中小型企业网络工程实施方案设计

1、目目 录录 第一章第一章 总体设计总体设计.- 1 - 1.1 系统设计原则.- 1 - 1.2 网络拓扑架构.- 2 - 1.3 设计依据和规范.- 2 - 第二章第二章 到货前准备到货前准备.- 3 - 2.1 项目人员的组织结构及分工 .- 3 - 2.2 工程时间安排、进度安排 .- 3 - 第三章第三章 到货，实施前准备到货，实施前准备.- 4 - 3.1 现场检查与到货验收 .- 4 - 3.2 ip 地址及 vlan分配.- 4 - 3.2.1 总体 ipvlan 划分.- 4 - 3.2.2 服务器集群 ipvlan100 划分.- 5 - 3.3.3 iptables 防火墙

2、vlan200 划分.- 5 - 第四章第四章 实施实施.- 6 - 4.1 相关的设备选型.- 6 - 4.2 局域网的相关调试.- 7 - 4.2.1 核心 h3c s7500 交换机的 vrrp 调试.- 7 - 4.3 广域网的相关调试.- 11 - 4.3.1 iptables 防火墙的配置 .- 11 - 4.4 red hat linux 5 系统上相关服务器的搭建.- 12 - 4.4.1 web 服务器的安装配置.- 12 - 4.4.2 dns 服务器的安装配置：.- 12 - 4.4.3 exchange 服务器.- 17 - 4.4.4 ftp 服务器的安装和配置.-

3、28 - 第五章第五章 测试测试.- 30 - 5.1 系统测试原理和方法 .- 30 - 5.2 硬件设备测试和验收 .- 30 - 5.3 系统集成测试 .- 31 - 5.3 测试相关命令 .- 31 - 第六章第六章 项目工程管理项目工程管理.- 34 - 6.1 工程的安全管理 .- 34 - 6.2 工程资料、文档管理 .- 34 - 6.3 项目的质量控制 .- 35 - 第七章第七章 现场培训现场培训.- 35 - 第八章第八章 验收验收.- 36 - 8.1 系统初验.- 36 - 8.1.1 中验（试运行验收）.- 36 - 8.1.2 半年后的优化：由 ccie 主持系统

4、终验.- 36 - 第一章第一章 总体设计总体设计 1.1 系统设计原则 1)公司使用 2 台核心交换机(做冗余备份)，连接所有网络设备，并把所有服务器都连接到 该核心交换机，放置到一个单独的 vlan 中。 2) 接入层交换机连接终端用户，并把管理层人员和普通的办公人员放入不同的 vlan 中。 3)公司的管理人员可以访问普通员工的 pc，但普通员工不可以访问管理人员的 pc.。 4)离该公司总部有 2 公里处，有一个分公司，主要是负责生产活动。和分公司连接采用 路由器。而分公司内部使用一个交换机连接所有用户，所有用户都在一个 vlan 中； （可采用光纤连接）。 5)所有的用户都使用 dh

5、cp 获得 ip 地址。 6)总公司采用 linux iptables 防火墙+路由器上网。公司已经申请了 100m 城域网宽带上网 （分两条线路，一条 40m 一条 60m；要求：服务器占用 40m，供外网用户访问，其他 用户用 60m 出口访问 internet）。 7)公司采用微软的域管理方法，对所有用户的帐号和权限通过 ad 来管理，并要提供 99的可靠。 8)公司内部要有自己的邮件服务器，并可以和 internet 的邮件服务器实现互发邮件。为出 差人员提供方便的邮件访问。 9) 该公司有电子商务网站，提供客户在线定购产品，故要发布该 web 服务器，并提供高 可靠性。 10) 该公

6、司的防病毒采用统一集中的网络管理模式。 11) 严格限制上网时间。 12) 出差用户要能方便的访问公司内部资料。 1.2 网络拓扑架构 1.3 设计依据和规范 1)主机和网络设备的选型符合下列国家和组织的技术标准和规范： 2)gb：中华人民共和国国家标准 3)iso：国际标准组织 4)itu-t：国际电信联盟 5)ieee：国际电气与电子工程师协会 6)eia：电气工业协会 7)iec：国际电工协会 第二章第二章 到货前准备到货前准备 2.1 项目人员的组织结构及分工 项目经理：负责项目的总体协调工作 商务负责：负责以商务相关的工作 技术负责：负责项目的总体实施 工程技术人员 ccnp、ccn

