大学设计方案设计方案企业局域网设计方案.docx
《大学设计方案设计方案企业局域网设计方案.docx》由会员分享，可在线阅读，更多相关《大学设计方案设计方案企业局域网设计方案.docx（26页珍藏版）》请在冰点文库上搜索。
大学设计方案设计方案企业局域网设计方案
摘要
网络技术高速发展的今天，企业网络的优劣已经成为衡量企业竞争力的标准之一。
针对证劵行业的特点，本文介绍了一个行业专业网络的整体设计方案。
充分考虑到网络的负载均衡和稳定性能，所以本方案采用三层网络结构。
其中，汇聚层采用两台设备，配置CiscoHSRP协议进行双机热备份。
路由协议则选择安全性高、收敛速度快的OSPF协议。
其中用到的路由交换协议还有支持VLAN间数据传输的VTP协议。
我们采用Cisco交换机带宽聚合技术将多条物理线路捆绑为一条逻辑链路，使其有更高带宽。
服务器群组则重点介绍了FTP、邮件服务器及WEB服务器等企业中较常用到的服务器的软件选择及搭建方法。
对于网络中可能存在的安全威胁，针对不同的需求，方案中提出了VLAN技术、访问控制列表、防火墙技术以及VPN等安全解决方案，以求构建一个安全、高效、可靠的企业网络。
关键词：
网络层次化，热备份，虚拟局域网，控制列表，防火墙
ABSTRACT
Asthehigh-speeddevelopmentofthenetworktechnique,thequalityofenterprisenetworkhasalreadybecomeoneofthestandardsthatmeasurethecompetitionabilityoftheenterprise.Aimingatthecharacteristicsofthecertificateprofession,thispaperwillintroduceanoveralldesignofprofessionalnetworkapplyingforenterprise.SeriouslyConsideringtheloadbalanceandstabilityofthenetwork,weadoptthreelayersstructureinthedesign.ConvergenceLayeradoptstwoequipmentstomasterslavescratchingandduplicatecopywiththeprotocolofCiscoHSRP.TheroutingprotocolchoosestheprotocolofOSPF,whichhashighsecurityandrapidlyconverging.Theserverapplicationssetthepointonintroducingthemethodofcreationandsoftwareselectionforthecommonenterpriseserverapplications,suchasFTP,themailserverandtheWEBserveretc.Inordertosetupasafety,fuel-efficientandreliableenterprisenetwork,weputforwardtheVLANtechnique,thefirewalltechniqueandVPNforthedifferentneedsinresistingthesafetythreaten.
KEYWORDS:
HierarchicalNetwork,Hsrp,Vlan,Acl,Firewall
目录
第1章需求分析1
1.1项目背景1
1.2设计目标1
1.3用户现实需求2
第2章网络整体设计3
2.1网络拓扑3
2.2网络层次化设计3
2.2.1核心层设计4
2.2.2汇聚层设计5
2.2.3接入层设计6
2.2.4路由协议选择7
2.3VLAN的划分及IP地址规划8
2.4服务器群组9
2.4.1FTP服务9
2.4.2DHCP服务器10
2.4.3邮件服务器10
2.4.4web服务器12
第3章安全策略13
3.1网络威胁因素分析13
3.2安全要求13
3.3安全产品选型原则14
3.4安全策略部署14
3.4.1VLAN技术14
3.4.2访问控制列表15
3.4.3防火墙17
3.4.4VPN19
第五章方案实现结果分析20
第4章总结与展望21
致谢22
参考文献23
前言
信息化浪潮风起云涌的今天，企业的业务已经全面电子化，与Internet的联系相当紧密，所以他们需要良好的信息平台去支撑业务的高速发展。
