行政樓局域網(wǎng)設(shè)計

1、四川師范大學(xué)成都學(xué)院目 錄前言- 1 -1 需求分析- 1 -1.1 項目概況- 1 -1.2 網(wǎng)絡(luò)需求分析- 2 -2 總體設(shè)計- 2 -2.1 總體設(shè)計原則- 2 -2.2 網(wǎng)絡(luò)拓撲設(shè)計及說明- 3 -2.3 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計及IP 地址規(guī)劃- 4 -3 網(wǎng)絡(luò)詳細設(shè)計- 5 -3.1 交換技術(shù)- 5 -3.1.1 VLAN技術(shù)- 5 -3.2 VLAN 間路由- 6 -3.3 STP 技術(shù)- 7 -3.4 無線技術(shù)- 7 -4 網(wǎng)絡(luò)安全- 8 -4.1 服務(wù)器及網(wǎng)關(guān)安全- 8 -4.2 路由器、交換機保護- 8 -4.3 終端保護- 8 -5 設(shè)備選型- 9 -5.1 選型原則- 9 -5.2

2、 選型- 9 -6 總結(jié)- 12 -行政樓局域網(wǎng)網(wǎng)絡(luò)規(guī)劃與設(shè)計前言隨著全球信息化時代的到來和國民經(jīng)濟信息化進程中，無論是學(xué)校還是企業(yè)都需要提高自身的競爭力，怎么樣利用網(wǎng)絡(luò)技術(shù)帶來的機遇和挑戰(zhàn)，怎么樣構(gòu)建一個好的信息化平臺并保證其時時通暢運行等問題，都是每個企業(yè)和學(xué)校的管理部門所要考慮的問題。合理全面的網(wǎng)絡(luò)解決方案，對于任何一個管理部門來說，應(yīng)能提高其整體的工作效率，對外還應(yīng)包含與外部網(wǎng)絡(luò)的連接，還能保證網(wǎng)內(nèi)用戶的有效便捷的溝通。除此之外，還應(yīng)該具有更高層次的要求，比如企業(yè)內(nèi)部各部門人員的安全性管理、視頻會議室的流量要求、遠程網(wǎng)絡(luò)監(jiān)控的網(wǎng)絡(luò)通路的要求、遠程移動辦公的要求、學(xué)校網(wǎng)絡(luò)的管理、校園辦公

3、網(wǎng)絡(luò)化和學(xué)校考試網(wǎng)絡(luò)化等。本文將具體結(jié)合一個學(xué)校的行政樓的網(wǎng)絡(luò)綜合設(shè)計實例，根據(jù)其特點從最初的需求分析、網(wǎng)絡(luò)拓撲設(shè)計到后面的交換、路由技術(shù)等再到最后的安全策略布署及測試，完整的擬出網(wǎng)絡(luò)規(guī)劃與設(shè)計的整個過程，并用模擬器盡可能地模擬出所搭建的網(wǎng)絡(luò)中的關(guān)鍵技術(shù)。1 需求分析1.1 項目概況XXXXXXXXXX是經(jīng)國家教育部批準設(shè)立的獨立學(xué)院，是面向全國統(tǒng)一招生，具有學(xué)士學(xué)位授予資格的全日制普通高校。為了提高學(xué)校教學(xué)質(zhì)量和辦公效率，需要為學(xué)校的行政樓進行局域網(wǎng)規(guī)劃，使得部門與部門之間形成不同的區(qū)域，而且還要求不同部門之間可以相互通信，還要做到在行政樓內(nèi)部都可以享受到無限網(wǎng)覆蓋。該行政樓有6層，共計41

