【文章內(nèi)容簡介】 可以提供 254x254=64516 個 IP 地址， 254 個子網(wǎng)，在可以預(yù)見的將來能夠滿足信息點增長的要求。如果子網(wǎng)數(shù)大于 254個，則可以通過修改子網(wǎng)掩碼的方式擴(kuò)展。 分配原則：我們把 （ n從 1到 254）稱作一個二級子網(wǎng)，原則上網(wǎng)絡(luò)中心、機(jī)關(guān)大樓和每 個二級單位各分配一個二級子網(wǎng)。根據(jù)二級單位的規(guī)模和信息點的數(shù)量，可以根據(jù)需要進(jìn)行調(diào)整。每個二級單位應(yīng)指定專人負(fù)責(zé)本子網(wǎng)的 IP 地址分配和管理工作，并和網(wǎng)絡(luò)管理員協(xié)同工作，確保 IP 地址管理的效率。 對于重要的 IP地址（比如領(lǐng)導(dǎo)使用的 IP 地址和各個服務(wù)器使用的 IP 地址），采取 IP地址和 MAC 地址綁定的方法，來保證 IP 地址不被盜用。這種綁定可以在 PIX 防火墻上實現(xiàn)。 外部網(wǎng)絡(luò) IP地址分配 但是 內(nèi)部服務(wù)器中的 WWW服務(wù)器 、 EMAIL 服務(wù)器等都需要和外界通訊我們解決這個問題， 我們可以 申請一定數(shù)量的合法 IP 地址，并 綁定在在 防火墻的外部網(wǎng)卡上，然后通過IP 映射 （ NAT，介紹 PIX 防火墻時有詳細(xì)描述） 使發(fā)給其中 X一個 IP 地址的包轉(zhuǎn)發(fā)至內(nèi)部的 WWW 服務(wù)器上，然后再將該內(nèi)部 WWW 服務(wù)器響應(yīng)包偽裝成該合法 IP 發(fā)出的包。 具體過程如下圖所示： 山東職業(yè)學(xué)院信息工程系畢業(yè)論文 11 我們假設(shè)以下情景： ISP 分配給 服務(wù)器的 ip 為： 內(nèi)部 IP： ,真實 IP： ISP 分配給 EMAIL 服務(wù)器的 IP 為： 內(nèi)部 IP： ， 真實 ip： PIX 防火墻的 IP 地址分別為：內(nèi) 網(wǎng)接口 eth1： ， 外網(wǎng)接口 eth0： 通過設(shè)置 PIX 把 真實 IP 綁定到防火墻的外網(wǎng)接口 ，并在 PIX 上定義好 NAT 規(guī)則，這樣，所有目的 IP 為 和 的數(shù)據(jù)包都將分別被轉(zhuǎn)發(fā)給 和 ；而所有來自 和 192. 的數(shù)據(jù)包都將分別被偽裝成由 和 202. ，從而也就實現(xiàn)了 IP 映射 。 需 要申請合法 IP 地址的服務(wù)器包括： INTERNET 接入路由器、 WWW 服務(wù)器、 EMAIL 服務(wù)器、防火墻。 ISP 網(wǎng)絡(luò) IP地址分配 一個內(nèi)部子網(wǎng)分配給撥號訪問服務(wù)器，共有 254 個 IP 地址，可以滿足 240 個用戶的接入需要。檔 ISP 系統(tǒng)擴(kuò)容時，可以相應(yīng)增加子網(wǎng)的數(shù)量即可。撥號用戶采用動態(tài) IP 地址分配的方法。 為了方便管理， ISP分配給用戶的 IP地址都是 內(nèi)部 IP 地址 ， 可以訪問內(nèi)部網(wǎng)絡(luò) 。 如果需要訪問 Interet，則同樣由 PIX 實現(xiàn) IP地址轉(zhuǎn)換。 域名管理 X已注冊域名 。 山東職業(yè)學(xué)院信息工程系畢業(yè)論文 12 從 Inter 訪問 WWW 服務(wù)器時， Inter 上的域名解析指向 PIX 防火墻，由防火墻進(jìn)行地址轉(zhuǎn)換指向 WWW 服務(wù)器。 