【正文】 網(wǎng)絡(luò)工程項(xiàng)目設(shè)計(jì)路由交換方向畢業(yè)論文目 錄第1章 引 言 1第2章 項(xiàng)目需求分析 項(xiàng)目背景 需求分析 2第3章 網(wǎng)絡(luò)總體建設(shè)目標(biāo) 網(wǎng)絡(luò)建設(shè)目標(biāo) 網(wǎng)絡(luò)及系統(tǒng)建設(shè)內(nèi)容及要求 網(wǎng)絡(luò)設(shè)計(jì)原則 3第4章 網(wǎng)絡(luò)總體設(shè)計(jì) 網(wǎng)絡(luò)拓?fù)鋱D 網(wǎng)絡(luò)層次化設(shè)計(jì) 內(nèi)聯(lián)接入 5第5章 路由、交換設(shè)計(jì) 51. 路由協(xié)議 52. 交換技術(shù) 63. IPV6 設(shè)備選擇 設(shè)備命名規(guī)范 VLAN、子網(wǎng)及IP地址規(guī)劃 7第6章 網(wǎng)絡(luò)安全解決方案 9 網(wǎng)絡(luò)邊界安全威脅分析 9 網(wǎng)絡(luò)內(nèi)部安全威脅分析 9 10第7章 關(guān)鍵技術(shù)介紹 11 VLAN 11 HSRP 11 VTP 12 TRUNK 12 STP 13 VPN 13第8章 設(shè)備簡(jiǎn)介 13 Cisco 2800系列集成多業(yè)務(wù)路由器 13 Cisco 4500系列交換機(jī) 14 CiscoCatalyst 3750 系列集成交換機(jī) 15 Cisco Catalyst2960系列交換機(jī) 16第9章 項(xiàng)目實(shí)施計(jì)劃 18 項(xiàng)目組織結(jié)構(gòu) 18 工程進(jìn)度計(jì)劃 19 項(xiàng)目實(shí)施前的準(zhǔn)備工作 19 安裝前的場(chǎng)地準(zhǔn)備 20 核心及各網(wǎng)點(diǎn)的安裝調(diào)試 20第10章 網(wǎng)絡(luò)測(cè)試 20 網(wǎng)絡(luò)測(cè)試目的 20 測(cè)試文檔 21第11章 基本配置 24 總部基本配置 24 30第12章 Trunk基本配置 34 技術(shù)簡(jiǎn)介 34 設(shè)備簡(jiǎn)介 34 基本配置 34 驗(yàn)證配置 39第13章 VLAN配置 39 技術(shù)簡(jiǎn)介 39 設(shè)備簡(jiǎn)介 40 基本配置 40 驗(yàn)證配置 41 配置vlan地址和網(wǎng)關(guān) 42第14章 VTP配置 43 技術(shù)簡(jiǎn)介 43 設(shè)備簡(jiǎn)介 43 基本配置 44 驗(yàn)證配置 47第15章 以太網(wǎng)通道配置 47 技術(shù)簡(jiǎn)介 47 設(shè)備簡(jiǎn)介 47 基本配置 47 驗(yàn)證配置 48第16章 STP配置 49 技術(shù)簡(jiǎn)介 49 設(shè)備簡(jiǎn)介 49 基本配置 49 驗(yàn)證配置 50第17章 OSPF配置 51 技術(shù)簡(jiǎn)介 51 設(shè)備簡(jiǎn)介 51 基本配置 51 驗(yàn)證配置 55第18章 HSRP配置 55 技術(shù)簡(jiǎn)介 55 設(shè)備簡(jiǎn)介 56 基本配置 56 驗(yàn)證配置 59第19章 GRE over IPSEC配置 60 技術(shù)簡(jiǎn)介 60 設(shè)備簡(jiǎn)介 60 基本配置 60 驗(yàn)證配置 65第20章 PPP配置 65 PPP認(rèn)證 65 配置PPP認(rèn)證 65 驗(yàn)證 66第21章 ACL配置 66 ACL介紹 66 ACL的作用 66 ACL的執(zhí)行過(guò)程 67 