毕业设计（论文）-中小型局域网的部署与安全配置.doc

毕业设计说明书（计算机与软件学院） 设计课题： 中小型局域网的部署与安全配置 专业班级： 学生姓名： 学生学号： 指导教师： 目 录第一章 需求分析41.1中小型局域网的设计要求41.2中小型局域网的功能要求4第二章 网络规划与设计52.1拓扑图的规划52.2网络地址的规划52.3设备选型62.4布线系统设计72.5网络安全设计8第三章 网络配置与布署93.1布线93.2网络设备103.3服务器与客户机的配置163.4网络安全配置18第四章 网络维护与调试214.1排错214.1.1定位214.1.2排除214.2配置效果22结论23致谢24参考文献24摘要随着网络技术新系统、新领域的长足发展，传统企业也正利用其行业的特点，融合网络技术的优势，发展自身。在信息化生产逐步普及的今天，组建企业内部网络已经是企业必不可少的一部分，建立高速、稳定、安全、智能的办公网，是组建中小型企业局域网的核心。本论文所阐述的网络是使用业界流行的核心层汇聚层分布层三层结构设计的中小型局域网，结合广为使用的虚拟局域网（vlan），热备份路由（hsrp）md5的验证，访问控制列表（acl），路由协议及路由重分发(ospf)，frsw帧中继的配置, qos-cbwfq策略增强网络的稳定性和安全性。设计中采用虚拟局域网来隔离不同部门，以达到增强局域网络安全性的目的；在规划好的vlan的基础上，采用访问控制列表（acl），设置策略，来限制部门之间以及服务器区的访问，进一步提高企业网络内部的安全性；并在核心层交换机上采用热备份路由（hsrp）技术，增加网络的冗余，提高局域网络的整体稳定性；配置路由重分发，实现rip和ospf之间的连通；在边界路由器上设置网络地址转换（nat），将企业内部私有地址转换为公网地址，实现了多个用户同时公用一个合法ip与外部internet 进行通信，解决ip地址短缺的问题。关键字：中小型局域网；稳定性；hsrp；vlan；acl 第1章 需求分析1.1中小型局域网的设计要求中小型局域网络系统的设计必须满足其应用的要求，网络总体设计、建设的要求如下：（1）可扩充性：从主干网络设备的选型及其模块、插槽个数、管理软件和网络整体结构，以及技术的开放性和对相关协议的支持等方面，来保证网络系统的可扩充性；（2）可管理性：利用图形化的管理界面和简洁的操作方式，合理地网络规划策略，提供强大的网络管理功能；使日常的维护和操作变得直观，便捷和高效；（3）安全性：内部网络之间、内部网络与外部公共网之间的互联，利用vlan、防火墙等对访问进行控制，确保网络的安全；（4）投资保护：选用性能价格比高的网络设备和服务器；采用的网络架构和设备充分考虑到易升级换代，并且在升级时可以最大限度地保护原有的硬件设备和软件投资；(5）易用性：应用软件系统必须强调易用性，用户界友好，带有帮助和查询功能，用户可以通过web查询。1.2中小型局域网的功能要求中小型局域网局域网的功能要求；实现各计算机网络系统的互联，形成公共信息的交换环境，为本局域网用户提供网络服务平台。 实现信息资源和软硬件资源共享，提供丰富的网络信息服务，以推动办公自动化。本方案中使用的主要技术方法采用成熟的ospf协议规划网络；vlan技术保证部门的隔离和安全，vtp管理vlan的传播；hsrp技术增强骨干网的稳定性，组播技术，保证链路带宽费充分利用，避免浪费；acl管理，保证企业数据的安全性；远程专线接入，保证企业远端数据与企业本部的同时更新；路由协议及路由重分发(ospf)，frsw帧中继的配置, qos-cbwfq策略增强网络的稳定性和安全性。第二章 网络规划与设计2.1拓扑图的规划本论文设计的网络结构拓扑图如图1：2.2网络地址的规划ip地址是整个网络系统运行的基石，ip地址规划不仅应该满足当前的需求，还应该充分的考虑系统将来的扩展性，以满足将来发展的需要。因此需要对企业网络系统的ip地址进行统一规划， ip地址规划方案如下：在整个网络环境中必须保持ip地址的唯一性；ip地址规划表设备名接口地址说明pc0fa0/10/24vlan 10 pc1fa0/14/24vlan 10pc2fa0/10/24vlan 20pc3fa0/14/24vlan 20pc4fa0/16/24vlan 20pc5fa0/3/24网络管理pcserverfa0/2/24服务器r1f0/0/30r1 to s1r1se0/0/0/30r1 to r3r2fa0/18/30r2 to s2r2se/0/0/1/30r2 to r3r3fa0/00/30r3 to s1r3fa0/14/30r3 to s2s1fa0/13/30s1 to r1s1fa0/17/30s1 to r3s2fa0/133/30s1 to r3s2fa0/177/30s1 to r2cloudse0/30cloud to r22.3设备选型根据设计方案，综合中小型局域网的网络对传输速度、安全性、稳定性以及资金的考虑，对网络设备及相关线材、软件的选型如表4所示：表4 设备清单表品名规格数量服务器ibm server1 台交换机cisco catayst 35602 台cisco catayst 29503 台路由器cisco catayst 28112 台pc联想电脑5 台光纤收发器10/100mpvc管材室外用双绞线超五类非屏蔽pvc管材室内用2.4布线系统的设计综合布线要符合楼宇管理自动化，办公自动化，通信自动化和计算机网络化等多功能需要的布线系统。系统应能支持话音、图像、图形、数据多媒体、安全监控、传感等各种信息传输，支持光纤、非屏蔽双绞线（utp）、屏蔽双绞线（stp）、同轴电缆等各种传输载体，支持多用户多类型产品的应用，支持高速网络的应用。