【《企业内部网的规划与设计》14000字（论文）】

用纸第页企业内部网的规划与设计摘要目随着社会的发展科技的进步，人类社会已进入信息时代。在信息化的社会中，企业间的竞争也不可避免地被打上了信息化的烙印。目前许多公司原有的办公和信息传递方式已不能满足现代企业的需求。中小型企业内部终端比较少，联网区域相对集中，多采用双绞线布线和无线覆盖的方式，这样既降低了成本也满足了需求。在这些服务背后往往都有一个可靠、高速和安全的网络。这项目对网络的要求很高,非常考验网络的可靠性，现有的网络架构无法满足业务需求,并且存在诸多问题,有单点故障隐患，一旦网络出现链路故障、设备故障或网络不稳定的时候就会出现中断,丢包等情况，办理业务效率就会降低,将大大影响人们办理业务的时间。根据以上问题网络设计目标实现网络搞性能、高生存性、高可靠性、高安全性、高扩展性、易排错性和监控设施，因此要在项目前期设计规划一个安全可靠的网络非常有必要。该企业网络设计将使用华三H3CCloudLab模拟器和华为eNSP模拟器来模拟真实环境的搭建和配置，通过Visio绘图工具来设计绘制网络拓扑结构。根据企业场景和部门划分，在规划该企业网络时。不同部门之间采用VLAN技术，提高企业内网的安全，有效隔离冲突域和广播域。使用ACL技术不同部门间的访问进行控制，在一定程度上防止信息泄露，保证重要部门的信息安全。在核心层与防火墙连接处使用VRRP对网关备份，提高网络稳定性。内网使用OSPF动态路由技术实现全网正常连通。采用NAT技术满足用户访问外网，采用IPSECVPN技术满足总公司和分公司之间通信。此外内网中还配置各类服务器，满足企业储存、供数据交互需求。为了提高网络信息的安全性，在公司内网与外网、内网与服务器部署了防火墙，所有设备都通过SSH统一管理。最后，通过这次的设计发现了自己的不足之处，对其进行总结，并对未来网络的新技术进行认识、理解。关键词：中小型企业；NAT；eNSP；OSPF；IPSECVPN；SSH；ACL；VLAN；VRRP目录1绪论 11.1项目背景 11.2项目的目的及意义 11.3国内外研究现状 11.4论文内容结构与内容安排 21.4.1论文内容结构 21.4.2论文内容安排 22网络需求分析 22.1设计需求分析 22.2技术可行性分析 32.3先进性 32.4可靠性 33相关协议技术介绍 33.1OSPF协议 33.2IPSEC协议 43.3SSH协议 43.4VRRP协议 53.5ACL技术 63.6堆叠技术 63.7VLAN技术 74网络规划设计 74.1设计原则 74.2设备选型 84.2.1服务器选型原则 84.2.2交换机选型 84.2.3防火墙选型 84.2.4无线设备选型 84.2.5其它网络产品选型 84.3网络管理 84.4IP的规划 94.5安全技术 94.5.1网络安全设计 104.5.2防火墙 114.5.3访问控制 114.5.4上网行为管理 114.5.5安全组网 125网络架构的实现 125.1VRRP技术的实现 145.2OSPF的实现 155.3堆叠技术实现 165.4安全技术及防火墙实现 176结果测试 196.1连通性测试 196.2安全性测试 217总结和展望 21参考文献 24绪论项目背景随着网络和科技的发展，中小型企业的网络走向信息化发展，企业网络具有功能健全和一定的复杂性，为企业现代化、文件共享、打印共享和办公自动化提供一个网络系统。普冠企业属于中小型企业，在职员工300多，其中有财务部、技术部、行政部、销售部等。网络系统如何实现和满足该企业的发展和未来扩增的需求，同时还能保证运行在网络中信息的完整性、及时性和准确性。为此需要企业安全防护方面要具有网络异常发现，如漏洞、被攻击行为的能力；还要对企业内网安全风险评估、行为流量异常监测，实现自动化运维管理能力等等，是目前最需要解决的重要问题。项目的目的及意义在当今信息化的现代社会，企业的运作方式也走向信息化。建设企业网络提高企业文化、经营管理等。所以近年来，许多企业都在建立了自己的网络。