【正文】 27第7章 網(wǎng)絡(luò)安全解決方案 28 網(wǎng)絡(luò)邊界安全威脅分析 28 網(wǎng)絡(luò)內(nèi)部安全威脅分析 28 解決方法 29第8章 關(guān)鍵技術(shù)介紹 29 VLAN技術(shù) 29 VTP協(xié)議 30 Trunk 技術(shù) 30 HSRP 協(xié)議 31 SpanningTree協(xié)議 31 Uplinkfast 32 EtherChannel 32 NAT技術(shù) 32 ACL技術(shù) 33 集群技術(shù) 33 PPP技術(shù) 34 DNS服務(wù)器 35 FTP簡(jiǎn)介: 35 File服務(wù)器 36 Mail服務(wù)器 36 Web Server與HTTP 37 AD服務(wù)器 38 DHCP 38 Easy VPN 39 VOIP 39 QOS 40第9章 設(shè)備簡(jiǎn)介 41 Cisco 2800系列集成多業(yè)務(wù)路由器 41 Cisco Catalyst 3560 系列集成交換機(jī) 42 Cisco Catalyst 2960 系列集成交換機(jī) 43 不間斷電源 45 語(yǔ)音設(shè)備模塊： 45 路由器擴(kuò)展模塊： 46 CISCO UCS C210 M2(R210BUN4)服務(wù)器： 46 長(zhǎng)城嘉翔G(G315PR)PC 47第10章 項(xiàng)目實(shí)施計(jì)劃 48 項(xiàng)目組織結(jié)構(gòu) 48 項(xiàng)目人員分工 48 項(xiàng)目實(shí)施前的準(zhǔn)備工作 49第11章 網(wǎng)絡(luò)測(cè)試 49 網(wǎng)絡(luò)測(cè)試目的 49 測(cè)試文檔 50第12章 基本配置 53 總部基本配置 53 網(wǎng)絡(luò)及服務(wù)描述 53 設(shè)備名稱(chēng) 54 54 55 55 synchronous 55 0 55 55 IP地址配置 55 交換機(jī) Cisco Catalytic2960 59 SW1L2 59 SW1L2 59 59 59 59 synchronous 59 0 60 60 SW2L2 60 設(shè)備名稱(chēng) 60 60 60 60 synchronous 61 0 61 61 SW3L2 61 設(shè)備名稱(chēng) 61 61 62 synchronous 62 0 62 62 SW4L2 62 設(shè)備名稱(chēng) 62 62 63 63 synchronous 63 0 63 63 SW5L2 63 設(shè)備名稱(chēng) 63 63 64 64 synchronous 64 0 64 64 SW6L2 64 設(shè)備名稱(chēng) 64 65 65 65 synchronous 65 0 65 65 SW7L2 66 設(shè)備名稱(chēng) 66 66 66 66 synchronous 66 0 66 66 SW8L2 67 設(shè)備名稱(chēng) 67 67 67 67 synchronous 67 0 67 68 SW9L2 68 設(shè)備名稱(chēng) 68 68 68 68 synchronous 68 0 68 69 SW10L2 69 設(shè)備名稱(chēng) 69 69 69 69 synchronous 69 0 69 70 SW11L2 70 設(shè)備名稱(chēng) 70 70 70 70 synchronous 70 0 70 71 SW12L2 71 設(shè)備名稱(chēng) 71 71 71 71 synchronous 71 0 72 72 SW13L2 72 設(shè)備名稱(chēng) 72 72 72 72 synchronous 72 0 73 73 SW14L2 73 設(shè)備名稱(chēng) 73 73 73 73 synchronous 73 0 74 74 SW15L2 74 設(shè)備名稱(chēng) 74 74 74 74 synchronous 74 0 75 75 SW16L2 75 設(shè)備名稱(chēng) 75 75 75 75 synchronous 76 0 76 76 SW17L2 76 設(shè)備名稱(chēng) 76 76 76 77 synchronous 77 0 77 77 SW18L2 77 設(shè)備名稱(chēng) 77 77 78 78 synchronous 78 0 78 78 SW19L2 78 