急求：公司局域网的组建
第一章 总则
本方案为某大型局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计、等。本安全解决方案的目标是在不影响某大型企业局域网当前业务的前提下，实现对他们局域网全面的安全管理。
1.将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。
2.定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。
3.通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同时具备很好的安全取证措施。
4.使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态，最大限度地减少损失。
5.在工作站、服务器上安装相应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒。
第二章 网络系统概况
2.1 网络概况
这个企业的局域网是一个信息点较为密集的千兆局域网络系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过公开服务器，企业可以直接对外发布信息或者发送电子邮件。高速交换技术的采用、灵活的网络互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为网络的安全带来了更大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。
2.1.1 网络概述
这个企业的局域网，物理跨度不大，通过千兆交换机在主干网络上提供1000M的独享带宽，通过下级交换机与各部门的工作站和服务器连结，并为之提供100M的独享带宽。利用与中心交换机连结的Cisco 路由器，所有用户可直接访问Internet。
2.1.2 网络结构
这个企业的局域网按访问区域可以划分为三个主要的区域：Internet区域、内部网络、公开服务器区域。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网，包括：财务子网、领导子网、办公子网、市场部子网、中心服务器子网等。在安全方案设计中，我们基于安全的重要程度和要保护的对象，可以在 Catalyst 型交换机上直接划分四个虚拟局域网（VLAN），即：中心服务器子网、财务子网、领导子网、其他子网。不同的局域网分属不同的广播域，由于财务子网、领导子网、中心服务器子网属于重要网段，因此在中心交换机上将这些网段各自划分为一个独立的广播域，而将其他的工作站划分在一个相同的网段。（图省略）
2.2 网络应用
这个企业的局域网可以为用户提供如下主要应用：
1．文件共享、办公自动化、WWW服务、电子邮件服务；
2．文件数据的统一存储；
3．针对特定的应用在数据库服务器上进行二次开发(比如财务系统)；
4．提供与Internet的访问；
5．通过公开服务器对外发布企业信息、发送电子邮件等；
2.3 网络结构的特点
在分析这个企业局域网的安全风险时，应考虑到网络的如下几个特点：
1.网络与Internet直接连结，因此在进行安全方案设计时要考虑与Internet连结的有关风险，包括可能通过Internet传播进来病毒，黑客攻击，来自Internet的非授权访问等。
。
2.网络中存在公开服务器，由于公开服务器对外必须开放部分业务，因此在进行安全方案设计时应该考虑采用安全服务器网络，避免公开服务器的安全风险扩散到内部。
3.内部网络中存在许多不同的子网，不同的子网有不同的安全性，因此在进行安全方案设计时，应考虑将不同功能和安全级别的网络分割开，这可以通过交换机划分VLAN来实现。
4.网络中有二台应用服务器，在应用程序开发时就应考虑加强用户登录验证，防止非授权的访问。
总而言之，在进行网络方案设计时，应综合考虑到这个企业局域网的特点，根据产品的性能、价格、潜在的安全风险进行综合考虑。
第三章 网络系统安全风险分析
随着Internet网络急剧扩大和上网用户迅速增加，风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损失；另外加上缺乏安全控制机制和对Internet安全政策的认识不足，这些风险正日益严重。
针对这个企业局域网中存在的安全隐患，在进行安全方案设计时，下述安全风险我们必须要认真考虑，并且要针对面临的风险，采取相应的安全措施。下述风险由多种因素引起，与这个企业局域网结构和系统的应用、局域网内网络服务器的可靠性等因素密切相关。下面列出部分这类风险因素：
网络安全可以从以下三个方面来理解：1 网络物理是否安全；2 网络平台是否安全；3 系统是否安全；4 应用是否安全；5 管理是否安全。针对每一类安全风险，结合这个企业局域网的实际情况，我们将具体的分析网络的安全风险。
3.1物理安全风险分析
网络的物理安全的风险是多种多样的。
网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的。
3.2网络平台的安全风险分析
网络结构的安全涉及到网络拓扑结构、网络路由状况及网络的环境等。
公开服务器面临的威胁
这个企业局域网内公开服务器区（WWW、EMAIL等服务器）作为公司的信息发布平台，一旦不能运行后者受到攻击，对企业的声誉影响巨大。同时公开服务器本身要为外界服务，必须开放相应的服务；每天，黑客都在试图闯入Internet节点，这些节点如果不保持警惕，可能连黑客怎么闯入的都不知道，甚至会成为黑客入侵其他站点的跳板。因此，规模比较大网络的管理人员对Internet安全事故做出有效反应变得十分重要。我们有必要将公开服务器、内部网络与外部网络进行隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其他的请求服务在到达主机之前就应该遭到拒绝。
