网络工程与应用课程设计范本.doc

武汉软件工程职业学院目录一、项目概况31.校园工程区建筑结构图:32.建筑网络范围:33. 信息楼五楼概要设计布图4二、概要设计41. 网络拓扑结构图如下：42.综合布线系统设计方案43. IP地址规划方案5(1)参照校园网拓朴图5(2)IP地址分配总则，54配置：7三、web服务器29四、群集服务配置32一、项目概况1.校园工程区建筑结构图:2.建筑网络范围:武汉软件工程职业学院是学院地处“国家自主创新示范区”武汉市东湖高新技术开发区，即“武汉中国光谷”腹地，环境优美，设施优良。占地面积1200余亩，建筑面积40余万平方米，3. 信息楼五楼概要设计布图二、概要设计 1. 网络拓扑结构图如下： 2.综合布线系统设计方案信息插座到终端设备这个区域称为工作区子系统。它包括有连接软线、适配器和其他电子器件。由于工作区子系统的设计与用户的终端设备有关。本设计中工作区子系统为数据的应用，暂定为N信息点，信息点分布情况暂为学校供的预计数量，施工按实际情况定，信息点数见下表：建筑物网络综合布线信息点数量统计表常用表格建筑物网络和语音信息点数统计表房间或者区域编号楼层编号501502503504505506507508509510511512513514数据点数合计语音点数合计信息点数合计数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音第5层222222222222222800000000 0 000000合计28注：教室信息点2个 办公室信息点4个 机房信息点2个 实验室信息点4个3. IP地址规划方案(1)参照校园网拓朴图(2)IP地址分配总则：1：R4是internet路由器，不能对其做任何路由配置，R4上启用PPPOE拨号，外部办公人员使用PC0拨号上网，然后拨号总部EZVPN server对内部网络做网管2：R1，R2，SW1,ASA之间运行OSPF，ASA使用默认路由指向internet，保证全网的连通性。3：ASA防火墙连接internet，在ASA上做NAT，使得内部能够访问internet，保证DMZ的HTTP server0 能够正常对外提供访问，所以需要对它做静态NAT，外部地址为004：R2和SW1上做单臂路由和HSRP 的负载均衡，vlan 2 的流量走R2，网关为00；vlan 3 的流量走SW1，网关为00.并且开启链路追踪5：SW2 和SW3 之间的链路做冗余备份并且保证负载均衡6：R1 是DHCP 服务器，为内部用户分配IP地址。内部WEB服务器使用固定IP7：为了防止ARP攻击，接入交换机SW2,SW3上需要做DHCP SNOOPING 和DAI1：R4是internet路由器，不能对其做任何路由配置，R4上启用PPPOE拨号，外部办公人员使用PC0拨号上网，然后拨号总部EZVPN server对内部网络做网管2：R1，R2，SW1,ASA之间运行OSPF，ASA使用默认路由指向internet，保证全网的连通性。3：ASA防火墙连接internet，在ASA上做NAT，使得内部能够访问internet，保证DMZ的HTTP server0 能够正常对外提供访问，所以需要对它做静态NAT，外部地址为004：R2和SW1上做单臂路由和HSRP 的负载均衡，vlan 2 的流量走R2，网关为00；vlan 3 的流量走SW1，网关为00.并且开启链路追踪5：SW2 和SW3 之间的链路做冗余备份并且保证负载均衡6：R1 是DHCP 服务器，为内部用户分配IP地址。内部WEB服务器使用固定IP7：为了防止ARP攻击，接入交换机SW2,SW3上需要做DHCP SNOOPING 和DAI8：R1作为EZVPN server，方便外部移动办公人员拨号EZVPN 对内部做网管，EZVPN 的地址池为-009：.考虑到内部服务器作为公司的私有WEB服务器，主要是用于对内提供服务，对于internet的访问需要通过认证以后才能提供正常访问。10：为了防止DDOS攻击,限定外部用户对于内部的HTTP服务器的访问最大连接数不能超过1000，最大半打开连接数不能超过500，对于HTTP1服务器的最大半打开不能超过100个.当外部用户到达内部的连接时间超过10分钟的时候防火墙自动清除连接，并且在最短时间内，尽快清除死亡连接。11：对于内部用户到taobao网的访问，必须严厉禁止。12：公司分部可能需要对内部的WEB服务器进行访问，所以R1和R3之间建立L2L 的IPSec vpn，允许分部访问内部的WEB服务器8：R1作为EZVPN server，方便外部移动办公人员拨号EZVPN 对内部做网管，EZVPN 的地址池为-009：.考虑到内部服务器作为公司的私有WEB服务器，主要是用于对内提供服务，对于internet的访问需要通过认证以后才能提供正常访问。10：为了防止DDOS攻击,限定外部用户对于内部的HTTP服务器的访问最大连接数不能超过1000，最大半打开连接数不能超过500，对于HTTP1服务器的最大半打开不能超过100个.当外部用户到达内部的连接时间超过10分钟的时候防火墙自动清除连接，并且在最短时间内，尽快清除死亡连接。11：对于内部用户到taobao网的访问，必须严厉禁止。12：公司分部可能需要对内部的WEB服务器进行访问，所以R1和R3之间建立L2L 的IPSec vpn，允许分部访问内部的WEB服务器通过以上网络架构，我们可以进行以下校园网划分：4配置：1：IP配置R1(config)#int e0/0R1(config-if)#ip add R1(config-if)#no shuR1(config-if)#exitR1(config)#int e0/1R1(config-if)#ip add R1(config-if)#no shR1(config-if)#exitR1(config)#int e0/2R1(config-if)#ip add R1(config-if)#no shR1(config-if)#exitR2(config)#int e0/0R2(config-if)#ip add R2(config-if)#no shutdown R2(config-if)#exitR2(config)#int e0/1R2(config-if)#no shutdown R2(config-if)#exitR2(config)#int e0/1.2R2(config-subif)#encapsulation dot 2R2(config-subif)#ip add 00 R2(config-subif)#no shR2(config-subif)#exitR2(config)#int e0/1.3R2(config-subif)#en dot 3R2(config-subif)#ip