網絡項目設計解決方案模板.參考分享

安博實訓平臺安博實訓平臺資源網絡工程路由交換方向XX項目技術建議書安博教育集團2018年4月安博教育集團 第1頁共3頁安博實訓平臺第一章 網絡總體設計1.1 網 絡 總 體 拓 撲R1F0/3internetF0/2F0/1S0/1Web服務器防火墻R3F0/1S0/1擴展，分公司FTP服務器F0/3F0/2F0/1R2F0/1F0/2F0/2F0/1F0/3F0/3SW1F0/4SW2F0/4F0/1F0/1F0/1F0/2F0/1F0/2F0/1F0/2F0/1F0/2F0/2F0/2SW3SW4SW5SW6SW7SW8市場部人事部教學部研發(fā)部項目部總裁辦財務部Presentation_ID?2002,CiscoSystems,Inc.Allrightsreserved.191.2網絡層次化設計對網絡進行層次化設計，既保證了網絡的安全，方便人們更好的地去管理網絡，也使得對網絡故障查找和排除的工作變得非常簡單。多層設計是模塊化的，網絡容量可隨著日后網絡節(jié)點的增加而不斷增大。多層網絡有很大的確定性，多層網絡系統(tǒng)設計最有效利用多種第三層業(yè)務，包括分段，負載分擔和故障恢復等。在分層網絡中運用智能第三層業(yè)務可以大大減少因配置不當或故障設備引起的一般問題。針對實際情況我們可以采用三層結構模型。三層結構模型劃分為三個層次，即核心層，分布層，接入層。每個層次完成不同的功能。核心層：核心層作為整個網絡的系統(tǒng)的核心，其主要功能是高速，可靠的進行數據交換。分布層：分布層主要進行接入層的數據流量匯聚，并對數據流量進行訪問控制。包括訪問控制列表， vlan路由等等。安博教育集團 第2頁共3頁安博實訓平臺接入層：接入層主要提供最終用戶接入網絡的途徑。主要是進行 vlan的劃分與分布層的連接等等。1.3核心層設計核心交換區(qū)的作用是盡快的提供所有的區(qū)域間的數據交換。在核心層我們采用兩臺 CISCO 2811-HSEC/K9 系列路由器(單價 1.64 萬) ，CISCO2811-HSEC/K9 系列路由器"集成化安全解決方案采用了 PIX、IDS傳感器和VPN集中器技術，將強大的CiscoIOS功能和業(yè)界領先的LAN/WAN連接與世界一流的安全功能匯集于一身?！袄矛F有設施”--利用現有網絡基礎設施，在路由器上通過 Cisco IOS支持全新安全特性，無需部署額外的硬件 “在最需要的地方部署安全特性”--為在網絡任意地點采用防火墻、 IPS和VPN等安全功能提供了靈活性,從而最大限度地發(fā)揮了安全優(yōu)勢 “保護您的網關”--在網絡所有的入點部署最佳安全功能 “節(jié)省時間和資金”--減少了設備數量，降低了培訓和管理成本“保護您的基礎設施”--保護了路由器，可以防御直接針對網絡基礎設施的攻擊1.4會聚層設計在會聚層我們采用兩臺 CISCO WS-C3750G-12S-S 系列交換機（單價 2.66萬），ISCOWS-C3750G-12S-S 系列交換機是一個創(chuàng)新的產品系列，它結合業(yè)界領先的易用性和最高的冗余性，里程碑地提升了堆疊式交換機在局域網中的工作效率。這個產品系列采用了最新的思科StackWise智能堆疊技術，不但實現高達32Gbps的堆疊互聯，還從物理上到邏輯上使若干獨立交換機在堆疊時集成在一起，便于用戶建立一個統(tǒng)一、高度靈活的交換系統(tǒng) --就好像是一整臺交換機一樣。這代表了堆疊式交換機新的工業(yè)技術水平和標準。3750系列最多可以將9個交換機堆疊在一起，構成一個統(tǒng)一的邏輯單元，其中總共包含468個以太網10/100端口或者252個以太網10/100/1000端口。各個10/100和10/100/1000單元可以根據網絡的需要任意組合。3750系列可以使用標準多層軟件鏡像（SMI）或者增強多層軟件鏡像（EMI）。SMI功能集包括先進的服務質量（QoS）、速率限制、訪問控制列表（ACL）和基本的靜態(tài)和路由信息協議（RIP）路由功能。