企业局域网方案.doc

III 目目 录录 第 1 章 绪论 1 1 1研究背景及研究意义 1 1 2研究现状 2 1 2 1 国外研究现状 2 1 2 2 国内研究现状 2 1 3研究的主要内容 3 1 4本文的组织 3 第 2 章 相关技术和概念 4 2 1 OSPF 协议 开放式最短路径优先协议 4 2 2 VLAN 技 术 虚拟局域网 5 2 3 ACL 技术 访问控制列表 6 第 3 章 局域网需求分析 8 3 1 局域网设计概述 8 3 2 局域网设计要求 8 3 3 网络设计拓扑图 9 3 4 局域网设计用例描述 9 3 4 1 用例列表 9 3 4 2 用例描述 10 第 4 章 局域网整体设计 13 4 1 局域网核心层设计 13 4 2 局域网汇聚层设计 13 4 3 局域网接入层设计 14 4 4 局域网 IP 地址划分及 VLAN 规划 15 4 4 1 VLAN 规划 15 4 4 2 IP 地址划分 15 4 5 局域网路由协议选择 16 第 5 章 局域网详细设计 18 5 1 局域网行政模块详细设计 18 5 1 1 设计概述 18 5 1 2 配置命令 18 5 2 局域网教学模块详细设计 21 III 5 2 1 设计概述 21 5 2 2 配置命令 21 5 3 局域网考试中心详细设计 23 5 3 1 设计概述 23 5 3 2 配置命令 23 5 4 局域网 XX 总部详细设计 25 5 4 1 设计概述 25 5 4 2 配置命令 26 5 5 局域网安全设计 28 5 5 1 设计概述 28 5 5 2 配置命令 28 第 6 章 局域网测试与实现 30 6 1 局域网部分功能测试及实现 30 第 7 章 总结 32 7 1 总结 32 1 本次课题中该局域网设计遵循的结构是社会上绝大多数网络建设所使用的 三层网络结构 即 接入层 集散层和核心层三层设计 所使用的模拟软件为 小凡网络模拟软件以及 CRT 模拟器 模拟的设备 ios 选定为思科 3640ios 制 作网络拓扑图的工具为 Visio 2007 1 1 研究现状 1 1 1 国外研究现状 世界上第一个具有现代意义的计算机网络是美国国防部高级研究计划局于 1969 年建成的用于军事研究的 ARPANET 当时仅连接了 4 台计算机 ARPANET 为计算机网络技术的产生和发展奠定了基础 它所运用的一系列理论和技术成 为当代计算机网络建设的支柱 INTERNET 是一个世界范围的计算机网络 它建于 1982 年 目前已延伸到 世界上 150 多个国家 到 1994 年底 已有 2000 万以上的用户在使用这一网络 系统 1993 1994 年间 INTERNET 的用户数量以每月 25 的速度递增 目前仅 美国每天仍有 1000 多个新用户继续加入 INTERNET 网络 1990 年 美国大约拥有 100 万个互联计算机局域网 到 1994 年 这一数 字已增加到 500 万左右 1993 年美国并入局域网的 PC 约占全部商用 PC 的 70 欧美的发达国家的企业在局域网建设走的比较早 随着网络技术的不断进 步以及通讯产品技术的不断完善 现在的欧美发达国家企业局域网完全达到办 公自动化 而且带宽大 速度快 超过一半以上的企业都有自己的网站 成为 对外联络的主要窗口 企业内部网络安全等级很高 1 1 2 国内研究现状 截至 2010 年 12 月 有 94 8 的中小企业配备了电脑 无电脑的中小企业 仅占 5 2 有 92 7 的中国中小企业 的接入了互联网 已经达到了一个相当高 的水平 通过不同规模中小企业的互联网接入比例可以看出 规模较小企业中 互联网接入比例相对较低 规模较大的企业中互联网的接入比例已经接近 100 中国中小企业互联网接入比例达到一个较高水平的原因 主要是两方面的 原因 1 国家政策推动 国家和政府对于企业信息化的重视 以及大力推进工业 化和信息化融合的举措 对于中国中小企业互联网接入水平大幅提升起到了积 极的促进作用 一方面让中小企业认识到了互联网的价值 另一方面从政策上 2 保障了中小企业能够很便捷地享受互联网服务 2 市场机会牵引 随着个人互联网普及率不断快速提升 以及商业互联网 的快速发展 互联网对于中小企业的价值不断提升 互联网中市场机会不断增 加 这些不断增加的市场机会 也牵引着中国中小企业纷纷加快对互联网的利 用 在我国 企业局域网建设近些年来由了长足的发展 但和欧美发达国家的 企业局域网相比还有着明显的不足 主要体现在 1 低水平重复建设且成本高昂 各部门拥有相对独立的信息系统 资源分 散于各部门之中 容易形成信息孤岛 2 安全漏洞和系统风险大 各部门拥有相对独立的信息系统 不但系统复 杂度高 而且核心数据全部分布于本地 对系统的安全性提出了较高的要求 3 管理信息和反馈信息不能迅速传递 随着企业的发展 数据信息流不断 增大 对各部门管理提出了快速响应的要求 针对以上不足 我国企业局域网需要迎头赶上 奋起直追 1 2 研究的主要内容 本文主要研究的是运用所学知识 为网络培训公司设计公司局域网 