網路安全設備管理與配置

❶ 如何配置網路伺服器安全

配置網路伺服器安全一般需要做以下步驟：
1、安裝補丁程序任何操作系統都有漏洞，作為網路系統管理員就有責任及時地將「補
丁」打上，安裝最新的升級包。
2、安裝和設置防火牆現在有許多基於硬體或軟體的防火牆，如華為、
神州數碼、聯想、瑞星等廠商的產品。對於企業內部網來說，安裝防火牆是非常必要的。防火牆對於非法訪問具有很好的預防作用，但是並不是安裝了防火牆之後就
萬事大吉了，而是需要進行適當的設置才能起作用。如果對防火牆的設置不了解，需要請技術支持人員協助設置。
3、安裝網路殺毒軟體現在網路上
的病毒非常猖獗，這就需要在網路伺服器上安裝網路版的殺毒軟體來控制病毒的傳播，目前，大多數反病毒廠商(如瑞星、冠群金辰、趨勢、賽門鐵克、熊貓等)都
已經推出了網路版的殺毒軟體。同時，在網路版的殺毒軟體使用中，必須要定期或及時升級殺毒軟體。
4、賬號和密碼保護賬號和密碼保護可以說是系統的第一道防線，目前網上
的大部分對系統的攻擊都是從截獲或猜測密碼開始的。一旦黑客進入了系統，那麼前面的防衛措施幾乎就沒有作用，所以對伺服器系統管理員的賬號和密碼進行管理
是保證系統安全非常重要的措施。
5、監測系統日誌通過運行系統日誌程序，系統會記錄下所有用戶使用系統的情形，包括最近登錄時間、使用的賬號、進行的活動
等。日誌程序會定期生成報表，通過對報表進行分析，你可以知道是否有異常現象。
6、關閉不需要的服務和埠伺服器操作系統在安裝的時候，會啟動一些不
需要的服務，這樣會佔用系統的資源，而且也增加了系統的安全隱患。對於假期期間完全不用的伺服器，可以完全關閉;對於假期期間要使用的伺服器，應關閉不需
要的服務，如Telnet等。另外，還要關掉沒有必要開的TCP埠。
7、定期對伺服器進行備份為防止不能預料的系統故障或用戶不小心的非法操作，必須對
系統進行安全備份。除了對全系統進行每月一次的備份外，還應對修改過的數據進行每周一次的備份。
8、如果伺服器與客戶端傳輸的數據都比較敏感，例如涉及到金錢交易的網站，那很有必要安裝一個SSL證書，去易維信-EVTrust 申請一個SSL證書，使網站實現"https"加密傳輸。

❷ 如何做好網路安全管理

第一、物理安全

除了要保證要有電腦鎖之外，我們更多的要注意防火，要將電線和網路放在比較隱蔽的地方。我們還要准備UPS，以確保網路能夠以持續的電壓運行，在電子學中，峰值電壓是一個非常重要的概念，峰值電壓高的時候可以燒壞電器，迫使網路癱瘓，峰值電壓最小的時候，網路根本不能運行。使用UPS可以排除這些意外。另外我們要做好防老鼠咬壞網線。

第二、系統安全（口令安全）

我們要盡量使用大小寫字母和數字以及特殊符號混合的密碼，但是自己要記住，我也見過很多這樣的網管，他的密碼設置的的確是復雜也安全，但是經常自己都記不來，每次都要翻看筆記本。另外我們最好不要使用空口令或者是帶有空格的，這樣很容易被一些黑客識破。

我們也可以在屏保、重要的應用程序上添加密碼，以確保雙重安全。

第三、打補丁

我們要及時的對系統補丁進行更新，大多數病毒和黑客都是通過系統漏洞進來的，例如今年五一風靡全球臭名昭著的振盪波就是利用了微軟的漏洞ms04-011進來的。還有一直殺不掉的SQLSERVER上的病毒slammer也是通過SQL的漏洞進來的。所以我們要及時對系統和應用程序打上最新的補丁，例如IE、OUTLOOK、SQL、OFFICE等應用程序。

另外我們要把那些不需要的服務關閉，例如TELNET，還有關閉Guset帳號等。

第四、安裝防病毒軟體

病毒掃描就是對機器中的所有文件和郵件內容以及帶有.exe的可執行文件進行掃描，掃描的結果包括清除病毒，刪除被感染文件，或將被感染文件和病毒放在一台隔離文件夾裡面。所以我們要對全網的機器從網站伺服器到郵件伺服器到文件伺服器知道客戶機都要安裝殺毒軟體，並保持最新的病毒定義碼。我們知道病毒一旦進入電腦，他會瘋狂的自我復制，遍布全網，造成的危害巨大，甚至可以使得系統崩潰，丟失所有的重要資料。所以我們要至少每周一次對全網的電腦進行集中殺毒，並定期的清除隔離病毒的文件夾。

現在有很多防火牆等網關產品都帶有反病毒功能，例如netscreen總裁謝青旗下的美國飛塔Fortigate防火牆就是，她具有防病毒的功能。

第五、應用程序

我們都知道病毒有超過一半都是通過電子郵件進來的，所以除了在郵件伺服器上安裝防病毒軟體之外，還要對PC機上的outlook防護，我們要提高警惕性，當收到那些無標題的郵件，或是你不認識的人發過來的，或是全是英語例如什麼happy99，money，然後又帶有一個附件的郵件，建議您最好直接刪除，不要去點擊附件，因為百分之九十以上是病毒。我前段時間就在一個政府部門碰到這樣的情況，他們單位有三個人一直收到郵件，一個小時竟然奇跡般的收到了2000多封郵件，致使最後郵箱爆破，起初他們懷疑是黑客進入了他們的網路，最後當問到這幾個人他們都說收到了一封郵件，一個附件，當去打開附件的時候，便不斷的收到郵件了，直至最後郵箱撐破。最後查出還是病毒惹的禍。

除了不去查看這些郵件之外，我們還要利用一下outlook中帶有的黑名單功能和郵件過慮的功能。

很多黑客都是通過你訪問網頁的時候進來的，你是否經常碰到這種情況，當你打開一個網頁的時候，會不斷的跳出非常多窗口，你關都關不掉，這就是黑客已經進入了你的電腦，並試圖控制你的電腦。