4、間房，其中3間會議室1間校史陳列館。其他房間均為各個部門辦公室，一樓為后勤資產(chǎn)和招生、車隊辦公室，二樓主要為教務(wù)和財務(wù)辦公室，三樓為會議室和院長辦公室，四樓為副院長黨委和宣傳部門辦公室，五樓是基建評估等部門辦公室，六樓主要是校史成列館。每層辦公區(qū)域分化明確，4樓有網(wǎng)絡(luò)管理區(qū)，有一臺服務(wù)器每層大致有30-40個信息點，各部門間的網(wǎng)絡(luò)互聯(lián)為聯(lián)通100M租用專線以及VPN備份連接。規(guī)劃設(shè)計好的局域網(wǎng)主要實現(xiàn)個部門之間的通信、IP通話、無線網(wǎng)覆蓋、監(jiān)控接入等需求。1.2 網(wǎng)絡(luò)需求分析對該行政樓的網(wǎng)絡(luò)狀況分析后，得出其網(wǎng)絡(luò)需求有一下幾點： 1）穩(wěn)定可靠的需求：能夠從網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)鏈路等方面保證其網(wǎng)絡(luò)的整

5、體穩(wěn)定、可靠，當網(wǎng)絡(luò)出現(xiàn)單點故障時不會對整體網(wǎng)絡(luò)造成影響，能保證核心、骨干設(shè)備的無縫切換恢復(fù)。 2）寬帶性能需求：行政樓主要作為整個學(xué)校的辦公區(qū)域，要調(diào)控著整個學(xué)校的運作，因此要求其網(wǎng)絡(luò)要有足夠的數(shù)據(jù)交換能力。 3）網(wǎng)絡(luò)系統(tǒng)安全性需求：除了部署防火墻、IDS、殺毒軟件，以及配合交換機或路由器的ACL來實現(xiàn)對病毒和黑客攻擊的被動防御外，其網(wǎng)絡(luò)還應(yīng)提供一整套從用戶接入控制、病毒報文識別到主動抑制的一系列安全控制手段，以有效地保證企業(yè)網(wǎng)絡(luò)的可用性、保密性、完整性。 4）網(wǎng)絡(luò)系統(tǒng)管理維護需求：對于日常出現(xiàn)的網(wǎng)絡(luò)異常能夠及時有效地做出響應(yīng)，而且應(yīng)具有簡單、管理與維護方便等特點。 5）無限網(wǎng)絡(luò)需求：對于處

6、在行政樓內(nèi)部的移動系統(tǒng)業(yè)務(wù)，應(yīng)能夠提供無限網(wǎng)絡(luò)的覆蓋，充分發(fā)揮無限網(wǎng)絡(luò)的特性，同時還應(yīng)具有良好的擴展性。 6）可擴展性需求：為了應(yīng)對以后網(wǎng)絡(luò)規(guī)模的擴大，當有需要時能夠?qū)崿F(xiàn)在現(xiàn)在所有的網(wǎng)絡(luò)架構(gòu)上較為方便的實現(xiàn)新網(wǎng)絡(luò)的接入。2 總體設(shè)計2.1 總體設(shè)計原則1）實用性 在對其做了詳細的網(wǎng)絡(luò)分析后，應(yīng)注重實效，盡量的從經(jīng)濟實用的角度出發(fā)。 2）先進性 局域網(wǎng)絡(luò)規(guī)劃與設(shè)計應(yīng)采用最新的科技和主流的網(wǎng)絡(luò)產(chǎn)品，以滿足辦公的需要和適應(yīng)未來網(wǎng)絡(luò)技術(shù)的長足發(fā)展。 3）高可靠性 為了防止局部故障以引起整個網(wǎng)絡(luò)系統(tǒng)的癱瘓，在網(wǎng)絡(luò)的骨干設(shè)備上要提供備份鏈路，提供冗余路由。 4）安全性 包括設(shè)備安全和信息安全，行政樓作為整

