企业网络工程实施方案

某公司某公司网络工程实施方案目录第一章总体设计 -1-1.1系统设计原则 -1-1.2网络拓扑架构 -2-1.3设计依据和规范 -2-第二章到货前准备 -3-2.1项目人员的组织结构及分工 -3-2.2工程时间安排、进度安排 -3-第三章到货，实施前准备 -4-3.1现场检查与到货验收 -4-3.2IP地址及Vlan分配 -4-3.2.1总体IP—Vlan划分 -4-3.2.2服务器集群IP—Vlan100划分 -5-3.3.3Iptables防火墙—Vlan200划分 -5-第四章实施 -6-4.1相关的设备选型 -6-4.2局域网的相关调试 -7-4.2.1核心H3CS7500交换机的VRRP调试 -7-4.3广域网的相关调试 -11-4.3.1IPTABLES防火墙的配置 -11-4.4RedHatLinux5系统上相关服务器的搭建 -12-4.4.1WEB服务器的安装配置 -12-4.4.2DNS服务器的安装配置： -12-4.4.3Exchange服务器 -17-4.4.4FTP服务器的安装和配置 -28-第五章测试 -30-5.1系统测试原理和方法 -30-5.2硬件设备测试和验收 -30-5.3系统集成测试 -31-5.3测试相关命令 -31-第六章项目工程管理 -34-6.1工程的安全管理 -34-6.2工程资料、文档管理 -34-6.3项目的质量控制 -35-第七章现场培训 -35-第八章验收 -36-8.1系统初验 -36-8.1.1中验（试运行验收） -36-8.1.2半年后的优化：由CCIE主持系统终验 -36-第一章总体设计1.1系统设计原则公司使用2台核心交换机(做冗余备份)，连接所有网络设备，并把所有服务器都连接到该核心交换机，放置到一个单独的VLAN中。

接入层交换机连接终端用户，并把管理层人员和普通的办公人员放入不同的VLAN中。公司的管理人员可以访问普通员工的PC，但普通员工不可以访问管理人员的PC.。离该公司总部有2公里处，有一个分公司，主要是负责生产活动。和分公司连接采用路由器。而分公司内部使用一个交换机连接所有用户，所有用户都在一个VLAN中；（可采用光纤连接）。所有的用户都使用DHCP获得IP地址。总公司采用linuxiptables防火墙+路由器上网。公司已经申请了100M城域网宽带上网（分两条线路，一条40M一条60M；要求：服务器占用40M，供外网用户访问，其他用户用60M出口访问internet）。公司采用微软的域管理方法，对所有用户的帐号和权限通过AD来管理，并要提供99％的可靠。公司内部要有自己的邮件服务器，并可以和Internet的邮件服务器实现互发邮件。为出差人员提供方便的邮件访问。

该公司有电子商务网站，提供客户在线定购产品，故要发布该WEB服务器，并提供高可靠性。该公司的防病毒采用统一集中的网络管理模式。严格限制上网时间。出差用户要能方便的访问公司内部资料。1.2网络拓扑架构1.3设计依据和规范主机和网络设备的选型符合下列国家和组织的技术标准和规范：GB：中华人民共和国国家标准ISO：国际标准组织ITU-T：国际电信联盟IEEE：国际电气与电子工程师协会EIA：电气工业协会IEC：国际电工协会第二章到货前准备2.1项目人员的组织结构及分工项目经理：负责项目的总体协调工作商务负责：负责以商务相关的工作技术负责：负责项目的总体实施工程技术人员CCNP、CCNA：CCNP为项目实施的技术把关，CCNA负责项目的具体实施和项目实施文档的制作后勤负责：为所有项目实施人员提供后勤保障工作2.2工程时间安排、进度安排预计1月初设备全部到货，总预计4到5周时间完成项目具体实施如下:工程安排签订合同—11.111.25-11.3012.1—12.1512.1612.17—1.201.30设备订购设备到货验收系统安装工程现场培训系统整体测试系统验收测试系统安装工程具体分解以下的子任务：中心和汇聚交换机的模拟环境联合调试 天各边缘交换机的调试 天广域网和QuidwayS6509的调试 天ACL和NAT的设置 天网管软件的安装与调试 天第三章到货，实施前准备3.1现场检查与到货验收检查设备的型号及数量是否与设备订货清单一致检查到货的设备是否完好验收的结果应该提供一份由参与验收的人员和系统集成商签名的硬件清单，并注明好相关的日期如果没有可见的设备损坏，那么在验货后，即开始设备的安装和调试，测试是否存一些不可见的硬件损坏。