东华理工大学 企业局域网规划和设计 毕业论文

毕 业 设 计 （ 论 文 ） 题 目： 企业局域网规划和设计 AN 别： 软件学院 专 业： 网络工程 学 号： 08114132 学生姓名： 张 伟 指导教师： 王 志 波 二零一二 年 三 月东华理工大学软件学院毕业设计（论文） 摘要 I 摘 要 网络技术高速发展的今天，企 业网络的优劣已经成为衡量 企业竞争力的标准之一。针对金融行业的特点，本文介绍了一个行业专用 网络的整体设计方案。 本方案 充分考虑到网络的负载均衡和稳定性能，所以 采用三层网络结构。其中，核心层采用两台设备，配置 议进行双机热备份。汇聚层采用双链路与核心相连，提高链路的稳定性同时采用双链路捆绑提高网络链路带宽利用率，所有网关设在汇聚层避免广播到达核心，提高核心路由的利用率以达到数据高速转发的要求。路由协议则选择安全性高、收敛速度快的 议。服务器群组则重点介绍了件服务器及 务器等企业中较常用到的服务器的软件选择及搭建方法。对于网络中可能存在的安全威胁，针对不同的需求，方案中提出了 术、访问控制列表、防火墙技术等安全解决方案，以求构建一个安全、高效、可考性业务网络。 关键词 ：网络层次化； 热备份； 虚拟局域网； 控制列表； 防火墙东华理工 大学软件学院毕业设计（论文） I s of of of of at of an of of we in to is to in at of to on of TP In to up a we in 东华理工大学软件学院毕业设计（论文） 目录 录 摘 要 . I . 录 . 论 . 1 1. 需求分析 . 2 目背景 . 2 计目标 . 2 户现实需求 . 3 2. 网络整体设计 . 4 络拓扑 . 4 路层次化设计 . 4 心层设计 . 5 聚层设计 . 5 入层设计 . 6 由协议选择 . 6 划分及 址规划和设备命名规则 . 7 务器群组 . 9 务器 . 9 件服务器 . 10 务器 . 11 3. 安全策略 . 12 络威胁因素分析 . 12 全要求 . 12 全规划 . 12 全产品选型原则 . 13 全策略部署 . 14 术 . 14 问控制列表 . 14 4. 防火墙配置 . 17 火墙网络安全策略 . 17 火墙的基本配置 . 19 于内网的防火墙功能及配置 . 21 东华理工大学国际学院毕业设计（论文） 目录 P 与 户）绑定功能 . 21 口映射）功能 . 22 址转换）功能 . 22 于外网的防火墙功能及配置 . 23 击防范 . 23 问控制功能 . 24 结 论 . 25 致 谢 . 27 参考文献 . 28 东华理工大学软件学院毕业设计（论文） 绪论 1 绪 论 信息化浪潮风起云涌的今天，企业的业务已经全面电子化，与 联系相当紧密，所以他们需要良好的信息平台去支撑业务的高速发展。没有信息技术背景的企业也将会对网络建设有主动诉求。任何决策的科学性和可靠性都是以信息为基础的，信息和决策是同一管理过程中的两个方面，因此行业信息化也就成了人们所讨论并实践着的重要课题。公司内部网络的建设已经成为提升企业核心竞争力的关键因素。公司网已经越来越多地被人们提到，利用网络技术，现代企业可以在客户、合作伙伴、员工之间实现优化的信息沟通，公司网络的优劣直接关系到公司能否获得关键的竞争优势。众多行业巨擘纷纷上马各种应用方案且取得了巨大的成功，这使信息化建设更具吸引力。 企业局域网是指在企业的某一区域内由多台计算机互联成的计 算机组。一般是方圆几千米以内。企业局域网可以实现文件管理、应用软件共享、打印机共享、工作组内的日程安排、电子邮件和传真通信服务等功能。局域网是封闭型的，可以由办公室内的两台计算机组成，也可以由一个公司内的上千计算机组成。 企业局域网建设是信息时代的必然产物，企业局域网的构建是社会发展的趋势，网络给企业带来财富的同时也给企业带来了挑战。