7、a：ccnp 为项目实施的技术把关，ccna 负责项目的具体实施 和项目实施文档的制作 后勤负责：为所有项目实施人员提供后勤保障工作 2.2 工程时间安排、进度安排 预计 1 月初设备全部到货，总预计 4 到 5 周时间完成项目 具体实施如下: 工程安排签订合同11.1 11.25-11.3012.112.1512.160 设备订购 设备到货验收 系统安装工程 现场培训 系统整体测试 系统验收测试 系统安装工程具体分解以下的子任务： 中心和汇聚交换机的模拟环境联合调试 天 各边缘交换机的调试 天 广域网和 quidway s6509 的调试 天 acl 和 nat 的设

8、置 天 网管软件的安装与调试 天 第三章第三章 到货，实施前准备到货，实施前准备 3.1 现场检查与到货验收 检查设备的型号及数量是否与设备订货清单一致 检查到货的设备是否完好 验收的结果应该提供一份由参与验收的人员和系统集成商签名的硬件清单，并注明好相 关的日期 如果没有可见的设备损坏，那么在验货后，即开始设备的安装和调试，测试是否存一些 不可见的硬件损坏。 设备到货，进行设备的验收，要求必须记录设备的序列号，表格如下： 设备名称型号序列号到货时间签收人员 3.2 ip 地址及 vlan 分配 3.2.1 总体 ipvlan 划分 vlan 号子网名称ip 范围网关vlan 名称管理 ip

9、10办公楼 1 /2454office152 20办公楼 2 /2454office252 30分公司 /2454branch office52 40普通员工 /2454laborial staff52 50管理层人员 /2454manager192.168.50

10、.252 3.2.2 服务器集群 ipvlan100 划分 服务器名称web 服务器ftp 服务器dns 服务器exchangedhcp 服务器 ip 地址0000000000 网关5454545454 3.3.3 iptables 防火墙vlan200 划分 nameip 地址网关所属机构 内网0000某公司 外网40m218.85

11、.157.10054isp 外网60m0054isp 第四章第四章 实施实施 4.1 相关的设备选型 h3c s7500 系列以太网交换机 h3c s7500 系列交换机作为 h3c 公司自适应安全网络的核心产品之一，可广泛的适用于 ip 城域网、大型企业园区网、中小型企业办公网络的核心层和汇聚层，同时其也可以作为以太无 源光网络（epon）的光线路终端（olt）设备，为用户提供多种业务接入、交换、路由一体化 的安全融合网络解决方案。 h3c s7500 系列交换机支持高达 768g 交换容量的高速引擎，包括以下 4 款产

12、品： s7502：2 个业务插槽，主控板与业务板合一； s7503：3 个业务插槽，1 个主控插槽； s7506：6 个业务插槽，1 个主控插槽； s7506r：6 个业务插槽，2 个主控插槽； h3c s5600 系列以太网交换机 h3c s5600 系列全千兆智能弹性交换机是 h3c 公司为设计和构建高弹性和高智能网络需求 而推出的新一代以太网交换机产品。系统采用 h3c 公司创新的 irf（intelligent resilient framework，智能弹性架构)技术，支持高达 96g 的堆叠带宽和高密度千兆端口，支持万兆上行。 特别适合作为需要高带宽、高性能和高扩展性的中小企业网核

13、心、大型企业网络和园区网的汇 聚层以及数据中心的服务器接入设备。 产品系列齐全，每款都支持 1 端口、2 端口万兆接口或 8 端口 sfp 千兆光口，最大的堆叠带宽 达到 96g 支持创新的 irf（intelligent resilient framework）智能弹性架构技术，能够实现用 户网络的高度弹性智能扩展 可通过双绞线向远端下挂 pd 设备（如 ip phone、wlan ap、security、bluetooth ap 等） 提供电源，实现 poe 功能 支持 ead（端点准入防御）功能，配合后台系统可以将终端防病毒、补丁修复等终端安全 措施与网络接入控制、访问权限控制等网络安全

