【《企业网络规划设计》14000字（论文）】

IV企业网络规划设计摘要科技随着人类不断的发展而日新月异，信息化、网络化、高效化的脚步已经越来越近，企业网络的建设是企业向信息化发展的必然选择。企业网络已经在被更多人们提到，使用网络技术，现今企业是否可以在供应商、客户、合作伙伴、员工之间实现快速的信息交流。这就直接关系到企业能否得到关键的竞争优势。近年来越来越多的企业都在加快构建自身的信息网络，而其中绝大多数都是中小企业。现今我国企业特别是中小型企业网络建设正在迅速的进行着，就以中小型企业内部局域网的组建需求、实际管理为目标，从中小型企业局域网的管理需求与传统局域网技术入手，研究了局域网技术在企业管理中的应用。根据中小型公司的建设必要性与需求、公司网络的综合布线以及公司信息点的采集等方面进行需求分析，通过网络仿真软件ENSP建立网络设备和网络链路布线的设计模型，采用OSPF多区域规划，并模拟网络的流量、划分VLAN、创建访问控制列长、构建冗余链路等。综合性地使用当今企业网的优点与现代化的管理方法，对网络结构架构:比如网络拓扑结构详细规划、分层设计、IP地址的合理规划设计等方面做了详细剖析。从而设计规划了一个办公自动化、全方位、多功能、升级能力强的企业网络。关键词：企业网络；网络规划；网络设计目录TOC\o"1-3"\h\u36481绪论 [1]。1.3网络规划与设计概述企业网络既可以承载巨大的信息点，又将会涉及大规模的行业使用，这就需要企业网络应该是一种实用的、高可靠性、高效率、高扩展性和高度安全的系统。为了使企业内部网络具备完善的可扩展性与灵活的连接能力，并且便于管理，容易维护，在网络设计和搭建过程中始终应当坚持统一标准、统一平台和网络分层管理的基本原则，大致分为以下原则：（1）需求分析是对开发过程最关键重要的阶段。对于不相同的用户就会有不一样的网络需求，所以在设计最初，设计人员就要与不同的用户进行交流意见，归纳出明确的需求，确保网络设计出符合用户的标准。那么收集网络的标准就有着一定的范围，如公司业务需求、计算机配置需求、用户需求、网络通信需求；（2）在网络设计规划方面，使用相同IP技术，相同规划IP地址与各种应用，而且选择最合适的技术规范和标准，比如路由协议、安全规范、接口标准和管理平台等，只有这样才能确保实现企业网络的统一性，并而确保网络中的可扩展性，又进一步减少网络中各部分的相关性，更方便于企业网络设计中的实施与管理，而在网络的构建中，把整体的网络分别划分成三个层次为核心层、汇聚层和接入层；（3）在安全性方面，所建立企业网络应当具备完善的安全和保密性，并针对公司的服务使用需要，组织部署合适的网络访问战略，同时进行对公司内部敏感信息系统的防护工作，在遭遇入侵时具备可追溯性；（4）网络系统物理设计：逻辑网络系统工程设计是在物理学结构中体现出的，通过硬件检验、环境的调试来确定物理学硬件能否满足逻辑结构的工程设计要求；(5）安装和维护--网络安装结束后，对网络进行日常监视和管理。在网络使用时进行故障监测和故障恢复，以及网络更新、性能优化等维护工作。1.4论文主要内容通过对本公司的调研需求分析，根据公司网络规划与设计的方向，网络实施计划的过程进行完善，在基本网络搭建完善之后，投入使用之后对网络进行优化和升级，以及网络设备的添加。绪论，从公司的背景、现状出发，大致描述本次网络规划设计的理念，充当说明书的角色；网络需求分析，从公司网络的需求进行分析，设计出网络的雏形，从而可以进一步的对网络进行优化。