【《H大学C学院网络规划与设计》13000字（论文）】

绪论网络拓扑分析2.1网络设备选型在构建网络拓扑时，第一步就是根据网络的需求选择特定的网络设备，现如今市面上的网络设备大致分为交换机与路由器两种类型，其中交换机负责为网络提供基本的二层数据MAC地址寻址与数据分发，路由器则负责三层的网络IP地址寻址与数据分发。在路由器设备选型中，根据本次课题的校园园区对于网络的需求，选择了三台思科2911路由器作为校园园区网络的核心三层网络设备。思科2911路由器支持IPv4、IPv6、静态路由、开放最短路径优先(OSPF)、增强的IGRP(EIGRP)、网关边际协议(BGP)、BGP\t"/item/%E6%80%9D%E7%A7%91%202911%2FK9%20%E8%B7%AF%E7%94%B1%E5%99%A8/_blank"路由反射器、中间系统到中间系统协议(IS-IS)。在接口方面，思科2911路由器拥有3个固定的千兆\t"/item/%E6%80%9D%E7%A7%91%202911%2FK9%20%E8%B7%AF%E7%94%B1%E5%99%A8/_blank"以太网接口，并且根据本次网络规划额外添加了两个HWIC-2T串口模块，能够为2911路由器额外提供4个串行接口。在交换机设备选型中，选择了8台思科WS-2960-24TT二层交换机以及6台WC-3560-24PS三层交换机。思科WS-2960-24TT二层交换机支持IPv4、IPv6、VLAN、Trunk、VTP、STP生成树、端口安全、等技术，并且拥有24个百兆以太网口。思科WS-3560-24PS二层交换机支持IPv4、IPv6、VLAN、Trunk、VTP、STP生成树、HSRP热备份路由协议、端口安全、网管功能、SNMP管理等技术，并且拥有24个百兆以太网口以及两个千兆以太网口。支持大量终端设备的接入以及日后园区网络的拓展。2.2网络拓扑架构网络拓扑的意义是指由网络设备和网络设备之间根据网络线缆连接起来的一张网络全景图。网络拓扑是一张二维的可以呈现在纸面上的图片，它整体详细的叙述了整个网络的构成以及网络中数据的走向。在网络拓扑图之中，会有设备所在的具体位置、设备的详细信息以及设备之间线缆连接走向等等，甚至在详细的网络拓扑图之中还会处出现网络的IP地址规划信息。现如今的网络拓扑规划中，大致可以分为六种网络拓扑规划类型，分别为星形结构、树形结构、环形结构、网状结构、总线形结构以及混合结构，如图2.1所示。各拓扑之间互有优缺点，各有优劣。图2.1网络拓扑本课题采用的拓扑结构为混合型拓扑结构，结合了星形拓扑以及环状拓扑，混合成为星形-环状拓扑，如图2.2所示。在星形网络拓扑之中，整个网络由位于星形结构拓扑中心的网络设备承担整体网络进出口流量，所有的接入层设备数据信息都需要由核心层设备进行转发，因此星形结构拓扑的核心网络设备相当复杂、负载很高，而接入层网络设备则相对应的简单、负载小。星形结构拓扑的优点为控制简单、逻辑清晰、故障诊断迅速、数据隔离容易、方便服务接入层网络终端设备，缺点为对中心网络设备的性能要求极高。环状网络拓扑结构由许许多多的网络中继设备连接而成，所有的通信都共享一条物理通道，由一条物理通道转发所有数据信息。环状网络拓扑的优点是实时性能高、传输控制简单、数据链路单向性，缺点为容错能力极低、可靠性差、调整网络困难。在结合了星形拓扑与环状拓扑之后，集成了二者的优点、排除了二者的缺点，混合结构的星-环拓扑能够很好的为校园二层网络提供数据转发能力，通过冗余设备提供了很高的容错性以及网络可靠性，同时通过二层网络的线路连接冗余以及星-环拓扑特性，提供了极高的网络可拓展性，降低了网络调整的成本，并且提供了高效的故障排错机制。目前，星-环拓扑是企业园区网以及校园网络的主流网络拓扑结构。图2.2星-环拓扑2.3网络层次架构在校园园区网络中，整体的网络层次架构可分为二层网络以及三层网络。现如今世界上被大家一致认可的网络结构为OSI七层网络模型，OSI七层网络模型从第一层到第七层分为物理层(光/电信号转发)、数据链路层(基于MAC地址转发)、网络层(基于IP地址转发)、传输层(基于TCP/IP端口建立链接)、会话层(维护各方会话)、表示层(编码解码/压缩解压/加密解密)以及应用层(定义接口API)。