【正文】 84 84 IP地址配置 84 C28111 84 設(shè)備名稱(chēng) 84 84 85 85 synchronous 85 0 85 85 IP地址配置 85 服務(wù)器 85 服務(wù)器的安裝： 85 服務(wù)器的配置 95 檢查設(shè)備的連通性 101 分部網(wǎng)絡(luò)描述： 107 SW3L3 108 108 設(shè)備口令 108 108 108 synchronous 108 0 109 109 IP地址配置 109 SW4L3 110 設(shè)備名稱(chēng) 110 110 110 110 synchronous 110 0 111 111 IP地址配置 111 C28115 112 112 112 112 112 synchronous 112 0 112 112 IP地址配置 113 C28114 113 113 113 113 113 synchronous 113 0 114 114 IP地址配置 114 C28116 114 114 114 114 115 synchronous 115 0 115 115 IP地址配置 115 檢查設(shè)備的連通性 11show cdp neighbors命令的使用 11ping 命令測(cè)試 117結(jié) 束 語(yǔ) 120參 考 文 獻(xiàn) 121致 謝 122第1章 引 言網(wǎng)絡(luò)讓人們將世界看小了，地球變成了地球村，人們可以進(jìn)行網(wǎng)絡(luò)交流。信息資源的共享，是社會(huì)的一大進(jìn)步，互聯(lián)網(wǎng)與人們生活越來(lái)越密切，如網(wǎng)上證券期貨交易、遠(yuǎn)程視頻會(huì)議、網(wǎng)上購(gòu)物等應(yīng)用使得人們的生活已經(jīng)越來(lái)越離不開(kāi)網(wǎng)絡(luò)，由此，信息高速公路的建設(shè)變得十分重要?，F(xiàn)在企業(yè)如果沒(méi)有信息技術(shù)的支持，就不能稱(chēng)之為現(xiàn)代企業(yè)。企業(yè)網(wǎng)絡(luò)為企業(yè)的現(xiàn)代化發(fā)展、綜合信息管理和辦公自動(dòng)化等一系列應(yīng)用提供了基礎(chǔ)平臺(tái)。第2章 項(xiàng)目需求分析 需求分析某醫(yī)藥有限公司現(xiàn)有北京總部、鄭州分部。數(shù)據(jù)中心作為工廠(chǎng)生產(chǎn)運(yùn)營(yíng)系統(tǒng)（如ERP系統(tǒng)，人事考勤系統(tǒng)，財(cái)務(wù)計(jì)糧系統(tǒng)等等）的核心數(shù)據(jù)的存放地，其性能、穩(wěn)定性、安全性、可靠性的要求最高，因此我們?cè)谠O(shè)計(jì)的時(shí)候，需要考慮這些需要。作為外聯(lián)單位接入?yún)^(qū)域，其安全性應(yīng)該是放在第一位應(yīng)用ISA防火墻來(lái)保證網(wǎng)絡(luò)的安全性，同時(shí)生產(chǎn)運(yùn)營(yíng)系統(tǒng)的運(yùn)行離不開(kāi)網(wǎng)絡(luò)和數(shù)據(jù)中心的連接，因此冗余性的考慮也是必須的核心層用到雙核心來(lái)實(shí)現(xiàn)冗余和備份作用。當(dāng)前業(yè)界的網(wǎng)絡(luò)管理范疇較廣，包括設(shè)備管理、資源管理、故障管理、性能管理、安全管理等等。