ACL的分類 67 67第22章 ISA防火墻配置 69 ISA簡(jiǎn)介 69 應(yīng)用位置及項(xiàng)目角色 71 ISA服務(wù)架構(gòu) 72第23章 Iptables配置 72 Iptables概述 72 實(shí)現(xiàn)目標(biāo) 74 NAT配置 74結(jié) 束 語(yǔ) 76參 考 文 獻(xiàn) 76致 謝 77第1章 引 言隨著信息技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)改變了人們的生活，地球變成了地球村，全世界的人可以隨時(shí)進(jìn)行網(wǎng)絡(luò)交流。信息資源的共享，帶來(lái)社會(huì)生產(chǎn)力空前提高，互聯(lián)網(wǎng)與人們生活越來(lái)越密切，如網(wǎng)上證券期貨交易、遠(yuǎn)程電子視頻會(huì)議、網(wǎng)上購(gòu)物等應(yīng)用使得人們的生活已經(jīng)越來(lái)越離不開網(wǎng)絡(luò)。然而網(wǎng)絡(luò)安全問(wèn)題伴隨著網(wǎng)絡(luò)的產(chǎn)生而產(chǎn)生，可以說(shuō)，有網(wǎng)絡(luò)的地方就存在網(wǎng)絡(luò)安全隱患。像病毒入侵和黑客攻擊之類的網(wǎng)絡(luò)安全事件，目前主要是通過(guò)網(wǎng)絡(luò)進(jìn)行的，而且?guī)缀趺繒r(shí)每刻都在發(fā)生，遍及全球。隨著信息進(jìn)程的提速，越來(lái)越多地企業(yè)信息被披露于企業(yè)內(nèi)外部網(wǎng)絡(luò)環(huán)境，如何保護(hù)企業(yè)機(jī)密，保障企業(yè)信息安全，成為企業(yè)信息話發(fā)展過(guò)程中必然需要面臨和解決的問(wèn)題。對(duì)于企業(yè)信息網(wǎng)絡(luò)安全管理需要部署的內(nèi)容，首先要明確企業(yè)的哪些資產(chǎn)需要保護(hù)，確定關(guān)鍵數(shù)據(jù)和相關(guān)業(yè)務(wù)支持技術(shù)資產(chǎn)價(jià)值，然后再此基礎(chǔ)上，制定并實(shí)施安全策略，完成安全策略的責(zé)任分配，設(shè)立安全標(biāo)準(zhǔn)。本設(shè)計(jì)結(jié)合中小企業(yè)實(shí)際需求，舉例分析、設(shè)計(jì)、配置、模擬組建了一個(gè)典型的中小企業(yè)網(wǎng)絡(luò)。第2章 項(xiàng)目需求分析、 項(xiàng)目背景：“建立一個(gè)設(shè)計(jì)規(guī)范、功能完備、性能優(yōu)良可靠、有良好擴(kuò)展性與可用性且具備易維護(hù)的現(xiàn)代網(wǎng)絡(luò)辦公體系.”集團(tuán)的業(yè)務(wù)涉及基礎(chǔ)教育服務(wù)、職業(yè)教育服務(wù)、企業(yè)培訓(xùn)等領(lǐng)域，Ambow高考與同步培訓(xùn)機(jī)構(gòu)、Ambow國(guó)際學(xué)校、Ambow實(shí)訓(xùn)基地、Ambow職業(yè)教育學(xué)院、Ambow學(xué)習(xí)體驗(yàn)中心等機(jī)構(gòu)已遍及全國(guó)二十多個(gè)重點(diǎn)城市，形成了以區(qū)域教育服務(wù)中心和實(shí)訓(xùn)基地為依托，以師資、課程、服務(wù)流程、IT支持、網(wǎng)絡(luò)學(xué)習(xí)服務(wù)的標(biāo)準(zhǔn)化為載體的服務(wù)體系，通過(guò)標(biāo)準(zhǔn)品質(zhì)的服務(wù)保障全國(guó)各地用戶的個(gè)性化需求。