《可靠、安全网络实验室解决方案.doc》由会员分享，可在线阅读，更多相关《可靠、安全网络实验室解决方案.doc（11页珍藏版）》请在三一文库上搜索。
1、 软 件 学 院局域网实验报告实验名称：可靠、安全网络实验室解决方案 专 业：网络系统管理 班 级：网络101班 制 作 人：李晓青 指导教师：余雨萍 2011 年11 月 28日网络实验室局域网的设计一、实验目的（1） 掌握设计可靠性网络实验室的技能与方法。（2） 掌握设计网络方案的基本技能和方法，并掌握防火墙原理。（3） 用visio绘制可靠、安全网络拓扑图二、实验内容为新建的网络实验室设计局域网，进行网络实验室的网络需求分析（如80台计算机，每40一个VLAN,每10台pc连接到百兆交换机上，交换机之间互连。VLAN间通讯通过三层交换机，80台计算机共享如下服务如ftp/代理/www服务
2、等。通过三层交换机的上端千兆口连接到网络中心，通过网络中心实现外网的连接）。给出设计方案和2层、3层交换机上的典型配置（如单臂路由、地址划分）。在此基础上满足一下要求：（1）网络实验室办公楼到网络中心办公楼要求具备高传输速率，并且要求高可靠性。（2）采用千兆到交换机，百兆到桌面的传输方案。（3）采用双交换机互为高速备份的联网方案，采用服务器间的数据备份。（4）通过设置DMZ区确保代理、ftp、www服务器的安全、其中只允许外网访问www服务器。三、实验原理1、三层交换机：具有部分路由器功能的交换机，三次交换机的最重要目的是加快大型局域网内部的数据交换，所具有的路由功能也是为这目的服务的，能够做
3、到一次路由，多次转发。对于数据包转发等规律性的过程由硬件告诉实现，而像路由信息更新、路由表维护、路由计算、路由确定等功能，由软件实现。三层交换技术就是二层交换技术+三层转发技术。传统交换技术是在OSI网络标准模型第二层数据链路层进行操作的，而三层交换技术是在网络模型中得第三层实现了数据包的高速转发，既可实现网络路由功能，又可根据不同网络状况做到最优网络性能。2、代理服务器：在Internet上指Proxy Server，即代理服务器，它是一个软件，运行于某台计算机上，使用代理服务器的计算机与Internet交换信息时都先将信息发给代理服务器，由其转发，并且将收到的应答回送给该计算机。使用代理服
4、务器的目的有：出于安全考虑或局域网的Internet出口有限等。3、单臂路由：是将一个物理端口模拟成多个逻辑上的子接口，即在路由器上设置多个逻辑子接口，每个子接口对应于一个VLAN。由于物理路由接口只有一个，各子接口的数据在物理链路上传递要进行标记封装。Cisco设备支持ISL和802.1q协议。4、DMZ的定义：DMZ是“demilitarized zone”的缩写，中文名称“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放
5、置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。这样来自外网的访问者可以访问DMZ中得服务，但不可能接触到存放在内网中得公司机密或私人信息等，即使DMZ中服务器受到破坏，也不会对内网中得机密信息造成影响。5、STP协议：Spanning Tree Protocol(STP)是一种二层链路协议，又称生成树协议，该协议在IEEE802.ID文档中定义。该协议的原理是按照树的结构来构造网络拓扑，消除网络中得环路，避免由于环路的存在而造成广播风暴问题。该
6、协议使用BPDU报文传递生成树信息。STP的基本原理是，通过在交换机之间传递一种特殊的协议报文来确定网络的拓扑结构。配置消息中包含了足够的信息来保证交换机完成生成树计算。6、链路聚合：链路聚合是将两个或更多数据信道结合成一个单个的信道。该信道以一个单个的更高带宽的逻辑链路出现。链路聚合一般用来连接一个或多个带宽需求大地设备，例如连接骨干网络的服务器或服务器群。7、可靠性：网络的安全可靠性是网络的一个重要的指标，计算机网络系统必须绝对可靠，网络设计必须以可靠性为重点考虑。从结构设计、产品选择以及网络管理上要对网络的可靠性作出保证。安全性与可靠性同样重要，除了系统提供多种安全控制的手段外，网络设计
7、也要提供保障其安全的手段。四、实验环境与网络拓扑实验用到的设备有10台二层交换机，3台带有路由功能的三层交换机和1台路由器。设计拓扑图如下图：图1 设计拓扑图示五、实验步骤（1） 步骤一：需求分析一个具有80台PC的网络实验室属于一个小型局域网，要实现：网络实验室办公楼到网络中心办公楼要求具备高传输速率，并且要求高可靠性；通过设置DMZ区确保代理、ftp、www服务器的安全、其中只允许外网访问www服务器；采用双交换机互为高速备份的联网方案，采用服务器间的数据备份；采用千兆到交换机，百兆到桌面的传输方案。但由于该网络要满足几十台学生再较短时间内（如5s内）访问ftp、代理和www服务，共享服务
