毕业论文(设计)

1、毕业设计设计（论文）题目：重庆三峡学院无线网络项目设计专 业 班 级： 信安121 学 生 姓 名： 冉清梦 指 导 教 师： 李清梦 设 计 时 间： 2015年5月15日-2015年6月13日 重庆工业职业技术学院重庆工业职业技术学院毕业设计（论文）任务书任务下达日期：2015年5月15日设计（论文）题目：校园网络建设方案设计（论文）主要内容和要求：内容主要是：由于当今网络的快速，网络设备的不断更新，人们对网络要求不断提高。本文主要是对重庆三峡学院无线网络搭建进行设计研究，根据要求进行拓扑规划、IP地址规划、功能介绍、设备选型、设备调试、工期安排规划和后期培训。该设计同样应用于其他校园网络

2、结构，涉及校园网络有线与无线的配置常用技术与要点。教研室主任签字： 指导教师签字：年 月 日 年 月 日重庆工业职业技术学院毕业设计（论文）指导教师评语评语：成绩：指导教师签名：年 月 日重庆工业职业技术学院毕业设计（论文）答辩记录学生姓名冉清梦系别信息工程学院专业班级信安121设计（论文）题目重庆三峡学院无线网络项目设计说明书共 17 页，图纸共 2 张答 辩 情 况提 出 问 题回 答 问 题正确基本正确有一般性错误有原则性错误回答不清12345678答辩委员会评语及建议成绩：答辩委员会主任：年 月 日信息工程学院毕业论文（设计） 重庆三峡学院无线网络项目设计论文（设计）摘 要随着社会和经

3、济的发展，网络已经成为了人们必不可少的部分，而且人们对网络的要求也越来越高了，人们需要信号更加稳定，传输速度更快、强大的灵活性的网络，无线网络无意成为了新的网络主角，现在大到公司小到家庭都离不开无线网络。无线网络就是利用无线设备发射的无线电波在无线客户端和网络直接的数据传输，无线网络是一个非常灵巧的传输系统，无线网络之所以能有这么广泛的应用，是因为无线网络的特点，能够实现随时随地上网需求。本文在无线网络项目设计进行论述的基础上，选择福建星网锐捷网络产品，运用Silverlight平台下的 MVVM框架技术，采用Microsoft Visual Studio 2010为开发工具，设计出以Micr

4、osoft SQL server 2008为数据库的楼盘销售系统。本文主要运用基于本地转发的模式，为用户提供高效、稳定、安全的上网服务。对系统各功能模块、数据库、用户界面、系统安全等进行了分析和设计，并对系统的实现进行了详细阐述。关键字：无线网络；交换机；路由器；服务器。目 录1项目概述11.1 项目背景11.2 项目目标12 新建网络规划12.1 改造情况描述12.1 新建网络拓扑22.3 新增设备列表23项目设计33.1设备使用部署规划33.1.1 设备命名规划33.1.2 软件版本规划33.1.3 端口描述规划33.1.4 板卡安装规划43.2 IP地址规划43.2.1 AP地址段规划4

5、3.2.2 用户地址段规划43.2.3 无线信号名称规划53.2.4 无线信道规划53.3网络技术方案53.3.1 核心路由协议规划53.3.2 VSU设计63.3.3 无线AC热备63.3.4 日志系统规划设计73.4 安全技术方案83.4.1无线信号安全部署83.4.2 AAA认证123.4.3 防火墙部署规划123.4.5 接入安全规划134工程实施规划154.1 工程实施人员规划154.2 工程实施进度规划154.3 工程服务与交付物说明15致谢16参考文献17信息工程学院毕业论文（设计） 重庆三峡学院无线网络项目设计论文（设计）前 言随着internet的技术的告诉发展，人类越来越依

6、赖网络，生活中衣食住行，方方面面都有网络的影子传统的有线，面对人类在工作学习中，已经越来越不能满足人类的需求。现在我们需要更放的工作学习环境，而无线正是最好的选择。通过无线，我们可以实现随时随地的办公和学习，在校园里的任何一个地方学生 都能查到自己想要学习和查找的资料，这样可一很大的提高学习的效率。而老师也能在校园里随时随地的办公，给学生和老师都带来了极大的便利。1项目概述1.1 项目背景随着无线应用及移动终端的普及，无线网络的飞速发展，为了更好的服务于师生，加快教育信息化建设的步伐，促进校园信息化建设成为学校育人的有机组成部分，大力发展校园无线网络，建设高速、稳定、可靠、可运营、可管理的无线

