【《H大学S学院网络规划与设计》13000字（论文）】

H大学S学院网络规划与设计摘要本文使用思科模拟器进行H大学S学院内部的网络规划与设计，在其中划分了多个不同的功能区域。在实施过程中，使用思科厂商提供的交换以及路由设备，并在设备上配置相对应的交换协议以及路由协议，使用IP地址规划技术规划IP地址，实现整个网络拓扑的互联性、安全性、高可用性、容错性以及灾备管理。在交换机上，配置VLAN、Trunk、VTP、生成树PVST+、Etherchannel链路捆绑协议实现对二层数据转发广播域的隔离、提高带宽以及路径调优防止环路。在路由器上使用了OSPF、ACL、NAT技术实现全网的全互联、安全性以及内外网IP地址转换。在此之外，还在三层交换机上配置了HSRP热备份路由协议实现三层交换设备的冗余灾备，DHCP服务实现接入层PC设备的IP地址动态获取，在生成树中配置了生成树特性PortFast、BPDUGuard、RootGuard以保护生成树结构，使用交换机SVI口以实现VLAN间路由互通。通过拓扑中的各项路由交换技术以及拓扑中规划的冗余机制，能够很好的满足H大学S学院内部对于园区网络的各项需求。关键词网络规划；路由技术；交换技术目录28186_WPSOffice_Level1绪论 130441_WPSOffice_Level1第1章工具及技术介绍 330441_WPSOffice_Level21.1工具介绍 33188_WPSOffice_Level21.2技术介绍 33188_WPSOffice_Level1第2章网络拓扑分析 812653_WPSOffice_Level22.1网络设备选型 83748_WPSOffice_Level22.2网络拓扑架构 823502_WPSOffice_Level22.3网络层次架构 1012653_WPSOffice_Level1第3章网络拓扑设计 1210837_WPSOffice_Level23.1网络拓扑 1212129_WPSOffice_Level23.2IP地址规划 133748_WPSOffice_Level1第4章网络实现以及测试 1722088_WPSOffice_Level24.1网络技术实现 1726527_WPSOffice_Level24.2网络技术测试 2423502_WPSOffice_Level1结论 3212129_WPSOffice_Level1参考文献 34绪论本文的目的旨在于构建出一个符合H大学S学院网络需求的网络架构，能够实现校园内部的网络互通以及内部与外部之间的网络通信。网络技术经过几十年的发展，已经涌现了一大批优秀的网络技术协议，其中包括路由协议（静默路由、RIP协议、EIGRP协议、OSPF协议、ACL访问控制列表、NAT网络地址转换）、交换协议（VLAN、VTP、Trunk、Etherchannel、STP、HSRP、VRRP、GLBP）、IP地址规划方法（VLSM、FLSM）、安全配置（生成树安全特性、端口安全），使用这些网络技术协议，能够规划出符合当前企业以及校园需求的网络架构。在H大学S学院的校园园区网络中，拥有大量的学生与教师，相对应的也就产生了大量的终端设备，同时也需求大量的IPv4地址来分配给这些终端设备，计划使用B类网络地址来满足IP地址需求。同时在分配了IP地址之后，网络中拥有大量的接入层终端设备，将会对网络稳定性产生极大的影响，使用多种交换技术来为园区二层网络提供稳定性，其中包括VLAN技术、STP生成树技术、HSRP热备份路由协议等。在园区三层网络中，使用OSPF以及NAT技术保证网络全互联以及与外网的连通性。在校园网络架构之中，拥有大量的接入层终端设备，想要为这些终端设备配置IP地址是一项艰巨的挑战，为了能够快捷的为终端设备分配IP地址，在校园网络之中配置DHCP动态主机配置协议是一项解决问题的好方法，DHCP协议能够自动的为终端设备配置IP地址，而不需要网络管理人员手动为设备配置IP地址，能够极大的提高网络中的工作效率以及使用体验。当前校园网络的规划以高可用性、安全性与可拓展性为第一要素，在高可用性这一要素中，使用VLAN将二层网络分割为多个虚拟的LAN广播域来减少广播消息、Etherchannel链路聚合技术聚合多条物理链路为一条虚拟链路来提高网络带宽、HSRP热备份路由协议将多台物理三层网关设备虚拟为一台网关设备来实现网关的冗余、STP生成树（802.1D）PVST+进行内部二层网络路径调优防止环路产生大量的广播风暴破坏二层网络。在安全性要素中，使用端口安全防止MAC防洪攻击、STP生成树特性保护STP的稳定性、ACL访问控制列表限制非运维管理人员登录网络设备从而造成网络破坏、思科设备自带的密码认证机制保证设备的安全性。