【文章內(nèi)容簡介】 為 W L Z X 圖 主機 命名規(guī)范 ② 設備互聯(lián)接口描述 項目中所有涉及到可網(wǎng)管設備互聯(lián)的端口必須配置端口描述 。如圖 所示： i n t e r f a c e G i g a b i t E t h e r n e t 6 / 1d e s c r i p t i o n c o n n e c t _ t o _ R S R 1 _ G i 6 / 2 2該 端 口 G i 6 / 1 所 連 接的 對 端 設 備 的 端 口 號該 端 口 G i 6 / 1 所 連 接 的對 端 設 備 名 稱 圖 互聯(lián)接口描述 ③登陸密碼配置 項目中所有可網(wǎng)管設備必須配置特權(quán)密碼及遠程登陸密碼。 ④系統(tǒng)時間 配置 項目中所有可網(wǎng)管設備必須重新設置正確的系統(tǒng)時間。 ⑤二層交換機管理 IP 配置 項目中可網(wǎng)管二交換機必須配置管理 IP 地址，供管理員遠程管理設備所用。 第四章 網(wǎng)絡安全 設計 園區(qū)網(wǎng)的安全是一個綜合問題，它包含網(wǎng)絡設備和人為因素兩個方面以及與外網(wǎng)（ Inter）接口上的安全問題。網(wǎng)絡的有效性和可靠性即它的可連續(xù)運行的安全性是網(wǎng)絡建設必須考慮的首要原則，從用戶的角度考慮，當網(wǎng)絡所需的服務不可用時，不管是何種原因，網(wǎng)絡就失去了實際價值。從另一角度看，當某種網(wǎng)絡服務的響應時間變得變幻莫測時，網(wǎng)絡系統(tǒng) 也不可靠 了。為此我們在網(wǎng)絡設計上就考慮了以下的技術(shù)來提高安全性 。 VLAN 技術(shù) VLAN 技術(shù)是通過路由和交換設備，在網(wǎng)絡的物理拓撲基礎上建立的一個邏輯的網(wǎng)絡。 VLAN 可以看作 是一個廣播域，它們不受地理位置的限制而像處于同一 LAN 上那樣相互交換信息。 VLAN 是在交換網(wǎng)絡中實現(xiàn)的。每個交換設備均可根據(jù)網(wǎng)絡管理人員所定義的 VLAN 劃分方法對報文進行過濾和轉(zhuǎn)發(fā)，并能將這種劃分信息傳遞到網(wǎng)絡中其它交換設備和路由器中去?？梢韵拗?VLAN 中的用戶數(shù)量，禁止那些沒有得到許可的用戶加入到某個 VLAN 中。這樣，可以控制用戶對網(wǎng) 絡資源的訪問，控制廣播組的大小和組成，并借助網(wǎng)管軟件在發(fā)生非法入侵時通知管理員。 交換機上劃分 VLAN 方法 如圖 所示： 1 432交 換 機廣 播 域廣 播 域V L A N 1 0 V L A N 2 0 圖 交換機劃分 VLAN 方法 13 AAA 技術(shù) AAA 認證體系結(jié)構(gòu)包括鑒別（ Authentication）、授權(quán)（ Authorization）和記賬（ Accounting）。 鑒別過程主要完成用戶身份識別，并為該用戶指定特權(quán)級別，控制該用戶對網(wǎng)絡資源和服務的訪問和使用，在允許訪問前，用戶必須首先通過鑒別。 授權(quán)過程決定用 戶或用戶組可以訪問的指定服務和網(wǎng)絡資源，該過程也定義在用戶在資源上的可執(zhí)行的操作。 記賬的過程主要是收集信息，以確定誰在使用哪些資源。 VPN 技術(shù) 虛擬專用網(wǎng)（ Virtual Private Network， VPN）技術(shù)的基本思路是充分利用現(xiàn)有的公用網(wǎng)絡來建立一個私有的、安全的連接，即建立一條穿過混亂的公用網(wǎng)絡的安全、穩(wěn)定的隧道，同時避免昂貴的專線租用費用，它使用的是建立在物理連接基礎上的邏輯連接，客戶并不能意識到實際的物理連接，而且在穿越 Inter進行路由時，其安全性與在 專用網(wǎng)絡中進行安全路 由的安全性基本相同。 防火墻技術(shù) 目前，在保護計算機網(wǎng)絡安全的設備中，使用最多的就是防火墻。防火墻是在兩個網(wǎng)絡之間執(zhí)行控制策略的系統(tǒng)，這兩個網(wǎng)絡中，通常一個是要保護的內(nèi)部網(wǎng)，一個是外部網(wǎng)，防火墻在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)成一道屏障，通過檢測、限制或者更改通過它的數(shù)據(jù)流，對外屏蔽內(nèi)部網(wǎng)的信息、結(jié)構(gòu)和運行狀況，以防止發(fā)生網(wǎng)絡入侵或攻擊，達到對內(nèi)部網(wǎng)的安全保護。 