非法窃取、篡改或泄漏，使数据具有极高的可信性。 (8) 兼容性和经济性
兼容性，能够最大限度地保证公司现有各种计算机软、硬件资源的可用性和连续性，为不同的现存网络提供互联和升级的手段，保证各种在用计算机系统（包括工作站、服务器和微机等设备）的互连入网，充分利用现有网络资源，发挥高速网络的优势。经济性，就是在充分利用现有资源的情况下，最大限度地降低网络系统的总体投资，有计划、有步骤地实施，在保证网络整体性能的前提下，充分利用现有设备或做必要的升级。
2.2 系统设计目标
本课题设计就是本市XX物流公司为实例，XX物流公司内部网络增设防火墙等设备，交换机配置VLAN，路由器配置策略，保证总部内数据安全。同时增设WEB服务器，实施电子商务业务，根据业务需求实施公司总部、仓库之间和老客户的VPN专网部署。网络建设完成后，保证公司总部局域网状态稳定，仓库数据库访问安全，公司基于网络的业务运转正常。
2.3 关键技术说明
2.3.1 局域网技术的特点
局域网LAN (Local Area Network)，是指范围在几十米到几千米内办公楼群或校园内的计算机相互连接所构成的计算机网络。一个局域网可以容纳几台至几千台计算机。按局域网现在的特性看，计算机局域网被广泛应用于校园、工厂及企事业单位的个人计算机或工作站的组网方面。从广义上讲，局域网(LAN)是联网距离有限的数据通信系统，它支持各种通信设备的互连，并以廉价的媒体提供宽频带的通信来完成信息交换和资源共享，而且通常是为用户自己所专有的。 局域网经过了近三十年的发展，尤其是快速以太网(100Mb/s)和吉比特以太网(1Gb/s)、10吉比特以太网(10Gb/s)进入市场后，以太网已经在局域网市场中占据了绝对优势。现在以太网几乎成了局域网的同义词，因此本次毕业设计中主要讨论以太网技术。 (1) 传统以太网
以太网（Ethernet）是以CSMA/CD方式工作的典型网络。由于以太网的工业
6
标准是由DEC、Intel和Xerox三家公司合作制定，故又称为DIX规范。在此基础上，IEEE802委员会的802工作组于1983年制定了第一个IEEE的以太网标准，其编号为802.3，数据率为10Mb/s。 (2) 快速以太网
快速以太网（Fast Ethernet）是传统以太网的100Mbps版本，是以太网最直接和简单的延伸。它可以应用在共享式环境下，同时也可以应用在交换式环境下，并可作为主干技术提供优异的服务质量。快速以太网和传统以太网同样遵循CSMA/CD协议，最方便的实现10Mbps LAN无缝连接到100Mbps LAN上，最大限度的保护用户的现有投资。 (3) 吉比特以太网
吉比特以太网（Gigabit Ethernet）又称为千兆以太网，是IEEE802.3z以太网的标准，传输速度为每秒1000兆位（即1Gbps）。应用于大型信息网，能与现有的10Mbps以太网和100Mbps快速以太网连接。它可取代100Mbps FDDI网，也是ATM技术的强劲对手。吉比特以太网采用同样的CSMA/CD协议，同样的帧格式，是现有以太网最自然的升级途径，使用户对原有设备的投资得以保护。
2.3.2 虚拟局域网技术的特点
1. VLAN的定义
VLAN是英文Virtual Local Area Network的缩写，即虚拟局域网。一方面，VLAN建立在局域网交换机的基础之上；另一方面，VLAN是局域交换网的灵魂。这是因为通过VLAN用户能方便地在网络中移动和快捷地组建宽带网络，而无需改变任何硬件和通信线路。
这样，网络管理员就能从逻辑上对用户和网络资源进行分配，而无需考虑物理连接方式。VLAN充分体现了现代网络技术的重要特征：高速、灵活、管理简便和扩展容易。是否具有VLAN功能是衡量局域网交换机的一项重要指标。网络的虚拟化是未来网络发展的潮流。
VLAN与普通局域网从原理上讲没有什么不同，但从用户使用和网络管理的角度来看，VLAN与普通局域网最基本的差异体现在：VLAN并不局限于某一网络或物理范围，VLAN中的用户可以位于一个园区的任意位置，甚至位于不同的国家。
2. VLA N的优点 (1) 控制网络的广播风暴
7
采用VLAN技术，可将某个交换端口划到某个VLAN中，而一个VLAN的广播风暴不会影响其它VLAN的性能。 (2) 确保网络安全
共享式局域网之所以很难保证网络的安全性，是因为只要用户插入一个活动端口，就能访问网络。而VLAN能限制个别用户的访问，控制广播组的大小和位置，甚至能锁定某台设备的MAC地址，因此VLAN能确保网络的安全性。 (3) 简化网络管理
网络管理员能借助于VLAN技术轻松管理整个网络。例如需要为完成某个项目建立一个工作组网络，其成员可能遍及全国或全世界，此时，网络管理员只需设置几条命令，就能在几分钟内建立该项目的VLAN网络，其成员使用VLAN网络，就像在本地使用局域网一样。
2.3.3 VPN专网技术的特点
VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一 样，但是它并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。VPN技术原是路由器具有的重要技术之一，目前在交换机，防火墙设备或Windows 2000等软件里也都支持VPN功能，一句话，VPN的核心就是在利用公共网络建立虚拟私有网。
虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。 虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
2.3.4 防火墙技术的特点
防火墙是网络安全的屏障，配置防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙是指一个由软件或和硬件设备组合而成，处于企业
8
或网络群体计算机与外界通道之间，限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。当一个网络接上Internet之后，系统的安全除了考虑计算机病毒、系统的健壮性之外，更主要的是防止非法用户的入侵，而目前防止的措施主要是靠防火墙技术完成。防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。防火墙可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有安全软件(如口令、加密、身份认证)配置在防火墙上。其次对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。再次防止内部信息的外泄。利用防火墙对内部网络的划分，可实现内部网络中重点网段的隔离，从而降低了局部重点或敏感网络安全问题对全局网络造成的影响。防火墙技术一般分为两类：网络级防火墙和应用级防火墙。网络级防火墙主要是用来防止整个网络出现外来非法入侵。属于这类的有分组过滤器和授权服务器。前者检查所有流入本网络的信息，然后拒绝不符合实现制定好的一套准则的数据，而后者则是检查用户的登录是否合法。应用级防火墙主要从应用程序来进行接入控制。同时防火墙在网络安全防护方面也存在着明显的不足，它不能防止内部攻击；不能防止未经过防火墙的攻击；不能取代杀毒软件；也不易防止反弹端口木马攻击。
我们在物流总公司及地方分支机构的网络构建上应用防火墙的设置，这就相当于给整个网络加上了一道“大门”，所有的访问者必须进过防火墙才可以进入，这样我们就可以首先将一部分非法用户隔离在网络之外并组织一部分计算即将病毒的侵入。
2.3.5 入侵检测技术的特点
入侵检测系统(Intrusion Detection System简称IDS)是从多种计算机系统及网络系统中收集信息，再通过这此信息分析入侵特征的网络安全系统。IDS被认为是防火墙之后的第二道安全闸门，它能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击；在入侵攻击过程中，能减少入侵攻击所造成的损失；在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入策略集中，增强系统的防范能力，避免系统再次受到同类型的入侵。入侵检测的作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及
9
时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。
入侵检测技术的功能主要体现在以下方面：监视分析用户及系统活动，查找非法用户和合法用户的越权操作。检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞；识别反映已知进攻的活动模式并向相关人士报警；对异常行为模式的统计分析；能够实时地对检测到的入侵行为进行反应；评估重要系统和数据文件的完整性；可以发现新的攻击模式。
我们使用入侵检测技术作为防火墙的后的第二道防线，防火墙是我们的“大门”那么当入侵者通过“大门”进入院子（内部网络）开始进行攻击时，入侵检测系统将第一时间发现并报警提醒，驱逐不法入侵攻击。并在被入侵之后收集相关信息。添加到应对策略中，避免再次被同类型的手段入侵。这样就进一步的将一些不被授权的访问者驱逐，再次提升网络的安全级别，使我们的网络更加安全。
2.3.6 数据加密技术的特点
与防火墙相比，数据加密与用户授权访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。
数据加密技术主要分为数据传输加密和数据存储加密。数据加密过程就是通过加密系统把原始的数字信息(明文)，按照加密算法变换成与明文完全不同得数字信息(密文)的过程。数据加密主要用于对动态信息的保护。动态数据的攻击分为主动攻击和被动攻击。对于主动攻击，虽无法避免，但却可以有效地检测；而对于被动攻击，虽无法检测，但却可以避免，实现这一切的基础就是数据加密。数据加密实质上是对以符号为基础的数据进行移位和置换的变换算法，这种变换是受“密钥”控制的。在传统的加密算法中，加密密钥与解密密钥是相同的，或者可以由其中一个推知另一个，称为“对称密钥算法”。这样的密钥必须秘密保管，只能为授权用户所知，授权用户既可以用该密钥加密信急，也可以用该密钥解密信息，DES是对称加密算法中最具代表性的算法。如果加密/解密过程各有不相干的密钥，构成加密/解密的密钥对，则称这种加密算法为“非对称加密算法”或称为“公钥加密算法”，相应的加密/解密密钥分别称为“公钥”和“私钥”。在公钥加密算法中，公钥是公开的，任何人可以用公钥加密信息，再将密文发送给私钥拥有者。私钥是保密的，用于解密其接收的公钥加密过的信息。典型的公钥加密算法如RSA是目前使用比较广泛的加密算法。在保障信息安全各种功能特
10