在把机器部署成生产环境或把网络连接到互联网之前，你最好首先判定你所在的机构的需要，以及如何把安全需要尽可能透明地考虑在内。因为《红帽企业 Linux 安全指南》的主要目的是解释如何在红帽企业 Linux 上进行系统保安，所以对硬件和物理网络安全性的详细阐述就超出了本书的范围。尽管如此，本章仍旧向你大致介绍了一下在硬件和物理网络方面该如何建立安全政策。其中要考虑的重点是：计算系统的需要和连接性的需要该如何适应整个安全政策。以下较为详细地解释了某些因素。
计算系统（Computing）所包括的不仅仅是运行桌面软件的工作站。现代机构要求巨大的计算能力和高可用性的服务，它们可以包括大型计算机、计算或应用程序群集、功能强大的工作站、和专业化的器械。然而，这些需求却增加了硬件失效、自然灾害、器材破坏和盗窃行为对计算系统所造成的影响。
连接性（Connectivity）是管理员试图连接网络上的异类资源的一种方法。管理员可以使用以太网（带集线器或转换器，使用CAT-5/RJ-45 布线的）、权标环、10-base-2 同轴电缆、甚至无线技术（802.11x）。根据管理员选定的媒介而定，某些媒介和网络拓扑还需要集线器、路由器、转换器、基点站、和存取点之类的补充技术。使用功能正常的网络体系在发生了安全问题时将会简化管理进程。
考虑了这些一般条件后，管理员就可以对实现方法有一个大致了解了。技术技术环境的设计就可以建立在机构的需要和保安的需要上 — 一种会均衡考虑这两种因素的实现方式。
LAN 的基础是拓扑（topology），或网络体系。拓扑是 LAN 的物理和逻辑布局，包括所提供的资源、节点间的距离、以及传输媒介。根据机构组织和网络服务的需要，网络实现方法有好几种。每种拓扑都有其优越性以及在设计网络布局时需要考虑的安全问题。
电气和电子工程师学会（IEEE）为 LAN 的物理连接定义了三种常用拓扑。
环形（Ring）拓扑结构使用恰好两个连接来连接每个节点。这就构成了一个圆环，每个节点都能被另一个节点访问，要么通过物理连接的最邻近的节点来直接连接，要么通过整个物理环来间接连接。权标环、FDDI、和 SONET 网络就是用这种方式连接的（FDDI 使用双环技术）；然而，使用这种物理拓扑没有公共的以太网连接，因此除了在陈旧的或带有大量已安装节点的机构设置（如大学）中外，环性结构不再被普遍部署。
在广播式网络中，某个节点发送的分组将会穿过其它每个节点，直到接收者得到这个分组为止。网络中的每个节点在接收者处理该分组之前都可以收到这个分组。在广播式网络中，所有的分组都使用这种方式被发送。
在转换式网络中，分组不被广播，而是被转换集线器处理。转换集线器使用单播传输原则在发送和接收节点间创建一个“直接”连接。这就避免了给每个节点发送广播的必要性，从而降低交通费用。
转换式网络还会防止分组被蓄意不良的节点或用户截取。在广播式网络中，每个节点都会收到正前往目的地途中的分组，蓄意不良的用户可以把他们的以太网设备设为混杂（promiscuous）模式，接受所有的分组，不管它们的目的地是否是自己。一旦处于混杂模式，一个嗅探器就可以被用来过滤、分析、和重建分组，从而获取口令、个人数据等。精密老练的嗅探器程序还可以把这些信息贮存在文本文件中，甚至把这些信息发送给任意地方（如蓄意不良的用户的电子邮件地址中）。
转换式网络需要一个网络转换器。它是一种代替较传统的、把所有节点连接到一个 LAN 上的集线器的专业化硬件。转换器把所有节点的 MAC 地址贮存在一个内部数据库中。这个数据库被用来执行所有的直接选路。包括 Cisco Systems、Linksys、和 Netgear 在内的几家生产厂商都提供了好几种转换器，它们的功能有：10/100-Base-T 兼容性、吉位以太网支持、以及对冲突检测载波检测多路访问（CSMACSMA/CD）的支持。后者在交通流量较大的网络中使用最为理想，因为它给连接排队，并且会检测到分组在传输过程中是否撞车。
今天的企业中所面临的挑战是可流动性。远程工作人员、现场技术人员、以及主管人员都需要具备可移能力的解决方案，如便携电脑、个人数字助理（PDA）、以及对网络资源的无线存取能力。IEEE 为 802.11 无线规范建立了一个标准制定组。802.11 无线规范为在所有行业间进行无线数据通信建立了标准。当前被使用的标准是 802.11b 规范。
