网络基础及其教程 4

网络工程第三章网络的逻辑设计杜庆伟目录3.1概述3.2网络结构设计3.3IP地址规划3.4路由协议的选择3.5网络管理的采纳3.6网络安全的规划设计3.7VLAN的规划设计3.7.1VLAN的基本原则3.7.2VLAN设计的步骤3.8软件的规划3.9网络设计案例基本原则——1）确定划分的依据使得网络的管理非常灵活不需考虑地理位置的因素路由器不得不考虑此因素划分必须有一定的依据和原则目前的划分依据主要是部门可在不同场所可以按功能/业务如贸易促进小组，包括销售人员、技术人员、负责领导等可以按网络的应用（比如视频会议）2）确定划分的方法VLAN可按照接口、MAC地址、IP地址等进行划分各有优势，没有一种是通用的目前大多数按接口进行划分简单清晰，初始化和维护工作量小，能满足多数需求需根据用户数量，规划好接口范围，预留一定余量考虑到一些特殊的情况，也可以采用其他方式某些人员经常移动办公，应根据MAC地址划分如主机IP地址固定，但移动性比较强，可根据IP地址划分3）不宜太大或太小太大的话容易导致VLAN内广播风暴安全性的降低太小易导致VLAN间路由的复杂、IP地址的浪费，管理的复杂性增大VLAN间是会相互影响的，会争用以太网交换机的CPU、接口带宽（Trunk类型的接口）和背板资源4）划分VLAN的特殊情况对那些对安全性（或其他性能）有特殊要求的群体，应单独划分VLAN财务处、图书馆的服务器等，有很多重要数据对那些会产生大流量数据的应用，应单独划分出VLAN经常产生视频数据的应用，数据量很大，应避免他们的流量干扰其他用户5）安全性的考虑VLAN不是专门的安全技术为了增强安全性，应借助其他一些安全技术例如，VLAN之间通信通过访问控制列表（ACL）进行控制是否允许访问VLAN中的资源允许数据进入还是流出允许哪个协议或端口的数据通过允许访问的源或者目的地址的范围是多少等6）其他VLAN以VLANID划分，ID为整数其中VLAN1是以太网交换机的默认VLAN，一般不用于业务VLANVLANID间间隔的数字稍微放大其他业务（与现有业务相近/关联）添加时，可在VLANID间选择切实做好VLAN设计和实施的记录特别是应给每个VLAN定义一个有意义的名字，修改其描述，登记细节的信息，便于管理和识别目录3.1概述3.2网络结构设计3.3IP地址规划3.4路由协议的选择3.5网络管理的采纳3.6网络安全的规划设计3.7VLAN的规划设计3.7.1VLAN的基本原则3.7.2VLAN设计的步骤3.8软件的规划3.9网络设计案例步骤（1）确定VLAN划分的依据（2）根据工作特点确定采用什么样的VLAN划分方法（3）根据用户设备的规模、覆盖范围等因素确定VLAN数量（4）确定VLAN的id、名称、描述，记入文档VLANid范围的建议，管理员可自行制定适合本单位情况的范围特殊服务范围：2~99服务器范围：100~999接入网络范围（教学区A）：1000~1499接入网络范围（教学区B）：1500~1999接入网络范围（教学区C，设上网设备较多）：2000~2999其他业务网络范围：3500~4999（5）给每个VLAN规划IP地址范围、子网掩码、默认网关（6）后续实施（已不属于逻辑设计范畴）根据规划选购网络设备规划网络设备的接口整理网络拓扑，查看VLAN的划分会涉及到哪些交换机规划哪些接口为Access类型，哪些接口为Trunk类型，等‌对网络设备进行配置，完成规划各项内容为每个VLAN配置DHCP作用域以便自动分配IP地址等参数，确保DHCP的作用域仅服务于对应的VLAN启用路由功能，使VLAN间可正常通讯、上互联网‌测试和优化‌：测试VLAN、ACL、路由等是否起作用目录3.1概述3.2网络结构设计3.3IP地址规划3.4路由协议的选择3.5网络管理的采纳3.6网络安全的规划设计3.7VLAN的规划设计3.8软件的规划3.9网络设计案例1．操作系统视窗系统因为早期便具有良好的使用体验，因此占据了操作系统的半壁江山特别适合那些依赖于微软生态系统的单位Unix系列和Linux系列的内核设计简洁高效在较低的硬件配置下表现优异，资源占用少适合处理大量并发请求Linux系列开源免费，安全透明能大幅降低服务器的运行成本，特别适合中、小型单位包括Ubuntu、CentOS、RedHatEnterpriseLinux（RHEL）等Ubuntu和CentOS适合中、小型单位，RHEL则适合大型单位Unix系统性能高，稳定性极佳适用于对安全性和可靠性要求高的场景包括高性能计算平台、大型单位的服务器等包括SUN的Solaris、HP-UX、AIX、FreeBSD等Unix和Linux系统通常被认为具有较高的安全性2024年7·19微软蓝屏事件（案例1-6）中，中国的众多航司均未受影响，就是因为操作系统都已改为非视窗系统2．