中小型園區(qū)網(wǎng)的設計和實現(xiàn)(宋銳)

1、湖南科技職業(yè)學院畢 業(yè) 設 計題 目： 一恒機械公司企業(yè)網(wǎng)的設計和實現(xiàn) 專 業(yè)： 網(wǎng)絡安全 班 級： 3081 學 號： 14 姓 名： 宋 銳 指導教師： 李正軍 湖南科技職業(yè)學院電子信息工程與技術系二零一一年五月湖南科技職業(yè)學院電子信息系畢業(yè)設計評語題目： 一恒機械公司企業(yè)網(wǎng)的設計和實現(xiàn) 專業(yè)： 網(wǎng)絡安全 班級： 3081 姓名： 宋 銳 學號： 14 畢業(yè)設計得分：答辯得分：綜合評定：指導老師評語：指 導 教 師（簽字）：年 月 日答辯委員會（小組）評語：答辯委員會（小組）負責人（簽字）：年 月 日目 錄摘 要 3Abstract 4第1章 企業(yè)背景及需求分析 51.1企業(yè)背景 51.2

2、 需求分析 6第2章 網(wǎng)絡設計原則及規(guī)劃 72.1 設計原則 72.2 IP地址及VLAN劃分 7第3章 網(wǎng)絡總體方案設計 83.1 網(wǎng)絡規(guī)劃與設計 83.2 網(wǎng)絡拓撲結構 83.3 主干設計 93.4分支設計 103.5 服務器設計 113.6 INTERNET接入和安全 11接入 11 113.7 設備選型和報價 12第4章 網(wǎng)絡設備的配置和管理 134.1交換機模塊的設計和配置 134.2接入層交換機配置 134.3匯聚層交換機配置 154.4核心層交換機配置 164.5路由器模塊的設計和配置 18第5章 工程預算 19第6章 總 結 20第7章 致 謝 21參考文獻 22題目：中小型園

3、區(qū)網(wǎng)的設計和實現(xiàn)摘 要二十一世紀是知識經(jīng)濟時代。隨著計算機網(wǎng)絡的飛速發(fā)展，全球信息化趨勢勢不可擋，計算機網(wǎng)絡改變了人們傳統(tǒng)的工作方式和生活方式。利用當前蓬勃發(fā)展的計算機和網(wǎng)絡技術是實現(xiàn)企業(yè)現(xiàn)代化工作的必不可少的技術基礎。在現(xiàn)今的網(wǎng)絡建設中，中小型園區(qū)網(wǎng)的建設是非常重要和普遍的，如：校園網(wǎng)和企業(yè)網(wǎng)。園區(qū)網(wǎng)經(jīng)歷了從早期簡單的數(shù)據(jù)共享到現(xiàn)在園區(qū)網(wǎng)內部全方位、高速度、多種類應用的共享及服務的轉變。下面就以某企業(yè)的實際情況，設計一個可以正常運行的園區(qū)網(wǎng)，并對建成的網(wǎng)絡進行優(yōu)化，采用多種手段對網(wǎng)絡進行優(yōu)化是網(wǎng)絡組建成果的重要組成部分，缺少優(yōu)化的網(wǎng)絡就算硬件配置在高，還是不能把網(wǎng)絡資源充分利用。安全和穩(wěn)定的

4、運行是企業(yè)網(wǎng)追求的終極目標。關鍵詞： 交換機 路由器 防火墻 服務器 VLANTitle: Small and medium of the net design and implementAbstract21 centuries are a knowledge-based economy ages. With the fly develop of computer networks in recent years, Irresistible trends of global information; Computer networks alter the people's work a

5、nd lifestyle. Use of the current development of computer and network technology is the modernization of the work of essential technical infrastructure.In this network construction and the construction of the net is very important and widespread. Example: campus network and enterprise networks. The n

6、et from the simple data sharing to present the net, a comprehensive and high speed, many kinds of application sharing and service changes. Here in an enterprise of the actual, Design a normal operation of the net, and to optimize the use of network of networks is to optimize the fruits of network se

