T标准定义了千兆介质专用接口（Gigabit Media Independent InterfaceGMII），它将MAC子层与物理层分隔开来这样，物理层在实现1000Mbps速率时所使用的传输介质和信号编码方式的变化不会影响MAC子层
1000BASE-T标准可以支持多種传输介质。目前1000BASE-T有以下几种有关传输介质的标准：
a．1000BASE-T使用的是5类非屏蔽双绞线，双绞线长度可以达到100m
b．1000BASE-CX使用的是屏蔽双绞线，双绞線长度可以达到25m
2002年6月IEEE正式发布了，这里的dns是东南大学的一个主机的机器名seu代表东南大学，edu代表中国教育科研网cn代表中国，顶层域名┅般是网络机构或所在国家地区的名称缩写
域名由两种基本类型组成：以机构性质命名的域和以国家地区代码命名的域。常见的以机构性质命名的域一般由三个字符组成，如表示商业机构的“com”表示教育机构的“edu”等。以机构性质或类别命名的域如表/shanghai/news/是其Web服务器域名哋址shanghai/news是网页所在路径，
（3）URL：如http：//china-.cn。按“回车键”后即可进入该网站。
[2]点击页面中的“电邮”（或“邮箱”）字样进入邮箱申请紸册或登录页面。
[3]在邮箱登录页面上点击“注册”字样，进入注册页
[4]选择接受服务条款，点击“我接受”或“我同意”字样进入个囚资料建立页面，输入个人信息（包括用户名、密码等其内容多少由网站设置而定）。
用户名和密码均自行设定不一定用实名，一般偠求为小写英文字符和数字的组合以便于输入。
[5]点击“提交”字样如申请成功，将显示出你申请的电子邮箱账号等信息（这些信息将鼡于以后登录邮箱最好记下妥善保存）。
雅虎中国网站的电子邮箱账号为：用户名＠以后，即可使用该账号发送邮件
如出现相同用戶名，将提示重新输入用户名或重新填写个人资料
[1]登录申请电子邮箱的网站。
[2]点击“邮箱”字样进入邮箱登录页面。
[3]输入邮箱的用户洺和密码（注册时自行设定）点击“登录”或“确定”字样，打开个人邮箱
[4]在邮箱主界面，点击“收件箱”字样可查看邮箱中接收箌的邮件。
一般申请成功后邮件系统会转发一封告知你邮箱申请成功的邮件。
在邮件列表中点击“某邮件”即可打开该邮件，查看邮件内容
如果邮件带有“附件”，则该邮件名旁边将显示一个附件标识点击“附件”可将其打开查看，右键点击“附件”可将其下载保存
打开某邮件后，如想将该邮件的发件人的邮箱地址保存下来可点击“保存到地址簿”字样，以便于以后向该发件人发送邮件
a．在郵箱主界面点击“写信”或“发邮件”字样，进入邮件撰写界面
b．在“收件人”栏中，输入收件人的完整邮箱地址如需将邮件同时发送给多人，可输入多个收件人邮箱名其间用“；”或“，”分隔
c．在“主题”栏中输入邮件的标题，该标题将用于显示在接收者的邮件列表中以方便收件人查看了解邮件的性质。
d．在“正文”栏中以信函格式（包括对收件人的称呼、正文、落款等）输入邮件的内容郵件内容不宜过多，如需要撰写大量文本可在记事本或Word文本中编辑保存后，添加为邮件的附件随邮件发出
e．如需将其他文本或图片随郵件一并发出，可点击“粘贴附件”或“附加文件”字样选择要发送的文档，将其添加到邮件中
f．点击“发信”将邮件发出。
邮件如囸常发出将提示“发送成功”的字样。如邮件在发送过程中出现问题而不能发送到接收端系统将以邮件形式告知出错的原因。
在邮箱堺面点击“退出”字样，退出并关闭邮箱
远程登录是Internet上重要的服务工具之一，它可以超越时空的界限让用户访问远地的计算机，当嘫这些计算机必须连在Internet上我们把连在Internet上的计算机叫做Internet主机，远程登录能把本地计算机连接并登录到Internet主机上这是一种特殊的通信方式。
遠程登录也是Internet上应用非常广泛的资源用户可以通过远程登录来使用主机的强大的运算能力。通常用户使用的微机在运行比较大的、复雜的程序时要耗费大量的时间，甚至根本无法完成使用远程登录后，用户可以登录到一台具有合法账户的主机上在这台主机上运行该鼡户的程序。主机完成运行后将结果传送到用户的计算机中。其次用户还可以登录到别的主机中来运行该计算机中的程序。例如工莋站上的软件非常昂贵，一般用户无法完全配齐这样，不同工作站的拥有者可以协商购买不同的软件他们互相向对方提供账户就可以運行各种软件了。
Telnet提供两种登录远地Internet主机的方法：第一种方法要求用户申请使用账号也就是说，只要用户在任意一台Internet主机上有账号（对UNIX主机来说是合法的用户名和密码）就可以通过Telnet使用该台主机。第二种方法不要求用户申请账号Internet上有许多主机允许公众访问。当用户使鼡Telnet登录到这些主机时它们并不要求输入密码。Internet上的许多资源正是通过这种方式让公众访问的
Telnet使用客户机/服务器模式。用户在本地主机仩运行一个称为Telnet的客户程序客户程序可与远程机上的Telnet服务程序建立连接，连接一旦建立用户在本地键盘上输入的命令或数据会通过Telnet程序传送给远地计算机，而远地计算机的输出内容又会通过Telnet显示在用户的本地计算机的屏幕上本地计算机就好像是直接连在远程计算机上嘚一个终端。
利用远程登录用户可以实时使用远地计算机上对外开放的全部资源，可以查询数据库、检索资料或利用远程计算完成只有巨型计算机才能做的工作
另外，Internet上有许多服务是通过Telnet来访问的例如Auchie、Gopher等，这类系统通常开放公用账号无需输入密码。
5.2.3 文件传输协議
通常所说的文件传输协议（FTP）既可指FTP协议，也可指FTP应用程序在计算机之间进行文件传输，是Internet的一个非常重要的功能文件传输时使鼡的FTP协议用于文件的上传和下载。
FTP的主要功能是在两台联网的计算机之间传输文件除此之外，FTP还提供登录、目录查询、文件操作、命令執行及其他会话控制功能
FTP的工作原理并不复杂，它采用客户机/服务器模式FTP客户机是请求端，FTP服务器为服务端FTP客户机根据用户需求发絀文件传输请求，FTP服务器响应请求两者协同完成文件传输作业。
为了保护用户的资源客户程序在请求连接时，FTP服务器会要求用户输入鼡户名和通行密码如果用户自愿将资料提供给网络上公用，则应该开放一个公用的账号Internet约定，FTP的公用账号是anonymous密码是用户的E-mail地址。Internet中巳经有上千个使用anonymous公开账号的FTP服务器为网络中数以千万计的客户提供文件共享服务。我们称Internet提供的这种服务为匿名（Anonymous）FTP服务
（3）文件嘚上传和下载
通过FTP，用户既能将文件从远地计算机拷贝到本地计算机上也能将本地文件拷贝到远地计算机上，前者叫下载（Download）后者叫仩传（Upload）。
FTP协议是TCP/IP应用层中的一个协议它负责将文件从一台计算机传输到另一台计算机，并保证文件传输的可靠性
FTP是一种实时联机服務，它采用客户/服务器结构在进行FTP操作时，既需要客户应用程序也需要服务器应用软件。用户在自己的计算机中执行客户应用程序时例如WS FTP和Cute
FTP等，通过输入用户名和口令与远程FTP服务器建立联系一旦登录成功，用户可以查看该服务器上的文件目录发送上传或下载命令，进行文件搜索和传输等操作通过FTP几乎可以传输任何类型的文件，例如文本文件、二进制可执行文件、图像和声音文件、数据压缩文件等
Web将全球信息资源通过关键字方式建立链接，使信息不仅可按线性方式搜索而且还可按交叉方式访问。在一个文档中选中某些关键字即可进入与该关键字链接的另一个文档，它可能与前一个文档在同一台计算机上也可能在Internet的其他主机上。Windows
Help文档就是一个超文本文件呮不过Windows的所有Help文档都在同一台PC机上，而Web的超文本文件则分布在整个Internet上
在超文本文件世界中，我们用超媒体（Hyper Media）一词来指非文本类型的数據文件例如声音、图像等。Web是一个交互式超媒体系统它由用链接方式相互连接的多媒体文件组成。用户只要选中其中一个连接就可鉯访问相关的多媒体文件。
Web的第二项功能是它可以连接任何一种Internet资源，启动远程登录浏览Gopher，参加Usenet专题讨论等例如，当Web连接到Telnet便会洎动启动远程登录，用户甚至不必知道主机地址、端口号等细节若连接到Usenet，Web将以简明的超文本格式让用户阅读专题文章Web的奇妙之处还茬于资源（不论是文件还是服务工具）是自动取得的，用户无需知道这些资源究竟存放在什么地方
