1、中小企业网络的设计与实现摘要：本文简要地讨论了企业网络规划设计中涉及到的网络技术、规划设计方法、网络性能及应用分析等问题，为企业网络的规划、设计和升级改造等方面在技术及应用上提供参考，以使在建或规划中的校园网络具备较高的整体性能。通过对园区网络的分析，从性能和价值上满足公司网络的需求，然后对企业网络进行划分 vlan、设置管理域等配置， 不断地优化企业的网络，从而达到企业安全、快速访问网络资源的目的。关键字：交换机；路由器；防火墙；VLAN目 录前 言 .11 系统总体设计方案概述 21.1 系统组成与拓扑结构 .31.2 VLAN 及 IP 地址规划 41.3 设备选型 .42 交换模块的设
2、计 62.1 接入层交换服务的实现 配置接入层交换机 .62.1.1 对 connect1 的端口进行具体的配置 72.2 汇聚层交换服务的实现 配置汇聚层交换机 122.2.1 配置汇聚层交换机 collect1 的基本参数 122.2.2 配置汇聚层交换机 collect1 的管理 IP，默认网关 132.2.3 配置汇聚层交换机 collect1 为 VTP 服务器 .132.2.4 配置汇聚层交换机 collect1 的 VTP 剪裁功能 .132.2.5 为 collect1 配置 vlan 和端口设置 .142.2.6 为 collect1 启用路由功能 142.2.7 配置汇聚层
3、交换机 collect2 152.3 核心层交换服务的实现 配置核心层交换机 162.3.1 配置核心层交换的管理 VLAN 和默认网关 .172.3.2 设置核心层交换机为 VTP 客户机 172.3.3 设置核心层交换机的端口 .172.3.4 启用核心层 core 交换机的路由功能 .183 配置路由器 .193.1 配置路由器 router 的各接口参数 193.2 配置路由器 router 的路由功能 203.3 在路由上设置 NAT203.3.1 定义 NAT 转换的内部、外部接口 203.3.2 定义允许进行 NAT 转换的工作站的 IP 地址范围 .203.4 配置路由器上的
4、ACL213.4.1 对外屏蔽 SNMP，TELNET 协议 .213.4.2 设置只允许来自服务器的 IP 地址才能访问并配置路由器 213.4.3 配置路由器的封装协议身份认证 .223.4.4 配置路由器的身份认证 .224 防火墙的配置 .234.1 防火墙的基本配置 234.1.1 配置防火墙接口的名字，并指定安全级别 .234.1.2 配置以太网口参数及 IP 地址 234.1.3 指定要进行 NAT 转换的 IP 地址范围 .234.1.4 指定转换后的 IP 地址范围 244.1.5 设置指向内网和外网的静态路由 .244.2 配置 fixup 协议 .244.3 设置最大传输
5、单元（MTU） 254.4 设置 PIX 入侵检测 255 服务器模块设计 .26总 结 28参考文献 .29致 谢 300前 言在现今的网络建设中，企业网的建设是非常重要的，企业网内部各种不同业务的开展是企业网发展迅速的最主要原因。从早期的企业网主要是简单的数据共享，简单数据库的共享到现在内部全方位的数据共享，从过去单一的企业到现在多个分支公司的全部互连，因而对网络的覆盖面要求越来越广。这一要求最早还只局限于各分支企业内部，现在则已是整个企业、整个行业，甚至整个 Internet 的共同要求。正因为网络应用的如此广泛，又在生活中扮演很重要的角色，所以其安全性是不容忽视的，它是网络能否经历考验
6、的关键，如果安全性不好会给人们带来很多麻烦。网络信息交流现已是生活中必不可少的一个环节，然而信息安全却得不到相应的重视。本文就网络信息的发展，组成，与安全问题的危害做一个简单的探讨。11 系统总体设计方案概述企业网（ENTERPRISE NETWORK）是非常典型的综合网络实例。在本设计方案中主要是对一个企业进行整体的网络设计。该企业占有一幢大厦，共有八个部门，每个部门不会超过 255 台工作站，分别是财务部、人力资源部、技术支持部、营销部、售后服务部、生产部、公关部、设备部，此外有一个总经理办公室，一个副总经理办公室。如图 1-1，是该企业拆分后的网络总体拓扑结构图。INTERNET总经理办
7、公室副总经理办公室财务部 人力资源部 技术支持部 生产部公关部 售后服务部 设备部 部售后服务部 公关部 设备部 营销部图 1-1 企业拓扑结构图在上面的拓扑结构图中,企业有八个部门，两个经理办公室共十个主要的接入点，核心层交换机通过 Cisco3460 路由器接入因特网。图中展示了每个建筑物内部的网络拓扑结构，并给出了信息中心内部的网络设备拓扑结构。在接下来的论述中，我将展开并详细讨论每个模块的设计内容。信 息中 心21.1 系统组成与拓扑结构为了实现网络设备的统一，在本设计方案中完全采用同一厂家的网络产品，即 Cisco 公司的网络设备构建。本企业网设计方案主要由以下几部分组成：交换模块、
8、广域网接入模块、服务器模块，整个网络系统的拓扑结构图如下图 1-2所示：INTERNET202.168.1.1NAT 192.168.1.254核心层server 汇聚层 总经理办公室Group副总经理办公室接入层、 、 、 、 、财务部 vlan2 人力资源部 vlan3 技术支持部 vlan6 生产部 vlan7、 、 、 、售后服务部 vlan4 公关部 vlan5 设备部 vlan8 营销部 vlan9图 1-2 企业网整体拓扑结构图31.2 VLAN 及 IP 地址规划在一个大、中型网络里，VLAN 12的划分是必不可少的步骤之一。在本企业网设计中，整个企业网的 VLAN 及 IP
