网络安全产品选型

㈠ 网络方案设计过程主要分哪几个步骤

步骤如下：

1，需求调研

2，需求分析

3，概要设计

4，详细设计

设计方案内容包括：网络拓扑、IP地址规划、网络设备选型等等。

(1)网络安全产品选型扩展阅读：

网络工程设计原则

网络信息工程建设目标关系到现在和今后的几年内用户方网络信息化水平和网上应用系统的成败。在工程设计前对主要设计原则进行选择和平衡，并排定其在方案设计中的优先级，对网络工程设计和实施将具有指导意义。

1，实用、好用与够用性原则

计算机与外设、服务器和网络通信等设备在技术性能逐步提升的同时，其价格却在逐年或逐季下降，不可能也没必要实现所谓“一步到位”。所以，网络方案设计中应采用成熟可靠的技术和设备，充分体现“够用”、“好用”、“实用”建网原则，切不可用“今天”的钱，买“明、后天”才可用得上的设备。
2，开放性原则

网络系统应采用开放的标准和技术，资源系统建设要采用国家标准，有些还要遵循国际标准(如：财务管理系统、电子商务系统)。其目的包括两个方面：第一，有利于网络工程系统的后期扩充；第二，有利于与外部网络互连互通，切不可“闭门造车”形成信息化孤岛。

3，可靠性原则

无论是企业还是事业，也无论网络规模大小，网络系统的可靠性是一个工程的生命线。比如，一个网络系统中的关键设备和应用系统，偶尔出现的死锁，对于政府、教育、企业、税务、证券、金融、铁路、民航等行业产生的将是灾难性的事故。因此，应确保网络系统很高的平均无故障时间和尽可能低的平均无故障率。

4， 安全性原则

网络的安全主要是指网络系统防病毒、防黑客等破坏系统、数据可用性、一致性、高效性、可信赖性及可靠性等安全问题。为了网络系统安全，在方案设计时，应考虑用户方在网络安全方面可投入的资金，建议用户方选用网络防火墙、网络防杀毒系统等网络安全设施；网络信息中心对外的服务器要与对内的服务器隔离。

5， 先进性原则

网络系统应采用国际先进、主流、成熟的技术。比如，局域网可采用千兆以太网和全交换以太网技术。视网络规模的大小(比如网络中连接机器的台数在250台以上时)，选用多层交换技术，支持多层干道传输、生成树等协议。

6，易用性原则

网络系统的硬件设备和软件程序应易于安装、管理和维护。各种主要网络设备，比如核心交换机、汇聚交换机、接入交换机、服务器、大功率长延时UPS等设备均要支持流行的网管系统，以方便用户管理、配置网络系统。

7，可扩展性原则

网络总体设计不仅要考虑到近期目标，也要为网络的进一步发展留有扩展的余地，因此要选用主流产品和技术。若有可能，最好选用同一品牌的产品，或兼容性好的产品。在一个系统中切不可选用技术和性能不兼容的产品。

㈡ 建设信息网络系统. 一道作业题，计算机信息管理专业。

一、本院建设概况
本院系一家三甲医院，2004年开始建设新院，从原城区中心位置迁建到新规划城区的中心位置，新院占地228亩，建筑面积19.2万平方米，设计床位1500张，至2007年10月底已整体启用。新院设计网络信息点1万余个，涉及整个医院三幢大楼，网络布线设计采用计算机网络信息点与电话通讯一体化六类线设计，医院内部网络与外部网络（联接INTERNET）物理分离设计。三幢大楼共设计70个弱电间用于安装接入层交换机，主机房与每个弱电间至少使用3根四蕊室内光纤联接，每个弱电间离任一网络信息点的线路路由距离不超过100米。大楼之间不超过500米的采用多模室外光纤，超过500米的采用单模室外光纤联接。
二、不同功能区域信息点覆盖
医院功能分区的多样性与复杂性决定了医院网络信息的覆盖不同于其他办公大楼。根据医院的当今应用需求并考虑未来计算机应用的增长适当冗余，同时在弱电工程设计过程中综合使用部门与医院基建部门的意见不断变更覆盖需求，最终形成不同功能区域信息点覆盖的设计需求。在弱电工程施工过程中，使用部门结合实际环境，又对信息点覆盖进一步提出修改要求。信息点覆盖范围，既考虑未来临床信息系统的应用，也考虑医疗设备、智能设备的网络接入。综合整个过程，至新院正式启用.
主要功能区域网络信息点覆盖情况见表1。

表1 主要功能区域网络信息点覆盖情况表

功能分区

信息点数量

用途

住院医生办公室

内网16个

医生工作站、电子病历等

住院护士部

内网6个

护士工作站、电子病历等

病区走廊天花板

每20米内网1个

用于病房无线覆盖

住院主任办公室

内外网各1个

HIS应用及联接外网

护士长办公室

内网1个

护士工作站、电子病历等

主诊医生办公室

内网1个

医生工作站、电子病历等

示教室

内网6个

学生学习与工作

普通病房

外网1个

联接INTERNET，备用

贵宾病房

外网1个

联接INTERNET，开通

重症监护室

每床位内网3个，其中2个位于吊臂，1个位于墙面

监护设备联接

住院大厅

内网1个

触摸屏

门诊诊间

内网2个

门诊医生工作站，1备1用

门诊诊间门框上方

内网1个

排队信息显示

诊区预检

内网4个

分诊及就诊排队管理

门诊挂号及收费

每1.2米柜面内网2个

收费1个，联银行POS机1个

门诊大厅

内网8个

自助挂号及检验单打印，触摸屏

手术室

内网6个，其中2个位于吊臂

麻醉监护设备及计算机、医学影像

复苏室

每床位内网1个，位于设备带

麻醉监护设备

放射报告室

内网24个

PACS、计算机阅片报告

放射机房控制室

内网4个

放射设备及计算机联接

放射机房门框上方

内网1个

排队信息显示

检验科操作室

每五平方内网1个，采用地插

LIS计算机联接

检验收样室

内网4个

收样及核收样本

门诊报告发放

内网4个

报告发放

B超室

每机房内网2个

B超报告，一备一用

B超服务台

内网4个

排队及网络打印机

病理报告室

每工位内网1个

病理阅片报告

停车场

出入口处内网各2个

停车管理及图像传输

门诊药房

每1.2米柜面内网2个

药房软件，一备一用

大会议室

主席台内外网各4个

联接内外网演示

大小会议室天花板

内外网各1个

用于内外网无线联接

重点科室门禁

内网1个

用于门禁控制

三、本院网络构架情况
总体网络构架采用二个核心交换机冗余设计，会聚交换机到核心交换机双链路上行，核心交换机故障不影响业务运转。接入层按业务性质分关键业务区、非关键业务区、服务器区、放射科区，详见图1。
（一）关键业务区：主要是门诊及医技科室，其业务性质决定计算机网络一旦中断就会立即影响正常业务运转，业务高峰停顿五分钟就会导致大量病人滞留，造成不良影响。故该区域接入层交换机采用双链路上行至会聚层交换机，会聚层交换机采用冗余设计，任一链路、核心交换机、会聚层交换机、上行模块故障均不会引起业务中断。
（二）非关键业务区：主要是医院住院病区及职能科室，其业务性质决定计算机网络中断后在一个小时内修复对业务影响比较小。故该区域接入层交换机采用单链路上行至会聚层交换机，如链路中断或上行模块故障会导致业务中断。因留有备用链路及备用上行模块，故修复时间可控制在1个小时以内。
（三）服务器区：其端口用于联接主机房服务器，如交换机故障或链路故障将影响医院所有信息系统的正常运行，对医院业务的影响最大。故该区域接入层交换机先堆叠后采用双链路与核心交换机万兆联接，任一主交换机故障或链路中断不影响业务，若任一接入层交换机故障也可在短时间内将联接服务器的网络从故障交换机切换到非故障交换机。
（四）放射科区域：因放射科PACS系统信息传输流量较大，故接入层交换机采用二条万兆线路不通过会聚层交换机直接与核心交换机相联接，千兆传输带宽到桌面，保障图像传输的速度。任一核心交换机故障或链路中断不会影响放射科正常业务。
图1 本院网络拓扑图
四、体会
（一）新建医院在设计阶段，医院信息系统管理部门即需提前介入，为弱电设计公司提供适合医院未来需要的信息点覆盖方案。医院功能分区的专业性、复杂性决定了只有医院本身的计算机专业技术人员才有可能提供覆盖需求，也只有在弱电设计公司详细了解医院功能与需求的基础上考虑医院未来冗余才有可能设计出符合医院使用要求的信息网络，防止漏装信息点影响房间功能使用。本院在建设过程中某些信息点设计时未考虑到，在施工过程中及时予以补救，但也给施工带来了困难，特别是天花板封顶的情况下，增加信息点致施工异常困难。因此，在设计初期弱电设计公司与医院信息管理部门详细沟通并由医院信息管理部门提供分区域分功能的详细覆盖方案是新建医院信息网络建设初期的重点工作。
现很多医疗设备拥有网络接口可以通过TCP/IP协议传输信息，故医院信息系统覆盖时除了需要考虑计算机应用，还应考虑诸如监护仪、呼吸机、麻醉机、放射设备等医疗设备通过医院网络达到监护与诊断信息的共享。智能大楼部署了很多智能型设备，如门禁、楼控、停车场、视频监视系统以及机房的UPS、精密空调等，均需要通过信息网络进行通讯，故信息点覆盖时也应综合考虑上述设备的网络接入。本院在建设过程中未考虑急诊ICU、心内科ICU、神经科ICU的监护仪网络接入，在设备采购到位监护仪厂家提出相关问题后着力补救才解决。
弱电设计公司在明确信息点覆盖方案后，医院建设部门应及时提供房间家具分布图，以方便弱电设计公司根据家具分布图确定信息点插座的位置，最大程度避免日后办公桌在左边而信息点在右边，需要从过道走线或重新为网线走线安装线槽的情况出现。
（二）随着门诊及住院医生工作站、电子病历、医学图像存档与传输系统等信息系统的全院性应用，对计算机系统的依赖性越来越强，计算机系统故障会导致医院业务停顿，病人就不能正常就诊。因此，建立高可靠性与高稳定性的医院计算机网络就非常重要。本院在网络设计过程中对门诊、医技等关键业务区域进行了交换设备与链路冗余设计，将由于网络故障导致业务停顿的机会降到最少。但对于非关键业务区域，接入层采用单链路，采用出现故障尽快用备件更换的方法，最大程度减少设备投资。本院这种核心与会聚层冗余设计，接入层分业务关键与非关键的网络建设方案，保障了投资的有效性又将网络故障导致大面积信息系统瘫痪的可能性减到最低。
网络设备进行了冗余设计，但是否能真正达到设计要求起到冗余作用，在故障发生时不影响业务正常运转呢？这就需要根据设计方案制订详细的演练方案，模拟核心交换机、会聚层交换机故障或冗余链路中断的情况下，是否真正起到冗余作用。我院在设备正常运行二个月后制订详细演练方案进行正常业务环境下的实战演练，在按方案陆续强行关闭冗余设计的核心交换机、会聚层交换机电源以及拔掉冗余链路情况下测试是否会对业务产生影响。通过演练证明了设计的可行性，其演练方案与测试文档为真正故障情况下从容应对提供了实践经验。

