办公室 Intranet 系统架设重点提示

办公室 Intranet 系统架设重点提示

本文作者／黄力尧

本文可配合「中小型办公室网路的 Internet 解决方案」一文使用，本文提供给有架设 Intranet 办公室网路需求之企业经理人与网路管理员使用。

先决定公司内部网路是否有必要连上 Internet？

Internet 和 Intranet 两者虽然相似，但是 Intranet 并不一定要连上 Internet。下面是需要或不需要连上 Internet 的情况：

A. 公司本身即经营电脑或通信网路相关业务者。

B. 一天之中有相当多的时间需要连上 Internet 者。

C. 需要的 E-Mail 数量太多，或需要使用 Inter- net 之电脑太多。

D. 分公司遍布全省或全世界，租用长途数据专线不符效益者。

不需要连上 Internet 的情况

A. 如果公司只是想放置 Homepage 而已，可以向 HiNet 等网路提供厂商租用硬碟空间并得到专属的主机名称（ www.公司名称 .com.tw）

而且 Homepage 放在大型的 ISP 那边连线速度也比较快。以 HiNet 来说，其 HiWeb 与 HiGo 业务保证有 128K 以上的网路连线速率。如果一般公司只为了设立 Homepage 而租用 128K 数据专线，其所需金额与实际获得效益可能不成正比。（请参考图一）

图一中华电信 HiJump 网页租用服务

B. 只有一两个人需要 E-Mail 位置。

C. 一天之中和 Internet 连线所需时间很短。

采用哪种作业系统呢？ Windows NT 或 UNIX？

Window NT 使用容易（主要是指方便的图形化介面），但是如果以同样的硬体设备来说， NT效率比 UNIX 差很多。因为 NT 浪费了很多对 Internet Server 来说没有必要的运算资源在图形介面还有奇大无比的系统核心上（有没有听过 NT的外号叫做吃 RAM 大怪兽？），以一台搭配 16MB 记忆体的电脑来说， UNIX 已经可以应付一般的状况，而 NT可能连动动都有点困难。

而且很重要的一点，是因为 UNIX 在文字模式下的应用太多了，所以可以很轻易的使用 telnet作远端管理，随便一台 286 PC 配上数据机就可以了。而 NT 几乎都是跑图形介面，文字下的程式不多，若要用 PCAnywhere，又不是每一台电脑都有（比如说，你可能会想在朋友家的时候或是出外的时候，连回公司去看看电脑的情况，这种情况下你会遇到各种各样的电脑，但是只要电脑能上 Internet，几乎都能用 telnet）。

UNIX 的另一个优点是系统核心小（几百 K而已 )，系统相当的稳定，能提供的服务多。由於 Internet 上面仍然有很多文字型态的服务（如 FTP、 Telnet、 Mail 等）这些服务都不需要使用到图形介面，对 UNIX 来说一点影响都没有。而且 UNIX 不需要太好的硬体设备，甚至连显示卡都可以不用装，插张网路卡就可以了。除非系统 Crash 掉，否则大部份的管理工作都可以透过 Telnet 来作。但是对於 UNIX 系统不熟的人，管理起来可就叫苦连天了。

这也是很多公司都采用 Windows NT 来架 Internet Server 而不用 UNIX 的原因。

而且要注意，因为 UNIX 系统提供的服务太多（例如说，一套 Linux 装好以後 FTP、 Telnet、 finger、 netstat、 NFS......等等想得到的服务都一应俱全），相对 Windows NT 本身几乎没内建什麽服务来说，反而提供入侵者更多的破坏管道。比如说从 sendmail 骗 passwd 档，找有漏洞的 httpd 下手 ......等。因此作为一台 Internet 上的 Server，服务尽量单纯化，不必要的服务就关掉，不只系统比较安全，系统运算负担也少。（注一）

接着，请评估贵单位适合以主机型态或是以网路型态连上 Inter-net：

适合主机型态者及其优点（在 Internet 上只有一个 IP） A. 需要连线的时间很长，但通信量不大者。

B. 只需要一些基本的服务（ telnet、 ftp、 mail、 WWW......) 而不需要使用像影像电话，网路电话等特殊服务者。

C. 公司需要连上 Internet 之电脑不超过 20 台。 D. 管理方便，不想让员工上班偷看 Homepage时，将 WWW Proxy 关掉即可。

E. 通信费用以及设备费用均较为便宜。

适合网路型态者及其优点 (在 In-ternet 上有超过一个以上的 IP)

