计算机网络专业综合设计-企业局域网方案设计与实现.doc

学院专业综合设计说明书企业局域网方案设计与实现 学生学号： 学生姓名： 专业班级： 指导教师： 起止日期： 专业综合设计说明书专业综合设计任务书一、设计题目：企业局域网方案设计与实现二、设计目的：1、通过windows 2000 server网络的搭建和使用，掌握常用局域网的组建和使用方法。2、熟练掌握配置windows 2000 server dhcp 服务器、dns 服务器、iss服务3、掌握计算机局域网和广域网安全设置。三、设计任务及要求：设计局域网的网络拓扑结构，使拥有正确权限局域网用户可以访问广域网，具有以下基本功能：1、规划、设计局域网拓扑图，划分子网，子网地址、掩码和网关，为每个计算机指定ip地址。2、局域网内用户权限设置及相互访问功能；在windows 2000 server 上安装dhcp服务，配置dhcp客户端，为域中的dhcp服务器授权，在dhcp服务器上创建作用域；在windows2000 server上安装dns服务，创建dns解析区域，在dns服务器上创建主机记录。3、局域网访问广域网的权限设置功能。4、路由器的正确设置。四、设计时间及进度安排设计时间共三周（），具体安排如下表：周安排设 计 内 容设计时间第一周学习路由器的基本知识，下载路有器仿真软件及相关文档掌握路由器的配置；设计局域网的拓扑结构；第二周实现局域网内服务器及客户机的正确设置，熟练掌握配置tp-wr641g路由器、dns 服务器、iss服务、配置vpn连接。第三周局域网通过局域网服务器安全设置访问广域网；通过路由器安全设置访问广域网；并提交课程设计说明书，课程设计答辩。五、指导教师评语及学生成绩指导教师评语:年 月 日成绩指导教师(签字):- i -目 录专业综合设计任务书i第1章 功能需求分析11.1企业内部资料、组织架构11.2简化作业管理流程,达到无纸办公21.3在短时间内获得信息21.4外出人员与公司沟通21.5接入internet功能2第2章、局域网设计方案概述32.1 设计目标：按功能需求要求32.2 设计原则32.2.1 安全可靠性32.2.2 先进性32.2.3 实用性42.2.4 可扩展性42.2.5 开放性4第3章. 局域网规划设计方案53.1 技术规划53.1.1 网络体系结构53.1.2 网络层次划分63.1.3 网络ip子网划分63.1.4 网络流量配置73.1.5 虚拟交换技术的实现83.2硬件系统结构硬件选择83.2.1网络接入层的设置83.2.2网络会聚层的设置93.2.3网络核心层的设置93.3软件系统结构93.3.1服务器管理软件93.3.2网络服务管理103.3.3 iis服务器的配置103.3.4 dns服务器设计103.3.5 ftp服务器的设计103.3.6 e-mail服务器设计103.3.7 proxy服务器的设计103.4安全策略103.4.1病毒防治103.4.2建立防火墙113.4.3数据安全性和完整性措施11第4章、本方案的系统特点124.1 合理的系统结构124.2 可靠的安全防护124.3 充分的扩充余地124.4 稳定的系统性能12结论13参考文献14附录15- 15 -第1章 功能需求分析迅速发展的internet正在对全世界的信息产业带来巨大的变革和深远的影响。国内越来越多的企业也已经或正在考虑使用internet/intranet技术，以建设企业规划化的信息处理系统。通过internet与外部世界交换信息，本企业与全世界联系起来，极大地提高了信息收集的能力和效率。企业内部网（intranet）是国际互连网（internet）技术在企业内部或封闭的用户群内的应用。简单地说，intranet是使用internet技术，特别是tcp/ip协议而建成的企业内部网络。这种技术允许不同计算机平台进行互通，且不用考虑其位置。也就是所说的用户可以对任何一台进行访问或从任何一台计算机进行访问。随着intranet技术的不断发展，计算机已经逐渐应用到企业中的各个关键部分，极大的提高了企业的工作效率。1.1企业内部资料、组织架构本企业是生产射频接插件的科技技术型企业。