毕业设计（论文）-工程学院宿舍楼网络组建.doc

计算机网络专业毕业论文（设计）题 目： 工程学院宿舍楼网络组建 班 级： 网 络 工 程 姓 名： 学 号： 培养单位 四川工程职业技术学院 指导教师 日 期 2015年12月 17日 摘 要Internet的迅速发展，极大地推动了我国的网络建设。而中国教育科研网（CERNET）的快速发展，则极大地促进了高校校园网的建设。校园网的建设能从根本上促进教学科研人员之间的信息交流、资源共享、科研合作，是学校教育和科研工作的最重要的基础设施之一。本文通过介绍四川工程职业技术学院校园网的设计与建设,来说明高校在组建内部网时所应经历的步骤；通过介绍该学校内部网设计前的各种需求分析、设计方案的选择、网络安全维护工作以及最后的具体的组网实践，来说明如何高效安全地规划组建高校的校园网。关键词：校园网、需求分析、设计方案、网络安全AbstractThe rapid development of Internet has greatly promoted the network construction of our country. And the rapid development of Chinese education scientific research network (CERNET), will greatly promote the construction of the campus network in colleges and universities. Construction of campus network can fundamentally promote the information exchange, resource sharing between teaching and scientific research personnel, scientific research cooperation, is the school education and scientific research work of one of the most important infrastructure. In this paper, by introducing the sichuan engineering vocational technical college campus network design and construction, to show the steps should experience in building an Intranet; Through the introduction of the various needs of the school Intranet design before analysis, the selection of design scheme, the network security maintenance work, and finally the specific network practice, to illustrate how to efficient planning form college campus network safely Key words: Campus network, demand analysis, design, network security 目录摘 要2AbstractIII第一章 绪论11.1引言11.2选题的背景与意义1第二章 概 述22.1宿舍网络设计的基本概述22.1.1IP地址规划与VLAN的划分22.1.2相应拓扑图32.2运用的主要技术及介绍62.3宿舍网络通信安全介绍8第三章 设备的配置清单103.1 三层交换机103.2路由器123.3防火墙143.4二层交换机15第四章 设备主要用途及说明174.1 所需设备174.1.1 cisco ASA 5505 防火墙174.1.2 cisco 2801 路由器174.1.3 cisco 2960 交换机174.1.4 cisco 3560 交换机184.2信息点安置设计184.2.1信息点统一化18第五章 遇到问题与解决方法195.1三层交换机IOS丢失195.2防火墙密码破解215.3设备只能在ROMMON模式22结 论23致谢23参考文献2324四 川 工 程 职 业 技 术 学 院 毕 业 综 合 实 践 报 告（论 文） 第一章 绪论1.1引言科学技术的发展日新月异，在计算机技术和通信技术结合下，网络技术得到了飞速的发展。整个社会都不可能脱离网络而存在。网络技术已经成为现代信息技术的主流，成为人们生活、工作、学习中必不可少的一部分，人们对网络的认识也随着网络应用的逐渐普及而迅速改变。未来的网络技术将向着简单、高速快捷、多网合一、安全保密的方向发展。未来进一步提升自身实力，很多高校都开始自己建设学院网络，而校园宿舍网络也是其中重要的一部分。我学院宿舍网络将实现与校内各部门进行通信。我学院宿舍网络将为学校的科研、教学、管理提供必要的技术手段，为研究开发和培养人才建立平台，借此加快学校的发展，以此加快学校的发展，成为一个具有示范性的高校。