中小型企业网络构建毕业设计.doc

1、第 44 页 共 48 页毕 业 设 计 （论 文）课题名称：中小型企业网络构建 指导教师： 李德杰 系 别： 电子信息系 专 业： 计算机网络技术 班 级： 计网（1）班 姓 名： 摘要计算机网络自从20世纪60年代未诞生以来，仅在几十年间的时间里，即以异常迅猛的速度发展起来，被越来越广泛地应用于政治、经济、军事、生产及科学技术的各个领域。在当今社会及未来，谁更快获得信息资源，谁就能更有效的使用信息资源，谁就能在各种竞争上占据主导地位，随着计算机网络的发展和宽带接入的普及，各种网络应用将层出不穷，计算机在社会各个领域的应用和影响也早已渗透到了人们工作和生活的各个方面。本设计结合一家中小企业网

2、络的实际需求，通过对网络架构组建方案的设计、基于安全的网络配置方案设计、服务器架设方案设计、企业网络高级服务设计等方面的仿真研究，详尽的探讨了对该网络进行规划设计时遇到的关键性问题，以及网络相关的服务。该设计主要包括需求分析、拓扑结构设计、IP 地址规划方案设计、服务器架设和网络安全设计等内容。论文针对中小企业网络拓扑进行设计和分析，通过Cisco Packet Tracer 软件进行网络仿真配置和安全设计，给出了网络规划设计解决方案。关键字：Cisco Packet Tracer；企业网络；互联网 目录第一章 绪论1第二章 需求分析22.1 应用需求22.1.1 带宽性能需求22.1.2稳定

3、可靠需求22.1.3服务质量需求22.2.4网络安全需求32.1.5应用服务需求32.2网络安全系统设计原则3第三章 网络技术与拓扑结构43.1网络设计原则43.2网络技术选择43.2.1快速以太网43.2.2 VLAN53.2.3 DHCP63.2.4 NAT73.2.5 ACL83.3拓扑结构图设计93.3.1网络拓扑结构的规划设计原则93.3.2主干网络（核心层）设计93.3.3分布层/接入层设计103.3.4远程接入访问的规划设计103.4拓扑结构设计图10第四章 IP地址规划网络设备配置124.1网络地址配置124.2设备接口配置134.3 网络设备的配置命令154.3.1核心交换机

4、core主要配置命令154.3.2边界路由器的配置194.3.3接入层交换机配置19第五章 测试各设备的连通性235.1 VLAN间的连通性测试235.2设备的管理245.2.1对核心交换机，接入层交换机的telnet测试245.2.2路由器进行Telnet测试265.2.3测试外网的连通性265.3验证NAT265.4 验证DHCP服务30第六章 服务器搭建316.1 HTTP服务器配置316.2 DNS服务器配置326.3 FTP服务器配置336.4 TFTP服务器346.5 NTP服务器356.6 Syslog服务器356.7 EMAIL服务器36第七章 企业网络安全设计367.1建立企

5、业网络安全387.1.1网络设备397.1.2数据库及应用软件397.1.3 E-mail系统397.1.4 Web站点397.2建立安全体系结构407.2.1物理安全407.2.2操作系统安全407.3 ACL的运用40总结41致谢42参考文献42第一章 绪论网络改变了人们的生活，地球变成了地球村，全世界的人可以随时进行网络交流。信息资源的共享，带来社会生产力空前提高，互联网与人们生活越来越密切，如网上证券期货交易、远程电子视频会议、网上购物等应用使得人们的生活已经越来越离不开网络，由此，信息高速公路的建设变得十分重要。企业规模的不断壮大和业务量的不断增加，原有的工作方式已不能满足现代企业的

