園區(qū)網(wǎng)絡(luò)設(shè)計方案

網(wǎng)絡(luò)設(shè)計與組網(wǎng)綜合大作業(yè)目錄TOC\o"1-2"\h\u網(wǎng)絡(luò)設(shè)計與組網(wǎng)綜合大作業(yè) 目錄 第一章緒論 1概況 1重要內(nèi)容 1第二章園區(qū)網(wǎng)概述 2園區(qū)網(wǎng)含義 2園區(qū)網(wǎng)特點 2園區(qū)網(wǎng)發(fā)展趨勢 2第三章園區(qū)網(wǎng)設(shè)計 3需求分析 3網(wǎng)絡(luò)設(shè)計原則 3網(wǎng)絡(luò)模型設(shè)計 5園區(qū)網(wǎng)絡(luò)拓?fù)鋱D 6IP地址規(guī)劃 7規(guī)劃 7路由協(xié)議選擇 8配置規(guī)范 10第四章網(wǎng)絡(luò)安全設(shè)計 12VLAN技術(shù) 12VPN技術(shù) 13防火墻技術(shù) 13第五章網(wǎng)絡(luò)模擬實現(xiàn) 15模擬器簡介 15模擬環(huán)境拓?fù)鋱D 15需求實現(xiàn) 16配置環(huán)節(jié) 17第一章緒論概況伴隨計算機(jī)網(wǎng)絡(luò)的迅速發(fā)展，曾經(jīng)在園區(qū)網(wǎng)中被大量使用的10M/100M以太網(wǎng)技術(shù)、ATM技術(shù)已經(jīng)漸漸不能適應(yīng)目前的業(yè)務(wù)需求，作為園區(qū)主干網(wǎng)，10M/100M以太網(wǎng)作為主干網(wǎng)絡(luò)關(guān)鍵技術(shù)帶寬局限性的弊病漸漸凸顯，已經(jīng)嚴(yán)重影響著園區(qū)網(wǎng)絡(luò)的運行效率，目前仍有許多大型園區(qū)網(wǎng)絡(luò)在使用ATM技術(shù)，這樣的網(wǎng)絡(luò)面臨兩個問題：VLAN間路由的性能不能滿足網(wǎng)絡(luò)需求，并且ATM技術(shù)正在逐漸被淘汰。目前，千兆以至10G級別以太網(wǎng)技術(shù)正逐漸成為園區(qū)網(wǎng)絡(luò)主干的主流技術(shù)。因此，許多大型園區(qū)網(wǎng)絡(luò)面臨技術(shù)改造或者重新設(shè)計。重要內(nèi)容本文重要做了如下兩個方面的工作：第一，簡介了園區(qū)網(wǎng)絡(luò)的含義、特點，按網(wǎng)絡(luò)設(shè)計與組網(wǎng)課程的規(guī)定措施規(guī)劃設(shè)計一種完整的園區(qū)網(wǎng)絡(luò)。第二，使用華為的eNSP對網(wǎng)絡(luò)進(jìn)行了簡樸的模擬，以實現(xiàn)網(wǎng)絡(luò)的互通互聯(lián)，對各層設(shè)備進(jìn)行了配置。第二章園區(qū)網(wǎng)概述園區(qū)網(wǎng)含義園區(qū)網(wǎng)是指為企事業(yè)單位組建的辦公局域網(wǎng)。經(jīng)典的園區(qū)網(wǎng)包括校園網(wǎng)、小區(qū)網(wǎng)、住宅小區(qū)網(wǎng)、企事業(yè)單位網(wǎng)等。園區(qū)網(wǎng)特點①園區(qū)網(wǎng)是網(wǎng)絡(luò)的基本單元。②園區(qū)網(wǎng)較適合于采用三層構(gòu)造設(shè)計。③園區(qū)網(wǎng)對線路成本考慮的較少，對設(shè)備性能考慮的較多，追求較高的帶寬和良好的擴(kuò)展性。④園區(qū)網(wǎng)的構(gòu)造比較規(guī)整。