單核心校園網(wǎng)網(wǎng)絡(luò)模型規(guī)劃與設(shè)計規(guī)范

1、1,單核心校園網(wǎng)網(wǎng)絡(luò)模型規(guī)劃與設(shè)計規(guī)范,技術(shù)培訓(xùn)中心,2,學(xué)習(xí)目標,掌握單核心校園網(wǎng)網(wǎng)絡(luò)模型的結(jié)構(gòu)特點 掌握單核心校園網(wǎng)網(wǎng)絡(luò)模型規(guī)劃與設(shè)計規(guī)范,3,課程內(nèi)容,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu) 第二章 基本配置規(guī)范 第三章 IP地址及VLAN規(guī)劃 第四章 路由協(xié)議規(guī)劃 第五章 出口策略設(shè)計 第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,3,4,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu),5,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu),6,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu),什么樣的校園網(wǎng)會采用單核心網(wǎng)絡(luò)結(jié)構(gòu)呢? 規(guī)模小 信息點少 對于網(wǎng)絡(luò)冗余備份要求不高,中小學(xué)網(wǎng)絡(luò)最為常見,7,課程內(nèi)容,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu) 第二章 基本配置規(guī)范 第

2、三章 IP地址及VLAN規(guī)劃 第四章 路由協(xié)議規(guī)劃 第五章 出口策略設(shè)計 第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,7,8,第二章 基本配置規(guī)范,基本配置： 主機命名 如果客戶有規(guī)范或明確合理要求，則按照客戶的規(guī)范或要求進行配置。如金融行業(yè)規(guī)范。 如果客戶沒有規(guī)范或明確合理要求，可參考設(shè)備位置、網(wǎng)絡(luò)位置、設(shè)備型號、設(shè)備編號等因素，在項目中制定統(tǒng)一的命名規(guī)范，如下所示：,9,第二章 基本配置規(guī)范,基本配置包括： 主機命名 設(shè)備互聯(lián)接口描述 項目中所有涉及到可網(wǎng)管設(shè)備互聯(lián)的端口必須配置端口描述,10,第二章 基本配置規(guī)范,基本配置包括： 主機命名 設(shè)備互聯(lián)接口描述 登陸密碼配置 項目中所有可網(wǎng)管設(shè)備必須配置特權(quán)密

3、碼及遠程登陸密碼,11,第二章 基本配置規(guī)范,基本配置包括： 主機命名 設(shè)備互聯(lián)接口描述 登陸密碼配置 系統(tǒng)時間配置 項目中所有可網(wǎng)管設(shè)備必須重新設(shè)置正確的系統(tǒng)時間 手工設(shè)置 設(shè)置時間服務(wù)器,12,第二章 基本配置規(guī)范,基本配置包括： 主機命名 設(shè)備互聯(lián)接口描述 登陸密碼配置 系統(tǒng)時間配置 二層交換機管理IP配置 項目中可網(wǎng)管二交換機必須配置管理IP地址，供管理員遠程管理設(shè)備所用,13,第二章 基本配置規(guī)范,基本配置包括： 主機命名 設(shè)備互聯(lián)接口描述 登陸密碼配置 系統(tǒng)時間配置 二層交換機管理IP配置,提升網(wǎng)絡(luò)的可管理程度,14,課程內(nèi)容,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu) 第二章 基本配置規(guī)范

4、第三章 IP地址及VLAN規(guī)劃 第四章 路由協(xié)議規(guī)劃 第五章 出口策略設(shè)計 第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,14,15,第三章 IP地址及VLAN規(guī)劃,校園網(wǎng)IP地址分類： 按照不同功能用途： 用戶IP地址 設(shè)備管理地址 二層設(shè)備與三層設(shè)備 三層設(shè)備互聯(lián)地址,校園網(wǎng)VLAN分類： 同IP地址相對應(yīng)： 用戶VLAN 設(shè)備管理VLAN 二層設(shè)備 三層設(shè)備互聯(lián)VLAN 可選,16,第三章 IP地址及VLAN規(guī)劃,單核心二層網(wǎng)絡(luò)結(jié)構(gòu)IP地址及VLAN劃分,17,第三章 IP地址及VLAN規(guī)劃,單核心二層網(wǎng)絡(luò)結(jié)構(gòu)IP地址及VLAN劃分,18,第三章 IP地址及VLAN規(guī)劃,單核心三層網(wǎng)絡(luò)結(jié)構(gòu)IP地址及VLAN

