小型企業(yè)局域網(wǎng)設(shè)計專業(yè)：計算機科學(xué)與技術(shù)班級：網(wǎng)絡(luò)八班設(shè)計人員：劉光設(shè)計課題：小型企業(yè)局域網(wǎng)設(shè)計指導(dǎo)老師：2011年2月15日小型企業(yè)局域網(wǎng)設(shè)計方案報告設(shè)計要求：內(nèi)網(wǎng)大多數(shù)用戶可以實現(xiàn)資源共享和相互通信。但財務(wù)部可以訪問市場部，市場部一般情況下不能訪問財務(wù)部，若有用戶需要訪問，則網(wǎng)管人員可以通過三層交換機進行一個簡單的命令行設(shè)置，使VLAN間正常通信。內(nèi)網(wǎng)用戶共用WEB服務(wù)器。外網(wǎng)用戶可以與內(nèi)網(wǎng)用戶通信，但不能訪問內(nèi)網(wǎng)服務(wù)器和財務(wù)部以防重要數(shù)據(jù)被盜取或攻擊內(nèi)網(wǎng)服務(wù)器中。第一部系統(tǒng)需求分析1.部門類型：●市場部(VLAN20●財務(wù)部(VLAN10要求財務(wù)部可以訪問市場部，但市場部一般情況下不能訪問財務(wù)部，若有用戶需求，則網(wǎng)管人員可以通過三層交換機進行訪問控制列表設(shè)置實現(xiàn)VLAN間通信。2.流量訪問模型●本地訪問●遠程訪問（因企業(yè)內(nèi)部人員相互共享資源多和通信頻繁，所以本地訪問比遠程訪問所占流量大）3.用戶接入需求●十幾個信息點4.組網(wǎng)原則●一般可靠性●性價比高5.安全性需求：●內(nèi)部網(wǎng)絡(luò)使用VLAN分段，隔離廣播，防止網(wǎng)絡(luò)內(nèi)部竊聽和非授權(quán)的跨網(wǎng)段訪問●使用防火墻分割內(nèi)部網(wǎng)和外部網(wǎng)，不允許外部用戶訪問內(nèi)部WEB服務(wù)器，財務(wù)部。●遠程接入用戶使用VPN方式訪問總部網(wǎng)絡(luò)，并且限制遠程用戶可以訪問的主機范圍。第二部分概要規(guī)劃設(shè)計1.網(wǎng)絡(luò)拓撲及拓撲圖：二層模型的星型結(jié)構(gòu)，通過級連交換機來擴展，核心交換機下連接接入層交換機。網(wǎng)絡(luò)接入容量：接入交換機接連接用戶，核心交換機連接WEB服務(wù)器和邊界路由器。2.網(wǎng)絡(luò)技術(shù)選型3.設(shè)備選型接入交換機選用Cisco2960系列，核心交換機選用Cisco3560系列。邊界路由器選用Cisco18XX或Cisco28XX系列4.網(wǎng)絡(luò)相關(guān)技術(shù)選型：（1）使用VALN技術(shù)進行業(yè)務(wù)隔離，減少廣播域的范圍。（2）使用TRUNK技術(shù)實現(xiàn)VLAN跨交換機進行訪問（3）端口會聚技術(shù)提高帶寬，并能互作備份，提高可靠性（4）STP技術(shù)防止二層環(huán)路，避免廣播風(fēng)暴，提高轉(zhuǎn)發(fā)效率。5.VLAN的應(yīng)用及IP地址規(guī)劃6.詳細配置命令及調(diào)測第三部分詳細規(guī)劃設(shè)計1.網(wǎng)絡(luò)拓撲圖如下所示：采用二層模型星型結(jié)構(gòu)，核心設(shè)備及主干網(wǎng)絡(luò)技術(shù)采用1000Base-T,接入層設(shè)備采用100Base-t兩臺交換機采用雙鏈路會聚技術(shù)，以提高帶寬和冗余作用，將兩條鏈路捆綁在一起，速率是原來的兩倍，當(dāng)一條鏈路出現(xiàn)故障時，另外一條鏈路還可以起作用，提供IP路徑不間斷。但兩條鏈路之間如果不采用STP技術(shù)，可能形成二層環(huán)路，所有內(nèi)網(wǎng)用戶都需要從WEB服務(wù)器上獲取資源，所以WEB服務(wù)器必須掛接在核心交換機上。采用星型結(jié)構(gòu)便于管理，因為是小型企業(yè)網(wǎng)，所以不須再用會聚層交換機，節(jié)約成本。防火墻一端接內(nèi)網(wǎng)，另一端接外網(wǎng)，防火墻是兩種機制的結(jié)合體，一種機制是對流量進行阻塞，一種機制是允許流量傳輸。2.網(wǎng)絡(luò)技術(shù)選型根據(jù)需求，根據(jù)千兆以太網(wǎng)技術(shù)進行組網(wǎng)，它的主要特點表現(xiàn)在以下幾個方面。1）經(jīng)濟實用，且具有較高的性能價格比。2千兆以太網(wǎng)技術(shù)目前得到廣泛支持，尤其是3COM公司的全系列千兆太太網(wǎng)解決方案及產(chǎn)品，使得千兆以太網(wǎng)的互連和設(shè)計都極其靈活和簡便。3）千兆以太網(wǎng)技術(shù)的兼容性，千兆以太網(wǎng)技術(shù)采用與傳統(tǒng)以太網(wǎng)及快速以太網(wǎng)相同的載波監(jiān)聽多路訪問沖突檢測機制，從現(xiàn)有的傳統(tǒng)以太網(wǎng)與快速以太網(wǎng)可以平滑地過度到千兆太網(wǎng)。