除网络的高可用性以及安全性这两大要素之外，在构建校园园区网络时也需要考虑网络的可拓展性，在构建拓扑以及规划IP地址时，使用了大量的B类IP地址，每个B类地址都拥有约65534个可用主机IP地址，能够承担大量用户连接进入网络。并且在网络之中预留了许多交换机接口，能够为今后进行二层网络的拓展提供了良好的可操作性空间。如此考虑了网络的终端接入需求、网络使用体验、网络的高可用性、网络的安全性、网络的可拓展性，可以构建出一个同时具有稳定性、拓展性以及健壮性的校园园区网络，并且能够很好的满足H大学S学院的网络需求，从而构建出一个相对完整的校园园区网络。工具及技术介绍1.1工具介绍本课题使用思科模拟器CiscoPacketTracer6.2进行H大学S学院校园园区网络的规划与设计。CiscoPacketTracer是由Cisco公司发布的一款图形化网络实验辅助学习软件，在CiscoPacketTracer上，用户可以调用相对应的Cisco网络设备，添加相对应的模块，进行设备的连接与调试，并且在设备上使用交换路由的知识进行网络模拟实验。CiscoPacketTracer软件完全支持大部分的基础网络实验，并且能够提供与真实网络一致的实验环境与实验结果。CiscoPacketTracer可以在Cisco官网进行下载，登录/c/zh_cn/index.html?country-redirect=true思科中国网站中依次点击更多->培训->下载PacketTracer即可进行下载。目前CiscoPacketTracer已更新到7.3.1，本课题使用稳定版的6.2进行实验，CiscoPacketTracer之间版本不兼容，请自行调整版本。下载完软件后，按照默认安装方式进行安装。双击桌面的CiscoPacketTracer图标即可进入思科模拟器。在使用思科模拟软件进行网络设计时，如果遇到不明白的配置命令以及网络报文，可以在思科官网中的论坛获得帮助，或移步至中国国内IT著名论坛CDSN论坛。1.2技术介绍一个合理高效的网络架构是由多种不同的网络协议组成的。在网络架构之中，使用相对应合适的网络协议，会使网络架构变得更加有条理、逻辑清晰、具备健壮性、高可用性、安全性以及可靠性。在本课题构建的校园园区网络之中，采用了多种不同的网络协议，进行相互搭配，从而构建成一个高效、有序的网络。本课题中使用的各种网络协议将在下列的各个小结中一一讲解。TrunkTrunk是基于OSI第二层数据链路层（DataLinkLayer)的技术[1]。Trunk链路用于承载多个VLAN流量在点到点的物理链路中进行传输。Trunk链路的运行依托于相对应的协议，在思科的设备中，共有两大协议支持Trunk链路，分别为思科私有协议ISL以及公有协议802.1Q。在本次课题中，因为公有协议适用于不同厂商的网络设备，故使用公有协议802.1Q运行Trunk链路，以保证今后网络拓展便利。VTPVTP提供了一种在交换机上管理VLAN的方法,使得用户可以在一个或者几个中央点（服务器）上创建、修改、删除VLAN，通过Trunk链路把VLAN信息自动扩散到其他交换机[2]。VTP可以方便网络管理员对网络中的VLAN进行管理。在网络中，设置一个VTP服务器，其他的网络设备根据需要设置为客户端模式或透明模式。当VLAN需要进行操作时，只需要对VTP服务器进行管理即可，相对应的操作会同步到所有VTP作用域内的网络设备之中。VTP可以极大的增加管理员对网络的管理效率，也可以节省网络搭建人员对网络进行配置的时间，简化网络架构，避免因为VLAN配置错误而产生的网络故障。VLANVLAN技术应用于二层交换网络之中，在各个二层网络交换机上进行配置，可以形成不同的网段，在逻辑上分割广播域，这种逻辑上的网段被称之为局域网络[3]。VLAN技术可以划分交换机中的广播域，减少交换机中的数据包冲突范围。在未划分VLAN之前，所有的二层接入设备都运行在同一个广播域之中，导致二层网络产生严重的数据冲突并导致大量延迟。在使用VLAN技术划分了广播域之后，不同VLAN之间等同于相互隔离的广播域，在未配置VLAN间通信之前不可以相互进行通信，使得网络更加有序，同样也增加了网络的可操作性。通过VLAN技术，可以在二层网络中实现部分三层网络的特性，适合校园园区网络以及企业网络对区域与部门进行细分，使网络有逻辑性以及层次性。Etherchannel链路聚合技术链路聚合技术将多个真实存在的物理通过软件上的操作，在逻辑上捆绑为一条逻辑链路。Etherchannel技术的目的是在不产生环路的前提下增加设备之间的链路带宽，并且可以通过一条逻辑链路中的多条物理链路来实现链路之中的负载均衡[4]。Etherchannel技术目前共有两大协议可以支持该技术的实现，分别为公有协议-LACP链路聚合协议以及思科私有协议-PAgP端口聚合协议。两大协议都可以根据链路两端的模式来协商成为聚合链路。