该局 域网主要分为三个模块 分别为行政模块 教学模块和考试中心 行政模块由三个部门组成 分别是行政部 人事部和财务部 其中 行政 部门负责公司的日常业务运作 人事部门负责的是与各个部门的沟通与交流 即教学模块 考试中心和北京总部只与人事部保持通信状态 财务部负责的是 公司的财务状况 因其涉及公司机密 所以行政模块的财务部除了与北京总部 进行通信以外 不和其他模块进行连接交流 教学模块由两个教室组成 分别是网络教室和 Linux 教室 它们负责公司 的培训业务 与行政模块的人事部进行沟通联系 考试中心是认证部门在该公司设立的一个考试认证点 人们可以在此经过 考试 如果通过将获得该认证部门颁发的官方认证证书 因为确保其保密性 考试中心只与行政模块的人事部进行联系 并且只赋予其查看的权限 不赋予 其他权限 1 3 本文的组织 本文介绍了网络培训公司局域网的分析 设计与实现 全文分为七个章节 第一章主要介绍的是局域网的研究背景 意义和内容 第二章主要介绍的是网 络培训公司局域网的设计与实现所使用到的技术及其概念 第三章主要介绍的 3 是该公司局域网的需求分析设计 包括其所需的功能 拓扑以及预算等等 第 四章主要介绍的是该公司局域网的整体设计 包括其 IP 地址的划分以及 VLAN 的规划 路由协议的选择以及网络接入层 集散层和核心层的设计 第五章主 要介绍的是该公司局域网的详细设计 包括其三个模块的设计 搭建以及实现 局域网的优化设计以及安全设计 第六章主要介绍的是该公司局域网的测试及 实现记录 第七章是本文的总结 主要介绍的是设计该公司局域网事所遇到的 技术问题以及有待完善的功能 最后是设计该公司局域网时用到参考文献和个 人的致谢词 第第 2 2 章章 相相关关技技术术和和概概念念 2 1 OSPF 协议 开放式最短路径优先协议 OSPF Open Shortest Path First 又称开放式最短路径优先协议 是一 个内部网关协议 用于在单一自治系统内决策路由 与 RIP 相比 OSPF 是链路 状态路由协议 而 RIP 是距离矢量路由协议 OSPF 的协议管理距离 AD 是 110 OSPF 路由协议是一种典型的链路状态 Link state 的路由协议 一般用 于同一个路由域内 在这里 路由域是指一个自治系统 Autonomous System 即 AS 它是指一组通过统一的路由政策或路由协议互相交换路由信息的网络 在这个 AS 中 所有的 OSPF 路由器都维护一个相同的描述这个 AS 结构的数据库 该数据库中存放的是路由域中相应链路的状态信息 OSPF 路由器正是通过这个 数据库计算出其 OSPF 路由表的 作为一种链路状态的路由协议 OSPF 将链路状态广播数据 LSA Link State Advertisement 传送给在某一区域内的所有路由器 这一点与距离矢量 路由协议不同 运行距离矢量路由协议的路由器是将部分或全部的路由表传递 给与其相邻的路由器 OSPF 协议主要有 6 类网络类型 分别为 1 2 3 4 5 7 类 其中 类 型 1 是 Router LSA 即每个路由器都将产生 Router LSA 这种 LSA 只在本区域 内传播 描述了路由器所有的链路和接口 状态和开销 类型 2 是 Network LSA 即在每个多路访问网络中 DR 都会产生这种 Network LSA 它只在产生这 条 Network LSA 的区域泛洪描述了所有和它相连的路由器 包括 DR 本身 类 型 3 是 Network Summary LSA 即由 ABR 路由器始发 用于通告该区域外部的 目的地址 当其他的路由器收到来自 ABR 的 Network Summary LSA 以后 它不 会运行 SPF 算法 它只简单的加上到达那个 ABR 的开销和 Network Summary LSA 中包含的开销 类型 4 是 ASBR Summary LSA 即由 ABR 发出 ASBR 汇总 4 LSA 除了所通告的目的地是一个 ASBR 而不是一个网络外 类型 5 是 AS External LSA 即发自 ASBR 路由器 用来通告到达 OSPF 自主系统外部的目的 地 或者 OSPF 自主系统那个外部的缺省路由的 LSA 这种 LSA 将在全 AS 内的泛 洪 4 个特殊区域除外 类型 7 是 NSSA External LSA 即来自非完全 Stub 区 域 not so stubby area 内 ASBR 路由器始发的 LSA 通告它只在 NSSA 区域内 的泛洪 这是与类型 5 的区别 本文认为 OSPF 协议主要有七个优点 分别为 1 OSPF 是真正的 LOOP FREE 无路由自环 路由协议 这是源自其算法 本身的优点 链路状态及最短路径树算法 2 OSPF 收敛速度快 能够在最短的时间内将路由变化传递到整个自治系 统 3 提出区域 area 划分的概念 将自治系统划分为不同区域后 通过区 域之间的对路由信息的摘要 大大减少了需传递的路由信息数量 也使得路由 信息不会随着网络规模的扩大而急剧膨胀 4 