政企信息中心網(wǎng)絡(luò)安全規(guī)劃與設(shè)計(jì)目錄一、 項(xiàng)目介紹 3二、 需求分析 3三、 規(guī)劃設(shè)計(jì) 43.1. 網(wǎng)絡(luò)拓?fù)湟?guī)劃 43.2. 技術(shù)方案規(guī)劃 43.3. IP地址規(guī)劃 5四、 配置實(shí)施 64.1. 核心區(qū)域 64.1.1. 路由器R1 64.1.2. 路由器R2 74.1.3. 防火墻FW1 74.1.4. 防火墻FW2 84.1.5. 核心交換機(jī)1 94.1.6. 核心交換機(jī)2 124.2. 匯聚交換機(jī) 154.3. 接入交換機(jī) 164.4. 服務(wù)器接入 194.5. 無線網(wǎng)絡(luò) 194.5.1. 無線AC 194.5.2. POE交換機(jī) 20五、 驗(yàn)證測試 215.1. 外網(wǎng)訪問測試 215.2. 政務(wù)內(nèi)網(wǎng)訪問測試 215.3. 無線網(wǎng)絡(luò)訪問測試 225.4. VRRP 235.5. 端口聚合 245.6. OSPF 25項(xiàng)目介紹某政企單位需要建設(shè)企業(yè)局域網(wǎng)，單位內(nèi)部有辦公樓、行政樓與宿舍樓，單位內(nèi)部部署有應(yīng)用系統(tǒng)服務(wù)器，網(wǎng)絡(luò)建設(shè)要求有線、無線網(wǎng)絡(luò)全覆蓋，單位內(nèi)部之間可以相互通信，可以訪問內(nèi)網(wǎng)服務(wù)器，還可以互聯(lián)網(wǎng)辦公。為保障網(wǎng)絡(luò)運(yùn)行安全穩(wěn)定，網(wǎng)絡(luò)建設(shè)要求安全、可靠且具有冗余架構(gòu)。需求分析單位有辦公樓3棟，行政樓1棟，宿舍樓2棟，現(xiàn)需要將他們相互連接起來組建成一個(gè)政企局域網(wǎng)網(wǎng)絡(luò)，彼此之間實(shí)現(xiàn)相互訪問，資源共享。分析該單位網(wǎng)絡(luò)建設(shè)整體需求具體如下：網(wǎng)絡(luò)規(guī)劃設(shè)計(jì)整體要求安全、可靠、冗余且可擴(kuò)展等。網(wǎng)絡(luò)使用要求有線、無線網(wǎng)絡(luò)全覆蓋。為保障單位網(wǎng)絡(luò)信息安全，單位內(nèi)網(wǎng)與互聯(lián)網(wǎng)外網(wǎng)之間使用防火墻做安全防御。網(wǎng)絡(luò)規(guī)劃IP網(wǎng)段等設(shè)計(jì)按照不同樓棟等不同功能區(qū)域進(jìn)行劃分，不同區(qū)域使用不同IP地址網(wǎng)段，每個(gè)網(wǎng)段對應(yīng)不同VLAN。所有服務(wù)器等應(yīng)用系統(tǒng)全部部署到網(wǎng)絡(luò)數(shù)據(jù)中心區(qū)域，單位網(wǎng)絡(luò)內(nèi)部都可以訪問FTP、DNS等應(yīng)用系統(tǒng)服務(wù)器。為方便單位員工網(wǎng)絡(luò)連接使用，單位網(wǎng)絡(luò)內(nèi)部所有客戶端都通過DHCP方式自動(dòng)獲取IP地址。為保障網(wǎng)絡(luò)信息安全，所有接入交換機(jī)開啟端口安全功能，每個(gè)端口只允許一個(gè)MAC地址通過。單位內(nèi)部所有區(qū)域都可以訪問互聯(lián)網(wǎng)網(wǎng)絡(luò)，通過NAT地址轉(zhuǎn)換方式進(jìn)行訪問。單位無線網(wǎng)絡(luò)要求采用企業(yè)WLAN方式進(jìn)行部署，所有AP由AC控制器統(tǒng)一控制管理。無線網(wǎng)絡(luò)覆蓋范圍內(nèi)都可以自動(dòng)連接、無縫漫游。規(guī)劃設(shè)計(jì)網(wǎng)絡(luò)拓?fù)湟?guī)劃網(wǎng)絡(luò)拓?fù)浒凑者壿嬕?guī)劃設(shè)計(jì)為三層架構(gòu)，分為核心層、匯聚層、接入層，核心層與匯聚之間運(yùn)行三層網(wǎng)絡(luò)架構(gòu)，匯聚與接入交換機(jī)之間采用二層網(wǎng)絡(luò)架構(gòu)，終端設(shè)備網(wǎng)關(guān)設(shè)計(jì)在匯聚層交換機(jī)上。單位內(nèi)網(wǎng)與互聯(lián)網(wǎng)之間采用防火墻做安全防護(hù)，再通過NAT地址轉(zhuǎn)換訪問互聯(lián)網(wǎng)。網(wǎng)絡(luò)網(wǎng)絡(luò)拓?fù)渚唧w規(guī)劃如下：圖3-1網(wǎng)絡(luò)拓?fù)湟?guī)劃圖技術(shù)方案規(guī)劃網(wǎng)絡(luò)技術(shù)方案整體規(guī)劃如下：核心交換機(jī)采用二臺交換機(jī)作為主備冗余，彼此之間使用雙鏈路連接，兩條物理鏈路之間使用端口聚合技術(shù)聚合成一條邏輯鏈路。