園區(qū)網(wǎng)發(fā)展趨勢從計算機(jī)網(wǎng)絡(luò)應(yīng)用角度來看，網(wǎng)絡(luò)應(yīng)用系統(tǒng)將向更深和更寬的方向發(fā)展，這也對應(yīng)的影響著未來園區(qū)網(wǎng)的發(fā)展方向。首先，Internet信息服務(wù)將會得到更大發(fā)展。網(wǎng)上信息瀏覽、信息互換、資源共享等技術(shù)將深入提高速度、容量及信息的安全性。另一方面，遠(yuǎn)程會議、遠(yuǎn)程教學(xué)、遠(yuǎn)程醫(yī)療、遠(yuǎn)程購物等應(yīng)用將逐漸從試驗室走出，不再只是幻想。網(wǎng)絡(luò)多媒體技術(shù)的應(yīng)用也將成為網(wǎng)絡(luò)發(fā)展的熱點話題。第三章園區(qū)網(wǎng)設(shè)計需求分析某企業(yè)園區(qū)剛剛建成，是一大型企業(yè)的分支機(jī)構(gòu)，為了實現(xiàn)企業(yè)的辦公信息自動化，擴(kuò)大企業(yè)的影響，以便和總部的信息交流，需要建立自己企業(yè)的Intranet。企業(yè)目前有2幢9層的辦公大樓，分別是生產(chǎn)部和銷售部，此外尚有一種家眷區(qū)，家眷區(qū)有3幢6層的大樓，兩個相距300米。企業(yè)局域網(wǎng)需要考慮覆蓋辦公區(qū)和家眷區(qū)。局域網(wǎng)需要實現(xiàn)的目的如下：①實既有效的信息互換和共享。企業(yè)通過兩條專線接入電信和網(wǎng)通。②企業(yè)需要實現(xiàn)辦公自動化。局域網(wǎng)提供企業(yè)內(nèi)部電子郵件收發(fā)、信息瀏覽、文獻(xiàn)管理、會議管理、電子公告等多方面應(yīng)用。③為了擴(kuò)大企業(yè)的影響，企業(yè)對外提供自己的宣傳網(wǎng)站，并且可以保證網(wǎng)站安全，不受外部或者內(nèi)部襲擊。④充足考慮此后各部門的接入擴(kuò)展性。⑤充足考慮企業(yè)內(nèi)部網(wǎng)絡(luò)的安全性。網(wǎng)絡(luò)設(shè)計原則我們遵照如下的原則進(jìn)行網(wǎng)絡(luò)設(shè)計：實用性實用性是網(wǎng)絡(luò)系統(tǒng)建設(shè)的首要原則，該網(wǎng)絡(luò)必須最大程度的滿足需求，保證網(wǎng)絡(luò)服務(wù)的質(zhì)量，否則就會影響平常工作效率。原則化整個網(wǎng)絡(luò)從設(shè)計、技術(shù)和設(shè)備的選擇，要保證未來也許的不一樣廠家設(shè)備、不一樣應(yīng)用、不一樣協(xié)議連接的需求，必須支持國際原則的網(wǎng)絡(luò)接口和協(xié)議，以提供高度的開放性。先進(jìn)性先進(jìn)性重要是針對網(wǎng)絡(luò)系統(tǒng)的設(shè)計思想、網(wǎng)絡(luò)構(gòu)造、軟硬件設(shè)施以及所選用技術(shù)等方面。只有先進(jìn)的技術(shù)才也許為網(wǎng)絡(luò)帶來更高的性能，并且能保證在技術(shù)上不輕易被淘汰?？蓴U(kuò)展性可擴(kuò)展性是指該網(wǎng)絡(luò)系統(tǒng)可以適應(yīng)需求的變化。伴隨技術(shù)發(fā)展，信息量增多和業(yè)務(wù)的擴(kuò)大，網(wǎng)絡(luò)將在規(guī)模和性能兩方面進(jìn)行一定程度的擴(kuò)展。可靠性網(wǎng)絡(luò)規(guī)定具有高可靠性，高穩(wěn)定性和足夠的冗余，提供拓?fù)錁?gòu)造及設(shè)備的冗余和備份，為了防止局部故障引起整個網(wǎng)絡(luò)系統(tǒng)的癱瘓，要防止網(wǎng)絡(luò)出現(xiàn)單點失效，關(guān)鍵設(shè)備需要支持冗余備份。