所以我們要將IE的安全性調高一點，經常刪除一些cookies和離線文件，還有就是禁用那些Active X的控制項。

第六、代理伺服器

代理伺服器最先被利用的目的是可以加速訪問我們經常看的網站，因為代理伺服器都有緩沖的功能，在這里可以保留一些網站與IP地址的對應關系。

要想了解代理伺服器，首先要了解它的工作原理：

環境：區域網裡面有一台機器裝有雙網卡，充當代理伺服器，其餘電腦通過它來訪問網路。

1、內網一台機器要訪問新浪，於是將請求發送給代理伺服器。

2、代理伺服器對發來的請求進行檢查，包括題頭和內容，然後去掉不必要的或違反約定的內容。

3、代理伺服器重新整合數據包，然後將請求發送給下一級網關。

4、新浪網回復請求，找到對應的IP地址。

5、代理伺服器依然檢查題頭和內容是否合法，去掉不適當的內容。

6、重新整合請求，然後將結果發送給內網的那台機器。

由此可以看出，代理伺服器的優點是可以隱藏內網的機器，這樣可以防止黑客的直接攻擊，另外可以節省公網IP。缺點就是每次都要經由伺服器，這樣訪問速度會變慢。另外當代理伺服器被攻擊或者是損壞的時候，其餘電腦將不能訪問網路。

第七、防火牆

提到防火牆，顧名思義，就是防火的一道牆。防火牆的最根本工作原理就是數據包過濾。實際上在數據包過濾的提出之前，都已經出現了防火牆。

數據包過濾，就是通過查看題頭的數據包是否含有非法的數據，我們將此屏蔽。

舉個簡單的例子，假如體育中心有一場劉德華演唱會，檢票員坐鎮門口，他首先檢查你的票是否對應，是否今天的，然後撕下右邊的一條，將剩餘的給你，然後告訴你演唱會現場在哪裡，告訴你怎麼走。這個基本上就是數據包過濾的工作流程吧。

你也許經常聽到你們老闆說：要增加一台機器它可以禁止我們不想要的網站，可以禁止一些郵件它經常給我們發送垃圾郵件和病毒等，但是沒有一個老闆會說：要增加一台機器它可以禁止我們不願意訪問的數據包。實際意思就是這樣。接下來我們推薦幾個常用的數據包過濾工具。

❸ 網路安全管理制度

區域網的構建

網路安全概述

網路安全的定義

什麼是計算機網路安全，盡管現在這個詞很火，但是真正對它有個正確認識的人並不多。事實上要正確定義計算機網路安全並不容易，困難在於要形成一個足夠去全面而有效的定義。通常的感覺下，安全就是"避免冒險和危險"。在計算機科學中，安全就是防止：

未授權的使用者訪問信息

未授權而試圖破壞或更改信息

這可以重述為"安全就是一個系統保護信息和系統資源相應的機密性和完整性的能力"。注意第二個定義的范圍包括系統資源，即CPU、硬碟、程序以及其他信息。

在電信行業中，網路安全的含義包括：關鍵設備的可靠性；網路結構、路由的安全性；具有網路監控、分析和自動響應的功能；確保網路安全相關的參數正常；能夠保護電信網路的公開伺服器（如撥號接入伺服器等）以及網路數據的安全性等各個方面。其關鍵是在滿足電信網路要求，不影響網路效率的同時保障其安全性。

電信行業的具體網路應用（結合典型案例）

電信整個網路在技術上定位為以光纖為主要傳輸介質，以IP為主要通信協議。所以我們在選用安防產品時必須要達到電信網路的要求。如防火牆必須滿足各種路由協議，QOS的保證、MPLS技術的實現、速率的要求、冗餘等多種要求。這些都是電信運營商應該首先考慮的問題。電信網路是提供信道的，所以IP優化尤其重要，至少包括包括如下幾個要素：

網路結構的IP優化。網路體系結構以IP為設計基礎，體現在網路層的層次化體系結構，可以減少對傳統傳輸體系的依賴。

IP路由協議的優化。

IP包轉發的優化。適合大型、高速寬頻網路和下一代網際網路的特徵，提供高速路由查找和包轉發機制。

帶寬優化。在合理的QoS控制下，最大限度的利用光纖的帶寬。

穩定性優化。最大限度的利用光傳輸在故障恢復方面快速切換的能力，快速恢復網路連接，避免路由表顫動引起的整網震盪，提供符合高速寬頻網路要求的可靠性和穩定性。

從骨幹層網路承載能力，可靠性，QoS，擴展性，網路互聯，通信協議，網管，安全，多業務支持等方面論述某省移動互聯網工程的技術要求。

骨幹層網路承載能力

骨幹網採用的高端骨幹路由器設備可提供155M POS埠。進一步，支持密集波分復用(DWDM)技術以提供更高的帶寬。網路核心與信息匯聚點的連接速率為155M連接速率，連接全部為光纖連接。

骨幹網設備的無阻塞交換容量具備足夠的能力滿足高速埠之間的無丟包線速交換。骨幹網設備的交換模塊或介面模塊應提供足夠的緩存和擁塞控制機制，避免前向擁塞時的丟包。

可靠性和自愈能力

包括鏈路冗餘、模塊冗餘、設備冗餘、路由冗餘等要求。對某省移動互聯網工程這樣的運營級寬頻IP骨幹網路來說，考慮網路的可靠性及自愈能力是必不可少的。

鏈路冗餘。在骨幹設備之間具備可靠的線路冗餘方式。建議採用負載均衡的冗餘方式，即通常情況下兩條連接均提供數據傳輸，並互為備份。充分體現採用光纖技術的優越性，不會引起業務的瞬間質量惡化，更不會引起業務的中斷。

模塊冗餘。骨幹設備的所有模塊和環境部件應具備1+1或1：N熱備份的功能，切換時間小於3秒。所有模塊具備熱插拔的功能。系統具備99.999%以上的可用性。

設備冗餘。提供由兩台或兩台以上設備組成一個虛擬設備的能力。當其中一個設備因故障停止工作時，另一台設備自動接替其工作，並且不引起其他節點的路由表重新計算，從而提高網路的穩定性。切換時間小於3秒，以保證大部分IP應用不會出現超時錯誤。

路由冗餘。網路的結構設計應提供足夠的路由冗餘功能，在上述冗餘特性仍不能解決問題，數據流應能尋找其他路徑到達目的地址。在一個足夠復雜的網路環境中，網路連接發生變化時，路由表的收斂時間應小於30秒。

擁塞控制與服務質量保障

擁塞控制和服務質量保障(QoS)是公眾服務網的重要品質。由於接入方式、接入速率、應用方式、數據性質的豐富多樣，網路的數據流量突發是不可避免的，因此，網路對擁塞的控制和對不同性質數據流的不同處理是十分重要的。