设备到货，进行设备的验收，要求必须记录设备的序列号，表格如下：设备名称型号—序列号到货时间签收人员3.2IP地址及Vlan分配3.2.1总体IP—Vlan划分VLAN号子网名称IP范围网关VLAN名称管理IP10办公楼1/2454Office15220办公楼2/2454Office25230分公司/2454Branchoffice5240普通员工/2454Laborialstaff5250管理层人员/2454Manager523.2.2服务器集群IP—Vlan100划分服务器名称WEB服务器FTP服务器DNS服务器ExchangeDHCP服务器IP地址0000000000网关54545454543.3.3Iptables防火墙—Vlan200划分NameIP地址网关所属机构内网0000某公司外网—40M0054ISP外网—60M0054ISP第四章实施4.1相关的设备选型H3CS7500系列以太网交换机H3CS7500系列交换机作为H3C公司自适应安全网络的核心产品之一，可广泛的适用于IP城域网、大型企业园区网、中小型企业办公网络的核心层和汇聚层，同时其也可以作为以太无源光网络（EPON）的光线路终端（OLT）设备，为用户提供多种业务接入、交换、路由一体化的安全融合网络解决方案。H3CS7500系列交换机支持高达768G交换容量的高速引擎，包括以下4款产品：S7502：2个业务插槽，主控板与业务板合一；S7503：3个业务插槽，1个主控插槽；S7506：6个业务插槽，1个主控插槽；S7506R：6个业务插槽，2个主控插槽；H3CS5600系列以太网交换机H3CS5600系列全千兆智能弹性交换机是H3C公司为设计和构建高弹性和高智能网络需求而推出的新一代以太网交换机产品。系统采用H3C公司创新的IRF（IntelligentResilientFramework，智能弹性架构)技术，支持高达96G的堆叠带宽和高密度千兆端口，支持万兆上行。特别适合作为需要高带宽、高性能和高扩展性的中小企业网核心、大型企业网络和园区网的汇聚层以及数据中心的服务器接入设备。产品系列齐全，每款都支持1端口、2端口万兆接口或8端口SFP千兆光口，最大的堆叠带宽达到96G

支持创新的IRF（IntelligentResilientFramework）智能弹性架构技术，能够实现用户网络的高度弹性智能扩展

可通过双绞线向远端下挂PD设备（如IPPhone、WLANAP、Security、BluetoothAP等）提供电源，实现PoE功能

支持EAD（端点准入防御）功能，配合后台系统可以将终端防病毒、补丁修复等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系

更加多样化的管理和丰富的特性4.2局域网的相关调试4.2.1核心H3CS7500交换机的VRRP调试SW1<SW1>sys[SW1]vlan10[SW1-vlan10]vlan20[SW1-vlan20]valn50[SW1-vlan50]vlan60[SW1-vlan60]intvlan50[SW1-Vlan-interface50]ipadd24[SW1-Vlan-interface50]intvlan60[SW1-Vlan-interface60]ipadd24[SW1-Vlan-interface60]quit[SW1]iproute-static52[SW1]iproute-static53[SW1]inte0/4/3 [SW1-Ethernet0/4/3]portlink-typeaccess[SW1-Ethernet0/4/3]portaccessvlan50[SW1-Ethernet0/4/3]inte0/4/2[SW1-Ethernet0/4/2]portlink-typeaccess [SW1-Ethernet0/4/2]portaccessvlan60[SW1-Ethernet0/4/2]quit[SW1]SW2<SW2>sys[SW2]vlan10[SW2-vlan10]vlan20[SW2-vlan20]vlan50[SW2-vlan50]vlan60[SW2-vlan60]inte0/4/3 [SW2-Ethernet0/4/3]portlink-typetrunk[SW2-Ethernet0/4/3]porttrunkpermitvlanall[SW2-Ethernet0/4/3]intvlan10[SW2-Vlan-interface10]ipadd5224[SW2-Vlan-interface10]intvlan20[SW2-Vlan-interface20]ipadd5224[SW2-Vlan-interface20]intvlan50[SW2-Vlan-interface50]ipadd5224[SW2-Vlan-interface50]quit[SW2]intvlan10 [SW2-Vlan-interface10]vrrpvrid10virtual-ip54[SW2-Vlan-interface10]vrrpvrid10priority120 [SW2-Vlan-interface10]vrrpvrid10preempt-mode [SW2-Vlan-interface10]vrrpvrid10trackinterfaceVlan-interface50reduced50[SW2-Vlan-interface10]intvlan20 [SW2-Vlan-interface20]vrrpvrid20virtual-ip54[SW2-Vlan-interface20]vrrpvrid20preempt-mode[SW2-Vlan-interface20]inte0/4/2[SW2-Ethernet0/4/2]portlink-typeaccess[SW2-Ethernet0/4/2]portaccessvlan50[SW2-Ethernet0/4/2]quit[SW2]iproute-staticSW3<SW3>sys[SW3]inte0/4/4[SW3]vlan10[SW3-vlan10]vlan20[SW3-vlan20]vlan50[SW3-vlan50]vlan60[SW3-vlan60]inte0/4/3 [SW3-Ethernet0/4/3]portlink-typetrunk [SW3-Ethernet0/4/3]porttrunkpermitvlanall[SW3-Ethernet0/4/3]intvlan10[SW3-Vlan-interface10]ipadd5324[SW3-Vlan-interface10]intvlan20[SW3-Vlan-interface20]ipadd5324[SW3-Vlan-interface20]intvlan60[SW3-Vlan-interface60]ipadd5324[SW3-Vlan-interface60]intvlan10[SW3-Vlan-interface10]vrrpvrid10virtual-ip54[SW3-Vlan-interface10]vrrpvrid10preempt-mode[SW3-Vlan-interface10]intvlan20[SW3-Vlan-interface20]vrrpvrid20virtual-ip54[SW3-Vlan-interface20]vrrpvrid20priority120[SW3-Vlan-interface20]vrrpvrid20preempt-mode[SW3-Vlan-interface20]vrrpvrid20trackinterfaceVlan-interface60reduced50[SW3-Vlan-interface20]inte0/4/2 [SW3-Ethernet0/4/2]portlink-typeaccess[SW3-Ethernet0/4/2]portaccessvlan60[SW3-Ethernet0/4/2]quit [SW3]iproute-static4.3广域网的相关调试4.3.1IPTABLES防火墙的配置[root@localhost~]#echo1>/proc/sys/net/ipv4/ip_forward[root@localhost~]#iptables-tnatPOSTROUTING-s/24-oeth1-jSNAT--to00[root@localhost~]#iptables-tnat-APREROUTING-ptcp--dport80-d00-jDNAT--to-destination00[root@localhost~]#iptables-pINPUTDROP[root@localhost~]#iptables-pOUTPUTACCEPT[root@localhost~]#iptables-pFORWARDDROP[root@localhost~]#iptables-AINPUT-ptcp--dport22-jACCEPT[root@localhost~]#iptables-AOUTPUT-ptcp--sport22-jACCEPT[root@localhost~]#iptables-AOUTPUT-ptcp--sport80-jACCEPT[root@localhost~]#iptables-AINPUT-ptcp--dport80-jACCEPT[root@localhost~]#iptables-AINPUT-ptcp--dport110-jACCEPT[root@localhost~]#iptables-AINPUT-ptcp--dport25-jACCEPT[root@tp~]#iptables-AINPUT-ptcp--dport21-jACCEPT[root@localhost~]#iptables-AINPUT-ptcp--dport20-jACCEPT[root@localhost~]#iptables-AINPUT-ptcp--dport53-jACCEPT[root@localhost~]#/etc/init.d/iptablessave[root@localhost~]#/etc/init.d/iptablesrestart4.4RedHatLinux5系统上相关服务器的搭建4.4.1WEB服务器的安装配置WEB服务器的ip地址：00域名：[root@localhost~]#cd/home/wg2010[root@localhostwg2010]#tar-zxvfhttpd-2.0.59.tar.gz–C/tmp[root@localhostwg2010]#cd/tmp