快速业务通道

网管必学 中小企业安全路由器配置

作者 佚名技术 来源 网络技术 浏览 发布时间 2012-07-02
网络安全,对于中小企业网管来说已是一门必修课。本文作者收集了Qno侠诺在中国各地支持企业用户的心得,供读者参考。首先,我们从基本配置谈起,即路由器的广域网及局域网如何进行配置,主要的目的,让中小企业用户在进行规划时,就能善用路由器的各种功能,提供给内部用户更好的网络服务,提升企业的经营效益。

  综合Qno侠诺技术服务部的实际支持经验,一般中小企业在进行安全路由器的基本配置时,需要特别注意的有广域网端、局域网端及公共服务器三个方面。以下分别就这三个方面加以介绍。

  一、广域网端

  广域网端就是路由器对外接到网络运营商的线路。广域网线路也是宽带接入的主要路径,因此若是发生掉线或是拥塞,则企业的宽带接入就会中断!这个情况对于有些企业会发生很大的困扰。因此广域网端在安全的首要思维,就是如何确保线路的稳定,维持企业在各种情况下的运作。

  大部份中小企业,由于上网人数较小、或是经费有限,因此大多采用单线ADSL即可。企业对带宽的需要较大,或是对于网络要求较高的,例如服务业或是外贸行业,则可能采用相对费用较高的光纤。根据Qno侠诺支持用户的经验,发现以下情况,较倾向采用多WAN线路的配置:

  偶而需要大量上/下载:由于信息化的结果,很多企业需要不时进行大量的上下载的操作。例如成都的某矿产商贸公司每天下班时,需要上传销售报告及存货数据,需要较多的时间。又例如位于宁波的某民营企业,经常需要从国外客户的服务器下载设计图作为生产之用。当要进行下载时,网管一般都不希望受到一般用户上网或下载影响,因此可申请两条线路:一般情况下两条线路都开放作为用户上网用;但是当需要进行特别工作时,则可加以管制,保留特定的线路给大量上下载的工作,以确保重要的数据能准时传送。采用多WAN配置后,网管加班在办公室等待数据传送的情况,就可大大减少了!

  有跨网问题时:山东济南某农产品的商贸公司,常常需要和在北京的总部建立VPN联机,但是不知道为什么,联机总是很不稳定,常常数据还没传完,又得重新联机。这种情况,很可能就是VPN建立跨过不同的运营商网络所产生的不稳定问题,例如总部采用网通的线路,而分支采用电信的线路,跨网带宽不足,而产生的现象。这种情况,也可采用多WAN路由器解决,即总部同时接入网通及电信的线路,属于网通线路的外点从网通的入口建立VPN,电信的外点则从电信线路建VPN,这样即可解决跨网带宽小或不稳定的情况。

  需要备援时:多WAN线路的另一个优点是提供备援功能。一个常见的情况是有些地区运营商会增送光纤用户ADSL线路,这时就可以光纤配合 ADSL作备援,在前者发生故障时,以ADSL先顶着用。有的用户则希望用不同运营商的线路,这样在A运营商线路或机房发生问题时,可以B运营商线路替代。对于某些行业,例如媒体行业,需要随时可以上网,这个功能就显得尢为重要。

  AD带宽不足时:一般企业用ADSL来的多,根据统计显示中小企业宽带用户增加最多的就是采用ADSL上网。但有些地区提供的ADSL相对带宽显得较小,例如64K/64K的线路,对于企业应用显然不足,不过申请光纤又比几条ADSL还来得贵,在这种情况下,利用多WAN路由器汇聚多条 ADSL线路,不失为一可行又省钱的方法。

  由于广域网端为企业上网唯一的路线,因此对于企业上网有决定性的重要。Qno侠诺的市场调查显示,现阶段很多企业对于无线宽带接入,例如3G 或是WiMax都表示了相当的兴趣,希望能用无线接入作为有线接入的辅助,这或多或少也代表了企业对于广域网端接入的重视及期望。