OSI七层模型将整个网络架构层层分解、逐层解析，适用于网络中的各项应用与协议。二层网络由接入层交换机以及核心层交换机构成，二层网络中二层的意思是指当前网络的主要功能为运行OSI七层模型中的第二层的功能，既根据各个终端设备的MAC地址来进行数据转发，MAC地址为设备的全球唯一标识号，在设备自厂商生产出来之时就已经以只读的方式写入网卡之中。交换机会根据各设备之间的MAC地址决定数据包的去向与转发路径。当遇到未知MAC地址时，交换机会根据ARP地址解析协议对该MAC地址进行泛洪，收到正确的MAC答复时，将该MAC地址、IP地址及对应端口写入交换机内部的缓存映射之中，为今后的数据转发进行路径记忆。图2.3是本课题的二层网络结构拓扑图。图2.3二层网络拓扑三层网络由核心路由器构成，三层网络指当前网络的主要功能为根据各个数据包的IP地址进行数据转发。IP地址为设备在网络中的身份地址，共分为IPv4地址以及IPv6地址两类，目前世界上仍然以IPv4地址为主流IP地址，IPv4地址由32bit构成，分为四个部分，每个部分占据8bit(例如),同时根据这四个部分之间代表网络位与主机位的变换，可分为A、B、C、D、E、F五个大类。三层网络设备的主要功能就是根据路由协议创建出来的路由表决定数据包的去向以及转发路径，并且适当的进行地址转换以及访问控制。图2.4是本课题的三层网络结构拓扑图。图2.4三层网络拓扑在本次课题中，结合二层网络以及三层网络，通过混合结构的星-环拓扑搭建出了一个同时具有高可用性、安全性、拓展性的完善网络架构。第3章网络拓扑设计第3章网络拓扑设计3.1网络拓扑本课题的网络拓扑如图3.1所示。整个网络拓扑一共划分为四个区域，分别为学生公寓区、教学办公区、机房以及核心路由区。学生公寓区负责学生宿舍的网络转发；教学办公区负责教学区域的网络转发；机房负责学校内部服务器各个服务的搭建以及服务器的安放；核心路由区负责整个校园园区网络的三层路由转发以及数据进出校内外的网络地址转换及访问控制。图3.1总拓扑图在整个网络拓扑之中，使用二层网络协议与三层网络协议相搭配的方式进行H大学C学院的园区网规划。二层网络进行了HSRP热备份路由协议以实现对于网关的冗余设置，同时也设置了链路的冗余，并且配置了生成树PVST+防止环路产生。通过多项的冗余设置，保证了二层网络至少有两条路线进出整个二层交换区域。在二层网络之中使用了VLAN搭配Trunk与VTP的模式，使得整个二层网络层次分明，易于管理与调整，并且对今后的网络拓展预留了足够的物理接口。使用Etherchannel捆绑链路技术保证了二层网络汇聚交换机的高效性，在局域网内通信时能够得到很好的网络体验。在三层网路之中，三台思科2911路由器以三角形的状态进行互联，这样的设置能够使三层网络的路线具备容错性，不会因为一台路由器的损坏而使得整个网络陷入瘫痪之中。三层网络使用OSPF路由协议，实现对网络中IP地址的路由功能。通过二层以及三层网络的冗余设置，能够使得整个网络具有很强的健壮性以及容错性，避免了因为单台设备的损坏而使得整个网络瘫痪。该拓扑结合了星-环结构的优势，并且在其上进行了多项提高可用性的设置，是校园网络中较完整、完善的拓扑结构。3.2IP地址规划本课题中，使用B类私有地址与C类私有地址相搭配的方式构建H大学C学院园区网络内部IP地址。一B类IP地址可以提供65534个主机接入网络，一个C类IP地址可以提供254个主机接入网络。根据学生公寓区与教学办公区的需求与性质，分配了B类IP地址，并且通过VLAN技术对学生公寓区与教学办公区根据不同的区域进行了网段的隔离；根据机房与核心路由区的需求与性质，分配了C类IP地址。本课题中一共分配了10个B类IP地址，4个C类IP地址。分别为学生公寓区的/16、/16、/16、/16；教学办公区的/16、/16、/16、/16；机房的/24以及核心路由区的/24、/24、/24、/16、/16。所分配的IP地址都是私有地址，与外网的公有IP地址不冲突。拓扑中模拟了外网地址并且使用NAT技术实现网络地址转换。