公司網(wǎng)絡改造方案

PAGE5公司網(wǎng)絡改造方案目錄一、目前的網(wǎng)絡情況及特點 21.1、采用普通的交換機 21.2、所有電腦在同一個子網(wǎng) 21.3、文件效勞器缺乏根本的保護 21.4．外來電腦可任意接入 31.5.上網(wǎng)行為存在平安因素 3二、網(wǎng)絡整改目和內(nèi)容 3三、解決方案及效果 33.1虛擬局域網(wǎng) 33.2網(wǎng)絡訪問控制 33.3網(wǎng)絡平安系統(tǒng)設計 43.4PC準入控制 43.5上網(wǎng)行為管理 43.6資料及數(shù)據(jù)平安方案 4四、改造后的網(wǎng)絡特點 54.1構(gòu)建多個虛擬網(wǎng)絡。 54.2虛擬網(wǎng)絡之間訪問控制。 54.3網(wǎng)絡資源訪問控制。 54.4上網(wǎng)行為管理 5五、日常維護及工作 5一、目前的網(wǎng)絡情況及特點 現(xiàn)有網(wǎng)絡無法進行平安管理及控制，缺乏可管理與平安性，一旦網(wǎng)絡出現(xiàn)病毒及網(wǎng)絡攻擊現(xiàn)象，將影響公司內(nèi)部所有IT設備及公司的業(yè)務運作。1.1、采用普通的交換機目前公司的交換機為TP-LINKTL-sf102410/100M共2臺，都是二層普通交換機，功能就是進行數(shù)據(jù)轉(zhuǎn)發(fā)。無法登進交換機查看交換機狀態(tài)、無法查看網(wǎng)絡流量狀態(tài)、無法根據(jù)網(wǎng)絡的新需求進行新的配置。1.2、所有電腦在同一個子網(wǎng)所有的電腦、效勞器、網(wǎng)絡設備在同一個網(wǎng)絡內(nèi)，這意味著這些設備之間可以任意的互連互通，任意一臺電腦感染病毒或受黑客控制的時候，可以直接影響公司的所有IT設備。1.3、文件效勞器缺乏根本的保護效勞器與電腦設備在同一個網(wǎng)絡中，意味著電腦可以任意訪問效勞器的所有端口，而不是根據(jù)應用效勞的需要去限制只可訪問需要的效勞，這樣效勞器的任何一個漏洞都可以被計算機利用來攻擊效勞器。影棚文件效勞器，由于該效勞器積累了公司大量的重要的數(shù)據(jù)，目前該效勞器已使用多年，CPU頻率過低，系統(tǒng)運行緩慢，經(jīng)過上次對效勞器檢修，現(xiàn)發(fā)現(xiàn)主板的RAID芯片已壞，且硬盤存儲空間已嚴重缺乏(8T硬盤，現(xiàn)可用空間為135G)，建議最好更換一臺新的效勞器，并作好定期對該效勞器的數(shù)據(jù)備份。該局部需要購置一臺新的效勞器。1.4．外來電腦可任意接入外來電腦和筆記本可以任意接進公司網(wǎng)絡，其電腦上所帶的病毒、木馬、惡意工具會影響公司其它電腦以及效勞器的平安。更容易造成公司內(nèi)部資料外泄。1.5.上網(wǎng)行為存在平安因素訪問不平安網(wǎng)站，如暴力、黃色、賭博、股票等與業(yè)務無關網(wǎng)站，會導致病毒和木馬進入公司內(nèi)部網(wǎng)絡。員工上班時間下載電影或是在線看視頻資料，會占用極大的帶寬資源，導致業(yè)務開展所需要的帶寬不夠，收發(fā)郵件變慢。員工上班時間看新聞，軍事，足球，玩網(wǎng)絡游戲，炒股票等等會影響到員工的工作效率。二、網(wǎng)絡整改目和內(nèi)容為了控制公司網(wǎng)絡資源浪費和標準公司員工上班時間的電腦使用行為。公司員工能正確地使用維護各辦公室的計算機,有效使用網(wǎng)絡資，做出以下整改。本次改良方案包括了改良及維護方案兩大類，主要以改良為主。涉及網(wǎng)絡調(diào)整和員工電腦等。三、解決方案及效果3.1虛擬局域網(wǎng)如果根據(jù)網(wǎng)絡應用的不同，建立幾套完全獨立的物理網(wǎng)絡，這樣做不可行，首先為這幾套網(wǎng)絡重新布線，工程量大，其次是不同的網(wǎng)絡需要訪問的資源不一樣，將這些需要訪問的資源再關聯(lián)起來也不是一件容易的事情，因此建議采用虛擬局域網(wǎng)技術來到達網(wǎng)絡隔離的目的。