EMI可以提供一組更加豐富的企業(yè)級功能，包括先進的、基于硬件的IP單播和組播路由。1.5接入層設計在接入層我們采用3臺CISCOWS-C2960-24TC-L系列交換機（單價5800元）和3臺CISCOWS-C2960-48TT-L系列交換機（單價7600元）。CISCOWS-C2960-24TC-L系列交換機為多達24個端口提供完全15.4瓦功率的PoE配置在網絡邊緣提供高級訪問控制列表(ACL)和增強安全性等智能化特性支持千兆以太網上行鏈路靈活性的兩用上行鏈路，允許使用銅纜或光纖上行鏈路；其中每個兩用上行端口分別擁有一個10/100/1000以太網端口和一個基于小形可插拔(SFP)的千兆以太網端口，每次有一個端口處于激活狀態(tài)采用高級QoS、速率限制、ACL和組播服務，提供網絡控制和帶寬優(yōu)化安博教育集團 第3頁共3頁安博實訓平臺根據用戶、端口和MAC地址，并通過多種不同的身份驗證方法、數據加密技術和NAC，提供網絡安全性采用CiscoNetworkAssistant軟件，輕松進行網絡配置、升級和故障排除采用Smartports對專業(yè)應用進行自動配置1.6內聯接入內聯接入的作用是用于連接總部公司與分公司或者公司內部其他部門，我們推薦使用一臺cisco2800系列路由器通過SDH/DDN線路完成此項功能。由于北京總部辦公網絡和分公司機房屬于ambow公司的內部網絡的一部分，因此可信度很高，接入時主要作用是管理和監(jiān)控，不涉及交易?？偨Y以上的原因，內聯路由器與核心交換網絡間不需要配置額外的防火墻。第二章 路由設計2.1路由協議選擇對于路由協議，目前較好的動態(tài)路由協議時ospf協議和EIGRP協議，但是EIGRP協議屬于cisco私有協議，其它廠商設備不支持，考慮到ambow公司網絡的擴展性，公開性，投資的保護等原因，我們設計采用 ospf路由協議和靜態(tài)路由相結合的路由方式。OSPF協議中，首先每個路由發(fā)送HOLLO包，與其它路由器建立鄰居關系。然后每臺路由器進行LSA泛洪，并獲得相同版本的LSA形成形同的LSDB（鏈路狀態(tài)數據庫）。最后以自己為跟通過SPF算法計算出到達每一個目的地的最優(yōu)路徑，然后添加到路由表。2.2路由規(guī)劃拓撲圖安博教育集團 第4頁共3頁安博實訓平臺R1F0/3internetF0/2F0/1S0/1Web服務器防火墻R3F0/1S0/1擴展，分公司FTP服務器F0/3F0/2F0/1R2F0/1F0/2F0/2F0/1F0/3F0/3SW1F0/4SW2F0/4F0/1F0/1F0/1F0/2F0/1F0/2F0/1F0/2F0/1F0/2F0/2F0/2SW3SW4SW5SW6SW7SW8市場部人事部教學部研發(fā)部項目部總裁辦財務部Presentation_ID?2002,CiscoSystems,Inc.Allrightsreserved.19Area02.2IP 地址規(guī)劃IP地址的規(guī)劃在網絡設計中的作用舉足輕重，直接影響整個網絡運行的效果，IP地址的設計的總原則是簡單，易管理，易擴展。IP地址是TCP/IP協議族中的網絡層邏輯地址，它被用來唯一地標識網絡中的一個節(jié)點，IP地址空間的分配，要與網絡層次結構相適應，既要有效地利用地址空間，又要體現出網絡的可擴展性和靈活性，同時能滿足路由協議的要求，提高路由算法的效率，加快路由變化的收斂速度。我們根據以下幾個原則來分配 IP地址：、唯一性：一個 IP網絡中不能有兩個主機采用相同的 IP地址簡單性：地址分配應簡單易于管理，降低網絡擴展的復雜性，簡化路由表的款項連續(xù)性：連續(xù)地址在層次結構中易于進行路由總結，大大縮減路由表，提高路由算法的效率可擴展性：地址分配在每一層次上都要留有余量，在網絡規(guī)模擴展時能保證地址總結所需的連續(xù)性。靈活性：地址分配應具有靈活性，可借助可變長子網掩碼技術，以滿足多種路由策略的優(yōu)化，充分利用地址空間。