在本次分配的IP地址之中，教学办公区与学生公寓区的每一个VLAN子网中都可以支持约65535个终端接入，按照每个人使用3个IP地址来计算，每个VLAN子网约可以支持21845位师生的同时使用，能够很好的满足校园园区网络的需求。在机房之中，按照每台服务器使用两张网卡计算，可以支持127台服务器同时提供服务，在校园园区网络中127台服务器已经能够满足学校的需求，本课题中详细的IP地址规划表如表3.1所示，表3.1中详细表明了拓扑中的IP地址规划，提高了网络的可读性。表3.1IP地址规划表区域设备接口IP地址备注核心路由区R1S0/2/0/24对外接口S0/3/0/24S0/4/0/24Gig0/053/24连接机房R2S0/3/0/24S0/3//24Gig0/052/16连接学生公寓区Gig0/152/16连接教学办公区R3S/3/0/24S0/3//24Gig0/053/16Gig0/153/16连接学生公寓区Gig0/252/24连接教学办公区学生公寓区Stu-SW1Gig0/151/16连接R2VLAN1/16VLAN1054/16VLAN2054/16VLAN3054/16VLAN4054/16Stu-SW2Gig0/150/16连接R3VALN153/16VLAN1053/16VLAN2053/16VLAN3053/16VLAN4053/16Stu-SW3VLAN1/24VLAN1052/16VLAN2052/16VLAN3052/16VLAN4052/16Stu-SW4VLAN1/24VLAN1051/16VLAN2051/16VLAN3051/16VLAN4051/16Stu-SW5VLAN1/24VLAN1050/16续表3.1区域设备接口IP地址备注VLAN2050/16学生公寓区Stu-SW5VLAN3050/16VLAN4050/16Stu-SW6VLAN1/24VLAN1049/16VLAN2049/16VLAN3049/16VLAN4049/16教学办公区Tea-SW1Gig0/151/16连接R2VLAN1/24VLAN1054/16VLAN2054/16VLAN3054/16VLAN4054/16Tea-SW2Gig0/150/16连接R3VLAN1/24VLAN1053/16VLAN2053/16VLAN3053/16VLAN4053/16Tea-SW3VLAN1/24VLAN1052/16VLAN2052/16VLAN3052/16VLAN4052/16Tea-SW4VLAN1/24VLAN1051/16VLAN2051/16VLAN3051/16VLAN4051/16Tea-SW5VLAN1/24VLAN1050/16VLAN2050/16VLAN3050/16VLAN4050/16Tea-SW6VLAN149/16VLAN1049/16VLAN2049/16VLAN3049/16续表3.1区域设备接口IP地址备注VLAN4049/16机房JF-SW1VLAN151/24JF-SW2VLAN150/24学生公寓区HSRP地址HSRP组1VLAN154/16负责VLAN1HSRP组2VLAN1048/16负责VLAN10HSRP组3VLAN2048/16负责VLAN20HSRP组4VLAN3048/16负责VLAN30HSRP组5VLAN4048/16负责VLAN40教学办公区HSRP地址HSRP组1VLAN154/16负责VLAN1HSRP组2VLAN1048/16负责VLAN10HSRP组3VLAN2048/16负责VLAN20HSRP组4VLAN3048/16负责VLAN30HSRP组5VLAN4048/16负责VLAN40外部ISPS0/3/0/24运营商接口结论第4章网络实现以及测试4.1网络技术实现当整体网络拓扑图搭建起来之后，还需要在拓扑图之中配置相对应的网络协议才可以让整个网络正常运行起来，本课题中各项网络协议的配置与意义将在下面一一解说。4.1.1 设备基本配置在思科设备中，有着许许多多的网络协议与配置，其中最基础的配置就是IP地址添加、密码设置（登入密码cisco，enable密码cyxy）、主机名设置、登入接口设置、域名查找以及端口描述的基础配置。