Web服务器用户的Web网站及基于Web的相关业务系统需定制开发集成商可能需要为用户架构好Web服务器常用Web服务器Windows的IISUnix和Linux下最广泛的是Apache和TomcatIIS提供了基于GUI的管理工具，用于配置和控制互联网服务提供了一套信息服务，Web服务器、FTP服务器和SMTP服务器等Apache是世界上使用非常广泛的Web服务器属于Apache软件基金会，免费、开源支持多种OS（Windows、Linux和Unix），简单易用、扩展性强、安全性高据称市场占有率约为60%‌Tomcat是一个开放源码的平台是Apache软件基金会开发的JavaServlet容器，也可用作Web服务器支持多种操作系统（Windows、Linux和Unix）支持JavaServlet、JavaServerPages（JSP）和JavaServerFaces（JSF）等Java相关技术，在JavaWeb应用程序开发中被广泛使用3．数据库管理系统称数据库是不正规说法，正规称呼是数据库管理系统（DBMS）数据库是一些数据的集合，由数据库管理系统管理目前所使用的DBMS多是关系型数据库管理系统广泛用于存储和管理结构化的数据——以表格的形式存储数据使用结构化查询语言（SQL）进行数据操作，支持复杂查询和事务处理传统的关系型DBMS主要包括Oracle‌：最流行的数据库管理系统之一，适用于大型单位，价格昂贵‌‌‌MicrosoftSQLServer‌：价格较高MySQL‌：开源免费的关系型DBMS，适用于大多数的系统新型DBMS传统的DBMS有容量的限制，扩展性和性能上存在不足重要的趋势将数据库部署到云端（云DBMS）实现分布式部署（分布式DBMS）这些DBMS具有高可靠性、高可用性、高并发和高扩展性属另一个赛道，消弱了Oracle‌和MicrosoftSQLServer‌等的垄断地位DBMS还有一个分支为实现海量数据、大数据分析而产生——非关系型DBMS（NoSQL）不使用固定的表格结构，可存储各类非结构化和半结构化的数据往往也是分布式DBMS新型的DBMS包括‌‌GoogleBigtable‌、ApacheCassandra‌、‌‌MongoDB‌、华为CloudRDS和GaussDB、蚂蚁的OceanBase等4．域名系统DNS互联网的一个基础性服务处于应用层的底部，为各种网络应用提供查询IP地址的服务视窗系统可设置MicrosoftDNSServer因为遵循RFC并使用标准的数据文件和记录格式，所以可以与其他DNS一起工作，如下文的BIND可与其他微软网络服务紧密集成，并包含了一些超出RFC指定的特征BINDUnix和Linux系列的操作系统可采用BIND，Unix系列自带BIND据称全球使用最广泛是一个功能强大的开源DNS服务软件，广泛应用于各类网络环境中具有以下特点。‌稳定性与可靠性‌。能在各种网络环境中保持高效运行，即使在面对高流量或复杂配置的情况下也不易出现故障‌安全性‌。提供了多种安全机制来保护DNS服务‌灵活性。支持多种配置选项，可根据特定需求进行高度定制‌跨平台兼容性‌：支持多种操作系统，包括Windows‌‌‌内部网络管理‌：在内部网络中，可以提供多种管理功能如内部服务器的域名管理、负载均衡、动态更新等，显著提高网络性能和管理效率‌5．代理服务器在使用代理服务器的情况下很多通信量被局限在园区网内部，对外链路压力减少很多对于多数客户来说访问延迟大大减小代理服务器还可以做到隐私保护代理服务器可隐藏客户端的真实IP地址，保护用户隐私内容过滤可以使用代理服务器过滤不适当的内容、限制用户访问某些网站或服务访问控制可以控制哪些用户或设备可以访问特定的网络资源代理服务器类别‌‌Web代理服务器‌Squid、Apache和Nginx等‌‌SMTP代理服务器过滤邮件、降低垃圾邮件的影响、实现多域名共享一个IP地址等Postfix和Exim等‌DNS代理服务器提高DNS解析的速度、过滤恶意网站等Dnsmasq、BIND和Unbound等‌SOCKS代理服务器隐藏客户端的真实IP地址、突破网络封锁等Shadowsocks、SocksCap和Privoxy等‌6．安全软件

安全软件选择原则‌‌综合保护能力‌选择防火墙、入侵检测与防御、数据加密、恶意软件检测和阻止等软件，提供全方位的安全保护‌‌实时监控和预警能力应具备实时监控园区网的能力检测到异常时发出预警通知，帮助单位及时发现并应对安全威胁‌可视化管理界面应具备直观、易用的可视化管理界面，降低操作难度和学习成本‌灵活的配置和定制能力应具备灵活的配置和定制能力，满足企业特定的网络安全需求‌高性能和可扩展性‌应保持稳定和较高的性能，避免对正常业务的性能造成太大影响能够支持灵活的扩展方式‌‌售后服务质量考虑提供商的售后服务质量，包括技术支持、用户培训和问题解决速度等目录3.1概述3.2网络结构设计3.3IP地址规划3.4路由协议的选择3.5网络管理的采纳3.6网络安全的规划设计3.7VLAN的规划设计3.8软件的规划3.9网络设计案例1）核心层选用万兆以太网作为高速主干租用电信光缆，将4校区4台万兆交换机（三层交换机）连成一个环每个万兆交换机另有24个千兆接口为进一步提高网络可靠性，用千兆光缆将校区2、3连接起来2）汇聚层选用千兆以太网（三层交换机）作为各校区的主干千兆交换机与万兆交换机通过防火墙相连3）接入层选用百兆