add 00 R2(config-subif)#no shuR2(config-subif)#exitSW1(config)#int f0/1SW1(config-if)#no switchport SW1(config-if)#ip add SW1(config-if)#no shSW1(config-if)#exitSW1(config)#int f0/2 SW1(config-if)#sw tr en dotSW1(config-if)#sw mo trSW1(config-if)#no shSW1(config-if)#exitSW1(config)#int vlan 2SW1(config-if)#ip add 00 SW1(config-if)#exitSW1(config)#int vlan 3SW1(config-if)#ip add 00 SW1(config-if)#exit R4(config)#int e0/0R4(config-if)#ip add R4(config-if)#no shuR4(config-if)#exitR4(config)#int e0/1R4(config-if)#ip add R4(config-if)#no shuR4(config-if)#exitR4(config)#int e0/2R4(config-if)#ip add R4(config-if)#no shuR4(config-if)#exitciscoasa(config)# int g0ciscoasa(config-if)# nameif insideINFO: Security level for inside set to 100 by default.ciscoasa(config-if)# ip add 00 ciscoasa(config-if)# no shuciscoasa(config-if)# exitciscoasa(config)# int g1ciscoasa(config-if)# nameif outsideINFO: Security level for outside set to 0 by default.ciscoasa(config-if)# ip add 00 ciscoasa(config-if)# no shuciscoasa(config-if)# exitciscoasa(config)# int g2ciscoasa(config-if)# nameif dmzINFO: Security level for dmz set to 0 by default.ciscoasa(config-if)# security-level 50ciscoasa(config-if)# ip add 00 ciscoasa(config-if)# no shuciscoasa(config-if)# exit2：配置OSPF R1(config)#router ospf 1R1(config-router)#net 55 area 0R1(config-router)#net 55 area 0R1(config-router)#net 55 area 0R1(config-router)#exitR2(config)#router ospf 1R2(config-router)#net 55 area 0R2(config-router)#net 55 area 0R2(config-router)#net 55 area 0R2(config-router)#exitSW1(config)#ip routing SW1(config)#router ospf 1SW1(config-router)#net 55 area 0SW1(config-router)#net 55 area 0SW1(config-router)#net 55 area 0SW1(config-router)#exitciscoasa(config)# router ospf 1ciscoasa(config-router)# net area 0ciscoasa(config-router)# default-information originate alwaysciscoasa(config-router)# exit配置完成以后在R1上查看邻居关系R1#sh ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface00 1 FULL/BDR 00:00:39 00 Ethernet0/2 1 FULL/BDR 00:00:37 Ethernet0/1 1 FULL/BDR 00:00:33 Ethernet0/0OSPF 邻居已经全部建立在ASA上添加默认路由ciscoasa(config)# route outside 0 0 3：在ASA上做NAT，让内网可以访问internet，并且使内部服务器正常对外提供访问ciscoasa(config)# object network inside_userciscoasa(config-network-object)# range 55ciscoasa(config-network-object)# nat (inside,outside) dynamic interface ciscoasa(config-network-object)# exit在ASA上放行ICMP 流量方便测试ciscoasa(config)# access-list outacl permit icmp any anyciscoasa(config)# access-group outacl in interface outside在R2上测试连通性R2#ping source 00Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:Packet sent with a source address of 00 !Success rate is 100 percent (5/5), round-trip min/avg/max = 12/53/76 ms内部已经能够正常访问internet下面为内部HTTP做静态NATciscoasa(config)# object network global_httpciscoasa(config-network-object)# host 00ciscoasa(config-network-object)# exitciscoasa(config)# object network httpciscoasa(config-network-object)# host 