A. 公司对外需要一台以上的 Server。

B. 有多台主机需要一般终端伺服器所能提供以外之功能者（如刚刚提过的影像电话）。

C. 公司需要连上 Internet 之电脑超过 20 台以上。

D. 所有的服务都可以用，不受限於 Proxy Server 所能提供的功能。

E. 需要的通信量大（一般 ISP 给主机用户只有 9.6K-30K 左右的速率）

综合主机型态与网路型态的优缺点 — 各取所长主机型态的优点是价格便宜、管理方便，不过所能提供之功能较少，但对於公司等不希望员工上班玩 Internet 者反而是优点。网路型态之每台工作站都能拥有一个在 Internet 上独立之位址，因此能使用任何型态的服务。但是网路管理员很难去限制底下的员工在上班时间利用 PC 搞怪，员工想要上班时利用老板付薪水的时间，利用老板花大钱连接 Internet 的网路设备来讲电话聊聊天，装个 NetMeeting 就可以了。各位企业老板，看了这段话，是否感到汗颜呢？当然，如果你是员工，想必已经在偷笑了吧！（哎呀！这麽好的点子我怎麽没想到？）其实网路型的架构也因为每台电脑都有独立的 IP 位址，想要自己架个 Server 自己玩也可以。如果老板没看见的话，乾脆拉几条电话线自己当小型 ISP 算了。 Intranet 网路规划部份

1. 搜集内部网路资料

首先，记录每台电脑上网路卡的硬体位置。这对於有着叁四十台以上电脑而且电脑遍布不同角落的单位尤其重要，这在将来要解决网路位址冲突上相当的好用，不然发生冲突时，你看着系统回报发生冲突的两张卡，也不知道究竟是哪两台电脑。有一个以上网路区段者，记得要记下哪些电脑属於哪个网路，桥接器或路由器位置等资讯。

2. 规划 IP 位址

由於 10.0 有一千六百万个 IP 给你自由分配，可以在数字上稍微动点脑筋。大一点的学校，机关等可能有好几层楼，好几十个房间，就可以用下面的方式编码：

10.A.B.C

A: 第几层楼

B: 第几个房间

C: 第几台电脑

这样的方式不只方便作规划表，而且也不容易乱掉。更重要的是，该电脑的地理位置可以一目了然。其他的规划方法就看各位读者的巧思了。

3. 架设内部用 DNS （非必须）

如果希望让内部员工可以利用电脑来开会，还可以建立内部用 DNS。比如说，一公司 variox 的内部网路名称可以如此规划：

主网域 vnet（ Variox IntraNet）

次网域 comm（通信部门）， rd（研发部门）， pr- od（产品部门） .....

. 电脑名称 manager（经理）， chang（张先生）， 17（分机号码） ......

举个例子，通信部门经理的电脑名称是 man-ager.comm.vnet，产品部门张先生的电脑名称是 chang.prod.vnet。如果两个人要用 NetMeeting 开会，可以很直觉的拼凑出对方的电脑名称。不过这样做，要小心员工上班利用 Intranet 发展 Off-ice Love： D（比如说 younglady.sales.vnet 电脑所在的网路可能是一天到晚塞车）而公司也可以建立 www.vnet 或 bbs.vnet 来设立给内部员工用的 WWW 站台或电子布告栏来放置公司内部的公告。

4. 适当的将网路分段

由於 EtherNet 采用 CSMA/CD 通信方式，将过多主机挤在同一个网路区段会因为资料封包碰撞太频繁导致网路速度过慢。当一个网路中有超过 25-30 台电脑的时候，就该考虑将网路分开了。

