【文章內(nèi)容簡介】 層網(wǎng)絡(luò)管理，把實際地理位置上分散而邏輯上緊密相關(guān)的站點(diǎn)劃入同一虛擬網(wǎng)，從而實現(xiàn)不相關(guān)網(wǎng)絡(luò)的邏輯隔離是網(wǎng)絡(luò)安全性的重要保證。 因此，我們在網(wǎng)絡(luò)方 案施工過程中選用的網(wǎng)絡(luò)設(shè)備應(yīng)該具有包括物理層、網(wǎng)絡(luò)層、應(yīng)用層等多個層次實現(xiàn)安全管理的能力，從而避免發(fā)生在同一虛擬網(wǎng)內(nèi)以及虛擬網(wǎng)之間互聯(lián)點(diǎn)上的非法侵犯。 本網(wǎng)絡(luò)工程方案涉及到的網(wǎng)絡(luò)通信安全協(xié)議與數(shù)據(jù)加密技術(shù)有： PPP封裝 CHAP 認(rèn)證機(jī)制協(xié)議。 CHAP 協(xié)議是 PPP（ 點(diǎn)對點(diǎn)協(xié)議 ）詢問握手認(rèn)證協(xié)議。它對對端身份的校驗是通過 三次握手 機(jī)制周期性的檢驗，其完成是在鏈路建立初期。通過不斷增長變化的 標(biāo)識符 和可變的詢問數(shù)值結(jié)果，可避免來自惡意端點(diǎn)的 欺騙性攻擊 。從而保證了總公司與分公司之間網(wǎng)絡(luò)通信的安全性。 ，總公司與分公司以及總公司與出差人員之間的通 信中都應(yīng)用到了 訪問控制列表 （ Access Control List， ACL）網(wǎng)絡(luò)安全技術(shù)。 ACL是 交換機(jī) 與 路由器 接口的指令表，用來 對相關(guān)端口 數(shù)據(jù) 8 包的進(jìn)出進(jìn)行控制。 ACL 可以用于所有的 路由協(xié)議 ，例如 AppleTalk、 IP等。相關(guān)的匹配關(guān)系、條件和查詢語句都包含在這張表中，表是一種基本框架結(jié)構(gòu)，它的作用是控制某種網(wǎng)絡(luò)資源訪問。為了確保公司內(nèi)部網(wǎng)絡(luò)的安全性，需要通過相關(guān) 安全機(jī) 制來保證沒有授權(quán)的用戶 只能訪問特定的網(wǎng)絡(luò)資源，從而實現(xiàn)對訪問進(jìn)行控制的功能。 ACL 還可以過濾網(wǎng)絡(luò)通信過程中的流量，這是一種控制訪問的網(wǎng)絡(luò)技術(shù)手段。應(yīng)用 ACL 技術(shù)給公司不同部門設(shè)置不同的網(wǎng)絡(luò)訪問權(quán)限更加有效的保證了公司內(nèi)部資料的安全性。 VPN 通信中應(yīng)用到網(wǎng)絡(luò)安全協(xié)議以及網(wǎng)絡(luò)安全機(jī)制相關(guān)算法有： IKE 協(xié)議、 IPSec 協(xié)議、 3DES 加密算法、 MD5 算法。 IKE 協(xié)議是因特網(wǎng)密鑰交換協(xié)議，它能夠解決在復(fù)雜的網(wǎng)絡(luò)環(huán)境中十分安全地建立或更新共享密鑰的問題。這是一種混合型協(xié)議，主要是由密鑰管理 協(xié)議（ ISAKMP）和 Inter 安全關(guān)聯(lián)以及 SKEME 與 OAKLEY 兩種密鑰交換協(xié)議構(gòu)成。 IKE 創(chuàng)建在由 ISAKMP 定義的框架上，使用了密鑰更新和 SKEME 的共享技術(shù)以及 OAKLEY 的 密鑰 交換模式。 IPSec 全稱是 Inter 協(xié)議安全性 （ Inter Protocol Security），它 通過使用加 密的 安全服務(wù) 以確保在 Inter 協(xié)議 (IP) 網(wǎng)絡(luò)上進(jìn)行保密而安全的通訊，而且是一種開放標(biāo)準(zhǔn)的框架結(jié)構(gòu) 。 它為了防止Inter 與 專用網(wǎng)絡(luò) 的攻擊，采用 端對端 的安全性來提供對主動 的保護(hù)。在通信過程中，只有收發(fā)兩方才能而且必須了解 IPSec 保護(hù)的計算機(jī)。 3DES 是三重 數(shù) 據(jù)加 密 算 法 （ TDEA， Triple Data Encryption 9 Algorithm）塊密碼的統(tǒng)稱。