【正文】 ................................................38 封堵 P2P 端口 ....................................................................................................39總結(jié) ..............................................................................................................................41致謝 ..............................................................................................................................42參考文獻(xiàn) ......................................................................................................................43附錄 部分配置命令 ..................................................................................................44安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 0 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊┊┊┊裝┊┊┊┊┊訂┊┊┊┊┊線┊┊┊┊┊┊┊┊┊┊┊┊┊第一章 緒論網(wǎng)絡(luò)改變了人們的生活，地球變成了地球村，全世界的人可以隨時(shí)進(jìn)行網(wǎng)絡(luò)交流。信息資源的共享，帶來社會(huì)生產(chǎn)力空前提高，互聯(lián)網(wǎng)與人們生活越來越密切，如網(wǎng)上證券期貨交易、遠(yuǎn)程電子視頻會(huì)議、網(wǎng)上購(gòu)物等應(yīng)用使得人們的生活已經(jīng)越來越離不開網(wǎng)絡(luò)，由此，信息高速公路的建設(shè)變得十分重要?，F(xiàn)代企業(yè)如果沒有信息技術(shù)的支持，就不能稱之為現(xiàn)代企業(yè)。企業(yè)網(wǎng)絡(luò)為企業(yè)的現(xiàn)代化發(fā)展、綜合信息管理和辦公自動(dòng)化等一系列應(yīng)用提供了基礎(chǔ)平臺(tái)。Cisco Packet Tracer 是由 Cisco 公司發(fā)布的一個(gè)網(wǎng)絡(luò)仿真工具，使用該工具可以搭建網(wǎng)絡(luò)的模擬環(huán)境，對(duì)網(wǎng)絡(luò)進(jìn)行設(shè)計(jì)、配置、故障排除等?？梢詫W(xué)習(xí) IOS 的配置、鍛煉故障排查能力等。安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 1 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊┊┊┊裝┊┊┊┊┊訂┊┊┊┊┊線┊┊┊┊┊┊┊┊┊┊┊┊┊第二章 需求分析本章結(jié)合企業(yè)背景，應(yīng)用需求，安全設(shè)計(jì)原則對(duì)網(wǎng)絡(luò)進(jìn)行詳細(xì)的需求分析 企業(yè)背景該企業(yè)是主要面向汽車方面的發(fā)展方向，公司成立初期由于資金，人力等方面的限制對(duì)于網(wǎng)絡(luò)的限制對(duì)于網(wǎng)絡(luò)的對(duì)于網(wǎng)絡(luò)沒有進(jìn)行深入的規(guī)劃。由于初期并沒有考慮備份等情況。隨著公司的規(guī)模越來越大現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更高的帶寬，更強(qiáng)大的性能，以滿足用戶日益增長(zhǎng)的通信需求。不僅要繼續(xù)承載企業(yè)的辦公自動(dòng)化，Web 瀏覽等簡(jiǎn)單的數(shù)據(jù)業(yè)務(wù)，還要承載涉及企業(yè)生產(chǎn)運(yùn)營(yíng)的各種業(yè)務(wù)應(yīng)用系統(tǒng)數(shù)據(jù)，以及帶寬和時(shí)延都要求很高的 IP 電話、視頻會(huì)議等多媒體業(yè)務(wù)。隨著企業(yè)各種業(yè)務(wù)應(yīng)用逐漸轉(zhuǎn)移到計(jì)算機(jī)網(wǎng)絡(luò)上來，網(wǎng)絡(luò)通信的無中斷運(yùn)行已經(jīng)成為保證企業(yè)正常生產(chǎn)運(yùn)營(yíng)的關(guān)鍵。