整个网络结构和路由状况
安全的应用往往是建立在网络系统之上的。网络系统的成熟与否直接影响安全系统成功的建设。在这个企业局域网络系统中，只使用了一台路由器，用作与Internet连结的边界路由器，网络结构相对简单，具体配置时可以考虑使用静态路由，这就大大减少了因网络结构和网络路由造成的安全风险。
3.3系统的安全风险分析
所谓系统的安全显而易见是指整个局域网网络操作系统、网络硬件平台是否可靠且值得信任。
网络操作系统、网络硬件平台的可靠性：对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT 或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。
3.4应用的安全风险分析
应用系统的安全跟具体的应用有关，它涉及很多方面。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。
应用系统的安全动态的、不断变化的：应用的安全涉及面很广，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有几十种，但其系统内部的编码甚至编译器导致的BUG是很少有人能够发现的，因此一套详尽的测试软件是相当必须的。但是应用系统是不断发展且应用类型是不断增加的，其结果是安全漏洞也是不断增加且隐藏越来越深。因此，保证应用系统的安全也是一个随网络发展不断完善的过程。
应用的安全性涉及到信息、数据的安全性：信息的安全性涉及到：机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。由于这个企业局域网跨度不大，绝大部分重要信息都在内部传递，因此信息的机密性和完整性是可以保证的。对于有些特别重要的信息需要对内部进行保密的（比如领导子网、财务系统传递的重要信息）可以考虑在应用级进行加密，针对具体的应用直接在应用系统开发时进行加密。
3.5管理的安全风险分析
管理是网络安全中最重要的部分
管理是网络中安全最最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。
当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。
3.6黑客攻击
黑客们的攻击行动是无时无刻不在进行的，而且会利用系统和管理上的一切可能利用的漏洞。公开服务器存在漏洞的一个典型例证，是黑客可以轻易地骗过公开服务器软件，得到Unix的口令文件并将之送回。黑客侵入UNIX服务器后，有可能修改特权，从普通用户变为高级用户，一旦成功，黑客可以直接进入口令文件。黑客还能开发欺骗程序，将其装入UNIX服务器中，用以监听登录会话。当它发现有用户登录时，便开始存储一个文件，这样黑客就拥有了他人的帐户和口令。这时为了防止黑客，需要设置公开服务器，使得它不离开自己的空间而进入另外的目录。另外，还应设置组特权，不允许任何使用公开服务器的人访问WWW页面文件以外的东西。在这个企业的局域网内我们可以综合采用防火墙技术、Web页面保护技术、入侵检测技术、安全评估技术来保护网络内的信息资源，防止黑客攻击。
3.7通用网关接口（CGI）漏洞
有一类风险涉及通用网关接口（CGI）脚本。许多页面文件和指向其他页面或站点的超连接。然而有些站点用到这些超连接所指站点寻找特定信息。搜索引擎是通过 CGI脚本执行的方式实现的。黑客可以修改这些CGI脚本以执行他们的非法任务。通常，这些CGI脚本只能在这些所指WWW服务器中寻找，但如果进行一些修改，他们就可以在WWW服务器之外进行寻找。要防止这类问题发生，应将这些CGI脚本设置为较低级用户特权。提高系统的抗破坏能力，提高服务器备份与恢复能力，提高站点内容的防篡改与自动修复能力。
3.8恶意代码
恶意代码不限于病毒，还包括蠕虫、特洛伊木马、逻辑炸弹、和其他未经同意的软件。应该加强对恶意代码的检测。
3.9病毒的攻击
计算机病毒一直是计算机安全的主要威胁。能在Internet上传播的新型病毒，例如通过E-Mail传播的病毒，增加了这种威胁的程度。病毒的种类和传染方式也在增加，国际空间的病毒总数已达上万甚至更多。当然，查看文档、浏览图像或在Web上填表都不用担心病毒感染，然而，下载可执行文件和接收来历不明的E-Mail文件需要特别警惕，否则很容易使系统导致严重的破坏。典型的“CIH”病毒就是一可怕的例子。
3.10不满的内部员工
不满的内部员工可能在WWW站点上开些小玩笑，甚至破坏。不论如何，他们最熟悉服务器、小程序、脚本和系统的弱点。对于已经离职的不满员工，可以通过定期改变口令和删除系统记录以减少这类风险。但还有心怀不满的在职员工，这些员工比已经离开的员工能造成更大的损失，例如他们可以传出至关重要的信息、泄露安全重要信息、错误地进入数据库、删除数据等等。
3.11网络的攻击手段
一般认为，目前对网络的攻击手段主要表现在：
非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
信息泄漏或丢失：指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括，信息在传输中丢失或泄漏（如"黑客"们利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对信息流向、流量、通信频度和长度等参数的分析，推出有用信息，如用户口令、帐号等重要信息。），信息在存储介质中丢失或泄漏，通过建立隐蔽隧道等窃取敏感信息等。
破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。
拒绝服务攻击：它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。