14、措施整合为一个联动的安全体系 更加多样化的管理和丰富的特性 4.2 局域网的相关调试 4.2.1 核心 h3c s7500 交换机的 vrrp 调试 sw1 sys sw1vlan 10 sw1-vlan10vlan 20 sw1-vlan20valn 50 sw1-vlan50vlan 60 sw1-vlan60int vlan 50 sw1-vlan-interface50ip add 24 sw1-vlan-interface50int vlan 60 sw1-vlan-interface60ip add 24 sw1-vlan-int

15、erface60quit sw1ip route-static 52 sw1ip route-static 53 sw1int e0/4/3 sw1-ethernet0/4/3port link-type access sw1-ethernet0/4/3port access vlan 50 sw1-ethernet0/4/3int e0/4/2 sw1-ethernet0/4/2port link-type access sw1-ethernet0/4/2port access v

16、lan 60 sw1-ethernet0/4/2quit sw1 sw2 sys sw2vlan 10 sw2-vlan10vlan 20 sw2-vlan20vlan 50 sw2-vlan50vlan 60 sw2-vlan60int e0/4/3 sw2-ethernet0/4/3port link-type trunk sw2-ethernet0/4/3port trunk permit vlan all sw2-ethernet0/4/3int vlan 10 sw2-vlan-interface10ip add 52 24 sw2-vlan-interfac

17、e10int vlan 20 sw2-vlan-interface20ip add 52 24 sw2-vlan-interface20int vlan 50 sw2-vlan-interface50ip add 52 24 sw2-vlan-interface50quit sw2int vlan 10 sw2-vlan-interface10vrrp vrid 10 virtual-ip 54 sw2-vlan-interface10vrrp vrid 10 priority 120 sw2-vlan-interface

18、10vrrp vrid 10 preempt-mode sw2-vlan-interface10vrrp vrid 10 track interface vlan-interface 50 reduced 50 sw2-vlan-interface10int vlan 20 sw2-vlan-interface20vrrp vrid 20 virtual-ip 54 sw2-vlan-interface20vrrp vrid 20 preempt-mode sw2-vlan-interface20int e0/4/2 sw2-ethernet0/4/2port link

19、-type access sw2-ethernet0/4/2port access vlan 50 sw2-ethernet0/4/2quit sw2ip route-static sw3 sys sw3int e0/4/4 sw3vlan 10 sw3-vlan10vlan 20 sw3-vlan20vlan 50 sw3-vlan50vlan 60 sw3-vlan60int e0/4/3 sw3-ethernet0/4/3port link-type trunk sw3-ethernet0/4/3port trunk permit

20、 vlan all sw3-ethernet0/4/3int vlan 10 sw3-vlan-interface10ip add 53 24 sw3-vlan-interface10int vlan 20 sw3-vlan-interface20ip add 53 24 sw3-vlan-interface20int vlan 60 sw3-vlan-interface60ip add 53 24 sw3-vlan-interface60int vlan 10 sw3-vlan-interface10vrrp vrid

21、10 virtual-ip 54 sw3-vlan-interface10vrrp vrid 10 preempt-mode sw3-vlan-interface10int vlan 20 sw3-vlan-interface20vrrp vrid 20 virtual-ip 54 sw3-vlan-interface20vrrp vrid 20 priority 120 sw3-vlan-interface20vrrp vrid 20 preempt-mode sw3-vlan-interface20vrrp vrid 20 track int

22、erface vlan-interface 60 reduced 50 sw3-vlan-interface20int e0/4/2 sw3-ethernet0/4/2port link-type access sw3-ethernet0/4/2port access vlan 60 sw3-ethernet0/4/2quit sw3ip route-static 4.3 广域网的相关调试 4.3.1 iptables 防火墙的配置 rootlocalhost # echo 1 /proc/sys/net/ipv4/ip_forward

23、 rootlocalhost # iptables -t nat postrouting -s /24 -o eth1 -j snat -to 00 rootlocalhost # iptables -t nat -a prerouting -p tcp -dport 80 -d 00 -j dnat -to- destination 00 rootlocalhost # iptables -p input drop rootlocalhost # iptables -p output accept r

24、ootlocalhost #iptables -p forward drop rootlocalhost # iptables -a input -p tcp -dport 22 -j accept rootlocalhost # iptables -a output -p tcp -sport 22 -j accept rootlocalhost # iptables -a output -p tcp -sport 80 -j accept rootlocalhost # iptables -a input -p tcp -dport 80 -j accept rootlocalhost #

