【正文】 不單是要加強(qiáng)理論知識(shí)的學(xué)習(xí)，同時(shí)也是一門實(shí)踐性很強(qiáng)的課程。通過(guò)“總體設(shè)計(jì)、詳細(xì)設(shè)計(jì)、系統(tǒng)測(cè)試以及故障排除”這三章，在基礎(chǔ)理論上，以精煉、夠用為原則，介紹與實(shí)驗(yàn)比較緊密的理論知識(shí)；在實(shí)踐上，通過(guò)模擬內(nèi)外網(wǎng)設(shè)計(jì)方法來(lái)舉例介紹網(wǎng)絡(luò)組建的應(yīng)用知識(shí)。隆康集團(tuán)是一家以開(kāi)發(fā)中高端精品住宅為主營(yíng)業(yè)務(wù)的全國(guó)性房地產(chǎn)開(kāi)發(fā)企業(yè)。主要表現(xiàn)再網(wǎng)絡(luò)不穩(wěn)定，網(wǎng)絡(luò)抖動(dòng)現(xiàn)象頻發(fā)，但如果依舊采用原有線路連接，網(wǎng)絡(luò)的構(gòu)建存在成本高、周期長(zhǎng)、而且不易管理和實(shí)施的難題。網(wǎng)絡(luò)中的各類服務(wù)器設(shè)備、客戶機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備以及各種操作系統(tǒng)、應(yīng)用軟件將考慮技術(shù)上的先進(jìn)性、國(guó)內(nèi)外及各行業(yè)的通用性，并且要有良好的市場(chǎng)形象與售后技術(shù)支持，便于維護(hù)、升級(jí)。新建網(wǎng)絡(luò)系統(tǒng)可滿足公司各項(xiàng)管理需要，同時(shí)考慮今后功能和信息增長(zhǎng)的要求，選擇的計(jì)算機(jī)以及網(wǎng)絡(luò)設(shè)備具有先進(jìn)性，適應(yīng)越來(lái)越多的信息種類（聲音、動(dòng)畫等多媒體數(shù)據(jù)）以及信息量的處理及傳輸要求。為防黑客入侵、病毒的影響，保證公司數(shù)據(jù)的安全，采用 PIX 防火墻技術(shù)。 需求分析根據(jù)貴公司的需求，我們規(guī)劃了一個(gè)大致拓?fù)鋱D：.6在外網(wǎng)上對(duì)于總公司與分公司和出差員工的實(shí)際情況，我們將用 PPP 技術(shù)讓其之間的文件進(jìn)行安全傳輸。基于隆康集團(tuán)網(wǎng)絡(luò)改造和擴(kuò)建的實(shí)際情況，我們易陽(yáng)科技網(wǎng)絡(luò)對(duì)該項(xiàng)目的網(wǎng)絡(luò)進(jìn)行了大致規(guī)劃，分為總部和分部還有虛擬分部（可擴(kuò)展），其中，總部地點(diǎn)為數(shù)據(jù)中心區(qū)、核心交換區(qū)。因此我們公司將采用HSRP、STP技術(shù)解決冗余問(wèn)題。防火墻既可以用硬件實(shí)現(xiàn),也可以用軟件實(shí)現(xiàn)。至于數(shù)據(jù)包是被接收還是被拒絕，可以由類似于源地址、目的地址、端口號(hào)、協(xié)議等特定指示條件來(lái)決定。ASA 執(zhí)行通過(guò)防火墻的有狀態(tài)（STATEFUL）的連接控制。PIX 可以支持連接多個(gè)外部的網(wǎng)絡(luò)。4）系統(tǒng)擴(kuò)展性（兼并子公司，自建分部，第二分部暫時(shí)與總部失去聯(lián)系）和變更的靈活性接入能力擴(kuò)展 接入能力是指交換機(jī)接入用戶數(shù)的能力。 帶寬擴(kuò)展 帶寬擴(kuò)展通常出現(xiàn)在不同的網(wǎng)絡(luò)層次間，如接入層和匯聚層，匯聚層和核心層。