5、劃分,19,第三章 IP地址及VLAN規(guī)劃,單核心三層網(wǎng)絡(luò)結(jié)構(gòu)IP地址及VLAN劃分,20,第三章 IP地址及VLAN規(guī)劃,需要考慮的因素 用戶VLAN與設(shè)備管理VLAN分開(IP地址),匯聚/核心交換機,接入交換機,VLAN 100,10.1.100.0/24,用戶IP地址段,VLAN 100,interface vlan 100,ip address 10.1.100.254/24,網(wǎng)關(guān)IP地址,接入交換機管理IP地址,interface vlan 100,ip address 10.1.100.253/24,1.當(dāng)ARP欺騙發(fā)生時,會影響到網(wǎng)絡(luò)設(shè)備的管理,2.網(wǎng)絡(luò)設(shè)計混亂,給網(wǎng)絡(luò)運維帶來

6、一定風(fēng)險,21,第三章 IP地址及VLAN規(guī)劃,需要考慮的因素 用戶VLAN與設(shè)備管理VLAN分開(IP地址),匯聚/核心交換機,接入交換機,VLAN 100,10.1.100.0/24,用戶IP地址段,VLAN 100,interface vlan 100,ip address 10.1.100.254/24,網(wǎng)關(guān)IP地址,接入交換機管理IP地址,interface vlan 200,ip address 10.1.200.253/24,VLAN 200,接入交換機管理VLAN,VLAN 200,接入交換機管理網(wǎng)段網(wǎng)關(guān)IP,interface vlan 200,ip address 10.1

7、.200.254/24,22,第三章 IP地址及VLAN規(guī)劃,需要考慮的因素 用戶VLAN與設(shè)備管理VLAN分開(IP地址) 為網(wǎng)絡(luò)擴容進行可匯總的預(yù)留設(shè)計,VLAN 100,10.1.100.0/24,VLAN 101,10.1.101.0/24,VLAN 201,10.1.201.0/24,VLAN 200,10.1.200.0/24,沒有進行預(yù)留設(shè)計,造成IP地址的不連續(xù),不利于匯總,23,第三章 IP地址及VLAN規(guī)劃,需要考慮的因素 用戶VLAN與設(shè)備管理VLAN分開(IP地址) 為網(wǎng)絡(luò)擴容進行可匯總的預(yù)留設(shè)計,需要提前為新增的網(wǎng)絡(luò)進行IP地址及VLAN的設(shè)計,包括用戶IP地址、設(shè)備

8、管理地址以及設(shè)備互聯(lián)地址,VLAN 100,10.1.100.0/24,VLAN 110,10.1.110.0/24,VLAN 101,10.1.101.0/24,VLAN 120,10.1.120.0/24,24,第三章 IP地址及VLAN規(guī)劃,需要考慮的因素 用戶VLAN與設(shè)備管理VLAN分開(IP地址) 為網(wǎng)絡(luò)擴容進行可匯總的預(yù)留設(shè)計 IP地址與VLAN編號(其他相關(guān)因素)有一定的對照性,VLAN 100,10.1.100.0/24,用戶IP地址段,用戶VLAN,1,樓號,25,課程內(nèi)容,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu) 第二章 基本配置規(guī)范 第三章 IP地址及VLAN規(guī)劃 第四章 路由協(xié)

