湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

目錄

1.項(xiàng)目概述.........................................................1

1.1公司介紹.....................................................1

1.2項(xiàng)目背景.....................................................1

2.網(wǎng)絡(luò)規(guī)劃.........................................................1

2.1項(xiàng)目需求及拓?fù)?..............................................1

2.2IP地址及VLAN規(guī)劃...........................................2

3.設(shè)備選型.........................................................3

3.1核心交換機(jī)選型...............................................4

3.1接入交換機(jī)選型...............................................5

3.2路由器選型...................................................5

3.3防火墻選型...................................................7

4.相關(guān)網(wǎng)絡(luò)技術(shù).....................................................8

4.1DHCP技術(shù)....................................................8

4.2鏈路聚合技術(shù).................................................8

4.3VSU堆疊技術(shù).................................................9

4.4NAT技術(shù).....................................................9

4.5VRRP技術(shù)...................................................10

4.6IPSec技術(shù)..................................................10

4.7STP技術(shù)....................................................11

4.8防火墻技術(shù)..................................................12

5.相關(guān)網(wǎng)絡(luò)配置....................................................12

5.1IP地址及VLAN配置..........................................12

5.2配置VSU堆疊................................................15

5.3配置VRRP...................................................15

5.4配置STP....................................................16

5.5DHCP配置...................................................16

5.6靜態(tài)路由配置................................................17

I

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

5.7NAT配置....................................................18

5.8IPSec配置..................................................18

6.網(wǎng)絡(luò)測(cè)試........................................................19

6.1DHCP驗(yàn)證測(cè)試...............................................19

6.2測(cè)試連通性..................................................20

7.設(shè)計(jì)小結(jié)........................................................21

參考資料...........................................................22

II

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

湖南創(chuàng)飛公司網(wǎng)絡(luò)規(guī)劃設(shè)計(jì)

1.項(xiàng)目概述

1.1公司介紹

湖南創(chuàng)飛公司成立于2020年4月是一家專(zhuān)業(yè)的信息網(wǎng)絡(luò)基礎(chǔ)設(shè)施服務(wù)和解

決方案提供商，數(shù)據(jù)中心服務(wù)（IDC）、系統(tǒng)集成（等保安全服務(wù)）以及云服務(wù)：

作為專(zhuān)業(yè)的云計(jì)算與大數(shù)據(jù)應(yīng)用基礎(chǔ)服務(wù)提供商，依靠自身雄厚的技術(shù)與豐富的

資源，秉承“為客戶(hù)提供優(yōu)質(zhì)服務(wù)”的宗旨，嚴(yán)守“高穩(wěn)定性、高可用性、高安

全性”的原則，在湖南地區(qū)運(yùn)營(yíng)了多個(gè)IDC數(shù)據(jù)中心，在系統(tǒng)集成方面，為滿足

廣大用戶(hù)日益增長(zhǎng)的需求，在不斷發(fā)展的過(guò)程中逐步建立起了一套完善的營(yíng)銷(xiāo)網(wǎng)

絡(luò)體系，讓客戶(hù)可以能享有售前技術(shù)咨詢(xún)、售中合理化方案和售后標(biāo)準(zhǔn)化服務(wù)等

一系列完善的服務(wù)和支持。

1.2項(xiàng)目背景

隨著信息時(shí)代的到來(lái)信息時(shí)代使得獲取各種信息變得更加容易和快速。信息

時(shí)代將世界連接在一起，人們可以通過(guò)互聯(lián)網(wǎng)實(shí)時(shí)交流和合作。社交網(wǎng)絡(luò)的興起

改變了人們的社交方式。人們可以通過(guò)社交媒體平臺(tái)與朋友、家人和共同興趣的

人保持聯(lián)系，擴(kuò)大社交圈子。信息時(shí)代為教育帶來(lái)了革命性的變化。信息時(shí)代推

動(dòng)了科技的迅速發(fā)展和創(chuàng)新。數(shù)字技術(shù)、人工智能、物聯(lián)網(wǎng)等技術(shù)的進(jìn)步為各個(gè)

領(lǐng)域帶來(lái)了新的機(jī)會(huì)和解決方案，推動(dòng)社會(huì)的進(jìn)步和發(fā)展。信息時(shí)代為我們的生

活帶來(lái)了巨大的改變和便利，我們可以更加高效地獲取信息、交流和學(xué)習(xí)，同時(shí)

也提供了更多的機(jī)會(huì)和可能性。數(shù)據(jù)傳輸系統(tǒng)是我們?nèi)粘Ｉ钪薪?jīng)常使用的技

術(shù)，以互聯(lián)網(wǎng)為代表的計(jì)算機(jī)網(wǎng)絡(luò)為數(shù)據(jù)傳輸系統(tǒng)的發(fā)展提供了廣闊的空間，但

隨著數(shù)據(jù)量的增加和網(wǎng)絡(luò)安全的問(wèn)題，目前現(xiàn)有的數(shù)據(jù)傳輸系統(tǒng)已經(jīng)無(wú)法滿足用

戶(hù)的需求。

2.網(wǎng)絡(luò)規(guī)劃

2.1項(xiàng)目需求及拓?fù)?/p>

公司業(yè)務(wù)不斷發(fā)展壯大，為適應(yīng)IT行業(yè)技術(shù)飛速發(fā)展，滿足公司業(yè)務(wù)發(fā)展

需要，集團(tuán)公司決定建設(shè)長(zhǎng)沙總部與福州分部的信息化網(wǎng)絡(luò)。考慮的因素如下：

1、先進(jìn)性：應(yīng)用網(wǎng)絡(luò)設(shè)備應(yīng)代表現(xiàn)在計(jì)算機(jī)技術(shù)的最高水平。同時(shí)系統(tǒng)必