業務分類。網路設備應支持6~8種業務分類(CoS)。當用戶終端不提供業務分類信息時，網路設備應根據用戶所在網段、應用類型、流量大小等自動對業務進行分類。

接入速率控制。接入本網路的業務應遵守其接入速率承諾。超過承諾速率的數據將被丟棄或標以最低的優先順序。

隊列機制。具有先進的隊列機制進行擁塞控制，對不同等級的業務進行不同的處理，包括時延的不同和丟包率的不同。

先期擁塞控制。當網路出現真正的擁塞時，瞬間大量的丟包會引起大量TCP數據同時重發，加劇網路擁塞的程度並引起網路的不穩定。網路設備應具備先進的技術，在網路出現擁塞前就自動採取適當的措施，進行先期擁塞控制，避免瞬間大量的丟包現象。

資源預留。對非常重要的特殊應用，應可以採用保留帶寬資源的方式保證其QoS。

埠密度擴展。設備的埠密度應能滿足網路擴容時設備間互聯的需要。

網路的擴展能力

網路的擴展能力包括設備交換容量的擴展能力、埠密度的擴展能力、骨幹帶寬的擴展，以及網路規模的擴展能力。

交換容量擴展。交換容量應具備在現有基礎上繼續擴充多容量的能力，以適應數據類業務急速膨脹的現實。

骨幹帶寬擴展。骨幹帶寬應具備高的帶寬擴展能力，以適應數據類業務急速膨脹的現實。

網路規模擴展。網路體系、路由協議的規劃和設備的CPU路由處理能力，應能滿足本網路覆蓋某省移動整個地區的需求。

與其他網路的互聯

保證與中國移動互聯網，INTERNET國內國際出口的無縫連接。

通信協議的支持

以支持TCP/IP協議為主，兼支持IPX、DECNET、APPLE－TALK等協議。提供服務營運級別的網路通信軟體和網際操作系統。

支持RIP、RIPv2、OSPF、IGRP、EIGRP、ISIS等路由協議。根據本網規模的需求，必須支持OSPF路由協議。然而，由於OSPF協議非常耗費CPU和內存，而本網路未來十分龐大復雜，必須採取合理的區域劃分和路由規劃(例如網址匯總等)來保證網路的穩定性。

支持BGP4等標準的域間路由協議,保證與其他IP網路的可靠互聯。

支持MPLS標准，便於利用MPLS開展增值業務，如VPN、TE流量工程等。

網路管理與安全體系

支持整個網路系統各種網路設備的統一網路管理。

支持故障管理、記帳管理、配置管理、性能管理和安全管理五功能。

支持系統級的管理，包括系統分析、系統規劃等；支持基於策略的管理，對策略的修改能夠立即反應到所有相關設備中。

網路設備支持多級管理許可權，支持RADIUS、TACACS+等認證機制。

對網管、認證計費等網段保證足夠的安全性。

IP增值業務的支持

技術的發展和大量用戶應用需求將誘發大量的在IP網路基礎上的新業務。因此，運營商需要一個簡單、集成化的業務平台以快速生成業務。MPLS技術正是這種便於電信運營商大規模地快速開展業務的手段。

傳送時延

帶寬成本的下降使得當今新型電信服務商在進行其網路規劃時，會以系統容量作為其主要考慮的要素。但是，有一點需要提起注意的是，IP技術本身是面向非連接的技術，其最主要的特點是，在突發狀態下易於出現擁塞，因此，即使在高帶寬的網路中，也要充分考慮端到端的網路傳送時延對於那些對時延敏感的業務的影響，如根據ITU－T的標准端到端的VoIP應用要求時延小於150ms。對於應用型實際運營網路，尤其當網路負荷增大時，如何確保時延要求更為至關重要，要確保這一點的關鍵在於採用設備對於延遲的控制能力，即其延遲能力在小負荷和大量超負荷時延遲是否都控制在敏感業務的可忍受范圍內。

RAS (Reliability, Availability, Serviceability)

RAS是運營級網路必須考慮的問題，如何提供具有99.999%的業務可用性的網路是網路規劃和設計的主要考慮。在進行網路可靠性設計時，關鍵點在於網路中不能因出現單點故障而引起全網癱瘓，特別在對於象某省移動這些的全省骨幹網而言更是如此。為此，必須從單節點設備和端到端設備提供整體解決方案。Cisco7500系列路由器具有最大的單節點可靠性，包括電源冗餘備份，控制板備份，交換矩陣備份，風扇的合理設計等功能；整體上，Cisco通過提供MPLSFRR和MPLS流量工程技術，可以保證通道級的快速保護切換，從而最大程度的保證了端到端的業務可用性。

虛擬專用網(VPN)

虛擬專用網是目前獲得廣泛應用，也是目前運營商獲得利潤的一種主要方式。除了原有的基於隧道技術，如IPSec、L2TP等來構造VPN之外，Cisco還利用新型的基於標準的MPLSVPN來構造Intrane和Extranet，並可以通過MPLSVPN技術提供Carrier'sCarrier服務。這從網路的可擴展性，可操作性等方面開拓了一條新的途徑；同時，極大地簡化了網路運營程序，從而極大地降低了運營費用。另外，採用Cisco跨多個AS及多個域內協議域的技術可使某省移動可隨著其網路的不斷增長擴展其MPLSVPN業務的實施，並可與其他運營商合作實現更廣闊的業務能力。

服務質量保證

通常的Internet排隊機制如:CustomerQueue,PriorityQueue,CBWFQ,WRR,WRED等技術不能完全滿足對時延敏感業務所要求的端到端時延指標。為此，選用MDRR/WRED技術，可以為對時延敏感業務生成單獨的優先順序隊列，保證時延要求；同時還專門對基於Multicast的應用提供了專門的隊列支持，從而從真正意義上向網上實時多媒體應用邁進一步。

根據以上對電信行業的典型應用的分析，我們認為，以上各條都是運營商最關心的問題，我們在給他們做網路安全解決方案時必須要考慮到是否滿足以上要求，不影響電信網路的正常使用，可以看到電信網路對網路安全產品的要求是非常高的。

網路安全風險分析

瞄準網路存在的安全漏洞，黑客們所製造的各類新型的風險將會不斷產生，這些風險由多種因素引起，與網路系統結構和系統的應用等因素密切相關。下面從物理安全、網路安全、系統安全、應用安全及管理安全進行分類描述：