第3章 網(wǎng)絡(luò)總體建設(shè)目標(biāo) 網(wǎng)絡(luò)建設(shè)目標(biāo)圖311 網(wǎng)絡(luò)建設(shè)成員結(jié)構(gòu)圖圖312 總體抽象拓?fù)鋱D此項(xiàng)系統(tǒng)網(wǎng)絡(luò)項(xiàng)目工程的建設(shè)目標(biāo)是，搭建公司核心網(wǎng)絡(luò)及服務(wù)器,以實(shí)現(xiàn)生產(chǎn)運(yùn)營(yíng)系統(tǒng)的運(yùn)行, 各公司用戶(hù)能夠進(jìn)行資源共享，并能夠進(jìn)行上網(wǎng)查資料，電子郵件，對(duì)外發(fā)布網(wǎng)站FILE服務(wù)器提供文件服務(wù)、web服務(wù)器為內(nèi)外網(wǎng)那個(gè)提供WWW服務(wù)、DNS服務(wù)器域名解析，AD進(jìn)行內(nèi)網(wǎng)管理等等，按照“高效能、低成本”的要求，采用層次化網(wǎng)絡(luò)結(jié)構(gòu)： 隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和網(wǎng)上應(yīng)用量的增長(zhǎng)，分布式網(wǎng)絡(luò)服務(wù)和交換已經(jīng)移至用戶(hù)級(jí)，由此形成一個(gè)新的、更適應(yīng)現(xiàn)代高速大型網(wǎng)路分層的模型。多層設(shè)計(jì)有以下好處：多層設(shè)計(jì)是模塊化的，網(wǎng)絡(luò)容量可隨著日后網(wǎng)絡(luò)節(jié)點(diǎn)的增加而不斷增大。多層網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)最有效地利用多種3層業(yè)務(wù)，包括分段、負(fù)載分擔(dān)和故障恢復(fù)等。 網(wǎng)絡(luò)及系統(tǒng)建設(shè)內(nèi)容及要求根據(jù)公司中心機(jī)房的網(wǎng)絡(luò)情況，我們把整個(gè)網(wǎng)絡(luò)分為內(nèi)部交換網(wǎng)絡(luò)設(shè)計(jì)、網(wǎng)絡(luò)出口設(shè)計(jì)，網(wǎng)絡(luò)安全設(shè)計(jì)幾大部分。另外分層結(jié)構(gòu)也能對(duì)網(wǎng)絡(luò)的故障進(jìn)行很好的隔離。三層結(jié)構(gòu)模型劃分為三個(gè)層次，即核心層、分布層（又叫匯聚層）、接入層。核心層：作為整個(gè)網(wǎng)絡(luò)系統(tǒng)的核心，其主要功能是高速、可靠的進(jìn)行數(shù)據(jù)交換。分布層： 分布層主要進(jìn)行接入層的數(shù)據(jù)流量匯聚并對(duì)數(shù)據(jù)流進(jìn)行訪(fǎng)問(wèn)控制。接入層： 接入層主要提供用戶(hù)接入網(wǎng)絡(luò)的途徑。與分布層雙線(xiàn)連接等等。對(duì)于內(nèi)部交換網(wǎng)絡(luò)我們采用分層設(shè)計(jì)。公司數(shù)據(jù)中心網(wǎng)絡(luò)平臺(tái)承載著公司所有的關(guān)鍵核心業(yè)務(wù)，設(shè)計(jì)時(shí)，保證中心機(jī)房網(wǎng)絡(luò)的高可用性和穩(wěn)定性至關(guān)重要，故設(shè)計(jì)時(shí)中心路由交換機(jī)建議采用雙機(jī)熱備，各分支交換機(jī)兩條上聯(lián)千兆線(xiàn)路分別上連到兩臺(tái)中心路由交換機(jī)上，構(gòu)成全路由交換的網(wǎng)絡(luò)；借助于跨骨干的VLAN 、靜態(tài) NAT技術(shù)，使得對(duì)于網(wǎng)絡(luò)內(nèi)有關(guān)Server 的訪(fǎng)問(wèn)變得更加安全有效。所以確保在網(wǎng)絡(luò)的邊界處部署相應(yīng)的安全策略以防止黑客和各種惡意代碼的攻擊至關(guān)重要，同時(shí)邊界出的設(shè)備的冗余設(shè)計(jì)也是設(shè)計(jì)考慮的一個(gè)重要因素，防止單點(diǎn)故障。對(duì)于設(shè)備，我們采用性?xún)r(jià)比較高的設(shè)備。 