校园VLAN划分毕业设计.doc

毕业设计（论文）题目：VLAN技术在学校网络系统中的应用 姓 名 准考证号 专 业 指导教师 南京航空航天大学2013年 3 月 目录摘要1前言2第1章 概述31.1 背景和意义31.2 项目国内外分析3第2章 交换机42.1 二、三层交换机和路由器42.2 交换机的基本命令5第3章 学校网络拓扑及规划73.1 学校网络拓扑设计73.2 IP地址的规划策略93.3 校园网IP地址规划11第4章 基于packet tracer的校园网设计124.1 项目开发环境124.2 校园网楼宇间的设计124.2.1 核心交换机的配置124.2.2 科技楼交换机的配置154.3 访问控制列表174.3.1 科技楼访问控制配置174.3.2 1号实训楼访问控制配置184.4 校园防火墙19第5章 项目最终的测试205.1 内部网络间的测试205.2 访问控制列表的测试20结束语23致 谢24参考文献25VLAN技术在学校网络系统中的应用摘要本文中阐述了当今数字化信息在校园网中的存在价值，为了发展校园的信息化教学和集中管理模式，为师生提供便捷的资源和外界交流的平台，在校园内部实现资源高度共享，为教学、科研、管理提供服务，增强师生间的互动性，基于这个理念，采用了VLAN技术，规划布局并制定方案，从校园实际情况考虑，总体规划了应用于多平台的校园网，对校园的建设管理起到了重要的作用。主要介绍了VLAN技术的定义、原理及益处 , 阐述了VLAN 技术在管理维护校园网系统中所起的作用、VLAN的划分方法 , 网络架构设计、协议选择、网络设备配置等方面对校园网进行了规划和设计，以及在校园网中用交换机配置 VLAN 需要注意的问题 , 实现虚拟局域网的技术。关键词：校园网，VLAN技术，协议选择前言在教育信息化快速发展的今天，校园网已经成为校园生活的一部分，是每个教职工和学生获取信息资源的主要途径。它将校园里的院系、学生与从事社交、活动与行政人员紧密地联系在一起。在教育系统中起着重要的作用，目前许多教师学生都有笔记本电脑，他们渴望在教室、图书馆和室外广场，随时随地接入互联网或校园网，及时获取所需要的信息。目前的校园网基本上都采用了性能先进的千兆网技术 , 核心交换机采用三层交换机 , 它能很好地支持虚拟局域网 (VLAN) 技术 , 这对方便校园网的高速可靠运行起到了非常重要的作用。虚拟局域网 (VLAN) 是从传统的交换局域网(LAN) 概念上引申出来的 , 是在交换局域网的基础上依据协议、MAC 地址或端口在逻辑上将网络划分为若干部分。同一VLAN内的一组终端设备组成一个子网 , 它们可以处于不同的物理网段上 , 也不受物理位置的限制。VLAN 的作用是使得同一VLAN中的成员间能够互相通信 , 而不同 VLAN 之间是相互隔离的 , 如果需要通信则必须通过路由设备 , 而校园网络通常采用三层交换机来实现路由功能。第1章 概述1.1 背景和意义高校校园网一直是国内Internet发展的领头羊。1994年7月，中国教育和科研计算机网CERNET示范工程启动。也就是同一年，清华北大等顶尖大学建成了自己的校园网，实际上这些网络也是中国Internet的开端。高校校园网从 1994年的启动建立到现在的13年间，我国的网络技术得到了很大的提高。其中很重要的原因就是校园网络的高速发展，校园网络的现代化程度代表了国家网络整体的水平。所以建设现代化、人性化和高效的校园网络迫在眉睫。此课题把一个宠大的校园网划分成多个逻辑上独立子网，便于网络管理者的管理和维护,增强网络安全性。一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将工作站在工作组或子网之间移动。利用虚拟网络技术，大大减轻了网络管理和维护工作的负担，降低了网络维护费用。在一个交换网络中，VLAN提供了网段和机构的弹性组合机制。1.2 项目国内外分析目前，广域网和局域网技术得到广泛推广和应用。尤更其是局域网技术发展快，从传统LAN到交换LAN，再发展到虚拟LAN即VLAN。VLAN技术较传统LAN技术前进了一大步，由于国内外各大高校的数量增加及其信息化的普及潮流，将分布在不同范围内、不同物理位置的计算机组建虚拟局域网，形成一个可以相互通讯和资源共享的专属网络系统，实现资源共享、数据传送、远程访问等等功能。VLAN技术在学校中的应用，首先了解学校的网络中心确定在图书馆后，以图书馆为中心，各个教学楼、办公楼、实验楼等等，建立之间的VLAN，架构好网络后，查找相关资料，开始着手口令的配置与调试，最后测试各个楼层之间的通信等等！对校园网结构及模块进行分析设计，其主要核心内容是抑制广播风暴和构建安全校园网络，因此，该校园网采用了接入层、汇聚层、核心层三层架构，由交换模块、广域网接入模块和服务器群三大部分组成。能够使学校中个教学楼，科技楼，实训楼等之间能够实现访问和控制。第2章 交换机2.1 二、三层交换机和路由器二层交换机:二层交换技术是发展比较成熟，二层交换机属数据链路层设备，可以识别数据包中的MAC地址信息，根据MAC地址进行转发，并将这些MAC地址与对应的端口记录在自己内部的一个地址表中。