1、黄冈矿业网络改造方案内蒙古万德系统集成有限责任公司2011-10-11目录1 用户需求分析 .- 2 -1.1 项目改造内容 .- 2 -1.2 项目设计原则 .- 3 -1.2.1 设计原则 .- 3 -1.2.2 建设原则 .- 5 -1.3 项目设计思想 .- 5 -2 项目整体解决方案 .- 6 -2.1 网络现状 .- 6 -2.1.1 现网拓扑 .- 6 -2.1.2 网络存在问题 .- 6 -2.2 改造建议 .- 7 -2.2.1 改造拓扑及描述 .- 7 -2.2.2 改造后优势 .- 8 -3 网络系统 .- 8 -3.1 组网方案 .- 8 -3.1.1 组网拓扑 .-
2、8 -3.1.2 分层网络设计 .- 9 -3.1.3 IP 地址规划 - 10 -3.1.4 IPv4 地址规划 - 12 -3.1.5 IPv4 路由规划 - 13 -3.1.6 Vlan 设计 - 13 -3.2 网络优化系统 .- 16 -3.2.1 上网行为管理 .- 16 -3.2.2 网络安全审计 .- 19 -4 安全与管理系统 .- 21 -1 用户需求分析内蒙古黄岗矿业有限责任公司的前身是内蒙古赤峰黄岗铁矿，1993 年筹建，1996 年投产，是克旗人民政府下属的全民所有制企业。2000 年 3 月 23 日，中共克旗委第 66 次会议决定，企业改制为有限责任公司。公司更名
3、为“内蒙古黄岗矿业有限责任公司” ，由集通公司以承债的方式购买企业的主要产权，控股经营企业。2000 年 4 月 20 日各方签定关于设立内蒙古黄岗矿业有限责任公司协议书规定：注册资本总额为 2400 万元人民币。2003 年 9 月 15 日，中共克旗委第 38 次常委会议决定，同意内蒙古黄岗矿业有限责任公司增资扩股，由包头钢铁（集团）有责任公司控股。同时根据内蒙古黄岗矿业有限责任公司章程修整案的规定，增设包头钢铁（集团）有限责任公司为新任股东。增设股东后的内蒙古黄岗矿业有限责任公司股东为6 个，注册资本金为 8139 万元，即包头钢铁（集团）有限责任公司出资人民币5000 万元，占注册资本
4、金的 61.4%，内蒙古集通铁路有限责任公司出资人民币1679 万元，占注册资本金的 20.6%，克什克腾旗人民政府出资人民币 660 万元，占注册金的 8.1%，内蒙古赤峰地质矿产勘察开发院出资人民币 646 万元，占注册资本金的 7.9%，克旗农电局出资人民币 65 万元，占注册资本金的 0.8%，自然人出资人民币 89 万元，占注册金的 1.2%。2004 年 9 月 22 日，内蒙古黄岗矿业有限责任公司股东会 2004 年第一次临时会议同意克旗政府把自己拥有的公司 6%的股份以 600 万元人民币的价格协议转让给莲池控股有限公司，克旗政府的股东比例由 8.1%减至 2.1%。其他股东的
5、股权比例不变。2005 年 8 月，在克旗旗委政府的协调下，由内蒙古黄岗矿业有限责任公司将仍在三区边缘地带采矿的“克旗黄岗矿业有限责任公司” 以 1500 万元的价格收购。从此，形成了黄岗一，二，三，四区由内蒙古黄岗矿业有限责任公司独家采选的局面。1.1 项目改造内容本次项目针对现网存在的问题，提出改造及完善建议。尤其针对出口安全及内网互联作出详细描述。1.2 项目设计原则1.2.1 设计原则设计原则是系统设计时必须要考虑的总体原则，它必须满足系统设计目标中的要求，遵循系统性整体性、先进性和可扩充性原则，建立经济合理、资源优化的系统设计方案。系统平台作为黄冈矿业的一项重要的基础设施，为用户总体
6、规划和技术要求提供保障，以便为用户提供一个先进、灵活、可靠、基于标准的多业务、多应用平台，不仅能够满足目前各种业务和应用要求，同时可为今后的发展及其业务、应用提供良好的扩展支持能力。因此，我们在进行方案设计时，应遵循以下设计原则。1.2.1.1 先进性与合理性相结合的原则在本项目方案设计中，应“立足现在，着眼未来” ，在保证技术成熟及性能稳定的前提下，顺应主流技术的发展趋势，充分采用当今国内、国际上最先进的计算机软硬件技术和设备，使本项目系统能够最大限度地适应今后技术发展和业务发展变化的需要。其中，采用的系统结构应当是先进的、开放的体系结构。1.2.1.2 可靠性和稳定性相结合的原则为保证黄冈
