科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道利用客户端限制及制度管理营造稳定网络

利用客户端限制及制度管理营造稳定网络

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

管理局域网需要了解整个网络的结构和分布,除了要掌握核心设备的安全配置外,还需对客户端进行限制、制订合理的管理制度,双管齐下才能有效地管理网络,从而杜绝一些低级错误的发生。

作者:zdnet安全频道 来源:论坛整理 2008年7月7日

关键字: 网络管理

  • 评论
  • 分享微博
  • 分享邮件

  管理局域网需要了解整个网络的结构和分布,除了要掌握核心设备的安全配置外,还需对客户端进行限制、制订合理的管理制度,双管齐下才能有效地管理网络,从而杜绝一些低级错误的发生。

  笔者就曾经遇到过类似的情况,那时笔者刚刚接手公司的局域网,虽然对接入端比较了解,可没有制定合理的制度对用户加以限制。某日一部门反映说外部邮件无法收取,经查看,机器的配置没有问题,Ping网关也正常,Ping外部邮件服务器却不通,后来其它部门也反映无法上网,于是开始检查路由器和线路,发现路由器一切正常,系统日志记录的参数也并无异常,没有丢包现象,交换机各端口和指示灯显示没有问题,检查各台服务器也没有发现可疑进程,均能正常运行。看起来整个局域网一切正常,没有病毒,内部邮件收发正常,但对外的所有进程被切断了,无法和外网通讯。

  感觉有些奇怪,网关可以Ping通,排除了路由器的问题,又没有病毒,客户端IP没有冲突,DNS配置正确,电信局端也没有问题,为什么无法访问外网呢?仔细地考虑一下,由于整个局域网是通过路由器接入一台二层交换机,再分到各部门接入客户端,只有一个网段,现在内网一切通讯正常,那说明交换机故障应该可以排除了,因为所有用户都是通过此交换机相互连接交换数据的。因此问题的焦点很快转到路由器上,于是尝试将一台正常的主机单独接入路由器而断开局域网,根据先前的配置通过ADSL拔号上网,一切正常,只用了5秒的时间就可以拔通上网了。

  由于公司原来没有配置DHCP服务,各客户端的地址都是手动分配的,应该不会存在IP地址冲突,那难道是其它方面有冲突?借助netsuper软件,查看了整个局域网用户的IP、MAC、USER等信息,发现某个用户的IP地址竟为本地网关地址。原来如此,先前一直Ping通的并非路由器的IP网关地址,而只是那台主机,是它一直抢占着网关地址,当本地主机IP被非法改为网关IP地址时,网内电脑通讯时就会优先选择本网段内路由信息,将所有数据流请求纷纷发到此台“非法网关主机”上,而忽略路由器上的真实网关地址,但此主机又并非真正网关,无法对外转发数据和路由信息,所以自然也就无法对外访问网络了。立刻将此主机IP改回来,并重启路由器,一切恢复如初了。

  问题解决了,但得到了许多启发,为了避免缺乏有效的网络管理制度导致的网络问题,就要求不仅要对客户端系统进行限制,还要有严格的制度管理。笔者建议应制定一些管理制度:

  1、给每个客户端建一个USER权限的帐户,这样用户对一些IP属性或帐户等敏感信息就没有修改权限了,也可以建立本地管理员帐户定时对系统进行维护和管理,关于补丁更新和软件安装问题,则通过SUS分发或组策略来实现。

  2、对上网的用户进行控制,对于没有网络方面要求的用户则关闭其外网。对接入端口进行限制,以减少病毒和木马的感染机率。

  3、配置DHCP服务,并在服务器端对相关IP地址进行排除、保留和捆绑,有效防止手动分配可能带来的维护不便和地址冲突。

  4、通过域进行管理,并制定相应的网络管理制度。由于先前的是对等网,共享资料零乱,用户账号不统一,用户还可能私自重装操作系统,给管理带来极大的不便。为此要出台正式的网管制度,对用户账号的分配和申请需经有关部门的批准,从而有效的提高了网络的安全性、可管理性。

  通过以上几点措施,整个网络的效率提高了,大的网络故障或瘫痪现象没再发生。由于及时将安全补丁分发给客户端安装,杜绝了病毒对网络的影响,营造了一个健康、稳定的网络是环境。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章