Ambow教育集團(tuán)創(chuàng)建專業(yè)的教育和技術(shù)研發(fā)機(jī)構(gòu)——Ambow研究院進(jìn)行前瞻性教育理念和資源的創(chuàng)造與創(chuàng)新。Ambow數(shù)十種自主知識(shí)產(chǎn)權(quán)技術(shù)、產(chǎn)品獲得國(guó)家版權(quán)認(rèn)證、專利認(rèn)證和科技成果鑒定。Ambow還與北京師范大學(xué)合作創(chuàng)立北師大Ambow教育發(fā)展研究院，開展教育政策與理論探索、國(guó)際高端項(xiàng)目交流，目前已參與和承辦了多項(xiàng)國(guó)家重大教育課題、國(guó)際高端學(xué)術(shù)論壇。目前Ambow總部在北京，分部分別在大連及江蘇的昆山?？偛吭O(shè)有品質(zhì)保障部、教學(xué)支持部、財(cái)務(wù)部、市場(chǎng)部，員工約有150人。分部的部門與總部相同，兩個(gè)分部各有員工約50人。、 需求分析 總部分為數(shù)據(jù)中心，核心交換區(qū)，服務(wù)器和接入，數(shù)據(jù)中心作為工廠生產(chǎn)運(yùn)營(yíng)系統(tǒng)的存放地，其性能、穩(wěn)定性、安全性，可靠性的要求最高。因此我們?cè)谠O(shè)計(jì)的時(shí)候，應(yīng)該考慮到這些要求，核心交換區(qū)的功能是高速可靠地交換數(shù)據(jù)，因此該部分的設(shè)計(jì)應(yīng)考慮性能和可靠性的平衡，分部用戶接入作為外聯(lián)單位接入?yún)^(qū)域，其安全性應(yīng)該是放在第一位?？偛哭k公網(wǎng)絡(luò)作為內(nèi)部互聯(lián)單位，可信度較高，用WEB、FTP、MAIL、DNS、DHCP等內(nèi)部服務(wù)器為員工提供內(nèi)部信息。分部訪問(wèn)總部采用VPN技術(shù)，通過(guò)VPN隧道保證傳送信息的安全。INTERNET用戶接入，需要考慮安全性和冗余性。當(dāng)前的網(wǎng)絡(luò)管理范疇比較廣，包括設(shè)備管理、資源管理、故障管理、性能管理、安全管理等。在網(wǎng)絡(luò)規(guī)模相對(duì)較大的時(shí)候，合適的網(wǎng)絡(luò)系統(tǒng)可以幫助用戶方便管理網(wǎng)絡(luò)內(nèi)的設(shè)備及運(yùn)行情況，以提高網(wǎng)絡(luò)的運(yùn)行效率。第3章 網(wǎng)絡(luò)總體建設(shè)目標(biāo)、 網(wǎng)絡(luò)建設(shè)目標(biāo)本項(xiàng)目的目標(biāo)是：“建立一個(gè)設(shè)計(jì)規(guī)范、功能完備、性能優(yōu)良、安全可靠、有良好的擴(kuò)展性與可用性并且具備可管理易維護(hù)的網(wǎng)絡(luò)及系統(tǒng)平臺(tái)，以高效率，高速度，低成本的方式提高公司員工的工作效率與執(zhí)行效率”。 搭建公司核心網(wǎng)絡(luò)及服務(wù)器,以實(shí)現(xiàn)生產(chǎn)運(yùn)營(yíng)系統(tǒng)的運(yùn)行, 各公司用戶能夠進(jìn)行資源共享，并能夠進(jìn)行上網(wǎng)查資料，電子郵件，對(duì)外發(fā)布網(wǎng)站等等。按照“高效能、低成本”的要求，采用兩層網(wǎng)絡(luò)結(jié)構(gòu)，按要求實(shí)現(xiàn)網(wǎng)絡(luò)安全的需求。網(wǎng)絡(luò)設(shè)備主要以核心交換區(qū)設(shè)備為主。要求計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)滿足系統(tǒng)集成的網(wǎng)絡(luò)平臺(tái)需求，并考慮對(duì)設(shè)備投資保護(hù)，保證未來(lái)幾年的系統(tǒng)擴(kuò)展。