一.網(wǎng)絡出口安全問題

二.網(wǎng)絡帶寬管理問題

三.網(wǎng)絡架構問題

四.無線網(wǎng)絡覆蓋問題

• 解決方案：

• 五.桌面運維管理問題

• 六.服務器數(shù)據(jù)安全問題

• 七.施工說明

• 八.預算清單

word版的詳細方案見問微信群，群共享鏈接，弱電更新文件夾。

一.網(wǎng)絡出口安全問題

集團公司網(wǎng)絡出口設備應配備1臺華為路由器，該產(chǎn)品主要用于集團公司上網(wǎng)用戶的IP地址轉(zhuǎn)換，外網(wǎng)光纖鏈路為電信50M，由于路由器未提供安全功能模塊，集團公司的網(wǎng)絡安全受到很大危險，同時集團公司的銷售人員在出差時需遠程訪問公司內(nèi)網(wǎng)業(yè)務系統(tǒng)，現(xiàn)有設備沒有防火墻、入侵檢測、VPN等功能，某些功能需要購買軟件授權才可以實現(xiàn)。急需對全集團公司網(wǎng)絡安全進行改造。

解決方案：新購一臺網(wǎng)絡安全網(wǎng)關UTM，該產(chǎn)品具備高級功能，同時提供VPN、AV、IDP等多種功能，UTM區(qū)別于傳統(tǒng)防火墻，能分析網(wǎng)絡3-4層數(shù)據(jù)報文，自帶的規(guī)則庫能識別90%的病毒，阻止非法的網(wǎng)絡攻擊，如非法掃描，漏洞探測，僵尸網(wǎng)絡，暴力破解等。通過配置SSL VPN可以實現(xiàn)遠程用戶以安全的虛擬通道連接到集團公司內(nèi)網(wǎng)訪問業(yè)務系統(tǒng)，SSL VPN支持在手機、電腦終端任意訪問，不再限制用戶的訪問終端類型。公司領導可以在家、出差，上下班路上，輕松連接到內(nèi)網(wǎng)進行相關工作流程的簽發(fā)，實現(xiàn)了智能終端設備的安全移動辦公。

二.網(wǎng)絡帶寬管理問題

集團公司網(wǎng)絡基礎平臺2013年建設完成，互聯(lián)網(wǎng)接入電信帶寬50M，現(xiàn)階段對用戶上網(wǎng)的行為，上網(wǎng)的帶寬，訪問的應用沒有任何安全控制，如：員工上網(wǎng)在論壇發(fā)帖，評論、轉(zhuǎn)發(fā)，撰寫法X功，非法言論，因公司沒有相應的管控設備，無法定位和查看是發(fā)送者身份，將會給集團公司造成很大負面影響。公安部82號令，要求能夠記錄終端用戶訪問網(wǎng)站的日志，對外發(fā)的內(nèi)容可以進行審計以及關鍵字過濾。

解決方案：新采購一臺上網(wǎng)行為管理設備，部署在機房，可以實現(xiàn)對陜西核工業(yè)集團公司網(wǎng)絡帶寬管理、網(wǎng)絡行為管理，通過該設備可以配置相應的流量管理策略，可基于用戶角色或者時間段來分配帶寬管理策略?？刂芇2P下載、在線應用，通過部署了上網(wǎng)行為管理設備，可以靈活、有效的控制和解決陜西核工業(yè)集團公司網(wǎng)絡帶寬及用戶訪問行為，提升網(wǎng)絡安全，實現(xiàn)網(wǎng)絡可視化管理。上網(wǎng)行為管理設備有如下四大主要功能特點：

• 內(nèi)容過濾；
• 應用控制；
• 帶寬管理；
• 內(nèi)容審計；

三.網(wǎng)絡架構問題

集團公司基礎網(wǎng)絡建設處于起步階段，

新購置一臺千兆三層的核心交換機，新購的核心交換機配置為用戶終端網(wǎng)關設備，通過虛擬局域網(wǎng)（VLAN）技術按照樓層的辦公區(qū)域劃分不同的VLAN，不同的VLAN之間不能直接訪問，通過三層交換機的路由實現(xiàn)了不同VLAN的互訪，配置了VLAN之后，即使有終端機器感染網(wǎng)絡病毒產(chǎn)生的廣播報文只在本部門VLAN內(nèi)廣播，不會影響其他部門VLAN，這樣大大降低了病毒對網(wǎng)絡影響的范圍，保護了內(nèi)網(wǎng)的安全性。核心交換機的強大的背板帶寬和包轉(zhuǎn)發(fā)率能保證用戶的數(shù)據(jù)請求無阻塞的完成轉(zhuǎn)發(fā)，沒有網(wǎng)絡瓶頸。

