【正文】 不單是要加強理論知識的學(xué)習(xí)，同時也是一門實踐性很強的課程。通過“總體設(shè)計、詳細(xì)設(shè)計、系統(tǒng)測試以及故障排除”這三章，在基礎(chǔ)理論上，以精煉、夠用為原則，介紹與實驗比較緊密的理論知識；在實踐上，通過模擬內(nèi)外網(wǎng)設(shè)計方法來舉例介紹網(wǎng)絡(luò)組建的應(yīng)用知識。隆康集團(tuán)是一家以開發(fā)中高端精品住宅為主營業(yè)務(wù)的全國性房地產(chǎn)開發(fā)企業(yè)。主要表現(xiàn)再網(wǎng)絡(luò)不穩(wěn)定，網(wǎng)絡(luò)抖動現(xiàn)象頻發(fā)，但如果依舊采用原有線路連接，網(wǎng)絡(luò)的構(gòu)建存在成本高、周期長、而且不易管理和實施的難題。網(wǎng)絡(luò)中的各類服務(wù)器設(shè)備、客戶機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備以及各種操作系統(tǒng)、應(yīng)用軟件將考慮技術(shù)上的先進(jìn)性、國內(nèi)外及各行業(yè)的通用性，并且要有良好的市場形象與售后技術(shù)支持，便于維護(hù)、升級。新建網(wǎng)絡(luò)系統(tǒng)可滿足公司各項管理需要，同時考慮今后功能和信息增長的要求，選擇的計算機(jī)以及網(wǎng)絡(luò)設(shè)備具有先進(jìn)性，適應(yīng)越來越多的信息種類（聲音、動畫等多媒體數(shù)據(jù)）以及信息量的處理及傳輸要求。為防黑客入侵、病毒的影響，保證公司數(shù)據(jù)的安全，采用 PIX 防火墻技術(shù)。 需求分析根據(jù)貴公司的需求，我們規(guī)劃了一個大致拓?fù)鋱D：.6在外網(wǎng)上對于總公司與分公司和出差員工的實際情況，我們將用 PPP 技術(shù)讓其之間的文件進(jìn)行安全傳輸。基于隆康集團(tuán)網(wǎng)絡(luò)改造和擴(kuò)建的實際情況，我們易陽科技網(wǎng)絡(luò)對該項目的網(wǎng)絡(luò)進(jìn)行了大致規(guī)劃，分為總部和分部還有虛擬分部（可擴(kuò)展），其中，總部地點為數(shù)據(jù)中心區(qū)、核心交換區(qū)。因此我們公司將采用HSRP、STP技術(shù)解決冗余問題。防火墻既可以用硬件實現(xiàn),也可以用軟件實現(xiàn)。至于數(shù)據(jù)包是被接收還是被拒絕，可以由類似于源地址、目的地址、端口號、協(xié)議等特定指示條件來決定。ASA 執(zhí)行通過防火墻的有狀態(tài)（STATEFUL）的連接控制。PIX 可以支持連接多個外部的網(wǎng)絡(luò)。4）系統(tǒng)擴(kuò)展性（兼并子公司，自建分部，第二分部暫時與總部失去聯(lián)系）和變更的靈活性接入能力擴(kuò)展 接入能力是指交換機(jī)接入用戶數(shù)的能力。 帶寬擴(kuò)展 帶寬擴(kuò)展通常出現(xiàn)在不同的網(wǎng)絡(luò)層次間，如接入層和匯聚層，匯聚層和核心層。即使是要進(jìn)行網(wǎng)絡(luò)的擴(kuò)展升級，也不會對用戶現(xiàn)存的網(wǎng)絡(luò)有影響。信息接入點分布合理、靈活、充足并有擴(kuò)展空間。 　　 易管理和易維護(hù)的網(wǎng)絡(luò)系統(tǒng)：全網(wǎng)可進(jìn)行統(tǒng)一或分布管理，網(wǎng)絡(luò)維護(hù)簡單有效。2．在外出差的員工通過公網(wǎng)訪問內(nèi)部資源，安全性不高3. 公司內(nèi)部一臺三層交換掌控著所有的部門，如果一旦 down 則不能給全公司創(chuàng)造服務(wù)影響公司的正常運行4．