由于许多中小企业网络的规划与设计有一定的局限，以及受到现有企业条件和信息技术力量的局限，在搭建完企业网络后该怎么企业网络管理者管理好企业的网络，能否满足企业业务的发展，是否能保证企业网络信息安全等诸多方面，还存有许多不尽如人意的地方，在企业网络的网络管理者对企业的网络管理经验有限，企业网络搭建如果复杂会增加管理难度，从而影响企业的业务的发展。所以一个良好的中小型网络成为了企业发展好坏的决定因素。通过本次设计，增加自己的对计算机网络知识了解，掌握网络常用协议的概念及原理，了解中小型企业网络中需要的技术，以及需要什么功能，如何去实现这功能，如何管理企业网络。锻炼所学计算机网络知识的运用能力，在遇到不理解、不懂的技术，通过查阅资料增加知识面，培养解决问题能力，提高总结能力以及口头表达的能力。国内外研究现状随着信息化建设进程的加快，企业的网络信息化水平也在不断提高，现在欧美发达国家企业网建设完全达到了办公自动化，而且宽带大，速度快。国内企业局域网建设近年来有了很大的发展，但随着网络发展网络安全方面也面临着很多安全问题，在网络中使用安全防御设备保证网络和信息的安全。所以现在网络中使用各种各样的安全设备，如防火墙设备、上网行为管理、杀毒软件设备等，这种安全设备在一定程度上提升了企业网络的安全，但是也出现了网络结构的复杂性，网络的复杂性是管理上出现难度，也容易留下安全隐患。企业的网络安全管理与运营是一个长期的过程，在这过程中容易受到不法分子的攻击，也受外在因素影响，给网络信息安全带来危害。比如，在数据传输和网络接入过程中，可能安全措施不到位，被不法分子攻击，给该企业造成损失，因此在数据传输和网络接入过程中必需引起重视和关注。即使目前的安全软件和设备在安全防御方面做得很健全，但是在实施和管理上依旧是由人来操作的。如果企业网络架构比较复杂，网络安全管理上难度增加，尤其是在管理方面缺乏经验，会引起非常大的安全性风险，甚至被不法分子以某种方式攻击，获取重要信息数据。而这一切的根源就在于安全设备和网络设备参数配置不恰当，加上网络开放性，网络中连接INTERNET，INTERNET存在木马病毒风险，在不防范不到位情况下易受病毒入侵，在数据传输过程中也有风险被不法复杂篡改与窃取信息。所以，在企业网络安全管理运维中，要建立完善的网络安全运维制度，首先从安全设备和网络设备上需要健全功能以及健全参数配置，尽可能提升内部网络的防范病毒入侵能力，保障企业网络信息安全。论文内容结构与内容安排论文内容结构本论文的主要内容是对企业网络进行规划与设计，该设计主要是对企业内部网络进行网络架构的布局与安全方面进行规划与设计并进行测试。通过自己所学的知识与实习上的经验对企业网络进行简单的规划与设计并验证。此次设计是将使用华三H3CCloudLab模拟器和华为的eNSP模拟器进行网络架构的搭建与配置，通过这两个模拟器可以还原真实设备的大部分功能。华三H3CCloudLab模拟器中有安全设备、网络设备、终端设备，华为的eNSP模拟器在华三H3CCloudLab模拟器上增加了服务器、无线网等设备，安全设备有防火墙墙，无线网设备有AC和AP功能。最后通过两种模拟器把普冠企业所涉及的技术一一进行实践，在最后完成设计涉及的功能技术与连通性进行测试。论文内容安排本次论文内容安排主要分为以下七个部分：第一部分：绪论，主要介绍了企业网络的背景、目的、意义以及国内外的研究现状。第二部分：网络需求分析，对企业网络规划与设计需要什么技术，什么要求进行分析。第三部分：相关技术与协议的介绍，主要对企业网的规划与设计都使用了什么技术，对技术进行简单介绍作用。第四部分：网络规划设计，讲述普冠企业网络规划中安全方面该如何解决、IP地址如何规划、设备如何选型等。第五部分：网络架构的实现，对普冠企业网的规划与设计都有了什么配置去实现该用的功能。第六部分：实现的结果测试，对普冠企业网的规划与设计都配置什么功能，对这些功能是否成功，进行测试。第七部分：总结和展望，主要是对此次论文设计的一些总结和对未来技术的展望。网络需求分析设计需求分析计算机网络的迅速发展和普及，改变了整个信息管理的面貌，企业的内网能够访问外网，这需要通过NAT技术。企业内网要有文件服务器共享功能、不同部门之间不能进行越级访问，且在内网中设置安全策略，保证内网安全，还需建设无线网，能够给企业提高便利安全的网络。