这些基础的配置可以运用在任何的思科交换机以及路由器之中。如图4.1所示，介绍了这些配置的详细命令。图4.1基础命令配置在这些命令之中，主机名设置的作用是设置该设备的名称。关闭域名查找可以防止因为输错命令，系统误认为是域名进行检索从而产生的不必要的系统开销。在consloe口以及远程接口的设置可以增加设备配置的安全性。enable密码为设备的二级密码，可以为设备的核心配置做安全保证。接口的IP地址以及接口描述则为网络连通的必要性配置。在思科设备中，可以在特权模式中使用showrunning-config命令查看。4.1.2Etherchannel捆绑链路在本课题中，Etherchannel捆绑链路使用LACP协议，LACP协议的中文名称为链路汇聚控制协议，LACP协议为公有协议，支持二层与三层的链路捆绑。在本次的课题之中，在两台三层交换机之间聚合两条物理链路为一条虚拟链路，保证了区域内部局域网络的通信带宽。具体拓扑图如图4.2、图4.3、图4.4所示。图4.2学生公寓区Ethetchannel图4.3教学办公区Ethetchannel图4.4机房Ethetchannel本课题的Etherchannel捆绑链路设置的为二层捆绑，将两条二层物理链路捆绑为一条虚拟链路，提高了一倍的带宽，使二层网络内部的局域网数据转发性能得到了极大的提升，并且根据Etherchannel的特性提供了冗余措施。Etherchannel的具体配置命令如图4.5所示。图4.5Etherchannel配置命令4.1.3Trunk、VTPTrunk链路的作用是传输VLAN的数据信息，在思科的设备之中，共有IEEE802.1Q公有协议以及ISL思科私有协议，本课题在交换机与交换机之间配置Trunk链路，并使用IEEE802.1Q公有协议且设置允许通过的VLAN以保证链路的安全性，防止VLAN攻击。关闭DTP协商避免非规划的端口成为Trunk，保证Trunk的稳定性。详细的配置命令见图4.6。图4.6Trunk配置命令VTP协议为思科私有协议，可以实现VLAN的统一管理。本课题在同一个二层网络中设置一台VTP服务器（各二层网络的SW1交换机），其余设备设置成为VTP客户端，由VTP服务器统一进行VLAN的设置以及VLAN管理。在配置VTP之前，需保证Trunk链路的配置完整，因为VTP信息只可在Trunk内传播。详细的配置命令见图4.7。图4.7VTP配置命令4.1.4VLAN、VLAN间路由VLAN的作用为形成虚拟的LAN网络，从而分割广播域减少广播风暴及降低设备负载。本课题之中，根据网络的需要在学生公寓区以及教学办公区设置了四个VLAN，分别为VLAN10、VLAN20、VLAN30以及VLAN40分别负责四个不同的区域通信，并且在三层交换机上配置SVI接口开启了iprouting模式以保证VLAN间的路由通信。详细的配置命令见图4.8。图4.8VLAN配置命令4.1.5生成树PVST+思科私有802.1D标准生成树协议为PVST+，PVST+生成树协议可以为每一个VLAN分配一个生成树实例，并且可以根据VLAN之间的不同，进行负载均衡调优，在本次课题中，将VLAN1、10、20配置为同一条生成树线路，而VLAN30、40配置为另外一条生成树线路，这样就是实现了路径的负载均衡，避免了单个设备负载整个网络性能的问题。详细的配置命令见图4.9。生成树线路见图4.10。图4.9PVST+配置命令图4.10生成树路径4.1.6端口安全、生成树特性PortFast、BRDUGuard、RootGuard端口安全可以保护网络，避免网络被MAC地址攻击，端口安全限制每个交换机端口收到的MAC地址数目，以及设置了超出规则后的违背模式。在本课题中，所有的接入层access端口全部设置端口安全，将最大的MAC地址数目设置为3个，并且设置了MAC地址粘滞，将违背模式设置为shutdown模式，当同一端口学习到超出三个MAC地址时，接口立即关闭。详细的配置命令见图4.11。图4.11端口安全配置命令生成树在选举的过程以BPDU作为通信数据包，并且在收敛过程中有许多种模式，PostFaat可以帮助底层终端接入access口直接跳转到转发状态，而不需要等待生成树收敛。