word文檔可自由復制編輯計算機網絡與安全實踐設計報告中國礦業大學（南湖校區）局域網建設方案專業:計科班級:小組成員：指導教師：職稱：中國礦業大學計算機科學與技術學院2014年4月徐州word文檔可自由復制編輯題目中國礦業大學（南湖校區）校園局域網建設方案指導教師簽字：年月日目錄TOC\o"1-3"\h\u21751、引言 419631.1、背景 460801.2、目前現狀 472082、網絡設計的目標與要求 663172.1、礦業大學南湖網絡的建設要求 6201803、方案設計與實現 736893.1網絡設計原則 7148463.2主流組網技術分析與選擇 817783.3網絡拓撲結構設計 9176423.4IP地址劃分 983753.4.1IP地址及VLAN劃分原則 9326703.4.2、IP、VLAN的劃分 10127213.4.3NAT的實現 10322753.5設備選型與配置：各種路由交換設備、服務器等 11174833.6、網絡安全設計與管理 17138143.6.1安全需求分析 171723.6.2網絡安全控制 18151933.6.3網絡管理設計 1833503.7、未來升級與擴展 20235574、網絡施工與結構化布線 2116554.1總布線規劃 21220964.2網絡布局的具體實施要求 21313385、結束語 2239976.心得 23220617、參考文獻 23中國礦業大學南湖校區校園網建設方案1、引言1.1、背景計算機網絡是計算機技術和通信技術相結合的產物，在信息技術的帶動下，計算機網絡發展的非常迅速，特別是internet的日益普及，“校園網“就隨著各高校計算機網絡的建設而引起廣泛關注。建設和使用校園網絡已成為一種普遍的趨勢，學校對網絡的依賴性越來越強，網絡應用也是日新月異。從類型來看，校園網大都屬于中小型系統，但它的網絡結構和性能要求卻又一定的特殊性，因此相應的網絡設計和網絡維護應有一些特別的考慮。隨著我們學校擴建，規模擴大，設備更新，需要不斷健全自己的校園網絡來滿足日新月異的網絡環境，同時目前網絡安全越來越成為特別是學校關心的一項，一旦網絡癱瘓勢必對教學和辦公帶來不可估量的影響，由此決定擬組建一個校園局域網，并附上校園網的安全已經維護服務。特此對南湖校區的校園局域網的建設方案做此規劃。1.2、目前現狀礦業大學南湖局域網的建設，最終是通過學校網絡中心將網絡接入到礦業大學南湖的每個機房，使師生員工可以在機房進行各種活動，有助于提高師生的生活質量，對計算機技術的教學提供了極大的幫助。因此，建設礦業大學南湖局域網是學校發展的不可或缺的基礎硬件設施。礦業大學南湖擁有一個完整的以太網布局，通過路由器與學校網絡中心光纖連接，由兩層交換機將各個機房的信息點連通。礦業大學南湖位于計算機學院樓四樓，每個實驗室是一間長方形教室，每個實驗室大約有60臺計算機。根據我校學生多、機位少的實際情況，制定如下網絡需求：C類局域網，獨立網段，自主分配IP地址；每臺計算機通過URL自由訪問Internet網絡資源；支持筆記本移動上網；高速、穩定、安全、可靠；布局規范、合理，易于維護；節約空間，減少噪音污染；成本最優化原則建設的局域網要努力克服一些通病，如：設備種類繁多、機位擁擠不堪、網線密集凌亂、維護困難重重、空氣流通不暢、往來人員頻繁而中空的防靜電地板將每個人腳下的聲音傳播到整個機房，混合上交換機噪音，產生噪音污染。此外，在建設實驗室局域網過程中還要考慮以下因素：（1）主干層網落承載能力要求主干層的功能主要是實現骨干網絡之間的優化傳輸，負責整個網絡的網內數據交換。網絡的功能控制最好盡量少在骨干層上實施，主干層設計任務的重點是冗余能力、可靠性和高速的傳輸。核心層一直被認為是流量的最終承受者和匯聚者，所以要求主干層交換機擁有較高的可靠性和性能。（2）匯聚層接點接入要求匯聚層主要負責連接接入層接點和核心層中心，匯聚分散的接入點，擴大核心層設備的端口密度和種類，匯聚各區域數據流量，實現骨干網絡之間的優化傳輸。匯聚交換及還負責本區域內的數據交換，匯聚交換機一般與主干層交換機同類型，仍需要較高的性能和比較豐富的功能，但吞吐量較低。