企业局域网之间的VPN搭建以及路由器和交换机的配置 毕业论文.doc

专科生毕业设计网 络 工 程路由交换方向院 系软件学院 专 业网络技术 班 级09网专2班学 号1601090238学 生 姓 名 联 系 方 指 导 教 师 职 称 网络工程师 2011年5月独 创 性 声 明本人郑重声明：所呈交的毕业论文（设计）是本人在指导老师指导下取得的研究成果。除了文中特别加以注释和致谢的地方外，论文（设计）中不包含其他人已经发表或撰写的研究成果。与本研究成果相关的所有人所做出的任何贡献均已在论文（设计）中作了明确的说明并表示了谢意。签名： 年月日授权声明本人完全了解许昌学院有关保留、使用专科生毕业论文（设计）的规定，即：有权保留并向国家有关部门或机构送交毕业论文（设计）的复印件和磁盘，允许毕业论文（设计）被查阅和借阅。本人授权许昌学院可以将毕业论文（设计）的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编论文（设计）。本人论文（设计）中有原创性数据需要保密的部分为：。 签名： _年月日指导教师签名： 年月 日摘 要全球性的国际计算机互连网internet的迅速发展和普及，改变了整个信息产业的面貌，使信息技术产业从以计算机为中心发展到以网络为中心，并为计算机技术在工业、商业、教育及科研等领域中的应用提供了一个全新的网络通信环境，也从根本上加强并促进了群体工作成员之间的信息交流、资源共享、科学计算及技术合作等，进而推动了教育事业、科研及生产的发展。internet是一个全球性的开放的信息互连网络，它是以一系列关键支撑技术为核心发展起来的新兴领域，为人们提供了崭新的网络计算环境。随着网络的逐步普及，中小型企业的建设是企业向信息化发展的必然选择，企业网络系统是一个非常庞大而复杂的系统，它不仅为企业现代化、综合信息管理和办公自动化等一系列应用提供基本操作平台，而且能提供多种应用服务，使信息能及时、准确地传送给各个系统。而中小型企业工程建设中主要应用了网络技术中的重要分支局域网技术来建设与管理的，因此本毕业设计课题将主要以中小型局域网络建设过程可能用到的各种技术及实施方案为设计方向，为中小型企业的建设提供理论依据和实践指导。本课题共分34章，主要包括二大方面：windows和linux。windows主要内容包括windows server 2003的安装与基本配置、windows server 2003系统管理、windows网络配置、windows dns和dhcp服务器等；linux主要内容包括linux操作系统的安装与基本配置、linux网络配置、samba服务器、ftp服务器、dns服务器等各种网络服务器的安装与配置。本项目也解决了企业局域网之间的vpn搭建以及路由器和交换机的配置。关键词：局域网搭建；linux服务器配置；windows管理；路由与交换配置abstractglobal international computer internet rapid development and popularization of internet，changed the face of the entire information sector, from information technology industry in the development of computer center with internet for center to，computer technology in industrial and commercial education andcomputer technology in industrial and commercial education and research the application fields such as provided a new network communication environmentresearch the application fields such as provided a new network communication environment，also fundamentally strengthening and promoting between members of the group work exchange of information resources sharing scientific computing and technical cooperation, etc, thus boosts the education scientific research and production of development business。