月度归档： 2014 年 8 月

无线网络的设计

描述角度：
无线网络的规划设计流程包括需求分析、现场勘查、干扰探测、覆盖规划、容量规划、频率规划、方案评审、安装施工、实地测试和调整优化等步骤。

素材：规划
合理的前期规划需要考虑网络架构、用户需求、覆盖范围、用户密度、建筑结构、用户业务、管理等各方面的需求。

首先是网络架构。目前无线局域网有胖 AP（FAT AP）和瘦 AP（FIT AP）两种方案，瘦 AP 架构，由无线控制器实现无线 AP 的管理和控制，无线 AP 实现无线信号的加密解密；这种组网方式具有组网灵活、业务开展能力强等特点，更适合规模部署：而胖 AP 在小规模部署的时候存在成本低，部署简单的优势。由于无线校园网 AP 总数一般都比较多，所以在无线校园网中，一般采用瘦 AP 架构。

其次是无线覆盖方案规划。WLAN 覆盖规划需要考虑建筑结构、用户密度等因素，一般有软件模拟、现场实测、现场人工勘察几种方式。

目前有很多 WLAN 网络规划软件，只需要输入目标区域的图片或者 CAD 图，加上各种材质的衰减等必要的参数，即可模拟出部署 AP 之后的覆盖效果，但这种方式只是理论上的计算，与实际效果可能存在比较大的差距。加上很多旧楼根本没有电子版的图纸，所以采用软件模拟的规划方式只能作为参考，更进一步的规划需要实际测试和现场工堪相配合。比较好的网络规划一般采用软件模拟 + 设备实测 + 现场工勘的方式完成。这种方案既简化现场勘测工作量，又结合用户实际情况，避免普通网络规划软件考虑不周造成方案失真。

第一步，根据用户提供的平面图或者 CAD 图，使用专业的 WLAN 网络规划软件，模拟目标区域覆盖的效果；
第二步，典型区域现场测试；对于比较有典型性同时又可能出问题的区域，需要带设备进行实测，根据测试结果，调整覆盖方案；
第三步，对于条件受限不能进行实测的区域，由专业的 WIAN 规划团队进行现场勘测，结合现场测试和规划软件结果，制定最终的 WLAN 规划方案。

素材：部署
WLAN 的部署需要根据目标区域的不同制定最佳的 WLAN 覆盖方案，根据覆盖区域和用户要求的不同，可以采用室内直接覆盖、室内分布式覆盖、室外覆盖、室外覆盖室内等多种覆盖方案。

室内直接覆盖方案
适用于用户密度高，信号衰减小如图书馆、学术厅、教室的区域。这种情况下，AP 可以采用壁挂或者吸顶安装。此时优先考虑的因素是用户数量而不是信号质量。通常，每个 AP 支持用户数量的合理值在 15 – 20 个，根据用户总数和使用无线局域网的比例来合理规划每个区域部署 AP 的位置和数量。

室内分布式覆盖方案
适用于用户密度不高，信号衰减大的区域如办公楼、学生宿含等。每个 AP 通过室内分布式天馈系统带多个天线来达到扩大覆盖区域，提高信号质量的目的。此时 AP 一般部署于楼道天花板上或者弱电间中，天线则部署于楼道内。在使用室内分布式覆盖的情况下，AP 的数量主要在施工难度和信号质量之间取平衡。

室外覆盖方案
适合于操场、广场，迎新大道等室外开阔区域；在这种区域中，需要覆盖的区域范围广，并且通常会有比较多的树木等影响无线信号；同时设备部署到室外，必须考虑防水、防尘、防雷、防高温、防低温等因素，因此室外覆盖方案对无线设备要求非常高，一般必须使用专业室外型产品，在距离超过以太网作用范围的情况下，要求 AP 必须支持光纤接口。室外覆盖方案首要考虑是信号质量，一般情况下，普通 100mw 的室外型产品能够覆盖 100 – 200 米，大功率室外型 AP 可以覆盖超过 300 米。