組建一個(gè)高效、穩(wěn)定、可靠、易管理、安全的企業(yè)網(wǎng).、 網(wǎng)絡(luò)及系統(tǒng)建設(shè)內(nèi)容及要求根據(jù)Ambow公司的網(wǎng)絡(luò)情況，我們把整個(gè)網(wǎng)絡(luò)分為內(nèi)部交換網(wǎng)絡(luò)設(shè)計(jì)、網(wǎng)絡(luò)出口設(shè)計(jì)、網(wǎng)絡(luò)安全設(shè)計(jì)幾大方面。對(duì)于內(nèi)部交換網(wǎng)絡(luò)我們采用分層設(shè)計(jì)。內(nèi)部交換網(wǎng)絡(luò)分成核心層、匯聚層、接入層三大部分。對(duì)于內(nèi)部交換網(wǎng)絡(luò)我們采用分層設(shè)計(jì)。內(nèi)部交換網(wǎng)絡(luò)分成核心層和接入層兩大部分。核心層作為整個(gè)網(wǎng)絡(luò)系統(tǒng)的核心，其主要功能是高速、可靠的進(jìn)行數(shù)據(jù)交換。為加速數(shù)據(jù)的快速轉(zhuǎn)發(fā)，我們?cè)诤诵膶硬捎靡蕴ǖ兰夹g(shù)，增加網(wǎng)絡(luò)帶寬，提高數(shù)據(jù)轉(zhuǎn)發(fā)效率。為提高網(wǎng)絡(luò)鏈路的冗余性，采用HSRP技術(shù)做熱備份，STP技術(shù)，保證鏈路的冗余性等。接入層主要提供最終用戶接入網(wǎng)絡(luò)的途徑。主要進(jìn)行vlan的劃分等。對(duì)于設(shè)備，我們采用了性價(jià)比較高的設(shè)備。對(duì)于網(wǎng)絡(luò)帶寬，由于帶寬有限且租金昂貴，我們建議用QOS技術(shù)進(jìn)行擁塞管理、擁塞避免、流量整形等策略對(duì)網(wǎng)絡(luò)上的流量進(jìn)行管理。、 網(wǎng)絡(luò)設(shè)計(jì)原則高可靠性網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定性是應(yīng)用系統(tǒng)正常運(yùn)行的關(guān)鍵保證，在網(wǎng)絡(luò)設(shè)計(jì)中選用高可靠性網(wǎng)絡(luò)產(chǎn)品，合理設(shè)計(jì)網(wǎng)絡(luò)結(jié)構(gòu)，制定可靠地網(wǎng)絡(luò)備份策略，保證網(wǎng)絡(luò)具有故障自愈的能力，最大限制地支持各個(gè)系統(tǒng)的正常運(yùn)行。
靈活性及可擴(kuò)展性根據(jù)未來(lái)業(yè)務(wù)的增長(zhǎng)和變化，網(wǎng)絡(luò)可以平滑地?cái)U(kuò)展和升級(jí)，最大限制地減少對(duì)網(wǎng)絡(luò)架構(gòu)和設(shè)備的調(diào)整。
高性能承載網(wǎng)絡(luò)性能是網(wǎng)絡(luò)通訊系統(tǒng)良好運(yùn)行的基礎(chǔ)，設(shè)計(jì)中心必須保障網(wǎng)絡(luò)及設(shè)備的高吞吐能力，保證各種信息（數(shù)據(jù)，語(yǔ)音，圖像）的高質(zhì)量傳輸，才能使網(wǎng)絡(luò)不成為各項(xiàng)業(yè)務(wù)開展的瓶頸。
性價(jià)比高網(wǎng)絡(luò)方案的設(shè)計(jì)必須充分考慮投資保護(hù)。