9、議規(guī)劃 第五章 出口策略設(shè)計 第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,25,26,第四章 路由協(xié)議規(guī)劃,單核心二層結(jié)構(gòu)網(wǎng)絡(luò)路由協(xié)議規(guī)劃,靜態(tài)默認路由,靜態(tài)回指匯總路由,27,第四章 路由協(xié)議規(guī)劃,單核心三層結(jié)構(gòu)網(wǎng)絡(luò)靜態(tài)路由協(xié)議規(guī)劃,靜態(tài)默認路由,靜態(tài)回指匯總路由(全網(wǎng)),靜態(tài)默認路由,靜態(tài)回指匯總路由(局部),28,第四章 路由協(xié)議規(guī)劃,單核心三層結(jié)構(gòu)網(wǎng)絡(luò)動態(tài)路由協(xié)議規(guī)劃一,靜態(tài)默認路由,靜態(tài)回指匯總路由(全網(wǎng)),Area 0,Area 10,Area 20,Area 30,29,第四章 路由協(xié)議規(guī)劃,單核心三層結(jié)構(gòu)網(wǎng)絡(luò)動態(tài)路由協(xié)議規(guī)劃一,30,第四章 路由協(xié)議規(guī)劃,單核心三層結(jié)構(gòu)網(wǎng)絡(luò)路由協(xié)議規(guī)劃二,靜態(tài)默

10、認路由,靜態(tài)回指匯總路由(全網(wǎng)),Area 0,Area 10,Area 20,Area 30,31,第四章 路由協(xié)議規(guī)劃,單核心三層結(jié)構(gòu)網(wǎng)絡(luò)路由協(xié)議規(guī)劃二,32,課程內(nèi)容,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu) 第二章 基本配置規(guī)范 第三章 IP地址及VLAN規(guī)劃 第四章 路由協(xié)議規(guī)劃 第五章 出口策略設(shè)計 第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,32,33,第五章 出口策略設(shè)計,出口區(qū)域類型（按照設(shè)備、線路數(shù)量）： 單出口設(shè)備單線路 單出口設(shè)備雙（多）線路 雙出口設(shè)備雙（多）線路,34,第五章 出口策略設(shè)計,單出口設(shè)備單線路,核心層設(shè)備,出口設(shè)備,內(nèi)部校園網(wǎng),靜態(tài)默認路由,靜態(tài)回指匯總路由（全網(wǎng)）,默認路由,源

11、地址轉(zhuǎn)換為公網(wǎng)地址,35,第五章 出口策略設(shè)計,單出口設(shè)備雙（多）線路,核心層設(shè)備,出口設(shè)備,內(nèi)部校園網(wǎng),靜態(tài)默認路由,靜態(tài)回指匯總路由（全網(wǎng)）,教育網(wǎng)明細路由,默認路由,源地址轉(zhuǎn)換為教育網(wǎng)地址,源地址轉(zhuǎn)換為公網(wǎng)地址,36,第五章 出口策略設(shè)計,單出口設(shè)備雙（多）線路,核心層設(shè)備,出口設(shè)備,內(nèi)部校園網(wǎng),對外發(fā)布的教育網(wǎng)服務(wù)器,internet用戶公網(wǎng)IP地址,返回的數(shù)據(jù)包匹配了默認路由，源IP地址轉(zhuǎn)換為公網(wǎng)IP地址,37,第五章 出口策略設(shè)計,單出口設(shè)備雙（多）線路,核心層設(shè)備,出口設(shè)備,內(nèi)部校園網(wǎng),對外發(fā)布的教育網(wǎng)服務(wù)器,internet用戶公網(wǎng)IP地址,應(yīng)用基于源地址的策略路由,強制源地址