室外覆盖室内方案
适合学生宿舍、家属楼等区域的补点方案。AP 部署在目标区域的两侧，在两侧安装室外型 AP 加定向天线的方式完成对目标区域的覆盖。这种情况下，每个 AP 能够覆盖的区域很广，信号通过窗户进入房间，因此窗口附近的信号质量高，远离出口的区域信号质量稍差。对于家属楼，如果要求不高，可以只覆盖书房所在的一面，而对于学生宿舍楼，必须采用双面覆盖。室外覆盖室内的方案只能解决信号覆盖问题，如果使用无线网络的用户比例增加，上网速度则会下降。这种情况下，建议更换为室内覆盖方案。

素材：安全
无线局域网由于其物理介质的开放性，会面临更多的安全性问题。WLAN 安全解决方案，涵盖从链路层到应用层，能够发现和防护常用的无线攻击，确保无线信号传输过程中的安全性。

在链路层，需要考虑结合 802.1x 认证，防范针对 802.11 报文的 Flood、Null Data 等常见攻击；在安全标准方面，802.11i 安全机制被广泛使用，能满足无线校园网对数据传输安全性的要求。此外，瘦 AP 架构能够很好的发现和防范非法 AP，确保用户不会连接到非法 AP 上而导致泄密。

很多校园网 ARP 病毒泛滥，无线局域网由于共享带宽机制，更易受到 ARP 病毒影响，因此，必须在应用层提供解决方案能够全面防护 ARP 攻击，避免 ARP 病毒爆发而导致无线网络不可用。有条件的情况下，无线网络上提供安全准入功能，这样能够更有效的减少病毒或者系统漏洞对网络可用性带来的影响。另外无线控制器集成 IPS 功能很好的防御高层攻击已成为一种趋势。

素材：运营和优化
WLAN 的运营，既有 WLAN 自身的特点，又需要和现有的有线网络尽可能保持一致，因此需要全面统一考虑。

认证方面：重要的认证技术包括 802.1x、Web Portal 和 PPPoE 认证。但对于无线校园网来说，由于用户的终端类型多种多样，802.1x 认证的终端兼容性问题很难解决，所以在无线校园网中不推荐使用 802.1x 认证，而推荐使用 WebPortal 方式认证。在和运营商联合建设的情况下，可以使用 PPPoE 认证。

计费方面，大多数学校的有线网络都是采用校园网包月、外网按流量计费的模式。此模式包括两个认证过程：第一个过程是用户接入无线网络时检查用户是否存在以及是否缴纳包月费用；第二个过程是用户访问外网时出发启动流量计费认证。由于用户需要输入两次同样的用户名密码，很不方便，因此无线校园网在计费策略和有线网络保持一致的情况下，可以通过实现一次认证，简化用户认证流程。

对于网络优化来说，是一个持续的过程。无线局域网容易受到外界干扰，对于短期的干扰，无线控制器自动信道调整和自动功率控制能够把干扰的影响降到最低；而对于长期的干扰，必须根据用户长期使用效果进行人工调节或者调整。

素材：网络管理
目前很多已建成的无线校园网都是有线设备一套管理系统，无线设备一套管理系统。很多时候，无线网络出现问题后必须有线网管系统配合才能最终找到问题的原因，给系统维护带来极大的工作量。因此无线校园网的管理系统必须能够实现对无线校园网建设所需的所有设备，包括 AC、FIT AP、FAT AP、PoE 交换机、汇聚交换机、核心交换机在内的有线和无线设备的统一管理；使无线校园网能够作为一个完整的系统，实现单独的管理和运营。

用户的管理：传统的有线网络可以通过 IP、MAC、端口等多维度的绑定来实现对用户的管理。而对于无线网络，用户的 IP、MAC 都有可能变化，端口更是随着用户的漫游在变化，因此必须有一种更加切实可行的方式来增强对用户的管理。

对于无线校园网来说，无线管理系统必须能够实现对用户 IP、MAC 地址、用户名、所在 AP、安全策略等动态的管理，能够在系统中实时查询到每个用户的相关信息并记录成日志，以备审计，实现对用户的良好管理。

逻辑网络设计是网络规划与设计中的关键阶段。逻辑网络设计和规划的目标包括合理的网络结构、成熟而稳定的技术选型、合适的运营成本以及使逻辑网络具备可扩充、易用、可管理和安全等性能。请围绕 “大中型网络的逻辑网络设计” 论题，依次对以下三个方面进行论述。