6、需要，特别是对突发事件的处理能力与速度的需求。现代企业如果没有信息技术的支持，就不能称之为现代企业。随着网络技术的不断成熟、网络产品价格的不断下降，以及对数据传输和信息交换需求的不断增加，现在各企业均正在或已搭建了企业内部局域网，因为，企业网络的建设是企业向信息化发展的必然选择。企业网络为企业的现代化发展、综合信息管理和办公自动化等一系列应用提供了基础平台。本设计结合中小企业实际需求，举例分析、设计、配置、模拟组建了一个典型的中小企业网络。Cisco Packet Tracer 是由Cisco公司发布的一个网络仿真工具，使用该工具可以搭建网络的模拟环境，对网络进行设计、配置、故障排除等。用户可

7、以在工具的图形用户界面上直接使用拖曳方法建立网络拓扑，并可提供数据包在网络中行进的详细处理过程，观察网络实时运行情况。可以学习IOS的配置、锻炼故障排查能力等。目前最新的版本是Packet Tracer 6.0.第二章 需求分析本章结合应用需求，安全设计原则对网络进行详细的需求分析2.1应用需求2.1.1 带宽性能需求现代大型企业网络应具有更高的带宽，更强大的性能，以满足用户日益增长的通信需求。随着计算机技术的高速发展，基于网络的各种应用日益增多，今天的企业网络已经发展成为一个多业务承载平台。不仅要继续承载企业的办公自动化，Web浏览等简单的数据业务，还要承载涉及企业生产运营的各种业务应用系统

8、数据，以及带宽和时延都要求很高的IP电话、视频会议等多媒体业务。因此，数据流量将大大增加，尤其是对核心网络的数据交换能力提出了前所未有的要求。另外，随着千兆位端口成本的持续下降，千兆位到桌面的应用会在不久的将来成为企业网的主流。从2004年全球交换机市场分析可以看到，增长最迅速的就是10Gbps级别机箱式交换机，可见，万兆位的大规模应用已经真正开始。所以，今天的企业网络已经不能再用百兆位到桌面千兆位骨干来作为建网的标准，核心层及骨干层必须具有万兆位级带宽和处理性能，才能构筑一个畅通无阻的高品质大型企业网，从而适应网络规模扩大，业务量日益增长的需要。2.1.2稳定可靠需求现代大型企业的网络应具有

9、更全面的可靠性设计，以实现网络通信的实时畅通，保障企业生产运营的正常进行。随着企业各种业务应用逐渐转移到计算机网络上来，网络通信的无中断运行已经成为保证企业正常生产运营的关键。现代大型企业网络在可靠性设计方面主要应从以下3个方面考虑。设备的可靠性设计：不仅要考察网络设备是否实现了关键部件的冗余备份，还要从网络设备整体设计架构、处理引擎种类等多方面去考察。业务的可靠性设计：网络设备在故障倒换过程中，是否对业务的正常运行有影响。链路的可靠性设计：以太网的链路安全来自于多路径选择，所以在企业网络建设时，要考虑网络设备是否能够提供有效的链路自愈手段，以及快速重路由协议的支持。2.1.3服务质量需求现代

10、大型企业网络需要提供完善的端到端QoS保障，以满足企业网多业务承载的需求。大型企业网络承载的业务不断增多，单纯的提高带宽并不能够有效地保障数据交换的畅通无阻，所以今天的大型企业网络建设必须要考虑到网络应能够智能识别应用事件的紧急和重要程度，如视频、音频、数据流（MIS、ERP、OA、备份数据）。同时能够调度网络中的资源，保证重要和紧急业务的带宽、时延、优先级和无阻塞的传送，实现对业务的合理调度才是一个大型企业网络提供高品质服务的保障。2.1.4网络安全需求现代大型企业网络应提供更完善的网络安全解决方案，以阻击病毒和黑客的攻击，减少企业的经济损失。传统企业网络的安全措施主要是通过部署防火墙、ID

