学校网络系统规划与设计课件.pptVIP

目 录 网络设计概述 网络拓扑结构设计 板卡规划和设备命名 局域网规划设计 IP地址规划设计 IP路由规划 网络安全设计 网络管理设计 网络安全规划的基本原则 网络安全是一个复杂的体系结构，涉及到几乎全网中的任何设备以及任何层次。 网络安全只是一个相对的概念，无论你付出多大的代价，都不存在绝对安全的网络。 部署网络安全通常会带来副作用，例如：占用带宽，降低设备的处理能力，给使用和管理网络带来诸多不便之处。所以要在网络的安全和性能之间找到恰当的平衡点。 在接入层通过VLAN进行安全隔离 普通二层以太网网络中采用VLAN进行隔离。 小区以太网接入应用中在接入层交换机上配置Isolate-user-VLAN，禁止接入用户之间互访。 建议在接入交换机接入端口配置广播抑制门限 1 2 3 4 在交换机上启用以下安全策略 核心层交换机 汇聚层交换机 汇聚设备启用以下安全特性： STP根保护和BPDU保护 TC-BPDU报文处理机制 OSPF/RIP路由认证 SSH、SNMPv3 Telnet终端限制 核心交换机 汇聚交换机 接入交换机 核心设备启用以下安全特性： OSPF/RIP路由认证 SSH、SNMPv3、SFTP Telnet终端限制 汇聚设备启用以下安全特性： STP根保护和BPDU保护 TC-BPDU报文处理机制 OSPF/RIP路由认证 SSH、SNMP、SFTP 三层接入设备启用以下安全特性： 端口MAC地址数限制 OSPF/RIP路由认证 ARP入侵检测（ARP、DHCP限速） DHCP Snooping Trust Option 82 SSH、SNMPv3 Telnet终端限制 二层接入设备启用以下安全特性： 端口MAC地址数限制 STP根保护和BPDU保护 TC-BPDU报文处理机制 SSH、SNMPv3 Telnet终端限制 接入交换机 接入交换机 接入交换机 严格的访问控制 在汇聚交换机与核心交换机上配置访问控制列表，限制不同部门之间的互访。 在汇聚路由器和核心交换机上配置访问控制列表，封掉常见的病毒传播端口 所有的网络设备必须配置super密码，telnet的口令及密码，并定期修改。 telnet需要在VTY中设置访问列表，对无访问需求的源地址进行过滤。例如： 在连接内外网的防火墙上禁止来自外网的telnet访问。 认证授权（WLAN接入） 在WLAN中，当无法从物理上控制访问者的来源时，务必要使用相应的鉴权及认证手段进行识别服务： 在AP上禁止ESSID广播 MAC过滤 对接入用户进行802.1x身份认证 使用加密无线信道 认证授权（移动办公用户） 通过RADIUS实现AAA认证，可以对各种接入用户统一集中进行认证和授权 采用TACACS协议代替RADIUS 实现对验证报文主体全部进行加密 支持对路由器上的配置实现分级授权使用 认证服务器 Modem 接入 ADSL 接入 LAN 接入 WLAN 接入 设备命名规范—sysname规划 为了保证以后的管理方便，通常需要为设备统一命名。 可以采用以下命名方法：AA-B-YYYY-X AA：表示该设备所属的级别和名称，通常的规则是取汉字拼音的首字母缩写。 例如：NN- 南宁；也可以灵活运用大小写字母及增加后缀来表示不同级别的设备。ShaTB-沙田 B：表示设备的厂商名称 YYYY：表示设备型号 X： 表示如果前三项相同的设备，用字母编号A、B标识。 设备命名规范—接口description规划 为了准确表明每个接口对端的连接保证以及带宽，需要为每一个使用的接 口配置description描述信息。 通常采用以下命名方法：to 对端设备名 带宽，其中对端设备名使用前一节讲到的sysname规划方法。 例子：description to ZD-H3-NE16E-2 8M 表示：该端口对端设备中心备用NE16E路由器，带宽为8M 。 设备命名规范—接口命名 除了设备固定的接口之外，我们常常会手工创建一些接口，例如：MP接 口，以太网子接口，VLAN接口等。对这些接口后面分配的数字应该尽量 包含实际的意义。 mp－group A/B/C， 接口的A表示槽位，B表示卡位，是固定的，C可以设置为能够包含对端设备信息的数字，例如对端设备loopback接口地址中明确区分自身信息的一位，或者是对端设备所属的OSPF区域号等等信息。 以太网子接口务必要将子接口数字与VLAN信息保持一致。 VLAN接口的数字要全局统一规划，例如：使用100、200表示VPN的VLAN，使用1000表示网管的VLAN等。 目 录 网络设计概述 网络拓扑结构设计 板卡规划和设备命名 局域网规划设计 IP地址规划设计 I