即使是要進(jìn)行網(wǎng)絡(luò)的擴(kuò)展升級(jí)，也不會(huì)對(duì)用戶現(xiàn)存的網(wǎng)絡(luò)有影響。信息接入點(diǎn)分布合理、靈活、充足并有擴(kuò)展空間。 　　 易管理和易維護(hù)的網(wǎng)絡(luò)系統(tǒng)：全網(wǎng)可進(jìn)行統(tǒng)一或分布管理，網(wǎng)絡(luò)維護(hù)簡(jiǎn)單有效。2．在外出差的員工通過(guò)公網(wǎng)訪問(wèn)內(nèi)部資源，安全性不高3. 公司內(nèi)部一臺(tái)三層交換掌控著所有的部門，如果一旦 down 則不能給全公司創(chuàng)造服務(wù)影響公司的正常運(yùn)行4．總公司已經(jīng)建立了郵件系統(tǒng)、web 系統(tǒng)、erp 系統(tǒng)等應(yīng)用系統(tǒng)，郵件系統(tǒng)、web 系統(tǒng)等對(duì)互聯(lián)網(wǎng)提供相應(yīng)的服務(wù)，面臨著來(lái)自互聯(lián)網(wǎng)的各種威脅。按照客戶/服務(wù)器的體系建立各層次的網(wǎng)絡(luò)應(yīng)用。(2)、建立一個(gè)投資成本低、高寬帶，高可靠性，高安全性以及靈活可擴(kuò)展性的 PPP 鏈路，消除地區(qū)差異，實(shí)現(xiàn)移動(dòng)員工的網(wǎng)絡(luò)互聯(lián)及基于 inter 上內(nèi)部移動(dòng)用戶的安全接入。設(shè)計(jì)目的主要是用來(lái)通過(guò)撥號(hào)或?qū)＞€方式建立點(diǎn)對(duì)點(diǎn)連接發(fā)送數(shù)據(jù)，使其成為各種主機(jī)、網(wǎng)橋和路由器之間簡(jiǎn)單連接的一種共通的解決方案。建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。4. 靈活性——安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改和升級(jí)5. 可評(píng)價(jià)性——如何預(yù)先評(píng)價(jià)一個(gè)安全設(shè)計(jì)并驗(yàn)證其網(wǎng)絡(luò)的安全性，這需要通過(guò)國(guó)家有關(guān)網(wǎng)絡(luò)信息安全測(cè)評(píng)認(rèn)證機(jī)構(gòu)的評(píng)估來(lái)實(shí)現(xiàn)。1．物理環(huán)境的安全性（物理層安全） 　　該層次的安全包括通信線路的安全，物理設(shè)備的安全，機(jī)房的安全等。二是對(duì)操作系統(tǒng)的安全配置問(wèn)題。此外，還包括病毒對(duì)系統(tǒng)的威脅。網(wǎng)絡(luò)安全的整體性是指一個(gè)安全系統(tǒng)的建立，即包括采用相應(yīng)的安全設(shè)備，又包括相應(yīng)的管理手段。對(duì)于企業(yè)行業(yè)網(wǎng)絡(luò)安全體系的建立，我們建議采取以上的原則，先對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行整體的安全規(guī)劃，然后，根據(jù)實(shí)際狀況建立一個(gè)從防護(hù)檢測(cè)響應(yīng)的基礎(chǔ)的安全防護(hù)體系，提高整個(gè)網(wǎng)絡(luò)基礎(chǔ)的安全性，保證應(yīng)用系統(tǒng)的安全性。這樣設(shè)計(jì)不但保證網(wǎng)絡(luò)的高可用性和穩(wěn)定性，還能夠充分利用現(xiàn)有設(shè)備的資源，以避免單臺(tái)核心設(shè)備的負(fù)載太重而導(dǎo)致的網(wǎng)絡(luò)性能問(wèn)題。