将协议自身的开销控制到最小 理由如下 1 用于发现和维护邻居关系的是定期发送的是不含路由信息的 hello 报 文 规模较小 包含路由信息的报文时是触发更新的机制 有路由变化时才会 发送 但为了增强协议的健壮性 每 1800 秒全部重发一次 2 在广播网络中 使用组播地址 而非广播 发送报文 减少对其它不 运行 OSPF 的网络设备的干扰 3 在各类可以多址访问的网络中 通过选举 DR 使同网段的路由器之 间的路由交换次数较少 4 提出 STUB 区域的概念 使得 STUB 区域内不再传播引入的 ASE 路由 5 在 ABR 区域边界路由器 上支持路由聚合 进一步减少区域间的路 由信息传递 6 在点到点接口类型中 通过配置 使得 OSPF 不再定时发送 hello 报 文及定期更新路由信息 只在网络拓扑真正变化时才发送更新信息 5 通过严格划分路由的级别 共分四极 提供更可信的路由选择 6 良好的安全性 OSPF 支持基于接口的明文及 md5 验证 7 OSPF 适应各种规模的网络 最多可达数千台 2 2 VLAN 技术 虚拟局域网 VLAN Virtual Local Area Network 的中文名为虚拟局域网 是一种将 局域网设备从逻辑上划分成一个个网段 从而实现虚拟工作组的新兴数据交换 5 技术 这一新兴技术主要应用于交换机和路由器中 但主流应用还是在交换机 之中 VLAN 是为解决以太网的广播问题和安全性而提出的一种协议 它在以太网 帧的基础上增加了 VLAN 头 用 VLAN ID 把用户划分为更小的工作组 限制不同 工作组间的用户互访 每个工作组就是一个虚拟局域网 虚拟局域网的好处是 可以限制广播范围 并能够形成虚拟工作组 动态管理网络 VLAN 有很多种划分的方法 本文主要研究的是根据端口来划分 VLAN 成员 被设定的端口都在同一个广播域中 例如 一个交换机的 1 2 3 4 5 端口 被定义为虚拟网 AAA 同一交换机的 6 7 8 端口组成虚拟网 BBB 以交换机 端口来划分网络成员 其配置过程简单明了 因此 从目前来看 这种根据端 口来划分 VLAN 的方式仍然是最常用的一种方式 本文认为 VLAN 技术主要有六个优点 分别为 1 广播风暴防范 通过限制网络上的广播 将网络划分为多个 VLAN 可减 少参与广播风暴的设备数量 使用 VLAN 可以将某个交换端口或用户赋于某一 个特定的 VLAN 组 该 VLAN 组可以在一个交换网中或跨接多个交换机 在一个 VLAN 中的广播不会送到 VLAN 之外 同样 相邻的端口不会收到其他 VLAN 产生 的广播 这样可以减少广播流量 释放带宽给用户应用 减少广播的产生 2 安全性高 不同 VLAN 内的报文在传输时是相互隔离的 即一个 VLAN 内 的用户不能和其它 VLAN 内的用户直接通信 如果不同 VLAN 要进行通信 则需 要通过路由器或三层交换机等三层设备 如此变可增强局域网的安全性 从而 降低泄露机密信息的可能性 3 成本降低 成本高昂的网络升级需求减少 现有带宽和上行链路的利用 率更高 因此可节约成本 4 性能提高 将第二层平面网络划分为多个逻辑工作组 广播域 可以减 少网络上不必要的流量并提高性能 5 提高网络工程师工作效率 VLAN 为网络管理带来了方便 因为有相似 网络需求的用户将共享同一个 VLAN 6 增加了网络连接的灵活性 借助 VLAN 技术 能将不同地点 不同网络 不同用户组合在一起 形成一个虚拟的网络环境 就像使用本地 LAN 一样方便 灵活 有效 VLAN 可以降低移动或变更工作站地理位置的管理费用 特别是一 些业务情况有经常性变动的公司使用了 VLAN 后 这部分管理费用大大降低 2 3 ACL 技术 访问控制列表 ACL Access Control List 又称为访问控制列表 是路由 6 器和交换机接口的指令列表 用来控制端口进出的数据包 ACL 适用于所有的被路由协议 这张表中包含了匹配关系 条件和查询语句 表只是一个框架结构 其目的是为了对网络中的某一种访问进行控 制 目前的 ACL 技术主要分为两种 即标准的ACL 和拓展的ACL 他们的区别主要有三点 1 标准的 ACL 使用 1 99 以及 1300 1999 之间的数字作为表号 扩展的ACL 使用 100 199 以及 2000 2699 之间的数字作为表号 2 标准 ACL 可以阻止来自某一网 络的所有通信流量 或者允许来自某一特定网络的所有通信流量 或者 拒绝某一协议簇 比如 IP 的所有通信流量 3 扩展 ACL 比标准 ACL 提供了更广泛的控制范围 例如 网络管理员如果希望做到 允许外来的Web 通信流量通过 拒绝外来的FTP 和 Telnet 等通 信流量 那么 他可以使用扩展ACL 来达到目的 标准ACL 不 能控制这么精确 本文认为ACL 技术主要有 三 个 优点 分别为 1 ACL 可以限制网络流量 提高网络性能 例如 ACL 可 以根据数据包的协议 指定数据包的优先级 2 ACL 提供对通信流量的控制手段 例如 ACL 可以限定或 简化路由更新信息的长度 