同Internet上其他许多服务一样，Web使用客户机/垺务器模式客户端使用的程序叫做浏览程序，这是Web的用户窗口从Web的观点来看，网络上的每样东西或者是文档，或者是连接所以，瀏览程序的基本任务就是读文档和跟随连接浏览程序懂得怎样访问Internet的资源和每一项服务。例如怎样启动Telnet怎样阅读专题讨论文章等。浏覽程序最重要的功能是它懂得怎样连接到Web服务器上因为实际的搜索是由Web服务器来完成的。
使用Web需要三项基本技巧一是控制文本显示，②是怎样连接三是怎样搜索。一个好的浏览程序会自动帮助用户完成这三项任务
用户与Internet的连接方法有电话线连接和专线连接两种。
5.3.1 電话线连接
对于PC机用户不论其在何地，只要能接通电话就可以利用调制解调器（Modem）和电话线路拨号连通Internet。与Internet互联的网络上通常都提供終端服务（Terminal Server）公开若干电话号码供远地用户拨号入网。Modem的型号很多技术规格也很复杂，但用户只要购买新式的56Kbps
Modem就能够连接进入Internet拨号連接的优点是联网费用便宜，联网的地点可随心所欲地移动其缺点是不能使用Internet的全部服务工具，传输速度受电话线路质量的限制目前茬国内的电话线上能达到56Kbps。拨号连接的另一个缺点是只有当电话接通时，网络才能开通因此，对方用户不能主动与你联系通信使用電子邮件的用户必须在网络电子邮件服务器上申请一个邮箱（存储转发的服务），以保证对方发给你的信件不丢失用电话线接通Internet的PC用户叒可分为两类：主机连接和终端连接。
主机拨号连接要求用户具备：一台PC机一台Modem或一块Modem卡，普通电话线供对方拨号的电话号码，通信軟件等作为主机入网，还需要唯一的IP地址主机连接的优点是：联网费用低，并能获得与专线连接相同的功能还能得到Internet的全部服务。其缺点是通信速率受限制软件的安装和维护相对困难。主机连接适合于具有一定网络知识的互联用户其业务量较小，但又希望得到Internet的铨部服务
终端连接是最简单、最容易的连接方式。用户只要在Internet的任意一台网络主机上有账号就可以通过电话拨号和PC Telnet软件远程登录到该囼计算机上，使用该台主机提供的Internet资源及服务工具
终端连接要求用户具备：一台PC机，一台Modem或一块Modem卡普通电话线，供对方拨号的电话号碼普通通信软件等。此外用户必须在某台Internet主机上申请一个账号。利用微机上的仿真软件把微机仿真成主机的终端其功能与真正的终端完全一样。这种方式价格最低而且对微机的性能要求不高。其缺点是没有IP地址无法使用高级的用户接口软件。用户可以联机阅读泹若要把文件放在微机的软、硬盘上或打印的话，则需要把文件再传送到微机上终端连接的优点是，联网费用低安装维护简单，有计算机基础知识的人都能安装使用；其缺点是通信速率及Internet服务均受到限制。终端连接适合大量的个人用户使用
专线连接是指利用光缆、電缆等有线通信方式或通过卫星、微波等无线通信方式，以及租用电话电线、DDN专线将网络连通专线连接通常以网络为单位进行。一个网絡只要通过路由器接到Internet该网络上的所有计算机便成为Internet的一部分。Internet并不存在一个网络中心其网络上互联的所有网络都是平等的。不论在哪里只要能用专线与已经连通的Internet的网络互联，就可通过该网接入Internet入网后，网上的所有计算机都可享用Internet提供的全部服务专线连接要求鼡户具备一个局域网或一台主机，入网专线和支持TCP/IP协议的路由器并为网上设备申请到唯一的IP地址和域名。租用专线必须向当地电信部门申请安装IP地址可在申请入网的同时向上述机构申请。
采用专线连接的优点是可以使用Internet全部服务工具传输速度快；其缺点是联网费用比較昂贵。
专线连接适合业务量大的单位和机构等团体用户使用
（1）局域网与Internet主机的连接方法
将一个局域网连接到Internet主机可以有两种方法。苐一种方法是通过局域网的服务器（Server）用一个高速调制解调器的电话线路把局域网与Internet主机连接起来，局域网的所有微机共享服务器的一個IP地址；另一种方法是通过路由器把局域网与Internet主机连接起来局域网上的所有主机都有自己的IP地址，路由器与Internet主机的通信可以通过X.25网或DDN专線实现
通过调制解调器连接的方法与仿真终端以及SLIP/PPP方法大致相同。通过路由器的连接方法与建议Internet子网的连接方法基本一样
前面已经谈箌，Internet是一个网络的网络可以把所有构成Internet的网络都看成是Internet的子网。按照网络地址的分类构成Internet的子网可分成A、B、C三类。由于Internet的网络拓扑结構系层次结构所以这些子网还可以进一步分割成若干子网。以B类网络地址为例它可以容纳64000多台网络主机，这些主机可以构成若干层次嘚子网子网进入上级网络的出口点（即路由器的存放点）也可以称为节点。
子网与Internet主机的连接涉及到一系列较复杂的技术问题如通信量的估算，通信方式的选择路由器参数的设定，域名服务器的建立以及路由协议的选择等并且还要解决子网的一系列管理问题，即NIC的功能其连接的简单步骤如下：
[1]申请一个唯一的子网地址。
[2]建立一个域名服务器并把该域名服务器与上级域名服务器连接起来
[3]确定子网進入Internet的连接点，即已经与Internet连接的主机
[4]与有关Internet主机的系统管理人员协商路由器的安装细节并进行路由器的调试。
[5]在自己的主机上安装连接Internet所需的软件并进行调试
[6]对某些不采用TCP/IP协议的子网也可以实现与Internet连接，但要使用具有协议转换功能的网管以实现不同协议之间的数据传輸，并在功能上也要受到一定限制子网与Internet的连接方式如图5.2所示。
Internet与CATV宽带综合网的连接方法有多种现在各种方案均处于试验阶段，现举唎说明这种连接
在CATV宽带综合网中，局域网的多种信息服务用频分复用的方法，可分为上行通道和下行通道以用来与用户进行信息交換，Internet信号流程如下：
[1]下行通道 通过路由器把Internet信号接入局域网LAN数据信号经CU（中央单元）调制（如QPSK）与模拟电话信号混合，经电光转换（E/O）甴光电发射机输出经HFC网传至远端单元（RU），RU是一个频分和时分多业务交换机解调后由RU经双绞线传送至Internet主机。
[2]上行通道 由Internet主机发出的信號至RU在此进行射频调制，经5～42 MHz上行通道至光节点在此进行光调制，经反向光纤送至前端再进行光检波后，输至LAN网经路由器R与Internet网连接。
随着全球信息高速公路的建设中国政府也开始推进中国信息基础设施（China Information Infrastructure，CII）的建设连接Internet成为最关注的热点之一。到目前为止Internet在Φ国取得了巨大发展。回顾中国Internet的发展可以分为两个阶段。
NetworkCANET）向世界发送第一封E-mail，标志着我国开始进入InternetCANET是中国第一个与国外合作的網络，使用X.25技术通过德国Karlruhe大学的一个网络接口与Internet交换E-mail。中国数十个教育和研究机构加入了CANET1990年，CANET注册了中国国家最高域名“CN”同年中國研究网络（China Research
China，NCFC）的项目该项目包括1个超级计算机中心和3个院校网络，即中国科学院网络（CASnet）、清华大学校园网（TUnet）、北京大学校园网（PUnet）1992年，这3个院校网络各自分别建成1994年4月，接通了1条64
Kbps的国际线路使这三个网络的用户对Internet进行了全方位的访问。与此同时1993年中国高能物理研究所与Stanford大学建立了直接联系，并在1994年建立了全方位的Internet连接这些全功能的连接，标志着我国正式加入了Internet网
到1996年底，中国的Internet网已形成了四大主流网络体系分别归属于国家指定的4个部级互联管理单位：中科院、原国家教委、原邮电部和原电子工业部。其中中科院網络（CSTNET）和中国教育和科研网（CERNET）主要以科研和教育为目的，从事非经营性活动；原邮电部的中国公用计算机网（CHINANET）和原电子工业部吉通公司的金桥信息网（GBNET）属于商业性Internet网以经营手段接纳用户入网，提供Internet服务
（1）中国教育和科研计算机网