(3)可靠性和自愈能力要求網絡系統的穩定可靠是應用系統正常運行的關鍵保證，在網絡設計中選用高可靠性網絡產品，合理設計網絡架構，制訂可靠的網絡備份策略，保證網絡具有故障自愈的能力，最大限度地支持系統的正常運行。(4)安全性要求制訂統一的骨干網安全策略，整體考慮網絡平臺的安全性。可以通過各業務子網隔離，全網統一規劃IP地址，根據不同的業務劃分不同的子網（subnet），相同物理LAN通過VLAN的方式隔離，不同子網間的互通性由路由策略決定。(5)性價比要求建設網絡時選用的設備要具有較高的性價比，用最小的成本建設最優質的網絡。2、網絡設計的目標與要求2.1、礦業大學南湖網絡的建設要求第一、經濟而實用靈活的拓撲結構的網絡實驗室，所提供的實驗平臺可以適合多種應用實驗的需要。可以實現同一時段多人做實驗，也可合并在一起組成大的實驗環境，體現網絡實驗室在拓撲環境組合上的靈活性及整體的經濟性。第二、可擴展和易維護性由于計算機網絡技術發展快速的特點，在網絡實驗室建設過程中，選擇設備時要求其在提供多種冗余保證穩定的情況下，還必須具有超強的擴展能力。如各種交換機都提供多個擴展插槽和提供足夠的背板帶寬，同時還采用設備管理軟件來解決設備在維護上的問題。第三、社會實際緊密結合性所建設的網絡實驗室是完全結合社會真實的網絡進行組建的，所有的實驗都是從實際的網絡環境中截取的，做到實驗和社會實際有機地結合起來，以提高中職院校的綜合競爭實力與學生就業能力。實驗教學內容應與社會應用實踐密切聯系，形成良性互動，實現學與用的有機結合。要認真考慮設置哪些實驗項目、采用何種實驗手段才能切實提高學生的動手能力，培養學生的獨立性和創造性，保證實驗教學的質量。完善礦業大學南湖局域網基礎設施建設，構建技術先進、擴展性強、安全可靠、高速暢通的網絡環境。建立公共信息系統基礎平臺，提供先進數字化管理手段，提高管理效率；建立功能齊全的教學管理平臺；建設內容豐富的教學資源庫，實現教學資源共享；提高全校師生信息素養，為培養高技能應用性人才和服務社會搭建公共服務平臺。在網上宣傳和獲取教育資源；在此基礎上建立能滿足教學、科研和管理工作需要的軟、硬件環境；開發各類信息庫和應用系統，為學校各類人員提供充分的網絡信息服務；系統總體設計本著總體規劃、分布實施的原則，充分體現系統的技術先進性、高度的安全可靠性、良好的開放性、可擴展性，以及建設經濟性。構建南湖校區校園網，我們一組3個人，分別完成各自不同的項目。3、方案設計與實現3.1網絡設計原則在充分考慮多應用、易管理的同時，本方案遵循如下原則：1、高可靠性。2、標準性及開放性。通訊協議和接口符合國際標準。3、靈活性及可擴展性。4、可管理性。合理地劃分vlan，能夠實現vlan連接。5、采用成熟的技術方案。6、安全性。7、綜合性和統一性。最大限度的采用同一廠家的產品。8、合理的性能價格比。3.2主流組網技術分析與選擇網絡拓撲結構就是網絡的形狀，或者是它在物理上的連通性。構成網絡的拓撲結構有很多種，通常包括：星型拓撲、總線拓撲、環型拓撲、樹型拓撲、混合型拓撲、網型拓撲。拓撲結構的選擇往往與傳輸媒體的選擇和媒體訪問控制方法的確定緊密相關。在選擇網絡拓撲結構時，應該考慮的主要因素有下列幾點：1.可靠性

盡可能提高可靠性，保證所有數據流能準確接收。還要考慮系統的維護，要使故障檢測和故障隔離較為方便。2.費用低

它包括建網時需考慮適合特定應用的費用和安裝費用。3.靈活性

需要考慮系統在今后擴展或改動時，能容易地重新配置網絡拓撲結構，能方便地對原有站點的刪除和新站點的加入。4.響應時間和吞吐量

