中小型企业网络设计与构建本科毕业论文

北京吉利学院2016届毕业论文（设计）PAGEPAGE4北京吉利学院毕业论文（设计） 论文题目：中小企业网络设计与构建姓名：张令学号：1303010095学院：理工学院 专业：计算机应用技术班级：13级高职1班指导教师：李培培完成日期：2016年3月15日内容摘要信息化浪潮风起云涌的今天，企业内部网络的建设已经成为提升企业核心竞争力的关键因素。企业网已经越来越多地被人们提到，利用网络技术，现代企业可以在供应商、客户、合作伙伴、员工之间实现优化的信息沟通。这直接关系到企业能否获得关键的竞争优势。近年来越来越多的企业都在加快构建自身的信息网络，而其中绝大多数都是中小企业。目前我国企业尤其是中小型企业网络建设正在如火如荼的进行着，本文以中小型企业内部局域网的组建需求、实际管理为出发点，从中小型企业局域网的管理需求和传统局域网技术入手，研究了局域网技术在企业管理中的应用。本设计结合一家中小企业网络的实际需求，通过对网络架构组建方案的设计、基于安全的网络配置方案设计、服务器架设方案设计、企业网络高级服务设计等方面的仿真研究，详尽的探讨了对该网络进行规划设计时遇到的关键性问题，以及网络相关的服务。该设计主要包括需求分析、拓扑结构设计、IP地址规划方案设计、服务器架设和网络安全设计等内容。论文针对中小企业网络拓扑进行设计和分析。关键词：组网拓扑设备选型IP规划配置命令网络布局网络维护网络安全目录一、前言 -5-二、需求分析 -6-(一)企业对网络的需求情况 -6-(二)用户需求分析 -6-(三)项目设计 -6-1.设备选型 -6-2.各设备产品介绍 -7-三、网络布局和综合布线 -8-(一)网络布局的原则 -8-1.实用性 -8-2.全面性 -8-3.可靠性 -8-(二)网络布局的具体实施要求 -8-(三)网络布局的规划与设计 -9-四、IP规划与配置 -10-(一)IP地址规划 -10-(二)网络拓扑结构图 -10-(三)配置需求及解决方案 -10-1.配置路由器 -10-2.配置交换机 -12-3.配置ACL -13-五、网络维护 -15-(一)网络维护 -15-(二)局域网安全威胁分析 -15-1.欺骗性的软件使数据安全性降低 -15-2.服务器区域没有进行独立防护 -16-3.计算机病毒及恶意代码的威胁 -16-4.局域网用户安全意识不强 -16-5.IP地址冲突 -16-六、局域网安全控制 -17-(一)加强人员的网络安全培训 -17-(二)局域网安全控制策略 -17-七、总结 -18-八、参考文献 -1918-中小企业网络设计与构建一、前言随着经济社会的发展，我国中小企业数量与日俱增。然而，一个企业要不断发展壮大，除了要有自身产品的优化，还需要一个完善的企业信息管理系统。企业的信息化，是企业如何应对瞬息万变、竞争激烈的国内外市场环境以及如何利用网络技术迅速提升企业核心竞争力为企业成败的关键。在本论文中所构建的中小型企业网最终必须是一个集计算机网络技术、多项信息管理、办公自动化和信息发布等功能于一体的综合信息平台,并能够有效促进现有的管理体制和管理方法,提高企业办公质量和效率。中小型企业的信息化建设工程通常有规模小、结构简单的特点，综合资金投入、专业人才以及未来发展等因素，网络实用性、安全性与拓展性（升级改造能力）是中小型企业实现信息化建设的主要要求，局域网内进行信息交流包括发布通知,安排日程表、工作计划,提交工作总结,进行信息汇总等也是企业的要求。加强各公司内各分区的业务和技术联系，提高工作效率，实现资源共享，降低运作及管理成本,公司有必要建立企业内部局域网。局域网要求建设基于TCP/IP协议和WWW技术规范的企业内部非公开的信息管理和交换平台，该平台以WEB为核心，集成WEB、文件共享、信息资源管理等服务功能，实现公司员工在不同地域对内部网的访问。因此，成本低廉、可靠、易用，降低网络的使用和维护成本、提高产品的性能价格比并能满足业务运用需要的网络办公环境是这一领域的真正需求。针对绝多数中小型企业集中办公这一现实特点，组建一个适合中小企业需求的高性价比实用的网络是十分有实际意义的。二、需求分析(一)企业对网络的需求情况在这信息化社会，网络是支撑企业各种业务的基础设施。因此构建网络者在规划设计网络前，首先要清楚企业的现阶段及未来的需求。经过对该企业的分析，预计企业在未来几年的发展趋势，适当的预留一定的升级空间方便新用户的接入，其中包括网络设备支持升级其他应用设备的接入，全面实现计算机资源共享。对于局域网中的各种资源,通过设置网络用户的共享权限,让他成为网络共享资源，从而实现企业的信息化。(二)用户需求分析构建企业网络最终是为了实现用户的需求，用户的需求主要包括可靠性、可用性、可升级性、安全性、及时性以及响应时间。企业的用户群包括管理层，普通用户群的也用代表，经调查，“快”是多数用户对网络响应的要求，其中包括下载速度、连接速度等，我们将为核心设备提供冗余，以尽量保障系统的99.95%的可靠性，同时我们将根据企业的需求，为用户提供远程登录，文件传输服务，在年底企业统计全年信息时候会出现企业通讯高峰时间，我们的服务器将以满足高峰期通讯为基础选型的。当然我们将提供防火墙等安全设备，保障用户信息，物理资源的机密性，网整性和确实性，提供一定的数据加密、自动备份、发生问题的恢复等。