  二、局域网端

  局域网端则是对内接到企业用户的线路,有些路由器本身有局域网端口,可下接交换机;有的网管则会将路由器先接到骨干交换机,再向下接到一般的交换机。以上这两种作法均可,后者适合较大的吞吐量的应用情况,一般的企业应用,路由器的局域端口是可以随着带宽转发的。因此在硬件配置,这是较为简单的。

  Qno侠诺技术服务人员的经验指出,要进行一个好的安全网络的配置,IP的管理是顶重要的。IP就是计算机在互联网的地址,因此要能有效管理地址,才能预防攻击或针对有问题的计算机加以管制。对于网管而言,在IP管理方面要注意的事项,主要为计算机采用固定IP地址、DHCP服务器发放固定 IP、防止未允许的计算机上网及群组管理等四个重要项目,以下分别进行说明:

  计算机采用固定IP地址:计算机采用固定IP地址,是最严密的配置方式。这个作法,必须要求用户在计算机中手动键入IP地址相关数据。这样做的好处是每台机器的IP都必须是事先指定,没有事先指定的IP,则无法上网,外来的用户或是计算机不能轻易地通过企业网络上网。不过对于用户而言,必须要设定固定IP,到其它场合又要重新设定,对于部份常需要移动的用户,例如业务人员或是高阶主管,造成不小的困扰。

  DHCP服务器发放固定IP:DHCP服务器的好处是用户无需在计算机上作任何设置,对于用户较方便。但是DHCP的缺点是若不加以管制,随便一个用户也能进入企业的网络,也容易发动对内部的攻击,造成影响。因此对于企业而言,较好的方式是通过DHCP发放IP地址,但同时限定计算机能取得的 IP地址,以便进行管理。Qno侠诺路由器的IP/MAC绑定功能,即可以根据网管的配置,认明计算机的MAC地址发放特定的IP,这样就可针对IP进行管理。同时IP/MAC绑定功能也可防止用户修改IP,以取得较高权限问题,错误的MAC/IP组合,将会被路由器“封锁错误MAC地址”阻挡,这个功能也可防止ARP攻击。

  防止未允许的计算机上网:对于网管而言,未被管制的计算机,经常引发安全问题。有些用户会自行带入中毒的计算机,甚至其它楼层用户通过无线网络进入公司网络。这样的情况,可通过防止未允许的计算机上网来解决。Qno侠诺的IP/MAC绑定功能中,提供“封锁不在对应表列中MAC地址”功能,达到网管未配置的MAC地址完全无法上网的作用。

  Qno侠诺路由器的IP/MAC绑定功能

  
请添加描述


  图一:Qno侠诺路由器的IP/MAC绑定功能,网管可将用户的IP及MAC地址键入,这样可以达到使用DHCP服务时,每次发放固定IP给用户。另外“封锁错误MAC地址”及“封锁不在对应表列中MAC地址”则可提供更进阶的功能,提供进一层的安全保障。

  群组管理:除了IP/MAC绑定,可有效管制用户外,另外适当采用群组的功能,也能更方便的对用户加以管理。例如Qno侠诺提供的IP群组功能,就能将不同的IP用户设为不同群组,例如企业高阶主管设为一组、业务部门设为一组、内部行政人员设为一组。不同群组的用户,适用不同的管制权限或是带宽管理原则,这个功能可以大幅简化管理工作,也可避免管制时出现漏网之鱼的现象。

[1] [2] 下一页

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务,公司网站:http://www.lingzhong.cn 为了给广大客户了解更多的技术信息,本技术文章收集来源于网络,凌众科技尊重文章作者的版权,如果有涉及你的版权有必要删除你的文章,请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息,谢谢!

分享到: 更多

Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved

地址(ADD):厦门软件园二期望海路63号701E(东南融通旁) 邮编(ZIP):361008

电话:0592-5908028 传真:0592-5908039 咨询信箱:web@lingzhong.cn 咨询OICQ:173723134

《中华人民共和国增值电信业务经营许可证》闽B2-20100024  ICP备案:闽ICP备05037997号