從內(nèi)部網(wǎng)絡(luò)訪問 WWW 服務(wù)器時，首先在內(nèi)部 DNS 服務(wù)器進(jìn)行域名解析，即可得到 WWW服務(wù)器的 IP 地址。如果需要訪問 Inter 上的資源，則使用外部 DNS 服務(wù)器進(jìn)行域名解析，得到目的地的 IP 地址。 VLAN VLAN 即 Virtual LAN，表示虛擬局域網(wǎng)，簡稱虛網(wǎng)。它依靠邏輯設(shè)定將原來物理上互連的一個局域網(wǎng) 絡(luò)劃分為多個虛擬網(wǎng)段，劃分的依據(jù)可為設(shè)備所連的端口、用戶節(jié)點的 MAC地址等。整個網(wǎng)絡(luò)可以根據(jù)管理的要求、地理位置和片區(qū)的劃分來設(shè)置相應(yīng)的 VLAN（虛擬子網(wǎng)）， VLAN 技術(shù)可以將不同 VLAN 之間的用戶隔離，保證安全性。劃分的結(jié)果使得同一虛網(wǎng)內(nèi)數(shù)據(jù)可自由通訊，而不同虛網(wǎng)間的數(shù)據(jù)交流則需要通過具有第三層路由功能的設(shè)備來完成。 思科公司的 Catalyst 交換機(jī)系列都支持 VLAN 的設(shè)定和 ISL、 兩種以太網(wǎng) VLAN標(biāo)識技術(shù)。 本方案設(shè)備從核心層交換機(jī) CISCO catalyst 6500、訪問層交換機(jī) ,到接 入層交換機(jī)設(shè)備都支持 IEEE VLAN 標(biāo)準(zhǔn)，保證了該項技術(shù)的順利實施。這樣，通過在接入層交換機(jī)為用戶配置不同的 VLAN，進(jìn)行端口隔離，所有的用戶端口只能通過核心交換機(jī)來實現(xiàn)互連。辦公大樓的訪問層采用 CISCO catalyst 3550 三層交換機(jī) ,部門之間的 VLAN 信息可以通過它來轉(zhuǎn)發(fā)可以減少核心層交換機(jī)的負(fù)擔(dān) ,在核心層交換機(jī)通過 ACL（訪問控制列表）進(jìn)行相應(yīng)的控制，使得用戶的訪問得到完全的控制。 建議采用如下方式劃分子網(wǎng)： ? 子網(wǎng)一：網(wǎng)絡(luò)中心，包括 數(shù)據(jù)庫服務(wù)器， EMAIL 服務(wù)器， WWW 服務(wù) 器和 DNS服務(wù)器，網(wǎng)管工作站，代理服務(wù)器，計費(fèi)服務(wù)器和訪問服務(wù)器等。 ? 子網(wǎng)二：機(jī)關(guān)大樓，包括公司領(lǐng)導(dǎo)和機(jī)關(guān)各處室 ? 子網(wǎng)三：電訊公司 ? 其它每個聯(lián)網(wǎng)二級單位均分配一個子網(wǎng)， 每一個二級單位屬于一個 VLAN，以此提高整個網(wǎng)絡(luò)的可靠性和可用性。由于 Catalyst6509 最高可以提供 150M的第三層轉(zhuǎn)發(fā)，因此這種子網(wǎng)劃分方式不但可以提供高可用性，同時還降低網(wǎng)絡(luò)風(fēng)暴的可能性，更好地滿足了業(yè)務(wù)的需要。 山東職業(yè)學(xué)院信息工程系畢業(yè)論文 13 互聯(lián)網(wǎng)接入方案 1 Inter 接入概述 在網(wǎng)絡(luò)中心，租用專線（ X 計劃采用虛擬光纖接入方式）接入到 Inter/ChinaNET中，利用 Inter/ ChinaNET 的物理線路資源來實現(xiàn)廣域網(wǎng)絡(luò)連接。