網(wǎng)絡(luò)設(shè)計(jì)原則先進(jìn)性：計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)、軟件技術(shù)的發(fā)展迅速，網(wǎng)絡(luò)的設(shè)計(jì)要立足于較高的起點(diǎn)，保證系統(tǒng)有較長(zhǎng)的生命力。在網(wǎng)絡(luò)設(shè)計(jì)中要把先進(jìn)的技術(shù)與現(xiàn)有的成熟技術(shù)和標(biāo)準(zhǔn)結(jié)合起來(lái)，充分考慮到公司網(wǎng)絡(luò)應(yīng)用的現(xiàn)狀和未來(lái)的發(fā)展趨勢(shì)。安全性：在網(wǎng)絡(luò)設(shè)計(jì)中，應(yīng)采用硬件技術(shù)與軟件技術(shù)相結(jié)合的方式，全面系統(tǒng)的保護(hù)網(wǎng)絡(luò)的安全運(yùn)行。兼容：網(wǎng)絡(luò)結(jié)構(gòu)有良好的兼容性，能夠?qū)崿F(xiàn)與不同類(lèi)型的協(xié)議或設(shè)備的無(wú)縫連接?？晒芾硇裕壕W(wǎng)絡(luò)中的任何設(shè)備均可以通過(guò)網(wǎng)絡(luò)管理平臺(tái)進(jìn)行控制，網(wǎng)絡(luò)的設(shè)備狀態(tài)、故障報(bào)警等都可以通過(guò)網(wǎng)管平臺(tái)進(jìn)行監(jiān)控，通過(guò)網(wǎng)絡(luò)管理平臺(tái)簡(jiǎn)化管理工作，提高網(wǎng)絡(luò)管理的效率。所選用設(shè)備必須具有全容錯(cuò)結(jié)構(gòu)，一臺(tái)設(shè)備中單個(gè)電源、單個(gè)風(fēng)扇的故障不影響設(shè)備工作，單個(gè)模塊的故障不影響其它模塊的正常工作；設(shè)備應(yīng)具有熱修復(fù)能力，即當(dāng)設(shè)備的某些部件發(fā)生故障時(shí)，可以帶電更換而不影響設(shè)備其它部件工作，新更換部件可直接投入工作而不必重新引導(dǎo)整個(gè)設(shè)備。實(shí)用性：在網(wǎng)絡(luò)設(shè)計(jì)時(shí)，在考慮好未來(lái)發(fā)展的同時(shí)盡可能的減少額外功能支出，把現(xiàn)有的技術(shù)與現(xiàn)在的成熟技術(shù)結(jié)合起來(lái)，以滿(mǎn)足北京公司現(xiàn)有的應(yīng)用現(xiàn)況以及未來(lái)的發(fā)展趨勢(shì)。第4章 網(wǎng)絡(luò)總體設(shè)計(jì) 網(wǎng)絡(luò)總體拓?fù)鋱D考慮到總公司的實(shí)際需求，建議采用兩臺(tái)Cisco Catalyst3560做HSRP、PVST、TRUNK、VTP、EtherChannel（鏈路捆綁）、VLAN、上行速鏈路等，并啟用OSPF協(xié)議，二層交換機(jī)連接PC的端口設(shè)為速端口并開(kāi)啟端口安全，使其自動(dòng)學(xué)習(xí)最先接入的MAC地址，用Cisco 專(zhuān)有熱備份路由協(xié)議技術(shù)（HSRP），根據(jù)需求配置成多組HSRP；同時(shí)雙機(jī)還可以做負(fù)載均衡。根據(jù)分布的需要也要做同樣的配置，在總部設(shè)有VPN接入，為出差的員工提供安全的、方便的通道，達(dá)到信息安全快捷傳輸。另外本網(wǎng)絡(luò)選用的設(shè)備支持VOIP，可以廉價(jià)方便地在企業(yè)內(nèi)部打電話(huà)，此電話(huà)本公司建議用軟電話(huà)來(lái)進(jìn)行通信，軟電話(huà)不用硬件的投資只需在現(xiàn)有的PC上安裝軟電話(huà)客戶(hù)端；除此之外還支持IPv6,因?yàn)镮Pv4資源枯竭，未來(lái)的發(fā)展趨勢(shì)IPv6整個(gè)網(wǎng)絡(luò)市場(chǎng)，IPv6將占領(lǐng)網(wǎng)絡(luò)，本網(wǎng)絡(luò)的設(shè)備適應(yīng)時(shí)代的發(fā)展?？