区域网络安全体系设计及场景规划-论文

本科生毕业论文（设计）区域网络安全体系设计及场景规划姓名学号学院专业学位班级指导教师导师职称

内容提要随着信息技术的飞速发展，在当今现代区域建设中，区域网络规划已经扮演着至关重要的角色。在构建小型区域网络体系的网络架构时，保证稳定性是一个不可或缺的考虑因素。一个稳定的网络架构可以有效降低网络风险，保证网络的稳定性和持续性是非常重要的。这次的区域网络设计中采用了网络结构的“H”型模板，数据在网络中的传输方向是从接入层设备经过汇聚层设备再到核心层设备，实现了数据在不同层设备之间的传递和处理。本次规划将用virtualbox模拟网络设备及PC,以wireshark进行抓包分析和流量监控,采用ENSP搭建拓扑构建网络框架设计网络。关键词：稳定性；传输；网络架构AbstractWiththerapiddevelopmentofinformationtechnology,regionalnetworkplanningplaysacrucialroleinmodernregionalconstruction.Whenconstructingthenetworkarchitectureofasmallregionalnetworksystem,ensuringstabilityisanindispensableconsideration.Astablenetworkarchitecturecaneffectivelyreducenetworkrisks,ensuringnetworkstabilityandcontinuityareessential.Thisregionalnetworkdesignadoptsthe"H"typetemplateforthenetworkstructure,wheredatatransmissiondirectioninthenetworkisfromaccesslayerdevicesthroughaggregationlayerdevicestocorelayerdevices,facilitatingdatatransferandprocessingbetweendifferentlayerdevices.ThisplanwillinvolvesimulatingnetworkdevicesandPCsusingVirtualBox,conductingpacketanalysisandtrafficmonitoringwithWireshark,andbuildingthenetworkframeworkdesignusingENSP.Keywords:Stability;transmission;networkarchitecture目录TOC\o"1-2"\h\u32148一、绪论 613896（一）背景及意义 625077（二）整体布局运行环境 615485二、需求分析 614185（一）网络安全需求 632141（二）带宽需求 717179（三）稳定可靠需求 713427三、区域网络总体规划 715506（一）层次化结构设计 726927（二）主干网技术选择 818460（三）网络设备选型 8431（四）VLAN规划 926397四、网络技术架构 9960（一）链路聚合 930469（二）基于MSTP可靠网络设计 1129146（三）DHCP在VLAN中的应用 1413019（四）防火墙安全区域设置 163334（五）防火墙双机热备 1920972五、总结 2018488参考文献 21区域网络安全体系设计及场景规划一、绪论 （一）背景及意义计算机网络是指通过通信线路连接地理上分散、独立的计算机系统，实现信息共享和资源共享的技术。计算机网络在市面上的广泛应用，计算机网络慢慢变成当今社会的一部分。计算机网络的发展的发展从20世纪60年代开始，当时美国军事机构开始研究如何通过互联网实现分布式计算。随着时光的流转，计算机网络逐渐普及，并逐渐演变成为现今的互联网。