[root@localhosttmp]#cdhttpd-2.0.59/[root@localhosthttpd-2.0.59]#./configure--prefix=/usr/loacl/apache--sysconfdir=/usr/loacl/apache/conf[root@localhosthttpd-2.0.59]make[root@localhosthttpd-2.0.59]makeinatall4.4.2DNS服务器的安装配置：DNS服务器ip地址:00[root@localhost~]#mount/dev/cdrom/mnt/cdrom[root@localhost~]#cd/mnt/cdrom[m[root@localhostcdrom]#cdServer/[root@localhostServer]#ls|grepbind[root@localhostServer]#rpm-ivhbind-9.3.3-10.el5.i386.rpm[root@localhostServer]#rpm-ivhbind-utils-9.3.3-10.el5.i386.rpm[root@localhostServer]#ls|grepcach[root@localhostServer]#rpm-ivhcaching-nameserver-9.3.3-10.el5.i386.rpm[root@localhostServer]#cd/home/wg0803/dns[root@localhostwg0803]#ls[m[root@localhostdns]#cp.zone/var/named[root@localhostdns]#cp.zone/var/named[root@localhostdns]#cpnamed.ca/var/namedcp：是否覆盖“/var/named/named.ca”?n[root@localhostdns]#cpnamed.conf/etc[root@localhostdns]#cd/var/named[root@localhostetc]#vinamed.conf//generatedbynamed-bootconf.ploptions{ directory"/var/named"; /* *Ifthereisafirewallbetweenyouandnameserversyouwant *totalkto,youmightneedtouncommentthequery-source *directivebelow.PreviousversionsofBINDalwaysasked *questionsusingport53,butBIND8.1usesanunprivileged *portbydefault. */ //query-sourceaddress*port53;};////acachingonlynameserverconfig//controls{ inetallow{localhost;}keys{rndckey;};};zone"."IN{ typehint; file"named.ca";};zone"localhost"IN{ typemaster; file"localhost.zone"; allow-update{none;};};zone"0.0.127."IN{ typemaster; file"named.local"; allow-update{none;};};zone""IN{ typemaster; file".zone";};zone""IN{ typemaster; file".zone";};zone"1.168.192."IN{ typemaster; file"1.168.192.";};include"/etc/rndc.key";[m[root@localhostnamed]#vi.zone$TTL 86400$ORIGIN.@ 1DINSOA .( 42 ;serial(d.adams) 3H ;refresh 15M ;retry 1W ;expiry 1D) ;minimum 1DINNS . INMX10.www 1DINA 100mail 1DINA 100ftp INCNAME www[root@localhostnamed]#vi.zone$TTL 86400$ORIGIN.@ 1DINSOA .( 42 ;serial(d.adams) 3H ;refresh 15M ;retry 1W ;expiry 1D) ;minimum 1DINNS . INMX10.www 1DINA 100mail 1DINA 100ftp INCNAME www[root@localhost~]#servicenamedstart4.4.3Exchange服务器安装过程下图为ExchangeService2003的安装开始界面，选择“Exchange部署工具”2.在下图中，选择“部署第一台Exchange2003服务器”3.