没有信息技术背景的企业也将会对网络建设有主动诉求。
任何决策的科学性和可靠性都是以信息为基础的，信息和决策是同一管理过程中的两个方面，因此行业信息化也就成了人们所讨论并实践着的重要课题。
公司内部网络的建设已经成为提升企业核心竞争力的关键因素。
公司网已经越来越多地被人们提到，利用网络技术，现代企业可以在客户、合作伙伴、员工之间实现优化的信息沟通，公司网络的优劣直接关系到公司能否获得关键的竞争优势。
众多行业巨擘纷纷上马各种应用方案且取得了巨大的成功，这使信息化建设更具吸引力。
信息技术自诞生之日起，就对证劵行业产生了深远的影响，尤其是上世纪90年代以来，随着金融服务业全球化和竞争日益剧烈,促使证劵公司加快运用各种新的信息技术手段来提高公司管理水平,可以说金融业已经成为信息技术和网络技术发展的最大收益者之一。
网络技术的发展，让网上交易迅速普及，网上交易有助于证劵公司提高工作效率，降低出错率，也方便证劵公司对客户的管理。
虽然大多数企业已经把互联网战略纳入企业经营发展战略中，但是网络黑客攻击、计算机病毒干扰、数据传输过程中的泄露等不安全因素，任然让很多企业对企业网络化犹豫不定。
证劵企业的特点是数据传输量大，且数据机密度高，所以证劵业网络就要求高效、稳定和安全，合理的网络结构设计能至关重要。
随着网络技术的迅速发展和网上应用量的增长，分布式的网络服务和交换已经移至用户级，由此形成了一个新的，更适应现代的高速大型网络分层设计模型“多层次设计”。
多层次设计师模块化的，它在日后网络扩展、负载均衡、故障排除方面很有效。
而现在强大的防火墙技术和各种各样的安全策略被应用到企业网络中，安全得到了保障，那么网路对于企业的发展就真正起到了推进的作用。
第1章需求分析
1.1项目背景
XX证劵是一家刚刚成立的证劵公司，公司有资产管理部、财务部、人力资源部、后勤部、经理室（管理部门）和营业部6个部门，6个部门分布在两个楼层。
日后公司在外地还要开设分支机构，而这里作为公司总部，中心机房也设在此处。
公司的网络系统要满足公司日常办公电子化，各部门信息共享，日常证劵交易，且作为证劵公司，某些投资机密需要很高的保密度，所以公司网络要有很高的可靠性和安全性。
考虑的日后公司的扩张，所以网络系统要有可扩展性。
1.2设计目标
设计一个公司的网络，首先要确定用户对网络的真正需求，并在结合未来可能的发展要求的基础上选择、设计合适的网络结构和网络技术，提供用户满意的高质服务。
还要注意到由于逻辑上业务网和管理网必须分开，所以建成后企业网应能提供多个网段的划分和隔离，并能做到灵活改变配置，以适应企业办公环境的调整和变化，即VLAN的整体划分。
考虑到证劵行业数据的重要性、保密性，为了保证多想证劵业务的顺利进行，保证网络的不间断运行，网络平台应具有以下一些特点：
（1）高可靠性——网络系统的稳定可靠是应用系统正常运行的关键保证，在设计中选用高可靠性网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持各个系统的正常运行。
（2）技术先进性和实用性——保证满足证券交易系统业务的同时，又要体现出网络系统的先进性。
在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑到证券公司网络应用的现状和未来发展趋势。
（3）高性能——承载网络性能是网络通讯系统良好运行的基础，设计中必须保障网络及设备的高吞吐能力，保证各种信息（数据、语音、图象）的高质
量传输，才能使网络不成为证券公司各项业务开展的瓶颈。
（4）标准开放性——支持国际上通用标准的网络协议、国际标准的大型的动态路由协议等开放协议，有利于保证与其它网络（如公共数据网、金融网络、行内其它网络）之间的平滑连接互通，以及将来网络的扩展。
（5）灵活性及可扩展性——根据未来业务的增长和变化，网络可以平滑地扩充和升级，减少最大程度的减少对网络架构和设备的调整。
（6）可管理性——对网络实行集中监测、分权管理，并统一分配带宽资源。
选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析，及可提供故障自动报警。
（7）安全性——制订统一的骨干网安全策略，整体考虑网络平台的安全性。
1.3用户现实需求
✧实现公司内部资源共享，即文件服务器，但是对不同的资源要有相应的权限。
✧公司各部可以通过即时通信软件联系，建立公司邮件服务器。
✧打印机共享
✧公司内部要网络接入Internet
✧架设公司web服务器，发布公司网站
