《网络工程与应用课程设计范本.docx》由会员分享，可在线阅读，更多相关《网络工程与应用课程设计范本.docx（42页珍藏版）》请在三一办公上搜索。
1、武汉软件工程职业学院目录一、项目概况31.校园工程区建筑结构图:32.建筑网络范围:33. 信息楼五楼概要设计布图4二、概要设计41. 网络拓扑结构图如下：42.综合布线系统设计方案43. IP地址规划方案5(1)参照校园网拓朴图5(2)IP地址分配总则，54配置：7三、web服务器29四、群集服务配置32一、项目概况1.校园工程区建筑结构图:2.建筑网络范围:武汉软件工程职业学院是学院地处“国家自主创新示范区”武汉市东湖高新技术开发区，即“武汉中国光谷”腹地，环境优美，设施优良。占地面积1200余亩，建筑面积40余万平方米，3. 信息楼五楼概要设计布图二、概要设计 1. 网络拓扑结构图如下：
2、 2.综合布线系统设计方案信息插座到终端设备这个区域称为工作区子系统。它包括有连接软线、适配器和其他电子器件。由于工作区子系统的设计与用户的终端设备有关。本设计中工作区子系统为数据的应用，暂定为N信息点，信息点分布情况暂为学校供的预计数量，施工按实际情况定，信息点数见下表：建筑物网络综合布线信息点数量统计表常用表格建筑物网络和语音信息点数统计表房间或者区域编号楼层编号501502503504505506507508509510511512513514数据点数合计语音点数合计信息点数合计数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语音数据语
3、音第5层222222222222222800000000 0 000000合计28注：教室信息点2个 办公室信息点4个 机房信息点2个 实验室信息点4个3. IP地址规划方案(1)参照校园网拓朴图(2)IP地址分配总则：1：R4是internet路由器，不能对其做任何路由配置，R4上启用PPPOE拨号，外部办公人员使用PC0拨号上网，然后拨号总部EZVPN server对内部网络做网管2：R1，R2，SW1,ASA之间运行OSPF，ASA使用默认路由指向internet，保证全网的连通性。3：ASA防火墙连接internet，在ASA上做NAT，使得内部能够访问internet，保证DMZ的H
4、TTP server192.168.100.80 能够正常对外提供访问，所以需要对它做静态NAT，外部地址为202.100.1.2004：R2和SW1上做单臂路由和HSRP 的负载均衡，vlan 2 的流量走R2，网关为172.16.12.100；vlan 3 的流量走SW1，网关为172.16.13.100.并且开启链路追踪5：SW2 和SW3 之间的链路做冗余备份并且保证负载均衡6：R1 是DHCP 服务器，为内部用户分配IP地址。内部WEB服务器使用固定IP172.16.12.17：为了防止ARP攻击，接入交换机SW2,SW3上需要做DHCP SNOOPING 和DAI1：R4是inte
5、rnet路由器，不能对其做任何路由配置，R4上启用PPPOE拨号，外部办公人员使用PC0拨号上网，然后拨号总部EZVPN server对内部网络做网管2：R1，R2，SW1,ASA之间运行OSPF，ASA使用默认路由指向internet，保证全网的连通性。3：ASA防火墙连接internet，在ASA上做NAT，使得内部能够访问internet，保证DMZ的HTTP server192.168.100.80 能够正常对外提供访问，所以需要对它做静态NAT，外部地址为202.100.1.2004：R2和SW1上做单臂路由和HSRP 的负载均衡，vlan 2 的流量走R2，网关为172.16.12
6、.100；vlan 3 的流量走SW1，网关为172.16.13.100.并且开启链路追踪5：SW2 和SW3 之间的链路做冗余备份并且保证负载均衡6：R1 是DHCP 服务器，为内部用户分配IP地址。内部WEB服务器使用固定IP172.16.12.17：为了防止ARP攻击，接入交换机SW2,SW3上需要做DHCP SNOOPING 和DAI8：R1作为EZVPN server，方便外部移动办公人员拨号EZVPN 对内部做网管，EZVPN 的地址池为172.16.1.1-172.16.1.1009：.考虑到内部服务器172.16.12.1作为公司的私有WEB服务器，主要是用于对内提供服务，对于
7、internet的访问需要通过认证以后才能提供正常访问。10：为了防止DDOS攻击,限定外部用户对于内部的HTTP服务器的访问最大连接数不能超过1000，最大半打开连接数不能超过500，对于HTTP1服务器的最大半打开不能超过100个.当外部用户到达内部的连接时间超过10分钟的时候防火墙自动清除连接，并且在最短时间内，尽快清除死亡连接。11：对于内部用户到taobao网的访问，必须严厉禁止。12：公司分部可能需要对内部的WEB服务器进行访问，所以R1和R3之间建立L2L 的IPSec vpn，允许分部访问内部的WEB服务器172.16.12.18：R1作为EZVPN server，方便外部移动
8、办公人员拨号EZVPN 对内部做网管，EZVPN 的地址池为172.16.1.1-172.16.1.1009：.考虑到内部服务器172.16.12.1作为公司的私有WEB服务器，主要是用于对内提供服务，对于internet的访问需要通过认证以后才能提供正常访问。10：为了防止DDOS攻击,限定外部用户对于内部的HTTP服务器的访问最大连接数不能超过1000，最大半打开连接数不能超过500，对于HTTP1服务器的最大半打开不能超过100个.当外部用户到达内部的连接时间超过10分钟的时候防火墙自动清除连接，并且在最短时间内，尽快清除死亡连接。11：对于内部用户到taobao网的访问，必须严厉禁止。