4）升級性能。千兆以太網(wǎng)技術(shù)與另一高性能網(wǎng)絡(luò)—ATM技術(shù)相比，可以實現(xiàn)傳統(tǒng)以太網(wǎng)或快速以太網(wǎng)的平滑升級及無縫連接，并不需要掌握新的配置，管理與故障排除技術(shù)，且有很高的性能價格比。3．設(shè)備選型。在小型企業(yè)局域網(wǎng)設(shè)計中，網(wǎng)絡(luò)設(shè)備的選擇主要是對以太網(wǎng)交換機的選擇，因此交換機的性能將直接影響整個網(wǎng)絡(luò)的實施，因此了解交換機的參數(shù)是非常重要的，這有助于更好的選擇符合實際需求的交換機。1）交換機的主要性能參數(shù)背板帶寬與端口速率交換機的端口速率已經(jīng)從10Mbit/s,100Mbit/s提高到1000Mbit/s和10Gbit/s，1000Mbit/s和10Gbit/s主要應(yīng)用在大型網(wǎng)絡(luò)的骨干網(wǎng)絡(luò)中，對于100Mbit/s交換機來說，還有一個常用的參數(shù)是速率的自動匹配，即交換機端口速率可以與網(wǎng)卡的速率匹配，決定是運行100Mbit/s還是10Mbit/s，除子端口速率外還有背板帶寬，它為交換機的高負荷下提供高速速率。交換方式以太網(wǎng)交換機有3種交換方式：直通交換，存儲轉(zhuǎn)發(fā)，無碎片交換。目前大多數(shù)交換機都支持直通和存儲轉(zhuǎn)發(fā)，部分交換機支持無碎片交換，存儲轉(zhuǎn)發(fā)相對于其它方式可靠性高些，因此存儲轉(zhuǎn)發(fā)是最常用。模塊化及固定配置交換機的選擇。目前市場上的交換機有兩種：模塊化和固定化。模塊化交換機能提供一系列擴展模塊，比如千兆以太網(wǎng)模塊，F(xiàn)DDI模塊，ATM模塊等，能將具有不同協(xié)議，不同拓撲結(jié)構(gòu)的網(wǎng)絡(luò)連接起來，具有很強的可擴展性，但是價格昂貴。固定配置交換機一般具有固定端口的配置，可擴展性顯然不如模塊化交換機，但成本低很多。一般大型網(wǎng)絡(luò)的中心交換機應(yīng)考慮選擇模塊化交換機，這樣有利于網(wǎng)絡(luò)的可擴展性和冗余性，而二級交換機或小型網(wǎng)絡(luò)的主干交換機則選擇價格低廉的固定化交換機。交換機采用何種VLANVLAN的劃分方法有：基于端口的VLAN劃分，基于MAC地址的VLAN劃分，基于IP地址的VLAN劃分，目前在小型網(wǎng)絡(luò)中，基于端口的VLAN劃分以其價格低廉，針對性強得到廣泛應(yīng)用。是否支持堆疊提供堆疊端口的交換機可以通過專用的堆疊方式連接起來，對于不支持堆疊的交換機，可采用級連的方式實現(xiàn)交換機的連接，上聯(lián)交換機可以通過上聯(lián)端口實現(xiàn)與骨干交換機的連接。在本例中接入層交換機采用CISCO2960系列交換機可以滿足企業(yè)需求。2）三層交換機的選擇根據(jù)用戶的網(wǎng)絡(luò)結(jié)構(gòu)和應(yīng)用，選擇三層交換機一般要注意如下幾個方面：性能穩(wěn)定三層交換機多用于骨干和匯聚層，如果性能不穩(wěn)定將影響整個網(wǎng)絡(luò)的大部分主機，所以只有性能穩(wěn)定的三層交換機才是網(wǎng)絡(luò)系統(tǒng)連續(xù)，可靠，安全和正常運行的保證。衡量三層交換機的性能指標主要包括：交換容量，背板帶寬，處理能力，吞吐量等技術(shù)指標。對于有幾百臺計算機的小型企業(yè)網(wǎng)絡(luò)園區(qū)網(wǎng)中，幾十Gbit/s的背板帶寬就可以滿足應(yīng)用，對于幾千甚至幾上萬臺計算機的大型企業(yè)網(wǎng)中，則需要支持幾百Gbit/s的大型交換機。功能齊全產(chǎn)品不但要滿足現(xiàn)有需求，還應(yīng)滿足未來一段時間內(nèi)的需求，從而給用戶一個增值空間，如當(dāng)公司員工增加時，可以插上模塊來擴充而不必淘汰原有設(shè)備，還有一些功能如組播，QOS，端口干路，SpanningTree以及是否支持RIP，OSPF路由協(xié)議，對于三層交換機這是非常必要的。組播：在VOD應(yīng)用中，如果一組用戶同時點播一個節(jié)目，用組播協(xié)議可以保證交換機在高密度視頻流點播時非常順暢地進行數(shù)據(jù)處理，反之，如果交換機不支持組播協(xié)議，則占用的帶寬就會相當(dāng)大。QOS:QOS可能根據(jù)用戶不同需求將其劃分為不同等級，可以使寬帶運營商根據(jù)流量計費，從而為不同用戶提供不同服務(wù)。訪問控制列表：如果在接入層劃分VLAN，則不同的VLAN用戶間是不能通信的，因為這是基于第二層的VLAN，若想通信，必須通過第三層.如企業(yè)的財務(wù)部和市場部，一般是不來往的，若有用戶需要訪問，則網(wǎng)管人員可能通過三層交換機進行簡單的命令行設(shè)置，即訪問控制列表，可以實現(xiàn)不同VLAN間的單向或雙向通信，如果發(fā)現(xiàn)某IP地址總發(fā)送無用數(shù)據(jù)包到自己網(wǎng)絡(luò)中，則可以在訪問列表中設(shè)置，禁止其發(fā)送數(shù)據(jù)包。