【文章內(nèi)容簡(jiǎn)介】 和 SKEME 的共享技術(shù)以及 OAKLEY 的 密鑰 交換模式。 IPSec 全稱是 Inter 協(xié)議安全性 （ Inter Protocol Security），它 通過(guò)使用加 密的 安全服務(wù) 以確保在 Inter 協(xié)議 (IP) 網(wǎng)絡(luò)上進(jìn)行保密而安全的通訊，而且是一種開(kāi)放標(biāo)準(zhǔn)的框架結(jié)構(gòu) 。 它為了防止Inter 與 專用網(wǎng)絡(luò) 的攻擊，采用 端對(duì)端 的安全性來(lái)提供對(duì)主動(dòng) 的保護(hù)。在通信過(guò)程中，只有收發(fā)兩方才能而且必須了解 IPSec 保護(hù)的計(jì)算機(jī)。 3DES 是三重 數(shù) 據(jù)加 密 算 法 （ TDEA， Triple Data Encryption 9 Algorithm）塊密碼的統(tǒng)稱。它的本質(zhì)就是將 DES 加密算法 分別三次應(yīng)用于每個(gè)要發(fā)送的 數(shù)據(jù)塊 ，使用的是 對(duì)稱密鑰 加密法 算法。它是 DES 向 AES過(guò)渡的 加密算法 ，相對(duì)于 DES， 3DES 的加密安全性更加可靠，以 DES 為基本模塊 ，通過(guò)組合分組方法設(shè)計(jì)出分組 加密算法 。 MD5 是一種散列函數(shù)，它廣泛應(yīng)用于計(jì)算機(jī)安全領(lǐng)域，它的功能是提供消息的完整性保護(hù)，它的作用是讓大容量信息在用 數(shù)字簽名 軟件簽署私人 密鑰 前被 壓縮 成一種保密的格式。 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)采用現(xiàn)代交換原理，它促使虛擬網(wǎng)技術(shù)的應(yīng)用在全球范圍內(nèi)快速猛增。按照網(wǎng)絡(luò)區(qū)域的不同分布對(duì)全網(wǎng)實(shí)施虛擬網(wǎng)劃分，這是提高網(wǎng)絡(luò)安全性、增強(qiáng)網(wǎng)絡(luò)性能、加強(qiáng)網(wǎng)絡(luò)管理、隔離網(wǎng)絡(luò)故障的有效措施。 但是如果虛擬網(wǎng)的應(yīng)用僅僅局限于局部網(wǎng)絡(luò)或單個(gè)交換機(jī)內(nèi)部，經(jīng)過(guò)網(wǎng)絡(luò)劃分后，整個(gè)網(wǎng)絡(luò)工程系統(tǒng)將成為一塊塊支離破碎的盲區(qū)。所以總公司選用的網(wǎng)絡(luò)核心層交換機(jī)應(yīng)具備跨越分支和主干自由地在全網(wǎng)范圍內(nèi)進(jìn)行劃分虛擬網(wǎng)的功能，而且所有網(wǎng)絡(luò)設(shè)備的虛擬網(wǎng)劃分功能應(yīng)當(dāng)基于 IEEE 這個(gè)統(tǒng)一的標(biāo)準(zhǔn)。 網(wǎng)絡(luò)通信中的大部分?jǐn)?shù)據(jù)流量不再局限于各子網(wǎng)內(nèi)部，這是Inter/Intra 的相關(guān)計(jì)算方式對(duì)各公司廣域網(wǎng)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的 10 另一個(gè)重大考驗(yàn)。網(wǎng)絡(luò)通信大多是跨越子網(wǎng)邊界訪問(wèn)，它對(duì)網(wǎng)絡(luò)中相關(guān)設(shè)備處理子網(wǎng)間路由的能力要求非常高。傳統(tǒng)路由器以軟件方式進(jìn)行路由操作，這種操作方式產(chǎn)生的傳輸延遲是交換機(jī)產(chǎn)生的幾十倍，而且當(dāng)網(wǎng)絡(luò)負(fù)載變化時(shí)，延遲時(shí)間會(huì)隨之有很大變化，這很不利于多媒體的傳輸；由于采用價(jià)格昂貴的高性能處理器和大量高速內(nèi)存而導(dǎo)致性能價(jià)格比非常低，無(wú)法進(jìn)一步對(duì)吞吐量進(jìn)行提高。 如今局域網(wǎng)主干上增加了許多的路由任務(wù)，以往路由器的吞吐量已經(jīng)不能滿足當(dāng)前的網(wǎng)絡(luò)需求，而過(guò)大的延遲又不能適應(yīng)語(yǔ)音通信、多媒體視頻的服務(wù)質(zhì)量需求，使用具有網(wǎng)絡(luò)層功能的交換機(jī)替代路由器實(shí)現(xiàn)低延遲、大容量的路由即第三層交換已勢(shì)在必行。