總公司已經(jīng)建立了郵件系統(tǒng)、web 系統(tǒng)、erp 系統(tǒng)等應(yīng)用系統(tǒng)，郵件系統(tǒng)、web 系統(tǒng)等對互聯(lián)網(wǎng)提供相應(yīng)的服務(wù)，面臨著來自互聯(lián)網(wǎng)的各種威脅。按照客戶/服務(wù)器的體系建立各層次的網(wǎng)絡(luò)應(yīng)用。(2)、建立一個投資成本低、高寬帶，高可靠性，高安全性以及靈活可擴(kuò)展性的 PPP 鏈路，消除地區(qū)差異，實現(xiàn)移動員工的網(wǎng)絡(luò)互聯(lián)及基于 inter 上內(nèi)部移動用戶的安全接入。設(shè)計目的主要是用來通過撥號或?qū)＞€方式建立點對點連接發(fā)送數(shù)據(jù)，使其成為各種主機(jī)、網(wǎng)橋和路由器之間簡單連接的一種共通的解決方案。建立一個多重保護(hù)系統(tǒng)，各層保護(hù)相互補充，當(dāng)一層保護(hù)被攻破時，其它層保護(hù)仍可保護(hù)信息的安全。4. 靈活性——安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改和升級5. 可評價性——如何預(yù)先評價一個安全設(shè)計并驗證其網(wǎng)絡(luò)的安全性，這需要通過國家有關(guān)網(wǎng)絡(luò)信息安全測評認(rèn)證機(jī)構(gòu)的評估來實現(xiàn)。1．物理環(huán)境的安全性（物理層安全） 　　該層次的安全包括通信線路的安全，物理設(shè)備的安全，機(jī)房的安全等。二是對操作系統(tǒng)的安全配置問題。此外，還包括病毒對系統(tǒng)的威脅。網(wǎng)絡(luò)安全的整體性是指一個安全系統(tǒng)的建立，即包括采用相應(yīng)的安全設(shè)備，又包括相應(yīng)的管理手段。對于企業(yè)行業(yè)網(wǎng)絡(luò)安全體系的建立，我們建議采取以上的原則，先對整個網(wǎng)絡(luò)進(jìn)行整體的安全規(guī)劃，然后，根據(jù)實際狀況建立一個從防護(hù)檢測響應(yīng)的基礎(chǔ)的安全防護(hù)體系，提高整個網(wǎng)絡(luò)基礎(chǔ)的安全性，保證應(yīng)用系統(tǒng)的安全性。這樣設(shè)計不但保證網(wǎng)絡(luò)的高可用性和穩(wěn)定性，還能夠充分利用現(xiàn)有設(shè)備的資源，以避免單臺核心設(shè)備的負(fù)載太重而導(dǎo)致的網(wǎng)絡(luò)性能問題。我們將采用層次化網(wǎng)絡(luò)設(shè)計，構(gòu)建高效、可靠、安全的網(wǎng)絡(luò)。另外分層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進(jìn)行很好的隔離。當(dāng)網(wǎng)絡(luò)中使用路由器時，從網(wǎng)絡(luò)中的一個終端到另一個終端經(jīng)過的路由器的數(shù)目稱為網(wǎng)絡(luò)的“直徑”。分布層路由器和相連接的局域網(wǎng)可以在不增加網(wǎng)絡(luò)直徑的前提下加入網(wǎng)絡(luò)，因為它們不影響原有的站點的通信。我們將采用高帶寬的千兆級交換機(jī)，充當(dāng)核心層設(shè)備。一般采用中端設(shè)備。其設(shè)備性能較好，但價格高于接入層設(shè)備，而且對環(huán)境的要求也較高，對電磁輻射、溫度、濕度和空氣潔凈度等都有一定的要求。 當(dāng)網(wǎng)絡(luò)規(guī)模較大時，可以設(shè)計綜合安全管理策略，例如在接入層實現(xiàn)身份認(rèn)證和MAC地址綁定，在匯聚層實現(xiàn)流量控制和訪問權(quán)限約束。接入交換機(jī)是最常見的交換機(jī)，它直接與外網(wǎng)聯(lián)系，使用最廣泛，尤其是在一般辦公室、小型機(jī)房和業(yè)務(wù)受理較為集中的業(yè)務(wù)部門、多媒體制作中心、網(wǎng)站管理中心等部門。