企业局域网的组建与网站建设

企业局域网的组建与网站建设

摘要本文针对企业局域网在组建和网站建设中的各种实际问题，从原理和实际应用上进行分析，特别是网络安全方面，列出了一些可能出现的安全因素，并给出解决办法，对将要组建或正在建设局域网的企业具有一定的指导意义。

关键词企业局域网；网络组建；网站建设1需求分析

随着互联网应用的普及，电子商务有了实质性的进展。对于一个企业来说，产品的介绍、销售、技术服务和售后服务等越来越多地采用网络的形式来完成，最主要的优点是：方便、快捷和成本低廉。

目前小型企业往往采用在互联网络上申请主页空间或采用网络主机托管的方式，这种方式在应用上很明显有些不方便之处，所能提供的服务类型单一，并且资料数据都是放在别人的计算机上，让别人来管理。对于大型企业和有机密数据的单位，往往不会采用这种方式，他们会在单位内部建立自己的中心机房，组建自己的局域网，同时申请电信的宽带和固定IP，这样，形成内外两种网络。如果，企业在异地有分支机构，还可以通过VPN方式进行安全通信。

对企业的需求进行严格的分析，设计出实际可行的网站建设方案，在网站策划阶段，可从以下一些方面考虑定位：

（1）网站硬性指标：您的网站是否能够让客户很轻松、方便的登录和记住，包括域名种类分布、域名品牌一致、网站语言版本、域名解析时间、请求响应时间、主机连接时间、下载时间、HTML综合质量、图片综合质量、首页布局质量、首页信息类型等。

（2）网站推广指标：您的网站推广是否能让更多的客户与您往来，包括搜索引擎排名、网站知名度、推广方案设计等。

（3）网站服务指标：客户是否愿意与您往来，包括：您的回应时间、目标客户、联系层次、FAQ、帮助导航、服务流程、产品分类、产品描述、产品图片、价格建议等。

（4）网站互动指标：您与客户的互动效果如何；包括：客户回应、解决时间、产品了解、客户社区、客户鉴别、客户忠诚度、深化服务、需求调查等。2模块设计

企业局域网可分为两个模块：企业互联网模块与企业局域网模块。

1)企业互联网模块

企业互联网模块拥有与互联网的连接，同时也端接VPN与公共服务（DNS、HTTP、FTP、SMTP）信息流。

企业互联网模块为内部用户提供了与互联网的连接并使用户能够通过互联网访问公共服务器上的信息，同时还为远程地点和远程工作人员提供了VPN访问能力。

企业互联网模块涉及的关键设备有：SMTP服务器、DNS服务器、FTP／HTTP服务器、防火墙或防火墙路由器、第2层及以上交换机（支持专用VLAN）。

2)企业局域网模块

企业局域网模块包含第2层及以上交换功能与所有的用户以及管理内部网服务器。企业局域网模块包含最终用户工作站、公司内部网服务器、管理服务器和支持这些设备所需的相关基础设施、可网管的交换机等。3安全分析

1)企业互联网模块

拥有公共地址的服务器是最容易被攻击的。以下是企业互联网模块潜在的威胁：未授权访问、应用层攻击、病毒与特洛伊马攻击、密码攻击、拒绝服务、IP电子欺骗、分组窃听、网络侦察、信任关系利用、端口重定向等。

在小型VPN网络设计中，该模块堪称为极至。VPN功能被压缩入一个机箱，但依然执行着路由选择、NAT、IDS和防火墙功能。在确定如何实施该功能时，我们可使用带防火墙和VPN功能的路由器。

这种选择为小型网络带来了极大的灵活性，因为路由器将支持在当今网络中可能是不可或缺的所有高级服务。作为一种替代措施，可使用带VPN的专用防火墙来取代路由器。这种设置给部署造成了一些限制。首先，防火墙通常都只是以太网，要求对相应的WAN协议进行一些转换。在目前的环境中，大多数有线和DSL路由器/调制解调器都是由电信服务供应商提供的，可用于连接以太网防火墙。如果设备要求WAN连接（如电信供应商的DSL电路），那么，就必须使用路由器。使用专用防火墙不具备轻松配置安全性和VPN服务的优势，当发挥防火墙功能时，可提供改进性能。无论选用哪种设备，都要考虑一些VPN的因素。请注意，路由器倾向于允许信息流通过，而防火墙的缺省设置则倾向于阻止信息流通过。

从ISP的客户边缘路由器开始，ISP出口将限制那些超出预定阈值的次要信息流，以便减少DDoS攻击。同时在ISP路由器的入口处，RFC1918与RFC2827过滤功能将防止针对本地网络及专用地址的源地址电子欺骗。

防火墙为通过防火墙发起的会话提供了连接状态执行操作以及详细的过滤。拥有公共地址的服务器通过在防火墙上使用半开放连接限制能够防止TCPSYN洪水。从过滤的角度讲，除了将公共服务区域的信息流限定到相关地址和端口外，在相反的方向上也在进行过滤。如果某个攻击涉及到一个公共服务器（通过规避防火墙和基于主机的IDS），那么这个服务器应该不会再进一步攻击网络。为了缓解这种攻击，具体的过滤将防止公共服务器向其他任何地点发出任何未授权请求。例如，应该对Web服务器进行过滤，以便使其不能自身产生请求，而只能回答来自客户机的请求。这种设置有助于防止黑客在实施最初的攻击后将更多的应用下载到被破坏的机器。同时还有助于防止黑客在主攻击过程中触发不受欢迎的会话。

从主机的角度看，公共服务区域内的每个服务器均拥有主机入侵检测软件，用于监控OS级的任何不良活动以及普通服务器应用的活动（HTTP、FTP、SMTP等）。DNS主机应该只响应必要的命令，同时消除任何可能有助于黑客的网络侦察攻击的不必要响应。这包括防止从任何地点进行zone传输（合格的二级DNS服务器除外）。在邮件服务方面，防火墙在第7层过滤SMTP信息，以便只允许必要的命令到达