环球电气之家-午夜精彩视频-中国专业电气电子产品行业服务网站！

　　隨著互聯網技術、計算機技術、通信技術的發展，信息化已經滲透到我們的日常生活，改變了人們的生活方式和工作模式，信息化程度已經成為衡量企業集團發展階段的重要標志。人們在感受到信息化給日常生活、辦公帶來巨大變化的同時也應該清醒的認識到，信息系統安全問題已成為影響國家、政治、經濟、文化、教育、企事業單位的發展的重要因素。尤其是涉及國防科技工業、軍隊的涉密企事業單位，信息系統的安全顯得尤為重要。在信息系統的日常運行與維護中，外界入侵者利用操作系統或者應用系統的自身缺陷進行攻擊，內部人員發泄性的惡意攻擊，系統管理人員的誤操作等等，這些都可能導致信息系統的數據丟失，情節嚴重的可能會導致系統癱瘓，進而影響系統的運行。

　　1、信息系統的安全接入技術

　　信息系統的安全防護技術主要有VLAN 劃分，MAC地址綁定，配置ACL等。其目的是確保接入該系統的終端設備是安全、可信的。在圖1 所示的拓撲圖中，由內部網絡、DMZ 區域、外網區域三部分組成。左邊為內部網絡，我們也稱之為trust區域。即對于管理員來講是可信區域，內部網絡中不同的部門被劃分在不同的VLAN 中，VLAN 之間不能相互通信，同一VLAN 成員之間可以相互通信，內部成員可以訪問內網郵件系統、OA系統等;將內網與防火墻的內網接口相連形成的區域稱之為非軍事區，即DMZ 區域。DMZ 區域負責為外網提供WEB 瀏覽服務;將防火墻的外網口與外部網絡相連稱之為外部區域，即untrust 區域，對于管理員來講是非可信區域，即可能存在外部的攻擊、入侵等行為的地方。

　　2、訪問控制策略的設置

　　CISCO交換機將網絡模型分為三層：接入層、分配層、核心層，其中接入層主要負責終端設備的安全接入，確保接入終端的合法、唯一、可靠、安全;分配層負責數據的路由和過濾功能;核心層主要負責數據的高速轉發，提高網絡的吞吐率。

　　本論文利用Cisco Packet Tracer 5.3 模擬器對訪問接入控制策略進行仿真，如圖2 所示。市場部占用192.168.1.0/24，財務部占用192.168.2.0/24，科技部占用192.168.3.0/24，人力占用192.168.4.0/24。為內網提供辦公系統服務器IP 地址為192.168.10.1，ERP 系統的IP 地址為192.168.20.2，郵件系統為192.168.30.3，人力系統地址為192.168.40.4。

　　2.1 VLAN 劃分

　　VLAN 是Virtual Local Area Network 的縮寫，在信息系統中，劃分VLAN 有許多優點：

　　1) 隔離網絡廣播。

　　2) 簡化網絡管理。

　　3) 增強網絡安全性。

　　4) 提高網絡管理的靈活性。

　　VLAN 有靜態VLAN 和動態VLAN 之分，靜態VLAN 具有安全性高、更容易設置和監控而被管理員經常采用。假設市場部占用VLAN10，財務部占用VLAN20，科技部占用VLAN30，人力占用VLAN40。這便完成了各個部門之間廣播域的隔離。

　　部分命令如下：

　　Switch(config)#interface range fastEthernet 0/1-2

　　Switch(config-if-range)#switchport mode access

　　Switch(config-if-range)#switchportaccessvlan 10

　　% Access VLAN does not exist. Creating vlan 10

　　通過show vlan 命令得到如圖3 所示的信息。端口fa0/1、fa0/2 已經被劃分到VLAN10 中，而其他端口仍然屬于VLAN1。其他端口采用類似的劃分。