【正文】 scoasa(configif)securitylevel 100 ciscoasa(configif)ip address ciscoasa(config)accesslist acl_outside extended permit icmp any any ciscoasa(config)accesslist acl_outside extended permit tcp any any eq ciscoasa(config)accesslist acl_outside extended permit tcp any any eq 8080 ciscoasa(config)accesslist acl_outside extended permit tcp any any eq 443 ciscoasa(config)accesslist acl_outside extended permit tcp any any eq 8443 ciscoasa(config)accesslist acl_outside extended permit udp any any eq domain ciscoasa(config)classmap acl_map ciscoasa(configclass)match any ciscoasa(config)policymap acl_map ciscoasa(configpolicy)class acl_map ciscoasa(configpolicy)inspect icmp ciscoasa(config)servicepolicy acl_map interface inside ciscoasa(config)servicepolicy acl_map interface outside 14 ospf 動態(tài)路由協(xié)議 開放式最短路徑優(yōu)先（ Open Shortest Path First， OSPF）路由協(xié)議是一種基于開放式標(biāo)準(zhǔn)的鏈路狀態(tài)路由協(xié)議。 為解決內(nèi)部網(wǎng)絡(luò)使用私有地址的主機(jī)和因特網(wǎng)上使用公有地址的主機(jī)的通信問題，必 須進(jìn)行網(wǎng)絡(luò)地址的轉(zhuǎn)換（ NAT），即在通信時把私有地址轉(zhuǎn)換成因特網(wǎng)上合法的公有地址。 在該集團(tuán)中主要使用的技術(shù)有 ipsec VPN 技術(shù)、 NAT 技術(shù)、動態(tài)路由協(xié)議 ospf 技術(shù)、防火墻報文檢測技術(shù)、鏈路捆綁 LACP 技術(shù)、 STP 技術(shù)、 ACL、端口安全等技術(shù)。 11 4 集團(tuán)技術(shù)詳細(xì)設(shè)計 網(wǎng)絡(luò)技術(shù)是通信技術(shù)與計算機(jī)技術(shù)相結(jié)合的產(chǎn)物。 集團(tuán) ip 地址規(guī)劃 網(wǎng)絡(luò)規(guī)劃和設(shè)計結(jié)合 VLAN 技術(shù)，及每個部門屬于不同的 VLAN，用來隔離廣播風(fēng)暴和局域網(wǎng)的安全，如果不同 VLAN 間要實現(xiàn)通信可以采取三層交換的轉(zhuǎn)發(fā)功能。接入層交換機(jī)通常在用戶之間提供第 2 層（ VLAN）連接性。 雙設(shè)備互聯(lián)結(jié)構(gòu)的主要優(yōu)缺點(diǎn)： 雙設(shè)備互聯(lián)使用增加設(shè)備啟到冗余的作用來解決單設(shè)備的網(wǎng)絡(luò)隱患，但是同時網(wǎng)絡(luò)成本和網(wǎng)絡(luò)維護(hù)難度也將隨之增加，不過相對于網(wǎng)絡(luò)安全性能來說這些將顯得微不足道。 核心層主要用來下連集團(tuán)網(wǎng)絡(luò)匯聚層、上聯(lián)邊界區(qū)域防火墻，核心層設(shè)備要具有較高的性能，包轉(zhuǎn)發(fā)速率要快，不然會出現(xiàn)單一瓶頸，造成網(wǎng)絡(luò)擁塞。 二層網(wǎng)絡(luò)結(jié)構(gòu)和三層網(wǎng)絡(luò)結(jié)構(gòu)的主要區(qū)別： 二層網(wǎng)絡(luò)結(jié)構(gòu)適合比較小型的網(wǎng)絡(luò)環(huán)境，即接入層、核心層，接入層一端連接PC，另一端上聯(lián)到核心層，將網(wǎng)關(guān)設(shè)置在核心層上。 