在本课题中，考虑到目前技术的通用性以及今后对网络管理的难度，使用公有协议LACP进行链路聚合的设置。生成树PVST+STP协议在网络中归属于二层协议，由DEC公司在1995年研发问世，用于在二层网络的冗余链路之中识别并防止环路的出现，避免因为环路出现而产生广播风暴、MAC地址飘移等现象，并且支持链路备份功能[5]。STP技术在二层网络中是一项很重要的交换技术，它的作用旨在防止二层网络中出现环路，从而产生广播风暴破坏当前的网络稳定性。如今的STP生成树可以分为三种模式，分别为802.1D标准生成树、802.1W快速生成树、802.1S多生成树。在思科设备中相对应的生成树协议为PVST+、RPVST+与MSTP。PVST+支持为每一个VLAN都分配一个生成树实例；RPVST+在PVST+的基础上优化了生成树收敛的速度，能够实现快速的生成树收敛；而MSTP可以为多个不同的VLAN分配同一个生成树实例，释放了设备的性能，简化了网络管理难度。在本课题中，因为模拟器的限制，使用802.1D标准生成树协议PVST+。为每一个网络中的VLAN分配一个生成树实例，防止网络中出现环路，维护整个网络的稳定性。OSPF开放式最短路径优先协议OSPF协议是当前网络之中最为常用的IGP内部网关协议，能够支持IPv4、IPv6的网络在OSPF协议之中运行。OSPF协议具有许许多多的优点，其主要优点表现为以下几点：1、易于管理，OSPF提供区域式的配置模式，不同区域之间的路由可以实现汇总隔离，这方便了网络管理员对网络进行管理，提高了管理效率；2、隔离网络震荡，当网络出现变化时，整个网络会出现路由协议上的重构，OSPF的区域可以隔离网络的震荡，逻辑上将网络划分为多个区块，使网络更加稳定[6]。目前OSPF协议的应用极为广泛，应用于绝大部分的公司以及园区网络之中，因为OSPF应用的广泛性，所以OSPF具有极大的价值，值得深入探讨学习、挖掘理论、优化配置，以提升网络转发效率与质量[7]。OSPF较与其他网络路由协议具有更多的优点，也能承载更大的网络规模，适用于大部分的局域网网络环境。OSFP基于SPF算法得出整个网络中的路由信息，并且每一台路由器都维护一个LSDB数据库，其中存储本网络中所有的路由信息，故而OSPF知晓整个网络的全局拓扑，这是其他路由协议所不具有的优势。HSRP热备份路由协议HSPP(热备份路由协议)是思科私有协议，又称为第一跳冗余协议，能防止路由器单点失效而导致的网络故障[8]。HSRP的作用是将多台三层网关设备虚拟为一台虚拟设备，这些三层网关设备具有相同的IP地址以及虚拟MAC地址，可以响应底层接入设备的网络请求。在HSRP中，有两个重要的角色：Active活动路由、Standby备份路由。活动路由的作用是响应以及转发设备的网络请求，备份路由在活动路由出错时替换活动路由的功能，抢占成为活动路由角色。NAT网络地址转换随着互联网规模不断增长，越来越多的设备和用户接入网络，截至2019年底，全球可供域名系统(DNS,domainnamesystem)查询的互联网域名数目已经超过10亿个，网民数目已经超过41亿人超过全世界总人口数的一半[9-10]。然而IPv4地址空间早在2011年就被全部耗尽，已无法满足实际需求[11]。面对如今全球网络IP地址短缺的问题，人们提出了网络地址转换技术——NAT技术，NAT技术能够将内外网地址进行转换，以实现多个内网地址使用一个外网地址通信的可能[12]。NAT地址转换技术根据实现方法以及实现目的不同，共可以分为三个类型的技术：静态NAT、动态NAT以及端转换PAT技术。其中，静态NAT技术提供一对一的内外网络地址转换，只能将一个内网地址转换为一个外网地址；动态NAT技术提供多对多的内外网地址转换，能够将多个内网地址动态的转换为多个外网地址，提高了公网地址的使用效率；端转换技术PAT提供多个不同的内网地址根据不同的请求，转换为同一个外网地址的不同端口向外通信，能够做到大限度的提高公有地址的使用效率，也是现如今使用最多最为广泛的NAT技术。在本课题中，使用端转换技术PAT进行内外网络的地址转换。ACL访问控制列表ACL的全称为访问控制列表，ACL是由一系列的操作语句组成的一个位于三层网络设备之中的列表。ACL中可以定制不同的规则，基于IP地址、网络协议号对网络进行管理，使整个网络规范有序[13]。ACL中可以根据不同的网络需求，对数据包的源IP地址、目的IP地址、访问端口、协议的不同进行不同的筛选与限制。通过permit与deny语句允许或拒绝该数据包的访问。DHCP动态地址主机配置协议DHCP动态主机配置协议，它的作用是在网络中响应终端设备的IP地址请求，对网络信息进行分配，使终端设备能够自动获取网络信息[14]。DHCP可以根据事先设定好的网络地址池，相应底层设备的IP地址请求，动态的给底层网络设备分配IP地址。