9、编址方案如下表所示：在下面我们需要注意的是：192.168.0.0-192.168.255.254 这样的 IP 地址是私有 IP 地址，它不能在公共网络中使用，但是为什么我们要这样做呢？因为针对当前现状，IP 地址紧缺，我们不可能也不应该为每一台工作站申请一个公有 IP地址，这样不仅可以缓解 IP 地址不足的情况，而且也可以为企业建设一个企业网节约不少的开支，那这样且不是不能够访问 INTERNET。为了让这些私有 IP地址能够在公共 INTERNET 使用，让使用这样 IP 地址的工作站能够访问INTERNET 上的资源，我们必须对这样私有 IP 地址作 NAT（network addre
10、ss translation）即网络地址转换。 NAT 的配置我将后面的论述中进行配置。而对于经理办公室，由于我们有特定的要求，我将为其分配 static IP 地址（如表 1-3 所示）。表 1-3VLAN 及 IP 编址方案VLAN 号 VLAN 名称 IP 网段 默认网关 说明VLAN1 19216810/24 1921681254 管理 VLANVLAN2 finance 19216820/24 1921682254 财务部VLAN3 Human_resource 19216830/24 1921683254 人力资源部VLAN4 After_sale_server 19216840/
11、24 1921684254 售后服务部VLAN5 Public_relations 19216850/24 1921685254 公关部VLAN6 Technique_support19216860/24 1921686254 技术支持部VLAN7 produce 19216870/24 1921687254 生产部VLAN8 equipment 19216880/24 1921688254 设备部VLAN9 sale 19216890/24 1921689254 营销部VLAN10 Server_group 192168100/24 19216810254 服务器群 VLAN41.3 设备选
12、型从上面的拓扑图中我们可以列出下面的设备选型列表 1-2：表 1-2 设备选型列表设备名称 型号 单价 数量 总价 说明防火墙 CISCO PIX-525 6000 1 6000并发连接数：4500 VPN 支持：支持 安全过滤带宽：16 用户数限制：无限制 网络吞吐量（Mpps）：20路由器 CISCO3745 612000 1 612000 Cisco 3700 Series 4-SlotMultiservice Access Router核心层CISCO WS-C3750G-24TS-S 36762 1 36762Catalyst 3750 24 10/100/1000T + 4 SFP
13、 Standard Multilayer汇聚层CISCO WS-C2950T-24 6500 2 1300024 10/100 ports w/ 2 10/100/1000BASE-T ports, Enhanced Image 交换机接入层CISCO WS-C2950-24 4000 2 800024 port, 10/100 Catalyst Switch, Standard Image onlySwitch/hub 视每个部门工作站多少的情况而定光纤 迅驰 4 芯单模光缆4/M 1000M 4000线缆双绞线 五类 UTP 400/卷 5 2000波长 1300 损耗850/3.5 温度
14、-40-80 湿度 052 交换模块的设计一个性能优良的网络(不管是何种类型的网络)都应该是一个分层的设计。这样不但简化了交换网络的设计，同时也提高了交换网络的可靠性和可扩展性，我们一般将其分为三层设计模型。分别是接入层，汇聚层，核心层。下面我们将按照分层的设计与配置进行论述。2.1 接入层交换服务的实现配置接入层交换机接入层交换机是为所有的终端用户提供一个接入点。我们采用的是 CISCO WS-C2950-24。该交换机拥有 24 个 10/100M 的自适应快速以太网交端口，这里我们有两个接入层交换机。分别命名为 connect1 和 connect2，接下来我们将对接入层交换机进行配置。
15、进入交换机的配置界面（CLI） 3我们一般常用的有两种方法：利用反转线直接和交换机的控制端口相连和远程登陆。我们主要进行如下一些配置：1 设置交换机名称Switch(config)#hostname connect1Connect1(config)#2 设置交换机密码Connect1(config)#enable secret 1233 设置登陆虚拟终端Connect1(config)#line vty 0 15Connect1(config-line)#loginConnect1(config-line)#password 1234 设置虚拟终端超时时间Connect1(config)#li
16、ne vty 0 15Connect1(config-line)#exec-timeout 5 3065 设置控制台终端超时时间Connect1(config)#line con 0Connect1(config-line)#exec-timeout 5 306 禁用 IP 地址解析特性当我们向交换机输入一条错误的命令的时候，交换机就会将该信息广播给网络上的 DNS 服务器，并试图把它解析成 IP 地址。Connect1(config)#no ip domain-lookup7 启用消息同步特性为了防止我们向交换机输入的命令被交换机产生的信息打乱。我们启用消息同步特性。Connect1(con
17、fig)#logging synchronous为了能够对交换机进行远程管理，必须给交换机设置一个管理用的 IP 地址。这种情况下，实际上是将交换机看成和 PC 机一样的主机。而每台交换机都有一个用来进行管理的默认 VLAN 即 VLAN1，VLAN1 也称为管理 VLAN。在VLAN 及 IP 编址方案表中我们的管理 VLAN 的 IP 为 192.168.1.0/24，这里为connect1 的管理 IP 设置为 192.168.1.1/24，具体配置如下命令 4：Connect1(config)#interface vlan 1Connect1(config-if)#ip address