四.無線網(wǎng)絡覆蓋問題

集團公司辦公樓共11層，幾乎每個辦公室都需要無線接入的需求，公司員工的筆記本、手機都有訪問無線用于移動辦公，訪客室、會議室都要求接入無線?，F(xiàn)階段無線接入是通過購買了家用型磊科無線路由器產(chǎn)品來實現(xiàn)的。購買的無線路由器需要逐個安裝調(diào)試，按照這樣的發(fā)展趨勢，辦公樓出現(xiàn)了非常多的家用型無線設備。

出現(xiàn)常見的問題有：無線信號不穩(wěn)定、頻繁掉線、相互之間干擾嚴重、無法集中統(tǒng)一管理所有無線設備、無線網(wǎng)絡安全無法控制，非法設備搶占空口資源，管理員經(jīng)常奔波于每個辦公室處理無線連接問題。

解決方案：

1. 簡單高效的AC 瘦AP網(wǎng)絡架構

針對集團公司需要對網(wǎng)絡設備實行統(tǒng)一管理的要求，采用了AC 瘦AP網(wǎng)絡架構，并結合功能強大的華為eSight無線網(wǎng)管功能，不僅可以做到AP的統(tǒng)一配置和集中管理，從無線網(wǎng)絡配置、故障定位和快速恢復等方面，全面提升無線網(wǎng)絡的運維管理效率，讓公司網(wǎng)絡管理方既省心又省力；另一方面，在AC射頻管理中采用華為自研的高級優(yōu)化算法，實現(xiàn)無線覆蓋的快速調(diào)整和優(yōu)化，保證無線網(wǎng)絡性能。

2. 內(nèi)外網(wǎng)統(tǒng)一的無線訪問

通過VAP/SSID，設置內(nèi)外網(wǎng)為一張物理網(wǎng)絡，并且安全隔離出內(nèi)網(wǎng)、外網(wǎng)，極大的簡化了布線成本和對施工的要求；并且易于維護，支撐未來的業(yè)務擴展。

3. 穩(wěn)定可靠的無線連接

通過雙頻、自動信道選擇調(diào)整、高可靠的無線網(wǎng)絡設計，保障集團公司網(wǎng)絡干擾小，信號穩(wěn)定，單設備故障不影響業(yè)務等，實現(xiàn)穩(wěn)定的無線辦公環(huán)境。

五.桌面運維管理問題

集團公司計算終端約30臺，當前企業(yè)在對人員的管理主要是基于傳統(tǒng)的桌面進行管理，主要采用微軟組策略或者第三方的管理軟件或硬件對終端桌面進行控制，例如：

• 禁止USB口，防止用戶利用USB設備拷貝數(shù)據(jù)
• 禁止藍牙和紅外設備，防止用戶通過藍牙和紅外設備傳輸數(shù)據(jù)
• 對數(shù)據(jù)進行加密，防止文件外泄造成信息外流

但是這些手段并不能很好地解決當前問題，仍然存在以下風險：

• 目前需要第三方的軟件禁止USB訪問，但是都在客戶端實現(xiàn)，具有技術背景的開發(fā)人員可以繞開軟件，通過USB設備將數(shù)據(jù)拷貝出來
• 目前的的軟件對藍牙和紅外設備的管理能力有限
• 對數(shù)據(jù)進行加密，開發(fā)人員可以通過各種手段進行反向破解
• 移動設備的普及使得用戶可以不通過傳統(tǒng)存儲設備，利用藍牙和紅外將數(shù)據(jù)傳輸?shù)绞謾C等設備上
• 用戶也可以通過將硬盤PC上拆卸下來，帶走通過其他PC進行拷貝，而這些手段實施也存在以下的問題和局限：當前解決方案都是在客戶端實現(xiàn)，而開發(fā)人員可以通過各種手段將并不處于管理員可控范圍內(nèi)的客戶端上的數(shù)據(jù)拷貝出來；開發(fā)人員使用桌面上各種應用的行為無法記錄，對于不合理行為無法進行控制；采用多種軟硬件技術進行管控，成本高，效果差，像補丁一樣對各個潛在風險進行修補，無法根本上解決問題；為了滿足業(yè)務需求，目前開發(fā)人員都必須得在企業(yè)進行開發(fā)，占用企業(yè)大量的設備，場地，整個開發(fā)成本高。

