某设计公司内部网分析
[摘 要]
 随着如今Internet的飞速发展，企业的内部网络是企业中十分重要的基础设施。它的出发点是高效率，实用，灵活，可扩展，安全。
 本文对某设计公司组建的内网的现状进行分析，对公司网络速度慢等存在的不足提出改进意见。
[关键字] 企业内部网络　网速　网络安全 
 
[Summary ]
 Along with the present Internet rapid development, enterprise's internal network is in the enterprise the extremely important infrastructure.Its starting point is the high efficiency, practical, nimble, may expand, safe. This article in net present situation which sets up to some design company carries on the analysis, to the company network speed slow and so on the existence insufficiencies gives the improvement comment.
[Key words]  Enterprise internal network　The speed of the Network　Network security
 一、公司简介
公司的规模和组织结构
   该设计公司成立于1999年，具有独立法人资格。公司现有员工约120名，其中技术人员约100人。管理层设有经理、副经理、总工各一人。公司机构主要由：专业科室和机关科室两部分构成，细分成：结构，工艺，总体配管，机械，电气仪表，人力、财务和综合办公七个科室。设有：工艺，总体，配管，结构，机械，电气，仪表等专业，专业配套齐全。主要从事海洋工程设计，配有多重分析设计软件，能承担基本设计、详细设计和加工设计。曾完成不少有代表性的海洋工程设计。
    2、公司的主营业务
   公司现在主要经营：海洋石油开发工程和设计；油气库工程设计；石油机械制造与维修工程设计和压力管道设计。
 3、公司组网的目的与需要
 随着Internet的飞速发展，全球性的网络化、信息化在各方面都影响和改变着人们的生活和工作方式。
 公司组建内网的主要目的是让公司的三大部门七个专业科室共享一些文件和资源，以起到提高工作效率和质量的作用；其次是响应国家提出的“绿色环保，无纸化办公”的号召。领导及专业人员可以在内网上批阅文件以减少一些不必要的浪费；再次是通过网络与合作伙伴进行业务往来，提高响应速度和办公效益。
 为达到目的，搭建时需要高带宽、高可靠性、灵活性、可扩展性、可升级性、多协议支持、易管理和维护等。另外，为满足传输、存储和处理数据、语音、图像信息的需要，整个网络需要采用先进的结构；为满足集成系统和业务系统，还需要搭建一个完整统一的系统管理平台。
二、公司内部网络现状
公司使用的硬件设备及其布置
    设计公司大楼共五层，每层约20间办公室。考虑到需求和业务特点，在每间办公室的墙面上都安装有信息座（从中心机房到每个办公室布了网线和网络端口）。当设备数量发生变更时，只需要采取简单的接线工作即可。实现了组网时的灵活性与可扩展性。
    公司计算机网络设备——包括计算机主机系统、操作系统、网络接口卡、Modem、交换机、HUB集线器、打印服务器。组网时采用的是星状拓扑结构，局部使用HUB集线器扩充。同时，内部网络平台建设采用二层架构。用双绞线作为传输线缆，双绞线、网卡和集线器都选用了100M的。采用的是IEEE 的802.3协议标准在公司大楼的三楼专门设置一间办公室作为机房，配置有服务器、交换机和路由器，部署了两台核心交换机，实现负载均衡和单点失效保护。整栋大楼的数据信息都集中在这里进行处理；在楼层弱电间布置楼层交换机，每个楼层交换机都接入到两台核心交换机以增强网络的可用性。大楼内外布线使用的都是双绞线，大部分用PVC管道暗藏在墙里和天花板的吊顶里；接入办公室的线用的是明线，便于维护。
接入Internet的方式
 公司接入Internet的方式采用的是DDN专线接入。在互连方式的选择上，由于公司里除了自己的员工外还聘有外协人员，按照公司的要求，外协人员不能连接Internet。因此，公司内网分出了两个子网，各连一个交换机，并连接到服务器上的不同的网卡上，在服务器上设置一个网卡可以连接Internet，另一个则不可以。如下图：