使用DHCP协议能够提高网络的灵活性，极大的减轻网络管理员的工作量。DHCP协议中对IP地址的使用有明确的规定。DHCP协议中规定，每个分发出去的IP地址都有规定的使用期限，这个期限称为租期[15]。在租期之内，底层设备可以正常使用IP地址，而若是超过了租期，那么该IP地址将进行重新分配，底层设备需要重新对IP地址进行申请。网络拓扑分析2.1网络设备选型在构建网络拓扑时，第一步就是根据网络的需求选择特定的网络设备，现如今市面上的网络设备大致分为交换机与路由器两种类型，其中交换机负责为网络提供基本的二层数据MAC地址寻址与数据分发，路由器则负责三层的网络IP地址寻址与数据分发。在路由器设备选型中，根据本次课题的校园园区对于网络的需求，选择了三台思科2911路由器作为校园园区网络的核心三层网络设备。思科2911路由器支持IPv4、IPv6、静态路由、开放最短路径优先(OSPF)、增强的IGRP(EIGRP)、网关边际协议(BGP)、BGP\t"/item/%E6%80%9D%E7%A7%91%202911%2FK9%20%E8%B7%AF%E7%94%B1%E5%99%A8/_blank"路由反射器、中间系统到中间系统协议(IS-IS)。在接口方面，思科2911路由器拥有3个固定的千兆\t"/item/%E6%80%9D%E7%A7%91%202911%2FK9%20%E8%B7%AF%E7%94%B1%E5%99%A8/_blank"以太网接口，并且根据本次网络规划额外添加了两个HWIC-2T串口模块，能够为2911路由器额外提供4个串行接口。在交换机设备选型中，选择了8台思科WS-2960-24TT二层交换机以及6台WC-3560-24PS三层交换机。思科WS-2960-24TT二层交换机支持IPv4、IPv6、VLAN、Trunk、VTP、STP生成树、端口安全、等技术，并且拥有24个百兆以太网口。思科WS-3560-24PS二层交换机支持IPv4、IPv6、VLAN、Trunk、VTP、STP生成树、HSRP热备份路由协议、端口安全、网管功能、SNMP管理等技术，并且拥有24个百兆以太网口以及两个千兆以太网口。支持大量终端设备的接入以及日后园区网络的拓展。2.2网络拓扑架构网络拓扑的意义是指由网络设备和网络设备之间根据网络线缆连接起来的一张网络全景图。网络拓扑是一张二维的可以呈现在纸面上的图片，它整体详细的叙述了整个网络的构成以及网络中数据的走向。在网络拓扑图之中，会有设备所在的具体位置、设备的详细信息以及设备之间线缆连接走向等等，甚至在详细的网络拓扑图之中还会处出现网络的IP地址规划信息。现如今的网络拓扑规划中，大致可以分为六种网络拓扑规划类型，分别为星形结构、树形结构、环形结构、网状结构、总线形结构以及混合结构，如图2.1所示。各拓扑之间互有优缺点，各有优劣。图2.1网络拓扑本课题采用的拓扑结构为混合型拓扑结构，结合了星形拓扑以及环状拓扑，混合成为星形-环状拓扑，如图2.2所示。在星形网络拓扑之中，整个网络由位于星形结构拓扑中心的网络设备承担整体网络进出口流量，所有的接入层设备数据信息都需要由核心层设备进行转发，因此星形结构拓扑的核心网络设备相当复杂、负载很高，而接入层网络设备则相对应的简单、负载小。星形结构拓扑的优点为控制简单、逻辑清晰、故障诊断迅速、数据隔离容易、方便服务接入层网络终端设备，缺点为对中心网络设备的性能要求极高。环状网络拓扑结构由许许多多的网络中继设备连接而成，所有的通信都共享一条物理通道，由一条物理通道转发所有数据信息。环状网络拓扑的优点是实时性能高、传输控制简单、数据链路单向性，缺点为容错能力极低、可靠性差、调整网络困难。在结合了星形拓扑与环状拓扑之后，集成了二者的优点、排除了二者的缺点，混合结构的星-环拓扑能够很好的为校园二层网络提供数据转发能力，通过冗余设备提供了很高的容错性以及网络可靠性，同时通过二层网络的线路连接冗余以及星-环拓扑特性，提供了极高的网络可拓展性，降低了网络调整的成本，并且提供了高效的故障排错机制。目前，星-环拓扑是企业园区网以及校园网络的主流网络拓扑结构。图2.2星-环拓扑2.3网络层次架构在校园园区网络中，整体的网络层次架构可分为二层网络以及三层网络。现如今世界上被大家一致认可的网络结构为OSI七层网络模型，OSI七层网络模型从第一层到第七层分为物理层(光/电信号转发)、数据链路层(基于MAC地址转发)、网络层(基于IP地址转发)、传输层(基于TCP/IP端口建立链接)、会话层(维护各方会话)、表示层(编码解码/压缩解压/加密解密)以及应用层(定义接口API)。OSI七层模型将整个网络架构层层分解、逐层解析，适用于网络中的各项应用与协议。