計算機網絡與安全實踐課程設計-實驗室局域網建設方案(編輯修改稿)

　

【文章內容簡介】 于擴展和/或代替原來的技術。實驗室局域網的設計可以借鑒這種思想，對各種不同種類，不同安全等級的業務進行模塊劃分，相互之間的訪問將受到控制。對于實驗室局域網絡，我們采用業界通用“核心層匯聚層接入層”層次化網絡設計模型。216。 核心層：核心層的主要提供不同網絡模塊之間優化傳輸服務，將分組盡可能快地從一個網絡傳到另一個網絡，通常要保證核心層具有很高的可靠性、最佳的網絡性能。匯聚層到核心層要具備冗余傳輸鏈路，任何單條鏈路斷連不影響網絡的可用性。作為所有網絡流量的傳輸中樞，核心層除了要求高性能交換設備和高帶寬傳輸鏈路外，還需考慮選用支持負載均衡或負載分擔特性的設備實現負荷均衡。此外，為了避免網元故障對網絡造成沖擊，需要網絡采用支持快速聚合的特性，一旦主用通路斷開，可以很快的切換到備用通路。216。 匯聚層匯聚層顧名思義就是作為訪問層到骨干層的匯聚，通常為訪問層與骨干層實現基于策略的網絡間連接。匯聚層主要由三層交換機組成，提供對網絡流量模式控制、服務訪問控制、QoS、定義路由路徑度量和路由協議網絡通告控制。216。 接入層接入層作為各模塊到交換骨干的連接，根據不同模塊進行邏輯子網劃分，并通過 VLAN技術實現子網之間的隔離。訪問層主要功能在于隔離模塊間的廣播流量，避免不同模塊之間相互影響。訪問層主要通過二層交換機組成。“核心層匯聚層訪問層”網絡設計模型有如下優點： u 高可擴展性 － 遵循層次化模型網絡比扁平式網絡更具有伸縮性和可管理性，因為各功能網絡通過模塊化實現，潛在問題更易于識別。 u 易于實施 － 每一層的功能性清晰劃分，簡化每一層的實現。 u 易于故障排除 － 每一層的功能經過良好定義，網絡更為簡單，有助于故障的隔離。模塊化設計也有效限制故障影響范圍。 u 易于規劃和管理 － 層次化的功能劃分，整個網絡規劃和管理更為簡單。 網絡拓撲圖第 32 頁 方案的說明實驗室局域網絡系統從結構上分為核心層、匯聚層和接入層。核心層的功能主要是實現骨干網絡之間的優化傳輸,骨干層設計任務的重點通常是冗余能力、可靠性和高速的傳輸。因存在大量的語音和視頻傳輸。據此，考慮匯聚層對 QoS 有良好的支持并且能提供大的帶寬。接入層設備是最終用戶的最直接上聯的設備，它應該具備即插即用特性以及易于維護的特點。根據學校建設要求與總體目標，骨干網采用三層結構，由核心層，匯聚層和接入層構成。在接入層面，通過定義相應的訪問策略，實現訪問控制，內外隔離和抭 IP 地址。在網絡結構上，采用成熟的千兆以太網技術(第三層交換)作為核心層，呈網狀拓撲結構。以 TCP/IP 協議為主，并輔以 IP/SPX. NETTEUI 等其他流行通信協議堅持開放性和標準化，采用標準的通訊規程，以有利于不同廠家之間的互連，使不同系統間易于集成，兼顧其他標準的網絡體系結構，網絡能實現協議之間無縫連接。而公用服務器與每一臺核心層交換機都應該具備連接。在網絡硬件上采用高性能、高可靠的設備，此產品是具有運營商級容錯能力的高性能大型網絡核心交換機，可實現冗余備份，從而提高核心層的可靠性。 整個網絡通過匯聚層交換機 RGS6806E 和核心交換機 RGS6810E 之間的鏈路冗余備份和負載均衡提供安全可靠的網絡構架（使用 OSPF、ECMP、WCMP 等技術），其安全保障技術提供一個全網概念的整體網絡安全，而通過簡單地增加萬兆模塊可以平滑升級到萬兆骨干的實驗室局域網。中國礦業大學南湖校區校園網一期拓撲圖 中國礦業大學南湖校區校園網二期拓撲圖 IP地址劃分 IP地址及VLAN劃分原則178。 簡單性：地址的分配應該簡單，避免在主干上采用復雜的掩碼方式； 178。 連續性：為同一個網絡區域分配連續的網絡地址，便于采用路由收斂(Summarization)CIDR(Classless InterDomain Routing)技術縮減路由表的表項，提高路由器的處理效率； 178。 可擴充性：為一個網絡區域分配的網絡地址應該具有一定的容量，便于主機數量增加時仍然能夠保持地址的連續性； 178。 