【《H包装有限公司网络安全设计方案》11000字】

H包装有限公司网络安全设计方案摘要进入网络又一次高速发展的时代，互联网朝着高速、高效发展，进入了全民信息化时代，我们生活中打许多方面都受到了它的影响，网购、网银这些我们耳熟能详的东西就是它在新时代的产物.但是在互联网高速发展的今天，网络安全却成为了企业所面临的问题，网络安全这个从互联网开始出现之初就存在打问题，是现在以及未来个人、社会以及国家的重要组成部分，而且现在是信息正在高速发展的时代，如果不处于一个安全的网络环境下，那我们在上网时所发送的信息，或者存储的资料，就不会有可靠的、保密的环境来让我们的信息到达目的地，让我们的信息或资料安全的存储起来，让我们的个人隐秘信息，单位或者公司，甚至是政府部门的机密信息安全性得不到保障，这样会给企业，或者社会，甚至国家造成一定的损失，严重的信息甚至影响到了国家安全。但是企业是社会经济的重要组成部分，而某些企业对于网络安全并不重视，面对现在企业所面临的网络安全问题，对公司新建厂区的网络拓扑结构进行拟定，并从公司可能会遇到的网络安全问题进行思索﹐包括病毒监测及其防护﹑应用控制与网页过滤﹑身份认证、人员网络安全意识等需求。根据公司的日常办公需求和对外开放门户网站的需求﹐并结合公司内网系统的实际情况与公司对网络安全方面的预算情况﹐论文分别从网络系统物理基础安全﹑终端操作系统安全、病毐监测及防护﹑人员安全意识等不同方向进行思考并想出对应的防护或者控制策略，最终设计出适合本公司的网络安全解决方案。关键词：安全设计；信息安全；防火墙；网络威胁目录摘要 III目录 V第1章绪论 11.1研究背景 11.2国内外网络发展及安全研究现状 21.3研究目的与意义 4第2章核心理论与技术 52.1防火墙技术 52.1.1防火墙发展历程 52.1.2防火墙工作原理 52.2网络安全技术技术 72.2.1入侵检测技术 72.2.2访问控制技术 82.2.3身份认证技术 92.3物理安全 102.4人员网络安全意识管理 10第3章目标企业网络系统安全需求分析与设计 113.1企业网络系统需求分析 113.2企业网络拓扑结构设计 113.3企业网络地址分配 12第4章企业网络系统测试 134.1IP地址信息自动获取及全网连通性测试 134.2身份认证测试 144.3SQL注入防护测试 154.4DOS攻击防护功能测试 16总结 18参考文献 21第1章绪论企业的网络安全就是保障企业内部网络不会受到外部环境或者内部人员故意的破坏，拒绝任何未经系统授权的人员连入公司内部网络，防止企业存储在数据服务器上的数据丢失泄露等一系列的问题。在保障企业内部网络安全的前提下，同时保证企业网络系统处于正常运行。针对目前企业面临着众多网络威胁问题，本章对网络安全方面所存在的问题进行研究。1.1研究背景通过科研人员的努力创新，促使科技水平不断提高，推动着计算机硬件发展，网络硬件基础被打的非常厚实，也就自然而然的导致了计算机技术水平不断提升。计算机网络从开始的懵懂儿童已经逐步成长为现在的巨人，它在发展的过程中实现了多种资源由私人独享变成了共享，由不开放变成开放，由单一变成了互联，正应为它的这些特性，所以它被广泛应用于我们的日常生活中，像是经济、教育、日常购物、支付方式等等，甚至是政府以及科技等众多领域之中。但是现在由于我们创造数据的增多和重要数据的存储需要，我们不是仅仅把数据存储在个人电脑上，而是存储于专门存放数据的数据服务器上，而这些数据中包含了大量的重要信息或者数据，例如企业内部资料、个人信息档案、科研数据、城市运行数据甚至是政府或者军队的保密资料信等国家的重要信息。