二层网络由接入层交换机以及核心层交换机构成，二层网络中二层的意思是指当前网络的主要功能为运行OSI七层模型中的第二层的功能，既根据各个终端设备的MAC地址来进行数据转发，MAC地址为设备的全球唯一标识号，在设备自厂商生产出来之时就已经以只读的方式写入网卡之中。交换机会根据各设备之间的MAC地址决定数据包的去向与转发路径。当遇到未知MAC地址时，交换机会根据ARP地址解析协议对该MAC地址进行泛洪，收到正确的MAC答复时，将该MAC地址、IP地址及对应端口写入交换机内部的缓存映射之中，为今后的数据转发进行路径记忆。图2.3是本课题的二层网络结构拓扑图。图2.3二层网络拓扑三层网络由核心路由器构成，三层网络指当前网络的主要功能为根据各个数据包的IP地址进行数据转发。IP地址为设备在网络中的身份地址，共分为IPv4地址以及IPv6地址两类，目前世界上仍然以IPv4地址为主流IP地址，IPv4地址由32bit构成，分为四个部分，每个部分占据8bit(例如),同时根据这四个部分之间代表网络位与主机位的变换，可分为A、B、C、D、E、F五个大类。三层网络设备的主要功能就是根据路由协议创建出来的路由表决定数据包的去向以及转发路径，并且适当的进行地址转换以及访问控制。图2.4是本课题的三层网络结构拓扑图。图2.4三层网络拓扑在本次课题中，结合二层网络以及三层网络，通过混合结构的星-环拓扑搭建出了一个同时具有高可用性、安全性、拓展性的完善网络架构。第3章网络拓扑设计第3章网络拓扑设计3.1网络拓扑本课题的网络拓扑如图3.1所示。整个网络拓扑一共划分为四个区域，分别为学生公寓区、教学办公区、机房以及核心路由区。学生公寓区负责学生宿舍的网络转发；教学办公区负责教学区域的网络转发；机房负责学校内部服务器各个服务的搭建以及服务器的安放；核心路由区负责整个校园园区网络的三层路由转发以及数据进出校内外的网络地址转换及访问控制。图3.1总拓扑图在整个网络拓扑之中，使用二层网络协议与三层网络协议相搭配的方式进行H大学S学院的园区网规划。二层网络进行了HSRP热备份路由协议以实现对于网关的冗余设置，同时也设置了链路的冗余，并且配置了生成树PVST+防止环路产生。通过多项的冗余设置，保证了二层网络至少有两条路线进出整个二层交换区域。在二层网络之中使用了VLAN搭配Trunk与VTP的模式，使得整个二层网络层次分明，易于管理与调整，并且对今后的网络拓展预留了足够的物理接口。使用Etherchannel捆绑链路技术保证了二层网络汇聚交换机的高效性，在局域网内通信时能够得到很好的网络体验。在三层网路之中，三台思科2911路由器以三角形的状态进行互联，这样的设置能够使三层网络的路线具备容错性，不会因为一台路由器的损坏而使得整个网络陷入瘫痪之中。三层网络使用OSPF路由协议，实现对网络中IP地址的路由功能。通过二层以及三层网络的冗余设置，能够使得整个网络具有很强的健壮性以及容错性，避免了因为单台设备的损坏而使得整个网络瘫痪。该拓扑结合了星-环结构的优势，并且在其上进行了多项提高可用性的设置，是校园网络中较完整、完善的拓扑结构。3.2IP地址规划本课题中，使用B类私有地址与C类私有地址相搭配的方式构建H大学S学院园区网络内部IP地址。一B类IP地址可以提供65534个主机接入网络，一个C类IP地址可以提供254个主机接入网络。根据学生公寓区与教学办公区的需求与性质，分配了B类IP地址，并且通过VLAN技术对学生公寓区与教学办公区根据不同的区域进行了网段的隔离；根据机房与核心路由区的需求与性质，分配了C类IP地址。本课题中一共分配了10个B类IP地址，4个C类IP地址。分别为学生公寓区的/16、/16、/16、/16；教学办公区的/16、/16、/16、/16；机房的/24以及核心路由区的/24、/24、/24、/16、/16。所分配的IP地址都是私有地址，与外网的公有IP地址不冲突。拓扑中模拟了外网地址并且使用NAT技术实现网络地址转换。在本次分配的IP地址之中，教学办公区与学生公寓区的每一个VLAN子网中都可以支持约65535个终端接入，按照每个人使用3个IP地址来计算，每个VLAN子网约可以支持21845位师生的同时使用，能够很好的满足校园园区网络的需求。在机房之中，按照每台服务器使用两张网卡计算，可以支持127台服务器同时提供服务，在校园园区网络中127台服务器已经能够满足学校的需求，本课题中详细的IP地址规划表如表3.1所示，表3.1中详细表明了拓扑中的IP地址规划，提高了网络的可读性。