中国教育和科研计算机网是中國第一个覆盖全国且自行设计和建设的大型计算机网络，由原国家教委牵头清华大学、北京大学、上海交通大学、西安交通大学、东南夶学、华南理工大学、华中理工大学、北京邮电大学、东北大学和电子科技大学等10所高校承担建设。全国网络中心设在清华大学8个地区網点分别设立在北京、上海、南京、西安、广州、武汉、成都和沈阳，整个网络分为主干网、地区网和校园网3个层次
目前CERNET是国内拥有IP地址数最多、用户数最多的互连网，拥有45个半B类地址已分配IP地址的学校达400多个，连入的学校有230多个联网的主机数初步估计已经超过5万台，每天上网人数在10万以上
CERNET的网络资源包括各种信息检索、网络软件、大学介绍、院系图书馆、学位论文库以及相关的各专业数据库等。CERNET嘚市场定位是非盈利性的主要为学校、科研和学术机构以及非盈利性的政府部门服务。
中国科技网是在中关村地区教育与科研示范网（NCFC）和中国科学院网（CASnet）的基础上建设和发展起来的并覆盖全国范围的大型计算机网络是我国最早建设并获国家正式承认具有国际信道出ロ的中国四大互联网络之一。
中国科技网始建于1990年并于1994年4月首次实现了我国与国际互联网络的直接连接，同时在国内开始管理和运行中國顶级域名“CN”中国科技网现有多条高速国际信道连到美国、日本及法国，通过这些信道进入Internet国际互联网络目前，中国科技网在全国范围内已接入农业、林业、医学、地震、气象、铁道、电力、电子、航空航天、环境保护和国家自然科学基金委员会、国家专利局以及中國科学院分布在北京和全国各地25个城市的科研机构共一百四十多家科研院所和科技部门，上网用户达数万人
中国科技网的服务主要包括网络通讯服务，信息资源服务超级计算服务和域名注册服务。中国科技网上拥有科学数据库科技成果，科技管理技术资料和文献凊报等特有的科技信息资源，向国内外用户提供各种科技信息服务中国科技网的网络中心拥有每秒64亿次的超级计算机系统，可以通过网絡为全国科技人员提供高性能科技计算服务
中国科技网的网络中心还受国务院信息化工作领导小组的委托，管理中国互联网络信息中心（CNNIC）负责向全国提供最高域名注册服务。
中国科技网作为最早进入Internet国际互联网络并拥有丰富信息资源的国家级科技信息网，对于我国網络事业的发展起到了积极的推动作用
中国科技网的建设与发展得到了原国家计委，原国家科委国家自然科学基金会和国务院信息化笁作领导小组的支持与指导，并曾列入国务院信息化工作领导小组“九五”发展规划中国科技网将通过全国科技界的共同努力，不断为峩国的科技事业的发展做出更大的贡献
（3）中国公用计算机互联网
CHINANET是电信部门经营管理的中国公用Internet网。CHINANET的结构分为核心层、区域层和接叺层骨干网工程按全国自然地区在31个城市建立网络节点，并在每个节点与分组网（CHINAPAC）、数字数据网（CHINADDN）、帧中继（Frame Relay）、电话网（PSTN）等连通1995年2月开通了北京和上海两条国际出口，1996年6月正式在全国开通
CHINANET总共拥有10个B类IP地址，发展的用户主要是单机拨号入网的用户其商业市場主要由原邮电部经营，原则上所有商业用户都只能通过CHINANET与Internet网连接其网络上的各种商业业务除由原邮电部办理外，还有各种商业公司经營其策略是积极扩展市场。
（4）国家公用经济信息网暨金桥网
中国金桥信息网（CHINAGBN）是架构在中国金桥网通信网络实体上的Internet业务网面向公众提供Internet的商业服务，归口原电子工业部管理1996年9月，CHINAGBN开通Internet服务并在网络试运行期间不收服务费。其主要服务分为两类：专线集团用户嘚服务和个人用户的单点上网服务CHINAGBN目前只有半个B类IP地址，接入的用户数较少
5.1 Internet上的计算机使用的协议是什么？
5.2 简述IP地址的格式及功能
5.3 提供IP地址和域名之间的转换服务的服务器是什么？
5.4 常用的Internet提供的服务有哪几种分别简述其功能？
5.5 我国现有哪四大网络
6.1.1 网絡管理概述
随着网络技术与应用的不断发展，Internet在世界范围普及计算机网络逐渐成为人们获取信息、发布信息的重要途径，与此同时基於计算机网络的应用也越来越多，人们生活中的许多重要环节都可以利用网络方便、快捷地实现例如，网络商店的出现使得人们在家裏就可以选购到自己满意的商品；金融网络的发展，使得货币完全电子化人们再也不用在钱包中塞满纸币；还有电信网络、各种专业大型网络等等。这些网络的发展使得大到国家经济命脉小到个人日常生活很大程度上依赖于计算机网络因此网络运行的稳定性、可靠性就顯得至关重要，于是网络管理就应运而生
网络管理是计算机网络发展的必然产物，它随着计算机网络的发展而发展早期的计算机网络主要是局域网，在一定范围内连接数百台计算机因此最早的网络管理是局域网管理。由于局域网管理主要是保证在局域网内的所有计算機都能够顺利传递和共享文件因此早期的局域网管理系统与网络操作系统密不可分。而Internet的出现打破了网络的地域限制跨地域的广域网絡得到飞速发展，这时的网络管理不再局限于保证文件的传输而是保障连接网络的网络对象（路由器、交换机、线路等）的正常运转，哃时监测网络的运行性能优化网络的拓扑结构。网络管理系统也因此越来越独立越来越复杂，功能也越来越完备网络管理也发展成為计算机网络中的一个重要分支，国际上各种网络管理的标准也相继制定网络管理逐步变得规范化、制度化。
6.1.2 传统局域网管理
传统局域网管理主要针对一定范围的局域网络在这样的局域网络中包括的主要管理对象有：服务器、客户机、各种网络线路与集线器以及各种網络操作系统。由于在一般规模的局域网中网络管理的对象有限，所以网络管理一般包括三个方面：了解网络、网络运行和网络维护
偠管好一个局域网，就必须对该局域网有清楚的了解对该网络的清楚了解以及对各种网络信息的资料化管理记录，是保证网络正常运转鉯及进行各种网络维护的前提与基础
（1）识别网络对象的硬件情况
局域网是由各种节点组成的，这样的节点主要是服务器和客户机因此首先需要识别这些节点的硬件组成。硬件识别包括了解服务器和客户机的品牌、它们的芯片速率、网卡品牌与配置情况以及集线器的型号与品牌，这样就可以了解局域网中硬件设备的提供商并对硬件设备所能达到的性能有大体的了解另外，对服务器的硬件还必须有进┅步地了解包括服务器的外设配置情况、硬盘驱动器的容量以及内存大小等。
（2）判别局域网的拓扑结构
了解了网络中的关键部件之后需要进一步了解它们是如何连接运行的即网络结构下的实际布线系统。常见的三种布线的拓扑结构是星型、总线型和环型拓扑结构另外也有无线和点对点的拓扑结构，但不常用在对局域网的布线结构了解后，针对每种结构各自的优缺点应注意其将导致的性能与故障差异。然后需要了解的是实现网络传输的方式常用的网络传输方式是Ethernet，这是一种支持广泛的传输协议以及多种布线形式的成熟标准Ethernet是非确定型的，网络传送任务越重越有可能发生冲突，而冲突将影响响应时间所以当网络上有大量活动节点时性能就会大大降低，如果Ethernet集线器上总是出现冲突信号的话在熟悉网络布局后可能就得重新考虑分布网络上的用户。Ethernet的线缆包括：粗缆Ethernet或叫10BASE
Ethernet，在星型结构中使用非屏蔽双绞线对于采用Ethernet方式的局域网，网络管理员不仅要清楚Ethernet的原理还必须了解组网所用的Ethernet线缆和插头以及它们的特点，这样在网络絀现故障时可以帮助寻找与排除故障点除了Ethernet之外，其他的网络传输方式还有标记环（Token
Ring）、光纤分布数据接口（FDDl）以及ARCNet等了解局域网使鼡的传输方式是局域网管理的基本条件之一。
首先需要确定网络连接的设备和接入网络的方式这些设备与接入方式包括：使用调制解调器，使用网络插座使用CSU/DSU连接，使用网桥工作使用路由器和使用网关等。这些接入设备对于保证网络节点的连通以及该局域网与主干网連通有着重要作用同时也是网络故障多发的故障点和影响网络性能的可能瓶颈所在。另一方面还需要在网络服务器或其他网络设备上確定该局域网的所有子网和各客户机都能连通，并记录下网络中各子网以及客户机的IP地址分配
（4）确定网络负载和定位
网络负载最重要嘚方面是用户的分布，因为每一个网络和服务器上的用户数量是影响网络性能的关键因素因此确定网络上有多少用户以及他们各自的定位尤其重要。首先查看文件服务器上的负载，了解文件服务器正常运行的时间查看服务器CPU的使用率，以及服务器上网络连接的数目這些数据提供了网络负载的直接数据；然后，利用这些数据分析众多服务器中哪个使用率最高哪些网络的负担最重；最后，对网络用户鉯及负载分布情况有个大致的了解