利用网络传播病毒：通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。
第四章 安全需求与安全目标
4.1安全需求分析
通过前面我们对这个企业局域网络结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。因此，我们必须采取相应的安全措施杜绝安全隐患，其中应该做到：
公开服务器的安全保护
防止黑客从外部攻击
入侵检测与监控
信息审计与记录
病毒防护
数据安全保护
数据备份与恢复
网络的安全管理
针对这个企业局域网络系统的实际情况，在系统考虑如何解决上述安全问题的设计时应满足如下要求：
1.大幅度地提高系统的安全性（重点是可用性和可控性）；
2.保持网络原有的能特点，即对网络的协议和传输具有很好的透明性，能透明接入，无需更改网络设置；
3.易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；
4.尽量不影响原网络拓扑结构，同时便于系统及系统功能的扩展；
5.安全保密系统具有较好的性能价格比，一次性投资，可以长期使用；
6.安全产品具有合法性，及经过国家有关管理部门的认可或认证；
7.分布实施。
4.2网络安全策略
安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。该安全策略模型包括了建立安全环境的三个重要组成部分，即：
威严的法律：安全的基石是社会法律、法规、与手段，这部分用于建立一套安全管理标准和方法。即通过建立与信息安全相关的法律、法规，使非法分子慑于法律，不敢轻举妄动。
先进的技术：先进的安全技术是信息安全的根本保障，用户对自身面临的威胁进行风险评估，决定其需要的安全服务种类，选择相应的安全机制，然后集成先进的安全技术。
严格的管理：各网络使用机构、企业和单位应建立相宜的信息安全管理办法，加强内部管理，建立审计和跟踪体系，提高整体信息安全意识。
4.3系统安全目标
基于以上的分析，我们认为这个局域网网络系统安全应该实现以下目标：
建立一套完整可行的网络安全与网络管理策略
将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信
建立网站各主机和服务器的安全保护措施，保证他们的系统安全
对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝
加强合法用户的访问认证，同时将用户的访问权限控制在最低限度
全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为
加强对各种访问的审计工作，详细记录对网络、公开服务器的访问行为，形成完 整的系统日志
备份与灾难恢复——强化系统备份，实现系统快速恢复
加强网络安全管理，提高系统全体人员的网络安全意识和防范技术
第五章 网络安全方案总体设计
5.1安全方案设计原则
在对这个企业局域网网络系统安全方案设计、规划时，应遵循以下原则：
综合性、整体性原则：应用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。即计算机网络安全应遵循整体安全性原则，根据规定的安全策略制定出合理的网络安全体系结构。
需求、风险、代价平衡的原则：对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。
一致性原则：一致性原则主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安全的内容光焕发及措施，实际上，在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施，不但容易，且花费也小得多。
易操作性原则：安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。
分步实施原则：由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络脆弱性也会不断增加。一劳永逸地解决网络安全问题是不现实的。同时由于实施信息安全措施需相当的费用支出。因此分步实施，即可满足网络系统及信息安全的基本需求，亦可节省费用开支。
多重保护原则：任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
可评价性原则：如何预先评价一个安全设计并验证其网络的安全性，这需要通过国家有关网络信息安全测评认证机构的评估来实现。
5.2安全服务、机制与技术
安全服务：安全服务主要有：控制服务、对象认证服务、可靠性服务等；
安全机制：访问控制机制、认证机制等；
安全技术：防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安全的开放环境中，用户可以使用各种安全应用。安全应用由一些安全服务来实现；而安全服务又是由各种安全机制或安全技术来实现的。应当指出，同一安全机制有时也可以用于实现不同的安全服务。
第六章 网络安全体系结构
通过对网络的全面了解，按照安全策略的要求、风险分析的结果及整个网络的安全目标，整个网络措施应按系统体系建立。具体的安全控制系统由以下几个方面组成：物理安全、网络安全、系统安全、信息安全、应用安全和安全管理
6.1物理安全
保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。 它主要包括三个方面：
环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国标GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》
设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；
媒体安全：包括媒体数据的安全及媒体本身的安全。
