网络工程课程设计说明书

网络工程课程设计说明书

证券公司网络规划与设计

系、部：

学生姓名：

学生姓名：

学生姓名：

指导教师：

专业：

班级：

完成时间：

目录

1 需求分析 (4)

1.1总体网络需求分析 (4)

1.2.1网络流量及宽带 (5)

1.2.2 Internet接入 (5)

1.2.3 IP地址划分 (5)

1.2.4 网络安全 (6)

1.2.5应用服务需求 (8)

2 网络规划与设计 (8)

2.1总体设计 (8)

2.2网络设计 (9)

2.3 网络拓扑及其结构设计 (9)

2.3.1组网设计 (10)

2.3.2存储网络设计 (11)

2.3.3网络服务区设计 (11)

2.3.4外联区设计 (12)

2.4系统配置设计 (13)

2.5 IP地址的详细规划 (13)

3 测试 (14)

3.1 项目基本描述 (14)

3.2 路由器配置情况 (15)

3.2.1 LSW5的配置 (15)

3.2.2 LSW2的配置 (16)

3.2.3 LSW3的配置 (17)

3.2.4 客户端的配置 (20)

3.2.5 特点的路由配置命令 (21)

4 项目总结 (24)

参考文献 (24)

附录 (24)

致谢 (25)

1需求分析

1.1总体网络需求分析

所谓的需求分析从字面上的意思理解就是找出“需”与“求”的关系，从当前业务中找出最需要重视的方面，从已经运行的网络中找出最需要改进的地方，满足客户提出的各种要求，依据可与要求修改已经成形的方案的重要环节。本证券公司为了不断增长的业务，需要建立一个全新高效的计算机网络系统，以为今后在证券交易时提供一个强大且稳定的业务平台，在此业务需求下，做出如下需求分析。

企业网络的总体需求即是一个统一、可靠和安全的自动化办公硬件平台系统。这个企业网络系统必须满足以下几点：满足现代企业管理的统一，网络系统时增加对统一管理的要求；满足现代化自动办公对网络宽带的要求；满足多部门实现资源共享；满足现代企业对数据安全的高要求。因此，企业在高速发展的大环境下必须加强企业内部各种“软硬件”的提升，网络当然也就必不可少，网络主干要求达到千兆位带宽，网络结构要求做到完全冗余，不存在单点故障，能不间断动作，网络系统对信息点接入能力要达到1000个以上。企业要求在办公时能够内外网分开实现网络“纯净”化，业务网和办公网隔离，要求整个的企业网络能够“无死角”，保证企业内部数据的绝对安全,同时，还必须是高效、安全的，还应具备很有的扩展性。

本公司需要构建一个综合的企业网络，公司的主要营业范围有：证券公司的证券交易代理活动；专门从事股票、债券、期货及其他有价证券的投资活动；专门从事基金的投资活动；证券现券交易、证券回购等活动；证券包销、代销、转销等活动；投资公司及其他机构从事的项目策划、项目融资、财务顾问、企业购并、重组。公司有如下部门：一楼：业务部、后勤部；二楼：IT部、人事部；三楼：财务部，总经理办公室也位于三楼。网络规划的需求是：业务网和办公网“隔离”；员工网和领导网“隔离”；核心网络与数据中心在同步的情况下保持各自独立；保证内部数据的绝对安全性。为了确定信息点，首先对各部门员工+领导进行人数统计（表1.1示），所有员工在处理业务时处于内网中，所有办公的系统挂在专门的服务器上，办公时不能直接访问互联网，领导作为外网信息点，同时拥有两台主机，一台处于内网，一台处于外网，综上所述：一楼共有56个信息点，二楼有25个信息点，三楼有14个信息点，整体办公网信息点有11个。

表1.1楼层、部门与信息点对应

1.2基础构架需求

针对中小型企业网的设计，网路结构采用典型的三层网络架构，并使用VLAN 技术来对网络进行划分管理；考虑到未来网络的发展，使用当今流行的千兆以太网技术，实现千兆核心、百兆接入；核心网络设备的冗余备份，实现公司内部的无间断运作；组建WLAN（无线局域网）区域，由于无线只用于较少的场合，这里选用无线AP+交换机（有线）的组合，实现简单、经济的无线网络解决方案。1.2.1网络流量及宽带