企业由4个生产中心组成。每个生产中心由办公楼和生产、装配中心大楼组成。企业 办公楼生产、装配中心 生产、装配中心办公楼生产中心2生产中心1按管理方的要求，一般一个生产中心局域网信息点共有222个。其中办公楼60个，分别分布在3个楼层、生产、装配中心136个分布于5层楼层，平房的26个信息点用于一层的阶梯教室和企业辅助管理部门。各楼之间以光缆连接，构成企业局域网。企业局域网的中心机房设在办公楼的三层西侧。生产、装配中心的配线间设在三楼东侧的北面。根据企业安排，信息点的具体分布是：办公楼生产、装配中心平房合计一层二层三层一层二层三层四层22201830303028262046011826204为适应企业将来对各种网络应用的需求，另外随着技术和工艺的进步，考虑到目前各类布线材料在价格方面比较接近，因此拟对所有信息点都按超五类utp标准布线，每个信息点可实现不低于100mb的带宽，这样不仅可支持一般的企业信息管理应用对网络传输带宽的要求，而且完全支持mpeg-2等格式的多媒体信息传输。此布线方案只考虑数据信息点布线，不涉及语音信息点及其设备。1.2简化作业管理流程,达到无纸办公本本企业是生产射频接插件的科技技术型企业，生产全部使用erp系统。输入由电脑和鼠标完成。输出则基本由联网打印机完成。基本达到了无纸办公。1.3在短时间内获得信息 高速的内部网各个信息点，及时的传递业务信息，供应信息，生产信息，管理信息。供管理层及时决策。1.4外出人员与公司沟通www应用是intranet的标志性应用，最核心的应用服务集中在www服务器上完成。因而对于www服务器的设计首要考虑的就是服务器性能问题，另外考虑到将来在intranet平台上做应用开发的可能，对于www服务器同数据库互联的问题也应作为重点考虑。1.5接入internet功能对广域网的连接需求主要表现在：能够与国际互联网连接，与国际交流信息；能够与cernet国内各个单位交流信息。c11inanet连接、与国内各个单位交流信息。满足出差在外的校领导及其它公务人员及时与学校保持联络。为此应通过ddn、无线网等公用或者专用数据网络与cernet连接，再连到internet。对办公楼的网络布线按照国际有关计算机网络通信的标准进行设计。申请正式ip和域名，配置路由器，安装server（资源共享，web），完成与internet的连接，整体网络既可在内部使用，又可与外网互联访问internet，实现与外界的数据交换。第2章、局域网设计方案概述2.1 设计目标：按功能需求要求（1） 根据企业对信息点的安排和网络应用的需求制定合理的企业网总体建设规划和实施方案；（2） 对企业办公楼、生产、装配中心和平房辅助管理部门等几座主要建筑物实施局域网结构化布线；（3） 完成从办公楼的网络中心分别到生产、装配中心和阶梯教室所在平房的2条六芯室外主干网光缆的敷设。（4） 实现企业核心交换机与二级交换机的连接、安装、配置和调试；（5） 实施对新购服务器和部分微机网络工作站的连接和入网调试。2.2 设计原则2.2.1 安全可靠性可靠性：对工作站、服务器、交换机及其他主要相关设备在厂家、品牌、服务等方面进行充分调研、论证、选择，确保硬件设备的基本品质。 采用windows 2000作为网络操作系统，并以“数据库”的方式建立各种生产、装配中心和管理应用系统，保证网络系统和应用系统的安全稳定。容错技术采用：双工磁盘技术在网络系统上建立起两套同样的且同步工作的文件服务器，如果其中一个出现故障，另一个将立即自动投入系统，接替发生故障的文件服务器的全部工作。2.2.2 先进性我们设计的网络方案采用三层分布式结构。核心层选用包括了锐捷网络高性能的万兆以太网交换机，可以实现对全网的数据进行高速无阻塞的交换，负责路由管理、网络管理、网络服务、核心数据处理等。汇聚层由锐捷网络star-s4909/s3550-12g全千兆路由交换机组成，负责接入层汇聚，提供高速无阻塞的链路到核心层，抑制广播风暴和分流核心数据处理压力等，可实施分布式三层，大大提升网络性能。接入层选用提供上联千兆，10/100m桌面接入，并在全部采用认证和流控等手段进行接入控制，充分满足用户的高速接入等，并可灵活扩展，增加端口密度。