BPDUGuard的作用是保护生成树结构，当底层access口接收到BPDU时，立刻shutdown掉，避免黑客将终端PC模拟成交换机发送BPDU来破坏生成树结构。RootGuard的作用是防止接入新交换机后，根桥被抢占，从而使STP结构陷入混乱。本课题在底层终端access口上配置PortFast以及BPDUGuard，在所有交换机上全局配置RootGuard。详细的配置命令见图4.12。图4.12生成树特性配置命令4.1.7OSPF、HSRPOSPF为公有的、使用范围最广的路由协议，OSPF的作用是在三层网络中维护路由表，使得正确的IP地址可以去往目的网段。在本课题校园园区网络中，网段较少，所需要的维护的路由条目大致为几十条，所以将所有的三层设备都置为一个OSPF区域内，OSPF的详细配置命令见图4.13。图4.13OSPF配置命令HSRP是思科的私有协议，HSRP热备份路由协议可以基于VLAN或是设备接口将两台及两台以上的网关设备虚拟为一台网关设备，他们具有相同的虚拟IP网关地址。在本课题中，将学生公寓区以及教学办公区的两台三层交换机虚拟为一台交换机，并且根据STP的转发路径进行HSRP中VLAN的调优，保证STP与HSRP的线路不冲突。在机房的HSRP中，虚拟了路由器R1以及R3，构成一台虚拟网关负责数据包的转发。HSRP的详细配置命令见图4.14。图4.14HSRP配置命令4.1.8ACL、NATACL访问控制列表的作用是限制网络内部的数据包访问，以达到对网络内部进行安全保护的目的。ACL访问控制列表可分为标准ACL与扩展ACL其中标准ACL对IP地址进行限制，扩展ACL可以对端口进行限制。在本课题中，使用标准ACL访问控制列表对IP地址进行限制，以达到对各个网络设备的远程登录进行限制的目的，既不允许除机房网络管理设备之外的任何网络终端设备远程登陆校园网内部网络设备，以防止黑客对网络设备进行破坏。详细配置命令见图4.15。图4.15ACL配置命令NAT网络地址转换技术是现如今解决IPv4地址不够用的最好的方法之一，NAT将内网与外网的IP地址进行转换，使得内网设备可以使用外网的公有IP地址进行互联网访问。NAT大致可分为静态NAT、动态NAT、以及端转换PAT。在本次课题中，因为存在许多的内网IP地址，而外网地址不足以使全部内网地址进行转换，故而在R1上使用端转换PAT技术。详细配置命令见图4.16。图4.16PAT配置命令4.1.9DHCPDHCP动态主机配置协议可以自动的为底层终端设备分配IP地址，配置DHCP现如今是几乎每一个网络工程师都必备的技能，我们可以在任何一个拥有大量用户的网络中见到DHCP的踪影。思科的路由器同样也支持DHCP配置，因为机房服务器都是使用固定的IP地址进行通信，所以在机房中不需要配置DHCP来进行动态的IP地址分发，但是在学生公寓区以及教学办公区之中，因为有大量的流动性很强的终端设备，故而需要配置DHCP。本课题中在路由器R2以及R3上配置DHCP地址池，在三层交换机上配置DHCP中继功能，从而使得终端接入设备能够自动获取到IP地址。详细的DHCP配置命令见图4.17。图4.17DHCP配置命令4.2网络技术测试在经过了拓扑规划、协议选择、网络协议实施配置之后，一个可以满足校园园区网络的架构就已经诞生了，在搭建好了整个网络架构之后，要对网络中的各种功能进行测试。4.2.1全网连通性测试作为一个网络拓扑，全网的连通性是最基础的要求，也是搭建网络的目的所在。所以要对全网的连通性进行测试。整个网络分为四个区域：学生公寓区、教学办公区、机房以及核心路由区，并且配置了VLAN。测试全网的连通性大致可以分为两个步骤，第一个步骤是对VLAN间通信的测试，如图4.18所示；第二个步骤是对三层网络中不同区域的连通性测试，如图4.19所示。测试使用ping命令，ping命令为基于ICMP协议的命令，可以根据数据包的接收与发送对网络的可达性进行检测，ping命令的格式为ping+IP地址的格式，是当前检测网络可达性的常用命令。图4.18VLAN间通信测试图4.19不同区域间通信测试通过测试结果可以表面，不同的VLAN之间可以进行通信，而且不同的区域之间也可以根据三层设备的路由表进行通信。