现代企业网络应具有更高的带宽，更强大的性能，以满足用户日益增长的通信需求。随着计算机技术的高速发展，基于网络的各种应用日益增多，不仅要继续承载企业的办公自动化，Web浏览等简单的数据业务，还要承载涉及企业生产运营的各种业务应用系统数据，以及带宽和时延都要求很高的IP电话、视频会议等多媒体业务。因此，数据流量将大大增加，尤其是对核心网络的数据交换能力提出了前所未有的要求。所以，今天的企业网络已经不能再用百兆位到千兆位骨干来作为建网的标准，核心层及骨干层必须具有万兆位级带宽和处理性能，才能构筑一个畅通无阻的"高品质"企业网，从而适应网络规模扩大，业务量日益增长的需要。

1.2.2 Internet接入

租用电信固定IP，申请高速的宽带网络，能通过Internet向外公布和发布企业信息，并能实施VPN（虚拟专用网络）方案；使用PAT（端口地址转换）和端口映射，在满足内网连接Internet 的同时能够让外网正确访问公共服务器。

1.2.3 IP地址划分

出口路由为公司分配的172.16.107.2/24，进入出口网关172.16.107.1/24，网络经由172.16.105.2/29这个端口到核心交换机的172.16.105.2/29，核心交换机分配给业务网的为172.16.11.0/24的11网段，其余端口为113段，而服务器所在的数据中心则为：172.16.114.114/24；172.16.114.70/24；172.16.114.32/24。

这个的划分IP地址分为内网的划分，外网的则类似，并且外网的网络结构也和内网的差不多，只是在IP上习惯改为192.168.11.0/24。

1.2.4 网络安全

采用访问控制措施对内网对外网、内网对DMZ（非军事区）、外网对DMZ 的防火墙设置，阻止恶意流量的侵入；启用VPN 解决方案，在最经济的条件下实现安全的异地信息共享，并能实现移动办公；因内网使用DHCP（动态主机配置协议）解决方案，启用DHCP 过滤、动态ARP（地址解析协议）检测等手段对内网安全进行巩固；对非员工区域以及无线网络接入启用802.1x验证方案；公司内部计算机安装防病毒软件来实施全网的病毒安全防护。

（1）电源的安全

电源不仅是一个计算机网络能够运行的最基本条件，同时电源的安全也是计算机网络安全运行的最基本要素。这里电源的安全不仅要求为所有的工作站、服务器和网络设备提供一个高质量的电源，同时还要设置良好的接地系统。对于服务器和网络设备还要设置不间断电源（UPS）装置，这不但可以增加网络的连续运行能力，而且可以防止因为突然断电对网络硬件造成的损坏。特别是服务器，如果正在运行的服务器突然断电，不但硬件设备可能出现问题，而且操作系统或应用因为没有正常关闭可能导致数据不能提交或系统不能正常启动，甚至造成服务器或应用的瘫痪。这是任何一个企业都不愿看到的。

在网络建设和维护中，电源是最稳定的一个部分，一般情况下，它不会随着应用的发展频繁地升级，因此，中小企业在构建自己的网络系统时，进行相应的投资建立一个安全的电源系统是非常值得的。

(2)．防病毒设置

计算机病毒一直是困扰着计算机和网络系统的最大问题之一。随着计算机技术的不断进步，计算机病毒也不断地向智能化和网络化发展，具有更强大的攻击力和破坏性，从以往的破坏软件系统到现在的攻击硬件系统和网络系统，尤其是借助于发展迅速的Internet和Intranet，计算机病毒可以通过各种渠道迅速地蔓延并实施破坏。如果没有防范措施的话，一个企业的计算机网络很容易因为计算机病毒的攻击而陷入瘫痪。这对于一个企业而言，后果可能是致命的。(3)．防火墙设置