二层交换机如图2.1所示：图2.1 二层交换机（1）当交换机从某个端口收到一个数据包，它先读取包头中的源MAC地址，这样它就知道源MAC地址的机器是连在哪个端口上；（2）再去读取包头中的目的MAC地址，并在地址表中查找相应的端口；（3）如表中有与这目的MAC地址对应的端口，把数据包直接复制到这端口上。三层交换机：三层交换技术就是将路由技术与交换技术合二为一的技术。在对第一个数据流进行路由后，它将会产生一个MAC地址与IP地址的映射表，当同样的数据流再次通过时，将根据此表直接从二层通过而不是再次路由，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率。如图所示2.2：图2.2 三层交换机路由器：传统地，路由器工作于OSI七层协议中的第三层，其主要任务是接收来自一个网络接口的数据包，根据其中所含的目的地址，决定转发到下一个目的地址。因此，路由器首先得在转发路由表中查找它的目的地址，若找到了目的地址，就在数据包的帧格前添加下一个MAC地址，同时IP数据包头的TTL（Time To Live）域也开始减数，并重新计算校验和。当数据包被送到输出端口时，它需要按顺序等待，以便被传送到输出链路上。路由器如图2.3所示：图2.3 路由器2.2 交换机的基本命令switch 用户模式1：进入特权模式 enableswitchenableswitch#2：进入全局配置模式 configure terminalswitchenableswitchconfigure terminalswitch(conf)#3：配置使能口令 enable password cisco 以cisco为例switchenableswitchconfigure terminalswitch(conf)#host name 29502950(conf)#enable password cisco4：配置使能密码 enable secret cisco lab 以cicso lab为例switchenableswitchconfigure terminalswitch(conf)#host name 29502950(conf)#enable secret cisco lab5：进入交换机某一端口interfacefastehernet0/17 以17端口为例switchenableswitchconfigure terminalswitch(conf)#host name 29502950(conf)#interface fastehernet0/172950(conf-if)#6：查看命令 showswitchenableswitch#show version 察看系统中的所有版本信息Show interface vlan1 查看交换机有关ip 协议的配置信息Show running-configure 查看交换机当前起作用的配置信息Show interface fastethernet0/1 察看交换机1接口具体配置和统计信息Show mac-address-table 查看mac地址表Show mac-address-tableaging-time 查看mac地址表自动老化时间7：交换机telnet远程登录设置：switchenswitchconfigure terminalswitch(conf)#host name29502950(conf)#enable password cisco 以cisco为特权模式密码2950(conf)#interface fastethernet0/1 以17端口为telnet远程登录口2950(conf-if)#ip address 2950(conf-if)#no shut2950(conf-if)#exit2950(conf)line vty04 设置0-4个用户可以telnet远程登陆2950(conf-line)#login2950(conf-line)#password edge 以edge为远程登录的用户密码主机设置：ip 主机的ip必须和交换机端口的地址在同一网络段netmask gate-way 网关地址是交换机端口地址运行：telnet进入telnet远程登录界面password:edge2950enpassword:cisco第3章 学校网络拓扑及规划3.1 学校网络拓扑设计目前，交换式局域网的设计普遍采用三层结构模型，这三个层次将网络分为核心层、汇聚层、接入层，每个层次都有其特定的功能。接入层（access layer）：网络中直接面向用户连接或访问网络的部分，接入层目的是允许终端用户连接到网络因此接入层交换机具有低成本和高端口密度特性。它需要访问的资源可以在本地获取，流进和流出本地资源的流量被限定在各资源之间，各交换机之间以及个终端用户之间。分配层（distribution layer）：又称汇聚层，处理来自接入层设备的所有通信量，并提供到核心层的上行链路，因此汇聚层的交换机与接入层相比有更高的性能，更的端口和更高的交换速率，象路由选择，过滤和广域网访问都是在此层的操作，分配层为一个用户请求决定最快的以分配方式，像文件服务器访问，并将它们转发到服务器上。