7、個學(xué)校的辦公樞紐，它的網(wǎng)絡(luò)安全性在整個網(wǎng)絡(luò)中是個很重要的問題，需要采用一些手段控制整個的網(wǎng)絡(luò)完全，比如使用有防火墻的路由器，采用殺毒軟件等手段以確保網(wǎng)絡(luò)的安全。 5）可管理性 局域網(wǎng)絡(luò)遍布整個行政樓的各個部門，隨著學(xué)校的發(fā)展和網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)管理的任務(wù)將會日益繁重。因此在網(wǎng)絡(luò)設(shè)計中，必須建立一個全面的網(wǎng)絡(luò)管理解決方案，最終實現(xiàn)監(jiān)控、監(jiān)測整個網(wǎng)絡(luò)的運行狀況，合理分配網(wǎng)絡(luò)資源、動態(tài)配置網(wǎng)絡(luò)負載，可以迅速確定網(wǎng)絡(luò)故障。 6）符合國際標準 該局域網(wǎng)絡(luò)設(shè)計所采用的技術(shù)與設(shè)備應(yīng)符合國際標準，以保護學(xué)校的長足發(fā)展。2.2 網(wǎng)絡(luò)拓撲設(shè)計及說明 考慮到節(jié)約成本和安全性問題，此次對行政樓的局域網(wǎng)設(shè)計采用的星型

8、拓撲結(jié)構(gòu)。 通過對行政樓部門的分析得出的拓撲圖結(jié)構(gòu)如下圖： 圖2.2-1在此設(shè)計中主要服務(wù)器采用的是“CISCO UCS C22 M3”，路由器選用一臺帶防火墻的“CISCO 2821C/K9”，匯聚交換機采用的是1臺“Cisco Catalyst 3750 系列的Cisco WSC3750G-24TS-E 型號交換機”，接入交換機采用的是“Cisco Catalyst 2960”，無線AP 均采用CISCO CVR100W。2.3 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計及IP 地址規(guī)劃1) 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計出于對網(wǎng)絡(luò)總體結(jié)構(gòu)、核心部分升級以及安全體系等的全局考慮，網(wǎng)絡(luò)總體結(jié)構(gòu)應(yīng)在統(tǒng)一的基礎(chǔ)上作出規(guī)劃和設(shè)計，以滿足信息化建

9、設(shè)與發(fā)展的需要。此方案主要采用三層交換結(jié)構(gòu)來規(guī)劃網(wǎng)絡(luò)：核心層、匯聚層、接入層。分層結(jié)構(gòu)有可擴展性好，冗余性強，數(shù)據(jù)傳輸性能高，安全性高，易于管理，易于維護等優(yōu)點。2) IP 地址分配原則 簡單性：避免采用復(fù)雜的子網(wǎng)掩碼，盡量分配簡單的IP 地址。 可擴充性：在分配網(wǎng)絡(luò)地址時應(yīng)根據(jù)具體情況要有一定的剩余，以便以后主機數(shù)量增加時仍然能夠保持地址的連續(xù)性。 靈活性：地址分配應(yīng)便于多數(shù)路由策略優(yōu)化的實現(xiàn)，不應(yīng)基于某個網(wǎng)絡(luò)路由策略的優(yōu)化方案。 可管理性：分配的IP 地址應(yīng)該具有一定的層次性，局部的地址變動不會對上層、全局產(chǎn)生影響。 安全性：部門內(nèi)部按工作內(nèi)容以及工作性質(zhì)劃分成不同的子網(wǎng)以便于管理。3)

10、IP 地址規(guī)劃方案結(jié)合以上分配原則，在其內(nèi)部采用動態(tài)與靜態(tài)分配結(jié)合的原則來分配網(wǎng)絡(luò)的IP 地址。在各部門中采用虛擬局域網(wǎng)技術(shù)(Virtual LAN，VLAN)。VLAN 能夠?qū)V播域限制在單個VLAN 內(nèi)部，減小各VLAN 間主機的廣播通信對其他VLAN的影響。在VLAN 間需要通信的時候，可以利用VLAN 間路由技術(shù)來實現(xiàn)。根據(jù)以上的分析，結(jié)合設(shè)計的邏輯拓撲圖及其它具體情況，現(xiàn)將整個行政樓的IP地址作如表一規(guī)劃：位 置信息點數(shù)IP地址范圍備 注1層1+2+3+1+5+4+8=24/24有線加無線2層2+6+5+3+8+4+2=20/24有線加無線