1、物理安全風險分析

我們認為網路物理安全是整個網路系統安全的前提。物理安全的風險主要有：

地震、水災、火災等環境事故造成整個系統毀滅

電源故障造成設備斷電以至操作系統引導失敗或資料庫信息丟失

電磁輻射可能造成數據信息被竊取或偷閱

不能保證幾個不同機密程度網路的物理隔離

2、網路安全風險分析

內部網路與外部網路間如果在沒有採取一定的安全防護措施，內部網路容易遭到來自外網的攻擊。包括來自internet上的風險和下級單位的風險。

內部局網不同部門或用戶之間如果沒有採用相應一些訪問控制，也可能造成信息泄漏或非法攻擊。據調查統計，已發生的網路安全事件中，70%的攻擊是來自內部。因此內部網的安全風險更嚴重。內部員工對自身企業網路結構、應用比較熟悉，自已攻擊或泄露重要信息內外勾結，都將可能成為導致系統受攻擊的最致命安全威脅。

3、系統的安全風險分析

所謂系統安全通常是指網路操作系統、應用系統的安全。目前的操作系統或應用系統無論是Windows還是其它任何商用UNIX操作系統以及其它廠商開發的應用系統，其開發廠商必然有其Back-Door。而且系統本身必定存在安全漏洞。這些"後門"或安全漏洞都將存在重大安全隱患。因此應正確估價自己的網路風險並根據自己的網路風險大小作出相應的安全解決方案。

4、應用的安全風險分析

應用系統的安全涉及很多方面。應用系統是動態的、不斷變化的。應用的安全性也是動態的。比如新增了一個新的應用程序，肯定會出現新的安全漏洞，必須在安全策略上做一些調整，不斷完善。

4.1 公開伺服器應用

電信省中心負責全省的匯接、網路管理、業務管理和信息服務，所以設備較多包括全省用戶管理、計費伺服器、認證伺服器、安全伺服器、網管伺服器、DNS伺服器等公開伺服器對外網提供瀏覽、查錄、下載等服務。既然外部用戶可以正常訪問這些公開伺服器，如果沒有採取一些訪問控制，惡意入侵者就可能利用這些公開伺服器存在的安全漏洞（開放的其它協議、埠號等）控制這些伺服器，甚至利用公開伺服器網路作橋梁入侵到內部區域網，盜取或破壞重要信息。這些伺服器上記錄的數據都是非常重要的，完成計費、認證等功能，他們的安全性應得到100%的保證。

4.2 病毒傳播

網路是病毒傳播的最好、最快的途徑之一。病毒程序可以通過網上下載、電子郵件、使用盜版光碟或軟盤、人為投放等傳播途徑潛入內部網。網路中一旦有一台主機受病毒感染，則病毒程序就完全可能在極短的時間內迅速擴散，傳播到網路上的所有主機，有些病毒會在你的系統中自動打包一些文件自動從發件箱中發出。可能造成信息泄漏、文件丟失、機器死機等不安全因素。

4.3信息存儲

由於天災或其它意外事故，資料庫伺服器造到破壞，如果沒有採用相應的安全備份與恢復系統，則可能造成數據丟失後果，至少可能造成長時間的中斷服務。

4.4 管理的安全風險分析

管理是網路中安全最最重要的部分。責權不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。

比如一些員工或管理員隨便讓一些非本地員工甚至外來人員進入機房重地，或者員工有意無意泄漏他們所知道的一些重要信息，而管理上卻沒有相應制度來約束。當網路出現攻擊行為或網路受到其它一些安全威脅時（如內部人員的違規操作等），無法進行實時的檢測、監控、報告與預警。同時，當事故發生後，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對網路的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄，及時發現非法入侵行為。

建立全新網路安全機制，必須深刻理解網路並能提供直接的解決方案，因此，最可行的做法是管理制度和技術解決方案的結合。

安全需求分析

1、物理安全需求

針對重要信息可能通過電磁輻射或線路干擾等泄漏。需要對存放絕密信息的機房進行必要的設計，如構建屏蔽室。採用輻射干擾機，防止電磁輻射泄漏機密信息。對存有重要資料庫且有實時性服務要求的伺服器必須採用UPS不間斷穩壓電源，且資料庫伺服器採用雙機熱備份，數據遷移等方式保證資料庫伺服器實時對外部用戶提供服務並且能快速恢復。

2、系統安全需求

對於操作系統的安全防範可以採取如下策略：盡量採用安全性較高的網路操作系統並進行必要的安全配置、關閉一些起不常用卻存在安全隱患的應用、對一些關鍵文件（如UNIX下：/.rhost、etc/host、passwd、shadow、group等）使用許可權進行嚴格限制、加強口令字的使用、及時給系統打補丁、系統內部的相互調用不對外公開。

應用系統安全上，主要考慮身份鑒別和審計跟蹤記錄。這必須加強登錄過程的身份認證，通過設置復雜些的口令，確保用戶使用的合法性；其次應該嚴格限制登錄者的操作許可權，將其完成的操作限制在最小的范圍內。充分利用操作系統和應用系統本身的日誌功能，對用戶所訪問的信息做記錄，為事後審查提供依據。我們認為採用的入侵檢測系統可以對進出網路的所有訪問進行很好的監測、響應並作記錄。

3、防火牆需求

防火牆是網路安全最基本、最經濟、最有效的手段之一。防火牆可以實現內部、外部網或不同信任域網路之間的隔離，達到有效的控制對網路訪問的作用。

3.1省中心與各下級機構的隔離與訪問控制

防火牆可以做到網路間的單向訪問需求，過濾一些不安全服務；

防火牆可以針對協議、埠號、時間、流量等條件實現安全的訪問控制。

防火牆具有很強的記錄日誌的功能，可以對您所要求的策略來記錄所有不安全的訪問行為。

3.2公開伺服器與內部其它子網的隔離與訪問控制

利用防火牆可以做到單向訪問控制的功能，僅允許內部網用戶及合法外部用戶可以通過防火牆來訪問公開伺服器，而公開伺服器不可以主動發起對內部網路的訪問，這樣，假如公開伺服器造受攻擊，內部網由於有防火牆的保護，依然是安全的。