各部门的硬件需求，VLAN、IP数量需求，可拓展性等进行分析；（3）网络规划设计理论与技术，对网络规划的原则、总部、分部的网络规划、交换技术和路由协议的技术讲解，细讲论点；（4）网络安全与网络维护，在基础网络搭建的情况下，按需求进行添加网络安全设备，加固现有网络的安全性以及对网络维护和IT人员工作安排等；（5）测试，测试公司各部门的IP获取与其他部门的通信，互联网的访问测试；（6）总结，对本次网络规划与设计的过程进行总结和对以后专业的道路进行总结和期望，对本次设计的网络规划方案进行实际的问题和难点、不足进行总结。2需求分析2.1公司需求分析2.1.1总部需求公司目前进行的公司网络建设项目，为了促进企业的互联网信息化工程建设，其最后建设工作总体目标是使企业建立成了一种依靠互联网信息化办事与管理工作的先进的智能、数字化的公司网络，以适应公司信息化建设的需要，为企业各种信息应用系统构建提供了方便，快速的信息通道，具备优秀的特性，可以保障大数据容量和即时性的各种使用，能够实现安全可靠的工作，并具备了低廉的故障率和维修要求。而企业的内部网络工程建设是指构建在高速公路光纤网的基石上，形成了内网互相独立的网络，并可以访问Internet的公司网络。实现了各机关内部以及各机关间的公共网络化，实现了网上信息资源共享，做到了数据共享，为政府各机关全面提升办事效率办事透明度和快速反应能力提供了更可靠的信息保证。总公司现有需求网络分为生产网络、财务网络、办公网络、服务器网络。主要采用OSPF技术多区域规划，保证生产网络的可靠性，以及能保证服务器区域的路由稳定性、控制LSDB的规模，不需要的邻居关系不用建立，以减少网络流量保证了网络的流畅，而信阳公司总入职人数约为为70至90人。硬件设备初步为：4台富士施乐P288dw型号的打印机、100台100套计算机含主机、显示器、键盘、鼠标、2台服务器做文件存储数据库与公司网络主页，12台交换机、2台路由器。2.1.2分部需求网络要求能够实现访问Internet的网络，同时实现与总公司各部门的互相访问，有独立的打印机等设备，信阳分公司总入职人数约为20至40人。硬件设备为：2台富士施乐P288dw型号的打印机；50套计算机含主机、显示器、键盘、鼠标等、2台服务器做文件存储数据库、7台交换机、2台路由器。2.2局域网组建需求网络需求分析：（1）总公司部门网络需求：生产部、财务部、办公部、服务器，4个部门设定划分4个VLAN；（2）分公司部门网络需求：办公部与服务器，2个部门设定划分2个VLAN。2.3应用服务器需求根据正常商业公司的网络运营需求选择了以下方案：（1）WWW服务器：建立网站服务器，可以针对企业所需要部门的各种需要，提出具体的服务业务，或者使用端口映射给互联网，也可以进行发送服务消息，或者针对企业商品进行介绍，以提高企业产品认知度和商业影响力等；（2）OA服务器：办公自动化，已经是一个公司现阶段最常用的办公模式，办公自动化技术主要是通过使用计算机操作来取代了一些传统手动的重复性工作，而完成后更是可以使整个公司跨地区的人员进行协作办公，从而极大的提升了效率和优化工作质量，也避免了不许更多不必要的流程；（3）AD服务器：活动目录是WindowsServer目录服务，是WindowsServer应用平台的重要组成部分之中。将信息存储在AD里或创建账号、策略、OU等，并且IT人员能够及时增、删、改、查相应的信息。AD活动目录中存储数据以结构化的样式存储，以此方式对信息进行OU单元分层。AD域控服务器不只一台，可能存在多台，具体根据公司人员需求；（4）Mail服务器：实现公司内部员工之间的收发邮件、实现对外收发邮件。是主要负责对邮件的收发管理的设备。（5）文件服务器：实现各部门的数据网盘共享，打印机共享，个人U盘等，存储一些公司业务文件等。