在网络的安全方面，主要考虑两个大的层次，一是整个网络结构成熟化，主要是优化网络结构，二是整个网络系统的安全。
6.2.1网络结构
安全系统是建立在网络系统之上的，网络结构的安全是安全系统成功建立的基础。在整个网络结构的安全方面，主要考虑网络结构、系统和路由的优化。
网络结构的建立要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、网络维护管理、网络应用与业务定位等因素。成熟的网络结构应具有开放性、标准化、可靠性、先进性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营管理的简便性，完善的安全保障体系。网络结构采用分层的体系结构，利于维护管理，利于更高的安全控制和业务发展。
网络结构的优化，在网络拓扑上主要考虑到冗余链路；防火墙的设置和入侵检测的实时监控等。
6.2.2网络系统安全
6.2.2.1 访问控制及内外网的隔离
访问控制
访问控制可以通过如下几个方面来实现：
1.制订严格的管理制度:可制定的相应：《用户授权实施细则》、《口令字及帐户管理规范》、《权限管理制度》。
2.配备相应的安全设备：在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同网络或网络安全域之间信息的唯一出入口。
防火墙主要的种类是包过滤型，包过滤防火墙一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入网络的信息流。同时可实现网络地址转换（NAT）、审记与实时告警等功能。由于这种防火墙安装在被保护网络与路由器之间的通道上，因此也对被保护网络和外部网络起到隔离作用。
防火墙具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。
6.2.2.2 内部网不同网络安全域的隔离及访问控制
在这里，主要利用VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，实现内部一个网段与另一个网段的物理隔离。这样，就能防止影响一个网段的问题穿过整个网络传播。针对某些网络，在某些情况下，它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比另一个更敏感。通过将信任网段与不信任网段划分在不同的VLAN段内，就可以限制局部网络安全问题对全局网络造成的影响。
6.2.2.3 网络安全检测
网络系统的安全性取决于网络系统中最薄弱的环节。如何及时发现网络系统中最薄弱的环节？如何最大限度地保证网络系统的安全？最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞。
网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。检测工具应具备以下功能：
具备网络监控、分析和自动响应功能
找出经常发生问题的根源所在；
建立必要的循环过程确保隐患时刻被纠正；控制各种网络安全危险。
漏洞分析和响应
配置分析和响应
漏洞形势分析和响应
认证和趋势分析
具体体现在以下方面：
防火墙得到合理配置
内外WEB站点的安全漏洞减为最低
网络体系达到强壮的耐攻击性
各种服务器操作系统，如E_MIAL服务器、WEB服务器、应用服务器、，将受黑客攻击的可能降为最低
对网络访问做出有效响应，保护重要应用系统（如财务系统）数据安全不受黑客攻击和内部人员误操作的侵害
6.2.2.4 审计与监控
审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样地使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统地识别问题，并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。
因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻击与犯罪行为。
6.2.2.5 网络防病毒
由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，一次计算机病毒的防范是网络安全性建设中重要的一环。
网络反病毒技术包括预防病毒、检测病毒和消毒三种技术：
1.预防病毒技术：它通过自身常驻系统内存，优先获得系统的控制权，监视和判断系统中是否有病毒存在，进而阻止计算机病毒进入计算机系统和对系统进行破坏。这类技术有，加密可执行程序、引导区保护、系统监控
1的意思就是建个ftp服务器，建两个超级用户，赋予用户权限的问题。简陋点的就是建几个文件夹共享。这些写起来太麻烦，网上大把这种教程。
2就有OA平台的锥形了，这个搞起来工程大。简陋点的就用IM软件实现了，像QQ、网易POPO、MSN之类的，局域网内用的话就类似于飞鸽之类的IM软件就行了。
到时做起来还是有很多小问题的，公司没有网管的话，找个会做的朋友或者给钱给IT服务外包公司做吧，当然你有电脑基础也有心要学的话也可以自己边学边搞。
第一部份 如何共享Windows XP操作系统
一、使用Windows XP共享文件夹并设置权限
本文描述了如何在使用Windows XP的网络上共享文件夹与文件。 主要针对以下几个方面：
1、Microsoft网络的文件与打印共享
2、Microsoft网络的文件与打印共享组件允许网络中的计算机通过Microsoft网络访问其它计算机上的资源。这种组件在缺省情况下将被安装并启用。文件与打印共享组件通过TCP/IP协议以连接为单位加以应用，为使用该组件所提供的功能，您必须对本地文件夹进行共享。
3、Microsoft网络的文件与打印共享组件与Windows NT 4.0中的服务器服务具有同等功能。 如需在网络上与其它用户共享文件夹，请依次执行以下操作步骤：