7、网络对于塑造重庆三峡学院新一代“智慧”校园来说，具有重要的战略意义。现在无线网络产品和技术都已成熟，无线11n技术相比传统11g的技术在性能和覆盖上都有了质的飞跃，加上学校无线应用越来越多，如笔记本、Pad、手机等终端广泛应用，学校全校无线校园网建设成为学校信息化发展的必然趋势。1.2 项目目标统筹考虑重庆三峡学院校园网业务需求和发展的基础上，在统筹考虑学院业务需求和发展的基础上，兼顾远期发展目标，构建一个高效、稳定、安全可靠的网络。采用动态路由协议，维护简单，扩展性好；校园网部署用户认证，加强校园安全审计。2 新建网络规划2.1 改造情况描述 随着无线应用及移动终端的普及，无线网络的飞速发展

8、，为了更好的服务于师生，加快教育信息化建设的步伐，促进校园信息化建设成为学校育人的有机组成部分，大力发展校园无线网络，建设高速、稳定、可靠、可运营、可管理的无线网络对于塑造重庆三峡学院新一代“智慧”校园来说，具有重要的战略意义。现在无线网络产品和技术都已成熟，无线11n技术相比传统11g的技术在性能和覆盖上都有了质的飞跃，加上学校无线应用越来越多，如笔记本、Pad、手机等终端广泛应用，学校全校无线校园网建设成为学校信息化发展的必然趋势。2.1 新建网络拓扑根据客户要求和原网络的实际情况，重新设计出一套新的网络拓扑图。图2.1 新建网络拓扑图2.3 新增设备列表表2.3 新增网络设备信息表设备名

9、称型号数量（台）RG-S5750S5750-24GT/12SFP2RG-ACERG-ACE 20001RG-S8606RG S86062RG-S2928G-PRG S2928G15RG-S2924RG S292413RG WS5708RG WS57082licenseLicense-1282APRG AP220-E192RG AP620-H123项目设计3.1设备使用部署规划3.1.1 设备命名规划为满足标准化、规范化的要求，总体命名规范如下表3.1.1 设备命名规划表设备型号设备安装位置设备命名RG WS5708综合楼三楼信息中心S5750_ZHL_3F_01RG-S8606综合楼三楼信息中

10、心S8606_ZHL_3F_01RG-S2928G-P一教学楼一楼S2928-P_YJXL_1F_01RG-S5750三教学楼五楼S5750_SJXL_5F_01RG-ACE综合楼三楼五楼机房ACE_SJXL_5F_013.1.2 软件版本规划记录根据版本导入系统确定结果明确的本次项目中设备使用的具体版本。表3.1.2 软件版本规划表设备类型软件版本备注RG-WS5708RGOS 10.4(1b17), Release(144996)AC版本RG-AP220-ERGOS 10.4(1b17), Release(144996)AP版本3.1.3 端口描述规划为便于识别和维护，所有设备的端口只要有

11、设备连接都应在传输介质上打上相应标签，在设备接口模式下也应该添加端口描述，以便与后期网络维护时方便维护，物理端口描述的规则必须满足同交换机之间互联用VLAN、VLAN接口的描述规则，如：TO-设备名称-端口编号。3.1.4 板卡安装规划柜式设备的板卡插槽分为管理板插槽（标记为M）与业务卡插槽（只有数字插槽），管理板插槽与业务板插槽一般不能混用。部分设备的业务线卡根据不同的类型，可以安装的槽位上有限制，但对于业务线卡的安装来说，只要是符合产品规定可安装的插槽，安装时并没有特别的规定，业务卡安装于不同的插槽也不会有性能上的差异。主要是从散热、方便线缆连接、美观几个方面进行考虑，给出部署柜式设备的板