11、S、杀毒软件，以及配合交换机或路由器的ACL来实现对病毒和黑客攻击的防御，但实践证明这些被动的防御措施并不能有效地解决企业网络的安全问题。在企业网络已经成为公司生产运营的重要组成部分的今天，现代企业网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，这样才能有效地保证企业网络的稳定运行。2.1.5应用服务需求现代大型企业网络应具备更智能的网络管理解决方案，以适应网络规模日益扩大，维护工作更加复杂的需要。当前的网络已经发展成为以应用为中心的信息基础平台，网络管理能力的要求已经上升到了业务层次，传统的网络设备的智能已经不能有效支持网络管理需求的发展。比如，网络调试期间最消

12、耗人力与物力的线缆故障定位工作，网络运行期间对不同用户灵活的服务策略部署、访问权限控制、以及网络日志审计和病毒控制能力等方面的管理工作，由于受网络设备功能本身的限制，都还属于费时、费力的任务。所以现代的大型企业网络迫切需要网络设备具备支撑以应用为中心的智能网络运营维护的能力，并能够有一套智能化的管理软件，将网络管理人员从繁重的工作中解脱出来。2.2 网络安全系统设计原则虽然任何人都不可能设计出绝对安全和保密的网络信息系统，但是，如果在设计之初就遵从一些合理的原则，那么相应的网络系统的安全和保密就会更加有保障。如果设计时考虑不全面，消极地将安全和保密措施寄托在事后“打补丁”的思路是非常危险的。从

13、工程技术角度，应遵循的原则如图2.1所示。 图2.1 网络安全设计原则木桶原则：对信息均衡、全面地进行保护。 整体性原则：进行安全防护、监测和应急恢复。 实用性原则:不影响系统的正常运行和合法用户的操作。 等级性原则：区分安全层次和安全级别。 动态化原则：安全需要不断更新。 设计为本原则：安全设计与网络设计同步进行。 第三章 网络技术与拓扑结构本章结合企业的需求分析，对企业的网络架构进行搭建，并对该企业架构所用到的技术进行分析，以及对拓扑结构的设计进行分析。3.1网络设计原则实用性和经济性：系统建设应始终贯彻面向应用，注重实效的方针，坚持实用、经济的原则，建设企业的网络系统。先进性和成熟性：系

14、统设计既要采用先进的概念、技术和方法，又要注意结构、设备、工具的相对成熟。不但能反映当今的先进水平，而且具有发展潜力，能保证在未来若干年内企业网络仍占领先地位。可靠性和稳定性:在考虑技术先进性和开放性的同时，还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及维修能力等方面着手，确保系统运行的可靠性和稳定性，达到最大的平均无故障时间。安全性和保密性:在系统设计中，既考虑信息资源的充分共享，更要注意信息的保护和隔离，因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括系统安全机制、数据存取的权限控制。可扩展性和易维护性：为了适应系统变化的要求，必须充分考虑以最简便的方法

15、、最低的投资，实现系统的扩展和维护，采用可网管产品，降低了人力资源的费用，提高网络的易用性。3.2网络技术选择网路技术的选择对影响网络性能，网络的维护，网络的安全指数有着重大的联系，因此对网络技术的选择必须高度重视。3.2.1快速以太网以太网（Ethernet）是一种计算机局域网组网技术。IEEE制定的IEEE 802.3标准给出了以太网的技术标准。它规定了包括物理层的连线、电信号和介质访问层协议的内容。以太网是当前应用最普遍的局域网技术。它很大程度上取代了其他局域网标准，如令牌环网（token ring）、FDDI和ARCNET。以太网的标准拓扑结构为总线型拓扑，但目前的快速以太网（100B

16、ASE-T、1000BASE-T标准）为了最大程度的减少冲突，最大程度的提高网络速度和使用效率，使用交换机（Switch hub）来进行网络连接和组织，这样，以太网的拓扑结构就成了星型，但在逻辑上，以太网仍然使用总线型拓扑和CSMA/CD（Carrier Sense Multiple Access/Collision Detect 即带冲突检测的载波监听多路访问）的总线争用技术。快速以太网是世界上应用最广泛的组网技术，其强大的灵活性，简便性，传输介质的多样性，拓扑结构的灵活性，符合中小企业的设计要求以太网基于网络上无线电系统多个节点发送信息的想法实现，每个节点必须取得电缆或者信道的才能传送信息