12、為服務(wù)器私有IP地址的數(shù)據(jù)包在進行轉(zhuǎn)發(fā)時,下一跳為教育網(wǎng)接口下一跳,38,第五章 出口策略設(shè)計,單出口設(shè)備雙（多）線路,核心層設(shè)備,出口設(shè)備,內(nèi)部校園網(wǎng),默認路由,靜態(tài)回指匯總路由,電信,聯(lián)通,多于兩個出口線路如何規(guī)劃,39,第五章 出口策略設(shè)計,雙出口設(shè)備雙（多）線路,核心層設(shè)備,出口設(shè)備,默認路由,教育網(wǎng)明細路由,靜態(tài)回指匯總路由,靜態(tài)回指匯總路由,默認路由,默認路由,源地址轉(zhuǎn)換為教育網(wǎng)地址,源地址轉(zhuǎn)換為公網(wǎng)地址,40,課程內(nèi)容,第一章 單核心網(wǎng)絡(luò)常見拓撲結(jié)構(gòu) 第二章 基本配置規(guī)范 第三章 IP地址及VLAN規(guī)劃 第死章 路由協(xié)議規(guī)劃 第五章 出口策略設(shè)計 第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,40,

13、41,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,什么是安全優(yōu)化設(shè)計？ 安全設(shè)計：使網(wǎng)絡(luò)更穩(wěn)定運行 優(yōu)化設(shè)計：使網(wǎng)絡(luò)更合理運行 根據(jù)園區(qū)網(wǎng)的層次進行分類： 接入層設(shè)備安全優(yōu)化設(shè)計 匯聚層設(shè)備安全優(yōu)化設(shè)計 核心層設(shè)備安全優(yōu)化設(shè)計 出口區(qū)域設(shè)備安全優(yōu)化設(shè)計,42,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防范下聯(lián)環(huán)路 防范非法DHCP服務(wù)器 防范DHCP環(huán)境下使用靜態(tài)IP地址 保證靜態(tài)IP環(huán)境下地址唯一性 防范ARP欺騙,43,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪,VLAN 10 20 30 40,VLAN 10,VLAN 20,VLAN 30,trunk,trunk

14、,trunk,VLAN 10內(nèi)的廣播流量,該交換機收到tag標記為10的數(shù)據(jù)幀,發(fā)現(xiàn)本地沒有VLAN10,于是丟棄,SW1,雖然廣播流量被丟棄，但是如果當(dāng)其他VLAN內(nèi)產(chǎn)生大量廣播時，上聯(lián)聯(lián)路也是會受到嚴重影響。,44,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪,VLAN 10 20 30 40,VLAN 10,VLAN 20,VLAN 30,trunk,trunk,trunk,VLAN 10內(nèi)的廣播流量,只容許VLAN 30通過,SW1,只容許VLAN 30通過,45,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防范下聯(lián)環(huán)路 防范非法DHCP服務(wù)器 防

15、范DHCP環(huán)境下使用靜態(tài)IP地址 保證靜態(tài)IP環(huán)境下地址唯一性 防范ARP欺騙,46,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范下聯(lián)環(huán)路,匯聚交換機,接入交換機,匯聚交換機,接入交換機,HUB,匯聚交換機,接入交換機,HUB,47,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范下聯(lián)環(huán)路 采用生成樹解決環(huán)路問題,BPDU,BPDU,BPDU,如何解決單端口下的環(huán)路呢?,fa0/24,fa0/24,fa0/24,48,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范下聯(lián)環(huán)路 采用生成樹解決環(huán)路問題,BPDU,fa0/24,fa0/24,fa0/24,可能存在的問題?,默認

16、開啟生成樹的非網(wǎng)管交換機,BPDU,下聯(lián)端口開啟BPDU Guard,49,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范下聯(lián)環(huán)路 采用生成樹解決環(huán)路問題,接入交換機2,匯聚交換機,接入交換機N,接入交換機1,接入交換機下聯(lián)端口開啟spanning portfast 以及spanning-tree bpduguard 功能,接入交換機上聯(lián)端口開啟spanning-tree bpdufilter功能,50,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范下聯(lián)環(huán)路 采用RLDP解決環(huán)路問題,RLDP,RLDP,RLDP,fa0/24,fa0/24,fa0/24,51,第六章 網(wǎng)絡(luò)安全