选用star-s2100。采用windows server 2003操作系统2.2.3 实用性企业组网的方案在接入交换机将用户账号、mac地址与端口的捆绑实现高效的用户控制；采用网络管理系统tclview，使网络易维护、易管理，可实施性好。2.2.4 可扩展性可扩展性：网络核心层、汇聚层采用模块化交换机，按照需求灵活配置各种模块，做到既满足需求，由留有余地。整个网络架构采用三层结构，使网络具有较好的伸缩性、可以根据网络建设的不同阶段灵活配置和扩展，具有能不断吸收新技术、新方法的功能。2.2.5 开放性 本次设计的中央集成管理系统将是一个完全开放性的系统，通过编制系统的接口软件将解决不同系统和产品间接口协议的“标准化”，以使他们之间具备“互操作性”。所有接口均基于标准的tcp/ip数据接口协议和内容。系统的开放性设计完全遵循国际主流标准以及工业标准。第3章. 局域网规划设计方案3.1 技术规划3.1.1 网络体系结构企业网络总拓扑办公大楼网络总拓扑3.1.2 网络层次划分 核心层：核心层配置设备承担的任务主要是通过核心层设备与汇聚层间信息的交流、分发与管理，因此核心层设备是整个网络的中心枢纽，应具有强大的交换能力，保证不会发生信息拥塞；强大的安全防护能力，保证不会因单点故障而影响整个系统的正常运行；有效的故障恢复能力,保证任何一种单点故障都能在短时间内迅速予以恢复。汇聚层：汇聚层设备承担的任务，一是构造本地网络核心，二是通过核心设备实现与其他部分大量信息交换。汇聚层设备具备较高的吞吐能力和上连带宽，同时还具备强有力的用户访问控制能力（即三、四层交换能力、虚网功能）。接入层：接入层的功能在于将各种媒体、各种速度、任何地方的最终用户接入ip网络。这一层主要实现各单位终端节点设备的接入，并上连到网络汇聚层。这一层网络建设可以根据各节点的具体情况分期分批建设。3.1.3 网络ip子网划分根据企业安排，信息点的具体分布是：办公楼生产、装配中心平房合计一层二层三层一层二层三层四层22201830303028262046011826204把一个大网缩小为若干小网，叫子网（作动词），而要把一个或几个小网扩大为一个大网，叫超网，后者一般应用于电信等其它领域，我们不作讨论。划分ip子网，有利于我们搞好系统维护，合理配置系统资源，减少资源浪费，企业信息点以楼层划分。根据的保留地址划分企业内部局域网，属于c类地址，子网掩码。根据结构分析，生产、装配中心一层，数量最大，30台，为每个楼层划分单独的网段公式：2n-2=hosts2n-2=30 n=5n代表掩码中0的个数，5个零则意味着二进制掩码为11100000，即十进制的224加上前面24个1，1 的总数为27个。子网掩码24确定掩码规则以后，就要确认每一个子网的具体地址段。当前的ip地址的最后一位是0，二进制表示为00000000；而我们已经算出的掩码24的最后一位是224，二进制表示为11100000000000001110000000000000与结果：0001000001110000000100000与结果：32去除网络回环地址，广播地址依次类推办公楼一层 2办公楼二层 4办公楼三层 6生产、装配中心一层 28生产、装配中心二层 60生产、装配中心三层 92生产、装配中心四层 243.1.4 网络流量配置一个设计成功的企业网，其网络流量合理，系统各部分负载均衡。那么什么是网络流量呢？网络流量简而言之就是网络上传输的数据量。就像要根据来往车辆的多少和流向来设计道路的宽度和连接方式一样，根据网络流量设计企业网络是十分必要的。在传统网络中，一般将使用相同应用程序的用户放到同一工作组中，他们经常使用的服务器也放在一起。工作组位于同一物理网段或vlan（虚拟局域网）中。这样做的目的是将网络上客户机与服务器之间产生的数据流量限制在同一网段中。在同一网段，可以使用带宽相对高的交换机连接客户机和服务器，而不必使用带宽相对较低的路由器。在企业网络环境中，有的地方“80/20”规则适用，数据流量一般局限在本地子网中，如果将专用的服务器架设在网络中心，必将大大增加网络主干的负担。