【定稿】盐阜集团公司大楼信息化系统设计方案_可行性方案

基于时间段的访问控制列表这个特征出现在以后的版本中，可以在访问控制列表后设定个时间槽参数，只有在该时间槽有效时，该访问控制列表才有效，这样可以控制非法用户在无人环境下如下班以后对网络资源的访问。

对于般长期稳定的安全访问，我们将采用标准和扩展访问控制列表进行控制。

对于远程拨入等短期临时的访问用户，我们可以通过动态访问控制列表进行控制。

另外，通过时间访问控制列表我们还可以对用户在无人环境下如下班以后对网络资源的访问进行控制。

目前江苏电力系统关键性应用的服务器基本都是在同内，内部的用户只要知道地址都可以对其进行访问。

为了提高服务器的安全，我们建议采用，即可隔离服务器之间信息互通。

就是在内控制流量种方法。

可以在不改变目前服务器网段分配的情况下，先分析服务器之间的目前的通信情况，如些服务器只需要工作的，并不需要和同网段内其他服务器交换数据的，如服务器，我们可以在服务器网段的内划分出个，隔离该服务器同其他服务器的通讯，这样可以避免在以后些服务器发生中毒或被黑客控制的情况下，不会发生想其他服务器传染，或以其作为跳板攻击其他服务器的情况发生。

这种的发生完全不需要对网络地址或网关的更改，就是说完全保留原先地址段的划分。

此外各保护端口不可以互通，仅可通过扩展模块上联端口或其他上联端口访问内部网。

具体的配置另外，还可以在核心交换机上对内通信进行访问控制的访问控制列表，同传统的在三层交换或路由器上的访问控制列表不同，可以对服务器所在的网段内进行严格的地址和地址的同时检查，由于该网段内的服务器数量有限，且没有其他的工作站，我们完全可以定义套完整的基于地址的访问控制列表，严格限定服务器直接，服务器和路由网关之间的访问，即便有个别用户可以接入到该内，仍然不能通过以上的访问控制检查，最终根本无法访问到服务器。

还可以启用端口安全将服务器网卡的地址同交换机端口进行安全绑定，配合的地址检测功能就可以实现对抗假冒地址，地址欺骗等攻击行为。

外网的安全设计外网系统采用防火墙与网络进行安全隔离，防火墙配置了个端口，个用于连接外网，个用于连接因特网，另外个端口连接非军事区区。

根据端口连接的网络性质，外网的端口的安全级别最高，次之，因特相对最低。

个企业网在配置防火墙后，最为重要的点工作是设计合理的安全控制策略。

般防火墙缺省状态下，端口上所有的网络服务功能均关闭。

可以设置策略为除非特别支出，否则所有服务关闭。

般针对企业网可打开外网到特定服务器的等服务，及均在外网端口关闭。

另外要防止通常的黑客攻击方式，如拒绝服务攻击，可采用在防火墙上配置截取功能来防止地址欺骗，可采用在防火墙上进行源地址追溯以确认的源地址是否存在来防止。

接入网的安全设计由于拨号用户只要知道拨号的用户及口令，就可以在任何地方拨号访问网络，用户的真实身份相对难以辨认，对于拨号接入的用户的安全控制应主要从用户认证用户授权用户行为记录等三方面加以控制，即通过方式对拨号用户进行控制。

在内部网络的设计中，拨号采用原有的拨号访问服务器实现，可以在内部网上配置台或认证服务器，服务器可以与服务器共用。

当用户拨号拨通后，其用户名及口令信息将转发到认证服务器，根据在认证服务器上对此用户的配置信息决定此用户是否是合法用户及其访问网络的权限。

对拨号上网的用户的权限建议开放等服务，对于关键业务系统应针对用户有选择开放。

目录第章前言概述工程概况方案内容设计依据系统设计思路摘要综合布线系统安全防范系统整体机房工程计算机网络系统第章综合布线系统系统概述方案特点摘要综合布线系统介绍系统解决方案产品选择计算机网络系统第章综合布线系统系统概述方案特点摘要综合布线系统介绍系统解决方案产品选择系统拓朴结构各子系统介绍电视监控系统