[
Kerberos是在Internet上长期被采用的一种安全验证机制，它是基于共享密钥的方式。Kerberos协议定义了一系列客户机/密钥发布中心(KDC)/服务器之间获得和使用Kerberos票证的通信过程。
当已被验证的客户机试图访问一个网络服务时，Kerberos服务(即KDC)就会向客户端发放一个有效期一般为8个小时的“对话票证(Session Ticket)”。网络服务不需要访问目录中的验证服务，就可以通过对话票证来确认客户端的身份，这种对话的建立过程比Windows NT 4.0中的速度要快许多。
Kerberos加强了Windows 2000的安全特性，它体现在更快的网络应用服务验证速度，允许多层次的客户机/服务器代理验证和跨域验证建立可传递的信任关系。可传递的信任关系的实现，是因为每个域中的验证服务(KDC)信任都是由同一棵树中其他KDC所发放的票证，这就大大简化了大型网络中多域模型的域管理工作。
Kerberos还具有强化互操作性的优点。在一个多种操作系统的混合环境中，Kerberos协议提供了通过统一的用户数据库为各种计算任务进行用户验证的能力。即使在非Windows 2000平台上通过KDC验证的用户，比如从Internet进入的用户，也可以通过KDC域之间的信任关系，获得无缝的Windows 2000网络访问。
正因为采用上述的安全机制，Windows 2000实现了如下的特性：数据安全性、企业间通信的安全性、企业和Internet网的单点安全登录以及易用和良好扩展性的安全管理。
1.数据安全性
Windows 2000所提供的保证数据保密性和完整性的特性，主要表现在以下三个方面：
1)用户登录时的安全性
从用户登录网络开始，Windows 2000借助Kerberos和PKI等验证协议提供了强有力的口令保护和单点登录。
2)网络数据的保护
本地网络中的数据是由验证协议来保证其安全性的。如果需要更高的安全性，还可以通过IPsec的方法，提供点到点的数据加密安全性。
3)存储数据的保护
可以采用数字签名来签署软件产品（防范运行恶意的软件）或者加密文件系统。加密文件系统基于Windows 2000中的CryptoAPI架构，实施DES加密算法，对每个文件都采用随机密钥来加密。加密文件系统不但可以加密本地的NTFS文件或文件夹，还可以加密远程的文件，不影响文件的输入输出。其恢复策略由Windows 2000的整体安全性策略决定，具有恢复权限的管理员才可以恢复数据，但是不能恢复用来加密的密钥。
2.企业间通信的安全性
Windows 2000为不同企业之间的通信提供了多种安全协议和用户模式的内置的集成支持。它的实现可以从以下三种方式中选择。
1)在目录服务中创建专门为外部企业开设的用户账号：通过Windows 2000的活动目录，可以设定组织单元、授权或虚拟专用网等方式，并对它们进行管理。
2)建立域之间的信任关系：用户可以在Kerberos或公用密钥体制得到验证之后，远程访问已经建立信任关系的域。
3)公用密钥体制:包括证书、智能卡和PKI证书可以用于提供用户身份确认和授权，企业可以把通过电子证书验证的外部用户映射为目录服务中的一个用户账号；Windows 2000支持采用智能卡证书登录，同时还支持使用智能卡存储用于安全E-mail和其他与公用密码有关的证书，包括客户机验证、登录机制、代码签名和保护E-mail。
3.企业和Internet网的单点安全登录当用户成功地登录到网络之后，Windows 2000透明地管理一个用户的安全属性，而不管这种安全属性是通过用户账号和用户组的权限规定(这是企业网的通常做法)来体现的，还是通过数字签名和电子证书(这是Internet的通常做法)来体现的。先进的应用服务器都应该能从用户登录时所使用的SSPI获得用户的安全属性，从而使用户做到单点登录，访问所有的服务。
4.易用的管理性和高扩展性通过在活动目录中使用组策略，管理员可以集中地把所需要的安全保护加强到某个容器(SDOU)的所有用户/计算机对象上。Windows 2000包括了一些安全性模板，既可以针对计算机所担当的角色来实施，也可以作为创建定制的安全性模板的基础。
Windows 2000提供了两个微软管理界面(MMC)的插件作为安全性配置工具，即安全性模板和安全性配置/分析。安全性模板MMC提供了针对十多种角色的计算机的管理模板，这些角色包括从基本工作站、基本服务器一直到高度安全的域控制器。它们的安全性要求是不同的。通过安全性配置/分析MMC，管理员可以创建针对当前计算机的安全性策略。当然通过对加载模板的设置，该插件就会智能地运行配置或分析功能，并产生出报告。