12、卡安装位置的较科学的方式。柜式设备安装时，宜根据事前板卡安装规划，将挡板依次卸下并收揽整齐后，将板卡从左至右（竖式机柜，可根据信号线缆的布放调整方向）、从下至上（横式机柜）的顺序进行安装，注意未安装板卡的插槽上必须安装防尘挡板；柜式设备只安装单管理板时，应统一将管理板安装在M1插槽，竖式机柜设备进行业务板安装时，如用户没有特殊要求，宜将业务卡从远离管理槽的位置开始安装，如果业务卡较少，遵循从最远离管理槽的情况下间隔进行部署。横式机柜设备进行业务板安装时，如用户没有特殊要求，宜将业务卡从远离管理槽的位置开始安装，由于横式设备的特殊性，为后续布线方便，业务卡安装宜从下至上依次安装，少量业务卡时宜间

13、隔部署。3.2 IP地址规划3.2.1 AP地址段规划AP的IP地址在分支网络IP段内进行增加，按照分支网络的IP规划来给AP分配IP。原则是保证AP获取到的IP地址与AC之间能够三层可达。可能有如下几种情况：（1）接入网关下的IP段还有空余此种情况，直接使用空余的IP地址分配给AP。（2）接入网关下的IP地址已经使用完针对此种情况，只能新增一个IP段给AP来使用。（3）无线用户的VLAN与AP划分开。3.2.2 用户地址段规划无线SSID信号为SanXiaU的无线用户IP地址段为：/22，通过DHCP获取，建议采用外置专用的DHCP服务器。无线用户SSID信号为CMCC-

14、EDU的无线用户IP地址段为：/22，通过DHCP获取，建议采用外置专用的DHCP服务器。AP管理IP地址段为/24，通过DHCP进行下发管理地址，以便与管理AP的工作情况。3.2.3 无线信号名称规划SSID是无线服务的标识，直接反映接入服务的属性。为了方便使用和管理，此次项目所有区域均采用相同SSID，且客户严格要求校园无线的SSID为SanXiaU，移动无线网络为CMCC-EDU。3.2.4 无线信道规划虽然2.4G2.483G之间的802.11标准的无线频点有13个，但由于设计为相互重叠，所以只有3个不重叠频点（一般设计工作在1,6,11这三个

15、完全不重叠的频点），这样使得频点配置工程十分必要。合理的进行信道规划，降低同频干扰，同时楼层之间的泄漏信号干扰也要考虑在内。信道建议采用手动静态设置。漫游需求的规划一是要确定漫游的范围，二是要确保覆盖范围内无线信号的无缝覆盖。图3.2.4 AP信道规划设计3.3网络技术方案3.3.1 核心路由协议规划重庆三峡学院数字化校园网核心与出口路由器相连，使用OSPF协议。局域网核心交换机为局域网与广域网的路由边界点，负责OSPF与静态路由的再发布。全网局域网采用动态路由OSPF协议，进程号统一为1，其中，根据学校功能区域，为OSPF进行区域划分。此外，将各区域(除区域0以外)设置为total stub

16、区域，保留本区路由及缺省路由，并将汇聚上联至核心的端口设置为点到点的接口类型，加快OSPF进程的收敛速度，并可以避免接口UP/DOWN时，影响路由全网震荡核心交换机通过默认路由指向出口设备。便于日后的网络维护。3.3.2 VSU设计在传统网络中，为了增强网络的可靠性，在核心层部署了两台交换机，所有的汇聚交换机都有两条链路分别连接到两台核心层交换机。为了消除环路，在汇聚层交换机部署MSTP协议阻塞部分链路，为了提供冗余网关，在核心层部署VRRP协议。传统网络存在的缺陷有：网络拓扑复杂，管理困难。为了增加可靠性，设计了冗余链路，不得不配置MSTP消除环路；故障恢复时间一般在秒级，如VRRP协议，状

17、态为master的交换机发生故障，状态为backup的交换机至少需要3秒切换为master；生成树协议消除了环路，需要阻塞一些链路，导致资源浪费。为了解决传统网络的这些问题，提出把两台物理交换机组合成一台虚拟交换机的新技术，称为VSU，全称是Virtual Switch Unit，即虚拟交换单元。如下图所示，把传统网络中的两台核心交换机用VSU技术虚拟成一台交换机，VSU和汇聚层交换机通过聚合链路连接，在外围设备看来，VSU相当于一台交换机，和传统网络相比，VSU的优势有一下情况。简化管理，两台交换机组成VSU后，管理员可以对两台交换机统一管理，不需要分别配置管理两台交换机；简化网络拓扑，VS