地址規(guī)劃： 總部 分部網段 211.x.x.x 192.168.x.x安博教育集團 第5頁共3頁安博實訓平臺子網掩碼子網網段部門部門保留設備互聯/30-/30技術專用/32—/32第三章 網絡安全解決方案3.1網絡邊界安全威脅分析網絡的邊界隔離者不同功能或地域的多個網絡區(qū)域，由于職責和功能不同，相連網絡的密級也不同。這樣的網絡直接相連，必然存在著安全風險，我們對ambow總部網絡邊界問題做脆弱性和風險的分析。Ambow總部網絡主要=存在的邊界安全風險包括：Ambow總部網絡與各級單位的連接，可能遭到來自各地的越權訪問，惡意攻擊和計算機病毒的入侵：例如一個不滿的內部用戶，利用盜版軟件或從Internet下載的黑客程序惡意攻擊內部站點，致使網絡局部或整體癱瘓。內部的各個功能網絡通過骨干交換相互連接，這樣的話，重要的部門或者專網遭到來自其他部門的越權訪問。這些越權訪問可能包括惡意的攻擊，誤操作等等，但是它們的后果都將導致重要信息的泄露或者是網絡的癱瘓。3.2網絡內部安全威脅分析Ambow總部網絡的風險分析主要針對ambow的整個內網的安全風險，主要表現為以下幾個方面：內部用戶的非授權訪問：ambow內部的資源也不是對任何的員工都開放的，也需要有相應的訪問權限。內部用戶的非授權的訪問，更容易造成資源和重要信息的泄露。內部用戶的誤操作:由于內部用戶的計算機造成的水平參差不齊，對于應用軟件的理解也各不相同，如果一部分軟件沒有相應的對誤操作的防范措施，極容易給服務系統(tǒng)和其他主機造成危害。安博教育集團 第6頁共3頁安博實訓平臺內部用戶的惡意攻擊：就網絡安全來說，據統(tǒng)計約有70%左右的攻擊來自內部用戶，相比外部攻擊來說，內部用戶具有更得天獨厚的優(yōu)勢，因此，對內部用戶攻擊的防范也很重要。設備的自身安全性也會直接關系到ambow網絡系統(tǒng)和各種網絡應用的正常運行。例如：路由設備存在路由信息泄露，交換機和路由器設備配置風險等。重要服務器或操作系統(tǒng)自身存在安全的漏洞，如果管理員沒有及時發(fā)現并且進行修復，將會為網絡的安全帶來很多不安定的因素。重要服務器的當機或者重要數據的丟失，都將會造成 ambow公司內部的業(yè)務無法正常運行。安全管理的困難，對于眾多的網絡設備和網絡安全設備，安全策略的配置和安全事件管理的難度很大。3.3安全產品選型原則Ambow網絡屬于一個行業(yè)的專用網絡，因此在安全產品的選型上，必須慎重，選型的原則包括：安全保密產品的接入應不明顯影響系統(tǒng)運行效率，并且滿足工作要求，不影響正常的業(yè)務。安全保密產品必須滿足上面提出的安全需求，保證整個ambow網絡的安全性。安全保密產品必須通過國家主管部門指定的測評機構的檢測；安全保密產品必須具備自我保護能力；安全保密產品必須符合國家和國際上的相關標準；安全產品必須操作簡單易用，便于簡單部署和集中管理。3.4網絡常用技術介紹Vlan技術（VirtuallocalAreaNetwork）即虛擬局域網，是一種通過將局域網內的設備邏輯地而不是物理地劃分成一個個網段從而實現虛擬工作組的新興技術。IEEE于1999年頒布了用標準化Vlan實現方案的802.1Q協議標準草案。VLAN技術允許網絡管理者將一個物理地LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個VLAN都包括一組有著相同需求的計算機工作站，與物理上形成的LAN有著相同的屬性。但由于它是邏輯地而不是物理地劃分，所以同一個VLAN內的各個工作站無須被放置在同一個物理空間里，即這些工作站不一定屬于同一個物理LAN網段。一個VLAN內部的廣播域個單播流量都不會轉發(fā)到其他VLAN中，從而有助于控制流量，減少設備投資，簡化網絡管理，提高網絡的安全性。Trunk技術一般的交換機端口只能屬于一個VLAN，對于對個VLAN需要跨過多臺交換機，就需要用到Trunk技術。Trunk是指交換機之間或交換機與路由器之間VLAN之間的連接，VLAN信息通過Trunk在交換機之間或路由器之間傳遞，從而可以將VLAN跨越整個網絡，而不僅僅是局限在一臺交換機上。