企业构建了Intranet，实现了与Internet的接轨，虽然为企业业务的开展日

常的工作、学习带来了极大的方便，但是我们不得不面对的一个问题就是实现了与Internet的接入，企业的内部网络就完全地暴露在外界了，也就可能受到各种有意或无意的攻击。因此建立企业的Intranet，必须建立网络的防火墙系统来保证内部网络的安全。由于在Internet接入部分已经对防火墙的功能和工作方式进行了相关的介绍，这里就不再进行过多的描述了。

(4)．网络的安全教育

保证网络的安全不仅需要通过相应的技术手段从硬件和软件着手对网络资源进行保护，对网络用户进行网络的安全教育同样重要。首先，要建立一套完整的网络管理规定和网络使用方法，并要求网络管理员和网络使用人员必须严格遵守，否则的话，再先进的网络安全技术也不能阻止人为因素对网络安全造成的威胁。其次，加强对网络管理员和网络使用人员的培训，让他们明白什么是可以做的，什么是严禁做的，可能产生的严重后果是什么。对网络了解得越多，自我约束的能力也就越强。第三，制定合适的网络安全策略，既不能让网络用户无限制地使用网络，也不能对用户限定得太死，引发用户设法绕过网络安全系统、钻网络安全策略空子的现象。制定一种让网络管理员和网络用户都乐于接受的安全策略，可以让网络用户在使用网络的过程中逐步把网络当成工作中的一个得力工具，从而自觉地维护网络的安全。

1.2.5. 数据存储的安全

保存在服务器中的数据是网络应用的核心，如果由于服务器磁盘故障造成数据的损坏或丢失，可能会造成无法估量的损失。因此必须采取相应的容错及灾难恢复手段来加强服务器存储系统的可靠性。目前，构建服务器存储系统使用最广泛的技术是RAID。RAID的实现策略主要是用多个磁盘驱动器替换单一的大容量的磁盘驱动器，并将数据在各个磁盘上进行分布存放并支持同时在多个磁盘进行并行读写，同时利用冗余的磁盘空间将数据从错误中恢复。由于服务器中构成RAID 的磁盘通常为热插拔磁盘，因此磁盘出现故障时，可以不停机地对故障进行修复，增加了网络系统的连续工作能力。RAID分为好几个级别，每个级别在I/O性能和安全性方面各具特点，其中RAID1和RAID5使用最多。

RAID1—磁盘镜像。它由磁盘对组成，每一个工作盘都有对应的镜像盘，保存着和工作盘完全相同的数据拷贝。当对逻辑块进行写入操作时，工作盘和镜像盘都进行实时更新。如果磁盘对中任一个磁盘失败，所有的读写请求立刻会转移到另一块磁盘上。因此它具有最高的可靠性，但它的I/O性能和空间利用率不高，只用50%，适用于访问量不大但比较注重数据安全性的应用环境。从性能价格比看，中小企业网络的应用服务器采用RAID1是非常合适的选择。

RAID5—没有独立校验盘的奇偶校验码磁盘阵列。RAID5采用了独立存取技

术，校验信息分布在阵列内的所有磁盘上，如果阵列中有一个磁盘失败，这个盘中的数据可以通过其他盘中的数据根据校验码进行异或运算获得。RAID5至少需要3块磁盘构成，每一块磁盘上都要占用1/N的空间存放校验信息（N为构成RAID5的磁盘数量）。由于采用了独立存取技术， RAID5对于大、小批量的数据读写性能都很好，适用于访问量很大的系统。在中小企业构建网络时，可以将Web服务器或数据库服务器的存储系统设置为RAID5。

可以根据RAID的应用级别来选择相应的服务器，这样配置起来更方便一些。

1.2.6应用服务需求

现代大型企业网络应具备更智能的网络管理解决方案，以适应网络规模日益扩大，维护工作更加复杂的需要。当前的网络已经发展成为"以应用为中心"的信息基础平台，网络管理能力的要求已经上升到了业务层次，传统的网络设备的智能已经不能有效支持网络管理需求的发展。比如，网络调试期间最消耗人力与物力的线缆故障定位工作，网络运行期间对不同用户灵活的服务策略部署、访问权限控制、以及网络日志审计和病毒控制能力等方面的管理工作，由于受网络设备功能本身的限制，都还属于费时、费力的任务。所以现代的大型企业网络迫切需要网络设备具备支撑"以应用为中心"的智能网络运营维护的能力，并能够有一套智能化的管理软件，将网络管理人员从繁重的工作中解脱出来。

