锐捷设备校园网规划设计与设备搭建.docx

项目文档

目录
一、 需求分析 4
1. 用户需求分析 4
2. 通信流量分析 4
二、 网络结构与分层 5
1. 组网规范 5
2. 网络拓扑图 5
3. Vlan和ip地址划分 6
三、 网络设备选型 7
1. 6台接入交换机 7
2. 2台汇聚层交换机 7
3. 路由器选型，3台/接口 8
4. 防火墙 8
5. 服务器 8
6. 无线AP 8
四、 网络搭建 9
1. 有线网络解决方案 9
1) 网络基本配置 9
2) 核心层网络设计（路由器） 10
3) 汇聚层网络设计 14
4) 接入层网络设计 25
2. 无线网络解决方案 27
1) 有线网络连接 27
2) 无线连接配置 28
3) 管理ip配置 28
4) 无线安全 28
3. 数据中心解决方案（服务器搭建） 29
1) DHCP服务器 29
2) WEB服务器 31
3) FTP服务器 32
4) DNS服务器 33
5) Radius服务器 34
五、 网络安全设计 37
1. 骨干网安全 37
1) 二层冗余及负载均衡 37
2) 三层冗余及负载均衡 37
3) 路由冗余（OSPF） 38
4) ACL访问控制列表 39
2. 接入网安全 42
1) 802.1x 42
2) DHCP snooping 44
3) Spanning-tree portfast 44
3. 出口安全 45
1) 防火墙基础配置 45
2) 防火墙NAT配置 45
3) 防火墙ip映射配置 45
4) 防火墙IPSec配置 45
5) 防火墙Qos配置 45
六、 项目验收 46
七、 项目总结 47

一、 需求分析
1. 用户需求分析
需求分析
某集团公司规模不断扩大，需要新建一个分支机构(计划有4个部门，人数分别为6、20、40、10)，小组作为该分支机构的信息管理团队，要利用现有设备为该分支机构搭建局域网基础设施，以便员工进入后，能马上利用网络开展工作‍。
从内网安全考虑，使用VLAN技术将各部门划分到不同的VLAN中；
为了提高公司的业务能力和增强企业知名度，将公司的WEB网站以及FTP、Mail服务发布到互联网上。

设备要求
根据公司现有设备规模，业务需要及发展范围使用的计算机、网络设备主要以H3C和CISCO产品为主，本次试验采用锐捷设备搭建
a) 服务器需选择中高端产品。
b) 要求服务器带有磁盘列阵（RIAD5）。
c) 路由器和交换机为CISCO中档产品。
d) 防火墙为硬件+软件结构。
e) 网络布线主干采用光纤，五类双绞线到桌面（100M）。

业务需求
公司主页WEB访问，外部人员查询公司信息，在线联系

用户需求
web访问，邮件，看新闻等等

应用需求
邮件服务，web服务，数据库，文件互发，查询资料，联系客户

计算机平台需求
部门个人计算机使用WINDOS 7系统
服务器购买专用的服务设备，使用windows的server系统提供服务

网络需求
从ISP那里申请了一段公网IP进行互联网访问
搭建局域网方便互相访问
2. 通信流量分析

二、 网络结构与分层
1. 组网规范
快速以太网（Fast Ethernet）是一类新型的局域网，其名称中的“快速”是指数据速率可以达到100Mbps，是标准以太网的数据速率的十倍。
快速以太网可以满足日益增长的网络数据流量速度需求。100Mbps快速以太网标准分为：100BASE-TX、100BASE-FX、100BASE-T4三个子类。快速以太网技术可以有效的保障用户在布线基础实施上的投资，它支持3、4、5类双绞线以及光纤的连接，能有效的利用现有的设施。
2. 网络拓扑图
图2-2 企业网拓扑图
3. Vlan和ip地址划分

图2-3 vlan/ip地址规划

三、 网络设备选型
1. 6台接入交换机

2. 2台汇聚层交换机

3. 路由器选型，3台/接口

4. 防火墙

5. 服务器
Windows 2008

6. 无线AP

四、 网络搭建
1. 有线网络解决方案
1) 网络基本配置
a) 命名hostname
RUIJIE(config)#hostname R1
RUIJIE(config)#hostname R2
RUIJIE(config)#hostname R3