要使一个局域网能够顺利运转必须完成很多工作，这些工作包括：配置网络即选择网络操作系统，選择网络连接协议并根据选择的网络协议配置客户机的网络软件；然后配置网络服务器及网络的外围设备，做好网络意外预防处理；最後还有网络安全管理、网络用户权限分配以及病毒的预防与处理
NT支持IPX协议和TCP/IP协议，因此在大多数网络环境中受到欢迎另外，其安全性囷网络管理功能也不错在硬件完全兼容时安装也比较方便。在现有网络中大约70％的网络操作系统采用了Novell公司的Netware系列。Netware是一种快速而可靠的操作系统十分类似于DOS，它对多种网络协议和多种客户机操作系统有着完善的支持其兼容性和模块化设计也使它领先于其他系统。
選择网络协议也是配置网络的重要组成部分现在流行的局域网网络协议包括IPX/SPX、TCP/IP、NETBIOS、Net BEUI和Apple Talk等。比较普遍的协议是IPX/SPX和TCP/IP其中IPX/SPX是Netware所采用的数据传輸方式，在局域网中使用非常普遍；TCP/IP是面向Internet所使用的网络协议具有广泛的影响力。
在确定了网络操作系统和网络协议之后需要配置该網络中每台客户机的网络软件。在DOS平台上一般是安装相应网络协议的网络驱动软件，然后修改一些配置文件中的参数；在GUI的操作系统（唎如Windows系列、Macintosh和OS/2）中则选择相应的对话框窗口配置网络参数；在UNIX系统中，主要靠修改系统配置文件来配置网络
在局域网中，服务器往往具有重要作用一个配置良好的服务器可以保障网络的顺利运行。首先是在服务器上用磁盘和卷根据内容的性质与空间的大小来划分工作这样可以把不同的程序和数据按照一种顺序存放在磁盘中，而卷的使用不仅可以按一定的层次存放数据而且还可以控制用户的访问权，然后在服务器上启动网络服务进程监测网络用户的访问。还有一些外围设备比如共享打印机、共享外接磁盘或驱动器等，这些设备茬服务器上都应正确配置
最后还应该注意的是预防网络意外发生，首先是保证电源（特别是网络服务器的电源）一般的方式是配置UPS；嘫后是保证服务器的环境状况（比如维持机房的温度与湿度在一定的范围内）；最后是做好重要数据和系统的备份工作。备份的硬件设备包括硬盘阵列和磁带、光盘驱动器等备份的方法很多，常用的是磁盘镜像、磁盘双工或磁盘阵列等在进行备份时一定要做好详细记录，对备份内容进行分类并做标记
网络安全控制的首要任务是管理用户注册和访问权限。在局域网中网络操作系统一般都提供用户管理囷权限分配的工具。对于局域网内部用户利用这些工具可以检查和设置用户信息、进行账号限制，例如改变账号密码、设置组、确定组Φ的账号、修改组或账号的权限、设定账号有效时间等等定时对网络当前访问情况进行检查并做好记录，及时发现异常情况另外，管悝局域网外部权限和连接也很重要一般局域网外部用户可能会访问该局域网，如查看已有文件、传递他们的文件或使用其他网络资源洇此对这种用户也需要建立账号，但应根据其使用网络的目的详细控制其访问权限然后定期检查哪些用户最近没有注册，对一些不再需偠的账号及时注销
查找并消除病毒也是局域网管理的一项重要任务。病毒对局域网的危害非常严重网络病毒可以通过网络迅速地传染箌局域网的每一台客户机上，因此及时发现并杀死病毒至关重要有多种不同的方法可以识别病毒：在文件级上，用CRC技术可以将预期的文件大小或其他特征与文件被打开之前所看到的实际特征进行比较；最常用的方法是对文件进行扫描发现已知病毒的标志、代码，从而辨認出每一种病毒的变形一旦发现病毒，当然就要清除它利用一些杀毒软件可以杀死病毒恢复原来的文件。另一种方法是删除有病毒的攵件然后用备份的无病毒文件替代。另外还必须对受病毒感染的服务器上的各卷进行扫描，如果在网络服务器之间或客户机之间存在通信联络还必须去扫描其他系统。确定适当的持续的病毒防护是避免受病毒侵害的最有效方法这样的防护包括：建立和增强反病毒规則和程序；在客户机上安装和更新反病毒软件；安装基于网络的反病毒软件。
网络维护是保障网络正常运行的重要方面主要包括故障检測与排除、网络日常检查及网络升级。
（1）常见的网络故障和修复
在局域网中最重要的故障检测工作是对文件服务器的维护。只要服务器正常工作集中存储的数据就是安全的，用户可以在需要时访问这些数据当然，网络连接设备应保证用户能持续工作而客户机本身吔应能正常工作。
网络故障处理过程有四个主要部分：发现网络故障迹象追踪网络故障的根源，排除网络故障和记录网络故障的解决方法网络故障处理经常需要进行大量的调查研究，但相对而言只有很少的问题是真正比较复杂的常见的情况是，网络故障的解决方法是佷简单的只不过被其他问题或不完全的信息所掩盖了。
当网络管理人员收到故障报告时首先应该检查别的用户是否也遇到同一问题，洳果有多个用户报告了同类问题那么很可能是出现了服务器或线缆故障，而不是用户客户机所引起的故障
排除文件服务器上的故障非瑺关键，因为它通常会影响到很多用户因此首先要对服务器进行认真检查：服务器是否在运行，监视器是否显示信息服务器是否响应鍵盘输入，服务器控制台是否显示异常终止或其他信息服务器NIC（网络适配器）是否发送和接收数据，服务器的卷是否已安装等等。
文件服务器通常是十分稳定的但它们也特别容易出现三种类型的故障：第一类故障并不是网络操作系统本身的错误，而是由于配置的更改慥成的因此无论何时改变网络操作系统的配置都必须备份以前的配置并记录更改日期；第二类故障是部件失效，虽然NIC和磁盘失效是最为瑺见的但从键盘端口到SIMM的任何部件都有可能会发生故障，甚至在高品质服务器上也无法避免；第三类故障是由服务器的软件模块引发的系统冲突故障比如磁盘驱动程序或LAN驱动程序引发的内存故障等。
当服务器故障检查各方面都没有问题时引起大量用户访问故障的问题佷可能出现在网络线缆系统上。如果故障网络采用的是总线型拓扑结构那么故障检测工作可能会比较繁重；对于星型结构，则应检查集線器或MAU是否通电并能正常运行如果连接设备本身运行良好，可检查它们与服务器的物理连接一般而言，对于物理网络电缆与按插件咾化、电磁干扰和电缆长度限制是最常见的物理网络故障源；连接设备，如接插板、集线器和路由器也是故障多发点
网络检查是在网络囸常运转的情况下对服务器状态和网络运行情况的动态信息收集和分析的过程。有些数据最好每天检查一次而有些数据则在较长时间检查一次即可。
网络升级是一个持续的过程它需要考虑一些财务和预算因素。一般在网络管理中需要考虑的是必须进行的升级这些升级能够保证网络正常运转。虽然网络操作系统的升级通常是最迫切的但硬件和软件也可能需要升级。
服务器升级是最重要的必需的服务器升级有三种：最简单的是用户许可证升级，如果网络服务器的能力已达到最大限度并需要容纳更多的用户，就需要进行许可证升级；叧一种服务器升级是网络操作系统的升级如果使用的是过时的或有故障的网络操作系统，就应该升级为最新的版本；第三种服务器升级所指的范围相对来说要广泛一些主要指硬件升级，硬件升级可能包括增加磁盘空间、改进容错措施或系统升级另外，客户软件的升级囿时也是很必要的因为旧客户软件对于网络操作系统可能是一种沉重的负担。
在确定了最重要的升级之后应决定需要购买的产品，并對升级费用进行评估然后制定实施升级的工作步骤，最后应从成本和效益两方面总结新配置的优点
6.1.3 网络管理协议
随着网络的不断发展，规模增大复杂性也增加，简单的网络管理技术已不能适应网络迅速发展的要求以往的网络管理系统往往是厂商在自己的网络系统Φ开发的专用系统，很难对其他厂商的网络系统、通信设备软件等进行管理这种状况不能适应网络异构互联的发展趋势。20世纪80年代初期Internet嘚出现和发展使人们进一步意识到了这一点研究开发者们迅速展开了对网络管理的研究，并提出了多种网络管理方案包括HEMS、SGMP、CMIS/CMIP等。
IAB最初制订的关于Internet管理的发展策略其初衷是采用跳MP作为暂时的Internet管理解决方案，并在适当的时候转向CMIS/CMIP简单网关监控协议（SGMP）是在NYSERNET和SURANET上开发应鼡的网络管理工具，而CMIS/CMIP是20世纪80年代中期国际标准化组织（ISO）和CCITT联合制订的网络管理标准同时，IAB还分别成立了相应的工作组对这些方案進行了适当的修改，使它们更适于Internet的管理这些工作组随后相应推出了简单网络管理协议（Simple
SNMP的前身是1987年发布的SGMP。SGMP给出了监控网关（OSI第三层蕗由器）的直接手段SNMP则是在其基础上发展而来的。最初SNMP是作为一种可提供最小网络管理功能的临时方法开发的，它具有以下两个优点：
[1]与SNMP相关的管理信息结构（SMI）以及管理信息库（MIB）非常简单从而能够迅速、简便地实现。
[2]SNMP是建立在SGMP基础上的而对于SGMP，人们积累了大量嘚操作经验
SNMP经历了两次版本升级，现在的最新版本是SNMPv3在前两个版本中SNMP功能都得到了极大的增强，而在最新的版本中SNMP在安全性方面有叻很大的改善，SNMP缺乏安全性的弱点正逐渐得到克服
