网络系统集成校园网络系统集成.docx
《网络系统集成校园网络系统集成.docx》由会员分享，可在线阅读，更多相关《网络系统集成校园网络系统集成.docx（20页珍藏版）》请在冰点文库上搜索。
网络系统集成校园网络系统集成
1.需求分析
需求说明
通过对常用的组网设备（包括交换机、路由器、防火墙）、常见的网络服务系统（Web服务、Proxy服务、Smtp&Pop3服务、DNS服务等）的安装与配置，加深对上述设备和系统工作原理的理解，初步掌握其安装配置方法，为将来从事网络工程建设打下基础。
设计并构建一个小型的校园网络平台，并在该平台上构建INTERNET服务平台，该网络工程建成后，将具有以下服务功能：
（1）具有内部Web服务功能（http）；
（2）具有外部Web服务代理功能（proxy服务）；
（3）具有邮件收发功能（smtp&pop3）；
（4）具有对内部核心子网安全保护功能（防火墙）；
（5）具有内部域名解析功能（DNS）；
（6）具有简单的网络管理功能（SNMP）。
%
图网络拓扑
配置说明
1.2.1邮件服务
在内部网络设立MAIL服务器，支持SMTP和POP3收发电子邮件，要求建立三个邮件帐号，，，用来测试内部邮件的收发。
要求在外部网络构建MAIL服务器，支持SMTP和POP3收发电子邮件，并要求建立二个邮件帐号，用来测试内部邮件系统和外部邮件系统之间的邮件收发。
1.2.2DNS服务
在内部网络设置DNS服务功能，支持内部网络系统名字的正向和反向域名解析服务。
1.2.3WEB服务
建立一个内部WEB服务网站：
，设计测试网页；
：
提供3个虚拟主机服务：
，并设计相应的测试网页；提供3个个人主页服务：
，并设计相应的测试网页；
建立一个外部WEB服务网站：
，设计测试网页。
1.2.4代理服务
能根据用户级别设置不同访问权限,要求有teacher、student和worker三组用户；对于teacher组的教员，能够在任何时间访问任何网站；对于student组的学员，能够访问内部网站和在非学习时间（学习时间定义为：
周1至周5的08：
00--17：
30）访问除之外的任何网站；对于worker组的教工，不允许访问任何网站。
1.2.5交换机
通过串口和telnet对设备名称、密码、网管参数进行设置；
按照网络TOP图1的要求，通过远程登录到交换机上，对交换机进行VLAN划分。
1.2.6防火墙
通过串口和telnet对名称、密码、接口参数进行设置；按照网络要求对访问规则进行配置。
1.2.7路由器
…
通过串口和telnet对名称、密码、接口参数、网管参数进行设置；
按照网络的要求，对路由器进行路由设置。
2.网络拓扑图
下图为本次设计的整体组网图，整个网络分为三个域，即DMZ，UntrustZone，TrustZone。
其中图求中的vlan10和vlan20为TrustZone，主要为局域网用户；vlan30为DMZ，是该园区网络的服务器群，包括：
web服务器 、域名解析服务器、代理服务器，以及邮件服务器；Internet为UntrustZone，包括：
外部web服务器、邮件服务器等。
TrustZone和DMZ同两台交换机相联，在Internet和DMZ区之间架设一台高性能的防火墙，从而在较大程度上保证内部网络的安全，在防火墙的外端口进行NAPT（NAT中基于端口的一种）,完成网络地址的转换，这在一定程度上也保证了内部网络的安全性。
3.网络配置
内部web服务器
（1）为该服务配置多个IP地址。
为后面服务器上挂载多个载点作好准备，因为一个IP地址在不改变其他参数的条件下只能挂载一个网站。
实验中一共配置4个IP地址：
，，，。
（2）安装。
因为xp系统默认下不安装IIS，如图所示。
在此之前，你应该准备你下载的安装包或者系统安装盘，按照提示完成IIS的安装过程。
-
图IIS安装
（3）挂载网站。
安装IIS后会自动生成一个默认Web站点，将其作为要挂载的网站。
点击“开始”→“程序”→“管理工具”→“Internet服务管理器”，出现“Internet信息服务”窗口，右键单击“默认Web站点”，选择“属性”进行设置。
在“Web站点标识”中，将说明改为挂载的网站名，实验中为“test”选择IP地址，TCP端口保持默认的80不变。
将制作好的网站文件拷贝到默认目录中，“test”的设置就算完成了。
将制作好的网站拷贝到默认目录下。
（4）按照（3）步进行其他网站的挂载。
与第三步不同的是网络标识里的“描述”和“IP地址”，端口号不用作任何改变。
其描述分别为：
test1，test2，test3，对应的IP地址分别为：
，，。
（5）为提供三个主页服务，即：
，，，并设计相应的测试网页。
通过以上步骤，我们完成了内部web服务器配置，在浏览器中输入网站IP地址和域名进行测试。
（在没有配置DNS服务器的情况下，只能通过IP地址访问以下网站；当配置好相应的域名记录，就可以通过域名找到相应主机，从而访问相关的站点）。
内部Mail服务器
（1）安装Imail。
安装过程中，在“OffcialHostName”对话框中输入邮件服务器的域名，如图所示；在“ServicesStartOptions”对话框选择要启动的服务，如图所示。
#
图OfficalHostName