Switch(config)#hostname L3-1
Switch(config)#hostname L3-2

Switch(config)#hostname L2-1
Switch(config)#hostname L2-2

AP(config)#hostname dwxz-ap

b) 远程登录telnet
R1(config)#line vty 0 4 //进入VTY端口
R1(config-line)#password ruijie //设置telnet密码
R1(config-line)#login //允许telnet登录
R1(config)#enable secret 0 ruijie //设置特权模式密码为ruijie

图4-1-1-b 路由器telnet登陆

c) Tftp

图4-1-1-c 打开tftp服务器，获取ip地址
R1#copy startup-configtftp
Address of remote host []?172.16.32.2
Destination filename [config.text]?zhangjq.txt

2) 核心层网络设计（路由器）
a) 端口ip
R1(config)#interface FastEthernet 0/0 //进入接口0/0
R1(config-if)#ip address 172.16.1.13 255.255.255.252 //配置ip地址

R1(config)#interface FastEthernet 0/1
R1(config-if)#ip address 172.16.1.5 255.255.255.252

R1(config)#interface FastEthernet 0/2
R1(config-if)#ip address 172.16.1.1 255.255.255.252

图4-1-2-a 路由器R1端口ip配置

图4-1-2-a 路由器R2端口ip配置

图4-1-2-a 路由器R3端口ip配置

b) 管理ip配置
R1(config)#interface loopback 1 //进入环回接口
R1(config-if-Loopback 1)#ip address 172.16.0.1 255.255.255.255 //配置管理ip地址

R1(config)#interface loopback 1
R1(config-if-Loopback 1)#ip address 172.16.0.1 255.255.255.255

R1(config)#interface loopback 1
R1(config-if-Loopback 1)#ip address 172.16.0.1 255.255.255.255

图4-1-2-b R1配置管理ip

图4-1-2-b R2配置管理ip

图4-1-2-b R3配置管理ip

c) Ospf配置
R1(config)#router ospf 1 //启动ospf进程号1
R1(config-router)#network 172.16.0.1 0.0.0.0 area 0 //公布网段
R1(config-router)#network 172.16.1.0 0.0.0.3 area 0
R1(config-router)#network 172.16.1.4 0.0.0.3 area 0
R1(config-router)#network 172.16.1.12 0.0.0.3 area 1

图4-1-2-c 路由器R1ospf配置

图4-1-2-c 路由器R2ospf配置

图4-1-2-c 路由器R3ospf配置

3) 汇聚层网络设计
a) Vlan配置
L3-1(config)#vlan 10 //创建vlan
L3-1(config-vlan)#vlan 20
L3-1(config-vlan)#vlan 30
L3-1(config-vlan)#vlan 40
L3-1(config-vlan)#vlan 50
L3-1(config-vlan)#vlan 60
L3-1(config-vlan)#vlan 100

图4-1-3-a L3-1创建vlan

图4-1-3-a L3-2创建vlan

b) 端口ip/Vlanip
L3-1(config)#interface GigabitEthernet 0/25 //进入接口
L3-1(config-if)#no switchport //关闭交换功能
L3-1(config-if)#ip address 172.16.1.14 255.255.255.252 //配置ip地址

图4-1-3-b L3-1gi0/25配置ip

图4-1-3-b L3-2gi0/25配置ip

L3-1(config)#interface vlan 10 //进入vlan 10
L3-1(config-if)#ip address 172.16.15.252 255.255.252.0 //配置ip地址

L3-1(config)#interface vlan 20
L3-1(config-if)#ip address 172.16.19.252 255.255.252.0

L3-1(config)#interface vlan 30
L3-1(config-if)#ip address 172.16.23.252 255.255.252.0

L3-1(config)#interface vlan 40
L3-1(config-if)#ip address 172.16.27.252 255.255.252.0

L3-1(config)#interface vlan 50
L3-1(config-if)#ip address 172.16.31.252 255.255.252.0

L3-1(config)#interface vlan 60
L3-1(config-if)#ip address 172.16.35.252 255.255.252.0

