企業(yè)局域網(wǎng)規(guī)劃方案

深圳職業(yè)技術(shù)學(xué)院多層交換作業(yè)班級：計算機(jī)網(wǎng)絡(luò)技術(shù)132班姓名:冸欣欣目錄摘要………………..3需求分析與設(shè)計原則………………4設(shè)計方案。。.。..。.。。.....。。。.。....。..。.。。.....。.。.。.。。。。。。...。。。。.....。..。。.。...。.。。。。.。...。。。5VLAN劃分和IP地址規(guī)劃………10設(shè)備選型和報價…………………..11接入層配置。..。...。.。...。...。...。。...。。..。..。...。..。。。。。。。。...。。。。.......。。..。.....。。....13分布層配置。。..。。。。..。。.。。.。....。。..。。。。.。。。..。。。....。。..。。。。.。。.。。..。。。。.。。。.。.。。。。。.。.。14核心層配置。。..。.。.。..。......。。...。。。...。。。。.....。。..。。。。..。.。.。..。...。..。.........。。。。。.16出口路由配置。...。.。......。..。.。。。.。。。.。.。.。。。。。。....。。。.。....。...。...。。。。。.....。......17

摘要本設(shè)計方案是關(guān)于小型企業(yè)局域網(wǎng)的設(shè)計，設(shè)計方案分為三個模塊:交換模塊、Internet接入模塊、遠(yuǎn)程訪問模塊.根據(jù)各部門職能不同把交換模塊劃分為不同的VLAN，從而減少了廣播沖突提高了傳輸效率，通過部署ACL限制用戶的訪問，有效地保護(hù)敏感數(shù)據(jù),提高了網(wǎng)絡(luò)安全性.借助三層交換機(jī)的路由功能,可以實現(xiàn)各VLAN間數(shù)據(jù)包高速轉(zhuǎn)發(fā)，解決VLAN之間的傳輸瓶頸。Internet接入模塊功能主要通過路由器來實現(xiàn)，它的作用主要是建立外網(wǎng)和企業(yè)網(wǎng)的正常通信.使企業(yè)網(wǎng)的用戶訪問Internet同時Internet用戶能在一定程度上訪問企業(yè)網(wǎng)。通過配置NAT（NetAddressTranslation)，不僅是企業(yè)網(wǎng)用戶可以訪問Internet，而且對外隱藏企業(yè)網(wǎng)內(nèi)部地址，從而實現(xiàn)地址保護(hù).遠(yuǎn)程訪問模塊是針對移動用戶設(shè)計的.通過VPN（VirtualPrivateNetwork)技術(shù)可以在公共網(wǎng)絡(luò)的兩個端點間建立一條邏輯連接,使在外辦公人員可以通過Internet訪問公司內(nèi)部網(wǎng)，極大地提高了辦公效率，同時免去了高昂的專線租用費用。關(guān)鍵字：企業(yè)局域網(wǎng)、虛擬局域網(wǎng)、網(wǎng)絡(luò)地址轉(zhuǎn)換需求分析與設(shè)計原則概述在這信息爆炸的時代，計算機(jī)扮演著越來越重要的角色，面對龐大的計算機(jī)群，網(wǎng)絡(luò)的規(guī)劃、管理、安全成為首要任務(wù)。通過本次設(shè)計與研究,將局域網(wǎng)技術(shù)應(yīng)用于企業(yè),使得企業(yè)辦公自動化，信息網(wǎng)絡(luò)化，資源共享，向網(wǎng)絡(luò)化經(jīng)濟(jì)邁進(jìn).搭建完整的企業(yè)網(wǎng)絡(luò)，能夠提升員工的辦公效率，能快速的共享資源，能便于管理，網(wǎng)絡(luò)更能為企業(yè)帶來全新的商機(jī).需求分析當(dāng)前局域網(wǎng)的流量特點：主要是訪問各種服務(wù)器（部門或者企業(yè)服務(wù)器），部門之間主機(jī)通信不多。保證可用，100M到桌面，1000M到服務(wù)器。三層結(jié)構(gòu),核心選用較高端設(shè)備,有較大的擴(kuò)充性。接入和分布層以夠用為原則，留有少量的擴(kuò)充余地.主干實現(xiàn)冗余，訪問層不考慮冗余.設(shè)計目標(biāo)為公司設(shè)計合理的局域網(wǎng)規(guī)劃方案，建設(shè)以下目標(biāo)：網(wǎng)絡(luò)總體建設(shè)成為信息一體化、管理集中化、業(yè)務(wù)多樣化的公司局域安全網(wǎng)絡(luò).