网络集成实习报告

1、魁大主学目的:（1）（2）（3）（4）二、实习要求校园网的建设是现代囚不仅能够更加合理有效一、实习目的本实习是网络工程专业的一门核心骨干课，是本专业学生必须学习和掌握的 基本专业课程。通过几周的实习，加深对网络组网技术的理解和掌握，提高实践 能力，为今后的实际工作熟练掌握子网划 了解并熟练运用各路由协议，静态路由及动态路由协议 了解Vian划分的目的及方法； 掌握交换机与路由器的基本配置地利用学校现有的各种资源，而且为学校未来的不断发展奠定了基础，使之能够适 合信息时代的要求。校园网络的建设及其与In ternet的互联，已经成为教育领域信息化建设的当务之急。假设学校有100台计算机，请规划各

2、个部门，便于管理。二、实习的内容（一）建设校园网的必要性校园网特点就是把分布在校园不同地点的多台电脑连接，按照网络协议相互通 信，以共享软件、硬件和数据资源为目标的网络系统。提供丰富的教育教学信息和 资源是校园网的生命力。校园网络具有距离短、延时少、相对成本低和传输速率高 等优点；它的低层协议较简单，控制选择等问题大大简化，因而又具有组网简单、 易于实现的特点。校园网的功能作用主要体现在以下四个方面：（1）信息传递。这是校园网络最基本的功能之一，用来实现电脑与电脑之间传递各种信息，使 分散在校园内不同地点的电脑用户可以进行集中的控制管理。在校务部门建立网络 服务器，可以为整个校园网络提供各类教

3、学资源，并对这些资源进行综合管理。（2）资源共享。 信息资源共享。通过接入ddn或isdn，很容易将校园网连接到in ternet,这 样，网络内的各电脑终端不但可以互通信息资源，而且可以享受网络服务器上的相关数据及in ternet网上取之不尽，用之不竭的巨大信息资源，校园网在教学活动中 的作用也将成倍地增强。 硬件资源共享。网络中各台电脑可以彼此互为后备机，一旦某台电脑出现故 障，它的任务就由网络中其他电脑代而为之，当网络中的某台电脑负担过重时，网 络又可将新的任务转交给网络中较空闲的电脑完成。（3）方便教学。网络可以进行图、文、声并茂的多媒体教学，可以取代语言实验室进行更生动 的语言教学

4、，也可以利用大量现成的教学软件，提供一个良好的教学环境，这些都 是以往任何教学手段所不能达到的。校园网络不但可以在校内进行网络教学，还很 容易同外界大型网络连结，形成更大范围的网络交互学习环境。（二）校园网系统设计原则网上资源丰富，包含各种教学和科研内容信息，学生可以方便地浏览和查询网 上资源实现远程学习，通过网上学习学会信息处理能力。学校的管理人员可方便地 对教务、行政事务、学生学籍、财务、资产等进行综合管理，同时可以实现各级管 理层之间的信息数据交换，实现网上信息采集和处理的自动化，实现信息和设备资 源的共享，因此，校园网的建设必须有明确的建设目标。校园网的总体设计原则是： '实用

5、性应当从实际情况出发，使之达到使用方便且能发挥效益的目的。采用成熟的技术和产品来建设该系统。要能将新系统与已有的 系统兼容，保持资源的连续性和可用性。系统是安全的，可靠的。 使用相当方便，不需要太多的培训即可容易的使用和维护。先进性采用当前国际先进成熟的主流技术，采用业界相关国际标准。设备选型要是先进和系列化的，系统应是可扩充的。便于进行升级 换代。建立Intranet/lnternet模式的总体结构，符合当今信息化发展的趋势。通过Intranet/lnternet的建立，加速国内外院校之间的信息交流。安全性采用各种有效的安全措施，保证网络系统和应用系统安全运行。安全包括4个层面-网络安全，操