✧为保证安全，Internet与公司内部网络间应采用防护措施，防止外界对内部网络XX的访问。
✧共享公司的各种信息资料，发布公司内部刊物的电子版。
✧实时传递行业政策、市场变化信息；转载、摘编国际国内重大新闻信息。
✧发布电脑方面的文章以提高员工的计算机知识；发布相关业务培训内容。
✧以FTP方式提供大量应用软件和实用工具，供内部员工下载使用
第2章网络整体设计
2.1网络拓扑
计算机网络的组成元素可以分为两大类，即网络节点（又可分为端节点和转发节点）和通信链路，网络中节点的互联模式叫网络的网络的拓扑结构。
网络拓扑定义了网络中资源的连接方式，局域网中常用的拓扑结构有：
总线型结构、环形结构、星型结构。
由于XX证劵公司总部网络站点不是特别的多，而且联网的站点相对集中，因此我们采用星型的网络拓扑。
星型拓扑结构是由通过点到点链路接到中央节点的各站点组成的。
星型网络中有一个唯一的转发节点（中央节点），每一台计算机都通过单独的通信线路连接到中央节点。
在星型拓扑中利用中央结点可方便地提供服务和重新配置网络；单个连接点故障只会影响故障点连接的一个设备，不会影响全网，容易检测隔离故障、便于维护；任何一个连接只涉及到中央结点和一个站点，控制介质访问的方法很简单、从而访问协议也十分简单。
2.2网络层次化设计
网络的设计模型主要包括层次化设计模型和非层次化设计模型两种。
随着网络技术的迅速发展和网上应用量的增长，非层次化的网络设计已经不适合当今企业的网络应用，由于非层次化网络没有适当的规划，网络最终会发展成为非结构的形式，这样当网络设备之间相互通信时，设备上的CPU必然会承受相当大的负载，不利于网络的运行和发展，当大量的数据在网络中传输时，容易引起线路拥堵甚至网络的瘫痪。
所以我们选择层次化的网络设计。
多层设计师模块化的，网络容量可随着日后网络节点的增加而不断增大。
多层次网络有很大的确定性，因此在运行和扩展过程中进行故障查找和排出非常简单。
多层模式使网络的移植更为简单易行，因为它保留看基于路由器和交换机的网络原有的寻址方案，对以往的网络有很好的兼容性。
另外分层结构也能够对网络的故障进行很好的隔离。
针对实际情况我们采用三层结构模型，即核心层、分布层、接入层。
每个层次有不同的功能。
核心层作为整个网络系统的核心，起主要功能是高速、可靠的进行数据交换。
分布层主要进行接入层的数据流量汇聚，并对数据流量进行访问控制。
接入层主要提供最终用户接入网络的途径。
主要进行VLAN的换分、与分布层的连接等。
2.2.1核心层设计
核心层作为整个网络系统的核心，其主要功能是高速、可靠的进行数据交换。
核心交换区的作用是尽快地提供所有的区域间的数据交换。
所以推荐使用两台CiscoCatalyst4506E交换机完成此项功能。
Cisco4506交换机高性能、高可靠性、高可用性是我们主要考虑的因素。
本区的安全性可以由边界防火墙提供，如果有需要，还可以在4506上面部署安全策略，使得核心交换区的安全性进一步地增强。
CiscoCatalyst4500系列凭借众多智能服务将控制扩展到网络边缘，其中包括先进的服务质量（QoS）、可预测性能、高级安全性和全面的管理。
它提供带集成永续性的出色控制，将永续性集成到硬件和软件中，缩短了网络停运时间。
CiscoCatalyst4500系列的模块化架构、介质灵活性和可扩展性减少了重复运营开支，提高了投资回报（ROI），从而在延长部署寿命的同时降低了拥有成本。
方案中Catalyst4506交换机配置了一块WS-X4515引擎（SupervisorIV）,Catalyst4500SupervisorIV引擎用于CiscoCatalyst4506交换机机箱，是一款64Gbps、4800万分组/秒（48mpps）的第二到四层交换引擎，直接在管理引擎面板上配备了2个线速GBIC端口。
当部署了Catalyst4500系列SupervisorIV时，这些附加端口可将Catalyst4506的最大密度扩展到240个端口。
添加了这款新管理引擎后，Catalyst4506可为中型企业提供价格合理、易于使用的可扩展性、创新安全性、集成可靠性和灵活性。
2.2.2汇聚层设计
汇聚层主要进行接入层的数据流量汇聚，并对数据流量进行访问控制。
包括访问控制列表、VLAN路由等等。
推荐采用两台CiscoWS-C3750G-12S-E作为汇聚交换机。
两台CiscoWS-C3750G-12S-E做双机热备，采用Cisco专有热备份协议技术（HSRP），根据需求配置成多组HSRP。