7、矿业各项业务和应用顺利进行，网络系统和 IT 基础平台必须具有较高的可靠性和稳定性，要对网络结构、网络设备、服务器设备、配套设备和环境设施等多个方面进行高可靠性、高稳定性的系统设计与配置。首先，在设备选型上要选择成熟、可靠、稳定的产品；其次，要在系统整体结构与连接方式上对可靠性和稳定性进行充分考虑，要采用切实有效的系统冗余备份方式，提供高效的自愈能力，并在采用硬件备份、设备冗余等可靠性、稳定性技术的基础上，采用相关的软件技术提供较强的管理控制机制和事故监控手段，从而充分保障系统是持续可用的。1.2.1.3 实用性和可管理性相结合的原则应采用成熟、实用的技术满足当前的应用需求，同时兼顾其它应用及
8、系统发展的运行需求，尽可能延续原有的设备、并保证与原有系统兼容。同时，应使用先进且实用的技术以适应更高的数据、信息的传输、处理需要，使整个系统在一段时期内保持技术的先进性，并具有良好的发展潜力，以适应未来信息化的发展和技术升级的需要。1.2.1.4 可扩展性和开放性相结合的原则为保证本项目系统符合当今技术飞速发展的趋势，并满足系统发展的需要，在方案设计中必须充分考虑网络和服务器系统将来的扩展能力。其中，网络必须能够根据信息化的不断深入发展，方便地扩展覆盖范围、扩大网络容量和提高网络各层次节点的功能。本项目系统这种工程应具备与多种协议的计算机通信网络互连互通的能力，因此为确保本项目系统基础设施的
9、作用可以充分发挥，在结构上必须真正实现开放，采用基于国际开放式的标准，包括各种广域网、局域网、计算机，坚持统一规划的原则，从而为未来的业务发展奠定基础。1.2.1.5 安全性和保密性相结合的原则安全性是本项目系统运行的生命线，在本方案设计中应给予充分考虑。国家对信息安全问题十分重视，信息产业部、中办机要局、国家密码管理委员会等有关部门对网络的信息安全问题制定了许多相应法规、规定，如中华人民共和国保守国家秘密法 、 计算机信息系统保密暂行规定 、 涉及国家秘密的通信办公自动化和计算机信息系统审批暂行办法等。本项目的安全性方案应严格按照信息安全主管部门的有关规定设计，使本项目系统成为一个安全的通信
10、平台，并确保系统信息传输的安全。本项目安全体系方案设计的原则是：1、整个系统必须是一个严密的安全体系；2、采取的安全措施不能影响整个网络的运行效率；3、系统设计应具有完善的安全管理机制，以保证网络和数据的安全；4、保证各个环节的安全保密，统筹规划；5、安全方案的制订和实施应遵循国家系统安全的相关规定。1.2.2 建设原则建设应遵循如下指导原则： 统一领导，统一规划，统一标准。 以应用带发展，以效益促应用，分步实施，逐步完善。 网络结构稳定，易于升级、扩展；应用系统灵活，易于共享、沟通。 网络安全，信息保密，稳定可靠，高效运行。 综合考虑整体性、实用性、先进性和经济性。 利用现有资源满足业务急需
11、，保持持续发展。 管理运行体系与工程建设同步进行。1.3 项目设计思想1、组建安全、可靠、快速的三层汇聚交换网络。2、采用先进、成熟的技术3、保证原有系统的完整性和业务不中断4、旧系统的搬迁和新旧系统的无缝融合，软硬件应平滑过渡和升级5、采用高可靠、可扩展的设备和架构2 项目整体解决方案2.1 网络现状2.1.1 现网拓扑2.1.2 网络存在问题1. 防火墙承担安全策略及路由 NAT 功能，X86 架构的 CPU 不能满足用户及出口带宽的增长，造成网速变慢甚至 CPU 超负荷后断网。2. 核心交换机未启用三层功能，网关在防火墙上，内网用户通信流量再次转嫁至防火墙。3. 用户上网行为不能监控，员
12、工带宽不能限制，造成资源浪费。4. 矿区之间使用光电转换器的不可靠连接，增加了故障率。5. 用户普遍使用 TP-LINLK 作为接入设备，不方便管理。6. 安全策略、路由协议等较落后，不满足现网需求。2.2 改造建议2.2.1 改造拓扑及描述二区新增核心路由及核心交换机，新增上网行为管理设备。一区、三区、四区、尾矿新增汇聚交换机。原有接入交换机作为用户接入设备，原设备均利旧使用，不造成资源浪费。内网安全策略、路由协议均重新规划。2.2.2 改造后优势1. 新增路由器启用 NAT 功能、分担防火墙压力，防火墙只做安全策略。2. 新增核心交换机启用三层功能，划分 VLAN，优化内网环境并提供光接口
