【正文】 靠性 安全性 可擴(kuò)展性 VLAN的劃分 多層交換技術(shù) 32 總體設(shè)計 4 4 vlan 使用vlan技術(shù)主要考慮到以下優(yōu)勢： 4 STP生成樹技術(shù)與HSRP熱備份路由協(xié)議技術(shù)： 4 以太網(wǎng)捆綁技術(shù)： 4 OSPF多區(qū)域技術(shù)： 5 5： 5 匯聚層： 5： 5 5 6 IP地址劃分原則 6 IP地址及主要VLAN劃分 7 8 9 9 DHCP服務(wù)器IP地址池劃分 104局域網(wǎng)設(shè)計實(shí)施方案 11： 1設(shè)置交換機(jī)的加密使能口令 11 11 12 IP 地址解析特性 12 12 配 置 接入層 交 換 機(jī) 12 設(shè)置接入層交換機(jī)的管理IP 12 置 訪 問 層 交 換 機(jī) AccessSwitch1 的 訪 問 端 口 13 13 置 訪 問 層 交 換 機(jī) AccessSwitch1 的 主 干 道端口 13 配 置 分 布 層 交 換 機(jī) DistributeSwitch 的 VTP 14 核心層交換服務(wù)的實(shí)現(xiàn)－配置核心層交換機(jī) 14 15 HSRP網(wǎng)關(guān)冗余技術(shù)： 155路由設(shè)計實(shí)施方案 16 vlan三層路由接入方案： 16 16 多區(qū)域OSPF的實(shí)施配置 186廣域網(wǎng)Internet與服務(wù)器接入實(shí)施方案 19 19： 21 DHCP的部署： 227 仿真實(shí)現(xiàn) 23 23 VLAN仿真與測試 23 STP生成樹仿真與測試 24 以太網(wǎng)捆綁測試 26 27 28 PAT仿真與測試 28 DHCP服務(wù)器測試 298 結(jié)論 29謝 辭 31參考文獻(xiàn) 32附 錄 33 桂林電子科技大學(xué)畢業(yè)（論文）設(shè)計專用紙 第51頁/共50頁引言：校園網(wǎng)的建成和使用，對于提高教學(xué)和科研的質(zhì)量、改善教學(xué)和科研的條件、加快學(xué)校的信息化發(fā)展、開展多媒體教學(xué)與研究，以及使教學(xué)多出人才，出高精尖人才，使科研多出成果，出一流成果，有著十分重要而深遠(yuǎn)的意義。 同時，校園網(wǎng)在宣傳學(xué)校、樹立學(xué)校形象、吸引生源、提高管理水平和管理效率方面都有著不可替代的作用。系統(tǒng)地掌握網(wǎng)絡(luò)規(guī)劃與設(shè)計技術(shù)，能獨(dú)立、合理地完成所給定的大型園區(qū)網(wǎng)絡(luò)規(guī)劃與設(shè)計任務(wù)。校園網(wǎng)絡(luò)（ COMPUS NETWORK，下文中也稱為園區(qū)網(wǎng)絡(luò)）是非常典型的 綜合網(wǎng)絡(luò)實(shí)例。同時， 將重點(diǎn)放在網(wǎng)絡(luò)主 干的設(shè)計上， 對于服務(wù)器的架設(shè)只作簡 單介紹核心層兩臺三層交換機(jī)使用HSRP熱備份網(wǎng)關(guān)冗余技術(shù)，實(shí)現(xiàn)網(wǎng)絡(luò)的可靠性，采用STP生成樹協(xié)議來控制VLAN流量的流向。在接入路由器上配置NAT網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)，為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換，為其他工作站定義復(fù)用地址轉(zhuǎn)換。一個設(shè)計良好的訪問控制列表不僅 可以起到控制網(wǎng)絡(luò)流量、流向的作用 ， 還可以在不增加網(wǎng)絡(luò)系統(tǒng)軟、硬件投資 的情況下完成一般軟、硬件防火墻產(chǎn)品 的功能。服務(wù)器模塊用來對校園網(wǎng)的接入用戶提供各種服務(wù)。 共享網(wǎng)絡(luò)上各種軟、硬件資源，快速、穩(wěn)定地傳輸各種信息，并提供有效的網(wǎng)絡(luò)信息管理手段。能夠與外界進(jìn)行廣域網(wǎng)的連接，提供、享用各種信息服務(wù)。