18、 192.168.1.1 255.255.255.0Connect1(config-if)#no shutdown为了能让管理人员在不同的子网中管理此交换机，还应该设置默认网关，在这里为其设置成为 192.168.1.254，命令如下：Connect1(config)#ip default-gateway 192.168.1.254将 connect1 设置成为 VTP（vlan trunking protocol）的客户机，(VTP 即vlan 中断协议，使得 vlan 客户机可以从 vlan 服务机上获得 vlan 信息，这样就不必为每台交换机配置 vlan，大大减轻了网络管理人员的工作负
19、担，同时也减少了在不同交换机上输入命令时出错的机率，保证了网络的正常运行)命令如下：Connect1(config)#vtp mode client72.1.1 对 connect1 的端口进行具体的配置1端口双工配置：Connect1(config)#interface range fastethernet 0/1-24Connect1(config-if-range)#duplex full2端口速度配置：Connect1(config)#interface range fastethernet 0/1-24Connect1(config-if-range)#speed 1003端口模式和
20、端口所属 VLAN 的配置 5在上面的拓扑结构图中我们很容易得出 26 端口属于 VLAN2，712 端口属于 VLAN3，1318 端口属于 VLAN4，1922 端口属于 VLAN5，具体配置命令如下：Connect1(config)#vlan 2 name financeConnect1(config)#vlan 3 name Human_resourceConnect1(config)#vlan 4 name After_sale_serverConnect1(config)#vlan 5 name Public_relationsConnect1(config)#interface
21、vlan 2Connect1(config-if)#ip address 192.168.2.254 255.255.255.0Connect1(config-if)#no shutdownConnect1(config-if)#exitConnect1(config)#interface vlan 3Connect1(config-if)#ip address 192.168.3.254 255.255.255.0Connect1(config-if)#no shutdownConnect1(config-if)#exitConnect1(config)#interface vlan 4Co
22、nnect1(config-if)#ip address 192.168.4.254 255.255.255.0Connect1(config-if)#no shutdownConnect1(config-if)#exitConnect1(config)#interface vlan 5Connect1(config-if)#ip address 192.168.5.254 255.255.255.08Connect1(config-if)#no shutdownConnect1(config-if)#exitConnect1(config)#interface range fastether
23、net 0/1-22Connect1(config-if-range)#switchport mode accessConnect1(config-if-range)#exitConnect1(config)#interface range fastethernet 0/2-6Connect1(config-if-range)#switchport access vlan 2Connect1(config-if-range)#exitConnect1(config)#interface range fastethernet 0/7-12Connect1(config-if-range)#swi
24、tchport access vlan 3Connect1(config-if-range)#exitConnect1(config)#interface range fastethernet 0/13-18Connect1(config-if-range)#switchport access vlan 4Connect1(config-if-range)#exitConnect1(config)#interface range fastethernet 0/19-22Connect1(config-if-range)#switchport access vlan 5Connect1(conf
25、ig-if-range)#exit4快速端口和主干端口进行配置Connect1(config)interface range fastethernet 0/1-22Connect1(config-if-range)#spanning-tree portfastConnect1(config-if-range)#exit由于 connect1 是通过 23 和 24 号端口分别与汇聚层的交换机 1 和交换机 2相连，所以把 connect1 的 23 和 24 号端口设置成为主干端口。命令如下：Connect1(config)#interface range fastethernet 0/23-
