【正文】 防火墻 ： 電子工業(yè)出版社 ， [4]楊簡(jiǎn) .網(wǎng)絡(luò)組建、管理與維護(hù) ： 電腦報(bào)電子音像出版社 ， [5]雷震甲 .網(wǎng)絡(luò)工程師教程第四版 ： 清華大學(xué)出版社 ， 。 冉清夢(mèng) 二 O 一五年五月 于重慶 信息工程學(xué)院畢業(yè)論文（設(shè)計(jì)） 重慶三峽學(xué)院無(wú)線網(wǎng)絡(luò) 項(xiàng)目設(shè)計(jì) 論文（設(shè)計(jì)） 17 參 考 文 獻(xiàn) [1]陳涓譯 .TCP\IP 基礎(chǔ)教程 (基于實(shí)驗(yàn)的方法 )： 人民郵電出版社 ， [2]王達(dá) .（第 2 版） ： 中國(guó)水利水電出版社 ， [3]肖鐵嶺 .網(wǎng)管天下 交換機(jī) 在論文即將完成之際，我的心情無(wú)法平靜，從開(kāi)始進(jìn)入課題到論文的順利完成，有多少可敬的老師、同事、朋友、同學(xué)給了我無(wú)言的幫助，在這里請(qǐng)接受我誠(chéng)摯的謝意！最后，我要向百忙之中抽時(shí)間對(duì)本文進(jìn)行審閱，評(píng)議和參與本人論文答辯的各位老師表示感謝。為了孩子們能夠受到良好的教育，他們比普通農(nóng)民父母承受了更多的辛苦。 我還要特別感謝我的父母。在此，我對(duì)所有的學(xué)院老師表示感謝，祝你們身體健康，工作順利！ 并祝愿母校蒸蒸日上。大學(xué)生活即將結(jié)束，回顧幾年的歷程，老師們給了我們很多指導(dǎo)和幫 助。 （ 1） 工程文檔交付物 （ 2） 校園網(wǎng)運(yùn)維項(xiàng)目實(shí)施方案 （ 3） 校園網(wǎng)運(yùn)維項(xiàng)目拓?fù)鋱D （ 4） 校園網(wǎng)運(yùn)維項(xiàng)目 IP 地址規(guī)劃表 （ 5） 校園網(wǎng)運(yùn)維項(xiàng)目項(xiàng)目割接方案 （ 6） 項(xiàng)目實(shí)施后，銳捷工程師將在現(xiàn)場(chǎng) 實(shí)施網(wǎng)絡(luò)進(jìn)行基礎(chǔ)運(yùn)行維護(hù)培訓(xùn)。避免造成廣播風(fēng)暴影響核心網(wǎng)絡(luò)的轉(zhuǎn)發(fā)；用戶(hù) Vlan更改被動(dòng)接口，拒絕用戶(hù)接收 OSPF 的 hello 報(bào)文，提高網(wǎng)絡(luò)效率； 網(wǎng)絡(luò)出口及匯聚設(shè)備部署防病毒 ACL，防止內(nèi)外網(wǎng)的非法用戶(hù)針對(duì)校內(nèi)的SAM、 ePortal 等關(guān)鍵服務(wù)器進(jìn)行惡意掃描、數(shù)據(jù)入侵等操作， 匯聚區(qū)設(shè)備配置實(shí)現(xiàn) 。 針對(duì)動(dòng)態(tài)獲取 IP 地址的區(qū)域部署 ip dhcp snooping，對(duì)設(shè)備下的每用戶(hù)進(jìn)行IP 地址的合法檢測(cè)；在設(shè)備上聯(lián)端口開(kāi)啟 dhcp snooping trust 功能，只允許用戶(hù)從合法的端口獲取 IP 地址，有效防止用戶(hù)私設(shè) DHCP 服務(wù)器；每端口下開(kāi)啟IPSG+ARPCheck 功能，通過(guò)匹配 dhcp snoooping 數(shù)據(jù)庫(kù)中的用戶(hù)信息，來(lái)進(jìn)行非法篩選，有效防止用戶(hù)私設(shè) IP 地址。 接入安全規(guī)劃 重慶三峽學(xué)院數(shù)字化校園網(wǎng)建設(shè)項(xiàng)目中，在設(shè)備部署 接入安全策略，防止因內(nèi)網(wǎng)攻擊所導(dǎo)致 的網(wǎng)絡(luò)不穩(wěn)定的情況發(fā)生。 本網(wǎng)絡(luò)設(shè)計(jì)中，在核心 57 上開(kāi)啟 DHCP 功能，同時(shí)開(kāi)啟 ip dhcp snooping，開(kāi)啟 IPSG。 信息工程學(xué)院畢業(yè)論文（設(shè)計(jì)） 重慶三峽學(xué)院無(wú)線網(wǎng)絡(luò) 項(xiàng)目設(shè)計(jì) 論文（設(shè)計(jì)） 13 防 ARP 攻擊設(shè)計(jì) IP 源防護(hù)（ IP Source Guard，簡(jiǎn)稱(chēng) IPSG）是一種基于 IP/MAC 的端口流量過(guò)濾技術(shù)，它可以防止局域網(wǎng)內(nèi)的 IP 地址欺騙攻擊。