湘潭大學(xué)校園網(wǎng)建設(shè)要達(dá)到以下的目標(biāo)：VLAN間的互通；應(yīng)用STP技術(shù)的流量控制；HSRP實(shí)現(xiàn)的網(wǎng)關(guān)冗余；多區(qū)域OSPF路由技術(shù)實(shí)現(xiàn)各分校區(qū)之間的互連互通；防火墻的應(yīng)用；DHCP服務(wù)器的構(gòu)建。構(gòu)建校園網(wǎng)的組網(wǎng)技術(shù)必須是高帶寬的組網(wǎng)技術(shù)。、高可靠性目前的網(wǎng)絡(luò)設(shè)計必須為今后的擴(kuò)充留有足夠的余地，保證今后三年到五年的網(wǎng)絡(luò)擴(kuò)充升級能力，網(wǎng)絡(luò)要求具備高可靠性和足夠的冗余，提供拓?fù)浣Y(jié)構(gòu)及設(shè)備的冗余和備份，為了防止局部故障引起的整個網(wǎng)絡(luò)系統(tǒng)的癱瘓，要避免網(wǎng)絡(luò)出現(xiàn)單點(diǎn)失效，在網(wǎng)絡(luò)主干上要提供備份鏈路提供冗余路由。、安全性校園網(wǎng)作為一個支持眾多用戶同時和Internet存在連接的網(wǎng)絡(luò)，網(wǎng)絡(luò)安全性在整個網(wǎng)絡(luò)規(guī)劃中是一個很重要的部分，應(yīng)當(dāng)采用一定的措施來控制網(wǎng)絡(luò)的安全性，網(wǎng)絡(luò)中應(yīng)當(dāng)采取多種技術(shù)，從內(nèi)部和外部同時控制用戶對網(wǎng)絡(luò)資源的訪問。對于業(yè)務(wù)主機(jī)，例如服務(wù)器將通過用戶權(quán)限的認(rèn)證，實(shí)現(xiàn)用戶與業(yè)務(wù)的隔離，避免非法用戶的侵入。支持通過防火墻對外部網(wǎng)絡(luò)的非法訪問進(jìn)行過濾，防范于未然。因此，目前的網(wǎng)絡(luò)設(shè)計必須為今后的擴(kuò)充留有足夠的余地，以保護(hù)用戶的投資，保證用戶今后三到五年的網(wǎng)絡(luò)擴(kuò)充升級能力。數(shù)據(jù)網(wǎng)絡(luò)的速度從10M到100M、100M到1000M、到10000M，用戶的數(shù)據(jù)傳輸需求從1K到現(xiàn)在的整個硬盤；網(wǎng)絡(luò)速度在以指數(shù)級的發(fā)展，而網(wǎng)絡(luò)需求也以指數(shù)級增長。新業(yè)務(wù)的支持上都做好了充分的準(zhǔn)備。網(wǎng)絡(luò)站點(diǎn)的增減，人員的變動都需要虛擬網(wǎng)絡(luò)技術(shù)的支持。它的主要特點(diǎn)就是將一個物理網(wǎng)絡(luò)設(shè)備（lan）劃分為若干邏輯網(wǎng)段，每個邏輯網(wǎng)段構(gòu)成一個虛擬工作組或單元，在虛擬工作組或單元之間進(jìn)行數(shù)據(jù)和信息交換。Vlan的有點(diǎn)主要有以下幾點(diǎn)：隔離網(wǎng)絡(luò)端口、提高網(wǎng)絡(luò)安全性、簡化管理手段、降低成本并提高效率和增加網(wǎng)絡(luò)連接的靈活性等等，因此，我們在構(gòu)建網(wǎng)絡(luò)時可以充分利用vlan具有的這些優(yōu)勢，靈活搭配構(gòu)建網(wǎng)絡(luò)。、多層交換技術(shù) 通關(guān)三層交換技術(shù)、特別是基于硬件的第三層交換，可以充分地利用交換機(jī)的包處理能力，實(shí)現(xiàn)真正的線速交換。這是一種利用第三層協(xié)議中的信息來加強(qiáng)第二層交換功能的機(jī)制。第三層交換使用第三層路由協(xié)議確定傳送路徑，此路徑可以只用一次，也可以存儲起來，供以后使用。第三層交換技術(shù)的出現(xiàn)，解決了局域網(wǎng)中網(wǎng)段劃分之后，網(wǎng)段中子網(wǎng)必須依賴路由器進(jìn)行管理的局面，解決了傳統(tǒng)路由器低速，復(fù)雜所造成的網(wǎng)絡(luò)瓶頸問題。2 總體設(shè)計 校園網(wǎng)的總體設(shè)計原則是：開放性采用開放的網(wǎng)絡(luò)體系以方便網(wǎng)絡(luò)的升級、擴(kuò)展和互聯(lián)；可擴(kuò)充性從主干網(wǎng)絡(luò)設(shè)備的選型及其模塊、管理軟件和網(wǎng)絡(luò)整體機(jī)構(gòu)以及技術(shù)的開放性來保證系統(tǒng)的可擴(kuò)充性；可管理性利用合理的網(wǎng)絡(luò)規(guī)劃策略提供強(qiáng)大的網(wǎng)絡(luò)管理功能；安全性內(nèi)部網(wǎng)絡(luò)之間、內(nèi)部網(wǎng)絡(luò)與外部公網(wǎng)之間的互聯(lián)，利用Vlan/Elan和防火墻等對訪問進(jìn)行控制，確保網(wǎng)絡(luò)的安全。