設(shè)備名稱(chēng) 78 78 79 79 synchronous 79 0 79 79 SW20L2 79 設(shè)備名稱(chēng) 79 80 80 80 synchronous 80 0 80 SW21L2 80 設(shè)備名稱(chēng) 80 81 81 81 synchronous 81 0 81 81 Cisco 2811 82 C28112 82 設(shè)備名稱(chēng) 82 82 82 82 synchronous 82 0 82 82 IP地址配置 83 C28113 83 設(shè)備名稱(chēng) 83 83 83 83 synchronous 84 0 84 84 IP地址配置 84 C28111 84 設(shè)備名稱(chēng) 84 84 85 85 synchronous 85 0 85 85 IP地址配置 85 服務(wù)器 85 服務(wù)器的安裝： 85 服務(wù)器的配置 95 檢查設(shè)備的連通性 101 分部網(wǎng)絡(luò)描述： 107 SW3L3 108 108 設(shè)備口令 108 108 108 synchronous 108 0 109 109 IP地址配置 109 SW4L3 110 設(shè)備名稱(chēng) 110 110 110 110 synchronous 110 0 111 111 IP地址配置 111 C28115 112 112 112 112 112 synchronous 112 0 112 112 IP地址配置 113 C28114 113 113 113 113 113 synchronous 113 0 114 114 IP地址配置 114 C28116 114 114 114 114 115 synchronous 115 0 115 115 IP地址配置 115 檢查設(shè)備的連通性 11show cdp neighbors命令的使用 11ping 命令測(cè)試 117結(jié) 束 語(yǔ) 120參 考 文 獻(xiàn) 121致 謝 122第1章 引 言網(wǎng)絡(luò)讓人們將世界看小了，地球變成了地球村，人們可以進(jìn)行網(wǎng)絡(luò)交流。第2章 項(xiàng)目需求分析 需求分析某醫(yī)藥有限公司現(xiàn)有北京總部、鄭州分部。第3章 網(wǎng)絡(luò)總體建設(shè)目標(biāo) 網(wǎng)絡(luò)建設(shè)目標(biāo)圖311 網(wǎng)絡(luò)建設(shè)成員結(jié)構(gòu)圖圖312 總體抽象拓?fù)鋱D此項(xiàng)系統(tǒng)網(wǎng)絡(luò)項(xiàng)目工程的建設(shè)目標(biāo)是，搭建公司核心網(wǎng)絡(luò)及服務(wù)器,以實(shí)現(xiàn)生產(chǎn)運(yùn)營(yíng)系統(tǒng)的運(yùn)行, 各公司用戶能夠進(jìn)行資源共享，并能夠進(jìn)行上網(wǎng)查資料，電子郵件，對(duì)外發(fā)布網(wǎng)站FILE服務(wù)器提供文件服務(wù)、web服務(wù)器為內(nèi)外網(wǎng)那個(gè)提供WWW服務(wù)、DNS服務(wù)器域名解析，AD進(jìn)行內(nèi)網(wǎng)管理等等，按照“高效能、低成本”的要求，采用層次化網(wǎng)絡(luò)結(jié)構(gòu)： 隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和網(wǎng)上應(yīng)用量的增長(zhǎng)，分布式網(wǎng)絡(luò)服務(wù)和交換已經(jīng)移至用戶級(jí)，由此形成一個(gè)新的、更適應(yīng)現(xiàn)代高速大型網(wǎng)路分層的模型。另外分層結(jié)構(gòu)也能對(duì)網(wǎng)絡(luò)的故障進(jìn)行很好的隔離。接入層： 接入層主要提供用戶接入網(wǎng)絡(luò)的途徑。所以確保在網(wǎng)絡(luò)的邊界處部署相應(yīng)的安全策略以防止黑客和各種惡意代碼的攻擊至關(guān)重要，同時(shí)邊界出的設(shè)備的冗余設(shè)計(jì)也是設(shè)計(jì)考慮的一個(gè)重要因素，防止單點(diǎn)故障。安全性：在網(wǎng)絡(luò)設(shè)計(jì)中，應(yīng)采用硬件技術(shù)與軟件技術(shù)相結(jié)合的方式，全面系統(tǒng)的保護(hù)網(wǎng)絡(luò)的安全運(yùn)行。