【正文】 NAT 的配置 ASA1(config)ip nat pool telepool mask ASA1(config)ip nat inside source list 10 pool telepool overload ASA1(config) interface FastEther0/0 ASA1(configif) ip address ASA1(configif) ip nat inside ASA1(configif)exit ASA1(config) interface Serial2/0 ASA1(configif) ip address ASA1(configif) ip nat outside ASA1(configif) clock rate 64000 查看 NAT 轉(zhuǎn)換細節(jié)如圖 57，轉(zhuǎn)換效果結(jié)果如圖 58 所示。 核心 1 配置： Core_1(config)router ospf 10 Core_1(configrouter)routerid Core_1(configrouter)work area 0 Core_1(configrouter)work area 0 Core_1(configrouter)work area 0 Core_1(configrouter)work area 0 Core_1(configrouter)work area 0 Core_1(configrouter)work area 0 教學區(qū)匯聚層配置： Jiaoxuequ(config)router ospf 10 Jiaoxuequ(configrouter)routerid 3. Jiaoxuequ(configrouter)work area 0 Jiaoxuequ(configrouter)work area 0 Jiaoxuequ(configrouter)work area 1 Jiaoxuequ(configrouter)work area 1 Jiaoxuequ(configrouter)work area 1 Jiaoxuequ(configrouter)work area 1 Jiaoxuequ(configrouter)work area 1 Jiaoxuequ(configrouter)work area 1 查看核心 2 的路由表結(jié)果如圖 56 所示。 OSPF 可以分為不同的區(qū)域 。 核心 2 中 Root ID 是 4116 ， Bridge ID 是 12308，所以核心 2 不是 VLAN 的根。 具體配置如下： Core_1(config)spanningtree mode pvst Core_1(config)spanningtree vlan 1,10,20,30 priority 4096 Core_2(config)spanningtree mode pvst Core_2(config)spanningtree vlan 1,10,20,30 priority 4096 查看核心 1 和 核心 2 的 PVST 配置結(jié)果如圖 5 55 所示。 圖 52 核心 1的 HSRP 配置 圖 鏈路聚合的配置 core_1(config)int portchannel 1 core_1(configline)sw mode trunk core_1(configline)exit core_1(config)int range f0/2324 core_1(configlinerange) switchport trunk encapsulation dot1q core_1(configlinerange) switchport mode trunk core_1(configlinerange)channelgroup 1 mode active 24 查看鏈路聚合的命令： show etherchannel summary 結(jié)果如圖 53 所示。 圖 51 基本配置顯示 圖 HSRP 的配置 HSRP 路由熱備協(xié)議，主要作用是當網(wǎng)絡(luò)中主路由器發(fā)生故障時，主路由器上的業(yè)務(wù)不會中斷，而是自動切換到備份路由器上， 從而 保障業(yè)務(wù)正常 。 21 第 5 章 網(wǎng)絡(luò)的地址規(guī)劃和主要配置 VLAN 的劃分 表 51 VLAN 劃分 參數(shù) 型號 VLANID VLANname VLANIP VLAN 網(wǎng)關(guān) 設(shè)備互聯(lián)VLAN 1 無 10 無 20 無 30 無 業(yè)務(wù) VLAN 教學區(qū) 11 jikexi 12 wenfaxueyuan 13 shulixueyuan 14 Jiguanxi 15 tumujianzhu 16 huanjinggongcheng 17 dianqixueyuan 宿舍區(qū) 21 Sushe1 22 Sushe2 23 Sushe3 24 Sushe4 25 Sushe5 26 Sushe6 綜合區(qū) 31 bangonglou 32 tushuguan 33 jietijiaoshi 34 Huodongzhongxin 35 Canting 36 kanyanlou 服務(wù)器集群地址 防火墻內(nèi)聯(lián)地址 防火墻外聯(lián)地址 移動運營商地址 教育網(wǎng)地址段 設(shè)備的主要配置 基本配置 基本配置包括設(shè)備的命名，配置登陸密碼，登陸旗標， IP 地址等。