園區(qū)網(wǎng)絡(luò)設(shè)計方案

.網(wǎng)絡(luò)設(shè)計與組網(wǎng)綜合大作業(yè)目 錄網(wǎng)絡(luò)設(shè)計與組網(wǎng)綜合大作業(yè)I目 錄I第一章 緒論2 1.1 概況21.2 主要內(nèi)容2第二章 園區(qū)網(wǎng)概述32.1 園區(qū)網(wǎng)含義32.2 園區(qū)網(wǎng)特點32.3 園區(qū)網(wǎng)發(fā)展趨勢3第三章 園區(qū)網(wǎng)設(shè)計43.1 需求分析43.2 網(wǎng)絡(luò)設(shè)計原則43.3 網(wǎng)絡(luò)模型設(shè)計53.4 園區(qū)網(wǎng)絡(luò)拓?fù)鋱D73.5 IP地址規(guī)劃73.6VLAN規(guī)劃83.7 路由協(xié)議選擇83.8配置規(guī)范10第四章 網(wǎng)絡(luò)安全設(shè)計124.1 VLAN技術(shù)124.2 VPN技術(shù)134.3 防火墻技術(shù)13第五章 網(wǎng)絡(luò)模擬實現(xiàn)145.1 模擬器介紹145.2 模擬環(huán)境拓?fù)鋱D145.3 需求實現(xiàn)155.4 配置步驟16第六章 總結(jié)17.第一章 緒論1.1 概況隨著計算機網(wǎng)絡(luò)的迅速發(fā)展，曾經(jīng)在園區(qū)網(wǎng)中被大量使用的10M/100M以太網(wǎng)技術(shù)、ATM技術(shù)已經(jīng)漸漸不能適應(yīng)現(xiàn)在的業(yè)務(wù)需求，作為園區(qū)主干網(wǎng)，10M/100M以太網(wǎng)作為主干網(wǎng)絡(luò)核心技術(shù)帶寬不足的弊病漸漸凸顯，已經(jīng)嚴(yán)重影響著園區(qū)網(wǎng)絡(luò)的運行效率，目前仍有許多大型園區(qū)網(wǎng)絡(luò)在使用ATM技術(shù)，這樣的網(wǎng)絡(luò)面臨兩個問題：VLAN間路由的性能不能滿足網(wǎng)絡(luò)需求，并且ATM技術(shù)正在逐步被淘汰?，F(xiàn)在，千兆以至10G級別以太網(wǎng)技術(shù)正逐漸成為園區(qū)網(wǎng)絡(luò)主干的主流技術(shù)。因此，許多大型園區(qū)網(wǎng)絡(luò)面臨技術(shù)改造或者重新設(shè)計。1.2 主要內(nèi)容本文主要做了以下兩個方面的工作：第一，介紹了園區(qū)網(wǎng)絡(luò)的含義、特點，按網(wǎng)絡(luò)設(shè)計與組網(wǎng)課程的要求方法規(guī)劃設(shè)計一個完整的園區(qū)網(wǎng)絡(luò)。第二，使用華為的eNSP對網(wǎng)絡(luò)進行了簡單的模擬，以實現(xiàn)網(wǎng)絡(luò)的互通互聯(lián)，對各層設(shè)備進行了配置。第二章 園區(qū)網(wǎng)概述2.1 園區(qū)網(wǎng)含義園區(qū)網(wǎng)是指為企事業(yè)單位組建的辦公局域網(wǎng)。典型的園區(qū)網(wǎng)包括校園網(wǎng)、社區(qū)網(wǎng)、住宅小區(qū)網(wǎng)、企事業(yè)單位網(wǎng)等。2.2 園區(qū)網(wǎng)特點園區(qū)網(wǎng)是網(wǎng)絡(luò)的基本單元。園區(qū)網(wǎng)較適合于采用三層結(jié)構(gòu)設(shè)計。園區(qū)網(wǎng)對線路成本考慮的較少，對設(shè)備性能考慮的較多，追求較高的帶寬和良好的擴展性。園區(qū)網(wǎng)的結(jié)構(gòu)比較規(guī)整。