0ciscoasa(config-network-object)# nat (dmz,outside) static global_httpciscoasa(config-network-object)# exit做好以后在HTTP上测试连通性4：在R1上配置DHCP server，R2和SW1启用DHCP relay，保证内部PC可以获得IP地址R1(config)#service dhcpR1(config)#ip dhcp pool vlan2R1(dhcp-config)#network R1(dhcp-config)#default-router 00R1(dhcp-config)#exitR1(config)#ip dhcp pool vlan3R1(dhcp-config)#network R1(dhcp-config)#default-router 00R1(dhcp-config)#exitR2(config)#int e0/1.2R2(config-subif)#ip helper-address R2(config-subif)#exitR2(config)#int e0/1.3 R2(config-subif)#ip helper-address R2(config-subif)#exitSW1(config)#int vlan 2SW1(config-if)#ip helper-address SW1(config-if)#exitSW1(config)#int vlan 3 SW1(config-if)#ip helper-address SW1(config-if)#exit内部服务器使用固定的IP地址WEB_SERVER(config)#int e0/0WEB_SERVER(config-if)#ip add WEB_SERVER(config-if)#no shuWEB_SERVER(config-if)#exitWEB_SERVER(config)#no ip routingWEB_SERVER(config)#ip deWEB_SERVER(config)#ip default-gWEB_SERVER(config)#ip default-gateway 00PC(config)#int e0/0PC(config-if)#ip add dhcp PC(config-if)#no shutdown PC(config-if)#exitPC(config)#no ip routingPC#sh ip itn b*Mar 1 00:38:36.331: %SYS-5-CONFIG_I: Configured from console by consolePC#sh ip int b Interface IP-Address OK? Method Status ProtocolEthernet0/0 YES DHCP up up PC已经通过DHCP获得地址5：HSRP负载均衡R2(config)#int e0/1.2 R2(config-subif)#standby 1 preempt R2(config-subif)#standby 1 ip 00R2(config-subif)#standby 1 priority 200R2(config-subif)#standby 1 track e0/0 120R2(config-subif)#exitR2(config)#int e0/1.3R2(config-subif)#standby 2 preemptR2(config-subif)#standby 2 ip 00SW1(config)#int vlan 2SW1(config-if)#standby 1 preempt SW1(config-if)#standby 1 ip 00SW1(config-if)#exitSW1(config)#int vlan 3SW1(config-if)#standby 2 preempt SW1(config-if)#standby 2 ip 00 SW1(config-if)#standby 2 priority 200SW1(config-if)#standby 2 track f0/1 120SW1(config-if)#exit配置完成后检查状态是否正常R2#sh standby brief P indicates configured to preempt. |Interface Grp Prio P State Active Standby Virtual IP Et0/1.2 1 200 P Active local 3 00 Et0/1.3 2 100 P Standby 3 local 00 SW1#sh standby brief P indicates configured to preempt. |Interface Grp Prio P State Active Standby Virtual IP Vl2 1 100 P Standby 2 local 00 Vl3 2 200 P Active local 2 00 6：SW2 和SW3 之间的链路做冗余备份并且保证负载均衡SW2(config)#spanning-tree vlan 2 root primary SW2(config)#spanning-tree vlan 3 root secondary SW3(config)#spanning-tree vlan 2 root secondary SW3(config)#spanning-tree vlan 3 root primary7：SW2,SW3上做DHCP SNOOPING 和DAISW2Ip dhcp snoopingIp dhcp snooping database werite-relay 15Ip dhcp snooping database flash:/snoop1.dbIp dhcp snooping vlan 2Ip dhcp snooping vlan 3Int r f0/1 -4Ip dhcp snooping trust 所有trunk配置为trust，允许转发DHCP 的请求和回复Int r f0/12 -13Ip dhcp snooping limit rate 5 对access接口做DHCP 请求的限速，防止DHCP 的DDOS攻击由于内部WEB服务器使用的是静态IP，所以需要ARP ACL来放行服务器的流量Arp access-list arp_acl permit ip mac 0002.0002.0002Ip arp inspection filter arp_acl vlan 2Ip arp inspection vlan 2Ip arp inspection