要有盡可能短的響應時間和最大的吞吐量。經過各方面的綜合考慮，我們決定采用下面的建設方案：中間核心層是一臺核心三層交換機，分別連接屬于分布層的學生宿舍樓，圖書館，行政樓，公教區。分布層除了行政樓是三層交換機外，其它的都是二層交換機。圖中所示只說明了核心層和分布層，接入層還有很多二層交換機。其中宿舍樓還連有一臺DHCP服務器，以為學生上網分配IP地址。核心交換機連接一臺內部路由器，該路由器充當NAT作用，連接這電信服務提供商，負責把內網地址轉換為外網地址，以實現校園內網絡可以訪問因特網。3.3網絡拓撲結構設計3.4IP地址劃分3.4.1IP地址及VLAN劃分原則簡單性：地址的分配應該簡單，避免在主干上采用復雜的掩碼方式；連續性：為同一個網絡區域分配連續的網絡地址，便于采用路由收斂(Summarization)CIDR(ClasslessInter-DomainRouting)技術縮減路由表的表項，提高路由器的處理效率；可擴充性：為一個網絡區域分配的網絡地址應該具有一定的容量，便于主機數量增加時仍然能夠保持地址的連續性；靈活性：地址分配不應該基于某個網絡路由策略的優化方案，應該便于多數路由策略在該地址分配方案上實現優化；可管理性：地址的分配應該有層次，某個局部的變動不要影響上層、全局。安全性：網絡內應按工作內容劃分成不同網段即子網以便進行管理。3.4.2、IP、VLAN的劃分內網全部使用私有地址，在核心交換機上劃分vlan1：學生宿舍樓：vlan2，所用網段/24，網關地址為/24圖書館：vlan3，所用網段/24，網關地址為/24.教學樓：vlan4，所用網段/24，網關地址為/24.行政樓：vlan5，所用網段/24，網關地址為/NAT的實現NAT，網絡地址轉換，是通過將專用網絡地址轉換為公用地址（如互聯網Internet），從而對外隱藏了內部管理的IP地址。這樣，通過在內部使用非注冊的IP地址，并將它們轉換為一小部分外部注冊的IP地址，從而減少了IP地址注冊的費用以及節省了目前越來越缺乏的地址空間（即IPV4）。同時，這也隱藏了內部網絡結構，從而降低了內部網絡受到攻擊的風險。NAT網絡地址轉換的3種實現方式：1、靜態NAT（一對一）2、動態NAT（多對多）3、端口多路復用PAT（多對一）對于本方案而言，核心交換機與NAT路由器相連網段為/243.5設備選型與配置：各種路由交換設備、服務器等設備報價及選擇：我們通過查閱資料得到以下報價表：設備型號生產廠家單價核心交換機CISCOWS-C3750E-48PD-E思科130000元/臺二層交換機RG-S6806E銳捷180000元/臺ATM交換機CISCOWS-C3560G-24TS-E思科35000元/臺ATM交換機CISCOWS-C3750-24TS-S思科9000元/臺路由器CISCO1841思科3700元/臺路由器CISCO2801思科5300元/臺交換機CISCOWS-C3560-24TS-S思科6000元/臺交換機CISCORV042思科1000元/臺光釬收發機金浪KN-S113SCKingnet280元/臺12芯室外架空多模光纜漢維(HW810-12MM)漢維7元/米8芯多模室外鎧裝光纜立孚立孚5元/米超五類雙絞線TCLTCL4.6元/米防火墻華為賽門鐵克USG2110華為1800元/臺比較各設備的性能和價格，我們作出如下選擇：（1）分布層的三層設備采用CiscoCatalyst3560系列交換機。CiscoCatalyst3560系列交換機一個固定配置、企業級、IEEE802.3af和思科預標準以太網供電（PoE）交換機系列，工作在快速以太網和千兆位以太網配置下。Catalyst3560是一款理想的接入層交換機。核心交換機為最主要部分，因此需要高端設備。Catalyst6500系列為企業園區網和電信運營商網絡設立了新的IP通信和應用支持標準，它不但能提高用戶的生產率，增強操作控制，還能提供無與倫比的投資保護。所有二層交換機考慮到價格因素選用銳捷RG-S6806E系列交換機。RG-S6806E系列多業務萬兆核心路由交換機提供1.6T/0.8T背板帶寬，并支持將來3.2T/1.6T的能力，高達572Mpps/286Mpps的二/三層包轉發速率可為用戶提供高速無阻塞的數據交換，強大的交換路由功能、安全智能技術可同銳捷各系列交換機配合，為用戶提供完整的端到端解決方案，是大型網絡核心骨干和大流量節點交換機的理想選擇。（2）關于防火墻的選擇：根據該校園的網絡使用狀況和實際需求，綜合考慮經濟性、品牌實力、應用拓展等因素，本方案采用國內防火墻華為賽門鐵克USG2110系列產品。