網絡模擬實驗系統的設計及實現畢業論文-文庫吧

【正文】 司路由器的負荷，保安部的IP地址，由分公司路由器提供進行自動分配。 。 總公司與分公司間網絡通信功能需求 ，為了公司內部的資源安全，它們相互通信的鏈路需要認證、加密。 ，總公司后勤部只能訪問分公司服務器的HTTP服務。 總公司與廣域網間通信功能需求 ，由于保安部與后勤部只處理總公司內部一些生活上的事務，禁止保安部與后勤部訪問互聯網上資源。 ，公司邊緣路由器接入互聯網的端口可以由網通供應商自動為其分配IP地址。 總公司與合作伙伴間通信功能需求 總公司與其合作伙伴之間在廣域網上進行互相通信，在通信時希望獲得低網絡時延、低設備費用、高帶寬利用率以及點對點通信等優勢。 總公司與出差人員間通信功能需求 公司內部人員在出差時，也能訪問到總公司內部的服務器，以獲得公司的相關信息，方便自己在外辦公。 總公司內部局域網間通信技術需求 ，將總公司分為四個部門，即銷售部、研發部、后勤部、保安部，每一個部門劃分為一個VLAN；各VLAN間實現相互通信的功能。本設計使用三層路由交換技術方便、簡單的實現了該功能，因為三層交換機，既擁有二層交換機劃分不同VLAN的功能，而且擁有路由的功能，能夠使得不通VLAN間相互通信。 ，這里應用了DHCP（動態主機設置協議）協議，當某個部門增添新設備后，不需要網絡管理員手動設置，該設備就能自動獲得IP地址，實現網絡通信，而且DHCP避免了手動配置IP出現的不同設備IP地址重復的問題。 （TELNET）控制技術來實現網管中心對總公司核心層交換機的控制，網管中心遠程控制核心層交換機而實現對總公司內部局域網的控制。 總公司與分公司間網絡通信技術需求 （開放式最短路徑優先）協議，實現了公司與分公司之間網絡通信，為了總公司與分公司的通信安全，它們之間網絡通信的鏈路封裝了PPP協議，且PPP協議采用chap認證機制。 ，分公司核心路由器為為總公司的保安部動態提供IP地址， 由于總公司保安部設備和其DHCP服務器不在同一廣播域內，因此需要中間路由器，作為中繼來實現這一功能，這里應用了DHCP+IP Helperaddress技術來實現。 ，僅允許總公司后勤部的設備以HTTP的方式訪問其服務器，這里應用了ACL技術，僅允許后勤部網段通過80端口訪問服務器，來實現這一功能。 總公司與廣域網間通信技術需求 ，而公司內部網絡使用的是內部私有的IP地址，而私有的網絡是不可以與廣域網上的設備直接相通信的，因此公司內部網絡與廣域網通信時，需要將私有的IP地址轉換為公有的IP地址，才能實現公司專用網與廣域網的連通，這里應用了NAT（網絡地址轉換）技術實現了這一功能。 ，為實現禁止保安部與后勤部訪問互聯網上資源的功能，需要應用ACL（訪問控制列表）技術，它可以過濾網絡中的流量，允許控制列表中的網絡設備（根據其IP地址）與外網之間實現通信，而阻止其他設備與外網相互通信。 （網通）為總公司邊緣路由器（用于連接廣域網）與外網連接的端口提供IP地址，為了方便總公司與網絡提供商的網絡配置，這里網通路由器開啟DHCP協議，使得緣路由器與外網連接的端口可以自動獲得IP地址。 總公司與合作伙伴間通信技術需求 為實現總公司與其合作伙伴的高質量的點對點通信，在他們之間建立了高性能的虛擬廣域網連接，這里應用了幀中繼技術，并在其上封裝了點對點協議。 總公司與出差人員間通信技術需求 為了方便公司員工在外地辦公時，依然能夠訪問總公司的服務器，本設計應用了VPN（虛擬專用網絡）來實現這一功能。第3章 網絡模擬實驗工程技術及原理概述 網絡系統對網絡通信的安全性有著十分高的要求。雖然計算機系統本身具有一定的安防措施，但是網絡系統的安全防范仍然是整個網絡系統安全性中一道重要的關卡。 局域網內的交換機應當能夠對公司內部網絡進行虛擬網劃分和鏈路層網絡管理，把實際地理位置上分散而邏輯上緊密相關的站點劃入同一虛擬網，從而實現不相關網絡的邏輯隔離是網絡安全性的重要保證。因此，我們在網絡方案施工過程中選用的網絡設備應該具有包括物理層、網絡層、應用層等多個層次實現安全管理的能力，從而避免發生在同一虛擬網內以及虛擬網之間互聯點上的非法侵犯。本網絡工程方案涉及到的網絡通信安全協議與數據加密技術有：1. 總公司內部局域網與分公司網絡連接鏈路采用PPP封裝CHAP認證機制協議。CHAP協議是PPP（點對點協議）詢問握手認證協議。它對對端身份的校驗是通過三次握手機制周期性的檢驗，其完成是在鏈路建立初期。