㈢ 服务器操作系统中性能监视可以采用什么工具

网络工程需求析完应形网络工程需求析报告书与用户交流、修改并通用户组织评审网络工程设计要根据评审意见形操作行性阶段网络工程需求析报告网络工程需求析报告网络系统案设计阶段水渠网络工程设计阶段包括确定网络工程目标与案设计原则、通信平台规划与设计、资源平台规划与设计、网络通信设备选型、网络服务器与操作系统选型、综合布线网络选型网络安全设计等内容
2.1
网络工程目标设计原则
1．网络工程目标
般情况网络工程目标要进行总体规划步实施制定网络工程总目标应确定采用网络技术、工程标准、网络规模、网络系统功能结构、网络应用目范围总体目标进行解明确各期工程具体目标、网络建设内容、所需工程费用、间进度计划等
于网络工程应根据工程种类目标同先网络工程整体规划确定总体目标并目标采用步实施策略般我工程三步
1)
建设计算机网络环境平台
2) 扩计算机网络环境平台
3)
进行高层网络建设
2．网络工程设计原则
网络信息工程建设目标关系现今几内用户网络信息化水平网应用系统败工程设计前主要设计原则进行选择平衡并排定其案设计优先级网络工程设计实施具指导意义
1)
实用、用与够用性原则
计算机与外设、服务器网络通信等设备技术性能逐步提升同其价格却逐或逐季降能没必要实现所谓步位所网络案设计应采用熟靠技术设备充体现够用、用、实用建网原则切用今钱买明、才用设备
2)
放性原则
网络系统应采用放标准技术资源系统建设要采用家标准些要遵循际标准(：财务管理系统、电商务系统)其目包括两面：第利于网络工程系统期扩充；第二利于与外部网络互连互通切闭门造车形信息化孤岛
3)
靠性原则
论企业事业论网络规模网络系统靠性工程命线比网络系统关键设备应用系统偶尔现死锁于政府、教育、企业、税务、证券、金融、铁路、民航等行业产灾难性事故应确保网络系统高平均故障间尽能低平均故障率
4)
安全性原则
网络安全主要指网络系统防病毒、防黑客等破坏系统、数据用性、致性、高效性、信赖性及靠性等安全问题网络系统安全案设计应考虑用户网络安全面投入资金建议用户选用网络防火墙、网络防杀毒系统等网络安全设施；网络信息外服务器要与内服务器隔离
5)
先进性原则
网络系统应采用际先进、主流、熟技术比局域网采用千兆太网全交换太网技术视网络规模(比网络连接机器台数250台)选用层交换技术支持层干道传输、树等协议
6)
易用性原则
网络系统硬件设备软件程序应易于安装、管理维护各种主要网络设备比核交换机、汇聚交换机、接入交换机、服务器、功率延UPS等设备均要支持流行网管系统便用户管理、配置网络系统
7)
扩展性原则
网络总体设计仅要考虑近期目标要网络进步发展留扩展余要选用主流产品技术若能选用同品牌产品或兼容性产品系统切选用技术性能兼容产品比于层交换网络若要选用两种品牌交换机定要注意VLAN干道传输、树等协议否兼容否缝连接些问题解决扩展性自水渠
2.2
网络通信平台设计
1．网络拓扑结构
网络拓扑结构主要指园区网络物理拓扑结构今局域网技术首选交换太网技术采用太网交换机物理连接看拓扑结构星型、扩展星型或树型等结构逻辑连接看拓扑结构能总线结构于型网络考虑链路传输靠性采用冗余结构确立网络物理拓扑结构整网络案规划基础物理拓扑结构选择往往理环境布、传输介质与距离、网络传输靠性等素紧密相关选择拓扑结构应该考虑主要素几点
1)
理环境：同理环境需要设计同物理网络拓扑同网络物理拓扑设计施工安装工程费用同般情况网络物理拓扑选用星型结构便于网络通信设备管理维护
2)
传输介质与距离：设计网络考虑传输介质、距离远近用于网络通信平台经费投入网络拓扑结构必须具传输介质、通信距离、投入经费等三者间权衡建筑楼间互连应采用模或单模光缆两建筑楼间距于90m用超五类屏蔽双绞线要考虑屏蔽双绞线两端接问题
3)
靠性：网络设备损坏、光缆挖断、连接器松等类故障能发网络拓扑结构设计应避免别结点损坏影响整网络运行若经费允许网络拓扑结构核层汇聚层采用全冗余连接图6-1所示
网络拓扑结构规划设计与网络规模息息相关规模较星型局域网没汇聚层、接入层规模较网络通星型层拓扑结构图6-1所示主干网络称核层用连接服务器、建筑群网络或较型建筑物内连接交换机配线间网络设备间连接信息点毛细血管线路及网络设备称接入层根据需要间设置汇聚层
图6-1
网络全冗余连接星型拓扑结构图
层设计助于配规划带宽利于信息流量局部化说全局网络某部门信息访问需求根少(比：财务部门信息能本部门内授权访问)种情况部门业务服务器即放汇聚层局部信息流量传输波及全网
2．主干网络(核层)设计
主干网技术选择要根据需求析用户网络规模、网传输信息种类用户投入资金等素考虑般言主干网用连接建筑群服务器群能容纳网络50％～80％信息流网络脉连接建筑群主干网般光缆做传输介质典型主干网技术主要100Mbps-FX太网、l
000Mbps太网、ATM等易用性、先进性扩展性角度考虑采用百兆、千兆太网目前局域网构建流行做
3．汇聚层接入层设计
汇聚层存与否取决于网络规模建筑楼内信息点较(比于22点)超台交换机端口密度增加交换机扩充端口需要汇聚交换机交换机间采用级连式则组固定端口交换机联台背板带宽性能较汇聚交换机再由汇聚交换机联主干网核交换机采用台交换机堆叠式扩充端口密度其台交换机联则网络接入层
接入层即直接信息点通信息点网络资源设备(PC：等)接入网络汇聚层采用级连堆叠要看网络信息点布情况信息点布均距交换机50m半径内且信息点数已超台或两台交换机容量则应采用交换机堆叠结构堆叠能够充足带宽保证适宜汇聚(楼宇内)信息点密集情况交换机级连则适用于楼宇内信息点散其配线间能覆盖全楼信息点增加汇聚层同使工程本提高
汇聚层、接入层般采用l00Base-Tx快速变换式太网采用10/100Mbps自适应交换桌面传输介质超五类或五类双绞线Cisco
Catalyst
3500/4000系列交换机专门针等密度汇聚层设计接入层交换机选择产品根要根据应用需求选择支持l～2光端口模块支持堆叠接入层变换机
4．广域网连接与远程访问设计
由于布线系统费用实现限制于零散远程用户接入利用PSTN电网络进行远程拨号访问几乎惟经济、便选择远程拨号访问需要设计远程访问服务器Modem设备并申请组继线由于拨号访问整网络惟窄带设备部未网络能逐步减少使用远程访问服务器(RAS)Modem组端口数目应般按端口支持20用户计算配置
广域网连接指园区网络外连接通道．般采用路由器连接外部网络根据网络规模、网络用户数量选择外连接通道带宽网络用户没www、E-mail等具internet功能服务器用户采用ISDN或ADSL等技术连接外网用户WWW、E-mail等具internet功能服务器用户采用DDN(或E1)专线连接、ATM交换及永久虚电路连接外网其连接带宽根据内外信息流选择比网并发用户数150～250问租用2Mbps线路通同步口连接Internet用户与网络接入运营商同城市采用光纤10Mbps／100Mbps速率连接Internet外部线路租用费用般与带宽比速度越快费用越高网络工程设计用户必须清楚点能给用户提供连接外网带宽受两素制约用户租用外连线路速率二用户共享运营商连接Internet速率
5．线网络设计
线网络现解决线网络克服困难线网络首先适用于难布线(比受保护建筑物、机场等)或者经需要变布线结构(展览馆等)校重要应用领域线网络系统使教师、校园内任何接入网络另外线网络支持十几公区域于城市范围网络接入能适用设想采用线网络ISP城市任何角落提供高达10Mbps互联网接入
6．网络通信设备选型
1)
网络通信设备选型原则
2)
核交换机选型策略
3)
汇聚层/接入层交换机选型策略
4)
远程接入与访问设备选型策略

