1. 什么是虚拟网络怎么用
1 虚拟网络分类
1.1 VLAN
VLAN（Virtual Local Area Network）建立在交换技术的基础上，将网络结点按工作性质与需要划分成若干个“逻辑工作组”，一个“逻辑工作组”即一个虚拟网络。VLAN的实现技术有四种：用交换机端口（Port）号定义虚拟网络、用MAC地址定义虚拟网络、IP广播组定义虚拟网络、用网络层地址定义虚拟网络。“逻辑工作组”的划分与管理由软件来实现。通过划分虚拟网，可以把广播限制在各个虚拟网的范围内，从而减少整个网络范围内广播包的传输，提高了网络的传输效率；同时各虚拟网之间不能直接进行通讯，而必须通过路由器转发，为高级的安全控制提供了可能，增强了网络的安全性。
1.2 VPN
VPN（Virtual Private Network ，简称VPN)是指在共用网络上建立专用网络的技术。之所以称为虚拟网主要是因为整个 VPN网络的任意两个结点之间的连接并没有传统专网建设所需的点到点的物理链路，而是架构在公用网络服务商ISP所提供的网络平台之上的逻辑网络。用户的数据是通过ISP在公共网络（Internet）中建立的逻辑隧道（Tunnel），即点到点的虚拟专线进行传输的。通过相应的加密和认证技术来保证用户内部网络数据在公网上安全传输，从而真正实现网络数据的专有性。
2 移动虚拟化
2.1 什么是移动虚拟化
据开放内核实验室（ OK Labs ），企业虚拟化与移动虚拟化之间相应的有所区别。但是，虚拟化技术的定义大致相同。正如PC机可分离地单独运行应用程序，智能手机也可以。如其他所有技术一样，虚拟化领域也正在进行越来越精准的细分，今天提起虚拟化，不再是单纯的服务器虚拟化，桌面虚拟化、网络虚拟化、甚至手机移动虚拟化等也正快速的走近我们的生活。
2.2 安全性
虽然现在来说，这不是消费者关注的头号问题， 但随着手机银行和其他类似的应用得到普及，安全会变得越来越重要。此外，由于如Android的开放式操作系统越来越普及，移动设备在黑客和恶意软件面前变得更加脆弱。移动虚拟化可以帮助保护这些设备的关键数据。
3 虚拟系统
V3虚拟安全系统通过在磁盘任意分区生成高强度加密文件，并通过映射该加密文件成虚拟磁盘分区的方式运行V3虚拟桌面系统。 V3虚拟安全系统不但可以生成现有操作系统的全新虚拟镜像，它具有真实系统完全一样的功能。进入虚拟系统后，所有操作都是在这个全新的独立的虚拟系统里面，可以独立安装软件,运行软件,保存数据,拥有自己的独立桌面。不会对真正的系统产生任何影响。也不会因为真正的系统出问题而影响在虚拟系统里面软件和数据.和传统的虚拟机不同,虚拟系统不会降低电脑的性能，启动虚拟系统也不需要等待的时间。同时支持可移动存储运行，既插既用等等特性。
V3虚拟安全系统和外界主机系统无法直接互访，用户在主机只能访问主机的磁盘分区，不能直接访问V3虚拟安全系统的虚拟磁盘分区。同时用户在虚拟安全专业版系统环境中也不能直接访问除自身虚拟磁盘外的分区，这样就形成了一个相对封闭的计算机环境，当用户需要与外界主机环境交换文件时只能通过我司独创的专用文件交换资源管理器实现V3虚拟安全系统环境与外界主机环境的单向文件导入和导出。
桌面虚拟化是虚拟化技术的浪潮。桌面虚拟化的目的是从底层构建不同的工作区（最终用户的应用程序，数据，网络负载和设置）。桌面虚拟化，和现有许多虚拟化解决方案概念相似，本文只在介绍成功的虚拟化架构技术。 虚拟机（VM）技术，为所有虚拟桌面解决方案的基础，使计算机能够同时支持和执行两个或两个以上的计算机环境，其中“环境”包括操作系统以及用户应用程序和数据。虚拟机是一个虚拟的运算系统，借用计算机资源（CPU，硬盘，内存等），让主机工作的同时，也作为客户计算机而存在。 计算机资源共享的好处可以提供给最终用户，包括：
隔离 – 工作区在不同的计算环境独立运作，虽然有些资源可以共享（例如，键盘，鼠标和屏幕），同时其他的却可以得到保护（例如，数据文件）。在一个虚拟环境中，主机资源需要从并发访问到双方的宾主控制的保护，在传统的虚拟系统中，这种隔离和控制是通过一个特殊的软件程序提供的，称为虚拟机监视器（VMM）。VMM可以自主监控主机计算机环境或者主机和客户计算机行为。资源平衡 -如果有需要的话，可以对每个功能自主的运行环境进行资源消耗监控和限制。可移动/迁移 - 某些虚拟机的配置被认为是可移动的，也就是说，整个计算机环境，可从一个移动到另一个不同的主机。今天世界上越来越多的移动应用得益于这种虚拟机技术，流动性是虚拟桌面解决方案的关键，虽然今天存在的软件产品，都提供基本的虚拟机能力，但是这些产品仅提供有限的或者根本没有移动虚拟化的支持。 今天我们有许多方法来实现VMM以及配套软件。本文将说明各种不同的VMM技术优劣点，并重点介绍V3专业安全版所采用的工作区虚拟引擎技术：
系统管理程序 – 该VMMs程序采取拦截和陷阱将违背隔离或者导致系统不稳定的低级别CPU指令，模拟的任何指令的方式。管理程序可以提供一个完整的虚拟桌面，但是带来不同程度的资源开销和性能降低。半虚拟化 –该 VMMS程序采取拦截和陷阱将违背隔离或者导致系统不稳定的低级别CPU指令，没有任何指示的方式。半虚拟化可以要求来宾桌面操作系统进行修改，以避免这些特权指令。半虚拟化系统，可以提供一个完整的虚拟桌面，有不同程度的资源开销和性能损失。工作区虚拟引擎（名为WVE） - 该VMMs程序采取拦截和陷阱，模拟或重定向将违背隔离或导致系统不稳定低级别的OS API调用的方式。有些WVEs可以在一个内核中提供虚拟化的能力，使工作区嵌入一个包含企业域级别的特权代码模块和子系统的完整的操作系统，有独立的网络堆栈和支持，如端点安全应用，数据库应用和电脑管理软件，需要的驱动和安全服务。 WVEs可以提供一个完整的虚拟桌面，很少或根本没有性能损失。应用程序容器 – 该系统采取拦截和陷阱，模仿那些违背隔离或导致系统不稳定的最高等级OS API调用。应用容器一般不能提供一个完整的虚拟桌面。仿真 - 模拟整个系统的硬件系统，包括中央处理器，I / O设备等模拟器可以提供一个完整的虚拟化桌面，但存在巨大的性能损失
2. 常用的网络访问控制方法都有什么
常用的访问控制方式有3种，分别是载波多路访问/冲突检测（CSMA/CD）、令牌环访问控制法（Token Ring）和令牌总线访问控制法（Toking Bus）。
分别适用于：
CSMA/CD访问控制方式主要用于总线型和树状网络拓扑结构、基带传输系统，适用于总线型局域网；
令牌环介质访问控制方法是通过在环状网上传输令牌的方式来实现对介质的访问控制；
令牌总线访问控制法主要用于总线型或树状网络结构中，目前微机局域中的主流介质访问控制方式。
3. 有一个虚拟局域网,100台主机,如何规划
虚拟局域网的定义：
1）按端口的PVID定义，即相同的VLANID为同一个VLAN（VLANID为端口打印的虚拟局域网标签）。每个端口只允许携带该VLAN标签的数据包通过。
