售后技術(shù)工程師2

BENET3.0第二學(xué)期課程售后技術(shù)工程師網(wǎng)絡(luò)項(xiàng)目設(shè)計(jì)原則與設(shè)計(jì)思路2網(wǎng)絡(luò)部分的總體設(shè)計(jì)要求實(shí)用性和集成性標(biāo)準(zhǔn)性和開(kāi)放性先進(jìn)性和安全性成熟性和高可靠性可維護(hù)性和可管理性可擴(kuò)充性和兼容性網(wǎng)管工作站網(wǎng)絡(luò)云被管設(shè)備業(yè)務(wù)流量網(wǎng)管流量帶內(nèi)網(wǎng)管網(wǎng)管工作站網(wǎng)絡(luò)云被管設(shè)備業(yè)務(wù)流量帶外網(wǎng)管網(wǎng)管流量網(wǎng)絡(luò)安全結(jié)構(gòu)企業(yè)網(wǎng)絡(luò)安全結(jié)構(gòu)網(wǎng)絡(luò)設(shè)備操作系統(tǒng)應(yīng)用程序應(yīng)用程序安全操作系統(tǒng)安全網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)）安全Benet集團(tuán)網(wǎng)絡(luò)設(shè)備選擇2-1設(shè)備選型原則從網(wǎng)絡(luò)的穩(wěn)定性和可靠性考慮從工程預(yù)算成本考慮從網(wǎng)絡(luò)擴(kuò)展性方面考慮4防火墻過(guò)濾內(nèi)網(wǎng)流量