网络组建之综合布线设计图中小型局域网 网络插座端口对应表项目名称：局域网 楼号：a1 楼层：1 数量：28序号信息点编号楼号机柜号配线架号端口号房间号1a1-fd1-1-1-101-1a1fd1111012a1-fd1-1-1-101-2a1fd1121013a1-fd1-1-1-102-1a1fd1131024a1-fd1-1-1-102-2a1fd1141025a1-fd1-1-1-103-1a1fd1151036a1-fd1-1-1-103-2a1fd1161037a1-fd1-1-1-104-1a1fd1171048a1-fd1-1-1-104-2a1fd1181049a1-fd1-1-1-105-1a1fd11910510a1-fd1-1-1-105-2a1fd111010511a1-fd1-1-1-106-1a1fd111110612a1-fd1-1-1-106-2a1fd111210613a1-fd1-1-1-107-1a1fd111310714a1-fd1-1-1-107-2a1fd111410715a1-fd1-1-1-108-1a1fd111510816a1-fd1-1-1-109-2a1fd111610817a1-fd1-1-1-110-1a1fd111710918a1-fd1-1-1-110-2a1fd111810919a1-fd1-1-1-111-1a1fd111911020a1-fd1-1-1-111-2a1fd112011021a1-fd1-1-1-112-1a1fd112111122a1-fd1-1-1-112-2a1fd112211123a1-fd1-1-1-113-1a1fd112311224a1-fd1-1-1-113-2a1fd112411225a1-fd1-1-1-114-1a1fd112511326a1-fd1-1-1-114-2a1fd112611327a1-fd1-1-1-115-1a1fd112711428a1-fd1-1-1-115-2a1fd11281142.5网络安全设计网络安全就是设备的安全，包括网络设备，服务器，客户机，网络通信的安全等等随着网络的建成，基于网络的应用日渐增多，网络用户也会越来越多，网络的安全成为了系统建设的主要问题。在局域网中安全系统建设主要设计包括外网安全和内网安全。外网安全:由于外网主要运行企业各部门非涉密的内部办公业务以及运行面向客户的公开信息，所以必须采取过硬的安全技术来实现企业的网络系统不受internet的“黑客”、病毒等攻击。外网对安全的需求包括物理安全需求、数据链路层需求、入侵检测系统需求、防病毒系统需求和安全管理体制等。内网安全:运用多种技术，如vlan、防病毒体系等，对各个部门、系所访问进行控制，各单位之间在未授权的情况下不能互相访问，保证系统内部的安全。内网对安全的需求包括vlan设置需求、防病毒系统需求、网络管理需求和网络系统管理等。第三章 网络配置与部署3.1布线 本网络把主机设在2号楼的三楼，建筑群间采用地下管道敷设方式，管道内敷设室外12芯多模光缆。安装时至少要预留12个备用管孔，以供扩充之用。在1号，3号楼放置光缆收发器，以确保信号正常传输。室内连接为节约资金采用双绞线，同一楼层上的水平系统多采用四对双绞线，电缆长度宜为90m以内，垂直干线子系统总是位于垂直的弱点间，并采用大对数双绞线。1、本局域网建筑群共有3栋建筑物。2、本企业内网络信息中心，即cd设置在a3，每栋建筑物都设有1个bd。3、从n1向n3网络接线井地埋，100pvc管，每栋建筑物到网络井地埋，50钢管，埋深-800mm。4、从a3向a1、a2分别铺设1根4芯光纤，建筑物内使用超五类网线布线。5、本次共设计信息点约348个，其中：a1共4层，每层信息点约30个，共约116个；a2共4层，每层信息点约30个，共约116个；a2共4层，每层信息点约30个，共约116个；6、每栋楼的互联网络采用4芯光纤穿sc50焊接钢管保护埋地引入。7、各楼网络主要设备放在楼层网络机柜内。8、由网络机柜引至各信息插座的线路采用1根4-utp。9、信息插座安装高度：下沿距地0.3m。10、楼道内使用桥架或pvc线槽铺设。由一层引向各层的竖井管道采用pvc线槽铺设。11、房间使用pvc线管暗埋铺设。12、穿线管管径如下： 管径 根数 g 16 12 g 20 23 g 25 34 g 32 5713、其余设计依据gb 50311、gb 50312国家标准.3.2网络设备vlan 功能：虚拟局域网来隔离不同部门，以达到增强企业网络安全性的目的；r2811功能：内网上网代理；s3560功能：网络核心交换机；s2950功能：接入层交换机；划分vlan与vtp:switch(config)#hostname s1s1(config)#vlan 10s1(config-vlan)#exits1(config)#vlan 20s1(config-vlan)#exits1(config)#int f0/2-3s1(config-if)#switchport trunk encapsulation dot1qs1(config-if)#switchport mode trunks1(config)#spanning-tree vlan 10 priority 4096s1(config)#spanning-tree vlan 20 priority 8192s1(config)#vtp domain syhs1(config)#vtp mode servers1(config)#vtp password ciscoswitch(config)#hostname s2s2(config)#vlan 10s2(config-vlan)#exits2(config)#vlan 20s2(config-vlan)#exits2(config)#int fa0/4 5s2(config-if)#switchport trunk encapsulation dot1qs2(config-if)#switchport mode trunks2(config)#spanning-tree vlan 10 priority 8192s2(config)#spanning-tree vlan 20 priority 4096s2(config)#vtp domain syhs2(config)#vtp mode clients2(config)#vtp password ciscoswitch(config)#hostname s3s3(config)#interface