中小企业网络规划

./中小企业网络规划需求分析此网络方案设计的背景是一集团公司,由1个总部和5个分部组成。公司总部为六层楼,一楼迎宾大厅,二楼市场开发中心,三楼研发中心,四楼为会计部,五楼为网络中心,六楼为会议室〔已实现无线网络覆盖以及公司的高层管理人员办公区。分部1〔共有5个分部但本报告中仅举其一为例分为前台和后台。前台包括服务台和会计部,后台下设有维修部。该公司需建立自己的公司、用以向外发布信息与商谈网络业务。总部与各分部之间需保持联系、共享资源。总部与各分部均各自设有总经理总管业务并保持性交流联系,能够进行视频会议。其中各个会计部需有较高的性、由各自的总经理直接管辖。公司还应设立有自主的系统、数据库；此外公司网络需有较良好的网络扩展性和性。此外,我们设定只有经理有接入INTERNET权限,普通员工不能连接外网。基于以上需求,我们为该公司做了如下规划：·将总部按照部门划分子网,以二层交换机集成每层的计算机,再集成汇入该核心交换机〔第三层交换机；分部的设置同于总部。将路由作为分部和总部的边际结点以相连形成整个公司的网络。在接入层使用交换机、分布层使用路由,以提高信息交换的效率、减少广播风暴和信息冲突造成的延迟和错误。·在公司部,我们应用虚拟局域网〔VLAN技术实现各自会计部、各层经理的性需求及权限设置〔以第三层交换机上的虚拟子网设置实现分属于不同二层交换机下的经理间的性通讯；其中会计部经理与总经理的端口接入方式为Hybrid混合模式以使其能够同时位于会计部VLAN与经理VLAN之中,使得公司高层对公司财务的直接监控与管理。在与外网连接的部分,设置了防火墙以防止外部网络病毒侵袭公司系统。此外,我们运用ACL访问控制列表限制了公司各数据库服务器的访问权限,以保证公司机要信息的安全；此外我们还利用ACL访问控制列表拒绝公司除经理以外的员工接入INTERNET,来对公司的网络连接进行控制。·为公司配备了系统服务器和DNS服务器,会计部特设有独立的会计部数据库满足需要。各层均设有数台共享打印机。总部的会议室应用了无线网络连接技术,方便会议中的数据查询与网络视频会议。硬件配置：PC机：总部共35台PC,每个部门设有部门经理一名,并有若干名职员交换机：每个部门一个二层交换机〔switch-PT,总公司分公司各配备一个三层交换机〔MultilayerSwitch。路由器：总公司分公司各配备一个路由器用于连接〔Router-PT总公司6层会议室配备一台无线路由器〔Linksys-WRT300N服务器：总公司有两台服务器、总公司分公司会计部个配备一台部服务器打印机：每层配备若干台公共打印机网络配置1、在PacketTracer5.0中构建该局域网如图所示：分部1会计部分部1服务部分部1会计部分部1服务部总部二层市场研发中心总部一层迎宾大厅分部1分部1维修部总部三层总部三层研发中心总部五层网络中心总部五层网络中心总部四层会计部2、传输介质：本企业属大型企业,网络围较宽,网络数据传输量比较大,因此需采用光纤等高速率传输介质来作为总公司与分公司间的主干连接〔光缆的电磁绝缘性较好,信号衰变小,频带较宽,传输距离较大,传输速度较快,它可以在6~8km的距离不适用中继器实现高速数据传输,在2.5Gbps的传输速率下,数十公里不需要使用中继器；在企业各公司部,使用双绞线作为传输介质即可满足需求,同时其相比较价格便宜,可节约企业资金。各PC机和服务器与一级交换机间采用双绞线直连连接,一级交换机和二级交换机、二级交换机和路由器以及路由器间采用双绞线交叉连接。3、子网划分：·公司总部使用网段。具体IP地址分配如下：一层迎宾大厅：pc0:二层市场开发中心：pc2:pc3:三层研发部：pc5:pc6:四层会计部：pc8：pc9:五层网络中心：网管：pc12:六层无线网络—会议室:pc4:00pc7:0·公司分部1使用网段.具体IP地址分配如下：前台服务部：前台会计部：后台维修部：·虚拟子网：总部经理间通讯虚拟子网：VLAN111总部会计部虚拟子网：VLANkuaiji–分部会计部虚拟子网：VLAN222–4．路由器配置： ①动态路由设置与路由器端口IP设置：将与路由对应端口相连接的网段网关加入路由RIP设置中,在数据传输过程中将由路由进行路径选择。具体设置如下例②无线路由器设置：·自动分配地址〔DHCP：在无线网络覆盖的会议室里,我们应用了DHCP自动分配新接入网的PC机的IP,以更加便利。·无线路由器密码设置：给无线路由设置密码以保证只有拥有正确密码的PC机用户才能连入该无线网络。·无线路由会议室通讯测试：5.交换机配置：核心交换机端口IP设置：在IOS环境下给核心交换机以指令形式给各端口配置IP,以作为各子网的网关。〔下图以总部核心交换机的各端口IP配置情况为例例：给核心交换机的f0/1端口配置ＩＰ为：switch<config>#interfacefastEthernet0/1switch<config-if>#noswitchportswitch<config-if>#noshutdown核心交换机〔第三层交换机VLAN配置：为保证各部门经理间通讯的性,我们为经理设置了一个单独的VLAN；该VLAN是由‘基于同一个第三层交换机、分属于不同二层交换机下的PC机’组成的VLAN。