区域网络规划可以提高区域整体的信息化水平和竞争力，满足公司和居民在网络通信方面的需求。此外，区域网络规划亦是在推动区域内经济的增长。一个高效稳定的区域网络可以吸引更多的企业入驻，促进产业集聚和经济增长。公共服务也需要区域网络的划分，如电子政务、电子教育、电子医疗等，提升居民的生活品质和社会福利。通过科学合理的规划和布局，能分担网络资源的负载，实现资源的共享和互利共赢。区域网络规划有助于确定网络的边界和访问控制策略，从而避免未经允许的浏览内部数据和网络攻击。通过合理划分网络资源和对于网络拓扑结构的设计，可以减少网络流量堵塞和单点事故的风险，提高网络的可靠性和可用性。此外，区域网络规划还有助于识别和管理网络中的安全风险，并及时采取措施进行预防和响应。对于任何园区或公司来说，进行有效的区域网络规划是确保网络安全和稳定性的重要步骤。（二）整体布局运行环境在设计中型或小型区域内网络体系时，稳定性是至关重要的考量因素。一个稳定的网络架构可以有效降低网络风险，确保网络流量的稳定性和安全性至关重要。因此，在构建网络框架时，需要着重考虑如何提高网络的稳定性，以应对各种潜在的风险。在网络架构整体布局上，针对中小型区域网络体系，本人希望设定一套具体方案。在构造机构与内在配置时，着重于“稳定”，将区域级网络风险降至最低，并建立一套抵御风险的能力方案。运行环境主要在虚拟端模拟搭建环境，采用ENSP搭建拓扑构建网络框架设计网络。用virtualbox模拟网络设备及PC，此外，为了应对网络风险，需要建立一套完善的风险抵御能力方案。通过使用以wireshark进行数据包的分析与节点流量大小的检测，可以实时了解网络中的突发情况，并及时降低网络风险。二、需求分析（一）网络安全需求区域网络已成为当今数字化时代企业和组织不可缺少的基础设施之一。区域网络不仅仅是连接相关人员和设备的工具，更是支持业务运营和信息交流的关键平台。然而，随着网络安全的不断进步和网络风险的增加，区域网络的安全问题日益突出，区域网络建设中网络安全的需求变得更为关键。随着网络科技的不断进步，区域网络安全出现了更加频繁和高端的威胁。黑客和网络犯罪分子正不断寻找新的入侵和攻击方式，企图窃取机密信息、破坏业务流程或者盗取财产。因此，在构建区域网络时，一定要在此过程中考虑网络安全的需要，并采用相应的防御机制。首先，在构建区域网络时，应确保网络的安全。实际上可以使用防火墙和入侵检测系统来监控和阻止潜在的入侵。此外，还可以使用虚拟专用网络（VPN）等安全协议来加密数据传输，防止敏感信息被窃取。其次，构建区域网络还需要考虑到相关人员的安全意识和教育培训。人是网络安全的薄弱环节，因此相关人员需要对于风险有应急训练，知晓网络安全的必要性以及如何避免常见的网络风险。此外，园区还可以建立内部安全政和规定，以确保相关人员遵守安全措施，例如定期更换密码、定期更新软件补丁等。最后，构建区域网络时还应考虑到网络监控和事件响应能力。网络流量监听可以实时发现异常流量和风险行为，并采取相应的措施进行能力则可以帮助企业迅速应对网络安全事件，减少损失并恢复正常运营。（二）带宽需求在当今的数字时代，区域内网络对网络带宽的需要不断增加。随着公司和相关园区对信息化技术的多层面应用，网络带宽成为保障信息传输和业务运营的重要基础。区域内的企业和机构需要通过网络进行大量的数据传输和信息交流，如高清视频会议、大数据云存储等。这些应用程序对带宽有很高的要求，需要稳定高速的网络连接，来保证数据的传输水平和总成流速。为了满足区域网络中的网络带宽需求，区域管理方需要及时调整网络设备和带宽资源。他们可以通过增加带宽、优化网络架构、部署缓存服务器等方式来提升网络带宽的能力。此外，还可以采用流量管理和负载衡等技术手段来合理分配和管理带宽资源，以满足企业和机构的需求。（三）稳定可靠需求稳定可靠的区域网络是指在区域范围内建立起稳定、高效且可靠的网络系统，来满足公司与相关园区对网络联通和流量传输的需求。在当今数字化时代，区域网络已经成为公司与相关组织必要的基础设施，因此对网络的稳定性有着极致的需求。