偣?164人。網(wǎng)絡(luò)各區(qū)域相對(duì)獨(dú)立，通過(guò)核心網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)的交互。 網(wǎng)絡(luò)層次化設(shè)計(jì)隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和網(wǎng)上應(yīng)用量的增長(zhǎng)，分布式的網(wǎng)絡(luò)服務(wù)和交換已經(jīng)移至用戶(hù)級(jí)，由此形成了一個(gè)新的、更適應(yīng)現(xiàn)代的高速大型網(wǎng)絡(luò)的分層設(shè)計(jì)模型。多層設(shè)計(jì)有以下一些好處：多層設(shè)計(jì)的模塊化，網(wǎng)絡(luò)容量可隨著日后網(wǎng)絡(luò)節(jié)點(diǎn)的增加而不斷增大，若有新建分公司或合并小公司多可以方便的接入。多層網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)最有效地利用多種第3 層業(yè)務(wù)，包括分段、負(fù)載分擔(dān)、多組熱備和故障恢復(fù)等。多層模式使網(wǎng)絡(luò)的移植更為簡(jiǎn)單易行，因?yàn)樗Ａ袅嘶诼酚善骱徒粨Q機(jī)的網(wǎng)絡(luò)原有的尋址方案，對(duì)以往的網(wǎng)絡(luò)有很好的兼容性。針對(duì)實(shí)際情況我們可以采用三層結(jié)構(gòu)模型。每個(gè)層次完成不同的功能。保證內(nèi)網(wǎng)用戶(hù)可以方便高效上網(wǎng)。核心交換區(qū)的作用是盡快地提供所有的區(qū)域間的數(shù)據(jù)交換。四臺(tái)3560交換機(jī)高性能、可靠性、可用性是我們主要考慮的因素。Cisco Catalyst 3560系列憑借眾多智能服務(wù)將控制擴(kuò)展到網(wǎng)絡(luò)邊緣，其中包括先進(jìn)的服務(wù)質(zhì)量 (QoS)、可預(yù)測(cè)性能、高級(jí)安全性和全面的管理。Cisco Catalyst 3560 系列的模塊化架構(gòu)、介質(zhì)靈活性和可擴(kuò)展性減少了重復(fù)運(yùn)營(yíng)開(kāi)支保護(hù)投資，提高了投資回報(bào)（ROI），從而在延長(zhǎng)部署壽命的同時(shí)降低了擁有成本。包括訪(fǎng)問(wèn)控制列表、Vlan路由、HSRP、生成樹(shù)協(xié)議等等。接入層接入層主要提供最終用戶(hù)接入網(wǎng)絡(luò)的途徑。辦公系統(tǒng)所需的各種服務(wù)如辦公自動(dòng)化服務(wù)器、郵件服務(wù)器、DHCP服務(wù)器。FTP服務(wù)器等組成服務(wù)群，數(shù)據(jù)中心的多種系統(tǒng)連接到匯聚交換機(jī)的千兆模塊上，因此，內(nèi)部的局域網(wǎng)是采用三層結(jié)構(gòu)組建。接入層交換機(jī)采用思科的CISCO WSC2960G24TCL 以千兆以太鏈路和匯聚交換機(jī)相連接，并為用戶(hù)終端提供10/100M 自適應(yīng)的接入，從而形成千兆為骨干，百兆到桌面的以太網(wǎng)三層結(jié)構(gòu)。 該網(wǎng)絡(luò)分三層：以R1和R3為核心的，核心層以3SW1和3SW2為匯聚層，SW12L、SW22L、SW32L、SW42L、SW52L、SW62L、SW72L是接入層。我們推薦使用兩臺(tái)Cisco 2811路由器通過(guò)SDH/DDN線(xiàn)路完成此項(xiàng)功能?？偨Y(jié)以上的原因，內(nèi)聯(lián)路由器與核心交換網(wǎng)絡(luò)間不需要配置額外的防火墻。