方案中所選用的接入層交換機具有 DHCP OPTION82 的功能，可以實現(xiàn)按用戶權(quán)限分配 IP地址的功能。目前可基于用戶的源 IP 和用戶所屬 VLAN 實現(xiàn)對用戶權(quán)限權(quán)限控制。 在校園里，不知來源的廣播風暴擾亂整個網(wǎng)絡(luò)運行，一些自詡“民間高手”的學生對節(jié)點發(fā)起攻擊，大量的 P2P 應(yīng)用，私設(shè) DHCP 服務(wù)器過一把癮的情況時有發(fā) 生，加上橫行不絕的垃圾郵件，蠕蟲病毒擴散，讓校園網(wǎng)這個青春時尚的網(wǎng)絡(luò)表現(xiàn)得和它的使用者一樣多變而躁動，令校園網(wǎng)管理人員防不勝防。這樣就迫使攻擊者測試巨大數(shù)量的密碼，從而增加他解密的時間。例如，如果你的密碼包含四個字節(jié)，但你僅使用了數(shù)字，那么可能的密碼就是 10 的四次方，即 10000 個。 WPA2 加密將 SSID 作為密碼的一部分來使用。這類密碼更具安全性。不見得要用長而難記的密碼，大可以使用一些表達，如“ makemywirelessworksecure”等取代原來較短的密碼。比如： WPA2 加密 —— WPA2 是最新的安全運算法則，它貫徹到了整個無線系統(tǒng)，可以從配置屏幕中進行選取。這種不安全性給無線網(wǎng)絡(luò)帶來了巨大的安全威脅。 無線網(wǎng)絡(luò)的安全機制 密碼加密機制 因 為無線網(wǎng)絡(luò)是一個大的共享式網(wǎng)絡(luò)，在無線信號覆蓋范圍內(nèi)，終端設(shè)備 發(fā)送和接受的信息都是以廣播形式傳遞。 在本無線網(wǎng)絡(luò)的設(shè)計中采用定點無線網(wǎng)絡(luò)和移動無線網(wǎng)絡(luò)相結(jié)合的特點。 網(wǎng)絡(luò)系統(tǒng)的設(shè)計必須貫徹可靠性原則，使網(wǎng)絡(luò)系統(tǒng)具有很高的可用性。 網(wǎng)絡(luò)設(shè)計在充分考慮當前情況的同時，必須考慮到今后較長時期內(nèi)業(yè)務(wù)發(fā)展的需要，留有充分的升級和擴充的可能性。而且可以有更多的交互性，學校精品課程、優(yōu)秀教師的課堂錄像資料等可以通過 VOD 視頻點播、 AOD 音頻點播 ，學生可以分享優(yōu)秀教學資源 提高了學習的效率和質(zhì)量。 19 無線校園的應(yīng)用范圍 基礎(chǔ)無線應(yīng)用 多數(shù)高校建設(shè)無線網(wǎng)的目的，主要是解決難于進行綜合布線的公共區(qū)域（如會議中心、圖書館等）上網(wǎng)問題。 無線局域網(wǎng)的一個重大特性就是可以“隨時、隨地”地實現(xiàn)無線通信。 只要安裝了一個或多個無線接入點 AP 設(shè)備，就可建立覆蓋整個建筑或地區(qū)的局域網(wǎng)絡(luò)，它不受環(huán)境條件制約，網(wǎng)絡(luò)的傳輸范圍得到了拓寬，借助于外接天線（做鏈接），傳輸距離則可以達到 30～ 50 公里甚至更遠，這要視天線本身的增益而定。 構(gòu)建無線校園網(wǎng) 的優(yōu)勢 有線網(wǎng)絡(luò)在很多 場合受到布線的制約；布線、改線工程量大；線路易于損壞；固定的網(wǎng)絡(luò)各節(jié)點無法移動。無線電波包括短波、超短波和微波等。 常用的計算機無線通信技術(shù)有光波和無線電波。 如圖 34 所示。 NAT 工作原理 ： 借助于 NAT，私有（保留）地址的“內(nèi)部”網(wǎng)絡(luò)通過路由器發(fā)送數(shù)據(jù)包時，私有地址被轉(zhuǎn)換成合法的 IP 地址，一個局域網(wǎng)只需使用少量 IP 地址即可實現(xiàn)私有地址網(wǎng)絡(luò)內(nèi)所有計算機與 Inter 的通信需求。 NAT 不僅能解決了 IP 地址不足的問題，而且還能夠有效地避免來自網(wǎng)絡(luò)外部的攻擊，隱藏并保護網(wǎng)絡(luò)內(nèi)部的計算機。在實際應(yīng)用中， NAT 主要用于實現(xiàn)私有網(wǎng)絡(luò)訪問公共網(wǎng)絡(luò)的功能。 可以在路由器端口處決定哪種類型的通信流量被轉(zhuǎn)發(fā)或被阻塞。 是提供網(wǎng)絡(luò)安全訪問的基本手段。 提供對通信流量的控制手段。 ACL 的作用： 可以限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能。 