集團(tuán)內(nèi)部常見的服務(wù)器有 FTP 服務(wù)器、 Email 服務(wù)器、 WEB 服務(wù)器、存儲服務(wù)器等，為了方便統(tǒng)一管理和基于模塊化的設(shè)計原則，將服務(wù)器集群組成一個 DMZ 服務(wù)器區(qū)域，使用一臺防火墻將服務(wù)器和內(nèi)網(wǎng)外網(wǎng)進(jìn)行隔離，不管數(shù)據(jù)是從企業(yè)內(nèi)部發(fā)起點(diǎn)訪問 還是來自己與互聯(lián)網(wǎng)主機(jī)的訪問，都必須經(jīng)過服務(wù)器區(qū)域的防火墻，進(jìn)行嚴(yán)格的報文檢測和訪問控制，最大程度的保證服務(wù)器區(qū)域的安全，服務(wù)器區(qū)域網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)設(shè)計如圖 33 所示： 7 圖 33 服務(wù)器區(qū)域網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) 圖 33 為集團(tuán)服務(wù)器區(qū)域設(shè)計結(jié)構(gòu)，因為集團(tuán)的服務(wù)器一般不是很多，這里將服務(wù)器全部接到一臺交換機(jī)上，劃分一單獨(dú)的 vlan，然后交換機(jī)上聯(lián)到防火墻，防火墻另外一端連接內(nèi)網(wǎng)區(qū)域核心交換機(jī)，對防火墻接口劃分安全級別和定義高級訪問控制列表，對訪問服務(wù)器的端口進(jìn)行控制。 6 集團(tuán)邊界區(qū)域 集團(tuán)邊界區(qū)域作為企業(yè)內(nèi)部與互聯(lián)網(wǎng)連接的出口 區(qū)域，即企業(yè)和運(yùn)營商網(wǎng)絡(luò)的對接，根據(jù)集團(tuán)建設(shè)的成本和集團(tuán)的規(guī)模，這里選擇單出口區(qū)域，集團(tuán)邊界區(qū)域的設(shè)計對集團(tuán)來說至關(guān)重要，因為所有訪問互聯(lián)網(wǎng)的數(shù)據(jù)和互聯(lián)網(wǎng)的回包數(shù)據(jù)都要經(jīng)過這個區(qū)域，集團(tuán)內(nèi)部經(jīng)常遭到攻擊多數(shù)都是來自互聯(lián)網(wǎng)，因此邊界區(qū)域的主要設(shè)計就是安全方面的設(shè)計，具體區(qū)域邊界的設(shè)計結(jié)構(gòu)如圖 32 所示： 圖 32 集團(tuán)邊界區(qū)域拓?fù)浣Y(jié)構(gòu) 集團(tuán)邊界區(qū)域設(shè)計這里采用單出口的設(shè)計方案，使用一臺路由器連接運(yùn)營商的網(wǎng)絡(luò)，邊界路由器一端連接集團(tuán)內(nèi)網(wǎng)防火墻，用來對訪問外網(wǎng)的數(shù)據(jù)和外部訪問內(nèi)網(wǎng)的數(shù)據(jù)進(jìn)行包檢測和訪問控制，防火 墻連接內(nèi)網(wǎng)核心模塊的核心交換機(jī)。 5 3 RT 集團(tuán)網(wǎng)絡(luò)整體方案設(shè)計 根據(jù)前文的對 RT 集團(tuán)的網(wǎng)絡(luò)建設(shè)進(jìn)行調(diào)研和分析， RT 集團(tuán)重點(diǎn)是建設(shè)一個穩(wěn)定性強(qiáng)、可靠性高的網(wǎng)絡(luò)，在此基礎(chǔ)之上能夠?qū)崿F(xiàn)集團(tuán)內(nèi)部文件的共享和部門之間的溝通，以及實現(xiàn)部分部門能夠訪問互聯(lián)網(wǎng)，對 于那些數(shù)據(jù)安全性要求較高的部門不允許訪問互聯(lián)網(wǎng)，以免重要數(shù)據(jù)在互聯(lián)網(wǎng)上傳播；關(guān)于 RT 集團(tuán)網(wǎng)絡(luò) IP 地址的重新規(guī)劃要盡量有規(guī)可循，方便后期的網(wǎng)絡(luò)擴(kuò)展和路由調(diào)整；網(wǎng)絡(luò)的設(shè)計要做到把復(fù)雜簡單化層次化，方面后期的管理和維護(hù)，模塊化的網(wǎng)絡(luò)拓?fù)湓O(shè)計及時其中一個區(qū)域一個模塊出現(xiàn)網(wǎng)絡(luò)故障，不會對整體網(wǎng)絡(luò)造成影響。 4 網(wǎng)絡(luò)安全需求 大多數(shù)的攻擊在 RT 集團(tuán) 網(wǎng)內(nèi)，主要威脅和攻擊方法包括 ARP 攻擊，計算機(jī)病毒，拒絕服務(wù)攻擊，根據(jù)網(wǎng)絡(luò)服務(wù)器發(fā)起的攻擊，基于緩沖區(qū)溢出攻擊以及相關(guān)協(xié)議的漏洞進(jìn)行攻擊。 RT 集團(tuán) 網(wǎng)絡(luò)在可靠性設(shè)計方面主要應(yīng)從以下 3 個方面考慮。因此，數(shù)據(jù)流量將大大增加，尤其是對核心網(wǎng)絡(luò)的數(shù)據(jù)交換能力提出了前所未有的要求。