我們將采用層次化網(wǎng)絡(luò)設(shè)計(jì)，構(gòu)建高效、可靠、安全的網(wǎng)絡(luò)。另外分層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進(jìn)行很好的隔離。當(dāng)網(wǎng)絡(luò)中使用路由器時(shí)，從網(wǎng)絡(luò)中的一個(gè)終端到另一個(gè)終端經(jīng)過(guò)的路由器的數(shù)目稱為網(wǎng)絡(luò)的“直徑”。分布層路由器和相連接的局域網(wǎng)可以在不增加網(wǎng)絡(luò)直徑的前提下加入網(wǎng)絡(luò)，因?yàn)樗鼈儾挥绊懺械恼军c(diǎn)的通信。我們將采用高帶寬的千兆級(jí)交換機(jī)，充當(dāng)核心層設(shè)備。一般采用中端設(shè)備。其設(shè)備性能較好，但價(jià)格高于接入層設(shè)備，而且對(duì)環(huán)境的要求也較高，對(duì)電磁輻射、溫度、濕度和空氣潔凈度等都有一定的要求。 當(dāng)網(wǎng)絡(luò)規(guī)模較大時(shí)，可以設(shè)計(jì)綜合安全管理策略，例如在接入層實(shí)現(xiàn)身份認(rèn)證和MAC地址綁定，在匯聚層實(shí)現(xiàn)流量控制和訪問(wèn)權(quán)限約束。接入交換機(jī)是最常見(jiàn)的交換機(jī)，它直接與外網(wǎng)聯(lián)系，使用最廣泛，尤其是在一般辦公室、小型機(jī)房和業(yè)務(wù)受理較為集中的業(yè)務(wù)部門、多媒體制作中心、網(wǎng)站管理中心等部門。對(duì)于無(wú)線局域網(wǎng)WLAN用戶，用戶終端通過(guò)無(wú)線網(wǎng)卡和無(wú)線接入點(diǎn)AP完成用戶接入。 核心層設(shè)計(jì)核心交換區(qū)的作用是高效速度傳輸數(shù)據(jù)，是所有流量的最終承受者和匯聚者，推薦使用高端設(shè)備。這代表了堆疊式交換機(jī)新的工業(yè)技術(shù)水平和標(biāo)準(zhǔn)。SMI功能集包括先進(jìn)的服務(wù)質(zhì)量（QoS）、速率限制、訪問(wèn)控制列表（ACL）和基本的靜態(tài)和路由信息協(xié)議（RIP）路由功能。接入層.16交換機(jī)端口的 input 指服務(wù)器向交換機(jī)端口發(fā)送的數(shù)據(jù)，即是服務(wù)器發(fā)送出去的數(shù)據(jù)。當(dāng)然我們也考慮端口密度的問(wèn)題。Cisco 2821系列具有以下功能： 集成語(yǔ)音留言 范圍廣泛的話音接口 支持 SRST, 分支機(jī)構(gòu)可利用集中呼叫控制, 并通過(guò)SRST冗余性為IP電話經(jīng)濟(jì)有效地提供本地 分支機(jī)構(gòu)備份Cisco 2821還支持QOS，包含網(wǎng)絡(luò)擴(kuò)展性，具有內(nèi)置防火墻功能，提高內(nèi)部網(wǎng)絡(luò)的安全性、可靠性。 OSPF支持各種不同鑒別機(jī)制，并且允許各個(gè)系統(tǒng)或區(qū)域采用互不相同的鑒別機(jī)制；提供負(fù)載均衡功能；OSPF屬動(dòng)態(tài)的自適應(yīng)協(xié)議，對(duì)于網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變化可以迅速地做出反應(yīng)，進(jìn)行相應(yīng)調(diào)整，提供短的收斂期，使路由表盡快穩(wěn)定化，并且與其它路由協(xié)議相比，OSPF在對(duì)網(wǎng)絡(luò)拓?fù)渥兓奶幚磉^(guò)程中僅需要最少的通信流量；OSPF提供點(diǎn)到多點(diǎn)接口，支持無(wú)類型域間路由地址。