the internet is a global open information, it is in a series of interconnection network key supporting technology as the core, the emerging field developed to provide a new network computing environment。along with the network popularization, the small and medium-sized enterprises gradually to the informatization construction of enterprise is the inevitable choice for the development of, enterprise network system is a very large and complex system, it is not only for enterprise modernization and comprehensive information management and office automation and so on a series of applied to provide basic operation platform, and can provide various application service, make the information can timely, accurately transmitted to each system. and small and medium enterprises mainly used in engineering construction network technology to an important branch of lan technology, the construction and management of graduation design topic, so this will mainly small and medium-sized local area network construction process may use different techniques for the design and implementation plan for small and medium enterprises, the direction of construction to provide the theory basis and the practical guidance. this topic is divided into 34 chapters, mainly including the largest aspects: windows and linux. windows main contents include windows server 2003 installation and basic configuration, windows server 2003 system management, windows network configuration, windows dns and a dhcp server etc; linux main content includes the linux operating system installation and basic configuration, linux network configuration, samba server, ftp server, the dns server, etc. this program also include enterprise lan and the vpn structures between the router and switch configuration. keywords: lan build; linux server configuration; windows management; routing and switching configuration目录第1章 引言.1第2章 项目前需求分析.12.1 项目背景.12.2 需求分析.1第3章 网络总体建设目标.23.1 网络建设目标.23.2 网络及系统建设内容及要求.23.3 网络设计原则.3第4章 网络总体设计.44.1 网络总体拓扑图.44.2 网络层次化设计.44.2.1 核心层设计54.2.2 汇聚层设计54.2.3 接入层设计64.3 内联接入.6第5章 