1、第 1 章、校园局域网组建一第一节、校园网络建的要求我校校园网工程范围主要为包括办公楼、图书室、住宿楼及实验楼在内的局域网部分。内部局域网的建设包括硬件网络平台的建设、相应软件系统的应用。根据校园的整体的网络架构，要使这复杂的网络跟高速、安全地通信，应充分保证以下几点:1、数据通信：网络的配置的一个重点是让校园能够实现内外部的信息交流，实现资源共享，使师生可以正常的访问互联网，这是网络配置最基本的要求。2、访问的可控性:对关键网络、系统和数据的访问必须得到有效的控制，这要求在配置路由器与交换机的过程中制定一些安全规则，通过这些安全规则来控制一些 ip 地址、数据包对校园内部的访问，并对任何访问
2、进行跟踪记录，让校园有一个安全、稳定的网络。3、网络的安全与管理：在这复杂的网络架构中，网络的方便管理是校园进行通信的基础，只有有效、快捷的网络管理 ，才能实现网络中突发事件快速解决，使网络正常通信，良好的网络配置，也可以让管理员快速地熟悉管理校园整个网络。第二节、网络拓扑图与整体分析一、网络拓朴图Internet图书馆 实验楼办公楼 宿舍楼S1/0 218.100.100.1 F0/1 192.168.5.2F0/1 192.168.5.1服务器VLAN 10 :192.168.1.0VLAN 20 :192.168.2.0VLAN 30 :192.168.3.0VLAN 40 :192.1
3、68.4.0SW1R1F0/3F0/5S1F0/2SW2 SW3F0/2F0/1S2 F0/2F0/1200.1.1.1ftpVLAN 20 VLAN 30 VLAN 40F0/4 F0/4200.1.1.2webWebS0VLAN 10二、网络整体分析统一大量采用了 cisco2 层和 3 层交换机和少量的路由器来构建网络，目前局域网普遍采用3 层式结构化设计方案，即核心层、接入层和分布层。本校园网具体结构如下：1、SW1 是网络的核心层交换机，SW2 和 SW3 是网络的接入层交换机。2、在核心层配置 vtp 服务器，作用：在一台交换机上集中修改 vlan 的配置，所做的修改会被自动传播到
4、网络中的所有其它交换机上，实现了交换机 vlan 的统一配置。3、在路由器上使用 nat，作用：利用 nat 技术就可以解决了校园对外部互联网访问的问题，实现师生可以正常浏览 Internet。4、IP 地址规划表IP 地址 区域192.168.1.0/24 图书馆192.168.2.0/24 办公楼192.168.3.0/24 实验楼192.168.4.0/24 宿舍楼第二节、 交换机 vlan 的划分与配置一、进行 VLAN 划分1、S1 划分 vlanS1#configS1(config)#vlan 10 S1(config-vlan)# name tushuguanS1(config-
5、vlan)#vlan 20 S1(config-vlan)#name bangonglouS1(config-vlan)#vlan 30S1(config-vlan)#name shiyanlouS1(config-vlan)#vlan 40S1(config-vlan)#name sushelou2、设置交换机 S2 的端口 210 端口 VLAN10 的成员:S2(config)#vlan 10S2(config-vlan)# name tushuguan S2(config-vlan)#exitS2(config)#vlan 20S2(config-vlan)#name bangongl
6、ouS2(config-vlan)#exitS2(config)#inter range f 0/2-10 S2(config-if)#switchport mode access S2(config-if)#switchport access vlan 10设置交换机 S2 的端口 1121 端口 VLAN20 的成员:S2(config)#inter range f 0/11-21S2(config-if)#switchport mode accessS2(config-if)#switchport access vlan 20S2(config-if)#int fa0/1S2(confi
7、g-if)# switchport mode trunk3、设置交换机 S3 的端口 210 端口 VLAN30 的成员:S3(config)#vlan 30S3(config-vlan)# name shiyanlou S3(config-vlan)#exitS3(config)#vlan 40S3(config-vlan)# name sushelouS3(config-vlan)#exitS3(config)#inter range f 0/2-10 S3(config-if)#switchport mode access S3(config-if)#switchport access
8、vlan 10设置交换机 S3 的端口 1121 端口 VLAN40 的成员:S3(config)#inter range f 0/11-21 S3(config-if)#switchport mode access S3(config-if)#switchport access vlan 20S3(config-if)#int fa0/1S3(config-if)# switchport mode trunk二、利用交换机实现 vlan 间的通信采用单臂路由的方式实现 vlan 间路具有速度慢，转发速速率低的缺点，容易产生瓶颈，所以在网络中可以采用三层交换机，用三层交换的方式来实现 vlan