8、器上的信息要求，因此需要对网络应用需求进行分析，给出相应设计：1） 进行网络实验时，要以每10台pc为一组连接到交换机上。实验室组内的流量可能很大，突发流量峰值可能达到百兆，而不同组间的流量通常很小。因此，在考虑造价的因素可考虑组内使用一个16端口的百兆交换机。2） 这80台pc需要共享服务器的信息，并且所有pc都可能同时访问服务器的信息，打开实验支持网站页面（约30KB）、下载软件实验工具（约3MB）和文档（约80KB）。按照要求，访问文件的时延不大于5秒。3） 为了便于管理和减少网络内流量，将每40台pc划分为一个vlan，VLAN间通讯通过三层交换机，通过三层交换机的上端千兆口连接到网络
9、中心，通过网络中心实现外网的连接。4） 网络应用技术需求表：应用名称应用类型新的应用（是或否）时延备注网页浏览www否=5s学生，教师文件传输FTP否=5s学生，教师校内代理代理服务器否=5s学生，教师网上课堂网络教学否=10s教师域名解析DNS否=5s电子邮件E-MAIL否学生，教师5） 网络实验室办公楼到网络中心办公楼要求具备高传输速率，而且要求可靠性。6） 确保代理、ftp、www服务器的安全，确保交换机和服务器上数据的安全。7） 允许外网访问www服务器。（2） 步骤二：根据以上八点要求，可采用以下设计方案：1） 每10台pc组成一组，共有8组，每组用一个16端口百兆交换机，共需8台这
10、样的交换机。2） 由于目前专用的pc服务器通常都配置两块千兆网卡，服务器与交换机连接可采用两个百兆链路聚合的措施，增强访问服务器的能力。3） 每4组用一个8端口的百兆交换机互联，形成多星型结构。4） 网络中关键节点使用两个三层交换机连接到网络中心，确保网络实验楼到网络中心的连接。5） 采用千兆到交换机，百兆到桌面的传输方案6） 采用服务器间的数据备份保证服务质量以及数据可靠性；7） 通过设置DMZ区和防火墙确保代理、ftp、www、服务器的安全。为了交换机提高可靠性和可用性，可采用双交换机联网到网络中心的方案；为提高速度和可用性，三层交换机采用UPS供电和端口链路聚合技术，服务器设置在三层交换
11、机上，以使提高访问速度和充分利用带宽等，同时提供数据备份。8） 服务器与交换机连接可采用两个百兆链路聚合的措施，争强访问服务器的能力。（3） 步骤三：网络拓扑图图2 设计网络拓扑（4） 步骤四：详细的设计方案 1） IP地址分配和vlan设计Vlan 序号网络地址名称描述1192.168.10.0/24Vlan1本地vlan2192.168.20.0/24Vlan2本地vlanIP地址才用DHCP方式动态分配2） 具体配置Vlan 配置（以3560-24PS Multilayer Switch1为例）RS-1(config)#int vlan 1RS-1(config-if)#ip add 1
12、92.168.10.1 255.255.255.0RS-1(config-if)#int vlan 2RS-1(config-if)#ip add 192.168.20.1 255.255.255.0RS-1(config)#vlan databaseRS-1(vlan)#vtp domain wangluoRS-1(vlan)#vtp serverRS-1(vlan)#vtp password 123RS-1(vlan)#vtp pruningRS-1(vlan)#vlan 1 name v1RS-1(vlan)#vlan 2 name v2二层交换机上的配置（以2950-24 Switch
13、9为例）S9(vlan)#vtp domain wangluoS9(vlan)#vtp tranS9(vlan)#vtp clientS9(vlan)#vtp password 123DHCP配置例子10.0的子网：RS-1(config)#ip dhcp excluded-address 192.168.10.1-连vlan1的接口RS-1(config)#ip dhcp pool POOL-1RS-1(dhcp-config)#network 192.168.10.0 255.255.255.0RS-1(dhcp-config)#default-router 192.168.10.120.