fastethernet0/2,0/4s3(config-if)# switchport mode trunks3(config)#interface fastethernet0/10,0/14s3(config)# switchport mode accesss3(config)#switchport access vlan 10switch(config)#hostname s4s4(config)#interface fastethernet0/3,0/5s4(config-if)# switchport mode trunks4(config)#int f0/10 , fa0/14 , fa0/16s4(config)# switchport mode accesss4(config-if)#switchport access vlan 20frsw帧中继的配置：r3作为帧中继交换机，r1流出的数据包的dlci号为102，r2流出的数据包的dlci号为201r1的配置：r1#configr1(config)#interface ser0/0/0r1(config-if)#no ip addressr1(config-if)#no shut downr1(config-if)#ip address 52r1(config-if)#encapsulation frame-relay (封装帧中继)r1(config-if)#frame-relay map ip 102 broadcast（其中指的是目的路由器的ip地址，102指的是r1流出的数据包的dlci号是102）r1(config-if)#no shut downr2的配置：r2#conf tr2(config)#int ser0/0/0r2(config-if)#no ip addressr2(config-if)#no shut downr2(config-if)#ip address 52r2(config-if)#encapsulation frame-relay (封装帧中继)r2(config-if)#frame-relay map ip 201 broadcast（其中指的是目的路由器的ip地址，102指的是r2流出的数据包的dlci号是201）r2(config-if)#no shut downr3的配置： r3(config)#frame-relay switching(打开帧中继交换)r3(config)#int ser0/0/0r3(config-if)#encapsulation frame-relay(封装帧中继)r3(config-if)#frame-relay intf-type dce（设置本端口在帧中继线路中充当dce）r3(config-if)#clock rate 64000r3(config-if)#frame-relay route 102 interface s0/0/1 201(数据包被打上dlct值103后从r1出来，通过s1端口进入r3重新被打上dlct值201，再从r3的s1端口出来)r3(config-if)#no shut downr3(config)#int ser0/0/1r3(config-if)#no ip addressr3(config-if)#no shut downr3(config-if)#encapsulation frame-relay(封装帧中继)r3(config-if)#frame-relay intf-type dce（设置本端口在帧中继线路中充当dce）r3(config-if)#clock rate 64000r3(config-if)#frame-relay route 201 interface s0/0/0 102(数据包被打上dlct值201后从r3出来，通过s0端口进入r3重新被打上dlct值102，再从r3的s0端口出来)r3#sh frame-relay pvcr3#sh frame-relay routeospf的配置r1r1(config)#router ospf 1r1(config-router)#network area 0r1(config-router)#exir1(config)#router ospf 1r1(config-router)# network area 0r1(config-router)#exir3r3(config)#router ospf 1r3(config-router)#network area 0r3(config-router)#exir2r2(config)#router ospf 2r2(config-router)# network 6 area 1r2(config-router)#exis1s1(config)#router ospf 1s1(config-router)# network area 0s1(config-router)#eixs2s2(config)#router ospf 2s2(config-router)# network 6 area 1s2(config-router)#exirip配置r3r3(config)#router ripr3(config-router)#version 2r3(config-router)# network r3(config-router)#no auto-summaryr3(config)#router ripr3(config-router)#version 2r3(config-router)# network r3(config-router)#no auto-summarys1s1 (config)#router rips1(config-router)#version 2s1(config-router)# network s1(config-router)#no auto-summarys2s2 (config)#router rips2(config-router)#version 2s2(config-router)# network s2(config-router)#no auto-summaryeigrp的配置s1s1(config)#router eigrp 66s1(config-router)# network s1(config-router)# network s1(config-router)#no auto-summarys2s2(config)#router eigrp 66s2(config-router)# network s2(config-router)# network s2(config-router)#no auto-summary路由策略的配置1.