2.4安全保密需求使用电脑必须相关遵守法律法规，不能利用电脑进行违规操作;公司非上班时段不能增、删、改、查内部机密资料，存在涉密文件资料的计算机必须由专业保密员进行管理和负责;但凡涉及机密、绝密、秘密等相关数据资料时，要有相应的保密手段措施，移动存储设备要严加看管，避免丢失和被窃取。3网络规划设计与技术3.1网络规划设计原则公司局域网建设是公司网络系统建设的基石，同时也是本公司内部网络建设计划的重点工作，其余所有的建设都是建设在基础上面的。公司内部信息网络建设应是一种以宽带IP网为目标，建设与数据互连为一体的对内办公室网络系统和对外宽带。确保了全网的优质特性和网络系统稳定性。主干网交换机应当具备很高的传输速度，而整体网络系统也应当具备很高速度的三层转换功能。网络需要有实用性、灵活性、可拓展性、可靠性，网络安全策略的实施，网络的初步模型设计，综合各种技术方案实施，具备必须的完整性，如应用、系统、网络的完整性，具备一定安全保密性。应遵循《中国公众多媒体通信网技术体制》、《中国公众多媒体通信网工程实施技术要求》还有其它国家相关标准和技术体制。使用层次化设计，网络结构的各个组成部分都具有了不同的功能，使整体网络拥有更完善的架构。并提供了合理的信息安全保护，以保证整体网络的信息安全。网站具备较强的可升级性能，在将来需要时候还能够对网站功能进行必要的扩展。在增加新硬件设备时能够更加便捷地连接互联网，在系统软件上易于更改、维修、更新。尽量详细准确，以降低工程设计的复杂程度，将整体网络构建与改造的工程量降到最小，以确保工程项目的成功与高效地进。本次设计网络重点内容是完成路由组织、IP地址、网络安全规划、VLAN合理分配和硬件设备选择与具体配置等设计。3.2局域网组建与设计网络之间必须互联互通，能够访问外网，实现访问互联网，员工对网盘、内部资料、不良网站进行访问限制。网络发生故障时，需要相应的解决方法，以最快的时间解决网络故障，并且还要降低成本。局域网中不能有过于繁琐的网络结构，一方面是不利于IT人员的后期有效维护，其次在IT技术人员离职交接中要交接好，避免后续网络架构出问题或因为种种原因不能进行有效优化。第二个方面是因为繁琐网络架构在出现问题时，即便是资深的网络专家也不会在短暂的时间内解决问题，在大型公司的日常办公时间中，每一分钟都很重要。毕竟在这个IT时代，又有多少公司能离得开网络的。按照公司的网络需求，服务器方面是必不可少的，例如文件服务器已经代替了旧时代的纸质版，能够高效率的使用，并节约成本;网站服务器的利益，如增加公司知名度和产品宣传度;邮箱服务器、OA服务器等提高工作效率;AD服务器让员工使用电脑的多样性和安全性。硬件设备和外设等，一方面要多家对比，降低成本。另一方面要考虑产品直接的兼容性和使用性。网络设备在资金充足的情况下，最好组建一套备用网络方案，虽然在网络设计中有专业技术能够解决，但是有必要避免物理因素导致网络的问题出现，也可做分部网络或临时网络使用，提高灵活性。常用的网络设备包括集线器、中继台、交换机装置、无线路由器和网络关等。集线器和中继台的主要功能，都是为了延长网络输送介质。（1）服务器搭建：邮箱服务器、WWW服务器、DHCP服务器、AD服务器、OA服务器、文件服务器、部分业务的服务器。（2）机房规划：机房建设、电压功率、机房规划、精密空调保持内部温度、UPS预防突然断电、合理安排机柜的使用等。（3）硬件设备：交换机、路由器、服务器、防火墙等；部分外设：打印机、扫描仪、电话、电缆等。3.3企业网络拓扑设计本次企业网络设计方案主要由以下模块构成：信阳总公司网络模块、信阳分公司网络模块、广域网接入模块组成。