INSIDE區(qū)域VTP

STP和HSRP以太網(wǎng)通道QoS

Inside區(qū)域設(shè)計(jì)ASA有兩個(gè)Inside區(qū)域連接到兩臺(tái)核心交換機(jī)公司內(nèi)網(wǎng)Outsidesecurity-level0Inside1security-level100YW_svrsecurity-level50CW_svrsecurity-level60Inside2security-level100核心交換機(jī)1核心交換機(jī)2ASA55405防火墻過(guò)濾內(nèi)網(wǎng)流量加強(qiáng)各公司網(wǎng)關(guān)安全，抵御來(lái)自互聯(lián)網(wǎng)的攻擊各公司網(wǎng)管添加防火墻設(shè)備，增加內(nèi)網(wǎng)安全天時(shí)總公司內(nèi)部使用服務(wù)器（域控、OA、DNS……）為外網(wǎng)提供服務(wù)的Web、郵件、FTP等服務(wù)器公司重要數(shù)據(jù)的服務(wù)器（財(cái)務(wù)、業(yè)務(wù)）財(cái)務(wù)、業(yè)務(wù)服務(wù)器網(wǎng)關(guān)直接指向防火墻兩側(cè)均為接入鏈路默認(rèn)路由直連路由VLAN間路由二層交換三層路由指向客戶端的靜態(tài)路由訪問(wèn)網(wǎng)關(guān)二層交換訪問(wèn)服務(wù)器直連路由業(yè)務(wù)服務(wù)器Internet業(yè)務(wù)服務(wù)器財(cái)務(wù)服務(wù)器公司內(nèi)網(wǎng)內(nèi)部服務(wù)器對(duì)外服務(wù)器Outsidesecurity-level0Insidesecurity-level100YW_svrsecurity-level50CW_svrsecurity-level60ASA55406VTP設(shè)計(jì)VTP相關(guān)參數(shù)規(guī)劃VTP域名：benetVTP域口令：ciscoVTP版本：v2VTP修剪：?jiǎn)⒂肰TPServer：兩臺(tái)核心交換VTPClient：其余所有交換機(jī)部分交換機(jī)手動(dòng)配置VLAN財(cái)務(wù)、業(yè)務(wù)服務(wù)器接入交換機(jī)財(cái)務(wù)部接入交換機(jī)手動(dòng)配置VLANInternet業(yè)務(wù)服務(wù)器天時(shí)辦公大廈天時(shí)后勤大廈天時(shí)會(huì)議中心內(nèi)網(wǎng)使用服務(wù)器外網(wǎng)訪問(wèn)服務(wù)器……財(cái)務(wù)部接入交換機(jī)內(nèi)網(wǎng)專線財(cái)務(wù)服務(wù)器ASA5540Client模式Server模式手動(dòng)配置7安全部分設(shè)計(jì)4-2ACL設(shè)計(jì)運(yùn)行訪問(wèn)服務(wù)器開(kāi)發(fā)的端口根據(jù)服務(wù)器提供服務(wù)的端口和服務(wù)器管理端口進(jìn)行配置限制訪問(wèn)設(shè)備的IP地址段屏蔽除網(wǎng)管外的所有IP地址段北京地區(qū)各分銷點(diǎn)直接不能互訪只有財(cái)務(wù)部能訪問(wèn)財(cái)務(wù)服務(wù)器關(guān)閉病毒、攻擊常用端口8QoS設(shè)計(jì)使用QoS技術(shù)保證財(cái)務(wù)和視頻會(huì)議流量財(cái)務(wù)數(shù)據(jù)流量：占用帶寬較小，預(yù)留0.2Mb/s帶寬視頻會(huì)議流量：分銷點(diǎn)到總公司兩臺(tái)路由器的兩路上都需要預(yù)留2Mb/s帶寬通州分公司內(nèi)網(wǎng)天時(shí)總公司內(nèi)網(wǎng)通州分公司網(wǎng)關(guān)天時(shí)總公司內(nèi)網(wǎng)網(wǎng)關(guān)將兩條E1鏈路綁定為1條4Mb/s鏈路兩條鏈路各需要為視頻流量預(yù)留2Mb/s帶寬9當(dāng)網(wǎng)絡(luò)擁塞時(shí)保證視頻會(huì)議和訪問(wèn)服務(wù)器的流量使用QoS技術(shù)保證網(wǎng)絡(luò)擁塞時(shí)關(guān)鍵業(yè)務(wù)數(shù)據(jù)流量帶寬網(wǎng)絡(luò)改造方案-內(nèi)網(wǎng)專線網(wǎng)部分使用OSPF實(shí)現(xiàn)網(wǎng)絡(luò)互通北京各分銷點(diǎn)通過(guò)E1專線接入總公司使用QoS技術(shù)保證視頻會(huì)議和總要業(yè)務(wù)帶寬財(cái)務(wù)數(shù)據(jù)流量：占用帶寬較小，預(yù)留0.2Mb/s帶寬視頻會(huì)議流量：分銷點(diǎn)到總公司兩臺(tái)路由器的兩路上都需要預(yù)留2Mb/s帶寬總公司內(nèi)網(wǎng)北京昌平分銷點(diǎn)北京通州分公司北京房山分銷點(diǎn)Area1Area100Area0InternetE1專線北京總公司北京各分銷點(diǎn)總公司10安全部分設(shè)計(jì)4-3IPSecVPN設(shè)計(jì)總公司和分公司之間通過(guò)IPSecVPN傳輸機(jī)密數(shù)據(jù)財(cái)務(wù)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等屬于機(jī)密數(shù)據(jù)IPSecVPN參數(shù)階段2傳輸集：esp-3des和esp-sha-hmac階段1協(xié)商參數(shù)：sha、3des、共享密鑰為benet、密鑰組group2、生存時(shí)間86400秒CryptoMap參數(shù)：pfsgroup2Internet北京總公司ASA5540青島分公司ASA5510上海分公司ASA5510IPSecVPN11廣域網(wǎng)設(shè)計(jì)（NAT）不需要進(jìn)行NAT轉(zhuǎn)換的流量財(cái)務(wù)服務(wù)器Benet集團(tuán)所有公司財(cái)務(wù)部NONAT業(yè)務(wù)服務(wù)器Benet集團(tuán)所有公司人員NONATBenet集團(tuán)總公司內(nèi)網(wǎng)Benet集團(tuán)總公司內(nèi)網(wǎng)NONAT業(yè)務(wù)服務(wù)器SSLVPN用戶NONATBenet集團(tuán)總公司內(nèi)部服務(wù)器Benet集團(tuán)總公司財(cái)務(wù)部NONATBenet集團(tuán)Web等服務(wù)器InternetInternetBenet集團(tuán)公司內(nèi)網(wǎng)NATNONAT12安全部分設(shè)計(jì)4-1設(shè)備安全性增強(qiáng)設(shè)計(jì)增強(qiáng)設(shè)備服務(wù)安全杜絕明文密碼設(shè)置AAA實(shí)現(xiàn)登錄認(rèn)證配置Telnet遠(yuǎn)程訪問(wèn)配置SSH遠(yuǎn)程訪問(wèn)配置線路input/output協(xié)議設(shè)備開(kāi)放的許多服務(wù)都可能成為被攻擊的對(duì)象，所以關(guān)閉不使用的服務(wù)可以增強(qiáng)設(shè)備安全配置AAA認(rèn)證本地和遠(yuǎn)程訪問(wèn)服務(wù)，可以設(shè)置本地認(rèn)證也可以通過(guò)服務(wù)器進(jìn)行認(rèn)證。使用服務(wù)器認(rèn)證便于集中管理。配置無(wú)動(dòng)作自動(dòng)斷開(kāi)時(shí)間為5分鐘，對(duì)于支持SSH的設(shè)備應(yīng)該禁止通過(guò)Telnet登陸設(shè)備，而使用SSH。對(duì)于支持SSH的設(shè)備，應(yīng)該使用SSH登錄設(shè)備進(jìn)行管理。所有線路只允許Telent和SSH登錄設(shè)備。13項(xiàng)目模擬實(shí)施拓?fù)鋱D內(nèi)容總結(jié)BENET3.0第二學(xué)期課程。網(wǎng)絡(luò)項(xiàng)目設(shè)計(jì)原則與設(shè)計(jì)思路。天時(shí)總公司內(nèi)部使用服務(wù)器（域控、OA、DNS。為外網(wǎng)提供服務(wù)的Web、郵件、FTP等服務(wù)器。根據(jù)服務(wù)器提供服務(wù)的端口和服務(wù)器管理端口進(jìn)行配置。財(cái)務(wù)數(shù)據(jù)流量：占用帶寬較小，預(yù)留0.2Mb/s帶寬。將兩條E1鏈路綁定為1條4Mb/s鏈路。財(cái)務(wù)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等屬于機(jī)密數(shù)據(jù)。階段2傳輸集：esp-3des和esp-sha-hmac。階段1協(xié)商參數(shù)：sha、3des、共享密鑰為benet、密鑰組group2、生存時(shí)間86400秒。Crypto