做标准aclaccess-list 10 permit 55access-list 20 permit 552.做路由策略route-map lm 1match ip add 10set interface fa0/13route-map 1m 2match ip add 20set interface fa0/173.应用到接口interface fa0/2 ，fa0/3ip policy route-map syh（实验中没有此命令）hsrp的配置:s1s1(config)#interface vlan 10s1(config-if)#ip add 54 s1(config-if)#no shut downs1(config-if)#standby 10 ip s1(config-if)#standby 10 priority 200s1(config-if)#standby 10 preempts1(config-if)#exis1(config)#interface vlan 20s1(config-if)#ip add 54 s1(config-if)#no shut downs1(config-if)#standby 20 ip s1(config-if)#standby 20 priority 150s1(config-if)#exis2s2(config)#interface vlan 10s2(config-if)#ip add 53 s2(config-if)#no shut downs2(config-if)#standby 10 ip s2(config-if)#standby 10 priority 150s2(config-if)#exis2(config)#interface vlan 20s2(config-if)#ip add 53 s2(config-if)#no shut downs2(config-if)#standby 20 ip s2(config-if)#standby 20 priority 200s2(config-if)#standby 20 preempts2(config-if)#eximd5加密s1s1(config)#key chain syhs1(config-keychain)#key 89s1(config-keychain-key)#key-string syhs1(config-keychain-key)#exis1(config)#interface vlan 10s1(config-if)#standby 10 authencation md5 key-chain syhs1(config)#interface vlan 20s1(config-if)#standby 20 authencation md5 key-chain syhs2s2 (config)#key chain syhs2(config-keychain)#key 89s2(config-keychain-key)#key-string syhs2(config-keychain-key)#exis2(config)#interface vlan 10s2(config-if)#standby 10 authencation md5 key-chain syhs2(config)#interface vlan 20s2(config-if)#standby 20 authencation md5 key-chain syh链路聚合s1(config)#interface fa0/9s1(config-if)#switchport trunk encapsulation dot1qs1(config-if)#switchport mode trunks1(config-if)#channel-protocol pagps1(config-if)#channel-group 1 mode ons1#show etherchannel summarys1(config)#interface fa0/11s1(config-if)#switchport trunk encapsulation dot1qs1(config-if)#switchport mode trunks1(config-if)#channel-protocol pagps1(config-if)#channel-group 1 mode ons1#show etherchannel summarys2(config)#interface fa0/9s2(config-if)#switchport trunk encapsulation dot1qs2(config-if)#switchport mode trunks2(config-if)#channel-protocol pagps2(config-if)#channel-group 1 mode ons2#show etherchannel summarys2(config)#interface fa0/11s(config-if)#switchport trunk encapsulation dot1qs2(config-if)#switchport mode trunks2(config-if)#channel-protocol pagps2(config-if)#channel-group 1 mode