但是随着我们的日常生活越来越离不开网络，并且目前所有的银行都在网上推行业务、推广使用他们银行的APP，再时阿里巴巴和京东等电子商务平台的网络业务逐渐发展并壮大，我们的个人信息就存储在他们的数据服务器之中，这些信息资源的安全问题与我们息息相关。但是计算机网络世界是一个虚拟且具有无限可能的世界，而且在目前仍处于高速发展打时代，技术不断更新换代，因此网络信息的安全该如何保障仍然是我们所面临的巨大难题。目前网络攻击是计算机网络安全中常见的网络袭击事件之一,而且出现此类问题的原因其实就是由于计算机系统的漏洞网络安全协议的不完善以及网络安全装置所存在的技术性缺陷而造成的，而网络安全事故的发生，都是由于我们在计算机安全方面的疏忽造的。由于目前计算机网络技术应用在我们的生活的之中，日常出行，工作，购物等都离不开它，所以导致从终端采集或者人工导入的方式，在数据服务器上存在大量的重要的甚至是机密的数据信息﹐并且这些数据可能记录着我们的一切，甚至是一个城市的运营信息也存在其中，所以不仅我们对网络安全的要求提高了，而国家对网络安全要求也随之提高。因此，建设完善的网络安全防御体系，升级网络安全技术等已成我国的重要目标之一，这也体现了我国对于网络安全的重视。由于目前网络环境多变复杂，而且在网络上鱼龙混杂，许多不法分子在网站上留下恶意代码，甚至是传播木马病毒，导致在网络上存在很多的安全威胁。自从网络高速发展以来，在网络上发生了许多数据安全事故，让人们逐渐意识到了网络上的东西不只是虚拟的，它能影响到现实生活中，在网络上发生的信息安全事故会对个人的日常生活带来严重影响。所以，在现在网络信息技术正在高速发展并不断更新换代的适合，网络安全问题已成为计算机技术发展的一个大难题，同时网络安全也是它的重要的组成部分。在今天，军队、政府、公司个人等等多方都在使用计算机网络技术来使工作跟高效、精准，因此它产生并通过在我们有意或者无意情况下产生了大量的数据，并存储了下来，这对于日常办公，大数据分析甚至是国家战略安排非常重要。如果应为网络安全事件导致重要信息的丢失，破坏，增加，删除，盗窃等负面现象，导致许多大型生产活动甚至是国家安全造成不可弥补的损失。简而言之，计算机网络的安全就是为了保障计算机网络的正常使用，稳定和安全运行的重要支持和基础。如果不能保证计算机网络安全性的先进性，将严重限制计算机网络技术的实际应用价值。1.2国内外网络发展及安全研究现状经过几十年的不断发展和进步，计算机网络技术已经从信息和数据安全转向可用性、控制性和完整性的信息安全技术。为了满足当今对信息网络安全的需求，信息安全已经走向了<<监视-管理和控制-侵袭和防御>>从最基本的理论研究到现在的具有系统性的科学研究了。因此，信息网络安全成为了综合编程，硬件，软件等不同方向却又结合起来的学科，同时它也是计算机网络这个大学科下一门重要的研究领域。在互联网与科技不断的发展过程中，也推动者信息网络安全技术的不断创新与进步，应为不同国家，地区企业所处的网络大环境不同，而且面对的主要网络威胁也不同，所以要按照自己所处地区人员与网络环境的特点，注重具有自我特点同时又要有创新。所以，为了使信息网络安全的发展得到保障并且确定好发展方向以及发展细节，提出了信息技术安全评价通用标准，这个标准具有更好的极强的保密性、可靠性以及广泛的实用性；应为随着现代互联网技术的不断创新与发展，网络安全所面临的安全威胁相比与以前更多，而且攻击手段更加复杂，ITSEC（信息技术安全评价标准）已经不能满足我们所面临的网络安全问题了，它在面对技术更新换代的网络安全威胁显得相形见绌。