校园网网络工程实施方案

杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 1 目 录 第一章、总体设计 . 2 1.1 用户需求 . 2 1.2 实施的目的 . 3 1.3 系统设计原则 . 3 1.4 设计依据和规范 . 4 1.5 网络设备服务卡 . 4 1.6 系统软件登记表 . 4 第二章、杭电网络工程施工计划 . 5 2.1 主要设备清单 . 5 2.2 施工计划表 . 6 第三章、杭电网络工程施工过程 . 7 3.1 网络设备详细信息和 IP 地址分配表 . 7 3.2 VLAN 间访问规则 . 8 3.3 施工流程 . 8 3.4 施工过程 . 9 3.4.1 Catalyst 6506 的安装过程 . 9 3.4.2 配置 Catalyst 6506 的系统参数 . 9 3.4.3 配置 Catalyst 6506 的 VLAN. 10 3.4.4 配置配置 6509 交换机的三层交换模块 . 15 3.4.5 配置 6506 交换机 VLAN 间的访问规则 . 15 3.4.6 配置 6506 交换机的 CDP 和 SNMP. 15 3.4.7 配置 6506 交换机的 STP . 16 3.4.8 配置 Catalyst 3500 的安装过程 . 16 3.4.9 配置 Cisco 防火墙 PIX 520 的安装过程 . 18 3.4.10 配置 CACHE ENGINE 550 的安装过程 . 19 3.4.11 配置 Cisco3640 的安装过程 . 22 3.4.12 配置 Cisco Works 网管软件 . 24 3.5 设备模拟连接调试阶段 . 26 3.6 设备安装阶段 . 26 3.7 系统连调阶段 . 27 3.8 INTERNET 连接 . 27 第四章、具体设备配置实例 . 29 4.1 Catalyst 6506 . 29 4.2 session 15. 34 4.3 二级交换机 Catalyst 3500 . 38 4.4 防火墙 PIX520. 41 4.5 CACHE ENGINE 550. 44 4.6 Cisco3640 路由器 . 45 第五章、工程总结 . 47 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 2 第一章、总体设计 1.1 用户需求 此网络工程所要达到的主要目标如下： (1)支持全校现有的计算机， 连接校园内实验大楼、行政大楼、电教大楼、图书馆和成教大楼等，将本校现有的及将来要配置的各种 PC、工作站和终端通过高性能的网络设备连接起来，组成分布式、开放性的网络环境，以提高教育科研水平。 (2)充分利用原有的主干光缆和楼内布线系统，将目前的百兆主干快速以太网升级到千兆主干、百兆交换到桌面的高速交换式以太网。同时，保护原有网络设备投资，将目前运行的 IBM 公司系列网络产品有效地集成到升级系统中。 (3)在 Internet 互连网络系统平台上，以数据库、 Web、电子邮件、为基础的系统；并构建内部 Intranet 系 统，与已有系统实现互联。 (4)网络与数据安全是目前计算机信息技术所面临的重要挑战，解决安全问题的技术与方案有很多，通过防火墙、 web cache 服务器建设确定完整统一的安全策略（ Security Policy）也是校园网可靠运行的保证。 (5)考虑与其它学校、科学教育网络相连，可通过 CERNET 与国内外其它网络相连接、实现远程教学。 (6)网络具有友好、一致的用户界面和丰富的管理应用系统。 (7) 在网络升级基础上规划相应的应用系统，具体包括： 学校网站的建设 OA（办公管理）系统建设：电子邮件、公文 处理、档案管理、会议管理、电子公告、电子论坛、备忘信息等 多媒体辅助教学系统 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 3 连接原有图书管理系统 VOD 视频点播及视频会议系统 1.2 实施的目的 分析用户需求，可知该网络工程所含的内容包括： (1) 运用虚拟网技术，建设杭电校园千兆主干网 ,使其覆盖全校各主要建筑物，将学校内各种 PC、 LAN 连接为一个结构合理、内外连通，并支持多种协议和异种机的园区网。 (2) 通过在信息中心代理服务器的设立与科教网相连并可与 Internet 互连。 (3) 新校区的由于 其与科教网相连的特殊性，因此可分别设立独立的三个代理服务器与 Internet 互连。 (4) 根据科学的安全策略，通过 Cisco PIX520 防火墙配置，从而有效的隔绝内网和外网，但同时又能实现公网对杭电校内网站和对外开放资源的访问。 (5) 通过 Cache Egeine 505 与 Cisco 6506 之间 WCCP 配置建立高速的Internet 访问通道。 (6) 通过 CiscoWorks 网管软件实施有效的网络管理。 1.3 系统设计原则 连续性原则：充分利用现有资源（包括现有的网络、计算机和应用 资源），使系统既能与前期系统相衔接，同时具有一定的可扩充性，为后期工作打下基础。 实用性原则：在保证使用要求和技术可行性的前提下，要选择易于操作、管理、见效的设计和设备。 安全保密原则：设计中应注意各个环节的安全保密，统筹规划，不可偏废。 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 4 信息共享原则：设计必须考虑信息在一定的条件下、一定范围内的共享。 先进性原则：系统建设要与当今先进的计算机网络发展技术相适应，保证系统的先进性、开放性、高可靠性和可扩展性的有机结合。 