[设备清单]
Cisco 2600路由器一台
Cisco 2900XL交换机若干台
Cisco PIX防火墙一台
网线：若干箱
制线嵌：若干个
正版软件：Microsoft ISA
[方案设计]
一. 使用一台路由器实现内网与外网的连接
其功能实现：
1、实现内网与外网的连接
2、实现内网中不同VLAN 的通信
3、实现NAT 代理内网计算机连接Internet
4、实现ACL 提供内外网的通信的安全
二. 使用多台交换机实现VLAN 的规划
1、按部门或场所划分vlan
1)vlan1：经理；
2) vlan2：人事部；
3)vlan3：销售部；
4)vlan4：策划部；
5）vlan5：技术部
2、vlan 之间的通信
1）实现有通信需要的vlan 之间的通信，如vlan2与vlan3，vlan5等；
2）使用上述路由器实现vlan 之间的通信；
3）使用ACL 提供valn 间通信的安全；
一、 IP 地址规划：
1、考虑内网中机器较多，并考虑到公司规模日益庞大故使用10.0.0.0/8私有地址并将其进行子网划为/24；
2、不同vlan 给予不同子网ip ，如vlan2可为10.31.0.0/24子网;
3、通过DHCP 服务器动态分配所有ip;
二、 win2003域规划：
为方便管理和提高网络安全性，将内网中部分计算机实现win2003域结构网络：
1、创建一个win2003域，如：ahhc.com ；
2、将经理办公用机，各部门用机，等所有员工用机加入所建域；
3、创建额外域DC 提供AD 容错功能和相互减轻负担功能；
三、 服务器规划
1、文件打印服务器（win2003系统）：用于连接多台打印设备，并将这些打印机发布到活动目录
1）实现域中所有计算机都可方便查找和使用打印机；
2）实现打印优先级，使得重要用户，如部门领导可优先使用打印机；
3）实现打印池功能，使得用户可优先自动使用当前空闲打印机；
4）实现重定向功能，使得当一打印设备故障，如缺墨缺纸，可自动被重定向到其它打印设备打印；
5）实现打印机使用时间限制：如管理人员可24小时使用，普通员工只可上班时间使用；
2、DHCP 服务器（linux AS4.0系统）：用于为内网客户机分配ip ，考虑到效率和可靠性
1）根据所需使用子网，实现多个作用域，并将这些作用域加入进一个
超级作用域，为不同子网内的客户机分配相应；
2）实现为客户机分配除ip 之外的其它设置，如网关IP ，DNS IP，等
等；
3）实现地址排除：将各服务器所使用地址在作用域内排除；
4）实现保留：为需要的用户，如网络系做网络相关实验的老师，保留
特定的IP, 使其可长期使用该IP 而不与其他人冲突；
5）实现DDNS 的支持，能够自动更新DNS 数据库。
3、DNS 服务器（linux AS4.0系统）：提供域名解析
1）实现主要名称服务器，并创建AD 集成区域，如ahhc.com ；
2）实现允许安全动态更新的DDNS ，使得与DHCP 服务器合作，动
态更新DNS 数据库；
3）实现转发器功能，使得内网用户访问互联网时DNS 可将解析请求
转发给ISP DNS，如202.102.192.68；
4）实现辅助名称服务器：提供容错和减轻负担的功能；
4、FTP 服务器(win2003系统+serv-u软件)
两种FTP 服务器：
员工使用，如员工资料存放，
1）允许所有域用户访问，禁用匿名用户访问；
2）实现用户隔离功能，使得用户只可访问自己的根目录和公共文件
夹；
3）用户在自己的根目录可上传和下载，但对公共文件夹只能下载；
4）实现用户磁盘配额，使得每位用户只能拥有一定量存储空间。
5、MAIL 服务器(Exchange软件)
6、WEB 服务器（LAMP ：linux+apache+mysql+php）
1) 限制只可在本公司内访问；
2) 实现访问跟踪；
7、VPN 服务器（win2003系统）：
1）实现VPN ，使得出差员工、分公司网络、家庭办公员工可访问公
司内网资源；
2）提供仅对域用户的支持。
8、数据库服务器（Linxu+mysql）
1) 与web 服务器相结合，对公司财务、工资、教学管理、学员、后
勤等各种基本数据进行收集、整理，按用户需求提供必备的查询;
四、 Internet 连接规划
1、内网用户一级代理
1）所有内网计算机均通过内外网连接的路由器利用NAT 功能实现访问Internet ；
2）实现ACL 初步提供内外网连接的网络安全性；
3）实现硬件防火墙提供内外网连接的网络安全性；
4）设置防火墙只有自动获得的IP 才可连接Internet ；
5）设置禁止用户访问一些网站，如百度视频等；
6）设置禁止用户使用一些P2P 工具，如电驴等。
2、二级代理
1）各部门员工用机均使用软件防火墙，如ISA ，二级代理功能；
2）设置禁止用户访问一些网站
3）设置禁止用户使用一些P2P 工具，如迅雷等。
五、 防火墙规划
1、两台防火墙，一硬件防火墙主要实现对来自外网对内网访问的安全防护；另一软件防火墙主要实现对内网访问外网的限制；
2、两台防火墙架构成背靠背模式，中间为DMZ(停火区) ，用于存放各种服务器。
六、客户端部署
员工用机部署
1）原则上所有员工用机均使用windows 系统；
2）加入公司域中，如ahhc.com ；
3）所有员工用机均需安装杀毒软件、个人防火墙等安全软件；
4）其它软件可自行选择；