1. 简要叙述你参与设计和实施的大中型网络项目以及你所担任的主要工作。
2. 针对大中型网络中逻辑网络设计的主要工作内容论述你是如何进行逻辑网络设计的。
3. 简要介绍你在大中型网络的逻辑网络设计中遇到的棘手问题及其解决办法。

逻辑网络设计包括：网络结构的设计、物理层技术选择、局域网、广域网技术选择、地址和命名模型设计、交换和路由协议的选择、网络安全策略设计、网络管理策略设计。

从论文结构来说，可以从设备选型和网络结构设计、IP 地址和路由方案、网络安全方案、存储和数据灾备方案几个点去描述项目。

素材 1（网络结构调整）
对原有出口的教育网带宽不变，联通升级为 1G，同时新增一条电信 1G 出口。核心区域更换两台华三 S5700 交换机组成双核心热备模式，只做高速转发，不再做策略路由，多出口的路径选择交给专用负载均衡设备 radware linkproof1000，智能分析自动分配网络流量流入相应的出口，减轻了各链路承担的负载，保证网络的高效畅通和可靠性。出口至核心拓扑为 3 条分别接在三台华为 7703 上，每台 7703 分别连接两台 radware，radware 连接 paloAlot PA-4060 防火墙，防火墙连接校内两台核心交换机，相同设备两两连接，并开启 vrrp（虚拟冗余网关协议），选用性能较高的设备作为主设备，启用端口跟踪，发现链路中断时可直接切换到备用设备，保证设备或链路的冗余，防止单点失效。对原有替换下的两台 6509 下放到各校区中心机房保证人员密集校区（本部、西青校区）都有 2 台汇聚交换机，保证汇聚交换机与核心交换机之间采用全互联模式。

素材 2：无线网络结构的构建
无线核心使用两台 H3C S7508 交换机与核心交换机互联，运行 OSPF 协议，Area20，分别与各校区汇聚交换机相连。汇聚交换机直接连接各设备间的接入交换机，接入交换机全部支持 POE。接入交换机为无线 AP 供电，一般选用 802.3af 交换机。办公区、宿舍区使用支持 8 – 16 人的墙插式 AP；教学区、服务器区、食堂区使用支持 128 人的吸顶式 AP，离广场、操场近的楼宇屋顶架设室外 AP。所有 AP 均为 FIT AP 由 AC 控制器统一管理，下发用户地址段，使用 FIT AP 当用户在频点切换时，可实现不断网的无缝漫游，稳定性强不易受干扰，多用户连接同一 AP 设备时，可自动转到其他 AP 上，达到负载均衡，提高网络的可用性，此外，AC 可调整 AP 的发射功率，AP 故障时，可扩大其他 AP 发射功率覆盖信号盲点，防止单点故障。
另外，为了保证现有普通 WIFI 终端的平滑接入，对于协议标准 IEEE802.11b，IEEE802.11g，IEEE802.11n，IEEE802.11ac 的选取，同时要有扩展性，最终采用了 IEEE802.11ac，兼容了 2.4G 和 5G 两个频点。

素材 3：IP 地址的重新规划
由于前期规划不足，内网只有 10.1.0.0/16 一段，随着师生人数增多，且分配杂乱无章，没有形成统一的规划和分配方案，即影响了网络的拓展，又不利于路由汇总，也不方便管理。因此趁这次网络大规模升级改造机会对地址重新规划，同时启用 OSPF 路由协议。主要方案如下：本部校区为 ospf 骨干区域，分配的地址为 10.1.0.0/16，区域设置为 area0，内部以 10.1.X.0/24 地址形式分别分配给本部的服务器区、教学区、办公区、宿舍区、食堂区；西青校区为 ospf 区域 2，分配的地址为 10.2.0.0/16，区域设置为 area1，内部区域以 10.2.X.0/24 地址形式细分；滨海校区为 ospf 区域 3，分配地址为 10.3.0.0/16，区域设置为 area3，内部区域以 10.3.X.0/24 地址形式细分。通过重新规划后的 IP 地址清晰明了，具有层次性，对于今后该大学新增校区，可按照分配 IP 地址 10.N.0.0/16，区域分配 ospf area N 的规则来规划，便于网络的扩展，以及网络的管理维护。