这样设计部但不但保证网络的高可用性和稳定性，还能避免单台核心设备的负载太重导致网络性能问题。
CiscoCatalyst3750系列交换机是一个创新的产品系列，它结合业界领先的易用性和最高的冗余性，里程碑地提升了堆叠式交换机在局域网中的工作效率。
这个新的产品系列采用了最新的思StackWise技术，不但实现高达32Gbps的堆叠互联，还从物理上到逻辑上使若干独立交换机在堆叠时集成在一起，便于用户建立一个统一、高度灵活的交换系统--就好像是一整台交换机一样。
这代表了堆叠式交换机新的工业技术水平和标准。
对于中型企业网络来说，CiscoCatalyst3750系列通过提供配置灵活性、支持融合网络模式及自动进行智能网络服务配置，简化了融合应用的部署，并可针对不断变化的业务需求进行调整。
此外，CiscoCatalyst3750系列针对高密度千兆位以太网部署进行了优化，包括多种交换机，以满足接入、汇聚或小型网络骨干连接需求。
CiscoCatalyst3750G-12S提供12个千兆位以太网SFP端口用于连接数据中心和办公楼的接入层交换机和中心核心机房的Catalyst4506交换机。
GEC或FEC（GigabitEthernetChannel/FastEthernetChannel）称为Cisco交换机带宽聚合技术，它用于千兆或百兆以太网端口。
在两台Cisco交换机互连时，利用GEC/FEC技术，可以将2条或多条物理链路捆绑成为一条更高带宽的逻辑链路，在本方案中，CiscoWS-C3750G-12S-E之间用两条千兆光纤相连，利用GEC技术，我们可以得到一条全双工4G带宽的链路。
这样不仅可以提高交换机之间的互连带宽，更重要的是能够在多条物理链路间提供容错，使得任意一条线路断掉不影响交换机之间的畅通。
Etherchannel基本配置命令：
Switch（config）#interfacePort-channel1
Switch（config）#switchporttrunkencapsulationdot1q
Switch（config）#switchportmodetrunk
Switch（config）#interfacerange[interface-number]
Switch（config-if-range）#channel-group[group-id]modeon
Switch（config-if-range）#exit
HSRP基本配置命令：
Switch（config）#interfacevlan[vlan-number]
Switch（config-if）#ipaddress[ip-address][]
Switch（config-if）#standby[vlan-id]ip[ip-address]
Switch（config-if）#standby10priority105
Switch（config-if）#standby10preempt
Switch（config-if）#standby10track[interface-id]
Switch（config-if）#exit
2.2.3接入层设计
接入层主要提供最终用户接入网络的途径。
主要是进行VLAN的划分、与分布层的连接等等。
建议接入层交换机采用思科的2960系列智能以太网交换机以千兆以太链路和汇聚交换机相连接，并为用户终端提供10/100M自适应的接入，从而形成千兆为骨干，百兆到桌面的以太网三层结构。
办公系统所需的各种服务器如FTP服务器、邮件服务器、DHCP服务器等组成服务器群，连接到汇聚交换机的千兆模块上面,因此，内部的局域网采用三层结构组建。
CiscoCatalyst2960系列智能以太网交换机是一个全新的、固定配置的独立设备系列，提供桌面快速以太网和千兆以太网连接，可为入门级企业、中型市场和分支机构网络提供增强LAN服务。
Catalyst2960系列具有集成安全特性，包括网络准入控制（NAC）、高级服务质量（QoS）和永续性，可为网络边缘提供智能服务。
凭借CiscoCatalyst2960系列提供的广泛安全特性，企业可保护重要信息，防止未授权人员接入网络，确保私密性及维持不间断运行。
网络总体拓扑如图2.1所示：
图2.1整体网络拓扑图
2.2.4路由协议选择
为达到路由快速收敛、寻址以及方便网络管理员管理的目的，我们采用动态路由协议，目前较好的动态路由协议是OSPF协议和EIGRP协议，OSPF以协议标准化强，支持厂家多，受到广泛应用，而EIGRP协议由Cisco公司发明，只有Cisco公司自己的产品支持，属于私有性质，其他厂商设备是不支持的。