其技術特點是：安全功能：高穩定，高安全，高效率，高擴展，模塊化，多平臺支持。管理功能：實時監控，實時查看防火墻主機的當前負載情況，包括內存的使用情況和連接狀況等；支持同時對多個設備的監控。支持對各種二層協議的控制；支持進行深層次的應用層過濾。支持SSN（Service-orientedseeuritynetwork面向服務的安全網絡）。日志分析：審計日志分為多個等級；支持日志的自動導出與自動統計分析。支持高級日志分析系統。除防火墻外，還支持路由器、交換機、OS和應用系統的日志分析。可靠性：支持報文調試功能。支持運行黑匣子功能，并能導出設備健康運行記錄。（3）關于DHCP服務器局域網中每臺計算機都要有自己的IP地址，但靜態的去給每臺機子輸入，由于校園網的計算機很多，會很麻煩而且容易導致IP沖突，不易管理。所以用DHCP服務器將IP地址數據庫中的IP地址動態的分配給局域網中的客戶機，這時只需在客戶機上選擇“自動獲取IP地址”即可。客戶機通過廣播信息包的方式向DHCP服務器提出申請，服務器收到信息后會向客戶機提供一個合適的IP地址，每臺客戶機將選擇一個IP地址而拒絕其他的，而且DHCP服務器在提供IP地址時會設置一定的租用期限，當客戶機的租約到期后會釋放IP地址而重新獲得服務器提供的其他IP地址。DHCP服務器還可以通過保留設置，給其它服務器提供一個永久不過期的IP地址，例如給DNS服務器保留IP，就相當于有了一個靜態容易訪問的IP地址。也就是你的電腦連上網，DHCP服務器才從地址池里臨時分配一個IP地址給你，每次上網分配的IP地址可能會不一樣，這跟當時IP地址資源有關。當你下線的時候，DHCP服務器可能就會把這個地址分配給之后上線的其他電腦。這樣就可以有效節約IP地址，既保證了你的通信，又提高IP地址的使用率。因為之前劃分vlan時，學生宿舍樓屬于vlan2，可用地址空間為/24，所以在DHCP服務器的地址池中只能宣告這個范圍的地址供同學們使用。通過更改三層交換機的優先級，使其成為生成樹協議（STP）中的根交換機。為了交換機與交換機之間能夠傳遞不同vlan，需要在交換機相連接口之間配成802.1Qtrunk模式。還需要在每臺交換機上配置VTP，用于傳遞和同步vlan信息，其中把三層交換機配置成VTP的server端。在內部接入主機的交換機接口都配成portfast接口，此功能可以使該接口跳過生成樹的監聽和學習狀態，直接進入轉發狀態，實現生成樹的快速收斂。為了不讓在配置了portfast接口上錯誤地連接交換機導致STP重新計算，配置了portfast的同時要配置bpduguard，此功能可以讓配置了portfast的接口在接收BPDU的時候進入err-disable狀態，從而解決不小心把交換機錯誤地接入。配置DHCP：Router(config)#servicedhcpRouter(config)#ipdhcppoolSTUDENTRouter(dhcp-config)#networkRouter(dhcp-config)#exitRouter(config)#ipdhcpexcluded-address配置vlan：SW(config)#vlan2SW(config-vlan)#namestuSW(config-vlan)#exitSW(config)#vlan3SW(config-vlan)#namelibSW(config-vlan)#exitSW(config)#vlan4SW(config-vlan)#nametechSW(config-vlan)#exitSW(config)#intf1/0//交換機上連接主機的接口SW(config-if)#switchportmodeaccessSW(config-if)#switchportaccessvlan2SW(config)#spanning-treeportfastdefaultSW(config)#spanning-treeportfastbpduguarddefaultSW(config)#interfacef1/2//交換機之間互聯接口配trunkSW(config-if)#switchporttrunkencapsulationdot1qSW(config-if)#switchportmodetrunkSW(config)#spanning-treevlan1-4096priority0//核心交換機上配置優先級使其成為根交換機。