图ServicesStartOptions
（2）启动Imail服务器。
选“localhost→右键→AddHost”，实验中为“”。
（3）添加邮件用户。
选“localhost→→Users→右键→AddUser”。
实验中建立三个邮件帐号：
，，，用于测试内部邮件的收发。
（4）客户端配置。
设置OutlookExpress：
工具→帐户→添加邮件帐户；“接收邮件服务器（POP3）”和“发送邮件服务器（SMTP）”中均填写均填写邮件服务器域名，实验中为“”。
（5）DNS设置。
查看“”的IPAddress，打开DNS管理器，建立相关的DNS记录。
实验中需将“”“对应其IPAddress”，以便正确的进行域名解析。
DNS设置的具体方法在此不作过多解释，下一节中有详细的配置过程。
到此为止，已经可以用已知的帐号进行邮件收发工作了。
DNS服务器
（1）安装DNS服务器。
打开控制面板，选择添加/删除windows组件，选择网络服务，选择详细信息，选择域名服务系统（DNS），并单击确定，完成组件的添加。
其操作如图和如示：
？
图选择网络服务
图选择DNS
（2）启动DNS服务器。
启动后的界面如图所示，从启动后的界面我们不难看出，DNS服务器支持两种域名解析形式，即正向域名解析和反向域名解析两种方式。
通过正向域名解析，可以找到相应域名的IP地址，通过反向域名解析可以找到对应IP地址的主机域名。
~
图域名服务器运行界面
（3）按照设计要求，在正向搜索区域和反向搜索区域中加入域名解析记录。
其中邮件服务器的域名为：
，与之对应的主机地址是：
；内部web服务器对应的域名分别为：
、、、，与之对应的IP地址分别为：
、、、；外部web服务器对应的域名是：
，与之对应的IP地址是：
。
当进行了正向域名解析和反向域名解析后，访问网站既可以采用IP地址的方式，即在浏览器中直接输入该web服务器的IP地址，也可以通过输入域名访问web服务器。
其中邮件服务器，只能通过域名的方式，因为利用pop3和smtp收发邮件的时候，收发邮件的服务器均填写的邮件服务器的域名，且邮件在收发过程中，也是通过域名进行邮件服务器的寻址的。
Proxy服务
（1）下载并安装SuperProxy软件。
（2）运行SuperProxy，其运行界面如图所示：
^
运行界面
（3）由于该软件是共享版，不能新建群组，就建3个用户代替。
三个用户分别是teacher、student和worker。
建立用户的时候注意权限的设置。
对于teacher用户，能够在任何时间访问任何网站，即默认的访问权限；对于student用户，能够访问内部网站和在非学习时间（学习时间定义为：
周1至周5的08：
00--17：
30）访问除之外的任何网站；对于worker用户，不允许访问任何网站。
由于软件的限制，只完成对teacher和worker两个用户的全部权限设置，以及student用户的部分权限设置。
其中teacher权限设置如图所示，worker由于所赋予的权限正好和teacher相反，只需要将通过中“允许”修改为“禁止”即可。
图teacher用户
外部web服务器
外部web服务器内部web服务器的配置方法类似。
服务器搭建好后，挂载网站，并在域名解析服务器中加入域名解析记录，设计相关测试页，通过浏览器访问所挂载的网站。
外部Mail服务器
该服务器的配置方法和内部Mail服务器配置方法类似。
服务器搭建好以后，建立二个邮件帐号：
zhangsan@，lisi@用来测试内部邮件系统和外部邮件系统之间的邮件收发。
交换机配置
]
本设计涉及三个交换机的使用。
其中两个用于内网用户之间的互联，一个用于外网。
具体来说，三个交换机分别位于：
内网用户、内网服务器群、外网。
分别将三个交换机标识为：
switch1、switch2、switch3。
下面将三个交换机上的配置过程记录如下：
（1）switch1的配置
hostnameswitch1
interfacerangeFastEthernet0/1-12/将1-12端口划分到vlan10/
switchportaccessvlan10
interfacerangeFastEthernet0/13-22/将13-22端口划分到vlan20/
switchportaccessvlan20
interfaceFastEthernet0/24/将24号端口作为trunk，透传vlan数据/
switchportmodetrunk
interfaceVlan1
|
ipaddress/配置设备管理IP地址/
linevty04
passwordtest/配置登录密码/
login
（2）switch2的配置
hostnameswitch2
interfaceFastEthernet0/1-20/将1-20端口划分到vlan30/
switchportaccessvlan30
interfaceFastEthernet0/24/将24端口作为路由器端口/
noswitchport
}
ipaddress
interfaceVlan1
ipaddress/配置设备管理IP地址/
interfaceVlan10
ipaddress/配置vlan10的svi/
interfaceVlan20
ipaddress/配置vlan20的svi/
