【IT168 厂商动态】现在Internet网络的“身影”已经随处可见，越来越多的单位在办公时已经感觉到无时无刻都不能离开网络了，为此高效搭建安全可靠、性能稳定的局域网就已经提到各个单位的议事日程。对于动不动就有百十台或者几百台工作站的单位来说，要想确保搭建的局域网网络上网速度快捷、网络管理方便、数据传输安全， 就需要在搭建网络之前认真设计好网络规划方案，特别是要划分好工作子网。毕竟，将规模较大的局域网网络，划分成几个互相独立的工作子网，将单位重要的部门或工作站集中设置到一个独立的工作子网中，可以限制单位其他人员对重要主机的访问。

　　在过去，企业构建此类网络的方法，是通过在各个子网前建设路由器，通过路由器指定路由的功能达到各个子网之间的沟通。这种方式架构当然有效，但是它无疑增加了硬件成本，同时对于管理上的维护来说，也是头疼的一件事，加重了管理员的负担。如下图1：

▲图1：传统的子网络架构

　　从图1可以看到，利用传统方法划分子网，需要用到多台路由器，同时需要手动去指定路由表。当然对于这种架构也无可厚非，如果企业可能由于某种原因一定需要用到此架构解决方案，那么从图1，我们也可以清楚的了解到，前端众至防火墙是有支援指定路由表功能的。

　　当然架设企业不同子网络也可以通过3层交换机，通过划分VLAN来实现。但是一般划分VLAN可能都要通过命令行界面，专业性要求比较高，不能够直观显现。相对傻瓜交换机来说，3层可网管交换机确实也价格不菲哦。如果公司并非3层可网管交换机，那么则无法划分。

　　事实上，对于这个问题，可以利用众至UTM内建的Multiple-Subnet功能轻松解决。Multiple-Subnet功能适用企业有多个部门，同时各个部门需要区分为不同的子网络的网络环境。管理员只需简单的设定，指定这些创建的子网络访问外网时，透过Multiple-Subnet机制所设定的网络接口，就可以轻松完成。如下图2：

▲图2：众至Multiple-Subnet解决方案

　　图2中我们可以看到，通过众至Multiple-Subnet解决方案，我们不需要添加路由设备，也不需要去手动在前端防火墙设备中指定路由表。而你只需要简单的设定，指定这些创建的子网络访问外网时，透过Multiple-Subnet机制所设定的网络接口(如：192.168.90.1/24，192.168.80.1/24)，即可以轻松完成。

　　其实对于图1，图2中，还有一点非常重要的区别。透过前端防火墙设备，对内部网络做管制的时候，大多企业希望通过被管制主机MAC地址来添加管制条例。这是因为IP地址是不固定的，用户可以自行修改IP地址，从而容易造成今天对某台主机来源IP做了管控，明天用户自行篡改PC主机的IP地址，那么之前做的管控则会失效。而对于MAC地址，它是固定不变的，不管用户怎么改变IP地址，针对MAC地址的管制条例依然生效。但是对于图1而言，子网内部主机(如销售部，业务部)通过前端防火墙设备上网，因为它走的是路由模式，前端防火墙设备是不能识别到子网内部主机真实MAC地址的，只能识别路由器的MAC地址，因此图1架构，是没有办法针对子网内部主机MAC地址管控的;图2透过众至Multiple-Subnet解决方案，通过虚拟出来不同的子网络，并非通过路由模式上网，子网内部PC真实MAC地址是可以被前端防火墙设备识别到的。如下图3：

▲图3：成员列表

　　既然从图中可以看出，子网内部主机MAC地址可以正确的被前端防火墙识别到，那么当然也就可以通过防火墙对子网内部主机MAC地址做到管制，就跟管制LAN一样轻松简单。同时你还可以结合众至防火墙设备LAN到LAN的管制机制，实现子网销售部、子网业务部、LAN，3个不同子网彼此之间访问的管制。

　　总结：对于网络安全，企业越来越重视。而作为内部网络和外网的第一道屏障之防火墙设备，早已经纳入企业预算。因此假如你采购，众至UTM防火墙设备，不仅满足你最初的防火墙需求，同时当你企业又要划分子网络，那么你可以完全不需要购买其他硬件，大大降低成本。同时管理上更加方便，岂不一举两得。

　　上海英宽网络科技有限公司

　　TEL：021-54590618 54595618

　　QQ：1421931012