1

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

須是發(fā)展自一個(gè)成熟的體系，并且該體系有著良好的未來(lái)發(fā)展，能夠隨時(shí)適應(yīng)技

術(shù)發(fā)展和業(yè)務(wù)發(fā)展變化的需求，能夠輕松的適應(yīng)未來(lái)的網(wǎng)絡(luò)。

2、實(shí)用性：網(wǎng)絡(luò)設(shè)備要考慮“性?xún)r(jià)比”，以滿足系統(tǒng)設(shè)計(jì)需求為配置目標(biāo)，

并不盲目地追求最高性能、最大容量。應(yīng)根據(jù)應(yīng)用的需求配置適當(dāng)?shù)奶幚硇阅芎?/p>

容量，同時(shí)考慮今后信息量增加的情況。

3、可擴(kuò)展性：安全系統(tǒng)能隨著系統(tǒng)的增加而擴(kuò)展，具有長(zhǎng)遠(yuǎn)的生命周期和

可擴(kuò)充性，能適應(yīng)現(xiàn)在和未來(lái)需要。能通過(guò)增加內(nèi)部或者外部硬件。實(shí)現(xiàn)安全系

統(tǒng)的性能和容量擴(kuò)展，滿足未來(lái)信息量發(fā)展的需要。

圖1：湖南創(chuàng)飛公司網(wǎng)絡(luò)拓?fù)鋱D

2.2IP地址及VLAN規(guī)劃

表1：VLAN及IP地址規(guī)劃表格

設(shè)備接口或VLAN二層或三層規(guī)劃VLAN名稱(chēng)

CS-VSU（S1-S2）vlan100/24研發(fā)-CS

vlan200/24財(cái)務(wù)-CS

Vlan300/24人事-CS

Vlan500/24銷(xiāo)售-CS

Vlan10000/24管理

2

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

Gi1/0/1/30

Gi1/0/2/30

Gi1/0/3/30

Lookback0/32

CS-S3Vlan10Gi0/1研發(fā)-CS

Vlan20Gi0/6財(cái)務(wù)-CS

Vlan30Gi0/11人事-CS

Vlan50Gi0/16銷(xiāo)售-CS

Vlan100管理

CS-S4Vlan10Gi0/1研發(fā)-CS

Vlan20Gi0/6財(cái)務(wù)-CS

Vlan30Gi0/11人事-CS

Vlan50Gi0/16銷(xiāo)售-CS

Vlan100管理

CS-S5Vlan10Gi0/1研發(fā)-CS

Vlan20Gi0/6財(cái)務(wù)-CS

Vlan30Gi0/11人事-CS

Vlan50Gi0/16銷(xiāo)售-CS

Vlan100Gi0/1管理

R1Gi0/0/30

Gi0/1/30

Gi0/2

Lookback0/32

3.設(shè)備選型

表2設(shè)備選型

設(shè)備廠商設(shè)備型號(hào)設(shè)備名稱(chēng)設(shè)備數(shù)量

銳捷RG-S6120-24XMG4XS4VS-UP-H核心交換機(jī)2

銳捷RG-S2906-24GT4MS-L接入交換機(jī)3

銳捷RG-RSR20-XA-24路由器1

銳捷RG-WALL1600-Z3200防火墻1

3

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

3.1核心交換機(jī)選型

RG-S6100多速率系列交換機(jī)采用了新一代的硬件架構(gòu)以及先進(jìn)的節(jié)能電路

設(shè)計(jì)和元器件選型，為用戶(hù)節(jié)省能耗，同時(shí)降低噪音污染。全系列產(chǎn)品均采用軸

流變速風(fēng)扇設(shè)計(jì)，設(shè)備可根據(jù)當(dāng)前的溫度智能控制風(fēng)扇轉(zhuǎn)速，保障設(shè)備穩(wěn)定工作

的同時(shí)，降低功耗和噪聲。核心交換機(jī)RG-S6120-24XMG4XS4VS-UP-H如圖3所示。

圖2RG-S6120-24XMG4XS4VS-UP-H核心交換機(jī)

設(shè)備RG-S6120-24XMG4XS4VS-UP-H參數(shù)如下表3所示。

表3RG-S6120-24XMG4XS4VS-UP-H由器參數(shù)信息表

RG-S6120-24XMG4XS4VS-UP-H

固化端口24個(gè)100M/1000M/2.5G/5G/10G自適應(yīng)電口，4

個(gè)10GSFP+光口，4個(gè)25GSFP28光口

交換容量2.56Tbps/25.6Tbps

包轉(zhuǎn)發(fā)率720Mpps/1260Mpps

過(guò)濾非法的MAC地址

支持廣播風(fēng)暴抑制

管理員分級(jí)管理和口令保護(hù)

安全特性支持RADIUS和TACACS+

支持SSH

支持BPDUGuard

支持CPP、NFPP

支持靜態(tài)路由

支持RIP，RIPng

IP路由支持OSPFv2，OSPFv3，IS-ISv4，IS-ISv6

支持BGP4，BGP4+

支持等價(jià)路由

支持VSU（虛擬化技術(shù)，將多臺(tái)設(shè)備虛擬成1臺(tái)）

支持GRforRIP/OSPF/BGP等路由協(xié)議

支持BFD檢測(cè)

支持REUP

高可靠性

支持RLDP

支持電源1+1冗余備份

電源模塊

風(fēng)扇模塊支持熱插拔功能

4

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

3.1接入交換機(jī)選型

RG-S2906-L系列交換機(jī)是銳捷網(wǎng)絡(luò)面向商業(yè)地產(chǎn)、酒店、中小企業(yè)的新一

代高性?xún)r(jià)比接入交換機(jī)。該系列包含了PoE、非PoE等多種端口形態(tài)的產(chǎn)品型號(hào)，

能很好滿足有線、無(wú)線以及監(jiān)控等場(chǎng)景的需求。接入交換機(jī)RG-S2906-24GT4MS-L

如圖表4所示。

圖3接入交換機(jī)RG-S2906-24GT4MS-L

設(shè)備RG-S2906-24GT4MS-L參數(shù)如下表3所示。

表4RG-S2906-24GT4MS-L路由器參數(shù)信息表

RG-S2906-24GT4MS-L

24個(gè)10/100/1000Base-T自適應(yīng)以太網(wǎng)接口、4個(gè)