在分配层确定路径后，它将请求转发到核心层上。核心层（core layer）：网络核心层惟一目的就是将流量尽可能快的进行转发。被传送的流量是流入和流出那些对大多数用户而言都是普遍的服务，这些服务被称为企业服务。企业访问的实例如电子邮件，互联网访问或可视会议等。当一名用户要访问企业服务时，要在分配层对用户处理，然后分配层设备把用户请求转发到核心层，核心层进行快速转发，一个分组是否能到到达核心层及如何通过核心层传输是分配的任务。因为负责高速转发，所以核心层具有更高的可靠性和吞吐量。三层结构模型如图3.1所示：图3.1 网络三层设计图以一台交换式千兆以太网作为校园网的主干设于实验楼上的机房里，按10M/100M交换式子网方式接入，分别连入办公室楼，教职工宿舍，教学楼。校园网布线设计一般采用多级物理星型结构、点到点连接，任何一条线路故障均不影响其他线路的正常运行。网络采用分散式三层交换体系，二级交换机具有第三级交换能力，主干线路压力小，而且全部实现百兆交换入室。三级交换机可以堆叠，能将一个主干和桌面交换机组成一个整体，提供足够的交换口，可扩展性好。从结构上看综合布线系统设计为三层网络布线。三层布线结构不但有效的减少了整个系统的故障率，增强了系统的稳定性和强健度，而且在充分保证每个信息端点的数据通信速度的同时，起到中心设备对下级或下下级设备的管理控制能力加强的优势。在此基础下进行组网，整个校园的拓扑结构如下图3.2所示：图3.2 校园网拓扑图3.2 IP地址的规划策略IP和子网掩码我们都知道，IP是由四段数字组成，在此，我们先来了解一下3类常用的IPA类IP段 到55 (0段和127段不使用)B类IP段 到55C类IP段 到55XP默认分配的子网掩码每段只有255或0A类的默认子网掩码一个子网最多可以容纳1677万多台电脑B类的默认子网掩码一个子网最多可以容纳6万台电脑C类的默认子网掩码一个子网最多可以容纳254台电脑子网的划分，实际上就是设计子网掩码的过程。子网掩码主要是用来区分IP地址中的网络ID和主机ID，它用来屏蔽IP地址的一部分，从IP地址中分离出网络ID和主机ID.子网掩码是由4个十进制数组成的数值中间用.分隔，如。若将它写成二进制的形式为:11111111.11111111.11111111.00000000，其中为1的位分离出网络ID,为0的位分离出主机ID，也就是通过将IP地址与子网掩码进行与逻辑操作，得出网络号。例如，假设IP地址为，子网掩码为，则网络ID为,主机ID为。计算机网络ID的不同，则说明他们不在同一个物理子网内，需通过路由器转发才能进行数据交换。每类地址具有默认的子网掩码:对于A类为，对于B类为，对于C类为。除了使用上述的表示方法之外，还有使用子网掩码中1的位数来表示的，在默认情况下，A类地址为8位，B类地址为16位，C类地址为24位。例如，A类的某个地址为 /8，这里的最后一个8说明该地址的子网掩码为8位，而/28表示网络的子网掩码位数有28位。如果希望在一个网络中建立子网，就要在这个默认的子网掩码中加入一些位，它减少了用于主机地址的位数。加入到掩码中的位数决定了可以配置的子网。因而，在一个划分了子网的网络中，每个地址包含一个网络地址、一个子网位数和一个主机地址。结合实际情况，该方案中选用C类IP地址。C 类IP地址适合多子网，而每个子网的主机数量最多不能超过255台。其特点正适合校园网这种多用户多子网的网络环境。在构建基于TCP/IP 的校园网络时，IP 地址的选择是根据校园网络规模大小从以下三类国际Internet 组织公布的私有网段中产生,这些范围内的IP 地址不在Internet 上传输，是专门提供给校园用来建设内部网络(Intranet)： A 类私有IP: 55 B 类私有IP: 54C 类私有IP: 55 3.3 校园网IP地址规划本校分为图书馆、一号实训楼、二号实训楼、资讯楼、教学楼、国际交流中心、办公楼以及教师公寓这些部分。1、实现三层设备的互联在实现各楼层的汇聚层与核心层交换机互联后，还必须对汇聚层交换机和核心层交换机进行相应配置，链路才能正常工作。三层设备之间通常采用路由方式互联，因此需要对分配Ip地址，然后通过配置路由实现链路数据正常转发。2、规划互连接口地址在配置互联接口地址时，三层互连设备的连个接口必须是同一地址段，不同的互联链路的接口地址应该使用不同的网段地址。由于一对互联接口地址只需要2个，并且在同一网段。为了节约IP地址，通常将一个C类地址段进行子网划分，划分出若干个4个IP地址的子网，每个子网除去网络地址和广播地址，只剩下2个可以使用的IP地址，这2个IP地址就可以用做一对互联链路的接口地址，故接口地址的子网掩码通常为52。3、规划设计三层设备的互连接口IP地址如表3.3所示。表3.3 三层设备IP地址规划楼层节点汇聚层接口IP地址核心层接口IP地址办公楼/30/30国际交流中心2/301/30教学楼/30/30一号实训楼0/30/30二号实训楼4/303/30教师公寓6/305/30科技楼8/307/30第4章 基于packet tracer的校园网设计4.1 项目开发环境由于校园网的搭建实际操作起来不便，此次的设计是基于packet tracer 5.3软件设计的，Packet Tracer 是由Cisco公司发布的一个辅助学习工具，为学习思科网络课程的初学者去设计、配置、排除网络故障提供了网络模拟环境。