13、。3. 替换所有光电转换器为光接入交换机，较少线路故障率。4. 原设备均利旧使用，不造成资源浪费。5. 新增用户行为及审计功能。6. 合理化的带宽分配，不会因员工下载造成网速缓慢。7. 重新调试的网络策略更适于现在使用情况。3 网络系统3.1 组网方案网络做为一个系统的传输平台，它为业务系统提供了可靠传输通道，是业务系统的支撑系统，是一个系统的路，是一个单位信息化的基础。3.1.1 组网拓扑目前，组网的拓扑结构设计中通常采用三种结构：星型、网状和部分网状结构。拓朴结构星型结构（Star）：星型结构是指所有的外围设备通过单一链路连接到处于网络中心的核心设备上。星型结构的优点是节约线路开支，网络结
14、构简单，易于增容与维护；但对中心设备与连接链路有依赖性，容易出现单点故障，要求中心节点必须保证高可靠性。在网络络设计中，针对主干框架的选择应充分考虑网络性能、维护难易程度以及可靠性等因素，同时也要考虑系统的性价比，从而权衡利弊，作出最为符合实际情况的结构方案。3.1.2 分层网络设计优良的拓扑结构是网络稳定、可靠运行的基础。一个大规模的局域网络系统往往被分为几个较小的部分，它们之间既相对独立又互相关联，这种化整为零的做法是分层进行的。通常网络拓扑的分层结构包括三个层次，即核心层、分布层和接入层。每一层都有其自身的规划目标：核心层处理高速数据流，其主要任务是数据包的交换。分布层负责聚合路由路径，
15、收敛数据流量。接入层将流量馈入网络，执行网络访问控制，并且提供相关边缘服务。网络大都是依照上面的分层原则设计的星型以太网，配合各种最新的技术如 VLAN、TRUNK、Qos 等，极大地提高了网络的性价。其逻辑结构如下图所示：3.1.3 IP 地址规划IP 地址的合理规划是网络设计中的重要一环，大型计算机网络必须对地址进行统一规划并得到实施。IP 地址规划的好坏，影响到网络路由协议算法的效率，影响到网络的性能，影响到网络的扩展，影响到网络的管理，也必将直接影响到网络应用的进一步发展。在网络设计中 IP 编址方案的设计非常重要，它将直接影响网络的运行效率。为了使网络达到最高的运行效率，在设计 IP
16、 编址方案时要遵从以下原则：1、IP 地址分层设计IP 地址分层设计是指在分配 IP 地址时参考物理网络设计的层次结构和网络应用的逻辑层次结构，按层次划分 IP 地址。在分层设计中将地址按层次化结构进行分配，可有效避免随机分配所带来的地址浪费的可能性，使 IP 地址资源得到最有效的利用。在网络设计中，我们都要尽可能使路由表保持简洁，由于使用分层地址设计，使得路由总结技术的使用成为可能，它意味着计算路由和查找路由表时占用路由器 CPU 时间的减少、路由内存需求的减少。2、使用变长子网掩码变长子网掩码（VLSM）是指一个网络可以分层次配置不同的掩码。把一个网分成多个子网时，变长子网掩码解决了子网数
17、和主机数的可能冲突，保证更大的灵活性。如果没有 VLSM，一个子网掩码只能提供给所有子网，可能造成不必要的地址浪费。VLSM 还带来另外的好处就是可以更好地使用路由总结，VLSM 允许在地址分配中使用更多的层次，从而在路由表中更好地使用路由总结。3、路由总结在大型的、复杂的互联网络中，可能存在成百上千的网络地址；在这种环境下，通常路由表中不需要包括所有这些路由。路由总结是通过使用单一的总结性地址来表示一系列网络号从而减少路由器所必须包含的路由数目的方法。路由总结的使用可以降低路由器内存的占用和路由协议的网络流量占用率。使用路由总结的另外一个好处就是它可以隔离其它分区域内的拓扑结构的变化，也就是
18、说，如果网络中某一部分区域的拓扑结构发生变化，而它的总结地址没有改变，那么它的结构变化带来的路由信息的更新将不会传到网络的其他分区域，从而提高整个网络的可靠性。4、尽可能使用保留地址段内部网不需要与 INTERNET 网络直接连接，IANA 预见到了这个问题，并预留了 A、B 和 C 的一些网络号，以提供给内部网使用。这些预留地址如下所示：Class A Class B 16 个 B 类地址Class C 256 个 C 类地址任何组织都可以在他们的内部网中使用这些地址，同时这些地址将不会出现在 INTERNET 中，这样这些组织如果需要连入 INTERNET 的话，他们可以通过出口路由器地址