在Windows资源管理器中打开“我的文档”。依次点击“开始”、“所有程序”、“附件”、“Windows资源浏览器”。
单击您希望进行共享的文件夹。
在“文件与文件夹任务”栏中单击“共享该文件夹”。
在“属性”对话框中，选中“共享该文件夹”单选框，以便与网络上的其它用户共享文件夹。
如需修改文件夹的网络共享名称，请在“共享名称”文本框中为文件夹输入一个新的名称。这种操作对您本地计算机上的文件夹名称没有任何影响。 说明：共享特性不适用于Documents and Settings、Program Files以及Windows系统文件夹。此外，您无法在其他用户的配置文件中共享文件夹。
如需设置、查看、修改或删除文件与文件夹权限，请依次执行以下操作步骤：
打开Windows资源管理器并定位您希望设置权限的文件或文件夹。为打开Windows资源管理器，请依次点击“开始”、“所有程序”、“附件”、“Windows资源浏览器”。
右键单击您所定位的文件或文件夹，在随后出现的快捷菜单中选择“属性”并单击“安全”选项卡。
如需对未显示在“组或用户名称”列表中的组或用户设置权限，请单击“添加”。输入您希望设置权限的组或用户名称并单击“确定”。
如图2所示，如需针对现有组或用户修改或删除权限，请单击相应组或用户名称，并执行以下任意一项操作：
如需允许或拒绝某种权限，在“权限”列表中，选定“允许”或“拒绝”复选框。 二、同机用户间的共享
这种共享是针对单机多用户的情况而设计的。如果只是在本机的用户间共享磁盘（光驱）或文件夹，只需在Windows资源管理器中将该盘符或文件夹拖曳至“C:\ Documents and Settings\All User\共享文档”即可。Windows XP是真的将该磁盘或文件夹中的内容都复制至“共享文档”，因此，当共享的文件过多时，将占用大量的本地硬盘空间。不过，这样也有其优点，也就是说，即使用户破坏了“共享文档”中的文件，也不至于影响到源文件，从而提高了数据的安全性。
我个人认为，这种共享的实际意义并不大，因为Windows系统的安全性比较差，我们可以随意访问每个分区。即使你不共享，别人只要能登录进你的电脑，那所有秘密照样一览无余。
三、局域网共享的实现
在局域网内其他运行Windows操作系统的计算机上，可以通过网上邻居实现文件和磁盘的远程共享。
通常情况下，只要计算机连接至局域网络，并配置了正确的IP地址信息，那么，Windows只需运行片刻，即可发现网络中所有的工作组和计算机。对于Windows Me、Windows 2000和Windows XP而言，更是可以直接发现网络中可供共享的文件夹，并将之显示在Windows资源管理器的网络邻居中。用户可做的，只是双击并打开自己感兴趣的文件夹而已。
注意：如果在网上邻居中无法找到欲共享资源的计算机，可利用查找计算机的方式，利用该计算机的名称查找该计算机。另外，实现共享的计算机之间应当使用同一网段的IP地址，否则，彼此之间将无法找到。
四、如何解除Windows XP系统的文件共享限制
大家有没有遇到这种情况：在安装了Windows XP的计算机上，即使网络连接和共享设置正确（如IP地址属于同一子网，启用了TCP/IP上的NetBIOS，防火墙软件没有禁止文件共享需要的135、137、138、139等端口），使用其他系统（包括Windows 9X/Me/2000/XP等）的用户仍然无法访问该计算机。我们应该怎样解决这一问题呢?
默认情况下，Windows XP的本地安全设置要求进行网络访问的用户全部采用来宾方式。同时，在Windows XP安全策略的用户权利指派中又禁止Guest用户通过网络访问系统。这样两条相互矛盾的安全策略导致了网内其他用户无法通过网络访问使用Windows XP的计算机。你可采用以下方法解决。
方法一：解除对Guest账号的限制
点击“开始→运行”，在“运行”对话框中输入“GPEDIT.MSC”，打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→用户权利指派”，双击“拒绝从网络访问这台计算机”策略，删除里面的“GUEST”账号。这样其他用户就能够用Guest账号通过网络访问使用Windows XP系统的计算机了。
方法二：更改网络访问模式
打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→安全选项”，双击“网络访问：本地账号的共享和安全模式”策略，将默认设置“仅来宾—本地用户以来宾身份验证”，更改为“经典：本地用户以自己的身份验证”。
现在，当其他用户通过网络访问使用Windows XP的计算机时，就可以用自己的“身份”进行登录了（前提是Windows XP中已有这个账号并且口令是正确的）。
当该策略改变后，文件的共享方式也有所变化，在启用“经典：本地用户以自己的身份验证”方式后，我们可以对同时访问共享文件的用户数量进行限制，并能针对不同用户设置不同的访问权限。
不过我们可能还会遇到另外一个问题，当用户的口令为空时，访问还是会被拒绝。原来在“安全选项”中有一个“账户：使用空白密码的本地账户只允许进行控制台登录”策略默认是启用的，根据Windows XP安全策略中拒绝优先的原则，密码为空的用户通过网络访问使用Windows XP的计算机时便会被禁止。我们只要将这个策略停用即可解决问题。 五、如何共享访问 Windows XP 中的加密文件
本节介绍如何共享访问使用Windows XP 加密文件系统 (EFS) 存储的文件。加密是将数据转换为其他人无法读取的格式的过程。如果数据存储在硬盘上，您可以使用 Windows XP 的 EFS 自动加密数据。
如何共享访问加密文件
注意：只有管理员组的成员或者是加密该文件的用户才能向该文件添加用户。如果未得到向加密文件添加用户的授权，您将会收到以下错误信息：
EFSADU Error in adding new user(s).Error code 5.