interfaceVlan30
ipaddress/配置vlan30的svi/
routerospf1/启动ospf协议/
;
log-adjacency-changes
network0.0.0.63area1
network0.0.0.255area1
network0.0.0.3area1
linevty04
passwordtest/配置登录密码/
login
（3）switch3的配置
鉴于switch3仅用作网络互联，并没有vlan的划分及更多其他相关配置，因此只需要配置设备管理地址，及远程登录的密码。
设备管理IP地址和远程登录密码的配置方法和前面交换机的配置相同，在此不列出它的配置代码。
路由器配置
|
设计中涉及一个路由器的配置，配置的内容主要是端口地址的配置，设备管理IP地址的配置，以及远程登录密码的设置。
hostnameRouter
interfaceFastEthernet0/0
ipaddress/配置0号端口地址/
duplexauto
speedauto
interfaceFastEthernet0/1
ipaddress/配置1号端口地址/
duplexauto
speedauto
]
interfaceVlan1
ipaddress/配置路由器管理IP地址/
routerospf1/启动OSPF进程，进行路由的选择/
log-adjacency-changes
network0.0.0.255area1
network0.0.0.255area1
linevty04
passwordmycisco/配置登录密码/
login
防火墙配置
）
防火墙主要用于保障内网用户的安全。
实验中涉及一个防火墙的使用，要求在防火墙上进行NAT（网络地址转换），通过配置能够进行基于网络层的包过滤，同时制订安全策略，力求最大程度地保证内网主机的安全。
sysnamemyFireWall
firewallpacket-filterenable
firewallpacket-filterdefaultpermit
undoconnection-limitenable
connection-limitdefaultdeny
connection-limitdefaultamountupper-limit50lower-limit20
firewallstatisticsystemenableradiusschemesystem
aclnumber2001
rule0permitsource0.0.0.255
—
rule0permitsource0.0.0.255
aclnumber3001
rule0denytcpsource-porteq3127
rule1denytcpsource-porteq1025
rule2denytcpsource-porteq5554
rule3denytcpsource-porteq9996
rule4denytcpsource-porteq1068
rule5denytcpsource-porteq135
rule6denyudpsource-porteq135
rule7denytcpsource-porteq137
@
rule8denyudpsource-porteqnetbios-ns
rule9denytcpsource-porteq138
rule10denyudpsource-porteqnetbios-dgm
rule11denytcpsource-porteq139
rule12denyudpsource-porteqnetbios-ssn
rule13denytcpsource-porteq593
rule14denytcpsource-porteq4444
rule15denytcpsource-porteq5800
rule16denytcpsource-porteq5900
rule18denytcpsource-porteq8998
~
rule19denytcpsource-porteq445
rule20denyudpsource-porteq445
rule21denyudpsource-porteq1434
rule30denytcpdestination-porteq3127
rule31denytcpdestination-porteq1025
rule32denytcpdestination-porteq5554
rule33denytcpdestination-porteq9996
rule34denytcpdestination-porteq1068
rule35denytcpdestination-porteq135
rule36denyudpdestination-porteq135
【
rule37denytcpdestination-porteq137
rule38denyudpdestination-porteqnetbios-ns
rule39denytcpdestination-porteq138
rule40denyudpdestination-porteqnetbios-dgm
rule41denytcpdestination-porteq139