向全球范圍實現(xiàn)信息發(fā)布，展示企業(yè)形象；并通過對訪問用戶的權(quán)限管理、口令驗證、數(shù)字加密等技術(shù)進(jìn)行不同訪問級別的管理，從而實現(xiàn)對企業(yè)集團(tuán)內(nèi)部訪問、合作伙伴訪問、及普通瀏覽訪問等不同類型訪問者的控制，保證實用性和安全性。 網(wǎng)絡(luò)連接示意參圖。 圖 當(dāng)采用 Inter 上的 Web 訪問方式時，公司在 Inter 上建立自己的 Web 網(wǎng)站，將要發(fā)布的信息放在 Web 上供用 戶查詢、下載， Web 服務(wù)器通過防火墻與公司的 Intra 相連。在 Web服務(wù)器上開辟一定的區(qū)域通過不同等級的授權(quán)供各分支機(jī)構(gòu)、出差人員等與總部中心進(jìn)行通信。也為電子商務(wù)打下基礎(chǔ)。 2 CISCO 3640 路由器介紹 移動辦公 全國分支機(jī)構(gòu) Inter/ China 訪問服務(wù)器 PSTN/ISDN 訪問用戶 接入路由器 . . . . . . 山東職業(yè)學(xué)院信息工程系畢業(yè)論文 14 為保證 Inter 連接的可靠性和將來的流量擴(kuò)展，選用高性能的 CISCO3640 路由器做為 Inter 接入服務(wù)平臺。 Cisco 3600 系列是適合大中型企業(yè)較小型 Inter 服務(wù)供應(yīng)商的一系列模塊化多服務(wù)訪問平臺。 Cisco 3600 系列擁有 70多個模塊化接口選項，為數(shù)據(jù)、 語音、視頻、混合撥號訪問、虛擬專網(wǎng) (VPN)和多協(xié)議數(shù)據(jù)路由提供解決方案。高性能模塊化體系結(jié)構(gòu)可以保護(hù)客戶的網(wǎng)絡(luò)拓?fù)渫顿Y，并將多個設(shè)備的功能集成到一個可管理的解決方案中。 Cisco 3640 提供更高的密度、更大的性能和更多擴(kuò)展功能。 Cisco 3640 平臺的新增功能和性能可以啟動新的應(yīng)用，例如分組語音集合及 T1/E1 IMA 到 OC3 范圍的分支機(jī)構(gòu) ATM 訪問。 Cisco 3600 系列多服務(wù)平臺通過以下許多語音功能大大增強(qiáng)：數(shù)字語音接口 (T1 和E1)上增加的幀中繼語音 (VoFR)和 ATM 語音 (VoATMAALS)支持。目前所有數(shù)字接口還支持 QSIG，包括 T1/E1 和 BRI。其他增強(qiáng)包括 OPX、幀中繼 VoIP 及增強(qiáng)的排隊功能性。此外，與 Call Manager 軟件版本協(xié)作的一個特性使這些產(chǎn)品成為 PBX 和 PSTN IP 電話的完美網(wǎng)關(guān)，從而啟動了呼叫轉(zhuǎn)移、保持和會議等應(yīng)用。 本方案路由器選型和配置 考慮到一期規(guī)劃中的實際應(yīng)用需要，本方案選擇 CISCO 3640 路由器，除了提供Inter 接入外，也提供與遠(yuǎn)程分支的連接。主要配置如下： 四插槽 3640 路由器 ，帶 AC 電源， (產(chǎn)品定價中包括 IP 軟件 )； 3640 IOS 軟件 2口 快速 以太網(wǎng) 2 個廣域網(wǎng)卡插槽 1口廣域網(wǎng) 高速 串口卡 以上配置完全可以滿足一期規(guī)劃中 INTERNET 高速連接的需要。 安全方案 網(wǎng)絡(luò)安全是當(dāng)前 IT 業(yè)最受關(guān)注的環(huán)節(jié)。