1.4 设计依据和规范 主机和网络设备的选型符合下列国家和组织的技术标准和 规范： GB：中华人民共和国国家标准 ISO：国际标准组织 ITU-T：国际电信联盟 IEEE：国际电气与电子工程师协会 EIA：电气工业协会 IEC：国际电工协会 1.5 网络设备服务卡 （见附件） 1.6 系统软件登记表 （见附件） 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 5 第二章、杭电网络工程施工计划 2.1 主要设备清单 杭电校园网升级改造工程网络主干设备清单： No. Product No. Description Qty 1 Ws-c6506 Catalyst 6506 chassis 1 2 WS-CAC-1300 Catalyst 6506 Chassis w/ 1300W AC Power Supply 1 3 WS-X6K-S2-MSFC2 Catalyst 6000 Supervisor Engine2-A, 2GE, plus MSFC-2 & PFC 1 4 WS-X6408-GBIC Catalyst 6000 8-port Gigabit Ethernet Module (Req. GBICs) 1 5 WS-G5484 1000BASE-SX Short Wavelength GBIC (Multimode only) 6 6 WS-X6348-RJ-45 Catalyst 6000 48-port 10/100 RJ-45 Module 1 7 WS-C6500-SFM Catalyst 6500 Switch Fabric Model 1 8 WS-C3524-XL-EN Catalyst 3524 XL Enterprise Edition 3 9 WS-C3548-XL-EN Catalyst 3548 XL Enterprise Edition 2 10 WS-G5484 1000BASE-SX Short Wavelength GBIC (Multimode only) 7 11 CISCO3640 Cisco 3600 4-slot Modular Router-AC with IP Software 1 12 NM-2FE2W 2 10/100 Ethernet 2 WAN Card Slot Network Module 1 13 PIX-520-1K-CH Midrange PIX Firewall 520, two 10/100 Enet NICs 1 14 CE-550 Cache Engine 550 1 15 CWW-5.0 Cisco works for windows 6.0 1 16 JSX-FM-2W IBM8274 2 Port Gigabit Ethernet Module 1 Total 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 6 2.2 施工计划表 系统设备列表 Cisco 6506 主交换机 Cisco 3524 二级换机 Cisco 3548 二级换机 Cisco PIX520 防火墙 Cache Engine 550 Cisco 3640 路由器 环境检查（ 10 分钟） UPS 电源质量 温度和湿度 接地系统电阻要求 设备开包（ 60 分钟） 主交换设备 二级交换设 路由器 防火墙 电源线缆 系统上电（ 20 分钟） cisco6506 主机系统（ 10 分钟） 各 CISCO3500 系列主机（ 60 分钟） 系统上电正常以 及上电失败的相应动作 对照系统订单检查系统的功能部件（ 30 分钟） 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 7 中央处理器 内存 磁盘（内置以及外置） 设备 /适配器 操作系统安装（ 150 分钟 *2） 升级 Cisco3640 IOS 操作系统的（ 150 分钟） 安装在线帮助，包括 Info，电子书籍，配置书籍搜索程序 第三章、杭电网络工程施工过程 3.1 网络设备详细信息和 IP 地址分配表 (见附表 ) 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 8 3.2 VLAN 间访问规则 注： 默认情况下 VLAN 间的 IP 包访问不受限制 3.3 施工流程 以下是本次工程中网络设备的施工流程 图 开始 配置 6506 安装模块、配置名字、口令、远端控制 配置 VLAN 配置 MSFC 配置 SNMP 配置 3500 安装模块、名字、口令、远端控制 配置 VLAN 配置 SNMP 配置 网关 配置 CE-505 名字、口令、远端控制 配置 WCCP 配置 网关、 DNS 配置 PIX 安装网卡、名字、口令、端口状态 配置 端口地址 配置 路由 配置 安全规则 配置 3640 路由器 安装模块、名字、口令、端口状态 配置 端口地址 配置 路由 配置 安全规则 设备到位 整体联调 测试与故障解决 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 9 3.4 施工过程 3.4.1 Catalyst 6506 的安装过程 模块安装 安装 6506 的电源模块； WS-X6K-S1A-MSFC2； WS-X6408-GBIC； WS-G5484； WS-X6248-RJ-45； WS-C6500-SFM Cisco Catalyst 6506 由工厂根据定货单直接安装好标准配置的模块，但电源、路由等尚未安装，所以首先将待安装的各模块拆开，装入 6506 的电源插槽。 上 电检查 6506 的各个模块的工作状态是否正常：接入 6506 电源，由于 6506有两个电源作为冗余，所以最好两个电源分别接入两路 UPS 电源上，这样即使当 UPS 其中一路电源故障时，不会影响整个 6506 交换机的正常远行，当 6506交换机上电初始化结束后，从各个模块面板上的 LED 灯的状态可以判断各个模块的工作状态是否正常。 