2.3
网络资源平台设计
1．服务器
2．服务器网连接案
3．网络应用系统

2.4
网络操作系统与服务器配置
1．网络操作系统选型
目前网络操作系统产品较网络应用提供良选择性操作系统网络建设败至重要要依据具体应用选择操作系统般情况网络系统集网络工程项目要完基础应用平台三层(网络层、数据链路层、物理层)建构选择操作系统要看网络系统集工程师及用户系统管理员技术水平网络操作系统使用经验定工程实施选些家都比较疏服务器操作系统能使工期延预见性费用加能要请外援做系统培训维护难度费用要增加
网络操作系统两类：即面向IA架构PC服务器操作系统族UNIX操作系统家族UNIX服务器品质较高、价格昂贵、装机量少且选择性高般根据应用系统平台实际需求估计费用瞄准某两家产品准备即与UNIX服务器相比Windows
2000 Advanced Server服务器品牌产品型号谓铺盖
般型网络普遍采用
同网络系统需要采用同种网络操作系统选择结合Windows 2000 Advanced
Server、LinuxUNIX特点网络混合使用通WWW、OA及管理信息系统服务器采用Windows 2000 Advanced
Server平台E-mail、DNS、Proxy等Internet应用使用Linux／UNIX既享受Windows 2000 Advanced
Server应用丰富、界面直观、使用便优点享受Linux／UNIX稳定、高效处
2．Windows 2000 Server
服务器配置
首先应根据需求阶段调研比网络规模、客户数量流量、数据库规模、所使用应用软件特殊要求等决定Windows 2000
Advanced Server服务器档、配置例服务器若用于部门文件打印服务普通单处理器Windows 2000Advanced
Server服务器应付自；用于型数据库服务器服务器至少要256MB内存：作型数据库服务器或者E-mail、Internet服务器内存要达512MB且要使用ECC内存于型企业说般网络要求数十至数百用户使用数据库规模选择部门级服务器1路至2路CPU、512-1024MB
ECC内存、三36GB(RAID5)或者五36GB硬盘(RAID5)充满足网络需求希望扩充余些或者服务器要做OA服务器、MIS服务器网络规模比较用户数据量选择企业级服务器即4路或8路SMP结构带热插拔RAID磁盘阵列、冗余风扇冗余电源系统
其选择Windows
2000 Advanced Server服务器服务器几关键部选取定要关Windows 2000 Advanced
Server虽兼容性相错操作系统兼容并保证100％用Windows 2000 Advanced
Server服务器内存必须支持ECC使用非ECC内存SQL数据库等应用难保证稳定、运行Windows 2000 Advanced
server服务器主要部件(主板、网卡)定要通微软Windows 2000 Advanced Server认证通微软Windows
2000 Advanced Server部件认证产品才能保证其Windows 2000 Advanced
Server100％用性另外服务器电源否靠服务器能跑几歇歇
第三升级已windows 2000
Advanced Server服务器．则要仔细析原网络服务器瓶颈所简单利用Windows 2000 Advanced
Server系统集软件工具比Windows 2000 Advanced
Server系统性能监视器等查看系统运行状况析系统各部资源使用情况般说供参考Windows 2000 Advanced
Server服务器系统升级顺序扩充服务器内存容量、升级服务器处理器、增加系统处理器数目所于Windows 2000 Advanced
Server服务器典型应用(SQL数据库、OA服务器)说些服务占用系统主要资源销内存销处理器资源销要求并通扩充服务器内存容量提高系统用内存资源提高服务器性能反由于处理器系统其本身占用系统资源销高于单处理器占用所相说增加系统处理器升级案其性价比要比扩充内存容量案差要根据网络应用系统实际情况确定增加服务器处理器数目比网络应用服务器要处理量并发访问、复杂算、量数模型等
3．服务器群综合配置与均衡
我所谓PC服务器、UNIX服务器、型机服务器其概念主要限于物理服务器(硬件)范畴网络资源存储、应用系统集通服务器硬件安装各类应用系统服务器系统冠相应应用系统名字数据库服务器、Web服务器、E-mail服务器等其概念属于逻辑服务器(软件)范畴根据网络规模、用户数量应用密度需要台服务器硬件专门运行种服务台服务器硬件需安装两种服务程序两台服务器需安装运行同种服务系统说服务器与其网络职能并麻网络规模用l至2台服务器局域网达十几台至数十台企业网校园网何根据应用需求、费用承受能力、服务器性能同服务程序间硬件占用特点、合理搭配规划服务器配制限度提高效率性能基础降低本系统集要考虑问题
关服务器应用配置与均衡建议
1)
型网络服务器应用配置
2)
型网络服务器应用配置
3)
型网络或ISP/ICP服务器群配置

2.5
网络安全设计
网络安全体系设计重点于根据安全设计基本原则制定网络各层安全策略措施确定选用网络安全系统产品
1．网络安全设计原则
尽管没绝安全网络网络案设计初遵些安全原则网络系统安全保障设计全面考虑消极安全保密措施寄托网管阶段种事打补丁思路相危险工程技术角度发设计网络案应该遵守原则
1)
网络安全前期防范
强调信息系统全面进行安全保护家都知道木桶容积取决于短块木板道理网络安全说效网络信息系统复杂计算机系统本身物理、操作管理种种漏洞构系统安全脆弱性尤其用户网络系统自身复杂性、资源共享性使单纯技术保护防胜防攻击者使用易渗透性自系统薄弱进行攻击充、全面、完整系统安全漏洞安全威胁进行析、评估检测(包括模拟攻击)设计网络安全系统必要前提条件
2)
网络安全线保护
强调安全防护、监测应急恢复要求网络发攻击、破坏情况必须尽能快恢复网络信息系统服务减少损失所网络安全系统应该包括3种机制：安全防护机制、安全监测机制、安全恢复机制安全防护机制根据具体系统存各种安全漏洞安全威胁采取相应防护措施避免非攻击进行：安全监测机制监测系统运行及发现制止系统进行各种攻击；安全恢复机制安全防护机制失效情况进行应急处理及恢复信息减少攻击破坏程度
3)
网络安全效性与实用性
网络安全应能影响系统运行合用户操作前提网络信息安全信息应用矛盾面健全弥补系统缺陷漏洞采取种技术手段管理措施：另面势必给系统运行用户使用造负担麻烦越安全意味着使用越便尤其网络环境实性要求高业务能容忍安全连接安全处理造延网络安全采用布式监控、集式管理
4)
网络安全等级划与管理
良网络安全系统必同级别包括信息保密程度级(绝密、机密、秘密、普密)用户操作权限级(面向及面向群组)网络安全程度级(安全网安全区域)系统结构层级(应用层、网络层、链路层等)安全策略针同级别安全象提供全面、选安全算安全体制满足网络同层各种实际需求
网络总体设计要考虑安全系统设计避免考虑周问题拆东墙补西墙做避免造经济巨损失避免家、集体造挽损失由于安全与保密问题相复杂问题必须注重网络安全管理要安全策略设备、安全责任、安全机制贯穿整网络系统才能保证网络安全性
5)
网络安全经济实用
网络系统设计受经费限制考虑安全问题解决案必须考虑性能价格平衡且同网络系统所要求安全侧重点各相同般园区网络要具身份认证、网络行审计、网络容错、防黑客、防病毒等功能网络安全产品实用、用、够用即
2．网络信息安全设计与实施步骤
第步、确定面临各种攻击风险
第二步、确定安全策略
安全策略网络安全系统设计目标原则应用系统完整安全解决案安全策略制定要综合几面情况
(1)
系统整体安全性由应用环境用户需求决定包括各安全机制系统安全目标性能指标
(2)
原系统运行造负荷影响(网络通信延、数据扩展等)
(3) 便于网络管理员进行控制、管理配置
(4)
扩展编程接口便于更新升级
(5) 用户界面友性使用便性
(6)
投资总额工程间等
第三步、建立安全模型
模型建立使复杂问题简化更解决安全策略关问题安全模型包括网络安全系统各系统网络安全系统设计实现安全体制、网络安全连接网络安全传输三部
(1)
安全体制：包括安全算库、安全信息库用户接口界面
(2) 网络安全连接：包括安全协议网络通信接口模块
(3)
网络安全传输：包括网络安全管理系统、网络安全支撑系统网络安全传输系统
第四步、选择并实现安全服务
(1)
物理层安争：物理层信息安全主要防止物理通路损坏、物理通路窃听物理通路攻击(干扰等)
(2)
链路层安全：链路层网络安全需要保证通网络链路传送数据窃听主要采用划VLAN(局域网)、加密通信(远程网)等手段
(3)网络层安全：网络层安全需要保证网络给授权客户使用授权服务保证网络传输确避免拦截或监听
(4)
操作系统安全：操作系统安全要求保证客户资料、操作系统访问控制安令同能够该操作系统应用进行审计
(5)
应用平台安全：应用平台指建立网络系统应用软件服务数据库服务器电邮件服务器Web服务器等由于应用平台系统非复杂通采用种技术(SSL等)增强应用平台安全性
(6)
应用系统安全：应用系统用户提供服务应用系统安全与系统设计实现关系密切应用系统使用应用平台提供安全服务保证基本安全通信内容安全、通信双认证审计等手段
第五步、安全产品选型
网络安全产品主要包括防火墙、用户身份认证、网络防病系统统等安全产品选型工作要严格按照企业(校)信息与网络系统安全产品功能规范要求利用综合技术手段产品功能、性能与用性等面进行测试企业、校选符合功能要求安全产品