具体配置过程如下：·第一步：设置核心交换机为VTP服务器、创建VTP域：MultilayerSwitch总公司三层交换机:〔默认为服务器switch<config>#vtpdomaincisco—创建VTP,并命名为ciscoswitch<config>#interrangef0/1–5switch<config-if-range>#switchportmodetrunk—对接口进行封装·第二步：设置各二层交换机为VTP客户模式、创建VTP域：Switch0：Switch0<config>#vtpdomaincisco—创建VTP,并命名为ciscoSwitch0<config>#vtpmodeclient—指定为客户模式Switch0<config>#interfacef0/12Switch0<config-if>#switchportmodetrunk—对接口进行封装·第三步：在核心交换机上创建VLAN111：MultilayerSwitch--总部三层交换机:3560<config>#vlan111·第四步：在VTP服务器〔核心交换机上创建VLAN,各客户机〔二层交换机上也应同步VLAN信息：Switch0:Switch0#showvlanbrief—查看客户机中是否同步了vlan信息·第五步：在各二层交换机上将各的经理划入VLAN111：———例：将PC0划入vlan111中,代码如下Switch0:Switch0<config>#intf0/1Switch0<config-if>#switchportmodeaccessSwitch0<config-if>#switchportaccessvlan111Switch0<config-if>#exit·第六步：设置核心交换机路由功能——利用SVI技术,利用交换机虚拟接口实现：MultilayerSwitch--总部交换机:switch<config>#intvlan111–switch<config-if>#exit二层交换机的VLAN配置：<如下图所示按照接口划分>6.服务器设置：〔1域名解析〔DNS服务：添加了该功能后,用户可以通过输入域名来进入,便于用户更为清晰的记忆域名,并区分不同的组织机构,不同的国家,使登陆更为方便。具体设置如图所示：则公司网络中所有其他PC机均可通过域名.companyis.访问公司〔如下图〔2E-MAIL服务器：我们使用了邮局协议〔POP和简单传送协议〔SMTP,为公司提供便利的电子服务。〔3数据库：7.其他：除第一层外,公司总部的每一层均共享有若干台公共打印机,以供网所有计算机调用,提高了公司资源的利用效率。在设置上只需将该打印机的IP设置在该层的网段即可。Ping连同测试如下：安全设置：设置虚拟局域网以保证会计部门的信息安全：如下图所示对该公司设置了三个虚拟局域网：将公司总部与分部的会计部门各自划入一个虚拟局域网〔如上图中所示的VLAN4和VLAN222,以免公司极信息泄露；将公司的所有经理划入一个VLAN〔如图中所示的VLAN111以保证公司高层的交流的性。〔其中会计部经理既在会计部VLAN中又在经理VLAN中,使用了Hybrid混合模式做了如上述设置之后,使用ping指令测试效果如下：#公司总部普通员工之间通讯测试：#公司总部的普通员工不能访问总经理〔：#公司总部其他部门的员工不能访问会计部〔网段<性要求>：#公司分部普通员工间通讯：#公司分部间其他部门员工不能访问会计部：#公司分部普通员工无法访问分部总经理〔：③防火墙设置：在进入我公司网的端口设置了防火墙,并且在系统上安装杀毒软件,定期为系统进行杀毒。网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入部网络,访问部网络资源,保护部网络操作环境的特殊网络互联设备.它对两个或多个网络之间传输的数据包如方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态.④为了加强对重要信息的安全性管理,在三层交换机上连接了侵入检查系统,同时,由系统软件为各个用户分配的权限。ACL访问控制列表：·对E-mail服务器进行设置,旨在防止外部网络的病毒或不良信息侵入。〔在路由器上进行配置————该E-mail服务器允许公司所有设备的访问,但拒绝其它流量。Router<config>#access-list1permittcpanyhost192.eqsmtpRouter<config>#access-list1permittcpanyhost192.eqpop3·为了为会计部门提供地数据库服务,我们为其设置了FTP访问权限,保证只有会计部部人员有权访问该服务器：对总公司的会计部部的FTP服务器设置权限〔在路由器上进行配置————会计部部FTP服务器只允许会计部门VLAN的用户使用其FTP服务,拒绝其它流量。Router<config>#access-list4permittcp.255hosteqftp·在连入外网的路由上进行了访问控制：只允许公司经理层〔网段为及连接外网,其余均为网访问。因此在路由上做如下设置：Router<config>#access-list2permit.0.255Router<config>#access-list2permit.0.255Router<config>#access-list2denyany应用于端口ethernet1/1：Router<config>#interfacefastethernet0/0Router<config-if>#ipaccess-group1outRouter<config-if>#exit总结该局域网的构建基本满足了该公司的需求,基本达到最初的设想。在构建该公司部局域网过程中,我们着重研究了安全性控制方面的设置。安全性对于一家公司的网络运行是尤为重要的,只有保证了公司信息的性与安全性,才能顺利的进行数据传输,才能公司的经营管理和正常运作起到很大的保障作用。我们对公司的安全保障的硬件基础主要是路由器和交换机。对于交换机,通过对VLAN设置来实现其安全性控制,对未在其VLAN中的PC机不允许其进行通讯,从而实现对公司部门〔例如会计部的信息；对于路由器,通过设置ACL访问控制列表来阻挡不安全的信息传送,以此来实现该网络的网关安全性控制。在安全性方面,还可通过进程管理、浏览器安全管理等进行控制,这是公司局域网搭建好后的后续加强保障工作,在此不作研究。这次实验收获很大,通过小组讨论和在模拟环境上进行实践,我们对局域网构建的相关理论知识更加清晰,对IP地址分配、子网划分、路由