有的地方“20/80”规则适用，比如电子邮件服务器、web服务器等，是任何网络用户都会使用的，就应当放置在网络主干上，如果放在某一个子网中，不仅增加该子网的负担，其他子网的用户访问起来也会很慢。3.1.5 虚拟交换技术的实现（1）vlan技术的概述及其优点vlan（虚拟局域网）是对连接到的第二层交换机端口的网络用户的逻辑分段，不受网络用户的物理位置限制而根据用户需求进行网络分段。一个vlan可以在一个交换机或者跨交换机实现。vlan可以根据网络用户的位置、作用、部门或者根据网络用户所使用的应用程序和协议来进行分组。基于交换机的虚拟局域网能够为局域网解决冲突域、广播域、带宽问题。另外，vlan具有灵活性和可扩张性等特点，方便于网络维护和管理，这两个特点正是现代局域网设计必须实现的两个基本目标，在局域网中有效利用虚拟局域网技术能够提高网络运行效率。 （2）vlan的实现vlan的实现方式有两种：静态和动态。静态实现是网络管理员将交换机端口分配给某一个vlan，这是一种最经常使用的配置方式，容易实现和监视，而且比较安全。动态实现方式中，管理员必须先建立一个较复杂的数据库，例如输入要连接的网络设备的mac地址及相应的vlan号，这样当网络设备接到交换机端口时交换机自动把这个网络设备所连接的端口分配给相应的vlan。动态vlan的配置可以基于网络设备的mac地址、ip地址、应用或者所使用的协议。实现动态vlan时候一般情况下使用管理软件来进行管理。在cisco交换机上可以使用vlan管理策略服务器（vmps）实现基于mac地址的动态vlan配置。vmps是mac地址与vlan的映射表。这种配置的优点是网络管理员维护管理相应的数据库，而不用关心用户使用哪一个端口，但是每次新用户加入时需要做较复杂的手工配置。基于ip地址的动态配置中，交换机通过查阅网络层的地址自动将用户分配到不同的虚拟局域网。 3.2硬件系统结构硬件选择3.2.1网络接入层的设置star-s2100系列交换机具有高安全特性，有效防御病毒和网络攻击，控制用户非法接入； star-s2100系列交换机可提供多种安全机制，如专家级acl功能（可以对mac地址ip地址vlan号传输端口号协议类型时间acl的任意组合）可以防止红色代码病毒、冲击波病毒；端口和mac、ip绑定可以控制synflood攻击；支持igmp源端口检查，有效控制非法组播源，提高多媒体组播业务的正常运行证。种种安全策略的实施保证了数字图书馆全网的稳定、安全运行。基于流的带宽限制保证网络发挥的最大效能star-s2100可以基于vlan id、用户id、ip地址等多种分类方式为不同应用提供不同的接入服务策略。star-s2100的用户带宽控制技术采用了类似atm的cbr方式，利用大容量的缓存为突发数据流整形，不但可以将带宽控制精确到kbps级别，而且有效防止了突发数据包的丢失。接入层采用先进的堆叠技术，弹性扩展网络cisco的29系列可以堆叠在一起来使用。堆叠是通过集线器的背板连接起来的，它是一种建立在芯片级上的连接，如2个24口交换机堆叠起来的效果就像是一个48口的交换机，优点是不会产生瓶颈的问题。3.2.2网络会聚层的设置千兆干线、百兆交换到桌面；彻底解决带宽问题汇聚层由锐捷网络star-s4909/s3550-12g全千兆路由交换机组成，负责接入层汇聚，提供高速无阻塞的链路到核心层，抑制广播风暴和分流核心数据处理压力等，可实施分布式三层，大大提升网络性能。强大的组播支持能力组播业务作为未来最具潜力的业务之一，得到了前所未有的重视。随着宽带技术的不断发展，ftp、http、smtp等传统数据业务已经难以满足人们对信息业务的需求，视频点播、远程教学、新闻发布、网络电视等业务将成为新一轮运营竞争的焦点。这类新型业务的特点是，由一个服务器（媒体流服务器）发布信息，接收端数量很大，可能成千上万个，而且具体数目不固定。qos服务质量保障端到端的服务质量保证（qos）：从核心到汇聚到接入系列智能交换机，能够自动识别数据类型，区别业务重要性，保证关键数据得到更高的网络带宽。提供多种流分类技术和多种qos技术，包括sp、wrr、wfq、wred、car、hol等，为各种应用的带宽保障提供需要的支持技术。