2)不同VLANTAG（标签）也被允许通过，当某个VLANID（列如：VLAN100的端口，允许VLAN200端口打印的数据包也能通过），这样如果VLAN100和VLAN200 都允许彼此打印的数据包通过。则VLAN100和VLAN200构成一个VLAN。同理如下图：
祝你网络规划顺利。
4. 虚拟机的网络连接受限制，怎样解决
可以修改虚拟机的ip和子掩码，就能够解决上述问题了。具体操作请参考以下内容。
工具/原料：Windows7系统电脑。
1、首先点击电脑桌面中的计算机。
5. 如何突破交换机虚拟局域网的限制
虚拟局域网(VLAN)，是英文Virtual Local Area Network的缩写，是指网络中的站点不拘泥于所处的物理位置，而可以根据需要灵活地加入不同的逻辑子网中的一种网络技术。
基于交换式以太网的虚拟局域网在交换式以太网中，利用VLAN技术，可以将由交换机连接成的物理网络划分成多个逻辑子网。也就是说，一个虚拟局域网中的站点所发送的广播数据包将仅转发至属于同一VLAN的站点。
在交换式以太网中，各站点可以分别属于不同的虚拟局域网。构成虚拟局域网的站点不拘泥于所处的物理位置，它们既可以挂接在同一个交换机中，也可以挂接在不同的交换机中。虚拟局域网技术使得网络的拓扑结构变得非常灵活，例如位于不同楼层的用户或者不同部门的用户可以根据需要加入不同的虚拟局域网。
划分虚拟局域网主要出于三种考虑：
第一是基于网络性能的考虑。对于大型网络，现在常用的Windows NetBEUI是广播协议，当网络规模很大时，网上的广播信息会很多，会使网络性能恶化，甚至形成广播风暴，引起网络堵塞。那怎么办呢?可以通过划分很多虚拟局域网而减少整个网络范围内广播包的传输，因为广播信息是不会跨过VLAN的，可以把广播限制在各个虚拟网的范围内，用术语讲就是缩小了广播域，提高了网络的传输效率，从而提高网络性能。
第二是基于安全性的考虑。因为各虚拟网之间不能直接进行通讯，而必须通过路由器转发，为高级的安全控制提供了可能，增强了网络的安全性。在大规模的网络，比如说大的集团公司，有财务部、采购部和客户部等，它们之间的数据是保密的，相互之间只能提供接口数据，其它数据是保密的。我们可以通过划分虚拟局域网对不同部门进行隔离。
第三是基于组织结构上考虑。同一部门的人员分散在不同的物理地点，比如集团公司的财务部在各子公司均有分部，但都属于财务部管理，虽然这些数据都是要保密的，但需统一结算时，就可以跨地域(也就是跨交换机)将其设在同一虚拟局域网之中，实现数据安全和共享。采用虚拟局域网有如下优势：抑制网络上的广播风暴；增加网络的安全性；集中化的管理控制。
基于交换式的以太网要实现虚拟局域网主要有三种途径：基于端口的虚拟局域网、基于MAC地址(网卡的硬件地址)的虚拟局域网和基于IP地址的虚拟局域网。
(1)基于端口的虚拟局域网
基于端口的虚拟局域网是最实用的虚拟局域网，它保持了最普通常用的虚拟局域网成员定义方法，配置也相当直观简单，就局域网中的站点具有相同的网络地址，不同的虚拟局域网之间进行通信需要通过路由器。采用这种方式的虚拟局域网其不足之处是灵活性不好。例如，当一个网络站点从一个端口移动到另外一个新的端口时，如果新端口与旧端口不属于同一个虚拟局域网，则用户必须对该站点重新进行网络地址配置，否则，该站点将无法进行网络通信。在基于端口的虚拟局域网中，每个交换端口可以属于一个或多个虚拟局域网组，比较适用于连接服务器。
(2) 基于MAC地址的虚拟局域网
在基于MAC地址的虚拟局域网中，交换机对站点的MAC地址和交换机端口进行跟踪，在新站点入网时根据需要将其划归至某一个虚拟局域网，而无论该站点在网络中怎样移动，由于其MAC地址保持不变，因此用户不需要进行网络地址的重新配置。这种虚拟局域网技术的不足之处是在站点入网时，需要对交换机进行比较复杂的手工配置，以确定该站点属于哪一个虚拟局域网。
(3)基于IP地址的虚拟局域网
在基于IP地址的虚拟局域网中，新站点在入网时无需进行太多配置，交换机则根据各站点网络地址自动将其划分成不同的虚拟局域网。在三种虚拟局域网的实现技术中，基于IP地址的虚拟局域网智能化程度最高，实现起来也最复杂。
(4).根据IP组播划分VLAN
IP 组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。
(5).基于规则的VLAN
也称为基于策略的VLAN。这是最灵活的VLAN划分方法，具有自动配置的能力，能够把相关的用户连成一体，在逻辑划分上称为“关系网络”。网络管理员只需在网管软件中确定划分VLAN的规则（或属性），那么当一个站点加入网络中时，将会被“感知”，并被自己地包含进正确的VLAN中。同时，对站点的移动和改变也可自动识别和跟踪。
采用这种方法，整个网络可以非常方便地通过路由器扩展网络规模。有的产品还支持一个端口上的主机分别属于不同的VLAN，这在交换机与共享式Hub共存的环境中显得尤为重要。自动配置VLAN时，交换机中软件自动检查进入交换机端口的广播信息的IP源地址，然后软件自动将这个端口分配给一个由IP子网映射成的VLAN。
* 以上划分VLAN的方式中，基于端口的VLAN端口方式建立在物理层上；MAC方式建立在数据链路层上；网络层和IP广播方式建立在第三层上。
使用VLAN优点
使用VLAN具有以下优点：
1、控制广播风暴
一个VLAN就是一个逻辑广播域，通过对VLAN的创建，隔离了广播，缩小了广播范围，可以控制广播风暴的产生。
2、提高网络整体安全性
通过路由访问列表和MAC地址分配等VLAN划分原则，可以控制用户访问权限和逻辑网段大小，将不同用户群划分在不同VLAN，从而提高交换式网络的整体性能和安全性。
3、网络管理简单、直观
对于交换式以太网，如果对某些用户重新进行网段分配，需要网络管理员对网络系统的物理结构重新进行调整，甚至需要追加网络设备，增大网络管理的工作量。而对于采用VLAN技术的网络来说，一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将工作站在工作组或子网之间移动。利用虚拟网络技术，大大减轻了网络管理和维护工作的负担，降低了网络维护费用。在一个交换网络中，VLAN提供了网段和机构的弹性组合机制。
三层交换技术
传统的路由器在网络中有路由转发、防火墙、隔离广播等作用，而在一个划分了VLAN以后的网络中，逻辑上划分的不同网段之间通信仍然要通过路由器转发。由于在局域网上，不同VLAN之间的通信数据量是很大的，这样，如果路由器要对每一个数据包都路由一次，随着网络上数据量的不断增大，路由器将不堪重负，路由器将成为整个网络运行的瓶颈。
在这种情况下，出现了第三层交换技术，它是将路由技术与交换技术合二为一的技术。三层交换机在对第一个数据流进行路由后，会产生一个MAC地址与IP地址的映射表，当同样的数据流再次通过时，将根据此表直接从二层通过而不是再次路由，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率，消除了路由器可能产生的网络瓶颈问题。可见，三层交换机集路由与交换于一身，在交换机内部实现了路由，提高了网络的整体性能。