vlan 3Int r f0/1 - 4Ip arp inspection trust 所有trunk配置为trustSW3Ip dhcp snoopingIp dhcp snooping database werite-relay 15Ip dhcp snooping database flash:/snoop1.dbIp dhcp snooping vlan 2Ip dhcp snooping vlan 3Int r f0/3 -4Ip dhcp snooping trust 所有trunk配置为trust，允许转发DHCP 的请求和回复Int r f0/12 -13Ip dhcp snooping limit rate 5 Ip arp inspection vlan 2Ip arp inspection vlan 3Int r f0/1 - 4Ip arp inspection trust 8: R4 配置为PPPOE的server，外部移动办公人员使用PPPOE拨号上网R4(config)#vpdn enable R4(config)#vpdn-group ADSLR4(config-vpdn)#accept-dialin R4(config-vpdn-acc-in)#protocol pppoe R4(config-vpdn-acc-in)#exiR4(config-vpdn)#bba-group pppoe globalR4(config-bba-group)#virtual-template 1R4(config-bba-group)#exitR4(config)#int virtual-template 1R4(config-if)# ip unnumbered e0/3R4(config-if)#encapsulation pppR4(config-if)#ppp authentication pap R4(config-if)#peer default ip address pool poolR4(config-if)#exitR4(config)#ip local pool pool 00R4(config)#username cisco password ciscoR4(config)#int e0/3R4(config-if)#pppoe enable R4(config-if)#exit配置完成以后在PC上测试是否能够正常拨号PPPOE添加新的网络连接点击连接已经成功拨号了。9：R1配置为EZVPN serverR1(config)#aaa new-model R1(config)#aaa authentication login nocon none R1(config)#line console 0R1(config-line)#login authentication noconR1(config-line)#exitR1(config)#aaa authentication login ezvon localR1(config)#aaa authorization network ezvpn local R1(config)#username cisco password ciscoR1(config)#crypto isakmp policy 10R1(config-isakmp)#authentication pre-share R1(config-isakmp)#encryption 3des R1(config-isakmp)#hash sha R1(config-isakmp)#group 2R1(config-isakmp)#exitR1(config)#crypto isakmp client configuration group ezvpngroupR1(config-isakmp-group)#acl 101 定义分离隧道R1(config-isakmp-group)#key cisco123R1(config-isakmp-group)#pool poolR1(config-isakmp-group)#exitR1(config)#access-list 101 permit ip 55 anyR1(config)#access-list 101 permit ip 55 any 到总部内网的流量走VPN，其他流量正常走internetR1(config)#ip local pool pool 00R1(config)#crypto ipsec transform-set myset esp-3des esp-sha-hmac R1(cfg-crypto-trans)#exitR1(config)#crypto dynamic-map dmap 10R1(config-crypto-map)#set transform-set mysetR1(config-crypto-map)#reverse-route 开启反向路由注入R1(config-crypto-map)#exitR1(config)#crypto map map isakmp authorization list ezvpnR1(config)#crypto map map client configuration address respond R1(config)#crypto map map client authentication list ezvpn R1(config)#int e0/3R1(config-if)#cryR1(config-if)#crypto map map R1(config-if)#exit现在EZVPN已经配置完成了，但是外部想要拨号进来的话需要在防火墙上放行UDP 500 和UDP 4500，而且还需要在ASA上对R1 的e0/3地址做静态NATciscoasa(config)# object network global_ezvpnciscoasa(config-network-object)# host 01ciscoasa(config-network-object)# exitciscoasa(config)# object network ezvpnciscoasa(config-network-object)# host ciscoasa(config-network-object)# nat (inside,outside) static global_ezvpnciscoasa(config-network-object)# exitciscoasa(config)# access-list outacl permit udp any host eq 500ciscoasa(config)# access-list