對于無線局域網(wǎng)WLAN用戶，用戶終端通過無線網(wǎng)卡和無線接入點AP完成用戶接入。 核心層設(shè)計核心交換區(qū)的作用是高效速度傳輸數(shù)據(jù)，是所有流量的最終承受者和匯聚者，推薦使用高端設(shè)備。這代表了堆疊式交換機(jī)新的工業(yè)技術(shù)水平和標(biāo)準(zhǔn)。SMI功能集包括先進(jìn)的服務(wù)質(zhì)量（QoS）、速率限制、訪問控制列表（ACL）和基本的靜態(tài)和路由信息協(xié)議（RIP）路由功能。接入層.16交換機(jī)端口的 input 指服務(wù)器向交換機(jī)端口發(fā)送的數(shù)據(jù)，即是服務(wù)器發(fā)送出去的數(shù)據(jù)。當(dāng)然我們也考慮端口密度的問題。Cisco 2821系列具有以下功能： 集成語音留言 范圍廣泛的話音接口 支持 SRST, 分支機(jī)構(gòu)可利用集中呼叫控制, 并通過SRST冗余性為IP電話經(jīng)濟(jì)有效地提供本地 分支機(jī)構(gòu)備份Cisco 2821還支持QOS，包含網(wǎng)絡(luò)擴(kuò)展性，具有內(nèi)置防火墻功能，提高內(nèi)部網(wǎng)絡(luò)的安全性、可靠性。 OSPF支持各種不同鑒別機(jī)制，并且允許各個系統(tǒng)或區(qū)域采用互不相同的鑒別機(jī)制；提供負(fù)載均衡功能；OSPF屬動態(tài)的自適應(yīng)協(xié)議，對于網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變化可以迅速地做出反應(yīng)，進(jìn)行相應(yīng)調(diào)整，提供短的收斂期，使路由表盡快穩(wěn)定化，并且與其它路由協(xié)議相比，OSPF在對網(wǎng)絡(luò)拓?fù)渥兓奶幚磉^程中僅需要最少的通信流量；OSPF提供點到多點接口，支持無類型域間路由地址。Vlan的劃分：總部 Vlan 虛擬ip工程部 Vlan10 銷售部 Vlan20 財務(wù)部 Vlan30 .18人事部 Vlan40 網(wǎng)絡(luò)部 Vlan50 市場部 Vlan60 經(jīng)理 Vlan70 IP 地址的劃分:總部 Ip 地址 子網(wǎng)工程部 銷售部 財務(wù)部 人事部 網(wǎng)絡(luò)部 市場部 經(jīng)理 第 5 章 網(wǎng)絡(luò)安全解決方案 網(wǎng)絡(luò)邊界安全威脅分析把 不 同 安 全 級 別 的 網(wǎng) 絡(luò) 相 連 接 ， 就 產(chǎn) 生 了 網(wǎng) 絡(luò) 邊 界 。 一 般 信 息 泄 密 有 兩 種 方 式 ： 攻 擊 者 (非 授 權(quán) 人 員 )進(jìn) 入 了 網(wǎng) 絡(luò) ， 獲 取 了 信 息 ， 這 是 從 網(wǎng) 絡(luò) 內(nèi) 部 的 泄 密 合 法 使 用 者 在 進(jìn) 行 正 常 業(yè) 務(wù) 往 來 時 ， 信 息 被 外 人 獲 得 ， 這 是 從 網(wǎng) 絡(luò) 外 部 的 泄 密 我 們 給 貴 公 司 設(shè) 計 的 各 部 門 之 間 的 vlan 劃 分 ， 不 同 的 vlan 之 間 不 能 隨 意 的 訪問 ， 我 們 會 設(shè) 計 權(quán) 限 和 密 碼 才 能 訪 問 。 、 網(wǎng) 絡(luò) 病 毒 ： 與 非 安 全 網(wǎng) 絡(luò) 的 業(yè) 務(wù) 互 聯(lián) ， 難 免 在 通 訊 中 帶 來 病 毒 ， 一 旦 在 你 的網(wǎng) 絡(luò) 中 發(fā) 作 ， 業(yè) 務(wù) 將 受 到 巨 大 沖 擊 ， 病 毒 的 傳 播 與 發(fā) 作 一 般 有 不 確 定 的 隨 機(jī) 特 性 。 