【文章內(nèi)容簡介】 0數(shù)據(jù)模型已經(jīng)遠(yuǎn)遠(yuǎn)跟不上企業(yè)的需求，取而代之的20/80的數(shù)據(jù)模型，即20%的數(shù)據(jù)在本地，而80%的數(shù)據(jù)在遠(yuǎn)程，同時企業(yè)內(nèi)部子網(wǎng)之間的通信數(shù)據(jù)流量也是非常大的，因此對企業(yè)主干網(wǎng)的要求不僅是可靠性要高，還必須做到高帶寬，實現(xiàn)數(shù)據(jù)的高速傳輸與高速轉(zhuǎn)發(fā)。 主干網(wǎng)解決方案(1)鏈路選型 為了實現(xiàn)數(shù)據(jù)在企業(yè)網(wǎng)內(nèi)部能夠高速的轉(zhuǎn)發(fā)而實現(xiàn)數(shù)據(jù)的低延遲轉(zhuǎn)發(fā)，在接入層采用百兆鏈路到桌面，在這種要求下，對于一個24口交換機(jī)而言，上行最大流量為100*24*2=4800M，從網(wǎng)絡(luò)的可擴(kuò)展性考慮，企業(yè)網(wǎng)匯聚層與核心層之間應(yīng)該采用萬兆鏈路比較適宜。(2)主干網(wǎng)路由解決方案 在企業(yè)網(wǎng)中對路由協(xié)議的選擇一般可以選擇rip和ospf這兩種[12]， rip是一中距離矢量路由協(xié)議，根據(jù)到目標(biāo)地址的跳數(shù)多少來選擇路由，每30s發(fā)送一次路由更新，有最大15跳限制。Ospf是一種鏈路狀態(tài)協(xié)議，根據(jù)鏈路的帶寬來選擇到達(dá)目標(biāo)地址的路由，只有在拓?fù)浣Y(jié)構(gòu)發(fā)生變化時才會發(fā)送鏈路狀態(tài)更新消息，沒有最大跳數(shù)限制，具有區(qū)域的概念。在高科通信技術(shù)有限公司網(wǎng)絡(luò)設(shè)計方案中采用ospf作為主干網(wǎng)的路由協(xié)議?？偛亢诵膶咏粨Q機(jī)防火墻和邊界路由器組成主干區(qū)域area 0。(3)總部與分部互聯(lián)解決方案在本方案中高科通信技術(shù)有限公司總部與分部通過VPN互聯(lián)，并且采用能封裝組播數(shù)據(jù)包的gre協(xié)議作為VPN的封裝協(xié)議。 子網(wǎng)設(shè)計(1)辦公子網(wǎng)設(shè)計辦公子網(wǎng)分布在和分部的辦公大樓內(nèi)，接入層交換機(jī)通過trunk鏈路分別與兩臺核心層交換機(jī)相連。屬于同一部門的信息點劃分到同一個vlan內(nèi)，在總部各部門之間的通信使用SVI三層邏輯接口作為相應(yīng)vlan的網(wǎng)關(guān)，在核心層使用VRRP技術(shù)實現(xiàn)網(wǎng)關(guān)的冗余，從而增加網(wǎng)絡(luò)的可靠性。在接入層與核心層之間采用了環(huán)形拓?fù)湓O(shè)計，為了避免二層環(huán)路，在核心層與接入層之間部署STP。兩臺核心層交換機(jī)分別為根網(wǎng)橋和備份根網(wǎng)橋。(2)宿舍樓子網(wǎng)設(shè)計宿舍樓子網(wǎng)主要業(yè)務(wù)是對Internet的訪問，由于距離中心機(jī)房較遠(yuǎn)，宿舍樓子網(wǎng)采用三層結(jié)構(gòu)，接入層交換機(jī)接入到匯聚層交換機(jī)上，匯聚層交換機(jī)通過光纖鏈路連接到中心機(jī)房核心層交換機(jī)上，宿舍樓內(nèi)每個宿舍屬于同一個vlan，通過匯聚層上SVI接口實現(xiàn)vlan之間的通信，匯聚層通過三層接口與核心層相連，在匯聚層上有默認(rèn)路由來實現(xiàn)接入層設(shè)備到核心層從而訪問Internet的路由。(3)分部辦公子網(wǎng)設(shè)計企業(yè)分部主要業(yè)務(wù)為實現(xiàn)辦公自動化，郵件，Internet訪問。企業(yè)分部相同的部門劃分到同一個vlan中，vlan之間的通信可以由單臂路由技術(shù)實現(xiàn)，邊界路由器接入到Internet中，同時配置一條默認(rèn)路由指向外網(wǎng)，供分部訪問Internet的路由。(4)網(wǎng)管子網(wǎng)設(shè)計當(dāng)網(wǎng)絡(luò)建設(shè)完成后，所有的網(wǎng)絡(luò)設(shè)備應(yīng)該是可以進(jìn)行管理的。在本設(shè)計方案中為了能對網(wǎng)絡(luò)中所有的設(shè)備進(jìn)行方便統(tǒng)一的管理，所有的設(shè)備均配置網(wǎng)絡(luò)管理地址。對于不能啟用三層接口的二層設(shè)備網(wǎng)管接口采用svi接口，三層設(shè)備配置loopback接口作為網(wǎng)管接口。