L3-1(config)#interface vlan 100
L3-1(config-if)#ip address 172.16.0.201 255.255.255.128

图4-1-3-b L3-1各vlan配置ip

图4-1-3-b L3-2各vlan配置ip

c) 管理ip配置
L3-1(config)#interface loopback 1 //进入环回接口
L3-1(config-if-Loopback 1)#ip address 172.16.0.5 255.255.255.255 //配置管理ip地址

图4-1-3-c L3-2配置管理ip

图4-1-3-c L3-2配置管理ip

d) DHCP中继
L3-1(config)#service dhcp //启动dhcp服务
L3-1(config)#ip helper-address 172.16.32.2 //指定dhcp中继转发的目标ip地址

图4-1-3-d L3-1DHCP中继配置

图4-1-3-d L3-2DHCP中继配置

e) MSTP配置
L3-1(config)#spanning-tree //启动生成树
L3-1(config)#spanning-tree mode mstp //设置生成树模式为多生成树mstp
L3-1(config)#spanning-tree mst configuration //进入生成树配置模式
L3-1(config-mst)#instance 1 vlan 10，20，60，100 //把vlan10，20，60，100添加到组1
L3-1(config-mst)#instance 2 vlan 30，20，50
L3-1(config)#spanning-tree mst 1 priority 4096 //设置组2优先级为4096，作为主

L3-1(config)#spanning-tree
L3-1(config)#spanning-tree mode mstp
L3-1(config)#spanning-tree mst configuration
L3-1(config-mst)#instance 1 vlan 10，20，60，100
L3-1(config-mst)#instance 2 vlan 30，20，50

图4-1-3-e L3-1mstp配置

图4-1-3-e L3-2mstp配置

图4-1-3-e L2-1mstp配置

图4-1-3-e L2-2mstp配置

f) 二层链路聚合
L3-1(config)#interface AggregatePort1 //创建组1
L3-1(config-if)#switchport mode trunk //设置组的模式为trunk
L3-1(config-if)#interface FastEthernet0/23 //进入三层交换机间互连接口
L3-1(config-if)#port-group 1 //把接口添加到组中
L3-1(config-if)#interface FastEthernet0/24
L3-1(config-if)#port-group 1

图4-1-3-f L3-1配置链路聚合

图4-1-3-f L3-2配置链路聚合

g) Vrrp配置
L3-1(config)#interface vlan 10 //进入vlan 10
L3-1(config-vlan)#vrrp 1 ip 172.16.15.254 //配置vrrp组1虚拟ip
L3-1(config-vlan)#vrrp 1 priority 101 //配置vrrp优先级
L3-1(config-vlan)#vrrp 1 preempt //配置抢占
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25 //设置跟踪的上行口

L3-1(config)#interface vlan 20
L3-1(config-vlan)#vrrp 1 ip 172.16.19.254
L3-1(config-vlan)#vrrp 1 priority 101
L3-1(config-vlan)#vrrp 1 preempt
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25

L3-1(config)#interface vlan 30
L3-1(config-vlan)#vrrp 1 ip 172.16.23.254
L3-1(config-vlan)#vrrp 1 preempt
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25

L3-1(config)#interface vlan 40
L3-1(config-vlan)#vrrp 1 ip 172.16.27.254
L3-1(config-vlan)#vrrp 1 preempt
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25

L3-1(config)#interface vlan 50
L3-1(config-vlan)#vrrp 1 ip 172.16.31.254
L3-1(config-vlan)#vrrp 1 preempt
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25

L3-1(config)#interface vlan 60
L3-1(config-vlan)#vrrp 1 ip 172.16.35.254
L3-1(config-vlan)#vrrp 1 priority 101
L3-1(config-vlan)#vrrp 1 preempt
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25

L3-1(config)#interface vlan 100
L3-1(config-vlan)#vrrp 1 ip 172.16.0.254
L3-1(config-vlan)#vrrp 1 priority 101
L3-1(config-vlan)#vrrp 1 track GigabitEthernet 0/25