[设备清单]
Cisco 2600路由器一台
Cisco 2900XL交换机若干台
Cisco PIX防火墙一台
网线：若干箱
制线嵌：若干个
正版软件：Microsoft ISA
[方案设计]
一. 使用一台路由器实现内网与外网的连接
其功能实现：
1、实现内网与外网的连接
2、实现内网中不同VLAN 的通信
3、实现NAT 代理内网计算机连接Internet
4、实现ACL 提供内外网的通信的安全
二. 使用多台交换机实现VLAN 的规划
1、按部门或场所划分vlan
1)vlan1：经理；
2) vlan2：人事部；
3)vlan3：销售部；
4)vlan4：策划部；
5）vlan5：技术部
2、vlan 之间的通信
1）实现有通信需要的vlan 之间的通信，如vlan2与vlan3，vlan5等；
2）使用上述路由器实现vlan 之间的通信；
3）使用ACL 提供valn 间通信的安全；
一、 IP 地址规划：
1、考虑内网中机器较多，并考虑到公司规模日益庞大故使用10.0.0.0/8私有地址并将其进行子网划为/24；
2、不同vlan 给予不同子网ip ，如vlan2可为10.31.0.0/24子网;
3、通过DHCP 服务器动态分配所有ip;
二、 win2003域规划：
为方便管理和提高网络安全性，将内网中部分计算机实现win2003域结构网络：
1、创建一个win2003域，如：ahhc.com ；
2、将经理办公用机，各部门用机，等所有员工用机加入所建域；
3、创建额外域DC 提供AD 容错功能和相互减轻负担功能；
三、 服务器规划
1、文件打印服务器（win2003系统）：用于连接多台打印设备，并将这些打印机发布到活动目录
1）实现域中所有计算机都可方便查找和使用打印机；
2）实现打印优先级，使得重要用户，如部门领导可优先使用打印机；
3）实现打印池功能，使得用户可优先自动使用当前空闲打印机；
4）实现重定向功能，使得当一打印设备故障，如缺墨缺纸，可自动被重定向到其它打印设备打印；
5）实现打印机使用时间限制：如管理人员可24小时使用，普通员工只可上班时间使用；
2、DHCP 服务器（linux AS4.0系统）：用于为内网客户机分配ip ，考虑到效率和可靠性
1）根据所需使用子网，实现多个作用域，并将这些作用域加入进一个
超级作用域，为不同子网内的客户机分配相应；
2）实现为客户机分配除ip 之外的其它设置，如网关IP ，DNS IP，等
等；
3）实现地址排除：将各服务器所使用地址在作用域内排除；
4）实现保留：为需要的用户，如网络系做网络相关实验的老师，保留
特定的IP, 使其可长期使用该IP 而不与其他人冲突；
5）实现DDNS 的支持，能够自动更新DNS 数据库。
3、DNS 服务器（linux AS4.0系统）：提供域名解析
1）实现主要名称服务器，并创建AD 集成区域，如ahhc.com ；
2）实现允许安全动态更新的DDNS ，使得与DHCP 服务器合作，动
态更新DNS 数据库；
3）实现转发器功能，使得内网用户访问互联网时DNS 可将解析请求
转发给ISP DNS，如202.102.192.68；
4）实现辅助名称服务器：提供容错和减轻负担的功能；
4、FTP 服务器(win2003系统+serv-u软件)
两种FTP 服务器：
员工使用，如员工资料存放，
1）允许所有域用户访问，禁用匿名用户访问；
2）实现用户隔离功能，使得用户只可访问自己的根目录和公共文件
夹；
3）用户在自己的根目录可上传和下载，但对公共文件夹只能下载；
4）实现用户磁盘配额，使得每位用户只能拥有一定量存储空间。
5、MAIL 服务器(Exchange软件)
6、WEB 服务器（LAMP ：linux+apache+mysql+php）
1) 限制只可在本公司内访问；
2) 实现访问跟踪；
7、VPN 服务器（win2003系统）：
1）实现VPN ，使得出差员工、分公司网络、家庭办公员工可访问公
司内网资源；
2）提供仅对域用户的支持。
8、数据库服务器（Linxu+mysql）
1) 与web 服务器相结合，对公司财务、工资、教学管理、学员、后
勤等各种基本数据进行收集、整理，按用户需求提供必备的查询;
四、 Internet 连接规划
1、内网用户一级代理
1）所有内网计算机均通过内外网连接的路由器利用NAT 功能实现访问Internet ；
2）实现ACL 初步提供内外网连接的网络安全性；
3）实现硬件防火墙提供内外网连接的网络安全性；
4）设置防火墙只有自动获得的IP 才可连接Internet ；
5）设置禁止用户访问一些网站，如百度视频等；
6）设置禁止用户使用一些P2P 工具，如电驴等。
2、二级代理
1）各部门员工用机均使用软件防火墙，如ISA ，二级代理功能；
2）设置禁止用户访问一些网站
3）设置禁止用户使用一些P2P 工具，如迅雷等。
五、 防火墙规划
1、两台防火墙，一硬件防火墙主要实现对来自外网对内网访问的安全防护；另一软件防火墙主要实现对内网访问外网的限制；
2、两台防火墙架构成背靠背模式，中间为DMZ(停火区) ，用于存放各种服务器。
六、客户端部署
员工用机部署
1）原则上所有员工用机均使用windows 系统；
2）加入公司域中，如ahhc.com ；
3）所有员工用机均需安装杀毒软件、个人防火墙等安全软件；
4）其它软件可自行选择；