Internet 网路规划部份

现在我们以下面的实例，来说明一般公司行号如何申请 Internet 连线以及需要准备的设备：

公司名称：电脑玩家杂志社。

主要业务：出版电脑玩家杂志，其内容主要是关於电脑游戏评析与介绍。

工作站：杂志编辑以及业务部门使用 PC，作系统为 Windows 95。美术编辑使用 Macintosh 执行 QuarkExpress。

Internet 使用比率：员工约六成需要使用 Internnet。

Internet 使用内容：杂志编辑上 WWW 查阅有关於电脑游戏之资料。建立 Web 站台服务读者需要。建立 Mail Server 供内部员工使用。以 FTP 取得最新共享游戏版本及其他相关资料。

网路类型：采网路型态连接上 Internet，串联电脑家庭杂志社（ PC Home）之网路系统，间接连上 Internet，并分配到 30 个 IP Address。（资料由电脑玩家杂志社编辑部提供，特此感谢）

以上是该公司之硬体环境，现在就来看看要如何连接上 Internet：

1. 申请 Domain Name

虽然电脑玩家使用电脑家庭之网路资源，并得到 30 个 IP 位址，但由於需建立独立企业形象与方便读者辨认之因素，需申请独立之 Domain N-ame 而不是挂在电脑家庭（ pchome.com.tw）下面。由於电脑玩家杂志为 PC Gamer 杂志之中文版，因此决定以 pcgamer 为该公司之 Domain Name。

该公司於五月向台湾网路管理中心（ TWNIC）提出申请，使用 TWNIC 新推出之 Domain N-ame 注册系统（见图二）直接在线上填写该公司所欲申请之 pcgamer.com.tw，并传真公司营业登记证等相关资料至 TWNIC，待 TWNIC 核可 pcgamer.com.tw 此一 Domain Name之後即可使用。

图二 Domain Name 线上申请系统，在 http://dbms.seed.net.tw

2. 规划 Internet IP Address

由於电脑玩家杂志社采网路型态，有一个以上的 IP 位址，因此需要填写相关资料。需要填写的资料共有 MX、 NS 两个主要项目。 MX 指的是 Mail Exchange，就是邮件交换主机。而 NS 是 Name Server，是名称伺服器。因为 DNS 与 Mail Server 对系统的负担都不大，因此电脑玩家杂志社决定让 DNS 与 Mail 服务都放在同一台机器上。当然如果您的单位决定把 NS 与 MX 分开，也没有什麽影响，只要填上个别的 IP 位址即可。在这边电脑玩家将 pcgamer.com.tw 的 NS 与 MX 都指定在 203.70.70.200，登记完成之後 pcgamer.com.tw 就是电脑玩家网域的 SOA（ St-art of Authority）。 pcgamer.com.tw 登记在 TW-NIC 那边，而其他电脑要连上以 pcgamer.com.tw网域之主机，如 www.pcgamer.com.tw， mail.pcg-amer.com.tw 等等，顺序如下：

1. 其他网路上的电脑先向 TWNIC 问 pcgamer.c- om.tw 的 NS 位址，得到 203.70.70.200。

2. 问到 203.70.70.200 以後，知道＊ .pcgamer.co- m.tw om.tw 由 203.70.70.200 翻译，於是查询转往 203.70.70.200 询问＊ .pcgamer.com.tw 对应的 IP 位址。

pcgamer.com.tw 由 TWNIC 负责，而＊ . pcgamer.com.tw 由 203.70.70.200 负责，这就是 Domain Name 翻译机制分层负责的结果。以後 pcgamer.com.tw 想要新增主机，只要在自己的 D-NS 上增加就可以。如果不采分层的方式，而由一台统一的主机来负责的话，那各单位新增主机的 IP位址与名称的对应就不能自己来作，非得要到网路管理机构那边作，会非常的麻烦。

如果您的单位是主机型态连上 Internet，意即只有一个 IP 位址，对应的 Domain Name 也只会有一个。此时您不需要也没有必要架上自己的 DNS 服务网路上其他电脑，您的 Domain Name 会由 TWNIC 负责翻译。（注二）内外部网路的结合如果您的单位同时有 Intranet 与 Internet，则您可以让员工的电脑连到 Internet 去。上例中电脑玩家杂志社只分到 30 个 IP 位址，而公司内部的电脑超过叁十台以上，这时就要考虑作内外部网路的切割。没有上 Internet 必要的，或是只有一些基本需要的（ mail、 ftp、 telnet、 www）就给内部 IP 位址，然後让他们透过 Proxy Server 连接 Internet。对外的服务主机（ DNS、 mail、 W-WW......）与需要直接对外交通的电脑就给 Inter-net 的 IP 位址。这样可以尽量节约 IP 的使用量，如电脑玩家杂志社的例子， 30 个 IP 要分配给所有的电脑是不够，但是如果采用内外部 IP 并行的方式， 30 个已经是绰绰有馀了。