路由、交换设计65.1 设备选择.65.2 设备命名规范.75.3 vlan、子网及ip地址规划（-6.0）.75.4 路由协议.105.5 交换技术.105.6 ipv6.10第6章 服务器设计116.1 服务器的系统选择.116.2 dns、dhcp 、ftp、 mail、 web-apache服务器.11第7章 网络安全解决方案137.1 网络边界安全威胁分析.137.2 网路内部安全威胁分析.137.3 解决方案.147.3.1 isa防火墙和iptables防火墙.147.3.2 病毒防护技术147.3.3 认证和数字签名技术14第8章 关键技术介绍158.1 hsrp158.2 vlan.158.3 vtp.178.4 trunk.178.5 stp.188.6 vpn.188.7 etherchannel技术.198.8 dns198.9 dhcp.208.10 pix防火墙技术208.11 acl简介.208.12 漫游用户.218.13 vpn技术218.14 内网间及远程访问.218.15 nat技术228.16 qos技术228.17 ftp.238.18 mail.23第9章 设备简介.239.1 思科ws-c4506交换机.239.2 h3c ls-3600-28tp-si三层交换机.249.3 思科ws-c2960-48tt-l交换机（48口）.259.4 cisco 2800 系列集成多业务路由器.269.5 联想扬天 m6600n计算机（pc机）.279.6 浪潮英信nf5220服务器.279.7 思科pix-525-ur-ge-bun 防火墙299.8 沈视高科sgk-808p摄像头.299.9 2815 16路硬压高清采集卡.309.10 国威ws824分线器 (4外线，16分机).319.11 普通电话 tcl 37型.319.12 cisco cp-3951 ip电话329.13 cisco cp-7970g网络电话.339.14 c-y300 烟感报警器.339.15 独立烟感防火报警器 sfl-128.349.16 tcl六类24口rj45模块式配线架359.17 安普e时代超五类四芯双绞电话线359.18 山特c10ks ups电源.359.19 三星4623fh 一体机.369.20 hp 1020plus 打印机.379.21 锐捷rg-r2692 文件服务器.379.22 立孚4芯室外单模光缆.399.23 amp室内4芯多模紧套管型光缆409.24 网件readynas nv+ rnd4475服务器41第10章 项目实施计划4210.1 项目组织结构.4210.2 项目人员分工.4210.3 工程进度计划.4310.4 项目实施前得准备工作.4310.5 安装前得场地准备.4410.6 核心及各网点的安装调试.44第11章 网络测试4511.1 网络测试目的.4511.2 测试文档.45第12章 基本配置4812.1 总部基本配置.4812.1.1 网络描述4812.1.2 基本配置48 交换机和路由器.48 设备访问.48 设备名称.49 基本配置.49 ip地址配置.5 启用ssh并测试.5312.1.3 检查设备的连通性.54 show cdp neighbors命令的使用.54 ping命令的使用.5512.2 分部基本配置.5512.2.1 网络描述.5512.2.2 基本配置.55 交换机和路由器.55 设备访问.55 设备名称.56 基本配置.57 ip地址配置.59 启用ssh并测试.5912.2.3 检查设备的连通性.60 show cdp neighbors命令的使用60 ping命令的使用.61第13章 ttunk基本配置6113.1 技术简介.6113.2 设备使用简介.6113.3 基本配置.62第14章 vtp配置.6414.1 技术简介.6414.2 设备使用简介.6414.3 基本配置.64第15章 vlan配置6615.1 技术简介.6615.2 设备使用简介.6615.3 配置vlan地址和默认网关68第16章 以太网通道配置6816.1 技术简介.6816.2 设备使用简介.6916.3 基本配置.6916.4 验证配置.70第17章 stp配置7017.1 技术简介.7017.2 设备使用简介.7017.3 基本配置.7117.4 验证配置.72第18章 ospf配置.7318.1 技术简介.7318.2 设备使用简介.7318.3 基本配置.73第19章 hsrp配置7819.1 技术简介.7819.2 设备使用简介.7819.3 基本配置.78第20章 gre over ipsec配置.8020.1 技术简介.8020.2 设备使用简介.8020.3 基本配置.80第21章 ppp配置8721.1 ppp认证.8721.2 配置ppp认证.8721.3 验证.88第22章 acl配置.8822.1 acl介绍.8822.2 acl的作用.8822.3 acl的执行过程.8922.4 acl的分类.8922.5 配置.89结束语.91参考文献.91致谢.91第1章 引 言随着科学技术的发展日新月异，九十年代，在计算机技术和通信技术结合下，网络技术得到了飞速的发展。