第4章 網(wǎng)絡(luò)總體設(shè)計(jì)、 網(wǎng)絡(luò)拓?fù)鋱DAmbow公司整體網(wǎng)絡(luò)可以根據(jù)功能劃分為北京總部核心網(wǎng)絡(luò)，內(nèi)嵌接入包括品質(zhì)保障部網(wǎng)絡(luò)，教學(xué)支持部網(wǎng)絡(luò)，財(cái)務(wù)部和市場(chǎng)部。外聯(lián)單位接入大連分部網(wǎng)絡(luò)和昆山分布網(wǎng)絡(luò)。各區(qū)域相對(duì)獨(dú)立，通過(guò)核心網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)的交互。在整個(gè)網(wǎng)絡(luò)拓?fù)鋱D中，我們采用了層次化的設(shè)計(jì)，核心層、匯聚層、接入層。這樣節(jié)省成本，使整個(gè)網(wǎng)絡(luò)拓?fù)涓忧逦?，由于各個(gè)層次的功能不同，因此易于我們排錯(cuò)。、 網(wǎng)絡(luò)層次化設(shè)計(jì)在網(wǎng)絡(luò)領(lǐng)域，層次型設(shè)計(jì)用于將設(shè)備劃分到多個(gè)網(wǎng)絡(luò)中，這些網(wǎng)絡(luò)采用分層方法組織。層次型設(shè)計(jì)模型包含3個(gè)基本層：216。 核心層：連接分布層設(shè)備。216。 分布層：將較小的本地網(wǎng)絡(luò)互連起來(lái)。216。 接入層：向網(wǎng)絡(luò)中的主機(jī)和終端設(shè)備提供連接性。相對(duì)于平面網(wǎng)絡(luò)設(shè)計(jì)，層次型網(wǎng)絡(luò)有些優(yōu)點(diǎn)。將平面網(wǎng)絡(luò)分為易于管理的小型模塊的優(yōu)點(diǎn)是，本地?cái)?shù)據(jù)流將留在本地，只有前往其他網(wǎng)絡(luò)的數(shù)據(jù)流才進(jìn)入更高層。三部分的功能分別是：核心層：核心層的功能主要是實(shí)現(xiàn)骨干網(wǎng)絡(luò)之間的優(yōu)化傳輸,骨干層設(shè)計(jì)任務(wù)的重點(diǎn)通常是冗余能力、可靠性和高速的傳輸。網(wǎng)絡(luò)的控制功能最好盡量少在骨干層上實(shí)施。核心層一直被認(rèn)為是所有流量的最終承受者和匯聚者，所以對(duì)核心層的設(shè)計(jì)以及網(wǎng)絡(luò)設(shè)備的要求十分嚴(yán)格。核心層設(shè)備將占投資的主要部分。 核心層需要考慮冗余設(shè)計(jì)。 匯聚層： 匯聚層的功能主要是連接接入層節(jié)點(diǎn)和核心層中心，匯聚層設(shè)計(jì)連接本地的邏輯中心，仍需要較高的性能和比較豐富的功能。匯聚層設(shè)備一般采用可管理的三層交換機(jī)或堆疊式交換機(jī)以達(dá)到帶寬和傳輸性能的要求，其設(shè)備性能較好，但價(jià)格高于接入層設(shè)備，而且對(duì)環(huán)境的要求也較高，匯聚層設(shè)備之間以及匯聚層設(shè)備與核心層設(shè)備之間多采用光纖互聯(lián)，以提高系統(tǒng)的傳輸性能和吞吐量。接入層：接入層的主要功能是完成用戶流量的接入和隔離，對(duì)于無(wú)線局域網(wǎng)wlan用戶，用戶終端通過(guò)無(wú)線網(wǎng)卡和無(wú)線接入點(diǎn)AP完成用戶接入。它可以共享、獨(dú)享或交換帶寬的方式為用戶提供入網(wǎng)的接口。、 核心層設(shè)計(jì)核心層主要進(jìn)行數(shù)據(jù)的高速路由轉(zhuǎn)發(fā)，以及維護(hù)全網(wǎng)路由的計(jì)算，我們推薦使用cisco 2821的路由器來(lái)完成，它的高性能，可靠性，可用性，在核心層我們還應(yīng)該采用Cisco4506系類的交換機(jī)來(lái)完成，在核心層為了保證數(shù)據(jù)的安全性和保密性應(yīng)接入防火墻。、 分布層設(shè)計(jì)分布層交換機(jī)和接入層交換機(jī)之間可以利用全雙工技術(shù)和高傳輸率網(wǎng)絡(luò)互聯(lián),保證分支主干無(wú)帶寬瓶頸。分布層的設(shè)計(jì)要滿足核心層、分布層交換機(jī)和服務(wù)器集合環(huán)境對(duì)千兆端口密度、可擴(kuò)展性、高可用性以及多層交換的不斷增長(zhǎng)的需求,支持大用戶量、多媒體信息傳輸?shù)葢?yīng)用。