除了console口從其余接口登錄設(shè)備均采用AAA認(rèn)證，并對操作行為進(jìn)行審計。 (5)總部與分部vlan的劃分在本方案中對vlan的劃分采用基于端口的劃分方式，相同的部門劃分到相同的vlan內(nèi)。 總部vlan劃分方案部門Vlan號/Vlan名稱信息點數(shù)微機(jī)室2/weijs10財務(wù)部3/caiwb20行政部4/xingzb20生產(chǎn)部5/shengcb100研發(fā)部6/yanfb30后勤部7/houqb10業(yè)務(wù)部8/yewb80人力資源部9/renlzyb10總裁辦10/zongcb5會議室11/huiys20服務(wù)器20/fuwq10網(wǎng)管55/wangg不占物理接口Ospf互聯(lián)vlan901/hul不占物理接口 分部vlan劃分方案部門Vlan號/vlan名稱信息點數(shù)微機(jī)室2/weijs2財務(wù)部3/caiwb2行政部4/xingzb2銷售部5/xiaosb20后勤部6/houqb3網(wǎng)管22/wangg 不占用物理接口 網(wǎng)絡(luò)安全設(shè)計 dhcp存在的威脅分析及解決方案(1)dhcp服務(wù)器冒充由于 dhcp服務(wù)器和客戶端之間沒有認(rèn)證機(jī)制，所以如果在網(wǎng)絡(luò)上隨意添加一臺 dhcp服務(wù)器，它就可以為客戶端分配ip地址以及其他網(wǎng)絡(luò)參數(shù)，該安全威脅引起的后果輕則用戶終端獲取到不一致的ip信息，造成終端之間通信的問題，重則用戶終端獲取不到不安全的ip信息，造成中間人攻擊或者網(wǎng)絡(luò)釣魚[13]。(2)dhcp Server的拒絕服務(wù)攻擊攻擊者不斷發(fā) dhcp請求把 dhcp Server上合法的ip地址都申請完，讓其“下班”此時再由黑客冒充 dhcp Server為整個網(wǎng)絡(luò)分配錯誤的ip地址，使網(wǎng)絡(luò)不能與外界通信。(3)解決方案面對以上威脅，可以部署 dhcp Snooping技術(shù)來解決。 dhcp Snooping是一種功能非常強(qiáng)大的保證 dhcp服務(wù)安全部署的機(jī)制，通過在開啟 dhcp Snooping功能的交換機(jī)上定義trust端口和untrust端口來實現(xiàn)對 dhcp Server冒充防范和攻擊。同時，并非所有來自untrust端口的 dhcp請求都被允許通過，交換機(jī)還可以比較封裝 dhcp客戶機(jī)的硬件地址(即CHADDR字段)，只有這兩者相同的請求報文才會被轉(zhuǎn)發(fā)，否則將被丟棄，這樣就防止了 dhcp地址耗盡攻擊。 STP高級特性部署(1)根保護(hù)根保護(hù)(root Guard)是基于端口配置的，并且不允許該端口成為一個stp的根端口，設(shè)置了根保護(hù)的端口如果收到一個更優(yōu)的新bpdu，它將把本端口設(shè)置為 rootinconslisten狀態(tài)，該狀態(tài)下不會收發(fā)數(shù)據(jù)。不會成為根端口，只會監(jiān)聽bpdu，當(dāng)交換機(jī)拿開后這個端口又會正常收斂[14]。在對設(shè)備配置時，所有的接入層端口全部配置stp根保護(hù)特性。(2)loopguard在企業(yè)網(wǎng)的接入層和分布層的非指定端口(邊緣端口除外)部署loopguard保護(hù)特性，配置了Loopguard特性的端口在bpdu丟失持續(xù)20秒后變?yōu)長oopinconsistent狀態(tài)，該端口被blocking來防止循環(huán)的形成，并保持在非指定端口角色。 總部與分部互聯(lián)安全性部署在本方案中分部與總部互聯(lián)采用gre vpn來實現(xiàn)總部與分部的互聯(lián)，gre可以支持組播，這種情況下總部與分部可以通過ospf動態(tài)路由協(xié)議來實現(xiàn)總部與分部之間的路由。然而，gre協(xié)議本身不安全，他不對數(shù)據(jù)進(jìn)行加密，這樣，攻擊者就可以在Internet上截獲企業(yè)的數(shù)據(jù)信息。為了增強(qiáng)總部與分部互聯(lián)的安全性，在gre的基礎(chǔ)上部署ipsec 即gre over ipsec。 邊界安全設(shè)計企業(yè)網(wǎng)邊界是企業(yè)網(wǎng)內(nèi)部通向Internet的必經(jīng)之地，同時Internet上的數(shù)據(jù)也是從企業(yè)網(wǎng)邊界進(jìn)入到企業(yè)網(wǎng)的內(nèi)部，Internet上存在著太多的不安全因素，因此，邊界的安全系數(shù)決定著企業(yè)網(wǎng)的安全性。