25、 iptables -a input -p tcp -dport 110 -j accept rootlocalhost # iptables -a input -p tcp -dport 25 -j accept roottp # iptables -a input -p tcp -dport 21 -j accept rootlocalhost # iptables -a input -p tcp -dport 20 -j accept rootlocalhost # iptables -a input -p tcp -dport 53 -j accept rootlocalhost #

26、/etc/init.d/iptables save rootlocalhost # /etc/init.d/iptables restart 4.4 redred hathat linuxlinux 5 5 系统上相关服务器的搭建 4.4.1 web 服务器的安装配置 web 服务器的 ip 地址：00 域名： rootlocalhost # cd /home/wg2010 rootlocalhost wg2010# tar -zxvf httpd-2.0.59.tar.gz c /tmp rootlocalhost wg2010# cd /tmp rootlocalho

27、st tmp# cd httpd-2.0.59/ rootlocalhosthttpd-2.0.59#./configure-prefix=/usr/loacl/apache- sysconfdir=/usr/loacl/apache/conf rootlocalhosthttpd-2.0.59make rootlocalhosthttpd-2.0.59make inatall 4.4.2 dns 服务器的安装配置： dns 服务器 ip 地址:00 rootlocalhost #mount /dev/cdrom /mnt/cdrom rootlocalhost # cd

28、 /mnt/cdrom mrootlocalhost cdrom# cd server/ rootlocalhost server# ls |grep bind rootlocalhost server# rpm -ivh bind-9.3.3-10.el5.i386.rpm rootlocalhost server# rpm -ivh bind-utils-9.3.3-10.el5.i386.rpm rootlocalhost server# ls |grep cach rootlocalhost server#rpm -ivh caching-nameserver-9.3.3-10.el5

29、.i386.rpm rootlocalhost server# cd /home/wg0803/dns rootlocalhost wg0803# ls mrootlocalhost dns# cp .zone /var/named rootlocalhost dns# cp .zone /var/named rootlocalhost dns# cp named.ca /var/named cp：是否覆盖“/var/named/named.ca”? n rootlocalhost dns# cp named.conf /etc rootlocalhost dns# cd /var/named

30、 rootlocalhost etc# vi named.conf / generated by named-bootconf.pl options directory /var/named; /* * if there is a firewall between you and nameservers you want * to talk to, you might need to uncomment the query-source * directive below. previous versions of bind always asked * questions using por

31、t 53, but bind 8.1 uses an unprivileged * port by default. */ / query-source address * port 53; ; / / a caching only nameserver config / controls inet allow localhost; keys rndckey; ; ; zone . in type hint; file named.ca; ; zone localhost in type master; file localhost.zone; allow-update n

32、one; ; ; zone 0.0.127. in type master; file named.local; allow-update none; ; ; zone in type master; file .zone; ; zone in type master; file .zone; ; zone 1.168.192. in type master; file 1.168.192.; ; include /etc/rndc.key; mrootlocalhost named# vi .zone $ttl86400

33、 $origin . 1d in soa. ( 42; serial (d. adams) 3h; refresh 15m; retry 1w; expiry 1d ); minimum 1d in ns . in mx 10 . www 1d in a 100 mail 1d in a 100 ftp in cname www rootlocalhost named# vi .zone $ttl86400 $origin . 1d in soa. ( 42; serial (d. adams) 3h; refresh 15m; retry 1w;

34、expiry 1d ); minimum 1d in ns . in mx 10 . www 1d in a 100 mail 1d in a 100 ftp in cname www rootlocalhost # service named start 4.4.3 exchange 服务器 安装过程 1.下图为 exchange service 2003 的安装开始界面，选择“exchange 部署工具” 2.在下图中，选择“部署第一台 exchange 2003 服务器” 3.选择“安装全新的 exchange 2003” 4.下图为安装 ex