安全性網(wǎng)絡(luò)安全性在整個網(wǎng)絡(luò)中是個很重要的問題，網(wǎng)絡(luò)系統(tǒng)建設(shè)應(yīng)采用一定手段控制網(wǎng)絡(luò)的安全性，以保證網(wǎng)絡(luò)正常運行。管理性伴隨網(wǎng)絡(luò)規(guī)模和復(fù)雜程度的增長，管理和故障排除就會越來越困難。為保障網(wǎng)絡(luò)中心的正常運行，網(wǎng)絡(luò)必須易于管理，支持網(wǎng)絡(luò)網(wǎng)段與端口的監(jiān)控、網(wǎng)絡(luò)流量與出錯的記錄、網(wǎng)絡(luò)故障的定位、診斷、修復(fù)。網(wǎng)絡(luò)模型設(shè)計圖經(jīng)典的三層網(wǎng)絡(luò)模型三層網(wǎng)絡(luò)架構(gòu)采用層次化模型設(shè)計，即將復(fù)雜的網(wǎng)絡(luò)設(shè)計提成三個層次，每個層次著重于某些特定的功能，這樣就可以使一種復(fù)雜的大問題變成許多簡樸的小問題。三層網(wǎng)絡(luò)架構(gòu)設(shè)計的網(wǎng)絡(luò)有如下三個層次：關(guān)鍵層關(guān)鍵層是網(wǎng)絡(luò)的高速互換主干,對整個網(wǎng)絡(luò)的連通起到至關(guān)重要的作用。關(guān)鍵層應(yīng)當(dāng)具有如下幾種特性:可靠性、高效性、冗余性、容錯性、可管理性、適應(yīng)性、低延時性等。該層必須是基于千兆高速互換和路由的設(shè)計，設(shè)備的性能容量也是最高的（高達(dá)百Gbps容量和每秒千萬級數(shù)據(jù)包轉(zhuǎn)發(fā)能力）。重要是由全模塊化的高性能多層路由互換機(jī)和高性能服務(wù)器構(gòu)成，系統(tǒng)帶寬必須是千兆甚至10Gbps。匯聚層匯聚層是網(wǎng)絡(luò)接入層和關(guān)鍵層的“中介”，就是在工作站接入關(guān)鍵層前先做匯聚，以減輕關(guān)鍵層設(shè)備的負(fù)荷。匯聚層具有實行路由方略、安全、工作組接入、虛擬局域網(wǎng)(VLAN)之間的路由、源地址或目的地址過濾等多種功能。該層一般采用100M或1000M的迅速互換路由設(shè)計，設(shè)備的性能容量性也很高，重要由固定配置+可選模塊的三層路由互換設(shè)備構(gòu)成。接入層接入層向當(dāng)?shù)鼐W(wǎng)段提供工作站接入。在接入層中，減少同一網(wǎng)段的工作站數(shù)量,可以向工作組提供高速帶寬。訪問層是由100M迅速以太網(wǎng)互換機(jī)和客戶機(jī)構(gòu)成，該層次一般采用100M迅速以太網(wǎng)，采用可管理的固定配置的工作組級別的互換機(jī)，能提供多層堆疊功能實現(xiàn)大量顧客的接入。三層網(wǎng)絡(luò)架構(gòu)的特點是網(wǎng)絡(luò)性能高，層次清晰，網(wǎng)絡(luò)管理直觀、以便，并合理地分散了網(wǎng)絡(luò)設(shè)備帶來的安全風(fēng)險，網(wǎng)絡(luò)構(gòu)造安全可靠。園區(qū)網(wǎng)絡(luò)拓?fù)鋱D圖三層網(wǎng)絡(luò)架構(gòu)的園區(qū)網(wǎng)拓?fù)鋱DIP地址規(guī)劃在構(gòu)建基于TCP/IP的企業(yè)網(wǎng)絡(luò)時，IP地址的選擇是根據(jù)企業(yè)網(wǎng)絡(luò)規(guī)模大小從如下三類國際Internet組織公布的私有網(wǎng)段中產(chǎn)生，這些范圍內(nèi)的IP地址不在Internet上傳播，是專門提供應(yīng)企業(yè)用來建設(shè)內(nèi)部網(wǎng)絡(luò)：A類私有IP:——。