設(shè)備的可靠性設(shè)計(jì)：不僅要考察網(wǎng)絡(luò)設(shè)備是否實(shí)現(xiàn)了關(guān)鍵部件的冗余備份，還要從網(wǎng)絡(luò)設(shè)備整體設(shè)計(jì)架構(gòu)、處理引擎種類等多方面去考察。鏈路的可靠性設(shè)計(jì)：以太網(wǎng)的鏈路安全來自于多路徑選擇，所以在企業(yè)網(wǎng)絡(luò)建設(shè)時(shí)，要考慮網(wǎng)絡(luò)設(shè)備是否能夠提供有效的鏈路自愈手段，以及快速重路由協(xié)議的支持。大型企業(yè)網(wǎng)絡(luò)承載的業(yè)務(wù)不斷增多，單純的提高帶寬并不能夠有效地保障數(shù)據(jù)交換的暢通無阻，所以今天的大型企業(yè)網(wǎng)絡(luò)建設(shè)必須要考慮到網(wǎng)絡(luò)應(yīng)能夠智能識(shí)別應(yīng)用事件的緊急和重要程度，如視頻、音頻、數(shù)據(jù)流（MIS、ERP、OA、備份數(shù)據(jù)） 。 網(wǎng)絡(luò)安全需求現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)提供更完善的網(wǎng)絡(luò)安全解決方案，以阻擊病毒和黑客的攻擊，減少企業(yè)的經(jīng)濟(jì)損失。在企業(yè)網(wǎng)絡(luò)已經(jīng)成為公司生產(chǎn)運(yùn)營(yíng)的重要組成部分的今天，現(xiàn)代企業(yè)網(wǎng)絡(luò)必須要有一整套從用戶接入控制，病毒報(bào)文識(shí)別到主動(dòng)抑制的一系列安全控制手段，這樣才能有效地保證企業(yè)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。當(dāng)前的網(wǎng)絡(luò)已經(jīng)發(fā)展成為以應(yīng)用為中心的信息基礎(chǔ)平臺(tái)，網(wǎng)絡(luò)管理能力的要求已經(jīng)上升到了業(yè)務(wù)層次，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備的智能已經(jīng)不能有效支持網(wǎng)絡(luò)管理需求的發(fā)展。所以現(xiàn)代的大型企業(yè)網(wǎng)絡(luò)迫切需要網(wǎng)絡(luò)設(shè)備具備支撐以應(yīng)用為中心 的智能網(wǎng)絡(luò)運(yùn)營(yíng)維護(hù)的能力，并能夠有一套智能化的管理軟件，將網(wǎng)絡(luò)管理人員從繁重的工作中解脫出來。如果設(shè)計(jì)時(shí)考慮不全面，消極地將安全和保密措施寄托在事后“打補(bǔ)丁”的思路是非常危險(xiǎn)的。 安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 3 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊┊┊┊裝┊┊┊┊┊訂┊┊┊┊┊線┊┊┊┊┊┊┊┊┊┊┊┊┊圖 網(wǎng)絡(luò)安全設(shè)計(jì)原則木桶原則：對(duì)信息均衡、全面地進(jìn)行保護(hù)。 實(shí)用性原則:不影響系統(tǒng)的正常運(yùn)行和合法用戶的操作。 動(dòng)態(tài)化原則：安全需要不斷更新。 安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 4 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊┊┊┊裝┊┊┊┊┊訂┊┊┊┊┊線┊┊┊┊┊┊┊┊┊┊┊┊┊第三章 網(wǎng)絡(luò)技術(shù)與拓?fù)浣Y(jié)構(gòu)本章結(jié)合企業(yè)的需求分析，對(duì)企業(yè)的網(wǎng)絡(luò)架構(gòu)進(jìn)行搭建，并對(duì)該企業(yè)架構(gòu)所用到的技術(shù)進(jìn)行分析，以及對(duì)拓?fù)浣Y(jié)構(gòu)的設(shè)計(jì)進(jìn)行分析。先進(jìn)性和成熟性：系統(tǒng)設(shè)計(jì)既要采用先進(jìn)的概念、技術(shù)和方法，又要注意結(jié)構(gòu)、設(shè)備、工具的相對(duì)成熟。可靠性和穩(wěn)定性:在考慮技術(shù)先進(jìn)性和開放性的同時(shí)，還應(yīng)從系統(tǒng)結(jié)構(gòu)、技術(shù)措施、設(shè)備性能、系統(tǒng)管理、廠商技術(shù)支持及維修能力等方面著手，確保系統(tǒng)運(yùn)行的可靠性和穩(wěn)定性，達(dá)到最大的平均無故障時(shí)間。可擴(kuò)展性和易維護(hù)性：為了適應(yīng)系統(tǒng)變化的要求，必須充分考慮以最簡(jiǎn)便的方法、最低的投資，實(shí)現(xiàn)系統(tǒng)的擴(kuò)展和維護(hù)，采用可網(wǎng)管產(chǎn)品，降低了人力資源的費(fèi)用，提高網(wǎng)絡(luò)的易用性。 