9、12：公司分部可能需要对内部的WEB服务器进行访问，所以R1和R3之间建立L2L 的IPSec vpn，允许分部访问内部的WEB服务器172.16.12.1通过以上网络架构，我们可以进行以下校园网划分：4配置：1：IP配置R1(config)#int e0/0R1(config-if)#ip add 192.168.12.1 255.255.255.0R1(config-if)#no shuR1(config-if)#exitR1(config)#int e0/1R1(config-if)#ip add 192.168.13.1 255.255.255.0R1(config-if)#no sh
10、R1(config-if)#exitR1(config)#int e0/2R1(config-if)#ip add 10.1.1.1 255.255.255.0R1(config-if)#no shR1(config-if)#exitR2(config)#int e0/0R2(config-if)#ip add 192.168.12.2 255.255.255.0R2(config-if)#no shutdown R2(config-if)#exitR2(config)#int e0/1R2(config-if)#no shutdown R2(config-if)#exitR2(config)
11、#int e0/1.2R2(config-subif)#encapsulation dot 2R2(config-subif)#ip add 172.16.12.100 255.255.255.0R2(config-subif)#no shR2(config-subif)#exitR2(config)#int e0/1.3R2(config-subif)#en dot 3R2(config-subif)#ip add 172.16.13.100 255.255.255.0R2(config-subif)#no shuR2(config-subif)#exitSW1(config)#int f0
12、/1SW1(config-if)#no switchport SW1(config-if)#ip add 192.168.13.3 255.255.255.0SW1(config-if)#no shSW1(config-if)#exitSW1(config)#int f0/2 SW1(config-if)#sw tr en dotSW1(config-if)#sw mo trSW1(config-if)#no shSW1(config-if)#exitSW1(config)#int vlan 2SW1(config-if)#ip add 172.16.12.100 255.255.255.0S
13、W1(config-if)#exitSW1(config)#int vlan 3SW1(config-if)#ip add 172.16.13.100 255.255.255.0SW1(config-if)#exit R4(config)#int e0/0R4(config-if)#ip add 202.100.1.1 255.255.255.0R4(config-if)#no shuR4(config-if)#exitR4(config)#int e0/1R4(config-if)#ip add 202.102.1.1 255.255.255.0R4(config-if)#no shuR4(
14、config-if)#exitR4(config)#int e0/2R4(config-if)#ip add 202.103.1.1 255.255.255.0R4(config-if)#no shuR4(config-if)#exitciscoasa(config)# int g0ciscoasa(config-if)# nameif insideINFO: Security level for inside set to 100 by default.ciscoasa(config-if)# ip add 10.1.1.100 255.255.255.0ciscoasa(config-if
15、)# no shuciscoasa(config-if)# exitciscoasa(config)# int g1ciscoasa(config-if)# nameif outsideINFO: Security level for outside set to 0 by default.ciscoasa(config-if)# ip add 202.100.1.100 255.255.255.0ciscoasa(config-if)# no shuciscoasa(config-if)# exitciscoasa(config)# int g2ciscoasa(config-if)# na
16、meif dmzINFO: Security level for dmz set to 0 by default.ciscoasa(config-if)# security-level 50ciscoasa(config-if)# ip add 192.168.100.100 255.255.255.0ciscoasa(config-if)# no shuciscoasa(config-if)# exit2：配置OSPF R1(config)#router ospf 1R1(config-router)#net 192.168.12.0 0.0.0.255 area 0R1(config-ro
