企業網絡如何建設？很多企業在初期因為人員較少，所以配置比較低，但隨著企業人員的增加，應用的增加，無論是寬帶、出口、安全、管理等已不能滿足當前的需求，所以很多的企業網絡發展到一定的階段就需要改造了

本期我們來通過實例來看下企業網絡改造的一些建議。

企業網絡改造的六個方向

一、網絡出口安全問題
公司現有的網絡出口設備配備1臺企業級路由器，該產品主要用于集團公司上網用戶的IP地址轉換，外網光纖鏈路為電信50M，由于路由器未提供安全功能模塊，集團公司的網絡安全受到很大危險，同時集團公司的銷售人員在出差時需遠程訪問公司內網業務系統，現有設備沒有防火墻、入侵檢測、VPN等功能，某些功能需要購買軟件授權才可以實現。急需對全集團公司網絡安全進行改造。

解決方案：新購一臺網絡安全網關UTM或高性能防火墻，具備高級功能，同時提供VPN、AV、IDP等多種功能，UTM區別于傳統防火墻，能分析網絡3-4層數據報文，自帶的規則庫能識別90%的病毒，阻止非法的網絡攻擊，如非法掃描，漏洞探測，僵尸網絡，拒絕垃圾郵件、暴力破解等。通過配置SSL VPN可以實現遠程用戶以安全的虛擬通道連接到集團公司內網訪問業務系統，SSL VPN支持在手機、電腦終端任意訪問，不再限制用戶的訪問終端類型。公司領導可以在家、出差，上下班路上，輕松連接到內網進行相關工作流程的簽發，實現了智能終端設備的安全移動辦公。

二、網絡帶寬管理問題

公司網絡基礎平臺在2013年左右建設完成，互聯網接入電信帶寬只有50M，現階段對用戶上網的行為，上網的帶寬，訪問的應用沒有任何安全控制，如：員工上網在論壇發帖，評論、轉發，瀏覽網頁、非法言論，因公司沒有相應的管控設備，無法定位和查看是發送者身份，將會給公司造成很大負面影響。公安部82號令，要求能夠記錄終端用戶訪問網站的日志，對外發的內容可以進行審計以及關鍵字過濾。
解決方案：新采購一臺上網行為管理設備，部署在機房，可以實現對公司網絡帶寬管理、網絡行為管理，通過該設備可以配置相應的流量管理策略，可基于用戶角色或者時間段來分配帶寬管理策略。

控制下載、在線應用，通過部署了上網行為管理設備，可以靈活、有效的控制和解決陜西核工業集團公司網絡帶寬及用戶訪問行為，提升網絡安全，實現網絡可視化管理。上網行為管理設備有如下四大主要功能特點：

1、內容過濾；

2、應用控制；

3、帶寬管理；

4、內容審計；
三、網絡架構問題
公司基礎網絡建設處于起步階段，ip地址與區域網絡未進行合理規劃，網絡框架混亂，經常出現大范圍網速慢，掉線。
解決方案：新購置一臺千兆三層的核心交換機，新購的核心交換機配置為用戶終端網關設備，進行劃分vlan，按照樓層的辦公區域劃分不同的VLAN，不同的VLAN之間不能直接訪問，通過三層交換機的路由實現了不同VLAN的互訪。

配置了VLAN之后，即使有終端機器感染網絡病毒產生的廣播報文只在本部門VLAN內廣播，不會影響其他部門VLAN，這樣大大降低了病毒對網絡影響的范圍，保護了內網的安全性。核心交換機的強大的背板帶寬和包轉發率能保證用戶的數據請求無阻塞的完成轉發，沒有網絡瓶頸。

四、無線網絡覆蓋問題

公司辦公樓共6層，幾乎每個辦公室都需要無線接入的需求，公司員工的筆記本、手機都有訪問無線用于移動辦公，訪客室、會議室都要求接入無線。因為前期沒有規劃網絡，很多無線接入是員工通過購買了家用無線路由器產品來實現的。購買的無線路由器需要逐個安裝調試，辦公樓出現了非常多的家用型無線設備。
目前的問題有：無線信號不穩定、頻繁掉線、相互之間干擾嚴重、無法集中統一管理所有無線設備、無線網絡安全無法控制，非法設備搶占空口資源，管理員經常奔波于每個辦公室處理無線連接問題。
解決方案：1.簡單高效的AC+AP網絡架構針對集團公司需要對網絡設備實行統一管理的要求，采用了AC+AP網絡架構，并結合華為eSight無線網管功能，不僅可以做到AP的統一配置和集中管理，從無線網絡配置、故障定位和快速恢復等方面，全面提升無線網絡的運維管理效率，讓公司網絡管理方既省心又省力；另一方面，使用AC射頻管理調優功能，實現無線覆蓋的快速調整和優化，保證無線網絡性能。