19、转换功能与 INTERNET 上的主机通讯，而不需要重新设定内部网络地址。IP 地址空间分配，要与网络拓扑层次结构相适应，既要有效地利用地址空间，又要体现出网络的可扩展性和灵活性，同时能满足路由协议的要求，以便于网络中的路由聚类，减少路由器中路由表的长度，减少对路由器 CPU、内存的消耗，提高路由算法的效率，加快路由变化的收敛速度，同时还要考虑到网络地址的可管理性。具体分配时要遵循以下原则：唯一性：一个 IP 网络中不能有两个主机采用相同的 IP 地址；简单性：地址分配应简单易于管理，降低网络扩展的复杂性，简化路由表项连续性：连续地址在层次结构网络中易于进行路径叠合，大大缩减路由表，提高路由算
20、法的效率可扩展性：地址分配在每一层次上都要留有余量，在网络规模扩展时能保证地址叠合所需的连续性灵活性：地址分配应具有灵活性，以满足多种路由策略的优化，充分利用地址空间。主流的 IP 地址规划方案分为纯公网地址、纯私网地址和混合网络地址三种。3.1.4 IPv4 地址规划地址编码规范建议校园（城域）网的 IP 地址进行严格的编码，每位代表不同的含义。其编码规则（举例如下）为：通过地址标识可以清楚地区分出 IP 地址地来源，便于路由汇聚和访问控制。从上表中我们也可以看出，通过我们的规划，我们能从 IP 地址分析出 IP 地址的来源、用途等，这将为网络的维护带来方便。具体的 IP 地址定义将结合实际
21、情况确定。IP 地址使用可以采用静态或动态的方式，可以开启网络设备或服务器DHCP 协议，对于固定 IP 地址用户，需要针对标识符（MAC 地址）设定保留IP 地址。3.1.5 IPv4 路由规划整个骨干网络采用动态路由协议，动态协议在整个骨干网中不会引起路由回环，利于骨干网的健壮性，也可以根据准旗教育局采用动态路由加静态路由方式。在汇聚与核心之间采用动态路由的方式，动态路由的方式可以减少网络中心人员的维护量。动态只在核心骨干中进行运行这样大大减少了骨干节点之间动态协议的收敛周期，在实际的应用的过程当中可以提高稳定性。3.1.6 Vlan 设计随着网络的迅速发展，用户对于网络数据通信的安全性提
22、出了更高的要求，诸如防范黑客攻击、控制病毒传播等，都要求保证网络用户通信的相对安全性；传统的解决方法是给每个客户分配一个 VLAN 和相关的 IP 子网，通过使用VLAN，每个客户被从第 2 层隔离开，可以防止任何恶意的行为和 Ethernet 的信息探听。 。在交换机上基于端口划分 VLAN 时，可以在同一交换机划分多个 VLAN，也可跨主干划分同一个 VLAN，网络中应尽量使用本地 VLAN 的划分方法，并通过 Trunk 链路实现多个 VLAN 的跨主干连接，最终通过中心/核心/ 汇聚交换机的路由功能实现 VLAN 之间的通信。对 VLAN 进行集中管理的技术中，可以使用 GVRP 协议
23、。GVRP（GARPVLANRegistrationProtocol，GARPVLAN 注册协议）是 GARP 的一种应用，它基于 GARP 的工作机制，维护交换机中的 VLAN 动态注册信息，并传播该信息到其它的交换机中。所有支持 GVRP 特性的交换机能够接收来自其它交换机的 VLAN 注册信息，并动态更新本地的 VLAN 注册信息，包括当前的 VLAN 成员、这些 VLAN 成员可以通过哪个端口到达等。而且所有支持 GVRP 特性的交换机能够将本地的VLAN 注册信息向其它交换机传播，以便使同一交换网内所有支持 GVRP 特性的设备的 VLAN 信息达成一致。GVRP 传播的 VLAN
24、注册信息既包括本地手工配置的静态注册信息，也包括来自其它交换机的动态注册信息。GVRP 在IEEE802.1Q 标准文本中有详细的表述。GVRP 的主要作用是在 802.1QTrunk 口上实现提供 802.1Q 兼容的 VLAN 修剪与动态 VLAN 创建。使用 GVRP，交换机可以和其它使用 GVRP 的交换机交换 VLAN 配置信息，在 802.1QTrunk 链路上修剪不需要的广播和未知的单播流量，动态创建和管理 VLAN。VLAN 在交换机上的实现方法，可以大致划分为 4 类:1）.基于端口划分的 VLAN 这种划分 VLAN 的方法是根据以太网交换机的端口来划分，比如交换机的 14