B類私有IP:——。C類私有IP:——。對于小型園區(qū)網(wǎng)絡(luò)，由于上網(wǎng)顧客少、設(shè)備數(shù)量少，提議使用地址空間小的的網(wǎng)絡(luò)。而對于中大型園區(qū)網(wǎng)絡(luò)，如三層構(gòu)造的校園網(wǎng)，由于上網(wǎng)人數(shù)多，設(shè)備數(shù)量多，提議采用地址空間大的的網(wǎng)絡(luò)。規(guī)劃虛擬局域網(wǎng)(VLAN)是將局域網(wǎng)內(nèi)廣播域邏輯地劃分為若干子網(wǎng)。在一種互換局域網(wǎng)中，所有局域網(wǎng)段通過互換機(jī)連接到一起，路由器連在互換機(jī)上(假如是三層互換機(jī)，則不需路由器)，可以按網(wǎng)段和站點的邏輯分組形成廣播域，通過在局域網(wǎng)互換機(jī)內(nèi)過濾廣播包，使得源于特定虛擬局域網(wǎng)的信息包僅傳送到那些也屬于這個虛擬局域網(wǎng)的網(wǎng)段上。虛擬局域網(wǎng)之間的尋徑由路由器完畢。虛擬局域網(wǎng)建立后來，能有效地控制網(wǎng)絡(luò)的廣播風(fēng)暴，減少不必要的資源帶寬揮霍，并能伴隨企業(yè)規(guī)模的發(fā)展和調(diào)整變化通信流的模式。VLAN規(guī)劃需要考慮如下原因：①顧客VLAN與設(shè)備管理VLAN分開(IP地址)。②為網(wǎng)絡(luò)擴(kuò)容進(jìn)行可匯總的預(yù)留設(shè)計。③IP地址與VLAN編號(其他有關(guān)原因)有一定的對照性。如圖所示：圖IP和VLAN對應(yīng)規(guī)則根據(jù)詳細(xì)需求與安全性規(guī)定等狀況綜合分析，園區(qū)網(wǎng)IP地址詳細(xì)規(guī)劃如表所示：表IP地址規(guī)劃表物理位置VLAN范圍IP網(wǎng)段默認(rèn)網(wǎng)關(guān)獲取方式住宿區(qū)VLAN10——VLAN30——辦公區(qū)VLAN40——VLAN50——服務(wù)器組VLAN100靜態(tài)指定路由協(xié)議選擇路由協(xié)議可分為距離矢量、鏈路狀態(tài)和混合型路由協(xié)議。使用距離矢量路由協(xié)議時，所有路由器只能向它的鄰居路由器發(fā)送自己的整張路由表。然后路由器使用接受到的路由條目確定與否需要更新自己的路由表。這個過程會周期性的反復(fù)進(jìn)行。與此相反，當(dāng)網(wǎng)絡(luò)使用鏈路狀態(tài)路由協(xié)議時，每個路由器可以向其他所有的路由器發(fā)送自己的接口（鏈路）狀態(tài)信息，不過這僅僅發(fā)生在網(wǎng)絡(luò)拓?fù)浒l(fā)生變化的時候，每個路由器使用收到的鏈路狀態(tài)信息重新計算自己到每個目的網(wǎng)絡(luò)的最佳途徑，然后把這些路由信息保留到自己的路由表中?；旌闲吐酚蓞f(xié)議，顧名思義，該協(xié)議借用了距離矢量和鏈路狀態(tài)協(xié)議的思想?；旌闲蛥f(xié)議能向鄰居路由器（類似距離矢量）發(fā)送變動的信息（類似鏈路狀態(tài)）。路由協(xié)議的比較①路由信息協(xié)議（RoutingInformationProtocol,RIP）RIP是一種簡樸的動態(tài)路由協(xié)議，RIP至今有兩個版本，RIPv1和RIPv2，后者是前者的改善版本，RIP是一種有類的距離矢量路由協(xié)議，它最明顯的特點是在路由更新報文中不攜帶子網(wǎng)信息，RIP默認(rèn)的管理距離是120，它使用跳數(shù)做為度量值，最大跳數(shù)是15，假如超過15就認(rèn)為目的網(wǎng)絡(luò)不可達(dá)，因此RIP只能合用于小型的網(wǎng)絡(luò)中。