Cisco支持802.1Q，ISL技術得到了Inrel等廠商的大力支持，TagSwitching被3Com及LucentCajun支持。對于CISCO交換機的Trunk端口，既可以指定它的封裝協議為802.1Q或安博教育集團 第7頁共3頁安博實訓平臺TSL，也可以通過DTP協議自動協商。DTP協議主要用于處理Trunk端口的802.1Q和ISL封裝協議的自動協商，對于不同廠家的交換機互連時很有幫助。對Trunk的定義只能在快速以太網端口和千兆以太端口上進行，它既可以是單個的快速以太端口或千兆以太網端口，也可以是快速以太網通道（FEC）或千兆以太網通道（GEC）。雖然我們采用的是思科交換機，但是最為一個標準，開放。先進的網絡系統(tǒng)，我們推薦的是用IEEE802.1Q標準協議。Spanning-Tree協議在局域網中是不允許出現環(huán)路的，而為了實現冗余和負載的均衡，通常會有多條鏈路的鏈接，這樣就會引入環(huán)路。為了解決這個矛盾，推出了STP協議。STP算發(fā)會將網絡網絡中的連接生成一個樹，通過特定的算法自動將優(yōu)先權高的鏈路激活，將優(yōu)先權低的鏈路阻塞，保證在網絡中任何時候都不會出現環(huán)路。如果網絡的連接狀況發(fā)生了變化，STP算法會造成網絡的暫時的不穩(wěn)定狀態(tài)，該轉換時間在30秒之內，亦即在30秒之內會重新恢復到穩(wěn)定狀態(tài)。STP對于終端是透明的，終端感覺不到STP的操作過程。在交換機上可以通過修改端口的優(yōu)先級來改變連接的優(yōu)先權，使得STP算法將高優(yōu)先權的連接作為活動的連接。Cisco交換機的一個非常有用的特征就是可以對每個VLAN 設置Spanning-tree，而不是對整個網絡只能屬于一個Spanning-tree。這個特征是很多廠商的設備所不具有的。在交換機上對端口的優(yōu)先權的設置可以基于VLAN進行，每個端口對于不同的VLAN設置不同的優(yōu)先權。對于指定的VLAN，具有該VLAN最高優(yōu)先權的端口轉發(fā)該VLAN的信息，其它VLAN的信息阻塞。通過這種方法，在具有冗余連接的交換機端口上分別針對不同的VLAN設置不同的優(yōu)先權，既可以實現鏈路的冗余，又可以實現負載的均衡。Cisco交換機端口支持每VLAN的生成樹協議，每個端口都可設置基于VLAN的cost或priority參數，從而實現在多條路徑上的負載均衡能力。目前多數廠商都支持STP協議，但是不允許多個STP域。采用多個STP域顯然可以獲得比單個域高的網絡可靠性。第四章 產品簡介CISCO2811-HSEC/K9 路由器安博教育集團 第8頁共3頁安博實訓平臺CISCO2811-HSEC/K9 系列路由器"集成化安全解決方案采用了 PIX、IDS傳感器和VPN集中器技術，將強大的CiscoIOS 功能和業(yè)界領先的 LAN/WAN連接與世界一流的安全功能匯集于一身?！袄矛F有設施”--利用現有網絡基礎設施，在路由器上通過CiscoIOS支持全新安全特性，無需部署額外的硬件“在最需要的地方部署安全特性”--為在網絡任意地點采用防火墻、IPS和VPN等安全功能提供了靈活性,從而最大限度地發(fā)揮了安全優(yōu)勢“保護您的網關”--在網絡所有的入點部署最佳安全功能 “節(jié)省時間和資金”--減少了設備數量，降低了培訓和管理成本 “保護您的基礎設施”--保護了路由器，可以防御直接針對網絡基礎設施的攻擊安博教育集團 第9頁共3頁安博實訓平臺CISCOWS-C3750G-12S-S 交換機ISCOWS-C3750G-12S-S系列交換機是一個創(chuàng)新的產品系列，它結合業(yè)界領先的易用性和最高的冗余性，里程碑地提升了堆疊式交換機在局域網中的工作效率。這個產品系列采用了最新的思科 StackWise智能堆疊技術，不但實現高達32Gbps的堆疊互聯，還從物理上到邏輯上使若干獨立交換機在堆疊時集成在一起，便于用戶建立一個統(tǒng)一、高度靈活的交換系統(tǒng) --就好像是一整臺交換機一樣。