信阳总公司网络模块为总公司整体网络设计拓扑，如图3-1信阳总公司网络拓扑设计图所示：图3-1信阳总公司网络拓扑设计图信阳分公司网络模块为分公司整体网络设计拓扑，如图3-2信阳分公司网络拓扑设计图所示：图3-2信阳分公司网络拓扑设计图外网接入模块为信阳公司整体接通外网的网络设计拓扑，如图3-3外网网络拓扑设计图所示：图3-3外网网络拓扑设计图设计成适合于中小型局域网模型的架构。总部与分公司分布子模块中有十分明确的三层设计划分，在内部功能配置领域方面基本上都是划分到第三层中去，但是由于明显划分的总部与分公司分布子模块，在总公司模块中的密度是很有限的，所以在各个部门分布子模块中选取多台二层交换机作为堆叠就可，而在此方案设计中，基于可扩展性、一次性投入成本、网络的传输特性，以及公司长远规划等几个主要方面原因考量，在前期中首先选用堆叠模块就能够解决现有使用者的连接问题了，在使用者增多到固定的总量以后，由于总换换机设备堆叠量的有限，也能够考虑再添加多一台建筑物分布式子模块来作为集中的转换设备，这一样就能够实现后续的较强的扩充功能，所以采用这种方案设计，就能够使该企业在达到满足现有要求的同时也很好的减少了生产成本，并不失后期的扩展。就整个设计方案来说，因为可以进行交换机和链路冗余，所以所在总公司模块中不存在任何的单点故障。它使用了星形拓朴架构，它比较其他拓朴架构而言，星形拓朴使系统连接互联网上拥有更大的弹性。在系统进一步扩展或系统出现重要改变后，这些优势将显得尤为明显。在接入层面，华为S3700系列交换机根据生成树进行了第2层冗余。华为S3700系列交换机的仅有弊端便是最大只有32Gbit/S的交换阵列，而且最多可以支援48个高速以太网端口，不过这对投资有限的中小型企业网而言早已满足要求了。而在核心层中使用三层交换机华为S5700型号部署，大大增加了网络扩展性，增强性能和可用性还进一步增强网络稳定性。在本项目设计中，通过合理利用快速以太网通道化/千兆以太网通道化技术扩展网络带宽，就能够适应大部分内部网络的大负荷网络运行需求。3.4交换机技术与路由协议3.4.1交换机技术介绍二层交换机、三层交换机都隶属于交换机的范畴，二层和三层的原理不同，但却又有着密不可分的关系，关键交换技术主要包括VLAN技术、VTP技术、STP技术等。下面将对网络设计中使用到的交换机技术进行简单介绍：（1）二层交换技术：在OSI模型中的数字链路层进行工作，通常用于局域网规划使用中，如划分VLAN，其功能就是认识数据包里的MAC地址并交换，同时记忆到自己的地址表中，因而二层交换机必须对MAC地址具备学习能力。本次毕业设计网络中，二层主要用来划分VLAN，充当简易式交换机使用和集线器的作用；（2）三层交换技术：在OSI模式中的网络层中工作，它是二层交换机与网络路由器的结合体，同时有二层的端口转换功能，也同时有部分网络路由器的功能，组合成了一种有机、灵活的能在各层次中提高线速性能的整体转换方法。3.4.2路由协议介绍本次设计采用的路由协议，主要是静态路由和动态路由。静态路由静态路由，是指由用户或网络系统管理者手工选择的路由信号。当网络系统的拓扑结构变化或链路的状况发生变化时，网络系统管理者就需要手工去调整路由表中相应的静态路由信号。静态路由信号在缺省情形下是私有的，因此不能传送给任何的路由器。当然，网管员们也可透过对路由器加以设定将其变成公共的。而静态路由常常应用在比较简单的网路环境条件下，在这种的自然环境条件中，网络管理员可以易于明确地知道整个网路的拓扑构成，以便设定适当的路径信号[2]。