在以三层交换机为核心的千兆网络中，为保证不同职能部门管理的方便性和安全性以及整个网络运行的稳定性，可采用VLAN技术进行虚拟网络划分。VLAN子网隔离了广播风暴，对一些重要部门实施了安全保护；且当某一部门物理位置发生变化时，只需对交换机进行设置，就可以实现网络的重组，非常方便、快捷，同时节约了成本。
交换机充当的角色
交换机的好处在于其可以隔离冲突域，每个端口就是一个冲突域，因此在一个端口单独接计算机的时候，该计算机是不会与其它计算机产生冲突的，也就是带宽是独享的，交换机能做到这一点关键在于其内部的总线带宽是足够大的，可以满足所有端口的全双工状态下的带宽需求，并且通过类似电话交换机的机制保护不同的数据包能够到达目的地，可以把HUB和交换机比喻成单排街道与高速公路。
IP广播是属于OSI的第三层，是基于TCP/IP协议的，其产生和原理这里就不多讲了，大家可以看看TCP/IP协议方面的书籍。交换机是无法隔离广播的，就像HUB无法隔离冲突域一样，因为其是工作在OSI第二层的，无法分析IP包，但我们可以使用路由器来隔离广播域，路由器的每个端口可以看成是一个广播域，一个端口的广播无法传到另外一个端口（特殊设置除外），因此在规模较大，机器较多的情况下我们可以使用路由器来隔离广播。
下面开始归入正题。
6. 逻辑安全的访问控制可采取哪两种措施
以下17个习题请同学们以小组形式进行课前预习，并取得共识。下节课我们以小组抽签形式，随机抽取题目，并立即由组内一名学生回答问题，答题正确全组成员都得10分。在某小组答题时，其他同学注意倾听，其后可进行补充答题，凡补充答题正确，补充答题小组全体加1分。若某组答题不全面，全班无人补充，最后教师补充，则全班都扣1分。
分组表：A1组包括A1、B1、C1、D1座位同学；A2组包括A2、B2、C2、D座位同学，以此类推；E1组包括E1、F1、G1座位同学；E2组包括E2、F2、G2座位同学，以此类推。
题目：
1． 逻辑安全的访问控制可采取哪两种措施？
2． 信息加密的安全措施有哪两种方法?
3． 物理安全中防静电的最佳措施是什么？
4． 防电磁泄漏可用哪三种方法？
5． 计算机病毒共有七个特征，其中那四个特点是所有病毒共有的特点？
6． 讨论如何正确使用杀病毒软件？（可以根据以下讨论：是否计算机杀毒软件安装越多越好；杀毒软件是否万能的，只要安装了，就能杀防所有病毒；是否需要及时升级病毒库等等）
7． 请分别说说防病毒软件与防火墙的功能与特点（包括区别）。
8． 计算机信息安全分为物理与逻辑安全，物理与逻辑安全各包括哪些方面？并请判断下面一个案例属于哪个物理安全，一台计算机没有联网，也没有人从中下载资料，但信息被人窃取。
9． 计算机环境维护需采取哪些措施？
10． 有一种病毒进入计算机后，一般人发现不了，但在某一特定时间发作，破坏计算机系统，根据以上情况，反映了病毒哪些特征？
11． 针对计算机病毒，除可用防病毒软件外，还需注意做到哪几点？（简单扼要叙述）
12． 当前计算机犯罪有哪些行为？我们经常收到一些垃圾邮件，讨论为什么会收到垃圾邮件，这应是哪种犯罪行为？
13． 预防计算机犯罪应从哪几方面着手？其中青少年上网公约体现了哪方面的预防措施？
14． 目前计算机网络安全产品包括哪几种？其中防火墙与网络入侵检测产品的区别是什么？
15． 请讨论说出国内外5个着名的防病毒软件。
16． 计算机病毒的定义是什么？
17． 请讨论说出计算机病毒与计算机木马的本质区别。
教育站点服务器主机的选择
在选择教育站点服务器主机时，除了考虑诸如功能、性能和价格等因素外，更重要的要考虑安全需求，服务器很多，但它们的安全性能是不一样的，要使教育站点具有安全性就必须选择满足安全需求的服务器，网络教育站点的安全需求一般包括：
⑴较小的易受攻击性
⑵只能由授权用户进行管理的限制能力
⑶拒绝访问服务器中没有发布的信息的能力
⑷关闭操作系统或服务器软件中不必要的网络服务的能力
⑸访问各种外部可执行程序（如CGI scripts、服务器plug-ins）的可控能力
⑹为侦测入侵或企图入侵，记录教育站点服务器活动的能力
2 教育网络分段及虚拟网络（VLAN）运用和划分原则
对局域网来说，网络分段和VLAN的运用是保证教育网络安全的有效措施。
2.1 教育网络分段改善安全性能。
教育网络分段是保证安全的一项重要措施，同时也是一项基本措施，其指导思想在于将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。教育网络分段可分为物理分段和逻辑分段两种方式：
物理分段通常是指将网络从物理层和数据链路层(ISO/OSI模型中的第一层和第二层)上分为若干网段,各网段相互之间无法直接通讯。目前，许多交换机都有一定的访问控制能力，可实现对网络的物理分段。
逻辑分段则是指将整个系统在网络层（ISO/OSI模型中的第三层）上进行分段。例如，对于TCP/IP网络，可把网络分成若干IP子网，各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接，利用这些中间设备（含软件、硬件）的安全机制来控制各自网间的访问。在实际应用过程中可采取物理分段与逻辑分段相结合的方法来实现对网络系统的安全性能控制。
2.2 运用VLAN改变安全性能
以太网从本质基于广播机制，但应用了交换和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。
由以上运行机制带来的网络安全的好处是显而易见的：
信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。
通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。
2.3 VLAN 之间的划分原则
VLAN 的划分方式的目的是保证系统的安全性。因此，可以按照系统的安全性来划分VLAN；可以将主要的服务器系统单独划分作一个VLAN，如数据库服务器、电子邮件服务器等。也可以按照教育机构、对象的设置来划分VLAN，如可以按照教育机构服务器管理员所在的网络单独作为一个leader VLAN(LVLAN)，其它层次的分别作为另一个或几个VLAN，并且控制LVLAN与其他VLAN之间的单向信息流向，即允许LVLAN查看其他VLAN的相关信息，其他VLAN不能访问LVLAN的信息。VLAN之内的连接采用交换实现，VLAN 与VLAN之间采用路由实现。
3 服务器主机和服务器软件的配置
3.1 教育站点服务器与内部网络隔离
公用服务器主机是一个供公众访问的计算机，无论主机及其应用软件配置的如何好，总会有人发现新的入侵点，入侵者可以观察或捕获到内部主机之间的网络通信，也可能进入内部主机，获得更详细的信息，为此需要把服务器主机与内部网络隔离，如图1所示。
图1 WEB服务器网络结构
3.2 在一个更安全的主机上维持一个可靠的教育站点内容拷贝。
当服务器上的信息完整性受到破坏时，需要一个可信赖的拷贝来恢复．建议把一个可靠的信息拷贝存贮于与服务器主机隔离的更安全的主机上（即放在网络防火墙内的内部网络上），并且除了教育站点管理员可以访问这个拷贝外，其它用户（无论是内部还是外部的）都不能访问拷贝。