6、作系统安全，数据库安全， 应用 系统安全。由于In ternet的开放性，世界各地的In ternet 用户也可访问校园网，校园网将采用防火墙、数据加密等技术防止 非法侵入、防止窃听和篡改数据、路由信息的安全保护来保证安全。 同时要建立系统和数据库的磁带备份系统。可扩充性采用符合国际和国内工业标准的协议和接口，从而使校园网具有良好的开放性，实现与其他网络和信息资源的容易互联互通。并 可以在网络的不同层次上增加节点和子网。一般包括开放标准、技 术、结构、系统组件和用户接口等原则。在实用的基础上必须采用 先进的成熟的技术，选购具有先进水平的计算机网络系统和设备， 并保留向ATM过渡的自然性。由于计

7、算机技术的飞速发展和计算机 网络技术的日新月异，网络系统扩充能力的大小已变得非常重要， 因此考虑网络系统的可扩充性是相当重要的。可管理性设计网络时充分考虑网络日后的管理和维护工作，并选用易于操作和维护的网络操作系统，大大减轻网络运营时的管理和维护负 担。采用智能化网络管理，最大程度地降低网络的运行成本和维护。高性能价格比结合日益进步的科技新技术和校园的具体情况，制定合乎经济效益的解决方案，在满足需求的基础上，充分保障学校的 经济效益。坚持经济性原则，力争用最少的钱办更多的事，以 获得最大的效益。（三）网络系统设计（1）系统构成校园信息系统网络应是为办公、科研和管理服务的综合性网络系统。一个 典

8、型的信息系统网络通常由以下几部分组成：1. 网络主干，用于连接各个主要建筑物，为主要的部门提供上网条件， 主干的选型和设计是信息系统网络的主要工作之一。2. Vian划分（虚拟局域网系统），以各个职能部门为单位而建立、独立 的计算环境和实验环境。3. 主机系统，网络中心的服务器和分布在各个LAN上的服务器是网络资源的载体，它的投资和建设也是信息系统网络建设的重要工作。4. 应用软件系统，包括网上 Web公共信息发布系统、办公自动化系统、管理信息系统、电子邮件系统、行政办公系统、人事管理系统和财务系统等专 用的系统。我们认为更主要的是建设内部的Intran et系统。5. 出口（通讯）系统，是指

9、将信息系统网络与In ternet等广域网络相连 接的系统。（2）网络技术选型在局域和园区网络中有多种可选的主流网络技术， 以下我们将针对不同技 术类型，简单阐明其特点，为我们的技术选型提供科学的依据。 主要选用以下 三种网络技术方案：以太网络技术、 FDDI网络、ATM网络。结合校园网系统设计原则和用户的具体需求，我们可以得出一个最佳的主 干设计方案。所推荐的方案采用交换式千兆以太网作为校园网范围内的全网主 干。主干网选用千兆以太网，其第三层以太网路由器交换机大都满足标准，技术成熟，具有流量优先机制能有效的保证多媒体传输时的QOS（3）网络基本结构设计1. 网络采用树形拓扑结构，树形结构是总

10、线形的延伸，它是一个分层分支 的结构。一个分支和节点故障不影响其他分支和节点的工作。 像总线结构一样， 它也是一种广播式网络。任何一个节点发送的信息，其它节点都能接收。此种 结构的优点是在原网上易于扩充。2. 校园网主干设备采用两台100/1000M自适应全双工交换机，连接各部门局域网及用于连接外网的路由器。3. 为了便于网络管理，抑制网络风暴，提高网络安全性能，校园网划分为 两个虚拟子网（VLAN，通过路由交换机本身线速的路由能力建立起 VLAN之 间的高速连接。4. 选用一台Cisco路由器将校园网连入In ternet 。5. 在需进行动态获取地址的部门设置一台DHCP服务器用于动态获取

11、IP地址。6. 网络中心配置两台网络服务器：1台服务器用作 Web Server、DNS Server ； 1 台用作备用 DNS Server、E-mail Server、FTP 等。（4）网络实现功能本网络除了能够实现文件打印服务、网络数据通信、校园网络管理系统等一般网络的基本功能外，外部网络还可实现基于Intranet/lnternet的信息服务。提供In ternet的访问、电子邮件服务等功能，如果需要还可提供远程访 问的功能，同时可以在In ter net 上发布信息。功能对于某些地点配置静态IP过于麻烦，浪费时间，因此利用DHCP功能，为每台PC机动态获取IP地址，节省人力，时间。