主備核心之間使用VRRP熱備份路由器協(xié)議，與匯聚之間使用MSTP生產(chǎn)樹防止網(wǎng)絡(luò)產(chǎn)生環(huán)路。核心交換機(jī)與防火墻、出口路由器等各個(gè)網(wǎng)絡(luò)設(shè)備之間使用OSPF動(dòng)態(tài)路由協(xié)議進(jìn)行相互通信。安全防火墻、出口路由器全部采用二臺做雙機(jī)架構(gòu)，分別連接到電信、移動(dòng)二個(gè)互聯(lián)網(wǎng)出口，實(shí)現(xiàn)互聯(lián)網(wǎng)出口安全、冗余。不同區(qū)域IP網(wǎng)段使用不同VLAN，匯聚與接入之間的二層采用VLANTrunk協(xié)議進(jìn)行相互通信。核心交換機(jī)上配置DHCP服務(wù)與IP地址池，讓無線網(wǎng)絡(luò)終端設(shè)備可以通過DHCP自動(dòng)獲取IP地址。開啟DHCPSnooping功能，防止DHCP干擾攻擊。防火墻劃分內(nèi)外安全區(qū)域，配置只允許單位網(wǎng)內(nèi)部訪問互聯(lián)網(wǎng)，禁止互聯(lián)網(wǎng)訪問單位網(wǎng)，保障網(wǎng)絡(luò)信息安全。無線網(wǎng)絡(luò)采用企業(yè)WLAN方式進(jìn)行部署，所有無線AP由無線AC控制器進(jìn)行統(tǒng)一控制管理，釋放一個(gè)SSID無線信號，單位網(wǎng)無線網(wǎng)絡(luò)覆蓋范圍內(nèi)可以自動(dòng)連接、無縫漫游。服務(wù)器建設(shè)有FTP、DNS等服務(wù)器，在DNS服務(wù)器山配置域名解析服務(wù)，讓終端設(shè)備可以通過域名訪問內(nèi)外網(wǎng)服務(wù)器。IP地址規(guī)劃根據(jù)單位網(wǎng)絡(luò)規(guī)模大小，設(shè)計(jì)采用私有地址中C類IP地址，整體先使用/16網(wǎng)段，網(wǎng)絡(luò)根據(jù)不同區(qū)域、業(yè)務(wù)劃分成/24位的子網(wǎng)，每個(gè)子網(wǎng)對應(yīng)一個(gè)VLAN網(wǎng)段，采用本網(wǎng)段最后一個(gè)IP地址192.168.*.254作為本網(wǎng)段的IP地址網(wǎng)關(guān)。具體IP地址規(guī)劃如下：業(yè)務(wù)IP地址規(guī)劃：序號名稱VLAN網(wǎng)段子網(wǎng)掩碼網(wǎng)關(guān)1辦公樓110192.168.00.x192.168.00.2542辦公樓220192.168.20.x543辦公樓330192.168.30.x544行政樓40192.168.40.x545宿舍樓150192.168.50.x546宿舍樓260192.168.60.x547服務(wù)器群70192.168.70.x548無線80192.168.80.X54配置實(shí)施根據(jù)網(wǎng)絡(luò)規(guī)劃設(shè)計(jì)，在華為ENSP網(wǎng)絡(luò)模擬器上進(jìn)行模擬配置實(shí)施，各個(gè)網(wǎng)絡(luò)設(shè)備具體配置如下：核心區(qū)域路由器R1出口路由器R1與R2與防火墻之間運(yùn)行OSPF路由協(xié)議，與互聯(lián)網(wǎng)使用默認(rèn)路由，再做NAT地址轉(zhuǎn)換讓內(nèi)網(wǎng)可以訪問互聯(lián)網(wǎng)。配置接口IP地址interfaceGigabitEthernet0/0/2//進(jìn)入端口ipaddress52//配置接口IPquit//退出interfaceGigabitEthernet0/0/1ipaddress52quitinterfaceGigabitEthernet0/0/0ipaddress52quit配置內(nèi)、外部路由iproute-static0//配置外部默認(rèn)路由ospf1//創(chuàng)建OSPF進(jìn)程1area0//配置area為0network//發(fā)布路由網(wǎng)段networkquitquit配置ACL，將ACL綁定到外部接口做NATaclnumber3001//配置高級ACLrule1permitipsource55//配置策略，允許內(nèi)網(wǎng)所有IPquitinterfaceGigabitEthernet0/0/2//進(jìn)入G0/0/2端口natoutbound3001//配置將ACL3001中的IP做Nat地址轉(zhuǎn)換quit路由器R2路由器R2的配置原理與R1一樣。