素材 4：安全保护和访问控制
在现有所有的网络出口处部署防火墙外，在服务器区前端新部署一台启明星辰 IPS，对访问服务器区的数据流进行主动、实时的逐字节检测，收集相关的信息记录系统日志，深度分析，对攻击性流量可自动拦截，从而弥补了防火墙的不足，加强了对服务器区域的保护。此外，升级网络病毒防护系统，更换一台 symantec 的防病毒服务器，每天从 symantec 官方网站实时下载最新的病毒库和相应信息，保证最新的防病毒信息，为教学区、办公区、宿舍区和食堂区提供在线升级，提供终端计算机的桌面安全保护。对于无线网络的用户接入验证，采用 portal 协议的网页认证。通过在接入层设备上启动 portal 认证后，用户发出去的报文都会通过接入设备重定向到 portal 服务器，portal 服务器要求用户输入用户名和密码来进行认证，用户输入身份验证后，portal 服务器将接入用户的验证结果通过接入设备转发给用户，通过验证的用户才能访问网络中的资源，以保证合法用户的正常接入。

由于技术不断的发展和人们对灾难、意外事故的认识越来越深刻。灾难备份和容灾技术方案的可选择性也越来越多。作为信息中心和网络中心的设计人员需要结合自身的条件而采取合适的灾难备份和容灾技术。

请围绕 “网络管理中的灾难备份和容灾技术” 论题，依次从以下三个方面进行论述。
1、概要叙述你参与分析和设计的灾难备份方案、采用的容灾技术以及你所担任的主要工作。
2、深入地讨论在项目中选择灾难备份方案、采用的容灾技术的原则。
3、详细论述所选择的灾难备份方案、采用的容灾技术，并对之进行详细的评论。

写作要点
一、论文叙述自己参与设计和实施的网络项目应有一定的规模，自己在该项目中担任的主要工作应有一定的分量。
二、能够全面和准确地论述企业数据灾备和容灾的技术和方法，从阵列技术、群集技术、存储技术、数据复制及备份等方面介绍，具有一定的广度和深度。主要应从以下几个方面进行论述：

• 磁盘阵列技术，包括 raid5，raid1+0 等磁盘级别的冗余
• 群集技术。包括 NLB，LVS，MSCS，ORACLE RAC
• 备份技术。磁带库备份，虚拟带库
• 存储区域网络（SAN）.FCSAN，JIP SAN
• 数据复制技术。同步 / 异步方式
• 两地三中心模式
  三、对需要进一步改进的地方，应有具体的着眼点，不能泛泛而谈

素材构件 1:
本人规划设计了以 SAN 为核心的存储系统。SAN 存储系统以 2 台光纤交换机作为存储数据的交换平台，将系统中的服务器和高端磁盘阵列以光纤网络的形式连接在一起，实现了数据高速交换和存储资源的共享。该系统以企业级智能存储系统作为数据存储的核心平台，配置了高性能 SAS 磁盘，所有 SAS 磁盘按照 Raid5 规划，共分 12 组，剩余硬盘作为热备盘。系统设计成完全冗余的网络结构，每台服务器都配置多块光纤通道卡，分别与 2 台光纤交换机连接；磁盘阵列使用多个光纤接口，也分别与 2 台光纤交换机连接。实现了从服务器到磁盘的冗余光纤链路，以保证数据能够安全、可靠地传输。为了实现对存储资源的统一管理，存储系统中采用 DataCore 存储软件。并通过虚拟存储技术，将整个 SAN 中的存储资源作为一个存储池，把不同型号和不同容量的存储设备一起统一使用，通过独立界面进行数据管理和控制，从而实现对存储资源的集中管理，简化存储资源的分配与管理工作。

以上构件可以用在企业存储、网络规划、网络升级与改造、网络可靠性设计。

素材构件2:

由于公司以往采用的存储方式大多为传统的服务器加磁盘阵列的形式，该形式导致各应用系统存储空间相互独立，使得存储资源造成了较大的浪费，而且数据迁移也费时费力。针对这个问题，同时结合已采用的云桌面技术和服务器虚拟化技术，我决定采用存储虚拟化技术。而存储虚拟化可以分为基于主机的存储虚拟化和基于网络的存储虚拟化及基于存储设备的虚拟化三种主流技术，基于网络的存储虚拟化能够支持异构存储系统的整合和统一的数据管理，它的实现方式主要是在存储网络中添加虚拟化引擎来实现，且不占用主机资源，有不错的可扩展性。结合公司实际需求，经过讨论研究，决定采用基于网络的存储虚拟化技术，选择 H3C IV-5000 整合数据中心异构存储系统，建立统一的管理平台，为公司云桌面、虚拟服务器操作系统及业务数据提供存储服务。同样，构建存储资源池时，也分为三个存储资源池，一个用于存放云桌面终端、虚拟服务器操作系统的虚拟机文件，一个用于存放普通业务数据，第三个则用于存放核心业务数据并做备份。

素材构件 3:
通过对灾难承受程度、业务影响程度和数据保护程度的综合评估，本项目规划采用经典的两地三中心的总体架构，在 XX 地区建立一个主数据中心，在 XX 地区建立一个同城灾备中心，在 XX 地区建立一个异地灾备中心，实现高可用性和灾难备份。
同城两个数据中心都部署了服务器集群、SAN 存储和数据中心万兆局域网，考虑利旧，异地灾备中心使用原有的小型机和 pc server，并搭建 san 存储和以太网。主数据中心还部署了同机房的数据备份系统。
同城灾备中心和主数据中心之间采用裸光纤进行连接，同城灾备中心和易地灾备中心之间采用 100M mstp 专线进行连接。
为提高业务系统响应，数据中心之间采用异步复制，通过日志及归档策路，实现最少的数据丢失。
主数据中心和同城灾备中心同时运行，采用数据互备，应用分拆的方式，同时对用户提供服务；远程灾备中心正常情况下不对用户提供服务，主要做异地的数据备份。
客户端分布在全省，为确保高性能和高可靠性，本项目规划设计了双中心三主干的广域网架构。每个地市级的分支机构在广域网边缘部署两台路由器，主路由器通过主备广域网连接主数据中心，两条链路各 20M，通过 ospf 实现负载均衡；备路由器并通过一条 20M 的专线连接灾备中心。在任一广域网电路中断的情况下，都可以通过其他链路实现对数据中心的访问。实现了数据中心的高可用性。

素材构件 4:
本单位的业务较为重要，生产系统一旦停机，XX 业务将无法正常开展，因此数据对安全性、可靠性有比较高的要求，结合考虑性能和可扩展性，本项目规划采用 san 存储区域网络。在三个数据中心各部署了一套 SAN，每个 SAN 包括两台博科的光纤交换机和数量不等的 IBM 存储构成；在每个存储区域网络中，若干服务器通过 HBA 卡交叉连接两台光纤交换机，2 台光纤交换机通过冗余链路连接各存储，实现存储共享。
由于本项目资金有限，通过对业务系统的分析评估，瓶颈不在存储部分，所以综合考虑存储的性能、数据安全和成本，采用了 RAID5 + 热备盘的方式。主数据中心存储采用 IBM v7000，单柜磁盘容量为 1.8T*24。
为了进一步提高存储的安全性、灵活性和可扩展性，在服务器上部署 verita fs 软件系统，位于操作系统和应用之间，能够将 san 中的多个存储系统融为一体，并实现链路负载均衡、跨存储的的镜像、动态扩展、I/O 加速和异构。
通过上述规划部署，实现了从物理磁盘、光纤链路、硬件设备多级容错和负载均衡，实现了较好的性能、安全性和可扩展性。

试题一：论网络系统的安全设计
网络的安全性及其实施方法是网络规划中的关键任务之一，为了保障网络的安全性和信息的安全性，各种网络安全技术和安全产品得到了广泛使用。
请围绕 “网络系统的安全设计” 论题，依次对以下三个方面进行论述。
1、简述你参与设计的网络安全系统以及你所担任的主要工作。
2、详细论述你采用的保障网络安全和信息安全的技术和方法，并着重说明你所采用的软件、硬件安全产品以及管理措施的综合解决方案。
3、分析和评估你所采用的网络安全措施的效果及其特色，以及相关的改进措施。

写作要点
一、论文叙述自己参与设计和实施的网络项目应有一定的规模，自己在该项目中担任的主要工作应有一定的分量。
二、能够全面和准确地论述采用的保障网络安全和信息安全的技术和方法，从软件、硬件以及管理措施等多个角度进行说明，具有一定的广度和深度。主要应从以下几个方面进行论述：具体的网络安全主要表现在以下几个方面：网络的物理安全、网络安全、系统安全、应用安全和网络管理安全等。