用户可以在软件的图形用户界面上直接使用拖曳方法建立网络拓扑，并可提供数据包在网络中行进的详细处理过程，观察网络实时运行情况。可以学习IOS的配置、锻炼故障排查能力。如图4.1所示：图4.1 packet tracer 软件界面4.2 校园网楼宇间的设计4.2.1 核心交换机的配置核心交换机位于学院图书馆中心机房，与各楼宇汇聚层交换机互联，需要配置相应的互联接口IP地址、出口路由和回头路由。如图4.1所示：图4.1 核心交换机配置核心交换机的实现命令：hexinenhexin#show runninghostname hexinip ssh version 1port-channel load-balance src-macinterface FastEthernet0/1description link-to-kejilouno switchportip address 7 52duplex autospeed autointerface FastEthernet0/2description link-to-shixunlou1no switchportip address 52duplex autospeed autointerface FastEthernet0/3description link-to-shixunlou2no switchportip address 3 52duplex autospeed autointerface FastEthernet0/4description link-to-guojiaolouno switchportip address 1 52duplex autospeed autointerface FastEthernet0/5description link-to-bangonglouno switchportip address 52duplex autospeed autointerface FastEthernet0/6description link-to-jiaoxuelouno switchportip address 52duplex autospeed autointerface FastEthernet0/7description link-to-jiaoshigongyuno switchportip address 9 52duplex autospeed autointerface FastEthernet0/8description link-to-tushuguanno switchportip address 5 52duplex autospeed auto4.2.2 科技楼交换机的配置科技楼教师用户接入的二层交换机端口都属于VLAN 238，IP地址网段为：/24，网关是。其他每个机房设计属于不同的VLAN，例如：105公共机房划分为VLAN 105，IP地址网段为：/24，网关是。首先需要在科技楼三层交换机上创建各VLAN，并定义各VLAN接口IP地址，并设置与二层交换机连接的TRUNK接口。然后在各二层交换机上创建该VLAN，并进行VLAN端口划分，最后设置与三层交换机连接的trunk接口。图4.2所示：图4.2 科技楼的配置图以下为科技楼的实现命令：Kilojouleenkejilou#show runninghostname kejilouip ssh version 1port-channel load-balance src-macinterface FastEthernet0/1description link-to-hexinno switchportip address 8 52uplex autospeed autointerface FastEthernet0/2switchport mode trunkinterface FastEthernet0/3switchport mode trunkinterface Vlan1no ip addressshutdowninterface Vlan105ip address interface Vlan238ip address ip classlessip route FastEthernet0/1 ip route FastEthernet0/3 ip route FastEthernet0/2 line con 0line vty 0 4password ciscologinend4.3 访问控制列表访问控制列表使用包过滤技术，通过检查数据包的源端口，目的端口，源地址，目的地址等内容，并根据检查结果，确定允许或者禁止哪些数据包通过，以达到维护网络我、安全，限制网络流量目的。通过配置访问控制列表，可以使路由器或者三层交换机成为一个包过滤防火墙，经过数据包进行过滤，以实现阻止黑客攻击网络，限定网络使用者访问权限和时间，阻止网络病毒传播等功能。1 标准IP访问控制列表一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99的访问控制列表是标准IP访问控制列表。 