26、24Connect1(config-if-range)#switchport mode trunk到此，对 connect1 的配置已基本上完成，接下来我们将对接入层的第二个交换机 connect2 进行配置，其配置和 connect1 的配置大体上是一样的。Connect2 通过 23 和 24 号端口分别与汇聚层的 collect1 和 collect2 连接。Connect2 的 VLAN 的划分如下：926 端口属于 VLAN6，712 端口属于 VLAN7，1318 端口属于VLAN8，1922 端口属于 VLAN9。Connect2 的整体配置如下：Switch(config)#h
27、ostname connect2Connect2(config)#enable secret 123Connect2(config)#no ip domain-lookupConnect2(config)#logging synchronousConnect2(config)#line vty 0 15Connect2(config-line)#loginConnect2(config-line)#password 123Connect2(config-line)#exec-timeout 5 30Connect2(config-line)#exitConnect2(config)#line
28、con 0Connect2(config-line)#exec-timeout 5 30Connect2(config-line)#exitConnect2(config)#interface vlan 1Connect2(config-if)#ip address 192.168.1.2 255.255.255.0Connect2(config-if)#no shutdownConnect2(config-if)#exitConnect2(config)#ip default-gateway 192.168.1.254Connect2(config)#vtp mode clientConne
29、ct2(config)#interface range fastethernet 0/1-24Connect2(config-if-range)#speed 100Connect2(config-if-range)#duplex fullConnect2(config-if-range)#exitConnect2(config)#vlan 6 name Technique_supportConnect2(config)#vlan 7 name produceConnect2(config)#vlan 8 name equipmentConnect2(config)#vlan 9 name sa
30、leConnect2(config)#interface vlan 6Connect2(config-if)#ip address 192.168.6.254 255.255.255.010Connect2(config-if)#no shutdownConnect2(config-if)#exitConnect2(config)#interface vlan 7Connect2(config-if)#ip address 192.168.7.254 255.255.255.0Connect2(config-if)#no shutdownConnect2(config-if)#exitConn
31、ect2(config)#interface vlan 8Connect2(config-if)#ip address 192.168.8.254 255.255.255.0Connect2(config-if)#no shutdownConnect2(config-if)#exitConnect2(config)#interface vlan 9Connect2(config-if)#ip address 192.168.9.254 255.255.255.0Connect2(config-if)#no shutdownConnect2(config-if)#exitConnect2(con
32、fig)#interface range fastethernet 0/1-22Connect2(config-if-range)#switchport mode accessConnect2(config-if-range)#exitConnect2(config)#interface range fastethernet 0/2-6Connect2(config-if-range)#switchport access vlan 6Connect2(config-if-range)#exitConnect2(config)#interface range fastethernet 0/7-1
33、2Connect2(config-if-range)#switchport access vlan 7Connect2(config-if-range)#exitConnect2(config)#interface range fastethernet 0/13-18Connect2(config-if-range)#switchport access vlan 8Connect2(config-if-range)#exitConnect2(config)#interface range fastethernet 0/19-22Connect2(config-if-range)#switchp