17、uter)#net 192.168.13.0 0.0.0.255 area 0R1(config-router)#net 10.1.1.0 0.0.0.255 area 0R1(config-router)#exitR2(config)#router ospf 1R2(config-router)#net 192.168.12.0 0.0.0.255 area 0R2(config-router)#net 172.16.12.0 0.0.0.255 area 0R2(config-router)#net 172.16.13.0 0.0.0.255 area 0R2(config-router)
18、#exitSW1(config)#ip routing SW1(config)#router ospf 1SW1(config-router)#net 192.168.13.0 0.0.0.255 area 0SW1(config-router)#net 172.16.12.0 0.0.0.255 area 0SW1(config-router)#net 172.16.13.0 0.0.0.255 area 0SW1(config-router)#exitciscoasa(config)# router ospf 1ciscoasa(config-router)# net 10.1.1.0 2
19、55.255.255.0 area 0ciscoasa(config-router)# default-information originate alwaysciscoasa(config-router)# exit配置完成以后在R1上查看邻居关系R1#sh ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface202.100.1.100 1 FULL/BDR 00:00:39 10.1.1.100 Ethernet0/2192.168.13.3 1 FULL/BDR 00:00:37 192.168.13.3 E
20、thernet0/1192.168.12.2 1 FULL/BDR 00:00:33 192.168.12.2 Ethernet0/0OSPF 邻居已经全部建立在ASA上添加默认路由ciscoasa(config)# route outside 0 0 202.100.1.13：在ASA上做NAT，让内网可以访问internet，并且使内部服务器正常对外提供访问ciscoasa(config)# object network inside_userciscoasa(config-network-object)# range 172.16.12.1 172.16.13.255ciscoasa(c
21、onfig-network-object)# nat (inside,outside) dynamic interface ciscoasa(config-network-object)# exit在ASA上放行ICMP 流量方便测试ciscoasa(config)# access-list outacl permit icmp any anyciscoasa(config)# access-group outacl in interface outside在R2上测试连通性R2#ping 202.100.1.1 source 172.16.12.100Type escape sequence
22、 to abort.Sending 5, 100-byte ICMP Echos to 202.100.1.1, timeout is 2 seconds:Packet sent with a source address of 172.16.12.100 !Success rate is 100 percent (5/5), round-trip min/avg/max = 12/53/76 ms内部已经能够正常访问internet下面为内部HTTP做静态NATciscoasa(config)# object network global_httpciscoasa(config-networ
23、k-object)# host 202.100.1.200ciscoasa(config-network-object)# exitciscoasa(config)# object network httpciscoasa(config-network-object)# host 192.168.100.80ciscoasa(config-network-object)# nat (dmz,outside) static global_httpciscoasa(config-network-object)# exit做好以后在HTTP上测试连通性4：在R1上配置DHCP server，R2和S
24、W1启用DHCP relay，保证内部PC可以获得IP地址R1(config)#service dhcpR1(config)#ip dhcp pool vlan2R1(dhcp-config)#network 172.16.12.0 255.255.255.0R1(dhcp-config)#default-router 172.16.12.100R1(dhcp-config)#exitR1(config)#ip dhcp pool vlan3R1(dhcp-config)#network 172.16.13.0 255.255.255.0R1(dhcp-config)#default-rout