外网不能直接访问内网，但可以通过VPN访问，如在家办公、外出办公，可以远程企业的内网，提供便利，还需要实现办公自动化系统，在与分支访问时通过IPSECVPN通道，保证数据安全性。但网络的搭建不能过于复杂，易于管理员对网络进行管理，设备上不能过于陈旧，采用先进的计算机及网络设备，为普冠企业建立起一套快速稳定、技术成熟的网络架构。从目前来讲，主要需求分为如下几个方面：1、整个网络采用先进的网络结构。2、各应用单位通过内部网络和INTERNET接通。3、满足办公系统和业务系统的需求。4、完整统一管理方式。技术可行性分析本次设计的网络架构采用网状结构设计，设计企业内网络一共有两层：核心层、接入层，核心层和防火墙设备使用VRRP对网关备份，为网络提供负载分担和冗余性，保证了网络的可靠性。在核心层设备上使用双机热备，两台核心设备之前使用链路聚合，增加链路可靠性、增加负载均衡，一定程度上保证内网存在单点故障，内网中核心层和防火墙使用OSPF动态路由将网络进行互通，并且在企业总部防火墙上与分支的防火墙上建立IPSECVPN通道进行访问，将数据进行加密传输增强了安全性，提高网络稳定性和的安全性。先进性普冠企业利用当今计算机网络技术的发展，在设备上的功能健全，在网络安全方面的设备比较多且可靠，企业还可以定制专门的网络管理系统，方便管理网络和发现网络故障，能够快速的处理，如Zabbix运维监控系统，加上自动化运维的普及，给企业带来很大的便利。可靠性网络的可靠性要求高，而普冠企业在核心层和防火墙设备使用VRRP对网关备份，还配置负载分担功能，保证网络的通畅，接入层与核心层之间也有两条链路，存在单点故障，但某台设备或线路发生故障，企业的业务还能正常运行。 相关协议技术介绍OSPF协议OSPF协议开放式最短路径优先（OpenShortestPathFirst，OSPF）是广泛使用的一种动态路由协议，是一个链路状态路由协议。在内部网络中普遍使用，OSPF动态路由协议收敛速度快，无路由环路，还支持变长子网掩码、路由汇总、层次区域划分等功能。OSPF作为一种链路状态路由协议,它不再像RIP一样同步路由表而是链路状态通知。每个使用OSPF动态路由协议的设备会将自己的LSA存储到LSDB,LSDB是一个公有的数据库,里面存储着每个路由的LSA信息。有了LSDB就相当于了解了整个网络结构。于是每个设备基于LSDB,通过SPFshortestpathfirst算法,得出一个以自己为root根,访问整个网络的任意节点的树形网络,同时此网络是无环的。然后根据计算结果,建立的路由表，从而得到整个Internet的路由信息。OSPF就是通过这种方式学习到整个AS内部网络的路由信息，同样，它还可以快速引入其他AS或其他路由协议的路由信息。在每个设备之间建立邻居关系之后，通LSU数据包每隔一段时间或者当路由出现异常时，就会更新数据包，然后再通过泛洪的机制将新的数据包通告给邻居设备，以此实现路由的实时更新。IPSEC协议IPSEC是一个协议包，又叫做互联网安全协议，对IP协议的分组进行加密和认证来保护IP协议的网络传输协议簇。现如今IPSEC的使用非常的常见，像一些中大型企业、机关部门等，很多会存在分支，分支与总部之间又是跨互联网传输数据，使用专线费用昂贵，使用很多总部与分支间使用VPN来进行数据传输，为了使得传输数据更安全，总部与分支间使用IPSECVPN进行数据传输。IPSEC协议应用于网络层，通过加密与验证的方式，保证数据包在互联网上传输的完整、可靠性。IPSEC协议主要功能为加密和认证，为了进行加密和认证，IPSEC还需要有密钥的管理和交换的功能，以便为加密和认证提供所需要的密钥并对密钥的使用进行管理，而实现加密和认证功能的安全协议就是AH和ESP。在IPSEC协议中它有着两种工作方式，一个是传输模式，另外一个就是隧道模式。在IPSEC隧道模式下，AH报头或ESP报头插入原始IP头之前，另外生成一个新

IP头(新IP头为对等体的IP地址)放到AH报头或ESP报头之前，这种方式一般应用于流量封装的场景下，而传输模式就不一样了，它AH报头或ESP报头插入IP头之后、传输层之前，处理前后IP数据包的头部是保持不变的，这种方式一般应用于主机到主机的场景。在IPSEC协议的两大安全协议中，AH安全协议提供数据来源认证、数据完整性校验和报文抗重放功能，这个协议因为考虑到计算效率的问题，并没有使用数字签名和加密的方式，而是采用了安全的HASH算法，但AH协议支持的认证算法有MDS、SHA-1、