全网连通性测试完成。4.2.2设备基本配置测试设备的基本配置可以分为IP地址、密码设置、主机名设置、登入接口设置、域名查找以及端口描述的基础配置。在设备中定义了远程登录的密码、enable密码、光标定位、登录窗口活动时间等。这些配置都可以使用showrunning-config来查看。本课题中的部分showrunning-config结果如图4.20所示，设备的登录界面以及密码输入界面如图4.21所示。图4.20showrunning-config部分结果图4.21密码输入界面从结果可以看出，设备基本配置已经生效，登录设备需要使用密码登录，并且showrunning-config中也出现了相对应的配置命令。4.2.3Etherchannel捆绑链路、Trunk、VTP、VLAN测试Etherchannel链路捆绑是将物理链路捆绑为虚拟链路，可以使用思科的查看捆绑链路命令showetherchannelsummary进行查看。结果如图4.22所示。图4.22捆绑链路查看图在网络拓扑中，将交换机与交换机之间相连的接口都设置成了Trunk以便于VLAN间通信，可以使用showinterfacestrunk命令查看，如图4.23所示。图4.23Trunk链路查看图VTP的作用是统一对VLAN进行统一管理，故而只要测试VLAN的配置命令就能知道VTP是否起作用，查看VLAN可以使用命令showvlanbrief，如图4.24所示。图4.24VLAN查看图4.2.4生成树STP、端口安全、生成树特性测试生成树以及生成树同类型可以使用命令showspanning-treesummary查看，想要查看详细情况也可以使用showspanning-tree命令，如图4.25所示。为showspanningtreesummary命令的显示结果图4.25生成树查看图端口安全配置于接入层交换机的access端口中，所以要查看端口安全可以在接入层交换机使用showport-security命令。如图4.26所示。图4.26端口安全查看图4.2.5OSPF、HSRP测试OSPF路由协议可以直接查看OSPF产生的路由表，由此来判定OSPF是否有起作用。查看的命令为showiprouteospf，结果如图4.27所示。图4.27OSPF路由表查看图HSRP热备份路由协议配置在三层交换机以及路由器之中，可以通过命令showstandbybrief查看HSRP选举结果以及基本信息，结果如图4.28所示。图4.28HSRP查看图4.2.6NAT、ACL、DHCP测试NAT网络地址转换技术，可以将内网地址与外网地址进行相互转化，可以在出口路由器上使用showipnattranslations命令查看转换对应信息，结果如图4.29所示。图4.29PAT查看图ACL访问控制列表的作用是给网络内部的数据访问设置规则，测试ACL可以直接在网络中使用访问的方法进行检测，结果如图4.30、图4.31所示。图4.30ACL非法访问图4.31ACL合法访问在网络中配置了DHCP来自动分配IP地址，测试DHCP可以直接在网络中使用终端设备以DHCP的方式获取IP地址，测试结果如图4.32所示。图4.32DHCP查看结论 在本次课题之中，进行了H大学C学院校园园区网络的规划与设计，经过拓扑选型、网络技术选择、网络技术实施等一系列步骤，逐步的搭建出了一个完整的、符合校园园区网络需求的网络架构。在拓扑选型上，采用了混合形拓扑结构，结合了星形拓扑以及环形拓扑形成了星-环形拓扑。在星-环拓扑中，既集成了星形拓扑的优势同时也集成了环形拓扑的优势，搭配上三层网络的拓扑设计，为整个校园园区网络提供了安全性、高可用性、冗余性以及可拓展性，同时也使得整个网络具备了很高的故障排错能力。在网络技术选择方面，二层网络选择了VLAN技术、Trunk技术、Etherchannel技术、VTP技术、STP生成树技术、生成树特性以及端口安全，三层网络选择了OSPF路由协议、HSRP虚拟网关协议、ACL访问控制列表、NAT地址转换以及DHCP动态主机配置协议。通过这些协议，能够很好的为整个网络提供一个逻辑清晰，条理明确的数据转发路径