您可以保留文件加密的安全性，同时允许特定用户访问您的加密文件。要允许访问您的加密文件，请执行下列操作：
右键单击加密文件，然后单击属性。
单击常规选项卡（如果尚未选中），然后单击高级。
单击详细信息，然后单击添加。
选择您要与其共享访问加密文件的用户，然后单击确定。
添加完用户后，请单击三次确定。
第二部份 Win 98不能访问Win XP的解决方法
在局域网内，经常可以遇到装有Win 2000的电脑开了共享目录，而装有Win 98的电脑无法访问Win2000的共享目录，在微软的官方网页可以找到答案，提示开启Win2000的GUEST用户就行了。
可是Win XP出来以后，同样的又面临这个问题，结果有些人发现这个方法不灵了。从网上邻居访问XP的共享目录不一定能被允许。原因何在？这个问题本也困扰过我几天，不过后来一次无意中发现了问题的答案，也许这是Win XP的一个BUG。
在开启了系统Guest用户的情况下，点击“开始”-》“运行”，输入gpedit.msc，可以调出组策略编辑器，在“本地计算机策略\计算机配置\Windows设置\安全设置\本地策略\用户权利指派\拒绝从网络访问这台计算机”中赫然可以看到有Guest用户！如果在这里删除Guest用户，那么其他电脑就可以从网上邻居中查看这台电脑的共享目录了。
注：中文Win XP，采用传统登录方式并且关闭了“文件夹选项”中的“使用简单文件共享”。 第三部份 Win 2000不能访问Win XP的原因及解决方法
因为大家使用的操作系统可能不同，所以Windows系统的相互访问是很正常的事情，但是有时候2000系统不能访问XP系统，这是怎么回事呢？下面我们来看看问题所在。
设置
现在，已经有许多人在使用Win2000和WinXP来联网，但在具体使用中有许多网友反映在Win2000和WinXP中浏览网上邻居时很慢，特别是网络中有Win9x和WinMe工作站时尤为明显，有时打开网上邻居甚至需要10多分钟，还经常报错。那么网速慢的作祟者是什么呢？依笔者推断原因主要有二。
A、网络协议配置问题，
B、Win XP计划任务的问题。
但如果其它Windows电脑在网上邻居中根本看不到WinXP那台电脑，便可能是用户锁定和安全策略没有设置好。这时就需要从以下几个方面入手，笔者以前也曾遇到过类似问题，但在大量的组网试验中总结出了一套行之有效的解决方法，现在就一一教授给大家。
一、网络协议的安装和设置
1.在WinXP中安装NetBEUI协议
对的，你没有看错，就是要在WinXP中安装NetBEUI协议。微软在WinXP中只支持TCP/IP协议和NWLink IPX/SPX/NetBIOS兼容协议，正式宣布不再支持NetBEUI协议。但是在建立小型局域网的实际使用中，使用微软支持的两种协议并不尽如人意。比如，在解决网上邻居慢问题的过程中，笔者采用了诸多方法后网上邻居的速度虽然好一点，但还是慢如蜗牛；另外，在设置多块网卡的协议、客户和服务绑定时，这两种协议还存在BUG，多块网卡必须同时绑定所有的协议（除NWLink NetBIOS）、客户和服务，即使你取消某些绑定重启后系统又会自动加上，这显然不能很好地满足网络建设中的实际需要。而当笔者在WinXP中安装好NetBEUI协议后，以上两个问题都得到圆满的解决。
在WinXP安装光盘的“\valueADD\MSFT\NET\NETBEUI”目录下有3个文件，其中“NETBEUI.TXT”是安装说明，另外两个是安装NetBEUI协议所需的文件。安装的具体步骤如下：
复制“NBF.SYS”到“%SYSTEMROOT%\SYSTEM32\DRIVERS\”目录；
复制“NETNBF.INF”到“%SYSTEMROOT%\INF\”目录；
在网络连接属性中单击“安装”按钮来安装NetBEUI协议。 注：%SYSTEMROOT%是WinXP的安装目录，比如笔者的WinXP安装在F:\Windows目录下，就应该用F:\Windows来替换%SYSTEMROOT%。
2.在WinXP中设置好其它网络协议
笔者建议，如果你的局域网不用上Internet便只需要安装NetBEUI协议就行了。在小型局域网（拥有200台左右电脑的网络）中NetBEUI是占用内存最少、速度最快的一种协议，NWLink IPX/SPX/NetBIOS兼容协议则应当删除掉。
如果你的局域网要上Internet则必须安装TCP/IP协议。但为了网络的快速访问，建议指定每台工作站的IP地址（除非网络中有DHCP服务器），否则工作站总是不断查找DHCP服务器使网速变慢。
当然，如果网络中只安装TCP/IP协议也能够实现局域网中的互访，但是在网上邻居中要直接看到其它机器就比较困难，必须先搜索到某台机器后才能访问它，这在许多实际网络运用中显得很不方便。
3.其它Windows计算机网络协议的设置
细心的用户可能已经发现，在WinXP的网上邻居中多了一项“设置家庭或小型办公网络”向导，利用该向导可以方便地设置局域网共享、Internet连接和小型局域网。该向导还为连接WinXP的其它Windows电脑提供了一张网络安装软盘。
但是，笔者并不提倡使用这张网络安装软盘。在连接WinXP的其它Windows电脑上，只要安装好NetBEUI协议并设置好网络标志就行了；若要连接Internet则只需安装好TCP/IP协议并指定好IP地址就可以了。这和传统局域网的设置完全一样，建议少使用IPX/SPX兼容协议。
二、彻底禁用WinXP的计划任务
在WinXP和Win2000中浏览网上邻居时系统默认会延迟30秒，Windows将使用这段时间去搜寻远程计算机是否有指定的计划任务（甚至有可能到Internet中搜寻）。如果搜寻时网络时没有反应便会陷入无限制的等待，那么10多分钟的延迟甚至报错就不足为奇了。下面是具体的解决方法。
1.关掉WinXP的计划任务服务（Task Scheduler）