25、er 172.16.13.100R1(dhcp-config)#exitR2(config)#int e0/1.2R2(config-subif)#ip helper-address 192.168.12.1R2(config-subif)#exitR2(config)#int e0/1.3 R2(config-subif)#ip helper-address 192.168.12.1R2(config-subif)#exitSW1(config)#int vlan 2SW1(config-if)#ip helper-address 192.168.13.1SW1(config-if)#exi
26、tSW1(config)#int vlan 3 SW1(config-if)#ip helper-address 192.168.13.1SW1(config-if)#exit内部服务器使用固定的IP地址WEB_SERVER(config)#int e0/0WEB_SERVER(config-if)#ip add 172.16.12.1 255.255.255.0WEB_SERVER(config-if)#no shuWEB_SERVER(config-if)#exitWEB_SERVER(config)#no ip routingWEB_SERVER(config)#ip deWEB_SER
27、VER(config)#ip default-gWEB_SERVER(config)#ip default-gateway 172.16.12.100PC(config)#int e0/0PC(config-if)#ip add dhcp PC(config-if)#no shutdown PC(config-if)#exitPC(config)#no ip routingPC#sh ip itn b*Mar 1 00:38:36.331: %SYS-5-CONFIG_I: Configured from console by consolePC#sh ip int b Interface I
28、P-Address OK? Method Status ProtocolEthernet0/0 172.16.13.1 YES DHCP up up PC已经通过DHCP获得地址5：HSRP负载均衡R2(config)#int e0/1.2 R2(config-subif)#standby 1 preempt R2(config-subif)#standby 1 ip 172.16.12.100R2(config-subif)#standby 1 priority 200R2(config-subif)#standby 1 track e0/0 120R2(config-subif)#exit
29、R2(config)#int e0/1.3R2(config-subif)#standby 2 preemptR2(config-subif)#standby 2 ip 172.16.13.100SW1(config)#int vlan 2SW1(config-if)#standby 1 preempt SW1(config-if)#standby 1 ip 172.16.12.100SW1(config-if)#exitSW1(config)#int vlan 3SW1(config-if)#standby 2 preempt SW1(config-if)#standby 2 ip 172.
30、16.13.100 SW1(config-if)#standby 2 priority 200SW1(config-if)#standby 2 track f0/1 120SW1(config-if)#exit配置完成后检查状态是否正常R2#sh standby brief P indicates configured to preempt. |Interface Grp Prio P State Active Standby Virtual IP Et0/1.2 1 200 P Active local 172.16.12.13 172.16.12.100 Et0/1.3 2 100 P S
31、tandby 172.16.13.13 local 172.16.13.100 SW1#sh standby brief P indicates configured to preempt. |Interface Grp Prio P State Active Standby Virtual IP Vl2 1 100 P Standby 172.16.12.12 local 172.16.12.100 Vl3 2 200 P Active local 172.16.13.12 172.16.13.100 6：SW2 和SW3 之间的链路做冗余备份并且保证负载均衡SW2(config)#span
32、ning-tree vlan 2 root primary SW2(config)#spanning-tree vlan 3 root secondary SW3(config)#spanning-tree vlan 2 root secondary SW3(config)#spanning-tree vlan 3 root primary7：SW2,SW3上做DHCP SNOOPING 和DAISW2Ip dhcp snoopingIp dhcp snooping database werite-relay 15Ip dhcp snooping database flash:/snoop1.