實(shí)用性：在網(wǎng)絡(luò)設(shè)計(jì)時(shí)，在考慮好未來(lái)發(fā)展的同時(shí)盡可能的減少額外功能支出，把現(xiàn)有的技術(shù)與現(xiàn)在的成熟技術(shù)結(jié)合起來(lái)，以滿足北京公司現(xiàn)有的應(yīng)用現(xiàn)況以及未來(lái)的發(fā)展趨勢(shì)。總共1164人。多層網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)最有效地利用多種第3 層業(yè)務(wù)，包括分段、負(fù)載分擔(dān)、多組熱備和故障恢復(fù)等。保證內(nèi)網(wǎng)用戶可以方便高效上網(wǎng)。Cisco Catalyst 3560 系列的模塊化架構(gòu)、介質(zhì)靈活性和可擴(kuò)展性減少了重復(fù)運(yùn)營(yíng)開(kāi)支保護(hù)投資，提高了投資回報(bào)（ROI），從而在延長(zhǎng)部署壽命的同時(shí)降低了擁有成本。FTP服務(wù)器等組成服務(wù)群，數(shù)據(jù)中心的多種系統(tǒng)連接到匯聚交換機(jī)的千兆模塊上，因此，內(nèi)部的局域網(wǎng)是采用三層結(jié)構(gòu)組建?？偨Y(jié)以上的原因，內(nèi)聯(lián)路由器與核心交換網(wǎng)絡(luò)間不需要配置額外的防火墻。相對(duì)其他協(xié)議，OSPF有很多優(yōu)點(diǎn)。HSRP 實(shí)現(xiàn)容錯(cuò)備份功能，可以有效解決網(wǎng)絡(luò)不暢問(wèn)題，保證了網(wǎng)絡(luò)的可靠性，做HSRP還可以保證核心交換機(jī)之間存在備份連接和負(fù)載均衡，鏈路捆綁可以完成高帶寬、大容量網(wǎng)絡(luò)層路由交換功能。直接影響網(wǎng)絡(luò)運(yùn)行的效率。IPV6以其靈活的IP報(bào)文頭部格式，不僅取代了IPV4中可變長(zhǎng)度的選項(xiàng)字段，而且也使路由器可以簡(jiǎn)單路過(guò)選項(xiàng)而不做任何處理，加快了報(bào)文處理速度，提高了吞吐量。公司網(wǎng)絡(luò)主要存在的邊界安全風(fēng)險(xiǎn)包括：總網(wǎng)絡(luò)與各級(jí)單位的連接，可能遭到來(lái)自各地的越權(quán)訪問(wèn)、惡意攻擊和計(jì)算機(jī)病毒的入侵；例如一個(gè)不滿的內(nèi)部用戶，利用盜版軟件或從Internet 下載的黑客程序惡意攻擊內(nèi)部站點(diǎn)，致使網(wǎng)絡(luò)局部或整體癱瘓；內(nèi)部的各個(gè)功能網(wǎng)絡(luò)通過(guò)骨干交換相互連接，這樣的話，重要的部門(mén)或者專(zhuān)網(wǎng)將遭到來(lái)自其他部門(mén)的越權(quán)訪問(wèn)。重要服務(wù)器或操作系統(tǒng)自身存在安全的漏洞，如果管理員沒(méi)有及時(shí)的發(fā)現(xiàn)并且進(jìn)行修復(fù)，將會(huì)為網(wǎng)絡(luò)的安全帶來(lái)很多不安定的因素。IEEE 于1999 年頒布了用以標(biāo)準(zhǔn)化VLAN 標(biāo)準(zhǔn)草案。 另外，VLAN具有靈活性和可擴(kuò)張性等特點(diǎn)，方便于網(wǎng)絡(luò)維護(hù)和管理，這兩個(gè)特點(diǎn)正是現(xiàn)代局域網(wǎng)設(shè)計(jì)必須實(shí)現(xiàn)的兩個(gè)基本目標(biāo)，在局域網(wǎng)中有效利用虛擬局域網(wǎng)技術(shù)能夠提高網(wǎng)絡(luò)運(yùn)行效率。為了實(shí)現(xiàn)此功能，必須先建立一個(gè)VTP管理域，以使它能管理網(wǎng)絡(luò)上當(dāng)前的VLAN。在任一時(shí)刻，一個(gè)組內(nèi)只有一個(gè)路由器是活動(dòng)的，并由它來(lái)轉(zhuǎn)發(fā)數(shù)據(jù)包，如果活動(dòng)路由器發(fā)生了故障，將選擇一個(gè)備份路由器來(lái)替代活動(dòng)路由器，但是在本網(wǎng)絡(luò)內(nèi)的主機(jī)看來(lái)，虛擬路由器沒(méi)有改變。 為了減少網(wǎng)絡(luò)的數(shù)據(jù)流量，在設(shè)置完活動(dòng)路由器和備份路由器之后，只有活動(dòng)路由器和備份路由器定時(shí)發(fā)送HSRP報(bào)文。為了解決這個(gè)矛盾，推出了STP 協(xié)議。