固定端口

2.5G/1GSFP接口

交換容量336Gbps/3.36Tbps

包轉(zhuǎn)發(fā)率51/126Mpps

過(guò)濾非法的MAC地址

安全特性

支持硬件CPP、NFPP

IP路由IPv4/IPv6靜態(tài)路由

SNMP

CLI(Telnet/Console)

管理特性Syslog/Debug

NTP、TFTP

Web、WIS公有云平臺(tái)管理

支持MAC擴(kuò)展ACL

支持ACL80

ACL

支持全局ACL

支持ACL重定向

3.2路由器選型

RG-RSR20-XA系列多業(yè)務(wù)接入路由器是銳捷網(wǎng)絡(luò)堅(jiān)持自主創(chuàng)新，面向企業(yè)網(wǎng)

云架構(gòu)和云業(yè)務(wù)的需求，推出的下一代盒式接入路由器。RG-RSR20-XA系列產(chǎn)品

5

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

采用安全自主方案，融合了路由、交換、安全等多種接入網(wǎng)絡(luò)應(yīng)用，同時(shí)在性能、

端口密度和速率、可靠性等方面進(jìn)行了全面提升，能夠?yàn)槠髽I(yè)邊緣網(wǎng)絡(luò)提供低成

本一體化解決方案，充分滿足未來(lái)業(yè)務(wù)擴(kuò)展的多元化應(yīng)用需求和趨勢(shì)。

RG-RSR20-XA系列產(chǎn)品內(nèi)置狀態(tài)防火墻功能，具備完善的抗流量攻擊能力；

具備豐富的軟件特性，支持MPLS、VPN、組播、IPv6、NAT等多種應(yīng)用技術(shù)，以

及豐富的備份方案及QoS特性，并且無(wú)須單獨(dú)購(gòu)買(mǎi)軟件License或業(yè)務(wù)板卡，為

客戶(hù)節(jié)省了投資成本。路由器RG-RSR20-XA-24如圖5所示。

圖4路由器RG-RSR20-XA-24

設(shè)備RG-RSR20-XA-24參數(shù)如下表4所示。

表5RG-RSR20-XA-24路由器參數(shù)信息表

RG-RSR20-XA-24

接口支持以太網(wǎng)接口、E1/CE1接口、POS接口、4G/5G接口

支持DHCPServer/Relay、Client、DHCPSnooping

IP業(yè)務(wù)支持靜態(tài)/動(dòng)態(tài)NAT、靜態(tài)/動(dòng)態(tài)NAPT、VPNNAT等

支持雙棧、支持GRE隧道等

支持靜態(tài)路由、RIPv1/v2、OSPFv2、BGP、IS-IS、策略路由、

路由策略等

IP路由

支持靜態(tài)路由、RIPng、OSPFv3、BGP4+、ISISv6、等價(jià)路由、

策略路由等

各組件支持熱插拔

支持GRforOSPF/IS-IS/BGP

支持BFDforVRRP/OSPF/BGP4/ISIS/ISISv6/MPLS/靜態(tài)路由

可靠性

等

支持VRRP

支持VRRPv3

支持防攻擊保護(hù)、DoS/DDoS防御、分片包攻擊防御、SYN攻

擊防御、IP欺騙攻擊防御

安全

支持L2TP、IPSec、GRE等

支持802.1x/Portal/Mac等多種認(rèn)證方式

6

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

支持RADIUS和TACACS+用戶(hù)登錄認(rèn)證

支持uRPF

支持登錄認(rèn)證、口令安全

支持SSHv2，為用戶(hù)登錄提供安全加密通道

支持國(guó)密局商密算法

3.3防火墻選型

隨著社交網(wǎng)絡(luò)、云計(jì)算、大數(shù)據(jù)等新熱點(diǎn)的出現(xiàn)，互聯(lián)網(wǎng)邁向了歷史上從未

有過(guò)的繁榮階段，隨之而來(lái)的信息化安全問(wèn)題日益復(fù)雜，傳統(tǒng)安全建設(shè)模式面臨

著巨大挑戰(zhàn)。銳捷網(wǎng)絡(luò)從市場(chǎng)實(shí)際需求出發(fā)，結(jié)合多年的技術(shù)積累與“下一代防

火墻”的發(fā)展趨勢(shì)，推出了銳捷網(wǎng)絡(luò)新一代防火墻RG-WALL1600-Z3200。

RG-WALL1600-Z3200采用基于DPDK的高性能網(wǎng)絡(luò)轉(zhuǎn)發(fā)業(yè)務(wù)平臺(tái)，提供主動(dòng)

資產(chǎn)發(fā)現(xiàn)、智能策略管家、一鍵故障分析、業(yè)務(wù)健康診斷功能來(lái)簡(jiǎn)化產(chǎn)品上線及

運(yùn)維；具有豐富的安全功能，能夠支持入侵防御、防病毒、端口掃描、流量學(xué)習(xí)、

應(yīng)用控制、DoS/DDoS防護(hù)等功能；支持云平臺(tái)統(tǒng)一管理、數(shù)據(jù)同步云端分析與

報(bào)告、遠(yuǎn)程監(jiān)控與運(yùn)維。設(shè)備RG-WALL1600-Z3200參數(shù)如圖6所示。

圖5防火墻RG-WALL1600-Z3200

設(shè)備RG-WALL1600-Z3200參數(shù)如下表5所示。

表6RG-WALL1600-Z3200防火墻參數(shù)信息表

防火墻類(lèi)型中小企業(yè)級(jí)防火墻

屬性RG-WALL1600-Z3200

網(wǎng)絡(luò)端口8個(gè)GE電口+1個(gè)GE光口+1個(gè)10GE光口

控制端口2個(gè)USB2.0接口

支持設(shè)置SSL代理策略。

可根據(jù)對(duì)象、內(nèi)容、區(qū)域等參數(shù)來(lái)自定義策略

SSL代理

支持策略列表的呈現(xiàn)