1.2选题的背景与意义各学院为了加快校园信息化建设，需要建设一个高性能的、安全可靠的校园网络，校园网建成后，要求能够实现校园内部各种信息服务功能，实现与教育网的无阻碍连通，同时提供宽带接入功能，以备主连接失效情况下的被用连接要求，能够实现校园办公自动化需求。学校的管理人员可方便地对教务、行政事务、学生学籍、财务、资产等进行综合管理，同时可以实现各级管理层之间的信息数据交换，实现宿舍网络智能化，实现网上信息采集和处理的自动化，实现信息和设备资源的共享，使其为各学科的教学和实验服务。第二章 概 述2.1宿舍网络设计的基本概述通过对我校宿舍楼进行的实地考察，了解房间分布，从而知道所需信息点和设备个数，以及设备放置的合理房间。考察完成以后根据实地作出所需拓扑图。然后，规划IP地址和划分VLAN，使其便于管理与维护。通过配置路由器、交换机与防火墙实现智能化管理与上网限制及监控。从而达到文明上网、便捷上网、安全上网的目的。2.1.1IP地址规划与VLAN的划分IP及VLAN规划2.1.2相应拓扑图逻辑拓扑图物理拓扑图机柜安装图真实机柜图2.2运用的主要技术及介绍动态路由（OSPF）：OSPF 是 Open Shortest Path First（即“开放最短路由优先协议”）的缩写。OSPF是 IETF （Internet Engineering Task Force）组织开发的一个基于链路状态的自治系统内部路由协议，是目前使用最为广泛的内部网关路由协议。在 IP 网络上，它通过收集和传递自治系统的链路状态来动态地发现并传播路由。适应范围： OSPF 支持各种规模的网络，最多可支持几百台路由器。快速收敛： 如果网络的拓扑结构发生变化，OSPF 立即发送更新报文，使这一变化在自治系统中同步。无自环： 由于 OSPF 通过收集到的链路状态用最短路径树算法计算路由，故从算法本身保证了不会生成自环路由。子网掩码 ： 由于 OSPF 在描述路由时携带网段的掩码信息，所以OSPF协议不受自然掩码的限制，对VLSM 提供很好的支持。区域划分 ： OSPF 协议允许自治系统的网络被划分成区域来管理，区域间传送的路由信息被进一步抽象，从而减少了占用网络的带宽。等值路由 ： OSPF 支持到同一目的地址的多条等值路由。路由分级 ： OSPF 使用 4 类不同的路由，按优先顺序来说分别是：区域内路由、区域间路由、第一类外部路由、第二类外部路由。支持验证 ： 它支持基于接口的报文验证以保证路由计算的安全性。组播发送 ： OSPF在有组播发送能力的链路层上以组播地址发送协议报文，即达到了广播的作用，又最大程度的减少了对其他网络设备的干扰。交换机端口镜像：把交换机一个或多个端口（VLAN）的数据镜像到一个或多个端口的方法。端口镜像（PortMirroring）可以让用户将所有的流量从一个特定的端口复制到一个镜像端口。如果您的交换机提供端口镜像功能，则允许管理人员自行设置一个监视管理端口来监视被监视端口的数据。监视到的数据可以通过PC上安装的网络分析软件来查看，通过对数据的分析就可以实时查看被监视端口的情况。端口镜像选取的设备原则为网络中连接重要服务器群的交换机或路由器，或是连接到网通的出口路由器。通常为了部署流量分析、IDS等产品需要监听网络流量，但是在目前广泛采用的交换网络中监听所有流量有相当大的困难，因此需要通过配置交换机来把一个或多个端口（VLAN）的数据转发到某一个端口来实现对网络的监听。端口镜像通常有以下几种别名：PortMirroring 通常指允许把一个端口的流量复制到另外一个端口，同时这个端口不能再传输数据。MonitoringPort监控端口SpanningPort 通常指允许把所有端口的流量复制到另外一个端口，同时这个端口不能再传输数据。SPANport 在Cisco产品中，SPAN通常指SwitchPortANalyzer。某些交换机的SPAN端口不支持传输数据。基于时间的ACL：ACL（访问控制列表，Access Control List） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包，告诉路由器哪些数据包可以接收、哪些数据包需要拒绝，保证网络资源不被非法使用和访问。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。ACL是保证网络安全最重要的核心策略之一。要通过ACL来限制用户在规定的时间范围内访问特定的服务，首先设备上必须配置好正确的时间。在相应的时间要允许相应的服务，这样的命令，在配置ACL时，是正常配置的，但是，如果就将命令正常配置之后，默认是在所有时间内允许的，要做到在相应时间内允许，还必须为该命令加上一个时间限制，这样就使得这条ACL命令只在此时间范围内才能生效。而要配置这样的时间范围，是通过配置time-range来实现的，在time-range中定义好时间，再将此time-range跟在某ACL的条目之后，那么此条目就在该时间范围内起作用，其它时间是不起作用的。在定义time-range时，常用的时间简单分为两种，第一种叫做绝对时间（absolute），即这个时间只生效一次，比如2010年1月1月15:00；另一种时间叫做周期时间（periodic），即这个时间是会多次重复的，比如每周一，或者每周一到周五。NAT配置：NAT网络地址转换，是通过将专用网络地址（如企业内部网Intranet）转换为公用地址（如互联网Internet），从而对外隐藏了内部管理的 IP 地址。