【正文】 n 40 root secondaryspanningtree vlan 50 root secondaryspanningtree vlan 60 root secondaryspanningtree vlan 70 root secondaryspanningtree vlan 80 root secondaryspanningtree vlan 90 root secondaryspanningtree vlan 100 root secondaryin vlan 10no shuip add ip helperaddress standby 10 ip standby 10 priority 100in vlan 20no shuip add ip helperaddress standby 20 ip standby 20 priority 100in vlan 30no shuip add ip helperaddress standby 30 ip standby 30 priority 100in vlan 40no shuip add ip helperaddress standby 40 ip standby 40 priority 100in vlan 50no shuip add ip helperaddress standby 50 ip standby 50 priority 100in vlan 60no shuip add ip helperaddress standby 60 ip standby 60 priority 100in vlan 70no shuip add ip helperaddress standby 70 ip standby 70 priority 100in vlan 80no shuip add ip helperaddress standby 80 ip standby 80 priority 100in vlan 90no shuip add ip helperaddress standby 90 ip standby 90 priority 100in vlan 100no shuip add ip helperaddress standby 100 ip standby 100 priority 10035interface FastEthernet0/1no switchportip address exrouter ospf 10network area 0network area 0network area 0network area 0network area 0network area 0network area 0network area 0network area 0network area 0network area 0exip route 實訓樓accesslist 100 deny ip accesslist 100 deny ip accesslist 100 deny ip accesslist 100 deny ip accesslist 100 deny ip accesslist 100 deny ip accesslist 100 permit ip any anyin vlan 10ip accessgroup 100 in教學樓accesslist 101 deny ip accesslist 101 deny ip accesslist 101 deny ip accesslist 101 deny ip accesslist 101 deny ip accesslist 101 deny ip accesslist 101 permit ip any anyin vlan 20ip a。因為在連接到Internet上的出口處，我們選用了思科 ASA5520BUNK9防火墻來有效的保護內部網(wǎng)絡的安全。3) 防止內外的攻擊威脅。如內網(wǎng)、外網(wǎng)和Internet之間，利用防火墻進行訪問控制和內容過濾。2) 加強網(wǎng)絡邊界的訪問控制。下面主要幾方面的網(wǎng)絡層安全防護： 1) 劃分安全子網(wǎng)。定義一個網(wǎng)絡或各網(wǎng)絡內不同安全等級的部分為不同的安全域。解決的技術手段主要有以下幾種：采用主機加固手段加固主機，如升級、及時打補丁、關閉不需要的端口和服務等；對系統(tǒng)重要文件進行及時備份、加密來保障系統(tǒng)文件的安全；及時更新殺毒軟件，定時掃描漏洞保障系統(tǒng)安全；嚴格控制權限加強對主機的訪問控制；使用強密碼帳號保障系統(tǒng)帳號的安全；3. 網(wǎng)絡層安全網(wǎng)絡中局域網(wǎng)數(shù)目較多，根據(jù)需要多個網(wǎng)絡可能要互相聯(lián)接。