ons2#show etherchannel summary路由重分发：s1(config)#router eigrp 66s1(config-router)#redistribute ospf 1 metric 100000 10 255 5 100s1(config-router)#redistribute rip metric 100000 10 255 5 100s1(config-router)#exis1(config)#router ospf 1s1(config-router)#redistribute eigrp 66 metric 100000 subnetss1(config-router)#redistribute rip metric 100000 subnetss1(config-router)#exis1(config)#router rips1(config-router)#version 2s1(config-router)#redistribute ospf 1 metric 1s1(config-router)#redistribute eigrp 66 metric 1s2(config)#router eigrp 66s2(config-router)#redistribute ospf 2 metric 100000 10 255 10 1000s2(config-router)#redistribute rip metric 100000 10 255 5 1000s2(config-router)#exis2(config)#router ospf 1s2(config-router)#redistribute eigrp 66 metric 100000 subnetss2(config-router)#redistribute rip metric 100000 subnetss2(config-router)#exis2(config)#router rips2(config-router)#version 2s2(config-router)#redistribute ospf 2 metric 2s2(config-router)#redistribute eigrp 66 metric 13.3服务器与客户机配置本局域网服务器配置了 web、邮箱、dns、ftp服务器服务器配置截图 客户机配置截图3.4网络安全配置网络设备安全s3、s4、s5配置进入安全密码设置s3(config)#enable secret ciscos3(config)#no ip domain-lookup s3(config)#line console 0s3(config-line)#pas3(config-line)#password ciscos3(config-line)#lin vty 0 15s3(config-line)#password ciscos3(config-line)#logins3(config-line)#service password-encryptions3(config)#no service fingers3(config)#no service fingers3(config)#no service pads3(config)#no service udp-smalll-servers3(config)#no ip http service.配置acl设置策略，来限制部门之间以及服务器区的访问，进一步提高企业网络内部的安全性s1(config)#access-list 128 permit tcp any any eq wwws1(config)#access-list 129 permit tcp any any eq ftps1(config)#access-list 130 permit tcp any any eq telnets1(config)#class-map wwws1(config-cmap)#match access-group 128s1(config)#class-map ftps1(config-cmap)#match access-group 129s1(config)#class-map telnets1(config-cmap)#match access-group 130s1(config)#policy-map wwwftptelnets1(config-pmap)#class wwws1(config-pmap-c)#policy 4000000 8000 exceed-action policed-dscp-transmits1(config-pmap)#class ftps1(config-pmap-c)#policy 2000000 8000 exceed-action policed-dscp-transmits1(config-pmap)#class class-defaults1(config-pmap-c)#policy 1000000 8000 exceed-action policed-dscp-transmit服务器安全建立dmz网络防火墙 安装杀毒软件客户机安全： 安装杀毒软件系统内置的administrator账号改名 设置密码关闭3389、135、139、445端口第四章 网络维护和调试4.1排错4.1.1定位：到连接至同一台交换机上的其他计算机上进行网络应用测试。如果仍不正常，在确认网卡和网络协议都正确安装的前提下，可初步认定是交换机发生了故障。为了进一步进行确认，可再换一台计算机继续测试，进而确定交换机故障。如果其他计算机测试结果完全正常，则将故障定位在发生故障的计算机与网络的连通性上。 4.1.2排除：如果确定交换机发生了故障:应首先检查交换机面板上的各指示灯闪烁是否正常。如果所有指示灯都在非常频繁地闪烁，或一直亮着，可能是由于网卡损坏而发生了广播风暴，关闭再重新打开电源后试一试看能否恢复正常。如果恢复正常，再找到红灯闪烁的端口，将网线从该端口中拨出。然后找到该端口所连接的计算机