SHA-2、SM3。ESP协议允许对报文同时进行加密和认证，或只加密，或只认证。ESP

协议的工作原理是在每一个数据包的标准

IP报头后面满加一个ESP报头,并在数据包后面追加一个ESP尾。IPSEC还有一个重要的协议，密码交换协议IKE协议，IKE协议广泛使用在安全联盟中，IKE协议的一个功能就是建立和维护安全联盟，IKE协议是不会在网络中直接传输密钥的，而是通过发送协商方和协商响应方数据提议和数据交换，各自生成密钥，然后通过密钥进行身份认证，IKE协议这种加密技术即使被不法分子截取传输中的数据，也很难破解出正确的密钥，这就是IKE协议安全性较高的重点，称为DH交换技术。SSH协议SSH协议也称为安全Shell协议。是一种在不安全网络上提供安全远程登录及其它安全网络服务的协议。如果用户需要使用SSH协议从本地设备远程登录到另一个设备，提供登录安全，就算在中间被拦截，传输的信息数据不会轻易破解出来是什么内容。一开始，互联网上的通信交流使用的是明文传输的，就想面对面交流，有人在偷听，被截获后的，完整信息就会泄露。因此在1995年，在芬兰的一位学者的研究之下，设计出了SSH协议的第一个版本（现称SSH-1），目标是取代早期的Rlogin,TELNET,FTP和RSH这些不安全的协议。SSH协议出来之后，在使用一些远程管理设备或一些POP之类的网络服务，就可以有效地保护数据在传输过程中的信息。虽然FTP、Telnet服务程序都有着自己的验证方法，依旧如此是拥有很严重主要缺陷，而且还容易受到中间人攻击。但通过使用SSH，可以把所有传输的数据进行加密，这样"中间人"这种攻击方式就不容易实现了，通过SSH方式能够减少DNS欺骗和IP欺骗。另外，SSH还有其他优点，如对一些较的数据可以进行压缩，提高传输速率。SSH有两种安全级别认证，一种是只要知道账号和密码，就可以利用账号密码登录，另一种就是通过使用密钥来随数据加密进行登录，保证登录网络设备进行管理和操作时保证数据安全。密匙认证就时提供一对密钥，远程设备上有一公钥，当客户端登录远程设备的时候，如果连接到SSH远程设备上，远程设备将公钥发送给客户端，然后客户端再将公钥发送给远程设备并且与远程设备的公钥进行配对。如果客户端与远程设备的公钥相同，则远程设备把公钥加密发送给客户端进行验证。客户端收到远程设备发送的公钥加密验证，就可以用私钥解密，然后把解密数据发送给远程设备，解密的数据配对成功即可登录。基于这种方式，相对比较安全。VRRP协议VRRP是一种容错协议，通过两台或两台以上的交换机、路由器组成一台虚拟的路由器并带有网关，当其中有台交换机或路由器发送故障的时候，网络数据和业务可以快速的切换到正常的运行的交换机或路由器上，网关未发生变化，从而保持通讯的稳定性和可靠性。VRRP将局域网内需要进行主备备份路由，将路由划分在一起，形成一个组，功能上相当于一台虚拟路由器。虚拟路由器上有一个IP地址作为局域网内的网关，局域网内终端设备和网络设备只知道有虚拟路由器的IP地址作为网关，并不知道是哪台设备的IP地址作为网关，终端设备可以通过该虚拟路由器的IP地址网关与外部网络通信。路由器或交换机使用VRRP功能后，会根据设备优先级来选主备设备。优先级可以根据0到255设置，数值越高优先级越高。优先级高的路由器或交换机成为Master，优先级低的成为Backup。成为Master的交换机或路由器会定时发送VRRP报文，把VRRP报文通告给其他Backup交换机或路由器设备，看看自己的设备工作是否存在故障，而Backup的路由器或交换则等待Master的交换机或路由器会定时发送VRRP报文，如果Master的交换机或路由器出现故障，则Backup的路由器或交换机成为Master。在抢占方式下，当Backup的路由器或交换收到VRRP通告报文后，会将Backup路由器或交换机的优先级进行全局域网使用VRRP的路由比较。如果Backup的路由器或交换机是全局域网使用VRRP的路由优先级最高的则成为Master；否则将保持Backup状态。