網(wǎng)絡(luò)結(jié)構(gòu)清晰，網(wǎng)絡(luò)層次合理，便于擴(kuò)展和維護(hù).網(wǎng)絡(luò)的接入滿足公司的辦公需求。網(wǎng)絡(luò)設(shè)備具備高性能、高可靠性、高穩(wěn)定性、高安全性.設(shè)施的配置選擇要高性價比，性能參數(shù)、技術(shù)領(lǐng)先，售后保障強(qiáng)。設(shè)計原則(1)、可管理性具有分級、分權(quán)管理能力的網(wǎng)管系統(tǒng),實現(xiàn)統(tǒng)一的網(wǎng)絡(luò)業(yè)務(wù)調(diào)度和管理,降低網(wǎng)絡(luò)運(yùn)營成本。同時由于使用者數(shù)量巨大，網(wǎng)上開展的業(yè)務(wù)眾多，因此需要能夠提供用戶的高效管理，以確保公司的利益不受損失.（2）、可擴(kuò)展性隨著公司的發(fā)展,局域網(wǎng)絡(luò)的接入會有所變動。因此，網(wǎng)絡(luò)應(yīng)考慮其擴(kuò)展的靈活性,增加冗余接口,方便用戶的接入與退出。（3）、開放性技術(shù)選擇必須符合相關(guān)國際標(biāo)準(zhǔn)及國內(nèi)標(biāo)準(zhǔn),避免個別廠家的私有標(biāo)準(zhǔn)或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開放性和互連互通，滿足信息準(zhǔn)確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護(hù)和管理手段，實現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。（4)、安全可靠性設(shè)計應(yīng)充分考慮整個網(wǎng)絡(luò)的穩(wěn)定性，支持網(wǎng)絡(luò)節(jié)點的備份和線路保護(hù),提供網(wǎng)絡(luò)安全防范措施。定時定期對網(wǎng)絡(luò)檢查，預(yù)防和提前發(fā)現(xiàn)隱患，及時解決.（5）、先進(jìn)性.企業(yè)網(wǎng)絡(luò)應(yīng)能代表目前較為先進(jìn)的網(wǎng)絡(luò)技術(shù)，提供能夠跟蹤主流、前沿網(wǎng)絡(luò)技術(shù)的綜合網(wǎng)絡(luò)環(huán)境，應(yīng)與社會發(fā)展相適應(yīng).所選網(wǎng)絡(luò)設(shè)備要求支持協(xié)議類型豐富、配置靈活、可擴(kuò)展性強(qiáng)、支持千兆交換、滿足IPv6等網(wǎng)絡(luò)技術(shù)研究的需求。設(shè)計方案網(wǎng)絡(luò)拓?fù)湓O(shè)計網(wǎng)絡(luò)搭建采用模塊化設(shè)計思想，網(wǎng)絡(luò)使用“核心層——匯聚層-—接入層"三層結(jié)構(gòu)。三層網(wǎng)絡(luò)架構(gòu)采用層次化模型設(shè)計,即將復(fù)雜的網(wǎng)絡(luò)設(shè)計分成幾個層次,每個層次著重于某些特定的功能，這樣就能夠使一個復(fù)雜的大問題變成許多簡單的小問題。三層網(wǎng)絡(luò)/view/1224549。htm”匯聚層(提供基于策略的連接）、接入層（將工作站接入網(wǎng)絡(luò)）。核心層:核心層是網(wǎng)絡(luò)的高速交換主干，對整個網(wǎng)絡(luò)的連通起到至關(guān)重要的作用。核心層應(yīng)該具有如下幾個特性:可靠性、高效性、HYPERLINK”http：///view/104445。htm"冗余性、HYPERLINK”http：///view/2700299。htm"容錯性、可管理性、適應(yīng)性、低延時性等.在核心層中，應(yīng)該采用高帶寬的千兆以上HYPERLINK”/view/1077.htm”交換機(jī)。因為核心層是網(wǎng)絡(luò)的樞紐中心,重要性突出.核心層設(shè)備采用冗余備份是非常必要的,也可以使用工作站接入核心層前先做匯聚,以減輕核心層設(shè)備的負(fù)荷。HYPERLINK”http：///view/1224549.htm”匯聚層具有實施策略、安全、工作組接入、HYPERLINK”http：///view/21837。htm”虛擬局域網(wǎng)（VLAN）之間的HYPERLINK”/view/18655.htm"路由、源地址或目的地址過濾等多種功能。