• 物理安全角度：物理位置选择要求、物理访问控制要求、防盗窃和防破坏、防雷击要求、温、湿度控制要求等等。重点可以从网络安全角度描述。例如网络安全设备的具体如何部署：物理隔离技术、防火墙、网络监控与入侵防范。
• 系统安全角度：网络漏洞（弱点）扫描、安全漏洞弥补、系统平台安全、操作系统安全、病毒防范。
• 应用安全角度：应用软件和数据库系统安全
• 管理安全角度：建立完善的安全管理组织机构、具体安全策略的管理、建立完善的安全管理制度、运行管理、应急处理制度等。（这一部分不是主要描述）
  三、对需要进一步改进的地方，应有具体的着眼点，不能泛泛而谈。

摘要（范例）：
信息化进程的不断推进和深入，为我们的日常工作带来便利，但由于安全意识薄弱或缺乏有效的安全防护等原因，也带来了一些信息泄露、黑客攻击、非法入侵等问题。因此，如何保障企业网络运行环境的安全，为信息化建设提供一个稳定、可靠的支撑环境已成为 XX 企业亟待解决的问题。本文结合自己的项目实践，讲述了在 XX 网络安全建设过程中，我作为本项目的技术骨干，通过综合运用网络监控、边界隔离、网络攻防和病毒防护等技术对潜在的风险进行有针对性的防护，以确保网络安全；通过完善和运用规章制度来强化人员的安全责任意识，降低人为失误导致的网络中断等方面的内容。通过这些方式，建构一个稳定、可靠、安全、高效的网络支撑环境，使之更好地服务于 XX 企业各项生产活动。

正文（范例）：
信息技术的发展和应用，深刻地改变了人们的生产、生活、工作、学习方式，我们在充分享受它带给我们便利的同时，也使我们对其产生了强烈的依赖性。因此，作为信息技术支撑环境的网络系统的安全性和可靠性保障的问题，已成为信息技术从业者所关注的话题。本人所在 XX 企业，饱受安全问题困恼，经常出现网络中断现象以及数据泄露等严重的安全问题、基于以上原因，结合国家相关政策的要求和 XX 企业实际情况，本人所在的 XX 单位与 2018 年开展了网络安全项目改造工作，本人作为学校信息中心的技术骨干，有幸参与并主持了该工作。网络安全的实现，需要依赖技术层面的实现，同时也离不开对人的约束。本文从技术实现和管理两个方面对其进行了论述。

(1) 安全技术策略（重点）
相关技术的支撑是实现网络安全的必要条件。网络安全是一个系统工程，单一的技术并不能完全确保网络的安全，只有将多种技术加以综合运用，相互弥补各自的不足，才能最大限度地保障网络运行的安全。技术层面的网络安全建构涉及网络设备运行状态监控、边界隔离、攻击防护、病毒防护等几个方面的内容。

网络安全建设离不开对网络设施的实施监控和管理。完善的监控体系和设备冗余措施是保障网络稳定可靠运行的基础。在 XX 单位的完全技术改造中通过引入智能网管平台，对设备状态进行实时监控，及时发现并处理问题，缩短因设备故障带来的网络服务中断时间。同时，结合网络设备虚拟化等新技术 —— 如 H3C 的 IRF，来实现冗余和负载分担，避免了由于设备或链路故障导致的服务中断，又提高了网络利用率。

明晰网络边界有利于具体防护策略的制定和实施。基于 XX 园区的网络结构，借助防火墙，将整个网络划分为基础支撑服务区、应用服务区、办公区、生活区三个部分，并制定相应的安全防护策略，达到有针对性的安全防护的目的。

对于基础支撑服务区的设备，主要由为应用服务区提供数据库服务的数据库集群构成，该区有着最严格的访问控制策略，在默认情况下禁止与其他区域之间的所有通讯，当应用系统需要使用该区提供的服务时，通过由 IP、MAC、用户名及其口令构成的三元组，同时结合数据库自身的用户认证体系对用户的身份进行验证，并借助数据库防火墙来限制用户进行的 SQL 操作的种类，对数据库的高风险操作进行阻断，以提升数据的安全性。