它的本質(zhì)就是將 DES 加密算法 分別三次應(yīng)用于每個要發(fā)送的 數(shù)據(jù)塊 ，使用的是 對稱密鑰 加密法 算法。它是 DES 向 AES過渡的 加密算法 ，相對于 DES， 3DES 的加密安全性更加可靠，以 DES 為基本模塊 ，通過組合分組方法設(shè)計出分組 加密算法 。 MD5 是一種散列函數(shù)，它廣泛應(yīng)用于計算機(jī)安全領(lǐng)域，它的功能是提供消息的完整性保護(hù)，它的作用是讓大容量信息在用 數(shù)字簽名 軟件簽署私人 密鑰 前被 壓縮 成一種保密的格式。 計算機(jī)網(wǎng)絡(luò)系統(tǒng)采用現(xiàn)代交換原理，它促使虛擬網(wǎng)技術(shù)的應(yīng)用在全球范圍內(nèi)快速猛增。按照網(wǎng)絡(luò)區(qū)域的不同分布對全網(wǎng)實施虛擬網(wǎng)劃分，這是提高網(wǎng)絡(luò)安全性、增強(qiáng)網(wǎng)絡(luò)性能、加強(qiáng)網(wǎng)絡(luò)管理、隔離網(wǎng)絡(luò)故障的有效措施。 但是如果虛擬網(wǎng)的應(yīng)用僅僅局限于局部網(wǎng)絡(luò)或單個交換機(jī)內(nèi)部，經(jīng)過網(wǎng)絡(luò)劃分后，整個網(wǎng)絡(luò)工程系統(tǒng)將成為一塊塊支離破碎的盲區(qū)。所以總公司選用的網(wǎng)絡(luò)核心層交換機(jī)應(yīng)具備跨越分支和主干自由地在全網(wǎng)范圍內(nèi)進(jìn)行劃分虛擬網(wǎng)的功能，而且所有網(wǎng)絡(luò)設(shè)備的虛擬網(wǎng)劃分功能應(yīng)當(dāng)基于 IEEE 這個統(tǒng)一的標(biāo)準(zhǔn)。 網(wǎng)絡(luò)通信中的大部分?jǐn)?shù)據(jù)流量不再局限于各子網(wǎng)內(nèi)部，這是Inter/Intra 的相關(guān)計算方式對各公司廣域網(wǎng)計算機(jī)網(wǎng)絡(luò)系統(tǒng)的 10 另一個重大考驗。網(wǎng)絡(luò)通信大多是跨越子網(wǎng)邊界訪問，它對網(wǎng)絡(luò)中相關(guān)設(shè)備處理子網(wǎng)間路由的能力要求非常高。傳統(tǒng)路由器以軟件方式進(jìn)行路由操作，這種操作方式產(chǎn)生的傳輸延遲是交換機(jī)產(chǎn)生的幾十倍，而且當(dāng)網(wǎng)絡(luò)負(fù)載變化時，延遲時間會隨之有很大變化，這很不利于多媒體的傳輸；由于采用價格昂貴的高性能處理器和大量高速內(nèi)存而導(dǎo)致性能價格比非常低，無法進(jìn)一步對吞吐量進(jìn)行提高。 如今局域網(wǎng)主干上增加了許多的路由任務(wù)，以往路由器的吞吐量已經(jīng)不能滿足當(dāng)前的網(wǎng)絡(luò)需求，而過大的延遲又不能適應(yīng)語音通信、多媒體視頻的服務(wù)質(zhì)量需求，使用具有網(wǎng)絡(luò)層功能的交換機(jī)替代路由器實現(xiàn)低延遲、大容量的路由即第三層交換已勢在必行。各公司廣域網(wǎng)應(yīng)選用具有硬件實現(xiàn)的第三層交換能力的網(wǎng)絡(luò)交換機(jī)（本設(shè)計選用的是356024ps 型三層交換機(jī)）用來滿足不斷增長的子網(wǎng)間通信需求，同時實現(xiàn)多媒體通信所要求的低延遲和延遲量的穩(wěn)定性。為了使網(wǎng)絡(luò)服務(wù)更好地支持不同應(yīng)用的服務(wù)質(zhì)量需求，應(yīng)當(dāng)考慮采用能夠根據(jù)不同應(yīng)用區(qū)別處理的具有 應(yīng)用認(rèn)知功能的緩存設(shè)備和具有第四層智能的第二代多層交換機(jī)作為網(wǎng)絡(luò)主干設(shè)備，從而更有效地利用寶貴的網(wǎng)絡(luò)資源。 Inter/Intra 計算是網(wǎng)絡(luò)計算進(jìn)一步發(fā)展的總體趨勢，它需要適應(yīng)應(yīng)用技術(shù)發(fā)展的需求，這不僅要求主干交換機(jī)，而且配線間工作組交換機(jī)也應(yīng)選擇具備第三層交換能力的設(shè)備，這樣可以在需要時分擔(dān)主干交換機(jī)的負(fù)載，更加有效地利用有限的主干帶寬。 