大型网络WLAN设计方案

1、方案设计Benet公司企业需求概述3-1vBENET公司一家新型的IT企业有近300台计算机公司业务对网络依赖性强总部位于北京，分别在广州、上海设有分公司总部设有财务、技术（研发）、生产和销售四个部门分公司有销售、生产和财务三个部门vBENET公司管理结构Benet公司公司财务部财务部技术部技术部生产部生产部销售部销售部上海分公司上海分公司广州分公司广州分公司财务部财务部生产部生产部销售部销售部财务部财务部生产部生产部销售部销售部Benet公司企业需求概述3-2本章结构企业需求分析企业需求分析项目总体规划项目总体规划子网划分和子网划分和IPIP地址规划地址规划IPIP地址规划地址规划VlanV

2、lan划分划分子网划分子网划分总体设计总体设计设备命名和连接规设备命名和连接规范范网络交换部分设计网络交换部分设计VTPVTP设计设计STPSTP设计设计通道和通道和VlanVlan间路由间路由分公司网络部分分公司网络部分网络总体规划v对于Benet公司的网络改建需求，应当如何规划网络建设方案？v子网如何划分？v路由部分如何设计？v交换部分如何设计？v广域网部分如何实现？v安全可靠性部分如何实现？Benet公司网络拓扑图3-1广州分公司广州分公司Benet公司北京总公司公司北京总公司上海分公司上海分公司InternetBenet公司网络v北京，广州和上海3部分网络组成一个统一的企业内联网，使用

3、总公司单一出口访问因特网，公司的服务器等全部在北京总公司实现v3部分通过路由器互联，使用OSPF，总公司在Area 0，广州分公司在Area 1，上海分公司在Area 2v统一使用单一因特网出口，即为北京总公司出口，使用1条10M的以太网宽带接入链路v出口部署1台防火墙以保障内网安全Benet公司网络v北京总公司的LAN部分为了保证网络的健壮性和可靠性，采用全冗余结构v两台核心交换机采用三层交换机，实现Vlan之间的路由，同时使用HSRP进行备份v北京总公司的LAN部分启用VTP和STPv北京总公司的LAN中单独划出一个Vlan作为服务器的区块，放置系统中所有的服务器v广州和上海分公司的LAN

4、部分没有复杂应用，此次不作改建设备清单与设备命名规范2-1v项目中都使用了哪些设备，数量有多少？v这些设备在网络调试的时候是否需要命名，为什么？v如果需要命名，应当如何为设备命名？设备清单与设备命名规范2-2设备类型设备数量命名规范举例二层交换机 9城市缩写-S-编号 BJ-S-1三层交换机 2城市缩写-RS-编号BJ-RS-1路由器3城市缩写-R-编号 GZ-R-1代表二层交换机代表二层交换机代表三层交换机代表三层交换机代表路由器代表路由器设备连接规范2-2CISCO WS-C3550-24-EMI1 3 5 7 9 112 4 6 8 10 1213 15 17 19 21 2314 16

5、 18 20 22 24TrunkEthernetChannel连接另一台连接另一台3550Trunk连接接入交换机连接接入交换机路由接口路由接口连接路由器连接路由器核心交换机的端口连接核心交换机的端口连接1 2Trunk分别连接分别连接2台台3550WS-C2950-24Access连接主机连接主机接入交换机的端口连接接入交换机的端口连接子网、Vlan和IP地址规划2-1v项目中是否需要划分子网，为什么？v如果需要划分子网，应该如何划分？v项目中划分Vlan的作用是什么？vBenet公司的Vlan应当如何划分？vBenet公司应该使用哪一类的IP地址，如何规划？ 子网、Vlan和IP地址规划

6、2-2vBenet公司采取Vlan和子网对应的划分方式v路由端口使用/24内的IP地址地点VlanVlan名称Vlan的内容对应子网全部Vlan 1Default管理Vlan/24北京总公司Vlan 2BJ-CW财务部/24Vlan 3BJ-GC工程部/24Vlan 4BJ-XS销售部/24Vlan 5BJ-YF研发部/24Vlan 127BJ-Srv服务器/24广州分公司Vlan 129GZ-all全部部门