4、加密需求

目前，網路運營商所開展的VPN業務類型一般有以下三種：

1．撥號VPN業務（VPDN）2．專線VPN業務3．MPLS的VPN業務

移動互連網路VPN業務應能為用戶提供撥號VPN、專線VPN服務，並應考慮MPLSVPN業務的支持與實現。

VPN業務一般由以下幾部分組成：

（1）業務承載網路（2）業務管理中心（3）接入系統（4）用戶系統

我們認為實現電信級的加密傳輸功能用支持VPN的路由設備實現是現階段最可行的辦法。

5、安全評估系統需求

網路系統存在安全漏洞（如安全配置不嚴密等）、操作系統安全漏洞等是黑客等入侵者攻擊屢屢得手的重要因素。並且，隨著網路的升級或新增應用服務，網路或許會出現新的安全漏洞。因此必需配備網路安全掃描系統和系統安全掃描系統檢測網路中存在的安全漏洞，並且要經常使用，對掃描結果進行分析審計，及時採取相應的措施填補系統漏洞，對網路設備等存在的不安全配置重新進行安全配置。

6、入侵檢測系統需求

在許多人看來，有了防火牆，網路就安全了，就可以高枕無憂了。其實，這是一種錯誤的認識，防火牆是實現網路安全最基本、最經濟、最有效的措施之一。防火牆可以對所有的訪問進行嚴格控制（允許、禁止、報警）。但它是靜態的，而網路安全是動態的、整體的，黑客的攻擊方法有無數，防火牆不是萬能的，不可能完全防止這些有意或無意的攻擊。必須配備入侵檢測系統，對透過防火牆的攻擊進行檢測並做相應反應（記錄、報警、阻斷）。入侵檢測系統和防火牆配合使用，這樣可以實現多重防護，構成一個整體的、完善的網路安全保護系統。

7、防病毒系統需求

針對防病毒危害性極大並且傳播極為迅速，必須配備從伺服器到單機的整套防病毒軟體，防止病毒入侵主機並擴散到全網，實現全網的病毒安全防護。並且由於新病毒的出現比較快，所以要求防病毒系統的病毒代碼庫的更新周期必須比較短。

8、數據備份系統

安全不是絕對的，沒有哪種產品的可以做到百分之百的安全，但我們的許多數據需要絕對的保護。最安全的、最保險的方法是對重要數據信息進行安全備份，通過網路備份與災難恢復系統進行定時自動備份數據信息到本地或遠程的磁帶上，並把磁帶與機房隔離保存於安全位置。如果遇到系統來重受損時，可以利用災難恢復系統進行快速恢復。

9、安全管理體制需求

安全體系的建立和維護需要有良好的管理制度和很高的安全意識來保障。安全意識可以通過安全常識培訓來提高，行為的約束只能通過嚴格的管理體制，並利用法律手段來實現。因些必須在電信部門系統內根據自身的應用與安全需求，制定安全管理制度並嚴格按執行，並通過安全知識及法律常識的培訓，加強整體員工的自身安全意識及防範外部入侵的安全技術。