2.3 園區(qū)網(wǎng)發(fā)展趨勢從計算機網(wǎng)絡(luò)應(yīng)用角度來看，網(wǎng)絡(luò)應(yīng)用系統(tǒng)將向更深和更寬的方向發(fā)展，這也相應(yīng)的影響著未來園區(qū)網(wǎng)的發(fā)展方向。首先，Internet信息服務(wù)將會得到更大發(fā)展。網(wǎng)上信息瀏覽、信息交換、資源共享等技術(shù)將進一步提高速度、容量及信息的安全性。其次，遠(yuǎn)程會議、遠(yuǎn)程教學(xué)、遠(yuǎn)程醫(yī)療、遠(yuǎn)程購物等應(yīng)用將逐步從實驗室走出，不再只是幻想。網(wǎng)絡(luò)多媒體技術(shù)的應(yīng)用也將成為網(wǎng)絡(luò)發(fā)展的熱點話題。第三章 園區(qū)網(wǎng)設(shè)計3.1 需求分析某企業(yè)園區(qū)剛剛建成，是一大型企業(yè)的分支機構(gòu)，為了實現(xiàn)企業(yè)的辦公信息自動化，擴大企業(yè)的影響，方便和總部的信息交流，需要建立自己企業(yè)的Intranet。企業(yè)現(xiàn)在有2幢9層的辦公大樓，分別是生產(chǎn)部和銷售部，另外還有一個家屬區(qū)，家屬區(qū)有3幢6層的大樓，兩個相距300米。企業(yè)局域網(wǎng)需要考慮覆蓋辦公區(qū)和家屬區(qū)。局域網(wǎng)需要實現(xiàn)的目標(biāo)如下：實現(xiàn)有效的信息交換和共享。企業(yè)通過兩條專線接入電信和網(wǎng)通。企業(yè)需要實現(xiàn)辦公自動化。局域網(wǎng)提供企業(yè)內(nèi)部電子郵件收發(fā)、信息瀏覽、文件管理、會議管理、電子公告等多方面應(yīng)用。為了擴大企業(yè)的影響，企業(yè)對外提供自己的宣傳網(wǎng)站，并且能夠保證網(wǎng)站安全，不受外部或者內(nèi)部攻擊。充分考慮今后各部門的接入擴展性。充分考慮企業(yè)內(nèi)部網(wǎng)絡(luò)的安全性。3.2 網(wǎng)絡(luò)設(shè)計原則我們遵循以下的原則進行網(wǎng)絡(luò)設(shè)計： 實用性實用性是網(wǎng)絡(luò)系統(tǒng)建設(shè)的首要原則，該網(wǎng)絡(luò)必須最大限度的滿足需求，保證網(wǎng)絡(luò)服務(wù)的質(zhì)量，否則就會影響日常工作效率。 標(biāo)準(zhǔn)化整個網(wǎng)絡(luò)從設(shè)計、技術(shù)和設(shè)備的選擇，要確保將來可能的不同廠家設(shè)備、不同應(yīng)用、不同協(xié)議連接的需求，必須支持國際標(biāo)準(zhǔn)的網(wǎng)絡(luò)接口和協(xié)議，以提供高度的開放性。 先進性先進性主要是針對網(wǎng)絡(luò)系統(tǒng)的設(shè)計思想、網(wǎng)絡(luò)結(jié)構(gòu)、軟硬件設(shè)施以及所選用技術(shù)等方面。只有先進的技術(shù)才可能為網(wǎng)絡(luò)帶來更高的性能，并且能保證在技術(shù)上不容易被淘汰。 可擴展性可擴展性是指該網(wǎng)絡(luò)系統(tǒng)能夠適應(yīng)需求的變化。隨著技術(shù)發(fā)展，信息量增多和業(yè)務(wù)的擴大，網(wǎng)絡(luò)將在規(guī)模和性能兩方面進行一定程度的擴展。 可靠性網(wǎng)絡(luò)要求具有高可靠性，高穩(wěn)定性和足夠的冗余，提供拓?fù)浣Y(jié)構(gòu)及設(shè)備的冗余和備份，為了防止局部故障引起整個網(wǎng)絡(luò)系統(tǒng)的癱瘓，要避免網(wǎng)絡(luò)出現(xiàn)單點失效，核心設(shè)備需要支持冗余備份。 