11、3層2+5+2+1+3=13/24有線加無線4層2+5+3+2+4+6+2=24/24有線加無線5層+6層3+1+4+2+3+4=17/24有線加無線表一3 網(wǎng)絡(luò)詳細設(shè)計 3.1 交換技術(shù)3.1.1 VLAN技術(shù) 1）VLAN概述 VLAN（Virtual Local Area Network）的中文名為虛擬局域網(wǎng)。VLAN是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個個網(wǎng)段，從而實現(xiàn)虛擬工作組的新興數(shù)據(jù)交換技術(shù)。這一新興技術(shù)主要應(yīng)用于交換機和路由器中，但主流應(yīng)用還是在交換機之中。但又不是所有交換機都具有此功能，只有VLAN協(xié)議的第二層以

12、上交換機才具有此功能。 2）VLAN的劃分 按照上文對行政樓網(wǎng)絡(luò)規(guī)劃的需求分析可知每個部門是獨立的不能跨部門獲取資料，但是相互之間又可以通信，對此，我們的設(shè)計講對每個部門劃分一個VLAN，具體的VLAN劃分見表二：位 置部 門VLAN 號1層后勤資產(chǎn)管理部VLAN2招生就業(yè)部VLAN3車隊VLAN42層教務(wù)處VLAN5財務(wù)科VLAN63層院長VLAN7人事處VLAN84層副院長VLAN7宣傳部VLAN9黨委辦公室VLAN105層-6層基建、繼教、科研、檔案VLAN11表二3) 管理VLAN管理VLAN 用于訪問交換機的管理功能，當管理員沒有主動定義一個唯一的VLAN 作為管理VLAN 時，VL

13、AN 1 會被作為默認的管理VLAN。為管理VLAN 分配IP 地址和子網(wǎng)掩碼后，通過HTTP、Telnet、SSH 或SNMP 便可以對交換機進行管理。4) VLAN 中繼(Trunk)VLAN 中繼并不屬于具體某個VLAN，由于不同VLAN 間的工作站不能直接通信，VLAN中繼作為交換機之間的管道，可指定不同VLAN 間的流量傳送，以實現(xiàn)不同VLAN 之間工作站的互相通信。3.2 VLAN 間路由1) VLAN 間路由簡介VLAN 間路由是指不同VLAN 間網(wǎng)絡(luò)流量轉(zhuǎn)發(fā)的過程，可通過每個路由器接口對應(yīng)一個VLAN、單臂路由、第三層交換等方式來實現(xiàn)。本設(shè)計方案采用內(nèi)置安全機制、具有高性價比和

14、高可擴展性的第三層交換技術(shù)來完成VLAN 間的路由。2) 配置第三層交換技術(shù)在成都總部以及其他分部的核心交換機上開啟路由功能，以實現(xiàn)第三層交換技術(shù)，其配置命令如下：(config)#interface interface-id(config-if)#switchport routing(config-if)#exit3.3 STP 技術(shù)1) STP 的概述生成樹協(xié)議(Spanning Tree Protocol，STP)的作用在于，利用其特有的算法實現(xiàn)網(wǎng)絡(luò)路徑冗余，避免局域網(wǎng)中的單點故障、網(wǎng)絡(luò)環(huán)回問題的出現(xiàn)，同時它還能將環(huán)路網(wǎng)絡(luò)修剪成樹型無環(huán)路網(wǎng)絡(luò)，有效解決了成環(huán)以太網(wǎng)網(wǎng)絡(luò)的“廣播風(fēng)暴”問題。