动态路由协议有IGP(RIP、OSPF、EIGRP)、EGP(BGP)等下面将对网络设计中使用到的路由协议进行简单介绍：（1）OSPF协议：OSPF(OpenShortestPathFirst开放式最短路线优先)是一种企业内部互联网关协定，主要用来使企业的内部网络之间得以互相存取和使用服务器设施。在汇聚层的华为S5700系列以太网三层交换机上，以及在内核层华为AR2220路由器上的启用OSPF动态路由协议，同样都是用来将外提供给企业自身的国内服务器设施。通过让外网计算机登陆企业国内服务器设施。如此日后的公司网站变化，设备就得以自行学习相应路由表;这既节约了网络管理员的分配工作，同样也为日后的企业发展的互联网延伸性打下了一个很好的要求；（2）MSTP协议：充分利用了SDH技术，尤其是保证恢复能力和确保低延时特性，在进行更新后能够满足多种服务使用，并支持数据传输，从而改善了电路配置，提高了服务提供速率，提高了网络的可扩展性，从而减少了运营维护成本；（3）VRRP协议：指应用于边缘网络上，它的设计作用是为了保障在某些情形下客户流量的失败转移不让其造成混乱，又允许主机之间使用单臂网络路由器，还能在实际第一跳路由器使用错误的情况下，依然可以保持路由器之间的相通性；（4）DHCP协议：动态主机配置协议，DHCP协议可以在IP地址内给予PC自动获取地址和子网掩码；（5）NAT：通过网络地址交换技术，把企业内部网络地址进行转换成合法的网络地址进行与互联网通讯，NAT技术不但可以缓解企业IP地址不足的问题，同时还可以更有效地防止来自互联网外的入侵，以及隐藏和维护在互联网内的计算机；（6）ACL：访问管理列表，是一个采用包筛选的存取管理技术，它能够按照规定的要求对接口上的信息包加以筛选，并允许其使用或丢失。浏览管理表单已被普遍地运用在路由器和三层交换机，通过浏览管理表单，能够更有效地管理用户对互联网的使用，进而最大程度地维护安全。（7）DNS服务器：域名管理系统又称为域名服务，主要是通过域名管理系统让在互联网上的所有主机能自动获取到域名位置和IP地址。而当客户使用了域名地址，那么这个系统就会自动将域名地址转变成对应的IP地址。也就是是实现企业域名与公网IP映射，这样企业网站就能被外界网络通过域名访问，就能及时查看企业信息和经营的产品与服务。3.5网络的VLAN划分和IP分配IP地址规划通过将所划分的公网IP位置与公司内部私网IP位置划分，IP位置可分成二大块，一是划分了许多C型的公网IP位置，成为公司与国际网络相连的地方，一些公司内部相应的域名也解析在这片地方上，并且供应给企业用户网络时的NAT交换用，只要要求许可，也可获得多条网络的专线，重要网络设备和应用领域也可获得二条路径的公网IP，并各自跨接到各种类型的网络业务上实现互相备份。如今交换技术的迅速发展，同时加快了虚拟子网技术(VLAN—VirtualLocalAreaNetwork)的应用速度，更是在当前企业网上的应用更加广泛。虚拟局域网技术(VLAN)是计算机网络实验中的一个重要知识点，VLAN间的通信要么通过单臂路由实现，要么通过三层交换机的路由功能实现。局域网组建过程中，由于三层交换机的扩展能力强，数据吞吐量大于路由器，所以一般采用核心交换机实现VLAN间的通信[3]。通过把企业互联网分类为虚拟子网(VLAN)，能够提高管理和安全，并控制不必要的数据广播。数据广播在互联网中起着十分关键的角色，随着公司内部的网络规模的扩大，广播包的总量也将会迅速扩大，当广播数据包的规模占到了总数的百分之三十时，整个互联网的传播效果就会显著减弱。尤其是在某些网络设备发生故障时，将不停的向网络发出广播，并由此引发网络风暴，使整个网络的通信服务陷入瘫痪。