公司局域网环境优化

公司局域网网络环境优化方案目s录一、前言 (2)二、公司网络现状 (2)三、公司未来网络 (4)四、网络规划以及实施部署 (5)1、建立域管理 (5)2、建立办公协同软件 (6)3、建立文件共享服务器 (6)4、用户及名称规划 (6)5、用户权限及策略规划 (6)6、具体的实施 (6)五、网络安全 (9)1、概述 (9)2、部署防病毒系统后的效果 (10)六、设备费用预算 (11)一、前言随着Internet接入的普及和带宽的增加，一方面员工上网的条件得到改善，另一方面也给公司带来更高的网络使用危险性、复杂性和混乱，内部员工的不当操作等使信息维护人员疲于奔命。

网络对办公环境造成的危害主要表现为：1. 为给用户电脑提供正常的标准的办公环境，安装操作系统和应用软件已经耗费了信息管理中心人员一定的精力和时间，同时又难以限制用户安装软件，导致管理人员必须花费其50%以上的精力用于维护用户的PC系统，无法集中精力去开发信息系统的深层次功能，提升信息系统价值。

2. 由于使用者的防范意识普遍偏低，防毒措施往往不到位，一旦发生病毒感染，往往扩散到全网络，令网络陷于瘫痪状态，部分致命的蠕虫病毒利用TCP/IP协议的各种漏洞，使得木马、病毒传播迅速，影响规模大，导致网络长时间处于带毒运行，反复发作而维护人员。

3. 部分网站网页含有恶意代码，强行在用户电脑上安装各种网络搜索引擎插件、广告插件或中文域名插件等，增加了办公电脑大量的资源消耗，导致计算机反应缓慢；4. 个别员工私自安装从网络下载安装的软件，这些从网络上下载的软件安装包多数附带各种插件、木马和病毒，并在安装过程中用户不知情的情况下强行安装在办公电脑上，增加了办公电脑大量的资源消耗，导致计算机反应缓慢，甚至被远程控制；5. 局域网共享，包括默认共享（无意），文件共享（有意），一些病毒比如ARP通过广播四处泛滥，影响到整个片区办公电脑的正常工作；6. 部分员工使用公司计算机上网聊天、听歌、看电影、打游戏，部分员工全天24小时启用P2P软件下载音乐和影视文件，由于flashget、迅雷和BT等软件并发线程多，导致大量带宽被部分员工占用，网络速度缓慢，导致应用软件系统无法正常开展业务，即便是严格的计算机使用管理制度也很难保障企业中的计算机只用于企业业务本身，PC的业务专注性、管控能力不强。

二、公司网络现状公司网络基本拓扑表现为以下图示：工作组网络相对我们下面将要介绍的域网络来说，具有以下几方面的明显优缺点：①安全管理简单这可以说是工作组网络的最大优点。

因为在工作组网络中把网络安全边界下放到最终的用户端，外部计算机的访问必须使用本地计算机上合法的用户账户信息，这样一来，工作组网络的安全管理也就是各用户计算机自己的安全管理。

而各用户计算机上的用户账户信息一般来说都非常简单，只有少数几个用户账户，只需要对本机（不涉及到其他机上的任何账户）上的少数账户进行适当的安全配置即可，所以在安全管理方面，要较域网络的安全管理容易些。

另外，在工作组中，各成员计算机只使用自己计算机上的本地组策略，不会应用其他任何组策略，安全策略管理更简单。

②网络性能比较高因为在工作组网络中，除了基本的网络连接和资源共享外，基本上是没有任何额外（如各种全局范围的安全策略和身份认证等）的网络资源消耗，用户登录都是在本机上进行，所以，工作组网络的网络连接性能要远比域网络的网络连接性能向。