25、 端口为VLAN 10，517 为 VLAN 20，1824 为 VLAN30，当然，这些属于同一 VLAN 的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机 1 的16 端口和交换机 2 的 14 端口为同一 VLAN，即同一 VLAN 可以跨越数个以太网交换机，根据端口划分是目前定义 VLAN 的最广泛的方法，IEEE 802.1Q 规定了依据以太网交换机的端口来划分 VLAN 的国际标准。这种划分的方法的优点是定义 VLAN 成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果 VLAN A 的用户离开了原来的端口，到了一个新的交换机的某个
26、端口，那么就必须重新定义。2）基于 MAC 地址划分 VLAN这种划分 VLAN 的方法是根据每个主机的 MAC 地址来划分，即对每个 MAC 地址的主机都配置他属于哪个组。这种划分 VLAN 的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN 不用重新配置，所以，可以认为这种根据MAC 地址的划分方法是基于用户的 VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个 VLAN组的成员，这样就无法限制广播包了。另外，
27、对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN 就必须不停的配置。3）.基于网络层划分 VLAN这种划分 VLAN 的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如 IP 地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的 IP 地址，但由于不是路由，所以，没有 RIP，OSPF等路由协议，而是根据生成树算法进行桥交换，这种方法的优点是用户的物理位置改变了，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分 VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别 VLAN，
28、这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法) ，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查 IP 帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。4）根据 IP 组播划分 VLANIP 组播实际上也是一种 VLAN 的定义，即认为一个组播组就是一个 VLAN，这种划分的方法将 VLAN 扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。5）推荐的 VLAN 划分方式及逻辑图根据用户应用的实际情况
29、和我们多年的系统集成经验推荐 VLAN 的划分方式可以是按照基于端口的划分。可以按照部门的不同划分不同的 VLAN，比如财务部门 VLAN，人事部门 VLAN,存储网络 VLAN 等，推荐的逻辑示意图如下：3.2 网络优化系统安装完毕后，随系统的运行，新业务数据流的增加、原有业务数据的调整，其要应用设备运行效率会有所变化。系统的运行效率与系统各部分的参数有很大的关系，系统性能调优是一个重要的工作，及时地为用户做系统性能调整，是一项必要的服务。我公司会对黄冈矿业网络系统在定期或不定期的巡检的同时进行系统性能的调化，也可以是在用户提出性能优化的要求时，我公司派出相应的工程师进行系统的优化。3.2.