Vlan的劃分：總部 Vlan 虛擬ip工程部 Vlan10 銷售部 Vlan20 財(cái)務(wù)部 Vlan30 .18人事部 Vlan40 網(wǎng)絡(luò)部 Vlan50 市場(chǎng)部 Vlan60 經(jīng)理 Vlan70 IP 地址的劃分:總部 Ip 地址 子網(wǎng)工程部 銷售部 財(cái)務(wù)部 人事部 網(wǎng)絡(luò)部 市場(chǎng)部 經(jīng)理 第 5 章 網(wǎng)絡(luò)安全解決方案 網(wǎng)絡(luò)邊界安全威脅分析把 不 同 安 全 級(jí) 別 的 網(wǎng) 絡(luò) 相 連 接 ， 就 產(chǎn) 生 了 網(wǎng) 絡(luò) 邊 界 。 一 般 信 息 泄 密 有 兩 種 方 式 ： 攻 擊 者 (非 授 權(quán) 人 員 )進(jìn) 入 了 網(wǎng) 絡(luò) ， 獲 取 了 信 息 ， 這 是 從 網(wǎng) 絡(luò) 內(nèi) 部 的 泄 密 合 法 使 用 者 在 進(jìn) 行 正 常 業(yè) 務(wù) 往 來(lái) 時(shí) ， 信 息 被 外 人 獲 得 ， 這 是 從 網(wǎng) 絡(luò) 外 部 的 泄 密 我 們 給 貴 公 司 設(shè) 計(jì) 的 各 部 門 之 間 的 vlan 劃 分 ， 不 同 的 vlan 之 間 不 能 隨 意 的 訪問(wèn) ， 我 們 會(huì) 設(shè) 計(jì) 權(quán) 限 和 密 碼 才 能 訪 問(wèn) 。 、 網(wǎng) 絡(luò) 病 毒 ： 與 非 安 全 網(wǎng) 絡(luò) 的 業(yè) 務(wù) 互 聯(lián) ， 難 免 在 通 訊 中 帶 來(lái) 病 毒 ， 一 旦 在 你 的網(wǎng) 絡(luò) 中 發(fā) 作 ， 業(yè) 務(wù) 將 受 到 巨 大 沖 擊 ， 病 毒 的 傳 播 與 發(fā) 作 一 般 有 不 確 定 的 隨 機(jī) 特 性 。 網(wǎng)絡(luò)內(nèi)部安全威脅分析內(nèi) 部 網(wǎng) 絡(luò) 的 風(fēng) 險(xiǎn) 分 析 主 要 針 對(duì) 整 個(gè) 內(nèi) 部 網(wǎng) 的 安 全 風(fēng) 險(xiǎn) 主 要 表 現(xiàn) 一 下 幾 個(gè) 方 面 ：內(nèi) 部 用 戶 的 非 授 權(quán) 訪 問(wèn) ， 安 博 集 團(tuán) 的 內(nèi) 部 資 源 也 不 是 對(duì) 任 何 的 員 工 開(kāi) 放 的 ， 也 需要 相 應(yīng) 的 訪 問(wèn) 權(quán) 限 內(nèi) 部 用 戶 的 非 授 權(quán) 的 訪 問(wèn) 。 網(wǎng)絡(luò)常用技術(shù)介紹 PPP協(xié)議PPP協(xié)議是在點(diǎn)到點(diǎn)鏈路上承載網(wǎng)絡(luò)層數(shù)據(jù)包的一種鏈路層協(xié)議，它能夠提供用戶驗(yàn)證、易于擴(kuò)充，并且支持同/異步通信它的優(yōu)點(diǎn)在于簡(jiǎn)單、具備用戶驗(yàn)證能力、可以解決IP分配等。2 鏈路控制：有一個(gè)稱為L(zhǎng)CP的鏈路控制協(xié)議，支持同步和異步線路，也支持面向字節(jié)的和面向位的編碼方式，可用于啟動(dòng)路線、測(cè)試線路、協(xié)商參數(shù)、以及關(guān)閉線路。