3.4.2 配置 Catalyst 6506 的系统参数 当 6506 交换机初始化结束后，就进入系统单机配置阶段。对于 6506 来说，首先需要配置系统参数，其中包括以下几个部分：机器名、口令和远程登陆等 。 以下是具体配置过程： cisco6506 enable cisco6506（ enable） set system name cisco6506 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 10 说明：配置 6506 的名字为 CISCO6506 cisco6506 enable cisco6506（ enable） set enable password cisco 说明：配置 6506 的 enable 口令为 cisco cisco6506 enable cisco6506（ enable） set interface sc0 1 / cisco6506（ enable） set ip route / 54 说明：配置 6506的 CPU模块上的以太网 IP地址为： ，且只允许本网段任何地址存取 3.4.3 配置 Catalyst 6506 的 VLAN 网络 IP 地址分配策略 杭电校园网是覆盖全院的广域网络，其网络主干连接的节点多，因此，要保证网络的有效性和可管理性，网络地址的规划与分配是十分重要的问题。网络地址是一种资源，必须经过优化 的规划和设计，因为很难预测网络将来的规模和应用情况的发展，如果规划不当，将导致地址资源不够用，网络的扩展将受到极大的限制；如果规划过于庞大，则在现行运行过程中，网络的路由将会复杂，影响网络的效率。网络地址的分配应遵循以下的原则： 唯一性：在同一个互联网络内网络地址应该保持其唯一性； 简单性：地址的分配应该简单，避免在主干上采用复杂的掩码方式； 连续性：为同一个网络区域分配连续的网络地址，便于缩减路由表的表项，提高路由器的处理效率，这种技术称为地址叠合（ Summarization）； 可扩充性 ：为一个网络区域分配的网络地址应该具有一定的容量，便于主机数量增加时仍然能够保持地址的连续性； 灵活性：地址分配不应该基于某个网络路由策略的优化方案，应该便于多数路由策略在该地址分配方案上实现优化； 可管理性：地址的分配应该有层次，某个局部的变动不要影响上层、全局。 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 11 在对一个具体部门拥有的某个或几个子区划分子网时，要根据本部门的具体应用需求来合理分配子网资源，并且要留有一定的余地，这要从子网数和某一个子网所拥有的最大主机数两个方面来考虑。 根据我们对杭电校园网的网络地址规划和分配的了解，我们采用以 C 类地址为主 B 类地址为辅的地址分配原则。前二位（ 192.168）作为公共网络地址，第三位作为各 VLAN 的地址，并第四位的（ 254）作为各 VLAN 的网关 （地址分配表见附表） 杭电计算机网络根据业务功能的不同，可以分为 51 个 VLAN， 51 个 VLAN 各自独立，分别属于不同的广播域，默认情况下不同 VLAN 间可互相访问，根据不同安全策略， access-list 表可作访问控制 楼幢 机构 端口分配 VLAN ID VLAN 命名 网关 行政楼 党政办领导 1-18 VLAN 10 DangZheng 54 人事处 19-24 VLAN 11 RenShi 54 教务处 25-27 VLAN 12 JiaoWu 54 科研财务 28-32 VLAN 13 Xz_1_west 54 研究所 33-36 VLAN 14 YanjiuSheng 54 组织、宣传、综合 37-42 VLAN 15 XuanChuan 54 离休等 54 纪监、后勤、高教等 43-46 VLAN 17 Xz_2_west 54 电教 CAD 1-2 VLAN 18 Cad 54 电教 3-4 VLAN 19 DianJiao 54 计算中心 5-10 VLAN 20 Computer_Center 54 408 自备房 11-14 VLAN 21 Student 54 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 12 楼幢 机构 端口分配 VLAN ID VLAN 命名 网关 实验楼 文理学院 1-2 VLAN 22 WenLi 54 机电分院 3-4 VLAN 23 JiDian 54 自动化分院 5-6 VLAN 24 ZiDongHua 54 财经分院 7-8 VLAN 25 Caijing 54 管理分院 9-10 VLAN 26 GuanLi 54 计算机分院 11-12 VLAN 27 JiSuanJi 54 电子分院 13-14 VLAN 28 DianZi 54 通信分院 15-16 VLAN 29 Tongxin 54 信息 分院 17-18 VLAN 30 XinXi 54 CAE 所 19-20 VLAN 31 CAE 54 设备处 21-22 VLAN 32 SB_other 54 网管 23-35 VLAN 37 NIC_1(服务器 ) 54 37-42 VLAN 33 NIC_2（备用） 54 43-48 VLAN 46 NIC_3 （学生） 54 计算机分院 1-2 VLAN 38 proxy 54 3-4 VLAN 39 computer_1 54 5-6 VLAN 40 computer_2 54 7-8 VLAN 41 computer_3 54 9-10 VLAN 42 computer_4 54 11-12 VLAN 43 computer_5 54 13-14 VLAN 44 