从而限制通过路由器某一网段的通信流量 3 ACL 可以在路由器端口处决定哪种类型的通信流量被转发或 被阻塞 例如 用户可以允许E mail 通信流量被路由 拒绝所有的 Telnet 通信流量 7 第第 3 3 章章 局局域域网网需需求求分分析析 3 1 局域网设计概述 该公司局域网是为了实现公司内部一系列需求所设计建立的 除了 维护公司日常运作需求之外 争取在资金允许范围内提高网络运行效率 同时加强其安全策略 尽可能的出现安全漏洞 为了进行更好的沟通与交流 人事部门可与远在北京的公司总部进 行通信联系 同时人事部门也可以与各个教室和考试中心中的考试机子 进行通信联系 同时 为了维护其机密性 人事部门只有对教室和考试 中心进行查看的权限 并没有其他诸如修改 删除等权限 为了维护公司财务的机密性 公司的财务部门将不与任何模块进行 沟通联系 不过 为了防止公司财务部内部人员违规操作 赋予北京总 部对财务部门查看的权限 没有添加 修改 删除等权限 3 2 局域网设计要求 该公司局域网设计要求如下 1 实用性 网络建设从应用实际需求出发 如果对现有网络升 级改造 还应该充分考虑如何利用现有资源 尽量发挥设备效益 2 适度先进性 规划局域网 不但要满足用户当前的需要 还 应该有一定技术前瞻性和用户需求预见性 考虑到能够满足未来几年内 用户对网络功能和带宽的需要 采用成熟的先进技术 兼顾未来的发展 趋势 即量力而行 又适当超前 留有发展余地 3 经济性 要求价格适中 设备及耗材要求采用质量过硬 物 美价廉 投资预算不超过20 万 4 安全可靠性 确保网络可靠运行 在网络的关键部分应具有 容错能力 提供公共网络连接 通信链路 服务器等全方位的安全管理 系统 5 开放性 采用国际标准通信协议 标准操作系统 标准网管 8 软件 采用符合标准的设备 保证整个系统具有开放特点 6 可扩展性 系统便于扩展 保证前期的投资的有效性与后期 投资的连续性 7 安全保密性 为了保证网上信息的安全和各种应用系统的安 全 在规划时就要为局域网考虑一个周全的安全保密方案 3 3 网络设计拓扑图 图 3 3 1 公司局域网网络设计拓扑图 3 4 局域网设计用例描述 3 4 1 用例列表 表 3 4 1 用例列表 用例编号用例编号用例名称用例名称描述描述 UC001UC001 行政部负责公司日常工作业务 UC002UC002 人事部负责公司沟通与联系业务 UC003UC003 财务部负责公司财务 UC004UC004 网络教室负责公司网络技能学习培训 UC005UC005 Linux 教室负责公司 Linux 技能学习培训 UC006UC006 考试中心 PC 机负责技能认证考试 UC007UC007 XX 总部负责与北京总部进行联系 并允许 9 其浏览公司账目 3 4 2 用例描述 行政部门行政部门 表 3 4 2 行政部门用例描述表 用例编号用例编号 UC001UC001 用例名称用例名称行政部行政部 角色角色公司内部工作人员 用例描述用例描述行政部门人员负责公司日常工作业务 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内行政部的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内行政部门的 特权模式 人事部门人事部门 表 3 4 3 人事部门用例描述表 用例编号用例编号 UC002UC002 用例名称用例名称人事部人事部 角色角色公司内部工作人员 用例描述用例描述人事部门人员负责公司沟通与交流业务 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内人事部的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内人事部门的 特权模式 财务部门财务部门 表 3 4 4 财务部门用例描述表 用例编号用例编号 UC003UC003 用例名称用例名称财务部财务部 10 角色角色公司内部财务部人员 用例描述用例描述财务部门人员负责公司财务业务 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内财务部的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内财务部门的 特权模式 网络教室网络教室 表 3 4 5 网络教室用例描述表 用例编号用例编号 UC004UC004 用例名称用例名称网络教室网络教室 角色角色参与网络培训的学员 用例描述用例描述负责公司网络技能的学习和培训 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内网络教室的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内网络教室的 特权模式 LinuxLinux 教室教室 表 3 4 6 Linux 教室用例描述表 用例编号用例编号 UC005UC005 用例名称用例名称LinuxLinux 