当然也包括网络应提供的服务资源共享、办公自动化、远程控制、电子邮件、www应用等。(三)项目设计某计算机有限公司，因为一些客观因素，该公司分布在两栋楼，并且都在底层，主要分别用来做软件的售后服务、研发和财务/人事部门。这些部分分别叫勤业部、研发部和行政部。两栋楼之间距离少于100米，其中研发部和行政部在同一栋楼中。研发部占两层，共有15台电脑分布在各个办公室中，具体分布是一层5台，二层10台，第三层是行政部，有5台电脑；勤业部分两层，共有301.设备选型序号设备名称规格单位数量单价（元）合价（元）1核心交换机DCRS-9808(R3)台1140，000140，0002交换机DCS-4500-50T(R3)台221，120182，2403路由器CiscoDCR282台114，500196，7404网管软件LinkManager-50NM-License台134,400231，1405防火墙DCFW-1800S-V2(R3)台139，200270，3406机柜DC-PDU-KLW台31，124273，7122.各设备产品介绍1.DCRS-9808(R3)核心交换机：12插槽多业务核心路由交换机，2槽管理引擎（超级模块）或4槽管理引擎(标准模块)，最大可插8个标准业务模块或4个超级业务模块或超级标准模块混合，支持冗余供电,标配1个MRS-9800-AC(R3)电源。2.DCS-4500-50T(R3)交换机：全千兆智能安全交换机50/10/100/1000Base-T＋4口千兆SFP(Combo)接口【R3版本为黑色风格机箱】。3.CiscoDCR282路由器：模块化路由器。6个网络/语音模块插槽,1个配置口，1个AUX口，2个10/100/1000M以太网端口（RJ45接口），内置硬件加密。4.LinkManager-50NM-License网管软件：LinkManager网络管理系统V1.0(50NM-50N)。网管专业版平台，50节点。功能：支持网络拓扑发现、资源管理、设备管理、终端管理、性能管理、故障分析、异常流量监测、服务器管理、WEB监控等。5.DCFW-1800S-V2(R3)防火墙：8个10/100/1000M以太网电口；1U标准机箱。6.DC-PDU-KLW机柜：克莱沃6位PDU，除提供雷电消除器(SPD)、过载保护器等功能，还具备高载流、防误插、高精度插拔等高可靠电气性能。三、网络布局和综合布线在构建公司网络时，我们根据组网经费的多少来务实地规划与设计网络；在采购好网络设备和服务器等设备后，如何对办公地点进行合理的网络布局与布线，是致关重要的。网络布局主要是指企业网里的网络设备、服务器等设备如何放置，它们又与网络布线如何相处，总之网络布局要考虑周全。(一)网络布局的原则1.实用性企业组建的局域网应当根据设备的多少来具体实施，网络布线的特点决定了网络布局实用性。2.全面性组网过程中，网络、服务器等设备放置位置应当统筹兼顾，网络布局要考虑周全，尽量让各种设备和布线系统处于合理的位置。3.可靠性组网无论怎样布局，最终的目的是保证我们的局域网的所有设备能可靠稳定地运行，使得网络能正常运转。便于维护与升级网络的组网不是一成不变的，随着IT企业业务的不断发展的需求，原先组建的局域网就需要不断地完善和扩充；在日常的网络运行维护中，规划网络布局时就应该考虑到便于以后网络的维护与升级操作。(二)网络布局的具体实施要求对于有线局域网来说，这是我们目前企业网络建设中，经常会遇到的，需要对研发部、行政部和勤业部进行布线。规划网络布局要考虑到企业设备布局和布线系统的合理搭配。因此我们首先要规划与设计好布线系统，然后再全面地考虑网络的布局。有了好的企业网络，网络设备就有了好的“家”，组建的IT网络应当通过布线系统将三个办公区域互联起来，确保网络的正常运行。如果企业的接入点较多，我们可以采取接入层、汇聚层、交换层三个网络层次的设计，在此基础上进行布线系统。对于接入层来说，选择一个合理的接入设备，是最关键的，而且我们要根据接入设备选择合适的带宽。汇聚层是整个局域网的核心部分，汇聚层网络设备一般支持网络管理功能，方便我们的管理和维护，方便以后我们的网络升级和改造。交换层是整个网络中的中间层，连接着汇聚层和网络节点，是决定我们整体网络传输质量的很重要的一个环节。随着百兆网络设备的普及，我们交换层的网络设备，肯定首选百兆。布线是连接网络接入层、汇聚层、交换层和网络节点的重要环节。在布线时，最好使用专门的通道，而且不要与电源线，空调线等具有辐射的线路混合布线。接入层与汇聚层之间的双绞线，可以选择超五类屏蔽双绞线，以使网络性能得到最大的提升。汇聚层与交换层之间的双绞线，由于是网络数据传输量最大的一个层次，同样采用超五类屏蔽双绞线。交换层与网络节点之间，我们就可以采用普通的超五类非屏蔽双绞线。网络设备的放置，最好放在节点的中央位置，这样做，不是为了节约综合布线的成本，而是为了提高网络的整体性能，提高网络传输质量。由于双绞线的传输距离是100米，在95(三)网络布局的规划与设计目前的网络设备大都采用机架式的结构（多为扁平式，活像个抽屉），如交换机、路由器、硬件防火墙等。这些设备之所以有这样一种结构类型，是因为它们都按国际机柜标准进行设计，这样大家的平面尺寸就基本统一，可把一起安装在一个大型的立式标准机柜中。