这也是许多网友反映加入域网络后，登录和网络应用比较慢的根源所在。

③网络管理不方便这可以说是工作组网络的最大缺点。

因为工作组网络中，网络管理和安全边界下放到最终的用户端，无论是用户账户，用户账户权限、安全策略等都是分散的，而且各用户计算机上的这些配置都可能不同，管理员很难，甚至无法通过一台机来集中管理工作组网络中的用户账户系统和安全策略系统。

给整个网络管理带来混乱，特别是在较大网络中。

另外，对于管理员管理整个网络也一样，要实现对整个网络中的计算机进行管理，就必须在各计算机上配置有相同账户的管理员账户（注意，密码都必须一样），否则每次第一次访问一台计算机时，都提示要求输入用户账户名和密码。

如果财贸系统中有一百台，则需要在一百台计算机创建和配置这个相同的用户账户信息，如果有一千台，则要进行一次同样的工作。

其工作量是可想而知的。

尽管可以直接通过复制用户配置文件来实现，但至少也要复制一千次啊。

所以，一般来说，工作组网络主要适用于中小型网络（通常认是百台以内），但这并不是从性能上考虑的，而是从管理上考虑的。

④网络公共应用配置比较繁琐因为工作组网络中的网络访问身份验证是依据各成员计算机的账户系统，所以在一些公共网络应用服务器中的安全配置就显得比较复杂了，要么是网络中各计算机都启用默认的Guest账户（并且全都采用默认的空密码），要么在授权访问的每台计算机配置相同的组或者用户账户，否则就无法进行全面授权。

如果启用Guest账户，会给企业网络带来巨大的安全隐患。

三、公司未来网络公司网络网络基本拓扑表现为以下图示：域网络的主要特点如下：①管理更方便因为域网络可以实现在一台服务器上对用户/计算机账户和安全策略的集中管理，对于管理员来说，就可以更方便地管理整个网络的用户账户（包括用户账户权限和权利）和安全策略。

而不必分别到各用户计算机上分别配置。

这对于网络规模较大的网络来说，优势更加明显。

所以说，一般来说，域网络比较适用于较大型的网络，但也不是从性能上来考虑的。

②安全性更高因为域网络的全局用户账户和安全策略都是集中在一台或者少数几台DC上进行配置与管理的，所以相对工作组网络来说，这些配置的安全性就更高，更不容易被人攻击和破解。

同样，由于域网络中的用户数据可以偏大中存放在一台或者少数几台服务器上，企业网络数据也就更安全。

③网络访问更方便在前面的主要特点中介绍到，域网络是采用单点登录方式，用户只需要用户域账户登录一次域网络，就可以无限地访问允许访问的所有网络资源，而无需反复输入不同账户信息进行身份验证。

④有专门的高性能服务器因为在域网络中的用户账户、计算机账户、域网络安全策略等都是在DC上进行统一部署和管理的，所以需要有专门的高性能服务器来担当。

对于企业说，相当于增加了一笔不小的开支。

⑤安全配置更复杂因为在域网络中涉及到多级安全策略，各级策略的应用又有一定规则，所以总体来说，安全配置更为复杂，不容易掌握。

这对管理员的技能水平要求更高。

⑥网络性能较低因为在域网络中的用户账户和安全策略都是在网络中的服务器上进行统一部署的，而且域网络中可能存在多级安全策略，所以用户在登录和进行网络访问时的性能不如工作组网络，存在一定的延时，特别是在大的域网络，或者安全策略配置复杂（安全级别太多，采用的安全通信协议太多，安全策略设置启用太多等）、安全策略配置不合理（如存在许多冲突设置项）的域网络中表现尤其突出。

四、网络规划以及实施部署1、建立域管理①建立域控制器，并规定所有办公电脑必须加入域，接受域控制器的管理，同时严格控制用户的权限。

公司的员工帐号只有标准user权限。

不允许网络管理员泄露域管理员密码和本地管理员密码。

②在防火墙上只开放常用或业务系统需要的端口，如80、25、21、110、443，其它端口一律封锁，有效实施对P2P和BT软件的封锁。

③接入网络的计算机必须接受信息中心的管理。

通过在防火墙上设置相关的策略，允许经信息中心核准的某些IP组可以在本机上直接访问Internet，或某些IP组只能连接局域网的应用服务器，对于不遵守OU命名规则的机器IP和没有经过信息系统管理员授权的机器IP，不允许访问Internet和Intranet，只能单机使用。