18、U在网络中相当于一台交换机，通过聚合链路和外围设备连接，不存在二层环路，不需要配置MSTP，各种控制协议作为一台交换机运行。故障恢复时间缩短到毫秒级，VSU和外围设备通过聚合链路连接，既提供了冗余链路，又实现负载均衡，充分利用所有带宽。3.3.3 无线AC热备在无线局域网的部署中，当前有两种部署方式：瘦 AP(Access Point，无线接入点)模式和胖 AP模式。其中，瘦 AP 模式逐渐成为主流的部署方式。在瘦 AP 模式的部署中，有两类无线设备：AC(Access Controller，无线控制器)和 AP；AP需要与 AC建立连接，然后用户在 AC上进行统一配置，AC会把相关配置下发给

19、 AP。AC和 AP通过协作，从而为用户提供无线局域网的服务。关于 AC和 AP 间的协作规范在 RFC5415，即 CAPWAP 协议中定义。 在 CAPWAP 协议中规定：当 AC与 AP 建立了 CAPWAP 连接后，AC与每台 AP 间都会建立一条 CAPWAP通信隧道，AC发送给 AP的每个报文，都必须通过 CAPWAP通信隧道；而 AP 发给 AC的每个报文，也必须通过 CAPWAP 通信隧道。CAPWAP 通信隧道是一种点到点的隧道，是一种单播隧道。锐捷网络无线控制器(AC)的热备份功能，是在 AC发生不可达(故障)时，为AC-AP 提供毫秒级的 CAPWAP隧道切换能力，确保已

20、关联用户业务最大程度上不间断。两台 AC通过协商确定主 AC和备 AC，AC间通过保活机制进行保活； AP 与主 AC建立主 CAPWAP 隧道，与备 AC建立备 CAPWAP 隧道； 用户使用无线客户端关联到 AP； 用户通过 AP与 AC的主CAPWAP 隧道与外部进行网络通信； 当主 AC发生故障，备 AC检测到保活超时，马上通知 AP； 备 AC与 AP之间的备用 CAPWAP 隧道被激活；备 AC变成主 AC； 用户的业务在备 CAPWAP 隧道激活后恢复正常； 当原主 AC 恢复正常，与新主 AC 重新建立热备关系，原主 AC 变成备 AC；AP 与之建立备CAPWAP 隧道；用户

21、的业务不会中断。通过在两台无线控制上应用AC热备技术，可以保证任意一台无线控制AC出现故障时，各学校的AP仍然可以连接到另外的一台AC，保证无线网络运行正常。3.3.4 日志系统规划设计安装CentOS，由于Log日志系统目前不支持在Windows系统上运行，需安装CentOS系统之后，再在CentOS系统上安装eLog。注：安装CentOS的时候不要选择系统自带的MySQL数据库，否则会导致elog系统运行异常。配置eLog日志系统，成安装之后，通过在IE浏览器输入00.:8088/elog来访问并管理eLog，在系统参数配置中完成与SAM服务器的联动配

22、置，并在设备管理中分别添加EG及WALL设备。注意eLog目前支持EG、WALL、NPE、ACE这几个系列的设备联动，其余的暂不支持。添加完成之后，eLog会自动记录SAM认证用户的流量、url及相关日志；设备的流量、NAT等相关日志。3.4 安全技术方案3.4.1无线信号安全部署为提高无线网络的安全性和稳定性，采用AC控制器统一管理无线AP，以便与对用户数据安全过滤，同时也使后期网络维护更方便，具体配置如下：version RGOS 10.4(1b19)p2, Release(179742)(Fri Oct 31 18:54:51 CST 2014 -ngcf67)hostname 主ac控

23、制器localeapeap-methods peappeap inner-methods eap-mschapv2 eap-gtcTenGigabitEthernet 0/1 enablewebmaster level 0 username admin password 7 1014162a0c1cwebmaster level 2 username guest password 7 101207221606http redirect port 8081cwmpcpe informnfpp vlan 1vlan 10name 管理vlanvlan 11name ap管理vlanvlan 101

24、name cmcc1vlan 1801name 会议室vlan 4014name cmcc_EDUservice password-encryptionservice dhcpip fragment-quota 200ip access-list standard 1010 permit 55 webauth-proxy enable!link-check disablewlan-config 1801 SanXiauenable-broad-ssidwlan-config 4014 CMCC_EDUenable-broad-ssidap-group de