这样做的好处非常明显：一方面可以使设备占用最小的空间，另一方面则便于与其它网络设备的连接和管理，同时办公室内也会显得整洁、美观。我们经常接触到的网络布局里有网络机柜、服务器机柜以及综合布线柜，从这三个机柜的名字就可以看出它们各自所起的作用；一般来说，网络设备如交换机、路由器、防火墙、加密机等以及网络通信设备如光端机、调制解调器等是放置在网络机柜的；服务器机柜的宽度为19英寸，高度以U为单位（1U=1.75英寸=44.45毫米），通常有1U，2U，3U，4U几种标准的服务器。机柜的尺寸也是采用通用的工业标准，通常从22U到42U不等；机柜内按U的高度有可拆卸的滑动拖架，用户可以根据自己服务器的标高灵活调节高度，以存放服务器、集线器、磁盘阵列柜等设备。服务器摆放好后，它的所有四、IP规划与配置(一)IP地址规划表4-1IP地址规划部门IP地址部门IP地址公网地址10路由器内部/30核心交换外部/30Web服务器/24网络打印机/24行政部/24研发部/24勤业部/24(二)网络拓扑结构图图4-1网络拓扑图图解：(三)配置需求及解决方案为了直观方便，配置需求全部在配置命令中加以单点说明，并且配置命令量大反复，这里只列出重点命令。1.配置路由器Router>Router>enableRouter#configrouter（config）#interfacetypeportrouter（config-if）#interfacefastethernet0/1router（config-if）#ipaddress52router（config-if）#duplexautorouter（config-if）#speedautorouter（config-if）#ipnatinsiderouter（config-if）#noshutdownrouter（config-if）#interfacefastethernet0/2router（config-if）#ipaddress1748router（config-if）#duplexautorouter（config-if）#speedautorouter（config-if）#ipnatoutsiderouter（config-if）#noshutdownrouter（config-if）#exitRouter>Router>enableRouter#configrouter（config）#radiusschemesystemrouter（config）#domainsystemrouter（config）#aclnumber2000router（config）rule0permitsource55router（config）rule1denyrouter（config）#interfaceEthernet0/0router（config）ipaddress48router（config）natoutbound2000router（config）#interfaceEthernet0/1router（config）ipaddressrouter（config）#interfaceNULL0router（config）#iproute-staticpreference60router（config）#user-interfacecon0router（config）user-interfacevtp04router（config-if）#exitrouter>router>enablerouter#configrouter（config）#nataddress-group0router（config）#radiusschemesystemrouter（config）#domainsystemrouter（config）#aclnumber2000router（config）#rule0permitsource55router（config）#rule1denyrouter（config）#interfaceEthernet0/0router（config）#ipaddress48router（config）#natoutbound2000address-group0router（config）#interfaceEthernet0/1router（config）#ipaddressrouter（config）#interfaceNULL0router（config）#iproute-staticpreference60router（config）##user-interfacecon0router（config）#user-interfacevtp04router（config）#router（config）#iproute17（路由）router(config)#ipnatinsidesourcelist110interfaceFastEthernet0/2overloadrouter（config）#access-list110permitip55anyrouter（config）#exit2.