在非抢占方式下，只要Master的路由器或交换机没有出现故障，Backup的路由器或交换机就算是全局域网使用VRRP的路由优先级高也不会成为Master的路由器或交换机，始终保持Backup状态，当Master的路由器或交换机出现故障，其中Backup的路由器或交换机没有另一个Backup的路由器或交换机优先级高，也会保持Backup状态，只有一些级高的Backup的路由器或交换机成为Master。ACL技术ACL就是常说的访问控制列表，是一种对数据包过滤的访问控制技术。在路由器交换机等网络设备上运用之后，根据需要进行策略设置，把经过该路由器交换机等网络设备的数据包过滤出来，进行允许或者拒绝其通过的操作。ACL有很多作用，最突出常见的就是数据包过滤，通过策略设置对数据包经过路由器交换机等网络设备的数据筛选，进行允许或拒绝的操作，可以达到控制数据包的传输，以此来保证网络的安全。ACL也是有不同种类的，有标准访问控制列表和扩展访问控制列表，标准访问控制列表根据数据包的源IP地址允许或拒绝数据包，用于一些路由信息过滤以及访问控制。扩展访问控制列表增加了选项，变得详细，有源IP地址、目的IP地址、协议、端口、标志允许或拒绝数据包，应用在靠近在源地址的接口。可以用在更精细的访问控制和端口映射。ACL的匹配规则是从上往下进行匹配的，当报文匹配到某条规则后，就会跳出匹配过程，执行操作。堆叠技术堆叠是指将一台以上的交换机通过堆叠线缆连接组合起来共同工作，虚拟成一台交换机，以便提供更多的接口使用，增大带宽，简化组网，方便运维管理。此外还有一种级联，级联与堆叠有区别但又有一定的联系。堆叠可以看作级联的简化形式，功能和级联相似，但使用存在不同。级联与堆叠的不同之处在于：级联的交换机与交换机之间可以相距很远，可以跨机房和跨楼层进行使用，级联可以使用交换机普通端口和普通的交叉双绞线就可以形成级联；而堆叠的交换机与交换机之间距离很近，一般只能几米，不能进行跨机房跨楼层使用，甚至同一机房相距较远的机柜都不能使用，堆叠在建立时，要使用堆叠模式专门的端口、模块和线缆。与级联相比堆叠使用麻烦。堆叠有两种模式，分别是菊花链堆叠模式和星形堆叠模式。菊花链堆叠模式是将多台交换机串联起来形成一个环状。采用菊花链堆叠模式，从主交换机发出的数据包要历经中间所有交换机，这样造成传输数据速率变慢，在串联中设备越多传输速率越慢，因此菊花链堆叠模式设备不合适过多；星形堆叠模式就是使用堆叠模块，星形堆叠模式主交换机需要专用堆叠模块多，链接链路相当于一条总线，所有设备都链接，这样使主交换机带宽需求大，但星形堆叠模式在数据传输速率方面比花链堆叠模式快，星形堆叠模式堆叠数量也比花链堆叠模式设备多。堆叠原理是把多台交换机合成一台交换机使用与管理，只需赋予1个IP地址，就可以通过该IP地址对堆叠内的所有交换机进行管理，从而大大减少了管理的难度，也减少了网络的复杂。堆叠的主机和备机是通过相互竞争，竞争的规则如下：第一，在没有设置优先级情况下，在启动设备，先启动的交换机优先级高与后启动的交换机，前者成为堆叠主机。第二，在交换机上设置优先级，则优先级高的交换机成为堆叠主机。第三，如果交换机同时启动、设置的优先级相同，则MAC地址小的交换机成为堆叠主机。VLAN技术VLAN是一种虚拟局域网，LAN是指一个局域网，局域网还有许多的小网络，里面网络设备多种多样。每个VLAN由1-4094范围内的数字编号标识。交换机可以将每个接口划分给不同的VLAN，也可以把多个接口划分给同一个VLAN，具有相同VLAN编号的物理接口都属于同一个VLAN。在二层交换机中，所在同一个VLAN里的主机就像在同一个局域网中一样，可以相互通信，编号不相同VLAN的表示属于不同的虚拟局域网，所在的不同VLAN的主机，即使是在同一网段的IP地址也是不可以互相通信的，每个VLAN都给相当于一个独立的局域网。在没有划分VLAN和划分接口进VLAN中，所有的交换机的接口都是属于VLAN1的，VLAN1默认有，还不可删除。在交换网络中，VLAN技术可以实现灵活的对网络进行分段和分组，在网络管理中可以根据公司要求，将不同的部门进行分组，这样可以设置不同部门之间的访问，还可以限制广播和未知数据包的影响范围。