30、1 上网行为管理何谓上网行为管理？帮助互联网用户控制和管理对互联网的使用，包括对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析。3.2.1.1 为什么要管理上网行为“随着互联网的发展，它已经到了必须控制和管理的时代，因为网上充满了错误的信息、虚假的信息，和非民主的力量。”- 蒂姆伯纳斯李（互联网之父）水能载舟亦能覆舟!互联网一方面能够帮助企业提高生产力、促进企业发展；另一方面也在企业管理、工作效率、信息安全、法律遵从、IT 投资等方面给企业提出了严峻的问题与挑战。网速为什么越来越慢？在办公室里经常会听到有人抱怨“网速为什么这么慢？”，几乎所有的企业都存在这样的问题。那么企
31、业花钱租用的 10M 甚至 100M 带宽都被用在哪里了？为什么带宽不断扩充，而网速并没有明显改善？真相：带宽资源也许正被滥用!根据联通公司发布的一份调查显示：以迅雷、BT、 eDonkey、KaZaA 等为代表的 P2P 应用，消耗了 40%以上的有效网络带宽。而在企业租用的有限带宽里，充斥着大量 P2P 下载、网络电视等应用流量，导致大量带宽被非工作应用所占用。而且，由于 P2P 的应用特征，使得企业高额投资的带宽成了互联网公共服务。谁？在什么时间？可以拥有多少带宽资源？可以使用哪些网络应用？问题 2：网络安全事故为什么防不胜防？“堵漏洞、砌高墙、防外攻、防内贼，防不胜防”，防火墙越“砌”
32、越“高”，入侵检测越做越复杂，病毒库越来越庞大，身份系统层层设保，却依然无法应对层出不穷网络安全威胁，难道那么多安全产品都是摆设？真相：安全隐患来自内部员工!无论如何豪华的防线，一个漏洞就可以毁灭所有一切。Meta Group 发布研究报告称：“持续增长的安全威胁源自您的员工”。内部人员通过互联网与外部通讯时，可能会引入含有恶意的或者攻击性的内容，如若未能得到监测和控制，这将成为企业的一大隐患。并且充满诱惑的网络资源往往是风险的发源地。谁？在什么时间？是否可以上网？是否阻止访问可能含有安全风险的网络内容？问题 3：办公室为成了免费网吧!据一项调查显示，普通企业员工每天的互联网访问活中 40与工
33、作无关，对色情等非法网站的访问量 70都发生在工作时间。上班时间“上网休闲”已经成为普遍现象，聊天、游戏、炒股、购物、BBS、电影、博客等无时无刻不在抢占正常的工作时间，办公室因此沦为不需要花钱的“网吧”。谁？在什么时间？可以用什么应用？不可以访问什么网站？约束员工在互联网上的行为，其实是在帮助员工匡正工作行为，丢弃不好的习惯，成为一个专业、敬业的职业人，这对员工自身的职业发展也是大有裨益的。问题 4：企业要为员工的网络行为背黑锅吗？目前，大部分企业内部员工上网并不受限制，但是他们在网上做了什么？对外发了什么信息？企业完全不知情，也无记录可查询，这就给企业埋下了巨大的法律风险。某企业被当地公安
34、局网络监察处执行严厉处罚，原因是查出该企业内有员工在网上发布了违反法律的信息，但是无法查出是哪位员工所为，最后企业只得为这名“幕后英雄”背黑锅。那么在这种情况下，企业必须为员工的个人网络行为负责吗？谁？在什么时间？以何种方式？对外发了什么信息？发给了谁？问题 5：发现内部网络问题后不能快速的找到根源？当出口拥塞，网络访问异常时，只能通过网络层面的的设备分析原因，简单的插拔网线，复位设备，以希图问题解决。但本质，内在的源头无法定位。IT 系统追求的的是性价比，一位的迁就会隐藏更大的隐患，我们需要专业的洞悉网络问题应用源头的能力，能够分析问题的普遍性，严重性，共通性。利用上网行为管理产品能够做到：
35、哪些人群的应用异常？哪些行为在单位内最普遍？哪些部门隐患最突出？3.2.1.2 上网行为管理的实施步骤洞悉管控驾驭step1:企业要做好上网行为管理，必须先洞悉企业内使用互联网的过程中存在哪些问题？因为不同企业面临的问题不同，需要先了解到底有哪些问题？step2:然后分析问题的根源，再制定有针对性的策略管控问题；上网行为管理策略必须是有针对性的、个性化的，这样才能符合不同企业本身的管理制度、企业文化等的要求和需求；step3:最后通过审计报表了解问题解决的程度和效果，再根据报表做管理策略优化，进而达到驾驭互联网、实现上网行为管理的价值。3.2.1.3 上网行为管理主要功能 网页访问过滤互联网上