选择“安装全新的Exchange20034.下图为安装Exchange2003的八大步骤，需要逐一的满足才能安装成功5.服务器的操作系统为Windowsservice2003，因此步骤1完成，下图为相关组件和服务的启用①“控制面板”—“添加/删除Windows组件”，依次启用相关的组件，应用，确定②在安装组件的过程中，会出现如下的提示，要求插入安装光盘，根据提示选择相关文件即可开始安装组件，直到完成6.安装“dcdiag”和“netdiag”工具①打开系统安装光盘中的内容，打开“SUPPORT”—“Tools”②双击“SUPTOOLS.MSI”进行安装③跳出如下安装界面后一直“Next”，直到安装完成7.ForestPrep安装①点击“立即运行ForestPrep”，会出现如下的安全提示框，点击“继续”②下图为ForestPrep安装的开始界面③下一步④下一步⑤开始安装ForestPrep，这个过程比较漫长，耐心等待安装完成8.DomainPrep的安装①下图为DomainPrep安装的开始界面②下一步③当出现如下提示框时，点击“确定”开始安装，直到安装完成8.Exchange程序安装下一步②选择“新建Exchange组织”“下一步”③输入组织名“kingtcn”“下一步”④输入简单管理组织名“kingtcn”“下一步”“下一步”开始安装二。Exchange的设置1.打开AD用户和计算机2.在e/Users中新建用户“test1”和“test3.新建用户完成之后，打开IE浏览器，在地址栏中输入/exchange，出现如下图所示的登入框，输入刚刚创建的用户名和密码4.下图为Exchange2003的OWA界面5.新建一封电子邮件，发送到：test2@6.用另一个新建的用户登录7.在下图中，我们已经可以看到，test2中，有一封从test1中发送过来的邮件，这样，我们的Exchange2003就安装成功了。4.4.4FTP服务器的安装和配置ifconfigeth000netmask[root@localhost~]#servicesshdstart启动sshd：[确定][root@localhost~]#mount/dev/cdrom/mnt/cdrommount:blockdevice/dev/cdromiswrite-protected,mountingread-only[root@localhost~]#cd/mnt/cdrom[m[root@localhostcdrom]#cdServer/[root@localhostServer]#rpm-ivhvsftpd-2.0.5-10.el5.i386.rpmwarning:vsftpd-2.0.5-10.el5.i386.rpm:HeaderV3DSAsignature:NOKEY,keyID37017186Preparing...###########################################[100%]###########################################[100%] packagevsftpd-2.0.5-10.el5isalreadyinstalled[root@localhostServer]#servicevsftpdstart为vsftpd启动vsftpd：[确定][root@localhostServer]#useraddking[root@localhostServer]#passwdkingChangingpasswordforuserking.NewUNIXpassword:BADPASSWORD:itistoosimplistic/systematicRetypenewUNIXpassword:passwd:allauthenticationtokensupdatedsuccessfully.[root@localhostServer]#ftp00Connectedto00.220(vsFTPd2.0.5)530PleaseloginwithUSERandPASS.530PleaseloginwithUSERandPASS.KERBEROS_V4rejectedasanauthenticationtypeName(00:root):king331Pleasespecifythepassword.Password:230Loginsuccessful.RemotesystemtypeisUNIX.Usingbinarymodetotransferfiles.ftp>第五章测试5.1系统测试原理和方法从实施阶段可分成：单个系统或相对独立部件的测试，例如单个路由器的自检等等；子系统的测试，例如中心网络的测试等等；整个网络系统的测试。测试的目标是为了保证用户能够科学而公正地验收供应商提供的设备和软件，系统集成商提供的整套系统，也是为了保证供应商和系统集成商能够准确无误地提供合同所要求的设备和系统。所以，测试的目的对用户而言是为了验收。