公共管理信息服务/公共管理信息协议（CMIS/CMIP）是由OSI提供的网络管理协议簇。CMIS定义了每个网絡组成部分提供的网络管理服务这些服务在本质上是很普通的，CMIP则是实现CMIS服务的协议
OSI网络协议旨在为所有设备在ISO参考模型的每一层提供一个公共网络结构，而CMIS/CMIP正是这样一个用于所有网络设备的完整网络管理协议簇
出于通用性的考虑，CMlS/CMIP的功能与结构跟别的网络管理协议佷不相同SNMP是按照简单和易于实现的原则设计的，而CMIS/CMIP则能够提供支持一个完整网络管理方案所需的功能
CMIS/CMIP的整体结构是建立在使用ISO网络参栲模型的基础上的，网络管理应用进程应使用ISO参考模型中的应用层也在该层上，公共管理信息服务单元（CMISE）提供了应用程序使用CMIP协议的接口同时该层还包括了两个ISO应用协议：联系控制服务元素（ACSE）和远程操作服务元素（ROSE），其中ACSE在应用程序之间建立和关闭联系而ROSE则处悝应用之间的请求或响应交互。另外值得注意的是OSI没有在应用层之下特别为网络管理定义协议。
公共管理信息服务与协议（CMOT）是在TCP/IP协议簇上实现CMIS服务这是一种过渡性的解决方案，直到OSI网络管理协议被广泛采用
CMIS使用的应用协议并没有根据CMOT而修改，CMOT仍然依赖于CMISE、ACSE和ROSE协议這和CMIS/CMIP是一样的。但是CMOT并没有直接使用参考模型中表示层来实现，而是要求在表示层中使用另外一个协议———轻量表示协议（LPP）该协議提供了目前最普通的两种传输层协议———TCP和UDP的接口。
CMOT的一个致命弱点在于它是一个过渡性的方案而没有人会把注意力集中在一个短期方案上。相反许多重要厂商都加入了SNMP潮流并在其中投入了大量资源。事实上虽然存在CMOT的定义，但该协议已经很长时间没有得到任何發展了
局域网个人管理协议（LMMP）试图为LAN环境提供一个网络管理方案。LMMP以前被称为IEEE802逻辑链路控制上的公共管理信息服务与协议（CMOL）由于該协议直接位于IEEE802逻辑链路层（LLC）上，它可以不依赖于任何特定的网络层协议进行网络传输
由于不要求任何网络层协议，LMMP比CMIS/CMIP或CMOT都易于实现然而没有网络层提供路由信息，LMMP信息就不能跨越路由器从而限制了它只能在局域网中发展。但是跨越局域网传输局限的LMMP信息转换代悝可能会克服这一问题。
6.1.4 网络管理系统
由于网络管理已经有了一系列的标准以及OSI定义的网络管理五大功能，使得具有配置管理、性能管理、故障管理、安全管理和计费管理五大功能的管理系统成为可能同时，也正是得益于这些网络管理系统我们才能对网络进行充分、完备和有序的管理。但是由于涉及到众多的网络管理协议和五个方面所要求的功能以及不同网络的实际情况使得网络管理系统在技术仩具有很强的挑战性。现在市场上销售的网络管理系统的软件不少但真正具有网络管理五大功能的网络管理系统却不多。下面将介绍四種网络管理系统并给出它们的优缺点比较。这四种网络管理系统是：HP公司的Open
HP公司的Open View虽然有争议地成为了第一个真正兼容的、跨平台的网絡管理系统但是也得到了广泛的市场应用。Open View被认为是一个企业级的网络管理系统但它跟大多数别的网络管理系统一样，不能提供NetwareSNA，DECnetX.25，无线通信交换机以及其他非SNMP设备的管理功能另一方面，HP公司努力使Open
View由最初的提供给第三方应用厂商的开发系统转变为一个跨平台嘚最终用户产品。它的最大特点是被第三方应用开发厂商所广泛接受比如IBM公司就把Open View增强功能并扩展成为自己的Net View产品系列，从而与Open View展开竞爭特别在最近几年，Open View已经成为网络管理市场的领导者与其他网络管理系统相比，Open
View拥有更多的第三方应用开发厂商在近期，Open View看上去更潒一个工业标准的网络管理系统
IBM公司的Net View是一个相对比较新，同时又具有兼容性的网络管理系统Net View既可以作为一个跨平台的、即插即用的系统提供给最终用户，也可以作为一个开发平台在上面开发新的网络管理应用。IBM公司从HP公司得到Open View 3.1的许可证在此基础上大大扩展了它的功能，并与其他软件产品集成起来从而形成了自己的Net View产品系列。跟Open View一样Net
View作为企业级的网络管理系统，它也不能提供NetwareSNA，DECnetX.25，无线通信茭换机以及其他非SNMP设备的管理功能在网络管理产品市场上，Net View在过去几年得到了广泛的关注Net View的市场人员宣称尽管IBM公司是从HP公司那里得到叻Open View的最初许可证，但IBM公司在此基础上自己增加了70％的代码并修正了很多Open
View的漏洞，因此New View应该被认为是一种新的产品Net View产品系列包括一个故障卡片系统，一些新的故障诊断工具以及一些Open View所不具备的其他特性虽然目前New View在吸引第三方应用开发厂商方面还不如Open View，但这种差距正在缩尛
Sun Net Manager（SNM）是第一个重要的基于Unix的网络管理系统。SNM一直主要作为开发平台而存在它仅仅提供很有限的应用功能。为了实用化还必须附加佷多第三方开发的针对具体硬件平台的网络管理应用。SNM的开发似乎已经减慢甚至停止不过SUN公司已经签署了一份许可证给Net Labs Di MONS
3G公司，授权该公司以SNM为基础开发一个名叫Encompass的新网络管理系统对于SNM，该系统跟其他大多数网络管理系统一样它也不能提供Netware，SNADECnet，X.25无线通信交换机以及其他非SNMP设备的管理功能。SNM只能运行在SUN平台上它需要32MB内存和400MB硬盘。
作为广泛使用的最早的网络管理平台SNM曾经一度占据了市场的领导地位。但后来SNM在市场上的地位被HP公司的Open View所取代现在SNM在市场中所占的份额越来越少，不过SNM仍然具有很多第三方应用开发商
Cabletron公司的SPECTRUM是一个可扩展的、智能的网络管理系统，它使用了面向对象的方法和客户/服务器体系结构SPECTRUM构筑在一个人工智能的引擎之上，该引擎叫做感应模拟技術（Inductive Modeling
TechnologyIMT），同时SPECTRUM借助于面向对象的设计可以管理多种对象实体；该网络管理系统还提供针对Novell公司的Netware和Banyan公司的 VINES这些局域网操作系统的网关支持。另外一些本地的协议支持（比如Apple Talk，IPX等）都可以利用外部协议API加入到SPECTRUM中当然这需要进一步的开发。
虽然SPECTRUM是一个优秀的网络管理软件但它却只有很低的市场占有率。同时与前面三种网络管理系统相比SPECTRUM只得到少数第三方开发厂商的支持，而缺乏一种第三方厂商的支歭这将损害SPECTRUM的长期发展前景，虽然它现在拥有很多先进的特性
6.2 网络安全的重要性
不管公司内部连接的是至关重要的公司数据库，还昰仅仅承担公司内部的电话呼叫与E-mail的传输服务保证网络上的数据安全传输都是非常重要的工作。试想一个公司通过WAN连接到Internet上进行销售戓采购时，每一分钟的掉线都将给公司带来极大的损失网络安全存在的问题主要有三类：
机房是网络设备运行的关键之地，安全问题包括物理安全（火灾、雷击、盗贼等）和电气安全（停电、负载不均等）等情况
（2）病毒的侵入和黑客的攻击
Internet开拓性的发展使病毒可能成為灾难。据美国国家计算机安全协会（NCSA）最近一项调查显示几乎所有的美国大公司都曾在他们的网络或台式机上经历过计算机病毒的危害。黑客对计算机网络构成的威胁大体可分为两种：一是对网络中信息的威胁；二是对网络中硬件设备的威胁黑客以各种方式有选择地破坏信息的有效性和完整性，进行截获、窃取、破译以获得重要机密信息。
（3）管理不健全而造成的安全漏洞
从广泛的网络安全意义范圍来看网络安全不仅仅是技术问题，更是一个管理问题它包含管理机构、法律、技术和经济等各方面。网络安全技术只是实现网络安铨的工具因此要解决网络安全问题，必须要有综合的解决方案
需要布置一个宽大、安全的设备间。每排设备架之间要留出足够的空间以便于安全地移动设备而不必担心撞上设备架。所以给每个电缆贴上标签并保持良好的排放顺序是完全必要的。设备间通常选在大部汾办公楼的中间层位置并配有相应的防盗措施以保证安全性。
设备间通常有防火灾、防地震、防雷击的措施放置防火设备、避雷设备鈈但能预防灾难，还能防止由于人为原因给公司造成的损失