表3.1IP地址规划表区域设备接口IP地址备注核心路由区R1S0/2/0/24对外接口S0/3/0/24S0/4/0/24Gig0/053/24连接机房R2S0/3/0/24S0/3//24Gig0/052/16连接学生公寓区Gig0/152/16连接教学办公区R3S/3/0/24S0/3//24Gig0/053/16Gig0/153/16连接学生公寓区Gig0/252/24连接教学办公区学生公寓区Stu-SW1Gig0/151/16连接R2VLAN1/16VLAN1054/16VLAN2054/16VLAN3054/16VLAN4054/16Stu-SW2Gig0/150/16连接R3VALN153/16VLAN1053/16VLAN2053/16VLAN3053/16VLAN4053/16Stu-SW3VLAN1/24VLAN1052/16VLAN2052/16VLAN3052/16VLAN4052/16Stu-SW4VLAN1/24VLAN1051/16VLAN2051/16VLAN3051/16VLAN4051/16Stu-SW5VLAN1/24VLAN1050/16续表3.1区域设备接口IP地址备注VLAN2050/16学生公寓区Stu-SW5VLAN3050/16VLAN4050/16Stu-SW6VLAN1/24VLAN1049/16VLAN2049/16VLAN3049/16VLAN4049/16教学办公区Tea-SW1Gig0/151/16连接R2VLAN1/24VLAN1054/16VLAN2054/16VLAN3054/16VLAN4054/16Tea-SW2Gig0/150/16连接R3VLAN1/24VLAN1053/16VLAN2053/16VLAN3053/16VLAN4053/16Tea-SW3VLAN1/24VLAN1052/16VLAN2052/16VLAN3052/16VLAN4052/16Tea-SW4VLAN1/24VLAN1051/16VLAN2051/16VLAN3051/16VLAN4051/16Tea-SW5VLAN1/24VLAN1050/16VLAN2050/16VLAN3050/16VLAN4050/16Tea-SW6VLAN149/16VLAN1049/16VLAN2049/16VLAN3049/16续表3.1区域设备接口IP地址备注VLAN4049/16机房JF-SW1VLAN151/24JF-SW2VLAN150/24学生公寓区HSRP地址HSRP组1VLAN154/16负责VLAN1HSRP组2VLAN1048/16负责VLAN10HSRP组3VLAN2048/16负责VLAN20HSRP组4VLAN3048/16负责VLAN30HSRP组5VLAN4048/16负责VLAN40教学办公区HSRP地址HSRP组1VLAN154/16负责VLAN1HSRP组2VLAN1048/16负责VLAN10HSRP组3VLAN2048/16负责VLAN20HSRP组4VLAN3048/16负责VLAN30HSRP组5VLAN4048/16负责VLAN40外部ISPS0/3/0/24运营商接口第4章网络实施以及测试第4章网络实现以及测试4.1网络技术实现当整体网络拓扑图搭建起来之后，还需要在拓扑图之中配置相对应的网络协议才可以让整个网络正常运行起来，本课题中各项网络协议的配置与意义将在下面一一解说。4.1.1 设备基本配置在思科设备中，有着许许多多的网络协议与配置，其中最基础的配置就是IP地址添加、密码设置（登入密码cisco，enable密码cyxy）、主机名设置、登入接口设置、域名查找以及端口描述的基础配置。这些基础的配置可以运用在任何的思科交换机以及路由器之中。如图4.1所示，介绍了这些配置的详细命令。图4.1基础命令配置在这些命令之中，主机名设置的作用是设置该设备的名称。关闭域名查找可以防止因为输错命令，系统误认为是域名进行检索从而产生的不必要的系统开销。在consloe口以及远程接口的设置可以增加设备配置的安全性。enable密码为设备的二级密码，可以为设备的核心配置做安全保证。接口的IP地址以及接口描述则为网络连通的必要性配置。在思科设备中，可以在特权模式中使用showrunning-config命令查看。4.1.2Etherchannel捆绑链路在本课题中，Etherchannel捆绑链路使用LACP协议，LACP协议的中文名称为链路汇聚控制协议，LACP协议为公有协议，支持二层与三层的链路捆绑。在本次的课题之中，在两台三层交换机之间聚合两条物理链路为一条虚拟链路，保证了区域内部局域网络的通信带宽。具体拓扑图如图4.2、图4.3、图4.4所示。图4.2学生公寓区Ethetchannel图4.3教学办公区Ethetchannel图4.4机房Ethetchannel本课题的Etherchannel捆绑链路设置的为二层捆绑，将两条二层物理链路捆绑为一条虚拟链路，提高了一倍的带宽，使二层网络内部的局域网数据转发性能得到了极大的提升，并且根据Etherchannel的特性提供了冗余措施。Etherchannel的具体配置命令如图4.5所示。