12、划分对于办公楼等地方，都存有重要的内部信息等，不能允许学生或外部人员随意访问，因此通过划分 Vian，禁止双方互 相通信。设置在本课程设计中虽然只划分了两个 Vian，但在实际运行过程中，可能会随时添加或修改Vian信息，因此将其中一交 换机设置成server模式，其他交换机设置成client模式，通过动态获取Vian信息使Vian的维护和修改更加 方便省力。4. 动态NAT在本课程设计中，校园内部网均使用了私有IP地址，而实际生活中，私有IP地址不能在In ternet中通信， 因此需通过配置NAT将私有地址转化成公有地址。由 于需转化的用户很多，并且不能允许外部网进入到内部 网中，因此应配

13、置动态NAT5. 扩展ACL在端口中添加访问控制列表，以添加约束，组织Vian间相互通信，保证一些机密数据信息的保密性和安全 性。三、绘制拓扑结构图四、详细步骤（一） Vian及IP规划1、各部门的Vian及IP规划、交换机管理Vian及IP地址的外Vian 号IP地址接口Via n1FastetherO/24与路由器连接部网段接入层终端设1、宿舍楼对于宿舍楼的IP管理，采用动态分配IP地址，在该部门加了一台DHC服 务器，使各宿舍的计算机从该服务器获取IP地址。对于DHC服务器的配置：（1）display name : DHCP serverVian 号部门IP网段IP地址范围默认网关Via

14、 n10宿舍楼教学楼办公楼图书馆（2）I PCon figuratio n:Sub net Mask （子网掩码）Default Gateway（默认网关）（3）DHCPService : onDNS server （域名服务器）Maximum number of Users : 982、教学楼、图书馆、办公楼这些部门均需静态配置IP地址。3、四个部门每个部门均有一单独交换机与之相连即四台交换机，从而便于管 理。（三）分布层交换机分布层由两台交换机组成即 DistributeSwitch1 及DistributeSwitch2 ，其中 DistributeSwitch1与宿舍楼和图书馆的两台交

15、换机相连，而DistributeSwitch2 与教学楼和办公楼的两台交换机相连。(1) 设置交换机名称。也就是出现在交换机 CLI提示符中的名字。一般以地理 位置或行政划分来为交换机命名。当需要 Telnet 登录到若干台交换机以维护一个 大型网络时，通过交换机名称提示符提示自己当前配置交换机的位置是很有必要 的。因此将两个交换机分别命名为：DistributeSwitch1 和 DistributeSwitch2 。( 2)设置加密使能口令。当用户在普通用户模式而想要进入特权用户模式 时，需要提供此口令。此口令会以MD5的形式加密，因此，当用户查看配置文件时，无法看到明文形式的口令。Swi

16、tch>en Switch#conf t Switch(config)#enable secret admin( 3)设置远程登录虚拟终端口令。对于一个已经运行着的交换网络来说，交 换机的带内远程管理为网络管理人员提供了很多的方便。但是，出于安全考虑，在 能够远程管理交换机之前网络管理人员必须设置远程登录交换机的口令。Line vty 0 15 就是指同时允许 16 个登陆进行配置( 4)在 DistributeSwitch1中添加管理 Vlan ，即 Vlan1 ，并为其配置管理(5) 配置中继链路。中继链路是只承载标记数据(即具有VLANID标签的数据包)的干线链路，只能支持那些理解

17、VLA N帧格式和VLAN成员资格的VLAN设备。中继链路最通常的实现就是连接两个VLAN交换机的链路。在 DistributeSwitch1 与 DistributeSwitch2 间设置 Vlan 中继，使同一 Vlan 的设备可以相互通信。( 6)在 DistributeSwitch1与 DistributeSwitch2 中均添加 Vlan10 与 Vlan20。(7)配置VTP当网络中交换机数量很多时，需要分别在每台交换机上创建很 多重复VLAN工作量很大、过程很繁琐，并且容易出错。在实际工作中常采用VLAN中继协议(Vian Trunking Protocol，VTP)来解决这个问