3.2.3网络核心层的设置主干可以升级至万兆万兆以太网采用了ieee802.3以太网媒体访问控制（mac）协议、ieee802.3以太网帧格式，以及ieee802.3帧的最大和最小尺寸。万兆以太网是以太网在速度和距离方面的进步，采用全双工技术，不需要应用低速的、半双工的csma/cd协议。在其他方面，万兆以太网保留了初期以太网模型的精髓，因而可以和现有以太网环境无缝融合，支持客户已有应用。协议支持丰富提供多种生成树协议，包括802.1d、802.1w、802.1s等协议，满足客户各种网络环境收敛需求；特色安全技术复杂功能硬件实现，做到板卡分布式处理rg-s6806对全网的数据进行高速无阻塞的交换，将原有国外设备主要负责的路由交换任务平移到rg-s6806上，在rg-s6806上实现路由管理、网络管理、网络服务和核心数据处理等，rg-s6806超强的数据处理能力，支持负载均衡、冗于备份、qos、acl和策略路由等强大的功能，同时，板卡支持分布式处理和热插拔。3.3软件系统结构3.3.1服务器管理软件中文图形化网络管理平台：starview网络管理软件可以提供简单、清晰的设备管理图、拓扑状态图和流量分析图，将企业网管理工作量降到最低程度；网络拓扑查看：starview可自动生成图形化网络拓扑结构图，并且识别网络内各种网络设备和ip设备，一目了然查看整个企业网的网络拓扑情况；网络设备管理：starview不仅可以管理锐捷系列网络设备，还可以通过公共接口提供对其他品牌网络设备和服务器的管理； 网络节点监控：starview可提供实时的网络各节点的网络性能监控，并通过矢量图的形式进行远程查看，当发生网络故障的时候，系统可以自动向网络管理员发出报警信号；3.3.2网络服务管理网管工作站设计 网络管理是企业网必须考虑的关键技术，这里的网络管理主要指网络设备及其系统的管理，它包括配置、性能、安全、故障管理等，网络管理设计需要在配置每个网络设备时，都选择具有网络管理代理的、驻留有网络管理协议的设备。 www服务器设计 www应用是intranet的标志性应用，最核心的应用服务集中在www服务器上完成。因而对于www服务器的设计首要考虑的就是服务器性能问题。 3.3.3 iis服务器的配置iis是一个信息服务系统，主要是建立在服务器一方。服务器接收从客户发来的请求并处理它们的请求，而客户机的任务是提出与服务器的对话。在windows2000中集成了iis5.0版，这是windwos2000中最重要的web技术，同时也使得它成为一个功能强大的internet/intranet web应用服务器。3.3.4 dns服务器设计 建立intranet，其中一个必不可少的组成部分就是dns（域名系统）。ip地址和机器名称的统一管理由dns（domainnamesystem）来完成的单击“开始”-“管理工具”-“配置服务器”-“联网”-“dns”-“管理”dns 启动“dns”管理界面3.3.5 ftp服务器的设计 ftp是internet中一种广泛使用的服务，主要用来在两台机器之间（甚至是一同系统）传输文件。ftp采用c/s模式，ftp客户软件必须与远程ftp服务器建立连接并登录后才能进行文件传输。为了实现有效的ftp连接和登录，用户必须在ftp服务器进行注册，建立帐号，拥有合法的用户名和口令。3.3.6 e-mail服务器设计 为了作到intranet内部mail系统同公共internetmail系统的平滑对接，要求采用internet公共标准的通用mail系统，在内部的mail系统同外部通信时需要一个proxy应用作适当的转接服务，进行相应的地址转换工作。 3.3.7 proxy服务器的设计 代理服务器是作为内部私有网络和internet之间的一个网关。 通过代理方式，首先可以大大降低网络使用费，另外代理可以保护局域网的安全，起到防火墙的作用。3.4安全策略3.4.1病毒防治禁用没用的服务windows提供了许许多多的服务。 telnet就是一个非常典型的例子。在windows2003的服务中是怎么解释的：“允许远程用户登录到系统并且使用命令行运行控制台程序” 。