考虑网络的扩展性、数据资源的保护等原因，我们选择OSPF路由协议。
OSPF协议采用链路状态协议算法，每个路由器维护一个相同的链路状态数据库，保存整个AS的拓扑结构（AS不划分情况下）。
一旦每个路由器有了完整的链路状态数据库，该路由器就可以自己为根，构造最短路径树，然后再根据最短路径构造路由表。
对于大型的网络，为了进一步减少路由协议通信流量，利于管理和计算。
OSPF将整个AS划分为若干个区域，区域内的路由器维护一个相同的链路状态数据库，保存该区域的拓扑结构。
OSPF路由器相互间交换信息，但交换的信息不是路由，而是链路状态。
OSPF定义了5种分组：
Hello分组用于建立和维护连接；数据库描述分组初始化路由器的网络拓扑数据库；当发现数据库中的某部分信息已经过时后，路由器发送链路状态请求分组，请求邻站提供更新信息；路由器使用链路状态更新分组来主动扩散自己的链路状态数据库或对链路状态请求分组进行响应；由于OSPF直接运行在IP层，协议本身要提供确认机制，链路状态应答分组是对链路状态更新分组进行确认。
相对于其它协议，OSPF有许多优点。
OSPF支持各种不同鉴别机制（如简单口令验证，MD5加密验证等），并且允许各个系统或区域采用互不相同的鉴别机制；提供负载均衡功能，如果计算出到某个目的站有若干条费用相同的路由，OSPF路由器会把通信流量均匀地分配给这几条路由，沿这几条路由把该分组发送出去；在一个自治系统内可划分出若干个区域，每个区域根据自己的拓扑结构计算最短路径，这减少了OSPF路由实现的工作量；OSPF属动态的自适应协议，对于网络的拓扑结构变化可以迅速地做出反应，进行相应调整，提供短的收敛期，使路由表尽快稳定化，并且与其它路由协议相比，OSPF在对网络拓扑变化的处理过程中仅需要最少的通信流量；OSPF提供点到多点接口，支持CIDR（无类型域间路由）地址。
公司现有网络规划为area0，内部网络设备都规划为area0。
后期若有分支机构各区域接入路由器根据区域不同使用动态协议，或者使用静态路由与动态路由结合的方式。
2.3VLAN的划分及IP地址规划
VLAN的划分一般有三种方法，一是基于端口、二是基于MAC地址、最后是基于路由的划分。
在这里我们采用基于端口的划分，把一个或者多个交换机上的端口放到一个VLAN内，这个方法是最简单最有效的，网络管理人员只需要对网络设备的交换端口进行分配即可，不用考虑端口所连接的设备。
IP地址是TCP/IP协议族中的网络层逻辑地址，它被用来唯一地标示网络中的一个节点。
IP地址空间的分配，要与网络层次结构相适应，既要有效的利用地址空间，又要体现网络的可扩展性和灵活性，同时能满足路由协议的要求，提高路由算法的效率，加快路由变化的收敛速度。
表2.1ip地址分配表
根据公司情况，每个部门划分为一个VLAN，各部门分别属于不同的网段，各部门之间在逻辑上被隔离，但是各部门间的通讯，可根据需要对汇聚层交换机进行配置来实现。
VLAN及IP地址分配情况如下表所示：
部门
VLAN
网段
网关
子网掩码
资产管理部
5
192.168.11.0/32
192.168.11.255
255.255.255.0
营业厅
4
192.168.12.0/32
192.168.12.255
255.255.255.0
财务部
3
192.168.13.0/32
192.168.13.255
255.255.255.0
经理室
2
192.168.14.0/32
192.168.14.255
255.255.255.0
人力资源部
6
192.168.15.0/32
192.168.15.255
255.255.255.0
后勤部
7
192.168.16.0/32
192.168.16.255
255.255.255.0
服务器群组
6
192.168.10.0/32
255.255.255.0
ip地址配置命令：
Switch（config）#[interface]/*打开端口*/
Switch（config-if）#noswitchport
Switch（config-if）#ipaddress[ip-add][subnet-mask]/*配置ip地址*/
Switch（config-if）#noshutdown/*关闭端口*/
默认网关命令:
Ipdefault-gateway[ip-add]
2.4服务器群组
2.4.1FTP服务
FTP的全称是FileTransferProtocol（文件传输协议）。
顾名思义，就是专门用
升级会员 