快速以太網(wǎng)以太網(wǎng)（Ether ）是一種計(jì)算機(jī)局域網(wǎng)組網(wǎng)技術(shù)。它規(guī)定了包括物理層的連線、電信號(hào)和介質(zhì)訪問層協(xié)議的內(nèi)容。它很大程度上取代了其他局域網(wǎng)標(biāo)準(zhǔn)，如令牌環(huán)網(wǎng)（token ring）、FDDI 和 ARCNET?？焖僖蕴W(wǎng)是世界上應(yīng)用最廣泛的組網(wǎng)技術(shù)，其強(qiáng)大的靈活性，簡(jiǎn)便性，傳輸介質(zhì)的多樣性，拓?fù)浣Y(jié)構(gòu)的靈活性，符合中小企業(yè)的設(shè)計(jì)要求以太網(wǎng)基于網(wǎng)絡(luò)上無線電系統(tǒng)多個(gè)節(jié)點(diǎn)發(fā)送信息的想法實(shí)現(xiàn)，每個(gè)節(jié)點(diǎn)必須取得電纜或者信道的才能傳送信息，有時(shí)也叫做以太（Ether）。后來的研究證明光以太不存在。由于以太網(wǎng)十分普遍，許多制造商把以太網(wǎng)卡直接集成進(jìn)計(jì)算機(jī)主板。這種對(duì)連接到第 2 層交換機(jī)端口的網(wǎng)絡(luò)使用者的邏輯分段技術(shù)實(shí)現(xiàn)非常靈活，它可以不受使用者物理位置限制，根據(jù)使用者需求進(jìn)行 VLAN 劃分；可在一個(gè)交換機(jī)上實(shí)現(xiàn)，也可跨交換機(jī)實(shí)現(xiàn)；可以根據(jù)網(wǎng)絡(luò)使用者的位置、作用、部門或根據(jù)使用的應(yīng)用程序、上層協(xié)議或者以太網(wǎng)路連接硬件地址來進(jìn)行劃分。而不同 VLAN 之間或 VLAN 與 LAN / WAN 的數(shù)據(jù)通訊必須通過第 3 層（網(wǎng)絡(luò)層）完成。如下圖，VLAN 解決了物理位置的限制圖 VLAN 示意圖安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 6 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊┊┊┊裝┊┊┊┊┊訂┊┊┊┊┊線┊┊┊┊┊┊┊┊┊┊┊┊┊VLAN 的標(biāo)準(zhǔn)有兩種，Cisco 公司的 ISL,以及 IEEE 由于后者是國(guó)際化標(biāo)準(zhǔn)，而且其傳輸效率更高，所以更適合網(wǎng)絡(luò)需求。同樣，相鄰的端口不會(huì)收到其他 VLAN 產(chǎn)生的廣 播。安全：不同 VLAN 內(nèi)的報(bào)文在傳輸時(shí)是相互隔離的，即一個(gè) VLAN 內(nèi)的用戶不能和其它 VLAN 內(nèi)的用戶直接通信，如果不同 VLAN 要進(jìn)行通信，則需要通過路由器或三層交換機(jī)等三層設(shè)備。性能提高：將第二層平面網(wǎng)絡(luò)劃分為多個(gè)邏輯工作組（廣播域）可以減少網(wǎng)絡(luò)上不必要的流量并提高性能。 DHCP 某些的主機(jī)不需要靜態(tài)的 IP，因?yàn)槠洳⒎怯谰玫氖褂迷摰刂?，?dāng)主機(jī)離開網(wǎng)絡(luò)，就得釋放這個(gè) IP 地址，以給其它工作站使用，動(dòng)態(tài)分配顯然更加靈活。DHCP允許 DHCP 客戶端從 DHCP 服務(wù)器獲取 IP 地址，子網(wǎng)掩碼，默認(rèn)網(wǎng)關(guān) IP 地址，DNS 服務(wù)器 IP 地址以及其他 IP 地址類型信息。第二步：DHCP 服務(wù)器接收到 DHCP discovery 消息后，響應(yīng)以 DHCP offer消息。第三步：DHCP 客戶端通過發(fā)送 DHCP request 消息與選定的服務(wù)器進(jìn)行通信，讓 DHCP 服務(wù)器提供 IP 配置參數(shù)。 NAT在計(jì)算機(jī)網(wǎng)絡(luò)中，網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation 或簡(jiǎn)稱NAT，也叫做網(wǎng)絡(luò)掩蔽或者 IP 掩蔽）是一種在 IP 數(shù)據(jù)包通過路由器或防火墻時(shí)重寫源 IP 地址或/和目的 IP 地址的技術(shù)。目前人們普遍認(rèn)為 NAT 完美的解決了 IP 地址不足的問題，的確，他真的是一樣很有用的工具，可以說沒有 NAT，我們的網(wǎng)絡(luò)不會(huì)得到如此迅速的發(fā)展。NAT 優(yōu)點(diǎn)：節(jié)約合法注冊(cè)地址，減少地址重疊出現(xiàn)，增加鏈接 Inter 的靈活性，網(wǎng)絡(luò)變更時(shí)避免地址的重新分配。