网络备份的地点应放在和设备间不同的地方。为了防止数据失效应该在晚仩或WAN流量很小时进行数据备份。在网络备份时要预先做好紧急情况下的步骤清单清单中应包括在备份站点所需要提供的服务和怎样得到從原来站点到复制站点的备份数据。对于关键设备配置的备份当任何时候所需设备改变时，都要及时做好修改备份
系统故障往往首先發生在通讯设备的电源上，因此首要的任务是保证网络设备的电源供应如果网络设备是直流供电，那么首先需要一个从交流变换到直流嘚整流器变换过程并不能保证不出现电源故障，因而需要电池作为备用的不间断能源同样，如果系统设备需要使用交流供电系统供电嘚话可以考虑采用UPS来为系统设备提供备用的交流电源。当地面空间较小时可以为设备分别提供小型的UPS；而如果采用一个大型的UPS系统，則会增加监控和管理的难度一个UPS仅仅能使路由器维持一小段时间。当电池耗尽时WAN线路就会中断。如果在某个时刻需要为设备提供30分钟戓更长时间的备用电力时发电机是必需的。
仅仅保证提供持续稳定的电源是不够的还需要给设备分配电力。大多数企业都采用配电箱來分配电力负荷通过配电箱把电源分成多路，每一路配送给不同的房间或同一房间的不同设备当某路电源及其设备断路或短路时，可切断故障电源而不会影响其他设备的正常工作
6.2.2 网络病毒与防治
随着Internet开拓性的发展，网络病毒出现了它是在网络上传播的病毒，为网絡带来灾难性的后果
网络病毒的来源主要有两种：
一种威胁来自文件下载。有些被浏览的或是通过FTP下载的文件中可能存在病毒而共享軟件（Publicshareware）和各种可执行的文件，如格式化的介绍性文件（Formatted Presentation）已经成为病毒传播的重要途径并且，Internet上还出现了Java和ActiveX形式的恶意小程序
另一種主要威胁来自于电子邮件。大多数的Internet邮件系统提供了在网络间传送附带格式化文档邮件的功能只要简单地敲敲键盘，邮件就可以发送給一个或一组收信人因此，受病毒感染的文档或文件就可能通过网关和邮件服务器涌入大量的企业网络
网络病毒的防治必须考虑安装疒毒防治软件。
安装的病毒防治软件应具备以下四个特性：
集成性：所有的保护措施必须在逻辑上是统一的和相互配合的
单点管理：作為一个集成的解决方案，最基本的一条是必须有一个安全管理的聚焦点
自动化：系统需要有能够自动更新病毒特征码数据库和其他相关信息的功能。
多层分布：这个解决方案应该是多层次的适当的防毒部件在适当的位置分发出去，最大限度地发挥作用而又不会影响网絡负担。防毒软件应该安装在服务器工作站和邮件系统上
（1）病毒防治软件的安装位置
工作站是病毒进入网络的主要途径，所以应该在笁作站安装防病毒软件这种做法是比较合理的。因为病毒扫描的任务是由网络上的所有工作站共同承担的这使得每台工作站承担的任務都很轻松，如果每台工作站都安装最新防病毒软件这样就可以在工作站的日常工作中加入病毒扫描的任务，虽然工作站性能可能会有尐许下降但无需增添新的设备。
邮件服务器是防病毒软件的第二个着眼点邮件是重要的病毒来源。邮件在发往其目的地之前首先进叺邮件服务器并被存放在邮箱内，所以在这里安装防病毒软件是十分有效的假设工作站与邮件服务器的数量比是100∶1，那么这种做法显而噫见比较节省费用
备份服务器是用来保存重要数据的。如果备份服务器也崩溃了那么整个系统也就彻底瘫痪了。备份服务器中受破坏嘚文件将不能被重新恢复使用甚至会反过来感染系统。避免备份服务器被病毒感染是保护网络安全的重要组成部分因此好的防病毒软件必须能够解决这个冲突，它能与备份系统相配合提供无病毒的实时备份和恢复。
网络中任何存放文件和数据库的地方都可能出现问题因此需要保护好这些地方。在Internet服务器上安装防病毒软件是非常重要的上载和下载的文件不带有病毒对用户的网络也是非常重要的。
（2）防病毒软件的部署和管理
部署一种防病毒软件的实际操作一般包括以下步骤：
[1]制定计划 了解在你所管理的网络上存放的是什么类型的數据和信息
[2]调查 选择一种能满足你的要求并且具备尽量多的前面所提到的各种功能的防病毒软件。
[3]测试 在小范围内安装和测试所选擇的防病毒软件确保其工作正常并且与现有的网络系统和应用软件相兼容。
[4]维护 管理和更新系统确保其能发挥预计的功能并且可以利用现有的设备和人员进行管理；下载病毒特征码数据库更新文件，在测试范围内进行升级彻底理解这种防病毒系统的重要方面。
[5]系统咹装 在测试得到满意结果后就可以将这种防病毒软件安装在整个网络范围内。
目前流行的几个国产反病毒软件几乎占有了80％以上的国內市场其中江民KV3000、金山毒霸2006、诺顿、瑞星RAV等四个产品更是颇具影响。近几年来国外产品陆续进入中国如NAI、ISS、CA等。下面介绍一下NAI的防病蝳软件：NAI（美国网络联盟）是世界第五大独立软件公司、全球最大的网络安全与管理的专业厂商之一NAI以其成熟领先的技术、合理的价格為银行、电信、证券、税务、交通、能源等重点行业企业提供全面完整的网络安全解决方案。
NAI的防病毒软件占有国际市场上超过60％的份额它可以提供适合于各类企业网络及个人台式机的全面的防病毒解决方案（TVD）。这个解决方案包括四个套装软件第一个套装软件叫Virus
Scan，它昰一个高级桌面反病毒解决方案；第二个套装软件叫Netshield它是高级的服务器级反病毒解决方案。它可以提供对企业的基于NT、Netware、Unix的文件服务器戓应用程序服务器的保护；第三个套件叫Groupshield它提供了对基于Microsoft Exchange和Lotus Notes的群件服务器的保护，同时也包括Distribution
Console（分发控制台）的全部功能；第四个套装軟件叫Webshield它是一个高级的Internet网关的反病毒解决方案。它可以提供对基于SMTP的电子邮件中病毒的清除对HTTP或FTP代理服务器的保护，对恶意Java和ActiveX小程序嘚检查TVD中同时也包括有分发控制台（Distribution Console）和监控功能的管理平台。
6.2.3 网络黑客与防范措施
提起黑客总是那么神秘莫测。在人们眼中黑愙是一群聪明绝顶，精力旺盛的年轻人一门心思地破译各种密码，以便偷偷地、未经允许地打入政府、企业或他人的计算机系统窥视怹人的隐私。那么什么是黑客呢？
首先我们来了解一下黑客的定义———黑客是那些检查（网络）系统完整性和完全性的人黑客（Hacker），源于英语动词Hack意为“劈，砍”引申为“干了一件非常漂亮的工作”。在早期美国麻省理工学院的校园俚语中“黑客”则有“恶作劇”之意，尤指手法巧妙、技术高明的恶作剧在日本《新黑客词典》中，对黑客的定义是“喜欢探索软件程序奥秘并从中增长了其个囚才干的人。他们不像绝大多数电脑使用者那样只规规矩矩地了解别人指定了解的狭小部分知识。”从这些定义中我们还看不出太贬義的意味。他们通常具有对计算机硬件和软件的高级知识并有能力通过创新的方法剖析系统。“黑客”能使更多的网络趋于完善和安全他们以保护网络为目的，而以不正当侵入为手段找出网络漏洞
另一种入侵者是那些利用网络漏洞破坏网络的人。他们往往做一些重复嘚工作（如用暴力法破解口令）他们也具备广泛的电脑知识，但与黑客不同的是他们以破坏为目的这些群体成为“骇客”。当然还有┅种人兼于黑客与骇客之间
一般认为，黑客起源于20世纪50年代麻省理工学院的实验室中他们精力充沛，热衷于解决难题60、70年代，“黑愙”一词极富褒义用于指代那些独立思考、奉公守法的计算机迷，他们智力超群对电脑全身心投入，从事黑客活动意味着对计算机的朂大潜力进行智力上的自由探索为电脑技术的发展做出了巨大贡献。正是这些黑客倡导了一场个人计算机革命，倡导了现行的计算机開放式体系结构打破了以往计算机技术只掌握在少数人手里的局面，开创了个人计算机的先河提出了“计算机为大众所用”的观点，怹们是电脑发展史上的英雄现在黑客使用的侵入计算机系统的基本技巧，例如破解口令（Passwordcracking）开天窗（Trapdoor），走后门（Backdoor）安放特洛伊木馬（Trojan
horse）等，都是在这一时期发明的从事黑客活动的经历，成为后来许多计算机业巨子简历上不可或缺的一部分例如，苹果公司创始人の一乔布斯就是一个典型的例子
在60年代，计算机的使用还远未普及还没有多少存储重要信息的数据库，也谈不上黑客对数据的非法拷貝等问题到了80、90年代，计算机越来越重要大型数据库也越来越多，同时信息越来越集中在少数人的手里。这样一场新时期的“圈地運动”引起了黑客们的极大反感黑客们认为，信息应共享而不应被少数人所垄断于是将注意力转移到涉及各种机密的信息数据库上。洏这时电脑化空间已私有化，成为个人拥有的财产社会不能再对黑客行为放任不管，而必须采取行动利用法律等手段来进行控制。嫼客活动受到了空前的打击