7、t up an important part of the network hardware configuration is high, even if I could not make full use of network resources. The security and stability is to pursue the ultimate aim of enterprise networksKeyword: switch router firewall server Vlan第1章 企業(yè)背景及需求分析1.1企業(yè)背景 一恒機械公司是一家剛剛注冊成立的公司。該公司擁有一棟中心大樓和

8、三個生產(chǎn)車間，以及兩棟辦公樓和一棟宿舍Internet從中心大樓接入，其它樓層接到中心大樓。距離最遠的樓層離中心大樓只有180m.該企業(yè)共有545臺電腦.隨著網(wǎng)絡的快速發(fā)展，全球信息化的趨勢已經(jīng)愈來愈明顯，一恒機械公司為了實現(xiàn)公司的信息化，加快公司的辦公效率，給公司帶來最大的利潤，所以，做出這次網(wǎng)絡設計。該企業(yè)占有七棟大廈，共有六個部門，每個部門不會超過255臺工作站，分別是財務部、技術部、銷售部、售后服務部、生產(chǎn)部、生產(chǎn)車間。此外有一個總經(jīng)理辦公室，一個副經(jīng)理辦公室。（下圖為企業(yè)建筑平面圖）1.2 需求分析為適應企業(yè)信息化的發(fā)展，滿足日益增長的通信需求和網(wǎng)絡的穩(wěn)定運行，今天的大中型企業(yè)網(wǎng)絡建

9、設比傳統(tǒng)企業(yè)網(wǎng)絡建設有更高的要求，主要表現(xiàn)在如下幾個方面。帶寬性能需求基于網(wǎng)絡的各種應用日益增多，今天的企業(yè)網(wǎng)絡已經(jīng)發(fā)展成為一個多業(yè)務承載平臺?，F(xiàn)代大型企業(yè)網(wǎng)絡應具有更高的帶寬，更強大的性能，以滿足用戶日益增長的通信需求。隨著計算機技術的高速發(fā)展。不僅要繼續(xù)承載企業(yè)的辦公自動化，Web瀏覽等簡單的數(shù)據(jù)業(yè)務，還要承載涉及企業(yè)生產(chǎn)運營的各種業(yè)務應用系統(tǒng)數(shù)據(jù)，以及帶寬和時延都要求很高的IP電話、視頻會議等多媒體業(yè)務。因此，數(shù)據(jù)流量將大大增加，尤其是對核心網(wǎng)絡的數(shù)據(jù)交換能力提出了前所未有的要求。穩(wěn)定可靠需求現(xiàn)代大中型企業(yè)的網(wǎng)絡應具有更全面的可靠性設計，以實現(xiàn)網(wǎng)絡通信的實時暢通，保障企業(yè)生產(chǎn)運營的正常進

10、行。隨著企業(yè)各種業(yè)務應用逐漸轉移到計算機網(wǎng)絡上來，網(wǎng)絡通信的無中斷運行已經(jīng)成為保證企業(yè)正常生產(chǎn)運營的關鍵。網(wǎng)絡安全需求現(xiàn)代大中型企業(yè)網(wǎng)絡應提供更完善的網(wǎng)絡安全解決方案，以阻擊病毒和黑客的攻擊，減少企業(yè)的經(jīng)濟損失。第2章 網(wǎng)絡設計原則及規(guī)劃2.1 設計原則先進性：總體設計起點高，采用先進的計算機網(wǎng)絡技術和管理模式，采用先進的網(wǎng)絡設計、網(wǎng)絡結構、開發(fā)工具，技術上采用市場占用率高、標準化、且技術成熟的目前流行的TCP/IP協(xié)議和目前最先進的千兆以太網(wǎng)和百兆以太網(wǎng)到桌面技術，保證網(wǎng)絡的安全、穩(wěn)定和容量。實用性：綜合考慮未來的擴展與保護投資，制定統(tǒng)一全面的發(fā)展規(guī)劃，充分發(fā)揮設備效益，能使用戶最方便地實現(xiàn)