NAT 運(yùn)行示例：在下圖中主機(jī) 發(fā)送一個(gè)外出數(shù)據(jù)包到配置了 NAT的邊界路由器，邊界路由器識(shí)別出此 IP 地址為內(nèi)部 IP 地址，目標(biāo)是外部網(wǎng)絡(luò)，他要轉(zhuǎn)換內(nèi)部本地 IP 地址，并把轉(zhuǎn)換結(jié)果記錄到 NAT 表中，這個(gè)數(shù)據(jù)包使用轉(zhuǎn)換后的新的源地址被發(fā)送到外部接口，外部主機(jī)返回此包到目標(biāo)主機(jī)，NAT路由使用 NAT 表轉(zhuǎn)換內(nèi)部全局 IP 地址為內(nèi)部 IP 地址，整個(gè)過程基本就是這樣。簡(jiǎn)而言之，ACL 可以過濾網(wǎng)絡(luò)中的流量，控制訪問的一種網(wǎng)絡(luò)技術(shù)手段。例如，ACL 可以根據(jù)數(shù)據(jù)包的協(xié)議，指定數(shù)據(jù)包的優(yōu)先級(jí)。例如，ACL 可以限定或簡(jiǎn)化路由更新信息的長(zhǎng)度，從而限制通過路由器某一網(wǎng)段的通信流量。ACL 允許主機(jī) A 訪問人力資源網(wǎng)絡(luò)，而拒絕主機(jī) B 訪問。例如，用戶可以允許 Email 通信流量被路由，拒絕所有的 Tel 通信流量。訪問控制列表的工作示意圖數(shù)據(jù)包進(jìn)入接口允許通過是否設(shè)置了ACL與 ACL 對(duì)比是否匹配有沒有更多的 ACL?與下一條ACL 對(duì)比丟棄圖 ACL 工作示意圖 拓?fù)浣Y(jié)構(gòu)圖設(shè)計(jì)網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)的運(yùn)行效率，技術(shù)性能發(fā)揮，可靠性與費(fèi)用等方面都有著中重要的影響。拓?fù)浣Y(jié)構(gòu)的選擇和地理環(huán)境的分布，傳輸介質(zhì)，介質(zhì)訪問控安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 9 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊┊┊┊裝┊┊┊┊┊訂┊┊┊┊┊線┊┊┊┊┊┊┊┊┊┊┊┊┊制方法，甚至網(wǎng)絡(luò)設(shè)備選型等因素緊密相關(guān)。采用不同的網(wǎng)絡(luò)控制策略（即網(wǎng)絡(luò)數(shù)據(jù)的傳輸與通信的有關(guān)協(xié)議和控制方法），所有使用的網(wǎng)絡(luò)連接設(shè)備也不一樣。也就是說，選擇網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是網(wǎng)絡(luò)規(guī)劃設(shè)計(jì)的第一步。在現(xiàn)在企業(yè)中經(jīng)濟(jì)效益都是首要考慮的，在建設(shè)網(wǎng)絡(luò)投資的同時(shí)就考慮到經(jīng)濟(jì)效益的回報(bào)。因?yàn)椋負(fù)浣Y(jié)構(gòu)的選擇與傳輸介質(zhì)的選擇、傳輸距離的長(zhǎng)短及所需網(wǎng)絡(luò)的連接設(shè)備密切相關(guān)。任何一個(gè)網(wǎng)絡(luò)都不能一勞永逸的，隨著用戶的增加，應(yīng)用的深入和擴(kuò)大，網(wǎng)絡(luò)新技術(shù)的不斷涌現(xiàn)，特別是應(yīng)用方式和要求的改變，網(wǎng)絡(luò)經(jīng)常需要加以調(diào)整。網(wǎng)絡(luò)的可靠性是任何一個(gè)網(wǎng)絡(luò)的生命。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的選擇還直接決定網(wǎng)絡(luò)故障檢測(cè)和故障隔離的方便性。 主干網(wǎng)絡(luò)（核心層）設(shè)計(jì)主干網(wǎng)絡(luò)技術(shù)的選擇，需根據(jù)需求分析中地理距離、信息流量個(gè)數(shù)據(jù)負(fù)載的輕重而定。連接建筑群的主干網(wǎng)一般以光纖作為傳輸介質(zhì)，典型的主干網(wǎng)技術(shù)主要有千兆以太網(wǎng)、ATM 和 FDDI 等。FDDI 基本已屬于昨天的技術(shù)，支持它的廠商越來越少。根據(jù)中小企業(yè)的建網(wǎng)規(guī)模，對(duì)經(jīng)費(fèi)比較緊張的企業(yè)，可以采用 100 BASEFX，即用光傳輸介質(zhì)上快速以太網(wǎng)。是一種非常經(jīng)濟(jì)的選擇。如果考慮提供較高的可用性，而且經(jīng)費(fèi)允許，主干網(wǎng)可采用雙星（樹）結(jié)構(gòu)，即采用兩臺(tái)同樣的交換機(jī)，與接入層/分布層交換機(jī)分別連接。安徽工業(yè)大學(xué) 畢業(yè)設(shè)計(jì)（論文）說明書第 10 頁 共 49 頁┊┊┊┊┊┊┊┊┊┊