建议：如果某台主机不需直接连上 Internet，而可以透过 Proxy Server 间接存取 Internet 的话，尽量使用内部 IP。因为分隔内外部网路使内部网路无法直接连上 Internet，也意味着 Internet 上的其他电脑无法与使用内部 IP 的电脑直接联系，而避免掉一些不必要的困扰也提高了系统安全性。

（如 IP Spoofing 攻击方式必须能够直接与对方电脑连通才可以达成）

附录防治员工滥用网路资源的方法

Ｑ．防止员工上班写私人信件？

Ａ．员工电脑均发给内部 IP，让他们只能透过内部的 Mail Server 收发信，不能使用外面的 Mail Server。 UNIX 系统中所有使用者的信件都放在 /var/spool/mail 下（依系统可能略有不同），直接 cat 出来即可看到内容，告诉你的员工你会去检查他们的信件。办公室网路是你花钱建立的，员工是你花钱请来的，你当然有权力看信件。私人信件请他们下班以後再发，公私要分明。

Ｑ．防止员工上班玩连线电玩？

Ａ．给内部 IP，让他们无法连到 Internet，这样可避免员工在公司电脑上开跨国网路大战。如果要进一步防止内部员工在上班时间开办公司电玩大赛，使用封包监视器或是网路监控软体监视封包，过滤特殊的 port（通常游戏都会采用特别的 port 来进行通讯，注意那些使用你核可范围以外服务之 port 的封包是从哪个 IP 出来的）如果公司的资料是采用 Nov- ell 等 File Server 存放，可以使用 AntiGame 等游戏搜寻软体找到游戏并摧毁之。

Ｑ．员工已经发给内部 IP，但要如何避免他们自行修改电脑设定改用 Internet IP？

Ａ．为防止员工擅自修改电脑 TCP/IP 设定自行取用未使用之 Internet IP 对外通信，找一台 UNIX 主机，改 cron table 并写个小 script 定时去 ping 那些尚未分配出去之 Internet IP。

如果发现未经授权的 Internet IP 在使用中，就表示有人偷偷在使用 Internet IP 对外通信。找到之後再用 ARP 逆向找出使用未经授权 IP 的电脑。（要您记下所有电脑网路卡的硬体位址用意即在此）

（范例）在网路中一台 UNIX 主机找出使用 ws1.vi（ 10.1.2.1）与 10.1.1.253 两台主机的硬体位址之方法如下：

octopus1： /＃ arp-a ws1.vnet

Address HW type HW address Flags

0.0.10.1 10Mbps Ethernet 00:20:18:28:C4:FF

octopus1： /# arp-a 10.1.1.253

Address HW type HW address Flags

0.0.10.1 10Mbps Ethernet 00： 80： C8： 3A：

E0： 2F C

其中 “ HW address” 栏位就是使用该 IP 位址的网路卡之硬体编号。

Ｑ．防止员工上班乱连到不该去的地方？

Ａ．加强检查 /var/adm/messages 档案，可以的话，再用封包检查程式过滤出一些不应该是员工上班去的地方。

注一：

把握一个原则：提供越少的服务，就可以增加越多的安全性。服务一多，入侵的管道也多。而网路安全的最高境界，就是没有网路。连网路都没有，就代表小偷连偷进来的门都没有。

注二：

如果某 DNS 没有某项资料，会向其上层的 DNS 问。通常一般公司的 DNS 都只有自己网域的资料，而没有整个 Internet 上的资料。对於其他电脑询问自己本身以外的网域资料，会转手给较上层的 DNS。而较大型的网路服务厂商为了速度起见才会建立整个 Internet 网域的资料。如果你也想建立整个 Internet 的资料，可以 FTP 到 ftp.rs.internic.net，然後到下面的 domain 目录找最新的 Internet 网域资料。