PAP在傳輸password是明文的，而CHAP在傳輸過(guò)程中不傳輸密碼，取代密碼的是hash（哈希值） 。選定的NCP解決PPP鏈路之上的高層協(xié)議問(wèn)題，經(jīng)過(guò)三個(gè)階段以后，一條完整的PPP鏈路就建立起來(lái)了。它是思科私有協(xié)議。有了VTP，建立一個(gè)VTP管理域，以使它能管理網(wǎng)絡(luò)上當(dāng)前的VLAN就可以在一臺(tái)機(jī)換上集中過(guò)時(shí)行配置變更，所作的變更會(huì)被自動(dòng)傳播到網(wǎng)絡(luò)中所有其他的交換機(jī)上。 VLAN 技術(shù)一般的交換機(jī)端口只有屬于一個(gè)vlan，對(duì)于多個(gè)vlan需要跨過(guò)多臺(tái)交換機(jī)，就需要用到trunk技術(shù)。VLAN技術(shù)允許網(wǎng)絡(luò)管理者講一個(gè)物理的vlan邏輯的劃分成不同的廣播域（或稱虛擬LAN，即VLAN） ，每一個(gè)VLAN都包括一組有著相同需求的計(jì)算機(jī)工作站，與物理上形成的vlan有著相同的屬性，但由于它是邏輯的而不是物理的劃分，所以同一個(gè)vlan內(nèi)的各個(gè)工作站無(wú)需笨哦放置在同一個(gè)物理空間里，即這些工作站不一定屬于同一個(gè)物理vlan網(wǎng).22段里，一個(gè)vlan內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他vlan中，從而有助于控制流量，減少設(shè)備投資，簡(jiǎn)化網(wǎng)絡(luò)管理，提高網(wǎng)絡(luò)的安全性。 Trunk 的優(yōu)點(diǎn)： 可以在不同的交換機(jī)之間連接多個(gè) VLAN，可以將 VLAN 擴(kuò)展到整個(gè)網(wǎng)絡(luò)中。 Easyvpn 技術(shù)　移動(dòng) VPN 技術(shù)： Easy VPN Server 是 Remote－Access VPN 專業(yè)設(shè)備，　而 Easy VPN Remote 就是專門為了小的分支機(jī)構(gòu)所設(shè)計(jì)的，一般情況下，小分支接口的網(wǎng)絡(luò)管理員的水平?jīng)]有那么高，不可能去配置一堆復(fù)雜命令來(lái)實(shí)現(xiàn) Site－to－Site VPN，這時(shí)候，只需要通過(guò) Easy VPN Remote 這個(gè)特性配置幾條簡(jiǎn)單的命令，就可以 Site－to－Site VPN。所以，需要網(wǎng)絡(luò)管理員在自己的實(shí)際工作中留意這些功能是否需要，再?zèng)Q定是否實(shí)施 Easy VPN 技術(shù)。Spanning Tree Protocol(STP)是一種二層鏈路協(xié)議，又稱生成樹(shù)協(xié)議，該協(xié)議在 文檔中定義。由根橋開(kāi)始，逐級(jí)形成一棵樹(shù)，根橋定時(shí)發(fā)送配置報(bào)文，非根橋接收配置報(bào)文，并重新計(jì)算配置信息并轉(zhuǎn)發(fā)，如果某臺(tái)交換機(jī)能夠從兩個(gè)以上的端口接收到配置報(bào)文，則說(shuō)明從該交換機(jī)到根有不止一條路徑，便構(gòu)成了循環(huán)回路，此時(shí)交換機(jī)根據(jù)端口的配置選出一個(gè)端口并把其他的端口阻塞，消除循環(huán)?！SPF 路由協(xié)議支持路由驗(yàn)證，只有互相通過(guò)路由驗(yàn)證的路由器之間才能交換路由信息。 