36、的网页资源非常丰富，如果员工长时间访问如色情、赌博、病毒等具有高度安全风险的网页，以及购物、招聘、财经等与工作无关的网页，将极大的降低生产效率。通过上网行为管理产品，用户可以根据行业特征、业务需要和企业文化来制定个性化的网页访问策略，过滤非工作相关的网页。 网络应用控制聊天、看电影、玩游戏、炒股票等等，互联网上的应用可谓五花八门，如果员工长期沉迷于这些应用，也将成为企业生产效率的巨大杀手，并可能造成网速缓慢、信息外泄的可能。通过上网行为管理产品，用户可以制定有效的网络应用控制策略，封堵与业务无关的网络应用，引导员工在合适的时间做合适的事。 带宽流量管理P2P 下载、在线游戏、在线看电影电视等都
37、在抢占着有限的带宽资源。面对日益紧张的带宽资源，除了增加预算扩充带宽以外，企业还可以选择合理化分配和管理带宽。通过上网行为管理产品，用户可以制定精细的带宽管理策略，对不同岗位的员工、不同网络应用划分带宽通道，并设定优先级，合理利用有限的带宽资源，节省投入成本。 信息内容审计发邮件、泡 BBS、写 Blog、聊 IM 已经司空见惯，然而信息的机密性、健康性、政治性等问题也随之而来。通过上网行为管理产品，用户可以制定全面的信息收发监控策略，有效控制关键信息的传播范围，以及避免可能引起的法律风险。 上网行为分析随着互联网上的活动愈演愈烈，实时掌握员工互联网使用状况可以避免很多隐藏的风险。通过上网行为
38、管理产品，用户可以实时了解、统计、分析互联网使用状况，并根据分析结果对管理策略做调整和优化。3.2.2 网络安全审计系统的主要目标是：帮助企业管理者更好的管理企业内部的重要信息资料，提高员工的工作效率；其次是：协助 IT 主管便捷的管理日益增长的 PC 运营维护和安全管理需求。内网安全管理系统主要功能和作用程序功能 功能描述 管理作用一、管理类功能：禁用设备可禁止电脑外部设备的使用。包括：USB 存储设备、光驱、通讯设备、打印设备等等；可以只允许使用公司指定的 U 盘；同时也可以禁止修改 IP 地址。根据风险评估，制定事前预防策略，对相应的设备进行禁止，预防文件泄密。可以灵活的开启设备，不影响
39、员工的正常使用。禁止应用程序 可以对指定的程序进行禁止。对工作之外的程序进行禁止，如工作时间禁止玩游戏、聊天、BT 下载等程序，提高工作效率。上网限制可对指定的网站进行禁止，或者采取反选，对指定的网站外的网站进行禁止。防止内部员工滥用网络资源，随意且长时间的访问与工作无关的网站，导致工作效率的低下。屏幕快照并保留记录可以看到网络内员工正在操作计算机的最新画面，可以查看到网内员工操作过的历史画面，并连续播放历史画面。方便管理者进行网络行为的巡视，发现违规行为，及时纠正。可以查看以前的屏幕记录，进行事后追查。（可选项功能）。聊天内容监控 对 msn、qq 等聊天工具的聊天内容进行监控方便管理者对员
40、工互联网聊天行为进行管理，避免员工上班时间过度聊与工作无关内容。（可选项功能）文档操作痕迹记录可以详细的记录每个员工在本机及网络上操作过的文件，包括访问、创建、复制、移动、改名、删除、恢复以及文档打印等记录。员工对电脑操作行为的痕迹得到监控，为泄密行为的事中发现，事后追查提供了帮助，弥补了电子文档安全管理中的最薄弱环节。报警规则可设置硬件或软件信息变化的报警规则，设置某个或某类文件的各种操作报警规则。对泄密者添加泄密设备（如：闪存、移动硬盘等）实现及时报警，对相应的文件或某个类型文件的操作实现及时报警，为安全事件发生后进行及时管理提供帮助。外来电脑接入管理通过设置禁止外来电脑访问内部局域网共享