18、题。VTF允许在一台交换机上创建所有的VLAN然后，利用交换机之间的互相学习功能，将创建好的VLAN定义传播到整个网络中需要此 VLAN 定义的所有交换机上。同时，有关 VLAN 的删 除、参数更改操作均可传播到其他交换机。从而大大减轻了网络管理人员配置交换 机的负担。因此，将 DistributeSwitch1 设置为 VTP server ，并将 DistributeSwitch2 设 置为 VTP client 。(四)核心层路由器 设置一台路由器，用于连接校园网与外部网，实现校园局域网与 Internet 将路由器与内部网的分布与两台交换机相连。( 1 )对路由器进行命名，即 Core

19、Router 。(2) 配置加密使能口令，远程访问虚拟终端口令等。(3) 对路由器的两个 Fastethernet 接口设置 IP 地址及子网掩码，即 Vlan10 与 Vlan20 的各终端设备的网关地址。即：(4) 在路由器连接外网 的接口上配置 IP 地址及子网掩码。即：Serial2(5) 配置NAT NAT不仅完美地解决了 lP地址不足的问题，而且还能够有 效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。动态转换是指 将内部网络的私有 IP 地址转换为公用 IP 地址时， IP 地址是不确定的，是随机 的，所有被授权访问上 Internet 的私有 IP 地址可随机转换为任何

20、指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法 地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部 地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用 动态转换的方式。因此，在本课程设计中使用动态NAT配置来实现内部网对外部网的访问。（6）配置ACL路由器是外网进入校园网内网的第一道关卡，是网络防御的前 沿阵地。路由器上的访问控制列表（Access Control List，ACL）是保护内网安全的有效手段。一个设计良好的访问控制列表不仅可以起到控制网络流量、流向的作 用，还可以在不增加网络系统软、硬件投资的情况下完成一般

21、软、硬件防火墙产品 的功能。由于路由器介于企业内网和外网之间，是外网与内网进行通信时的第一道 屏障，所以即使在网络系统安装了防火墙产品后，仍然有必要对路由器的访问控制 列表进行缜密的设计，来对企业内网包括防火墙本身实施保护。具体可以有以下几项：a）在FastethernetO/1 上添加ACL阻止Vian10与Vlan20之间相互通信b）对外屏蔽远程登录协议tel net ，te inet是一种不安全的协议类型。用户 在使用tel net登录网络设备或服务器时所使用的用户名和口令在网络中是以 明文传输的，很容易被网络上的非法协议分析设备截获。这是极其危险的， 因此必须加以屏蔽。c） 对外屏蔽其

22、它不安全的协议或服务这样的协议主要有 SUN OS的文件共享 协议端口 2049，远程执行（rsh）、远程登录（rlogin ）和远程命令（rcmd） 端口 512、513、514,远程过程调用（SUNRF）端口 111。d）针对DoS攻击的设计。DoS攻击是一种非常常见而且极具破坏力的攻击手 段，它可以导致服务器、网络设备的正常服务进程停止，严重时会导致服务 器操作系统崩溃。e）保护路由器自身安全。作为内网、外网间屏障的路由器，保护自身安全的 重要性也是不言而喻的。为了阻止黑客入侵路由器，必须对路由器的访问位 置加以限制。应只允许来自服务器群的IP地址访问并配置路由器。五、路由器及交换机的配

23、置代码（一）路由器配置代码1、路由器命名：Router（c on fig）#host name CoreRouter2 、设置路由器加密使能口令：CoreRouter（c on fig）#e nable secret 1233 、设置远程访问虚拟终端口令：CoreRouter（co nfig）#li ne vty 0 4 CoreRouter（config-line）#password abcCoreRouter（co nfig-li ne）#log in CoreRouter（co nfig-li ne）#exit4、配置NAT（私有IP地址转换为公用IP地址）：1 ）对Vlan10中的地址

24、：CoreRouter（config）#ip （ 配置外网的IP地址及子网掩码）Core/CoreRouter(c on fig)#ip nat in side source list 11 pool aa/置内部本地地址与内部全局地址的影射关系（代表路由器上的0号物理对于路由器来说一般是局域网，一般（串行端口）（对于路由器来说一般是广域网，一般reRouter(co nfig)#i nterface fastEthernet 0/0 接口)CoreRouter(c on fig-if)#ip nat in side ( 是私有地址连接口 )CoreRouter(c on fig-if)#ex