图4.5Etherchannel配置命令4.1.3Trunk、VTPTrunk链路的作用是传输VLAN的数据信息，在思科的设备之中，共有IEEE802.1Q公有协议以及ISL思科私有协议，本课题在交换机与交换机之间配置Trunk链路，并使用IEEE802.1Q公有协议且设置允许通过的VLAN以保证链路的安全性，防止VLAN攻击。关闭DTP协商避免非规划的端口成为Trunk，保证Trunk的稳定性。详细的配置命令见图4.6。图4.6Trunk配置命令VTP协议为思科私有协议，可以实现VLAN的统一管理。本课题在同一个二层网络中设置一台VTP服务器（各二层网络的SW1交换机），其余设备设置成为VTP客户端，由VTP服务器统一进行VLAN的设置以及VLAN管理。在配置VTP之前，需保证Trunk链路的配置完整，因为VTP信息只可在Trunk内传播。详细的配置命令见图4.7。图4.7VTP配置命令4.1.4VLAN、VLAN间路由VLAN的作用为形成虚拟的LAN网络，从而分割广播域减少广播风暴及降低设备负载。本课题之中，根据网络的需要在学生公寓区以及教学办公区设置了四个VLAN，分别为VLAN10、VLAN20、VLAN30以及VLAN40分别负责四个不同的区域通信，并且在三层交换机上配置SVI接口开启了iprouting模式以保证VLAN间的路由通信。详细的配置命令见图4.8。图4.8VLAN配置命令4.1.5生成树PVST+思科私有802.1D标准生成树协议为PVST+，PVST+生成树协议可以为每一个VLAN分配一个生成树实例，并且可以根据VLAN之间的不同，进行负载均衡调优，在本次课题中，将VLAN1、10、20配置为同一条生成树线路，而VLAN30、40配置为另外一条生成树线路，这样就是实现了路径的负载均衡，避免了单个设备负载整个网络性能的问题。详细的配置命令见图4.9。生成树线路见图4.10。图4.9PVST+配置命令图4.10生成树路径4.1.6端口安全、生成树特性PortFast、BRDUGuard、RootGuard端口安全可以保护网络，避免网络被MAC地址攻击，端口安全限制每个交换机端口收到的MAC地址数目，以及设置了超出规则后的违背模式。在本课题中，所有的接入层access端口全部设置端口安全，将最大的MAC地址数目设置为3个，并且设置了MAC地址粘滞，将违背模式设置为shutdown模式，当同一端口学习到超出三个MAC地址时，接口立即关闭。详细的配置命令见图4.11。图4.11端口安全配置命令生成树在选举的过程以BPDU作为通信数据包，并且在收敛过程中有许多种模式，PostFaat可以帮助底层终端接入access口直接跳转到转发状态，而不需要等待生成树收敛。BPDUGuard的作用是保护生成树结构，当底层access口接收到BPDU时，立刻shutdown掉，避免黑客将终端PC模拟成交换机发送BPDU来破坏生成树结构。RootGuard的作用是防止接入新交换机后，根桥被抢占，从而使STP结构陷入混乱。本课题在底层终端access口上配置PortFast以及BPDUGuard，在所有交换机上全局配置RootGuard。详细的配置命令见图4.12。图4.12生成树特性配置命令4.1.7OSPF、HSRPOSPF为公有的、使用范围最广的路由协议，OSPF的作用是在三层网络中维护路由表，使得正确的IP地址可以去往目的网段。在本课题校园园区网络中，网段较少，所需要的维护的路由条目大致为几十条，所以将所有的三层设备都置为一个OSPF区域内，OSPF的详细配置命令见图4.13。图4.13OSPF配置命令HSRP是思科的私有协议，HSRP热备份路由协议可以基于VLAN或是设备接口将两台及两台以上的网关设备虚拟为一台网关设备，他们具有相同的虚拟IP网关地址。在本课题中，将学生公寓区以及教学办公区的两台三层交换机虚拟为一台交换机，并且根据STP的转发路径进行HSRP中VLAN的调优，保证STP与HSRP的线路不冲突。在机房的HSRP中，虚拟了路由器R1以及R3，构成一台虚拟网关负责数据包的转发。HSRP的详细配置命令见图4.14。图4.14HSRP配置命令4.1.8ACL、NATACL访问控制列表的作用是限制网络内部的数据包访问，以达到对网络内部进行安全保护的目的。ACL访问控制列表可分为标准ACL与扩展ACL其中标准ACL对IP地址进行限制，扩展ACL可以对端口进行限制。在本课题中，使用标准ACL访问控制列表对IP地址进行限制，以达到对各个网络设备的远程登录进行限制的目的，既不允许除机房网络管理设备之外的任何网络终端设备远程登陆校园网内部网络设备，以防止黑客对网络设备进行破坏。详细配置命令见图4.15。图4.15ACL配置命令NAT网络地址转换技术是现如今解决IPv4地址不够用的最好的方法之一，NAT将内网与外网的IP地址进行转换，使得内网设备可以使用外网的公有IP地址进行互联网访问。