35、change 2003 的八大步骤，需要逐一的满足才能安装成功 5.服务器的操作系统为 windows service 2003，因此步骤 1 完成，下图为相关组件和服务的启用 “控制面板”“添加/删除 windows 组件” ，依次启用相关的组件，应用，确定 在安装组件的过程中，会出现如下的提示，要求插入安装光盘，根据提示选择相关文件即可开始安装组件， 直到完成 6.安装“dcdiag”和“netdiag”工具 打开系统安装光盘中的内容，打开“support”“tools” 双击“suptools.msi”进行安装 跳出如下安装界面后一直“next” ，直到安装完成 7.forestprep

36、 安装 点击“立即运行 forestprep” ，会出现如下的安全提示框，点击“继续” 下图为 forest prep 安装的开始界面 下一步 下一步 开始安装 forestprep，这个过程比较漫长，耐心等待安装完成 8.domainprep 的安装 下图为 domainprep 安装的开始界面 下一步 当出现如下提示框时，点击“确定”开始安装，直到安装完成 8.exchange 程序安装 下一步 选择“新建 exchange 组织” “下一步” 输入组织名“kingtcn” “下一步” 输入简单管理组织名“kingtcn” “下一步” “下一步”开始安装 二。exchange 的设置 1.

37、打开 ad 用户和计算机 2.在 e/users 中新建用户“test1”和“test2” 3.新建用户完成之后，打开 ie 浏览器，在地址栏中输入 /exchange，出现如下图所示的登入 框，输入刚刚创建的用户名和密码 4.下图为 exchange 2003 的 owa 界面 5.新建一封电子邮件，发送到： 6.用另一个新建的用户登录 7.在下图中，我们已经可以看到，test2 中，有一封从 test1 中发送过来的邮件，这样，我们的 exchange 2003 就安装成功了。 4.4.4 ftp 服务器的安装和配置 ifconfig eth0 192.16

38、8.1.100 netmask rootlocalhost # service sshd start 启动 sshd：确定rootlocalhost # mount /dev/cdrom /mnt/cdrom mount: block device /dev/cdrom is write-protected, mounting read-only rootlocalhost # cd /mnt/cdrom mrootlocalhost cdrom# cd server/ rootlocalhost server# rpm -ivh vsftpd-2.0.5-10.e

39、l5.i386.rpm warning: vsftpd-2.0.5-10.el5.i386.rpm: header v3 dsa signature: nokey, key id 37017186 preparing. # 100% # 100% package vsftpd-2.0.5-10.el5 is already installed rootlocalhost server# service vsftpd start 为 vsftpd 启动 vsftpd：确定 rootlocalhost server# useradd king rootlocalhost server# passw

40、d king changing password for user king. new unix password: bad password: it is too simplistic/systematic retype new unix password: passwd: all authentication tokens updated successfully. rootlocalhost server# ftp 00 connected to 00. 220 (vsftpd 2.0.5) 530 please login with user

41、 and pass. 530 please login with user and pass. kerberos_v4 rejected as an authentication type name (00:root): king 331 please specify the password. password: 230 login successful. remote system type is unix. using binary mode to transfer files. ftp 第五章第五章 测试测试 5.1 系统测试原理和方法 从实施阶段可分成： 单个系

42、统或相对独立部件的测试，例如单个路由器的自检等等； 子系统的测试，例如中心网络的测试等等； 整个网络系统的测试。 测试的目标是为了保证用户能够科学而公正地验收供应商提供的设备和软件，系统集成商提供的 整套系统，也是为了保证供应商和系统集成商能够准确无误地提供合同所要求的设备和系统。所以， 测试的目的对用户而言是为了验收。 测试应该由供应商和系统集成商、用户及用户聘请的技术顾问共同参与。 5.2 硬件设备测试和验收 部件级测试 部件级测试指对设备中各个部件的功能、可靠性、耐用性和可维性的测试，升档能力的衡量等。该类 测试一般已在原厂的生产过程中完成，用户只需在使用过程中加以观测即可。 设备级测试

43、 设备级测试主要包括对设备的处理能力、可靠性、可扩充性、开放性等方面进行测试。设 备级测试需用有关的测试工具、仪器或软件来进行，也可在实际应用中对其某些性能加以测试。 系统级测试 系统级测试主要包括网络的连通性测试，系统的可靠性测试，系统的响应时间，系统的抗 干扰测试，系统的安全保密性测试等。这一类测试可借助于某些网络测试工具或网络管理和测 试软件来完成。 5.3 系统集成测试 功能性测试： 测试系统应提供的每一个功能和安全性限制，检查系统是否已正常实现所有功能。 连通性测试： 测试网络上任意站点间是否能够相互传输数据，测试各个终端能否登录中心服务器，并访 问数据库，对数据库进行正常的操作；