在/view/802。htm”三層交換技術(shù)和VLAN的接入層中，減少同一網(wǎng)段的帶寬。交換機(jī)。關(guān)鍵技術(shù)NAT技術(shù)NAT技術(shù)主要實現(xiàn)內(nèi)部網(wǎng)絡(luò)地址轉(zhuǎn)換,靜態(tài)NAT是把內(nèi)部網(wǎng)絡(luò)中的每個主機(jī)地址永久映射成外部網(wǎng)絡(luò)中的某個合法地址，這樣方便外網(wǎng)用戶訪問企業(yè)Web網(wǎng);動態(tài)地址NAT是采用把外部網(wǎng)絡(luò)中的一系列合法地址使用動態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò)；端口多路復(fù)用地址轉(zhuǎn)換（PAT)是把內(nèi)部地址映射到外部網(wǎng)絡(luò)的一個IP地址的不同端口上，把企業(yè)內(nèi)部網(wǎng)IP轉(zhuǎn)換為公網(wǎng)IP地址，使內(nèi)部用戶可以方便的訪問Internet。目前,NAT技術(shù)主要用于連接和安全方面。目前企業(yè)內(nèi)部網(wǎng)絡(luò)用戶數(shù)量大，而能申請的合法的全球唯一IP地址有限.NAT能夠有效的解決企業(yè)IP地址短缺問題,利用NAT技術(shù)能夠?qū)崿F(xiàn)多個用戶共同使用一個合法的IP地址連接互聯(lián)網(wǎng)。而另一種需要出于安全方面來考慮,在一定程度上防范網(wǎng)絡(luò)攻擊的發(fā)生.企業(yè)期望隱藏LAN內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)，NAT可以將內(nèi)部LAN與外部Internet隔離，使外部網(wǎng)絡(luò)用戶無法了解通過NAT設(shè)置的內(nèi)部IP地址.NAT技術(shù)在企業(yè)中都采取兩種技術(shù)類型結(jié)合應(yīng)用，比較好的還是和端口復(fù)用地址轉(zhuǎn)換。結(jié)合起來的技術(shù)如：端口復(fù)用地址轉(zhuǎn)換、TCP/UDP端口NAT映射、靜態(tài)地址轉(zhuǎn)換+端口復(fù)用地址轉(zhuǎn)換、動態(tài)地址轉(zhuǎn)換+端口復(fù)用地址轉(zhuǎn)換。我們知道，不同應(yīng)用程序使用TCP/UDP端口是不同的,例如,WEB服務(wù)器使用80、FTP服務(wù)使用21、SMTP服務(wù)使用25、POP3服務(wù)使用110等。由于每種應(yīng)用服務(wù)器都有自己默認(rèn)的端口，所以這種NAT方式下，網(wǎng)絡(luò)內(nèi)部每種應(yīng)用服務(wù)器成為Internet中的主機(jī),例如，只能有一臺WEB服務(wù)器、一臺E-mail服務(wù)、一臺FTP服務(wù)器.盡管可以采用改變默認(rèn)端口的方式創(chuàng)建多臺應(yīng)用服務(wù)器,但這種服務(wù)器在訪問時比較困難,要求用戶必須先了解某種服務(wù)采用的新TCP端口。因此，可以將不同的TCP端口綁定至不同的內(nèi)部IP地址，從而只使用一個IP地址，即可在允許內(nèi)部所有服務(wù)器被Internet訪問的同時，實現(xiàn)內(nèi)部所有主機(jī)對Internet的訪問.VLAN技術(shù)根據(jù)各部門職能不同把各部門劃入不同的VLAN減少了廣播，提高了通信效率.VLAN（VirtualLocalAreaNetwork）就是虛擬局域網(wǎng)的意思。VLAN可以不考慮用戶的物理位置，而根據(jù)功能、應(yīng)用等因素將用戶從邏輯上劃分為一個個功能相對獨立的工作組,每個用戶主機(jī)都連接在一個支持VLAN的交換機(jī)端口上并屬于一個VLAN。同一個VLAN中的成員都共享廣播,形成一個廣播域，而不同VLAN之間廣播信息是相互隔離的。這樣，將整個網(wǎng)絡(luò)分割成多個不同的廣播域（VLAN)。一般來說，如果一個VLAN里面的工作站發(fā)送一個廣播,那么這個VLAN里面所有的工作站都接收到這個廣播，但是交換機(jī)不會將廣播發(fā)送至其他VLAN上的任何一個端口.如果要將廣播發(fā)送到其它的VLAN端口,就要用到三層交換機(jī)。三層交換技術(shù)三層交換（也稱多層交換技術(shù)，或IP交換技術(shù)）是相對于傳統(tǒng)交換概念而提出的。眾所周知，傳統(tǒng)的交換技術(shù)是在OSI網(wǎng)絡(luò)標(biāo)準(zhǔn)模型中的第二層—-數(shù)據(jù)鏈路層進(jìn)行操作的，而三層交換技術(shù)是在網(wǎng)絡(luò)模型中的第三層實現(xiàn)了數(shù)據(jù)包的高速轉(zhuǎn)發(fā)。簡單地說,三層交換技術(shù)就是:二層交換技術(shù)＋三層轉(zhuǎn)發(fā)技術(shù)。