17、，有时也叫做以太（Ether）。(这个名字来源于19世纪的物理学家假设的电磁辐射媒体-光以太。后来的研究证明光以太不存在。) 每一个节点有全球唯一的48位地址也就是制造商分配给网卡的MAC地址,以保证以太网上所有系统能互相鉴别。由于以太网十分普遍，许多制造商把以太网卡直接集成进计算机主板。3.2.2 VLAN传统意义上的数据交换发生在OSI模型的第二层，现在交换技术还实现了第三层交换和多层交换。高层交换技术的引入不但提高了园区网数据交换的效率，更大大增强了园区网数据交换服务质量，满足了不同类型网络应用程序的需要。现代交换网络还引入了虚拟局域网（Virtual Local Area Networ

18、k，VLAN）的概念。VLAN技术的出现，主要为了解决交换机在进行局域网互连时无法限制广播的问题。这种技术可以把一个LAN划分成多个逻辑的LAN-VLAN，在每个VLAN是一个广播域，VLAN内的主机间通信就和在一个LAN内一样，而VLAN间则不能直接互通，这样，广播报文被限制在一个VLAN内，如下图3.1 VLAN划分原理所示：如下图，VLAN解决了物理位置的限制图3.1 VLAN示意图VLAN的标准有两种，Cisco公司的ISL,以及IEEE 802.1Q 由于后者是国际化标准，而且其传输效率更高，所以更适合网络需求。使用VLAN的好处有以下几点：广播风暴防范：限制网络上的广播，在一个VL

19、AN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广 播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。安全：不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信，如果不同VLAN要进行通信，则需要通过路由器或三层交换机等三层设备。成本降低：成本高昂的网络升级需求减少，现有带宽和上行链路的利用率更高，因此可节约成本。性能提高：将第二层平面网络划分为多个逻辑工作组（广播域）可以减少网络上不必要的流量并提高性能。另外使用VLAN还可以提高IT员工效率，简化项目管理或应用管理，增加了网络连接的灵活性等优点。3.2.3

20、 DHCP 某些的主机不需要静态的IP，因为其并非永久的使用该地址，当主机离开网络，就得释放这个 IP 地址，以给其它工作站使用，动态分配显然更加灵活。DHCP 是目前应用最为广泛的为网络主机分配IP地址的方式之一。DHCP允许DHCP客户端从DHCP服务器获取IP地址，子网掩码，默认网关IP地址，DNS服务器IP地址以及其他IP地址类型信息。DHCP工作原理如图图3.2 DHCP的工作原理第一步：由于DHCP客户端初始启动时没有IP地址，默认网关或这类配置信息，因而DHCP客户端初始启动后通过发送目的地为255.255.255.255的广播消息（DHCP discovery）来试图发现DHC

21、P服务器。第二步：DHCP服务器接收到DHCP discovery 消息后，响应以DHCP offer消息。由于DHCP discovery消息是以广播方式向外发送的，因而可能会有多个DHCP服务器响应发现请求，不过客户端通常会选择其接收到的第一个DHCP offer 消息的服务器作为DHCP服务器。第三步：DHCP客户端通过发送DHCP request 消息与选定的服务器进行通信，让DHCP服务器提供IP配置参数。 第四步：最后，DHCP服务器以DHCPACK消息响应客户端，DHCPACK消息包含了响应的IP配置参数。3.2.4 NAT在计算机网络中，网络地址转换（Network Addre