④建立防病毒服务器，通过防病毒及时更新计算机的病毒库，增强整体的病毒抵御能力，及时消灭网内病毒。

⑤启用组策略。

不同部门可以设置不同安全策略，以满足不同部门的办公需求，通用策略可以设置在根域上，特殊权限在不同部门分别做策略⑥使用radmin软件进行远程维护，实现快速的维护响应。

2、建立办公协同软件详细参考无纸化信息平台方案.doc3、建立文件共享服务器通过建立文件服务器，能够更好的使公司文件方便有序的管理同时能够更安全，对于不同的域用户有着不同权限进入文件夹，并得到相应的操作权限，通过文件服务器，公司内部的文件可以按照部门、用户来划分文件夹。

4、用户及名称规划所有用户均用工号及密码来登录域环境，域的加入可以做一个加入域的批处理，用户通过输入自己的用户名和密码既可登录到域服务器。

所有接入电脑必须严格遵守OU命名规则，即电脑名必须改为部门加姓名，比如电脑部陈赵，则其计算机名为：dnbchenzhao。

当我们通过一些软件找到病毒机器时可以通过电脑名称快速定位电脑位置。

各部门用户加入各部门的组，便于用户管理及根据部门进行不同的策略设置计算机帐户中删除多余用户，仅保留域用户及administrator，重命名管理员帐户，并且强制统一管理员密码，以便日后维护。

5、用户权限及策略规划所有用户初始权限为power user 能正常访问本地所有资源，受限安装软件，禁止用户修改注册表，禁止修改TCP/IP，禁止修改计算机设置。

常用软件可以用软件分发来做，个别用户的特殊软件可以远程安装。

近期使用计算机指派,文件服务器共享等方式，远期使用SMS。

6、具体的实施具体技术方案包括：1)需求收集。

收集各部门工作需要用到的软件，与工作有关的网页，常见的一些机器故障。

2)规划。

规划服务器，客户端母盘制作，用户权限规划。

在安装活动目录之前，我们首先要对活动目录的结构进行细致的规划设计，让用户和管理员在使用时更为方便。

域的结构遵循简单原则，采用单域模式，人员的组织以部门为组织单位加入域中。

a)规划DNS如果用户准备使用活动目录，则需要首先规划名称空间。

当DNS域名称空间可在Windows 2003中正确执行之前，需要有可用的活动目录结构。

所以，从活动目录设计着手并用适当的DNS名称空间支持它。

b)规划用户的域结构最容易管理的域结构就是单域。

规划时，用户从单域开始，并且只有在单域模式不能满足用户的要求时，才增加其他的域。

单域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。

在一个域中，可以使用组织单元(OU，Organizational Units)来实现这个目标。

然后，可以指定组策略设置并将用户、组和计算机放在组织单元中。

c)规划用户的权限我们给用户那些权限,user（最低权限，不能安装软件），power user（能完成所有任务但不能更改管理员设置）。

建议初期给power user 稳定后回收权限。

需要限制用户使用那些软件用户能够访问那些资源组策略有以下几个比较重要的应用软件分发，分发msi格式软件，非msi格式可通过工具转换软件限制（非办公软件可以使用软件策略进行限制）文件夹重定向，可以把用户资料保存到安全位置管理设置,主要设置一些windows组件相关内容，比如开始菜单显示的内容Ie相关设置（信任站点，控件下载，文件下载等）安全设置（帐户策略，系统服务，注册表，文件系统）实现一些脚本的功能（比如分发一些脚本进行MAC地址绑定进行ARP免疫）3)文件服务器的要求a)每个用户都能存取删除自己所拥有的文件。