教室教室 角色角色参与 LinuxLinux 培训的学员 用例描述用例描述负责公司 LinuxLinux 技能的学习和培训 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内 LinuxLinux 教室的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内 LinuxLinux 教室 11 的特权模式 考试中心考试中心 PCPC 机机 表 3 4 7 考试中心 PC 机用例描述表 用例编号用例编号 UC006UC006 用例名称用例名称考试中心考试中心 PCPC 机机 角色角色参加技能认证考试的学院 用例描述用例描述负责技能认证考试 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内部考试中心 PC 机的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内部考试中心 PC 机的特权模式 XXXX 总部总部 表 3 4 8 XX 总部用例描述表 用例编号用例编号 UC007UC007 用例名称用例名称XXXX 总部总部 角色角色公司内部人事部 财务部工作人员 用例描述用例描述负责与北京总部进行沟通联系 并且允许其查看公司账务 参与者参与者网络管理员 前置条件前置条件用户已是网络用户 即有有效的用户名 密码 并输入正确 后置条件后置条件身份验证正确 进入交换机内部北京总部的操作界面 基本路径基本路径1 用户在用户模式下输入用户名和密码 2 网络进行登录身份验证 验证通过后进入交换机内部北京总部 的特权模式 12 第第 4 4 章章 局域网整体设计局域网整体设计 4 1 局域网核心层设计 核心层作为整个网络系统的核心 其主要功能是高速 可靠的进行数据交 换 核心交换区的作用是尽快地提供所有的区域间的数据交换 核心层的功能主要 是实现骨干网络之间的优化传输 骨干层设计任务的重点通常是冗余能力 可靠 性和高速的传输 网络的控制功能最好尽量少在骨干层上实施 核心层一直被 认为是所有流量的最终承受者和汇聚者 所以对核心层的设计以及网络设备的 要求十分严格 核心层设备将占投资的主要部分 因受到模拟器的局限 本文将使用 1 台思科 3640 路由器完成此设计 它提 供带集成永续性的出色控制 将永续性集成到硬件和软件中 缩短了网络停运 时间 4 2 局域网汇聚层设计 汇聚层是楼群或小区的信息汇聚点 是连接接入层和核心层的网络设备 为 接入层提供数据的汇聚 传输 管理 分发处理 汇聚层为接入层提供基于策 略的连接 如地址合并 协议过滤 路由服务 认证管理等 通过网段划分 如 VLAN 与网络隔离可以防止某些网段的问题蔓延和影响到核心层 同时汇聚层也 可以提供接入层虚拟网之间的互连 控制和限制接入层对核心层的访问 保证核 心层的安全和稳定 汇聚层的功能主要是连接接入层节点和核心层中心 汇聚层设计为连接本 地的逻辑中心 仍需要较高的性能和比较丰富的功能 因受到模拟器的局限 本文将使用 4 台思科 3750 交换机以及 3 台思科 3640 路由器来完成此设计 思科 3750 系列交换机是一个创新的产品系列 它结合业界领先的易用性 和最高的冗余性 里程碑地提升了堆叠式交换机在局域网中的工作效率 这个 新的产品系列采用了最新的技术 不但实现高达 32Gbps 的堆叠互联 还从物 理上到逻辑上使若干独立交换机在堆叠时集成在一起 便于用户建立一个统一 高度灵活的交换系统 就好像是一整台交换机一样 这代表了堆叠式交换机新 13 的工业技术水平和标准 对于中型企业网络来说 思科 3750 系列通过提供配置灵活性 支持融合 网络模式及自动进行智能网络服务配置 简化了融合应用的部署 并可针对不 断变化的业务需求进行调整 此外 思科 3750 系列针对高密度千兆位以太网 部署进行了优化 包括多种交换机 以满足接入 汇聚或小型网络骨干连接需 求 4 3 局域网接入层设计 接入层通常指网络中直接面向用户连接或访问的部分 接入层目的是允许 终端用户连接到网络 因此接入层交换机具有低成本和高端口密度特性 接入 交换机是最常见的交换机 它直接与外网联系 使用最广泛 尤其是在一般办 公室 小型机房和业务受理较为集中的业务部门 多媒体制作中心 网站管理 中心等部门 在传输速度上 现代接入交换机大都提供多个具有 10M 100M 1000M 自适应能力的端口 在核心层和汇聚层的设计中主要考虑的是网络性能和功能性要高 那么我 们在接入层设计上主张使用性能价格比高的设备 接入层是最终用户 教师 学 生 与网络的接口 它应该提供即插即用的特性 同时应该非常易于使用和维 护 当然我们也应该考虑端口密度的问题 因受到模拟器的局限 本文将试用 4 台思科 2960 交换机完成此设计 思科 2960 系列智能以太网交换机是一个全新的 固定配置的独立设备系列 提供桌 面快速以太网和千兆以太网连接 可为入门级企业 中型市场和分支机构网络 提供增强 LAN 服务 Catalyst 