配置接口IPinterfaceGigabitEthernet0/0/2ipaddress52quitinterfaceGigabitEthernet0/0/1ipaddress52quitinterfaceGigabitEthernet0/0/0ipaddress52quit配置外部默認(rèn)路由，內(nèi)部OSPF路由iproute-static0ospf1area0networknetworkquitquit配置ACL，出接口上綁定ACL做NATaclnumber3001rule1permitipsource55quitinterfaceGigabitEthernet0/0/2natoutbound3001quit防火墻FW1出口防火墻FW1與FW2用于內(nèi)網(wǎng)網(wǎng)安全防御，其中任何一臺發(fā)生故障都不影響單位網(wǎng)絡(luò)訪問互聯(lián)網(wǎng)。防火墻上配置接口IP地址，OSPF路由、劃分內(nèi)外安全域、內(nèi)外網(wǎng)之間安全訪問策略。配置命令：配置接口IP：interfaceGigabitEthernet1/0/2//進(jìn)入G1/0/2接口ipaddress52//配置IPservice-manageallpermit//允許PING等所有服務(wù)quitinterfaceGigabitEthernet1/0/0ipaddress152service-manageallpermitquitinterfaceGigabitEthernet1/0/1ipaddress352service-manageallpermitquit劃分內(nèi)外安全區(qū)域，單位網(wǎng)為內(nèi)部trust，互聯(lián)網(wǎng)為外部untrust區(qū)域：firewallzonetrust//創(chuàng)建內(nèi)部trust區(qū)域addinterfaceGigabitEthernet1/0/0//將端口G1/0/0加入addinterfaceGigabitEthernet1/0/1quitfirewallzoneuntrust//創(chuàng)建外部untrust區(qū)域addinterfaceGigabitEthernet1/0/2//將端口G1/0/2加入quit配置外部默認(rèn)路由，發(fā)布內(nèi)部OSPF路由：ospf1area0networknetwork2network0quitquit配置安全策略，只允許內(nèi)部訪問外部security-policy//進(jìn)入安全策略配置模式rulename1//創(chuàng)建安全規(guī)則1source-zonetrust//源區(qū)域?yàn)閮?nèi)部destination-zoneuntrust//目的區(qū)域?yàn)橥獠縜ctionpermit//允許訪問防火墻FW2防火墻FW2需要配置的業(yè)務(wù)與FW1一致。配置命令：配置接口IP：interfaceGigabitEthernet1/0/0ipaddress252service-manageallpermitquitinterfaceGigabitEthernet1/0/1ipaddress852service-manageallpermitquitinterfaceGigabitEthernet1/0/2ipaddress052service-manageallpermitquit劃分內(nèi)外安全區(qū)域，單位網(wǎng)為內(nèi)部trust，互聯(lián)網(wǎng)為外部untrust區(qū)域：firewallzonetrustaddinterfaceGigabitEthernet1/0/0addinterfaceGigabitEthernet1/0/1quitfirewallzoneuntrustaddinterfaceGigabitEthernet1/0/2quit配置OSPF路由：ospf1area0network0network6networkquitquit配置安全策略，只允許內(nèi)部訪問外部security-policyrulename1source-zonetrustdestination-zoneuntrustactionpermitquitquit核心交換機(jī)1核心交換機(jī)1與2通過雙鏈路連接，使用端口聚合技術(shù)。與防火墻之間通過三層路由連接，使用OSPF動(dòng)態(tài)路由，需要配置端口聚合、接口IP地址、發(fā)布OSPF路由等。