由于网络产品的性能、质量和功能与其价钱成正比，因而在一些关键性服务器的选择上，如数据库服务器、Web/Mail服务器等负荷较重的业务上应该选择性能较强的产品，而一些工作负载较少的应用，如DHCP 服务器、DNS 服务器等，可选择配置较好的普通PC 来承担。

2网络规划与设计

2.1总体设计

根据对公司业务管理信息系统计算机网络需求的分析并结合目前高速主干网络技术的特点，数据中心核心网络建议采用核心层和接入层的的二层扁平化网络架构，二层扁平化的网络架构可以实现：

（1）简化网络管理，降低投资成本，降低维护管理成本；

（2）简化网络拓扑，降低网络复杂度，提高网络的性能，支撑高性能的服务器流量；

（3）提高网络利用率，支撑云计算技术的资源池动态调度；

（4）提高网络可靠性。二层网络结构，可以结合虚拟集群和堆叠技术，解决链路环路问题，减少网络的故障收敛时间，从而提高网络可靠性；

（5）绿色环保。简化二层网络还能降低电力和冷却需求，这对数据中心网络尤为重要；

数据中心网络架构设计采用“分区+分层+分平面”的设计思路。

（1）根据公司数据中心不同业务功能区域之间的隔离需求，将数据中心的核心网络按照功能的不同分成多个业务区域，各业务区域之间实现网络的逻辑隔离；

（2）根据公司数据中心的网络系统动态扩展和高效交换的需求，将数据中心的核心网络分为核心层与接入层，实现扁平化的二层网络架构；

（3）根据公司数据中心网络高效交换的需求，将数据中心网络分为管理平面、业务平面和存储平面，不同平面间进行逻辑隔离；单个平面故障不会影响其它网络平面的正常工作。

2.2网络设计

小型企业网络，也可在本设计中也可以称为园区网，园区网是非常典型的综合型网络实例，园区网通常是指大学的校园网及企业的内部网（intrfaceernet）。园区网分为3个部分，分别是交换网络，路由网络和远程登陆网络，主要的中心部分是交换网络部分。

1.主干结构设计

本设计将网络结构分为三层：接入层、汇聚层和核心层。使用三层网络结构适合的实际规模；二是这能提高网络对突发事故的自动容错能力，减少网络故障排错的难度和时间；三是采用此网络分层有利于企业将来更灵活地对企业网升级扩大。

2.互联网接入设计

互联网接入由位于网络中心的DMZ 交换机、WWW 服务、E-mail 服务、防火墙、路由器、Intrfaceernet 光纤接入组成。向电信申请一个固定IP，提供外网服务器的访问服务。

3.VLAN设计

通过VLAN 将相同业务的用户划分在一个逻辑子网内，各工作组交换机采用基于端口的VLAN 划分策略，划分出多个不同的VLAN 组，分隔广播域。同样在千兆/百兆以太网上联端口上设置802.1Q 协议，设置通信干道(Truck)，将每个VLAN 的数据流量添加标记，转发到主干交换机上实现网络多层交换。

2.3 网络拓扑及其结构设计

现在根据本公司的情况先规划处如下的网络拓扑图：

图2.3 整体网络规划拓扑图

2.3.1组网设计

数据中心的网络核心层采用的是核心层、接入层的扁平化二层网络架构；扁平化网络设计降低了网络复杂度，简化了网络拓扑，提高了转发性能。

数据中心网络核心层的规划图如下图所示。

网络核心层

网络接入层

图2.3.1数据核心层

○1核心层：2台核心交换机采用CSS虚拟集群技术，下行链路与接入交换机互联，增加带宽的同时也提高了网络链路的可靠性。

○2接入层：上联到2台核心交换机，增加带宽的同时也提高了网络链路的可靠性。接入层设备可以根据业务需求，选择机架式、刀片内置式等不同的接入交换机类型和不同规格的配置。