这样，通过在内部使用非注册的 IP 地址，并将它们转换为一小部分外部注册的 IP 地址，从而减少了IP 地址注册的费用以及节省了目前越来越缺乏的地址空间（即IPV4）。同时，这也隐藏了内部网络结构，从而降低了内部网络受到攻击的风险。 NAT功能通常被集成到路由器、防火墙、单独的NAT设备中，当然，现在比较流行的操作系统或其他软件（主要是代理软件，如WINROUTE），大多也有着NAT的功能。NAT设备（或软件）维护一个状态表，用来把内部网络的私有IP地址映射到外部网络的合法IP地址上去。每个包在NAT设备（或软件）中都被翻译成正确的IP地址发往下一级。与普通路由器不同的是，NAT设备实际上对包头进行修改，将内部网络的源地址变为NAT设备自己的外部网络地址，而普通路由器仅在将数据包转发到目的地前读取源地址和目的地址。NAT分为三种类型：静态NAT（static NAT）、NAT池（pooled NAT）和端口NAT（PAT）。其中静态NAT将内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址，而NAT池则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络，端口NAT则是把内部地址映射到外部网络的一个IP地址的不同端口上。使用网络地址转换NAT，使得外部网络对内部网络的不可视，从而降低了外部网络对内部网络攻击的风险性。2.3宿舍网络通信安全介绍宿舍网络安全简介 随着网络的快速发展和上网用户的急剧增多，网络中的不安全因素日益暴露无遗，主要表现在： ）由于和地址的可变性而导致的冒用合法用户入网问题。非法用户只要连接网线，对电脑进行简单的网络配置就可以上网。由于和盗用会导致合法用户不能上网，甚至非法入网者会以合法用户的名义从事非法勾当，对网络的安全管理造成很大的威胁； ）操作系统和应用软件存在大量漏洞，这是造成网络安全问题的严峻的一个主要原因。国际权威应急组织统计，截至年以来漏洞公布总数个，并且利用漏洞发动攻击的速度也越来越快； ）校园网用户安全意识不强及计算机水平有限。大部分学校普遍都存在重技术、轻安全、轻管理的倾向，常常只是在内部网与互联网之间放一个防火墙就万事大吉，甚至有些学校直接连接互联网，严重缺乏防范黑客攻击的意识。 学生宿舍网络作为服务于教育、科研和行政管理的计算机网络，实现了校园内连网、信息共享，并与互联。宿舍网络连接的校内学生机，存在许多安全隐患，主要表现有： ）宿舍网络与相连，面临着外网攻击的风险。）来自内部的安全威胁。 ）接入宿舍网络的节点数目日益增多，这些节点会面临病毒泛滥、信息丢失、数据损坏等安全问题。 通过对宿舍网络的安全设计，在不改变原有网络结构的基础上实现多种信息安全，保障宿舍网络安全，一个整体一致的内网安全体系，应该包括身份认证、授权管理、数据保密和监控审计四个方面，并且，这四个方面应该是紧密结合、相互联动的统一平台，才能达到构建可信、可控和可管理的安全内网的效果。 身份认证是内网安全管理的基础，不确认实体的身份，进一步制定各种安全管理策略也就无从谈起。内网的身份认证，必须全面考虑所有参与实体的身份确认，包括服务器、客户端、用户和主要设备等。其中，客户端和用户的身份认证尤其要重点关注，因为他们具有数量大、环境不安全和变化频繁的特点。 授权管理是以身份认证为基础的，其主要对内部信息网络各种信息资源的使用进行授权，确定谁能够在那些计算机终端或者服务器使用什么样的资源和权限。授权管理的信息资源应该尽可能全面，应该包括终端使用权、外设资源、网络资源、文件资源、服务器资源和存储设备资源等。 数据保密是内网信息安全的核心，其实质是要对内网信息流和数据流进行全生命周期的有效管理，构建信息和数据安全可控的使用、存储和交换环境，从而实现对内网的核心数据的保密和数字知识产权的保护。由于信息和数据的应用系统和表现方式多种多样，所以要求数据保密技术必须具有通用性和应用无关性。 监控审计是宿舍网络安全不可缺少的辅助部分，可以实现对宿舍网络安全状态的实时监控，提供宿舍网络安全状态的评估报告，并在发生宿舍网络安全事件后实现有效的取证。 宿舍网络安全已经成为信息安全的新热点，其技术和标准也在成熟和演进过程中，我们有理由相信，随着同学们对宿舍网络安全认识的加深，用户宿舍网络安全管理制度的完善，整体一致的宿舍网络安全解决方案和体系建设将成为宿舍网络安全的主要发展趋势。 宿舍内部网络安全经常会发生盗用现象，恶意修改地址，严重危害了正常的上网秩序，下面我们先从网卡开始探讨网络的安全问题。第三章 设备的配置清单3.1 三层交换机Building configuration.Current configuration : 3594 bytes!version 12.2no service padservice timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname MS!boot-start-markerboot-end-marker!enable password cisco!no aaa new-modelsystem mtu routing 1500ip routing!spanning-tree mode pvstspanning-tree extend system-id!vlan internal allocation policy ascending!interface