這代表了堆疊式交換機新的工業(yè)技術水平和標準。3750系列最多可以將9個交換機堆疊在一起，構成一個統(tǒng)一的邏輯單元，其中總共包含468個以太網10/100端口或者252個以太網10/100/1000端口。各個10/100和10/100/1000單元可以根據網絡的需要任意組合。3750系列可以使用標準多層軟件鏡像（SMI）或者增強多層軟件鏡像（EMI）。SMI功能集包括先進的服務質量（QoS）、速率限制、訪問控制列表（ACL）和基本的靜態(tài)和路由信息協議（RIP）路由功能。EMI可以提供一組更加豐富的企業(yè)級功能，包括先進的、基于硬件的IP單播和組播路由。安博教育集團 第10頁共3頁安博實訓平臺CISCOWS-C2960-24TC-L 交換機安博教育集團 第11頁共3頁安博實訓平臺WS-C2960-24TC-L系列交換機為多達24個端口提供完全15.4瓦功率的PoE配置在網絡邊緣提供高級訪問控制列表(ACL)和增強安全性等智能化特性支持千兆以太網上行鏈路靈活性的兩用上行鏈路，允許使用銅纜或光纖上行鏈路；其中每個兩用上行端口分別擁有一個10/100/1000以太網端口和一個基于小形可插拔(SFP)的千兆以太網端口，每次有一個端口處于激活狀態(tài)采用高級QoS、速率限制、ACL和組播服務，提供網絡控制和帶寬優(yōu)化根據用戶、端口和MAC地址，并通過多種不同的身份驗證方法、數據加密技術和NAC，提供網絡安全性采用CiscoNetworkAssistant軟件，輕松進行網絡配置、升級和故障排除采用Smartports對專業(yè)應用進行自動配置CISCOWS-C2960-48TT-L 交換機安博教育集團 第12頁共3頁安博實訓平臺CiscoCatalyst2960系列交換機資料產品概述 Cisco?Catalyst?2960系列智能以太網交換機是一個全新的、固定配置的獨立設備系列，提供桌面快速以太網和千兆以太網連接，可為入門級企業(yè)、中型市場和分支機構網絡提供增強LAN服務。Catalyst2960系列具有集成安全特性，包括網絡準入控制(NAC)、高級服務質量(QoS)和永續(xù)性，可為網絡邊緣提供智能服務。CiscoCatalyst2960系列提供：為網絡邊緣提供了智能特性，如先進的訪問控制列表(ACL)和增強安全特性雙介質上行鏈路端口提供了千兆以太網上行鏈路靈活性，可以使用銅纜或光纖上行鏈路端口—每個介質上行鏈路端口都有一個10/100/1000以太網端口和一個小型可插拔(SFP)千兆以太網端口，在使用時其中一個端口激活，但不能同時使用這兩個端口通過高級QoS、精確速率限制、ACL和組播服務，實現了網絡控制和帶寬優(yōu)化通過多種驗證方法、數據加密技術和基于用戶、端口和MAC地址的網絡準入控制，實現了網絡安全性通過思科網絡助理，簡化了網絡配置、升級和故障診斷使用 Smartports自動配置特定應用 CiscoCatalyst2960系列軟件鏡像提供了一系列豐富的智能服務， 包括高級QoS、速率限制和ACL。SFP千兆以太網端口可安裝多種SFP收發(fā)器，包括Cisco1000BASE-SX、1000BASE-LX、1000BASE-BX、1000BASE-ZX、100BASE-FX、100BASE-LX10、100BASE-BX和粗波分多路復用(CWDM)SFP收發(fā)器。千兆以太網千兆以太網以1000Mbps的速度，提供了可滿足新網絡和擴展網絡的需求的帶寬，消除了瓶頸，提升了性能，同時提高了現有基礎設施投資的回報。目前，工作人員都對網絡有著更高需求，在網絡上同時運行多個應用。安博教育集團 第13頁共3頁----以下非正文，可編輯刪除，歡迎下載精品文檔-----------------------------------------------------------------------------------------------------佛祖告訴你愛是什么