完整设计案应包括基本内容：
1．设计总说明
系统工程起背景进行简要说明：主要包括：
(1)
技术普及与应用
(2)
业主发展需要（需求析书进行概括）
2．设计总则
部阐述整系统设计总体原则主要包括：
(1)
系统设计思想
(2) 总体目标
(3)
所遵循标准
3．技术案设计
所采用技术进行详细说明给全面技术案主要包括：
(1) 整体设计概要
(2)
设计思想与设计原则
(3) 综合布线系统设计
(4) 网络系统设计
(5) 网络应用系统平台设计
(6)
服务器系统安全策略
4．预算
整系统项目进行预算主要内容包括：列整系统设备、材料用量表及费用；本析；综合单价给整系统预算表
5．项目实施管理
整项目实施进行管理控制主要包括：
(1)
项目实施组织构架及管理
(2) 奖惩体系
(3) 施工案
(4) 技术措施案
(5) 项目进度计划
(5)
业主配合要求
6．供货计划、式
主要描述项目材料、设备达现场计划供货式
请看清楚问题 ；我问服务器监控软件

㈣ 计算机网络设计教程(第二版)习题解答陈明

网络工程需求分析完成后，应形成网络工程需求分析报告书，与用户交流、修改，并通过用户方组织的评审。网络工程设计方要根据评审意见，形成可操作和可行性的阶段网络工程需求分析报告。有了网络工程需求分析报告，网络系统方案设计阶段就会“水到渠成”。网络工程设计阶段包括确定网络工程目标与方案设计原则、通信平台规划与设计、资源平台规划与设计、网络通信设备选型、网络服务器与操作系统选型、综合布线网络选型和网络安全设计等内容。
2.1
网络工程目标和设计原则
1．网络工程目标
一般情况下，对网络工程目标要进行总体规划，分步实施。在制定网络工程总目标时应确定采用的网络技术、工程标准、网络规模、网络系统功能结构、网络应用目的和范围。然后，对总体目标进行分解，明确各分期工程的具体目标、网络建设内容、所需工程费用、时间和进度计划等。
对于网络工程应根据工程的种类和目标大小不同，先对网络工程有一个整体规划，然后在确定总体目标，并对目标采用分步实施的策略。一般我们可以将工程分为三步。
1)
建设计算机网络环境平台。
2) 扩大计算机网络环境平台。
3)
进行高层次网络建设。
2．网络工程设计原则
网络信息工程建设目标关系到现在和今后的几年内用户方网络信息化水平和网上应用系统的成败。在工程设计前对主要设计原则进行选择和平衡，并排定其在方案设计中的优先级，对网络工程设计和实施将具有指导意义。
1)
实用、好用与够用性原则
计算机与外设、服务器和网络通信等设备在技术性能逐步提升的同时，其价格却在逐年或逐季下降，不可能也没必要实现所谓“一步到位”。所以，网络方案设计中应采用成熟可靠的技术和设备，充分体现“够用”、“好用”、“实用”建网原则，切不可用“今天”的钱，买“明、后天”才可用得上的设备。
2)
开放性原则
网络系统应采用开放的标准和技术，资源系统建设要采用国家标准，有些还要遵循国际标准(如：财务管理系统、电子商务系统)。其目的包括两个方面：第一，有利于网络工程系统的后期扩充；第二，有利于与外部网络互连互通，切不可“闭门造车”形成信息化孤岛。
3)
可靠性原则
无论是企业还是事业，也无论网络规模大小，网络系统的可靠性是一个工程的生命线。比如，一个网络系统中的关键设备和应用系统，偶尔出现的死锁，对于政府、教育、企业、税务、证券、金融、铁路、民航等行业产生的将是灾难性的事故。因此，应确保网络系统很高的平均无故障时间和尽可能低的平均无故障率。
4)
安全性原则
网络的安全主要是指网络系统防病毒、防黑客等破坏系统、数据可用性、一致性、高效性、可信赖性及可靠性等安全问题。为了网络系统安全，在方案设计时，应考虑用户方在网络安全方面可投入的资金，建议用户方选用网络防火墙、网络防杀毒系统等网络安全设施；网络信息中心对外的服务器要与对内的服务器隔离。
5)
先进性原则
网络系统应采用国际先进、主流、成熟的技术。比如，局域网可采用千兆以太网和全交换以太网技术。视网络规模的大小(比如网络中连接机器的台数在250台以上时)，选用多层交换技术，支持多层干道传输、生成树等协议。
6)
易用性原则
网络系统的硬件设备和软件程序应易于安装、管理和维护。各种主要网络设备，比如核心交换机、汇聚交换机、接入交换机、服务器、大功率长延时UPS等设备均要支持流行的网管系统，以方便用户管理、配置网络系统。
7)
可扩展性原则
网络总体设计不仅要考虑到近期目标，也要为网络的进一步发展留有扩展的余地，因此要选用主流产品和技术。若有可能，最好选用同一品牌的产品，或兼容性好的产品。在一个系统中切不可选用技术和性能不兼容的产品。比如，对于多层交换网络，若要选用两种品牌交换机，一定要注意他们的VLAN干道传输、生成树等协议是否兼容，是否可“无缝”连接。这些问题解决了，可扩展性自然是“水到渠成”。
2.2
网络通信平台设计
1．网络拓扑结构
网络的拓扑结构主要是指园区网络的物理拓扑结构，因为如今的局域网技术首选的是交换以太网技术。采用以太网交换机，从物理连接看拓扑结构可以是星型、扩展星型或树型等结构，从逻辑连接看拓扑结构只能是总线结构。对于大中型网络考虑链路传输的可靠性，可采用冗余结构。确立网络的物理拓扑结构是整个网络方案规划的基础，物理拓扑结构的选择往往和地理环境分布、传输介质与距离、网络传输可靠性等因素紧密相关。选择拓扑结构时，应该考虑的主要因素有以下几点。
1)
地理环境：不同的地理环境需要设计不同的物理网络拓扑，不同的网络物理拓扑设计施工安装工程的费用也不同。一般情况下，网络物理拓扑最好选用星型结构，以便于网络通信设备的管理和维护。
2)
传输介质与距离：在设计网络时，考虑到传输介质、距离的远近和可用于网络通信平台的经费投入，网络拓扑结构必须具有在传输介质、通信距离、可投入经费等三者之间权衡。建筑楼之间互连应采用多模或单模光缆。如果两建筑楼间距小于90m，也可以用超五类屏蔽双绞线，但要考虑屏蔽双绞线两端接地问题。
3)
可靠性：网络设备损坏、光缆被挖断、连接器松动等这类故障是有可能发生的，网络拓扑结构设计应避免因个别结点损坏而影响整个网络的正常运行。若经费允许，网络拓扑结构的核心层和汇聚层，最好采用全冗余连接，如图6-1所示。
网络拓扑结构的规划设计与网络规模息息相关。一个规模较小的星型局域网没有汇聚层、接入层之分。规模较大的网络通常为多星型分层拓扑结构，如图6-1所示。主干网络称为核心层，用以连接服务器、建筑群到网络中心，或在一个较大型建筑物内连接多个交换机配线间到网络中心设备间。连接信息点的“毛细血管”线路及网络设备称为接入层，根据需要在中间设置汇聚层。
图6-1
网络全冗余连接星型拓扑结构图
分层设计有助于分配和规划带宽，有利于信息流量的局部化，也就是说全局网络对某个部门的信息访问的需求根少(比如：财务部门的信息，只能在本部门内授权访问)，这种情况下部门业务服务器即可放在汇聚层。这样局部的信息流量传输不会波及到全网。
2．主干网络(核心层)设计
主干网技术的选择，要根据以上需求分析中用户方网络规模大小、网上传输信息的种类和用户方可投入的资金等因素来考虑。一般而言，主干网用来连接建筑群和服务器群，可能会容纳网络上50％～80％的信息流，是网络大动脉。连接建筑群的主干网一般以光缆做传输介质，典型的主干网技术主要有100Mbps-FX以太网、l
000Mbps以太网、ATM等。从易用性、先进性和可扩展性的角度考虑，采用百兆、千兆以太网是目前局域网构建的流行做法。
3．汇聚层和接入层设计
汇聚层的存在与否，取决于网络规模的大小。当建筑楼内信息点较多(比如大于22个点)超出一台交换机的端口密度，而不得不增加交换机扩充端口时，就需要有汇聚交换机。交换机间如果采用级连方式，则将一组固定端口交换机上联到一台背板带宽和性能较好的汇聚交换机上，再由汇聚交换机上联到主干网的核心交换机。如果采用多台交换机堆叠方式扩充端口密度，其中一台交换机上联，则网络中就只有接入层。
接入层即直接信息点，通过此信息点将网络资源设备(PC：等)接入网络。汇聚层采用级连还是堆叠，要看网络信息点的分布情况。如果信息点分布均在距交换机为中心的50m半径内，且信息点数已超过一台或两台交换机的容量，则应采用交换机堆叠结构。堆叠能够有充足的带宽保证，适宜汇聚(楼宇内)信息点密集的情况。交换机级连则适用于楼宇内信息点分散，其配线间不能覆盖全楼的信息点，增加汇聚层的同时也会使工程成本提高。
汇聚层、接入层一般采用l00Base-Tx快速变换式以太网，采用10/100Mbps自适应交换到桌面，传输介质是超五类或五类双绞线。Cisco
Catalyst
3500/4000系列交换机就是专门针对中等密度汇聚层而设计的。接入层交换机可选择的产品根多，但要根据应用需求，可选择支持l～2个光端口模块，支持堆叠的接入层变换机。
4．广域网连接与远程访问设计
由于布线系统费用和实现上的限制，对于零散的远程用户接入，利用PSTN电话网络进行远程拨号访问几乎是惟一经济、方便的选择。远程拨号访问需要设计远程访问服务器和Modem设备，并申请一组中继线。由于拨号访问是整个网络中惟一的窄带设备，这一部分在未来的网络中可能会逐步减少使用。远程访问服务器(RAS)和Modem组的端口数目一一对应，一般按一个端口支持20个用户计算来配置。
广域网连接是指园区网络对外的连接通道．一般采用路由器连接外部网络。根据网络规模的大小、网络用户的数量，来选择对外连接通道的带宽。如果网络用户没有www、E-mail等具有internet功能的服务器，用户可以采用ISDN或ADSL等技术连接外网。如果用户有WWW、E-mail等具有internet功能的服务器，用户可采用DDN(或E1)专线连接、ATM交换及永久虚电路连接外网。其连接带宽可根据内外信息流的大小选择，比如上网并发用户数在150～250之问，可以租用2Mbps线路，通过同步口连接Internet。如果用户与网络接入运营商在同一个城市，也可以采用光纤10Mbps／100Mbps的速率连接Internet。外部线路租用费用一般与带宽成正比，速度越快费用越高。网络工程设计方和用户方必须清楚的一点就是，能给用户方提供多大的连接外网的带宽受两个因素的制约，一是用户方租用外连线路的速率，二是用户方共享运营商连接Internet的速率。
5．无线网络设计
无线网络的出现就是为了解决有线网络无法克服的困难。无线网络首先适用于很难布线的地方(比如受保护的建筑物、机场等)或者经常需要变动布线结构的地方(如展览馆等)。学校也是一个很重要的应用领域，一个无线网络系统可以使教师、学生在校园内的任何地方接入网络。另外，因为无线网络支持十几公里的区域，因此对于城市范围的网络接入也能适用，可以设想一个采用无线网络的ISP可以为一个城市的任何角落提供高达10Mbps的互联网接入。
6．网络通信设备选型
1)
网络通信设备选型原则
2)
核心交换机选型策略
3)
汇聚层/接入层交换机选型策略
4)
远程接入与访问设备选型策略