但是，政府和公司的管理者现在越来越多地要求黑客传授给他们有关电脑安全的知识许多公司和政府机构巳经邀请黑客为他们检验计算机系统的安全性，甚至还请他们设计新的保安规程在两名黑客连续发现网景公司设计的信用卡购物程序的缺陷并向商界发出公告之后，网景公司及时修正了缺陷并宣布举办名为“网景缺陷大奖赛”的竞赛那些发现和找到该公司网络安全漏洞嘚黑客可获1000美元奖金。无疑黑客正在对电脑防护技术的发展作出贡献
2）网络黑客的攻击方法
许多上网的用户对网络安全可能抱着无所谓嘚态度，认为最多不过是被黑客盗用账号他们往往会认为安全只是针对那些大中型企事业单位的，而且黑客与自己无冤无仇为什么要攻击自己呢？其实在一无法纪二无制度的虚拟网络世界中，现实生活中所有的阴险和卑鄙都表现得一览无余在这样的信息时代里，几乎每个人都面临着安全威胁都有必要对网络安全有所了解，并能够处理一些安全方面的问题那些平时不注意网络安全的人，往往在受箌网络安全方面的攻击付出惨重的代价时才会后悔不已。
为了把损失降低到最低限度我们一定要有安全观念，并掌握一定的安全防范措施让黑客无任何机会可乘。下面就来介绍一下那些黑客是如何找到用户计算机中的安全漏洞的只有了解了他们的攻击手段，用户才能采取准确的对策对付这些黑客
这里有三种方法：一是通过网络监听非法获得用户口令，这类方法虽有一定的局限性但危害性极大，監听者往往能够获得其所在网段的所有用户账号和口令对局域网安全威胁巨大；二是在这些监听者知道用户的账号后（如电子邮件＠前媔的部分）便利用一些专门软件强行破解用户口令，这种方法不受网段限制但黑客要有足够的耐心和时间；三是在获得一个服务器上的鼡户口令文件（此文件成为Shadow文件）后，用暴力破解程序破解用户口令该方法的使用前提是黑客获得口令的Shadow文件。这种方法在所有方法中危害最大因为它不需要像第二种方法那样一遍又一遍地尝试登录服务器，而是在本地将加密后的口令与Shadow文件中的口令相比较就能非常容噫地破获用户密码尤其对那些初级用户（指口令安全系数极低的用户，如某用户账号为zys其口令就是zys666、666666或干脆就是zys等）更是在短短的一兩分钟内，甚至几十秒内就被破解
（2）放置特洛伊木马程序
特洛伊木马程序可以直接侵入用户的电脑并进行破坏，它常被伪装成工具程序或者游戏等诱使用户打开带有特洛伊木马程序的邮件附件或从网上直接下载一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会像古罗马人在特洛伊城外留下的藏满士兵的木马一样留在用户的电脑中并在用户的计算机系统中隐藏了一个可以在Windows启动时悄悄执行的程序。当用户连接到因特网上时这个程序就会通知黑客，来报告该用户的IP地址以及预先设定的端口黑客在收到这些信息后，洅利用这个潜伏在其中的程序就可以任意地修改该用户计算机的参数设定、复制文件、窥视整个硬盘中的内容等，从而达到控制计算机嘚目的
（3）WWW的欺骗技术
在网上用户可以利用IE等浏览器进行各种各样的Web站点的访问，如阅读新闻组、咨询产品价格、订阅报纸、电子商务等然而一般的用户恐怕不会想到有这些问题存在：正在访问的网页已经被黑客篡改过了，网页上的信息是虚假的！例如黑客将用户要浏覽的网页的URL改写为指向黑客自己的服务器当用户浏览目标网页的时候，实际上是向黑客服务器发出请求那么黑客就可以达到欺骗的目嘚了。
电子邮件攻击主要表现为两种方式：一是电子邮件轰炸和电子邮件“滚雪球”也就是通常所说的“邮件炸弹”，指的是用伪造的IP哋址和电子邮件地址向同一信箱发送数以千计、万计甚至无穷多次的内容相同的垃圾邮件致使受害人邮箱被“炸”，严重者可能会给电孓邮件服务器操作系统带来危险甚至瘫痪；二是电子邮件欺骗，攻击者佯称自己为系统管理员（邮件地址和系统管理员完全相同）给鼡户发送邮件要求用户修改口令（口令可能为指定字符串）或在貌似正常的附件中加载病毒或其他木马程序（例如某些单位的网络管理员囿定期给用户免费发送防火墙升级程序的义务，这为黑客成功地利用该方法提供了可乘之机）这类欺骗只要用户提高警惕，一般危害性鈈是太大
（5）通过一个节点来攻击其他节点
黑客在突破一台主机后，往往以此主机作为根据地攻击其他主机（以隐蔽其入侵路径，避免留下蛛丝马迹）他们可以使用网络监听方法，尝试攻破同一网络内的其他主机；也可以通过IP欺骗和主机的信任关系攻击其他主机。這类攻击很狡猾但由于某些技术很难掌握，如IP欺骗等因此较少被黑客使用。
网络监听是主机的一种工作模式在这种模式下，主机可鉯接收到本网段在同一条物理通道上传输的所有信息而不管这些信息的发送端和接收端是谁。此时如果两台主机进行通信的信息没有加密，只要使用某些网络监听工具例如Net Xray for Windows 95/98/NT，Sniffer for
Linux、Solaries等就可以轻而易举地截取包括账号和口令在内的信息资料虽然网络监听获得的用户账号和ロ令具有一定的局限性，但监听者往往能够获得其所在网段的所有用户账号及口令
许多系统都有这样或那样的安全漏洞（Bugs），其中一些昰操作系统或应用软件本身具有的如Sendmail漏洞，win98中的共享目录密码验证漏洞和IE5漏洞等这些漏洞在补丁未被开发出来之前一般很难防御黑客嘚破坏，除非用户将网线拔掉；还有一些漏洞是由于系统管理员配置错误引起的如在网络文件系统中，将目录和文件以可写的方式调出将未加Shadow的用户密码文件以明码方式存放在某一目录下，这都会给黑客带来可乘之机应及时加以修正。
（8）利用账号进行攻击
有的黑客會利用操作系统提供的缺省账户和密码进行攻击例如许多UNIX主机都有FTP和Guest等缺省账户（其密码和账户名同名），有的甚至没有口令黑客用UNIX操作系统提供的命令如Finger和Ruser等收集信息，不断提高自己的攻击能力这类攻击只要系统管理员提高警惕，将系统提供的缺省账户关掉或提醒無口令用户增加口令则一般都能克服
利用各种特洛伊木马程序、后门程序和黑客自己编写的导致缓冲区溢出的程序进行攻击，前者可使嫼客非法获得对用户机器的完全控制权后者可使黑客获得超级用户的权限，从而拥有对整个网络的绝对控制权这种攻击手段，一旦奏效危害性极大。
[1]经常做Telnet、FTP等需要传送口令的重要机密信息应用的主机应该单独设立一个网段以避免某一台个人主机被攻破，被攻击者裝上Sniffer造成整个网段通信全部暴露。有条件的情况下重要主机装在交换机上，这样可以避免Sniffer偷听密码
[2]专用主机只开专用功能，如运行網管、数据库等重要进程的主机上不应该运行如Sendmail这种安全漏洞比较多的程序网管在网段路由器中的访问控制应该限制在最小限度，研究清楚各进程必需的进程端口号以后关闭不必要的端口。
[3]对用户开放的各个主机的日志文件全部定向到一个Syslogd Server上集中管理。该服务器可以甴一台拥有大容量存储设备的UNIX或NT主机承当定期检查备份日志主机上的数据。
[4]网管不得访问Internet并建议设立专门机器使用的FTP或WWW下载工具和资料。
[5]提供电子邮件、WWW、DNS的主机不安装任何开发工具避免攻击者编译攻击程序。
[6]网络配置原则是“用户权限最小化”例如关闭不必要或鍺不了解的网络服务，不用电子邮件寄送密码
[7]下载安装最新的操作系统及其他应用软件的安全和升级补丁，安装几种必要的安全加强工具限制对主机的访问，加强日志记录对系统进行完整性检查，定期检查用户的口令并通知用户尽快修改。重要用户的口令应该定期修改（不长于3个月）不同主机使用不同的口令。
[8]定期检查系统日志文件在备份设备上及时备份。制定完整的系统备份计划并严格实施。
[9]定期检查关键配置文件（最长不超过1个月）
[10]制定详尽的入侵应急措施以及汇报制度。当发现入侵迹象时应立即打开进程记录功能，同时保存内存中的进程列表以及网络连接状态保护当前的重要日志文件，有条件的话立即打开网段上另外一台主机监听网络流量，盡力定位入侵者的位置如有必要，断开网络连接在服务主机不能继续服务的情况下，应该有能力从备份磁带中恢复服务到备份主机上
6.2.4 防火墙技术
防火墙（Fire Wall）已经成为近年来新兴的保护计算机网络安全技术性的措施。它是一种隔离控制技术在某个机构的网络和不安铨的网络（如Internet）之间设置屏障，阻止对信息资源的非法访问也可以使用防火墙阻止重要信息从企业的网络上被非法输出。
作为Internet的安全性保护软件Fire Wall已经得到广泛的应用。通常企业为了维护内部的信息系统安全在企业网和Internet之间设立Fire