图4-1-3-g L3-1配置vrrp

图4-1-3-g L3-2配置vrrp

h) Ospf配置
L3-1(config)#router ospf 1 //启动ospf进程号1
L3-1 (config-router)#network 172.16.0.4 0.0.0.0 area 1 //公布网段
L3-1(config-router)#network 172.16.0.128 0.0.0.127 area 1
L3-1(config-router)#network 172.16.1.12 0.0.0.3 area 1
L3-1(config-router)#network 172.16.12.0 0.0.3.255 area 1
L3-1(config-router)#network 172.16.16.0 0.0.3.255 area 1
L3-1(config-router)#network 172.16.20.0 0.0.3.255 area 1
L3-1(config-router)#network 172.16.24.0 0.0.3.255 area 1
L3-1(config-router)#network 172.16.28.0 0.0.3.255 area 1
L3-1(config-router)#network 172.16.32.0 0.0.3.255 area 1

图4-1-3-h L3-1配置ospf

图4-1-3-h L3-1配置ospf

4) 接入层网络设计
a) Vlan配置
L2-1(config)#vlan 10 //创建vlan
L2-1(config-vlan)#vlan 20
L2-1(config-vlan)#vlan 30
L2-1(config-vlan)#vlan 40
L2-1(config-vlan)#vlan 50
L2-1(config-vlan)#vlan 60
L2-1(config-vlan)#vlan 100

图4-1-4-a L2-1创建vlan

图4-1-4-a L2-2创建vlan

b) 管理ip配置
L2-1(config)#interface vlan100
L2-1(config-vlan)#ipaddress 172.16.0.204 255.255.255.128

图4-1-4-b L2-1配置管理ip

图4-1-4-b L2-2配置管理ip

2. 无线网络解决方案
1) 有线网络连接
dwxz-ap(config)#interface GigabitEternet 0/1 //进入物理接口gi0/1
dwxz-ap(config-if-GigabitEternet 0/1)#encapsulation dot1Q 50 //封装vlan50
dwxz-ap(config-if-GigabitEternet 0/1)#interface dot11 radio 1/0 //进入无线设备虚拟接口1/0
dwxz-ap(config-if-Dot11radio 0/1)#encaosulation dot1Q 50 //封装vlan50
dwxz-ap(config-if-Dot11radio 0/1)#mac-mode fat //设置ap模式为胖AP
dwxz-ap(config-if-Dot11radio 0/1)#chanel 11 //设置信道为11
dwxz-ap(config-if-Dot11radio 0/1)#wlan-id 1 //设置wlan-id是1
dwxz-ap(config-if-Dot11radio 0/1)#ip router 0.0.0.0 0.0.0.0 172.16.31.254
//配置默认路由

图4-2-1 无线网络的有线网络连接

2) 无线连接配置
dwxz-ap(config)#dot11 wlan 1 //创建wlan，协议为802.11
dwxz-ap(dot11-wlan-config)#vlan 50 //关联vlan50
dwxz-ap(dot11-wlan-config)#broadcast-ssid //广播ssid
dwxz-ap(dot11-wlan-config)#ssid dwxz.5 //ssid命名

图4-2-2无线网络的无线连接配置

3) 管理ip配置
dwxz-ap(config)#interface BVI 50 //进入BVI配置管理ip
dwxz-ap(config-if-BVI 50)#ip address 172.16.31.250 255.255.252.0