安全目標

通過以上對網路安全風險分析及需求分析，再根據需求配備相應安全設備，採用上述方案，我們認為一個電信網路應該達到如下的安全目標：

建立一套完整可行的網路安全與網路管理策略並加強培訓，提高整體人員的安全意識及反黑技術。

利用防火牆實現內外網或不信任域之間的隔離與訪問控制並作日誌；

通過防火牆的一次性口令認證機制，實現遠程用戶對內部網訪問的細粒度訪問控制；

通過入侵檢測系統全面監視進出網路的所有訪問行為，及時發現和拒絕不安全的操作和黑客攻擊行為並對攻擊行為作日誌；

通過網路及系統的安全掃描系統檢測網路安全漏洞，減少可能被黑客利用的不安全因素；

利用全網的防病毒系統軟體，保證網路和主機不被病毒的侵害；

備份與災難恢復---強化系統備份，實現系統快速恢復；

通過安全服務提高整個網路系統的安全性。

❹ 良好的網路設備安全配置管理原則

網路配置與管理
第一章
1. 計算機技術與通訊技術的緊密結合產生了計算機網路。它經歷了三個階段的發展過程：
具有通信功能的單機系統、具有通信功能的多機系統和計算機網路。
2. 計算機網路按邏輯功能分為資源子網和通信子網兩部分。
資源子網是計算機網路中面向用戶的部分，負責數據處理工作。
通信子網是網路中數據通信系統，它用於信息交換的網路節點處理機和通信鏈路組成，主要負責通信處理工作。
3. 網路設備，在現代網路中，依靠各種網路設備把各個小網路連接起來，形成了一個更大的網路，也就是Internet。網路設備主要包括：網卡（NIC）、數據機（Modem）、集線器（Hub）、中繼器（Repeater）、網橋（Bridge）、交換機（Switch）、路由器（Router）和網關（Gateway）等。
4. 集線器是一種擴展網路的重要設備，工作在物理層。中繼器工作在物理層，是最簡單的的區域網延伸設備，主要作用是放大傳輸介質上傳輸的信號。網橋，工作在數據鏈路層，用於連接同類網路。交換機分為二層交換機和三層交換機，二層工作在數據鏈路層，根據MAC地址轉發幀。三層交換機工作在網路層，根據網路地址轉發數據包。每個埠都有橋接功能，所有埠都是獨立工作的，連接到同一交換機的用戶獨立享受交換機每個埠提供的帶寬，因此用交換機來擴展網路的時候，不會出現網路性能惡化的情況，這是目前使用最多的網路擴展設備。路由器，工作在網路層，它的作用是連接區域網和廣域網。網關工作在應用層。
5. 傳輸介質，可分為有線傳輸介質和無線傳輸介質。
6. 計算機網路的分類，根據地理范圍可以分為區域網（LAN）、城域網（MAN）、廣域網（WAN）、和互聯網（Internet）4種。
7. 區域網的分類，區域網主要是以雙絞線為傳輸介質的乙太網，基本上是企業和事業的區域網。
8. 乙太網分為標准乙太網，快速乙太網，千兆乙太網和10G乙太網。
9. 令牌環網，在一種專門的幀稱為「令牌」，在環路上持續地傳輸來確定一個結點何時可以發送包。
10. FDDI網，光纖分布式數據介面。同IBM的令牌環網技術相似，並具有LAN和令牌環網所缺乏的管理、控制和可靠性措施。
11. ATM網，非同步傳輸模式，ATM使用53位元組固定長度的單元進行交換。ATM的優點：使用相同的數據單元，可實現廣域網和區域網的無縫連接。支持VLAN（虛擬區域網）功能，可以對網路進行靈活的管理和配置。具有不同的速率，分為25、51、155、622Mbps，從而為不同的應用提供不同的速率。ATM採用「信元交換」來代替「包交換」進行實驗，發現信元交換的速度是非常快的。
12. 無線區域網，所採用的是802.11系列標准，它也是由IEEE 802標准委員會制定的。目前一系列標准主要有4個標准：802.11b 802.11a 802.11g 802.11z，前三個標准都是針對傳輸速度進行的改進。802.11b，它的傳輸速度為11MB/S，因為它的連接速度比較低，隨後推出了802.11a標准，它的連接速度可達54MB/S。但由於兩者不兼容，所以推出了802.11g，這樣原有的802.11b和802.11a標準的設備都可以在同一網路中使用。802.11z是一種專門為了加強無線區域網安全的標准。因為無線區域網的「無線」特點，給網路帶來了極大的不安全因素，為此802.11z標准專門就無線網路的安全做了明確規定，加強了用戶身份認證制度，並對傳輸的數據進行加密。
13. 網路協議的三要素為：語法，語義，同步。
14. OSI參考模型是計算機網路的基本體系結構模型，通常使用的協議有：TCP/IP協議、IPX/SPX協議、NetBEUI協議等。
15. OSI模型將通信會話需要的各種進程劃分7個相對獨立的功能層次，從下到上依次是：物理層 數據鏈路層 網路層 傳輸層 會話層 表示層 應用層。
16. TCP/IP參考模型包括4個功能層：應用層 傳輸層 網際層及介面層
17. 協議組件 IP：網路層協議。 TCP:可靠的主機到主機層協議。 UDP：盡力轉發的主機到主機層協議。 ICMP：在IP網路內為控制、測試、管理功能而設計的多協議。
18. IP地址介紹，地址實際上是一種標識符，它能夠幫助找到目的站點，起到了確定位置的作用。IP 地址分為A B C DE類地址。
19. IP地址的使用規則：
20. 網路號全0的地址保留，不能作為標識網路使用。主機號全0的地址保留，用來標識網路地址。
網路號全1、主機號全0的地址代表網路的子網掩碼。
地址0.0.0.0：表示默認路由。
地址255.255.255.255：代表本地有限廣播。
主機號全1的地址表示廣播地址，稱為直接廣播或是有限廣播。可以跨越路由器。
21. 劃分子網後整個IP地址就分為三個部分：主網號，它對應於標准A,B,C類的網路號部分。借用主機位作為網路號的部分，這個被稱為子網號。剩餘的主機號。
22. 子網掩碼的意義，在掩碼中，用1表示網路位，用0表示主機位。
23. IPV4地址不夠用了，所以出現了IPV6地址。，在表示和書寫時，用冒號將128位分割成8個16位的段，這里的128位表示在一個IPV6地址中包括128個二進制數，每個段包括4位的16進制數字。
第二章
1. 路由器是一種網路連接設備，用來連接不同的網路以及接入Internet。
IOS是路由器的操作系統，是路由器軟體商的組成部分。
2. 路由器和PC機一樣，也需要操作系統才能運行。Cisco（思科）路由器的操作系統叫做IOS，路由器的平台不同、功能不同，運行的IOS也不相同。IOS是一個特殊格式的文件，對於IOS文件的命名，思科採用了特殊的規則。
4. 網路互連：把自己的網路同其他的網路互連起來，從網路中獲取更多的信息和向網路發布自己的消息。網路互連有多種方式，其中執行最多是網橋互連和路由器互連。
5. 路由動作包括兩項基本內容：尋徑和轉發。尋徑：判斷到達目的地的最佳路徑，由路由器選擇演算法來實現。
6. 路由選擇方式有兩種：靜態路由和動態路由。
7．RIP協議最初是為Xerox網路系統的Xerox parc通用協議設計的，是Internet中常用的路由協議。RIP採用距離向量演算法，也稱為距離向量協議。 RIP執行非常廣泛，它簡單，可靠，便於配置。
8．ROP已不能互連，OSPF隨機產生。它是網間工程任務組織的內部網關協議工作組為IP網路而開發的一種路由協議。是一種基於鏈路狀態的路由協議。
9.BGP是為TCP/IP互聯網設計的外部網關協議，用於多個自治域之間。
10．路由表的優先問題，它們各自維護的路由表都提供給轉發程序，但這些路由表的表項間可能會發生沖突。這種沖突可通過配置各路由表的優先順序來解決。通常靜態路由具有默認的最高優先順序，當其他路由表項與它矛盾時，均按靜態路由轉發。
11. 路由演算法有一下幾個設計目標：最優化 簡潔性 快速收斂性靈活性堅固性
路由演算法執行了許多種不同的度量標准去決定最佳路徑。
通常所執行的度量有：路徑長度。可靠性，時延。帶寬。負載通信成本等。
第三章
進入快速乙太網介面配置模式命令：Router（Config）#Interface Fasterthernet interface-number
配置IP地址及其掩碼的命令：Router（Config-if）#ip address ip-address ip-mask【secondary】
啟用介面的命令：Router（Config）#no shutdown
進入介面SO配置模式：Router1（config）#interface serial 0
配置路由器介面SO的IP地址：Router1(config-if)#ip address 172.16.2.1255.255.255.0
配置Router1的時鍾頻率（DCE）:Router1（config-if）#clock rate 64000
開啟路由器fastetherner0介面：Router1（config）#no shutdown
第四章
靜態路由的優點：1.沒有額外的路由器的cpu負擔2.節約帶寬3.增加安全性
靜態路由的缺點：1.網路管理員必須了解網路的整個拓撲結構
2.如果網路拓撲發生變化，管理員要在所有的路由上動手修改路由表
3.不適合於大型網路
默認路由是在路由選擇表中沒有對應於特定目標網路的條目是使用的路由
華為路由器配置默認路由：【RunterC】ip route-static 0. 0.0.0.0.0.0.0 192.168.40.1
靜態路由的默認管理距離：1
目前使用的動態路由協議又兩種：內部網關協議（IGP）和外部網關協議（RGP）
三種路由協議：距離矢量（Distance vector），鏈路狀態（Link state）和混合型（Hybrid）
RIP目前有兩個版本：RIPv1和RIPv2。RIPv1是個有類路由協議，而RIPv2是個無類路由協議
路由更新計時為：30秒 路由無效計時為：180秒保持停止計時為：大於等於180秒 路由刷新時間：240秒
復合度量包括4個元素：帶寬、延遲、負載、可靠性
訪問控制列表（ACL）是應用路由器介面的指令列表，這些指令列表用來告訴路由器哪些數據包可以接收，哪些數據包需要拒絕
ACL通過在訪問控制列表中對目的地進行歸類來管理通信流量，處理特定的數據包
ACL適用於所有的路由協議，如IP,IPX等
設置ACL的一些規則：
1. 按順序地比較，先比較第一行，再比較第二行，直到最後一行
2. 從第一行起，直到一個符合條件的行，符合以後，其餘的行就不再繼續比較下去
3. 默認在每個ACL中最後一行為隱含的拒絕，如果之前沒找到一條許可語句，意味著包將被丟棄
兩種主要的訪問控制列表：1.標准訪問控制列表2.擴展訪問控制列表
ACL號為1-99和1300-1999
擴展ACL使用的數字表號在100-199之間
第五章
交換機對數據包的轉發是建立在MAC地址基礎上
冗餘路徑帶來的問題：廣播風暴、重復幀拷貝、MAC地址表表項不穩定
STP（生成樹協議）的主要任務是防止2層的循環，STP使用生成樹演算法（STA）來創建拓撲資料庫
IEEE版本的STP的默認優先順序是32768，決定誰是根橋。假如優先順序一樣，那就比較MAC地址，MAC地址小的作為根橋
運行STP的交換機埠的5中狀態：堵塞、監聽、學習、禁用、轉發
交換機對於數據的轉發有一下三種方式：1.存儲-轉發式交換方 2.直通式交換方式 3.消除片斷式交換方式
可堆疊交換機就是指一個交換機中一般同時具有UP和DOWN堆疊埠
可堆疊交換機常用的堆疊方式有兩種：菊花型和星型
SVI埠的配置第三層邏輯介面稱為：SVI P168
交換環境中的兩種連接類型：access links、trunk links
附加VLAN 信息的方法，最具代表性的有：Inter-Switch link（ISL）、IEEE 802.1Q(俗稱dot 1 Q)
當出現違反埠安全原則的情況時，埠有一下幾種措施：
Suspend（掛起）：埠不再工作，直到有數據幀流入並帶有合法的地址
Disable（禁用）：埠不再工作，除非人工使其再次啟用
Ignore（忽略）：忽略其違反安全性，埠仍可工作
計算機網路按邏輯功能可分為資源子網和通信子網兩部分
網卡工作在網路模型的物理層
集線器是多埠中繼器，工作在網路模型的物理層，所有埠共享設備
寬頻
中繼器工作在網路模型的物理層，是區域網的延伸設備。
網橋工作在網路模型的數據鏈路層，用於連接同類網路
交換機工作在網路模型的數據鏈路層，根據MAC地址轉發數據幀，每個埠
獨占寬頻。
路由器工作在網路模型的網路層，根據IP地址轉發數據包。
網關
網路有線通信介質通常包括雙絞線、同軸電纜、光纜等
計算機網路按地里范圍可以分為LAN、MAN、WAN、INTERNET
標准乙太網寬頻為10Mbps,實用CSMA/CD的訪問控制方法，遵循
IEEE802.3標准，使用雙絞線和同軸電纜為介質
10Base-5，使粗同軸電纜，最大網段長度500M，基帶傳輸
10Base-2，使細同軸電纜，最大網段長度185M，基帶傳輸
10Base-T，使雙絞線，最大網段長度100M
快速乙太網寬頻為100Mbps，使用CSMA/CD的訪問控制方法，使用雙絞線
和光纖
100Base-TX，使雙絞線，使用2對線路傳輸信號
100Base-T4，使雙絞線，使用4對線路傳輸信號
100Base-FX，使用光纖，使用4B/5B編碼方式
令牌環網，使用專門的數據幀稱為令牌，傳送數據
FDDI光纖分布式數據介面，使用光纖為傳輸介質，採用令牌傳遞數據
ATM非同步傳輸模式使用53位元組固定長度的信元傳輸數據
無線區域網WLAN採用802.11系列標准，有802.11a、802.11b、802.11g、
802.11n、802.11z
網路協議是計算機網路體系結構中關鍵要素之一，它的三要素為：語法、
語義、同步
TCP/IP中文為傳輸控制協議/互聯網協議，是internet的基礎協議，使用IP
地址通信
IPX/SPX中文為NetBIOS增強用戶介面，特點是簡單、通信效率高的廣播型協
議
OSI參考模型七層：物理層、數據鏈路層、網路層、傳輸層、會話層、表示
層、應用層
物理層：傳送單位是比特流，定義物理特性
數據鏈路層：傳送單位是數據幀，確保鏈路連接
網路層：傳送單位是數據包，提供網間通信
傳輸層：傳送單位是信息，提供端到端的可靠傳輸
會話層：管理通信雙發會話
表示層：負責數據編碼轉換
應用層：提供應用服務介面
TCP/IP模型四層：網路介面層、網際層、傳輸層、應用層
應用層協議：Telnet、FTP、SMTP、HTTP等 傳輸層協議：TCP、UDP
網際層協議：IP、ICMP、IGMP
網路介面層協議：ARP、RARP