支持設(shè)置SSL代理模板

7

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

可選擇保護(hù)客戶(hù)端、保護(hù)服務(wù)器類(lèi)型

支持設(shè)置內(nèi)容對(duì)象模板、提供IPS入侵檢測(cè)模板

支持設(shè)置入侵防御模板

入侵檢測(cè)

可根據(jù)對(duì)象、嚴(yán)重性、協(xié)議、威脅類(lèi)別設(shè)置規(guī)則過(guò)濾器

支持設(shè)置規(guī)則例外

支持設(shè)置內(nèi)容對(duì)象模板、提供文件過(guò)濾模板（根據(jù)文件類(lèi)型）

過(guò)濾

支持URL過(guò)濾

支持NAT策略，提供NAT地址轉(zhuǎn)換

支持NAT策略的批量導(dǎo)入功能

NAT轉(zhuǎn)換提供常見(jiàn)的NATALG服務(wù)

提供服務(wù)器端口映射功能

提供NAT地址池狀態(tài)顯示

4.相關(guān)網(wǎng)絡(luò)技術(shù)

4.1DHCP技術(shù)

DHCP是DynamicHostConfigurationProtocol之縮寫(xiě)﹐它的前身是BOOTP。

BOOTP原本是用于無(wú)磁碟主機(jī)連接的網(wǎng)路上面的﹕網(wǎng)路主機(jī)使用BOOTROM而不是

磁碟起動(dòng)并連接上網(wǎng)路﹐BOOTP則可以自動(dòng)地為那些主機(jī)設(shè)定TCP/IP環(huán)境。但

BOOTP有一個(gè)缺點(diǎn)：您在設(shè)定前須事先獲得客戶(hù)端的硬體位址，而且，與IP的

對(duì)應(yīng)是靜態(tài)的。換而言之，BOOTP非常缺乏"動(dòng)態(tài)性"，若在有限的IP資源環(huán)境

中，BOOTP的一對(duì)一對(duì)應(yīng)會(huì)造成非?？捎^的浪費(fèi)。

DHCP可以說(shuō)是BOOTP的增強(qiáng)版本﹐它分為兩個(gè)部份﹕一個(gè)是服務(wù)器端﹐而

另一個(gè)是客戶(hù)端。所有的IP網(wǎng)路設(shè)定資料都由DHCP伺服器集中管理﹐并負(fù)責(zé)處

理客戶(hù)端的DHCP要求﹔而客戶(hù)端則會(huì)使用從伺服器分配下來(lái)的IP環(huán)境資料。比

較起B(yǎng)OOTP，DHCP透過(guò)"租約"的概念，有效且動(dòng)態(tài)的分配客戶(hù)端的TCP/IP設(shè)定，

而且，作為兼容考量，DHCP也完全照顧了BOOTPClient的需求。

4.2鏈路聚合技術(shù)

鏈路聚合（英語(yǔ)：LinkAggregation）是一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)術(shù)語(yǔ)，指將多個(gè)物

理端口匯聚在一起，形成一個(gè)邏輯端口，以實(shí)現(xiàn)出/入流量吞吐量在各成員端口

8

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

的負(fù)荷分擔(dān)，交換機(jī)根據(jù)用戶(hù)配置的端口負(fù)荷分擔(dān)策略決定網(wǎng)絡(luò)封包從哪個(gè)成員

端口發(fā)送到對(duì)端的交換機(jī)。當(dāng)交換機(jī)檢測(cè)到其中一個(gè)成員端口的鏈路發(fā)生故障

時(shí)，就停止在此端口上發(fā)送封包，并根據(jù)負(fù)荷分擔(dān)策略在剩下的鏈路中重新計(jì)算

報(bào)文的發(fā)送端口，故障端口恢復(fù)后再次擔(dān)任收發(fā)端口。鏈路聚合在增加鏈路帶寬、

實(shí)現(xiàn)鏈路傳輸彈性和工程冗余等方面是一項(xiàng)很重要的技術(shù)。

4.3VSU堆疊技術(shù)

VSU系統(tǒng)是由傳統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)中的兩臺(tái)冗余備份的雙核心設(shè)備組成的單一的

邏輯實(shí)體，例如位于匯聚層的VSU系統(tǒng)可以看作單獨(dú)的一臺(tái)交換機(jī)與核心層、

接入層進(jìn)行交互。

VSU系統(tǒng)由兩臺(tái)機(jī)箱構(gòu)成，當(dāng)構(gòu)建VSU系統(tǒng)時(shí)，兩臺(tái)系統(tǒng)通過(guò)一定的選舉

協(xié)議確定主從身份。其中的一臺(tái)機(jī)箱變?yōu)橹鳈C(jī)箱，另外一臺(tái)機(jī)箱作為從機(jī)箱。

主機(jī)箱內(nèi)的全局主管理板負(fù)責(zé)控制整個(gè)VSU系統(tǒng)，運(yùn)行控制面協(xié)議并參與

數(shù)據(jù)轉(zhuǎn)發(fā)；而從機(jī)箱僅參與數(shù)據(jù)轉(zhuǎn)發(fā)并實(shí)時(shí)同步接收主機(jī)箱的狀態(tài)。由于從機(jī)箱

僅僅允許轉(zhuǎn)發(fā)面工作，從機(jī)箱接收到的控制面數(shù)據(jù)流需要轉(zhuǎn)發(fā)給主機(jī)箱內(nèi)的全局

主管理板進(jìn)行處理。

4.4NAT技術(shù)

NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）是一種技術(shù)，它允許專(zhuān)用網(wǎng)絡(luò)（如局域網(wǎng)）中的主機(jī)