SW(config)#vtpdomaincisco//配置所有交換機相同域名和密碼。SW(config)#vtppasswordccieSW(config)#vtpmodeserver//核心交換機為server端SW(config)#vtpmodeclient//其它交換機為client端核心交換機創建SVI接口，并且運行OSPF協議：SW(config)#interfacevlan3SW(config-if)#ipaddressSW(config)#interfacef1/1SW(config-if)#noswitchport//開啟交換機三層接口SW(config-if)#ipaddressSW(config)#routerospf1SW(config-router)#router-idSW(config-router)#network55area1SW(config-router)#network55area2SW(config-router)#network55area3SW(config-router)#network55area4SW(config-router)#networkarea0//用于NAT路由建立鄰居關系（4）路由選擇與配置思科cisco2800系列路由器可以用于中小型企業的網絡接入，實現NAT轉換，共享公網地址，支持各種專線接入。NAT路由器的設計網絡地址轉換(NAT,NetworkAddressTranslation)屬接入廣域網(WAN)技術,是一種將私有(保留)地址轉化為合法IP地址的轉換技術,它被廣泛應用于各種類型Internet接入方式和各種類型的網絡中。NAT不僅解決了lP地址不足的問題，而且還能夠有效地避免來自網絡外部的攻擊，隱藏并保護網絡內部的計算機。因此NAT是這個校園網絡不可缺少的一部分。NAT可以將多個地址同時映射到單個地址，該功能稱為PAT。PAT會同時轉換IP地址和端口號，來自不同地址的數據包可以被轉換為同一個地址，但相應的端口號不相同，這樣就可以共享同一個地址了。NAT連接核心交換機的地址采用私有地址，連接ISP的接口采用共有地址，該地址必須要向ISP申請。配置NAT：Router(config)#interfacef0/0Router(config-if)#ipaddressRouter(config-if)#ipnatinsideRouter(config-if)#noshutdownRouter(config)#interfacef1/0Router(config-if)#ipaddressRouter(config-if)#ipnatoutsideRouter(config-if)#noshutdownRouter(config)#ipnatinsidesourcelist1interfacef1/0overloadRouter(config)#access-list1permit55配置OSPF：Router(config)#routerospf1Router(config-router)#router-idRouter(config-router)#networkarea03.6、網絡安全設計與管理3.6.1安全需求分析(1)、網絡病毒的防范(2)、防止IP、MAC地址的盜用(3)、安全事故發生時候，需要準確定位到用戶(4)、用戶上網時間的控制(5)、用戶網絡權限的控制(6)、各種網絡攻擊的有效屏蔽3.6.2網絡安全控制(1)對端口ARP檢查防止ARP攻擊；(2)對端口安全：MAC動態地址鎖，MAC地址靜態綁定；(3)交換設備BPDUGuard功能，過濾非法BPDU報文，防止STP攻擊交換機；(4)端口安全：端口靜態綁定，自動綁定IP和