44、稳定性测试： 在不间断运行的一段时间内，系统有无异常现象发生，如有异常，是由系统自动处理还是 系统管理员人工干预处理，不间断的测试时间以一周(7 天)为限； 重载测试： 在系统处于重载工作状况时，通过计算机系统的监控软件，以及网络系统的管理软件监测 计算机系统和网络系统的性能指标； 5.3 测试相关命令 5.3.1 通用测试、诊断命令 ping x.x.x.x 标准 ping- -用于测试设备间的物理连通性。 扩展 ping- -用于测试设备间的物理连通性（扩展 ping 命令还支持灵活定义 ping 参数， 如 ping 数据包的大小，发送包的个数，等待响应数据包的超时时间等）。 trace

45、route x.x.x.x - -用于跟踪、显示路由信息。 display current-configuration -用于显示路由器、交换机运行配置文件的内容。 display sessions-用于显示从当前设备发出的所有呼出 telnet 会话。 disconnect-用于断开与远程目标主机的 telnet 会话。 clear line-用于断开远程主机的呼入 telnet 连接。 shutdown-用于临时将某个接口关闭。 un shut -用于手动启动（激活）处于管理性关闭的接口。 display arp -用于显示 arp 缓存（arp 表）的内容。 display interf

46、ace -用于显示各接口的状态及参数信息。 dir flash: -用于显示闪存中的文件清单。 dir nvram: -:用于显示非易失性内存中的文件清单。 show debugging-用于显示正在进行的诊断过程清单。 undebug all-用于停止所有诊断过程。 5.3.2 cdp 测试、诊断命令 show cdp-用于显示 cdp 全局参数信息。 show cdp neighbors-用于显示 cdp 邻居设备的摘要信息。 show cdp neighbors detail-l 用于显示 cdp 邻居设备的详细信息，包括：邻居设备名称、 邻居设备接口 ip 地址、邻居设备软件版本信息、

47、设备性能、设备平台、本地设备接口、邻居设 备接口、cdp 缓存条目保持时间、cdp 广播版本、接口双工方式等。 show cdp entry-用于显示指定邻居设备的相关信息。 show cdp interface-用于显示本地设备各个接口的状态、接口封装格式、cdp 包的周期 发送时间以及 cdp 保持时间等。 show cdp traffic-用于显示和 cdp 相关的流量统计信息，包括接收和发送的 cdp 包数量、 包括头部错误、校验错误、封装错误等在内的错误数量等。 5.3.3 路由和路由协议测试、诊断命令 display ip routing-table -用于显示当前路由表内容。 5

48、.3.4 vlan、vtp 测试、诊断命令 dis vlan all-用于查看 vlan 创建情况。该命令可以显示系统所有的 vlan 信息，包括 vlan 编号、vlan 名称、vlan 状态、vlan 成员等信息。 show vtp status-用于检查 vtp 配置情况。 5.3.5 生成树测试、诊断命令 show spanning-tree-用于显示生成树协议中交换机及其端口的情况。 show spanning-tree blockedports-用于显示处于阻塞状态的端口。 show spanning-tree detail-用于显示生成树详细信息。 show spanning-t

49、ree interface-用于显示生成树中某端口相关状态。 show spanning-tree vlan-当有多个 vlan 时，catalyst 交换机会为每个 vlan 运行一个生 成树实例。此命令用于显示指定 vlan 的生成树内容。 show spanning-tree summary-用于显示生成树总结，包括本交换机是哪些 vlan 的根网 桥、端口快速特性是否启用、处于生成树各个端口状态的端口数量等信息。 5.3.6 nat 测试、诊断命令 show ip nat translation-用于显示并观察当前正在进行的 nat 情况。 show ip nat translation verbose-用于显示并观察当前正在进行的 nat 更为详细的情况。 show ip nat statistics-用于显示 nat 运行情况统计。 debug ip nat-用于打开对 nat 的诊断。 5.3.7 acl 测试、诊断命令 display