22、ss Translation或简称NAT，也叫做网络掩蔽或者IP掩蔽）是一种在IP数据包通过路由器或防火墙时重写源IP地址或/和目的IP地址的技术。这种技术被普遍使用在有多台主机但只通过一个公有IP地址访问因特网的私有网络中。目前人们普遍认为NAT完美的解决了IP地址不足的问题，的确，他真的是一样很有用的工具，可以说没有NAT，我们的网络不会得到如此迅速的发展。但NAT也让主机之间的通信变得复杂，导致通信效率的降低。NAT优点：节约合法注册地址，减少地址重叠出现，增加链接Internet的灵活性，网络变更时避免地址的重新分配。NAT缺点：地址转换产生交换延迟，无法进行端到端的IP跟踪，某些应用

23、程序无法实现在NAT的网络中运行。NAT运行示例：在下图中主机10.1.1.1发送一个外出数据包到配置了NAT的边界路由器，边界路由器识别出此IP地址为内部IP地址，目标是外部网络，他要转换内部本地IP地址，并把转换结果记录到NAT表中，这个数据包使用转换后的新的源地址被发送到外部接口，外部主机返回此包到目标主机，NAT路由使用NAT表转换内部全局IP地址为内部IP地址，整个过程基本就是这样。下图是基本的NAT工作原理示意图图3.3 NAT工作原理示意图3.2.5 ACL内外网络的通信都是企业网络中必不可少的业务需求，但是为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络

24、资源，从而达到对访问进行控制的目的。简而言之，ACL可以过滤网络中的流量，控制访问的一种网络技术手段。ACL可以限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定数据包的优先级。ACL提供对通信流量的控制手段。例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。ACL是提供网络安全访问的基本手段。ACL允许主机A访问人力资源网络，而拒绝主机B访问。ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。例如，用户可以允许E-mail通信流量被路由，拒绝所有的Telnet通信流量。 例如：某部门要求只能使用 WWW 这个功能，就可以通过ACL

25、实现； 又例如，为了某部门的保密性，不允许其访问外网，也不允许外网访问它，就可以通过ACL实现。访问控制列表的工作示意图图3.4 ACL工作示意图3.3拓扑结构图设计网络的拓扑结构对整个网络系统的运行效率，技术性能发挥，可靠性与费用等方面都有着中重要的影响。确立为网络的拓扑结构是整个网络系统方案的规划设计的基础。拓扑结构的选择和地理环境的分布，传输介质，介质访问控制方法，甚至网络设备选型等因素紧密相关。3.3.1网络拓扑结构的规划设计原则构成局域网的拓扑结构有很多种，最常见到的有总线拓扑、星型拓扑、环型拓扑及各种混合性拓扑等。采用不同的网络控制策略（即网络数据的传输与通信的有关协议和控制方法）

26、，所有使用的网络连接设备也不一样。因此，无论在网络的规划或设计时都必须首先决定将采用那一种网络拓扑结构，选择合适的网络拓扑结构非常重要的。也就是说，选择网络拓扑结构是网络规划设计的第一步。中小企业在选择网络拓扑结构的时候，应从经济性、灵活性和扩展性好、可靠性、易于管理和维护几个方面着重入手。在现在企业中经济效益都是首要考虑的，在建设网络投资的同时就考虑到经济效益的回报。拓扑结构的选择直接决定了网络安装和维护的费用。因为，拓扑结构的选择与传输介质的选择、传输距离的长短及所需网络的连接设备密切相关。灵活性和扩展性也是选择网络拓扑结构时应充分重视的问题。任何一个网络都不能一劳永逸的，随着用户的增加，

27、应用的深入和扩大，网络新技术的不断涌现，特别是应用方式和要求的改变，网络经常需要加以调整。然而，网络的可调性与灵活性，以及可扩展性与建立网络时拓扑结构直接相关。网络的可靠性是任何一个网络的生命。当网络总的某个节点或站点发生问题的时候时，网络不能正常工作。网络拓扑结构的选择还直接决定网络故障检测和故障隔离的方便性。总之，中小企业网拓扑结构的选择，需要考虑的因素很多，这些因素同时影响网络的运行速度和网络软硬件接口的复杂程度等等。3.3.2主干网络（核心层）设计主干网络技术的选择，需根据需求分析中地理距离、信息流量个数据负载的轻重而定。一般而言，主干网一般用来连接建筑群和服务器群，可能会容纳网络上的