只有充分利用现代网络技术，组建好企业的局域网，才能为企业插上腾飞的翅膀，带来企业的蓬勃发展。 信息技术自诞生之日起，就对金融行业产生了深远的影响，尤其是上世纪 90年代以来，随着金 融服务业全球化和竞争日益剧烈 ， 促使金融公司加快运用各种新的信息技术手段来提高公司管理水平 ， 可以说金融业已经成为信息技术和网络技术发展的最大收益者之一。网络技术的发展，让网上交易迅速普及，网上交易有助于金融公司提高工作效率，降低出错率，也方便金融公司对客户的管理。虽然大多数企业已经把互联网战略纳入企业经营发展战略中，但是网 络黑客攻击、计算机病毒干扰、数据传输过程中的泄露等不安全因素，仍 然让很多企业对企业网络化犹豫不定。 金融企业的特点是数据传输量大， 数据机密度高，所以金融业网络就要求高效、稳定和安全，合理的网 络结构设计能至关重要。随着网络技术的迅速发展和网上应用量的增长，分布式的网络服务和交换已经移至用户级，由此形成了一个新的，更适应现代的高速大型网络分层设计模型“多层次设计”。多层次设计师模块化的，它在日后网络扩展、负载均衡、故障排除方面很有效。而现在强大的防火墙技术和各种各样的安全策略被应用到企业网络中，安全得到了保障，那么网路对于企业的发展就真正起到了推进的作用。 公司要在激烈的市场竞争中处于有利的位置，就要保持高水平的服务质量和良好的运营成本控制。将传统的管理模式转变到数字化的现代管理模式，有助于各类资 源的系统整合，长远来看将提高公司在未来市场经济中的竞争力。 东华理工大学软件学院毕业设计（论文） 需求分 析 2 1. 需求分析 目背景 融是一家刚刚成立的金融公司，公司有资产管理部、财务部、人力资源部、后勤部、经理室（管理部门）和营业部 6 个部门， 6 个部门分布在两个楼层。日后公司在外地还要开设分支机构，而这里作为公司总部，中心机房也设在此处。公司的网络系统要满足公司日常办公电子化，各部门信息共享，日常金融交易，且作为金融公司，某些投资机密需要很高的保密度，所以公司网络要有很高的可靠性和安全性。考虑的日后公司的扩张，所以网络系统要有可扩展性。 计目标 设计一个公司的网络，首先要确定用户对网络的真正需求，并在结合未来可能的发展要求的基础上选择、设计合适的网络结构和网络技术，提供用户满意的高质服务。还要注意到由于逻辑上业务网和管理网必须分开，所以建成后企业网应能提供多个网段的划分和隔离，并能做到灵活改变配置，以适应企业办公环境的调整和变化，即整体划分。 考虑到金融行业数据的重要性、保密性，为了保证多想金融业务的顺利进行，保证网络的不间断运行，网络平台应具有以下一些特点： （ 1）高可靠性 网络系统的稳定可靠是应用系统正常运行的关键 保证，在 设计中选用高可靠性网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持各个系统的正常运行。 （ 2）高性能 承载网络性能是网络通讯系统良好运行的基础，设计中必须保障网络及设备的高吞吐能力，保证各种信息（数据、语音、图象）的高质量传输，才能使网络不成为金融公司各项业务开展的瓶颈。 （ 3）安全性 制订统一的骨干网安全策略，整体考虑网络平台的安全性。 （ 4）可管理性 对网络实行集中监测、分权管理，并统一分配带宽资源。选用先进的网络管理平台，具 有对设备、端口等的管理、流量统计分析，及可提供故障自动报警。 （ 5）技术先进性和实用性 保证满足金融交易系统业务的同时，又要体现 网络系统的先进性。在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑到金融公司网络应用的现状和未来发展趋势。 （ 6）标准开放性 支持国际上通用标准的网络协议、国际标准的大型的动态路由协议等开放协议，有利于保证与其它网络 （ 如公共数据网、金融网络、行内其它网络 ） 之间的平滑连接互通，以及将来网络的扩展。 （ 7）灵活性及可扩展性 根据未来业务的增长和变化，网络可以平滑 地扩充东华理工大学软件学院毕业设计（论文） 需求分 析 3 和升级，减少最大程度的减少对网络架构和设备的调整。 户现实需求 （ 1）实现公司内部资源共享，即文件服务器，但是对不同的资源要有相应的权限。 （ 2）满足公司日常金融交易，交易数据的传输和存储。 （ 3）公司各部可以通过即时通信软件联系，建立公司邮件服务器。 （ 4）打印机共享 。 （ 5）公司内部要网络接入 （ 6）架设公司 务器，发布公司网站 。 （ 7）为保证安全， 公司内部网络间应采用防护措施，防止外界对内部网络未经授权的访问。 （ 8）网络管理需求：网络调试期间 最消耗人力与物力的线缆故障定位工作，网络运行期间对不同用户灵活的服务策略部署、访问权限控制、以及网络日志审计和病毒控制能力等方面的管理工作 。 （ 9）网络应具有更高的带宽，更强大的性能，以满足用户日益增长的通信需求。要继续承载企业的办公自动化， 览等简单的数据业务，还要承载涉及企业生产运营的各种业务应用系统数据，以及带宽和时延都要求很高的 话、视频会议等多媒体业务，并实现千兆位到桌面。因此，数据流量将大大增加，尤其是对核心网络的数据交换能力提出了前所未有的要求。 东华理工大学软件学院毕业设计（论文） 网络整体设计 4 2. 网络整体设计 络拓 扑 图 2络拓扑 计算机网络的组成元素可以分为两大类，即网络节点（又 可分为端节点和转发节点）和通信链路，网络中节点的互联模式叫 网络的拓扑结构。网络拓扑定义了网络中资源的连接方式，局域网中常用的拓扑结构有：总线型结构、环形结构、星型结构、树形结构。由于 融公司总部网络站点特别的 多，而且联网的站点相对集中，因此采用树形的网络拓扑。树形拓扑 由总线拓 扑演变而来。它有一个带分支的根，还可再延伸出若干子分支。树形拓扑通常采用同轴电缆作为传输介质，而且使用宽带传输技术。树形拓扑易于故障隔离，树形拓扑 的缺点是 对根的依赖太大，如果根发生故障，则整个网络不能正常工作。但在本局域网中采用了双核心，所以大大的避免了网络故障的发生。 路层次化设计 网络的设计模型主要包括层次化设计模型和非层次化设计模型两种。随着网络技术的迅速发展和网上应用量的增长，非层次化的网络设计已经不适合当今企业的网络应用，由于非层次化网络没有适当的规划，网络最终会发展成为非结构的形式，这样当网络设备之间相互通信时，设备上的 然会承受相当大的负载，不利于网络的运行和发展，当大量的数据在网络中传输时，容易引起线路拥堵甚至网络的瘫痪。 所 以 选择层次化的网络设计。 多层设计师模块化的，网络容量可随着日后网络节点的增加而不断增大。多层次东华理工大学软件学院毕业设计（论文） 网络整体设计 5 网络有很大的确定性，因此在运行和扩展过程中进行故障查找和排出非常简单。多层模式使网络的移植更为简单易行，因为它保留看基于路由器和交换机的网络原有的寻址方案，对以往的网络有很好的兼容性。另外分层结构也能够对网络的故障进行很好的隔离。 针对实际情况 采用三层结构模型，即核心层、分布层、接入层。每个层次有不同的功能。核心层作为整个网络系统的核心，起主要功能是高速、可靠的进行数据交换。分布层主要进行接入层的数据流量汇聚，并 对数据流量进行访问控制。接入层主要提供最终用户接入网络的途径。主要进行 换分、与分布层的连接等。 心层设计 核心交换机通过配置高性能交换路由引擎、冗余电源，来实现整个网络系统的高可用和高可靠性。此处使用 560由交换机作为内、外网的核心交换机，配置 换路由引擎，分别配置 24 端口千兆以太网电接口模块（ 24 端口千兆 /百兆以太网光接口模块（ 对外提供千兆光口和千兆电口接入，光 口用于连接各配线间的汇聚交换机，电口用于部分服务器的接入。 