稳定可靠的区域网络能够保证各个部门之间的信息传递和数据共享的顺畅进行，提高工作效和生产效益。稳定可靠的网络还能够保障区域内的安全性。网络故障或攻击可能导致信息泄露、数据丢失或业务中断，因此确保网络系统的稳定可靠对于保护企业和机构的利益至关重要。三、区域网络总体规划（一）层次化结构设计在设计网络时，层次化结构是至关重要的。这种设计能够有效地管理网络中的各个部分，使其更加有序和高效。层次化结构还能够提高网络的可扩展性和灵活性，使其更容易契合不断改变的需求。为了降低网络的复杂程度与增加网络的可塑性，本次区域网络设计将取用层次化的结构设计方法。其中，层次化结构设计方法将采用“H”型框架，将网络层次分为三层，分别为接入层、汇聚层与核心层。接入层作为区域网络与PC等终端设备之间的连接处。它提供了网络接入点和用户接口，通常为交换机等基础网络接口设备。接入层的主要功能是提供快速、可靠的接入服务，将终端设备的数据传输到汇聚层。汇聚层作为接入层和核心层之间的设备层，主要用于收集和转发数据流量。它负责将接入层的数据汇聚并流入到核心层，并将核心层的数据分发到接入层。汇聚层通常包含交换机、路由器等网络设备，用于实现数据的链接、分流和分析。核心层作为网络的中枢，承担着处理大规模数据传输和转发的任务。通常由性能卓越的交换机和路由器构成，旨在实现快速、可靠的数据传输。其主要职责在于提供高速高带宽、低延迟的数据传输服务，以确保网络的高效稳定运行。网络结构通过采用“H”型框架，可以有效简易网络结构的复杂性，提高网络的稳定性和可维护性。每个层次都各司其职，数据在网络中的流动也变得更加有序和可控。此外，层次化结构设计方法还使得网络的扩展和升级更加容易，根据需求灵活地删减网络设备。图1主体网络框架结构图（二）主干网技术选择FDDI和ATM是早期区域网络建设中常用的网络技术。FDDI技术虽然表现稳定可靠，但配置昂贵，需要投入大量资金购买路由器。相比之下，ATM技术更适用于电信网络，但管理较为繁琐，同时在局域网中性能表现不佳。应用不广泛。随着以太网技术的进步，它已逐渐成为区域网络建设的首选。以太网技术的优势在于简单、高效、成本低廉且易于管理。特别是千兆以太网技术，经过多年的发展已变得非常可靠，得到了广泛的认可和支持，因此在建设大型企业局域网、区域网骨干或城市网骨干时，成为了首要选择。千兆以太网具有以下优点：大带宽:千兆以太网的端口带宽有1Gbps，可满足大量数据传输的需要。特别是视频千兆以太网可以充分支持，组播技术可以用于大量视频流量。兼容性强:千兆以太网向下兼容10/100以太网和1000以太网，可升级为万兆以太网，兼容性和可扩展性好。经济实用，千兆以太网更为便宜，相对于其他组网技术来说，成本较低且经济实用。综上所述，千兆以太网技术在现代网络中扮演着重要角色。它的高带宽、兼容性和经济实用性使其成为构建稳定可靠的区域网络的首选技术。（三）网络设备选型在选择设备时，有需求的进行设备选择。选择安全可靠、价格较为便宜的设备，来满足网络架构的需求。思科网络设备作为一个全球通用的品牌，具有较高的功能性素质。但由于Cisco设备价格较为高昂，考虑到建设架构成本，Cisco设备不能作为网络设备选型。华为、华三、锐捷作为我国知名厂商，其设备价格较为便宜设备较为完善。锐捷在教育市场有着广泛的应用，比如校园网络的构建。华三和华为作为业界通信方面解决方案的提供商，为各种用户服务。考虑到售后服务和品牌影响力，选择华为设备是个不错的选择。本次设计将使用华为S3700机作为接入层的交换机，S5700交换机作为汇聚层和核心层的交换机，AR2220作为核心层路由器，USG6000V作为防火墙。这些设备都具有较为合理的价格和可靠的性能，适合用于区域的组网。（四）VLAN规划VLAN规划对于网络管理中极为关键，通过将网络设备经行虚拟规划，可以提高网络的有效性与稳定性。在实际应用中，根据不同部分或功能的需求，可以将VLAN划分成不同的部分，实现网络资源的高效利用和分管。同时，VLAN规划也可以帮助企业更好地区分网络流量，提高整体网络的稳定性和实用性。