分布式優(yōu)于集中式。傳統(tǒng)總線式交換結(jié)構(gòu)模塊是集中式，現(xiàn)代交換模塊是分布式，由于企業(yè)內(nèi)聯(lián)網(wǎng)中運行的視頻，音頻及數(shù)據(jù)信息量越來越大，使之對交換機處理能力的要求越來越高，為了實現(xiàn)在高端口密度條件下的高速無阻塞交換，采用分布式第三層交換機是明智的選擇。安全可靠三層交換機作為網(wǎng)絡(luò)核心設(shè)備，是黑客攻擊的重要對象，這就要求必須將三層交換機納入網(wǎng)絡(luò)安全防護的范圍，所以，從安全上看，配備支持性能優(yōu)良，沒有安全漏洞，有防火墻功能的三層交換機是非常必要的。任何產(chǎn)品都不能保證其不發(fā)生故障，關(guān)鍵是發(fā)生故障時能否迅速切換到一個好的設(shè)備上，所以，從可靠上看，在硬件上要考慮冗余能力，如電源，管理模塊和端口等重要部件是否支持冗余，這對諸如電信，金融等對安全可靠性要求高的用戶尤其重要。還有散熱方式，最后對寬帶運營商來說，認證功能也是考察的重要方面，是否支持一些特殊的協(xié)議如802.1X等，以實現(xiàn)認證。在本例中三層交換機使用CISCO3560系列可以滿足企業(yè)需求。5.VLAN的應(yīng)用及IP地址規(guī)劃。PCIP地址所屬VLAN區(qū)域PC1192.168.10.10/2410財務(wù)部PC2192.168.20.10/2420市場部PC3192.168.20.20/2420市場部PC4192.168.20.30/2420市場部PC5192.168.30.10/24PC6200.200.200.2/24SW2F0/3192.168.2.9/29F0/4192.168.22.1/24SERVERF0/1192.168.22.22/24R1F0/3192.168.2.10/29F0/1192.168.30.1/24S0/1192.168.1.1/30R2F0/1200.200.200.1/24S0/1200.200.200.2/246．配置命令：SW1的配置命令：Switch(config#hostnamesw1sw1(config#lineconsole0sw1(config-line#nologinsw1(config-line#loggingsynsw1(config-line#loggingsynchronoussw1(config-line#linevty04sw1(config-line#nologinsw1(config-line#exitsw1(config#vlan10sw1(config-vlan#vlan20sw1(config-vlan#exitsw1(config#intrangefastethernet0/1-2sw1(config-if-range#switchportmodetrunksw1(config-if-range#switchporttrunkallowedvlanallsw1(config-if-range#exitsw1(config#intf0/3sw1(config-if#switchportmodeaccesssw1(config-if#switchportaccessvlan10sw1(config-if#exitsw1(config#intf0/4sw1(config-if#switchportmodeaccesssw1(config-if#switchportaccessvlan20sw1(config-if#exitsw1(config#intf0/5sw1(config-if#switchportmodeaccesssw1(config-if#switchportaccessvlan20sw1(config-if#exitsw1(config#intf0/6sw1(config-if#switchportmodeaccesssw1(config-if#switchportaccessvlan20sw1(config-if#end%SYS-5-CONFIG_I:Configuredfromconsolebyconsolesw1#showvlanbriefVLANNameStatusPorts----------------------------------------------------------------------------1defaultactiveFa0/1,Fa0/2,Fa0/7,Fa0/8Fa0/9,Fa0/10,Fa0/11,Fa0/12Fa0/13,Fa0/14,Fa0/15,Fa0/16Fa0/17,Fa0/18,Fa0/19,Fa0/20Fa0/21,Fa0/22,Fa0/23,Fa0/24Gig1/1,Gig1/210VLAN0010activeFa0/320VLAN0020activeFa0/4,Fa0/5,Fa0/61002fddi-defaultactive1003token