可以到“控制面板/管理工具/服务”中打开“Task Scheduler”的属性对话框，单击“停止”按钮停止该项服务，再将启动类型设为“手动”，这样下次启动时便不会自动启动该项服务了。
2.删除注册表中的两个子键
到注册表中找到主键“
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RemoteComputer\ NameSpace”
删除下面的两个子健
{2227A280-3AEA-1069-A2DE-08002B30309D}
{D6277990-4C6A-11CF-87-00AA0060F5BF}
其中，第一个子健决定网上邻居是否要搜索网上的打印机（甚至要到Internet中去搜寻），如果网络中没有共享的打印机便可删除此键。第二个子健则决定是否需要查找指定的计划任务，这是网上邻居很慢的罪魁祸首，必须将此子健删除。
三、解决其它Windows电脑无法访问WinXP电脑的问题
有些网友安装好网络后，却发现安装有Win9x或WinMe操作系统的电脑无法访问WinXP电脑，甚至在网上邻居中就根本看不到对方。若你也遇到这类麻烦可进行以下检查。
1.检查Guest用户是否已经启用
在默认情况下，Win2000和WinXP中的Guest用户是禁用的。要启用Guest用户可以到“控制面板/管理工具/计算机管理/本地用户和组/用户”中去掉“账户已停用”前面的小勾。此用户最好不要设密码，并选中“用户不能更改密码”和“密码永不过期”，这样可以方便用户访问并减少出现麻烦的可能性。但前提是必须设置好Guest用户的权限和所属组，否则后患无穷。
2.检查是否拒绝Guest用户从网络访问本机
在WinXP中默认情况下是拒绝Guest用户从网络访问本机的。可以到“控制面板/管理工具/本地安全策略/本地策略/用户权限指派/拒绝从网络访问这台计算机”查看，若其中包括Guest用户便将其删除。如果是在建有域的Win2000 Server或WinXP.net服务器上，还必须在“域安全策略”的相应项目中将Guest用户删除，需要注意的是删除后要等几分钟才能奏效。
3.为Guest用户设置密码
若Guest用户设有密码，其它Windows工作站访问WinXP计算机时会提示输入密码，此时输入Guest用户的密码也可以进入WinXP计算机。输入密码时可选中下面的“请将密码保存到密码列表”项，下次进入时便不再提示密码（除非该用户密码已更改）。当然，若是在Windows工作站上已经设置为登录域，并以某一域用户登录到域中则不会受到为Guest用户密码的影响。
如需从“组或用户名称”列表框中删除某个组或用户，请单击“删除”。
说明
在Windows XP Professional中，Everyone组不在包含于匿名登录中。
您只能在使用NTFS文件系统进行格式化的驱动器上设置文件与文件夹权限。
如需修改某种权限，您必须是相应文件或文件夹的所有者，或者拥有由文件或文件夹所有者授予的管理权限。
拥有特定文件夹“完全控制”权限的组或用户可以从该文件夹中任意删除文件或子文件夹，而无需考虑相应文件或文件夹受到何种权限保护。
如果针对特定组或用户的权限复选框处于禁用状态，或者“删除”按钮无法使用，则意味着相应文件或文件夹的权限从父文件夹继承而来。
缺省情况下，当添加新的组或用户时，该组或用户将具备“读取与执行”、“查看文件夹内容”以及“读取”权限。
二：特别是XP互访 如果设置没问题 那基本上是策略的事了
在安装了Windows XP的计算机上，即使网络连接和共享设置正确(如IP地址属于同一子网，启用了TCP/IP上的NetBIOS，防火墙软件没有禁止文件共享需要的135、137、138、139等端口)，使用其他系统(包括Windows 9X/Me/2000/XP等)的用户仍然无法访问该计算机。我们应该怎样解决这一问题呢?
默认情况下，Windows XP的本地安全设置要求进行网络访问的用户全部采用来宾方式。同时，在Windows XP安全策略的用户权利指派中又禁止Guest用户通过网络访问系统。这样两条相互矛盾的安全策略导致了网内其他用户无法通过网络访问使用Windows XP的计算机。你可采用以下方法解决。
方法一：解除对Guest账号的限制
点击“开始→运行”，在“运行”对话框中输入“GPEDIT.MSC”，打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→用户权利指派”，双击“拒绝从网络访问这台计算机”策略，删除里面的“Guest”账号。这样其他用户就能够用Guest账号通过网络访问使用Windows XP系统的计算机了。
方法二：更改网络访问模式
打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→安全选项”，双击“网络访问：本地账号的共享和安全模式”策略，将默认设置“仅来宾—本地用户以来宾身份验证”，更改为“经典：本地用户以自己的身份验证”。
现在，当其他用户通过网络访问使用Windows XP的计算机时，就可以用自己的“身份”进行登录了(前提是Windows XP中已有这个账号并且口令是正确的)。
当该策略改变后，文件的共享方式也有所变化，在启用“经典：本地用户以自己的身份验证”方式后，我们可以对同时访问共享文件的用户数量进行限制，并能针对不同用户设置不同的访问权限。
不过我们可能还会遇到另外一个问题，当用户的口令为空时，访问还是会被拒绝。原来在“安全选项”中有一个“账户：使用空白密码的本地账户只允许进行控制台登录”策略默认是启用的，根据Windows XP安全策略中拒绝优先的原则，密码为空的用户通过网络访问使用Windows XP的计算机时便会被禁止。我们只要将这个策略停用即可解决问题。
看不完收藏慢慢看吧 我下了...