使用了VLAN技术之后，将广播域进行分割，当某个广播域产生广播风暴后，只有同一个VLAN下的设备才会受影响，而其他VLAN的接口上时就会过滤掉。网络规划设计设计原则网络需要有实用性、灵活性、可拓展性、可靠性，网络安全策略的实施，网络在设计时需要考虑公司的详情，制定一个合理的方案且功能要健全，满足业务要求，在系统和网络方面要保证它们的完整性。实用性：网络能够满足企业业务要求，满足企业应用、服务器、文件共享的需求，在设备方面能支持现在网络最新技术，支持版本升级，设备和布线的材料成本不能超出企业的阈值，但也不能过于节省，以防不利于未来扩展。灵活性：企业的网络架构要有应变能力，对于网络增加新业务的时候，可以不动原来的网络架构增加，在网络需要升级，可以快速的恢复，在网络变更、网络位置变更可以在原来基础上在、设计，无需返工。可扩展性：随着企业的规模扩大、业务需求扩大，可以在原来的网络架构上扩展。可靠性：网络架构设计合理，链路不存在单点，能够满足企业需求，保证网络的稳定性、安全性。设备选型服务器选型原则服务器的选型主要依据系统规模的大小，考虑以下：运行所需的服务、应用层次、处理器，产品性能符合公司需求，能有简单的升级方案，升级速度快、不影响业务，在升级的时候能够保证稳定，满足扩展性要求，业务增加时可以在服务器上加服务，经得起市场的长期考验，使用本产品不与现代技术脱轨，产品性能稳定，能够长期使用，并支持多多通讯协议，能与不同厂商的设备兼容，具有很高的安全性，能防御攻击，能适应环境，散热功能好，不易发烫，不受潮湿影响，温度承受能力好，能够支持多种系统，在配置和管理方面能简单易懂。交换机选型考虑参数包括接口密度、接口速率、背板能力、可堆叠和POE产品性能稳定，产品性能稳定，能够长期使用，并支持多多通讯协议，能与不同厂商的设备兼容防火墙选型考虑参数包括处理性能、接口数量、并发连接数、吞吐量、支持用户数、生产厂商的技术支持、产品性能稳定，具有很高的安全性，能防御攻击，能适应环境，散热功能好，不易发烫，不受潮湿影响，温度承受能力好、能支持多种通讯协议，能有简单的升级方案，升级速度快、不影响业务，在升级的时候能够保证稳定，满足扩展性要求。无线设备选型无线控制器AC考虑支持速率调整、手动射频绑定、负载均衡、最大能管理AP的数目、WPA/WPA2、WPA-PSK/WPA2-PSK、MAC地址认证、Web认证、微信认证、一键上网，还可与其他认证服务器配合实现短信认证等其它认证方式、能防御攻击，能适应环境，散热功能好，不易发烫，不受潮湿影响，温度承受能力好、能支持多种通讯协议，能有简单的升级方案，升级速度快、不影响业务，在升级的时候能够保证稳定，满足扩展性要求、简易的管理及维护操作。无线AP考虑的包括支持标准、覆盖范围、发射频率、天线增益、接入数量、传输频率、安全性、产品性能稳定，经过市场长期的考验。其它网络产品选型传输线：AT&T5类UTP双绞线、垲装8芯多模光纤网络管理普冠企业网络需求比较高，对网络稳定要求严格，为了能更好的管理网络，对发生故障能快速发现、分析、处理，对该企业网络系统进行统一管理，利用zabbix运维监控系统进行管理。Zabbix的功能有：查看CPU使用情况、磁盘使用情况、内存使用情况，当以上三种情况超过阈值会告警，提示要进行处理；还可以监视网络状况，当网络不稳定会出现告警，还可以看到浏览了什么网站网页对企业网络是否有影响，是否占用流量过大，对后期维护和完善网络起一定作用；Zabbix还有端口监视功能，端口监视可以开放什么端口，都运用到什么功能上、此外Zabbix还有日志监视等功能，日志监视当网络设备进行什么操作，出现什么故障，就可以快速发现并告警，不用一个个登录网络设备查看日志。Zabbix是一个基于WEB界面进行监控和管理，操作方便，通俗易懂，此外可以针对性定制企业网管系统，为企业网络提供巨大便利。在网络设备上需要更改配置、增加配置等操作利用SSH对网络设备进行管理。Zabbix由2部分构成，Zabbixserver与可选组件Zabbixagent。Zabbixserver可以通过SNMP，SNMP称简单网络管理协议，属于应用层协议，对网络设备进行管理和监控非常适用，Zabbixserver它通过Zabbixagent组件可以安装运行在Linux等操作系统以及IT管理和监控工具等平台上，可以更好的发挥对网络的管理和监控作用。