一、

石頭問：我究竟該找個我愛的人做我的妻子呢？還是該找個愛我的人做我的妻子呢？

佛笑了笑：這個問題的答案其實就在你自己的心底。這些年來，能讓你愛得死去活來，能讓你感覺得到生活充實，能讓你挺起胸不斷往前走，是你愛的人呢？還是愛你的人呢？

石頭也笑了：可是朋友們都勸我找個愛我的女孩做我的妻子？

佛說：真要是那樣的話，你的一生就將從此注定碌碌無為！你是習慣在追逐愛情的過程中不斷去完善自己的。你不再去追逐一個自己愛的人，你自我完善的腳步也就停滯下來了。

石頭搶過了佛的話：那我要是追到了我愛的人呢？會不會就……

佛說：因為她是你最愛的人，讓她活得幸福和快樂被你視作是一生中最大的幸福，所以，你還會為了她生活得更加幸福和快樂而不斷努力。幸福和快樂是沒有極限，所以

你的努力也將沒有極限，絕不會停止。

石頭說：那我活的豈不是很辛苦？

佛說：這么多年了，你覺得自己辛苦嗎？

石頭搖了搖頭，又笑了。

二、

石頭問：既然這樣，那么是不是要善待一下愛我的人呢？

佛搖了搖頭，說：你需要你愛的人善待你嗎？

石頭苦笑了一下：我想我不需要。

佛說：說說你的原因。

石頭說：我對愛情的要求較為苛刻，