3.3 教育站点服务器主机只提供基本的网络服务
现代的计算机具有可提供多种服务和应用的功能，如果多项服务和应用同时在一台主机上提供，会使主机的安全性能减弱，为此，应该按以下方法来配置教育站点服务器：
⑴．尽可能多地关掉服务和应用，然后有选择地打开那些基本的教育服务；
⑵．确定你打算支持教育服务器的功能（如CGI脚本）；
⑶．如果有其它的方法提供同样功能，选择更安全的方法；
⑷．一旦最少的教育服务和应用确定后，确保它们在主机上是可用的；
⑸．当所有配置选项确定后，为关键系统软件生成并记录加密校验或其它完整校验信息。
3.4 配置教育站点服务器，增加安全性
由于不同的机构组织对公用站点的需求是不一样的，因此服务器软件已提供了各种软件配置选项以满足不同站点的需求．省缺的配置设定可能是对“典型”站点的最优设定，当然这是销售商想象的最优化，一般是基于性能需求或容易安装来设定的．但在安装教育站点服务器软件时，必须认真仔细地按安全需求配置服务器．
⑴．配置教育站点服务器日志能力
教育站点服务器日志文件记录着服务器对每一请求的响应行为信息，分析这些日志可以得到有用的用户信息和安全信息．目前有许多日志文件分析工具，大部分可对两种标准日志文件格式进行分析，这两种格式是“Common Log Format”和“Extended Common Log Format” ，服务器应该配置成能生成两种格式中任意一种格式的日志文件。
⑵. 配置教育站点服务器的辅助网络服务
一般教育站点服务器可同时提供其它的网络服务，如文件传输协议（FTP），gopher协议，电子邮件或按受从客户机来的文件上载等，为增加教育站点服务器的安全性，在确定不需要这些服务的条件下,建议关闭所有的辅助服务
⑷. 配置教育站点服务器的本地或远程管理
利用教育站点主机控制台来管理教育站点，这样可以控制在教育站点服务器（防火墙外）与管理工作站（防火墙内）之间的网络传输，以增加安全性。
但是在许多情况下，教育站点服务器管理不得不从远程进行管理，这时必须要保证：
①.服务器主机有很强的验证用户身份能力，特别要避免传送明文口令，除非这是一个一次性口令。
②.服务器主机只允许从某个特定远程主机进行远程管理
③.在管理主机与服务器之间的网络传输不应有这样的信息，这些信息如果入侵者截获后，可访问到服务器或内部网络。
⑸．确定操作系统提供什么样的访问控制
有些操作系统可以对教育站点服务的远程访问文件加以限制，这些进程可以限制为对某些文件的只读访问，而对一些文件不允许访问。
⑹ . 利用文件访问控制来实现：
①. 公用教育站点的内容文件只能读，不能由服务器管理进程来写
②. 存贮教育站点内容的目录不能由服务器管理进程来写
③. 公用教育站点内容文件只能由服务器管理进程来写
④. 教育站点服务器日志文件可由服务器进程写，但不能作为教育站点内容来读
⑤. 教育站点服务器日志文件只能由管理进程读
⑥. 任何由教育站点服务器进程生成的临时文件（如在生成动态页面时所需的临时文件）必须限制在某个特定的子目录下。
⑺． 不允许目录列表服务
按照教育站点协议（http），一个以斜杠结束的URL是请求列出一个目录中的文件。按一般的规则，即使该目录下的所有文件都是准备发布的文件，也不允许服务器对这类请求有响应。这类请求表示试图用非教育站点提供的方法来定位信息，当浏览有困难或链接断裂了，用户就可能企图重新排序。入侵者可用此方法定位那些由教育站点接口隐藏的信息。可以从服务器日志文件中查出这类请求。
⑻．配置服务器使之不能提供指定文件目录数以外文件的服务。
具体的实现可以通过服务器软件本身的配置选择，也可以通过操作系统选择。必须避免在文件目录树中使用链接或别名，因为它指出了服务器主机或网络中的其它文件。
⑼. 确保服务器日志文件或配置文件不能作为公用教育站点内容文件。
日志文件应该存贮在服务器主机上，而不是传送到内部网络的另一台主机上，同样，服务器配置文件或参考文件也应保持在服务器主机上。
利用服务器配置选项和操作系统访问控制，确保这些文件不能传送给用户，即使用户知道这些文件的名字（URLs）。如果可能，把这些文件放在公用数据目录树以外的地方。
⑽. 当所有的的配置选择完成好后，要为服务器软件生成一个密码校验或其它的完整检验基准信息。
4 网络教育站点服务器管理
4.1 用安全模式管理教育站点服务器
教育站点服务器管理包括为服务器增加新内容，检查服务器日志，安装新的外部程序以及改变服务器配置等等。这些管理可以在服务器控制台上完成，也可以通过网络在另一主机上来管理，无论从哪里来管，一定要确保其安全性，特别是以远程主机管理服务器时，安全更加重要。
⑴．当选用远程主机来管理教育站点服务器时，应选用安全的方式来管理
①．教育站点服务器主机应有很强的用户身份验证功能，要避免使用明文形式传输密码口令。
②．教育站点服务器从某一特定主机进行管理，主机的验证不依赖于网络解析信息，如IP地址或DNS名等。
③．在管理员主机与服务器之间的网络传输过程中，不应给入侵者提供访问服务器或内部网络的信息。
⑵．如果允许，可使用活动存贮介质把教育站点的内容拷贝到教育站点服务器上。
⑶ ．当需要在另一台主机上检查服务器的日志文件时，要用安全方法把日志文件传送到那台主机上。
⑷．当服务器的配置或站点内容改变后，要生成一个新的加密校验或其它的完整校验信息。
4.2 检查目录和文件有无意外的改变
网络环境中的文件系统包括了大量软件和数据文件，目录和文件的意外改变，特别是那些访问受到限制的目录和文件的意外改变，表明发生了某种入侵。入侵者为了隐藏他们在系统中的存在，通常用相同功能的程序替换系统的原有程序并修改日志文件，或在系统中生成新的文件。所以，利用检查系统的目录和文件的更改信息的方法，可尽早发现入侵。
⑴. 为系统文件建立优先级和检查时间表。
⑵. 对关键文件和目录一个权威参考数据，这些数据包括：
·在文件系统中的位置
·可选择的路径
·文件的内容、目录的入口
·实际长度、如可能还应有分配的单元
·文件和目录生成和最后修改的时间、日期
·所属权和访问许可设定
⑶. 按照建立的计划，用权威参考数据比较文件的属性和内容，查验目录和文件的完整性。
⑷．查验丢失的文件或目录
⑸．查验任何新的文件和目录
⑹．调查已发现的任何意外改变的原因
4.3 检查系统和网络日志
日志文件记录了系统和网络中发生的异常和意外活动，入侵者经常在日志文件中留下了其活动的足迹，因此定期地检查系统和网络日志是发现入侵者的方法之一。日志文件依操作系统、运行的应用软件和配置的不同而不同，表1给出了典型的日志文件包含的信息。
7. 急急急!!!!!!关于虚拟机的网络设置