-ring-defaultactive1004fddinet-defaultactive1005trnet-defaultactiveSW1#showipintbInterfaceIP-AddressOK?MethodStatusProtocolFastEthernet0/1unassignedYESmanualupupFastEthernet0/2unassignedYESmanualupupFastEthernet0/3unassignedYESmanualupupFastEthernet0/4unassignedYESmanualupupFastEthernet0/5unassignedYESmanualupupFastEthernet0/6unassignedYESmanualupupSW2的配置命令：Switch(config#hostnamesw2sw2(config#lineconsole0sw2(config-line#nologinsw2(config-line#loggingsynsw2(config-line#loggingsynchronoussw2(config-line#linevty04sw2(config-line#nologinsw2(config-line#exitsw2(config#vlan10sw2(config-vlan#vlan20sw2(config-vlan#exitsw2(config#intrangefastethernet0/1-2sw2(config-if-range#switchportmodetrunksw2(config-if-range#switchporttrunkallowedvlanallsw2(config-if-range#exitsw2(config#iproutingsw2(config#intvlan10sw2(config-if#ipaddress192.168.10.1255.255.255.0sw2(config-if#exitsw2(config#intvlan20sw2(config-if#ipaddress192.168.20.1255.255.255.0sw2(config-if#exitsw2(config#intf0/3sw2(config-if#noswitchportsw2(config-if#ipaddress192.168.2.9255.255.255.248sw2(config-if#noshutdownsw2(config-if#exitsw2(config#intf0/4sw2(config-if#noswitchportsw2(config-if#ipaddress192.168.22.1255.255.255.0sw2(config-if#noshutdownsw2(config-if#exitsw2(config#spanning-treevlan1-4094priority0sw2(config#endSW2#showipintbInterfaceIP-AddressOK?MethodStatusProtocolFastEthernet0/1unassignedYESmanualupupFastEthernet0/2unassignedYESmanualupupFastEthernet0/3192.168.2.9YESmanualupupFastEthernet0/4192.168.22.1YESmanualupupVlan1unassignedYESmanualadministrativelydowndownVlan10192.168.10.1YESmanualupupVlan20192.168.20.1YESmanualupup路由器R1的基本配置命令：r1(config#hostnameR1R1(config#lineconsole0R1(config-line#nologinR1(config-line#exitR1(config#linevty04R1(config-line#nologinR1(config-line#R1(config-line#exitR1(config#intf0/0R1(config-if#ipaddress192.168.2.10255.255.255.248R1(config-if#noshutdownR1(config-if#exitR1(config#intf1/0R1(config-if#ipaddress192.168.30.1255.255.255.0R1(config-if#noshutdown%LINK-5-CHANGED:InterfaceFastEthernet1/0,changedstatetoup%LINEPROTO-5-UPDOWN:LineprotocolonInterfaceFastEthernet1/0,changedstatetoupR1(config-if#exitR1(config#ints2/0R1(config-if#clockrate64000R1(config-if#exit%LINEPROTO-5-UPDOWN:LineprotocolonInterfaceSerial2/0,changedstatetoupR1(config-if#encapsulationhdlcR1(config-if#ipaddress192.168.1.1255.255.255.252R1(config-if#noshutdownR1(config-if#exitR1(config#end%SYS-5-CONFIG_I:ConfiguredfromconsolebyconsoleR1#showipintbInterfaceIP-AddressOK?MethodStatusProtocolFastEthernet0/0192.168.2.10YESmanualupupFastEthernet1/0192.168.30.1YESmanualupupSerial2/0192.168.1.1YESmanualupupSerial3/0unassignedYESmanualadministrativelydowndownFastEthernet4/0unassignedYESmanualadministrativelydowndownFastEthernet5/0unassignedYESmanualadministrativelydowndown路由器R2的基本配置命令：R2(config#lineconsole0R2(config-line#nologinR2(config-line#exitR2(config#linevty04R2(config-line#nologinR2(config-line#exitR2(config#intf1/0R2(config-if#ipaddress200.200.200.1255.255.255.0R2(config-if#noshutdown%LINK-5-CHANGED:InterfaceFastEthernet1/0,changedstatetoup%LINEPROTO-5-UPDOWN:LineprotocolonInterfaceFastEthernet1/0,changedstatetoupR2(config-if#exitR2(config#ints2/0R2(config-if#encapsulationhdlcR2(config-if#ipaddress192.168.1.2255.255.255.252R2(config-if#noshutdownR2(config-if#end%SYS-5-CONFIG_I:ConfiguredfromconsolebyconsoleR2#showipintbriefInterfaceIP-AddressOK?MethodStatusProtocolFastEthernet0/0unassignedYESmanualadministrativelydowndownFastEthernet1/0200.200.200.1YESmanualupupSerial2/0192.168.1.2YESmanualupupSerial3/0unassignedYESmanualadministrativelydowndownFastEthernet4/0unassignedYESmanualadministrativelydowndownFastEthernet5/0unassignedYESmanualadministrativelydowndownR1#ping192.168.1.2Typeescapesequencetoabort.Sending5,100-byteICMPEchosto192.168.1.2,timeoutis2seconds:!!!!!Successrateis100percent(5/5,round-tripmin/avg/max=31/34/47msR2#ping192.168.1.1Typeescapesequencetoabort.Sending5,100-byteICMPEchosto192.168.1.1,timeoutis2seconds:!!!!!Successrateis100percent(5/5,round-tripmin/avg/max=31/31/32ms（1）靜態(tài)路由配置：（用靜態(tài)路由實現(xiàn)）SW2(config#iproute0.0.0.00.0.0.0192.168.2.10R1(config#iproute192.168.10.0255.255.255.0192.168.2.9R1(config#iproute192.168.20.0255.255.255.0192.168.2.9R1(config#iproute192.168.22.0255.255.255.0192.168.2.9R1(config#end%SYS-5-CONFIG_I:ConfiguredfromconsolebyconsoleR1#showiprouteCodes:C-connected,S-static,I-IGRP,R-RIP,M-mobile,B-BGPD-EIGRP,EX-EIGRPexternal,O-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