②內(nèi)部網(wǎng)關(guān)路由協(xié)議（InteriorGatewayRoutingProtocol,IGRP）IGRP是Cisco私有的協(xié)議，其目的是為了取代RIP，它也是一種距離矢量路由協(xié)議，IGRP克服了RIP的某些嚴(yán)重缺陷，如IGRP在計算路由度量值時沒有使用跳數(shù)，而是采用鏈路特性，因此要優(yōu)于RIP協(xié)議。但由于IGRP是Cisco私有的協(xié)議，非Cisco廠商的設(shè)備不能支持IGRP協(xié)議，它的改善版是EIGRP。③增強(qiáng)型內(nèi)部網(wǎng)關(guān)路由協(xié)議（EnhancedInteriorGatewayRoutingProtocol,EIGRP）EIGRP是增強(qiáng)型的IGRP協(xié)議，它是一種經(jīng)典的平衡混合路由選擇協(xié)議，它融合了距離矢量和鏈路狀態(tài)兩種路由協(xié)議的長處，使用一種散射更新算法，實現(xiàn)了很高的路由性能，但由于EIGRP也是Cisco私有協(xié)議，不能在其他非Cisco設(shè)備上使用，它的應(yīng)用也受到了限制。④開放最短途徑優(yōu)先（OpenShortestPathFirst,OSPF）OSPF是一種經(jīng)典的鏈路狀態(tài)、無類別IP路由協(xié)議，OSPF可以適應(yīng)大型IP網(wǎng)絡(luò)的擴(kuò)展，而基于距離矢量的IP路由協(xié)議如RIP和IGRP則不能適應(yīng)這種網(wǎng)絡(luò)。OSPF基于鏈路狀態(tài)，其路由是基于網(wǎng)絡(luò)地址及鏈路狀態(tài)度量的。作為一種自適應(yīng)協(xié)議，OSPF可以根據(jù)網(wǎng)絡(luò)狀態(tài)故障狀況自動調(diào)整，具有收斂時間短的長處，有助于路由表的迅速穩(wěn)定，這樣使OSPF可以支持大型的網(wǎng)絡(luò)。OSPF的設(shè)計可以防止通信數(shù)據(jù)形成環(huán)路，這對于網(wǎng)狀網(wǎng)絡(luò)或由多種路由器實現(xiàn)的不一樣局域網(wǎng)互聯(lián)非常重要。OSPF尚有其他某些特性：①使用了區(qū)域的概念，有效的減少了路由選擇協(xié)議對路由器的CPU和內(nèi)存的占用率，劃分區(qū)域還可以減少路由協(xié)議的通信量，從而使構(gòu)建層次化互聯(lián)網(wǎng)成為也許。②完全無類別地處理地址問題，排除了有類路由協(xié)議存在的問題。③支持使用多條路由途徑的、效率更高的負(fù)載均衡。④使用保留的組播地址來減少對不運行OSPF協(xié)議的設(shè)備的影響。⑤支持更安全的路由選擇認(rèn)證。⑥使用可以跟蹤外部路由的路由標(biāo)識。通過多種路由協(xié)議的對比和選擇，園區(qū)網(wǎng)適合采用OSPF路由協(xié)議。配置規(guī)范①主機(jī)命名規(guī)范假如客戶有規(guī)范或明確合理規(guī)定，則按照客戶的規(guī)范或規(guī)定進(jìn)行配置。如金融行業(yè)規(guī)范。假如客戶沒有規(guī)范或明確合理規(guī)定，可參照設(shè)備位置、網(wǎng)絡(luò)位置、設(shè)備型號、設(shè)備編號等原因，在項目中制定統(tǒng)一的命名規(guī)范。