OSPF協(xié)議采用鏈路狀態(tài)算法，每個(gè)路由器維護(hù)一個(gè)相同的鏈路狀態(tài)數(shù)據(jù)庫(kù)，保存整個(gè)AS的拓?fù)浣Y(jié)構(gòu)（AS不劃分情況下）。對(duì)于大型的網(wǎng)絡(luò)，為了進(jìn)一步減少路由協(xié)議通信流量，利于管理和計(jì)算。OSPF路由器相互間交換信息，但交換的信息不是路由，而是鏈路狀態(tài)。相對(duì)其他協(xié)議，OSPF有很多優(yōu)點(diǎn)。MD5 加密認(rèn)證），并且允許各個(gè)系統(tǒng)或區(qū)域采用互不相同的鑒別機(jī)制；提供負(fù)載均衡功能，如果計(jì)算機(jī)出到某個(gè)項(xiàng)目的站點(diǎn)若干條費(fèi)用相同的路由，OSPPF路由器會(huì)把通信流量均勻地分配給之幾條路由，沿之幾條路由把該分組發(fā)出去；在一個(gè)自治系統(tǒng)內(nèi)可劃分出若干個(gè)區(qū)域，每個(gè)區(qū)域根據(jù)自己的拓?fù)錂C(jī)構(gòu)計(jì)算最短路徑，這減少了OSPF路由實(shí)現(xiàn)的工作量；OSPF屬動(dòng)態(tài)的自適應(yīng)協(xié)議，對(duì)于網(wǎng)絡(luò)的拓?fù)錂C(jī)構(gòu)變化可以迅速的做出反應(yīng)，進(jìn)行相應(yīng)調(diào)整，提供短的收斂期，使路由表盡快的穩(wěn)定下來(lái)，并且與其它路由協(xié)議相比，OSPF在對(duì)網(wǎng)絡(luò)的拓?fù)渥兓奶幚磉^(guò)程中僅需要最少的通信流量；OSPF提供的到點(diǎn)接口，支持CIDR（無(wú)類(lèi)型域間路由）地址。各區(qū)域接入路由器跟區(qū)域不同使用動(dòng)態(tài)協(xié)議，或者使用靜態(tài)路由與動(dòng)態(tài)路由結(jié)合的方式。 交換技術(shù)對(duì)于本次項(xiàng)目的核心層思科路由器CiscoISCO 2811進(jìn)行于外網(wǎng)的互聯(lián)，匯聚層我們將采用Cisco三層交換機(jī)SW3560建立在生成樹(shù)基礎(chǔ)上的多鏈路冗余連接。HSRP 實(shí)現(xiàn)容錯(cuò)備份功能，可以有效解決網(wǎng)絡(luò)不暢問(wèn)題，保證了網(wǎng)絡(luò)的可靠性，做HSRP還可以保證核心交換機(jī)之間存在備份連接和負(fù)載均衡，鏈路捆綁可以完成高帶寬、大容量網(wǎng)絡(luò)層路由交換功能。匯聚層交換機(jī)Cisco 3560和接入層交換機(jī)Cisco 2960，我們將采用Trunk技術(shù)，并把三層交換機(jī)上配置成VTP Server, 二層交換機(jī)配置成VTP Client,使其在同一個(gè)VTP域中，利用VTPServer同步VLAN間信息。利用VLAN 技術(shù)可以限制廣播范圍的特性，能夠形成虛擬工作組，方便網(wǎng)絡(luò)管理。HSRP 是熱備份路由協(xié)議。直接影響網(wǎng)絡(luò)運(yùn)行的效率。我們配IP地址按以下原則：唯一性：一個(gè)IP網(wǎng)絡(luò)中不可能有兩個(gè)主機(jī)采用相同的IP地址。連續(xù)性：連續(xù)地址在此結(jié)構(gòu)網(wǎng)絡(luò)中易于進(jìn)行路由總結(jié)（Route Summarization）,大大縮減路由表，提高路由算法效率。靈活性：地址分配應(yīng)具有靈活性，可借助可變長(zhǎng)子網(wǎng)掩碼技術(shù)，以滿(mǎn)足多種路由策略的優(yōu)化，充分利用地址空間。IPV6以其靈活的IP報(bào)文頭部格式，不僅取代了IPV4中可變長(zhǎng)度的選項(xiàng)字段，而且也使路由器可以簡(jiǎn)單路過(guò)選項(xiàng)而不做任何處理，加快了報(bào)文處理速度，提高了吞吐量。