市面上有划分vlan有两种常用方法。依据物理端口划分VLAN、依据MAC地址划分VLAN。考虑到的实际情况，这里基于物理端口的VLAN划分。同时，一个区域内用户较多，但位置相对固定，于是每个接入层交换机划分一个VLAN，将整个局域网划分为6个VLAN。每个VLAN都有IP地址范围、子网掩码和网关地址。所在区域VLAN划分如图所示。图2VALN规划图四、网络技术架构（一）链路聚合链路聚合技术是将多条物理链路合并成一条逻辑链路的一种方法。以提高链路带宽和网络性能。在区域网络中采用链路聚合技术可以有效增加交换机之间的数据流速，确保网络传输能力和性能的需求。通过链路聚合，多个物理链路形成一个逻辑上链路，成为高带宽的传输通道。在区域网的双核心方案中，两台核心交换机之数据传输量较大，链路聚合可以提高它们之间的数据流量速度，从而分担流量负载。链路聚合有两种方法模型，分别为手工负载分担模式和LACP模式。在手工负载分担模式中，链路聚合的配置和成员接口的添加都需要手动完成，所有的活动链路将均分流量。而在LACP模式中，交换机通过LACP协议进行协商，确定哪些接口成为活动接口。LACP优先级的设定会决定哪些链路成为流通链路，以及在链路故障时如何切换成备份链路。在区域网络中，采用链路聚合技术可以提高核心交换机之间的链路带宽，增强网络的稳定性和性能。通过合理配置和管理链路聚合，可以满足用户对网络流量和性能的需求，网络的可靠性和可扩展性。图3链路聚合图具体配置如下1.在两台交换机上创建Eth-Trunk1,使用LACP静态模式。这里仅以LSW7为例，LSW8操作类似。图4配置LACP静态图2.将接口加入Eth-Trunk1，这里仅以LSW7为例，LSW8操作类似图5接口加入ETH－TRUNK图3.将接口设置为Trunk模式图6配置TRUNK模式图7配置后聚合接口的状态SystemID：自己系统的MAC地址SystemPriority：自己的系统的优先级SysPri：对方的系统优先级PortPri：接口优先级Status：Selected表示是活动的，Unselected表示备份MaxActive-linnumber：最大活动链路数LeastActive-linnumber：最小活动链路数NumberOfUpPortInTrunk：加入聚合接口的物理接口数(二)基于MSTP可靠网络设计MSTP是一种消除交换网络中存在的环路问题并实现负载共享的协议。它将网络分为多个MST域，每个域都可以建立多个实例，实现快速收敛和数据流量的负载分担。此外，MSTP还与VLAN相结合，在相应的MSTI中传输不同的VLAN数据，从而进一步实现负载共享。STP是一种基于链路状态的协议，通过在网络中计算实例，并选择根桥来转发数据，从而消除环路。然而，STP的收敛速度较慢，无法满足现代网络的需求。RSTP在STP的功能上进行了改进，引入了端口状态的概念，通过快速收敛和端口状态的变化来提高网络的可用性。RSTP的端口收敛速度比STP更快，但仍存在一些局限性，如无法实现流量负载分担。为了解决RSTP无法实现负载分担的问题，MSTP被提出。MSTP将交换网络分为多个MST域，每个域都可以建造多个实例。MSTP在不同的MST域分配不同的VLAN，实现负载均衡。MSTP不仅具有快速收敛的特点，还能实现流量负载均衡，提高网络的利用率和可靠性。在区域网络中，为了提高可靠性，采用双核和双链路连接，提高可靠性。通过MSTP策略，可以有效减少冗余链路带来的环路问题，实现负载共享，保证区域网络的高可靠性。图8MSTP划分范围图如果要在局域网中按照表中所示的路径实现VLAN流量，需要在局域网中定义一个MST域为HUAWEI，并将核心交换机和汇聚交换机划分到该域，在HUAWEI域中定义2个msti。图9MSTP域划分图具体配置如下（以下以S5700－LSW7为例）1.进入MST域视图，设置域名为HUAWEI，将VLANID1020划分到MSTI1，将VLANID划分到MSTI2下，激化MST配置。图10MST配置图2.