我們在強(qiáng)調(diào)網(wǎng)絡(luò)第三層交換功能的同時，以前的第二層交換技術(shù)也不能被忽視，主干和分支交換機(jī)都應(yīng)當(dāng)能夠在支持多層交換的同時支持 11 我們可能需要的各種第二層交換技術(shù) ，如快速以太網(wǎng)、 ATM、 FDDI、千兆以太網(wǎng)等。 計算機(jī)網(wǎng)絡(luò)系統(tǒng)是全球各公司廣域網(wǎng)智能系統(tǒng)的神經(jīng)中樞，它的運(yùn)行狀態(tài)應(yīng)該得到全面的管理和監(jiān)控。 OSI 對網(wǎng)絡(luò)管理功能提出了性能管理、配置管理、安全管理、錯誤管理、記帳管理等五大要求，以此為基礎(chǔ)，該網(wǎng)絡(luò)管理系統(tǒng)應(yīng)當(dāng)選用基于工業(yè)標(biāo)準(zhǔn)的簡單網(wǎng)絡(luò)管理協(xié)議（ SNMP）的開放式管理平臺，而且需要配合專用的網(wǎng)絡(luò)管理應(yīng)用作為網(wǎng)管系統(tǒng)的設(shè)計框架。網(wǎng)管系統(tǒng)應(yīng)支持設(shè)備的配置和監(jiān)視、網(wǎng)絡(luò)故障的監(jiān)測、網(wǎng)絡(luò)拓?fù)渥詣影l(fā)現(xiàn)和報告等功能，而且能夠提供簡單方便的圖形用戶接 口。 第三章介紹了網(wǎng)絡(luò)模擬工程施工過程中需要應(yīng)用到的網(wǎng)絡(luò)技術(shù)及其相關(guān)原理，其中重點(diǎn)介紹了網(wǎng)絡(luò)安全應(yīng)用技術(shù)。下面的第四章就是要對整個網(wǎng)絡(luò)模擬工程的施工進(jìn)行詳細(xì)的說明。 12 第 4 章 網(wǎng)絡(luò)模擬實驗工程總體規(guī)劃 本網(wǎng)絡(luò)工程方案的設(shè)計劃分為五個模塊，分別為： ； ppp+chap 網(wǎng)絡(luò)拓?fù)湓O(shè)計； ； ； VPN網(wǎng)絡(luò)通信拓?fù)湓O(shè)計。 網(wǎng)絡(luò)總體布局拓?fù)?,如圖 41： 圖 41 網(wǎng)絡(luò)工程總體拓?fù)鋱D 13 總公司內(nèi)部局域網(wǎng)規(guī)劃 VLAN:VLAN 2,VLAN 3,VLAN 4,VLAN 8,分別分配給公司內(nèi)部，銷售部、研發(fā)部、后勤部、保安部，將公司劃分為四個網(wǎng)段，便于管理； VLAN 之間互相通信，由于公司各部門一些特殊的設(shè)備需要設(shè)置靜態(tài) IP，所以設(shè)需要留地址范圍是： 20 ， 30 ， 40； TELNET，網(wǎng)管中心對公司內(nèi)部局域網(wǎng)進(jìn)行遠(yuǎn)程控制管理。 總公司與分公司網(wǎng)絡(luò)規(guī)劃 PPP連接需封裝 CHAP 認(rèn)證，認(rèn)證密碼設(shè)為：123； OSPF 技術(shù)實現(xiàn)網(wǎng)絡(luò)連接。 OSPF 路由協(xié)議的相關(guān)配置過程有如下幾個步驟： （ 1） 在相關(guān)路由器或三層交換上指定使用 ospf 協(xié)議，協(xié)議 ID為 10。 （ 2） 在不同型號的路由設(shè)備上設(shè)置其路由 ID； （ 3） 指定與路由器相連的網(wǎng)絡(luò)，區(qū)域號設(shè)置為 0。 IP,其 IP地址范圍是： ； 14 ACL 技術(shù)，僅允許后勤部網(wǎng)段的 80端口可以訪問分公司服務(wù)器。 總公司與廣域網(wǎng)間網(wǎng)絡(luò)規(guī)劃 NAT 技術(shù)，將公司內(nèi)部私有的 IP 地址轉(zhuǎn)換為公有的 IP 地址，使得公司內(nèi)部網(wǎng)絡(luò)接入廣域網(wǎng)。