三層交換技術(shù)的出現(xiàn)，解決了局域網(wǎng)中網(wǎng)段劃分之后，網(wǎng)段中子網(wǎng)必須依賴路由器進(jìn)行管理的局面，解決了傳統(tǒng)路由器低速、復(fù)雜所造成的網(wǎng)絡(luò)傳輸瓶頸問題。ACL技術(shù)控制訪問列表（AccessControlList,ACL):ACL可以限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能。例如，ACL可以根據(jù)數(shù)據(jù)包的協(xié)議，指定數(shù)據(jù)包的優(yōu)先級。ACL提供對通信流量的控制手段.例如,ACL可以限定或簡化路由更新信息的長度，從而限制通過路由器某一網(wǎng)段的通信流量.ACL是提供網(wǎng)絡(luò)安全訪問的基本手段。ACL允許主機(jī)A訪問人力資源網(wǎng)絡(luò)，而拒絕主機(jī)B訪問。ACL可以在路由器端口處決定哪種類型的通信流量被轉(zhuǎn)發(fā)或被阻塞。例如，用戶可以允許E—mail通信流量被路由，拒絕所有的Telnet通信流量。例如：某部門要求只能使用WWW這個功能,就可以通過ACL實現(xiàn)；又例如,為了某部門的保密性，不允許其訪問外網(wǎng)，也不允許外網(wǎng)訪問它，就可以通過ACL實現(xiàn).路由協(xié)議路由器提供了將異構(gòu)網(wǎng)絡(luò)互連起來的機(jī)制，實現(xiàn)將一個數(shù)據(jù)包從一個網(wǎng)絡(luò)發(fā)送到另一個網(wǎng)絡(luò)。路由就是指導(dǎo)IP數(shù)據(jù)包發(fā)送的路徑信息。在互聯(lián)網(wǎng)中進(jìn)行路由選擇要使用路由器,路由器只是根據(jù)所收到的數(shù)據(jù)報頭的目的地址選擇一個合適的路徑,將數(shù)據(jù)包傳送到下一個路由器，路徑上最后的路由器負(fù)責(zé)將數(shù)據(jù)包送交目的主機(jī).數(shù)據(jù)包在網(wǎng)絡(luò)上的傳輸就好像是體育運(yùn)動中的接力賽一樣，每一個路由器只負(fù)責(zé)將數(shù)據(jù)包在本站通過最優(yōu)的路徑轉(zhuǎn)發(fā),通過多個路由器一站一站地接力將數(shù)據(jù)包通過最優(yōu)路徑轉(zhuǎn)發(fā)到目的地。PVST技術(shù)每VLANHYPERLINK”/view/1340945。htm"生成樹(PVST)為每個在網(wǎng)絡(luò)中配置的VLAN維護(hù)一個生成樹實例.它使用ISL中繼和允許一個VLAN中繼當(dāng)被其它VLANs的阻塞時將一些VLANs轉(zhuǎn)發(fā).盡管PVST對待每個VLAN作為一個單獨的網(wǎng)絡(luò)，它有能力（在第2層）通過一些在主干和其它在另一個主干中的不引起生成樹循環(huán)的Vlans中的一些VLANs來\t”_blank”負(fù)載平衡通信.EtherChannel：HYPERLINK”http：///view/1077。htm"\t”_blank"交換機(jī)S1，S2之間有兩條鏈路相連，如果捆綁在一起,成為一個邏輯聚合鏈路(帶寬，并提供_blank”冗余容錯的能力。上連鏈路采用該技術(shù),保證了帶寬，也保證冗余、負(fù)載平衡。VLAN劃分和IP地址規(guī)劃IP地址是用戶在網(wǎng)絡(luò)中的主機(jī)標(biāo)識.在局域網(wǎng)中，常用私有地址來分配給內(nèi)部網(wǎng)絡(luò)中的主機(jī)使用,私有地址不僅成本低廉,也解決IPv4不足的問題。對外部網(wǎng)絡(luò)的訪問則租用少量的公網(wǎng)地址，通過NAT技術(shù)來實現(xiàn)因特網(wǎng)的連接。本次設(shè)計的VLAN劃分采用基于端口的方式，這種劃分方式方便快速，靈活性高。