❺ 網路安全管理包括什麼內容

網路安全管理是一個體系的東西，內容很多
網路安全管理大體上分為管理策略和具體的管理內容，管理內容又包括邊界安全管理，內網安全管理等，這里給你一個參考的內容，金牌網管員之網路信息安全管理，你可以了解下：
http://www.ean-info.com/2009/0908/100.html
同時具體的內容涉及：
一、信息安全重點基礎知識
1、企業內部信息保護
信息安全管理的基本概念：
信息安全三元組，標識、認證、責任、授權和隱私的概念，人員角色
安全控制的主要目標：
安全威脅和系統脆弱性的概念、信息系統的風險管理
2、企業內部信息泄露的途徑
偶然損失
不適當的活動
非法的計算機操作
黑客攻擊：
黑客簡史、黑客攻擊分類、黑客攻擊的一般過程、常見黑客攻擊手段
3、避免內部信息泄露的方法
結構性安全（PDR模型）
風險評估：
資產評估、風險分析、選擇安全措施、審計系統
安全意識的培養
二、使用現有安全設備構建安全網路
1、內網安全管理
內網安全管理面臨的問題
內網安全管理實現的主要功能：
軟硬體資產管理、行為管理、網路訪問管理、安全漏洞管理、補丁管理、對各類違規行為的審計
2、常見安全技術與設備
防病毒：
防病毒系統的主要技術、防病毒系統的部署、防病毒技術的發展趨勢
防火牆：
防火牆技術介紹、防火牆的典型應用、防火牆的技術指標、防火牆發展趨勢
VPN技術和密碼學：
密碼學簡介、常見加密技術簡介、VPN的概念、VPN的分類、常見VPN技術、構建VPN系統
IPS和IDS技術：
入侵檢測技術概述、入侵檢測系統分類及特點、IDS結構和關鍵技術、IDS應用指南、IDS發展趨勢、入侵防禦系統的概念、IPS的應用
漏洞掃描：
漏洞掃描概述、漏洞掃描的應用
訪問控制：
訪問控制模型、標識和認證、口令、生物學測定、認證協議、訪問控制方法
存儲和備份：
數據存儲和備份技術、數據備份計劃、災難恢復計劃
3、安全設備的功能和適用范圍
各類安全設備的不足
構建全面的防禦體系
三、安全管理體系的建立與維護
1、安全策略的實現
安全策略包含的內容
制定安全策略
人員管理
2、物理安全
物理安全的重要性
對物理安全的威脅
對物理安全的控制
3、安全信息系統的維護
安全管理維護
監控內外網環境