廣播域被限制在一個VLAN內(nèi)，節(jié)省了帶寬，提高了網(wǎng)絡(luò)處理能力。不同VLAN內(nèi)的報文在傳輸時是相互隔離的，即一個VLAN內(nèi)的用戶不能和其它VLAN內(nèi)的用戶直接通信，如果不同VLAN要進(jìn)行通信，則需要通過路由器或三層交換機(jī)等三層設(shè)備。用VLAN可以劃分不同的用戶到不同的工作組，同一工作組的用戶也不必局限于某一固定的物理范圍，網(wǎng)絡(luò)構(gòu)建和維護(hù)更方便靈活。 以太網(wǎng)捆綁技術(shù)：以太網(wǎng)捆綁技術(shù)可以確保核心交換機(jī)不會因?yàn)殒溌方涌谒蓜踊蜴溌窋嚅_而影響穩(wěn)定性；鏈路聚合有成端口聚合，可以實(shí)現(xiàn)鏈路負(fù)載平衡。通過配置，可通過兩個三個或是四個端口進(jìn)行捆綁，分別負(fù)責(zé)特定端口的數(shù)據(jù)轉(zhuǎn)發(fā)，防止單條鏈路轉(zhuǎn)發(fā)速率過低而出現(xiàn)丟包的現(xiàn)象。本設(shè)計采用CISCO Catalyst 6503核心交換機(jī)。本設(shè)計方案選用Cisco Catalyst 4503交換機(jī)。本方案采用思科3560交換機(jī) 為了實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一，本設(shè)計方案中完全采用同一廠家的網(wǎng)絡(luò)產(chǎn)品， 即 Cisco 公司的網(wǎng)絡(luò)設(shè)備構(gòu)建。 本校園網(wǎng)設(shè)計方案主要由以下四大部分構(gòu)成 ：交換模塊 、廣域網(wǎng)接入模塊 、路由模塊、服務(wù)器模塊。圖 31 IP地址劃分原則 湘潭校園網(wǎng)總接入點(diǎn)數(shù)為1469個，學(xué)生宿舍與教師宿舍共670個接入點(diǎn)采用DHCP服務(wù)器動態(tài)分配IP地址的方式，教學(xué)樓辦公區(qū)、行政樓辦公區(qū)共50個接入點(diǎn)使用的IP地址采用DHCP服務(wù)器動態(tài)分配，所以須靜態(tài)分配IP地址接點(diǎn)數(shù)為749個，為確保職業(yè)技術(shù)學(xué)院IP地址劃分的數(shù)量以及將來的網(wǎng)絡(luò)擴(kuò)展性。在結(jié)構(gòu)化地址劃分的基礎(chǔ)上應(yīng)該為今后網(wǎng)絡(luò)的擴(kuò)展提供足夠的預(yù)留地址空間。 三層鏈路地址的詳細(xì)的劃分如下表33所示：表33交換機(jī)連接IP地址說明RT1 f0/1 – RT2 f0/1~路由器RT1到路由器RT2鏈路地址RT2 f1/1 – RT3 f1/1~路由器RT2到路由器RT3鏈路地址RT3 F1/0 – RT1 F1/1~路由器RT3到路由器RT1鏈路地址RT1 G0/0 – firewall G0/0~路由器RT1到防火墻firewall鏈路地址firewall F2/0 – SW1 F1/0~路由器RT1到核心層SW1鏈路地址firewall F2/1 – SW2 F1/0~路由器RT1到核心層SW2鏈路地址RT2 F2/0 – SW3 F1/0~路由器RT2到核心層SW3鏈路地址RT2 F2/1 – SW4 F1/0~路由器RT2到核心層SW4鏈路地址RT3 F2/0 – SW5 F1/0~路由器RT3到核心層SW5鏈路地址Vlan901~核心交換機(jī)冗余三層鏈路地址SW1 F0/0 – SW2 F0/0鏈路捆綁，劃分到vlan901，將IP地址配置到vlan901中SW1 F0/1 – SW2 F0/1Vlan902~核心交換機(jī)冗余三層鏈路地址SW3 F0/0 – SW4 F0/0鏈路捆綁，劃分到vlan902，將IP地址配置到vlan902中 Loopback地址為設(shè)備的地址，一個設(shè)備只需要一個地址即可，子網(wǎng)掩碼設(shè)計為32位。