創(chuàng)建路由VLAN與接口IP地址vlan201//創(chuàng)建VLAN201interfaceVlanif201//創(chuàng)建vlanif01ipaddress452//配置接口IPquitinterfaceGigabitEthernet0/0/3//進(jìn)入G0/0/3端口portlink-typeaccess//配置成ACCESS模式portdefaultvlan201//將端口加入到VLAN201quit配置業(yè)務(wù)VLAN，MSTPvlan10//創(chuàng)建業(yè)務(wù)VLAN10vlan20//創(chuàng)建業(yè)務(wù)VLAN20vlan30vlan40vlan50vlan60vlan70vlan80quitstpregion-configuration//進(jìn)入STP配置模式instance1vlan10to40//配置實(shí)例1，將VLAN10-40加入到實(shí)例1中instance2vlan50to80//配置實(shí)例2，將VLAN50-80加入到實(shí)例1中activeregion-configuration//激活STP配置quitstpinstance1rootprimary//配置為實(shí)例1的根橋stpinstance2rootsecondary//配置為實(shí)例2的備用根橋核心1與2之間端口聚合interfaceEth-Trunk1//創(chuàng)建聚合組1portlink-typetrunk//配置模式為Trunkporttrunkallow-passvlanall//允許所有VLAN通過quitinterfaceGigabitEthernet0/0/1//進(jìn)入端口1eth-trunk1//加入到聚合組1quitinterfaceGigabitEthernet0/0/2eth-trunk1quit配置業(yè)務(wù)VLANIP地址，VRRP等業(yè)務(wù)，其中VLAN10-40的VRRP優(yōu)先級高于核心2，作為VRRP主，VLAN50-80的VRRP優(yōu)先級低于核心2，作為VRRP備。interfaceVlanif10//創(chuàng)建VLANIF10ipaddress52//配置接口IPvrrpvrid10virtual-ip54//配置VRRP虛擬IPvrrpvrid10priority120//配置VRRP的優(yōu)先級vrrpvrid10trackinterfaceGigabitEthernet0/0/3reduced50quitinterfaceVlanif20ipaddress52vrrpvrid20virtual-ip54vrrpvrid20priority120quitinterfaceVlanif30ipaddress52vrrpvrid30virtual-ip54vrrpvrid30priority120quitinterfaceVlanif40ipaddress52vrrpvrid40virtual-ip54vrrpvrid40priority120quitinterfaceVlanif50ipaddress52vrrpvrid50virtual-ip54vrrpvrid50priority80quitinterfaceVlanif60ipaddress52vrrpvrid60virtual-ip54vrrpvrid60priority80quitinterfaceVlanif70ipaddress52vrrpvrid70virtual-ip54vrrpvrid70priority80quitinterfaceVlanif80ipaddress52vrrpvrid80virtual-ip54vrrpvrid80priority80quit配置無線DHCPippool80//創(chuàng)建地址池80gateway-list54//配置DHCP分配的網(wǎng)關(guān)networkmask//配置DHCP分配的網(wǎng)段dns-list//配置DHCP分配的DNSquitdhcpenable//開啟DHCP服務(wù)interfaceVlanif80//進(jìn)入VLANIF80dhcpselectglobal//在該接口啟用全局地址池quit發(fā)布OSPF路由，配置默認(rèn)路由指向防火墻虛擬地址ospf1areanetwork2network55network55network55network55network55network55network55network55quitquit配置與接入交換機(jī)之間端口Trunk模式port-group1//創(chuàng)建端口組1group-memberGigabitEthernet0/0/4toGigabitEthernet0/0/24//將端口4-24加入portlink-typetrunk//配置成Trunkporttrunkallow-passvlanall//允許所有VLAN通過quit核心交換機(jī)2核心交換機(jī)1與2通過雙鏈路連接，使用端口聚合技術(shù)。與匯聚之間通過二層連接，需要配置端口聚合、接口IP地址、VRRP、MSTP發(fā)布OSPF路由等。配置原理需求與核心1一樣。