網(wǎng)絡(luò)內(nèi)部安全威脅分析內(nèi) 部 網(wǎng) 絡(luò) 的 風(fēng) 險 分 析 主 要 針 對 整 個 內(nèi) 部 網(wǎng) 的 安 全 風(fēng) 險 主 要 表 現(xiàn) 一 下 幾 個 方 面 ：內(nèi) 部 用 戶 的 非 授 權(quán) 訪 問 ， 安 博 集 團(tuán) 的 內(nèi) 部 資 源 也 不 是 對 任 何 的 員 工 開 放 的 ， 也 需要 相 應(yīng) 的 訪 問 權(quán) 限 內(nèi) 部 用 戶 的 非 授 權(quán) 的 訪 問 。 網(wǎng)絡(luò)常用技術(shù)介紹 PPP協(xié)議PPP協(xié)議是在點到點鏈路上承載網(wǎng)絡(luò)層數(shù)據(jù)包的一種鏈路層協(xié)議，它能夠提供用戶驗證、易于擴(kuò)充，并且支持同/異步通信它的優(yōu)點在于簡單、具備用戶驗證能力、可以解決IP分配等。2 鏈路控制：有一個稱為LCP的鏈路控制協(xié)議，支持同步和異步線路，也支持面向字節(jié)的和面向位的編碼方式，可用于啟動路線、測試線路、協(xié)商參數(shù)、以及關(guān)閉線路。PAP在傳輸password是明文的，而CHAP在傳輸過程中不傳輸密碼，取代密碼的是hash（哈希值） 。選定的NCP解決PPP鏈路之上的高層協(xié)議問題，經(jīng)過三個階段以后，一條完整的PPP鏈路就建立起來了。它是思科私有協(xié)議。有了VTP，建立一個VTP管理域，以使它能管理網(wǎng)絡(luò)上當(dāng)前的VLAN就可以在一臺機(jī)換上集中過時行配置變更，所作的變更會被自動傳播到網(wǎng)絡(luò)中所有其他的交換機(jī)上。 VLAN 技術(shù)一般的交換機(jī)端口只有屬于一個vlan，對于多個vlan需要跨過多臺交換機(jī)，就需要用到trunk技術(shù)。VLAN技術(shù)允許網(wǎng)絡(luò)管理者講一個物理的vlan邏輯的劃分成不同的廣播域（或稱虛擬LAN，即VLAN） ，每一個VLAN都包括一組有著相同需求的計算機(jī)工作站，與物理上形成的vlan有著相同的屬性，但由于它是邏輯的而不是物理的劃分，所以同一個vlan內(nèi)的各個工作站無需笨哦放置在同一個物理空間里，即這些工作站不一定屬于同一個物理vlan網(wǎng).22段里，一個vlan內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他vlan中，從而有助于控制流量，減少設(shè)備投資，簡化網(wǎng)絡(luò)管理，提高網(wǎng)絡(luò)的安全性。 Trunk 的優(yōu)點： 可以在不同的交換機(jī)之間連接多個 VLAN，可以將 VLAN 擴(kuò)展到整個網(wǎng)絡(luò)中。 Easyvpn 技術(shù)　移動 VPN 技術(shù)： Easy VPN Server 是 Remote－Access VPN 專業(yè)設(shè)備，　而 Easy VPN Remote 就是專門為了小的分支機(jī)構(gòu)所設(shè)計的，一般情況下，小分支接口的網(wǎng)絡(luò)管理員的水平?jīng)]有那么高，不可能去配置一堆復(fù)雜命令來實現(xiàn) Site－to－Site VPN，這時候，只需要通過 Easy VPN Remote 這個特性配置幾條簡單的命令，就可以 Site－to－Site VPN。所以，需要網(wǎng)絡(luò)管理員在自己的實際工作中留意這些功能是否需要，再決定是否實施 Easy VPN 技術(shù)。Spanning Tree Protocol(STP)是一種二層鏈路協(xié)議，又稱生成樹協(xié)議，該協(xié)議在 文檔中定義。