通過(guò)一個(gè)裝有NAT軟件的網(wǎng)絡(luò)設(shè)備（如路由器）連接到公共網(wǎng)絡(luò)（如因特網(wǎng)）。

這種轉(zhuǎn)換使得專(zhuān)用網(wǎng)絡(luò)可以使用較少的公共IP地址，從而節(jié)省IP地址資源。NAT

技術(shù)的主要優(yōu)點(diǎn)包括節(jié)省IP地址資源、提高網(wǎng)絡(luò)安全性以及增強(qiáng)網(wǎng)絡(luò)的靈活性。

NAT的實(shí)現(xiàn)方式主要有三種：

靜態(tài)轉(zhuǎn)換（StaticNat）：每個(gè)內(nèi)部網(wǎng)絡(luò)的主機(jī)都有一個(gè)固定的公有IP地

址，這使得每個(gè)內(nèi)部主機(jī)都可以直接訪問(wèn)外部網(wǎng)絡(luò)。

動(dòng)態(tài)轉(zhuǎn)換（DynamicNat）：內(nèi)部網(wǎng)絡(luò)的主機(jī)使用一個(gè)動(dòng)態(tài)分配的公有IP

地址，這增加了網(wǎng)絡(luò)的可擴(kuò)展性和靈活性。

端口多路復(fù)用（OverLoad）：通過(guò)改變數(shù)據(jù)包的源端口，實(shí)現(xiàn)多個(gè)內(nèi)部主

機(jī)使用同一個(gè)公有IP地址訪問(wèn)外部網(wǎng)絡(luò)。

NAT技術(shù)的工作原理涉及數(shù)據(jù)包在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的轉(zhuǎn)換。當(dāng)內(nèi)部

網(wǎng)絡(luò)的主機(jī)需要與外部網(wǎng)絡(luò)通信時(shí)，其數(shù)據(jù)包的源IP地址會(huì)被轉(zhuǎn)換為NAT設(shè)備

分配的公有IP地址。數(shù)據(jù)包到達(dá)目的地后，NAT設(shè)備會(huì)將其源IP地址轉(zhuǎn)換回私

有IP地址，以便數(shù)據(jù)包能夠正確地返回到內(nèi)部網(wǎng)絡(luò)。

需要注意的是，NAT技術(shù)雖然能夠節(jié)省IP地址資源，但也存在一些局限性，

9

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

例如可能會(huì)導(dǎo)致網(wǎng)絡(luò)延遲增加，以及一些應(yīng)用可能無(wú)法正常工作。此外，NAT技

術(shù)還可能違反一些網(wǎng)絡(luò)設(shè)計(jì)原則，如網(wǎng)絡(luò)分層設(shè)計(jì)和安全性原則。

總結(jié)來(lái)說(shuō)，NAT技術(shù)是一種過(guò)渡技術(shù)，它通過(guò)地址轉(zhuǎn)換解決了IPv4地址短

缺的問(wèn)題，同時(shí)提高了網(wǎng)絡(luò)的安全性和靈活性。

4.5VRRP技術(shù)

VRRP是一種選擇協(xié)議，它可以把一個(gè)虛擬路由器的責(zé)任動(dòng)態(tài)分配到局域網(wǎng)

上的VRRP路由器中的一臺(tái)?？刂铺摂M路由器IP地址的VRRP路由器稱(chēng)為主路

由器，它負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)包到這些虛擬IP地址。一旦主路由器不可用，這種選擇

過(guò)程就提供了動(dòng)態(tài)的故障轉(zhuǎn)移機(jī)制，這就允許虛擬路由器的IP地址可以作為終

端主機(jī)的默認(rèn)第一跳路由器。是一種LAN接入設(shè)備備份協(xié)議。一個(gè)局域網(wǎng)絡(luò)內(nèi)的

所有主機(jī)都設(shè)置缺省網(wǎng)關(guān)，這樣主機(jī)發(fā)出的目的地址不在本網(wǎng)段的報(bào)文將被通過(guò)

缺省網(wǎng)關(guān)發(fā)往三層交換機(jī)，從而實(shí)現(xiàn)了主機(jī)和外部網(wǎng)絡(luò)的通信。

VRRP是一種路由容錯(cuò)協(xié)議，也可以叫做備份路由協(xié)議。一個(gè)局域網(wǎng)絡(luò)內(nèi)的

所有主機(jī)都設(shè)置缺省路由，當(dāng)網(wǎng)內(nèi)主機(jī)發(fā)出的目的地址不在本網(wǎng)段時(shí)，報(bào)文將被

通過(guò)缺省路由發(fā)往外部路由器，從而實(shí)現(xiàn)了主機(jī)與外部網(wǎng)絡(luò)的通信。當(dāng)缺省路由

器down掉（即端口關(guān)閉）之后，內(nèi)部主機(jī)將無(wú)法與外部通信，如果路由器設(shè)置

了VRRP時(shí)，那么這時(shí)，虛擬路由將啟用備份路由器，從而實(shí)現(xiàn)全網(wǎng)通信。

在VRRP協(xié)議中，有兩組重要的概念：VRRP路由器和虛擬路由器，主控路由

器和備份路由器。VRRP路由器是指運(yùn)行VRRP的路由器，是物理實(shí)體；虛擬路由

器是指VRRP協(xié)議創(chuàng)建的，是邏輯概念。一組VRRP路由器協(xié)同工作，共同構(gòu)成一

臺(tái)虛擬路由器。該虛擬路由器對(duì)外表現(xiàn)為一個(gè)具有唯一固定的IP地址和MAC地

址的邏輯路由器。處于同一個(gè)VRRP組中的路由器具有兩種互斥的角色：主控路

由器和備份路由器，一個(gè)VRRP組中有且只有一臺(tái)處于主控角色的路由器，可以

有一個(gè)或者多個(gè)處于備份角色的路由器VRRP協(xié)議從路由器組中選出一臺(tái)作為主

控路由器，負(fù)責(zé)ARP解析和轉(zhuǎn)發(fā)IP數(shù)據(jù)包，組中的其他路由器作為備份的角色

并處于待命狀態(tài)，當(dāng)由于某種原因主控路由器發(fā)生故障時(shí)，其中的一臺(tái)備份路由

器能在瞬間的時(shí)延后升級(jí)為主控路由器，由于此切換非常迅速而且不用改變IP

地址和MAC地址，故對(duì)終端使用者系統(tǒng)是透明的。

4.6IPSec技術(shù)