2 扩展IP访问控制列表扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199的访问控制列表是扩展IP访问控制列表。4.3.1 科技楼访问控制配置科技楼主要为软件学院提供教学、科研场所。添加访问控制列表可以限制105机房网段的学生访问教师用户网段的机器等。如图4.3所示：图4.3 科技楼访问控制配置 科技楼访问控制实现命令：kejilou#show ip acckejilou#show ip access-list controlExtended IP access list controldeny ip 55 anykejilou#4.3.2 1号实训楼访问控制配置1号实训楼计算机使用者众多，主要包括教师、学生、和校办企业人员，为了控制用户使用网络的流量和病毒传播，应使用较高的安全措施，即指允许用户进行常用的网络操作，其余操作全部禁止。见下表4.4：表4.4 允许的各层协议应用层协议TCP端口UDP端口HTTP80HTTPS443FTP20,21SMTP25POP3110DNS5353允许上面表格里的端口号通过，其余端口禁止。如图4.5所示：图4.5 1号实训楼访问控制shixunlou1enshixunlou1#show runBuilding configuration.access-list 100 permit tcp any any eq wwwaccess-list 100 permit tcp any any eq 443access-list 100 permit tcp any any eq 20access-list 100 permit tcp any any eq ftpaccess-list 100 permit tcp any any eq smtpaccess-list 100 permit tcp any any eq pop3access-list 100 permit tcp any any eq domainaccess-list 100 deny ip any any4.4 校园防火墙防火墙是内部网络与外部网络之间的一种安全防范措施系统。用术语来描述，防火墙是一种安全有效的防范技术，是访问控制机制、安全策略和防入侵措施。从狭义上来讲，防火墙是指安装了防火墙软件的主机或路由器系统；从广义上讲，防火墙还包括了整个网络的安全策略和安全行为。一个防火墙系统通常有两种类型：路由器和代理服务器。路由器定义了一系列包过滤规则，包过滤规则以IP（internet protocol）信息包为基础，对IP报文中的源地址、IP目标地址、封装协议端口等进行筛选，由此决定是否要屏蔽此报文。使用路由器的优点是简单和廉价，缺点是包过滤规则的建立相对复杂。代理服务器则是通过执行特殊的TCP/IP协议来为内部网用户提供INTERNET服务。代理服务器就是一个应用层的网关，内部网的用户若要使用INTERNET提供的服务（如FTP/WWW），首先必须与代理服务器连续，经身份确认后，再由代理服务器负责与INTERNET连接。这样做是为了隔离内部主机和外部主机的直接通信，从而达到防止“黑客”入侵的目的。若校园网不加防范地接入INTERNET，很容易受到入侵者的攻击，严重时会导致网络的瘫痪。校园网中的防火墙（FIREWALL）是为了分离可信任的校园内部网和不可信的公共网或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据学校的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强大的抗攻击能力。校园网防火墙的作用概括为一下两点：（1） 强化校园网的安全策略：校园网的防火墙要求控制不安全的服务。踏执行防火墙的安全策略，仅允许在校园网授权的协议和服务才能通过防火墙。（2） 有效地记录校园网上的活动：所有进出校园网的信息都必须经过防火墙作为访问的唯一点，防火墙记录校园网络与外部网络之间进行的所有事件信息。第5章 项目最终的测试5.1 内部网络间的测试从科技楼机房105的一个用户去测试其他楼层的用户，例如去测试国际交流中心南楼的网关是 见图5.1所示：图5.1 科技楼与国交的测试从行政楼的PC0机子属于vlan11，IP地址为/24到咨讯楼的PC8机子属于Vlan105，IP地址为/24 见图5.2所示：图5.2 不同网段测试5.2 访问控制列表的测试在配置访问控制列表语句时，要注意一下事项。在配置命令时，尽量把作用范围小的语句放在前面。如一下访问控制列表语句：access-list control deny icmp any anyaccess-list control permit icmp host any访问控制列表在执行时，首先执行第一条，任何主机发送的ICMP包都满足条件，第二条将永远不会被执行！本意是想先执行第一条，就要把范围小的语句放在最前面在配置访问控制列表时要注意配置no switchport 命令，不然会出错的如图5.3所示：图5.3 错误修改例如105机房不允许学生