并定義一個(gè) NAT 地址池，包含電信、移動(dòng)的地址，實(shí)現(xiàn)負(fù)載均衡的效果。 aaa newmode \\開(kāi)啟 AAA 認(rèn)證開(kāi)關(guān) aaa group server radius default \\配置 AAA 認(rèn)證服務(wù)器組 aaa accounting update periodic 15 \\設(shè)置記賬更新時(shí)間間隔為 15 分鐘 aaa accounting update \\打開(kāi)記賬更新功能 aaa accounting work default startstop group radius \\打開(kāi)記賬報(bào)文發(fā)送功能 aaa authentication dot1x default group radius \\定義 AAA 認(rèn)證方法列表 radiusserver host \\指定 Radius 服務(wù)器的 IP 地 址 radiusserver key 7 06142b0a251c17 \\定義與 Radius 服務(wù)器通信的口令 dot1x authentication default \\使用 AAA 服務(wù)和 default 列表進(jìn)行認(rèn)證 dot1x probetimer alive 300 \\配置客戶(hù)端探測(cè)定時(shí)器 dot1x clientprobe enable \\打開(kāi)客戶(hù)端在線探測(cè)功能 dot1x portcontrol auto \\打開(kāi)端口下的 dot1x 認(rèn)證功能 snmpserver enable traps \\打開(kāi)設(shè)備的 SNMP traps 消息主動(dòng)發(fā)送功能 snmpserver munity 7 0251563e120f3b rw \\指定 SNMP 團(tuán)體的訪問(wèn)字符 防火墻部署規(guī)劃 防火墻目前部署為透明模式，通過(guò)綁定下聯(lián)至核心及上聯(lián)至 ACE 的兩個(gè)端口為透明橋組，對(duì)流經(jīng)這兩個(gè)端口的數(shù)據(jù)進(jìn)行統(tǒng)計(jì)；并開(kāi)啟防火墻特有的病毒防護(hù)、入侵防御和應(yīng)用控制的功能性授權(quán)，全面保證內(nèi)網(wǎng)數(shù)據(jù)的安全性。添加完成之后， eLog 會(huì)自動(dòng)記錄 SAM 認(rèn)證用戶(hù)的流量、 url 及相關(guān)日志；設(shè)備的流量、 NAT 等相關(guān)日志。 配置 eLog 日志系統(tǒng)，成安裝之后，通過(guò)在 IE 瀏覽器輸入 來(lái)訪問(wèn)并管理 eLog，在系統(tǒng)參數(shù)配置中完成與SAM服務(wù)器的聯(lián)動(dòng)配置，并在設(shè)備管理中分別添加 EG及 WALL 設(shè)備。 日志系統(tǒng)規(guī)劃設(shè)計(jì) 安裝 CentOS，由于 Log 日志系統(tǒng)目前不支持在 Windows 系統(tǒng)上運(yùn)行，需安裝 CentOS 系統(tǒng)之后，再在 CentOS 系統(tǒng)上安裝 eLog。 兩臺(tái) AC 通過(guò)協(xié)商確定主 AC 和備 AC， AC 間通過(guò)?；顧C(jī)制進(jìn)行?；?； AP 與主 AC 建立主 CAPWAP 隧道，與備 AC 建立備 CAPWAP 隧道； 用戶(hù)使用無(wú)線客戶(hù)端關(guān)聯(lián)到 AP； 用戶(hù)通過(guò) AP 與 AC 的主 CAPWAP 隧道與外部進(jìn)行網(wǎng)絡(luò)通信； 當(dāng)主 AC 發(fā)生故障，備 AC 檢測(cè)到?；畛瑫r(shí)，馬上通知 AP； 備 AC與 AP 之間的備用 CAPWAP 隧道被激活；備 AC 變成主 AC； 用戶(hù)的業(yè)務(wù)在備 CAPWAP 隧道激活后恢復(fù)正常； 當(dāng)原主 AC 恢復(fù)正常，與新主 AC 重新建立 熱備關(guān)系，原主 AC 變成備 AC； AP 與之建立備 CAPWAP 隧道；用戶(hù)的業(yè)務(wù)不會(huì)中斷。 