核心交换机需作如下设置： （ 1） 使用包安全过滤 /机制 ，防止非法侵入和恶意报文攻击； （ 2） 通过 分实现不同部门内部访问安全的需求； （ 3） 基于策略的服务等级 /服务质量（ 能，能够鉴别并优先处理要害的业务数据流，实现网络的优化。 核心层多业务、高可靠、大容量设计，所有关键部件均采用冗余 热备份设计，采用分布式路由转发处理引擎，支持真正热插拔、热备份。 聚层 设计 在 6个弱电间分别设置一台 联核心层交换机，下联接入层交换机，对下属设备进行三层交换处理。汇聚层主要进行接入层的数据流量汇聚，并对数据流量进行访问控制。包括访问控制列表、由等等。 750 系列交换机是一个创新的产品系列，它结合业界领先的易用性和最高的冗余性，里程碑地提升了堆叠式交换机在局域网中的工作效率。这个新的产品系列采用了最新的思 术，不但实现高达 32 堆叠互联，还从物理上到逻辑上使若干独立交换机在堆叠时集成在一起，便于用户建立一个统一、高度灵活的交换系统 ， 就好像是一整台交换机一样。 对于中型企业网络来说， 750 系列通过提供配置灵活性、支持融合网络模式及自动进行智能网络服务配置，简化了融合应用的部署，并可针对不断变化的业务需求进行调整。此外， 750 系列针对高密度千兆位以太网部东华理工大学软件学院毕业设计（论文） 网络整体设计 6 署进行了优化，包括多种交换机，以满足接入、汇聚或小型网络骨干连接需求。 750供 12 个千兆位以太网 口用于连接数据中心和办公楼的接入层交换机和中心核心机房的 506 交换机 。 入层设计 接入层主要提供最终用户接入网络的途径。主要是进行 划分、与分布层的连接等等。建议接入层交换机采用思科的 2960 系列智能以太网交换机以千兆以太链路和汇聚交换机相连接，并为用户终端提供 10/100M 自适应的接入，从而形成千兆为骨干，百兆到桌面的以太网三层结构。办公系统所需的各种服务器如邮件服务器、 务器等组成服务器群，连接到汇聚交换机的 千兆模块上面 ， 因此，内部的局域网采用三层结构组建。 960 系列智能以太网交换机是一个全新的、固定配置的独立设备系列，提供桌面快速以太网和千兆以太网连接，可为入门级企业、中型市场和分支机构网络提供增强 务。 960 系列具有集成安全特性，包括网络准入控制 （ 、高级服务质量 （ 和永续性，可为网络边缘提供智能服务。凭借 960 系列提供的广泛安全特性，企业可保护重要信息，防止未授权人员接入网络，确保私密性及维持 不间断运行。 由协议选择 图 2由协议 东华理工大学软件学院毕业设计（论文） 网络整体设计 7 为达到路由快速收敛、寻址以及方便网络管理员管理的目的，我们采用动态路由协议，目前较好的动态路由协议是 议和 议， 协议标准化强，支持厂家多，受到广泛应用，而 议由 司发明，只有 司自己的产品支持，属于私有性质，其他厂商设备是不支持的。考虑网络的扩展性、数据资源的保护等原因，我们选择 由协议 。 议采用链路状态协议算法，每个路由器维护一个相同的链路状态数据库 ，保存整个 拓扑结构（ 划分情况下）。一旦每个路由器有了完整的链路状态数据库，该路由器就可以自己为根，构造最短路径树，然后再根据最短路径构造路由表。对于大型的网络，为了进一步减少路由协议通信流量，利于管理和计算。整个 分为若干个区域，区域内的路由器维护一个相同的链路状态数据库，保存该区域的拓扑结构。 由器相互间交换信息，但交换的信息不是路由，而是链路状态。 义了 5 种分组： 组用于建立和维护连接；数据库描述分组初始化路由器的网络拓扑数据库；当发现数据 库中的某部分信息已经过时后，路由器发送链路状态请求分组，请求邻站提供更新信息；路由器使用链路状态更新分组来主动扩散自己的链路状态数据库或对链路状态请求分组进行响应；由于 接运行在 ，协议本身要提供确认机制，链路状态应答分组是对链路状态更新分组进行确认。 相对于其它协议， 许多优点。 