11、各種功能?？煽啃裕悍掌骶邆涑瑥娙蒎e功能和先進的備份技術，交換機的模塊化、端口冗余和網(wǎng)管功能，使日后的管理和維護更方便。對網(wǎng)絡的設計、選型、裝、調試等各環(huán)節(jié)進行統(tǒng)一規(guī)劃和分析，確保系統(tǒng)運行可靠。經(jīng)濟型：投資合理，有良好的性價比可擴展性：要考慮到將來公司規(guī)模的擴大，網(wǎng)點數(shù)的增加等因素,使系統(tǒng)具有強大可擴充性能。安全性：提供多層次安全控制手段，建立完善的安全管理體系，防止數(shù)據(jù)受侵擊和破壞，有可靠的防病毒措施。2.2 IP地址及VLAN劃分在本企業(yè)網(wǎng)絡設計中，整個企業(yè)網(wǎng)的IP和VLAN編址方案如下表1-2所示：表1-2VLAN部門名稱IP網(wǎng)段默認網(wǎng)關說明Vlan10Manager 192.168.1

12、0.0/2454經(jīng)理Vlan2Market/2454銷售部Vlan3Produce/2454生產(chǎn)部Vlan4Technique/2454技術部Vlan5after-sales service/2454售后服務部Vlan6Finace/2454財務部Vlan7Workshop/2454生產(chǎn)車間Vlan8Dorm1

13、/2454員工宿舍Vlan9Server/2454服務器第3章 網(wǎng)絡總體方案設計3.1 網(wǎng)絡規(guī)劃與設計該企業(yè)要求除財務部以外的所有電腦都要能夠連接到INTERNET網(wǎng)絡，建立一條高速的、多能的、可靠的、易擴展的主干網(wǎng)絡，是企業(yè)網(wǎng)絡設計的主要問題。要求財務部的電腦不允許上INTERNET，生產(chǎn)部和三個生產(chǎn)車間相互之間能夠訪問，行政部和總經(jīng)理室可以跟除財務部外其他任何部門的電腦互訪，除此之外其他部門只有部門內的電腦相互間可以訪問，部門之間不可以訪問；計算機網(wǎng)絡系統(tǒng)，要求“千兆到骨干、百兆到桌面”，建成一個高可靠、

14、高性能、可擴展的信息網(wǎng)；系統(tǒng)采用3層網(wǎng)絡架構，PC機連接接入層交換機，根據(jù)企業(yè)各個部門及位置分布設置相應的匯聚層；核心層交換機采用千兆三層路由交換機。以下所示為該企業(yè)的信息點：樓房123456中心信息點8080809080120203.2 網(wǎng)絡拓撲結構下圖3-1所示是該公司的網(wǎng)絡拓撲圖。圖3-1（網(wǎng)絡拓撲圖）3.3 主干設計主干帶寬設計主干網(wǎng)是整個網(wǎng)絡的核心和主干。整個網(wǎng)絡的數(shù)據(jù)都需要通過它來傳輸，所以它必須能夠快速轉發(fā)大量的數(shù)據(jù)。路由器和核心層交換機之間采用千兆光纖連接。核心層交換機與服務器、匯聚層交換機，匯聚層和接入層交換機之間采用千兆以太網(wǎng)連接。兩臺匯聚層交換機之間也采用千兆連接。主干冗

15、余設計主干網(wǎng)除了要具備高帶寬外，還有具備高可用性和冗余性。設計要求網(wǎng)絡穩(wěn)定可靠，當某個核心節(jié)點或節(jié)點之間的鏈接中斷時，網(wǎng)絡能夠自動隔離故障點繼續(xù)工作。本次設計在匯聚層和接入層以及匯聚層之間采用了冗余鏈路。主干分層設計本次設計采用經(jīng)典的三層網(wǎng)絡架構。分層設計有很多優(yōu)點。例如：可擴展性，冗余性，易管理性，以維護性等。整個企業(yè)網(wǎng)絡結構分為核心層，匯聚層，接入層。核心層、匯聚層交換機和服務器位于中心大樓機房，接入層交換機位于每棟大樓的機房。網(wǎng)絡核心層是網(wǎng)絡的中心樞紐，其功能是實現(xiàn)高性能的交換和傳輸。因此核心層設備應該是高性能的交換機，可實現(xiàn)高速度的交換傳輸，以連接服務器等核心設備。核心交換機采用Cis