为了改变这个局面，多国科学家经过联合研究，他们提出了一个新的标准：信息技术安全评价通用标准。在这个标准的指导下，各国对计算机网络的安全内容和等级进行了全面的总结和更新，允许计算机信息网络的用户根据自己所处的网络环境并且根据标准的指导来确认自己的安全需要，自己选择合适的信息网络安全保护方法或者方案。在这网络安全风险日益增加的岁月里，我国多名相关方面的人员在计算机网络安全的建设中，最大限度地调查计算机操作系统的安全漏洞，指导多级安全防御技术和保护数据库安全的技术，并在此基础上推广和应用。但是信息技术安全评估标准是最基本的信息安全评估标准，计算机网络安全标准也是以他作为基础来指导制定的，并且信息技术安全评估标准对专业人员的要求比较高，我国网络信息安全方面起步比较晚，因此，计算机网络信息安全相关的技术存在较大差距，进一步导致信息安全产品存在差距。目前，我国对计算机网络信息安全技术的研究主要集中在操作系统的应用环境等方面，而在协议和跨平台的兼容性方面还缺乏了解并且对其研究过少，甚至是纯技术的理论研究也比较少，导致技术研究研究迟迟跟不上国际的步伐，我国的理论研究与技术发展创新国家与相关机构仍需高度重视并注重发展。但是即使研究较少，经过多年的沉淀，我国给计算机网络安全方面的研究与发展打下了厚实的基础，但是与国外早就发展多年的产业相比，技术存在较大差距，研究成果也略差于国外的先进技术，应用方面也比之国外较少。所以，目前我国在计算机网络信息安全方面存在着很多问题，对于网络安全的建设仍存在于起步发展阶段，存在着许多问题。例如，一方面，国家有关部门在对网络信息安全系统的指导建设和对网络安全产品的政策方面有许多不足，特别是在分级别的信息网络保护体系建设方面，存在着目的性、功能性，细节等方面设计的不足、考虑的不够全面。而在另一个方面，我国从事网络信息安全的人员仍旧存在巨大的缺口，特别是执行我国信息安全保护政策的专业人员不足；计算机操作系统、网络安全设备等核心技术投入的资源比较少，同时网络安全方面产品也不足。根据调查报告显示，各国的政府机构和大型企业都非常重视计算机网络信息安全，而我国是一个人口大国，现在，我们基本上离不开计算机网络，所以我国的计算机网络安全方面存在很大的进步空间，而且我国正在逐步重视与发展它。随着整体发展战略的逐步推进，我国信息安全产业的发展将面临更加开放的发展环境，但信息网络安全问题将变得越来越重要。但是，国家早就把目光投向了这个领域，为了解决网络威胁这个大麻烦，保护网络信息安全，国家现在从以下方面入手：一方面，国家推动并建立了完善的信息网络安全法律同时在2019年5月10号发布了信息安全技术网络安全等级保护基本要求，简称等保2.0，同时也加强了对网络信息安全的保护力度，建立了完整的监督与保护体系，保障了相关政策的推广；另一方面，国家带头加强了国内的网络信息安全体系，利用了自身推出的政策与法律法规，有效规范和增加对相关核心技术的研发、生产，并且大力推广，同时扶持，帮助许多企业在网络信息安全方面的发展。同时还建立具有自主知识产权的信息安全技术体系。此外，还确定了职能部门协助安全方面的演习与产品的生产，同时加强对信息安全技术的研究，进而推动网络安全设备的更新换代，大力推广相关技术，实现产品的国产化、自主化、先进化，构建出了适合我们自己的可控的、可行的网络信息安全息体系。1.3研究目的与意义本文模拟了公司新厂区的网络拓扑结构，通过分析公司内部网络所面临的网络安全问题，针对所面临的安全问题提出相对应的解决办法，通过解决可能面临的安全问题来提高公司内部网络系统的安全性。