持各种不同鉴别机制（如简单口令验证， 密验证等），并且允许各个系统或区域采用互不 相同的鉴别机制；提供负载均衡功能，如果计算出到某个目的站有若干 费用相同的路由， 由器会把通信流 量均匀地分配给这几条路由，沿这几条路由把该分组发送出去；在一个自治系统内可划分出若干个区域，每个区域根据自己的拓扑结构计算最短路径，这减少了 由实现的工作量； 动态的自适应协议，对于网络的拓扑结构变化可以迅速地做出反应，进行相应调整，提供短的收敛期，使路由表尽快稳定化，并且与其它路由协议相比， 对网络拓扑变化的处理过程中仅需要最少的通信流量；供点到多点接口，支持 类 域间路由）地址。 公司现有网络规划为 部网络设备都规划为 期若有分支机 构各区域接入路由器根据区域不同使用动态协议，或者使用静态路由与动态路由结合的方式。 划分及 址规划和设备命名规则 划分一般有三种方法，一是基于端口、二是基于 址、最后是基于路由的划分。在这里我们采用基于端口的划分，把一个或者多个交换机上的端口放到一个 ，网络管理人员只需要对网络设备的交换端口进行分配即可，不用考虑端口所连接的设备。 址是 P 协议族中的网络层逻辑地址，它被用来唯一东华理工大学软件学院毕业设计（论文） 网络整体设计 8 地标示网络中的一个节点。 址空间的分配，要与网络层次结构相适应，既要有效的利用地址空间，又要体现网络的可扩展性和灵活性，同时能满足路由协议的要求，提高路由算法的效率，加快路由变化的收敛速度。 根据公司情况，每个部门划分为一个 部门分别属于不同的网段，各部门之间在逻辑上被隔离，但是各部门间的通讯，可根据需要对汇聚层交换机进行配置来实现。 表 2P 地址分 配表 址配置命令： no ip no 设备名称代码表： 表 2备厂商、设备型号对照表 部门 段 网关 子网掩码 资产管理部 5 2 业厅 4 2 务部 3 2 理室 2 2 力资源部 6 2 勤部 7 2 务器群组 6 2 号 厂商 名称缩写 设备型号 名称缩写 设备信息 1 思科 506 6506 黑盾 2608 216 华理工大学软件学院毕业设计（论文） 网络整体设计 9 表 2备端口简写名称对照表 序号 物理端口表示 名称简写 1 百兆以太口 千兆以太口 万兆以太口 10 E 6 7 8 H 设备的命名规则按照设备的空间地理位置、设备在网络中的逻辑位置、设备类型和设备编号的顺序来命名。其中，空间地理位置严格遵守国际对省市的命名规范。 其格式为： 空间地理位置 设备编号 举例说明 ： 示： 506。 设备端口的命名规则和编码设计按照端口类型、端口在本端设备中的位置、接口速率、本端设备的空间地理位置、在网络中的逻辑位置、 本端设备编号、电路传输方向、对端设备的空间地理位置、在网络中的逻辑位置和对端设备编号的顺序命名。 端口类型 带宽 网络的逻辑位置 对端设备编号。 端口类型：用使用物理端口的缩写来命名。 端口在设备中的位置：槽位号 端口号。 空间地理位置：即设备放置的地理位置。 网络的逻辑位置：即设备在网络中放置的逻辑位置。 设备类型：以设备厂家和设备的型号来命名 。 设备编号：处于同一位置，同类设备的编码顺序，为一位阿拉拍数字，按 1 注 意：若一个槽位，只能安装一块适配器板卡标示时，请忽略板卡位置号。 务器群组 由于公司整个网络节点较多，若是由网管人员分别为每台 配置 址那将是一件非常麻烦的事，而且也不利于网络 址的管理，所以我们采用 务器，为接入公司网络的 自动分配 址。 即动态主机设置协议，是一个局东华理工大学软件学院毕业设计（论文） 网络整体设计 10 域网的网络协议，使用 议工作。 务器的操作系统选择 003。 由于 务器与公司其他 在不同的 ，所以还需要在汇聚层交换机上配置 继服务功能才能成功运行 务。 件服务器 电子邮件是互联网最基本、但却是最重要的组成部分，通过电子邮件进行方便快捷的信息交流已经成为企业工作中不可或缺的工作习惯。