25、faultinterface-mapping 1801 1801 ap-wlan-id 1ap-group xycmccinterface-mapping 1801 1801 ap-wlan-id 1interface-mapping 4014 101 ap-wlan-id 2ap-config all11acsupport enable radio 111acsupport enable radio 2802.11n mcs support 23 radio 1802.11n mcs support 23 radio 2802.11ac mcs support 29 radio 1802.1

26、1ac mcs support 29 radio 2antenna receive 7 radio 1antenna receive 7 radio 2antenna transmit 7 radio 1antenna transmit 7 radio 2ac-controllercountry CN802.11g network rate 1 mandatory802.11g network rate 2 mandatory802.11g network rate 5 mandatory802.11g network rate 11 mandatory802.11g network rate

27、 6 supported802.11g network rate 9 supported802.11g network rate 12 supported802.11g network rate 18 supported802.11g network rate 24 supported802.11g network rate 36 supported802.11g network rate 48 supported802.11g network rate 54 supporteddhcp_name JFAAcapwap ctrl-ip 51active-bin-file

28、 AP220.binactive-bin-file AP530.binactive-bin-file ap320.bin802.11b network rate 1 mandatory802.11b network rate 2 mandatory802.11b network rate 5 mandatory802.11b network rate 11 mandatory802.11a network rate 6 mandatory802.11a network rate 9 supported802.11a network rate 12 mandatory802.11a networ

29、k rate 18 supported802.11a network rate 24 mandatory802.11a network rate 36 supported802.11a network rate 48 supported802.11a network rate 54 supportedap-serial ruijie1 ap530 hw-ver 1.xap-serial ruijie3 ap320-i hw-ver 1.xap-serial ruijie20 AP220SH-(C) hw-ver 1.xap-serial ruijie5 ap620-H(C) hw-ver 1.

30、xap-serial ruijie10 AP620-H(C) hw-ver 2.xap-serial ap320 AP320-I hw-ver 1.xap-serial ruijie21 AP530-I hw-ver 1.xap-image ap320.bin ap320ap-image AP530.bin ruijie21wtp-limit 384logging rate-limit 100logging userinfo command-logno logging onlogging buffered 8000 logging file flash:syslog 6291456no log

31、ging console enable secret 5 $1$2bii$syy5tpAs5439E4F3 widsspanning-treeinterface GigabitEthernet 0/1switchport mode trunkinterface GigabitEthernet 0/2switchport access vlan 101interface GigabitEthernet 0/3interface GigabitEthernet 0/4interface TenGigabitEthernet 0/1switchport mode trunkinterface VLA

32、N 10no ip proxy-arpip address 51 interface VLAN 101no ip proxy-arpip address 53 interface VLAN 1801no ip proxy-arpinterface VLAN 4014no ip proxy-arpip route ip route snmp-server host 218.2

33、06.25.132 traps Net96You*snmp-server enable trapssnmp-server community 7 ro 005a35414f3e1b line con 0line vty 0 4loginpassword 7 035122110c3706wlan-qos rl minpktq 1end3.4.2 AAA认证需在认证设备上完成相关的认证配置，当用户接入的时候，会触发相应的配置，开始整个上网的认证过程。aaa new-mode 开启AAA认证开关aaa group server radius default 配置AAA认证服务器组 aaa accou

34、nting update periodic 15 设置记账更新时间间隔为15分钟aaa accounting update 打开记账更新功能aaa accounting network default start-stop group radius 打开记账报文发送功能aaa authentication dot1x default group radius 定义AAA认证方法列表radius-server host 指定Radius服务器的IP地址radius-server key 7 06142b0a251c17 定义与Radius服务器通信的口令 dot1x aut

35、hentication default 使用AAA服务和default列表进行认证dot1x probe-timer alive 300 配置客户端探测定时器dot1x client-probe enable 打开客户端在线探测功能dot1x port-control auto 打开端口下的dot1x认证功能snmp-server enable traps 打开设备的SNMP traps消息主动发送功能snmp-server community 7 0251563e120f3b rw 指定SNMP团体的访问字符3.4.3 防火墙部署规划防火墙目前部署为透明模式，通过绑定下联至核心及上联至ACE