所以選擇的設(shè)備配置比核心層稍低。可采用思科Cisco3750交換機(jī)。、 接入層設(shè)計(jì)接入層是使用交換機(jī)相連，為用戶終端提供了接入的方式，辦公系統(tǒng)所需要的服務(wù)器群，數(shù)據(jù)中心的多種系統(tǒng)應(yīng)用服務(wù)器，鏈接到會(huì)聚交換的模塊上，因此，內(nèi)部的局域網(wǎng)是采用三層結(jié)構(gòu)組建。在接入層使用的是Cisco2960系列的交換機(jī)來(lái)完成。、 內(nèi)聯(lián)接入內(nèi)連接入的作用是用于鏈接外網(wǎng)的網(wǎng)絡(luò)。我們使用Cisco 2800系列的路由器通過(guò)SDH/DDN線路完成此功能。由于接入外網(wǎng)時(shí)需要考慮到安全問(wèn)題，因此，還需要接外部防火墻。第5章 路由、交換設(shè)計(jì)1. 路由協(xié)議在本次網(wǎng)絡(luò)項(xiàng)目中，北京總部的路由器BJR001和交換機(jī)BJS0 BJS02 、BJS03及 BJS04。為達(dá)到路由快速收斂、尋址以及方便網(wǎng)絡(luò)管理員管理的目的，為這個(gè)網(wǎng)絡(luò)選擇ospf協(xié)議。Ambow總部規(guī)劃為area 0，其內(nèi)部網(wǎng)絡(luò)也都規(guī)劃為area 0。各區(qū)域接入路由器跟據(jù)區(qū)域不同使用動(dòng)態(tài)協(xié)議，或者使用靜態(tài)路由與動(dòng)態(tài)路由結(jié)合的方式。2. 交換技術(shù)對(duì)于本次項(xiàng)目的核心層交換機(jī)Cisco 4506，我們將采用建立在生成樹基礎(chǔ)上的多鏈路冗余連接。這樣不僅可以避免了由于網(wǎng)絡(luò)環(huán)路造成的廣播風(fēng)暴等，還可以保證骨干交換機(jī)之間存在備份連接和負(fù)載均衡，完成高帶寬、大容量網(wǎng)絡(luò)層路由交換功能。這樣當(dāng)交換機(jī)之間的線路出現(xiàn)故障時(shí)，傳輸?shù)臄?shù)據(jù)會(huì)快速自動(dòng)切換到另外一條線路上進(jìn)行傳輸，不影響網(wǎng)絡(luò)系統(tǒng)的正常工作。而對(duì)于匯聚層交換機(jī)Cisco 3750和接入層交換機(jī)Cisco 2960，我們將采用VTP、VLAN、HSRP等協(xié)議。使用VTP協(xié)議，可以把一臺(tái)交換機(jī)配置成VTP Server, 其余交換機(jī)配置成VTP Client,這樣他們可以自動(dòng)學(xué)習(xí)到server上的VLAN 信息。這樣不僅可以少在多臺(tái)設(shè)備上配置同一個(gè)VLAN信息的工作量，而且還保持了VLAN配置的統(tǒng)一性。而VLAN 技術(shù)，則可以限制廣播范圍，并能夠形成虛擬工作組，動(dòng)態(tài)管理網(wǎng)絡(luò)。不僅提高了網(wǎng)絡(luò)的安全性，而且成本低，性能高，節(jié)省了人力，具有很高的靈活性。HSRP 是熱備份路由協(xié)議。在北京總部和分部在匯聚層的交換機(jī)上我們采用熱備份協(xié)議，運(yùn)用兩臺(tái)交換機(jī)，當(dāng)其中的一臺(tái)出現(xiàn)故障致使網(wǎng)絡(luò)不能正常通信時(shí)，備用的那臺(tái)馬上起到作用，避免了網(wǎng)絡(luò)的“短路”問(wèn)題。HSRP 實(shí)現(xiàn)容錯(cuò)備份功能，可以有效解決網(wǎng)絡(luò)不暢問(wèn)題，保證了網(wǎng)絡(luò)的可靠性。3. IPV6 由于