2.3
网络资源平台设计
1．服务器
2．服务器子网连接方案
3．网络应用系统

2.4
网络操作系统与服务器配置
1．网络操作系统选型
目前，网络操作系统产品较多，为网络应用提供了良好的可选择性。操作系统对网络建设的成败至天重要，要依据具体的应用选择操作系统。一般情况下，网络系统集成方在网络工程项目中要完成基础应用平台以下三层(网络层、数据链路层、物理层)的建构。选择什么操作系统，也要看网络系统集成方的工程师以及用户方系统管理员的技术水平和对网络操作系统的使用经验而定。如果在工程实施中选一些大家都比较生疏的服务器和操作系统，有可能使工期延长，不可预见性费用加大，可能还要请外援做系统培训，维护的难度和费用也要增加。
网络操作系统分为两个大类：即面向IA架构PC服务器的操作系统族和UNIX操作系统家族。UNIX服务器品质较高、价格昂贵、装机量少而且可选择性也不高，一般根据应用系统平台的实际需求，估计好费用，瞄准某一两家产品去准备即可。与UNIX服务器相比，Windows
2000 Advanced Server服务器品牌和产品型号可谓“铺天盖地”，
一般在中小型网络中普遍采用。
同一个网络系统中不需要采用同一种网络操作系统，选择中可结合Windows 2000 Advanced
Server、Linux和UNIX的特点，在网络中混合使用。通常WWW、OA及管理信息系统服务器上可采用Windows 2000 Advanced
Server平台，E-mail、DNS、Proxy等Internet应用可使用Linux／UNIX，这样，既可以享受到Windows 2000 Advanced
Server应用丰富、界面直观、使用方便的优点，又可以享受到Linux／UNIX稳定、高效的好处。
2．Windows 2000 Server
服务器配置
首先，应根据需求阶段的调研成果，比如网络规模、客户数量流量、数据库规模、所使用的应用软件的特殊要求等，决定Windows 2000
Advanced Server服务器的档次、配置。例如，服务器若是用于部门的文件打印服务，那么普通单处理器Windows 2000Advanced
Server服务器就可以应付自如；如果是用于小型数据库服务器，那么服务器上至少要有256MB的内存：作为小型数据库服务器或者E-mail、Internet服务器，内存要达到512MB，而且要使用ECC内存。对于中小型企业来说，一般的网络要求是有数十个至数百个用户，使用的数据库规模不大，此时选择部门级服务器。1路至2路CPU、512-1024MB
ECC内存、三个36GB(RAID5)或者五个36GB硬盘(RAID5)可以充分满足网络需求。如果希望以后扩充的余地大一些，或者服务器还要做OA服务器、MIS服务器，网络规模比较大，用户数据量大，那么最好选择企业级服务器，即4路或8路SMP结构，带有热插拔RAID磁盘阵列、冗余风扇和冗余电源的系统。
其次，选择Windows
2000 Advanced Server服务器时，对服务器上几个关键部分的选取一定要把好关。因为Windows 2000 Advanced
Server虽然是兼容性相对不错的操作系统，但兼容并不保证100％可用。Windows 2000 Advanced
Server服务器的内存必须是支持ECC的，如果使用非ECC的内存，SQL数据库等应用就很难保证稳定、正常地运行。Windows 2000 Advanced
server服务器的主要部件(如主板、网卡)一定要是通过了微软Windows 2000 Advanced Server认证的。只有通过了微软Windows
2000 Advanced Server部件认证的产品才能保证其在Windows 2000 Advanced
Server下的100％可用性。另外，就是服务器的电源是否可靠，因为服务器不可能是跑几天歇一歇的。
第三，在升级已有的windows 2000
Advanced Server服务器时．则要仔细分析原有网络服务器的瓶颈所在，此时可简单利用Windows 2000 Advanced
Server系统中集成的软件工具，比如Windows 2000 Advanced
Server系统性能监视器等。查看系统的运行状况，分析系统各部分资源的使用情况。一般来说，可供参考的Windows 2000 Advanced
Server服务器系统升级顺序是扩充服务器内存容量、升级服务器处理器、增加系统的处理器数目。之所以这样是因为，对于Windows 2000 Advanced
Server服务器上的典型应用(如SQL数据库、OA服务器)来说，这些服务占用的系统主要资源开销是内存开销，对处理器的资源开销要求并小多，通过扩充服务器内存容量提高系统的可用内存资源，将大大提高服务器的性能。反过来，由于多处理器系统其本身占用的系统资源开销大大高于单处理器的占用。所以相对来说，增加系统处理器的升级方案，其性价比要比扩充内存容量方案差。因此，要根据网络应用系统实际情况来确定增加服务器处理器的数目，比如网络应用服务器要处理大量的并发访问、复杂的算法、大量的数学模型等。
3．服务器群的综合配置与均衡
我们所谓的PC服务器、UNIX服务器、小型机服务器，其概念主要限于物理服务器(硬件)范畴。在网络资源存储、应用系统集成中。通常将服务器硬件上安装各类应用系统的服务器系统冠以相应的应用系统的名字，如数据库服务器、Web服务器、E-mail服务器等，其概念属于逻辑服务器(软件)范畴。根据网络规模、用户数量和应用密度的需要，有时一台服务器硬件专门运行一种服务，有时一台服务器硬件需安装两种以上的服务程序，有时两台以上的服务器需安装和运行同一种服务系统。也就是说，服务器与其在网络中的职能并不是一一对麻的。网络规模小到只用l至2台服务器的局域网，大到可达十几台至数十台的企业网和校园网，如何根据应用需求、费用承受能力、服务器性能和不同服务程序之间对硬件占用特点、合理搭配和规划服务器配制，最大限度地提高效率和性能的基础上降低成本，是系统集成方要考虑的问题。
有关服务器应用配置与均衡的建议如下。
1)
中小型网络服务器应用配置
2)
中型网络服务器应用配置
3)
大中型网络或ISP/ICP的服务器群配置