通過不斷增長變化的標識符和可變的詢問數值結果，可避免來自惡意端點的欺騙性攻擊。從而保證了總公司與分公司之間網絡通信的安全性。2. 在總公司接入互聯網，總公司與分公司以及總公司與出差人員之間的通信中都應用到了訪問控制列表（Access Control List，ACL）網絡安全技術。ACL是交換機與路由器接口的指令表，用來對相關端口數據包的進出進行控制。ACL可以用于所有的路由協議，例如AppleTalk、IP等。相關的匹配關系、條件和查詢語句都包含在這張表中，表是一種基本框架結構，它的作用是控制某種網絡資源訪問。為了確保公司內部網絡的安全性，需要通過相關安全機制來保證沒有授權的用戶只能訪問特定的網絡資源，從而實現對訪問進行控制的功能。ACL還可以過濾網絡通信過程中的流量，這是一種控制訪問的網絡技術手段。應用ACL技術給公司不同部門設置不同的網絡訪問權限更加有效的保證了公司內部資料的安全性。 ：IKE協議、IPSec協議、3DES加密算法、MD5算法。 IKE協議是因特網密鑰交換協議，它能夠解決在復雜的網絡環境中十分安全地建立或更新共享密鑰的問題。這是一種混合型協議，主要是由密鑰管理協議（ISAKMP）和Internet安全關聯以及SKEME與OAKLEY兩種密鑰交換協議構成。IKE創建在由ISAKMP定義的框架上，使用了密鑰更新和SKEME的共享技術以及OAKLEY的密鑰交換模式。 IPSec全稱是Internet協議安全性（Internet Protocol Security），它通過使用加密的安全服務以確保在 Internet 協議 (IP) 網絡上進行保密而安全的通訊，而且是一種開放標準的框架結構。它為了防止Internet與專用網絡的攻擊，采用端對端的安全性來提供對主動的保護。在通信過程中，只有收發兩方才能而且必須了解 IPSec 保護的計算機。 3DES是三重數據加密算法（TDEA，Triple Data Encryption Algorithm）塊密碼的統稱。它的本質就是將DES加密算法分別三次應用于每個要發送的數據塊，使用的是對稱密鑰加密法算法。它是DES向AES過渡的加密算法，相對于DES，3DES的加密安全性更加可靠，以DES為基本模塊，通過組合分組方法設計出分組加密算法。 MD5是一種散列函數，它廣泛應用于計算機安全領域，它的功能是提供消息的完整性保護，它的作用是讓大容量信息在用數字簽名軟件簽署私人密鑰前被壓縮成一種保密的格式。 計算機網絡系統采用現代交換原理，它促使虛擬網技術的應用在全球范圍內快速猛增。按照網絡區域的不同分布對全網實施虛擬網劃分，這是提高網絡安全性、增強網絡性能、加強網絡管理、隔離網絡故障的有效措施。 但是如果虛擬網的應用僅僅局限于局部網絡或單個交換機內部，經過網絡劃分后，整個網絡工程系統將成為一塊塊支離破碎的盲區。所以總公司選用的網絡核心層交換機應具備跨越分支和主干自由地在全網范圍內進行劃分虛擬網的功能，而且所有網絡設備的虛擬網劃分功能應當基于IEEE 。 網絡通信中的大部分數據流量不再局限于各子網內部，這是Internet/Intranet的相關計算方式對各公司廣域網計算機網絡系統的另一個重大考驗。網絡通信大多是跨越子網邊界訪問，它對網絡中相關設備處理子網間路由的能力要求非常高。傳統路由器以軟件方式進行路由操作，這種操作方式產生的傳輸延遲是交換機產生的幾十倍，而且當網絡負載變化時，延遲時間會隨之有很大變化，這很不利于多媒體的傳輸；由于采用價格昂貴的高性能處理器和大量高速內存而導致性能價格比非常低，無法進一步對吞吐量進行提高。 如今局域網主干上增加了許多的路由任務，以往路由器的吞吐量已經不能滿足當前的網絡需求，而過大的延遲又不能適應語音通信、多媒體視頻的服務質量需求，使用具有網絡層功能的交換機替代路由器實現低延遲、大容量的路由即第三層交換已勢在必行。各公司廣域網應選用具有硬件實現的第三層交換能力的網絡交換機（本設計選用的是356024ps型三層交換機）用來滿足不斷增長的子網間通信需求，同時實現多媒體通信所要求的低延遲和延遲量的穩定性。為了使網絡服務更好地支持不同應用的服務質量需求，應當考慮采用能夠根據不同應用區別處理的具有應用認知功能的緩存設備和具有第四層智能的第二代多層交換機作為網絡主干設備，從而更有效地利用寶貴的網絡資源。 Internet/Intranet計算是網絡計算進一步發展的總體趨勢，它需要適應應用技術發展的需求，這不僅要求主干交換機，而且配線間工作組交換機也應選擇具備第三層交換能