随着网络和科学技术的发展，网络设备用上多种协议和功能，使网络复杂起来，当网络需要优化时，网络优化难度也会增加。同时，网络流量需求也在不断扩大，各种应用需求的流量增加，在业务和服务器方面需求流量也在增加。网络管理难度也随之增加，传统人工管理的方式过时，传统人工管理方式需要员工多，花销比较大，而且每天都要进行巡检，非常麻烦，消耗时间多，有时出现故障需要长时间才能发现，在网络不稳定等一些小问题上也难以发现，因此，需要一个网管系统管理和监视网络，而Zabbix运维监控系统可以针对性定制企业网管系统来管理企业网络且功能较多、功能健全、价格方面便宜。所以选Zabbix运维监控系统管理该企业网络。IP的规划表4-1企业总部IP网段规划主机名IP地址子网掩码备注数据库服务器网络管理服务器财务部技术部行政部营销部AC控制器AP业务安全技术随着网络技术和科技的发展，网络病毒、网络攻击也大幅度出现，木马病毒也出现各种形式，复杂多样，如在网络安全意识比较差的人，在网上随意点进一些链接，或不小心点进链接，这可能是某些不法分子制作的，点进去后是自己的电脑中病毒，使电脑变卡顿、出现蓝屏甚至死机等情况，这种危害还比较小，可怕的是电脑里有企业的重要信息或自己的重要信息，不法分子通过木马病毒控制电脑，提取重要信息，这样就支持信息泄露，对自身和企业带来巨大危害。再如令很多国家、企业、高校等机构闻风丧胆的勒索病毒：“永恒之蓝”，这病毒利用利用Windows系统SMB漏洞可以获取系统最高权限，使电脑不受自己控制，当你打开电脑后，会开始卡顿，然后出现各种弹窗，或者是弹出电脑文件被加密，需要交钱才行，而且中这种病毒，电脑重装系统也是没用，电脑的文件被冻结，这病毒更可怕的是会自动扫描设备是否开445端口，无需操作就能进行病毒植入，传播速度极快，当初只用几个小时就传遍全国，很多国家被这病毒勒索高额赎金才恢复加密文件，但也使重要文件和数据泄露。所以要保证信息安全和网络安全。网络安全设计普冠企业网络安全设计如图4-1所示，在出口边界处加入防火墙，为企业外网与内网加一层安全保护，还能监控内网流量走出外网情况，外网流量进入内网的情况，当发现异常是能快速告警，以保证网络能快速维护。此外防火墙还设置保护服务器区域，在内网访问服务器的时候，通过设置策略，设置域名访问和端口映射等方式来访问，保证服务器安全。在内网中添加上网行为管理和抗攻击功能，如不允许访问某网站，关键词过滤和开启抗DDOS攻击，让员工上网更加有保障。图4-1网络安全设计防火墙防火墙技术的目的是把不安全的内网达到安全要求。防火墙目前有三种：基于代理的防火墙和基于包过滤的防火墙和复合型防火墙。基于代理的防火墙，也叫应用层防火墙，处于应用层，可以对访问的IP地址应用进行控制，对IP地址访问应用具有识别应用协议，因此可对应用使用中进行行为控制和行为监控，比如在使用某些应用时需要进行密码认证、短信验证码认证等才能使用该应用。包过滤型防火墙处在网络层，根据IP数据包的头部信息对访问信息进行控制，IP数据包的信息有：IP数据包的源地址、端口号、目的地址、包类型，所以包过滤型防火墙具有IP地址包过滤功能和端口号过滤功能。这两种防火墙各有优缺点，为了能适应网络技术的发展和防御各种漏洞、攻击，技术人员综合了包过滤防火墙技术的优点和应用代理防火墙技术的优点，同时摒弃了包过滤防火墙技术以及应用代理防火墙技术的原有缺点，通过这样的技术综合就出现新的防火墙，称为复合型防火墙，复合型防火墙出现提高了防火墙技术在应用实践中的可靠性和安全性，复合型防火墙因此成为首选使用的安全防御设备，也是应用较为广泛的防火墙。访问控制访问控制根据普冠企业网络架构设置不同部门之间隔离，动态路由安全和网络设备进行管理的方式。不同部门之间采用不同的IP网段，采用不同的VLAN，通过VLAN技术进行隔离，VLAN技术可以隔离广播风暴、还能减少病毒在内网中传播，增加企业内网安全，通过VLAN还可以对服务器和终端设备进行隔离；还可以使用ACL技术，ACL技术比较细化，可以针对某个IP地址或某段IP地址进行访问控制，访问控制方式有允许或拒绝，从上到下，一条条匹配，符合条件就利用跳出，匹配规则多样，ACL还可以利用到物理接口上，对物理接口流量进入还是流出进行运用，对物理接口也可以控制访问。