2.5
网络安全设计
网络安全体系设计的重点在于根据安全设计的基本原则，制定出网络各层次的安全策略和措施，然后确定出选用什么样的网络安全系统产品。
1．网络安全设计原则
尽管没有绝对安全的网络，但是，如果在网络方案设计之初就遵从一些安全原则，那么网络系统的安全就会有保障。设计时如不全面考虑，消极地将安全和保密措施寄托在网管阶段，这种事后“打补丁”的思路是相当危险的。从工程技术角度出发，在设计网络方案时，应该遵守以下原则。
1)
网络安全前期防范
强调对信息系统全面地进行安全保护。大家都知道“木桶的最大容积取决于最短的一块木板”，此道理对网络安全来说也是有效的。网络信息系统是一个复杂的计算机系统，它本身在物理上、操作上和管理上的种种漏洞构成了系统的安全脆弱性，尤其是多用户网络系统自身的复杂性、资源共享性，使单纯的技术保护防不胜防。攻击者使用的是“最易渗透性”，自然在系统中最薄弱的地方进行攻击。因此，充分、全面、完整地对系统的安全漏洞和安全威胁进行分析、评估和检测(包括模拟攻击)，是设计网络安全系统的必要前提条件。
2)
网络安全在线保护
强调安全防护、监测和应急恢复。要求在网络发生被攻击、破坏的情况下，必须尽可能快地恢复网络信息系统的服务。减少损失。所以，网络安全系统应该包括3种机制：安全防护机制、安全监测机制、安全恢复机制。安全防护机制是根据具体系统存在的各种安全漏洞和安全威胁采取的相应防护措施，避免非法攻击的进行：安全监测机制是监测系统的运行，及时发现和制止对系统进行的各种攻击；安全恢复机制是在安全防护机制失效的情况下，进行应急处理和及时地恢复信息，减少攻击的破坏程度。
3)
网络安全有效性与实用性
网络安全应以不能影响系统的正常运行和合法用户方的操作活动为前提。网络中的信息安全和信息应用是一对矛盾。一方面，为健全和弥补系统缺陷的漏洞，会采取多种技术手段和管理措施：另一方面，势必给系统的运行和用户方的使用造成负担和麻烦，“越安全就意味着使用越不方便”。尤其在网络环境下，实时性要求很高的业务不能容忍安全连接和安全处理造成的时延。网络安全采用分布式监控、集中式管理。
4)
网络安全等级划分与管理
良好的网络安全系统必然是分为不同级别的，包括对信息保密程度分级(绝密、机密、秘密、普密)，对用户操作权限分级(面向个人及面向群组)，对网络安全程度分级(安全子网和安全区域)，对系统结构层分级(应用层、网络层、链路层等)的安全策略。针对不同级别的安全对象，提供全面的、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。
网络总体设计时要考虑安全系统的设计。避免因考虑不周，出了问题之后“拆东墙补西墙”的做法。避免造成经济上的巨大损失，避免对国家、集体和个人造成无法挽回的损失。由于安全与保密问题是一个相当复杂的问题。因此必须注重网络安全管理。要安全策略到设备、安全责任到人、安全机制贯穿整个网络系统，这样才能保证网络的安全性。
5)
网络安全经济实用
网络系统的设计是受经费限制的。因此在考虑安全问题解决方案时必须考虑性能价格的平衡，而且不同的网络系统所要求的安全侧重点各不相同。一般园区网络要具有身份认证、网络行为审计、网络容错、防黑客、防病毒等功能。网络安全产品实用、好用、够用即可。
2．网络信息安全设计与实施步骤
第一步、确定面临的各种攻击和风险。
第二步、确定安全策略。
安全策略是网络安全系统设计的目标和原则，是对应用系统完整的安全解决方案。安全策略的制定要综合以下几方面的情况。
(1)
系统整体安全性，由应用环境和用户方需求决定，包括各个安全机制的子系统的安全目标和性能指标。
(2)
对原系统的运行造成的负荷和影响(如网络通信时延、数据扩展等)。
(3) 便于网络管理人员进行控制、管理和配置。
(4)
可扩展的编程接口，便于更新和升级。
(5) 用户方界面的友好性和使用方便性。
(6)
投资总额和工程时间等。
第三步、建立安全模型。
模型的建立可以使复杂的问题简化，更好地解决和安全策略有关的问题。安全模型包括网络安全系统的各个子系统。网络安全系统的设计和实现可以分为安全体制、网络安全连接和网络安全传输三部分。
(1)
安全体制：包括安全算法库、安全信息库和用户方接口界面。
(2) 网络安全连接：包括安全协议和网络通信接口模块。
(3)
网络安全传输：包括网络安全管理系统、网络安全支撑系统和网络安全传输系统。
第四步、选择并实现安全服务。
(1)
物理层的安争：物理层信息安全主要防止物理通路的损坏、物理通路的窃听和对物理通路的攻击(干扰等)。
(2)
链路层的安全：链路层的网络安全需要保证通过网络链路传送的数据不被窃听。主要采用划分VLAN(局域网)、加密通信(远程网)等手段。
(3)网络层的安全：网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络传输正确，避免被拦截或监听。
(4)
操作系统的安全：操作系统安全要求保证客户资料、操作系统访问控制的安令，同时能够对该操作系统上的应用进行审计。
(5)
应用平台的安全：应用平台指建立在网络系统之上的应用软件服务，如数据库服务器，电子邮件服务器，Web服务器等。由于应用平台的系统非常复杂，通常采用多种技术(如SSL等)来增强应用平台的安全性。
(6)
应用系统的安全：应用系统是为用户提供服务，应用系统的安全与系统设计和实现关系密切。应用系统使用应用平台提供的安全服务来保证基本安全，如通信内容安全、通信双方的认证和审计等手段。
第五步、安全产品的选型
网络安全产品主要包括防火墙、用户身份认证、网络防病系统统等。安全产品的选型工作要严格按照企业(学校)信息与网络系统安全产品的功能规范要求，利用综合的技术手段，对产品功能、性能与可用性等方面进行测试，为企业、学校选出符合功能要求的安全产品。

一个完整的设计方案，应包括以下基本内容：
1．设计总说明
对系统工程起动的背景进行简要的说明：主要包括：
(1)
技术的普及与应用
(2)
业主发展的需要（对需求分析书进行概括）
2．设计总则
在这一部分阐述整个系统设计的总体原则。主要包括：
(1)
系统设计思想
(2) 总体目标
(3)
所遵循的标准
3．技术方案设计
对所采用的技术进行详细说明，给出全面的技术方案。主要包括：
(1) 整体设计概要
(2)
设计思想与设计原则
(3) 综合布线系统设计
(4) 网络系统设计
(5) 网络应用系统平台设计
(6)
服务器系统安全策略
4．预算
对整个系统项目进行预算。主要内容包括：列出整个系统的设备、材料用量表及费用；成本分析；以综合单价法给出整个系统的预算表。
5．项目实施管理
对整个项目的实施进行管理控制的方法。主要包括：
(1)
项目实施组织构架及管理
(2) 奖惩体系
(3) 施工方案
(4) 技术措施方案
(5) 项目进度计划