如今，不仅计算机已经和网络紧密结合，整个社会都不可能脱离网络而存在。网络技术已经成为现代信息技术的主流，人们对网络的认识也随着网络应用的逐渐普及而迅速改变。在不久的将来，网络必将成为和电话一样通用的工具，成为人们生活、工作、学习中必不可少的一部分。网络对于制造业的发展也起到了不可忽视的作用，形成了用信息技术来提升企业的市场分析、销售、计划、仓储能力，通过先进使用的高速交换网构筑信息通讯平台的局面。企业规模的不断壮大和业务量的不断增加，原有的工作方式已不能满足现代企业的需要，特别是对突发事件的处理能力与速度的需求。现代企业如果没有信息技术的支持，就不能称之为现代企业。随着网络技术的不断成熟、网络产品价格的不断下降，以及对数据传输和信息交换需求的不断增加，现在各企业均正在或已搭建了企业内部局域网，因为，企业网络的建设是企业向信息化发展的必然选择。企业网络为企业的现代化发展、综合信息管理和办公自动化等一系列应用提供了基础平台。本设计结合中小企业实际需求，举例分析、设计、配置、模拟组建了一个典型的中小企业网络。第2章 项目需求分析2.1、 项目背景该公司是一家即将成立的一家制造工厂，网络平台建设为北京总部，外设有五个分部，分别设置在广州、天津、上海、西安和浙江。总部设计用户节点数为1000，每个分部地为10-50个用户。需要“建立一个设计规范、功能完备、性能优良、安全可靠、技术先进和实用性、兼容性、冗余、容错性、有良好的扩展性与可用性并且具备可管理易维护的网络及系统平台，以高效率，高速度，低成本的方式提高公司员工的工作效率与执行效率”该公司北京总部有财务部大约30人，行政部 40人，外连部60人，技术部40人，信息办20人，信息科20人，品保部60人，人力资源部25人，企业文化部40人，安全环保部80人，制造技术部70人，采供部210人，项目经理部23人，仓储中心40人，教培中心15人，生产部400人（只需要配备300台电脑）。另外总部共有三栋办公楼，两栋生产车间，4栋员工宿舍，每栋为6层，办公楼层为13层。2.2、 需求分析本次项目的网络设计是以北京公司为中心，进而构建与广州、天津、上海、西安和浙江五大分公司之间的网络。构建过程中需要设计网络架构、ip地址架构、系统架构。其中，是以北京总部为数据中心，核心交换区，交易所接入等。网络之间信息的传送均是有总部发起的。数据中心作为网络互通的存放地，其性能、稳定性、安全性、可靠性的要求最高，因此我们在设计的时候，应该考虑到这些要求。应采用性能高的设备。而核心交换区的功能是高速可靠地交换数据，因此该部分的设计应考虑性能和可靠性的平衡。交易所接入作为外联单位接入区域，其安全性应该是放在第一位，同时，网络互通离不开交易所的连接，因此也应该考虑冗余性。公司总部和分公司的内部网络作为内部互联单位，可信度较高，因此其内部网络的可用性是首先考虑的因素。在内部信息传送的同时，为保证信息的安全性，我们应该在设计网络的时候，考虑信息的备份问题，避免单点故障的出现。各个分公司均通过vpn隧道访问北京总部，承载ip语音电话流量，实现分部与总部互相拨打网络电话，降低总部与分部电话通讯成本。大大增强了网络的稳定性和高速性。北京总部外部网络与外网连接时，需要考虑其可访问性。internet用户接入，需要考虑安全性和冗余性。当前的网络管理范畴比较广，包括设备管理、资源管理、故障管理、性能管理、安全管理等。在网络规模相对较大的时候，合适的网络系统可以帮助用户方便管理网络内的设备及运行情况，以提高网络的运行效率。在系统管理平台中由于面临着大量的使用用户，外界每天都会与总部之间都会产生大量的数据通信，这就要求外界与总部之间有一条高数的链路，保证外界与总部通信的高速可靠性和可行性。同时要采取各种措施保证内网和各台服务器的安全。对此我们可以通过拉光纤增加带宽和购买先进的路由设备来满足巨大的吞吐量处理时间，减少延时率。第3章 网络总体建设目标3.1、 网络建设目标1、北京总部内有大型服务器提供服务，外接分支机网络平台2、要求这些分布用户和总部之间能够高速连接并且保证与总部通信的可靠性和可行性。3、同时要求总部内部安全机制能够提高。保证内网安全同时保证各台服务器的安全。4、要求计算机网络系统满足系统集成的网络平台需求可用性、安全性、可靠性和可扩展性，网络系统不间断，选购符合分支机构及中心机房需求的高性价的网络设备，采用三层网络结构，来实现网络安全的需求。5、网络设备主要以核心交换区设备为主。