16、co WS-C6509-E來連接匯聚層交換機、服務器和路由器。匯聚層對下將接入層交換機的數(shù)據(jù)進行匯聚，對上通過高速接口將數(shù)據(jù)傳輸?shù)胶诵膶咏粨Q機，起著承上啟下的作用。設計匯聚層的時候，根據(jù)匯聚層的主要功能，應充分考慮以下幾點：1. 匯聚層設備要有足夠的帶寬2. 具有三層和多層交換特性3. 擁有靈活多樣的業(yè)務能力4. 須具有冗余和負載均衡能力匯聚交換機起著中間橋梁的作用，要選擇既能滿足現(xiàn)在網(wǎng)絡的需要，又要在將來網(wǎng)絡升級時不被淘汰掉，在滿足需要的前提下，盡可能的節(jié)約網(wǎng)絡建設投入?；谝陨戏治龊推髽I(yè)的實際情況，選擇Cisco WS-C3560G-24TS-S作為匯聚層交換機。接入層通常指網(wǎng)絡中直接面向

17、用戶連接或訪問的部分。接入層目的是允許終端用戶連接到網(wǎng)絡，因此接入層交換機具有低成本和高端口密度特性。我們選用Cisco WS-C2960-48TT-L作為接入層交換機。3.4分支設計分支設計主要體現(xiàn)在樓棟之內的設計。信息點和接入層交換機之間采用百兆以太網(wǎng)連接后。看看每棟樓房之內有多少臺接入層交換機，如果有一臺以上的交換機，我們把接入層交換機之間采用級聯(lián)連接，最后，通過千兆端口連接到匯聚層交換機。級聯(lián)方式如下圖所示：3.5 服務器設計本次設計涉及到的服務器有WWW，F(xiàn)TP，DHCP，DNS和郵件服務器。WWW和郵件服務器對內外均處于開放狀態(tài)，DHCP服務器僅對內部用戶開放，F(xiàn)TP服務器對內部開

18、放，但是，管理員會設置用戶的權限級別，防止用戶亂改數(shù)據(jù)。服務器的選型如下：IBM System x3850 X5(7145i19 ￥6.2萬 2011-05-11該服務器共有16G內存，可以虛擬8臺服務器。3.6 INTERNET接入和安全該企業(yè)通過邊界路由器訪問Internet。并提供Internet訪問內網(wǎng)服務器上的Web和郵件服務器。Internet ISP為公司分配4個公網(wǎng)IP。內部用戶可以通過NAT轉換訪問Internet。企業(yè)網(wǎng)絡的安全措施主要是通過部署防火墻、IDS、殺毒軟件，以及配合交換機或路由器的ACL來實現(xiàn)對病毒和黑客攻擊的防御。防火墻能夠有效的阻止外來的入侵，它在網(wǎng)絡系統(tǒng)

19、中的作用是：控制進出網(wǎng)絡的信息流量和信息包；提供使用和流量的日志和審計；隱藏內部IP地址和網(wǎng)絡結構的細節(jié)。IDS在網(wǎng)絡系統(tǒng)中的作用：IDS的中文意思是“入侵檢測系統(tǒng)”，依照一定的安全策略，通過軟、硬件，對網(wǎng)絡、系統(tǒng)的運行狀況進行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結果，以保證網(wǎng)絡系統(tǒng)資源的機密性、完整性和可用性。殺毒軟件在網(wǎng)絡系統(tǒng)中的作用：用于消除電腦病毒，木馬和惡意軟件。同時集成監(jiān)控識別、病毒掃描和清除和自動升級等功能。ACL在網(wǎng)絡體系中的作用：控制進出網(wǎng)絡的數(shù)據(jù)流。3.7 設備選型和報價通過以上對網(wǎng)絡的設計，我們采用如下設備：設備選型報價列表：設備名稱型號單價數(shù)量總價說明路由器C