安全性網(wǎng)絡(luò)安全性在整個網(wǎng)絡(luò)中是個很重要的問題，網(wǎng)絡(luò)系統(tǒng)建設(shè)應(yīng)采取一定手段控制網(wǎng)絡(luò)的安全性，以保證網(wǎng)絡(luò)正常運行。 管理性隨著網(wǎng)絡(luò)規(guī)模和復(fù)雜程度的增加，管理和故障排除就會越來越困難。為保障網(wǎng)絡(luò)中心的正常運行，網(wǎng)絡(luò)必須易于管理，支持網(wǎng)絡(luò)網(wǎng)段與端口的監(jiān)控、網(wǎng)絡(luò)流量與出錯的統(tǒng)計、網(wǎng)絡(luò)故障的定位、診斷、修復(fù)。3.3 網(wǎng)絡(luò)模型設(shè)計圖3.1 典型的三層網(wǎng)絡(luò)模型三層網(wǎng)絡(luò)架構(gòu)采用層次化模型設(shè)計，即將復(fù)雜的網(wǎng)絡(luò)設(shè)計分成三個層次，每個層次著重于某些特定的功能，這樣就能夠使一個復(fù)雜的大問題變成許多簡單的小問題。三層網(wǎng)絡(luò)架構(gòu)設(shè)計的網(wǎng)絡(luò)有以下三個層次：3.3.1 核心層核心層是網(wǎng)絡(luò)的高速交換主干,對整個網(wǎng)絡(luò)的連通起到至關(guān)重要的作用。核心層應(yīng)該具有如下幾個特性:可靠性、高效性、冗余性、容錯性、可管理性、適應(yīng)性、低延時性等。該層必須是基于千兆高速交換和路由的設(shè)計，設(shè)備的性能容量也是最高的（高達(dá)百Gbps 容量和每秒千萬級數(shù)據(jù)包轉(zhuǎn)發(fā)能力）。主要是由全模塊化的高性能多層路由交換機和高性能服務(wù)器組成，系統(tǒng)帶寬必須是千兆甚至10Gbps。3.3.2 匯聚層匯聚層是網(wǎng)絡(luò)接入層和核心層的“中介”，就是在工作站接入核心層前先做匯聚，以減輕核心層設(shè)備的負(fù)荷。匯聚層具有實施路由策略、安全、工作組接入、虛擬局域網(wǎng)(VLAN)之間的路由、源地址或目的地址過濾等多種功能。該層一般采用100M 或1000M的快速交換路由設(shè)計，設(shè)備的性能容量性也很高，主要由固定配置+可選模塊的三層路由交換設(shè)備組成。3.3.3 接入層接入層向本地網(wǎng)段提供工作站接入。在接入層中，減少同一網(wǎng)段的工作站數(shù)量,能夠向工作組提供高速帶寬。訪問層是由100M 快速以太網(wǎng)交換機和客戶機組成，該層次一般采用100M 快速以太網(wǎng)，采用可管理的固定配置的工作組級別的交換機，能提供多層堆疊功能實現(xiàn)大量用戶的接入。三層網(wǎng)絡(luò)架構(gòu)的特點是網(wǎng)絡(luò)性能高，層次清晰，網(wǎng)絡(luò)管理直觀、方便，并合理地分散了網(wǎng)絡(luò)設(shè)備帶來的安全風(fēng)險，網(wǎng)絡(luò)結(jié)構(gòu)安全可靠。3.4 園區(qū)網(wǎng)絡(luò)拓?fù)鋱D圖3.2 三層網(wǎng)絡(luò)架構(gòu)的園區(qū)網(wǎng)拓?fù)鋱D3.5 IP地址規(guī)劃在構(gòu)建基于 TCP/IP 的企業(yè)網(wǎng)絡(luò)時，IP 地址的選擇是根據(jù)企業(yè)網(wǎng)絡(luò)規(guī)模大小從以下三類國際Internet 組織公布的私有網(wǎng)段中產(chǎn)生，這些范圍內(nèi)的IP 地址不在Internet 上傳輸，是專門提供給企業(yè)用來建設(shè)內(nèi)部網(wǎng)絡(luò)：A 類私有IP: 10.0.0.0 10.255.255.255。B 類私有IP: 172.16.0.0172.16.31.255。C 類私有IP: 192.168.0.0192.168.255.255。