并考虑对设备投资保护，保证未来几年的系统扩展，组建一个高效、稳定、可靠、易管理、安全的企业网。3.2、 网络及系统建设内容及要求根据该公司中心机房的网络情况，我们把整个网络分为内部网络交换网络设计、网络出口设计、网络安全设计三部分。保证设计和实现上的标准化、功能框架的模块化、充分考虑网络的兼容性、整体方案的开放性、扩展性和再开发性，同时还应具备稳定、可靠、速度快等特点。北京总部数据中心网络平台承载着该公司所有的关键核心业务。设计时，保证中心机房网络的高可用性和稳定性至关重要。而北京总部用ftp、mail等内部服务器为员工提供总部内部信息。另外还要屏蔽部分网络访问以确保公司的工作有序正常的进行。对于边界网络接入（internet接入称为边界网络），总部用web服务器为用户提供服务。使用交换机的vtp 技术使网络内有关server的访问变的更加安全。因为网络的安全性是一个非常重要的因素。而确保在网络的边界外部相应的安全策略以防止黑客和各种恶意代码的攻击也变的至关重要，同时边界中的设备的冗余设计也是设计考虑的一个重要环节，从而能够有效地防止单点故障。由于公司业务不断发展壮大，网络拓扑结构也会随之发生变化，在采购网络设备时应注意选择扩展性和兼容性强的设备，以便日后网络拓扑的变动。3.3、 网络设计原则作为一家优秀的系统集成商，向用户提供的不仅仅是设备，而是整套的技术与服务。我们始终坚持“高标准，高性能”的原则。在方案设计时，我们将严格遵循以下设计原则：高可靠性-网络系统的稳定性是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，合理设计网络结构，制定可靠地网络备份策略，保证网络具有故障自愈的能力，最大限制地支持各个系统的正常运行。网络安全性-由于企业网的特殊性，网络的安全性在本次网络建设中是比较重要的，整个网络必须保证万无一失的安全性，并对各个部门的信息要有严格分离保护的办法，防止网络黑客非法入侵。网络系统应配备全面的病毒防治和安全保护功能。灵活性及可扩展性-根据未来业务的增长和变化，网络可以平滑地扩展和升级，最大限制地减少对网络架构和设备的调整。先进性-以先进、成熟的网络通信技术进行组网，支持数据、语音和视频图像等多媒体应用，采用基于交换的技术代替传统的基于路由的技术，并且能确保网络技术和网络产品在几年内基本满足需求。高性能-承载网络性能是网络通讯系统良好运行的基础，设计中心必须保障网络及设备的高吞吐能力，保证各种信息（数据，语音，图像）的高质量传输，才能使网络不成为各项业务开展的瓶颈。可管理性-网络建设的一项重要内容是网络管理，网络的建设必须保证网络运行的可管理性。在优秀的网络管理之下，将大大提高网络的运行速率，并可迅速简便地进行网络故障的诊断。经济性-在满足应用要求的基础上，尽可能降低造价。第4章 网络总体设计4.1、 网络总体拓扑图结合几种网络结构与技术，根据该公司网络功能需求的具体情况，我们选用两台cisco catalyst 3750做双机热备，用cisco专有热备份路由协议技术（hsrp），同时双机还可以做负载均衡。在分交换机的选择上，建议选择具有支持vlan划分的网络交换机。品牌和性能尽可能和主交换机相一致，以便于维护，便于统一。如上图所示，该模型将公司网络系统品台分为三个层次：核心层，汇聚层，接入层。各区域相对独立，通过核心网络进行数据交换。另外各区域还可以各自建设交换网络，路由接入，网络安全体系，可以有独立的安全策略，数据流量控制等个体特征。4.2、 网络层次化设计随着网络技术的迅速发展和网上应用量的增长，分布式的网络服务和交换已经移至用户级，由此形成了一个新的，更适应现代的高速大型网络的分层设计模型。这种分级方式被成为“多层设计”。多层设计的好处：1、有很大的确定性，在运行和扩展过程中进行故障查找和排除非常简单。2、将局部拓扑结构的改变所产生的影响降至最小。3、减少路由器必须存储和处理的数据量，提供良好的路由器聚合数据流收敛。4、具有模板化的，网络容量可随着日后网络节点的增加而不断增加。5、升级灵活：网络容易升级到最新的技术，升级任意层的网络不会对其他层造成影响，无需改变整个网络环境对于公司网络的实际情况我们可以采用三层结构模型。三层结构模型划分为三个层次，即核心层，汇聚层，接入层。每个层次完成不同的功能。核心层：网络主干部分称为核心层。核心层的主要目的在于通过高速转发通信，提供可靠的骨干传输结构，因此核心层交换机应拥有更高的可靠性，更快速率的链路连接技术，并且能快速适应网络的变化。性能和吞吐量应根据不同层次用不同的要求设计网络，并且使用冗余组件来设计，在与汇聚层交换机相连时要考虑采用建立在生成树基础上的多链路冗余连接，以保证与核心层交换机之间存在备份连接和负载均衡，完成高带宽、大容量网络层路由交换功能。因此，在核心层中，我们应该采用高带宽的千兆以上交换机。分布层：位于接入层和核心层之间的部分称为分布层或汇聚层。