)絡(luò)安全審計系統(tǒng)的主要目標(biāo)是：幫助企業(yè)管理者更好的管理企業(yè)內(nèi)部的重要信息資料，提高員工的工作效率；其次是：協(xié)助IT主管便捷的管理日益增長的PC運營維護(hù)和安全管理需求。內(nèi)網(wǎng)安全管理系統(tǒng)主要功能和作用程序功能功能描述管理作用一、管理類功能：禁用設(shè)備可禁止電腦外部設(shè)備的使用。包括：USB存儲設(shè)備、光驅(qū)、通訊設(shè)備、打印設(shè)備等等；可以只允許使用公司指定的U盤；同時也可以禁止修改IP地址。根據(jù)風(fēng)險評估，制定事前預(yù)防策略，對相應(yīng)的設(shè)備進(jìn)行禁止，預(yù)防文件泄密?？梢造`活的開啟設(shè)備，不影響員工的正常使用。禁止應(yīng)用程序可以對指定的程序進(jìn)行禁止。對工作之外的程序進(jìn)行禁止，如工作時間禁止玩游戲、聊天、BT下載等程序，提高工作效率。上網(wǎng)限制可對指定的網(wǎng)站進(jìn)行禁止，或者采取反選，對指定的網(wǎng)站外的網(wǎng)站進(jìn)行禁止。防止內(nèi)部員工濫用網(wǎng)絡(luò)資源，隨意且長時間的訪問與工作無關(guān)的網(wǎng)站，導(dǎo)致工作效率的低下。屏幕快照并保留記錄可以看到網(wǎng)絡(luò)內(nèi)員工正在操作計算機的最新畫面，可以查看到網(wǎng)內(nèi)員工操作過的歷史畫面，并連續(xù)播放歷史畫面。方便管理者進(jìn)行網(wǎng)絡(luò)行為的巡視，發(fā)現(xiàn)違規(guī)行為，及時糾正。可以查看以前的屏幕記錄，進(jìn)行事后追查。（可選項功能）。聊天內(nèi)容監(jiān)控對msn、qq等聊天工具的聊天內(nèi)容進(jìn)行監(jiān)控方便管理者對員工互聯(lián)網(wǎng)聊天行為進(jìn)行管理，避免員工上班時間過度聊與工作無關(guān)內(nèi)容。（可選項功能）文檔操作痕跡記錄可以詳細(xì)的記錄每個員工在本機及網(wǎng)絡(luò)上操作過的文件，包括訪問、創(chuàng)建、復(fù)制、移動、改名、刪除、恢復(fù)以及文檔打印等記錄。員工對電腦操作行為的痕跡得到監(jiān)控，為泄密行為的事中發(fā)現(xiàn)，事后追查提供了幫助，彌補了電子文檔安全管理中的最薄弱環(huán)節(jié)。報警規(guī)則可設(shè)置硬件或軟件信息變化的報警規(guī)則，設(shè)置某個或某類文件的各種操作報警規(guī)則。對泄密者添加泄密設(shè)備（如：閃存、移動硬盤等）實現(xiàn)及時報警，對相應(yīng)的文件或某個類型文件的操作實現(xiàn)及時報警，為安全事件發(fā)生后進(jìn)行及時管理提供幫助。外來電腦接入管理通過設(shè)置禁止外來電腦訪問內(nèi)部局域網(wǎng)共享資源、內(nèi)部重要的服務(wù)器。有效的防止外來計算機侵入單位內(nèi)部就局域網(wǎng)，可根據(jù)需要靈活的設(shè)置外來計算機跟網(wǎng)內(nèi)計算機的通訊方向。刪除網(wǎng)絡(luò)共享可以及時查看和刪除網(wǎng)絡(luò)內(nèi)任意計算機的網(wǎng)絡(luò)共享文件夾。員工往往因為工作需要設(shè)置共享文件夾，然而有時員工由于疏忽未能及時關(guān)閉共享，導(dǎo)致共享文件很容易被別有用心的員工或外來計算機竊取。鎖定計算機可以鎖定網(wǎng)絡(luò)內(nèi)任意計算機的鍵盤和鼠標(biāo)操作。若發(fā)現(xiàn)網(wǎng)內(nèi)計算機有非法操作，可以及時的采取行動，對非法行為進(jìn)行及時控制，避免非法行為的繼續(xù)，挽回?fù)p失。應(yīng)用程序報告可分時間段查看某個員工打開某個應(yīng)用程序的全部時間和活動的時間，以及所占的百分比?？梢钥陀^的評估員工使公司電腦的情況和效率，方便進(jìn)行員工的行為管理評估。訪問網(wǎng)站報告可時間段查看某個員工打開每個網(wǎng)站的全部時間和活動時間，以及所占的百分比。可以客觀的評估出員工訪問網(wǎng)站的情況和效率，查看員工的上網(wǎng)行為，方便進(jìn)行員工的網(wǎng)絡(luò)行為管理。二、網(wǎng)絡(luò)維護(hù)