17、優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防范下聯(lián)環(huán)路 防范非法DHCP服務(wù)器 防范DHCP環(huán)境下使用靜態(tài)IP地址 保證靜態(tài)IP環(huán)境下地址唯一性 防范ARP欺騙,52,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范非法DHCP服務(wù)器,校園網(wǎng),DHCP服務(wù)器,匯聚交換機,接入交換機,PC,非法DHCP服務(wù)器,DHCP Discover,DHCP Discover,非法DHCP Offer,合法DHCP Offer,DHCP Request,DHCP Ack,用戶從非法DHCP處獲得了不正確的IP地址,導(dǎo)致無法正常訪問網(wǎng)絡(luò),53,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范

18、非法DHCP服務(wù)器,校園網(wǎng),DHCP服務(wù)器,匯聚交換機,接入交換機,PC,非法DHCP服務(wù)器,DHCP Snooping Trust接口,DHCP Snooping Untrust接口,DHCP Offer/ACK,54,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防范下聯(lián)環(huán)路 防范非法DHCP服務(wù)器 防范DHCP環(huán)境下使用靜態(tài)IP地址 保證靜態(tài)IP環(huán)境下地址唯一性 防范ARP欺騙,55,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范DHCP環(huán)境下使用靜態(tài)IP地址,校園網(wǎng),DHCP服務(wù)器,匯聚交換機,接入交換機,PC,通過DHCP動態(tài)獲取的IP地址,10.1.100

19、.1/24,手工配置靜態(tài)IP地址,10.1.100.1/24,引起IP地址沖突,影響其他用戶的正常使用,56,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范DHCP環(huán)境下使用靜態(tài)IP地址,校園網(wǎng),DHCP服務(wù)器,匯聚交換機,接入交換機,PC,通過DHCP動態(tài)獲取的IP地址,10.1.100.1/24,手工配置靜態(tài)IP地址,10.1.100.1/24,通過手工配置的IP地址將無法訪問網(wǎng)絡(luò),部署DHCP Snooping+IP Source Guard,57,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防范下聯(lián)環(huán)路 防范非法DHCP服務(wù)器 防范DHCP環(huán)境下使用靜態(tài)IP

20、地址 保證靜態(tài)IP環(huán)境下地址唯一性 防范ARP欺騙,58,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 保證靜態(tài)IP環(huán)境下地址唯一性 防止用戶私自篡改分配的IP地址 端口安全 DHCP Snooping靜態(tài)綁定 結(jié)合SAM,59,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防范下聯(lián)環(huán)路 防范非法DHCP服務(wù)器 防范DHCP環(huán)境下使用靜態(tài)IP地址 保證靜態(tài)IP環(huán)境下地址唯一性 防范ARP欺騙,60,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,接入層設(shè)備安全優(yōu)化設(shè)計 防范ARP欺騙 ARP Check 供檢查的地址表項的產(chǎn)生方法 通過端口安全方式獲取地址表項 通過DHCP Snooping方

21、式獲得地址表項 通過802.1X認證的IP授權(quán)模式獲取地址表項 GSN 立體ARP防御,61,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,匯聚層設(shè)備安全優(yōu)化設(shè)計 VLAN修剪 防病毒ACL OSPF被動接口 OSPF特殊區(qū)域 OSPF區(qū)域路由匯總,62,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,匯聚層設(shè)備安全優(yōu)化設(shè)計 OSPF被動接口,OSPF,核心交換機,匯聚交換機,接入交換機,匯聚交換機上所有的三層接口都Network進相應(yīng)的Area,OSPF Hello,OSPF Hello,OSPF Hello,63,第六章 網(wǎng)絡(luò)安全優(yōu)化設(shè)計,匯聚層設(shè)備安全優(yōu)化設(shè)計 OSPF被動接口,OSPF,核心交換機,匯聚交換機,接入交換機,匯聚交換機上所有的三層接口都Network進相應(yīng)的Area,passive interface defualt,OSPF進程下,no passive i