為了確保網(wǎng)絡(luò)的安全性，通常的做法是部署防火墻，在防火墻上配置策略拒絕所有的非法流量，只允許合法流量進(jìn)入到企業(yè)網(wǎng)的內(nèi)部。所謂非法流量，防火墻拒絕通過的流量。下面分析本企業(yè)網(wǎng)中的合法流量。(1)所有目標(biāo)端口為80的流量 即Internet上訪問企業(yè)網(wǎng)站的流量；(2)分部訪問總部的流量 分部對總部服務(wù)器和相關(guān)業(yè)務(wù)訪問的流量；(3)Ospf流量 包括ospf鏈路更新和Hello消息流量。 ACL訪問控制設(shè)計在企業(yè)網(wǎng)內(nèi)部，財務(wù)部除了總裁辦和財務(wù)部成員可以訪問，其余部門不能對財務(wù)部進(jìn)行訪問，在總部和分部都可以通過acl訪問控制列表來實現(xiàn)。另外應(yīng)該保證只有特定的用戶能對設(shè)備進(jìn)行遠(yuǎn)程登錄，在高科通信有限公司企業(yè)網(wǎng)中只有屬于微機(jī)室子網(wǎng)用戶能夠?qū)υO(shè)備進(jìn)行telnet操作。 對Internet訪問的實現(xiàn)在高科通信技術(shù)有限公司企業(yè)網(wǎng)建設(shè)過程中有對Internet訪問的需求，為了節(jié)約ip地址，由于企業(yè)內(nèi)部在同一時間內(nèi)會有多人要對Internet進(jìn)行訪問，nat技術(shù)不能很好的滿足這種需求，在本設(shè)計中采用pat技術(shù)來實現(xiàn)企業(yè)網(wǎng)內(nèi)部對Internet的訪問。 設(shè)備選型設(shè)備選型原則：(1)代表目前網(wǎng)絡(luò)系統(tǒng)設(shè)備的先進(jìn)水平；(2)具備較強(qiáng)的安全性；(3)具備優(yōu)良的RAS性能—可靠性、安全性、可維護(hù)性；(4)具備優(yōu)良的可擴(kuò)充性和升級能力；(5)具備優(yōu)良的性價比?；谝陨系脑O(shè)備選型原則。 設(shè)備選型設(shè)備位置設(shè)備名稱優(yōu)點設(shè)備數(shù)量核心層—核心交換機(jī)CiscoWSC6509E轉(zhuǎn)發(fā)速率快，設(shè)備穩(wěn)定可靠2匯聚層—匯聚層交換機(jī)CiscoWSC356024TSS具有12個千兆位以太網(wǎng)SFP端口，支持單模及多模光纖2核心層—防火墻Cisco PIX525基于標(biāo)準(zhǔn)的虛擬專網(wǎng)、自適應(yīng)安全算法、靜態(tài)故障切換/熱備用2接入層—接入層交換機(jī)CiscoWSC295024TCL可以實現(xiàn)堆疊，以保證端口數(shù)量足夠的多16邊界路由器Cisco 2811具有入侵保護(hù)防火墻功能2 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)設(shè)計高科通信技術(shù)有限公司企業(yè)網(wǎng)由辦公子網(wǎng)、宿舍樓子網(wǎng)、服務(wù)器區(qū)、路由區(qū)以及分部子網(wǎng)構(gòu)成。辦公子網(wǎng)主要承載公司日常辦公業(yè)務(wù)，接入層交換機(jī)直接接到公司的核心交換機(jī)上。宿舍樓子網(wǎng)通過兩臺匯聚層交換機(jī)連接到公司核心層交換機(jī)上。服務(wù)器區(qū)為公司的服務(wù)器群，提供FTP、DNS、WEB等服務(wù)。路由區(qū)為提供全網(wǎng)路由，由宿舍樓匯聚層，核心層，防火墻以及所有邊界路由器組成。分部子網(wǎng)主要承載分部辦公業(yè)務(wù)，通過單臂路由技術(shù)來實現(xiàn)部門之間和對Internet的訪問。 ip地址規(guī)劃 ip地址需求分析(1)所有可能接pc的信息點；(2)所有服務(wù)器；(3)網(wǎng)絡(luò)中的所有三層鏈路；(4)所有設(shè)備的網(wǎng)絡(luò)管理地址；(5)。 高科通信技術(shù)有限公司拓?fù)鋱D ip地址規(guī)劃原則(1)唯一性 應(yīng)該保證全網(wǎng)不存在相同的ip地址(2)按子網(wǎng)劃分 相同子網(wǎng)的設(shè)備的ip應(yīng)該劃分在同一個網(wǎng)段內(nèi)(3)可擴(kuò)展性 預(yù)留一定的ip地址空間供網(wǎng)絡(luò)擴(kuò)展用(4)最大匯總原則 全網(wǎng)ip可以匯總成一個或較少的幾個ip網(wǎng)段(5)