对于应用服务区的设备，根据提供服务的范围，将需要内外网同时访问的应用放置在 DMZ 区，并结合端口映射、地址转换、访问控制、端口隔离等措施实现对该区域的严密防护。同时，为了防止端口暴露带来的安全隐患，结合 IP 安全策略，对一些高危和不常用的端口进行关闭，避免由此产生的安全隐患。

由于技术的发展，网络攻击的方式也呈现出多样化的趋势。为了实现对网络安全的预警和风险化解，引入漏洞扫描系统、入侵检测系统，并通过防火墙与 IDS 之间的联动部署来提升防火墙的机动性和实时反应能力。

对于办公区和生活区，根据用户的用途，并结合所在的地理位置和流量类型，通过划分 VLAN 的方式对用户进行隔离，避免因广播风暴带来的网络拥塞，同时也提高了网络的安全性。其中对于办公区的用户采用了流量控制，以优先满足日常办公的需求。

有效的攻击防御体系可以保障网络的可靠运行。由于当前多数应用都是基于 B/S 结构，因此针对网站的攻击成为防御的重点，如：分布式拒绝服务攻击 DDoS、跨站脚本攻击 XSS、SQL 注入等。此类攻击主要是利用了程序设计的漏洞，对于这类攻击最好的防御措施就是提高程序设计的严谨性、修复存在的 Bug 等方式，因此，我们一方面对程序存在的漏洞进行修复，另一方面借助 web 应用防火墙，通过定制一系列的规则来对 HTTP 请求进行深度的检测，阻断存在高危安全隐患的请求，从而尽可能的保证应用系统的安全。同时，借助网页防篡改系统对网页内容进行监测，一旦发现异常，自动恢复，从而达到保护网站安全的目的。

网络病毒防护系统也是保障网络安全必不可少的组成部分。在网络中强有力的主动防御机制如：防火墙、安全策略、漏洞修复等，可以减小病毒入侵的几率，只有结合有效的被动防病毒体系，才能将病毒隔离在网络大门之外。在项目实施过程中，购置并部署企业版的 ESET 防病毒系统供用户下载和安装，通过实时的病毒库更新来保证终端设备的安全。（有理论和实践）

(2) 安全管理策略
网络安全目标的实现，仅靠技术是不够的，先进的技术还需完善的管理制度的配合。为了避免由于人为操作失误导致的网络安全事件的发生，通过制定和完善一系列的规章制度和操作流程来杜绝人为因素给网络安全带来的隐患。通过完善机房管理制度、设备管理制度及其弱电间及线路管理等制度来保证物理设施的安全；通过制定系统运维安全管理制度来保证系统持续、稳定、安全运行；通过实施操作权限管理制度保证责权到人，避免非授权用户对系统的非法篡改，保证网络的安全运行。除此之外，还定期开展安全教育培训，使大家树立安全意识和责任意识，确保各项规章制度的顺利执行。

总结(范例）

总结：本文主要讲述了在校园网安全建设方面，分别从技术和管理两个层面来保证网络安全方面的内容。在技术层面，借助设备状态监控系统和网络虚拟化技术的结合，实现了设备状态的实时呈现，提高对故障的反应速度，达到快速恢复故障的目的。同时借助于虚拟化技术实现了设备和链路的冗余，进一步避免了由于设备故障而导致的网络中断事件的发生，提高了网络的可靠性；通过访问控制、流量控制、入侵检测、应用防护、网络防病毒等技术实现网络的分区隔离、攻击的拦截和病毒的防护，进一步提升了网络的安全性。在管理层面，通过对相关规章制度的完善，强化人员的安全责任意识，避免人为因素导致的网络安全事件的发生。通过以上方式，构建了一个相对安全的智慧校园支撑环境，使之更好地服务于各项教育教学活动。系统试运行一年多来，网络中断及网络安全事件发生率显著下降，达到了项目预期的目标。由于项目经费有限，关键设备缺乏冗余的问题尚未解决，该问题将在后期进行完善。