测试应该由供应商和系统集成商、用户及用户聘请的技术顾问共同参与。5.2硬件设备测试和验收部件级测试部件级测试指对设备中各个部件的功能、可靠性、耐用性和可维性的测试，升档能力的衡量等。该类测试一般已在原厂的生产过程中完成，用户只需在使用过程中加以观测即可。设备级测试设备级测试主要包括对设备的处理能力、可靠性、可扩充性、开放性等方面进行测试。设备级测试需用有关的测试工具、仪器或软件来进行，也可在实际应用中对其某些性能加以测试。系统级测试系统级测试主要包括网络的连通性测试，系统的可靠性测试，系统的响应时间，系统的抗干扰测试，系统的安全保密性测试等。这一类测试可借助于某些网络测试工具或网络管理和测试软件来完成。5.3系统集成测试功能性测试：测试系统应提供的每一个功能和安全性限制，检查系统是否已正常实现所有功能。连通性测试：测试网络上任意站点间是否能够相互传输数据，测试各个终端能否登录中心服务器，并访问数据库，对数据库进行正常的操作；稳定性测试：在不间断运行的一段时间内，系统有无异常现象发生，如有异常，是由系统自动处理还是系统管理员人工干预处理，不间断的测试时间以一周(7天)为限；重载测试：在系统处于重载工作状况时，通过计算机系统的监控软件，以及网络系统的管理软件监测计算机系统和网络系统的性能指标；5.3测试相关命令5.3.1通用测试、诊断命令pingx.x.x.x标准ping-用于测试设备间的物理连通性。扩展ping-用于测试设备间的物理连通性（扩展ping命令还支持灵活定义ping参数，如ping数据包的大小，发送包的个数，等待响应数据包的超时时间等）。traceroutex.x.x.x-用于跟踪、显示路由信息。displaycurrent-configuration用于显示路由器、交换机运行配置文件的内容。displaysessions用于显示从当前设备发出的所有呼出Telnet会话。disconnect用于断开与远程目标主机的Telnet会话。clearline用于断开远程主机的呼入Telnet连接。shutdown用于临时将某个接口关闭。unshut用于手动启动（激活）处于管理性关闭的接口。displayarp用于显示ARP缓存（ARP表）的内容。displayinterface用于显示各接口的状态及参数信息。dirflash:用于显示闪存中的文件清单。dirnvram::用于显示非易失性内存中的文件清单。showdebugging用于显示正在进行的诊断过程清单。undebugall用于停止所有诊断过程。5.3.2CDP测试、诊断命令showcdp用于显示CDP全局参数信息。showcdpneighbors用于显示CDP邻居设备的摘要信息。showcdpneighborsdetaill用于显示CDP邻居设备的详细信息，包括：邻居设备名称、邻居设备接口IP地址、邻居设备软件版本信息、设备性能、设备平台、本地设备接口、邻居设备接口、CDP缓存条目保持时间、CDP广播版本、接口双工方式等。showcdpentry用于显示指定邻居设备的相关信息。showcdpinterface用于显示本地设备各个接口的状态、接口封装格式、CDP包的周期发送时间以及CDP保持时间等。showcdptraffic用于显示和CDP相关的流量统计信息，包括接收和发送的CDP包数量、包括头部错误、校验错误、封装错误等在内的错误数量等。5.3.3路由和路由协议测试、诊断命令displayiprouting-table用于显示当前路由表内容。5.3.4VLAN、VTP测试、诊断命令Disvlanall用于查看VLAN创建情况。该命令可以显示系统所有的VLAN信息，包括VLAN编号、VLAN名称、VLAN状态、VLAN成员等信息。showvtpstatus用于检查VTP配置情况。5.3.5生成树测试、诊断命令showspanning-tree用于显示生成树协议中交换机及其端口的情况。showspanning-treeblockedports用于显示处于阻塞状态的端口。showspanning-treedetail用于显示生成树详细信息。showspanning-treeinterface用于显示生成树中某端口相关状态。showspanning-treevlan当有多个VLAN时，Catalyst交换机会为每个VLAN运行一个生成树实例。此命令用于显示指定VLAN的生成树内容。showspanning-treesummary用于显示生成树总结，包括本交换机是哪些VLAN的根网桥、端口快速特性是否启用、处于生成树各个端口状态的端口数量等信息。5.3.6NAT测试、诊断命令showipnattranslation用于显示并观察当前正在进行的NAT情况。showipnattranslationverbose用于显示并观察当前正在进行的NAT更为详细的情况。showipnatstatistics用于显示NAT运行情况统计。debugipnat用于打开对NAT的诊断。5.3.7ACL测试、诊断命令displayaccess-lists用于显示所有已定义的访问控制列表内容及