FastEthernet0/1 switchport access vlan 10 ip access-group 101 in!interface FastEthernet0/2 switchport access vlan 100! interface FastEthernet0/3 switchport access vlan 200!interface FastEthernet0/4 switchport access vlan 100!interface FastEthernet0/5 switchport access vlan 200!interface Vlan1 no ip address!interface Vlan10 ip address !interface Vlan100 ip address !interface Vlan200 ip address !router ospf 1 log-adjacency-changes network 55 area 0 network 55 area 0 network 55 area 0! ip classlessip route ip route ip http serverip http secure-server!access-list 101 permit ip any any time-range mytime!line con 0line vty 0 4 password cisco loginline vty 5 15 login!time-range mytime periodic Monday Friday 7:00 to 23:00!end3.2路由器Building configuration.Current configuration : 1161 bytes!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname R1!boot-start-markerboot-end-marker!enable password cisco! !interface FastEthernet0/0 ip address duplex auto speed auto!interface FastEthernet0/1 ip address duplex auto speed auto!interface Serial0/3/0 no ip address shutdown no fair-queue clock rate 125000!interface Serial0/3/1 no ip address shutdown clock rate 125000!router ospf 1 log-adjacency-changes network 55 area 0 network 55 area 0 network 55 area 0!router rip network !ip default-gateway ip route FastEthernet0/1ip route !line con 0line aux 0line vty 0 4 password cisco login!end3.3防火墙ASA Version 8.2(5) !hostname ASAenable password 2KFQnbNIdI.2KYOU encryptedpasswd 2KFQnbNIdI.2KYOU encryptednames!interface Ethernet0/0 switchport access vlan 11!interface Ethernet0/1 switchport access vlan 12!interface Vlan1 no nameif no security-level no ip address!interface Vlan11 nameif inside security-level 100 ip address !interface Vlan12 nameif outside security-level 0 ip address 0 !ftp mode passiveaccess-list in_to_out extended permit ip any access-list acl_out extended permit tcp any any eq www access-list acl_out extended permit tcp any any eq https access-list acl_out extended permit icmp any any access-list 102 extended permit icmp any any access-list 102 extended permit ip any any access-list acl_dmz extended permit icmp any any pager lines 24logging enablemtu inside 1500mtu outside 1500icmp unreachable rate-limit 1 burst-size 1no asdm history enablearp timeout 