• 切记:不要猜题
• 原则:要复用构件，不要整篇复用

• 不要抄范文，不要用网上的项目背景
• 原则:宁可杜撰项目，也不用网上范文中的项目

• 练习时写文章前，一定做好功课
• 原则:理论和实践并重

• 做好准备工作之后，要勇于迈出第一步
• 原则:万事开头难，迈出第一步，就不难了

• 换个视角看论文
• 原则:以论文写作技巧视频为依据，对自己的论文进行自评

时间的分配

• 论文写作时间分配建议:
• 找准核心论点(5 分钟)
• 搭建论文框架(10 分钟)
• 撰写摘要(15 分钟)
• 正文写作(90 分钟)

正方的要点

正文要 2000 – 2500 字

• 项目背景介绍和重要性（背景比摘要中更加详细）
• 项目中需要解决的问题
• 问题的解决方法
• 解决问题的效果
• 需要进一步改进或完善的内容

不要对理论进行细节论述、参考别人的论文时思考别人是如何从哪个角度论述的来提高写作能力，

内容	字数建议		是否必须
(1) 摘要	300 字～330 字		非常重要，反应全文的概貌，字数一定要满足300字，介绍项目的背景和在项目中需要解决的问题简要描述，要有归纳总结要点。
(2) 项目概要
项目的背景概要 “我” 担任的工作	500 字		以我为中心，以高级工程师、技术主管、项目负责人的角度出发、不要担任多重角色，不要写单位和姓名。项目背景还是描述、
项目在规划设计方面的情况
(3) 具体的解决方案	1800 字		解决方案可以解决项目中的实际问题、不要以产品介绍为主通，可以通过设备的功能解决网络中的问题。
(4) 总结成功之处以及不足之处	200 字～300 字

以下为合格摘要（可以分段）

• 随着中国进入新时代的伟大征程，中国的信息化也进入了大发展时代，我省监狱系统信息化业务也取得了一些发展，但由于缺乏统一的管理和指导，各种业务数据分散，数据重复存储、单机存储、数据结构混乱现象非常普遍，非常不利于数据的调用、统计、分析，无法提供有效的决策指导。（这一段是项目背景介绍）
• 因此 2018 年，监狱局决定建设局数据中心，我作为本项目的项目负责人，在建设方案中运用网络存储技术，统一所有数据的存储和管理，并以此为基础建设统一的业务管理平台，为后期智慧监狱建设打下坚实的基础。（解决方案）
• 本文浅析了 DAS、NAS、IPSAN、FCSAN 等当前主流的网络存储技术的差异，对局数据中心在网络存储部分的方案中所采用的存储技术、设备选型、存储网络架构和存储数据交换技术进行了阐述，对存在的不足方面进行了说明，并指出了进一步应采取的措施。（归纳要点）

以下为合格摘要(可以分段）

• 随着信息技术的不断发展，xx企业信息化水平也不断提高。但由于统一规划和管理的缺失等因素使得企业网络建设中存在业务系统的软硬件资源采购独立、各资源平台自封闭等状况，进而产生资源利用率不高、共享通道缺乏等问题 （这里是项目实施的背景）
• 针对上述问题，本人作为xx企业信息技术中心运维经理及项目负责人，有幸主持了本企业 2017 年云计算网络的建设项目。（表明自己在本项目中身份和作用）
• 本次项目建设通过采取服务器虚拟化方式来节省建设成本，提高了资源利用率，保障业务不间断运行；通过采取云计算的网络设备虚拟化技术简化了管理，增加了带宽与收敛速度；通过云统一身份认证对用户身份进行集中管理，保证了数据的完整性与一致性。（这里写出了具体解决方案的浓缩总结）
• 通过上述举措构建的企业在可用性、可靠性、可管理性与维护性方面要优于传统方式构建的企业网络资源平台。（项目成果总结）

正文

正文要紧扣摘要，忠实于摘要论点，条理清晰、开门见山。理论和实际项目实践结合、结尾需要总结。

切忌走题、字数不够、字数偏多、口语化太重、表达能力太差。最好时间上是近三年的项目、文章结构要清晰，段落不要太长。

论文评分要点

• 切合题意 (30%) 切忌走题，走题一般直接pass、论文摘要缺失和不要太简略、
• 应用深度与水平 (20%) 解决方案的时候不要一句话带过。
• 实践性 (20%)
• 表达能力 (15%)逻辑清楚、表达严谨
• 综合能力与分析能力 (15%)