2.3.2存储网络设计

数据中心存储网络规划示意图如下图所示。

图2.3.2 存储网络规划示意图

服务器存储网络主要包括IP SAN存储网和FC SAN存储网。服务器存储网络与业务网络是物理隔离的，服务器的业务网卡和存储网卡是分别上联到业务网络和存储网络的对应TOR接入交换机上。由于虚拟化的需求，极大的增进了服务器与存储的数据交换。

当采用IP SAN存储网络时：业务服务区服务器和IP SAN存储的存储网卡一般采用1GE端口上联到TOR接入以太网交换机，各TOR接入交换机通过1GE链路或10GE链路捆绑上联到IP SAN存储汇聚交换机。当采用FC SAN存储网络时：业务服务区服务器的HBA卡和FC SAN存储的FC接口通过光纤链路上联到FC交换机。

2.3.3网络服务区设计

（1）应用场景

数据中心支撑着各种业务系统，各种业务系统对网络架构的要求也各不相同：对于高安全性业务系统，需要在数据中心内网核心区提供安全防护的功能；有些业务系统，对性能、可靠性和可扩展性要求较高；一般的业务则没有特殊的

要求。

为了满足业务系统对网络功能要求，数据中心专门部署了网络服务区，针对性为各种业务系统提供相应的网络服务。网络服务区主要提供网络安全服务，通过部署防火墙设备实现。

（2）网络架构

数据中心的网络服务区网络架构如下图所示。

核心交换机

图2.3.3 网络服务区网络架构图

网络服务区共部署了2台安全网关，为数据中心的多个服务器业务分区提供安全控制服务。

2台安全网关采用双机热备的冗余方式进行部署；每台安全关采用核心交换机旁挂的方式，并通过2条链路与核心交换机进行互联，分别用于承载入方向和出方向的流量。

安全网关设备用于对安全级别较高的业务服务器分区进行安全防护。安全网关通过虚拟化技术，从逻辑上划分为多台防火墙，分别为需要安全防护的服务器分区提供独立的安全保障。每台虚拟防火墙都是VPN 实例、安全实例和配置实例的综合体，为用户提供私有的路由转发服务、安全服务和配置管理服务。安全网关设备一般采用路由工作模式。

2.3.4外联区设计

（1）网络架构

业务服务区及运行管理区的网络架构基本相同：按照层次化、模块化的设计理念，各个功能分区的业务主机通过相应的接入交换机进行汇接，双链路上联到网络核心交换机上。

各个业务功能分区可以通过网络服务区的防火墙进行安全控制；通过功能区的划分，也可以提高系统的可扩展能力。

（2）分平面设计

数据中心的业务核心区采用的是网络分平面设计的网络架构，按照业务的类型将网络分成三个平面：业务平面、存储平面和管理平面，各个平面之间实现业务安全隔离。

各个平面之间通过网络设备和网卡进行物理安全隔离或VLAN逻辑安全隔离，保证各种网络平面数据的安全性和可靠性，单个平面的故障不影响其余平面继续工作。

每台主机通过不同的网络接口与业务平面、管理平面和存储平面进行互联，并在交换机上通过VLAN进行隔离，其中存储平面采用单独的交换机进行接入。

2.4系统配置设计

公司网络管理中心网络将采用层次化、模块化的设计。层次化模块化设计可使层次清晰，便于分层管理和故障隔离，既保留传统层次化架构的分层管理和故障隔离的优点，同时又能适应业务化网络的要求，有效优化带宽收敛比，降低延迟。

数据中心的网络功能分区架构如下。

（1）外联区

1、业务远程接入区

提供给相关业务单位访问的数据中心区域。

2、Internet接入区

提供给互联网用户访问的数据中心区域。部署外部服务器群（如：外部DNS/FTP/Web服务器），用于互联网用户访问；为了提高互联网出口的可靠性，出口路由器一般接入到2个不同的运营商。