NAT大致可分为静态NAT、动态NAT、以及端转换PAT。在本次课题中，因为存在许多的内网IP地址，而外网地址不足以使全部内网地址进行转换，故而在R1上使用端转换PAT技术。详细配置命令见图4.16。图4.16PAT配置命令4.1.9DHCPDHCP动态主机配置协议可以自动的为底层终端设备分配IP地址，配置DHCP现如今是几乎每一个网络工程师都必备的技能，我们可以在任何一个拥有大量用户的网络中见到DHCP的踪影。思科的路由器同样也支持DHCP配置，因为机房服务器都是使用固定的IP地址进行通信，所以在机房中不需要配置DHCP来进行动态的IP地址分发，但是在学生公寓区以及教学办公区之中，因为有大量的流动性很强的终端设备，故而需要配置DHCP。本课题中在路由器R2以及R3上配置DHCP地址池，在三层交换机上配置DHCP中继功能，从而使得终端接入设备能够自动获取到IP地址。详细的DHCP配置命令见图4.17。图4.17DHCP配置命令4.2网络技术测试在经过了拓扑规划、协议选择、网络协议实施配置之后，一个可以满足校园园区网络的架构就已经诞生了，在搭建好了整个网络架构之后，要对网络中的各种功能进行测试。4.2.1全网连通性测试作为一个网络拓扑，全网的连通性是最基础的要求，也是搭建网络的目的所在。所以要对全网的连通性进行测试。整个网络分为四个区域：学生公寓区、教学办公区、机房以及核心路由区，并且配置了VLAN。测试全网的连通性大致可以分为两个步骤，第一个步骤是对VLAN间通信的测试，如图4.18所示；第二个步骤是对三层网络中不同区域的连通性测试，如图4.19所示。测试使用ping命令，ping命令为基于ICMP协议的命令，可以根据数据包的接收与发送对网络的可达性进行检测，ping命令的格式为ping+IP地址的格式，是当前检测网络可达性的常用命令。图4.18VLAN间通信测试图4.19不同区域间通信测试通过测试结果可以表面，不同的VLAN之间可以进行通信，而且不同的区域之间也可以根据三层设备的路由表进行通信。全网连通性测试完成。4.2.2设备基本配置测试设备的基本配置可以分为IP地址、密码设置、主机名设置、登入接口设置、域名查找以及端口描述的基础配置。在设备中定义了远程登录的密码、enable密码、光标定位、登录窗口活动时间等。这些配置都可以使用showrunning-config来查看。本课题中的部分showrunning-config结果如图4.20所示，设备的登录界面以及密码输入界面如图4.21所示。图4.20showrunning-config部分结果图4.21密码输入界面从结果可以看出，设备基本配置已经生效，登录设备需要使用密码登录，并且showrunning-config中也出现了相对应的配置命令。4.2.3Etherchannel捆绑链路、Trunk、VTP、VLAN测试Etherchannel链路捆绑是将物理链路捆绑为虚拟链路，可以使用思科的查看捆绑链路命令showetherchannelsummary进行查看。结果如图4.22所示。图4.22捆绑链路查看图在网络拓扑中，将交换机与交换机之间相连的接口都设置成了Trunk以便于VLAN间通信，可以使用showinterfacestrunk命令查看，如图4.23所示。图4.23Trunk链路查看图VTP的作用是统一对VLAN进行统一管理，故而只要测试VLAN的配置命令就能知道VTP是否起作用，查看VLAN可以使用命令showvlanbrief，如图4.24所示。图4.24VLAN查看图4.2.4生成树STP、端口安全、生成树特性测试生成树以及生成树同类型可以使用命令showspanning-treesummary查看，想要查看详细情况也可以使用showspanning-tree命令，如图4.25所示。为showspanningtreesummary命令的显示结果图4.25生成树查看图端口安全配置于接入层交换机的access端口中，所以要查看端口安全可以在接入层交换机使用showport-security命令。如图4.26所示。图4.26端口安全查看图4.2.5OSPF、HSRP测试OSPF路由协议可以直接查看OSPF产生的路由表，由此来判定OSPF是否有起作用。查看的命令为showiprouteospf，结果如图4.27所示。图4.27OSPF路由表查看图HSRP热备份路由协议配置在三层交换机以及路由器之中，可以通过命令showstandbybrief查看HSRP选举结果以及基本信息，结果如图4.28所示。图4.28HSRP查看图4.2.6NAT、ACL、DHCP测试NAT网络地址转换技术，可以将内网地址与外网地址进行相互转化，可以在出口路由器上使用showipnattranslations命令查看转换对应信息，结果如图4.29所示。图4.29PAT查看图