2、內外網統一的無線訪問通過VAP/SSID，設置內外網為一張物理網絡，并且安全隔離出內網、外網，極大的簡化了布線成本和對施工的要求；并且易于維護，支撐未來的業務擴展。

3、穩定可靠的無線連接通過雙頻、自動信道選擇調整、高可靠的無線網絡設計，保障集團公司網絡干擾小，信號穩定，單設備故障不影響業務等，實現穩定的無線辦公環境。
五、桌面運維管理問題

當前企業在對人員的管理主要是基于傳統的桌面進行管理，主要采用微軟組策略或者第三方的管理軟件或硬件對終端桌面進行控制，例如：

1、禁止USB口，防止用戶利用USB設備拷貝數據

2、禁止藍牙和紅外設備，防止用戶通過藍牙和紅外設備傳輸數據

3、對數據進行加密，防止文件外泄造成信息外流但是這些手段并不能很好地解決當前問題，對于有技術的開發人員，都不是難事，仍然存在一些風險。
解決方案：使用虛擬桌面解決方案可以很好地解決上述問題：

1、由于虛擬桌面是基于服務器計算的模式，所有的計算都是發生在服務器上，即運行在服務器上的虛擬操作系統（Linux、windows?），所有數據都在服務器上產生，所以可以從根本上控制數據的訪問和使用，即通過策略限制將產生的數據存儲在本地磁盤，USB設備上。

2、利用遠程訪問協議高效性，以及對數據的安全訪問機制，開發團隊可以通過網絡包括vpn網絡遠程進行開發，而無需在企業規定的開發場地，占用大量的資源。

3、通過提供虛擬桌面，企業無需為開發方的團隊提供設備，或者對這些設備進行全面管理和支持，可以讓開發方使用自己的設備，只需要網絡進行管理，訪問受控的、安全的、開發虛擬桌面。開發環境被分為可控的虛擬開發環境與物理的自有環境，在滿足開發人員的特殊需求同時，能夠管控開發環境，減少企業IT人員的管理復雜性。
4、由于在工作過程中，虛擬桌面也是需要連接到網絡進行工作的，所以虛擬桌面本身并不能解決數據通過網絡傳輸外泄的風險，但是由于只有這一條潛在外泄通道，企業IT管理人員可以通過網絡工具和設備來對網絡進行管理，解決這一問題。
5、從整體對比來看，虛擬桌面解決方案從數據安全的角度，相對于傳統本地桌面，從成本，管理，安全和環保層面，都有很大優勢，而且已經成為了未來趨勢。
六、服務器數據安全問題

公司現應配備服務器1臺，用于支撐公司財務系統運行，財務數據保存在服務器本地硬盤。財務報表等數據是集團公司＊機密的信息，一旦服務器系統損壞或者硬盤故障，將面臨集團公司無法訪問財務系統，嚴重情況下將會導致數據丟失。同時現有服務器只承載了一個業務系統，服務器的CPU，內存等物理資源長期利用率在3%以下，造成資源了極大浪費，但因為現有的服務器建設架構無法提高服務器硬件資源利用率，需改變現在服務器部署模式來改善這些問題。
解決方案：為了提升服務器硬件資源利用率，保護財務系統數據安全性，即使服務器系統及硬件出現故障仍能保持業務連續性，我們建議客戶采用服務器虛擬化的解決方案來改善集團公司業務的部署模式。新購3臺服務器及一套統一存儲，新購的兩臺服務器和現有一臺服務器，用于構建一套資源池，通過虛擬化軟件實現CPU、內存、硬盤、網絡等資源的池化，可以針對某個應用按需分配資源，實現服務器高可用，保護數據安全可高，服務器只用來承載業務系統，業務系統產生的生產數據通過高速光纖鏈路傳送到存儲上。