2,E-EGPi-IS-IS,L1-IS-ISlevel-1,L2-IS-ISlevel-2,ia-IS-ISinterarea*-candidatedefault,U-per-userstaticroute,o-ODRP-periodicdownloadedstaticrouteGatewayoflastresortisnotset192.168.1.0/30issubnetted,1subnetsC192.168.1.0isdirectlyconnected,Serial2/0192.168.2.0/29issubnetted,1subnetsC192.168.2.8isdirectlyconnected,FastEthernet0/0S192.168.10.0/24[1/0]via192.168.2.9S192.168.20.0/24[1/0]via192.168.2.9S192.168.22.0/24[1/0]via192.168.2.9C192.168.30.0/24isdirectlyconnected,FastEthernet1/0R1#R1#ping192.168.22.22Typeescapesequencetoabort.Sending5,100-byteICMPEchosto192.168.22.22,timeoutis2seconds:.!!!!Successrateis80percent(4/5,round-tripmin/avg/max=47/54/63msR2(config#iproute192.168.10.0255.255.255.0192.168.1.1R2(config#iproute192.168.20.0255.255.255.0192.168.1.1R2(config#iproute192.168.22.0255.255.255.0192.168.1.1R2(config#iproute192.168.30.0255.255.255.0192.168.1.1R2(config#end%SYS-5-CONFIG_I:ConfiguredfromconsolebyconsoleR2#showiprouteCodes:C-connected,S-static,I-IGRP,R-RIP,M-mobile,B-BGPD-EIGRP,EX-EIGRPexternal,O-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2,E-EGPi-IS-IS,L1-IS-ISlevel-1,L2-IS-ISlevel-2,ia-IS-ISinterarea*-candidatedefault,U-per-userstaticroute,o-ODRP-periodicdownloadedstaticrouteGatewayoflastresortisnotset192.168.1.0/30issubnetted,1subnetsC192.168.1.0isdirectlyconnected,Serial2/0S192.168.10.0/24[1/0]via192.168.1.1S192.168.20.0/24[1/0]via192.168.1.1S192.168.22.0/24[1/0]via192.168.1.1S192.168.30.0/24[1/0]via192.168.1.1C200.200.200.0/24isdirectlyconnected,FastEthernet1/0R2#ping192.168.22.22Typeescapesequencetoabort.Sending5,100-byteICMPEchosto192.168.22.22,timeoutis2seconds:!!!!!Successrateis100percent(5/5,round-tripmin/avg/max=79/85/94ms（2）RIP路由配置（用動態(tài)路由實現(xiàn)）R1(config#routeripR1(config-router#version2R1(config-router#noauto-summaryR1(config-router#network192.168.1.0R1(config-router#network192.168.2.8R1(config-router#network192.168.30.0R2(config#routeripR2(config-router#version2R2(config-router#noauto-summaryR2(config-router#network192.168.1.0R2(config-router#network200.200.200.0R1#showiprouteripR200.200.200.0/24[120/1]via192.168.1.2,Serial2/0R2#showiprouteripR192.168.2.8/29[120/1]via192.168.1.1,Serial2/0R192.168.30.0/24[120/1]via192.168.1.1,Ser