信阳公司网络的VLAN划分与IP地址分配如表3-1所示：部门地址空间VLAN号网关生产网络/24Vlan1054/24财务网络/24Vlan2054/24办公网络/24Vlan3054/24服务器网络/24Vlan4054/24分公司-服务器/24Vlan50/24分公司-员工网络/24Vlan60/24表3-1VLAN划分与IP分配表3.6硬件介绍在进行企业网络设计与规划时就会需要使用合适的硬件，而网络设计与规划中常用的硬件有服务器、路由器、交换机、PC电脑、打印机等，下面简单介绍要本次设计中选用的硬件：（1）路由器：就是指在互联网中使用用于各个局域网及广域网连接的设备，它会根据信道路情况自动对路由进行选择和设定，会采取最佳的路径，并按照顺序进行信号发送。而路由器通常在第三层网络层中工作，主要是对数据包进行检查.转发，与交换机相比，路由器具有更高.更优的数据处理能力[4]。它能够理解不同的协议，本次设计选用的是华为AR2220型路由器，这个路由器类型是企业级路由器，端口结构实现模块化，其它端口分别为：3个GE（1个Combo），2个USB2.0端口，1个Mini-USB控制台端口1个串行辅助/控制台端口，扩展模块：4个SIC插槽+2个WSIC插槽+1个DSP插槽。实体配置图如图图3-4华为AR2220型路由器图所示：图3-4华为AR2220型路由器图（2）交换机：交换机指交换机是一种用于电，光信号之间转换的仪器，是任意两种信号直接转换的桥梁，有了交换机，就可以省去人工接线的麻烦，接通信号可以直接通过操作交换机而达到目的，非常方便快捷，根据位置的不同选用了两种型号的交换机分别为华为S3700交换机与华为S5700交换机，因S3700型号多应用于二层，而S5700应用层级为三层，又相比S3700，S5700是个全千兆高性能以太交换机，拥有24个千兆接口，能提供两个扩展插槽，还能双电源，又可插拔。也就是说能提供强大的多种业务支持能力，所心本次的设计S5700应用于核心三层交换。实体配置图如图3-5华为S3700型与S5700型交换机图所示：图3-5华为S3700型与S5700型交换机图服务器：又是计算机的一种，但它比普通计算机运算速度更快、运算负载更高、价格也更高。而服务器在网络中又能为其它客户计算机提供计算和应用服务。服务器拥有高速的CPU运算能力、能长时间的稳定运行、拥有强大的I/O外部数据吞吐能力和良好的扩展；打印机：选用的是富士施乐P288dw型号的打打印机，其优点是适用于中小企业黑白打印需求，大容量粉盒续航持久，无线打印方便易用，实体图如图3-6富士施乐P288dw打印机所示：图3-6富士施乐P288dw打印机图4网络安全与网络维护4.1网络安全原则企业内部网络信息系统是整个企业网的数字神经中枢，合理的应用不但可以提高企业现代化信息化改革、提升生产效率、改变工作模式和业务流程，同时通过各公司内部的信息资源共享和技术交流的便捷和畅通，也会极大的提升企业整个行业的生产效率和工作绩效。网络安全的五大准则：私密性、完整性、身份鉴定、授权性、不可否认性。网络安全原则有最小权限与完整性。最小权限原则：在管理公司的网络安全中，可以给予员工所需要的访问权限，并限制提供额外权限，避免出现越权情况。还要能保证网络软件类的安全性，就一定坚持给予最小权限的原则，不能够为了在管理上放松和偷懒，就给员工完全控制权限。设定为可申请权限的方式来进行管理。完整性原则：在网络安全管理中，权限不足的个人不能做增、删、改、查信息，避免出现公司机密文档被改变。比如各部门的网盘权限，正常情况下只给予只读权限;离职之后的AD账号禁止使用、存储盘中的资料进行备份保留，避免资料丢失。