由根橋開始，逐級形成一棵樹，根橋定時發(fā)送配置報文，非根橋接收配置報文，并重新計算配置信息并轉(zhuǎn)發(fā)，如果某臺交換機(jī)能夠從兩個以上的端口接收到配置報文，則說明從該交換機(jī)到根有不止一條路徑，便構(gòu)成了循環(huán)回路，此時交換機(jī)根據(jù)端口的配置選出一個端口并把其他的端口阻塞，消除循環(huán)?！SPF 路由協(xié)議支持路由驗證，只有互相通過路由驗證的路由器之間才能交換路由信息。 Qos技術(shù)QoS（Quality of Service）即服務(wù)質(zhì)量。網(wǎng)絡(luò)管理者需要根據(jù)各種業(yè)務(wù)的特點來對網(wǎng)絡(luò)資源進(jìn)行合理的規(guī)劃和分配，從而使網(wǎng)絡(luò)資源得到高效利用。服務(wù)質(zhì)量 Qos 系指用來表示服務(wù)性能之屬性的任何組合。在正常情況下，如果網(wǎng)絡(luò)只用于特定的無時間限制的應(yīng)用系統(tǒng)，并不需要 QoS，比如 Web 應(yīng)用，或 Email 設(shè)置等。因此采用主流的網(wǎng)絡(luò)產(chǎn)品，以保證整個網(wǎng)絡(luò)的穩(wěn)定性和持續(xù)性。路由器：采用的是 cisco2821 系列的產(chǎn)品。能支持 vpn，qos 等功能，轉(zhuǎn)發(fā)率是 內(nèi)存 1024mb 夠公司辦公，有百兆接口以及千兆接口，作為主干交換機(jī)實現(xiàn) 1000M 做主干 100M 到桌面的需求，在安裝千兆光纖模塊的同時，還可以安裝百兆光纖模塊，完全可以適應(yīng)現(xiàn)在或?qū)淼臉莾?nèi)光纖布線，靈活性很強。安全性和可改進(jìn)網(wǎng)絡(luò)運營的管理能力，從而提高網(wǎng)絡(luò)的運行效率。EMI 可以提供一組更加豐富的企業(yè)級功能，包括先進(jìn)的、基于硬件的 IP 單播和組播路由。全部打印機(jī)直接接入網(wǎng)絡(luò)，培植打印服務(wù)器支持全公司員工的打印需求，同時利用打印權(quán)限的設(shè)置保障打印機(jī)的有效合理使用。所有員工的計算機(jī)作為客戶機(jī)通過安裝網(wǎng)絡(luò)打印機(jī)添加相應(yīng)的打印機(jī)完成打印。三星 5637HR三星 5637HR 的機(jī)身設(shè)計非常簡潔，是黑白激光多功能一體機(jī)，打印復(fù)印掃描傳真為一體的有限網(wǎng)絡(luò)打印，標(biāo)準(zhǔn)容量：2022 頁，高容量：5000 頁，內(nèi)存 256mb，高容量 5000頁.283）打印權(quán)限設(shè)置總經(jīng)理對所有打印具有優(yōu)先權(quán)部門經(jīng)理對該部門打印具有優(yōu)先權(quán)管理員和總經(jīng)理對所有打印機(jī)具有管理權(quán)財務(wù)經(jīng)理對財務(wù)部專用打印用具有管理權(quán)設(shè)置如下：打印機(jī)權(quán)限 管理權(quán) 優(yōu)先權(quán) 打印權(quán) 說明Printerzjl 管理員和總經(jīng)理 管理員（99）總經(jīng)理（99） 管理員和總 經(jīng)理 總經(jīng)理專用Printercw管理員、總經(jīng)理、財務(wù)部經(jīng)理（趙六）管理員（99）總經(jīng)理（99）財務(wù)部經(jīng)理（50）財務(wù)部員工（1）管理員、總經(jīng)理財務(wù)部員工財務(wù)部專用Printerjs 管理員和總經(jīng)理管理員（99）總經(jīng)理（99）技術(shù)部經(jīng)理（50）技術(shù)部員工（1）管理員、總經(jīng)理、技術(shù)部員工技