内网的页面
 为满足信息的集成管理和业务需要，公司设计开发了公司内网的首页和信息集成平台——EDIS平台，由相关人员定期录入新数据。实现了七个专业科室在网上共享信息数据和一些硬件资源的目的。
IP地址分配与管理
 每一台计算机都必须至少有一个IP地址，才能与其他计算机连接通信。为了便于统一规划和管理网络中的IP地址，公司服务器采用DHCP（Dynamic Host Configure Protocol，动态主机配置协议）。这种网络服务有利于对单位的客户机IP地址进行有效管理，而不需要一个一个手动指定IP地址。
项目管理及数据交换
    公司每年约承揽80-100个设计项目，为确保数据信息的安全，公司为成员创建有用户帐户User、计算机帐户Computer和安全组Group，并授予相应的访问权限，开通相应的访问目录及共享资源。每个设计项目都独立成立项目组，按项目管理模式进行项目管理，每个项目都有不同的负责人，每个专业人员也有不同的访问权限。
 6、项目共享文件夹
 每个设计项目的设计文件、成果都极其重要。对此，公司使用了分布式文件系统搭建文件服务器， 实现一个DFS共享路径对应多个物理共享路径，相当于有多个备用存储位置。多个物理路径之间可以复制并同步，当其中任一条何物理路径出现故障时都不影响正常使用。

员工通过DFS（用户认为的文件服务器）读取“共享文件夹”时，DFS就会自动给从其中一台“命名空间服务器”内读取文件。对于员工来说，并不需要知道这些文件的真正存储地点（即他们不知道 “命名空间服务器1”与“命名空间服务器2”的存在）。复制到共享文件夹中的数据会自动复制到多个共享路径中。
无论是其中的哪个“命名空间服务器”出现故障，均不影响使用，故障切换过程对用户是透明的。

当存储文件的共享文件夹不可访问时，系统会自动切换到另一存储位置。

无论任何一个存储数据的“共享文件夹”出现故障，还是“命名空间服务器”出现故障，员工在使用时都不会感觉到任何异常，他所访问的共享文件夹仍可以正常访问。
 三、运行中存在的问题
公司内网面临的问题
 目前公司内网面临的一大问题是：网速不稳定，时快时慢。快起来犹如一马平川；慢起来就是龟速中的龟速。
 另一个问题是任何一个网都要面对的‘老问题’——安全问题。由于公司内部网络平台建设采用二层架构，因而安全性低。因为二层架构的安全策略只可以分布在汇聚层交换机和核心交换机上。同时，网络变更往往影响到核心交换机。导致可维护性低。
页面设计的不足
 公司组建内网的同时，也构建了内网页面。很多事物只有在实际运用过后才会发现不足的地方。公司内网的页面设计也存在着考虑不全。例如，一些内容位置布置的不合理；一些数据的导出需要一系列的操作，使用起来比较不方便。
 四、问题出现的原因
 1、网速不稳定的原因
公司网速变慢时多出现在工作比较繁忙的时段。由于公司大楼内外布线使用的都是双绞线，且多台电脑公用一个端口，加上公司出于成本控制，购买的是小型的路由器和交换机，这就造就了工作比较繁忙时的“千军万马过独木桥”的现象。同时，公司电脑的内存和硬盘容量太小，导致程序运行过慢也是一大原因。此外，不少员工利用公司的网络资源来下载电影或打网络游戏，占用了带宽。有些员工还随意修改IP地址，导致IP地址冲突。
 2、网络安全隐患
公司部网络平台建设采用二层架构就存在‘先天性’的安全性较弱。因为二层架构的安全策略只可以分布在汇聚层交换机和核心交换机上。
如果说采用二层架构是‘先天性’的安全隐患，那么，便携性移动设备控制不严和邮件附件具有安全隐患则是人为的管理不善。
虽然公司现在对于移动存储设备，如U盘、移动硬盘、MP3播放器等的使用有严格的要求，如要先审批后使用，等等。但是，这只是在制度上的规定。在技术上，公司没有实现对于USB端口等的屏蔽。所以，很多用户还是私自在使用移动存储设备。
 私自采用便携性移动存储设备，会给企业的内部网络带来两大隐患。
 （1）企业文件的安全。因为企业的有些重要文件，属于企业的资源，如客户信息、产品物料清单等等，企业规定是不能够外传的。但是，很多员工，在离职之前，会把这些重要文件，都考到U盘或者移动硬盘上带走，作为他们跳槽的资本。这对于企业来说，会造成很大的损失。就有很多企业，一些员工离职后，企业的客户就会被他们挖走。移动存储设备的滥用在其中起着一定的推动作用。
 （2）若利用移动存储设备，则病毒就会漏过我们的设在外围的病毒防火墙，而直接从企业的内部侵入。所以，便携性移动存储设备现在已经成为了危害企业内部网络安全的头号杀手。
 此外，邮件附件的危害也在慢慢增大。现在随着电子论文的普及，越来越多的人喜欢利用邮件附件来传递电子论文。而很多电子论文都是OFFICE论文、图片格式文件或者RAR压缩文件，但是，这些格式的文件恰巧是病毒很好的载体。
 最后一个隐患来自看似很安全的设置——密码。公司的各系统的密码虽然不统一，但都有一定的规律。如直接用用户名作为密码，或者以电话号码作为密码等等。密码的复杂性差、易破解是一个很大的安全隐患。很多员工对于密码的认识性很差，虽然他们知道对一些重要论文要设置密码。但是，他们往往出于方便等需要，而把密码设置的过于简单。其实，也不是他们故意要如此，很大一方面的原因是他们认为只要论文设置了密码就很安全了。他们不清楚，简单的密码，只能够防君子，不能够防小人。
 五、解决意见
提高网速和网速的稳定性
 公司网络的网速慢是由“先天自带”和后天人为，两大因素组成。公司硬件设备过于陈旧一大原因，要缓解“千军万马过独木桥”的现象有两种选择。一是‘扩大桥面’二是‘再建过一条宽敞的桥’。建议采用第一种方法——‘扩大桥面’。首先建议公司将传输数据的双绞线改为先进的光缆，可以大大的提高数据传输速度。将双绞线换为光缆时，建议把光缆用管道铺设在原来双绞线的线槽内并预留1~2条管孔，以供扩充之用。办公室内的连接为节约资金成本，依然使用双绞线。同一楼层上的水平系统使用4对双绞线，电缆长度不宜太长，尽量控制在90M内；垂直干线的子系统建议采用大对数的双绞线，因为垂直干线子系统总是位于垂直的弱点间。其次，建议改变现用的网络互连方式。把原先采用二层架构改为三层架构。建立三个子网都连接到路由器上，在路由器上设置IP，其中两个子网的IP设为内部IP，不允许访问Internet。这样可以提高网络的安全性。如图：
 