對于小型園區(qū)網(wǎng)絡(luò)，由于上網(wǎng)用戶少、設(shè)備數(shù)量少，建議使用地址空間小的192.168.0.0/16的網(wǎng)絡(luò)。而對于中大型園區(qū)網(wǎng)絡(luò)，如三層結(jié)構(gòu)的校園網(wǎng)，由于上網(wǎng)人數(shù)多，設(shè)備數(shù)量多，建議采用地址空間大的10.0.0.0/8的網(wǎng)絡(luò)。3.6VLAN規(guī)劃虛擬局域網(wǎng)(VLAN)是將局域網(wǎng)內(nèi)廣播域邏輯地劃分為若干子網(wǎng)。在一個交換局域網(wǎng)中，所有局域網(wǎng)段通過交換機連接到一起，路由器連在交換機上(如果是三層交換機，則不需路由器)，可以按網(wǎng)段和站點的邏輯分組形成廣播域，通過在局域網(wǎng)交換機內(nèi)過濾廣播包，使得源于特定虛擬局域網(wǎng)的信息包僅傳送到那些也屬于這個虛擬局域網(wǎng)的網(wǎng)段上。虛擬局域網(wǎng)之間的尋徑由路由器完成。虛擬局域網(wǎng)建立以后，能有效地控制網(wǎng)絡(luò)的廣播風(fēng)暴，減少不必要的資源帶寬浪費，并能隨著企業(yè)規(guī)模的發(fā)展和調(diào)整改變通信流的模式。VLAN規(guī)劃需要考慮如下因素：用戶VLAN與設(shè)備管理VLAN分開(IP地址)。為網(wǎng)絡(luò)擴容進行可匯總的預(yù)留設(shè)計。IP地址與VLAN編號(其它相關(guān)因素)有一定的對照性。如圖3.3所示：圖3.3 IP和VLAN對應(yīng)規(guī)則根據(jù)具體需求與安全性要求等情況綜合分析，園區(qū)網(wǎng)IP地址詳細(xì)規(guī)劃如表3.4所示：表3.4 IP地址規(guī)劃表物理位置VLAN范圍IP網(wǎng)段默認(rèn)網(wǎng)關(guān)獲取方式住宿區(qū)VLAN 10VLAN 30172.16.1.0172.16.30.0/24172.16.x.254/24DHCP辦公區(qū)VLAN 40VLAN 50172.16.40.0172.16.50.0/24172.16.x.254/24DHCP服務(wù)器組VLAN100202.117.144.1-202.117.144.253202.117.144.254靜態(tài)指定3.7 路由協(xié)議選擇路由協(xié)議可分為距離矢量、鏈路狀態(tài)和混合型路由協(xié)議。使用距離矢量路由協(xié)議時，所有路由器只能向它的鄰居路由器發(fā)送自己的整張路由表。然后路由器使用接收到的路由條目確定是否需要更新自己的路由表。這個過程會周期性的重復(fù)進行。與此相反，當(dāng)網(wǎng)絡(luò)使用鏈路狀態(tài)路由協(xié)議時，每個路由器可以向其它所有的路由器發(fā)送自己的接口（鏈路）狀態(tài)信息，但是這僅僅發(fā)生在網(wǎng)絡(luò)拓?fù)浒l(fā)生變化的時候，每個路由器使用收到的鏈路狀態(tài)信息重新計算自己到每個目標(biāo)網(wǎng)絡(luò)的最佳途徑，然后把這些路由信息保存到自己的路由表中?；旌闲吐酚蓞f(xié)議，顧名思義，該協(xié)議借用了距離矢量和鏈路狀態(tài)協(xié)議的思想?；旌闲蛥f(xié)議能向鄰居路由器（類似距離矢量）發(fā)送變動的信息（類似鏈路狀態(tài)）。路由協(xié)議的比較路由信息協(xié)議（Routing Information Protocol,RIP）RIP是一種簡單的動態(tài)路由協(xié)議，RIP至今有兩個版本，RIPv1和RIPv2，后者是前者的改進版本，RIP是一種有類的距離矢量路由協(xié)議，它最顯著的特點是在路由更新報文中不攜帶子網(wǎng)信息，RIP默認(rèn)的管理距離是120，它使用跳數(shù)做為度量值，最大跳數(shù)是15，如果超過15就認(rèn)為目標(biāo)網(wǎng)絡(luò)不可達(dá)，所以RIP只能適用于小型的網(wǎng)絡(luò)中。