2960 系列具有集成安全特性 包括网络准入控 制 NAC 高级服务质量 QOS 和永续性 可为网络边缘提供智能服务 凭借思 科 2960 系列提供的广泛安全特性 企业可保护重要信息 防止未授权人员接 入网络 确保私密性及维持不间断运行 14 图 4 3 1 公司局域网拓扑图 4 4 局域网 IP 地址划分及 VLAN 规划 4 4 1 VLAN 规划 在本文第二章中已经详细的阐述了 VLAN 的定义 作用以及它的有点 在此 就不准备重复了 在本文研究的公司局域网中 将划分成 7 个 VLAN 区域 VLAN 的规划分布 表如下所示 表 4 4 1 VLAN 规划分布表 VLANVLAN 所处部门所处部门 VLAN 1 行政部 VLAN 2 人事部 VLAN 3 财务部 VLAN 4 网络教室 VLAN 5 Linux 教室 VLAN 6 考试中心 PC1 VLAN 7 考试中心 PC2 VLAN 1 北京总部 15 4 4 2 IP 地址划分 在本文研究的公司局域网中将分成三个模块 7 个部门 另外还有北京总部 的人事部 即总共为 8 哥部门 因此 本文将根据 IP 地址划分的原则 对此 8 个部门进行 IP 地址的划分 其 IP 地址划分表如下所示 表 4 4 2 IP 地址划分表 部门 VLAN 网段网关子网掩码 行政部 110 1 1 0 2410 1 1 1255 255 255 0 人事部 210 1 2 0 2410 1 2 1255 255 255 0 财务部 310 1 3 0 2410 1 3 1255 255 255 0 网络教室 410 2 1 0 2410 2 1 1255 255 255 0 Linux 教室 510 2 2 0 2410 2 2 1255 255 255 0 考试中心 PC1 610 3 1 0 2410 3 1 1255 255 255 0 考试中心 PC2 710 3 2 0 2410 3 2 1255 255 255 0 北京总部 1192 168 1 0 24192 168 1 1255 255 255 0 4 5 局域网路由协议选择 为达到路由快速收敛 寻址以及方便网络管理员管理的目的 本文研究的 公司局域网将采用动态路由协议 目前较好的动态路由协议是 OSPF 协议和 EIGRP 协议 OSPF 以协议标准化强 支持厂家多 受到广泛应用 而 EIGRP 协议由 Cisco 公司发明 只有 Cisco 公司自己的产品支持 属于私有性质 其 他厂商设备是不支持的 考虑到网络的扩展性 数据资源的保护等原因 本文 将选择 OSPF 路由协议规划公司内部局域网 而与北京总部的通信将试用 EIGRP 和 BGP 协议 OSPF 协议采用链路状态协议算法 每个路由器维护一个相同的链路状态数 据库 保存整个 AS 的拓扑结构 AS 不划分情况下 一旦每个路由器有了完 整的链路状态数据库 该路由器就可以自己为根 构造最短路径树 然后再根 据最短路径构造路由表 OSPF 将整个 AS 划分为若干个区域 区域内的路由器 维护一个相同的链路状态数据库 保存该区域的拓扑结构 OSPF 路由器相互间 交换信息 但交换的信息不是路由 而是链路状态 EIGRP 协议 即增强型网关内部路由线路协议 也翻译为加强型内部网关 路由协议 EIGRP 是 Cisco 公司的私有协议 Cisco 公司是该协议的发明者和唯 一具备该协议解释和修改权的厂商 EIGRP 结合了链路状态和距离矢量型路由 16 选择协议的 Cisco 专用协议 采用弥散修正算法 DUAL 来实现快速收敛 可 以不发送定期的路由更新信息以减少带宽的占用 支持 IP Novell 和 NetWare 等多种网络层协议 BGP 协议是一种在自治系统之间动态交换路由信息的路由协议 一个自治 系统的经典定义是在一个管理机构控制之下的一组路由器 它使用 IGP 和普通 度量值向其他自治系统转发报文 在 BGP 中使用自治系统这个术语是为了强调这样一个事实 一个自治系统 的管理对于其他自治系统而言是提供一个统一的内部选路计划 它为那些通过 它可以到达的网络提供了一个一致的描述 在本文研究的公司局域网中 路由协议的选择及配置如下表所示 表 4 5 路由协议规划表 部门 VLAN 网段协议类型所处协议区域 行政部 110 1 1 0 24OSPFAREA 1 人事部 210 1 2 0 24OSPFAREA 1 财务部 310 1 3 0 24OSPFAREA 1 网络教室 410 2 1 0 24OSPFAREA 2 Linux 教室 510 2 2 0 24OSPFAREA 2 考试中心 PC1 610 3 1 0 24OSPFAREA 3 考试中心 PC2 710 3 2 0 24OSPFAREA 3 北京总部 1192 168 1 0 24EIGRPAS 1 17 第第 5 5 章章 局域网详细设计局域网详细设计 5 1 局域网行政模块详细设计 5 1 1 设计概述 局域网行政模块为本文研究的公司局域网三大模块之一 主要负责公司日 常的工作业务 该行政模块下属三个部门 