靈活性：地址分配不應該基于某個網絡路由策略的優化方案，應該便于多數路由策略在該地址分配方案上實現優化； 178。 可管理性：地址的分配應該有層次，某個局部的變動不要影響上層、全局。 178。 安全性：網絡內應按工作內容劃分成不同網段即子網以便進行管理。 IP地址及VLAN劃分VLAN（Virtual Local Area Network）又稱虛擬局域網，是指在交換局域網的基礎上，采用網絡管理軟件構建的可跨越不同網段、不同網絡的端到端的邏輯網絡。一個 VLAN 組成一個邏輯子網，即一個邏輯廣播域，它可以覆蓋多個網絡設備，允許處于不同地理位置的網絡用戶加入到一個邏輯子網中。組建 VLAN 的條件 VLAN 是建立在物理網絡基礎上的一種邏輯子網，因此建立 VLAN 需要相應的支持 VLAN 技術的網絡設備。當網絡中的不同 VLAN 間進行相互通信時，需要路由的支持，這時就需要增加路由設備——要實現路由功能，既可采用路由器，也可采用三層交換機來完成。根據我校計算機實驗室的實際情況，我們對各個機房的IP地址劃分及VLAN劃分如下：14機房： ， vlan158機房： ， vlan2910機房： ， vlan31112機房：， vlan41314機房：， vlan51516機房：， vlan61718機房：， vlan71920機房：， vlan82122機房：， vlan92324機房：， vlan102526機房：， vlan112728機房：， vlan122930機房：， vlan133132機房：， vlan143334機房：, vlan153536機房：, vlan16 NAT的實現NAT，網絡地址轉換，是通過將專用網絡地址轉換為公用地址（如互聯網Internet），從而對外隱藏了內部管理的 IP 地址。這樣，通過在內部使用非注冊的 IP 地址，并將它們轉換為一小部分外部注冊的 IP 地址，從而減少了IP 地址注冊的費用以及節省了目前越來越缺乏的地址空間（即IPV4）。同時，這也隱藏了內部網絡結構，從而降低了內部網絡受到攻擊的風險。NAT網絡地址轉換的3種實現方式：靜態NAT（一對一）動態NAT（多對多）端口多路復用PAT（多對一）本網絡沒有考慮NAT的具體實現。、訪問列表的實現路由器和交換機所保持的列表用來針對一些進出路由器或交換機的服務（如組織某個IP地址的分組從路由器或交換機的特定端口出發）做訪問控制。在本網絡拓撲中，使用訪問列表用來實現網絡的安全。用來實現相當于防火墻的功能。允許內網的用戶去訪問外網，而外網的用戶則是除了能訪問服務器或是通過VPN連接進來外，其他的訪問都是被阻止的。 我們選取其中一個機房作為示例，下圖為實驗室的三層網絡結構模型：匯聚層交換機的選擇： RG－S6806E 要求匯聚層交換機支持廣播、組播功能。信號從核心交換機出來，在匯聚層就進行組播，可以減輕網絡的負擔。接入層交換機的選擇：STARS2126G/STARS2150G 交換機 RGS6800E 系列多業務萬兆核心路由交換機提供 ，并支持將來擴展到 ，高達 572Mpps/286Mpps 的二/三層包轉發速率可為用戶提供高速無阻塞的數據交換，強大的交換路由功能、安全智能技術可同銳捷各系列交換機配合，為用戶提供完整的端到端解決方案，是大型網絡核心骨干和大流量節點交換機的理想選擇。 RGS6800E 交換機通過 擴展高性能的 多業務卡支 持策略路由、 IPV MPLS 、load balancing、NAT、VPN、Firewall、web cache redirect 等業務功能，滿足客戶環境靈活而復雜的不同應用需求。 豐富的應用支持技術（QOS、組播） RGS6800E 提供多種流分類技術和多種 QOS 技術，包括 SP、WRR、WFQ、WRED、CAR、HOL 等，為各種應用的帶寬保障提供需要的支持技術。 流分類：可以依據數據流的源/目的 MAC 地址、源/目的三層 IP 地址、三層協議（IP/IPX）、四層協議（UDP/TCP）、源/目的四層協議端口號、COS、TOS 對數據流進行區分，實現 2/3/4層的流分類功能。 