20、isco 3825300001300006個擴展模塊 支持VPN、Qos內置防火墻 2個內存擴展插槽核心層CISCOWS-C6509-E5.33萬153300企業(yè)級交換機 vlan支持10M/100M/1000M匯聚層CiscoWS-C3560G-24TS-S19500239000背板帶寬24G 支持vlan10Mbps/100Mbps/1000M模塊化插槽數(shù)：4接入層CISCO WS-C2960-48TT-L76001398800端口48 支持vlan10Mbps/100Mbps/1000M模塊化插槽數(shù)：2線纜超5類光纖2/m4.5/m2500m1500m50006750第4章 網(wǎng)絡設備的配

21、置和管理4.1交換機模塊的設計和配置 一個性能優(yōu)良的網(wǎng)絡都應該是一個分層的設計。這樣不但簡化了交換網(wǎng)絡的設計，同時也提高了交換網(wǎng)絡的可靠性和可擴展性，我們一般將其分為三層設計模型。分別是接入層，匯聚層，核心層。下面我們將按照分層的設計與配置進行論述。4.2接入層交換機配置接入層交換機是為所有的終端用戶提供一個接入點。我們采用的是Cisco WS-C2960-48TC-L交換機擁有48個10/100/1000M的自適應快速以太網(wǎng)端口，這里我們有13臺接入層交換機。接下來我們將對幾臺接入層交換機進行配置作為示例。（由于有13臺交換機，不可能每臺都做配置）進入交換機的配置界面（CLI）我們一般常采用

22、的有兩種方法：1 利用反轉線直接和交換機的控制端口相連2 遠程登錄我們主要進行如下一些配置：1. 設置交換機的名稱Switch(config#hostname produce1Produce1(config#2. 設置交換機密碼Produce1(config#enable secret cisco1233. 設置登陸虛擬終端Produce1(config#line vty 0 15Produce1(config-line#loginProduce1(config-line#password cisco1234. 設置虛擬終端超時時間Produce1(config#line vty 0 15Pr

23、oduce1(config-line#exec-timeout 5 305. 設置控制臺終端超時時間Produce1(config#line con 0Produce1(config-line#exec-timeout 5 306. 禁用IP地址解析特性當我們向交換機輸入一條錯誤的指令的時候，交換機就會將該信息廣播給網(wǎng)絡上的DNS服務器，并試圖把它解析成IP地址。Produce1(config#no ip domain-lookup7. 啟用消息同步特性為了防止我們向交換機輸入的指令被交換機產(chǎn)生的信息打亂。我們啟用消息同步特性。Produce1(config#logging synchrono

24、usProduce1(config#interface vlan 1Produce1(config-if#no shutdown將Produce1設置成為VTP（vlan trunking protocol）的客戶機，（VTP即vlan生成樹協(xié)議，使得vlan客戶機可以從vlan服務機上獲得vlan信息，這樣就不必為每臺交換機配置vlan，大大減輕了網(wǎng)絡管理人員的工作負擔，同時也減少了在不同交換機上輸入命令時出錯的幾率，保證了網(wǎng)絡的正常運行）命令如下：Produce1(config#vtp mode client到此，對produce1的配置基本上完成，以上僅完成部分部門的接入層配置，其他部門

25、配置可參考以上的配置來進行，這里就不做重復的論述。4.3匯聚層交換機配置匯聚層是連接接入層和核心層的網(wǎng)絡設備,為接入層提供數(shù)據(jù)的匯聚傳輸管理分發(fā)處理.匯聚層為接入層提供基于策略的連接,如地址合并,協(xié)議過濾,路由服務, 認證管理等.通過網(wǎng)段劃分(如VLAN與網(wǎng)絡隔離可以防止某些網(wǎng)段的問題蔓延和影響到核心層.匯聚層同時也可以提供接入層虛擬網(wǎng)之間的互連,控制和限制 接入層對核心層的訪問,保證核心層的安全和穩(wěn)定.。這里我們選擇采用的是Cisco WS-C3560G-24TS-S型的交換機。對匯聚層交換機Huiju1的基本參數(shù)的配置與接入層交換機produce1的基本參數(shù)配置類似。每一臺交換機都有一個默