內(nèi)部網(wǎng)關(guān)路由協(xié)議（Interior Gateway Routing Protocol,IGRP）IGRP是Cisco私有的協(xié)議，其目的是為了取代RIP，它也是一種距離矢量路由協(xié)議，IGRP克服了RIP的一些嚴(yán)重缺陷，如IGRP在計算路由度量值時沒有使用跳數(shù)，而是采用鏈路特征，因此要優(yōu)于RIP協(xié)議。但由于IGRP是Cisco私有的協(xié)議，非Cisco廠商的設(shè)備不能支持IGRP協(xié)議，它的改進版是EIGRP。增強型內(nèi)部網(wǎng)關(guān)路由協(xié)議（Enhanced Interior Gateway Routing Protocol,EIGRP）EIGRP是增強型的IGRP協(xié)議，它是一種典型的平衡混合路由選擇協(xié)議，它融合了距離矢量和鏈路狀態(tài)兩種路由協(xié)議的優(yōu)點，使用一種散射更新算法，實現(xiàn)了很高的路由性能，但由于EIGRP也是Cisco私有協(xié)議，不能在其它非Cisco設(shè)備上使用，它的應(yīng)用也受到了限制。開放最短路徑優(yōu)先（Open Shortest Path First,OSPF）OSPF是一種典型的鏈路狀態(tài)、無類別IP路由協(xié)議，OSPF能夠適應(yīng)大型IP網(wǎng)絡(luò)的擴展，而基于距離矢量的IP路由協(xié)議如RIP和IGRP則不能適應(yīng)這種網(wǎng)絡(luò)。OSPF基于鏈路狀態(tài)，其路由是基于網(wǎng)絡(luò)地址及鏈路狀態(tài)度量的。作為一種自適應(yīng)協(xié)議，OSPF可以根據(jù)網(wǎng)絡(luò)狀態(tài)故障情況自動調(diào)整，具有收斂時間短的優(yōu)點，有利于路由表的快速穩(wěn)定，這樣使OSPF可以支持大型的網(wǎng)絡(luò)。OSPF的設(shè)計可以防止通信數(shù)據(jù)形成環(huán)路，這對于網(wǎng)狀網(wǎng)絡(luò)或由多個路由器實現(xiàn)的不同局域網(wǎng)互聯(lián)非常重要。OSPF還有其它一些特性：使用了區(qū)域的概念，有效的減少了路由選擇協(xié)議對路由器的CPU和內(nèi)存的占用率，劃分區(qū)域還可以降低路由協(xié)議的通信量，從而使構(gòu)建層次化互聯(lián)網(wǎng)成為可能。完全無類別地處理地址問題，排除了有類路由協(xié)議存在的問題。支持使用多條路由路徑的、效率更高的負(fù)載均衡。使用保留的組播地址來減少對不運行OSPF協(xié)議的設(shè)備的影響。支持更安全的路由選擇認(rèn)證。使用可以跟蹤外部路由的路由標(biāo)記。經(jīng)過各種路由協(xié)議的對比和選擇，園區(qū)網(wǎng)適合采用OSPF路由協(xié)議。3.8配置規(guī)范主機命名規(guī)范如果客戶有規(guī)范或明確合理要求，則按照客戶的規(guī)范或要求進行配置。如金融行業(yè)規(guī)范。如果客戶沒有規(guī)范或明確合理要求，可參考設(shè)備位置、網(wǎng)絡(luò)位置、設(shè)備型號、設(shè)備編號等因素，在項目中制定統(tǒng)一的命名規(guī)范。