网络安全的5个特点：（1）保密性：资料信息不轻易给无授权用户、外部人员查看，让其利用泄漏等。员工电脑在离开桌面后自动锁屏，防止他人恶意篡改资料；（2）完整性：无论是账号信息、网盘数据、个人存储硬盘、电脑相关端口都要进行时刻警惕，一定要做好备份、维护等保护手段，不能出现有丢弃、删除、破坏等存在；（3）可用性：只有主动申请或由管理员给予相应的权限才能让其进行相关操作。（4）可控性：对信息的传播、控制增、删、改、查等有着最高权限的能力；（5）可审查性：在可能出现违规安全行为事件时，能够提供出有效的证明。4.2网络安全设计在网络安全方面，基于本公司的需求来进行设计。在核心层处加入防火墙，时刻注意内部网络流量出入和外部网络流量进入。在内部增加IDS和IPS对网络进行入侵检测和入侵防护，时刻防护内部网络的安全性。上网行为管理添加，让员工上网更加有保障，安全审计系统能够无时无刻起到监督的作用。安全网络规划示意图如图所示4-1如下：图4-1安全网络规划示意图4.3网络安全技术4.3.1防火墙在与互联网连接的核心层安装上防火墙，形成内外网间一个坚固的安全屏障。在防火墙设置上遵循下列的原则配置，来增强网络安全稳定性：针对公司网信息安全战略与信息安全发展目标，计划设定了合理的信息安全筛选规范，规则审核P数据包的主要内容包含：协议、接口、源位置、目的位置、信息流向等项目，并严格限制了来自公网以及对公司内联网不必要的、非法的访问。总体上遵循着"不被允许的服务就是被禁止"的准则。限制使用操作系统级别的业务(如HTTP，FTP等)，而局域网内的主机也只可以浏览文档、打印机等共享业务。通过动态规则管理，可以容许授权使用的程序打开的终端业务，包括通过网络游戏和视频语音通话软件所提供的业务。4.3.2入侵检测、入侵防御本次设计选择最终目的就是为了在公司网络进行布防，一方面是防护外部互联网的恶意流量，另一方面是防止商业同行进行恶意盗取公司内部的机密资料。IDS是检测有入侵的恶意流量，不紧能够防护外部网络的恶意攻击，内部一样可以进行检测，在通过IPS进行防护，达到双重的检测、防护作用。如果说防火墙是光启公司的门禁系统，那么IDS就是视频监控，IPS就是保安，一个能够对整个公司进行检测，还能记录，另一个时时刻刻的在关键地方进行防护，在不是本公司的人员进出或者进行一些违反规定的情况下，进行阻隔，实施相应的措施。IDS是“入侵检测系统”，根据安全策略来利用软硬件对系统被保护的局域网进行时刻的监测，以适应来攻，及时检测局域网中异常的流量，以客观的方式反映不同层次上的安全隐患，并在第一时刻帮助客户实现对网络安全的威胁阻隔和及时报告提示。这类产品可以进行主动、深度、半主动的安全监测。IPS是“入侵防御系统”，IPS其实能够理解为是IDS和防火墙功能的补充，在IDS检测到恶意流量、病毒、木马等不安全因素的前提下，在配置好策略之后，进行对其防护的产品，虽然说防火墙也有IDS和IPS的功能，但是专业性来说，功能没有那么强大，只有一些基本的防护和阻拦功能，毕竟术业有专攻，在一些细节上，还是要用专门的产品进行防护。IPS有两种类型，可以进行单机和网络，怎么理解呢，单机的话就是可以在单独的网络中进行防护，同时也能够在有互联网的网络下，对内部网络进行防护。在IDS检测之后，进行深层次的防护和区段，并且可以更多的发现攻击行为。4.3.3上网行为管理网络卡顿、访问工作无关的上网行为、访问到恶意网站并下载的软件带有病毒、上网违规事件、通过上网泄漏了公司内部业务资料等，通过上网行为管理，达到公司需求，了解内部网络流量走向，针对网络应用进行全方面的管控，不仅仅能够限制员工上网行为(精准控制P2P上下行流量)，并且能够通过查看日志，对大量的上网行为数据进行分析，进行优化网络流量和维护。