33、dbIp dhcp snooping vlan 2Ip dhcp snooping vlan 3Int r f0/1 -4Ip dhcp snooping trust 所有trunk配置为trust，允许转发DHCP 的请求和回复Int r f0/12 -13Ip dhcp snooping limit rate 5 对access接口做DHCP 请求的限速，防止DHCP 的DDOS攻击由于内部WEB服务器使用的是静态IP，所以需要ARP ACL来放行服务器的流量Arp access-list arp_acl permit ip 172.16.12.1 mac 0002.0002.0002Ip
34、 arp inspection filter arp_acl vlan 2Ip arp inspection vlan 2Ip arp inspection vlan 3Int r f0/1 - 4Ip arp inspection trust 所有trunk配置为trustSW3Ip dhcp snoopingIp dhcp snooping database werite-relay 15Ip dhcp snooping database flash:/snoop1.dbIp dhcp snooping vlan 2Ip dhcp snooping vlan 3Int r f0/3 -4I
35、p dhcp snooping trust 所有trunk配置为trust，允许转发DHCP 的请求和回复Int r f0/12 -13Ip dhcp snooping limit rate 5 Ip arp inspection vlan 2Ip arp inspection vlan 3Int r f0/1 - 4Ip arp inspection trust 8: R4 配置为PPPOE的server，外部移动办公人员使用PPPOE拨号上网R4(config)#vpdn enable R4(config)#vpdn-group ADSLR4(config-vpdn)#accept-dia
36、lin R4(config-vpdn-acc-in)#protocol pppoe R4(config-vpdn-acc-in)#exiR4(config-vpdn)#bba-group pppoe globalR4(config-bba-group)#virtual-template 1R4(config-bba-group)#exitR4(config)#int virtual-template 1R4(config-if)# ip unnumbered e0/3R4(config-if)#encapsulation pppR4(config-if)#ppp authentication
37、pap R4(config-if)#peer default ip address pool poolR4(config-if)#exitR4(config)#ip local pool pool 123.1.1.1 123.1.1.100R4(config)#username cisco password ciscoR4(config)#int e0/3R4(config-if)#pppoe enable R4(config-if)#exit配置完成以后在PC上测试是否能够正常拨号PPPOE添加新的网络连接点击连接已经成功拨号了。9：R1配置为EZVPN serverR1(config)#a
38、aa new-model R1(config)#aaa authentication login nocon none R1(config)#line console 0R1(config-line)#login authentication noconR1(config-line)#exitR1(config)#aaa authentication login ezvon localR1(config)#aaa authorization network ezvpn local R1(config)#username cisco password ciscoR1(config)#crypto
39、 isakmp policy 10R1(config-isakmp)#authentication pre-share R1(config-isakmp)#encryption 3des R1(config-isakmp)#hash sha R1(config-isakmp)#group 2R1(config-isakmp)#exitR1(config)#crypto isakmp client configuration group ezvpngroupR1(config-isakmp-group)#acl 101 定义分离隧道R1(config-isakmp-group)#key cisc
40、o123R1(config-isakmp-group)#pool poolR1(config-isakmp-group)#exitR1(config)#access-list 101 permit ip 172.16.12.0 0.0.0.255 anyR1(config)#access-list 101 permit ip 172.16.13.0 0.0.0.255 any 到总部内网的流量走VPN，其他流量正常走internetR1(config)#ip local pool pool 172.16.1.1 172.16.1.100R1(config)#crypto ipsec trans
41、form-set myset esp-3des esp-sha-hmac R1(cfg-crypto-trans)#exitR1(config)#crypto dynamic-map dmap 10R1(config-crypto-map)#set transform-set mysetR1(config-crypto-map)#reverse-route 开启反向路由注入R1(config-crypto-map)#exitR1(config)#crypto map map isakmp authorization list ezvpnR1(config)#crypto map map cli
42、ent configuration address respond R1(config)#crypto map map client authentication list ezvpn R1(config)#int e0/3R1(config-if)#cryR1(config-if)#crypto map map R1(config-if)#exit现在EZVPN已经配置完成了，但是外部想要拨号进来的话需要在防火墙上放行UDP 500 和UDP 4500，而且还需要在ASA上对R1 的e0/3地址做静态NATciscoasa(config)# object network global_ezv
43、pnciscoasa(config-network-object)# host 202.100.1.101ciscoasa(config-network-object)# exitciscoasa(config)# object network ezvpnciscoasa(config-network-object)# host 10.1.1.1ciscoasa(config-network-object)# nat (inside,outside) static global_ezvpnciscoasa(config-network-object)# exitciscoasa(config)# access-list outacl permit udp any host 10.1.1.1 eq 500ciscoasa(config)# access-list outacl permit udp any host 10.1.1.1 eq 4500在PC上装好EZVPN 的client后拨号这里提示输入用户名和密码说明已经没有问题了已经成功拨号ezvpn，并且分离隧道也已经做好了，可以在PC上测试可以正常访问internet公司内网服务器也可以访问了10：对访问公司内网的WEB