36、的两个端口为透明桥组，对流经这两个端口的数据进行统计；并开启防火墙特有的病毒防护、入侵防御和应用控制的功能性授权，全面保证内网数据的安全性。出口采用RG-EG1000M高性能业务保障网关，由于当前校园网出口为移动和电信，设备默认开启自动选路功能，即访问电信走电信，访问移动走移动。并定义一个NAT地址池，包含电信、移动的地址，实现负载均衡的效果。同时，利用EG产品功能特性，可在EG的WEB页面中查看当前的网络流量使用情况，可帮助网络管理人员详细的分析流量走向。3.4.4 防ARP攻击设计IP 源防护（IP Source Guard，简称 IPSG）是一种基于 IP/MAC 的端口流量过滤技术，它

37、可以防止局域网内的 IP 地址欺骗攻击。IPSG 能够确保第 2 层网络中终端设备的 IP 地址不会被劫持，而且还能确保非授权设备不能通过自己指定 IP 地址的方式来访问网络或攻击网络导致网络崩溃及瘫痪。本网络设计中，在核心57上开启DHCP功能，同时开启ip dhcp snooping，开启IPSG。只有所接收到的IP包满足IP源绑定表中 Port/IP/MAC相匹配的或者所接收到的是DHCP 数据包的才进行转发，在设备下朕口开启arp-check。3.4.5 接入安全规划重庆三峡学院数字化校园网建设项目中，在设备部署接入安全策略，防止因内网攻击所导致的网络不稳定的情况发生。部署NFPP基础

38、保护策略，对接入设备下的每个用户IP进行arp/ip报文的发送速率进行检测，并根据所设定的阀值触发相应的处理规则，全面有效的防止设备CPU利用率过高的现象发生。针对动态获取IP地址的区域部署ip dhcp snooping，对设备下的每用户进行IP地址的合法检测；在设备上联端口开启dhcp snooping trust功能，只允许用户从合法的端口获取IP地址，有效防止用户私设DHCP服务器；每端口下开启IPSG+ARP-Check功能，通过匹配dhcp snoooping数据库中的用户信息，来进行非法筛选，有效防止用户私设IP地址。楼层汇聚设备做相关网络优化配置，如：与核心的互联端口进行Vla

39、n修剪或修改接口类型为路由接口。避免造成广播风暴影响核心网络的转发；用户Vlan更改被动接口，拒绝用户接收OSPF的hello报文，提高网络效率；网络出口及汇聚设备部署防病毒ACL，防止内外网的非法用户针对校内的SAM、ePortal等关键服务器进行恶意扫描、数据入侵等操作，汇聚区设备配置实现。service password-encryption 设置设备密码以密文显示，增强安全性service dhcp 开启DHCP服务ip helper-address 0 开启DHCP中继服务ip access-list extended antivirus 配置常见病毒防护ACL1

40、0 deny tcp any any eq 135 常见病毒防护ACL内容20 deny tcp any any eq 139 30 deny tcp any any eq 445 40 deny tcp any any eq 593 50 deny tcp any any eq 1025 60 deny tcp any any range 3127 3198 70 deny tcp any any eq 4444 80 deny tcp any any eq 5554 90 deny tcp any any eq 9996 100 deny tcp any any eq 389 110 de

41、ny tcp any any eq 636 120 deny tcp any any eq 3268 130 deny tcp any any eq 3269 140 deny tcp any any eq 1720 150 deny tcp any any eq 1503 160 deny tcp any any eq 443 170 deny udp any any eq 135 180 deny udp any any eq netbios-ns 190 deny udp any any eq netbios-dgm 200 deny udp any any eq 445 210 den

42、y udp any any eq tftp 220 permit ip any any interface GigabitEthernet 0/24no switchport 设置三层路由接口medium-type fiber 切换接口为光口ip ospf network point-to-point 配置OSPF网络类型为点对点no ip proxy-arp 关闭arp免费代理ip access-group antivirus out 应用防病毒条目于该接口的发报文方向ip address 52 配置与核心交换机的互联地址no nfpp ip-guard enableno nfpp arp-guard enabledescription connect_to_GZSJX-HXJF-CS-S12010_G0/13router ospf 1 开启OSPF动态路由协议进程，进程号为1passive-interface VLAN 100 用户接口为被动接口，拒绝接受hello报文ar