該 NAT 的配置大致可分為以下步驟： （ 1） 在邊緣路由器和 ISP 路由器上配置訪問控制鏈表，用以規(guī)定允許訪問廣域網(wǎng) IP 范圍； （ 2） 將訪問控制鏈表與相應(yīng)的路由端口映射在一起； （ 3） 指定 NAT 網(wǎng)絡(luò)內(nèi)部和外部接口，用以確定 NAT 網(wǎng)絡(luò)數(shù)據(jù)的流 向。 ，應(yīng)用 ACL 技術(shù)，過濾網(wǎng)絡(luò)中的流量 ，實現(xiàn)禁止保安部與后勤部訪問互聯(lián)網(wǎng)上資源的功能 。 DHCP 協(xié)議，使得緣路由器與外網(wǎng)連接的端口可以自動獲得 IP地址。 DHCP 協(xié)議的配置主要有以下步驟 : （ 1）設(shè)定 DHCP 協(xié)議 IP 地址池； （ 2）定義 DHCP 網(wǎng)絡(luò)地址，即一個網(wǎng)段，所有該網(wǎng)段內(nèi)的網(wǎng)絡(luò)設(shè)備只能獲得規(guī)定的該網(wǎng)段內(nèi)的 IP 地址； （ 3）配置該網(wǎng)段的網(wǎng)關(guān)； （ 4）給該網(wǎng)段配置 DNS； （ 5）除去某些預(yù)留的 IP地址段，網(wǎng)段內(nèi)設(shè)備啟動 DHCP 協(xié)議獲取 IP地 址時，不能獲取該段內(nèi)的 IP 地址。 15 總公司與合作伙伴間網(wǎng)絡(luò)規(guī)劃 總公司與其合作伙伴間采用點(diǎn)對點(diǎn)通信并結(jié)合 幀中繼技術(shù)，其網(wǎng)絡(luò)設(shè)計主要分為以下步驟 : （ 1） 在相關(guān)路由器廣域網(wǎng)端口上封裝 幀中繼協(xié)議； （ 2） 在上述物理端口上建立虛擬子接口，設(shè)置其為 pointtopoint類型，并為其配置相應(yīng) IP地址； （ 3） 給子接口配置 DLCI 值并建立對端協(xié)議地址與本地 DLCI 的映射關(guān)系； （ 4） 配置幀中繼中云相關(guān)端口 ,指定數(shù)據(jù)流流向的端口，從而實現(xiàn) 點(diǎn)對點(diǎn)通信的鏈路連接。 總公司與出差人員間網(wǎng)絡(luò)規(guī)劃 總公司與 在外出員工間采用 VPN 技術(shù)，實現(xiàn)出差人員 能夠訪問總公司的服務(wù)器功能 。在 VPN 設(shè)計中，主要做以下工作 : （ Inter 密鑰交換）協(xié)議設(shè)置： （ 1）分別對通信兩端 建立 isakmp 策略并且采用 3des 加密協(xié)議； （ 2）哈希采用 md5算法驗證，雙方采用欲共享密鑰認(rèn)證方式； （ 3）對通道進(jìn)行加密，并設(shè)置對端 IP地址； （ 4）為了增強(qiáng)數(shù)據(jù)傳輸中的安全性， 創(chuàng)建變換集，采用 esp3des 和 espmd5hmac 算法。 16 ２ .應(yīng)用 ACL技術(shù)定義感興趣流，確定通信雙方數(shù)據(jù)的流向。 ３ .通過創(chuàng)建加 密圖將感興趣流與變換集映射在一起，從而確定了受保護(hù)的數(shù)據(jù)流。 ４ .將加密圖綁定在對應(yīng)的端口上。 以上比較詳細(xì)的介紹了整個模擬網(wǎng)絡(luò)項目工程總體規(guī)劃以及其中比較重要的網(wǎng)絡(luò)技術(shù)或協(xié)議的設(shè)計流程，接下來是整個模擬網(wǎng)絡(luò)工程拓?fù)涞呐渲谩? 17 第 5 章 網(wǎng)絡(luò)模擬實驗項目配置概述 核心層交換機(jī)配置 在核心層交換機(jī)上配置 :VLAN VLAN VLAN VLAN8 四個虛擬局網(wǎng)段分別分配給：銷售部、研發(fā)部、后勤部及保安部。配置命令如下： ： Sw35(config)vlan 2 Sw35(configvlan)vlan 3 Sw35(configvlan)vlan 4 Sw35(configvlan)vlan 8 Sw35(configvlan)exit f0/ f0/ f0/ f0/8 端口分別接入到四個局域網(wǎng)中，而且這四個端口分別連接到四個部門的接入層交換機(jī)上，這里僅列出一個端口的配置，其他端口配置與此相似： Sw35(config)int f0/2 Sw35(configif)switchport access vlan 2 Sw35(configif)switch