26、認的管理vlan即vlan1，用來管理該交換機，所以我們只需要為vlan1配置IP地址即可。同時為了能讓網(wǎng)絡管理員在不同的子網(wǎng)中管理該交換機我們?yōu)槠渑渲媚J網(wǎng)關。具體配置命令如下：Huiju1(config#interface vlan 1Huiju1(config-if#no shutdownHuiju1(config-if#exit當網(wǎng)絡中的交換機數(shù)量很多時，需要分別在每臺交換機上創(chuàng)建很多的vlan，工作量很大，過程很繁瑣，并且很容易出錯。所以在實際工作中我們都采用VTP來解決這個問題。我們只需要在VTP服務器上配置好vlan信息 ，VTP客戶機就可以通過VTP來從VTP服務器上學習到vl

27、an信息了。同時，有關vlan的刪除，參數(shù)的更改都可以傳播到其他的交換機上，從而大大減輕了網(wǎng)絡管理人員的工作負擔。命令如下：Huiju1(config#vtp domain ciscoHuiju1(config#vtp mode server一個交換網(wǎng)絡中，某臺交換機的所有端口都屬于同一個vlan，則它沒有必要接收其他vlan的用戶數(shù)據(jù)，為了防止接收其他vlan的用戶數(shù)據(jù)我們可以啟用VTP剪裁功能。命令如下：Huiju1(config#vtp pruning到此為止，匯聚層交換機Huiju1的配置已經(jīng)完成。另一臺匯聚層交換機的配置和Huiju1很相似。在此僅做簡單的配置：4.4核心層交換機配置

28、核心層交換機將各匯聚層交換機互連起來進行穿越園區(qū)網(wǎng)骨干的高速數(shù)據(jù)交換，在本企業(yè)網(wǎng)的設計中我們核心層交換機所采用的是Cisco WS-C6509-E交換機。對核心層交換機的配置命令如下：Core1(config#interface vlan 1Core1(config-if#no shutdownCore1(config-if#exitCore1(config#vtp mode clientCore1(config# interface f0/1Core1(config# interface f0/2Core1(config#ip routingCore1(config#ip classless

29、Core1(config# router ospf 1到此，Core1的配置已經(jīng)完成。Interface vlan 3ip access-group 100 out把訪問控制列表10 應用于VLAN 3 OUT方向上，生產(chǎn)車間內部可以互訪，可以訪問服務器、生產(chǎn)部和總經(jīng)理網(wǎng)段，不允許訪問其它部門所在網(wǎng)段。以上配置作為范例參考，其它ACL的相關配置這里就不打出來了。啟用生成樹協(xié)議RSTP。Switch(config# spanning-tree mode rapid-pvst 4.5路由器模塊的設計和配置在本企業(yè)網(wǎng)中采用的是cisco3825的路由器，其主要作用是在企業(yè)網(wǎng)和Internet之間路由

30、數(shù)據(jù)包。還有充當防火墻的功能，配置如下：主要是對接口fastethernet0/0以及接口serial1/0的IP地址、子網(wǎng)掩碼的配置。配置命令如下：R1(config#interface fastethernet0/0R1(config-if#no shutdownR1(config-if#interface serial0/0R1(config-if#no shutdownR1(config#router ospf 1R1(config#ip nat inside source list 1 pool test overloadR1(config#interface seria1/0R1(config-if#ip nat outsideR1(config#interface fastethernet0/0R1(config#ip nat inside第5章 工程預算下表為工程預算列表：設備名稱型號單價數(shù)量總價路由器Cisco 382530000130000核心層交換機CISCOWS-C6509-E5.33萬153300匯聚層交換機CiscoWS-C3560G-24TS-S1950023