将MSTI1设置为主根桥，MSTI2设为备根桥。（配置核心交换机LSW8时相反）图11主备根桥配置图图12SW6端口阻塞情况图Role（角色）：ROOT（根端口）DESI（指定端口)ALTE(阻塞端口）STPState(状态）：forwarding(转发），Discarding(关闭）图13过滤STP包的IEEE802.3协议图底层使用IEEE802.3型Etherne图14STP报文图ProtocolIdentifier：2字节，表示协议ID。0x0000为默认值。ProtocolversionIdentifier：1字节，表示协议ID。0x00表示STP，0x02表示RSTP，0x03表示MSTP。BPDUType：RSTP/MSTP中该字段为0x02。BPDUflags：1字节，BPDU标识位。仅在配置BPDU（configureBPDU）中有效。MessageAge：2字节，反应了BPDU经过交换机的个数。STP/RSTP默认在经过20个交换机后丢弃BPDU。MaxAge：2字节，接口的BPDU老化时间。本地取值与根桥不同时，以根桥取值保存于本地（三）DHCP在VLAN中的应用基于地址池的DHCP分配是动态分配IP地址的常用方法。这样，DHCP就可以分配一个包含可用IP地址范围的地址池。DHCP服务器从地址池中采用一个可用的地址，当设备连接到网络并请求IP地址时，服务器会将该地址分配到该终端。DHCP服务器负责地址池的管理，包括创建、配置和维护。管理员可以在地址池中设置地址范围，以及子网掩码、网关地址和DNS服务器地址。根据需要，DHCP服务器会将IP地址动态分配给连接到网络的终端。当设备首次加入网络或者之前分配的IP地址过期或被释放时，DHCP服务器会从地址池中选择一个可用的地址分配给备。基于地址池的DHCP分配方式可以适应不同规模和需求的网络环境。管理员可以根据实际情况调整地址池的大小和范围，以满足网络中设备的动态连接和断开。基于地址池的DHCP分配提供了一种灵活和高效的方法来管理和分配IP地址。它简化了网络管理过程，使网络更加可靠和可扩展。详细操作如图（以核心交换机LSW7为例）1.VLAN102030创建地址池2.为其配置网关地址3.配置地址池中可分配地址4.开启PC的DHCP图15DHCP配置图图16开启DHCP功能图图17查看PCIP图（四）防火墙安全区域设置防火墙是防止外部攻击和授权访问的重要安全设备。为保证防火墙的有效运行，必须进行适当的安全策略配置。安全战略配置是指在防火墙上设置规则和过滤条件，以控制网络流量的流向和内容。通过合理配置安全策略，可以有效防止网络攻击和数据泄露。在配置防火墙安全策略时，需要考虑网络拓扑结构、业务需求和安全风险，以确保安全策略的可实施性和高效性。此外，为了应对不断变化的网络威胁和攻击，定期检查和更新安全策略也非常重要。综上所述，防火墙安全策略是网络安全的基础，对维护网络安全和保护重要数据具有重要意义。在网络安全中，DMZ区域是指位于两个防火墙之间的一个区域，用于提供额外的安全防护。与外部网络相比，DMZ具有更高的安全性，但与内部网络相比，其安全性较低。在DMZ中，可以放置一些公共访问的服务器，如网络服务器、电子邮件服务器等。这些服务器可以通过外部网络和内部网络访问，但仍然与内部网络隔离。即使DMZ服务器被外部攻击攻陷，黑客也无法直接控制内部网络，这是DMZ的一个重要安全策略作用。DMZ通常有三个区域，分别为Trust、DMZ和Untrust。Trust区域是连接内部局域网的可靠接口。内部网络中的设备可以相互访问，但是外部网络和DMZ不能访问Trust区域。DMZ区域是放置公共服务器的区域，如Web服务器、邮件服务器等。内部网络和外部网络不能访问Trust端口。Untrust区域是连接互联网的不信任接口。Untrust口中的信息不会传输到内部网络。DMZ可以通过Untrust口访问，但Trust口不能访问。该网络架构的设计有助于提高网络安全性，保护内部网络的机密性。