图4-2-3无线网络的BVI配置管ip

4) 无线安全

图4-2-4无线网络的无线安全配置

3. 数据中心解决方案（服务器搭建）
1) DHCP服务器
图4-3-1 DHCP地址池
图4-3-1 DHCP作用域

图4-3-1 DHCP地址租用
2) WEB服务器

图4-3-2 添加网站

图4-3-2 web浏览
3) FTP服务器

图4-3-3 ftp登陆

图4-3-3 ftp上传下载
4) DNS服务器

图4-4-4 正向查找区域
图4-4-4 反向查找区域

图4-4-4 条件转发器

5) Radius服务器

图4-4-5 Radius客户端配置

图4-4-5配置连接请求策略

图4-4-5创建用户和组

图4-4-5添加验证用户组

图4-4-5 认证成功

五、 网络安全设计
1. 骨干网安全
1) 二层冗余及负载均衡
MSTP(Multi-Service Transfer Platform)(基于SDH的多业务传送平台)是指基于SDH平台同时实现TDM、ATM、以太网等业务的接入、处理和传送，提供统一网管的多业务节点。
多生成树协议MSTP（Multiple Spanning Tree Protocol）是IEEE 802.1s中定义的一种新型生成树协议。简单说来，STP/RSTP是基于端口的，PVST＋是基于VLAN的，而MSTP是基于实例的。与STP/RSTP和PVST+相比，MSTP中引入了“实例”（Instance）和“域”(Region) “的概念。“实例”就是多个VLAN的一个集合，这种通过多个VLAN捆绑到一个实例中去的方法可以节省通信开销和资源占用率。

2) 三层冗余及负载均衡
虚拟路由冗余协议(Virtual Router Redundancy Protocol，简称VRRP)是由IETF提出的解决局域网中配置静态网关出现单点失效现象的路由协议，1998年已推出正式的RFC2338协议标准。VRRP广泛应用在边缘网络中，它的设计目标是支持特定情况下IP数据流量失败转移不会引起混乱，允许主机使用单路由器，以及及时在实际第一跳路由器使用失败的情形下仍能够维护路由器间的连通性。
监视上行端口ge0/25，当上行接口关闭，主动降低优先级。
图5-1 MSTP+VRRP
3) 路由冗余（OSPF）
OSPF(Open Shortest Path First开放式最短路径优先）是一个内部网关协议(Interior Gateway Protocol，简称IGP），用于在单一自治系统（autonomous system,AS）内决策路由。是对链路状态路由协议的一种实现，隶属内部网关协议（IGP），故运作于自治系统内部。

图5-1-3 开放式最短路径优先
4) ACL访问控制列表
L3-1(config)#access-list 1 deny 172.16.16.0 0.0.3.255 //创建访问控制列表拒绝172.16.16.0网段访问
L3-1(config)#access-list 1 deny 172.16.20.0 0.0.3.255
L3-1(config)#access-list 1 deny 172.16.24.0 0.0.3.255
L3-1(config)#access-list 1 deny 172.16.28.0 0.0.3.255
L3-1(config)#access-list 1 permit any
L3-1(config)#interface vlan 10
L3-1(config-vlan)#ip access-group 1 out //把访问控制列表应用到vlan10

L3-1(config)#access-list 2 deny 172.16.12.0 0.0.3.255
L3-1(config)#access-list 2 deny 172.16.20.0 0.0.3.255
L3-1(config)#access-list 2 deny 172.16.24.0 0.0.3.255
L3-1(config)#access-list 2 deny 172.16.28.0 0.0.3.255
L3-1(config)#access-list 2 permit any
L3-1(config)#interface vlan 20
L3-1(config-vlan)#ip access-group 2 out

L3-1(config)#access-list 3 deny 172.16.12.0 0.0.3.255
L3-1(config)#access-list 3 deny 172.16.16.0 0.0.3.255
L3-1(config)#access-list 3 deny 172.16.24.0 0.0.3.255
L3-1(config)#access-list 3 deny 172.16.28.0 0.0.3.255
L3-1(config)#access-list 3 permit any
L3-1(config)#interface vlan 30
L3-1(config-vlan)#ip access-group 3 out

L3-1(config)#access-list 4 deny 172.16.12.0 0.0.3.255
L3-1(config)#access-list 4 deny 172.16.16.0 0.0.3.255
L3-1(config)#access-list 4 deny 172.16.20.0 0.0.3.255
L3-1(config)#access-list 4 deny 172.16.28.0 0.0.3.255
L3-1(config)#access-list 4 permit any
L3-1(config)#interface vlan 40
L3-1(config-vlan)#ip access-group 4 out

L3-1(config)#access-list 5 deny 172.16.12.0 0.0.3.255
L3-1(config)#access-list 5 deny 172.16.16.0 0.0.3.255
L3-1(config)#access-list 5 deny 172.16.20.0 0.0.3.255
L3-1(config)#access-list 5 deny 172.16.24.0 0.0.3.255
L3-1(config)#access-list 5 permit any
L3-1(config)#interface vlan 50
L3-1(config-vlan)#ip access-group 5 out