同時，要注意保護線路的安全，防止用戶的搭線竊聽行為。系統(tǒng)中心或機房的建設應遵照相關文案的要求。那么就及上述分析我們應從物理、系統(tǒng)、網(wǎng)絡、應用及管理五個層設計適合于網(wǎng)絡的安全方案。學校網(wǎng)絡的應用水平也在不斷提高。產(chǎn)品電源750W冗余熱插拔電源其他性能RAID支持：RAID 0/1/1+0/5/5+0驅動器：12塊LFF SAS/SATA；支持1個全高全長PCIE8插槽；集成1個雙端口NC326i自適應千兆以太網(wǎng)卡；集成超薄內置DVDRW驅動器；集成遠程iLO2高級管理包；支持CIFS，NFS，NCP；標配1個智能陣列 P212/256MB BBWCFTP服務器參數(shù) 表12 校園網(wǎng)網(wǎng)內的用戶數(shù)量較大，局域網(wǎng)絡數(shù)目較多，經(jīng)過分析可以總結出校園網(wǎng)面臨著如下的安全威脅：（1) 各種操作系統(tǒng)以及應用系統(tǒng)自身的漏洞帶來的安全威脅；（2) Internet網(wǎng)絡用戶對企業(yè)網(wǎng)存在非法訪問或惡意入侵的威脅； (3) 來自企業(yè)網(wǎng)內外的各種病毒的威脅，外部用戶可能通過郵件以及文件傳輸?shù)葘⒉《編肫髽I(yè)內網(wǎng)?？蛻魴C程序代表用戶接收到這個文件，將其存放在用戶目錄中。用戶通過客戶機程序向服務器程序發(fā)出命令，服務器程序執(zhí)行用戶所發(fā)出的命令，并將執(zhí)行的結果返回到客戶機。與大多數(shù)Internet服務一樣，F(xiàn)TP也是一個客戶機/服務器系統(tǒng)。Internet上早期實現(xiàn)傳輸文件，并不是一件容易的事，我們知道 Internet是一個非常復雜的計算機環(huán)境，有PC，有工作站，有MAC，有大型機，據(jù)統(tǒng)計連接在Internet上的計算機已有上千萬臺，而這些計算機可能運行不同的操作系統(tǒng)，有運行Unix的服務器，也有運行Dos、Windows的PC機和運行MacOS的蘋果機等等，而各種操作系統(tǒng)之間的文件交流問題，需要建立一個統(tǒng)一的文件傳輸協(xié)議，這就是所謂的FTP。WWW瀏覽器不僅為用戶打開了尋找Internet上內容豐富、形式多樣的主頁信息資源的便捷途徑，而且提供了Usenet新聞組電子郵件與FTP協(xié)議等功能強大的通信手段。用戶只要操縱鼠標，就可以通過Internet從全世界任何地方調來所需的文本、圖像、聲音等信息。 WWW瀏覽提供界面友好的信息查詢接口，用戶只需提出查詢要求，至于到什么地方查詢，如何查詢則由WWW自動完成。WWW客戶程序在Internet上被稱為WWW瀏覽器（Browser），它是用來瀏覽Internet上WWW主頁的軟件。目前，用戶利用WWW不僅能訪問到Web Server的信息，而且可以訪問到FTP、Telnet等網(wǎng)絡服務。其中WWW服務器采用超文本鏈路來鏈接信息頁，這些信息頁既可放置在同一主機上，也可放置在不同地理位置的主機上；本鏈路由統(tǒng)一資源定位器(URL)維持，WWW客戶端軟件(即WWW瀏覽器)負責信息顯示與向服務器發(fā)送請求。WWW是以超文本標注語言HTML(Hyper Markup Language)與超文本傳輸協(xié)議HTTP(Hyper Text Transfer Protocol)為基礎。DNS服務器型號同DHCP服務器，如表7 。HP ProLiant ML310e Gen8(686146AA5)參數(shù)規(guī)格基本參數(shù)產(chǎn)品類型企業(yè)級產(chǎn)品類別塔式產(chǎn)品結構4U處理器CPU類型Intel 至強E31200 v2CPU型號Xeon E31220 v2CPU頻率標配CPU數(shù)量1顆最大CPU數(shù)量4顆制程工藝22nm三級緩存8MB總線規(guī)格DMI 5GT/sCPU核心四核（Ivy Bridge）主板擴展槽4PCIE 插槽內存內存類型DDR3 UDIMM內存容量2GB內存插槽數(shù)量4存儲硬盤接口類型SATA/SAS標配硬盤容量標配不提供硬盤描述非熱插拔 LFF 英寸SATA，非熱插拔 LFF 英寸SAS，熱插拔 SFF 英寸SAS，熱插拔 SFF 英寸SATA，熱插拔 SFF 英寸SSD內部硬盤架數(shù)最大支持8塊（LFF）SAS/SATA硬盤磁盤控制器動態(tài)智能陣列 B120i，智能陣列P420網(wǎng)絡網(wǎng)絡控制器1Gb 330i以太網(wǎng)適配器，雙端口控制器管理及其它系統(tǒng)管理iLO Management Engine、Insight Control電源性能電源類型非熱插拔電源電源數(shù)量1個電源功率350W DHCP服務器 表10 DNS服務器 DNS服務器在互聯(lián)網(wǎng)的作用是：把域名轉換成為網(wǎng)絡可以識別的ip地址。