将公共服务器放置在DMZ中，并设置适当的安全策略，可限制内部网络的直接访问，提高网络的安全性。网络规划如图所示。图18安全策略划分图具体配置如下（以FW1为例，FW2的配置类似）1.申明配置的区域2.将端口加入到配置的区域中图19TRUST配置图图20UNTRUST配置图图21DMZ配置图图22TRUST流量IO图图23DMZ流量IO图图24UNTRUST流量IO图（五）防火墙双机热备双机热备技术是一种在网络出口处使用两台或多台网关设备实现主备份的技术。其目的是确保网络流量能够在主要设备故障时切换到备用设备。自动备份通常用于实现双机热备。通过心跳检测实时监测对方在主备设备之间的运行状态。当主要设备出现故障或不可用时，备用设备将立即接管主要设备的功能，并继续处理流量。这一过程是实时的，对网络流量的切换几乎没有感知延迟，从而保证了业务的连续性。心跳检测功能是保证对端稳定性和安全性的关键技术。通过定期发送心跳信号来检测主备服务器之间的连接状态，可以及时发现并处理任何潜在的故障。这种功能不仅可以提高整体网络的容错能力，还可以减少系统宕机的风险，可以保障系统正常运行。常见的心跳检测方式包括基于网络连接的方式，如PING或ICMP协议，或者基于专用的心跳信号。双击热备的数据同步是一种有效的备份和恢复策略，可以确保数据的实时性和高效性。将主服务器的数据实时复制到备份服务器上，可在主服务器出现故障时快速切换到备份服务器，保证业务的持续运行。这种方法可以有效地避免数据丢失和业务中断的风险，是公司园区数据管理中至关重要的一部分。为了保证备用设备在接管时具有与主用设备相同的配置和状态，需要实现数据之间的实时交流。可通过专门的同步协议或文件系统同步实现数据同步。双机热备的自动切换是一种高效的系统备份方法，可以在主服务器出现故障时自动切换到备用服务器，以确保系统的稳定性和连续性。通过双击热备的自动切换，可以最大限度地减少系统的停机时间，提高系统的可靠性和可用性。双击热备切换恢复故障是一种有效的备份和恢复策略，可以帮助组织快速恢复系统故障。当主服务器出现故障时，双击热量将自动将备用服务器切换到活动状态，以确保业务的持续运行。这种方法不仅可以提高系统的可用性，还可以减少停宕机时间，提高工作效率。主要配置如下1.配置上行接口图25上行接口配置图2.设置心跳线图26心跳线配置图3.设置快速备份图27快速备份配置图、图28查看心跳线状态及配置Active:设备当前hrp处于主用状态Standby:设备当前hrp处于备用状态running:备份通道状态正常，为当前主用备份通道五、总结网络规划是一个复杂而重要的工作，它涉及到区域内各个单位和部门之间的信息交流和数据共享。在这个数字化时代，一个高效稳定的网络系统对于区域的运营和管理至关重要。在进行区域网络规划时，需要考虑到区域内的各种业务需求和使用场景，以确保网络系统能够满足不同单位的需求同时，还需要考虑网络安全因素，来保障区域网络系统免受未经授权的访问或攻击。区域网络规划还需要考虑未来的扩展和升级需求，为了确保网络系统具备良好的可伸缩性和易维护性，在规划过程中，需要与各个单位和部门进行充分沟通和协调，为了保障网络系统的同时满足区域整体发展的需求。区域网络规划是一个需要综合考虑各种因素的复杂工作，只有经过科学合理的策划和有效管理，区域网络系统才能最大程度地实现效益。参考文献[1]李海波.新时代我国网络意识形态安全的风险防控与治理路径研究[D].兰州财经大学,2023.DOI:10.27732/ki.gnzsx.2023.000423.[2]秦文岩.境内企业境外上市网络安全审查制度优化研究[D].山东财经大学,2023.DOI:10.27274/ki.gsdjc.2023.000112.[3]钟颖.网络安全事件特征探索的可解释性研究[D].西南科技大学,2023.DOI:10.27415/ki.gxngc.2023.000638.[4]MinsooL,HyunK,HyunsooY.Compliance-DrivenCybersecurityPlanningBasedonFormalized