computer_6 54 楼幢 机构 端口分配 VLAN ID VLAN 命名 网关 图书馆 服务器 VLAN 45 LIB_server 54 客户端 1-24 VLAN 36 Lib_1 54 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 13 具体配置过程如下： cisco6506（ enable） set vtp domain hzdzgxy cisco6506（ enable） set vtp passwd cisco cisco6506（ enable） set vlan 10 name dangzheng cisco6506（ enable） set vlan 11 name renshi cisco6506（ enable） set vlan 12 name jiaowu cisco6506（ enable） set vlan 13 name xz_1_west cisco6506（ enable） set vlan 14 name yanjiusheng cisco6506（ enable） set vlan 15 name xuanchuan cisco6506（ enable） set vlan 16 name xz_other1 cisco6506（ enable） set vlan 17 name xz_other cisco6506（ enable） set vlan 18 name cad cisco6506（ enable） set vlan 19 name dianjiao cisco6506（ enable） set vlan 20 name computer_center cisco6506（ enable） set vlan 21 name shudent cisco6506（ enable） set vlan 22 name wenli cisco6506（ enable） set vlan 23 name jidian cisco6506（ enable） set vlan 24 name zidonghua cisco6506（ enable） set vlan 25 name caijing cisco6506（ enable） set vlan 26 name guanli cisco6506（ enable） set vlan 27 name jisuanji cisco6506（ enable） set vlan 28 name dianzi cisco6506（ enable） set vlan 29 name tongxin cisco6506（ enable） set vlan 30 name xinxi cisco6506（ enable） set vlan 31 name cae 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 14 cisco6506（ enable） set vlan 32 name sb_other cisco6506（ enable） set vlan 33 name nic_2 cisco6506（ enable） set vlan 34 name chengjiao cisco6506（ enable） set vlan 35 name lib cisco6506（ enable） set vlan 36 name lib_1 cisco6506（ enable） set vlan 37 name nic_1 cisco6506（ enable） set vlan 38 name proxy cisco6506（ enable） set vlan 39 name computer_1 cisco6506（ enable） set vlan 40 name computer_2 cisco6506（ enable） set vlan 41 name computer_3 cisco6506（ enable） set vlan 42 name computer_4 cisco6506（ enable） set vlan 43 name computer_5 cisco6506（ enable） set vlan 44 name computer_6 cisco6506（ enable） set vlan 45 name lib_server cisco6506（ enable） set vlan 46 name nic_3 cisco6506（ enable） set vlan 48 name dialup cisco6506（ enable） set vlan 50 name 408 cisco6506（ enable） set vlan 51 name wy type cisco6506（ enable） set vlan 999 name cache ! 说明：设置 6506 的 VLAN 名字和 VTP 模式 cisco6506（ enable） set trunk 2/1 nonegotiate isl 1-1005,1025-4094 cisco6506（ enable） set trunk 2/2 nonegotiate isl 1-1005,1025-4094 cisco6506（ enable） set trunk 2/3 nonegotiate isl 1-1005,1025-4094 cisco6506（ enable） set trunk 2/4 nonegotiate isl 1-1005,1025-4094 cisco6506（ enable） set trunk 2/5 nonegotiate isl 1-1005,1025-4094 cisco6506（ enable） set trunk 2/6 nonegotiate isl 1-1005,1025-4094 cisco6506（ enable） set trunk 2/7 nonegotiate isl 1-1005,1025-4094 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 15 cisco6506（ enable） set trunk 2/8 nonegotiate isl 1-1005,1025-4094 说明：设置 6506 的第二模块 1-8 口为主干模式，并采用 ISL 协议并不可磋商。 