表現(xiàn)為將各部門接入的接口集中，統(tǒng)一劃分在一個VLAN分段里，具體劃分如下表：部門VLANIp地址子網(wǎng)掩碼客服部Vlan110。1。1.1——10.1。1。254255.255.255。0銷售部Vlan210.1。2.1—-10。1.2..254255。255.255.0人事部Vlan310.2.3。1——10。2。3.254255。255.255。0財務(wù)部Vlan410.2.4。1—-10.2。4.254255.255。255.0培訓(xùn)部Vlan510.3。5。1——10。3.5。254255.255。255。0經(jīng)理辦公室Vlan610。3。6.1—-10.3。6。254255。255.255。0………………服務(wù)器Vlan1010.4.10。1-—10.4。10。254255。255.255.0設(shè)備選型和報價交換機(jī)類型：思科（Cisco）WS—C2960+24TC-S24口百兆二層交換機(jī)總價￥2339。00*96=224544端口參數(shù)端口結(jié)構(gòu)HYPERLINK”http：///switches/p11716/"非模塊化端口數(shù)量26個端口描述24個以太網(wǎng)10/100Mbps端口,2個兩用上行端口傳輸模式/switches/p11711/"三層傳輸速率http：///switches/p11716/"非模塊化端口數(shù)量24個端口描述24個10/100/1000以太網(wǎng)端口功能特性網(wǎng)絡(luò)標(biāo)準(zhǔn)IEEE802.1s，IEEE802.1w,IEEE802.1x，IEEE802.1x-Rev,IEEE802。3ad，IEEE802.1ae，IEEE802.3af,IEEE802。3at,IEEE802。3x,IEEE802.1D，IEEE802.1p，IEEE802.1Q，IEEE802.3堆疊功能HYPERLINK”/switches/p1276/”不可堆疊VLANVLAN總數(shù)1005

VLANID數(shù)4K其它參數(shù)電源電壓AC115—240V,50—60Hz，12-6A電源功率350W產(chǎn)品尺寸44.5×445×460mm產(chǎn)品重量7kg平均無故障時間208，218小時環(huán)境標(biāo)準(zhǔn)相對濕度：5％—95%,無冷凝

存儲環(huán)境：—40-70℃思科(Cisco）WS—C6509-E=四層核心交換機(jī)總價￥55938。00*2111876CISCOWS-C6509—E詳細(xì)參數(shù)主要參數(shù)產(chǎn)品類型HYPERLINK”/switches/s6078/"企業(yè)級交換機(jī)應(yīng)用層級四層傳輸速率/link?url=oo04gnL0IEQjKW3lNZFA4cAENqwfvGD7JWekTsLmDgN6CBCd-3QBJJ4ikNz7c1UIGKCaPywQ2FW—oXT-jxkiHYkhvEow0f9kPo13vm4XY77”\t”https：///_blank"clientBuilding1-Dist1（config)＃vtpdomainSZPTBuilding1—Dist1(config）＃vtpmode/_blank"clientBuilding1-Dist1(config）#vtppasswordCISCO分布層交換機(jī)配置(1)分布層--核心層：iprouting啟用路由功能interfaceFastEthernet0/23noswitchport關(guān)閉交換ipaddress255.255。255。0ipospfmessage—digest-key1md5cisco配置認(rèn)證（2)分布層配置為VTPseverBuilding1-Dist1(config)＃vtpdomainSZPTBuilding1-Dist1(config)#vtpmodeserverBuilding1—Dist1（config）＃vtppasswordCISCOBuilding1—Dist1(config）#vtppruning配置VTP修建（3)創(chuàng)建VLAN:分布層配置DHCP：ipdhcppoolVLAN-1network10。1。1.0255.255.255。0default-router10.1。1.254dns-server10。200。200.1ipdhcppoolVLAN-2network255。255。255.0default—router54dns-server10.200。