典型校園網的設計畢業設計-資料下載頁

【導讀】服務的并與因特網連接的校園內的局域網絡環境，是一種教育科研網絡。進入二十一世紀，全球信息化、網絡化的。教育資源共享是時代的需要。用好校園網，是貫徹鄧小平同志"三個面向"指示精神，實現。教育現代化的需要。

　　

【正文】 還可以用來完成以自身為中心的流量控制和過濾功能并實現一定的安全功能，如圖 31 所示。 圖 31 廣域網接入路由器 Router 配置接入路由器 Router 的基本參數 對接入路由器的基本參數的配置步驟與對接入層交換機 的基本參數的配置類似。這里，只給出實際的配置步驟，不再給出具體的解釋，如圖 32 所示。 Routerconf t Enter configuration mands， one per with CNTL/Z. Router（ config） enable secret liumaochen Router（ config） line con 0 Router（ configline） logging synchronous Router（ configline） exectimeout 0 Router（ configline） line vty 0 4 Router（ configline） password 123 Router（ configline） login Router（ configline） exectimeout 0 Router（ configline） exit Router（ config） no ip domainlookup 圖 32 配置接入路由器 Router 的基本參數 配置接入路由器的各個接口參數 對接入路由器的各個接口參數的配置主要是對接口 fastether0/0 以及接口 serial0/0安徽中澳科技職業學院 21 的 ip 地址、子網掩碼的配置。如圖 33 所示，顯 示了為接入路由器的各個接口設置 ip 地址、子網掩碼。 Router（ config） interface fastether0/0 Router（ configif） ip address Router（ configif） no shutdown Router（ configif） interface serial0/0 Router（ configif） ip Router（ configif） clock rate 64000 Router（ configif） no shutdown 圖 33 設置接入路由器的各個接口參數 配置接入路由器的路由功能 在接入路由器上需要定義兩個方向上的路由：到校園網內部的靜態路由以及到Inter 上的缺省路由。 到 Inter 上的路由需要定義一定缺省路由，如圖 34 所示。其中，下一跳指定從本路由的接口 serial0/0 送出。 Router（ config） ip route 圖 34 定義到 Inter 的缺省路由 到校園內部的路由條目可以經過路由匯總后形成兩條路由條目。如圖 35 所示。 Router（ config） ip route Router（ config） ip route 圖 35 定義到校園網內部的路由 配置接入路由器上的 NAT 由于目前 ip 地址資源非常稀缺，不可能給校園網內部的所有工作站都分配一個共有ip 地址。為了解決所有工作站訪問 Inter 的需要，必須使用 NAT 技術。 為了接入 Inter，本校園網向當地 ISP 申請了 5 個 ip 地址。此 ip 地址分配給接入路由器的串行接口并作用 NAT。 NAT 的配置可以分為以下幾個步驟： 定義 NAT 內部、外部接口 如圖 36 所示定義 NAT 內部、外部接口 Router（ config） interface fasteher0/0 Router（ configif） ip nat inside Router（ configif） interface serial 0/0 Router（ configif） ip nat outside 圖 36 定義 NAT 內部、外部接口 安徽中澳科技職業學院 22 定義允許進行 NAT 的工作站的內部局部 ip 地址范圍 Router（ config） ip accesslist 1 permit 圖 37 定義工作站的內部局部地址范圍 為服務器定義 靜態地址轉換 圖 38 顯示了如何為服務器定義靜態地址轉換 Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static 圖 38 為服務器定義靜態地址轉換 為其他工作站定義復用地址轉換 Router（ config） ip nat inside source list 1 interface serial0/0 overload 圖 39 為工作站定義復用地址轉換 配置接入路由器上的 ACL 路由器是外網進入校園網內網的第一道關卡，是網絡防御的前沿陣地。路由器上的訪問控制列表是保護內網安全的有效手段。一個設計良好的訪問控制列表不僅可以起到控制網絡流量、流向的作用，還可以在不增加網絡系統軟、硬件投資的情況下完成一般軟、硬件防火產品的功能。由于路由器介 于企業內網和外網之間，是外網與內網進行通信時的第一道屏障，所以即使在網絡系統安裝了防火墻產品后，仍然有必要對路由器的訪問控制列表進行 縝密的設計，來對企業網包括防火墻本身實施保護。 在本實例設計中，將針對服務器以及內網工作站的安全給出廣域網接入路由器上ACL 的配置方案。 在網絡環境中普遍存在著一些非常重要的、影響服務器群安全的隱患。在絕大多數網絡環境的實現中它們都是應該對外加以屏蔽的。主要應該做以下的 ACL 設計： 對外屏蔽簡單網管協議，即 SNMP 利用這個協議，遠程主機可以監視、控制網絡上的其它網絡設備。 它有兩種服務類型：SNMP 和 SNMPTRAP。 如圖 310 所示，顯示了如何設置對外屏蔽簡單網管協議 SNMP。 