ACL 訪問控制列表 信息點間通信和內(nèi)外網(wǎng)絡(luò)的通信都是企業(yè)網(wǎng)絡(luò)中必不可少的業(yè)務(wù)需求，為了保證內(nèi)網(wǎng)的安全性，需要通過安全策略來保障非授權(quán)用戶只能訪問特定的網(wǎng)絡(luò)資源，從而達到對訪問進行控制的目的。 因為有相似網(wǎng)絡(luò)需求的用戶將共享同一個 VLAN。 含有敏感數(shù)據(jù)的用戶組可與網(wǎng)絡(luò)的其余部分隔離，從而降低泄露機密信息的可能性。使用 VLAN，可以將某個交換端口或用戶賦予 某一個特定的 16 VLAN 組，該 VLAN 組可以在一個交換網(wǎng)中跨接多個交換機，在一個 VLAN 中的廣播不會傳播到其他的 VLAN。 VLAN 的優(yōu)點： 將網(wǎng)絡(luò)劃分為多個 VLAN 可減少參與廣播風暴的設(shè)備數(shù)量。 安全技術(shù)（ VLAN 、 ACL） VLAN（ Virtual Local Area Network）的中文名為“虛擬局域網(wǎng)”。 （ 2）組網(wǎng)靈活，可擴展性好，即插即用。無線接入網(wǎng)是指部分或全部采用無線電波這一傳輸媒質(zhì)連接用戶與交換中心的一種接入技術(shù)。無線信道傳輸?shù)男盘枒?yīng)遵循一定的協(xié)議，這些協(xié)議即構(gòu)成無線接入技術(shù)的主要內(nèi)容。 無線接入技術(shù) 無線接入技術(shù)是無線通信的關(guān)鍵問題。 VPN 可通過服務(wù)器、硬件、軟件等多種方式實現(xiàn)。 VPN 網(wǎng)關(guān)通過對數(shù)據(jù)包的加密和數(shù)據(jù)包目標地址的轉(zhuǎn)換實現(xiàn)遠程訪問。 VPN 技術(shù) VPN 即虛擬專用網(wǎng)技術(shù)，屬于遠程訪問技術(shù)，簡單地說就是利用公用網(wǎng)絡(luò)架設(shè)專用網(wǎng)絡(luò)。它使用 ISL 中繼和允許一個 VLAN中繼，當被其它 VLANs 阻塞時將一些 VLANs 轉(zhuǎn)發(fā)。 在本次校園網(wǎng)設(shè)計中，采用 PVST（每個 VLAN 生成樹）協(xié)議。廣播風暴將嚴重影響網(wǎng)絡(luò)和主機性能，會導致 網(wǎng)絡(luò)癱瘓。這種設(shè)計的目的是防止一條鏈路或一臺交換機發(fā)生故障導致整個網(wǎng)絡(luò)中斷。 生成樹技術(shù) 生成樹協(xié)議 是用來維護一個無環(huán)路的交換網(wǎng)絡(luò)。從這以后，當 A 向 B 發(fā)送的數(shù)據(jù)包便全部交給二層交換處理，信息得以高速交換。當發(fā)送站 A 對“缺省網(wǎng)關(guān)”的 IP 地址廣播出一個 ARP 請求時，如果三層交換模塊在以前的通信過程中已經(jīng)知道 B 站的 MAC 地址，則向發(fā)送站 A 回復(fù) B 的 MAC 地址。若目的站 B 與發(fā)送站 A 在 同一子網(wǎng)內(nèi)，則進行二層的轉(zhuǎn)發(fā)。簡單地說，三層交換技術(shù)就是：二層交換技術(shù) +三層轉(zhuǎn)發(fā)技術(shù)。 交換技術(shù) 三層交換（也稱多層交換技術(shù)）是相對于傳統(tǒng)交換概念而提出的。除此之外，鏈路聚合可以實現(xiàn)負載均衡。 鏈路聚合的原理：邏輯鏈路的帶寬是原來的 n 倍 ，這里， n 為聚合的路數(shù)。當交換機檢測到其中一個成員端口的鏈 14 路發(fā)生故障時，就停止在此端口上發(fā)送報文，并根據(jù)負荷分擔策略在剩下鏈路中重新計算報文發(fā)送 的端口，故障端口恢復(fù)后再次重新計算報文發(fā)送端口。路由器的缺省優(yōu)先級是 100，所以如果只設(shè)置一個路由器的優(yōu)先級高于 100，則該路由器將成為主動路由器。 HSRP 協(xié)議利用一個優(yōu)先級方案來決定哪個配置了 HSRP 協(xié)議的路由器成為默認的主動路由器。HSRP 協(xié)議提供了一種決定使用主動路由器還是備份路由器的機制，并指定一個虛擬的 IP 地址作為網(wǎng)絡(luò)系統(tǒng)的缺省網(wǎng)關(guān)地址。 HSRP 的工作原理：負責轉(zhuǎn)發(fā)數(shù)據(jù)包的路由器稱之 為主動路由器（ Active Router）。在任意 時刻，一個組內(nèi)只有一個路由器是活動的，并由它來轉(zhuǎn)發(fā)數(shù)據(jù)包，如果活動路由器發(fā)生了故障，將選擇一個備份路由器來替代活動路由器，但是在本網(wǎng)絡(luò)內(nèi)的主機看來，虛擬路由器沒有改變。 HSRP 熱備份路由器協(xié)議（ HSRP）的設(shè)計目標是支持特定情況下 IP 流量失敗轉(zhuǎn)移不會引起混亂、并允許主機使用