各公司廣域網(wǎng)應(yīng)選用具有硬件實(shí)現(xiàn)的第三層交換能力的網(wǎng)絡(luò)交換機(jī)（本設(shè)計(jì)選用的是356024ps 型三層交換機(jī)）用來(lái)滿足不斷增長(zhǎng)的子網(wǎng)間通信需求，同時(shí)實(shí)現(xiàn)多媒體通信所要求的低延遲和延遲量的穩(wěn)定性。為了使網(wǎng)絡(luò)服務(wù)更好地支持不同應(yīng)用的服務(wù)質(zhì)量需求，應(yīng)當(dāng)考慮采用能夠根據(jù)不同應(yīng)用區(qū)別處理的具有 應(yīng)用認(rèn)知功能的緩存設(shè)備和具有第四層智能的第二代多層交換機(jī)作為網(wǎng)絡(luò)主干設(shè)備，從而更有效地利用寶貴的網(wǎng)絡(luò)資源。 Inter/Intra 計(jì)算是網(wǎng)絡(luò)計(jì)算進(jìn)一步發(fā)展的總體趨勢(shì)，它需要適應(yīng)應(yīng)用技術(shù)發(fā)展的需求，這不僅要求主干交換機(jī)，而且配線間工作組交換機(jī)也應(yīng)選擇具備第三層交換能力的設(shè)備，這樣可以在需要時(shí)分擔(dān)主干交換機(jī)的負(fù)載，更加有效地利用有限的主干帶寬。 我們?cè)趶?qiáng)調(diào)網(wǎng)絡(luò)第三層交換功能的同時(shí)，以前的第二層交換技術(shù)也不能被忽視，主干和分支交換機(jī)都應(yīng)當(dāng)能夠在支持多層交換的同時(shí)支持 11 我們可能需要的各種第二層交換技術(shù) ，如快速以太網(wǎng)、 ATM、 FDDI、千兆以太網(wǎng)等。 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)是全球各公司廣域網(wǎng)智能系統(tǒng)的神經(jīng)中樞，它的運(yùn)行狀態(tài)應(yīng)該得到全面的管理和監(jiān)控。 OSI 對(duì)網(wǎng)絡(luò)管理功能提出了性能管理、配置管理、安全管理、錯(cuò)誤管理、記帳管理等五大要求，以此為基礎(chǔ)，該網(wǎng)絡(luò)管理系統(tǒng)應(yīng)當(dāng)選用基于工業(yè)標(biāo)準(zhǔn)的簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（ SNMP）的開(kāi)放式管理平臺(tái)，而且需要配合專用的網(wǎng)絡(luò)管理應(yīng)用作為網(wǎng)管系統(tǒng)的設(shè)計(jì)框架。網(wǎng)管系統(tǒng)應(yīng)支持設(shè)備的配置和監(jiān)視、網(wǎng)絡(luò)故障的監(jiān)測(cè)、網(wǎng)絡(luò)拓?fù)渥詣?dòng)發(fā)現(xiàn)和報(bào)告等功能，而且能夠提供簡(jiǎn)單方便的圖形用戶接 口。 第三章介紹了網(wǎng)絡(luò)模擬工程施工過(guò)程中需要應(yīng)用到的網(wǎng)絡(luò)技術(shù)及其相關(guān)原理，其中重點(diǎn)介紹了網(wǎng)絡(luò)安全應(yīng)用技術(shù)。下面的第四章就是要對(duì)整個(gè)網(wǎng)絡(luò)模擬工程的施工進(jìn)行詳細(xì)的說(shuō)明。 12 第 4 章 網(wǎng)絡(luò)模擬實(shí)驗(yàn)工程總體規(guī)劃 本網(wǎng)絡(luò)工程方案的設(shè)計(jì)劃分為五個(gè)模塊，分別為： ； ppp+chap 網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)； ； ； VPN網(wǎng)絡(luò)通信拓?fù)湓O(shè)計(jì)。 網(wǎng)絡(luò)總體布局拓?fù)?,如圖 41： 圖 41 網(wǎng)絡(luò)工程總體拓?fù)鋱D 13 總公司內(nèi)部局域網(wǎng)規(guī)劃 VLAN:VLAN 2,VLAN 3,VLAN 4,VLAN 8,分別分配給公司內(nèi)部，銷售部、研發(fā)部、后勤部、保安部，將公司劃分為四個(gè)網(wǎng)段，便于管理； VLAN 之間互相通信，由于公司各部門一些特殊的設(shè)備需要設(shè)置靜態(tài) IP，所以設(shè)需要留地址范圍是： 20 ， 30 ， 40； TELNET，網(wǎng)管中心對(duì)公司內(nèi)部局域網(wǎng)進(jìn)行遠(yuǎn)程控制管理。 