使用虛擬桌面解決方案可以很好地解決上述問題：

• 由于虛擬桌面是基于服務器計算的模式，所有的計算都是發(fā)生在服務器上，即運行在服務器上的虛擬操作系統(tǒng)（xp，vista，windows 7），所有數(shù)據(jù)都在服務器上產(chǎn)生，所以可以從根本上控制數(shù)據(jù)的訪問和使用，即通過策略限制將產(chǎn)生的數(shù)據(jù)存儲在本地磁盤，USB設備上。
• 利用遠程訪問協(xié)議高效性，以及對數(shù)據(jù)的安全訪問機制，開發(fā)團隊可以通過網(wǎng)絡包括vpn網(wǎng)絡遠程進行開發(fā)，而無需在企業(yè)規(guī)定的開發(fā)場地，占用大量的資源。
• 通過提供虛擬桌面，企業(yè)無需為開發(fā)方的團隊提供設備，或者對這些設備進行全面管理和支持，可以讓開發(fā)方使用自己的設備，只需要網(wǎng)絡進行管理，訪問受控的、安全的、開發(fā)虛擬桌面。開發(fā)環(huán)境被分為可控的虛擬開發(fā)環(huán)境與物理的自有環(huán)境，在滿足開發(fā)人員的特殊需求同時，能夠管控開發(fā)環(huán)境，減少企業(yè)IT人員的管理復雜性。
• 可以利用服務器的資源動態(tài)進行調(diào)整，滿足用戶的需求，而不需要采購新的PC滿足需求。
• 虛擬桌面最大限度共享資源，大大降低能源消耗和碳排放量。

當然虛擬桌面解決方案本身實施中也有一些需要克服的障礙：

• 需要采用虛擬桌面的解決方案，將傳統(tǒng)的桌面計算轉(zhuǎn)換到服務器計算，所以需要投入一定數(shù)量的服務器與軟件
• 已有的投入的桌面由于計算壓力的調(diào)整，可能無法充分發(fā)揮其計算能力
• 虛擬桌面方案需要網(wǎng)絡的支持，實現(xiàn)不受地域的訪問，當然對于企業(yè)的應用開發(fā)，網(wǎng)絡連接是最起碼的基礎要求
• 由于桌面使用方式產(chǎn)生了一定的變化，需要對用戶的使用習慣進行調(diào)整
• 由于在工作過程中，虛擬桌面也是需要連接到網(wǎng)絡進行工作的，所以虛擬桌面本身并不能解決數(shù)據(jù)通過網(wǎng)絡傳輸外泄的風險，但是由于只有這一條潛在外泄通道，企業(yè)IT管理人員可以通過網(wǎng)絡工具和設備來對網(wǎng)絡進行管理，解決這一問題
• 從整體對比來看，虛擬桌面解決方案從數(shù)據(jù)安全的角度，相對于傳統(tǒng)本地桌面，從成本，管理，安全和環(huán)保層面，都有很大優(yōu)勢，而且已經(jīng)成為了未來趨勢。

六.服務器數(shù)據(jù)安全問題

集團公司現(xiàn)應配備聯(lián)想服務器1臺，用于支撐公司財務系統(tǒng)運行，財務數(shù)據(jù)保存在服務器本地硬盤。財務報表等數(shù)據(jù)是集團公司最機密的信息，一旦服務器系統(tǒng)損壞或者硬盤故障，將面臨集團公司無法訪問財務系統(tǒng)，嚴重情況下將會導致數(shù)據(jù)丟失。同時現(xiàn)有服務器只承載了一個業(yè)務系統(tǒng)，服務器的CPU，內(nèi)存等物理資源長期利用率在3%以下，造成資源了極大浪費，但因為現(xiàn)有的服務器建設架構無法提高服務器硬件資源利用率，需改變現(xiàn)在服務器部署模式來改善這些問題。

解決方案：

為了提升服務器硬件資源利用率，保護財務系統(tǒng)數(shù)據(jù)安全性，即使服務器系統(tǒng)及硬件出現(xiàn)故障仍能保持業(yè)務連續(xù)性，我們建議客戶采用服務器虛擬化的解決方案來改善集團公司業(yè)務的部署模式。新購3臺服務器及一套統(tǒng)一存儲，新購的兩臺服務器和現(xiàn)有一臺服務器，用于構建一套資源池，通過虛擬化軟件實現(xiàn)CPU、內(nèi)存、硬盤、網(wǎng)絡等資源的池化，可以針對某個應用按需分配資源，實現(xiàn)服務器高可用，保護數(shù)據(jù)安全可高，服務器只用來承載業(yè)務系統(tǒng)，業(yè)務系統(tǒng)產(chǎn)生的生產(chǎn)數(shù)據(jù)通過高速光纖鏈路傳送到存儲上。

七.施工說明

集團會議室是8M*6M的投影的位置在兩個半徑的中心交叉點，每個房間的東面、西面和南面要保證一個5孔插座和RJ45接口面板，會議室與視頻會議需要對接，輔材需要一根電源線和2跟VGA視頻連接線。視頻線和電源線的長度為地面高度和房間半徑長度總和延長2米。建議長度9M

八.預算清單