216。 數據標記： 是二層協議，可以為數據提供 8 個級別的優先級標記；DSCP 在三層的 IP 協議報文里進行優先級標記，可以提供 64 個級別的優先標記。 216。 隊列調度：嚴格優先級隊列 SP 保證高優先級業務總是在低優先級業務之前處理；WRR是一種加權循環隊列調度機制，首先處理高優先級，但在處理高優先級業務時，較低優先級的業務并沒有被完全阻塞，而是按一定的比例同時進行。WFQ 是加權公平隊列，對所有的數據流進行排隊，監控吞吐率，并根據發送的信息量分配權值。WFQ 試圖公平地為每個對話分配帶寬，保證低帶寬應用可以獲得對接口的訪問權，而不會被高帶寬應用全部占用。 216。 擁塞控制：WRED 加權隨機早期檢測協議，可以設置各個數據流在擁塞發生之前自動丟失數據的閥值，避免較高優先級應用的擁塞丟失。HOL 通過消除 HOL 阻塞確保最高可能的吞吐量；最大限度地減少包丟失，減少多路傳輸和廣播流量擁塞。 216。 承諾信息速率：CAR 可以為重要的數據流設定固定的帶寬，如果設定的帶寬合理，滿足該數據流的需求，就可以保證重要數據流的正常轉發。 提供多種組播支持技術，包括 IGMP snooping、IGMP、PIM（SSM、SM、DM），DVMRP，保證了網絡中提供組播服務時的帶寬合理占用。 STARS2126G/STARS2150G 是一款全線速可堆疊千兆智能交換機，提供智能的流分類和完善的服務質量（QoS）以及組播管理特性，并可以實施靈活多樣的 ACL 訪問控制。可通過 SNMP、Telnet、Web 和 Console 口等多種方式提供豐富的管理。 路由選擇與配置 RGS6800E新一代多業務萬兆核心路由交換機系。 網絡安全設計與管理１．網絡的基本安全需求　　滿足基本的安全要求，是該網絡成功運行的必要條件，在此基礎上提供強有力的安全保障，是網絡系統安全的重要原則。網絡內部部署了眾多的網絡設備、服務器，保護這些設備的正常運行，維護主要業務系統的安全，是網絡的基本安全需求。對于各種各樣的網絡攻擊，如何在提供靈活且高效的網絡通訊及信息服務的同時，抵御和發現網絡攻擊，并且提供跟蹤攻擊的手段。網絡基本安全要求主要表現為：　　★ 網絡正常運行。在受到攻擊的情況下，能夠保證網絡系統繼續運行。　　★ 網絡管理/網絡部署的資料不被竊取。　　★ 具備先進的入侵檢測及跟蹤體系。　　★ 提供靈活而高效的內外通訊服務。 ２．應用系統的安全需求　　與普通網絡應用不同的是，應用系統是網絡功能的核心。對于應用系統應該具有最高的網絡安全措施。應用系統的安全體系應包含：　　★ 訪問控制，通過對特定網段、服務建立的訪問控制體系，將絕大多數攻擊阻止在到達攻擊目標之前；　　★ 檢查安全漏洞，通過對安全漏洞的周期檢查，即使攻擊可到達攻擊目標，也可使絕大多數攻擊無效；　　★ 攻擊監控，通過對特定網段、服務建立的攻擊監控體系，可實時檢測出絕大多數攻擊，并采取相應的行動（如斷開網絡連接、記錄攻擊過程、跟蹤攻擊源等）；　　★ 加密通訊，主動的加密通訊，可使攻擊者不能了解、修改敏感信息；　　★ 認證，良好的認證體系可防止攻擊者假冒合法用戶；　　★ 備份和恢復，良好的備份和恢復機制，可在攻擊造成損失時，盡快地恢復數據和系統服務；　　★ 多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到達攻擊目標；　　★ 隱藏內部信息，使攻擊者不能了解系統內的基本情況；　　★ 設立安全監控中心，為信息系統提供安全體系管理、監控，維護及緊急情況服務 ３．平臺安全的需求　　網絡平臺將支持多種應用系統，對于每種系統均在不同程度上要求充分考慮平臺安全。● 平臺安全與平臺性能和功能的關系　　通常，系統安全與性能和功能是一對矛盾的關系。如果某個系統不向外界提供任何服務（斷開)，外界是不可能構成安全威脅的。但是，若要提供更多的服務，將網絡建成了一個開放的網絡環境，各種安全包