主機命名規(guī)范如下圖3.5所示：圖3.5 主機命名規(guī)范設(shè)備互聯(lián)接口描述項目中所有涉及到可網(wǎng)管設(shè)備互聯(lián)的端口必須配置端口描述登陸密碼配置項目中所有可網(wǎng)管設(shè)備必須配置特權(quán)密碼及遠(yuǎn)程登陸密碼。系統(tǒng)時間配置項目中所有可網(wǎng)管設(shè)備必須重新設(shè)置正確的系統(tǒng)時間。二層交換機管理IP配置項目中可網(wǎng)管二交換機必須配置管理IP地址，供管理員遠(yuǎn)程管理設(shè)備所用。第四章 網(wǎng)絡(luò)安全設(shè)計園區(qū)網(wǎng)的安全是一個綜合問題，它包含網(wǎng)絡(luò)設(shè)備和人為因素兩個方面以及與外網(wǎng)（Internet）接口上的安全問題。網(wǎng)絡(luò)的有效性和可靠性即它的可連續(xù)運行的安全性是網(wǎng)絡(luò)建設(shè)必須考慮的首要原則，從用戶的角度考慮，當(dāng)網(wǎng)絡(luò)所需的服務(wù)不可用時，不管是何種原因，網(wǎng)絡(luò)就失去了實際價值。從另一角度看，當(dāng)某種網(wǎng)絡(luò)服務(wù)的響應(yīng)時間變得變幻莫測時，網(wǎng)絡(luò)系統(tǒng)也不可靠了。為此我們在網(wǎng)絡(luò)設(shè)計上就考慮了以下的技術(shù)來提高安全性。4.1 VLAN技術(shù)VLAN技術(shù)是通過路由和交換設(shè)備，在網(wǎng)絡(luò)的物理拓?fù)浠A(chǔ)上建立的一個邏輯的網(wǎng)絡(luò)。VLAN可以看作是一個廣播域，它們不受地理位置的限制而像處于同一LAN上那樣相互交換信息。VLAN是在交換網(wǎng)絡(luò)中實現(xiàn)的。每個交換設(shè)備均可根據(jù)網(wǎng)絡(luò)管理人員所定義的VLAN劃分方法對報文進行過濾和轉(zhuǎn)發(fā)，并能將這種劃分信息傳遞到網(wǎng)絡(luò)中其它交換設(shè)備和路由器中去?？梢韵拗芕LAN中的用戶數(shù)量，禁止那些沒有得到許可的用戶加入到某個VLAN中。這樣，可以控制用戶對網(wǎng)絡(luò)資源的訪問，控制廣播組的大小和組成，并借助網(wǎng)管軟件在發(fā)生非法入侵時通知管理員。交換機上劃分VLAN方法如圖4.1所示：圖4.1 交換機劃分VLAN方法4.2 VPN技術(shù)虛擬專用網(wǎng)（Virtual Private Network，VPN）技術(shù)的基本思路是充分利用現(xiàn)有的公用網(wǎng)絡(luò)來建立一個私有的、安全的連接，即建立一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道，同時避免昂貴的專線租用費用，它使用的是建立在物理連接基礎(chǔ)上的邏輯連接，客戶并不能意識到實際的物理連接，而且在穿越Internet進行路由時，其安全性與在專用網(wǎng)絡(luò)中進行安全路由的安全性基本相同。4.3 防火墻技術(shù)目前，在保護計算機網(wǎng)絡(luò)安全的設(shè)備中，使用最多的就是防火墻。防火墻是在兩個網(wǎng)絡(luò)之間執(zhí)行控制策略的系統(tǒng)，這兩個網(wǎng)絡(luò)中，通常一個是要保護的內(nèi)部網(wǎng)，一個是外部網(wǎng)，防火墻在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)成一道屏障，通過檢測、限制或者更改通過它的數(shù)據(jù)流，對外屏蔽內(nèi)部網(wǎng)的信息、結(jié)構(gòu)和運行狀況，以防止發(fā)生網(wǎng)絡(luò)入侵或攻擊，達(dá)到對內(nèi)部網(wǎng)的安全保護。防火墻原理如圖4.2所示： 圖4.2 防火墻原理