Qos技術(shù)QoS（Quality of Service）即服務(wù)質(zhì)量。網(wǎng)絡(luò)管理者需要根據(jù)各種業(yè)務(wù)的特點(diǎn)來(lái)對(duì)網(wǎng)絡(luò)資源進(jìn)行合理的規(guī)劃和分配，從而使網(wǎng)絡(luò)資源得到高效利用。服務(wù)質(zhì)量 Qos 系指用來(lái)表示服務(wù)性能之屬性的任何組合。在正常情況下，如果網(wǎng)絡(luò)只用于特定的無(wú)時(shí)間限制的應(yīng)用系統(tǒng)，并不需要 QoS，比如 Web 應(yīng)用，或 Email 設(shè)置等。因此采用主流的網(wǎng)絡(luò)產(chǎn)品，以保證整個(gè)網(wǎng)絡(luò)的穩(wěn)定性和持續(xù)性。路由器：采用的是 cisco2821 系列的產(chǎn)品。能支持 vpn，qos 等功能，轉(zhuǎn)發(fā)率是 內(nèi)存 1024mb 夠公司辦公，有百兆接口以及千兆接口，作為主干交換機(jī)實(shí)現(xiàn) 1000M 做主干 100M 到桌面的需求，在安裝千兆光纖模塊的同時(shí)，還可以安裝百兆光纖模塊，完全可以適應(yīng)現(xiàn)在或?qū)?lái)的樓內(nèi)光纖布線，靈活性很強(qiáng)。安全性和可改進(jìn)網(wǎng)絡(luò)運(yùn)營(yíng)的管理能力，從而提高網(wǎng)絡(luò)的運(yùn)行效率。EMI 可以提供一組更加豐富的企業(yè)級(jí)功能，包括先進(jìn)的、基于硬件的 IP 單播和組播路由。全部打印機(jī)直接接入網(wǎng)絡(luò)，培植打印服務(wù)器支持全公司員工的打印需求，同時(shí)利用打印權(quán)限的設(shè)置保障打印機(jī)的有效合理使用。所有員工的計(jì)算機(jī)作為客戶機(jī)通過(guò)安裝網(wǎng)絡(luò)打印機(jī)添加相應(yīng)的打印機(jī)完成打印。三星 5637HR三星 5637HR 的機(jī)身設(shè)計(jì)非常簡(jiǎn)潔，是黑白激光多功能一體機(jī)，打印復(fù)印掃描傳真為一體的有限網(wǎng)絡(luò)打印，標(biāo)準(zhǔn)容量：2022 頁(yè)，高容量：5000 頁(yè)，內(nèi)存 256mb，高容量 5000頁(yè).283）打印權(quán)限設(shè)置總經(jīng)理對(duì)所有打印具有優(yōu)先權(quán)部門經(jīng)理對(duì)該部門打印具有優(yōu)先權(quán)管理員和總經(jīng)理對(duì)所有打印機(jī)具有管理權(quán)財(cái)務(wù)經(jīng)理對(duì)財(cái)務(wù)部專用打印用具有管理權(quán)設(shè)置如下：打印機(jī)權(quán)限 管理權(quán) 優(yōu)先權(quán) 打印權(quán) 說(shuō)明Printerzjl 管理員和總經(jīng)理 管理員（99）總經(jīng)理（99） 管理員和總 經(jīng)理 總經(jīng)理專用Printercw管理員、總經(jīng)理、財(cái)務(wù)部經(jīng)理（趙六）管理員（99）總經(jīng)理（99）財(cái)務(wù)部經(jīng)理（50）財(cái)務(wù)部員工（1）管理員、總經(jīng)理財(cái)務(wù)部員工財(cái)務(wù)部專用Printerjs 管理員和總經(jīng)理管理員（99）總經(jīng)理（99）技術(shù)部經(jīng)理（50）技術(shù)部員工（1）管理員、總經(jīng)理、技術(shù)部員工技