在很多情况下,电脑爱好者需要有一个网络环境来学习网络服务器的安装和设置,黑客攻防技术等,但是往往大部分的业余电脑爱好者都没有这样的条件.虚拟机软件VMware的出现使得我们可以以非常低廉的价格来获得一个非常高效实用的网络实验平台.然而,VMware虚拟机的网络设置一直是很多初学者感到困惑的地方,常常在各大电脑论坛上看到有人寻求有关VMware网络设置解决方案的贴子,虽然互连网上也有很多这方面的文章,但往往说的不够完整,或者写的过于专业,使初学者看后仍是一头云雾.针对这个情况,笔者在学习阅读网络上的各类文章和VMware软件的文档后,结合自己的经验整理出这些内容,力图比较详悉又简明易懂的表述来说明VMware虚拟机网络的设置过程.
下面我想以Linux平台的VMware虚拟机的安装和网络的设置为例来说明VMware的安装和网络设置过程。
一、VMware的安装
1，获得VMware
在Internet上可以下载到VMware Workstation的试用版本，很多Linux站点都可以下载
推荐两个有VMware下载的网站：
http://www.linuxeden.com
http://www.linuxfans.org
2，安装VMware的硬件要求
虚拟机是极费电脑资源的软件，对电脑的硬件要求比较高，尤其是对内存容量要求更高。一般来说256M内存是底线，相对来说CPU就没那么高要求了，一般五六百MHz以上的CPU就可以跑起来，当然如果想使得虚拟系统和实际系统都运行的比较流畅，并且可以在虚拟系统和主系统上运行PHOTOSHP,CAD等大型软件的话，推荐使用512M的内存，1G以上的CPU。就本人的电脑而言，配置是 毒龙700M CPU+256M SDRAM内存，跑Redhat 8.0主系统和Windows 2000 Server虚拟系统，并分别在主系统和虚拟系统上运行DNS服务器，HTTP服务器，FTP服务器等，系统基本可以跑的流畅 ，内存使用率在 52%以上，CPU使用率在9%左右，swap使用量达57M(平时只要5M左右),这也仅仅是在正常运行时的资源耗费情况,在虚拟系统开机和关机的时候实际资源耗费量更大。如果想在跑虚拟系统的时候顺便听听MP3的话，MP3有明显的停顿和暴音。基本上是用足了资源，当然再在主系统和虚拟系统上运行几个FTP和HTTP客户端，还是可以的。如果你的内存只有128M，理论上还可以跑虚拟机，尽量关闭所有的Linux后台进程，不用KDE，GNOME等这样的大型桌面管理系统，而只用X和TWM窗口管理器就可以省下很多内存，并且在虚拟机中跑WIN98、WIN95或者字符界面的Linux系统等对硬件要求比较低的系统，跑VMware还是可以的，只是在窗口切换的时候会有一点卡。如果你的内存只有64M的话那你只能乞求奇迹的发生了，或者能跑个DOS虚拟系统？ 有兴趣的朋友不妨去试一下，看看VMware对硬件要求的极限是多少。
3,VMware的安装
解压缩软件包：
#tar xfvz VMware-workstation-3.2.0-2230.tar.gz
进入安装目录
#cd vmware-distrib
运行安装程序
#./vmware-install.pl
根据提示安装软件，安装程序会询问软件各种文件的安装目录，直接回车用默认值就可以了。
需要注意不要盲目直接按回车，在安装程序提示是否让Vmware支持网络的时候一定要选择yes，在提示是否支持host-only网络的是时候也要选择yes。
注意：VMware在安装过程中会根据你的系统内核版本选择一个和系统匹配的配置，如果找不到则需要编译，所以你需要一个GCC编译器，否则VMware将无法安装。
如果安装顺利，安装程序会有类似 ： enjoy vmware! 之类的提示。说明已经安装成功。
二、运行VMware
在终端中输入vmware并回车就可以运行VMware
有一点需要注意，VMware只是一个前台程序，它的运行需要VMware后台虚拟设备的支持，即在你运行VMware前你已经运行了VMware的后台服务程序，一般情况下安装程序安装完以后会执行这个工作，并把VMware的启动脚本添加到 /etc/rc.d/init.d目录下，使它在每次开机的时候都自动运行，如果由于某种原因已经把VMware的后台服务程序关闭请手动开启：
#service vmware start
用ifconfig查看vmware的虚拟网络设备:
#ifconfig
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:454 errors:0 dropped:0 overruns:0 frame:0
TX packets:454 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:33512 (32.7 Kb) TX bytes:33512 (32.7 Kb)
vmnet1 Link encap:Ethernet HWaddr 00:50:56:C0:00:01
inet addr:192.168.221.1 Bcast:192.168.221.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:191 errors:0 dropped:0 overruns:0 frame:0
TX packets:63 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
vmnet8 Link encap:Ethernet HWaddr 00:50:56:C0:00:08
inet addr:172.16.74.1 Bcast:172.16.74.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
可以看到VMware的虚拟网络设备vmnet1 和vmnet8
如果用ifconfig命令没有看到这两个虚拟设备则说明VMware的后台服务程序没有运行，执行vmware的时候将出错，请用上面讲的命令运行。
VMware不是免费软件，第一次运行的时候需要输入序列号，你可以按GET SN按扭从VMware官方网站得到一个试用三个月的序列号。为了避免麻烦我先贴几个在这里：
VMWare 3.0 for Linux :
625AX-8DE40-46RA3-30HUM
625AX-8DE40-46RA3-30HUM
60N88-8DW44-16H77-32KT4
6818X-84WD1-01KDK-3JN9X
FOR win V3.2.0-2230
0F11N-004U4-0U0HJ-12XDG
04590-00NU1-0UMKX-161AW
0DM1J-004H0-0KTA4-1614F
04HCM-085K0-0R8UM-1FH0U
0451J-0AJHJ-0KXKX-1412U
输入序列号后会弹出虚拟机配置向导，这些内容不在本文叙述范围内，而且这些比较容易掌握，所以这部分内容请读者自己去摸索。
按VMware工具条上的“Power On”按钮启动虚拟机，按F2键进入BIOS设置，让虚拟机从光盘启动，保存后重起虚拟机，这样就可以从光盘启动，安装系统了。
(注意：在vmware的使用中笔者发现这样一个问题：在主系统没有安装显卡3D驱动程序的情况下在虚拟机上安装虚拟系统会很慢，而且经常失去响应，但是装上了显卡的3D加速驱动后安装明显加快，所以在安装虚拟系统的过程中如果发现类似问题，可以先把显卡3D驱动装上再试。)