rule42denyudpdestination-porteqnetbios-ssn
rule43denytcpdestination-porteq593
rule44denytcpdestination-porteq4444
rule45denytcpdestination-porteq5800
rule46denytcpdestination-porteq5900
;
rule48denytcpdestination-porteq8998
rule49denytcpdestination-porteq445
rule50denyudpdestination-porteq445
rule51denyudpdestination-porteq1434
interfaceAux0
asyncmodeflow
interfaceEthernet0/0
ipaddress
firewallpacket-filter3001inbound
interfaceEthernet1/0
【
ipaddress
firewallpacket-filter3001inbound
natoutbound2001
natserverprotocoltcpglobalwwwinsidewww
firewallzonelocal
setpriority100
firewallzonetrust
addinterfaceEthernet0/0
setpriority85
firewallzoneuntrust
%
setpriority5
firewallzoneDMZ
addinterfaceEthernet1/0
setpriority50
4.结果与分析
邮件服务
对于内网邮件服务（基于pop3和smtp），能够利用建立的三个邮件账号互发邮件。
基于web方式的没有实现，但原理上没有太大区别。
对于外部邮件服务器，可利用建立的两个用户成功完成通信。
DNS服务
配置好dns服务器后，能够正确的进行正向和反向两个方向的域名解析。
通过域名解析，用户可以通过域名访问内外部网站，与此同时还可通过主机IP地址的方式访问网站。
当然要正确的进行域名解析，必须首先确保域名服务器的地址完全正确，即在主机上配置正确的域名服务器地址。
》
web服务
为了挂载多个网站，实验中将一张网卡配置多个IP地址，每个IP地址挂一个网站。
然后在域名解析服务器上添加相应的正向和反向域名解析记录。
最后，能正常的进行网站的访问，网站的测试如图如示：
>
图测试网页
代理服务器安装和设置
由于模拟软件上不具备代理服务器功能，所以用软件来模拟代理过程，安装设置方法如下：
图3-9安装proxy代理服务器
|
选择安装目录后，点击下一步（next），进入显示安装信息界面，如下图所示：
图3-10显示安装信息图
代理服务器软件的安装过程室全自动的，安装完成后点击finish，进入到软件的设置和试用。
如下图所示室完成安装的界面：
图3-11完成安装界面
安装完成，设置信息的界面如下图所示，图中显示了设置的具体信息：
图3-12设置代理服务器信息图
在本校园网络中，代理服务器的名称为proxy，地址室，设置如下：
图3-13设置代理服务器地址图
设置完成后，用户可以通过设置的代理服务器登录到外部网络。
本软件最多允许3个用户登录到外部网络，可以添加用户。
设置成功，如下图所示：
图3-14显示用户信息图
交换机
通过vlan划分，能够有效的隔离广播流量，防止二层环路的形成；通过三层交换机svi的配置，能够有效的进行不同vlan之间的通信；通过三台交换机vlan1网管地址的配置以及登录密码的设置，能够进行远程登录，方便管理员对设备的管理、配置。
路由器
路由器在设计中作为重要的网络设备，能够进行不同网络的路由选择。
设计中，通过对vlan1网管地址的设置以及登录密码的设置，方便用户进行远程登录，对设备进行维护和管理。
在路由器上配置ospf路由选择协议，能够顺利完成路由的选择，达到不同网络之间的通信问题。
防火墙
通过防火墙的配置，能够实现内网地址向公网地址的网络地址转换。
提供转换的公网地址只有一个，要求基于端口网络地址转换，即napt（端口网络地址转换）。
并且，在防火墙上屏蔽病毒或木马经常利用的端口。
最后，在防火墙上配置了公网地址向内网地址的映射，即通过外网可以访问内网的web服务器，而不能访问内部其他主机。
5.体会与建议
本将设计是一个校园网络的系统集成。
所涉及的配置内容包括常见的网络互联设备和常见服务器的配置，如dns服务器、web服务器、proxy服务器、mail邮件服务器等服务器配置。
本次实验的内容较多，网络设备的配置不是第一次接触，但其他服务器配置还是第一次接触，有一定的难度。
网络设备的配置，防火墙也很复杂，配置内容包括nat转换，也包括常见的病毒防范等。
本次试验的遇到了以前实验没有遇到过的很多难题，比如邮件服务器配置，DNS服务器配置，WEB服务器配置以及PROXY服务器配置等，都是第一次接触，虽然是直接操作软件，但要顺利配置成功还是有一定的难度，这方面不得不到处查找资料，学习配置方法，最终还是配置成功。
本次试验，不仅在网络配置方面，增强了基础知识，还学会了一些基本服务器配制方法，增大了知识面，对以后学习有了较大的提高，另外，也培养了自学能力以及处理问题的能力。
升级会员 