創(chuàng)建路由VLAN與接口IP地址vlanbatch201interfaceVlanif201ipaddress852quitinterfaceGigabitEthernet0/0/3portlink-typeaccessportdefaultvlan201quit配置業(yè)務(wù)VLAN，MSTPvlan10vlan20vlan30vlan40vlan50vlan60vlan70vlan80quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitstpinstance2rootprimarystpinstance1rootsecondary核心1與2之間端口聚合interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlanallquitinterfaceGigabitEthernet0/0/1eth-trunk1quitinterfaceGigabitEthernet0/0/2eth-trunk1quit配置業(yè)務(wù)VLANIP地址，VRRP等，核心2為VLAN50-80的VRRP主，其它網(wǎng)段的VRRP備。interfaceVlanif10ipaddress53vrrpvrid10virtual-ip54vrrpvrid10priority80quitinterfaceVlanif20ipaddress53vrrpvrid20virtual-ip54vrrpvrid20priority80quitinterfaceVlanif30ipaddress53vrrpvrid30virtual-ip54vrrpvrid30priority80quitinterfaceVlanif40ipaddress53vrrpvrid40virtual-ip54vrrpvrid40priority80quitinterfaceVlanif50ipaddress53vrrpvrid50virtual-ip54vrrpvrid50priority120quitinterfaceVlanif60ipaddress53vrrpvrid60virtual-ip54vrrpvrid60priority120quitinterfaceVlanif70ipaddress53vrrpvrid70virtual-ip54vrrpvrid70priority120quitinterfaceVlanif80ipaddress53vrrpvrid80virtual-ip54vrrpvrid80priority120quit配置無線DHCPippool80gateway-list54networkmaskdns-listquitinterfaceVlanif80dhcpselectglobalquit發(fā)布OSPF路由，配置默認(rèn)路由指向防火墻虛擬地址ospf1areanetwork6network55network55network55network55network55network55network55network55quitquit配置與接入交換機(jī)之間端口Trunk模式port-group1group-memberGigabitEthernet0/0/4toGigabitEthernet0/0/24portlink-typetrunkporttrunkallow-passvlanallquit匯聚交換機(jī)匯聚交換機(jī)與上聯(lián)核心、下聯(lián)接入之間運(yùn)行VLANTrunk協(xié)議、MSTP協(xié)議，所有匯聚交換機(jī)配置方法原理都一樣創(chuàng)建業(yè)務(wù)VLAN，MSTP生成樹。vlan10vlan20vlan30vlan40vlan50vlan60vlan70vlan80quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquit配置端口級聯(lián)全部為Trunk模式port-grou1group-memberGigabitEthernet0/0/1toGigabitEthernet0/0/24portlink-typetrunkporttrunkallow-passvlanallquit開啟DHCPsnooping功能，讓交換機(jī)只從上端核心獲取DHCP分配IPdhcpenabledhcpsnoopingenableinterfaceGigabitEthernet0/0/1dhcpsnoopingtrustedquitinterfaceGigabitEthernet0/0/2dhcpsnoopingtrustedquit接入交換機(jī)接入交換機(jī)用于終端設(shè)備網(wǎng)絡(luò)接入使用，上聯(lián)匯聚為Trunk模式，下聯(lián)終端設(shè)備ACCESS模式，將端口加入到相應(yīng)VLAN，開啟端口安全功能，所有接入配置原理一樣，加入到不同VLAN當(dāng)中。