建议禁止该服务还有一个值得一提的就是netbios。windows还有许多服务，在此不做过多地介绍。可以根据自己实际情况禁止某些服务。禁用不必要的服务，除了可以减少安全隐患 打补丁microsofe公司时不时就会在网上免费提供一些补丁，可以去打补丁。除了可以增强兼容性外，更重要的是堵上已发现的安全漏洞。反病毒监控选择一流的反病毒软件。用反病毒软件的根本目的是防病毒。另外，安装反病毒软件后必须对其进行必要的设置和时刻开启反病毒监控。这样才能发挥其最大的威力。3.4.2建立防火墙网络地址转化nat 网络地址转换是一种用于把ip地址转换成临时的、外部的、注册的ip地址标准。它允许具有私有ip地址的内部网络访问因特网。它还意味着用户不许要为其网络中每一台机器取得注册的ip地址。 3.4.3数据安全性和完整性措施数据安全性和完整性就是数据的安全技术为了解决上述问题，就必须利用另外一种安全技术-数字签名pki（publie key infrastucture）技术就是利用公钥理论和技术建立的提供安全服务的基础设施。pki技术是信息安全技术的核心，也是电子商务的关键和基础技术。一个实用的pki体系应该是安全的易用的、灵活的和经济的。它必须充分考虑互操作性和可扩展性。它是认证机构（ca）、注册机构（ra）、策略管理、密钥（key）与证书（certificate）管理、密钥备份与恢复、撤消系统等功能模块的有机结合。 认证机构 ca（certification authorty）就是这样一个确保信任度的权威实体，它的主要职责是颁发证书、验证用户身份的真实性。由ca签发的网络用户电子身份证明证书，任何相信该ca的人，按照第三方信任原则，也都应当相信持有证明的该用户。 注册机构 ra（registration authorty）是用户和ca的接口，它所获得的用户标识的准确性是ca颁发证书的基础。策略管理 在pki系统中，制定并实现科学的安全策略管理是非常重要的这些安全策略必须适应不同的需求，并且能通过ca和ra技术融入到ca 和ra的系统实现中。同时，这些策略应该符合密码学和系统安全的要求，科学地应用密码学与网络安全的理论，并且具有良好的扩展性和互用性。 密钥备份和恢复 为了保证数据的安全性，应定期更新密钥和恢复意外损坏的密钥是非常重要的，设计和实现健全的密钥管理方案，保证安全的密钥备份、更新、恢复，也是关系到整个pki系统强健性、安全性、可用性的重要因素。 第4章、本方案的系统特点4.1 合理的系统结构企业主干采用具有第三层交换功能的千兆位以太网(gigabit ethernet)以 满足广大用户的各种要求。 企业网建设应能保护企业网的投资,要求企业网的管理方案与管理策略.主干设备应能满足10,000用户接入访问的要求。支持ip多目广播(multicast)与服务质量(qos)或服务类型(cos),满足远程教育的需求。支持虚拟网络(vlan).网管软件应具备对接入层交换设备进行远程可操作的能力。4.2 可靠的安全防护软件采用反病毒软件，关键数据传递使用数字签名技术网络骨干线路的冗余备份,网络核心设备的冗余备份和电源冗余备份等方面保证校园网的可靠性。内部网络之间,内部网络与外部公共网之间的互联,利用vlan/ elan ,防火墙等对访问进行控制,确保网络的安全。4.3 充分的扩充余地主干网络设备的选型及其模块,插槽个数,管理软件 和网络整体结构,以及技术的开放性和对相关协议的支持等方面,来保证网络系统的开放性和扩充性4.4 稳定的系统性能对使用负担较重的服务器,可以建立多快速以太网通道和服务器负载平衡来提高访问服务器性能。采用vlan技术,根据不同的部门和用户需要划分不同子网,并赋予一定的访问权限,配合nat技术,大大提高了整个网络的安全性和可管理性.同时对网络骨干进行了备份,充分考虑了冗余性,降低了网络瘫痪的可能。关键的服务器都采用多快速以太网通道技术,使访问速度成倍提高。结论中小型企业intranet建设不仅需要一个良好科学的规划设计、技术分析和实施维护过程，而且需要企业领导的重视和参与，这样才能将intranet技术与中小型企业的计算机应用、相结合，使企业能够高效运行。 通过中小型企业的intranet