14400global (outside) 1 - netmask nat (inside) 1 nat (inside) 1 access-group acl_out in interface outside!router ospf 1 network area 0 network area 0 log-adj-changes!route outside 13.4二层交换机Building configuration.Current configuration : 3338 bytes!version 12.2no service padservice timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname S2!boot-start-markerboot-end-marker!enable password cisco!spanning-tree mode pvstspanning-tree extend system-id!vlan internal allocation policy ascending!interface FastEthernet0/1 switchport mode trunk!interface FastEthernet0/2 switchport access vlan 200!interface FastEthernet0/3 switchport access vlan 200!interface FastEthernet0/4 switchport access vlan 200!interface FastEthernet0/5 switchport access vlan 200!interface FastEthernet0/6 switchport access vlan 200!interface FastEthernet0/7 switchport access vlan 200!interface FastEthernet0/8 switchport access vlan 200!interface FastEthernet0/9 switchport access vlan 200!interface FastEthernet0/10 switchport access vlan 200!interface FastEthernet0/11 switchport access vlan 200!interface FastEthernet0/12 switchport access vlan 200!interface FastEthernet0/13 switchport mode trunk!interface Vlan1 no ip address!ip http serverip http secure-server!line con 0line vty 0 4 password cisco loginline vty 5 15 login !monitor session 1 source interface Fa0/2monitor session 1 destination interface Fa0/12end第四章 设备主要用途及说明4.1 所需设备cisco ASA 5505 防火墙，cisco 2801 路由器，cisco 2960 交换机，cisco 2960 交换机，cisco 3560 交换机。4.1.1 cisco ASA 5505 防火墙1）保证宿舍网络安全。2）使用NAT让流量通过防火墙，正常上网。3）采用ACL技术阻止某些非法流量及非法访问。4.1.2 cisco 2801 路由器1）转发流量。2）用OSPF协议通告网段。4.1.3 cisco 2960 交换机1）划分VLAN，便于管理。2）在某些端口作端口镜像，可备份流量。4.1.4 cisco 3560 交换机1）路由转发，保证网络连通。2）用基于时间的ACL控制上网时间段。4.2信息点安置设计4.2.1信息点统一化由于我校宿舍网络只有电信、移动和联通这3个，所有计划每个寝室安置6个信息点。电信分配2个，联通分配2个，移动分配2个。让寝室同学可以自由选择使用。并且每个信息点都有备用的，所有不用担心上不到网。具体分布见下图：信息点分布图第五章 遇到问题与解决方法5.1三层交换机IOS丢失第一种方法：X-Modem1、用控制线连接交换机console口与计算机串口1，用带有xmodem功能的终端软件连接（超级终端）。 2、设置连接方式为串口1（如果连接的是其他串口就选择其他串口），速率9600，无校验，无流控，停止位1。或者点击默认设置也可以。 3、连接以后计算机回车出现交换机无ios的界面，一般的提示符是：switch: 4、拔掉交换机后的电源线重新启动交换机 5、在超级终端输入： switch:flash_init 会出现如下提示： Initializing Flash. 6、输入拷贝指令： switch:copy xmodem: flash:c3560-advipservicesk9-mz.122-25.SEE2.bin出现如下提示： Begin the Xmodem or Xmodem-1K transfer now. 7、系统提示不断出现C这个字母就可以开始传文件了 8、点击超级终端菜单：传送-发送文件，在协议选项中选择Xmodem或者Xmodem-1K协议，然后选择ios的影像文件（flash:c3560-advipservicesk9-mz.122-25.SEE2.bin），开始传送。 