15、2) 配置STP 啟用STP(默認的情況下已經(jīng)開啟)(config)# spanning-tree vlan vlan-id 指定根網(wǎng)橋(config)#spaaning-tree vlan vlan-id root primary|secondary或(config)#spanning-tree vlan vlan-id priority priority3.4 無線技術(shù)1) WLAN 簡介無線局域網(wǎng)(Wireless LAN，WLAN)，是一種利用無線方式提供無線對等和點到點連接的數(shù)據(jù)通信系統(tǒng)。具有高移動性，擴展能力強，建網(wǎng)容易，管理方便，組網(wǎng)速度快，工程周期短，開發(fā)運營成本低，受自然環(huán)境

16、、地形及災(zāi)害影響小等優(yōu)點。2）WLAN設(shè)計在行政樓采用無線控制器+Fit AP 的解決方案，結(jié)合各自的DHCP服務(wù)器、DNS 服務(wù)器，使得Fit AP 與無線控制器間三層路由可達，實現(xiàn)它們間的跨三層網(wǎng)絡(luò)連接。在信息中心添加的無線控制器結(jié)合AAA 服務(wù)器以及無線網(wǎng)絡(luò)管理平臺，集中處理整個無線網(wǎng)絡(luò)中所有用戶的連接、訪問、認證、權(quán)限等問題，同時實現(xiàn)所有無線設(shè)備以及無線鏈路的監(jiān)測、定位、報警、配置等安全、控制、管理功能，而分布在接入層的Fit AP只提供直接面向終端用戶的可靠的、高性能的射頻功能。因此，當以后有無線覆蓋擴展需求時，只需添加Fit AP 并將其連接到就近的接入層交換機，同時在相應(yīng)的無線控

17、制器上做相應(yīng)配置即可實現(xiàn)，達到了無線網(wǎng)絡(luò)的最大限度擴展。4 網(wǎng)絡(luò)安全4.1 服務(wù)器及網(wǎng)關(guān)安全為確保物理安全，服務(wù)器應(yīng)放在上鎖的設(shè)備間，只允許授權(quán)人員進入，且應(yīng)建立長效的管理機制。設(shè)備間應(yīng)不受靜電、電磁干擾，且溫度和濕度都可控，同時還應(yīng)配備UPS(不間斷電源)，并對服務(wù)器設(shè)備間實行實時視頻監(jiān)控。在保障服務(wù)器及網(wǎng)關(guān)物理安全的同時，針對來自外網(wǎng)的攻擊和非法入侵，應(yīng)安置防火墻和IDS(入侵檢測系統(tǒng))并裝備防病毒系統(tǒng)，防止病毒侵入信息中心服務(wù)器以及內(nèi)部網(wǎng)絡(luò)，保證服務(wù)器及網(wǎng)關(guān)對外的安全。針對內(nèi)網(wǎng)，在一般服務(wù)器上安裝windows server 2003 Enterprise Edtion 操作系統(tǒng)，在存儲

18、服務(wù)器上安裝windows server 2003 DataCenter Edtion 操作系統(tǒng)，對關(guān)鍵性服務(wù)器采用主從工作模式的雙機集群技術(shù)，實現(xiàn)對關(guān)鍵服務(wù)器的備份，并在服務(wù)器上建立相應(yīng)的域，結(jié)合AD(活動目錄)并通過DC(域控制器)的相應(yīng)配置實現(xiàn)對各地局域網(wǎng)內(nèi)的所有終端的安全策略控制，達到服務(wù)器對內(nèi)的安全。4.2 路由器、交換機保護同服務(wù)器一樣，首先應(yīng)確保設(shè)備的物理安全，其次應(yīng)對設(shè)備的配置及IOS 進行備份，以防設(shè)備發(fā)生故障，備份文件可保存于其它存儲設(shè)備中，也可將其傳至TFTP 服務(wù)器上。將備份文件保存到TFTP 服務(wù)器中，可用以下命令：#copy startup-config|flash