28、40%-60%的信息流，是网络的大动脉。连接建筑群的主干网一般以光纤作为传输介质，典型的主干网技术主要有千兆以太网、ATM和FDDI等。根据中小企业的需求和中小企业网络拓扑结构的规划设计原则等角度来考虑，采用千兆以太网是中小企业比较理想的做法。FDDI基本已属于昨天的技术，支持它的厂商越来越少。ATM是面向连接的网络，能保证一些突出负载在网上传输，但由于ATM在企业局域网的所有应用需要ELAN仿真来实现，不仅技术难度大，且带宽效率低，已证明不适合做企业网络，但如果单建网单位对实时传输要求极高，也可以考虑选用。根据中小企业的建网规模，对经费比较紧张的企业，可以采用100 BASE-FX，即用光传

29、输介质上快速以太网。端口价格低，对光缆要求不高。是一种非常经济的选择。主干网的焦点是核心交换机（或路由器）。如果考虑提供较高的可用性，而且经费允许，主干网可采用双星（树）结构，即采用两台同样的交换机，与接入层/分布层交换机分别连接。双星结构解决了单点故障失效问题，不仅抗毁性强，而且通过采用较新的链路聚合技术，例如快速以太网的FEC、千兆以太网的GEC等技术，则可以通过允许每条冗余连接链路实现负载分担。千兆以太网一般采用光缆作为传世介质。多种波长的单模和多模光纤分别用于不同的场合和距离。由于企业建筑群布线路径复杂的特殊性，一般直线距离超过300M的建筑群之间的千兆以太网线路就必须要用单模光纤。单

30、模光纤本身不贵，昂贵的是光端口及组件。在企业中，经常会根据需要对骨干网及核心交换机改善设计或对旧网经行升级改造的技术，如：FEC/GEC（快速以太网/千兆以太网链路聚合技术）、CGMP（分组管理协议）、GBIC(千兆位集成电路)、HSRP（热等待路由协议）。3.3.3分布层/接入层设计中小企业网络中分布层的存在与否，取决于外围网采用的扩充互联方法。当建筑物内信息点较多（如，220个）超出一台交换机所容纳的端口密度，而不得不增加交换机扩充端口密度时，如果采用级联方式，即将一组固定端口交换机上联到一台背板宽带和性能较好的二级交换机上，再由二级交换机上联到主干；如果采用多个并行交换机堆叠方式扩充端口

31、密度，其中一台交换机上联，则网络中就有接入层，没有分布层。要不要分布层，采用级连还是堆叠，要看网络信息流的特点，堆叠体内能够有充足的宽带保证，适合本地（楼宇内）信息流密集、全局信息负载相对较轻的情况；级连适宜于全网信息流较平均的场合，且分布层交换机大都具有组播和初级QoS（服务质量）管理能力，适合处理一些突发的重负载（如VOD视频点播），但增加分布层的同时也会使成本提高。分布层/接入层一般采用100BASE-T（X）快速（交换式）以太网，采用10/100Mbit/s自动适宜传输速率到桌面计算机。传输介质则基本上是双绞线。接入层交换机可选择的产品很多，但是一定要注意接入层交换机必须支持12个光端口模块，必须支持堆叠，如果主干网为千兆以太网，接入层交换机还必须支持GBE模块。3.3.4远程接入访问的规划设计在企业中，由于布线系统费用与实现上的限制，对于零散的远程用户接入，利用PSTM市话网络进行远程拨号访问几乎是唯一的经济、简便的选择。远程拨号访问需要规划远程访问服务器和Modem设备，并申请一组