企业邮箱一般以企业的域名作为邮箱后缀，既能体现公司的品牌和形象，还能使公司商业信函来往得到更好更安全的管理。常见的邮件服务器软件有很多，例如：微软 等。在这里我们选用微软 003作为服务器端软件，该版本也是 应用最广泛，功能最稳定的一个版本。 003 常见的任务包括：备份与还原、建立新邮箱、恢复、移动、安装新的硬件、存储区、软件和工具，以及应用更新和修补程序等。新工具和 改进的工具可帮助 网络管理员更有效地完成工作。例如，一位管理人员可能需要恢复几个月以前删除的一封非常重要的旧电子邮件，通过使用“恢复存储组”功能，管理员可以恢复个人用户的邮箱，以便查找以前删除的重要电子邮件。其他新的管理功能包括： 并行移动多个邮箱。 改进的消息跟踪和 户端性能记录功能。 增强的队列查看器，它使用户能够从同一控制台同时查看 列。 新的基于查询的通讯组列表，它现在支持动态地实时查找成员。 此外，用于 理包可自动监视整个 境，从而使用户能够对 题预先采取管理措施并快速予以解决。 在部署 003 邮件服务器之前，首先为公司申请合 法 的域名，建立域控服务器，打开“运行”对话框，输入 令，然后根据向导创建域控服务器。 图 2立域控服务器 将公司内的所有 加入该域。为了防止主域控服务器出现故障而导致通信故障和信息丢失，所以我们还需要一台辅助域控。当然，还需要在 务器中写入记录，这样发出的邮件才 知道去处。 邮件服务器硬件的选择根据企业本身业务的应用情况和资金投入来决定。从该公东华理工大学软件学院毕业设计（论文） 网络整体设计 11 司来看，公司用户在几百个以下，但是邮件来往比较多，所以要选择专业的 务器才能满足基本的性能要求。 务器 务器也称为 服务器，主要功能是提供网上信息浏览服务。本方案中 务器主要是向外发布公司网站，时时更新公司以及金融市场信息以供用户网上参考。 本方案中，我们选择 为 务器的操作系统，所以服务器端软件则用世界上用 的最多的 务器，市场占有率达 60%左右 ， 它源于务器。 多种产品，可以支持 术，支持多个 虚拟主机 。它是以 进程 为基础的结构，进程要比 线程 消耗更多的系统开支。因为它是 自由软件 ，所以不断有人来为它 开发 新的功能、 新的特性、修改原来的缺陷。 特点是简单、速度快、性能稳定，并可做 代理服务器 来使用。它的成功之处主要在于它的源代码开放、有一支开放的开发队伍、支持跨平台的应用 （ 可以运行在几乎所有的 统平台上 ） 以及它的可移植性等方面。 东华理工大学软件学院毕业设计（论文） 安全策略 12 3. 安全策略 络威胁因素分析 对于金融业来说，网络的安全性是相当重要的。而金融网上交易，信息发布等业务使得 公司网络必须与公网相连，这样必然存在着安全风险。并且公司内部网络，由于各部门职能不同，某些部门网络可能也要求很高的安全性。公司网络的安全风险可能包括以下几个： （ 1） 公司网络与公网连接，可能遭到来自各地的越权访问，还可能遭到网络黑客的恶意攻击和计算机病毒的入侵； （ 2） 内部的各个子网通过骨干交换相互连接，这样的话，某些重要的部门可能会遭到来自其它部门的越权访问。这些越权访问可能包括恶意攻击、误操作 等，据统计约有 70左右的攻击来自内部用户，相比外部攻击来说，内部用户具有更得天独厚的优势，但是无论怎样， 结果都将导致重要信息的泄露或者网络的瘫痪； （ 3） 设备的自身安全性也会直接关系到网络系统和各种网络应用的正常运转。例如，路由设备存在路由信息泄漏、交换机和路由器设备配置风险等。重要服务器或操作系统自身存在安全的漏洞，如果管理员没有及时的发现并且进行修复，将会为网络的安全带来很多不安定的因素。重要服务器的当机或者重要数据的意外丢失，都将会造成公司日常办公无法进行。 全要求 （ 1） 物理安全 ： 包括保护计算机网络设备设施以及数据库资料免遭地震、水灾、火灾等环境事故以及人为操作失误导致系统损坏，