34、ort access vlan 9Connect2(config-if-range)#exitConnect2(config)#interface range fastethernet 0/1-2211Connect2(config-if-range)#spanning-tree portfastConnect2(config-if-range)#exitConnect2(config)#interface range fastethernet 0/23-24Connect2(config-if-range)#switchport mode trunkConnect2(config-if-ra
35、nge)#exit到此为止，对接入层的配置已基本上完成了。接下来对汇聚层的交换机进行配置。2.2 汇聚层交换服务的实现配置汇聚层交换机汇聚层除了负责将接入层交换机进行汇集外,还为整个交换网络提供 VALN间的路由选择功能。在这里我们采用的是 CISCO WS-C2950T-24 型的交换机，这种交换机拥有 24 个 10/100M 的自适应快速以太网端口和 2 个 10/100/1000M的自适应用于光纤接入的端口即上连端口。2.2.1 配置汇聚层交换机 collect1 的基本参数对汇聚层交换机 collect1 的基本参数的配置与对接入层交换机 connect1 的基本参数配置类似。具体的
36、配置命令如下：Switch#configure terminal(或者 config t)Enter configuration commands one per line. End with CNTL/ZSwitch(config)#hostname collect1Collect1(config)#enable secret 123Collect1(config)#no ip domain-lookupCollect1(config)#logging synchronousCollect1(config)#line con 0Collect1(config-line)#exec-timeo
37、ut 5 30Collect1(config-line)#exitCollect1(config)#line vty 0 15Collect1(config-line)#password 123Collect1(config-line)#login12Collect1(config-line)#exec-timeout 5 30Collect1(config-line)#exit2.2.2 配置汇聚层交换机 collect1 的管理 IP，默认网关每一台交换机都有一个默认的管理 vlan 即 vlan1，用来管理该交换机，所以我们只需要为 vlan1 设置 IP 地址即可。同时为了能让网络管理
38、人员在不同的子网中管理该交换机我们为其配置默认网关。具体配置命令如下：Collect1(config)#interface vlan 1Collect1(config-if)#ip address 192.168.1.3 255.255.255.0Collect1(config-if)#no shutdownCollect1(config-if)#exitCollect1(config)#ip default-gateway 192.168.1.2542.2.3 配置汇聚层交换机 collect1 为 VTP 服务器当网络中交换机数量很多时，需要分别在每台交换机上创建很多的VLAN，工作量很大
39、，过程很繁琐，并且很容易出错。所以在实际工作中我们都采用 VTP 来解决这个问题。我们只需要在 VTP 服务器上配置好 LAN 信息，VTP 客户机就可以通过 VTP 来从 VTP 服务器上学习到 VLAN 信息了。同时，有关 VLAN 的删除，参数的更改操作都可以传播到其他的交换机上，从面大大减轻了网络管理人员的工作负担。命令如下：Collect1(config)#vtp domain ciscoCollect1(config)#vtp mode server2.2.4 配置汇聚层交换机 collect1 的 VTP 剪裁功能一个交换网络中，某台交换机的所有端口都属于同一个 VLAN，则它没
40、有必要接收其他 VLAN 的用户数据，为了防止接收其他 VLAN 的用户数据我们可以启用 VTP 剪裁功能。命令如下：Collect1(config)#vtp pruning132.2.5 为 collect1 配置 vlan 和端口设置在上面的拓扑结构图中我们可以看到我们的服务器群直接连接到我们的汇聚层交换机上。所以要在 collect1 上定义 vlan，命令如下 6：Collect1(config)#vlan 10 name Server_groupCollect1(config)#interface vlan 10Collect1(config-if)#ip address 192.1
41、68.10.254 255.255.255.0Collect1(config-if)#no shutdownCollect1(config-if)#exitCollect1(config)#interface range fastethernet 0/1-24Collect1(config-if-range)#duplex fullCollect1(config-if-range)#speed 100Collect1(config-if-range)#interface range fastethernet 0/1-22Collect1(config-if-range)#switchport