19、:ISO filename tftp:/location/directory/filename除此，還應(yīng)加強路由器及交換機的安全配置，如設(shè)備密碼加密，配置密碼策略(最短密碼長度)，保護未使用的AUX 端口，配置VTY 為SSH 連接，保護未使用的服務(wù)和接口，保護路由協(xié)議，配置交換機端口安全性等等。4.3 終端保護作為部門網(wǎng)絡(luò)的終端，一般的PC 在使用中最容易遭遇的來自外部的安全威脅是木馬程序、病毒和黑客的攻擊，因此，桌面型硬件防火墻或個人防火墻軟件以及防病毒軟件對部門內(nèi)部是必不可少的。同時，對內(nèi)應(yīng)將終端接入到相應(yīng)的管理域中，通過域控制器實現(xiàn)對內(nèi)部接入用戶連接、認證、訪問、授權(quán)等的安全、控制、管

20、理功能。5 設(shè)備選型5.1 選型原則1) 滿足功能需求。2) 滿足性能需求。3) 滿足升級、擴展性需求。4) 可靠性。5) 選擇性能價格比高、質(zhì)量過硬的產(chǎn)品。6) 盡可能選擇同一家廠家的網(wǎng)絡(luò)設(shè)備產(chǎn)品。5.2 選型1）路由器選型 主路由器選的是帶防火墻的“CISCO 2821C/K9”， 選配WS-CAC-6000W雙交流電源、SPA-IPSEC-2G的IPSec VPN 模塊、串口I/O模塊。圖5.2-1“CISCO 2821C/K9”提供了業(yè)界最廣泛的連接選項和領(lǐng)先的可用性及可靠性特性。并且能夠以線速向多條T1/E1/xDSL連接提供多項高質(zhì)量同時服務(wù)。提供有內(nèi)嵌在主板語音數(shù)字信號處理器(D

21、SP)插槽中的加密加速功能;入侵防御系統(tǒng)(IPS)和防火墻功能;能夠滿足廣泛有線和無線連接要求的高密度接口;以及足夠高的性能和插槽密度，能夠支持未來網(wǎng)絡(luò)擴展和高級應(yīng)用。此外，Cisco IOS軟件支持全套傳輸協(xié)議、服務(wù)質(zhì)量(QoS)工具，以及先進的安全和語音應(yīng)用，可支持無線和有線部署。能夠滿足大多數(shù)對于當今和未來應(yīng)用不斷提高的要求。它內(nèi)置防火墻和內(nèi)置2個板載AIM(內(nèi)部)插槽+4個接口卡插槽+3個主板上的PVDM (DSP)插槽+1個網(wǎng)絡(luò)模塊插槽+1個擴展語音模塊插槽。2）服務(wù)器選型 此次服務(wù)器的選型定在“CISCO UCS C22 M3”, 選配PWR-4000-DC 雙電源、VS-S720

22、-10G-3C 處理引擎和相應(yīng)的光纖、以太網(wǎng)端口I/O 模塊。圖5.2-2Cisco UCS C240 M3 2U機架式服務(wù)器將思科統(tǒng)一交換架構(gòu)的創(chuàng)新技術(shù)集成于工業(yè)標準服務(wù)器中，旨在為各種存儲密集型基礎(chǔ)設(shè)施工作負載提供高性能和擴展能力，能夠勝任從大型數(shù)據(jù)到協(xié)作的所有工作。思科 UCS C240 M3(2U)，產(chǎn)品類別：機架式 CPU類型：Intel 至強E5-2600 標配CPU數(shù)量：1顆/2顆 內(nèi)存類型：DDR3 硬盤描述：24塊2.5英寸SATA/SAS/SSD硬盤。Cisco UCS C240 M3 2U企業(yè)級服務(wù)器是在思科C210 M2機架式服務(wù)器成功的基礎(chǔ)上，進一步擴展升級的產(chǎn)品，采用了全新的英特爾至強E5-2600系列處理器，提供了性能的最佳組合，靈活性，提高效率。3）交換機選型匯聚層交換機則選用Cisco Catalyst 3750 系列的Cisco WSC3750G-24TS-E 型號交換機。圖5.2-4Cisco WS C3750G-24TS-E 型號交換機有28 個端口