安全性管理的扩展性表现为，在活动目录中可以创建非常巨大的用户结构，用户可以根据需要访问目录中存储的所有信息，但是用户所在的域或组织单元仍然是安全性的边界，对访问的权限进行管制。
3.3工作站操作系统
前台系统采用windows 2000 Pro中文版，它的开放性及易用性广为用户所接受。是最流行的桌面操作系统软件，提高办公人员的电脑水平是本系统任务之一。使用良好的成熟的操作系统保证我们的技术领先，又保证我们的系统易于接受。
3.4应用软件
Microsoft 0ffice 2000是全世界最畅销的办公自动化集成软件的最新版，整合了众多带有Internet 功能化应用程序， 将使您在工作中体验到前所未有的快捷和高效。它是一个完全汉化的OFFICE套件，它包括： W0R2000， EXCEL 2000， POWERPOINT 2000， OUTLOOK 2000和ACCESS 2000中文版等，它还是一个基于Unicode的应用程序，还可以显示多达20多种的不同文字。可以对文档背景进行多种改变。 Microsoft推出的前台桌面应用软件OFFICE2000己为中国广大用户所接受，其在文档编辑、电子表格（视图）制作、图片处理等方面具有操作简单、功能强大的特点，是Windows 2000 Pro平台上最好的前台办公应用软件。同时软件的易用性及智能化也大大加强。
第四章 技术实现
4.1网络布线
工程第一阶段为网络结构化布线，这是工程的基础部分。布线质量的好坏直接影响网络的稳定和效率。
根据需求，网络布线采作集中布线方式。将各楼层的交换机及主交换机集中于主控制中心，进行集中式管理和维护。用一条室外多模光纤连接到厂区办公室机房的二级交换机，实现厂房办公区的计算机能接入整个办公网络系统之中。
依据相关的规则、规定，考虑到维护方便、节约成本及线缆本身的限制，并鉴于各建筑物结构，中心机房建在405室，机房内设置网络机柜，交换机均放置在机柜中。这样既便于管理，又易于维护，而且整洁美观，为网络设备提供了良好的运行环境。在中心机房适当位置开凿垂直布线通道，水平布线系统遵从T568B标准，采用标准布线槽、超五类布线产品。
垂直布线立体示意图如下：
405室主控中心
水平布线立体示意图如下：
在布线过程中，从布线产品的选择到线缆的制作，我们都将严格执行EIA/TIA 568B 国际标准。所有双绞线产品均选用超五类UTP电缆，信息插座整体采用超五类产品。PVC下线管选用国内优质管材。
4.2机房建设
主中心机房及CAD机房的建设，遵从《电子计算机机房设计规范》国家标准。具体建设方案如下：
4.2.1机房电源
为保证机房设备稳定连续运行，采用UPS供电。UPS基本是由整流器、蓄电池、静态开关等组成。UPS一般要求市电输入电压在（+10%~-15%）间浮动，输出交流电子稳压电源。本方案建议选用山特Castle（C）/C6K(S)系列，该产品具有先进、可靠的电源管理功能，适用目前市场流行的所有网络操作系统。
4.2.2机房地板
在计算中心各房间的工程技术设施中，地面是一个很重要的部分，机房区应采用抗静电的活动地板。本方案建议选用全钢结构地板作为机房地面建筑材料。
4.2.3机房空调
机房空调的任务是为保证计算机系统能够连续、稳定地运行，需要排出计算机设备及其它热源所散发的热量，维持机房内的恒温、恒湿状态并控制机房的空气含尘量，为此，要求机房的空调系统具有供风、加热、加湿、冷却、减湿和空气除尘的能力。
4.2.4机房接地的避雷处理
为了确保计算机正常运行,防止寄生电容耦合的干扰、保护设备及人身安全,在机房建设中按国家标准设置地线系统，建议经专业人士实地考察后安装，详见附件。
4.3机柜、交换机、UPS购置与调试
购买机柜、交换机、UPS。中心机机房建设完成后，根据设计，安置机柜，交换机，UPS等设备并进行调试。
4.4系统集成：购置、安装、调试
服务器安装Windows 2000 Server操作系统，在外部服务器上配置邮件服务、WWW服务以及DNS服务；内部设一共享服务器，用于单位内部实现文件等资源交流共享。配置防火墙，实现办公网络INTERNET共享，外部服务器的连接，以及安全控制，防止外部入侵。
4.5实现财务数据的绝对安全
为了保证财务服务器上的数据的绝对安全，建议双网物理隔离。在物理传导上采用两套布线系统，隔断财务网与办公网，确保外部网、办公网不能通过网络连接而侵入财务网；同时防止财务网信息通过网络连接泄露到办公网、外部网。
[本文共有 2 页，当前是第 2 页] <<上一页 下一页>>
]
您的位置：