為了便于統(tǒng)一規(guī)劃和管理網(wǎng)絡中的IP地址，DHCP（Dynamic Host Configure Protocol，動態(tài)主機配置協(xié)議）應運而生了。 DHCP 服務器 動態(tài)主機配置協(xié)議（Dynamic Host Configuration Protocol, DHCP）是一個局域網(wǎng)的網(wǎng)絡協(xié)議。相對于普通PC來說，服務器在穩(wěn)定性、安全性、性能等方面都要求更高，因此CPU、芯片組、內存、磁盤系統(tǒng)、網(wǎng)絡等硬件和普通PC有所不同。CISCO 2811參數(shù)規(guī)格基本參數(shù)路由器類型多業(yè)務路由器網(wǎng)絡標準IEEE 傳輸速率10/100Mbps端口結構模塊化局域網(wǎng)接口2個其它端口擴展模塊2個板載AIM（內部）插槽+4個接口卡插槽+1個插槽（支持NM和NME模塊）功能參數(shù)防火墻內置防火墻Qos支持支持VPN支持支持網(wǎng)絡管理協(xié)議Cisco ClickStart，SNMP其他參數(shù)產(chǎn)品內存DRAM：最大760MB，缺省256MB 閃存：最大128MB，缺省64MB電源電壓AC 100240V，4763Hz電源功率160W產(chǎn)品認證UL 60950，CAN/CSA ，IEC 60950，EN 609501，AS/NZS 60950產(chǎn)品尺寸產(chǎn)品重量CISCO 2811路由器參數(shù) 表9 服務器指一個管理資源并為用戶提供服務的計算機軟件，通常分為文件服務器、數(shù)據(jù)庫服務器和應用程序服務器。路由器的首選品牌是Cisco。其中，RIP和OSPF路由協(xié)議是通用的路由協(xié)議，而EIGRP是cisco公司的專用協(xié)議，只有cisco公司的設備支持，因此這個協(xié)議具有局限性，在大部分局域網(wǎng)內，因此OSPF是首選的路由協(xié)議。各非骨干區(qū)域內的非ABRs只記載了本區(qū)域內的路由表，若要與外部區(qū)域中的路由相連，只能通過本區(qū)域的ABRs，由ABRs連到骨干區(qū)域的BR，再由骨干區(qū)域的BR連到要到達的區(qū)域。各非骨干區(qū)域間是不可以交換信息的，他們只有與骨干區(qū)域相連，通過骨干區(qū)域相互交換信息。運行距離矢量路由協(xié)議的路由器是將部分或全部的路由表傳遞給與其相鄰的路由器。在這個AS中，所有的OSPF路由器都維護一個相同的描述這個AS結構的數(shù)據(jù)庫，該數(shù)據(jù)庫中存放的是路由域中相應鏈路的狀態(tài)信息，OSPF路由器正是通過這個數(shù)據(jù)庫計算出其OSPF路由表的。OSPF路由協(xié)議是一種典型的鏈路狀態(tài)（Linkstate）的路由協(xié)議，一般用于同一個路由域內。鏈路是路由器接口的另一種說法，因此OSPF也稱為接口狀態(tài)路由協(xié)議。OSPF(Open Shortest Path First開放式最短路徑優(yōu)先)是一個內部網(wǎng)關協(xié)議(Interior Gateway Protocol,簡稱IGP)，用于在單一自治系統(tǒng)(autonomous system,AS)內決策路由。支持VLSM。 在WAN低速鏈路上,EIGRP可能會占用大量帶寬,默認只占用鏈路帶寬50%,之后發(fā)布的IOS允許使用命令ip bandwidthpercent eigrp來修改這一默認值 .(3)支持多種網(wǎng)絡層協(xié)議:EIGRP通過使用“協(xié)議相關模塊”(即protocoldependentmodulePDM),可以支持IPX,ApplleTalk,IP,IPv6和NovellNetware等協(xié)議.(4)無縫連接數(shù)據(jù)鏈路層協(xié)議和拓撲結構:,OSPF對不同的層2協(xié)議要做不同配置,比如以太網(wǎng)和幀中繼總之,EIGRP能夠有效的工作在LAN和WAN中,而且EIGRP保證網(wǎng)絡不會產(chǎn)生環(huán)路(loopfree)。RIP最多支持的跳數(shù)為15，即在源和目的網(wǎng)間所要經(jīng)過的最多路由器的數(shù)目為15，跳數(shù)16表示不可達。RIP提供跳躍計數(shù)(hopcount)作為尺度來衡量路由距離，跳躍計數(shù)是一個包到達目標所必須經(jīng)過的路由器的數(shù)目。