本文主要针对该企业可能面临的网络攻击和潜在的网络安全威胁，并结合该企业新厂区的实际网络拓步结构及其所处环境，自行分析企业目前的网络安全状况，以及根据企业方所提出的网络安全要求，选择合适的网络安全技术来解决这些问题。因此，要总大局上，从整体上，根据企业的网络系统整体来进行宏观把控，但有针对企业所面临的网络信息安全问题面临的威胁不同，细节处理的办法也不同，按照相关专业书籍的指导与规章制度的要求，结合企业目前新建厂区的内部网络状况，同时查找一些企业的优秀网络安全设计方案作为借鉴，最终完成本企业的内部网络安全解决方案。从多方面下手，完成企业的网络安全解决方案，最终形成一个安全的、可靠的、具有高度保密性与完整性的企业内部网络。在解决企业信息网络安全建设方面，本文从理论与实际两个方面来描述：在理论方面，本文根据企业目前所可能面临的网络安全威胁，利用相应的理论知识来针对不同的威胁，制定不同的解决方法；在实际方面，本文模拟实际环境，把从书本上学的知识用到实际上去，根据自所提出的理论知识为基本，制定的解决方法为模板，在模拟环境下，把理论知识与理论计划运用在实际中，最终完成目标企业的网络安全解决方案。第2章核心理论与技术本章为企业网络安全提供核心技术与理论，从网络安全，物理安全，人员网络安全意识培育等方面入手，为企业内部网络安全提供全面的指导，解决企业可能面临的网络安全问题，保障企业网络安全。2.1防火墙技术2.1.1防火墙发展历程在互联网时代开始时，防火墙是和路由器同时推出的，第一代防火墙的主要功能是基于包过滤技术，由附加在路由器上的包过滤功能实现。随着网络安全的重要性不断提高，对保护性能的要求也越来越高，防火墙由开始的软件防火墙或者依附在其他设备上到现在发展成为一个独立的结构和专门的功能设备。防火墙系统工作在OSI第7层模型的5个层面上，与它处理信息有关或者关联的层面越多，它对数据的识别与过滤就更详细、更具深度。防火墙的发展，目前可以分为五代，前四代统称为防火墙，第五代是现在常用的防火墙，又称下一代防火墙。PC时代的第一代软件防火墙特征为主机威胁、状态防火墙，强调控制；网络时代的第二代硬件防火墙特征是网络威胁、SPSECVPN，强调一体化；互联网时代的第三代ASIC防火墙特征是性能威胁、NAT/64yte,强调性能；Web2.0时代点的第四代统一威胁UTM特征是混合威胁、IPS+AV、SSLVPN，强调深度；云计算时代的第五代”云”火墙特征是僵尸木马、Netflow异常，强调动态，也就是目前企业采用打防火墙，也称为下一代防火墙。2.1.2防火墙工作原理首先是传统防火墙：它的主要功能有包过滤、状态检测、应用网关（防火墙按照实现原理的不同分为三类：包过滤型的防火墙――是在网络层中有选择地传递应该传递数据包，按照人工输入或者系统默认设定好的规则来选择通过数据表，检查通过防火墙的每一个数据包，根据数据包的源mac地址、目标mac地址、源Ip地址、目标ip地址以及端口号，这些统称为数据包的五元组，可以通过这些来确认是否允许数据包通过；应用代理网关防火墙――它是通过构建一个代理服务器来实现的，与客户端建立连接时，可以有有效控制连接并且对客户端进行身份认证，也就是说防火墙内外的两个终端建立连接，是通过防火墙的服务器来代理，作为中间连接的枢纽来实现的计，通过这种方式，成功实现了计算机系统在防火墙内外的隔离。在防火墙上可以设置代理服务，通过代理服务，可以控制用户只下载允许的应用和服务，同时，它还可以应用于对数据流实施强大的监控、过滤、记录和报告；状态检测防火墙――状态监测改回去在数据入口和出口中心设置一个状态表，将传入和传出的数据视为一个会话，并使用状态表来跟踪每个会话的状态，状态监测不仅对照规则表检查每个数据包，而且还考虑数据包是否符合会话的状态，所以状态检测防火墙可以对传输层提供完全的控制能力。