14、0的子网：RS-1(config)#ip dhcp excluded-address 192.168.20.1-连vlan2的接口RS-1(config)#ip dhcp pool POOL-2RS-1(dhcp-config)#network 192.168.20.0 255.255.255.0RS-1(dhcp-config)#default-router 192.168.20.13） 配置Trunk（2950-24 Switch8和2950-24 Switch9交换机之间） S8(config)#int f0/6 S8(config-if)#switchport mode trunkS8
15、(config-if)#exitS9(config)#int f0/6S9(config-if)#switchport mode trunkS9(config-if)#exit4） 核心交换机3560-24PS Multilayer Switch1上实现vlan间的通信RS-1 (config)#int f0/1RS-1(config-if)#switchport mode accessRS-1(config-if)#switchport access vlan 1RS-1(config-if)#exitRS-1(config)#int f0/2RS-1(config-if)# switchp
16、ort mode accessRS-1(config-if)#switchport access vlan 2RS-1(config-if)# exitRS-1(config)#ip routingRS-1(config)#int vlan 1RS-1(config-if)#no shutdownRS-1(config-if)#ip address 192.168.10.3 255.255.255.0RS-1(config-if)#exitRS-1(config)#int vlan 2RS-1(config-if)#no shutdownRS-1(config-if)#ip address 1
17、92.168.20.3 255.255.255.0RS-1(config-if)#no shutdown5） 在汇聚交换机上进行STP的配置和链路聚合（以3560-24PS Multilayer Switch1为例）。STP配置：RS-1(config)#int v1RS-1 (Config-If-V1)#ip address xxxxRS-1(Config-If-V1)#no shutdownRS-1 (Config-If-V1)#exitRS-1 (config)#spanning-tree链路聚合配置：RS-1 (config)#port-group 1RS-1 (config)#int
18、 ea0/0/1-2RS-1 (Config-Port-Range)#port-group 1 mode onRS-1 (Config-Port-Range)#exitRS-1 (config)#int ea0/0/1-2RS-1 (Config-Port-Range)#port-group 1 mode active6） DMZ的设计、防火墙的配置（通过ALC实现）使用DMZ区保证外网对服务器的访问，同时又保证内部网络的安全。防火墙上配置ALC，只允许外网访问www服务器：Firewall（config）#conduit peimit tcp host x,x,x,x eq www anyF
19、irewall（config）#conduit peimit icmp any any六、实验故障排除与调试可能出现的问题：1、链路聚合配置不当：首先检查每台交换机上的链路聚合配置，修改可能出现的错误，然后排查物理链路故障，找出问题所在。2、防火墙ACL配置不当检查防火墙的ACL配置是否正确，保证外网只能访问www服务，确保其他服务器的安全，以及内部网络的安全。七、实验总结和心得体会本次实验从理论上阐明了一个小型局域网的设计与实现，并利用神州数码设备和思科环境验证（测试），最后得以实现设计。试验让我复习了很多之前学过的东西，像单臂路由、dhcp、vlan划分和配置等等，之后练习了使用visio设计网络拓扑方案，初步掌握设计网络方案的基本技能和方法，收益颇多。11