㈤ 逻辑安全包括访问控制加密安全管理及用户身份认证对吗

网络系统安全
网络信息系统的安全技术体系通常是在安全策略指导下合理配置和部署：网络隔离与访问控制、入侵检测与响应、漏洞扫描、防病毒、数据加密、身份认证、安全监控与审计等技术设备，并且在各个设备或系统之间，能够实现系统功能互补和协调动作。
网络系统安全具备的功能及配置原则
1．网络隔离与访问控制。通过对特定网段、服务进行物理和逻辑隔离，并建立访问控制机制，将绝大多数攻击阻止在网络和服务的边界以外。
2．漏洞发现与堵塞。通过对网络和运行系统安全漏洞的周期检查，发现可能被攻击所利用的漏洞，并利用补丁或从管理上堵塞漏洞。
3．入侵检测与响应。通过对特定网络（段）、服务建立的入侵检测与响应体系，实时检测出攻击倾向和行为，并采取相应的行动（如断开网络连接和服务、记录攻击过程、加强审计等）。
4．加密保护。主动的加密通信，可使攻击者不能了解、修改敏感信息（如VPN方式）或数据加密通信方式；对保密或敏感数据进行加密存储，可防止窃取或丢失。
5．备份和恢复。良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。
6．监控与审计。在办公网络和主要业务网络内配置集中管理、分布式控制的监控与审计系统。一方面以计算机终端为单元强化桌面计算的内外安全控制与日志记录；另一方面通过集中管理方式对内部所有计算机终端的安全态势予以掌控。
边界安全解决方案
在利用公共网络与外部进行连接的“内”外网络边界处使用防火墙，为“内部”网络（段）与“外部”网络（段）划定安全边界。在网络内部进行各种连接的地方使用带防火墙功能的VPN设备，在进行“内”外网络（段）的隔离的同时建立网络（段）之间的安全通道。
1．防火墙应具备如下功能：
使用NAT把DMZ区的服务器和内部端口影射到Firewall的对外端口；
允许Internet公网用户访问到DMZ区的应用服务：http、ftp、smtp、dns等；
允许DMZ区内的工作站与应用服务器访问Internet公网；
允许内部用户访问DMZ的应用服务：http、ftp、smtp、dns、pop3、https；
允许内部网用户通过代理访问Internet公网；
禁止Internet公网用户进入内部网络和非法访问DMZ区应用服务器；
禁止DMZ区的公开服务器访问内部网络；
防止来自Internet的DOS一类的攻击；
能接受入侵检测的联动要求，可实现对实时入侵的策略响应；
对所保护的主机的常用应用通信协议（http、ftp、telnet、smtp）能够替换服务器的Banner信息，防止恶意用户信息刺探；
提供日志报表的自动生成功能，便于事件的分析；
提供实时的网络状态监控功能，能够实时的查看网络通信行为的连接状态（当前有那些连接、正在连接的IP、正在关闭的连接等信息），通信数据流量。提供连接查询和动态图表显示。
防火墙自身必须是有防黑客攻击的保护能力。
2．带防火墙功能的VPN设备是在防火墙基本功能（隔离和访问控制）基础上，通过功能扩展，同时具有在IP层构建端到端的具有加密选项功能的ESP隧道能力，这类设备也有SVPN的，主要用于通过外部网络（公共通信基础网络）将两个或两个以上“内部”局域网安全地连接起来，一般要求SVPN应具有一下功能：
防火墙基本功能，主要包括：IP包过虑、应用代理、提供DMZ端口和NAT功能等（有些功能描述与上相同）；
具有对连接两端的实体鉴别认证能力；
支持移动用户远程的安全接入；
支持IPESP隧道内传输数据的完整性和机密性保护；
提供系统内密钥管理功能；
SVPN设备自身具有防黑客攻击以及网上设备认证的能力。
入侵检测与响应方案
在网络边界配置入侵检测设备，不仅是对防火墙功能的必要补充，而且可与防火墙一起构建网络边界的防御体系。通过入侵检测设备对网络行为和流量的特征分析，可以检测出侵害“内部”网络或对外泄漏的网络行为和流量，与防火墙形成某种协调关系的互动，从而在“内部”网与外部网的边界处形成保护体系。
入侵检测系统的基本功能如下：
通过检测引擎对各种应用协议，操作系统，网络交换的数据进行分析，检测出网络入侵事件和可疑操作行为。
对自身的数据库进行自动维护，无需人工干预，并且不对网络的正常运行造成任何干扰。
采取多种报警方式实时报警、音响报警，信息记录到数据库，提供电子邮件报警、SysLog报警、SNMPTrap报警、Windows日志报警、Windows消息报警信息，并按照预设策略，根据提供的报警信息切断攻击连接。
与防火墙建立协调联动，运行自定义的多种响应方式，及时阻隔或消除异常行为。
全面查看网络中发生的所有应用和连接，完整的显示当前网络连接状态。
可对网络中的攻击事件，访问记录进行适时查询，并可根据查询结果输出图文报表，能让管理人员方便的提取信息。
入侵检测系统犹如摄像头、监视器，在可疑行为发生前有预警，在攻击行为发生时有报警，在攻击事件发生后能记录，做到事前、事中、事后有据可查。
漏洞扫描方案
除利用入侵检测设备检测对网络的入侵和异常流量外，还需要针对主机系统的漏洞采取检查和发现措施。目前常用的方法是配置漏洞扫描设备。主机漏洞扫描可以主动发现主机系统中存在的系统缺陷和可能的安全漏洞，并提醒系统管理员对该缺陷和漏洞进行修补或堵塞。
对于漏洞扫描的结果，一般可以按扫描提示信息和建议，属外购标准产品问题的，应及时升级换代或安装补丁程序；属委托开发的产品问题的，应与开发商协议修改程序或安装补丁程序；属于系统配置出现的问题，应建议系统管理员修改配置参数，或视情况关闭或卸载引发安全漏洞的程序模块或功能模块。
漏洞扫描功能是协助安全管理、掌握网络安全态势的必要辅助，对使用这一工具的安全管理员或系统管理员有较高的技术素质要求。
考虑到漏洞扫描能检测出防火墙策略配置中的问题，能与入侵检测形成很好的互补关系：漏洞扫描与评估系统使系统管理员在事前掌握主动地位，在攻击事件发生前找出并关闭安全漏洞；而入侵检测系统则对系统进行监测以期在系统被破坏之前阻止攻击得逞。因此，漏洞扫描与入侵检测在安全保护方面不但有共同的安全目标，而且关系密切。本方案建议采购将入侵检测、管理控制中心与漏洞扫描一体化集成的产品，不但可以简化管理，而且便于漏洞扫描、入侵检测和防火墙之间的协调动作。
网络防病毒方案
网络防病毒产品较为成熟，且有几种主流产品。本方案建议，网络防病毒系统应具备下列功能：
网络&单机防护—提供个人或家庭用户病毒防护；
文件及存储服务器防护—提供服务器病毒防护；
邮件服务器防护—提供LotusNotes,MicrosoftExchange等病毒防护；
网关防护—在SMTP,HTTP,和FTPservergateway阻挡计算机病毒；
集中管理—为企业网络的防毒策略，提供了强大的集中控管能力。
关于安全设备之间的功能互补与协调运行
各种网络安全设备（防火墙、入侵检测、漏洞扫描、防病毒产品等），都有自己独特的安全探测与安全保护能力，但又有基于自身主要功能的扩展能力和与其它安全功能的对接能力或延续能力。因此，在安全设备选型和配置时，尽可能考虑到相关安全设备的功能互补与协调运行，对于提高网络平台的整体安全性具有重要意义。
防火墙是目前广泛用于隔离网络（段）边界并实施进/出信息流控制的大众型网络安全产品之一。作为不同网络（段）之间的逻辑隔离设备，防火墙将内部可信区域与外部危险区域有效隔离，将网络的安全策略制定和信息流动集中管理控制，为网络边界提供保护，是抵御入侵控制内外非法连接的。
但防火墙具有局限性。这种局限性并不说明防火墙功能有失缺，而且由于本身只应该承担这样的职能。因为防火墙是配置在网络连接边界的通道处的，这就决定了它的基本职能只应提供静态防御，其规则都必须事先设置，对于实时的攻击或异常的行为不能做出实时反应。这些控制规则只能是粗颗粒的，对一些协议细节无法做到完全解析。而且，防火墙无法自动调整策略设置以阻断正在进行的攻击，也无法防范基于协议的攻击。
为了弥补防火墙在实际应用中存在的局限，防火墙厂商主动提出了协调互动思想即联动问题。防火墙联动即将其它安全设备（组件）（例如IDS）探测或处理的结果通过接口引入系统内调整防火墙的安全策略，增强防火墙的访问控制能力和范围，提高整体安全水平。
目前，防火墙形成联动的主要有以下几种方式：
1．与入侵检测实现联动
目前，实现入侵检测和防火墙之间的联动有两种方式。一种是实现紧密结合，即把入侵检测系统嵌入到防火墙中，即入侵检测系统的数据来源不再来源于抓包，而是流经防火墙的数据流。但由于入侵检测系统本身也是一个很庞大的系统，从目前的软硬件处理能力来看，这种联动难于达到预期效果。第二种方式是通过开放接口来实现联动，即防火墙或者入侵检测系统开放一个接口供对方调用，按照一定的协议进行通信、警报和传输，这种方式比较灵活，不影响防火墙和入侵检测系统的性能。
防火墙与入侵检测系统联动，可以对网络进行动静结合的保护，对网络行为进行细颗粒的检查，并对网络内外两个部分都进行可靠管理。【网络安全设计方案3篇】网络安全设计方案3篇。
2．与防病毒实现联动
防火墙处于内外网络信息流的必经之地，在网关一级对病毒进行查杀是网络防病毒的理想措施。目前已有一些厂商的防火墙可以与病毒防治软件进行联动，通过提供API定义异步接口，将数据包转发到装载了网关病毒防护软件的服务器上进行检查，但这种联动由于性能影响，目前并不适宜部署在网络边界处。
3．与日志处理间实现联动
防火墙与日志处理之间的联动，目前国内厂商做的不多。比较有代表性的是CheckPoint的防火墙，它提供两个API：LEA（LogExportAPI）和ELA（EventLoggingAPI），允许第三方访问日志数据。报表和事件分析采用LEAAPI，而安全与事件整合采用ELAAPI。防火墙产品利用这个接口与其他日志服务器合作，将大量的日志处理工作由专门的服务设备完成，提高了专业化程度。
内部网络监控与审计方案
上面的安全措施配置解决了网络边界的隔离与保护，网络与主机的健康（防病毒）运行，以及用户访问网络资源的身份认证和授权问题。
然而，县卫生局网络内部各办公网络、业务网络的运行秩序的维护，网络操作行为的监督，各种违规、违法行为的取证和责任认定，以及对操作系统漏洞引发的安全事件的监视和控制等问题，则是必须予以解决的问题。因此有必要在各种内部办公网络、业务网内部部署集中管理、分布式控制的监控与审计系统。这种系统通过在局域网（子网）内的管理中心安装管理器，在各台主机（PC机）中安装的代理软件形成一个监控与审计（虚拟网络）系统，通过对代理软件的策略配置，使得每台工作主机（PC机）按照办公或业务操作规范进行操作，并对可能经过主机外围接口（USB口、串/并口、软硬盘接口等）引入的非法入侵（包括病毒、木马等），或非法外连和外泄的行为予以阻断和记录；同时管理器通过网络还能及时收集各主机上的安全状态信息并下达控制命令，形成“事前预警、事中控制和事后审计”的监控链。
监控与审计系统应具有下列功能：
管理器自动识别局域网内所有被监控对象之间的网络拓扑关系，并采用图形化显示，包括被监控主机的状态（如在线、离线）等；
支持对包含有多个子网的局域网进行全面监控；
系统对被监控对象的USB移动存储设备、光驱、软驱等外设的使用以及利用这些设备进行文件操作等非授权行为进行实时监视、控制和审计；
系统对被监控对象的串/并口等接口的活动状态进行实时监视、控制和审计；
系统对进出被监控对象的网络通信(www,ftp,pop,smtp)数据包进行实时拦截、分析、处理和审计，对telnet通信数据包进行拦截；
系统可根据策略规定，禁止被监控对象进行拨号(普通modem拨号、ADSL拨号、社区宽带拨号)连接，同时提供审计；
系统对被监控对象运行的所有进程进行实时监视和审计；
系统支持群组管理，管理员可以根据被监控对象的属性特征，将其划分成不同的安全组，对每个组制定不同的安全策略，所有组的成员都根据该策略执行监控功能；
支持多角色管理，系统将管理员和审计员的角色分离，各司其职；
强审计能力，系统具有管理员操作审计、被监控对象发送的事件审计等功能；
系统自身有极强的安全性，能抗欺骗、篡改、伪造、嗅探、重放等攻击。