在 X 的企業(yè)網(wǎng)建設(shè)中，內(nèi)部網(wǎng)與 Inter/ ChinaNET 公眾網(wǎng)的連接是重要環(huán)節(jié)。因此，需要著重解決好總部的防火墻方案。 本方案網(wǎng)絡(luò)安全配置概述 由于 路由器防火墻只能作為過濾器，并不能把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)從入侵者眼前隱藏起來 ，只要允許外部網(wǎng)絡(luò)上的計算機(jī)直接訪問內(nèi)部網(wǎng)絡(luò)上的計 算機(jī)，就存在著攻擊者可以損害內(nèi)部局域網(wǎng)上機(jī)器的安全性，并從那里攻擊其他計算機(jī)的可能性。 因此 為了保證企業(yè)內(nèi)部網(wǎng)的安全，防止非法入侵，需要使用專用的防火墻計算機(jī)。 因此，本方案采用兩層防火墻加山東職業(yè)學(xué)院信息工程系畢業(yè)論文 15 上應(yīng)用系統(tǒng)的身份認(rèn)證和權(quán)限管理四層安全措施，來保證網(wǎng)絡(luò)安全和應(yīng)用安全。由于費(fèi)用原因，本方案采取臨時措施協(xié)助 X進(jìn)行病毒防范。 第一層 軟件防火墻 通過 CISCO 的路有器和訪問服務(wù)器本身具有的包過濾功能和代理服務(wù)器的內(nèi)外網(wǎng)隔離功能實現(xiàn)。 第二層 硬件防火墻 即選用 CISCO SECURE PIX 525 防火墻 ，該產(chǎn)品 經(jīng)過了美國安 全事務(wù)處 (NSA)的認(rèn)證，同時通過中國公安部安全檢測中心的認(rèn)證 。具體配置 為： CISCO SECURE PIX 525 4個 100M 以太網(wǎng)端口 128M 內(nèi)存 600MHZ CPU 第三層 身份認(rèn)證 用戶使用應(yīng)用系統(tǒng)，不管是從內(nèi)部網(wǎng)絡(luò)登錄，還是撥號訪問，還是通過 INTERNET 訪問公司網(wǎng)絡(luò)，首先需要通過嚴(yán)格的身份認(rèn)證。只有合法的用戶才能使用應(yīng)用系統(tǒng)。 第四層 權(quán)限管理 每個使用網(wǎng)絡(luò)的用戶將受到嚴(yán)格的權(quán)限限制。一般而言，網(wǎng)絡(luò)管理員不得從事業(yè)務(wù)操作，普通用戶不能進(jìn)行網(wǎng)絡(luò)管理。 六 網(wǎng)絡(luò)物理結(jié)構(gòu)設(shè)計 隨著計算機(jī)網(wǎng) 絡(luò)技術(shù)的發(fā)展，傳統(tǒng)建筑中的供風(fēng)、暖通、給排水、通訊、通信、監(jiān)控等都變得可控起來，傳統(tǒng)建筑正在朝可控制和管理的智能方向發(fā)展，即智能化大廈，信息社會在飛速發(fā)展中不斷出現(xiàn)的新需求也是傳統(tǒng)建筑所無法滿足的。 結(jié)構(gòu)化綜合布線系統(tǒng)（ SCS）是智能化園區(qū)的基礎(chǔ)，有了好的結(jié)構(gòu)化綜合布線系統(tǒng)，整個企業(yè)園區(qū)很容易就能成為智能園區(qū)，為企業(yè)各層次用戶提供最佳、最便捷的服務(wù)。 、設(shè)計原則 ? 實用性：這是第一位的，也是系統(tǒng)的最終目的；該布線系統(tǒng)不僅能夠為計算機(jī)網(wǎng)絡(luò)系統(tǒng)服務(wù)，而且也應(yīng)當(dāng)能夠很容易加入樓宇控制部分，實現(xiàn)智能化大樓。 