主機(jī)命名規(guī)范如下圖所示：圖主機(jī)命名規(guī)范②設(shè)備互聯(lián)接口描述項目中所有波及到可網(wǎng)管設(shè)備互聯(lián)的端口必須配置端口描述③登陸密碼配置項目中所有可網(wǎng)管設(shè)備必須配置特權(quán)密碼及遠(yuǎn)程登陸密碼。④系統(tǒng)時間配置項目中所有可網(wǎng)管設(shè)備必須重新設(shè)置對的的系統(tǒng)時間。⑤二層互換機(jī)管理IP配置項目中可網(wǎng)管二互換機(jī)必須配置管理IP地址，供管理員遠(yuǎn)程管理設(shè)備所用。第四章網(wǎng)絡(luò)安全設(shè)計園區(qū)網(wǎng)的安全是一種綜合問題，它包括網(wǎng)絡(luò)設(shè)備和人為原因兩個方面以及與外網(wǎng)（Internet）接口上的安全問題。網(wǎng)絡(luò)的有效性和可靠性即它的可持續(xù)運行的安全性是網(wǎng)絡(luò)建設(shè)必須考慮的首要原則，從顧客的角度考慮，當(dāng)網(wǎng)絡(luò)所需的服務(wù)不可用時，不管是何種原因，網(wǎng)絡(luò)就失去了實際價值。從另一角度看，當(dāng)某種網(wǎng)絡(luò)服務(wù)的響應(yīng)時間變得變幻莫測時，網(wǎng)絡(luò)系統(tǒng)也不可靠了。為此我們在網(wǎng)絡(luò)設(shè)計上就考慮了如下的技術(shù)來提高安全性。VLAN技術(shù)VLAN技術(shù)是通過路由和互換設(shè)備，在網(wǎng)絡(luò)的物理拓?fù)浠A(chǔ)上建立的一種邏輯的網(wǎng)絡(luò)。VLAN可以看作是一種廣播域，它們不受地理位置的限制而像處在同一LAN上那樣互相互換信息。VLAN是在互換網(wǎng)絡(luò)中實現(xiàn)的。每個互換設(shè)備均可根據(jù)網(wǎng)絡(luò)管理人員所定義的VLAN劃分措施對報文進(jìn)行過濾和轉(zhuǎn)發(fā)，并能將這種劃分信息傳遞到網(wǎng)絡(luò)中其他互換設(shè)備和路由器中去。可以限制VLAN中的顧客數(shù)量，嚴(yán)禁那些沒有得到許可的顧客加入到某個VLAN中。這樣，可以控制顧客對網(wǎng)絡(luò)資源的訪問，控制廣播組的大小和構(gòu)成，并借助網(wǎng)管軟件在發(fā)生非法入侵時告知管理員?；Q機(jī)上劃分VLAN措施如圖所示：圖互換機(jī)劃分VLAN措施VPN技術(shù)虛擬專用網(wǎng)（VirtualPrivateNetwork，VPN）技術(shù)的基本思緒是充足運用既有的公用網(wǎng)絡(luò)來建立一種私有的、安全的連接，即建立一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道，同步防止昂貴的專線租用費用，它使用的是建立在物理連接基礎(chǔ)上的邏輯連接，客戶并不能意識到實際的物理連接，并且在穿越Internet進(jìn)行路由時，其安全性與在專用網(wǎng)絡(luò)中進(jìn)行安全路由的安全性基本相似。防火墻技術(shù)目前，在保護(hù)計算機(jī)網(wǎng)絡(luò)安全的設(shè)備中，使用最多的就是防火墻。防火墻是在兩個網(wǎng)絡(luò)之間執(zhí)行控制方略的系統(tǒng)，這兩個網(wǎng)絡(luò)中，一般一種是要保護(hù)的內(nèi)部網(wǎng)，一種是外部網(wǎng)，防火墻在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)成一道屏障，通過檢測、限制或者更改通過