通過(guò)這種方法，在具有冗余連接的交換機(jī)端口上分別針對(duì)不同的VLAN 設(shè)置不同的優(yōu)先權(quán)，既可以實(shí)現(xiàn)鏈路的冗余，又可以實(shí)現(xiàn)負(fù)載的均衡。定義了更新分組發(fā)送的最大速率，默認(rèn)為150分組/秒 Uplinkfast對(duì)于網(wǎng)絡(luò)邊緣的布線間交換機(jī)非常有用。NAT的分為：靜態(tài)NAT、動(dòng)態(tài)NAT、端口NAT(PAT)。這張表中包含了匹配關(guān)系、條件和查詢(xún)語(yǔ)句，表只是一個(gè)框架結(jié)構(gòu)，其目的是為了對(duì)某種訪問(wèn)進(jìn)行控制。 目前有兩種主要的ACL:標(biāo)準(zhǔn)ACL和擴(kuò)展ACL、通過(guò)命名、通過(guò)時(shí)間。這時(shí)，一般都使用計(jì)算機(jī)集群技術(shù)，集中幾十臺(tái)甚至上百臺(tái)計(jì)算機(jī)的運(yùn)算能力來(lái)滿足要求。集群系統(tǒng)在提高系統(tǒng)的可靠性的同時(shí)，也大大減小了故障損失。域名服務(wù)器是指保存有該網(wǎng)絡(luò)中所有主機(jī)的域名和對(duì)應(yīng)IP地址，并具有將域名轉(zhuǎn)換為IP地址功能的服務(wù)器。因?yàn)?，你在上網(wǎng)時(shí)輸入的網(wǎng)址，是通過(guò)域名解析系統(tǒng)解析找到了相對(duì)應(yīng)的IP地址，這樣才能上網(wǎng)。Internet上早期實(shí)現(xiàn)傳輸文件，并不是一件容易的事，我們知道 Internet是一個(gè)非常復(fù)雜的計(jì)算機(jī)環(huán)境，有PC，有工作站，有MAC，有大型機(jī)，據(jù)統(tǒng)計(jì)連接在Internet上的計(jì)算機(jī)已有上千萬(wàn)臺(tái)，而這些計(jì)算機(jī)可能運(yùn)行不同的操作系統(tǒng)，有運(yùn)行Unix的服務(wù)器，也有運(yùn)行Dos、Windows的PC機(jī)和運(yùn)行MacOS的蘋(píng)果機(jī)等等，而各種操作系統(tǒng)之間的文件交流問(wèn)題，需要建立一個(gè)統(tǒng)一的文件傳輸協(xié)議，這就是所謂的FTP。FTP的使用:在FTP的使用當(dāng)中，用戶經(jīng)常遇到兩個(gè)概念：下載（Download）和上載（Upload）。它比網(wǎng)絡(luò)上的免費(fèi)郵箱更安全和高效，因此一直是企業(yè)公司的必備設(shè)備。20世紀(jì)90年代后期，圖形用戶界面(GUI)的電子郵件用戶代理變得流行起來(lái)，它們?cè)试S用戶閱讀和編寫(xiě)多媒體消息。當(dāng)一個(gè)郵件服務(wù)器在向其他郵件服務(wù)器發(fā)送郵件消息時(shí)，它是作為SMTP客戶在運(yùn)行。客戶端是終端用戶，服務(wù)器端是網(wǎng)站。這就是你為什么在瀏覽器中看到的網(wǎng)頁(yè)地址都是以://開(kāi)頭的原因。 目錄服務(wù)區(qū)別于目錄的地方在于，目錄服務(wù)能夠把目錄中存儲(chǔ)的信息提供給管理員，用戶，網(wǎng)絡(luò)服務(wù)或應(yīng)用程序。DHCP 是 Dynamic Host Configuration Protocol(動(dòng)態(tài)主機(jī)配置協(xié)議)縮寫(xiě)，它的前身是 BOOTP。同時(shí)，DHCP 還可以幫客戶端指定 router、netmask、DNS Server、WINS Server、等等項(xiàng)目，您在客戶端上面，除了將 DHCP 選項(xiàng)打勾之外，幾乎無(wú)需做任何的 IP 環(huán)境設(shè)定。 VoIP可以在IP網(wǎng)絡(luò)上便宜的傳送語(yǔ)音、傳真、視頻、和數(shù)據(jù)等業(yè)務(wù)，如統(tǒng)一消息、虛擬電話、虛擬語(yǔ)音/傳真郵箱、查號(hào)業(yè)務(wù)、Internet呼叫中心、Internet呼叫管理、電視會(huì)議、電子商務(wù)、傳真存儲(chǔ)轉(zhuǎn)發(fā)和各種信息的存儲(chǔ)轉(zhuǎn)發(fā)等。這可以是最基本的撥號(hào)上網(wǎng)服務(wù)，或者更理想的寬帶服務(wù)，你的網(wǎng)絡(luò)連接速度越快，VoIP的通話質(zhì)量就越好。微軟、Intel等業(yè)界巨頭也有自己的編碼方案?；蛘呔拖窬W(wǎng)絡(luò)管理員為沒(méi)有標(biāo)記的幀定義的那樣，分類(lèi)可以在每個(gè)端口上完成