200.1(4)配置PVSTspanning-treemoderapid—pvstspanning-treevlan1—5priority4096spanning—treevlan6-10priority8192(5）配置以太網(wǎng)通道：Building1—Dist1(config）＃interfacerangegig0/1-2Building1—Dist1（config—if—range)#switchportBuilding1-Dist1（config—if—range)＃noshutdownBuilding1—Dist1(config—if—range)＃switchporttrunkencapsulationdot1qBuilding1-Dist1(config—if—range)＃switchportmodetrunkBuilding1-Dist1(config—if—range)＃channel—group1modeonBuilding1-Dist1（config-if—range）＃exitBuilding1-Dist1(config)＃intport—channel1Building1—Dist1（config—if）＃noshutdownBuilding1—Dist1(config)＃interfacerangegig0/1—2Building1—Dist1(config-if—range）＃noshutdown(6）配置VLAN間通信的VLAN網(wǎng)關(guān)：interfaceVlan1ipaddress52255.255。255。0ipospfmessage—digest—key1md5cisco（7)配置(HSRP)冗余網(wǎng)關(guān)和端口跟蹤：standbyversion2standby1ip10。1.1.254standby1priority110standby1preemptstandby1trackFastEthernet0/23standby1trackFastEthernet0/24(8）配置路由協(xié)議:routerospf1router—id100.100.100。98area0authenticationmessage-digestpassive—interfaceVlan1passive-interfaceVlan2network10.0。0.00。255。255。255area0（9）配置BPDUGuardBuilding1—Dist1(config)#sinterfacef0/1Building1—Dist1（config—if)＃noshutdownBuilding1-Dist1(config—if)#switchportmodeaccessBuilding1—Dist1（config—if）＃sspanning-treeportfastBuilding1—Dist1config—if)#spanning-treebpduguardenable核心層換機(jī)配置：（1）配置認(rèn)證和關(guān)閉交換功能interfaceFastEthernet0/1noswitchport關(guān)閉了交換功能純路由ipaddress10.200。13。1255。255.255。0ipospfmessage—digest-key1md5ciscoduplexautospeedauto啟動路由功能和生成樹協(xié)議iproutingspanning-treemodepvst配置路由協(xié)議routerospf1router-id100。100.100。100log—adjacency-changesarea0authenticationmessage—digestnetwork10。0。0.00。255.255。255area0(4)配置以太網(wǎng)通道：Core1(config)＃interfacerangegig0/1-2Core1(config-if-range)＃switchportCore1（config—if-range)＃noshutdownCore1（config-if-range）#switchporttrunkencapsulationdot1qCore1(config-if-range)＃switchportmodetrunkCore1(config-if—range）#channel-group1modeonCore1（config—if—range）＃exitCore1(config)#intport-channel1Core1（config-if）＃noshutdownCore1(co