CAPWAP 通信隧道是一種點(diǎn)到點(diǎn)的隧道，是一種單播隧道。關(guān)于 AC 和 AP 間的協(xié)作規(guī)范在 RFC5415，即 CAPWAP 協(xié)議中定義。在瘦 AP 模式的部署中，有兩類(lèi)無(wú)線設(shè)備： AC(Access Controller，無(wú)線控制器 )和 AP；AP 需要與 AC 建立連接，然后用戶(hù)在 AC 上進(jìn)行統(tǒng)一配置， AC 會(huì)把相關(guān)配置下發(fā)給 AP。 無(wú)線 AC 熱備 在無(wú)線局域網(wǎng)的部署中，當(dāng)前有兩種部署方式：瘦 AP(Access Point，無(wú)線接入點(diǎn) )模式和胖 AP 模式。 簡(jiǎn)化管理， 兩臺(tái)交換機(jī)組成 VSU 后，管理員可以對(duì)兩臺(tái)交換機(jī)統(tǒng)一管理，不需要分別配置管理兩臺(tái)交換機(jī)； 簡(jiǎn)化網(wǎng)絡(luò)拓?fù)洌?VSU 在網(wǎng)絡(luò)中相當(dāng)于一臺(tái)交換機(jī)，通過(guò)聚合鏈路和外圍設(shè)備連接，不存在二層環(huán)路，不需要配置 MSTP，各種控制協(xié)議作為一臺(tái)交換機(jī)運(yùn)行。 為了解決傳統(tǒng)網(wǎng)絡(luò)的這些問(wèn)題，提出把兩臺(tái)物理交換機(jī)組合成一臺(tái)虛擬交換機(jī)的新技術(shù)，稱(chēng)為 VSU，全稱(chēng)是 Virtual Switch Unit，即虛擬交換 單元。 傳統(tǒng)網(wǎng)絡(luò)存在的缺陷有：網(wǎng)絡(luò)拓?fù)鋸?fù)雜，管理困難。 VSU 設(shè)計(jì) 在傳統(tǒng)網(wǎng)絡(luò)中，為了增強(qiáng)網(wǎng)絡(luò)的可靠性，在核心層部署了兩臺(tái)交換機(jī)，所有的匯聚交換機(jī)都有兩條鏈路分別連接到兩臺(tái)核心層交換機(jī)。此外，將各區(qū)域 (除區(qū)域 0 以外 )設(shè)置為 total stub區(qū)域，保留本區(qū)路由及缺省路由，并將匯聚上聯(lián)至核心的端口設(shè)置為點(diǎn)到點(diǎn)的接口類(lèi)型，加快 OSPF 進(jìn)程的收斂速度，并可以避免接口 UP/DOWN 時(shí)，影響路由全網(wǎng)震蕩核心交換機(jī)通過(guò)默認(rèn)路由指向出口設(shè)備。局域信息工程學(xué)院畢業(yè)論文（設(shè)計(jì)） 重慶三峽學(xué)院無(wú)線網(wǎng)絡(luò) 項(xiàng)目設(shè)計(jì) 論文（設(shè)計(jì)） 6 網(wǎng)核心交換機(jī)為局域網(wǎng)與廣域網(wǎng)的路由邊界點(diǎn)，負(fù)責(zé) OSPF 與靜態(tài)路由的再發(fā)布。 漫游需求的規(guī)劃一是要確定漫游的范圍，二是要確保覆蓋范圍內(nèi)無(wú)線信號(hào)的無(wú)縫覆蓋。合理的進(jìn)行信道規(guī)劃，降低同頻干擾，同時(shí)樓層之間的泄漏信號(hào)干擾也要考慮在內(nèi)。為了方便使用和管理，此次項(xiàng)目所有區(qū)域均采用相同 SSID，且客戶(hù)嚴(yán)格要求校園無(wú)線的 SSID 為SanXiaU，移動(dòng)無(wú)線網(wǎng)絡(luò)為 CMCCEDU。 信息工程學(xué)院畢業(yè)論文（設(shè)計(jì)） 重慶三峽學(xué)院無(wú)線網(wǎng)絡(luò) 項(xiàng)目設(shè)計(jì) 論文（設(shè)計(jì)） 5 AP 管理 IP 地址段為 ，通過(guò) DHCP 進(jìn)行下發(fā)管理地址，以便與管理 AP 的工作情況。 用戶(hù)地址段規(guī)劃 無(wú)線 SSID 信號(hào)為 SanXiaU 的無(wú)線用戶(hù) IP 地址段為： ， 通過(guò)DHCP 獲取，建議采用外置專(zhuān)用的 DHCP 服務(wù)器。 （ 2） 接入網(wǎng)關(guān)下的 IP 地址已經(jīng)使用完