集團(tuán)公司網(wǎng)絡(luò)的主要功能包括：文件傳輸 (FTP)、 WEB 服務(wù)器（ WEB）、內(nèi)部部門之間的互訪，遠(yuǎn)程辦公、訪 問互聯(lián)網(wǎng)、信息共享、安全防護(hù)等功能。 3 2 需求分析 RT 集團(tuán) 因為業(yè)務(wù)的需要和信息化建設(shè)的需要，需要對企業(yè)的網(wǎng)絡(luò)進(jìn)行 重建。要使網(wǎng)絡(luò)硬件環(huán)境、軟件環(huán)境、通訊環(huán)境、操作平臺與高層應(yīng)用系統(tǒng)之間的相互依賴性減至最小，便于發(fā)揮各自的優(yōu)勢。能滿足性能要求，易于操作、管理和維護(hù)。 遠(yuǎn)程訪問 。 提供信息的訪問。包括硬件資源共享、軟件資源共享及數(shù)據(jù)庫共享。 研究的意義和目的 RT 集團(tuán) 企業(yè)建設(shè)局域網(wǎng)可以實現(xiàn)企業(yè)內(nèi)部資源共享，降低企業(yè)的經(jīng)營成本，提高企業(yè)的運(yùn)作效率。目前局域網(wǎng)技術(shù)發(fā)展非常迅速，計算機(jī)網(wǎng)絡(luò)已經(jīng)滲透到 社會 生活的方方面面，成為現(xiàn)代信息社會中人與人之間傳遞信息的一個重要工具。運(yùn)用各種網(wǎng)絡(luò)技術(shù)實現(xiàn)我們需要的功能，例如運(yùn)用 ACL（ 訪問控制列表）技術(shù)限制或者允許某些 VLAN 之間的互訪， ipsec vpn 技術(shù)實現(xiàn)遠(yuǎn)程訪問等等。 ：任務(wù)書、開題報告、外文譯文、譯文原文（復(fù)印件）。 作者簽名： 日期： 年 月 日 學(xué)位論文版權(quán)使用授權(quán)書 本學(xué)位論文作者完全了解學(xué)校有關(guān)保留、使用學(xué)位論文的規(guī)定，同意學(xué)校保留并向國家有關(guān)部門或機(jī)構(gòu)送交論文的復(fù)印件和電子版，允許論文被查閱和借閱。 作者簽名： 日 期： 2 學(xué)位論文原創(chuàng)性聲明 本人鄭重聲明：所呈交的論文是本人在導(dǎo)師的指導(dǎo)下獨(dú)立進(jìn)行研究所取得的研究成果。 本科生畢業(yè)論文 (設(shè)計 ) 上海 RT 集團(tuán)園區(qū)網(wǎng)建設(shè) 畢業(yè)設(shè)計（論文）原創(chuàng)性聲明和使用授權(quán)說明 原創(chuàng)性聲明 本人鄭重承諾：所呈交的畢業(yè)設(shè)計（論文），是我個人在指導(dǎo)教師的指導(dǎo)下 進(jìn)行的研究工作及取得的成果。 作 者 簽 名： 日 期： 指導(dǎo)教師簽名： 日 期： 使用授權(quán)說明 本人完全了解 大學(xué)關(guān)于收集、保存、使用畢業(yè)設(shè)計（ 論文）的規(guī)定，即：按照學(xué)校要求提交畢業(yè)設(shè)計（論文）的印刷本和電子版本；學(xué)校有權(quán)保存畢業(yè)設(shè)計（論文）的印刷本和電子版，并提供目錄檢索與閱覽服務(wù)；學(xué)?？梢圆捎糜坝?、縮印、數(shù)字化或其它復(fù)制手段保存論文；在不以贏利為目的前提下，學(xué)?？梢怨颊撐牡牟糠只蛉績?nèi)容。本人完全意識到本聲明的法律后果由本人承擔(dān)。 作者簽名： 日期： 年 月 日 導(dǎo)師簽名： 日期： 年 月 日 3 注 意 事 項 （論文）的內(nèi)容包括： 1）封面（按教務(wù)處制定的標(biāo)準(zhǔn)封面格式制作） 2）原創(chuàng)性聲明 3）中文摘要（ 300 字左右）、關(guān)鍵詞 4）外文摘要、關(guān)鍵詞 5）目次頁（附件不統(tǒng)一編入） 6）論文主體部分：引言（或緒論）、正文、結(jié)論 7）參考文獻(xiàn) 8）致謝 9）附錄（對論文支持必要時） ：理工類設(shè)計（論文）正文字?jǐn)?shù)不少于 1 萬字（不包括圖紙、程 序清單等），文科類論文正文字?jǐn)?shù)不少于 萬字。 研究 RT 集團(tuán)網(wǎng)絡(luò)的方法，主要通過 Cisco Packet 模擬軟件和實驗室具體操作相結(jié)合的方式來完成。 關(guān)鍵詞： 集團(tuán)絡(luò)；網(wǎng)絡(luò)規(guī)劃；網(wǎng)絡(luò)安全；設(shè)計實現(xiàn) Abstract The object of this paper for small and mediumsized enterprise works, internal munication, resource sharing through a variety of work technologies to restrict the mun