表2-1防火墙的三种工作模式路由模式透明模式混合模式内部网络和外部网络属于不同的网段内，属于不同子网内部网络和外部网络处于同一网段内，属于同一个子网混合模式它介于路由模式和透明模式两者之间，既可以配置使其工作在路由模式，又可以配置使其工作在透明模式，主要在对防火墙进行双机备份时使用。对网络拓步结构改变较大，需要重新设计网络拓步结构对网络拓步结构物影响，可以看成一条连线接口需要配置网络地址及相应信息，不然无法工作处于二层环境下，接口无法配置网络地址信息接口所在的安全区域是网络层，也就是三层区域接口所在的安全区域是物理层，也就是二层区域下一代防火墙建立在传统防火墙的基础上，并增加了一些功能上的改进的应用识别和控制（下一代防火墙对应用的识别功能非常强大，基本上主流的应用程序都可以识别出来，而不论应用程序使用何种连接端口、网络层协议、传输层协议、应用层协议、加密技术或逃避策略，都可以利用下列几种方法来识别是何种应用程序：（1）第一步基于协议和端口的检测(也就是传统防火墙的处理方式)。应为固定端口小于1024的协议其端口通常是相对稳定，可以根据端口快速识别应用。（2）基于应用特征码的识别，在识别应用特征的基础上，深入读取IP数据包有效载荷内容中的OSI应用层信息，并将解压后的应用信息与后台签名数据库进行比较，以确定应用类型。（3）基于流量特征的识别，根据对流量特征的识别，不同类型的应用程序在会话连接或数据流中具有不同的状态。例如，基于P2P下载应用的流量模型特点为平均包长都在450字节以上、下载时间长、连接速率高、首选传输层协议为TCP等；NGFW基于这一系列流量的行为特征，根据这组流量的行为特征，通过分析会话连接流量的数据包长度、连接速率、传输的字节数和数据包之间的间隔，来确定应用类型。同时下一代防火墙墙还具有web攻击防护（识别和防御基于网络框架漏洞的攻击，并提供多种反逃逸和反绕过检测方法，以防止攻击数据包逃避检测并进入内网。）、信息泄密防护、恶意代码防护、入侵检测等功能，可以通过旁挂模式（一般来说旁挂模式就是防毒墙用一根网线接在交换机的镜像目的端口上，分析镜像过来的数据，判断原目地址、端口、协议，检查数据包安全）。2.2网络安全技术技术2.2.1入侵检测技术IDS——IntrusionDetectionSystems，即入侵检测系统，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果。IPS——IntrusionPreventionSystems，即入侵防御系统，可对网络、系统的运行状况进行监视，并可发现阻止各种攻击企图、攻击行为。图2-1IDS与IPS对比图IPS常见入侵手段有：（1）worm蠕虫图2-2蠕虫病毒（2）网络设备、服务器漏洞（3）后门、木马、间谍软件等（4）口令暴力破解IPS在数据包的应用层数据检查，根据数据内容进行威胁签名检查，并与IPS规则库进行比较，如果匹配，则拒绝数据包，从而进行IPS在应用层保护。图2-3IPS检测示意图IPS的保护对象：保护客户端：用于保护客户端机器及其应用软件系统不因本身的漏洞而受到攻击。保护服务器：用于保护服务器及其应用软件系统不因服务器或者软件本身存在的漏洞而受到攻击；还用于阻止用户频繁登录指定协议服务器，防止暴力破解攻击。IPS的规则识别分类保护服务器和客户端（一般是病毒、木马等）防止包括操作系统本身的漏洞，后门、木马、间谍、蠕虫软件以及恶意代码的攻击。