4.4安全产品介绍根据现有的网络现状来看，随着公司的发展逐渐变好，各项业务发展迅猛，十分有必要针对网络进行添加网络设备，时时刻刻保护光启公司的网络，避免不必要的事情发生，降低公司的风险性。最终确定了几款安全设备，并对其进行了产品研究，着手准备加入现有网络进行测试。IPS（网络入侵防护系统）产品操作使用简单，拥有入侵防护、防止通信网络病毒威胁、预防僵尸网络产生;能够控制流量，对企业网络和应用进行及时的防护。能够对网络层到应用层进行深度的安全防护。对身份认证有着严格的行为分析能力。能够运用在各种类型的网络中。如大中小型网络，具有一定的灵活性。IDS（网络入侵检测系统）产品不需要任何配置就可以上架工作，并按照企业需求进行自行配置。能够配置现今最新的攻防配置，并对网络中的异常流量时刻检测，及时将安全隐患反馈到Web控制端中，能够让技术管理员第一时间发现处理问题，也能及时询问厂家，寻求技术支持。SAS（安全审计系统）部署方式为旁路部署模式，三大功能：（1）行为审计：针对不良网站访问、网络游戏限制，各种P2P下载，数据库访问等进行审计；（2）内容审计：对一些通信内容和论坛信息进行审计，设定一些敏感字的条件，当触发这个条件就会自动去处理，防止一些低俗的信息或造成社会恐慌的信息在网络上传播；（3）流量审计：对流量进行分析，比如能够识别出P2P的80端口和HTTP的80端口，方便做出更好的流量管理策略。（4）WAF（web应用防火墙）能够防止网站数据被泄露，防止被暴力破解和一些常见的攻击，如SQL注入、DDOS攻击、XSS攻击等；能控制一些恶意的访问，如URL访问控制、非法上传或下载文件等；可以及时的保护Web端的安全。降低网站数据被窃取的因素，让web服务提高安全性，以及优化网站资源。部署方式一般在内部防火墙和网站服务器直接，是一个专门保护Web服务器和Web客户端的网络安全设备。（5）NF（防火墙）主要是针对网络边界上的防护，对应用层和网络层进行防护，以及设置防护策略保护内网的安全。功能：应用识别与控制、应用层防护；通常应用部署在各种网络的边界处。4.5网络维护IT技术人员负责公司网络的系统安全性、确保网络能够正常运作、做好公司内部信息保密工作、突发因素和自然因素的快速排查解决，这都是防患于未然。网络维护可大可小，在完整的网络环境中小到每日繁琐的桌面维护等现场维护，到定期检查网络的设备检查和维护，防止意外发生，防止内部的硬件老化、配置出错、损坏等方面并及时处理和防止外部的恶意攻击导致硬件损坏、重要资料丢失等，务必定期更新杀毒软件。大到活动现场的网络维护和网络调整或升级的维护。在主机、交换机、互联网路由器、防火墙;各类安全软件产品销售的设置上，要多加规范，在最基本的安全加固上，定期测试、排查;例如通过购买安全软件产品销售的远程安全性测评系统和安全配置核查系统的服务，来完成对硬件装置的评测与加固。4.6章节总结互联网安全漏洞时刻被挖掘，现代黑客的技术和破坏能力相比从前有了不断的提高，企业内部网络可能会受到越来越多的恶意攻击，一些必备的安全产品就必须及时上架和日常巡检维护。在现如今的网络中，每一天都有成百上千的蠕虫类病毒和木马在互联网网络上肆意传播，稍有不慎，将会给企业带来不必要的损失，例如商业资料被窃取，导致被竞争对手反击等，所以我们十分需要安全产品对我们公司网络进行防备。5测试测试是验证项目能否达到设计的目地，项目能否正常运行，又是否出现意料之外的错误，本次项目测试主要分为四个部分：（1）是信阳总公司部门客户端能否能通过DHCP服务自动获取到IP地址，是否是设计范围内的IP，测试结果以信阳生产