网络安全管理设计方案.doc

网络安全管理设计方案 需求分析 1.1 公司目标的需求 华城网络有限公司是一家有100名员工的中小型网络公司，主要以手机应用开发为主营项目的软件企业。公司有一个局域网，约100台计算机，服务器的操作系统是 Windows Server 2003,客户机的操作系统是 Windows XP，在Web、MailInteneter的安全性，以及网络安全等一些因素，如DDoS、ARPWeb应用、接入互联网、进行安全的广域网访问。 （3）多媒体功能。支持多媒体组播，具有卓越的服务质量保证功能。远程VPN拨入访问功能。系统支持远程PPTP接入，外地员工可利用INTERNET访问。 2.2 网络设计原则 （1）实用性和经济性。系统建设应始终贯彻面向应用，注重实效的方针，坚持实用、经济的原则，建设企业的网络系统。 （2）先进性和成熟性。系统设计既要采用先进的概念、技术和方法，又要注意结构、设备、工具的相对成熟。不但能反映当今的先进水平，而且具有发展潜力，能保证在未来若干年内企业网络仍占领先地位。 （3）可靠性和稳定性。在考虑技术先进性和开放性的同时，还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及维修能力等方面着手，确保系统运行的可靠性和稳定性，达到最大的平均无故障时间，TP-LINK网络作为国内知名品牌，网络领导厂商，其产品的可靠性和稳定性是一流的。 （4）安全性和保密性。在系统设计中，既考虑信息资源的充分共享，更要注意信息的保护和隔离，因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括系统安全机制、数据存取的权限控制等，TP-LINK网络充分考虑安全性，针对小型企业的各种应用，有多种的保护机制，如划分VLAN、MAC地址绑定、802.1x、802.1d等。 （5）可扩展性和易维护性。为了适应系统变化的要求，必须充分考虑以最简便的方法、最低的投资，实现系统的扩展和维护，采用可网管产品，降低了人力资源的费用，提高网络的易用性。 2.3 网络的设计 （1）物理位置选择机房应选择在具有防震、防风和防雨等能力的建筑内；机房的承重要求应满足设计要求；机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染，易发生火灾、水灾，易遭受雷击的地区。 （2）电力供应 机房供电应与其他市电供电分开；应设置稳压器和过电压防护设备；应提供短期的备用电力供应（如UPS设备）；应建立备用供电系统（如备用发电机），以备常用供电系统停电时启用。 （3）电磁防护要求 应采用接地方式防止外界电磁干扰和相关服务器寄生耦合干扰；电源线和通信线缆应隔离，避免互相干扰。 3.3.2公司内部网的设计 内部办公自动化网络根据不同用户安全级别或者根据不同部门的安全需求，利用三层交换机来划分虚拟子网（VLAN），在没有配置路的情况下，不同虚拟子网间是不能够互相访问。通过虚拟子网的划分,能够实较粗略的访问控制[2]。 1、vlan的划分和地址的分配 经理办子网(vlan2):192.168.1.0??? 子网掩码: 255.255.255.0?? 网关：192.168.1.1 生产子网(vlan3)：192.168.2.0?? 子网掩码: 255.255.255.0?? 网关：192.168.2.1? 市场子网(vlan4)：192.168.3.0??? 子网掩码: 255.255.255.0?? 网关：192.168.3.1 财务子网(vlan5)：192.168.4.0???? 子网掩码: 255.255.255.0?? 网关：192.168.4.1 ?? 资源子网(vlan6):192.168.5.0?? 子网掩码: 255.255.255.0??? 网关：192.168.5.1? 2、访问权限控制策略 （1）经理办VLAN2可以访问其余所有VLAN。 （2）财务VLAN5可以访问生产VLAN3、市场VLAN4、资源VLAN6，不可以访问经理办VLAN2。 （3）市场VLAN4、生产VLAN3、资源VLAN6都不能访问经理办VLAN2、财务VLAN5。 （4）生产VLAN4和销售VLAN3可以互访。 2.3.3 通信保密 数据的机密性与完整性，主要是为了保护在网上传送的涉及企业秘密的信息，经过配备加密设备，使得在网上传送的数据是密文形式，而不是明文。可以选择以下几种方式： （1）链路层加密 对于连接各涉密网节点的广域网线路，根据线路种类不同可以采用相应的链路级加密设备，以保证各节点涉密网之间交换的数据都是加密传送，以防止非授权用户读懂、篡改传输的数据，如图3.1所示。 图3.1链路密码机配备示意图 链路加