3.4.4 配置配置 6509 交换机的三层交换模块 当在 6506 上划分了 VLAN 以后，桌面工作站就可以根据不同的需求分别加入到对应的 VLAN 中去，不同的 VLAN 的客户机就分别属于不同的广播域，有各自不同的 IP 地址段，当需要跨网段互相访问时，就必须通过路由。 6506 可以带三层交换 MSFC 模块，本系统中由于在 6506 上有一个超级引擎上配置了一块MSFC 模块，随着杭电计算机网络的发展，系统可能的情况下，就可以利用 CISCO的 HSRP 协议作热备份，再配置一台或者多台支持 HSRP 协议的三层交换机，即当其中任何一块 MSFC 模块故障时，另外一块可以立即接替原来的模块继续工作，切换时间很短。我们可实现 51 个 VLAN 分别优先运行在多个三层路由模块上，这样在系统无故障时，能到达路由数据负载分担的目的。 3.4.5 配置 6506 交换机 VLAN 间的访问规则 当数据在 VLAN 间路由时，出于对各独立系统的安全考虑，在各 VLAN 路由端口上应用访问列表，使 VLAN 之间的数据按规则通过。 针对每个 VLAN 的所属机构将安全规则量化，再依次应用在端 口上。 Access-list 1 permit any any 其他 VLAN 的访问规则见最后的具体配置。 3.4.6 配置 6506 交换机的 CDP 和 SNMP 当交换机需要被网管时，必须配置交换机的 CDP 和 SNMP 参数，其中 CDP协议是 CISCO 公司特有的一种协议，而 SNMP 是标准的简单网络管理协议。其中 SNMP 协议需要有一个 COMMUNITY NAME 控制对交换机的读写，在本次工 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 16 程中，我们定义了以下的 COMMUNITY NAME： READWRITE： PRIVATE READONLY： PUBLIC 以下是具体配置命令： cisco6506enable cisco6506(enable)set cdp enable 说明：启用 6506 交换机的 CDP 协议。 Cisco6506(enable)set snmp enable all 说明：启用 6506 交换机的 SNMP 功能，并启用默认的关键字 PUBLIC 为只读，PRIVATE 为读写。 3.4.7 配置 6506 交换机的 STP 由于在设计的过程中，为了增加网络的可靠性，在核心层交换机与汇接层交换机之间、以及核心应用中均设计了双冗余链路。为了避 免这些冗余链路所形成的透明桥接问题，必须使生成树协议（ STP）有效工作。 启动生成树 cisco6506(enable)set spantree enable all 3.4.8 配置 Catalyst 3500 的安装过程 Catalyst 3500 系列是 CISCO 公司的提供 1000 兆上行端口的桌面交换机，本次工程中包括 3 台 catalyst3524 交换机和 2 台 catalyst3548 交换机，配置过程完全一样。 以下是具体配置过程： 3524 的配置： Current configuration: ! version 12.0 no service pad 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 17 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname lib 说明：配置 3524 的 NAME 为 lib。 enable secret 5 $1$G3SM$DbzVKE3l/fkYHpoi0XUug/ enable password cisco 说明：配置 3524 的口令 interface FastEthernet0/1 switchport access vlan 35 说明：配置端口 1 属于 VLAN135 interface GigabitEthernet0/1 switchport mode trunk switchport trunk encapsulation dot1q 说明：两个千兆的上行口配置为 TRUNK 方式。 interface VLAN1 ip address no ip directed-broadcast no ip route-cache 说明：配置 VLAN1 的 IP 地址 vtp client 说明：配置 VTP 为 CLIENT 方式 vtp domain hzdzgxy 说明：配置 VTP 域名为 hzdzgxy line vty 0 4 password cisco login line vty 5 15 password cisco login 说明：配置远程登陆的口令为 cisco 杭州电子工学院计算机网络工程技术文档 技术负责人：王勇 地址：杭州市文一路 65 号杭州电子工业学院网络信息中心 电话：传真：E-Mail： 18 3.4.9 配置 Cisco 防火墙 PIX 520 的安装过程 配置 PIX 的基本属性 将 PIX 安