outacl permit udp any host eq 4500在PC上装好EZVPN 的client后拨号这里提示输入用户名和密码说明已经没有问题了已经成功拨号ezvpn，并且分离隧道也已经做好了，可以在PC上测试可以正常访问internet公司内网服务器也可以访问了10：对访问公司内网的WEB 服务器的流量，ASA需要对其做截取认证在ASA上做静态NAT映射 到02ciscoasa(config)# object network global_webciscoasa(config-network-object)# host 02ciscoasa(config-network-object)# exitciscoasa(config)# object network webciscoasa(config-network-object)# host ciscoasa(config-network-object)# nat (inside,Outside) static global_webciscoasa(config-network-object)# exitciscoasa(config)# access-list auth permit tcp any host eq 80ciscoasa(config)# aaa authentication match auth outside LOCALciscoasa(config)# username cisco password cisco 对访问的HTTP流量做认证，认证采用本地数据库做完以后还要在ASA上放行访问内部WEB的流量ciscoasa(config)# access-list outacl permit tcp any host eq 8011：在ASA配置策略防止DDOS攻击ciscoasa(config)# class-map httpciscoasa(config-cmap)# match port tcp eq 80ciscoasa(config-cmap)# exitciscoasa(config)# policy-map global_policyciscoasa(config-pmap)# class httpciscoasa(config-pmap-c)# set connection conn-max 1000ciscoasa(config-pmap-c)# set connection embryonic-conn-max 500ciscoasa(config-pmap-c)# exitciscoasa(config-pmap)# exitciscoasa(config)# class-map webciscoasa(config-cmap)# match access-list authciscoasa(config-cmap)# exitciscoasa(config)# policy-map global_policyciscoasa(config-pmap)# class webciscoasa(config-pmap-c)# set connection embryonic-conn-max 100ciscoasa(config-pmap-c)# exitciscoasa(config-pmap)# exitciscoasa(config)# class-map anyciscoasa(config-cmap)# matciscoasa(config-cmap)# match anyciscoasa(config-cmap)# exitciscoasa(config)# policy-map global_policyciscoasa(config-pmap)# class anyciscoasa(config-pmap-c)# set connection timeout idle 0:10:00 ciscoasa(config-pmap-c)# set connection timeout dcd 0:05:00 312：禁止内部用户访问在ASA上采用干掉DNS请求中有taobao关键字的流量ciscoasa(config)# regex taobao taobaociscoasa(config)# class-map type inspect dns L7-dns-classciscoasa(config-cmap)# match domain-name regex taobao ciscoasa(config-cmap)# exitciscoasa(config)# policy-map type inspect dns L7-dns-policyciscoasa(config-pmap)# class L7-dns-classciscoasa(config-pmap-c)# drop logciscoasa(config-pmap-c)# exitciscoasa(config-pmap)# exitciscoasa(config)# policy-map global_policyciscoasa(config-pmap)# class inspection_defaultciscoasa(config-pmap-c)# no inspect dnsciscoasa(config-pmap-c)# inspect dns L7-dns-policyciscoasa(config-pmap-c)# exitciscoasa(config-pmap)# exit内部PC打开DNS服务，把DNS服务器指到PC(config)#ip domain-lookup PC(config)#ip name-server 在ASA上开启日志ciscoasa(config)# logging onciscoasa(config)# logging console 7在PC上输入PC#Translating .domain server ()在ASA上看到一下输出信息ciscoasa(config)# %ASA-7-710005: UDP request discarded from 54/59030 to inside:52/5355%ASA-7-710005: UDP request discarded from 54/59030 to inside:52/5355%ASA-7-710005: UDP request discarded from /59030 to outside:52/5355%ASA-7-609001: Built local-host inside:%ASA-7-609001: Built local-host outside:%ASA-6-305011: Built dynam