图5-1-4 L3-1配置标准访问控制列表

图5-1-4 L3-2配置标准访问控制列表
2. 接入网安全
1) 802.1x
L2-1(config)#aaa new-model //启动aaa服务
L2-1(config)#aaa authentication dot1x default group radius //认证802.1x，启用默认列表default，采用radius认证方式
L2-1 (config)#dot1x authentication default //启用default列表应用
L2-1(config)#radius-server host 172.16.32.2 //配置radius服务器地址
L2-1(config)#radius-server key 123456 //设置交换机和服务器之间的密码
L2-1 (config)#dot1x auth-mode chap //身份验证的加密方式改为chap
L2-1 (config)#interface range fa0/1 - 22 //进入交换机的下行接口
L2-1 (config-if)#dot1x port-control auto //在端口启用802.1x

图5-2-1 L2-1802.1x配置

图5-2-1 L2-1802.1x配置

2) DHCP snooping
L3-1(config)#ipdhcp snooping //配置dhcp中继
L3-1(config)#iinterfacefastEternet 0/1
L3-1(config-if)#ip dhcp snooping trust //接口启动dhcp中继
L3-1(config)#iinterfacefastEternet 0/2
L3-1(config-if)#ip dhcp snooping trust

图5-2-2 L3-1dhcp snooping配置

图5-2-2 L3-2接口dhcp snooping配置

3) Spanning-tree portfast
L3-1(config)#interface fa0/3
L3-1(config-if)#spanning-tree portfast
L3-1(config)#interface fa0/4
L3-1(config-if)#spanning-tree portfast

图5-2-3 L3-1接口Spanning-tree portfast配置

图5-2-3 L3-2接口 Spanning-tree portfast配置

3. 出口安全
1) 防火墙基础配置
a) Web登陆
b) 端口ip
2) 防火墙NAT配置

图5-3-2 定义nat地址池

图5-3-2 安全规则中应用nat的源和目标

3) 防火墙ip映射配置

图5-3-3 外网端口添加IP地址

图5-3-3 安全规则中应用ip映射的源和目标

4) 防火墙IPSec配置

图5-3-4 基本配置

图5-3-4 对端端点定义

图5-3-4 本端连接定义

图5-3-4 本端网关到对端网关的ike包允许通行

图5-3-4 对端网关到本端网关的ike包允许通行

图5-3-4 本端到对端的包过滤定义启用vpn隧道连接

图5-3-4 对端到本端的包过滤定义启用vpn隧道连接

5) 防火墙Qos配置

图5-3-5 定义流量

图5-3-5 应用定义的流到服务器

六、 项目验收

图6-1 实验成果图

图6-2 项目验收表

七、 项目总结
在本次项目中，大家都积极参与认真完成布置的任务，虽然有十分多的不足之处，当然也在其中积累了一定的经验。
1. 无论是什么协议只要在多台设备中运行，那么就必须保证设备之间的互通，vrrp和mstp本身运行可能要借助多个vlan所以，在交换机互联的端口使用trunk模式是最好的选择;当然如果是在需要通过IP互联的设备那么就要给它设置管理ip和网关；三层交换机和路由器尽量使用loopback接口管理，二层交换机最好采用管理vlan进行管理，以方便管理和保证安全
2. 交换机在启用AAA协议以后telnet本身自带的密码将不起作用，要在全局模式下添加username和password。
3. 通过ACL进行限制时，一定要清楚每一个端口或者vlan都是一道进房子的大门；在端口或者vlan中配置in，就是对这道大门进来的人进行检查，out就是对出去的人进行检查：标准访问控制列表只控制源地址；
4. 在ospf搭建以前要确保每个互联接口通信和网段对应。
5. 802.1x认证中保证两端的认证方法是必要的
6. 在需求分析中尽可能的了解客户的需求，才不会在后期不断的推翻重做。
7. 组网规范和设备选型靠的就是对通信流量的分析，虽然通信流量分析很麻烦但还是要做好的。