總公司與分公司網(wǎng)絡(luò)規(guī)劃 PPP連接需封裝 CHAP 認(rèn)證，認(rèn)證密碼設(shè)為：123； OSPF 技術(shù)實(shí)現(xiàn)網(wǎng)絡(luò)連接。 OSPF 路由協(xié)議的相關(guān)配置過(guò)程有如下幾個(gè)步驟： （ 1） 在相關(guān)路由器或三層交換上指定使用 ospf 協(xié)議，協(xié)議 ID為 10。 （ 2） 在不同型號(hào)的路由設(shè)備上設(shè)置其路由 ID； （ 3） 指定與路由器相連的網(wǎng)絡(luò)，區(qū)域號(hào)設(shè)置為 0。 IP,其 IP地址范圍是： ； 14 ACL 技術(shù)，僅允許后勤部網(wǎng)段的 80端口可以訪問(wèn)分公司服務(wù)器。 總公司與廣域網(wǎng)間網(wǎng)絡(luò)規(guī)劃 NAT 技術(shù)，將公司內(nèi)部私有的 IP 地址轉(zhuǎn)換為公有的 IP 地址，使得公司內(nèi)部網(wǎng)絡(luò)接入廣域網(wǎng)。該 NAT 的配置大致可分為以下步驟： （ 1） 在邊緣路由器和 ISP 路由器上配置訪問(wèn)控制鏈表，用以規(guī)定允許訪問(wèn)廣域網(wǎng) IP 范圍； （ 2） 將訪問(wèn)控制鏈表與相應(yīng)的路由端口映射在一起； （ 3） 指定 NAT 網(wǎng)絡(luò)內(nèi)部和外部接口，用以確定 NAT 網(wǎng)絡(luò)數(shù)據(jù)的流 向。 ，應(yīng)用 ACL 技術(shù)，過(guò)濾網(wǎng)絡(luò)中的流量 ，實(shí)現(xiàn)禁止保安部與后勤部訪問(wèn)互聯(lián)網(wǎng)上資源的功能 。 DHCP 協(xié)議，使得緣路由器與外網(wǎng)連接的端口可以自動(dòng)獲得 IP地址。 DHCP 協(xié)議的配置主要有以下步驟 : （ 1）設(shè)定 DHCP 協(xié)議 IP 地址池； （ 2）定義 DHCP 網(wǎng)絡(luò)地址，即一個(gè)網(wǎng)段，所有該網(wǎng)段內(nèi)的網(wǎng)絡(luò)設(shè)備只能獲得規(guī)定的該網(wǎng)段內(nèi)的 IP 地址； （ 3）配置該網(wǎng)段的網(wǎng)關(guān)； （ 4）給該網(wǎng)段配置 DNS； （ 5）除去某些預(yù)留的 IP地址段，網(wǎng)段內(nèi)設(shè)備啟動(dòng) DHCP 協(xié)議獲取 IP地 址時(shí)，不能獲取該段內(nèi)的 IP 地址。 15 總公司與合作伙伴間網(wǎng)絡(luò)規(guī)劃 總公司與其合作伙伴間采用點(diǎn)對(duì)點(diǎn)通信并結(jié)合 幀中繼技術(shù)，其網(wǎng)絡(luò)設(shè)計(jì)主要分為以下步驟 : （ 1） 在相關(guān)路由器廣域網(wǎng)端口上封裝 幀中繼協(xié)議； （ 2） 在上述物理端口上建立虛擬子接口，設(shè)置其為 pointtopoint類型，并為其配置相應(yīng) IP地址； （ 3） 給子接口配置 DLCI 值并建立對(duì)端協(xié)議地址與本地 DLCI 的映射關(guān)系； （ 4） 配置幀中繼中云相關(guān)端口 ,指定數(shù)據(jù)流流向的端口，從而實(shí)現(xiàn) 點(diǎn)對(duì)點(diǎn)通信的鏈路連接。 總公司與出差人員間網(wǎng)絡(luò)規(guī)劃 總公司與 在外出員工間采用 VPN 技術(shù)，實(shí)現(xiàn)出差人員 能夠訪問(wèn)總公司的服務(wù)器功能 。在 VPN 設(shè)計(jì)中，主要做以下工作 : （ Inter 密鑰交換）協(xié)議設(shè)置： （ 1）分別對(duì)通信兩端 建立 isakmp 策略并且采用 3des 加密協(xié)議； （ 2）哈希采用 md5算法驗(yàn)證，雙方采用欲共享密鑰認(rèn)證方式； （ 3）對(duì)通道進(jìn)行加密，并設(shè)置對(duì)端 IP地址； （ 4）為了增強(qiáng)數(shù)據(jù)傳輸中的安全性， 創(chuàng)建變換集，采用 esp3des 和 espmd5hmac 算法。 16 ２ .