Router（ config） accesslist 101 deny udp any any eq snmp Router（ config） accesslist 101 deny udp any any eq snmptrap Router（ config） accesslist 101 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 101 in 圖 310 對外屏蔽簡單網關協議 SNMP 對外屏蔽遠程登錄協議 tel 安徽中澳科技職業學院 23 首先， tel 可以登錄到大多數網絡設備和 UNIX 服務器，并可以使用相關命令完全操縱它們。其次， tel 是一種不安全的協議類型。用戶在使用 tel 登錄網絡設備或服務器時所使用的用戶名和口令在網絡中是以明文傳輸的，很容易被網絡上的非法協議分析設備截獲。這是極其危險的，因此必須加以屏蔽。 如圖 311 所示，顯示了如何對外屏蔽遠程登錄 協議 tel。 Router（ config） accesslist 102 deny tcp any any eq tel Router（ config） accesslist 102 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 102 in 圖 311 對外屏蔽遠程登錄協議 tel 對外屏蔽其它不安全的協議或服務 這樣的協議主要有 SUN OS 的文 件共享協議端口 2049，遠程執行（ rsh） 、遠程登錄和遠程命令端口 51 51 514，遠程過程調用端口 ，如圖 312 所示。 Router（ config） accesslist 103 deny tcp any any range 512 514 Router（ config） accesslist 103 deny tcp any any eq 111 Router（ config） accesslist 103 deny udp any any eq 111 Router（ config） accesslist 103 deny tcp any any range 2049 Router（ config） accesslist 103 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 103 in 圖 312 對外屏蔽其它不安全的協議或服務 針對 DoS 攻擊的設計 針對 DoS 攻擊是一種非常常見而且極具破壞力的攻擊手段，它可 以導致服務器、網絡設備的正常服務進程停止，嚴重時會導致服務器操作系統崩潰。圖 313 顯示了如何設計針對常見 DoS 攻擊的 ACL。 Router（ config） accesslist 104 deny icmp any any eqechorequest Router（ config） accesslist 104 deny udp any any eqecho Router（ config） interface serial 0/0 Router（ configif） no ip directedbroadcast 圖 313 針對 DoS 攻擊的設計 保護路由器的自身安全 作為內網、外網間屏障的路由器，保護自身安全的重要性也是不言而喻的。為了阻止黑客入侵路由器，必須對路由器的訪問位置加以限制。應只允許來自服務器群的 ip 地址訪問并配置路由器。這時，可以使用 ACCESSCLASS 命令進行 VTY 訪問控制。如圖 314安徽中澳科技職業學院 24 所示。 Router（ config） line vty 0 4 Router（ configline） accessclass 2 in Router（ configline） exit Router（ config） accesslist 2 permit 圖 314 保護路由器自身安全 其它配置 為了實現對無類別網絡以及全零子網的支持，在接入路由器上還需要進行適當的配置，如圖 315 所示。 Router（ config） ip classless Router（ config） ip subzero 圖 315 定義對無類別網絡以及全零子網的支持 第四章 遠程訪問模塊設計 遠程訪問也是園區網絡提供服務之一。 它可以為家庭辦公 用戶和出差在外的員工提供遠程、移動接入服務。如圖 41 所示。 圖 41 遠程服務類型有三種：分別是專線連接、電路交換和包交換。不同的廣域網連接類型提供的服務質量不同，花費也不相同。本設計采用了異步撥號連接作為遠程訪問的技術手段。 配置物理線路的基本參數 對物理線路的配置包括配置線路速度（ DTE、 DCE 之間的速率）、停止位數、流控方式、允許呼入連接的協議類型、 允許流量的方向等。如圖 42 所示 Router（ config） line 77 Router（ configline） modem inout Router（ configline） transport input Router（ configline） stopbits 1 Router（ configline） speed 115200 安徽中澳科技職業學院 25 Router（ configline） flowecontrol hardware 圖 42 配置物理線路的基本參數 配置接口基本參數 對接口基本參數的配置包括：接口封裝協議類型、接口異步模式、 ip 地址、為遠程客戶分配 ip 地址的方式等，如圖 43 所示。這里，設置遠程客戶從 ip 地址池 liuqing 中 獲取 ip 地址。 Router（ config） interface asynchronous 77 Router（ configif） ip address Router（ configif） encapsulation ppp Router（ configif） asynchronous mode dedicated Router（ configif） peer default ip address pool liuqing 圖 43 配置接口基 本參數 接下來，需要建立一個本地的 ip 地址池。如圖 44 所示，建立了一個名為 liuqing 的ip 地址池。其中 ip 地址范圍是： ~。 Router（ config） ip local pool liuqing