25、itCoreRouter(c on fig)# in terface serial 2/0CoreRouter(c on fig-if)#ip nat outside是公有地址连接口)CoreRouter(c on fig-if)#exit2)对Vian20中的地址：Core (配置地址池)CoreCoreRouter(c on fig)#ip nat in side source list 12 pool bbCoreRouter(c on fig)# in terface fastEthernet 1/0CoreRouter(c on fig-if)#ip nat in sideCoreR

26、outer(co nfig-if)#exitCoreRouter(c on fig)# in terface serial 2/0CoreRouter(config-if)#ip nat outsideCoreRouter(co nfig-if)#exit5、配置ACL1)阻止Vian10与Vlan20间的通信，在fastethernet0/1上使用：Core/和的整个一个C网络CoreRouter(config)#access-list 102 permit icmp any any (准许 pi ng入)CoreRouter(co nfig)# int fa1/0CoreRouter(co

27、nfig-if)#ipaccess-group 102 in (out是用于过滤进站的包)CoreRouter(co nfig-if)#exit2) 对外屏蔽远程登录协议telnet :CoreRouter(c on fig)#access-list 101 deny tcp any any eq telnetCoreRouter(c on fig)#access-list 101 permit ip any anyCoreRouter(co nfig)#i nt serial2/0CoreRouter(c on fig-if)#ip access-group 101 inCoreRouter

28、(co nfig-if)#exit3) 对外屏蔽其它不安全的协议或服务：CoreRouter(c on fig)#access-list 103 deny tcp any any range 512 514CoreRouter(c on fig)#access-list 103 deny tcp any any eq 111CoreRouter(c on fig)#access-list 103 deny udp any any eq 111CoreRouter(c on fig)#access-list 103 deny tcp any any range 2049CoreRouter(c

29、on fig)#access-list 103 permit ip any anyCoreRouter(co nfig)#i nt serial0/1/0CoreRouter(c on fig-if)#ip access-group 103 inCoreRouter(co nfig-if)#exit4) 针对DoS攻击的设计：CoreRouter(config)#access-list 104 deny icmp any any eq echo-requestCoreRouter(config)#access-list 104 deny udp any any eq echo CoreRout

30、er(config)#int serial2/0CoreRouter(config-if)#ip access-group 104 in5) 保护路由器自身安全：CoreRouter(config)# access-listCoreRouter(config)#line vty 0 4 CoreRouter(config-line)#access-class 2 in CoreRouter(config-line)#exit 二)交换机配置代码1 、交换机 DistributeSwitch11 )命名交换机： Switch(config)#hostname DistributeSwitch12

31、 )设置加密使能口令： DistributeSwitch1(config)#enable secret cisco1233 )设置远程登录口令： DistributeSwitch1(config)#line vty 0 4 DistributeSwitch1(config-line)#password cisco DistributeSwitch1(config-line)#login DistributeSwitch1(config-line)#exit4 )为交换机添加管理 Vlan ： DistributeSwitch1(config)#interface vlan 1 Distribu

32、teSwitch1(config-if)#no shutdown DistributeSwitch1(config-if)#exit5 )为交换机添加 Vlan：Vlan10 和 Vlan20DistributeSwitch1#vlan database DistributeSwitch1(vlan)#vlan 10 DistributeSwitch1 (vlan)#vlan 20 6)将 Vlan 作用于对应接口：DistributeSwitch1 (config)#int fa0/3DistributeSwitch1 (config-if)#switchport mode accessDi

33、stributeSwitch1 (config-if)#switchport access vlan 10DistributeSwitch1 (config-if)#exit DistributeSwitch1h(config)#int fa0/4DistributeSwitch1 (config-if)#switchport mode access/ 强制接口成为 access 接口DistributeSwitch1 (config-if)#switchport access vlan 20 DistributeSwitch1 (config-if)#exitDistributeSwitch1 (config)#int fa0/1DistributeSwitch1 (config-if)#switchport mode accessDistributeSwitch1 (config-if)#switchport