保护服务器软件（如应用服务器提供的应用）防止针对web、dns、ftp、tftp、telnet、邮件、数据库、媒体服务器应用本身的漏洞以及网络设备进行的攻击和暴力破解。保护客户端软件（如OA、IE等）防止针对web服务器tivex控件漏洞、web浏览器、文件格式、应用软件进行的攻击。2.2.2访问控制技术通过访问控制技术，可以对员工利用公司网络工作时的权限进行设置，同时可以控制其在工作时间访问一些不允许的网页或者应用，通过保障工作的核心带宽来保障企业的网络状况处于流畅状态，防止其它应用占用带宽，影响其它员工作的正常进行，提高这样也能保障企业的网络系统正常运行，不会有拥塞现象。如果由于企业的操作系统或者系统底层存在安全漏洞﹐而又没有对员工的访问与下载权限控制，就可能存在网络安全隐患，轻则导致企业商业信息泄露进，重则会影响企业的日常运行﹐甚至最终导致企业受到巨大损失，做后破产。所以，为了保证企业内部网络系统的安全性，企业会利用防火墙上的AC(上网行为管理)，对员工的访问权限进行管理，主要是分为应用控制与网页过滤; 网页过就是对访问网页进行识别，然后管控非法的网页访问，分为对http的过滤和对对http深度过滤; 对http的过滤为以下几步： 1.终端进行DNS解析； 2.建立TCP连接； 3.终端发出http请求，服务器拦下； 4.服务器对http请求头中的host字段进行检测，是合法网站放通，如果不是合法网站，则进入第5步； 5.服务器会伪装成服务器发出302的重定向报文。将http请求重定向到一个行为被拒绝的界面； 6.最终，ac伪装成服务器，给客户端发出RST报文，断开客户端的tcp连接。 对http深度过滤分为以下几步： 1.终端进行DNS解析 2.建立TCP连接 3.终端发出clienthellon报文，此时服务器会识别其中的servername字段 4.不合法，服务器伪装成用户访问打服务器，给客户端发出RST报文，断开客户端的tcp连接；合法则放下行。应用控制就是对应用进行控制，阻止非法应用的使用或者不被允许的应用使用，它是通过深度行为识别来实现的，利用了深度包检测DPI和 深度流检测DFI。2.2.3身份认证技术身份认证技术可以防止非法用户接入内网和认证的账户可以作为用户流量的标识，主要方式有账号密码认证、手机短信认证、微信公众号认证等，当员工用公司网络访问外网时，要通过密码认证流程，先是浏览器提取域名，然后终端对该域名进行DNS解析，接着建立TCP连接，终端发出HTTP请求，此时服务器会把该请求拦截，服务器会判断用户是否已经完成密码认证，如果未完成，服务器将伪装成员工访问的服务器将该该HTTP请求重定向到服务器指定的认证页面浏览器上显示认证页面，然后用户在界面上输入自己的账号密码来完成身份认证，验证通过后就能正常使用公司内网访问外网。2.3物理安全在计算机互联网的七层模型中﹐物理层本身就是最基础的,所以它的安全性也是保证网络安全的一个基础。其中主要包括网络设备（例如交换机、路由器、服务器等设备）和物理媒介（例如光缆、电缆等）﹐除去这些物理设备因素之外，还有一些潜在的自然威胁或者人为的操作错误。针对自然威胁与不可控的突发风险，可以对服务器进行灾容备份，服务器要对力进行备用电源，保证服务器正常允许，同时对于服务器机房，要对访问人员进行严格控制，对于人员进出机房，可以猜用动态人脸识别+指纹认证，防止无关人员进入机房，造成故意或者无意的破坏。2.4人员网络安全意识管理要做到网络安全，对企业的工作人员要实现人员网络安全意识管理﹐主要可以通过制定完善的制度来对员工的网络安全意识进行培训。