系统安装好后别忘了安装VM TOOLS，（VMware 工具栏——>Settings——>VMware Tools Install）这会显着增加虚拟系统的性能。
三、虚拟机的网络设置（原理篇）
在正式开始之前，我想有必要先来学习一些必要的网络知识。否则，在不懂得任何原理的情况下依葫芦画瓢虽然可解一时之需要，但遇到具体情况改变的情况下就只能干瞪眼了。由于篇幅限制，这里只讲和VMware设置有关的一点简单网络知识。
1，什么是网络？
Internet是指“互连网”，好象这句话说的有点多余，不过确实有很多人对他有错误的理解，“互连网”是指一个个网络互连，而不是像有些人想象的那样把一台台电脑杂乱无章的互连。当我们需要用电脑和远方的电脑通讯的时候，先把本地电脑组成一个网络，当然，远方的电脑也要组成一个网络，在把这两个网络“互连”起来，组成“互连网”。用电话线和MODEM拨号上网的时候是通过电话线先把自己的电脑连到ISP（Internet Service Provider 网络服务提供商）的网络中，再经过ISP的网络和世界各地的电脑通信。
2，电脑如何通过网络传递数据？
每一个网络需要一个网络地址，网络中的电脑需要一个在网络中唯一确定的标识，网络号和电脑的标识号组成了IP地址，所以IP地址是由网络号和主机号组成的。当你的电脑要和其他的电脑通信的时候，电脑会先根据IP地址和子网掩码确定目标主机是在本地网络中还是在远程网络中，如果在本地网络中则直接把一个包含信息的IP数据包发送到本地网络上，目标主机会检测到并接收，如果目标主机在远程网络则需要通过一台被称为网关的的电脑转发到远程网络，网关（geteway）可以看做是连接网络和网络的桥梁，网关的概念很广，这里为了简化起见，我们暂且认为它和路由器是同一个概念。路由器（router）是一种连接网络和网络，并选择IP数据包传送的路径的一台特殊计算机。很多情况下网关的概念等同于路由器。
3，网络中电脑的IP地址有何要求？
在同一个网络中，每台电脑必须具有相同的网络号，这样电脑才认为目标主机是在本网络中并且可以正确送达，如果网络号不同,即使目标主机已经用网线连到本网络中数据也不能直接送达,即使这两台电脑近在咫尺,在电脑看来仍旧是一台远程电脑.比如一个网络的网络号为192.168.0，则该网络中的计算机的IP地址必须以192.168.0开头。假如要传送一个数据包到网络号为192.168.1的网络，则必须通过路由器转发，如果该网络中没有路由器，则发送失败。因此，为了连接两个网络，一台路又器至少要有两个网络接口（网卡、调制解调器等联网设备称为网络接口）。网络和路由器的关系见下图：
--------------- -------------- --------------
| 网络A | | 路由器 | | 网络B |
| | | | | |
| □--|-----------|--□ □--|----------|--□ |
| 1 | | 2 3 | | 4 |
--------------- -------------- --------------
图 一
图中的小方框表示网卡或其他网络接口。
可以看到路由器至少有两个网络接口。
假设网络A的地址为192.168.0 网卡1的地址为192.168.0.1
网络B的地址为192.168.1 网卡4的地址为192.168.1.1
则路由器上的网卡2必须属于网络 192.168.0 地址为192.168.0.x （x为任意小于255的数）
路由器上的网卡3必须属于网络 192.168.1 地址为192.168.1.x （x为任意小于255的数）
就是说，路由器既属于网络A，又属于网络B，这样才起到桥梁的作用。
当数据从网络A发往网络B时，路由器从网卡2接收数据，经过改装后通过网卡3发送数据到网络B。
这样，我们称网卡2的地址 192.168.0.x为网络A的网关
网卡3的地址 192.168.1.x为网络B的网关
4，VMware虚拟机提供了那些虚拟网络设备？默认安装的情况下VMware提供了虚拟网卡vmnet1和vmnet8,还有在虚拟系统上的虚拟网卡 "AMD PCNET Family PCI Ethernet Adapter"
请注意，vmnet1和vmnet8是主系统上虚拟设备，用ifconfig命令可以看到，而"AMD PCNET Family PCI Ethernet Adapter"是虚拟系统上的虚拟设备，在安装完虚拟系统后可以在设备管理器中看到，前两个隶属于真实系统，是你的真实电脑中的设备,后一个隶属于虚拟系统，是虚拟电脑中的设备,不要搞混淆。
--------------- -------------- --------------
| 网络A | | 路由器 | | 网络B |
| | | | | |
| □--|-----------|--□ □--|----------|--□ |
| 1 | | 2 3 | | 4 |
--------------- -------------- --------------
---------------- ------------------------- --------------
| 虚拟系统 | | 主系统(路由器) | | 真实网络 |
| | | | | |
| □--|-----------|--□ □<--->□-----|------|--□ |
|AMD PCNET卡 | |vmnet1 vmnet8 真实网卡 | | 4 |
---------------- ------------------------- --------------
图 二
让我们来和上面的网络和路由器的关系做一个比对。
可以看到要想虚拟系统和主系统通信必须使AMD PCNET 网卡和vmnet1组成一个网络。
而vmnet1本来就在主系统中，系统可以直接访问，所以主系统又充当了路由器的功能，只要有这两个虚拟设备主系统和虚拟系统就可以通讯。
关键在于三点：
1.确定网卡AMD PCNET和vmnet1的网络号相同。
2.在虚拟系统里设置网络属性，把网关地址设为vmnet1的地址。
3.开启主系统的路由功能，使它成为一台路由器。
事实上，如果你只需要虚拟系统和主系统通信，而不需要和主系统所在的真实网络上的其他主机通信的话只要满足第一点就可以了。因为满足第一点，主系统和虚拟系统就在同一网络中了，不需要路由器便可通信。但是大多数情况下我们需要虚拟系统和主系统所在的真实网络通信，这就需要满足其他两点了。
四、虚拟机的网络设置（实施篇）
1， 我们先来让虚拟系统和主系统联系上。
在VMware安装的时候安装程序会自动给vmnet1分配一个IP地址，下面是笔者电脑上例子：
vmnet1 Link encap:Ethernet HWaddr 00:50:56:C0:00:01