802.11b 和 802.11g 规范实际上是一组管理无许可的 2.4GHz 射频（RF）频谱的无线通信和存取控制的标准（802.11a 使用5GHz 频谱）。这些规范已被 IEEE 核定为标准，而且已有几家厂商开始推销 802.11x 产品和服务。顾客也开始接受该标准来用于小型办公室或家庭办公室（SOHO）网络。其流行性已经从 LAN 延伸到 MAN（城域网），特别是在无线存取点（WAP）密集的地方。使用该标准的还有无线互联网服务提供商（WISP），他们为需要使用宽带互联网访问来远程地从事商务的频繁旅行者提供服务。
802.11x 规范允许你在带有无线 NIC 的节点间进行直接的端到端的连接。这种对节点的松散组织也叫做特定（ad hoc）网络，它是在两个或两个以上的节点间进行快速连接共享的理想选择，但是它也带来了不适合于专用无线连接的可缩放性问题。
更适合于固定结构中的无线访问的解决方案是安装一个或多个连接到传统网络的 WAP，并允许无线节点连接到 WAP 就如同它是位于使用以太网为媒介的网络上一样。WAP 实际上充当连接到它上的节点和整个网络间的桥梁。
虽然无线联网在速度和方便性方面都比传统的有线联网媒介要好，它的技术规范也有其局限性，你需要全面考虑。它最重要的局限性是其安全实现。
在成功地部署了 802.11x 网络后，许多管理员会在得意之余忘记了最基本的安全预防措施。由于所有的 802.11x 联网都使用高带 RF 信号来完成，被传输的数据很容易被使用兼容 NIC、类似 NetStumbler 或 Wellenreiter 的无线网络扫描工具、或者是 dsniff 和 snort 之类的常见嗅探工具的用户截取。要防止这种对专用无线网络的非法使用，802.11b 标准使用有线等效保密（WEP）协议。它是在每个节点间或在 AP 和节点间的基于 RC4 的64或128位加密钥匙。该钥匙动态透明地加密和解密进入的分组。然而，要么是出于忘记，要么是出于对性能降低（特别是长途性能）方面的考虑，管理员常常会忽略这个共享钥匙加密方案。在无线网络上启用 WEP 能够大大减少数据被截取的可能性。
红帽企业 Linux 支持来自好几家厂商的多种 802.11x 产品。网络管理工具中包括一个配置无线 NIC 和 WEP 保安的设施。关于使用网络管理工具的信息，请参阅《红帽企业 Linux 系统管理指南》中的“网络配置”这一章。
仅依靠 WEP 仍旧不能够完全阻止意志坚定而又蓄意不良的用户。有些特定工具被刻意用来破译包含无线网络的 RC4 WEP 加密算式，从而推算出共享钥匙。AirSnort 和 WEP Crack 就是这样的应用程序。要警戒它们，管理员应该严格遵守有关使用无线方法来存取保密信息的政策。管理员可以通过把无线连接仅限制在 SSH 或 VPN 之内来加强它们的安全性。SSH 或 VPN 在 WEP 加密之上又加入一个加密层。使用这种政策，网络之外的能够破译 WEP 加密的蓄意不良的用户就必须再破译 VPN 或 SSH 加密才能闯入。而 VPN 或 SSH 的加密方法可以利用三倍强的168位 DES 算式加密（3DES）或专有算式来增强其破译难度。应用这些政策的管理员应该限制使用纯文本协议，如 Telnet 或 FTP，因为口令和数据可以使用前面提到的攻击方法而被截取。
如果管理员想运行可从外部访问的服务，如 HTTP、电子邮件、FTP、和 DNS，推荐你把这些可公开利用的服务在物理上和逻辑上从内部网络中分离。防火墙以及被强化的主机和应用程序是防御临时或偶然入侵者的有效方式。然而，一个孜孜不卷的怪客却总能够找到进入内部网络的途径，如果他们攻击的服务和网络的其它部分位于同一个逻辑路径的话。可从外部访问的服务应该位于被安全行业称为“停火区域”（demilitarized zone，DMZ）的逻辑网络段，来自互联网的进入交通只能够访问那些服务，而且不允许进入内部网络。即便某个蓄意不良的用户攻破了“非军事区”（DMZ）内的某台机器，在另一个网络段内防火墙之后的内部网络也不会受影响。
多数企业都只能从一个有限的可公开选路的 IP 地址集合中提供对外服务，因此管理员可以利用精心设计的防火墙规则来接受、转发、拒绝、或否定分组传输。使用 iptables 或专用的硬件防火墙来实现的防火墙策略允许你编写复杂的选路和转发规则。管理员可以使用它们来把进入的交通疏散到指定地址、指定端口的指定服务，还可以只允许 LAN 使用内部服务，从而防止 IP 假冒。关于实现 iptables 的详情，请参阅第7章 。