7、/24上海分公司Vlan 130SH-all全部部门/24VlanVlan命名按如下规则：命名按如下规则：城市缩写城市缩写- -部门缩写部门缩写/ /功功能缩写能缩写分公司的详细分公司的详细VlanVlan划分不划分不是本次设计内容，是本次设计内容，VlanVlan命命名为：城市缩写名为：城市缩写-all-all网络交换部分总体设计vBenet公司北京总公司网络交换部分需要使用如下技术：VTPSTP以太网通道Vlan间路由v每种技术所要达到的目的是什么，如何实现？v具体应当规划设计？网络交换部分总体设计v北京总公司LAN部分Vlan 25Vlan 127Server

8、blockEthernetChannelVTPSTPHSRPSTP设计Vlan 5Vlan 127Vlan 2Vlan 3Vlan 4BJ-S-1BJ-S-2BJ-S-3BJ-S-4BJ-S-5BJ-S-6BJ-S-7BJ-RS-1Vlan2,5,127 RootBJ-RS-2Vlan1,3,4 Rootv使用PVST，为不同的Vlan指定不同的根网桥转发转发阻塞阻塞以太网通道和Vlan间路由设计v两台核心交换机之间使用以太网通道技术vVlan间的路由通过三层交换机实现为什么需要应为什么需要应用这些技术？用这些技术？使用三层交换使用三层交换的优点在哪里？的优点在哪里？分公司网络部分v分公司使用

9、的IP地址发生了变化广州分公司将使用/24的IP地址，网关为上海分公司将使用/24的IP地址，网关为v分公司交换机内Vlan的配置发生了变化v分公司交换机的管理IP地址发生了变化v分公司增加了路由器，需要按照本方案内路由部分的规划进行调试，以便和总公司连通企业需求分析企业需求分析项目总体规划项目总体规划子网划分和子网划分和IPIP地址规划地址规划IPIP地址规划地址规划VlanVlan划分划分子网划分子网划分总体设计总体设计设备命名和连接规设备命名和连接规范范网络交换部分设计网络交换部分设计

10、VTPVTP设计设计STPSTP设计设计通道和通道和VlanVlan间路由间路由分公司网络部分分公司网络部分本章总结BenetBenet公司规划实现公司规划实现一个全冗余的可靠网一个全冗余的可靠网络络在网络的交换部分，在网络的交换部分，需要考虑需要考虑VTPVTP、STPSTP、以太网通道和以太网通道和VlanVlan间间路由如何实现路由如何实现网络的整体规划需要网络的整体规划需要考虑设备如何命名、考虑设备如何命名、子网如何划分、子网如何划分、VlanVlan如何划分和如何划分和IPIP地址如地址如何规划等何规划等统一的设备命名和连统一的设备命名和连接规范对于提高网络接规范对于提高网络的可管理

11、可维护性非的可管理可维护性非常重要常重要内容回顾vBenet公司的网络总体规划北京总公司单一因特网出口路由采用OSPF协议交换网络全冗余v子网划分、Vlan划分、IP地址规划v交换部分设计VTP、STP、以太网通道Vlan间路由本章结构企业需求分析企业需求分析路由部分设计路由部分设计网络安全性设计网络安全性设计OSPF DROSPF DR设计设计路由器路由器IDID规划规划OSPFOSPF区域规划区域规划安全建设原则安全建设原则一般安全策略一般安全策略广域网部分设计广域网部分设计网络可靠性设计网络可靠性设计ACLACL设计设计HSRPHSRP设计设计项目实践实验组项目实践实验组织织路由部分设计

12、3-1vBenet公司内联网之间通过3台路由器互相连通v使用路由协议为OSPFvOSPF应该如何规划？OSPF区域路由器的ID指定路由器路由部分设计3-2Area0Area2Totally stub广州分公司广州分公司Benet公司北京总公司公司北京总公司上海分公司上海分公司Area1Totally stub北京总公司在北京总公司在Area 0Area 0分公司在非骨干区域，按分公司在非骨干区域，按成立时间排序成立时间排序路由部分设计3-3v分公司区域为完全末梢区域 v路由器ID采用特殊的IP地址v北京总公司内由路由器ID影响DR、BDR选举设备名称设备类型区域/放置地点Loopback地址B

13、J-R-1路由器Area0、1、2/北京BJ-RS-1三层交换机Area0/北京BJ-RS-2三层交换机Area0/北京GZ-R-1路由器Area1/广州SH-R-1路由器Area2/上海广域网部分设计2-1vBenet公司仅在北京总公司有因特网出口v申请一条以太网方式的宽带接入链路v出口部署防火墙v申请1段公网IP地址vNAT由防火墙实现互联网服务提供商ISP-X连接设备ISA防火墙申请地址段/30包含地址数4本端占用地址/30ISP端占用地址/30广域网部分设计