㈥ 大中型高校校园网网络设备选型

下面的是我做的方案的设备选型：核心交换机（数量为2）WS-C4507R-E Cat4500 E-Series 6-Slot Chassis, fan, no ps（机箱）WS-X45-SUP6L-ECatalyst 4500 E-Series Sup 6-E Lite, 2x10GE(X2) w/ Twin Gig（引擎） PWR-C45-1000ACCatalyst 4500 1000W AC Power Supply (Data Only) （电源）CAB-AC16A-CH16A AC Power Cord For China（电源线）S45EIPBK9-12253SGCisco CAT4500E IOS IP BASE SSH（IOS）WS-X4506-GB-TCatalyst 4500 6-Port 10/100/1000 PoE or SFP (Optional)（板卡）汇聚交换机WS-C3750G-48TS-SCatalyst 3750 48 10/100/1000T + 4 SFP + IPB Image接入层交换机WS-C2960-48TT-SCatalyst 2960 48 10/100 + 2 1000BT LAN Lite ImageWS-C2960-24TC-SCatalyst 2960 24 10/100 + 2 T/SFP LAN Lite Image安全设备ASA5520-BUN-K9ASA 5520 Appliance with SW, HA, 4GE+1FE, 3DES/AES

㈦ 网络安全都有哪些就业方向

网络安全专业就是一个研究加密与反加密，破译与反破译的一个专业。
它是融合了计算机，通信，数学，法律，管理，人工智能，物联网等学科的一个交叉学科。
目的在于维护网络正常运行，保证网络空间环境安全，主要研究确保网络安全的科学与技术。
这个专业培养能够从事计算机，通信工程，电子商务，电子政务，电子金融等领域的网络安全高级专门人才。
这个专业以信息，信息过程和信息系统的基本理论为基础，着重学习通信，编码，信息网络与系统信息与保密安全，信息对抗等基本理论，基本原理和技术，学习在信息，信息过程和信息系统等方面进行网络安全与保密关键技术的研究方法，典型的设备，部件的分析，设计，研究，开发的方法和能力，具有创新思维和国际视野的高级应用型专门人才。

㈧ 实施网络内网安全防护策略时，应注意哪些方面

实施网络内网安全防护策略时，应注意哪些方面？
子政务网建设原则

为达到电子政务网络的目标要求，华为公司建议在电子政务建设过程中坚持以下建网原则：从政府的需求出发，建设高安全、高可靠、可管理的电子政务体系!

统一的网络规划

建议电于政务的建设按照国家信息化领导小组的统一部署，制定总体的网络规划，分层推进，分步实施，避免重复建设。

完善的安全体系

网络安全核心理念在于技术与管理并重。建议遵循信息安全管理标准－ISO17799，安全管理是信息安全的关键，人员管理是安全管理的核心，安全策略是安全管理的依据，安全工具是安全管理的保证。

严格的设备选型

在电子政务网建设的过程中，网络设备选择除了要考虑满足业务的需求和发展、技术的可实施性等因素之外，同时为了杜绝网络后门的出现，在满足功能、性能要求的前提下，建议优先选用具备自主知识产权的国内民族厂商产品，从设备选型上保证电子政务网络的安全性。

集成的信息管理

信息管理的核心理念是统一管理，分散控制。制定IT的年度规划，提供IT的运作支持和问题管理，管理用户服务水平，管理用户满意度，配置管理，可用性管理，支持IT设施的管理，安全性管理，管理IT的库存和资产，性能和容量管理，备份和恢复管理。提高系统的利用价值，降低管理成本。

电子政务网体系架构

《国家信息化领导小组关于我国电子政务建设的指导意见》中明确了电子政务网络的体系架构：电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。政务内网主要是传送涉密政务信息，所以为保证党政核心机密的安全性，内网必须与外网物理隔离。政务外网是政府的业务专网，主要运行政务部门面向社会的专业性服务业务和不需在内网上运行的业务，外网与互联网之间逻辑隔离。而从网络规模来说，政务内网和政务外网都可以按照局域网、城域网、广域网的模式进行建设；从网络层次来说，内网和外网也可以按照骨干层、汇聚层和接入层的模式有规划地进行建设。

图1：电子政务网络的体系架构

根据电子政务设计思想及应用需求，鉴于政府各部门的特殊安全性要求，严格遵循《国家信息化领导小组关于我国电子政务建设的指导意见》，在电子政务内、外网在总体建设上采用业务与网络分层构建、逐层保护的指导原则，在逻辑层次及业务上，网络的构建实施如下分配：

图2：电子政务内、外网逻辑层次

互联支撑层是电子政务网络的基础，由网络中心统一规划、构建及管理，支撑层利用宽带IP技术，保证网络的互联互通性，提供具有一定QOS的带宽保证，并提供各部门、系统网络间的逻辑隔离(VPN)，保证互访的安全控制；

安全保障系统是指通过认证、加密、权限控制等技术对电子政务网上的用户访问及数据实施安全保障的监控系统，它与互联支撑层相对独立，由网络中心与各部门单位共同规划，分布构建。

业务应用层就是在安全互联的基础上实施政务网的各种应用，由网络中心与各系统单位统一规划，分别实施。

华为公司电子政务解决方案的核心理念

全面的网络安全

建设安全的电子政务网络是电子政务建设的关键。电子政务的安全建设需要管理与技术并重。在技术层面，华为公司提供防御、隔离、认证、授权、策略等多种手段为网络安全提供保证；在设备层面，华为公司自主开发的系列化路由器、交换机、防火墙设备、CAMS综合安全管理系统和统一的网络操作系统VRP可以保证电子政务网络安全。

针对于政府系统的网络华为公司提供了i3安全三维度端到端集成安全体系架构，在该架构中，除了可以从熟悉的网络层次视角来看待安全问题，同时还可以从时间及空间的角度来审视安全问题，从而大大拓展了安全的思路与视角，具备......

㈨ 堡垒机为什么是具有中国特色的网络安全产品，国外在运维审计管理上使用什么产品来实现类似的功能呢

随着信息化水平的不断提高，我国各大行业的IT信息系统日趋成熟，网络规模迅速扩大、设备数量激增，建设重点逐步从网络平台建设转向以深化应用、提升效益为特征的运行维护阶段，因此，IT系统的运行维护与安全管理正逐渐趋于全面融合。由于IT信息系统的安全运行直接关系到企业的效益，所以构建一个全面的IT运维安全管理体系对于各大行业的信息化发展至关重要，同时也对信息系统的运行维护安全性提出了更高、更明确的要求。
目前，面对日趋复杂的IT信息系统，不同背景、不同水平的的运维管理人员已给IT信息系统的安全运行带来较大潜在风险，主要表现在：
1. 账号与密码管理无序，存在混乱与交叉使用的情况，无法保证账号的唯一性；
2. 粗放式权限管理，极易因权限过大导致监管与调查审计的盲点和死角；
3.系统日志深浅不一，粒度较粗糙，不便于解读，难以准确定位安全事件；
4.运维管理人员技术水平参差不齐，如发生误操作则无法准确定位责任人；
5.第三方代维人员流动性较强，当出现恶意操作则无法进行追查与问责；
6.传统网络审计产品无法理解、跟踪和审计主流的运维协议，如SSL、VNC；
7.政策法规对安全运维管理也提出了更为严格的要求；
等等…
上述风险导致的运维安全事件和审计监管问题目前已成为各行各业信息系统安全运行的严重隐患，并且制约了业务的发展，影响企业效益，因此基于该背景，传统IT运维安全管理方式的变革已显得刻不容缓。为了加强IT信息系统的运维风险管理，应采用积极有效的技术手段为IT信息系统建立全面、可靠、完整的运行维护管理机制，提高IT信息系统的运维事件监控、安全运维指导、安全事件风险控制、安全事件调查审计的能力，同时也进一步提高信息系统的法规遵从性，使网络设备单元、业务应用单元、技术管理水平和人员安全意识均达到全面合规，因此对于堡垒机能够应用到的场景，和以后的市场趋势来说都必不可少的，应对大数据和虚拟化的演变，个人感觉堡垒机的发展方向应该是朝着虚拟数据库审计方向前进，换句话说若干年之后可能看到的是企业网没有自己的IT部门，没有自己的机房，自己公司的数据全部存储在云空间上，公司只需要派专人盯着网络下发帐号即可。