IPSec是IETF（InternetEngineeringTaskForce，即國(guó)際互聯(lián)網(wǎng)工程技

術(shù)小組）提出的使用密碼學(xué)保護(hù)IP層通信的安全保密架構(gòu)，是一個(gè)協(xié)議簇，通

過(guò)對(duì)IP協(xié)議的分組進(jìn)行加密和認(rèn)證來(lái)保護(hù)IP協(xié)議的網(wǎng)絡(luò)傳輸協(xié)議簇（一些相互

10

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

關(guān)聯(lián)的協(xié)議的集合）。

IPSec可以實(shí)現(xiàn)以下4項(xiàng)功能:①數(shù)據(jù)機(jī)密性：IPSec發(fā)送方將包加密后再通

過(guò)網(wǎng)絡(luò)發(fā)送。②數(shù)據(jù)完整性：IPSec可以驗(yàn)證IPSec發(fā)送方發(fā)送的包，以確保

數(shù)據(jù)傳輸時(shí)沒(méi)有被改變。③數(shù)據(jù)認(rèn)證：IPSec接受方能夠鑒別IPsec包的發(fā)送起

源。此服務(wù)依賴(lài)數(shù)據(jù)的完整性。④反重放:IPSec接受方能檢查并拒絕重放包。

IPSec主要由以下協(xié)議組成：

一、認(rèn)證頭（AH），為IP數(shù)據(jù)報(bào)提供無(wú)連接數(shù)據(jù)完整性、消息認(rèn)證以及防

重放攻擊保護(hù)；

二、封裝安全載荷（ESP），提供機(jī)密性、數(shù)據(jù)源認(rèn)證、無(wú)連接完整性、防

重放和有限的傳輸流（traffic-flow）機(jī)密性；

三、安全關(guān)聯(lián)（SA），提供算法和數(shù)據(jù)包，提供AH、ESP操作所需的參數(shù)。

四、密鑰協(xié)議（IKE），提供對(duì)稱(chēng)密碼的鑰匙的生存和交換。

4.7STP技術(shù)

STP（SpanningTreeProtocol）是生成樹(shù)協(xié)議的英文縮寫(xiě)，可應(yīng)用于計(jì)算

機(jī)網(wǎng)絡(luò)中樹(shù)形拓?fù)浣Y(jié)構(gòu)建立，主要作用是防止網(wǎng)橋網(wǎng)絡(luò)中的冗余鏈路形成環(huán)路工

作。但某些特定因素會(huì)導(dǎo)致STP失敗，要排除故障可能非常困難，這取決于網(wǎng)絡(luò)

設(shè)計(jì)[1]。生成樹(shù)協(xié)議適合所有廠商的網(wǎng)絡(luò)設(shè)備，在配置上和體現(xiàn)功能強(qiáng)度上有

所差別，但是在原理和應(yīng)用效果是一致的。

STP的基本原理是，通過(guò)在交換機(jī)之間傳遞一種特殊的協(xié)議報(bào)文，網(wǎng)橋協(xié)議

數(shù)據(jù)單元（BridgeProtocolDataUnit，簡(jiǎn)稱(chēng)BPDU），來(lái)確定網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)。

BPDU有兩種，配置BPDU（ConfigurationBPDU）和TCNBPDU。前者是用于計(jì)算

無(wú)環(huán)的生成樹(shù)的，后者則是用于在二層網(wǎng)絡(luò)拓?fù)浒l(fā)生變化時(shí)產(chǎn)生用來(lái)縮短MAC

表項(xiàng)的刷新時(shí)間的（由默認(rèn)的300s縮短為15s）。

SpanningTreeProtocol（STP）的基本思想就是按照"樹(shù)"的結(jié)構(gòu)構(gòu)造網(wǎng)絡(luò)

的拓?fù)浣Y(jié)構(gòu)，樹(shù)的根是一個(gè)稱(chēng)為根橋的橋設(shè)備，根橋的確立是由交換機(jī)或網(wǎng)橋的

BID（BridgeID）確定的，BID最小的設(shè)備成為二層網(wǎng)絡(luò)中的根橋。BID又是由

網(wǎng)橋優(yōu)先級(jí)和MAC地址構(gòu)成，不同廠商的設(shè)備的網(wǎng)橋優(yōu)先級(jí)的字節(jié)個(gè)數(shù)可能不