防火墻原理如圖 所示： 黑 客禁 止服 務 器 或 用 戶 圖 防火墻原理圖 安裝殺毒軟件 網(wǎng)絡的普及 帶來 了計算機的飛速發(fā)展 ， 計算機進入了尋常百姓家，個人電腦的安全問題顯得尤為重要， 尤其是政府重點部門，在防毒殺毒、系統(tǒng)保護方面 等方面 提出更高的要求，銷售防毒殺毒產(chǎn)品的公司很多，如 國外的諾頓 、 卡巴斯基，國內(nèi)的 360、金山等 。 其它安全措施 服務器本身的安全考慮：不同的功能應盡量分布在不同的主機上，出于節(jié)省投資，有時需要將多種應用系統(tǒng)合并到一臺物理主機上承載，例如，一臺服務器同時提供 HTTP 服務和數(shù)據(jù)庫服務?？紤]服務器合并時，不僅考慮它的承載能力和處理能力，還要考慮合并的各種服務的安全級別。不要把對外服務的 應用與對內(nèi)管理的應用合并。 操作系統(tǒng)：授予不同用戶不同的權(quán)限。 應用軟件：在應用軟件開發(fā)中，也需要考慮分級權(quán)限控制，以防止錯誤操作引起系統(tǒng)數(shù)據(jù)丟失。 最后系統(tǒng)管理員要養(yǎng)成良好的安全管理習慣，例如：定期修改管理員口令，避免使用規(guī)律的、易猜測的密碼，定期檢查安全漏洞等 。 15 第 五 章 網(wǎng)絡 模擬實現(xiàn) 模擬器介紹 Dynamips GUI 是由國人 CCIE 小凡開發(fā)的一個思科模擬器圖形前端。它不僅整合了思科所有的 IOS 模擬器，而且還整合了 BES 以及 VPCS。小凡模擬器（ Dynamips GUI）是一個學習配置思 科設備的很好的工具，它能在 PC 機的環(huán)境下真實運行思科設備 IOS， 絕大部分命令都支持，就和在真實思科設備上運行相差無幾。 Dynamips GUI 主界面如圖 所示： 圖 Dynamips GUI 主界面 Secure CRT 將 SSH 的安全登錄、數(shù)據(jù)傳送性能和 Windows 終端仿真提供的可靠性、可用性和可配置性結(jié)合在一起。通過它 可以登錄到路由器和交換機上對設備進行配置和備份等操作。 Secure CRT 主界面如圖 所示： 圖 Secure CRT 主界面 模擬環(huán)境拓撲圖 由于園區(qū)網(wǎng)絡規(guī)模過大，本次只 能針對 對部分重要節(jié)點和典型區(qū)域進行模擬配置工作， 在此次實驗中，使用 Cisco 3640 路由 交換機模擬整個實驗， IOS 使用 ， 模擬器 網(wǎng)絡 拓撲如圖 所示： 17 R S R 1I S PS 5 7 1S 5 7 2S 2 6 1S 2 6 2S 0 / 0S 0 / 0F 1 / 0F 0 / 0F 2 / 0F 0 / 0F 0 / 1 4F 0 / 1 5F 0 / 1F 0 / 2F 0 / 1F 0 / 2F 0 / 1F 0 / 2F 0 / 1F 0 / 2F 0 / 3F 0 / 32 1 2 . 1 . 1 . 0 / 2 41 9 2 . 1 6 8 . 1 . 0 / 2 41 9 2 . 1 6 8 . 2 . 0 / 2 4v l a n 1 0 v l a n 2 0 圖 模擬器網(wǎng)絡 拓撲 需求實現(xiàn) 某園區(qū)網(wǎng)拓撲及規(guī)劃上 圖所示，其中 RSR1 是園區(qū)網(wǎng)出口路由器， RSR1和 ISP 之間互聯(lián)接口是 S0/0，互聯(lián)地址分別是 。兩臺 S57 是園區(qū)網(wǎng)核心設備，和 RSR1 互聯(lián)地址段是 。 S261 和 S262 是兩臺接入設備，下聯(lián)用戶 VLAN 10 和 VLAN 20，對應用戶子網(wǎng)分別是 ，網(wǎng)關(guān)分別是 和 。 RSR S571 和 S572 運行 OSPF，都屬于 AREA 0。 實現(xiàn)以下需求： ① 所有通過 S26 接入的用戶 IP 地址必須動態(tài)獲得，不允許私設 IP 地址，DHCP 服務器是兩臺 S57 交換機。 ② S26 上連接用戶的端口必須能夠快速收斂，防止可能存在的環(huán)路，其它不 用的端口必須手動關(guān)閉。 ③ S571 為 VLAN 10 的根網(wǎng)橋， S572 為 VLAN 20 的根網(wǎng)橋。 S571 和 S572交換機上的端口 f0/1415 加入 portchannel 1，并把 portchannel 1 設為 trunk模式。 ④ 兩臺三層交換機上配置 HSRP 或者 VRRP 協(xié)議，為了實現(xiàn)冗余備份和負載均衡，在 S571 上， VLAN 10 為 Active， VLAN 20 為 Standby；在 S572 上， VLAN 10 為 Standby， VLAN 20 為 Active。 ⑤ 用戶需要訪問 ISP 的網(wǎng)絡時，其中 VLAN 10 的數(shù)據(jù)路徑是 S261—— S571—— RSR1—— ISP， VLAN 20 的數(shù)據(jù)路徑是 S262—— S572—— RSR1—— ISP，兩條路徑互為主備。 ⑥ 在 RSR1 上配置動態(tài) NAT，實現(xiàn)內(nèi)部網(wǎng)絡私有地址到外部網(wǎng)絡公有地址的轉(zhuǎn)換。 配置方法 ① 預配置 每臺設備的預配置如下（ 以 S26 為例）： Routerconfig t //進入全局配置模式 Enter configuration mands, one per line. End with CNTL/Z. Router(config)no ip do lo //關(guān)閉 設備的 域名解析 Router(config)host S26 //給設備命名 S26(config)enable secret ruijie //設置進入 特權(quán)模式 的 密碼 S26(config)line con 0 S26(configline)no exect //關(guān)閉 console 口的 超時退出 S26(configline)loggin syn //啟用 console 口的 日志同步 功能 S26(configline)exit ② 配置 VTP 為了便于管理 VLAN，需要在每臺 交換機上配置 VTP 協(xié)議，匯聚層設備為VTP Server，接入層設備為 VTP Client。在配置 VTP 協(xié)議前，需要將相連的交換機之間直連的端口設置為 trunk 模式，且 VTP domain 必須相同，才可以交換VTP 信息。 這里以 S571 為例： S571vlan data //進入 VLAN 數(shù)據(jù)庫模式 19 S571(vlan)vtp server //設 置 VTP Server S571(vlan)vtp domain test //設置 VTP 域名 S571(vlan)vtp pass 123 //設置 VTP 密碼 S571(vlan)vtp pruning //啟用 VTP 裁剪 S571(vlan)exit //保存 并 退出 ③ 配置 STP 配置 STP 協(xié)議是為了防止發(fā)生二層網(wǎng)絡的環(huán)路，并且還可以進行二層的冗余備份，這里 修改網(wǎng)橋的優(yōu)先級，實現(xiàn) VLAN 10 的流量走 S571， VLAN 20 的流量走 S572。 以 S571 為例： S571(config)spanningtree vlan 1 priority 4096 S571(config)spanningtree vlan 10 priority 4096 //設置 vlan10 對應的網(wǎng)橋優(yōu)先級 S571(config)spanningtree vlan 20 priority 8192 ④ Portchannel 接口配置 配置 Portchannel 既可以增加鏈路帶寬，同時也可以實現(xiàn)鏈路的冗余備份。這里以 S571 為例 ： S571(config)int range f0/14 15 S571(configifrange)channelgroup 1 mode on S571(config)interface portchannel 1 S571(configif)switchport trunk encapsulation dot1q //封裝 dot1q S571(configif)switchport mode trunk //配置 trunk ⑤ 配置 HSRP 協(xié)議 在 S571 和 S572 上配置 HSRP 協(xié)議，可以實現(xiàn)網(wǎng)關(guān)設備的冗余 。在 S571上，設置 VLAN 10 為 Active， VLAN 20 為 Standby，在 S572 上設置 VLAN 10為 Standby， VLAN 20 為 Active。 S571(config)int vlan 10 S571(configif)standby 10 ip //設置 虛擬 網(wǎng)關(guān) 的 IP 地址 S571(configif)standby 10 priority 120 //設置 HSRP 的優(yōu)先級 ， 默認為 100 S571(configif)standby preempt //開啟搶占模式，配置此命令后，當路由器發(fā)現(xiàn)本機優(yōu)先級比現(xiàn)在任何同一 Standby 組中的 Active 路由器高時 ， 則本機將 成為 Active， 當前 Active 路由器則降為 Standby。 S571(configif)standby 10 track f0/0 50 //開啟接口追蹤，當發(fā)現(xiàn)跟蹤端口Down