9、因为不能改速率，所以传送得很慢。 （都以B为单位传输，如果可以改比特率，则会快一点）10、传送完毕后提示： File xmodem: successfully copied to . switch: 11、在提示符下输入 switch:boot 启用新的ios系统 12、重新启动后就完成了。 第二种方法：TFTP 在一台机器上安装TFTP服务器软件，将IOS文件放置在TFTP服务器的默认根目录下，打开TFTP服务器，用控制线将这台机器与ROUTER连接起来，另外用交叉网线连接机器的网卡和ROUTER的以太口。（也可以用普通的网线将ROUTER和交换机相连再连接机器）做好以上工作后，打开机器的超级终端工具，连接上ROUTER，按Ctrl+Break组合键，此时窗口中出现的命令行提示符为: ROMMON 1 （其中“1”代表命令行的行数）。在提示符后输入命令： ROMMON 1 IP_ADDRESS= ROUTER的IP地址（要和TFTP服务器在同一网段内） ROMMON 2 IP_SUBNET_MASK= ROUTER的子网掩码 ROMMON 3 DEFAUT_GATEWAY= 默认网关地址 （可以没有，也可以是TFTP服务器） ROMMON 4 TFTP_SERVER= TFTP 服务器IP地址 ROMMON 5 TFTP_FILE= IOS文件名（只给出文件名，不需要路径） ROMMON 6 tftpdnld 回车 注意：前面的几条命令必须使用大写，而最后的tftpdnld则要用小写。 在tftpdnld命令执行后，只要根据提示选择，就可完成文件的传输。当文件传输完后，将自动回到命令行下，输入reset重启ROUTER，重启后就又回到了熟悉的IOS模式下甚至连以前配置的信息都不会丢失。 应注意的问题： 1）在连接运行tftp server的PC 机至路由器时，必需使用路由器的第一个以太口，即Ethernt0(对2500系列等)，Ethernet0/0（对2600系列等），其它系列略有差别，可根据使用手册进行确定。 2）在使用连接电缆时，一定要用交叉线，因这种情况属DTE与DCE之间的连接。 3）在运行tftp server的PC 机上，一定要有相应的路由器的IOS映象文件，可以通过多种渠道和多种方式获得该文件。 4）tftp server的地址可以随意定义，但必须与路由器定义的地址在同一网段上。（温馨提示：第一种方法比较慢，但是操作简单；第二种方法相反。）5.2防火墙密码破解1：通过Console口连接设备2：加电并启动3：显示启动信息的时候，按“Esc”键，进入ROMMON模式4：选择不加载startup-config文件启动，在RONNON模式下输入ronnon #1 confreg设备会显示当前配置注册值，并且会提示“是否要更改注册值”Current Configuration Register: 0x00000001Configuration Summary:boot default image from Flash5：记录当前配置的注册值，以备稍后恢复6：根据提示按Y键更改注册值7：除了“disable system configuration?”按Y键其他设置一律按照默认值（直接Enter）Do you wish to change this configuration? y/n n: yesenable boot to ROMMON prompt? y/n n:enable TFTP netboot? y/n n:enable Flash boot? y/n n:select specific Flash image index? y/n n:disable system configuration? y/n n: yesgo to ROMMON prompt if netboot fails? y/n n:enable passing NVRAM file specs in auto-boot mode? y/n n:disable display of BREAK or ESC key prompt during auto-boot? y/n n:8：重新启动设备，输入boot命令即可Rommon #2 boot设备会加载默认的配置并不加载startup-config文件9：设备启动后进入特权模式Hostnameenable10：当系统提示输入密码，按Return 密码就会清空11：设置加载startup-config文件启动Hostname#copy startup-config running-config12：进入全局模式下输入以下命令Hostname#configure terminal13：配置新密码，对于安全产品来说这步是必要的Hostname(config)#password 密码Hostname(config)#enable password 密码Hostname(config)#username 名字 password 密码14：通过以下命令更改注册值，并且在下一次重启时加载startup-config启动Hostname(config)#conf