同。由根橋開(kāi)始，逐級(jí)形成一棵樹(shù)，根橋定時(shí)發(fā)送配置BPDU，非根橋接收配置

BPDU，刷新最佳BPDU并轉(zhuǎn)發(fā)。這里的最佳BPDU指的是當(dāng)前根橋所發(fā)送的BPDU。

如果接收到了下級(jí)BPDU（新接入的設(shè)備會(huì)發(fā)送BPDU，但該設(shè)備的BID比當(dāng)前根

橋大），接收到該下級(jí)BPDU的設(shè)備將會(huì)向新接入的設(shè)備發(fā)送自己存儲(chǔ)的最佳

BPDU，以告知其當(dāng)前網(wǎng)絡(luò)中根橋；如果接收到的BPDU更優(yōu)，將會(huì)重新計(jì)算生成

樹(shù)拓?fù)?。?dāng)非根橋在離上一次接收到最佳BPDU最長(zhǎng)壽命（MaxAge，默認(rèn)20s）

11

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

后還沒(méi)有接收到最佳BPDU的時(shí)候，該端口將進(jìn)入監(jiān)聽(tīng)狀態(tài)，該設(shè)備將產(chǎn)生TCN

BPDU，并從根端口轉(zhuǎn)發(fā)出去，從指定端口接收到TCNBPDU的上級(jí)設(shè)備將發(fā)送確

認(rèn)，然后再向上級(jí)設(shè)備發(fā)送TCNBPDU，此過(guò)程持續(xù)到根橋?yàn)橹?，然后根橋在?/p>

后發(fā)送的配置BPDU中將攜帶標(biāo)記表明拓?fù)湟寻l(fā)生變化，網(wǎng)絡(luò)中的所有設(shè)備接收

到后將MAC表項(xiàng)的刷新時(shí)間從300s縮短為15s。整個(gè)收斂的時(shí)間為50s左右。

4.8防火墻技術(shù)

防火墻是一個(gè)由計(jì)算機(jī)硬件和軟件組成的系統(tǒng)，部署于網(wǎng)絡(luò)邊界，是內(nèi)部網(wǎng)

絡(luò)和外部網(wǎng)絡(luò)之間的連接橋梁，同時(shí)對(duì)進(jìn)出網(wǎng)絡(luò)邊界的數(shù)據(jù)進(jìn)行保護(hù)，防止惡意

入侵、惡意代碼的傳播等，保障內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)的安全。防火墻技術(shù)是建立在網(wǎng)

絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，幾乎所有的企業(yè)內(nèi)部網(wǎng)絡(luò)與外

部網(wǎng)絡(luò)（如因特網(wǎng)）相連接的邊界設(shè)都會(huì)放置防火墻，防火墻能夠起到安全過(guò)濾

和安全隔離外網(wǎng)攻擊、入侵等有害的網(wǎng)絡(luò)安全信息和行為。

防火墻遵循的基本準(zhǔn)則有兩點(diǎn)。第一，它會(huì)拒絕所有未經(jīng)說(shuō)明允許的命令。

防火墻的審查基礎(chǔ)的逐項(xiàng)審閱，任何一個(gè)服務(wù)請(qǐng)求和應(yīng)用操作都將被逐一審查符

合允許的命令后才可能執(zhí)行，這樣的操作方法為保證內(nèi)部計(jì)算機(jī)安全性提供了切

實(shí)可行的辦法。反而言之，用戶(hù)可以申請(qǐng)的服務(wù)和服務(wù)數(shù)量是有限的，提高了安

全性的同時(shí)也就減弱可用性。第二，它會(huì)允許所有未經(jīng)說(shuō)明拒絕的命令。防火墻

在傳遞所有信息的時(shí)候都是按照約定的命令執(zhí)行的，也就是會(huì)逐項(xiàng)審查后杜絕潛

在危害性的命令，這一點(diǎn)的缺陷就是可用性?xún)?yōu)于安全性的地位，但是增加安全性

的難度。

5.相關(guān)網(wǎng)絡(luò)配置

5.1IP地址及VLAN配置

CS-S1(config)#vl10

#創(chuàng)建vlan10

CS-S1(config-vlan)#nameyanfa

#Vlan10命名為研發(fā)

CS-S1(config-vlan)#exit

#退出

CS-S1(config)#vl20

#創(chuàng)建vlan20

CS-S1(config-vlan)#namecaiwu

12

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

#Vlan20命名為財(cái)務(wù)

CS-S1(config-vlan)#exit

#退出

CS-S1(config)#vl30

#創(chuàng)建vlan30

CS-S1(config-vlan)#namerenshi

#Vlan30命名為人事

CS-S1(config-vlan)#exit

#退出

CS-S1(config)#vl50

#創(chuàng)建vlan10

CS-S1(config-vlan)#namexiaosho

#Vlan50命名為銷(xiāo)售

CS-S1(config-vlan)#exit

#退出

CS-S1(config)#vl100

#創(chuàng)建vlan100

CS-S1(config-vlan)#nameguanli

#Vlan100命名為管理

CS-S1(config-vlan)#exit

#退出

CS-S1(config)#intgi1/0/1

#進(jìn)入gi1/0/1接口

CS-S1(config-if-GigabitEthernet1/0/1)#nosw

#關(guān)閉交換模式

CS-S1(config-if-GigabitEthernet1/0/1)#ipadd30

#配置ip地址

CS-S1(config-if-GigabitEthernet1/0/1)#exit

#退出

CS-S1(config)#intgi1/0/2

#進(jìn)入gi1/0/2接口

CS-S1(config-if-GigabitEthernet1/0/2)nosw

#關(guān)閉交換模式

CS-S1(config-if-GigabitEthernet1/0/2)#ipadd30

13

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

#配置ip地址

CS-S1(config-if-GigabitEthernet1/0/2)#exit

#退出

CS-S1(config)#intvl10

#進(jìn)入vlan10接口

CS-S1(config-if-VLAN10)#ipadd024

#配置ip地址

CS-S1(config-if-VLAN10)#exit

#退出

CS-S1(config)#intvl20

#進(jìn)入vlan20接口

CS-S1(config-if-VLAN20)#ipadd024

#配置ip地址

CS-S1(config-if-VLAN20)#exit

#退出

CS-S1(config)#intvl30

#進(jìn)入vlan30接口

CS-S1(config-if-VLAN30)#ipadd024

#配置ip地址

CS-S1(config-if-VLAN30)#exit

#退出

CS-S1(config)#intvl50

#進(jìn)入vlan50接口

CS-S1(config-if-VLAN50)#ipadd024

#配置ip地址

CS-S1(config-if-VLAN50)#exit

#退出

CS-S1(config)#intvl100

#進(jìn)入vlan100接口

CS-S1(config-if-VLAN100)#ipadd0024

#配置ip地址

CS-S1(config-if-VLAN100)#exit

#退出

14

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

5.2配置VSU堆疊

CS-S1(config)#swvirtdoma1

#創(chuàng)建虛擬域1

CS-S1(config-vs-domain)#swi1

#配置交換機(jī)id為1

CS-S1(config-vs-domain)#swi1pri160

#配置交換機(jī)1的優(yōu)先級(jí)為160，VSU建立成功后成為管理主機(jī)