配置交换机switch>switch>enableswitch#vlandatabaseswitch(vlan)#VTPVersion:2switch(vlan)#ConfigurationRevision:7switch(vlan)#MaximumVLANsupportedlocally:1005switch(vlan)#NumberofexistingVLAN:9switch(vlan)#VTPOperatingMode:Serverswitch(vlan)#VTPDomainName:OAswitch(vlan)#VTPPruningMode:Disabledswitch(vlan)#VTPV2Mode:Enabledswitch(vlan)#VTPTrapsGeneration:Enabledswitch(vlan)#exitswitch>switch>enableswitch#switch#vlandatabase进入vlan配置模式switch#(vlan)#vtpdomainOA设置vtp管理域名称OAswitch#(vlan)#vtpserver设置交换机为服务器模式switch#(vlan)#vlan1nameqinye创建VLAN1，为勤业部switch#(vlan)#vlan2namexingzheng创建VLAN2，为行政部switch#(vlan)#vlan3nameyanfa创建VLAN3，为研发部switch#(vlan)#vlan4namenetprinter创建VLAN4，为网络打印机switch#(vlan)#vlan5nameserver创建VLAN5，为服务器组switch#(config)#interfacevlan1switch#(config-if)#ipaddress54switch#(config)#interfacevlan1switch#(config-if)#ipaddress54switch#(config)#interfacevlan3switch#(config-if)#ipaddress54switch#(config)#interfacevlan4switch#(config-if)#ipaddress54switch#(config)#interfacevlan5switch#(config-if)#ipaddress54将接入层交换机上的端口根据需要划分至各个VLANswitch#(config-if)#exit3.配置ACL配置ACL应用在各个部门VLAN接口上，控制各部门互访switch>switch>enableswitch#configswitch(config)#access-list10permit55switch(config)#access-list10permit55switch(config)#access-list10deny55switch(config)#access-list10permitany进入vlan10switch(config)#vlan10switch(config-vlan)#ipaccess-group10out把访问控制列表10应用于VLAN10OUT方向上，市场部内部可以互访，可以访问服务器网段和网络打印机网段，但不能访问财务部和设计部所在网段。switch(config-vlan)#access-list11permit55switch(config-vlan)#access-list11permit55switch(config-vlan)#access-list11permit55switch(config-vlan)#access-list11deny55switch(config-vlan)#access-list11permitanyswitch(config-vlan)#exit进入vlan11switch(config-vlan)#switch(config)#vlan11switch(config-vlan)#ipaccess-group11out把访问控制列表11应用在VLAN11OUT方向上，财务部内部可以互访问，可以访问服务器网段和网络打印机网络，可以访问市场部网段，但不能访问设计部网段。设计部VLAN12，网络打印机VLAN13，服务器VLAN20可以访问任意网段，应用访问控制列表access-list110在in的方向上，封掉常见病毒端口。switch(config-vlan)#access-list110denytcpanyeq1068switch(config-vlan)#access-list110denytcpanyeq2046switch(config-vlan)#access-list110denyudpanyeq2046switch(config-vlan)#access-list110denytcpanyeq4444switch(config-vlan)#access-list110denyudpanyeq4444switch(config-vlan)#access-list110denytcpanyeq1434switch(config-vlan)#access-list110denyudpanyeq1434switch(config-vlan)#access-list110denytcpanyeq5554switch(config-vlan)#access-list110denytcpanyeq9996switch(config-vlan)#access-list110denytcpanyeq6881switch(config-vlan)#access-list110denytcpanyeq6882switch(config-vlan)#access-list110denytcpanyeq16881switch(config-vlan)#access-list110denyudpanyeq5554switch(config-vlan)#access-list110denyudpanyeq9996switch(config-vlan)#access-list110denyudpanyeq6881switch(config-vlan)#access-list110denyudpanyeq6882五、网络维护(一)网络维护1．更新更新包括WEB页面的版面、样式、内容的更新；公司共享资料的更新；网络教室、软件下载内容的更新；各种报表、数据库更新，这些信息发布由各部门管理员在本地登录服务器进行。备份由于网络的特殊性，备份信息是保证公司数据安全的重要保障。考虑最低投资，未采用磁带机备份，而使用磁盘镜像技术容错，这样不但得到完整的数据备份，而且还提高了系统的性能。2．诊断INTRANET采用TCP/IP协议,在网络的调试中主要采用了以下几个诊断程序:Ping;Ipconfig;Nbtstat;Netstat;Hostname。网络管理员运用这些程序有利于及时发现错误，并加以纠正。安全利用代理服务器的防火墙功能可以阻挡Internet上的系统或使用者直接进入

Intranet。网络管理员的密码和各用户的密码均利用AD组策略统一进行管理，并利用其“组策略”功能统一部署密码策略：包括密码最长/最短有效期、密码的长度、唯一性和帐户锁定等项目。域用户权限也利用“域用户容器”统一管理。3．磁盘整理虽然Windows系统自身包括磁盘碎片整理程序,建议采用第三方的程序Diskeeper定期整理磁盘碎片。这样有利于优化系统，节约磁盘空间。(二)局域网安全威胁分析局域网由于通过交换机和服务器连接网内每一台电脑，因此局域网内信息的传输速率比较高，同时局域网采用的技术比较简单，安全措施较少，同样也给病毒传播提供了有效的通道和数据信息的安全埋下了隐患。局域网的网络安全威胁通常有以下几类：1.欺骗性的软件使数据安全性降低由于局域网很大的一部分用处是资源共享，而正是由于共享资源的“数据开放性”，导致数据信息容易被篡改和删除，数据安全性较低。例如“网络钓鱼攻击”，钓鱼工具是通过大量发送声称来自于一些知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息：如用户名、口令、账号ID、ATMPIN码或信用卡详细信息等的一种攻击方式。最常用的手法是冒充一些真正的网站来骗取用户的敏感的数据。以往此类攻击的冒名的多是大型或著名的网站，但由于大型网站反应比较迅速，而且所提供的安全功能不断增强，网络钓鱼已越来越多地把目光对准了较小的网站。同时由于用户缺乏数据备份等数据安全方面的知识和手段，因此会造成经常性的信息丢失等现象发生。2.服务器区域没有进行独立防护局域网内计算机的数据快速、便捷的传递，造就了病毒感染的直接性和快速性，如果局域网中服务器区域不进行独立保护，其中一台电脑感染病毒，并且通过服务器进行信息传递，就会感染服务器，这样局域网中任何一台通过服务器信息传递的电脑，就有可能会感染病毒。虽然在网络出口有防火墙阻断对外来攻击，但无法抵挡来自局域网内部的攻击。3.计算机病毒及恶意代码的威胁由于网络用户不及时安装防病毒软件和操作系统补丁，或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵。许多网络寄生犯罪软件的攻击，正是利用了用户的这个弱点。寄生软件可以修改磁盘上现有的软件，在自己寄生的文件中注入新的代码。最近几年，随着犯罪软件（crimeware）汹涌而至，寄生软件已退居幕后，成为犯罪软件的助手。4.局域网用户安全意识不强许多用户使用移动存储设备来进行数据的传递，经常将外部数据不经过必要的安全检查通过移动存储设备带入内部局域网，同时将内部数据带出局域网，这给木马、蠕虫等病毒的进入提供了方便同时增加了数据泄密的可能性。另外一机两用甚至多用情况普遍，笔记本电脑在内外网之间平凡切换使用，许多用户将在Internet网上使用过的笔记本电脑在未经许可的情况下擅自接入内部局域网络使用，造成病毒的传入和信息的泄密。5.IP地址冲突局域网用户在同一个网段内，经常造成IP地址冲突，造成部分计算机无法上网。对于局域网来讲，此类IP地址冲突的问题会经常出现，用户规模越大，查找工作就越困难，所以网络管理员必须加以解决。正是由于局域网内应用上这些独特的特点，造成局域网内的病毒快速传递，数据安全性低，网内电脑相互感染，病毒屡杀不尽，数据经常丢失。六、局域网安全控制(一)加强人员的网络安全培训安全是个过程，它是一个汇集了硬件、软件、网络、人员以及他们之间互相关系和接口的系统。从行业和组织的业务角度看，主要涉及管理、技术和应用三个层面。要确保信息安全工作的顺利进行，必须注重把每个环节落实到每个层次上，而进行这种具体操作的是人，人正是网络安全中最薄弱的