分别为行政部 人事部以及财务部 其中 作为负责沟通与交流的人事部 它将可以和另外两个模块进行 ICMP 通信 同时也可以和在北京的公司总部进行 ICMP 通信 不过 人事部门只拥有浏览的 权限 并没有添加 修改和删除等权限 另外 作为负责公司财务业务的财务 部 任何模块中的任何部门都没有权限对其进行浏览 添加 修改 删除等操 作 而为了防止公司财务部内部人员违规操作 将单独允许北京的公司总部与 财务部进行 ICMP 通信 最后 行政模块选择 OSPF 路由协议 它们是该 OSPF 协 议上的区域 1 5 1 2 配置命令 行政模块各部门的 IP 地址划分及 VLAN 规划的配置命令如下图所示 18 图 5 1 1 行政模块各部门 IP 地址划分 图 5 1 2 行政模块各部门 VLAN 规划 行政模块与核心层链接的配置命令如下图所示 图 5 1 3 行政模块路由器 IP 地址划分 19 图 5 1 4 核心层路由器 IP 地址划分 行政模块进行 OSPF 路由协议的配置命令如下图所示 图 5 1 5 行政模块路由器上 OSPF 路由协议配置 图 5 1 6 核心层路由器上 OSPF 路由协议配置 人事部门与教学模块进行 ICMP 通信的配置命令如下图所示 图 5 1 7 人事部门与网络教室进行通信配置 图 5 1 8 人事部门与 Linux 教室进行通信配置 人事部门与考试中心进行 ICMP 通信的配置命令如下图所示 20 图 5 1 9 人事部门与考试中心 PC 1 进行通信配置 图 5 1 10 人事部门与考试中心 PC 2 进行通信配置 人事部门与 XX 总部进行 ICMP 通信的配置命令如下图所示 图 5 1 11 人事部门与北京总部进行通信配置 财务部门只允许与北京总部进行 ICMP 通信的配置命令如下图所示 图 5 1 12 财务部门与北京总部进行通信配置 5 2 局域网教学模块详细设计 5 2 1 设计概述 局域网教学模块为本文研究的公司局域网三大模块之一 主要负责公司的 技能认证培训 该教学模块下属两间教室 分别为网络教室 Linux 教室 两 21 间教室面对广大学员 分别对其进行网络技能和 Linux 技能的培训 两间教室 作为独立的教室 并不能互相的进行通信 远程等等 均和行政模块中的人事 部门建立 ICMP 通信 最后 教学模块选择 OSPF 路由协议 它们是该 OSPF 协议 上的区域 2 5 2 2 配置命令 教学模块各教室的 IP 地址划分及 VLAN 规划的配置命令如下图所示 图 5 2 1 教学模块各教室 IP 地址划分 图 5 2 2 教学模块各教室 VLAN 规划 教学模块与核心层链接的配置命令如下图所示 图 5 2 3 教学模块路由器 IP 地址划分 22 图 5 2 4 核心路由器 IP 地址划分 教学模块进行 OSPF 路由协议的配置命令如下图所示 图 5 2 5 教学模块路由器上 OSPF 路由协议配置 图 5 2 6 核心层路由器上 OSPF 路由协议配置 网络教室与人事部门进行 ICMP 通信的配置命令如下图所示 图 5 2 7 网络教室与人事部门进行通信配置 Linux 教室与人事部门进行 ICMP 通信的配置命令如下图所示 图 5 2 8 Linux 教室与人事部门进行通信配置 23 5 35 3 局域网考试中心详细设计局域网考试中心详细设计 5 3 1 设计概述 局域网考试中心为本文研究的公司局域网三大模块之一 主要负责公司的 技能认证考试 该考试中心下分别有两台考试机器 面对广大考生 由于技能 认证考试的保密性和安全性 两台机器并不能互相的进行通信 远程等等 也 不能和任何模块进行联系并且不能连接广域网 均从行政模块中的人事部门进 行 ICMP 通信 接收考试信息转发 最后 考试中心选择 OSPF 路由协议 它们 是该 OSPF 协议上的区域 3 5 3 2 配置命令 考试中心各考试机的 IP 地址划分及 VLAN 规划的配置命令如下图所示 图 5 3 1 考试中心各考试机 IP 地址划分 24 图 5 3 2 考试中心各考试机 VLAN 规划 考试中心与核心层链接的配置命令如下图所示 图 5 3 3 考试中心路由器 IP 地址划分 图 5 3 4 核心路由器 IP 地址划分 考试中心进行 OSPF 路由协议的配置命令如下图所示 图 5 3 5 考试中心路由器上 OSPF 路由协议配置 图 5 3 6 核心层路由器上 OSPF 路由协议配置 考试中心 PC1 与人事部门进行 ICMP 通信的配置命令如下图所示 图 5 3 7 考试中心 PC 1 与人事部门进行通信配置 25 考试中心 PC2 与人事部门进行 ICMP 通信的配置命令如下图所示 图 5 3 8 人事部门与考试中心 PC 2 进行通信配置 5 4 局域网 XX 总部详细设计 5 4 1 设计概述 局域网 XX 总部为本文研究的公司局域网的一个部分 它是该培训公司的总 部所在 因其地域的特殊性 故能和行政模块中的人事部门进行 ICMP 通信 并 且允许和行政模块中的财务部门进行 ICMP 通信 最后 XX 