如下表35所示：表35區(qū)域VlanIP地址 網(wǎng)關(guān)一教學(xué)樓99二教學(xué)樓99圖書館99行政樓99一宿舍樓99二宿舍樓99五教學(xué)樓99六教學(xué)樓99辦公樓99三宿舍樓99七教學(xué)樓99四宿舍樓99 DHCP服務(wù)器IP地址池劃分 為了方便計算機(jī)更好更方便的接入校園網(wǎng)，在相應(yīng)的網(wǎng)關(guān)處配置DHCP服務(wù)器，為接入網(wǎng)絡(luò)的計算機(jī)分配IP地址。此 口令會以 MD5 的形式加密，因此，當(dāng)用戶查看配置文件時，無法看到明文形 式的口令。 但是，出于安 全考慮， 在能夠遠(yuǎn)程管理交換機(jī)之前網(wǎng) 絡(luò)管理人員必須設(shè)置遠(yuǎn)程登錄交換機(jī)的口令。在設(shè)置的時間內(nèi)，如果沒有檢 測到鍵盤輸入， IOS 將斷開用戶和交換機(jī)之間的連接。AccessSwitch (config) line vty 0 15AccessSwitch (config – line) exectimeout 5 30AccessSwitch (config line) line con 0AccessSwitch (config line) exectimeout 5 30 IP 地址解析特性在交換機(jī)默認(rèn)配置的情況下，當(dāng)輸入一條錯誤的交換機(jī)命令時，交換機(jī)會 嘗試將其廣播給網(wǎng)絡(luò)上的 DNS 服務(wù)器并將其解析成對應(yīng)的 IP 地址?？梢越眠@個特性。可以使用 命令 logging synchronous 設(shè)置交換機(jī)在下一行 CLI 提示符后復(fù)制用戶的輸入。 AccessSwitch (config) logging synchronous 配 置 接入層 交 換 機(jī) 設(shè)置接入層交換機(jī)的管理IP訪問層交換機(jī)是 OSI 參考模型的第 2 層設(shè)備 ，即數(shù)據(jù)鏈路層的設(shè)備 。但是 ，為了使網(wǎng)絡(luò)管理人 員可以從遠(yuǎn)程登錄到訪問層交換機(jī)上進(jìn) 行管理，必須給訪問層交換機(jī)設(shè)置一 個 管理用 IP 地址。 給交換機(jī)設(shè)置管理用 IP 地址只能在本征 VLAN 中進(jìn)行。如下所示，顯示了為 訪問層交換機(jī) AccessSwitch設(shè)置管理 IP 并激活本征 VLAN。如下所示。訪問 層交換機(jī) AccessSwitch為 VLAN VLAN20 提供接入服務(wù)。同時，設(shè)置端口 1～端口 10 為 VLAN 10 的成員。 在能夠轉(zhuǎn)發(fā)用戶的數(shù)據(jù)包之前， 某個端口可能 最多要等 50 秒鐘的時 間（ 20 秒的阻塞時間＋ 15 秒的偵聽延遲時間＋ 15 秒的學(xué) 習(xí)延遲時間）。 為了加速交換機(jī)端口狀態(tài)轉(zhuǎn)化時間，可以設(shè)置 將某端口設(shè)置成為快速端口 （ Portfast）。 如下所示，設(shè)置訪問層交換機(jī) AccessSwitch1 的端口 1～端口 20 為快 速端口。 如下所示 ，設(shè)置訪問層交換機(jī) AccessSwitch1 的端口 FastEthernet 0/2FastEthernet 0/24 為主干道端口。工 作量很大 、過程很繁瑣 ，并且容易出錯 。 VTP 允許在一臺交換機(jī)上創(chuàng)建所有的 VLAN。同時 ，有關(guān) VLAN 的刪除 、參數(shù)更改操作均可傳播到其他交換機(jī)。 核心層交換服務(wù)的實(shí)現(xiàn)－配置核心層交換機(jī)核心層交換機(jī)與分布層之間STP生成樹協(xié)議技術(shù)：S1的主STP vlan包括vlan 11 、vlan 12 、vlan 2vlan 2Vlan 3 vlan 32；S2的主STP vlan包括vlan 10 、vlan 20 、vlan vlan vlan vlan 99。S2主網(wǎng)關(guān)的配置參考S1vlan11的配置。其中三層交換技術(shù)解決了局域網(wǎng)中網(wǎng)段劃分之后，網(wǎng)段中子網(wǎng)必須依賴路由器進(jìn)行管理的局面，解決了傳統(tǒng)路由器低速，復(fù)雜所造成的網(wǎng)絡(luò)瓶頸問題。動態(tài)路由協(xié)議只需要對相應(yīng)的路由器進(jìn)行配置，路由器可以自動獲取相應(yīng)的路由器上的網(wǎng)段，自動計算最佳路徑，自動生成路由表；拓?fù)?