inet addr:192.168.221.1 Bcast:192.168.221.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:191 errors:0 dropped:0 overruns:0 frame:0
TX packets:63 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
在第二行可以看到安装程序给vmnet1分配的IP地址为192.168.221.1(注意每次安装VMware IP地址是随机分配的，实际的情况与这里的例子会不同)。即虚拟网卡vmnet1属于网络192.168.221。因此，我们需要启动虚拟系统，设置网络属性，把虚拟系统的网卡"AMD PCNET Family PCI Ethernet Adapter"的IP地址设置为192.168.221.x （x为除1以外2~254之间的任意数字笔者把它设置为2），把网关设置为vmnet1的地址：192.168.221.1(如果不和外界真实网络通信的话网关可以不设)
windows 2000和XP 设置后立即生效，win98需要重新启动，linux需要重新启动网络服务:
#service network restart
在主系统上ping一下虚拟系统：
#ping -c 3 192.168.221.2
PING 192.168.221.2 (192.168.221.2) from 192.168.221.1 : 56(84) bytes of data.
64 bytes from 192.168.221.2: icmp_seq=1 ttl=128 time=6.91 ms
64 bytes from 192.168.221.2: icmp_seq=2 ttl=128 time=0.425 ms
64 bytes from 192.168.221.2: icmp_seq=3 ttl=128 time=0.527 ms
--- 192.168.221.2 ping statistics ---
3 packets transmitted, 3 received, 0% loss, time 2001ms
rtt min/avg/max/mdev = 0.425/2.623/6.917/3.036 ms
yeah!通了！
再在虚拟系统上ping主系统:
C:\>ping 192.168.221.1
Pinging 192.168.221.1 with 32 bytes of data:
Reply from 192.168.221.1: bytes=32 time<10ms TTL=64
Reply from 192.168.221.1: bytes=32 time<10ms TTL=64
Reply from 192.168.221.1: bytes=32 time<10ms TTL=64
Reply from 192.168.221.1: bytes=32 time<10ms TTL=64
Ping statistics for 192.168.221.1:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms
yeah!又通了！主系统和虚拟系统顺利联系上啦！
2， 让虚拟系统和主系统所在的真实网络通信
首先在你的电脑上需要有一块与真实网络相连真实的网卡（如图二所示）。vmnet8就在与真实网络通讯的时候起作用了，vmnet8会和真实网卡对应起来，虚拟系统要发送数据包到真实网络中的时候，真实系统是一台路由器，首先数据发到虚拟网卡vmnet1，然后经过路由器（这里就是主系统linux）发到vmnet8，由于vmnet8和真实网卡是对应起来的，这一机制是有vmware完成的,所以发到vmnet8上的网卡就等于传送到了真实网卡上，然后数据包再通过真实网卡发送到真实网络，整个过程请看图二。如果你的系统上有两块以上的真实网卡，在安装的时候安装程序会询问把虚拟网卡对应到哪个真实网卡上。可以根据实际情况选择。
把vmnet8的IP地址设置为和真实网卡在同一网络的地址，假设真实网络的网络号为192.168.0,真实网卡的IP地址为192.168.0.1则可设置vmnet8的IP地址为192.168.0.2
在linux中方法如下：
#ifconfig vmnet8 down
#ifconfig vmnet8 192.168.0.2 up
回顾一下上面讲的三个条件：
--------------------------------------------------------------
关键在于三点：
1.确定网卡AMD PCNET和vmnet1的网络号相同。
2.在虚拟系统里设置网络属性，把网关地址设为vmnet1的地址。
3.开启主系统的路由功能，使它成为一台路由器。
--------------------------------------------------------------
前两点我们已经在第一部分中做好了，现在只要开启了linux的路由功能虚拟系统就可以和外界通讯了。
linux是一个天生的网络操作系统，他在网络方面的强大功能使得它在网络服务器领域有广泛的应用。用linux来做路由器甚至不需要额外的软件，linux的内核直接支持静态路由的功能。我们要做的只是把路由功能打开就可以了。
可以先看看路由表：
#route
确定所有网卡的IP地址或网络地址都在Destination一栏里,如下图:
-------------------------------------------------------------------------------
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
192.168.0.0 * 255.255.255.0 U 0 0 0 vmnet8
192.168.221.0 * 255.255.255.0 U 0 0 0 vmnet1
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default www.gucuiwen.co 0.0.0.0 UG 0 0 0 eth0
-------------------------------------------------------------------------------
默认情况下启动网络设备的时候系统会把该设备的IP地址添加到路由表中，如果没有的话可以重新启动一下网络服务：
#service network restart
再来开启路由功能：
# echo 1 > /proc/sys/net/ipv4/ip_forward
至此，linux的路由功能已经打开，你的linux系统已经成了一台路由器，连接着虚拟的网络和真实网络。虚拟网络和真实网络间就可以通信了。出于安全考虑，如果有必要的话还需要用iptables命令来设置一下路由规则。
8. 什么是虚拟网，怎么用