CS-S1(config)#vsl-port

#進(jìn)入vsl管理配置

CS-S1(config-vsl-ap-1)#port-mintten0/49

#將ten0/50接口加入vsl管理組

CS-S1(config-vsl-ap-1)#port-mintten0/50

#將ten0/49接口加入vsl管理組

CS-S1#swconmovirt

#轉(zhuǎn)換為VSU模式

CS-S1#rel

#重新啟動(dòng)設(shè)備

5.3配置VRRP

CS-S1(config)#interfacevlan10

#進(jìn)入vlan10接口

CS-S1(config-if)#vrrp10ip54

#配置虛擬地址

CS-S1(config-if)#vrrp10priority150

#配置優(yōu)先級(jí)為150

CS-S1(config)#interfacevlan20

#進(jìn)入vlan20接口

CS-S1(config-if)#vrrp20ip54

#配置虛擬地址

CS-S1(config-if)#vrrp20priority150

#配置優(yōu)先級(jí)為150

CS-S1(config)#interfacevlan30

#進(jìn)入vlan30接口

15

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

CS-S1(config-if)#vrrp30ip54

#配置虛擬地址

CS-S1(config-if)#vrrp30priority150

#配置優(yōu)先級(jí)為150

CS-S1(config)#interfacevlan50

#進(jìn)入vlan50接口

CS-S1(config-if)#vrrp50ip54

#配置虛擬地址

CS-S1(config-if)#vrrp50priority150

#配置優(yōu)先級(jí)為150

5.4配置STP

CS-S1(config)#spanniena

#開(kāi)啟生成樹(shù)

CS-S1(config)#spannimomstp

#配置生成樹(shù)模式為mstp

CS-S1(config)#spannimstconfiguration

#進(jìn)入mst管理

CS-S1(config-mst)#instance1vl10,20,30,50

#配置實(shí)例1

CS-S1(config)#spannmst1priority4096

#配置優(yōu)先級(jí)為4096

5.5DHCP配置

CS-S1(config)#servicedhcp

#啟用DHCP

CS-S1(config)#ipdhcppoolvlan10

#創(chuàng)建名為vlan10的地址池

CS-S1(dhcp-config)#networking

#分配地址網(wǎng)段為

CS-S1(dhcp-config)#dns-server

#分配給客戶(hù)端的dns地址

CS-S1(dhcp-config)#default-router54

#分配給客戶(hù)端的網(wǎng)關(guān)地址

16

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

CS-S1(config)#servicedhcp

#啟用DHCP

CS-S1(config)#ipdhcppoolvlan20

#創(chuàng)建名為vlan20的地址池

CS-S1(dhcp-config)#net

#分配地址網(wǎng)段為

CS-S1(dhcp-config)#dns-server

#分配給客戶(hù)端的dns地址

CS-S1(dhcp-config)#default-router54

#分配給客戶(hù)端的網(wǎng)關(guān)地址

CS-S1(config)#servicedhcp

#啟用DHCP

CS-S1(config)#ipdhcppoolvlan30

#創(chuàng)建名為vlan30的地址池

CS-S1(dhcp-config)#net

#分配地址網(wǎng)段為

CS-S1(dhcp-config)#dns-server

#分配給客戶(hù)端的dns地址

CS-S1(dhcp-config)#default-router54

#分配給客戶(hù)端的網(wǎng)關(guān)地址

CS-S1(config)#servicedhcp

#啟用DHCP

CS-S1(config)#ipdhcppoolvlan50

#創(chuàng)建名為vlan50的地址池

CS-S1(dhcp-config)#networking

#分配地址網(wǎng)段為

CS-S1(dhcp-config)#dns-server

#分配給客戶(hù)端的dns地址

CS-S1(dhcp-config)#default-router54

#分配給客戶(hù)端的網(wǎng)關(guān)地址

5.6靜態(tài)路由配置

CS-S1(config)#iproute

#配置靜默路由

17

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

CS-S1(config)#iproute

#配置靜默路由

5.7NAT配置

R1(config)#ipaccess-listextended110

#創(chuàng)建擴(kuò)展acl100

R1(config-ext-nacl)#denyip55

55

#拒絕172網(wǎng)段流量訪問(wèn)192網(wǎng)段流量

R1(config-ext-nacl)#permitipanyany

#允許其他流量通過(guò)

R1(config)#ipnatoutsidesourcelist110poolnat_pool

#內(nèi)網(wǎng)的其他流量通過(guò)nat訪問(wèn)外網(wǎng)

R1(config-GigabitEthernet0/0)#ipnatinside

#配置nat的內(nèi)網(wǎng)口

R1(config-GigabitEthernet0/1)#ipnatinside

#配置nat的內(nèi)網(wǎng)口

R1(config-Serial2/0)#ipnatoutside

#配置nat的外網(wǎng)口

5.8IPSec配置

R1(config)#ipaccess-listextended110

#創(chuàng)建acl110

R1(config-ext-nacl)#permitip55

55

#允許該網(wǎng)段通過(guò)

R1(config-ext-nacl)#denyipanyany

#拒絕其他網(wǎng)絡(luò)

R1(config)#crytoisakmpkeepalive5periodic

#配置ipsec探測(cè)功能

R1(config)#cryptoisakmppolicy1

#創(chuàng)建新的isamkp策略

R1(config-isakmp)#authenticationpre-share

#指定預(yù)共享秘密

18

湖南商務(wù)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)

R1(config-isakmp)#encryption3des

#指定3d