所以，对于管理机房的人员要进行严格的网络安全培训，对于广大员工需要有基本的网络安全意识，可以定期对员工推送一些有光网络安全的文章来培养并增强员工的网络安全意识，只有全体员工对网络安全有一定了解，才是人员网络安全意识管理的重中之重，才能从基层上保障公司网络安全。第3章目标企业网络系统安全需求分析与设计本章结合实际情况，并将公司要求与实际情况相结合，构建出适合公司新厂区的网络拓扑结构，并进行模拟，模拟数据与实际没有差异，可以作为标准数据使用，具有较强的可信度。本章将详细解释如何对企业网络拓扑进行设计。3.1企业网络系统需求分析企业新厂区网络系统为初次布置，所有设备均需采购但资金有限，且企业自身已经划分好了网络区域，，按照企业的划分，网络区域大概划分为四部分，分别为web服务器区，数据库区，生产部区，销售部区。其中web服务器区与数据库区的服务器安置在中心机房内，而生产部与销售部区的遍布在各个厂房内。而且企业内终端数量较多（包括许多移动终端），并且随着网络规模的扩大和网络复杂性的增加，网络配置变得越来越复杂，计算机位置变化(如便携机或无线网络)和计算机数量超过可分配的IP地址数量，导致IP地址频繁变化和IP地址不足的情况。这个时候手工配置完全不能满足企业需求，此外，为局域网上的大量主机手动配置IP地址、掩码、网关和其他参数是很繁琐的，而且容易出错，如IP地址冲突，故此需要采用DHCP技术来为终端配置ip地址、掩码、网关、DNS服务器等参数。而DHCP是即插即用的，也就是说，客户无需配置就能获得IP地址和相关参数。并简化了客户的网络配置，降低了维护成本，通过对DHCP服务器的统一管理，统一分配所有IP地址和相关参数信息；通过IP地址租约管理，提高IP地址的使用效率，并通过使用DHCP中继，可以让客户和DHCP服务器在不同的子网中实现协议消息交互。其次，企业要对中心机房进行重点保护，所以采用下一代防火墙对企业的内网安全进行保护，对企业自身发布的网站进行保护，能防止来自互联网的信息安全威胁，同时企业内网的使用也要进行重点监督，所以采用了AC(上网行为管理),其中的用户身份认证，有效的解决了对企业内部人员上网的管理，同时还可以保障核心业务的带宽。然后核心层采用双机备份，能有效的防止因为设备故障而导致网络瘫痪，对企业造成不必要的损失。通过这些已经实现在设备或软件上的技术，可以有效的保护企业内网的安全性。3.2企业网络拓扑结构设计按照企业需求，把企业网络区域大概划分为五个小区域，三个大区域，五个小区域为web服务器区域、数据库服务器区域、生产部区域、销售部区域、网络核心层区域，其中服务器区域和数据库区域统一安置在服务器区域，生产部区域与销售部区域虽然又众多厂房，但是统一安置在办公区域，最后网络核心层区域也防火墙组成了核心区域，同时对办公区域登录的用户要进行身份认证，以便于企业管理。所以，拓扑结构大概如下图所示： 3-1整体网络拓扑图3.3企业网络地址分配对于企业内部私网地址分配，做出如下规划，服务器区域数量较少，用私网网段/24-/24，办公区域主机、终端数量较多，用私网网段/16-/16，其地址数量较多，没有用上的地址段可以用来备用，/16-/16这个私网网段用于给公司网络系统设备中需要给接口配置地址的设备。综合上述，企业私网地址分配如下表3-1：表3-1区域IP地址段地址个数服务器区/1665025办公区/816581375接口/201040400第4章企业网络系统测试本章为了考虑测试企业网络安全性的真实性，对系统网络进行测试，同时对模拟的企业网络系统进行攻击，利用不同的攻击来测试企业网络系统的防护能力，最大