 公司布置网线时，利用星形结构将整栋的网线从每间办公室直接接入三楼机房，这样虽然可以带来不少好处，但导致线实在太多。建议在每层楼放置无线路由，把每一层楼的信息先集成起来再接入三楼机房。这样就可以避免线与线之间的‘战斗’。同时设备移动时的限制也将大大剪弱。
 另外，建议公司在资经允许的情况下，购买中型的路由器和交换机。针对公司电脑的内存和硬盘容量太小，导致程序运行过慢的问题，出于节约成本的考虑，建议购买一批硬盘和内存条，针对各科室的工作特性和需要对原有电脑进行选择性扩充。这样还有助于减少员工对移动存储设备的使用。
 至于公司员工利用公司资源下载电影和玩网游占用带宽和员工随意修改IP地址，导致IP地址冲突的问题，只有加强公司的管理力度，同时在网关上对一些网页进行屏蔽。
加强网络的安全性
 首先要把对移动存储设备的管理落到实处，不能只是‘纸上谈兵’。要建立针对移动存储设备的防火墙。建议通过NAT（网络地址转换）技术将需要保护的内部网络的全部主机地址映射成防火墙上设置的少数几个有效公网IP地址。这样有两个好处，一来可以对外屏蔽内部网络和IP地址，保护内部网络的安全；二来可以减少资金的投入。因为公网IP地址的共享能大大节约公网IP地址的使用。
 其次，公司虽然有建立域，但只是以公司的名义建立了一个大域。一个域就像是一个关口，通过设置密码等手段保护域内的信息资源。建议公司在整个大域内建立多个小分域，在每个小域设置不同的密码和被访问权限。这样大大的提高了信息的安全性。
 再来就是要提高员工对密码的认识，对重要论文使用复杂性较高的密码。如WORD论文，若我们只设置八位数字密码，则利用一些密码破解工具，只需要几个小时就可以破解出来了。而且，密码的破解难度一般不跟密码长度成正比，而是跟密码的复杂度成正比。也就是说，你若采用数字密码的话，破解六位密码跟破解八位密码的时间，可能差不了多少;但是，你若在六位密码中，若加入一个英文字符，或者一个特殊符号，那密码破解的难度要增加好几倍，虽然密码位数没有增加。
 
 
参考文献
   3、（著作）张伍荣：《网管实战宝典Windows Serve2003服务器架设与管理》，清华大学出版社
   4、（著作）王国全、姚昌顺、徐军：《网管实战宝典Windows Serve2003配置与管理》，清华大学出版社
   5、（著作）刘晓辉、陈洪彬：《网络设备配置与管理实战详解》，化学工业出版社
   6、（著作）刘晓辉、陈洪彬：《网络安全规则与管理实战详解》，化学工业出版社

相关论文