总部选择 EIGRP 路 由协议 它们是该 EIGRP 协议上的 AS 1 同时 因为相隔距离较远 故将试用 边界路由协议 即 BGP 路由协议 5 4 2 配置命令 XX 总部 IP 地址划分的配置命令如下图所示 图 5 4 1 XX 总部 IP 地址划分 XX 总部与核心层链接的配置命令如下图所示 26 图 5 4 2 XX 总部路由器 IP 地址划分 图 5 4 3 核心路由器 IP 地址划分 XX 总部进行 EIGRP 路由协议的配置命令如下图所示 图 5 4 4 XX 总部路由器上 EIGRP 路由协议配置 图 5 4 5 核心层路由器上 EIGRP 路由协议配置 XX 总部进行 BGP 边界路由协议的配置命令如下图所示 图 5 4 6 XX 总部路由器上 BGP 边界路由协议配置 图 5 4 7 核心路由器上 BGP 边界路由协议配置 27 XX 总部与人事部门进行 ICMP 通信的配置命令如下图所示 图 5 4 8 XX 总部与人事部门进行通信配置 XX 总部与财务部门进行 ICMP 通信的配置命令如下图所示 图 5 4 9 XX 总部与财务部门进行通信配置 5 5 局域网安全设计 5 5 1 设计概述 本文研究认为公司网络的安全风险有以下 3 点 1 公司网络与公网连接 可能遭到来自各地的越权访问 还可能遭到网络 黑客的恶意攻击和计算机病毒的入侵 2 内部的各个子网通过骨干交换相互连接 这样的话 某些重要的部门可 能会遭到来自其它部门的越权访问 这些越权访问可能包括恶意攻击 误操作 等 据统计约有 70 左右的攻击来自内部用户 相比外部攻击来说 内部用户 具有更得天独厚的优势 但是无论怎样 结果都将导致重要信息的泄露或者网 络的瘫痪 3 设备的自身安全性也会直接关系到网络系统和各种网络应用的正常运转 例如 路由设备存在路由信息泄漏 交换机和路由器设备配置风险等 重要服 务器或操作系统自身存在安全的漏洞 如果管理员没有及时的发现并且进行修 28 复 将会为网络的安全带来很多不安定的因素 重要服务器的当机或者重要数 据的意外丢失 都将会造成公司日常办公无法进行 5 5 2 配置命令 AAA 认证登陆密码配置命令如下图所示 图 5 5 2 1 AAA 认证登陆 Telnet 登陆以及特权模式密码配置命令如下图所示 图 5 5 2 2 Telnet 登陆以及特权模式密码设置 29 第第 6 6 章章 局域网测试与实现局域网测试与实现 6 1 局域网部分功能测试及实现 在该局域网设计并搭建完成后 对该局域网的每个功能都进行了全面的测 试 并在测试过程中 对测出的问题进行了改正 由于本局域网那个功能较多 在此不一一列举测试过程 以下仅对一些主要的功能进行了测试过程的记录 表 6 1 人事部门 ICMP 通信功能测试表 功能模块功能模块人事部门 ICMP 通信 用例编号 UC002 测试时间 2012 3 20 相关用例无 功能特性1 人事部门可与教学模块中的各个教室进行 ICMP 通信 2 人事部门可与考试中心中的各个考试机进行 ICMP 通信 3 人事部门可与 XX 总部进行 ICMP 通信 测试目的保障网络的安全性 防止出现信息泄露 被恶意攻击等等 操作步骤操作步骤操作描述操作描述输入数据输入数据期望结果期望结果实际实际 结果结果 测试状态测试状态 P FP F 1 将人事部 门的 IP 地 址与各个 教室进行 互 ping Ping10 2 1 2 Ping10 2 2 2 可以 ping 通 符合 P 2 将人事部 门的 IP 地 址与各个 考试机进 行互 Ping10 3 1 2 Ping10 3 2 2 可以 ping 通 符合 P 30 ping 3 将人事部 门的 IP 地 址与 XX 总 部进行互 ping Ping 192 168 1 2 可以 ping 通 符合 P 表 6 2 财务部门 ICMP 通信功能测试表 功能模块功能模块财务部门 ICMP 通信 用例编号 UC002 测试时间 2012 3 20 相关用例无 功能特性1 财务部门可与 XX 总部进行 ICMP 通信 2 财务部门不可与其他部门进行通信 3 财务部门不能连接广域网 测试目的保障网络的安全性 防止出现信息泄露 被恶意攻击等等 操作步骤操作步骤操作描述操作描述输入数据输入数据期望结果期望结果实际结实际结 果果 测试状态测试状态 P FP F 1 将财务部 门的 IP 地 址与 XX 总 部的 IP 地 址进行互 ping Ping 192 168 1 2 可以 ping 通 符合 P 2 将财务部 门的 IP 地 址与各个 教室进行 互 ping Ping10 2 1 2 Ping10 2 2 2 不可以 ping 通 符合 P 31 第第 7 7 章章 总结总结 7 17 1 总结总结 首先 本文是以现今流行的技能培训班式服务业业为背景 根据其中一个 特定的中小型培训公司为蓝本所做的一个企业网络解决方案 网络整体采用的 是 Cisco 三层架构 这个结构的优点是稳定性好 设备负载均衡 易扩展 并 且网络故障排查也比较容易 无论各行各业在网络中的要