（2）核心区

核心区对外部网络不可见，主要提供公司系统服务。该区域包括：网络服务区、辅助业务区、核心业务区、中心办公区及运行管理区。

（3）灾备中心

对公司数据进行异地保护。

（4）中心大厅

实现公司本部相关业务办理。

（5）测试和网管区

实现对网络设备及系统应用软件进行统一管理和测试。

（6）交换区

实现对外数据交换管理

2.5 IP地址的详细规划

以职能共划分为3个区域：对外公共服务器群组、内部服务器群组和内网客户端区域。其中内网客户端区域部署私有IP地址，然后根据其数量和组织规模等因素来选择网段，并决定是否使用DHCP动态IP分配。

其中，需要访问Internet的客户端可以通过NAT技术实现，一般在防火墙后面另配置一个NAT设备（可能是代理服务器或路由器等），在其上配置一个NAT 池放置适当的公网IP以供内网机访问Internet的需要。还可在其上或其连接的下层3层交换机、路由器等设备上做ACL（访问控制列表），以限制内网机访问Internet的权限。内网服务器区域由于只对内网用户提供服务，所以不需要公网IP也不需要过NAT，而且因其职能应该部署固定的私有IP。其中如果考虑到整体网络规模较大，内网服务器区与客户端区之间隔着路由器，那当使用DHCP 服务器时，还要注意DHCP的过程使用了广播包，而路由器隔绝广播，这时需要在路由器上配置DHCP中继代理。这样对于客户端来说，得到IP地址的过程和访问本地DHCP没有什么区别，也就是说DHCP中继代理对客户端而言是透明的。最后的DMZ区域放置着对外提供服务的服务器群组，这部分自然是部署固定的公网IP。当然，可能由于使用服务器集群等冗余和负载均衡措施，会使IP地址的分配策略稍有不同。

由于现在使用的仿真软件的限制性，故将现有的网络规划简单化，因此现有的IP划分是专用于此次的设计中，出口路由为公司分配的172.16.107.2/24进入到出口网关为172.16.107.1/24，网络经由172.16.105.2/29这个端口到核心交换机的172.16.105.2/29，核心交换机分配给业务网的为172.16.11.0/24的11网段，其余端口为113段，而服务器所在的数据中心则分别为172.16.114.114/24；172.16.114.70/24；172.16.114.32/24。这个的IP划IP地址分为内网的划分，外网的则类似，并且外网的网络结构也和内网的差不多，只是在IP上习惯改为192.168.11.0/24,具体的IP划分就要看网络管理人员自己怎么管理划分。

3测试

3.1 项目基本描述

此次的项目根据本公司的实际需要，构建一个综合的信息化企业办公网络，公司如下部门：业务部、人事部、财务部、IT部、后勤部，一共三层楼办公，网络规划的需求是：业务网和办公网“隔离”；员工网和领导网“隔离”；核心网络与数据中心在同步的情况下保持各自独立；以此保证内部数据的绝对安全性。

划分ip:出口路由为公司分配的172.16.107.2/24进入到出口网关为172.16.107.1/24，网络经由172.16.105.2/29这个端口到核心交换机的172.16.105.2/29，核心交换机分配给业务网的为172.16.11.0/24的11网段，其余

端口为113段，而服务器所在的数据中心则分别为172.16.114.114/24；172.16.114.70/24；172.16.114.32/24。

考虑到仿真软件eNSP的各种限制，因此现只将一部分的网络拓扑仿真化

图3.1 仿真拓扑图

3.2 路由器配置情况

3.2.1 LSW5的配置

图3.2.1 配置图1

图3.2.1 配置图2 3.2.2 LSW2的配置

图3.2.2 配置图1

图3.2.2 配置图2

图3.2.2 配置图3 3.2.3 LSW3的配置

图3.2.3配置图1

图3.2.3 配置图2

图3.2.3 配置图3

图3.2.3配置图4

图3.2.3配置图5

图3.2.3配置图6

图3.2.3 配置图7

Ps: LSW4的配置与LSW3的配置类似

3.2.4 客户端的配置

图3.2.4 配置IP