辦公樓1接入vlan10quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitport-group1//創(chuàng)建端口組1group-memberEthernet0/0/1toEthernet0/0/22//將端口1-22加入portlink-typeaccess//配置成ACCESS模式portdefaultvlan10//加入到VLAN10中port-securityenable//開啟端口安全功能quit辦公樓2接入vlan20quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitport-group1group-memberEthernet0/0/1toEthernet0/0/22portlink-typeaccessportdefaultvlan20port-securityenablequit辦公樓3接入vlan30quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitport-group1group-memberEthernet0/0/1toEthernet0/0/22portlink-typeaccessport-securityenableportdefaultvlan30quit行政樓接入vlan40quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitport-group1group-memberEthernet0/0/1toEthernet0/0/22portlink-typeaccessport-securityenableportdefaultvlan40quit宿舍樓1接入vlan50quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitport-group1group-memberEthernet0/0/1toEthernet0/0/22portlink-typeaccessport-securityenableportdefaultvlan50quit宿舍樓2接入vlan60quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitport-group1group-memberEthernet0/0/1toEthernet0/0/22portlink-typeaccessport-securityenableportdefaultvlan60quit服務(wù)器接入服務(wù)器接入交換機(jī)配置原理與接入交換機(jī)一樣。創(chuàng)建業(yè)務(wù)VLAN，配置MSTPvlan70quitstpregion-configurationinstance1vlan10to40instance2vlan50to80activeregion-configurationquit配置級聯(lián)端口TrunkinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitinterfaceGigabitEthernet0/0/2portlink-typetrunkporttrunkallow-passvlanallquit配置業(yè)務(wù)端口ACCESSport-group1group-memberGigabitEthernet0/0/3toGigabitEthernet0/0/24portlink-typeaccessportdefaultvlan70quit無線網(wǎng)絡(luò)無線AC無線AC控制器用于對所有AP進(jìn)行統(tǒng)一控制管理，下發(fā)無線信號等。以旁掛方式接在無線匯聚交換機(jī)上，使用Trunk方式連接。無線SSID：zhengqiwang，密碼：abcd1234創(chuàng)建VLAN，配置級聯(lián)端口、接口IP、默認(rèn)路由等。vlan80quitinterfaceGigabitEthernet0/0/1portlink-typetrunkporttrunkallow-passvlanallquitinterfaceVlanif80ipaddress50quitiproute-static54//配置默認(rèn)路由配置管理AP上線隧道VLAN為113，區(qū)域?yàn)橹袊–N），AP采用不需要認(rèn)證直接上線方式。capwapsourceinterfaceVlanif80//配置AP上線的源接口VLANwlan//進(jìn)入無線配置模式regulatory-domain-profilenamedefault//配置默認(rèn)域country-codeCN//配置默認(rèn)域?yàn)镃N中國quit