虛擬局域網(wǎng)技術，在一個物理網(wǎng)絡中，根據(jù)應用的不同，把不同的電腦劃分到不同的虛擬局域網(wǎng)中，而這些不同的虛擬局域網(wǎng)之間是不可訪問的，該技術成熟并得到廣泛應用。3.2網(wǎng)絡訪問控制在虛擬局域網(wǎng)的根底上，根據(jù)應用的不同，控制其可以訪問的網(wǎng)絡資源。3.3網(wǎng)絡平安系統(tǒng)設計內(nèi)網(wǎng)平安設計：訪問控制，通過密碼、口令〔不定期修改、定期保存密碼與口令〕等禁止非授權(quán)用戶對效勞器的訪問，以及對以后所用到的ERP軟件及辦公自動化平臺的訪問和管理、用戶身份真實性的驗證、內(nèi)部用戶訪問權(quán)限設置、ARP病毒的防御、數(shù)據(jù)完整、審計記錄、防病毒入侵。外網(wǎng)平安設計：安裝軟件、硬件、防火墻，網(wǎng)絡防病毒軟件，客戶端防病毒軟件；利用代理效勞器提供Internet與Intranet之間的防火墻功能；通過網(wǎng)管實時記錄網(wǎng)絡的運行狀態(tài)。設置遠程訪問身份認證，防止垃圾郵件等。3.4PC準入控制在交換機端口上綁定公司電腦的MAC地址。當外來電腦接入到公司網(wǎng)絡的時候，交換時機為外來電腦的MAC地址不屬于公司網(wǎng)絡，從而禁止外來電腦接入公司網(wǎng)絡，從內(nèi)部加強公司網(wǎng)絡的平安性。3.5上網(wǎng)行為管理管理網(wǎng)絡帶寬。根據(jù)各個部門業(yè)務需求不同，分配不同的最高帶寬。同時也根據(jù)應用需求的帶寬，給不同的業(yè)務分配不同的帶寬。保障關鍵的員工和業(yè)務能夠獲得足夠的帶寬。提升工作效率。針對URL,聊天工具，上網(wǎng)時間，應用程序進行管理，最大限度減少員工利用上網(wǎng)做與工作無關事情的時間。如通過URL庫，禁止員工訪問與業(yè)務無關的網(wǎng)站，只允許訪問與工作相關的網(wǎng)站。同時對上千萬條URL記錄分為新聞，可根據(jù)需要禁止訪問其中某些類的網(wǎng)站。保障內(nèi)網(wǎng)平安。阻止各類假冒網(wǎng)銀和假冒網(wǎng)上證券等釣魚網(wǎng)站，保護員工的合法權(quán)益。禁止色情，反動，邪教等非法網(wǎng)站。對傳輸文件格式進行控制，防止不平安格式的文件進入內(nèi)網(wǎng)。防DOS攻擊3.6資料及數(shù)據(jù)平安方案考慮到公司客戶定單和公司設計資料的平安，可以通過做ACL設置用戶訪問權(quán)限，防止用戶訪問不該訪問的機密電腦資料，并且并局部控制對E-MAIL，QQ等的泄密管道，防止資料外泄，因此加強防火墻的平安管理很重要，可以在防火墻上設置禁止對外的smtp效勞，禁止通過外部郵箱outlook傳遞資料，關于USB的封堵，本來應該靠購置行為軟件來標準，或者通過AD域的組策略來實施，但考慮到預算本錢，可以通過腳本〔一個exe的可執(zhí)行文件〕，只需要用管理員的身份登陸電腦，點擊一下，就可以完成PC注冊表的修改，禁止該電腦的USB口四、改造后的網(wǎng)絡特點4.1構(gòu)建多個虛擬網(wǎng)絡。公司的網(wǎng)絡被虛擬成決策層、管理層、行政部、財務部、設計部、客服部、品保部、資材部、效勞器區(qū)等多個虛擬網(wǎng)絡。并可根據(jù)需求增加新的虛擬網(wǎng)絡4.2虛擬網(wǎng)絡之間訪問控制。不同的虛擬網(wǎng)絡之間，是不可以直接訪問。一個虛擬網(wǎng)絡必須經(jīng)過中心交換機才可以訪問其它虛擬網(wǎng)絡的電腦。4.3網(wǎng)絡資源訪問控制。在中心交換機上，可以根據(jù)需要開通相關的訪問權(quán)限。如只允許辦公電腦訪問郵件效勞器的25和110號兩個端口，保障郵件效勞器其它端口的平安。4.4上網(wǎng)行為管理優(yōu)化上網(wǎng)行為，提高上網(wǎng)平安采用雙鏈路，讓光纖和ADSL可以同時為業(yè)務效勞。五、日常維護及工作對電腦進行一次清潔除