MAC地址防止DOS攻擊；(5)智能安全到邊緣：多種ACL，滿足不同網絡應用，過濾病毒(6)SSH密文傳輸，限制管理IP等措施保證設備管理可靠；(7)對網絡病毒的防范：采用設置ACL，對病毒進行過濾；我們使用的匯聚、核心交換機都支持SPOH，通過端口獨立的FFP進行ACL處理，網絡設備性能不受設置ACL數目影響；3.6.3網絡管理設計網絡管理包括用戶管理、設備管理、網絡故障管理(1)網絡用戶管理(2)網絡設備管理網絡設備的管理通過STARVIEW實現，主要提供以下功能，這些功能也是我們常見的解決問題的思路：1、網絡現狀及故障的自動發現和了解STARVIEW能自動發現網絡拓撲結構，讓網絡管理員對整個校園網了如指掌，對于用戶私自掛接的HUB、交換機等設備能及時地發現，提前消除各種安全隱患。對于網絡中的異常故障，比如某臺交換機的CPU利用率過高，某條鏈路上的流量負載過大，STARVIEW都可以以不同的顏色進行顯示，方便管理員及時地發現網絡中的異常情況。2、網絡流量的查看STARVIEW在網絡初步異常的情況下，能進一步的察看網絡中的詳細流量，從而為網絡故障的定位提供了豐富的數據支持。3、網絡故障的信息自動報告STARVIEW支持故障信息的自動告警，當網絡設備出現故障時，會通過TRAP的方式進行告警，網絡管理員的界面上能看到各種故障信息，這些信息同樣為管理員的故障排除提供了豐富的信息。4、設備面板管理STARVIEW的設備面板管理能夠很清楚的看到校園中設備的面板，包括端口數量、狀態等等，同時可以很方便的登陸到設備上，進行配置的修改，完善以及各種信息的察看。5、RGNOS操作系統的批量升級校園網很大的一個特點就是規模大，需要使用大量的接入層交換機，如果需要對這些交換機進行升級，一臺一臺的操作，會給管理員的工作帶來很大的壓力，STARVIEW提供的操作系統的批量升級功能，能夠很方便的一次對所有的相同型號的交換機進行升級，加大的較少了網絡管理員的工作量。(3)網絡故障管理3.7、未來升級與擴展本方案采用的是分層結構。分層結構可從一個單元素架構開始進行線性擴展，從而顯著降低了構建可與其多級結構相媲美的大型結構所需的器件數。未來需要接入交換機時要記得把該交換機的配置清空，避免影響到整個拓撲。此外，還有包括以下幾個方面：處理能力擴展處理能力是指交換機的數據轉發能力，一般是指三層轉發能力。這種要求通常出現在網絡的匯聚層或核心層。隨著用戶業務的發展，業務數據流較大時，或對業務數據流有較多的QOS或安全策略時，交換機的轉發能力不足就會影響業務。帶寬擴展帶寬擴展通常出現在不同的網絡層次間，如接入層和匯聚層，匯聚層和核心層。由于桌面接入的主流都已經是100MB，而100MB交換機的上聯端口通常為1000MB，在滿負荷情況下，也才能滿足10個端口的線速上聯，而現在交換機動輒24口，48口，因此在某些情況下，需要進行上聯帶寬的擴展。平滑擴展隨著用戶對網絡的依賴性越來越強，網絡的中斷可能會給用戶帶來巨大的損失。即使是要進行網絡的擴展升級，用戶也希望不要對現存的網絡有影響。這就要求網絡的擴展具有平滑不中斷的特性。同時，在網絡擴展中，能夠保護原有設備的投資，不造成投資浪費。4、網絡施工與結構化布線4.1總布線規劃由于規劃的是一個校園局域網，它包含多棟建筑物，對網絡的連接可靠性和性能要求較高。這種網絡最好采用千兆以太網作為網絡骨干，網絡可以分為核心層和接入層。核心層設備具有多層交換機功能的千兆以太網交換機，接入層設備選擇帶有千兆上聯端口的以太網交換機。4.2網絡布局的具體實施要求對于有線局域網來說，這是我們目前企業網絡建設中，經常會遇到的，需要對機房和辦公大樓進行布線。規劃網絡布局要考慮到機房的設備布局和布線系統的合理搭配。因此我們首先要規劃與設計好機房、布線系統，然后再全面地考慮網絡的布局。校園網的規劃與設計為了確保網絡、計算機系統穩定、安全、可靠地運行，以及保障工作人員有良好的工作環境，做到技術先進、經濟合理、安全適用、確保質量，符合國家有關的機房設計規定。1)防靜電靜電不僅會對計算機運行出現隨機故障，而且還會導致某些元器件，雙級性電路等