應(yīng)用 ACL技術(shù)定義感興趣流，確定通信雙方數(shù)據(jù)的流向。 ３ .通過(guò)創(chuàng)建加 密圖將感興趣流與變換集映射在一起，從而確定了受保護(hù)的數(shù)據(jù)流。 ４ .將加密圖綁定在對(duì)應(yīng)的端口上。 以上比較詳細(xì)的介紹了整個(gè)模擬網(wǎng)絡(luò)項(xiàng)目工程總體規(guī)劃以及其中比較重要的網(wǎng)絡(luò)技術(shù)或協(xié)議的設(shè)計(jì)流程，接下來(lái)是整個(gè)模擬網(wǎng)絡(luò)工程拓?fù)涞呐渲谩? 17 第 5 章 網(wǎng)絡(luò)模擬實(shí)驗(yàn)項(xiàng)目配置概述 核心層交換機(jī)配置 在核心層交換機(jī)上配置 :VLAN VLAN VLAN VLAN8 四個(gè)虛擬局網(wǎng)段分別分配給：銷售部、研發(fā)部、后勤部及保安部。配置命令如下： ： Sw35(config)vlan 2 Sw35(configvlan)vlan 3 Sw35(configvlan)vlan 4 Sw35(configvlan)vlan 8 Sw35(configvlan)exit f0/ f0/ f0/ f0/8 端口分別接入到四個(gè)局域網(wǎng)中，而且這四個(gè)端口分別連接到四個(gè)部門的接入層交換機(jī)上，這里僅列出一個(gè)端口的配置，其他端口配置與此相似： Sw35(config)int f0/2 Sw35(configif)switchport access vlan 2 Sw35(configif)switchport mode access DHCP 協(xié)議配置 IP DHCP 地址池分別命名為： xsb,yfb,hqb 分別分配給銷售部、研發(fā)部、后勤部，其中之一配置為： Sw35(config)ip dhcp pool xsb Sw35(dhcpconfig) Sw35(dhcpconfig)defaultrouter Sw35(dhcpconfig)dns IP地址，其相關(guān)配置是： 18 Sw35(config)ip dhcp excludedaddress Sw35(config)ip dhcp excludedaddress Sw35(config)ip dhcp excludedaddress VLAN子接口，各部門的計(jì)算機(jī)可以自動(dòng)獲得 IP： Sw35(configif)int vlan 2 Sw35(configif)ip add Sw35(configif)int vlan 3 Sw35(configif)ip add Sw35(configif)int vlan 4 Sw35(configif)ip add VLAN 間的通信，需要開(kāi)啟路由功能，其命令是： Sw35(config)ip routing ： Sw35(config)line vty 0 15 Sw35(configline)pass 123 Sw35(config)enable pass 456 Sw35(config)ip defaultgateway Sw35(config)int f0/1 Sw35(configif)ip add ： R1(config)int f0/0 R1(configif)no shut R1(configif)ip add R1(config)int s1/0 R1(configif)no shut R1(configif)ip add OSPF 路由協(xié)議實(shí)現(xiàn)總公司與分公司間相互通信，其中配置核心層交換機(jī)、路由器 R R2的路由 ID分別為： 、 、 ，其中僅列出了核心層交換機(jī)上 OSPF 的配置： Sw35(configif)int f0/6 Sw35(configif)no switchport Sw35(configif)ip add 19 Sw35(config)router ospf 10 Sw35(configrouter)routerid Sw35(configrouter) a 0 DHCP 中繼服務(wù)地址池 254，為保安部提供動(dòng)態(tài) IP: R2(config)ip dhcp pool bab R2(dhcpconfig) R2(dhcpconfig)defaultrouter R2(dhcpconfig)dns VLAN 8 配置 IP，由于 DHCP 服務(wù)器與保安部設(shè)備不在同一廣播域內(nèi)，需要應(yīng)用 IP Helperaddress 技術(shù)