14、2-2Area0Area2Totally stubArea1Totally stub使用命令在使用命令在ospf区域区域内发布一条缺省路由内发布一条缺省路由学习到学习到ASBR通告的缺通告的缺省路由省路由Totally stub区域会自动区域会自动产生到产生到ABR的缺省路由的缺省路由到达因特网的到达因特网的缺省路由缺省路由Internet网络的进一步优化v网络设计到现在，Benet公司已经全部实现互联互通，与因特网也能够连通v那么，设计是否到这里就结束？v还需要考虑哪部分的内容？安全性可靠性v应该如何实现？网络安全性设计v已经学习过的网络安全技术有哪些？v如何应用在Benet公司网络项目中？

15、v网络中已经规划了防火墙和入侵检测系统，我们还能做什么？v首先，考虑网络的安全设计总体规划v其次，网络中的一般安全策略v最后针对项目中的具体情况，对如何保证网络安全性进行设计网络安全建设管理原则v网络建设方案v机房管理制度v各类人员职责分工v部门和人员职责v安全保密规定v安全策略文档v口令管理制度v系统操作规程v应急响应方案v用户授权管理v安全防护记录v定期对系统运行、用户操作等进行安全评估v其它制度网络一般安全策略v保护设备的物理安全v保护设备的密码v控制Telnet访问v禁止CDPv关闭HTTP服务ACL设计 v北京总公司部分通过ISA服务器访问因特网对外屏蔽Telnet对外屏蔽简单网管协

16、议SNMP防止DoS攻击v分公司部分不允许访问总公司的用户主机和其他分公司允许访问总公司服务器允许访问因特网防火墙上已经做了更防火墙上已经做了更详细的控制，防火墙详细的控制，防火墙正常时等于没有正常时等于没有网络可靠性设计v网络项目的可靠性包含哪几方面内容？v都需要使用到哪些技术？v在前面的设计中都涉及到了哪些？冗余链路STP路由协议vHSRP尚未规划 HSRP设计vHSRP在两台核心交换机上实现v按Vlan划分HSRP组v两台核心交换机分别在不同的HSRP组内承担活跃路由器角色v活跃路由器的选择和STP中根网桥的选择保持一致v配置优先级和占先权故障切换示意3-1v正常情况InternetOS

17、PFHSRPSTPVlan 127故障切换示意3-2v一台核心交换机故障InternetOSPFHSRPSTPVlan 127故障切换示意3-3v一台出口路由器故障InternetOSPFHSRPSTPVlan 127学员实验拓扑图area0area2Totally stubarea1Totally stubVlan 25Vlan 127组组1完成完成组组2完成完成PPPPPP模拟防火墙模拟防火墙实验组织v全班分为2个实验小组，每组完成一半实施任务v实验为12学时，分为3个阶段，每阶段完成不同任务第一阶段：4学时，完成交换部分的配置（北京总公司）第二阶段：4学时，完成HSRP 、路由和广域网部

18、分的配置，3个公司可以实现互连互通，并都可以访问防火墙第三阶段：4学时，完成ACL的配置，实现安全控制，2组的实验网络合并对实验结果进行验证实验阶段任务设备名称第一阶段完成第二阶段完成第三阶段完成BJ-R-1OSPF/PPP /缺省路由ACLGZ-R-1& SH-R-1OSPF/PPP ACLBJ-RS-1& 2VLAN/VTP(server)/STP(root)/Channel/三层交换HSRP/OSPFBJ-S-1&2&3&4VLAN/VTP(client)/STP(Portfast/Uplinkfast)GZ-S-1& SH-S-1VLAN（实验中可省略）阶段测试阶段测试总体测试验收实验验证方法2-1v第一阶段：局域网内vlan之间可以互通交换机能够通过VTP学习vlan的配置STP切换正常以太网通道工作正常各种show的结果输出正确v第二阶段：HSRP切换正常OSPF的路由表正确DR选举正常PPP协议工作正常全部末梢网络可以互通可以访问到防火墙各种show的结果输出正确实验验证方法2-2v第三阶段：出口路由器ACL工作正常，对外网到内网的访问控制符合设计要求分公司路由器ACL工作正常，对总公司网络的访问控制符合设计要求2组网络合并后，网络的每个部分都工作正常各种show的结果输出正确本章总结企业需求分析企业需求