在普冠企业内网中，为了能使内网互通，路由协议上使用的是OSPF动态路由协议，OSPF路由动态协议链路接口上可以启用MD5认证，启用MD5认证可以在一定程度上保证路由欺骗。网络设备进行管理的方式通过SSH方式登录，SSH方式比传统Telnet安全很多，在SSH方式登录可以设置不同账号有不同权限，如只能登录看配置等信息权限，这样有利于保证网络和设备安全。上网行为管理普冠企业是一个中小型企业，但企业对网络需求高，网络用户使用也比较多，现如今还在不断增加，该企业的总部和分支人数达到300多人，而且办公基本都用到网络，每天都有很多用户使用网络，员工上网如何管理和监控，在员工使用网络出现问题又该怎么解决呢，如流量控制不恰当，当有的员工访问与工作无关的上网行为，且有的上网行为需要流量比较大，这样就导致抢夺流量导致网络卡顿，还有就是网络安全意识比较薄弱的员工，上网行为会随意点网上连接，访问到恶意链接或下载到恶意软件，使终端设备中病毒，有可能导致企业信息泄露或使企业内网瘫痪，给企业造成巨大损失。所以真对这问题，要进行上网作为控制，控制每个用户上网行为流量，设置上行和下行流量最大值和最小值，保证每个用户流量，有效缓解网络卡顿问题；为了能更好的保护企业内网、保证员工安全上网，可以进行关键词过滤、屏蔽，上网后不会看到相关内容，也不能访问相关内容，也可以设置不能访问某些网站，如百度、新浪等，还可以设置企业员工什么时间段不能上外网，什么时间能上外网等方式保障企业网络安全。所有设备开启日志功能，通过查看日志可以对上网行为进行分析，方便改善上网行为管理，认证还可以记录对设备进行什么操作、发生什么故障进行记录，方便网络管理员对网络进行分析与维护。安全组网在网络中使用明文传输信息会使传输信息不安全，容易泄露、被不法分子截获进行修改，给企业造成巨大影响和损失。因此在普冠企业网中使用到IPSEC加密技术，IPSEC加密技术保证数据传输安全，即使在传输过程中泄露或被不法分子截获信息，也难以破解加密信息内容，从而提供数据安全。普冠企业网的总部和分支需要通过VPN技术，VPN技术主要由三个部分组成:数据加密，隧道技术和用户认证，而IPSEC技术和VPN技术结合起来用，能够增加数据传输安全，提高数据传输的可靠性，普冠企业网的总部和分支因此利用IPSECVPN技术，为总部和分支提高信息传输安全和安全访问。网络架构的实现如图5-1所示，使用CAD木马病毒画图工具，按照公司总部的平面比例画图，按平面图有利于布线规划、划分部门、估计设备数量、网线和光纤的预估。图5-1公司平面如图5-2所示，这是用Visio绘图工具来简单绘制eNSP模拟器模拟网络拓扑结构，网络拓扑图根据公司的部门简单划分，模拟器的功能比较俱全，能实现网络需求的基本功能。图5-2网络拓扑结构VRRP技术的实现VRRP技术可以有效提高网络的稳定性，既能备份网关，当一条链路故障时可以快速切换到另一条，还具有负载分担，规定走那条线路。主要设在核心交换机与防火墙理解处。具体配置如图5-3和5-4所示。图5-3VRRP配置图5-4VRRP配置OSPF的实现内网配置ospf动态路由，具有收敛速度快，能选择最短优先路径。具体配置如图5-5和5-6所示。图5-5核心交换机ospf配置图5-6防火墙ospf配置堆叠技术实现堆叠技术有利于提高设备的安全性和可靠性。配置设备的优先级，区分主备设备，在配置需把加入IRF的端口关闭，配置完成再能重启。配置如图5-7所示，成功状态如图5-8所示。图5-7堆叠配置图5-8堆叠成功状态安全技术及防火墙实现NAT，根据内网需要访问外网，需要用到NAT技术，具体配置如图5-9所示。图5-9NAT配置（2）根据安全原则，远程使用SSH登录，这样有效的防止别人恶意登录设备。在限制某段网络不给访问某段网络或IP使用高级ACL技术。SSH登录配置如图5-10所示，ACL技术配置如图5-11所示。图5-10SSH配置图5-11ACL 技术配置（3）在总部和分支相互访问时，使用IPSECVPN技术，这有利于提高安全性，因为IPSECVPN使用加密技术，提高数据传输安全，配置在防火墙上。IPSECVPN配置如图5-1