山東職業(yè)學(xué)院信息工程系畢業(yè)論文 16 ? 可 靠性：網(wǎng)絡(luò)中心是廠區(qū)的中心樞紐所在，對結(jié)構(gòu)化布線系統(tǒng)和以后的應(yīng)用系統(tǒng)的可靠性要求是相當(dāng)嚴(yán)格的，它應(yīng)能防止各種可能出現(xiàn)的故障性癱瘓。 ? 開放性：這實際上是對布線系統(tǒng)和辦公網(wǎng)建設(shè)的要求。 ? 易擴(kuò)性：布線系統(tǒng)和網(wǎng)絡(luò)的投資保護(hù)和節(jié)省很大程度上是取決于系統(tǒng)能否擴(kuò)展以及標(biāo)準(zhǔn)化、開放性和設(shè)計容量等。 ? 先進(jìn)性：在技術(shù)成熟實用的基礎(chǔ)上，提供最先進(jìn)的實用產(chǎn)品和技術(shù)，它也是保證高水平實用技術(shù)的條件。 ? 可維護(hù)性：對于大規(guī)模的布線系統(tǒng)和大范圍分布的網(wǎng)絡(luò)，其差錯與故障診斷，維護(hù)和重組，系統(tǒng)重配置等功能是必不可少的。 、總體設(shè)計思路 為滿足日益發(fā)展的通信、網(wǎng)絡(luò)應(yīng)用要求，整個廠區(qū)應(yīng)具有現(xiàn)代化的水準(zhǔn)和智能化的功能。 PDS 設(shè)計方案的目的就是要以經(jīng)濟(jì)實用，科學(xué)合理的最新技術(shù)，對 X 集團(tuán)的語音、數(shù)據(jù)、視頻、圖像等進(jìn)行自動化管理。 作為 X 集團(tuán)應(yīng)充分考慮將來系統(tǒng)集成的需要，即以樓宇自動化系統(tǒng)（ BAS）、辦公自動化系統(tǒng)（ OAS）及通信自動化系統(tǒng)（ CAS）作為設(shè)計依據(jù)。當(dāng)這些智能系統(tǒng)需要集成共同發(fā)揮作用或單獨實施功能運(yùn)行時，可以非常方便靈活地在綜合布線系統(tǒng)平臺上實現(xiàn)。 綜合布線系統(tǒng)是連接“ 3A”系統(tǒng)各種控制信號必備的基礎(chǔ)設(shè)施。我們按“ 3A”大廈標(biāo)準(zhǔn)設(shè)計， 選用美國 LUCENT 公司的 PDS 結(jié)構(gòu)化綜合布線系統(tǒng)產(chǎn)品。 計算機(jī)網(wǎng)絡(luò)互連設(shè)備按前文所述選用美國思科（ Cisco）公司系列產(chǎn)品，包括路由器、交換機(jī)等。 大型企業(yè)園區(qū)布線應(yīng)采用總體分布式、局部集中式。數(shù)據(jù)主干線系統(tǒng)采用光纜，其余均采用超五類雙絞線線纜。 水平線路每條均按 4 對（八芯）配備，選用超五類非屏蔽雙絞線，既可滿足了近期需要，又為將來應(yīng)用多媒體技術(shù)打下了基礎(chǔ)，并滿足基本的 ISDN 需要。 布線銅纜系統(tǒng)選用 110P 配線架和 110A 配線架相結(jié)合，配線架的尺寸以 100 對為一個基本單位，每個連接信息插座的 100 對配 線架可端接 24 個信息點。 布線光纖系統(tǒng)根據(jù)需要采用 8芯或 4 芯單膜光纖， 200A 和 100A3 光纖接線盒。 山東職業(yè)學(xué)院信息工程系畢業(yè)論文 17 、 傳輸布線方案設(shè)計 設(shè)計依據(jù) * 100BASET * * EIA/TIA586 EIA/TIA509 EIA/IIATSB 36/40 工業(yè)標(biāo)準(zhǔn)及國際商務(wù)建筑布線標(biāo)準(zhǔn) .