支持更多的服務(wù)類(lèi)型，允許協(xié)議繼續(xù)演變，增加新的功能，使之適應(yīng)未來(lái)技術(shù)的發(fā)展。在本次項(xiàng)目中，服務(wù)器全部采用Windows 2003操作系統(tǒng)，Windows Server 2003集成了多種功能且對(duì)硬件要求不高，總體成本較低。Windows 服務(wù)器系統(tǒng)提供圖形化界面，減少配置和維護(hù)的工作量，并方便以后的管理和維護(hù)，若我們使用Linux操作系統(tǒng)就要要求管理員對(duì)Linux 熟練，這樣的管理員目前沒(méi)有Windows 管理員好找。公司網(wǎng)絡(luò)主要存在的邊界安全風(fēng)險(xiǎn)包括：總網(wǎng)絡(luò)與各級(jí)單位的連接，可能遭到來(lái)自各地的越權(quán)訪(fǎng)問(wèn)、惡意攻擊和計(jì)算機(jī)病毒的入侵；例如一個(gè)不滿(mǎn)的內(nèi)部用戶(hù)，利用盜版軟件或從Internet 下載的黑客程序惡意攻擊內(nèi)部站點(diǎn)，致使網(wǎng)絡(luò)局部或整體癱瘓；內(nèi)部的各個(gè)功能網(wǎng)絡(luò)通過(guò)骨干交換相互連接，這樣的話(huà)，重要的部門(mén)或者專(zhuān)網(wǎng)將遭到來(lái)自其他部門(mén)的越權(quán)訪(fǎng)問(wèn)。 網(wǎng)絡(luò)內(nèi)部安全威脅分析公司內(nèi)部網(wǎng)絡(luò)的風(fēng)險(xiǎn)分析主要針對(duì)整個(gè)內(nèi)網(wǎng)的安全風(fēng)險(xiǎn)，主要表現(xiàn)為以下幾個(gè)方面：內(nèi)部用戶(hù)的非授權(quán)訪(fǎng)問(wèn)；內(nèi)部的資源也不是對(duì)任何的員工都開(kāi)放的，也需要有相應(yīng)的訪(fǎng)問(wèn)權(quán)限。內(nèi)部用戶(hù)的誤操作；由于內(nèi)部用戶(hù)的計(jì)算機(jī)造作的水平參差不齊，對(duì)于應(yīng)用軟件的理解也各不相同，如果一部分軟件沒(méi)有相應(yīng)的對(duì)誤操作的防范措施，極容易給服務(wù)系統(tǒng)和其他主機(jī)造成危害。設(shè)備的自身安全性也會(huì)直接關(guān)系到各種系統(tǒng)和各種網(wǎng)絡(luò)應(yīng)用的正常運(yùn)轉(zhuǎn)。重要服務(wù)器或操作系統(tǒng)自身存在安全的漏洞，如果管理員沒(méi)有及時(shí)的發(fā)現(xiàn)并且進(jìn)行修復(fù)，將會(huì)為網(wǎng)絡(luò)的安全帶來(lái)很多不安定的因素。安全管理的困難，對(duì)于眾多的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)安全設(shè)備，安全策略的配置和安全事件管理的難度很大。本項(xiàng)目用Cisco Ios內(nèi)置防火墻來(lái)解決。 對(duì)于誤操作，就要對(duì)內(nèi)網(wǎng)用戶(hù)有必要進(jìn)行培訓(xùn)，讓其盡量少出錯(cuò)。IEEE 于1999 年頒布了用以標(biāo)準(zhǔn)化VLAN 標(biāo)準(zhǔn)草案。一個(gè)VLAN可以在一個(gè)交換機(jī)或者跨交換機(jī)實(shí)現(xiàn)?；诮粨Q機(jī)的虛擬局域網(wǎng)能夠?yàn)榫钟蚓W(wǎng)解決沖突域、廣播域、帶寬問(wèn)題。不同的VLAN之間的數(shù)據(jù)傳輸是通過(guò)第三層（網(wǎng)絡(luò)層）的路由來(lái)實(shí)現(xiàn)的，因此使用VLAN技術(shù)，結(jié)合數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層的交換設(shè)備可搭建安全可