我不明白你说的是什么共享，如果是文件共享的话，做一个文件服务器就OK了。
还有网段的问题，路由器你起的是什么协议也没说（傻瓜路由？），你叙述的不是很详细，我觉得，打印机的共享不难，就和楼上说的差不多，然后你们PC间能不能互相PING通？估计肯定不通~~~
先通了在说呗，如果我的回答对你有帮助，请采纳，谢谢
我自己一个小局域网，，嘿嘿：北方电缆网。
这个说有点复杂吧。。。你用了四个路由？看的有点晕。打印机共享可以装在任何一台机器上设置共享，其他机器访问下这个共享的打印机会自动上驱动（如果是一般打印机的话）。如果不要装在机器上就去买个打印服务器设置下就可以了
答：首先需要将局域网内每台计算机的IP地址和DNS设置为自动获取,然后打开一台主机,打开网页,在地址栏中输入192.168.1.1,就可进入路由器管理页面,在管理页面中找到PPOE连接方式,输入ADSL拨号的用户名和密码,存储后重新启动路由器,在Information选项中,点击Connect按钮,这样整个网络就可以上网了。防火墙的设置可以参照说明书,DHC...
答：笔者建议,如果你的局域网不用上Internet便只需要安装NetBEUI协议就行了。在小型局域网(拥有200台左右电脑的网络)中NetBEUI是占用内存最少、速度最快的一种协议,NWLink IPX/SPX/NetBIOS兼容协议则应当删除掉。 如果你的局域网要上Internet则必须安装TCP/IP协议。但为了网络的快速访问,建议指定每台工作站的IP地址(除非...
答：公司需要建局域网,一个总公司40台电脑,分公司20台,两公司距离很远,要用光纤.要设置两个服务器一台邮件服务器一台控制公司电脑权限(比如限制上网,文件共享等)的服务器.要求其中10台能上... 公司需要建局域网,一个总公司40台电脑,分公司20台,两公司距离很远,要用光纤.要设置两个服务器 一台邮件服务器 一台控...
答：路由器上，按路由器的说明，配置一下路由器，和客户机，就能上网了．
答：192.168.1.1 另一个为 192.168.1.2。关掉第二个路由器的dhcp，也就是自动分配ip功能。要通过第一个路由器上网的自动获取ip。在要通过第二个路由器上网的电脑上手动设ip，网关设成第二路由的lan口ip dns设成第二路由lan口ip或当地dns。然后用一条网线将连个路由器的lan口连起来就行了 ...
答：需要用到MODEM、路由器、交换机或集线器、网线若干、水晶头若干、驳线钳一个。50 台左右的计算机组成的局域网属于一种小型网络，这种规模的网络目前在学校、培训机构、网吧及一些中小企业较普遍。1．网络结构的选择采用目前流行的快速以太网技术，使用星型拓扑结构，组建一个可以满足客户机/服务器及对等网...
答：方案1：24口交换机3台，组成网络，通过宽带路由器（几百元到3000元）接入光纤。优点：维护容易，转发效率高。方案2：24口交换机3台，组成网络，通过代理服务器（软路由方式）接入光纤。2种方案都需要光电收发器进行光电信号转化。
答：在楼相对中间位置安装宽带箱。每楼层交换2台16口以太交换机（1个带左房间，1个带右房间）。14楼安装两宽带箱。一个用做下带用户，一个用做所有楼层交换机基连。这个规划是个星型网络 目标是：14楼以2台24+1台16口交换机带所有楼层的60台交换机。所有交换机全部上行在14层的汇聚交换机上。（出现...
答：给2000系统再加一块网卡，一块接另一个局域网，一块接你的新局域网的集线器，然后把两块网卡的IP地址分别设置为各自所在网段的IP，其他两台XP主机连到集线器上就OK了，只要2000系统的电脑不关机，另外2太电脑就都可以上网，就这么简单，所用设备：买块网卡，加个集线器 ...
答：加 一个交换机 和三根网线。另外需要一个电话线接口。先把猫和电话线连接好，中间那个孔接网线连接到交换机上右边那个接电话线，左边是电源线插口。然后各自拿一根网线连接从交换机的接口到自己的电脑上就可以啦。然后按照交换机上的说明书 不管理用户名和密码输入 设置好IP叫可以啦 加加分啦！兄弟 ...