41、资源、内部重要的服务器。有效的防止外来计算机侵入单位内部就局域网，可根据需要灵活的设置外来计算机跟网内计算机的通讯方向。删除网络共享 可以及时查看和删除网络内任意计算机的网络共享文件夹。员工往往因为工作需要设置共享文件夹，然而有时员工由于疏忽未能及时关闭共享，导致共享文件很容易被别有用心的员工或外来计算机窃取。锁定计算机 可以锁定网络内任意计算机的键盘和鼠标操作。若发现网内计算机有非法操作，可以及时的采取行动，对非法行为进行及时控制，避免非法行为的继续，挽回损失。应用程序报告可分时间段查看某个员工打开某个应用程序的全部时间和活动的时间，以及所占的百分比。可以客观的评估员工使公司电脑的情况和效率
42、，方便进行员工的行为管理评估。访问网站报告可时间段查看某个员工打开每个网站的全部时间和活动时间，以及所占的百分比。可以客观的评估出员工访问网站的情况和效率，查看员工的上网行为，方便进行员工的网络行为管理。二、网络维护类功能：资产管理可以自定义查看硬件或软件的资产分布情况，查看某个硬件或软件分布在哪些计算机，并统计出合计数量。管理者可以灵活查询的分类统计网内计算机的硬件和软件信息，为 IT 资产管理提供方便和决策支持。远程维护可以远程控制、登陆、注销、重启计算机，支持键盘输入和登录快捷键操作。方便 IT 管理者对网内计算机进行远程维护，同时支持异地远程维护，实现了跨区域分支机构的集中管理和控制。
43、补丁、软件分发 可以自动分发程序、修复程序和派发文件实现程序的自动化部署，比如：补丁程序、应用程序，大大提高程序部署的效率，提升 IT 部门的工作水平，让 IT 管理者不再为大量的机械性、重复性的程序安装工作而浪费精力！流量监控 可以监控网络的流量，实现流量统计。管理者可以实施查看网络的带宽流量、在网络发病毒的时候可以将电脑断开隔离。事件日志详细记录网内计算机的操作窗口、报警记录、控制台发出的控制信息、浏览的网页、启动和关闭的应用程序、软件的添加与删除、系统的启动与关闭、应用程序的启动与关闭、硬件的添加与删除让 IT 管理者从多个角度来了解网络内每台计算机的全面的日志信息，为故障排除和网络管理
44、提供有力支持。4 安全与管理系统对各单位而言，防火墙、VPN、杀毒软件等等有关网络安全的产品层层叠加，成本也在不断的叠加，缺乏统一管理的网络安全系统，似乎仍然抵挡不住各种安全隐患的发生，因此，基于“统一安全管理平台”的网络安全产品市场机遇孕育而生。建设一套统一管理平台，包含网络管理、安全管理和应用管理。随着各类安全软硬件设备的部署，增大了管理难度和工作强度，各类设备管理方法、管理界面不统一，增大了管理成本，降低了管理质量，也可能因顾此失彼产生隐患。采用统一的安全管理平台，将网络设备（路由器、交换机）、安全设备（防火墙、IPS、IDS）、服务器、应用层安全设备(带宽控制、服务器负载均衡)等进行有
45、机的整合，加以统一管理监控。使管理员从单纯的设备管理中解脱出来，通过一个产品实现对全网运行情况的监控，实现了由技术管理到策略管理的提升。统一管理平台主要功能包括日志管理，为系统分析提供完整的支持数据。定期自动生成网络审计报告，方便管理员对专网控制区的安全状况实行定期审查，方便管理员对全网安全状况进行统一审查，帮助管理员全面了解网络应用模型和流量趋势，同时也可以检测出实施了某项安全策略之后，安全体系提升的情况，这种变化将有助于专网控制区管理员很好的了解网络安全状况。统一安全管理平台是对对 IT 资源的管理，除了传统的网络资源（路由、交换等网络设备）管理外，还能支持对计算资源（服务器、计算机等）、
46、以及 IP安全、无线、语音、存储、监控等所有资源的管理。此外，创新的融和了 IT 用户和业务的管理内容，使管理的范畴从 IT 资源本身延展到了 IT 资源的使用者和使用业务，使客户能在统一的操作门户下实现了三者的融合集中管理。在此基础上，统一管理平台以客户实际管理业务的需求为牵引，灵活的组配各个管理功能组件，形成了丰富的解决方案，从根本上解决了管理的复杂性问题，提升了 IT 为客户传递的价值。统一管理平台，提供统一接口和界面，为用户提供了实用、易用的网络管理功能，在网络资源的集中管理基础上，实现拓扑、故障、性能等管理功能，不仅提供功能，更通过流程向导的方式告诉用户如何使用功能满足业务需求，为用户提供了网络精细化管理最佳的工具软件，除了涵盖网络管理功能外，还是其他业务管理组件的承载平台，共同实现了管理的深入融合联动。