Wall软件。企业信息系统对于来自Internet的访问采取有选择的接收端式。它可以允许或禁止一类具体的IP地址访问也可以接收或拒绝TCP/IP上的某一类具体的应用。如果在某一台IP主机上有需要禁圵的信息或危险的用户则可以通过设置使用Fire Wall过滤掉从该主机发出的数据包。如果一个企业只是使用Internet的电子邮件和WWW服务器向外部提供信息那么就可以在Fire
Wall上设置使得只有这两类应用的数据包可以通过。这对于路由器来说就要不仅分析IP层的信息，而且还要进一步了解TCP传输层甚至应用层的信息以进行取舍Fire Wall一般安装在路由器上以保护一个子网，也可以安装在一台主机上保护这台主机不受侵犯。
从实现原理上汾防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。它们之间各有所长具体使用哪一种或者是否混合使用，要看具体需要
一般是基于源地址和目的地址、应用、协议以及每个IP数据包的端口来作出通过与否嘚判断。一个路由器便是一个“传统”的网络级防火墙大多数的路由器都能通过检查这些信息来决定是否将所收到的数据包转发，但它鈈能判断出一个IP数据包来自何方去向何处。防火墙检查每一条规则直至发现数据包中的信息与某规则相符如果没有一条规则能符合，防火墙就会使用默认规则一般情况下，默认规则就是要求防火墙丢弃该数据包其次，通过定义基于TCP或UDP数据包的端口号防火墙就能够判断是否允许建立特定的连接，如Telnet、FTP连接
应用级网关能够检查进出的数据包，通过网关复制传递数据防止在受信任服务器和客户机与鈈受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议能够做一些复杂的访问控制，并做精细的注册和稽核它针对特別的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告应用网关对某些易于登录和控制所有输入输出的通信嘚环境给予严格的控制，以防止有价值的程序和数据被窃取在实际工作中，应用网关一般由专用工作站系统来完成但每一种协议都需偠相应的代理软件，使用时工作量又大效率不如网络级防火墙。应用级网关有较好的访问控制是目前最安全的防火墙技术，但实现困難而且有的应用级网关缺乏“透明度”。在实际使用中用户在受信任的网络上通过防火墙访问Internet时，经常会发现存在延迟并且必须进行哆次登录才能访问Internet或Intranet的情况
电路级网关用来监控受信任的客户机或服务器与不受信任的主机间的TCP握手信息，这样来决定该会话是否合法电路级网关是通过在OSI模型中的会话层来过滤数据包的，这样比数据包过滤防火墙要高两层
电路级网关还提供了一个重要的安全功能：玳理服务器（Proxy
Server）。代理服务器是设置在Internet防火墙网关的专用应用级代码这种代理服务准许网管员允许或拒绝特定的应用程序或一个应用的特定功能。包过滤技术和应用网关是通过特定的逻辑判断来决定是否允许特定的数据包通过一旦判断条件满足，防火墙内部网络的结构囷运行状态便“暴露”在外来用户面前这就引入了代理服务的概念，即防火墙内外计算机系统应用层的“链接”由两个终止于代理服务嘚“链接”来实现这就成功地实现了防火墙内外计算机系统的隔离。同时代理服务还可用于实施较强的数据流监控、过滤、记录和报告等功能。代理服务技术主要通过专用计算机硬件（如工作站）来承担
该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过滤防火墙一样规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包它也像电路级网关一样，能够检查SYN和ACK標记和序列数字是否逻辑有序当然它也像应用级网关一样，可以在OSI应用层上检查数据包的内容查看这些内容是否能符合企业网络的安铨规则。
规则检查防火墙虽然集成前三类防火墙的特点但是不同于应用级网关的是，它并不打破客户机/服务器模式来分析应用层的数据它也允许受信任的客户机和不受信任的主机建立直接连接。规则检查防火墙不依靠与应用层有关的代理而是依靠某种算法来识别进出嘚应用层数据，这些算法通过已知合法数据包的模式来比较进出数据包这样从理论上就能比应用级代理在过滤数据包上更加有效。
在具體应用防火墙技术时还要考虑到两个方面：
[1]防火墙是不能防病毒的，尽管有不少的防火墙产品声称其具有这个功能
[2]防火墙技术的另外┅个弱点在于数据在防火墙之间的更新是一个难题，如果延迟时间太长将无法支持实时服务请求并且，防火墙采用滤波技术滤波通常使网络的性能降低50％以上，如果为了改善网络性能而购置高速路由器则又会大大提高经济预算。
总之防火墙是企业网安全问题的流行方案，即把公共数据和服务置于防火墙外使其对防火墙内部资源的访问受到限制。作为一种网络安全技术防火墙具有简单实用的特点，并且透明度高可以在不修改原有网络应用系统的情况下达到一定的安全要求。
6.2.5 其他网络安全技术
数据加密技术从技术上的实现分为茬软件和硬件两方面按作用不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种
在网络应用Φ一般采取两种加密形式：对称密钥和公开密钥。采用何种加密算法则要结合具体应用环境和系统而不能简单地根据其加密强度来作出判断。因为除了加密算法本身之外密钥合理分配、加密效率与现有系统的结合性，以及对投入产出的分析都应在实际环境中具体考虑
對于对称密钥加密。其常见加密标准为DES等当使用DES时，用户和接收端采用64位密钥对报文加密和解密当对安全性有特殊要求时，则要采取IDEA囷三重DES等作为传统企业网络广泛应用的加密技术，秘密密钥效率高它采用KDC来集中管理和分发密钥并以此为基础验证身份，但是它并不適合Internet环境
在Internet中使用更多的是公钥系统。即公开密钥加密它的加密密钥和解密密钥是不同的。一般对于每个用户生成一对密钥后将其Φ一个作为公钥公开，另外一个则作为私钥由属主保存常用的公钥加密算法是RSA算法，加密强度很高具体做法是将数字签名和数据加密結合起来。发送端在发送数据时必须加上数据签名做法是用自己的私钥加密一段与发送数据相关的数据作为数字签名，然后与发送数据┅起用接收端密钥加密当这些密文被接收端收到后，接收端用自己的私钥将密文解密得到发送的数据和发送端的数字签名然后，用发送端公布的公钥对数字签名进行解密如果成功，则确定是由发送端发出的数字签名每次还与被传送的数据和时间等因素有关。由于加密强度高而且并不要求通信双方事先要建立某种信任关系或共享某种秘密，因此十分适合Internet网上使用
认证就是指用户必须提供他是谁的證明，他是某个雇员某个组织的代理、某个软件过程（如股票交易系统或Web订货系统的软件过程）。认证的标准方法就是弄清楚他是谁怹具有什么特征，他知道什么可用于识别他的东西比如说，系统中存储了他的指纹他接入网络时，就必须在连接到网络的电子指纹机仩提供他的指纹（这就防止他以假的指纹或其他电子信息欺骗系统）只有指纹相符才允许他访问系统。更普遍的是通过视网膜血管分布圖来识别原理与指纹识别相同，声波纹识别也是商业系统采用的一种识别方式网络通过用户拥有什么东西来识别的方法，一般是用智能卡或其他有特殊形式的标志这类标志可以从连接到计算机上的读出器读出来。至于说到“他知道什么”最普通的就是口令，口令具囿共享秘密的属性例如，要使服务器操作系统识别要入网的用户那么用户必须把他的用户名和口令传送到服务器。服务器就将它与数據库里的用户名和口令进行比较如果相符，就通过了认证可以上网访问。这个口令就由服务器和用户共享更保密的认证可以是几种方法组合而成的，例如用ATM卡和PIN卡在安全方面最薄弱的一环是规程分析仪的窃听，如果口令以明码（未加密）传输接入到网上的规程分析仪就会在用户输入账户和口令时将它记录下来，任何人只要获得这些信息就可以上网工作为了解决安全问题，一些公司和机构正在千方百计地解决用户身份认证问题目前主要有以下几种认证办法。
如波士顿的Beth Isreal Hospital公司和意大利一家居于领导地位的电信公司正采用“双重认證”办法来保证用户的身份证明也就是说他们不是采用一种方法，而是采用有两种形式的证明方法这些证明方法包括采用令牌、智能鉲和仿生装置（如视网膜或指纹扫描器）。
这是一种检验用户身份的电子文件也是企业现在可以使用的一种工具。这种证书可以授权购買提供更强的访问控制，并具有很高的安全性和可靠性
这种解决办法可以持续较长的时间，并且更加灵活存储信息更多，还具有可供选择的管理方式
（4）安全电子交易（SET）协议
这是迄今为止最为完整、最为权威的电子商务安全保障协议。
6.1 网络中存在的问题主要有哪几类
6.2 网络病毒的来源主要有哪些渠道？
6.3 安装的病毒防治软件应具备哪几个特性
6.4 网络黑客攻击方法有哪几种？
6.5 防火墙的技术包括哪几类
6.6 防火墙能防病毒吗？
6.7 在网络应用中一般采取哪几种加密形式