42、mode accessCollect1(config-if-range)#spanning-tree portfastCollect1(config-if-range)#interface range fastethernet 0/1-15Collect1(config-if-range)#switchport access vlan 10Collect1(config-if-range)#interface range fastethernet 0/23-24Collect1(config-if-range)#switchport mode trunkCollect1(config-if-r
43、ange)#interface range gigabitethernet 0/1-2Collect1(config-if-range)#switchport mode trunk2.2.6 为 collect1 启用路由功能Collect1 (config) #ip routingCollect1(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.254为了实现对无类别网络（Classless Network）以及全零子网（ Subnet-zero）的支持，还需要进行相应的配置，如下所示：Collect1(config)#ip classlessColle
44、ct1(config)#ip subnet-zero142.2.7 配置汇聚层交换机 collect2汇聚层交换机 collect2 的配置和 collect1 的配置基本上相同，只是不需要为其配置 VLAN。具体配置命令如下：Switch#configure terminal(或者 config t)Enter configuration commands one per line. End with CNTL/ZSwitch(config)#hostname collect2Collect2(config)#enable secret 123Collect2(config)#no ip d
45、omain-lookupCollect2(config)#logging synchronousCollect2(config)#line con 0Collect2(config-line)# exec-timeout 5 30Collect2(config-line)#exitCollect2(config)#line vty 0 15Collect2(config-line)#password 123Collect2(config-line)#loginCollect2(config-line)#exec-timeout 5 30Collect2(config-line)#exitCol
46、lect2(config)#interface vlan 1Collect2(config-if)#ip address 192.168.1.4 255.255.255.0Collect2(config-if)#no shutdownCollect2(config-if)#exitCollect2(config)#ip default-gateway 192.168.1.254Collect2(config)#vtp domain ciscoCollect2(config)#vtp mode serverCollect2(config)#vtp pruningCollect2(config)#
47、interface range fastethernet 0/1-24Collect2(config-if-range)#duplex fullCollect2(config-if-range)#speed 100Collect2(config-if-range)#interface range fastethernet 0/1-2215Collect2(config-if-range)#switchport mode accessCollect2(config-if-range)#spanning-tree portfastCollect2(config-if-range)#interfac
48、e range fastethernet 0/23-24Collect2(config-if-range)#switchport mode trunkCollect2(config-if-range)#interface range gigabitethernet 0/1-2Collect2(config-if-range)#switchport mode trunkCollect2(config)#ip routingCollect2(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.254Collect2(config)#ip classlessColl
49、ect2(config)#ip subnet-zero到此我们对汇聚层交换机的配置已基本上完成了。接下来我们将对核心层交换机进行配置。2.3 核心层交换服务的实现配置核心层交换机核心层交换机将各汇聚层交换机互连起来进行穿越园区网骨干的高速数据交换，在本企业网的设计中我们核心层交换机所采用的是 CISCO WS-C3750G-24TS-S 交换机。对核心层交换机 core 的配置与对接入层交换机的配置类似。具体配置命令 7如下：Switch#configure terminal(或者 config t)Enter configuration commands one per line. End with CNTL/ZSwitch(config)#hostname coreCore(config)#enable secret 123Core(config)#no ip domain-lookupCore(config)#logging synchronousCore