❻ 網路要保證安全在設備上怎樣做，如路由器交換機的配置

路由器安全策略示例：

1. 路由器上不得配置用戶賬戶。

2. 路由器上的enable password命令必須以一種安全的加密形式保存。

3. 禁止IP的直接廣播。

4. 路由器應當阻止源地址為非法地址的數據包。

5. 在本單位的業務需要增長時，添加相應的訪問規則。

6. 路由器應當放置在安全的位置，對其物理訪問僅限於所授權的個人。

7. 每一台路由器都必須清楚地標識下面的聲明：

「注意：禁止對該網路設備的非授權訪問。您必須在獲得明確許可的情況下才能訪問或配置該設備。在此設備上執行的所有活動必須加以記錄，對該策略的違反將受到紀律處分，並有可能被訴諸於法律。」

每一台網路交換機必須滿足以下的配置標准：

1. 交換機上不得配置用戶賬戶。

2. 交換機上的enable password命令必須以一種安全的加密形式保存。

3. 如果交換機的MAC水平的地址能夠鎖定，就應當啟用此功能。

4. 如果在一個埠上出現新的或未注冊的MAC地址，就應當禁用此埠。

5. 如果斷開鏈接後又重新建立鏈接，就應當生成一個SNMP trap.

6. 交換機應當放置在安全的位置，對其物理訪問僅限於所授權的個人。

7. 交換機應當禁用任何Web 伺服器軟體，如果需要這種軟體來維護交換機的話，應當啟動伺服器來配置交換機，然後再禁用它。對管理員功能的所有訪問控制都應當啟用。

8. 每一台交換機都必須清楚地標識下面的聲明：

「注意：禁止對該網路設備的非授權訪問。您必須在獲得明確許可的情況下才能訪問或配置該設備。在此設備上執行的所有活動必須加以記錄，對該策略的違反將受到紀律處分，並有可能被訴諸於法律。」這些安全要求未必適合你單位的情況，僅供參考。

❼ 網路設備配置與管理實戰詳解的內容簡介

《從網管員到CTO:網路設備配置與管理實戰詳解》採用任務驅動式寫作方式，以應用需求引出相關技術，針對構建網路的重要物理設備——交換機、路由器和無線設備，涵蓋了原理、參數、分類、適用、規劃、介面、連接、配置、管理、監控、故障等諸多方面，體現並融合了最新技術、最新設備和最新應用，是一整套緊貼網路搭建、配置和管理實際的完全硬體解決方案。
全書共分為19章，主要內容包括：通過Web、CAN和CLI配置與管理交換機，交換機VLAN、VTP與冗餘連接配置，交換機IP路由與安全配置，交換機日誌與監控配置，使用SDM和CLI配置路由器，IP動態路由與QoS配置，安全設備的埠與連接，使用ASDM配置安全設備，使用Web配置無線網路，配置無線網路控制器，網路設備統一管理，網路設備故障及千兆乙太網解決方案等。
《從網管員到CTO:網路設備配置與管理實戰詳解》採用全新的寫作理念，以任務為驅動，以需求為目標，將服務模塊化，將技術條理化，容納了幾乎所有重要的、常用的網路管理工具軟體，涉及了各種典型的、復雜的應用場景，語言通俗易懂，內容豐富翔實，既可作為網路管理初學者的指導用書，又可作為資深網路管理員的參考用書。

❽ 這是一個網路設備配置與管理的問題，急！！！ 公司需要構建一個企業網路，公司四個部門，行政部

老闆。。你這個已經完全是一個網路的規劃了。
1、拓撲圖我就沒時間給你畫了，而且我也不清楚你的用戶需求。
2、網路設備是這樣的。首先你需要一個路由器，當然需要買好一點的需要買一個企業路由例如H3C的ER3200差不多的，裡面就會有你需要的大部分功能，一般現在的路由裡面都會集成簡單的防火牆，還有以後可能會用到的vpn，裡面還有劃分網段的vlan。
3、需要買交換機，看菜吃飯，錢不是問題的買帶網管功能的交換機，一個部門一個然後匯集到一個總的，伺服器一類的網線全部接到這個總的交換機，主交換機請買千兆的。技術不是問題的就一個部門一個網段。技術不是這么好的，把自動分配ip地址的DHCP關掉手動分配ip並綁定物理地址（按照你說的也就60個ip一個網段足夠用了），在路由器上將可上網和不可上網的就可以劃分黑白名單。每個部門預留分配一部分ip建立一個表方便後期刪減和維護，例如行政10台機器，你劃分15個連續的ip，技術20台機器，可以劃分30或35個ip等等，需要考慮到後期的擴容。一個地址段能有250多個ip所以足夠暫時公司的使用了。
4、我不太明白你說的網路設備配置報告指的是什麼，如果指的是設置那就可以將設置了那些東西寫出來即可。
5、信息安全要求和管理網路安全策略，這個也是看公司需求，基本上就是越詳細的配置和策略要求對應的後期維護要求越高，例如只是某些機器上網，那就比較簡單，如果要求某些機器，限制只能上某些網站，那就對設備的要求會比較高和你需要建立的規則較多，出問題時查障需要花的時間就越多。
也許我說的不是你想要的。但這個需要相對專業的人員來做，而不是我這里寫出來你直接拿來用，只能做參考，看實際需要進行修改，最後建議，現在的網路要求和硬體設備都比較好了。所以建議交換機買千兆的，網線買六類的，同時水晶頭也要買對應的。貪便宜只會令後期維護成本更高。