虚拟网是指在物理网络基础架构上，利用交换机和路由器的功能，配置网络的逻辑拓扑结构，从而允许网络管理员任意地将一个局域网内的任何数量网段聚合成一个用户组，就好像它们是一个单独的局域网。
应用：局域网：往往很多企业已经具有一个相当规模的局域网，但是企业内部因为保密或者其他原因，要求各业务部门或者课题组独立成为一个局域网，同时，各业务部门或者课题组的人员不一定是在同一个办公地点，各网络之间不允许互相访问。根据这种情况，可以有几种解决方法，但是虚拟局域网解决方法可能是最好的。为了完成上述任务，我们要做的工作是收集各部门或者课题组的人员组成、所在位置、与交换机连接的端口等信息。根据部门数量对交换机进行配置，创建虚拟局域网，设置中继，最后，在一个公用的局域网内部划分出来若干个虚拟的局域网，同时减少了局域网内的广播，提高了网络传输性能。这样的虚拟局域网可以方便地根据需要增加、改变、删除。
共享访问：在一些大型写字楼或商业建筑（酒店、展览中心等），经常存在这样的现象：大楼出租给各个单位，并且大楼内部已经构建好了局域网，提供给入驻企业或客户网络平台，并通过共同的出口访问Internet或者大楼内部的综合信息服务器。由于大楼的网络平台是统一的，使用的客户有物业管理人员、有其他不同单位的客户。在这样一个共享的网络环境下，解决不同企业或单位对网络的需求的同时，还要保证各企业间信息的独立性。这种情况下，虚拟局域网提供了很好的解决方案。大厦的系统管理员可以为入驻企业创建一个个独立的虚拟局域网，保证企业内部的互相访问和企业间信息的独立，然后利用中继技术，将提供接入服务的代理服务器或者路由器所对应的局域网接口配置成为中继模式，实现共享接入。这种配置方式还有一个好处，可以根据需要设置中继的访问许可，灵活地允许或者拒绝某个虚拟局域网的访问。
交叠虚拟局域网：交叠虚拟局域网是在基于端口划分虚拟局域网的基础上提出来的，最早的交换机每一个端口只能同时属于一个虚拟局域网，交叠虚拟局域网允许一个交换机端口同时属于多个虚拟局域网。这种技术可以解决一些突发性的、临时性的虚拟局域网划分。比如在一个科研机构，已经划分了若干个虚拟局域网，但是因为某个科研任务，从各个虚拟局域网里面抽调出来技术人员临时组成课题组，要求课题组内部通信自如，同时各科研人员还要保持和原来的虚拟局域网进行信息交流。如果采用路由和访问列表控制技术，成本会较大，同时会降低网络性能。交叠技术的出现，为这一问题提供了廉价的解决方法；只需要将要加入课题组的人员所对应的交换机端口设置成为支持多个虚拟局域网，然后创建一个新虚拟局域网，将所有人员划分到新虚拟局域网，保持各人员原来所属虚拟局域网不变即可。
9. 简述网络访问控制的策略
访问控制策略是网络安全防范和保护的主要策略，其任务是保证网络资源不被非法使用和非法访问。各种网络安全策略必须相互配合才能真正起到保护作用，而访问控制是保证网络安全最重要的核心策略之一。访问控制策略包括入网访问控制策略、操作权限控制策略、目录安全控制策略、属性安全控制策略、网络服务器安全控制策略、网络监测、锁定控制策略和防火墙控制策略等7个方面的内容。
10. 如何设置主机访问vmware虚拟机网络
VMWare提供了三种工作模式，它们是bridged(桥接模式)、NAT(网络地址转换模式)和host-only(主机模式)。要想在网络管理和维护中合理应用它们，你就应该先了解一下这三种工作模式。
1.bridged(桥接模式)
在这种模式下，VMWare虚拟出来的操作系统就像是局域网中的一台独立的主机，它可以访问网内任何一台机器。在桥接模式下，你需要手工为虚拟 系统配置IP地址、子网掩码，而且还要和宿主机器处于同一网段，这样虚拟系统才能和宿主机器进行通信。同时，由于这个虚拟系统是局域网中的一个独立的主机 系统，那么就可以手工配置它的TCP/IP配置信息，以实现通过局域网的网关或路由器访问互联网。
使用桥接模式的虚拟系统和宿主机器的关系，就像连接在同一个Hub上的两台电脑。想让它们相互通讯，你就需要为虚拟系统配置IP地址和子网掩码，否则就无法通信。
如果你想利用VMWare在局域网内新建一个虚拟服务器，为局域网用户提供网络服务，就应该选择桥接模式。
2.host-only(主机模式)
在某些特殊的网络调试环境中，要求将真实环境和虚拟环境隔离开，这时你就可采用host-only模式。在host-only模式中，所有的虚拟系统是可以相互通信的，但虚拟系统和真实的网络是被隔离开的。
提示:在host-only模式下，虚拟系统和宿主机器系统是可以相互通信的，相当于这两台机器通过双绞线互连。
在host-only模式下，虚拟系统的TCP/IP配置信息(如IP地址、网关地址、DNS服务器等)，都是由VMnet1(host-only)虚拟网络的DHCP服务器来动态分配的。
如果你想利用VMWare创建一个与网内其他机器相隔离的虚拟系统，进行某些特殊的网络调试工作，可以选择host-only模式。
3.NAT(网络地址转换模式)
使用NAT模式，就是让虚拟系统借助NAT(网络地址转换)功能，通过宿主机器所在的网络来访问公网。也就是说，使用NAT模式可以实现在虚拟 系统里访问互联网。NAT模式下的虚拟系统的TCP/IP配置信息是由VMnet8(NAT)虚拟网络的DHCP服务器提供的，无法进行手工修改，因此虚 拟系统也就无法和本局域网中的其他真实主机进行通讯。采用NAT模式最大的优势是虚拟系统接入互联网非常简单，你不需要进行任何其他的配置，只需要宿主机 器能访问互联网即可。
如果你想利用VMWare安装一个新的虚拟系统，在虚拟系统中不用进行任何手工配置就能直接访问互联网，建议你采用NAT模式。
提示:以上所提到的NAT模式下的VMnet8虚拟网络，host-only模式下的VMnet1虚拟网络，以及bridged模式下的 VMnet0虚拟网络，都是由VMWare虚拟机自动配置而生成的，不需要用户自行设置。VMnet8和VMnet1提供DHCP服务，VMnet0虚拟 网络则不提供
提到VMware大家就想起了虚拟机技术，虚拟机技术在最近的几年中得到了广泛的发展，一些大型网络服务商都开始采用虚拟机技术，不仅节省了投资成本，更节约了能源的消耗。
我们知道VMware也分几种版本，普通用户最常用的就是Workstation，但是不管使用哪种版本，我们都能发现在安装过程中让我们选择网络模式。在默认情况下会选中桥接模式，但有用户会问其他模式是干什么用的?有时候选择了其他模式之后就不能上网了。今天小编就和大家一起探讨一下VMware 3种网络模式的功能和通信规则。
网络模式
我们首先说一下VMware的几个虚拟设备
VMnet0：用于虚拟桥接网络下的虚拟交换机
VMnet1：用于虚拟Host-Only网络下的虚拟交换机
VMnet8：用于虚拟NAT网络下的虚拟交换机
VMware Network Adepter VMnet1：Host用于与Host-Only虚拟网络进行通信的虚拟网卡
VMware Network Adepter VMnet8：Host用于与NAT虚拟网络进行通信的虚拟网卡
安装了VMware虚拟机后，会在网络连接对话框中多出两个虚拟网卡，