汇聚层交换层是多台接入层交换机的汇聚点，它必须能够处理来自接入层设备的所有通信量，并提供到核心层的上行链路，因此汇聚层交换机与接入层交换机比较，需要更高的性能、更少的接口和更高的交换速率。汇聚层的设计要满足核心层、汇聚层交换机和服务器集合环境对千兆端口密度、可扩展性、高可用性以及多层交换的不断增长的需求，支持大用户量、多媒体信息传输等应用。接入层：通常将网络中直接面向用户连接或访问网络的部分称为接入层。接入层目的是允许终端用户连接到网络，提供了带宽共享、交换带宽、mac层过滤和网段划分等功能。接入层交换机具有低成本和高端口密度特点，考虑采用可网管、可堆叠的接入级交换机。交换机的高速端口用于上连高速率的汇聚层交换机，普通端口直接与用户计算机相连，以有效地缓解网络骨干的瓶颈。4.2.1、 核心层设计：核心层是网络的枢纽中心，重要性突出。我们使用了两台思科cisco ws-c4506 的三层交换机完成此项功能。这两台交换机的可靠性、高效性、冗余性是我们考虑的主要因素，另外，在这个层面的设计时，我们还需要考虑冗余网络的设计，本区域的安全性可以有边界防火墙提供。4.2.2 、会聚层设计采用思科cisco ws-c2960-48tt-l作为北京总部网络项目的汇聚交换机。cisco ws-c2960-48tt-l系列通过提供配置灵活性、支持融合网络模式及自动进行智能网络服务配置，简化了融合应用的部署，并可针对不断变化的业务需求进行调整。此外，cisco ws-c2960-48tt-l系列针对高密度千兆位以太网部署进行了优化，包括多种交换机，以满足接入、汇聚或小型网络骨干连接需求。4.2.3、接入层设计接入层交换机采用思科的思科ws-c4506-e交换机。以千兆以太链路和汇聚交换机相连接，并为用户终端提供10/100m自适应的接入，其传输方式支持全双工模式。从而形成千兆位骨干，百兆到桌面的以太网三层结构。公司总部系统所需的各种服务器如ftp服务器，邮件服务器等组成的服务群组，还有接入外网的web服务器，连接到汇聚交换机的千兆模块上面。因此，内部局域网采用三层结构。4.3、内联接入内联接入的作用是连接公司内部与外网的连接，我们使用六台cisco2811系列的路由器通过sdh/ddn线路完成此项功能。第5章 路由、交换设计5.1、 设备选择5.2、 设备命名规范表5-2 网络设备命名5.3、 vlan、子网及ip地址规划（-6.0）ip地址的规划在网络设计中的作用举足轻重。直接影响整个网络运行的效率。ip地址设计的总原则是简单，易管理，易扩展。 ip地址是tcp/ip协议族中的网络层逻辑地址，它被用来唯一的标识网络中的一个节点。ip地址空间的分配，要与网络层次结构相适应，既要有效地利用地址空间，又要体现出网络的可扩展性和灵活性，同时能满足路由协议的要求，提高路由算法的效果，加快路由变化的收敛速度。ip地址分配和管理应遵循的原则： (1) 唯一性-被分配出去的ipv6地址必须保证在全球范围内是唯一的，以保证每台主机都能被正确地识别。 (2) 可记录性-已分配出去的地址块必须记录在数据库中，为定位网络故障提供依据。 (3) 可聚集性-地址空间应该尽量划分为层次，以保证聚集性，缩短路由表长度。同时，对地址的分配要尽量避免地址碎片出现。 (4) 节约性-地址申请者必须提供完整的书面报告，证明它确实需要这么多地址。同时，应该避免闲置被分配出去的地址。 (5) 公平性-所有团体，无论其所处地理位置或所属国家，都具有公平地使用ipv6全球单播地址的权利。 (6) 可扩展性-考虑到网络的高速增长，必须在一段时间内留给地址申请者足够的地址增长空间，而不需要它频繁地向上一级组织申请新的地址。（7）公网地址与私网地址相结合原则-可用的公网地址数量毕竟有限，而可用的私网地址数量却非常多，是解决地址数量不足的良方之一。1、(1)公司总部ip地址分配表如下：公司总部有九个部门，有1000个用户网络单元子网段地址范围广播地址网关上网方式获取方式财务部/261-623natdhcp行政部4/2665-126275natdhcp外连部/25112627natdhcp技术部28/26129-1909129natdhcp信息办92/26193-2545593natdhcp信息科/261-623natdhcp品保部28/25129-2545529natdhcp人力资源部4/2665-126275natdhcp企业文化部28/26129-1909129natdhcp安全环保部/251-1262727natdhcp制造技术部28/25129-2545529natdhcp采供部/241-25455natdhcp项目经理部 /271-301natdhcp仓储中心/261-623natdhcp教培中心2/2733-6233natdhcp生产部/24/241-2541-2541