9、 间的路由。S1(config)#interface vlan 10S1(config-if)# ip address 192.168.1.1 255.255.255.0S1(config-if)#exitS1(config)#interface vlan 20S1(config-if)# ip address 192.168.2.1 255.255.255.0S1(config-if)#exitS1(config)#interface vlan 30S1(config-if)# ip address 192.168.3.1 255.255.255.0S1 (config-if)#exitS1
10、(config)#interface vlan 40S1 (config-if)# ip address 192.168.4.1 255.255.255.0S1 (config-if)#exit三、交换机 vtp 配置为了让所有 vlan 统一配置管理，让汇聚层交换机 sw1 作为 vtp server，sw2 、sw3 为 vtp client。在 sw1 上创建所有 vlan，让 sw2 跟 sw3 可以学到 vlan。3.2.2 vtp 服务器配置S1#conf t S1(config)#vtp server S1(config)#vtp domain cisco 注：domain dm
11、ein n.域名S1(config)#vtp password cisco3.2.3 vtp 客户端配置S2# conf t S2(config)#vtp client S2(config)#vtp domain ciscoS2(config)#vtp password ciscoS3# conf t S3(config)#vtp client S3(config)#vtp domain ciscoS3(config)#vtp password cisco第三节、 路由器的配置一、NAT 配置由于目前 IP 地址资源非常稀缺，不可能给校园网内部的所有工作站都分配 一个公有 IP（Interne
12、t 可路由的）地址。为了解决所有工作站访问 Internet 的需 要，必须使用NAT（网络地址转换）技术。NAT 的配置：定义 NAT 内部、外部接口R1(config)#interface fastehernet 0/0R1(config-if)#ip address 192.168.5.2 255.255.255.0R1(config-if)#ip nat insideR1(config-if)#interface serial 1/0R1(config-if)#ip address 218.100.100.1 255.255.255.0 R1(config-if)#ip nat out
13、sideR1(config)#ip nat inside source static 192.168.60.1 218.100.100.1实现内部 web 服务器向外网提供服务：R1 (config)#ip nat pool pool 218.100.100.2 218.100.100.2 netmask 255.255.255.0R1(config)# access-list 1 permit host 200.1.1.2R1(config)# ip nat inside source list 1 pool pool overloadR1(config)#int f 0/2R1(confi
14、g)#ip nat insideR1(config)#int s 0/1R1(config)#ip nat outside二、在路由器和三层交换机上配置 IPR1(config)#interface Serial 0/1R1(config-if)#ip address 193.1.1.1 255.255.255.0R1(config-if)# no shutdownS1(config)#int f0/1S1(config)#no switchportS1(config-if)#ip address 192.168.5.1 255.255.255.0S1(config-if)# no shutd
15、own三、配置 OSPF 路由协议R1(config)#router ospf 10R1(config-router)#network 192.168.5.0 0.0.0.3 area 0R1(config-router)#network 218.100.100.1 0.0.0.3 area 0R1(config)#ip route 0.0.0.0 0.0.0.0S1(config)#router ospf 10S1(config-router)#network 192.168.0.0 0.0.3.255 area 0S1(config-router)#network 200.1.1.0 0.
16、0.0.3 area 0S1(config-router)#network 192.168.5.0 0.0.0.3 area 0第四节、网络安全设置一、访问控制列表配置路由器是外网进入内网的第一道关卡，是网络防御的前沿阵地。路 由器上的问控制列表（Access Control List，ACL）是保护内网安全的有效手段。一个设计良好的访控制列表不仅可以起到控制网络流量、流向的作用， 还可以在不增加网络系统软、硬件投的情况下完成一般软、硬件防火墙产品 的功能。由于路由器介于企业内网和外网之间，是外网与内网进行通信时的第 一道屏障，所以即使在网络系统安装了防火墙产品后，仍然有必要对路由器的 访问控
17、制列表进行缜密的设计，来对企业内网包括防火墙本身实施保护。 在本实例设计中，将针对服务器以及内网工作站的安全给出广域网接入路 由器InternetRouter 上 ACL 的配置方案。 在网络环境中普遍存在着一些非常重要的、影响服务器群安全的隐患。在 绝大多数网络环境的实现中它们都是应该对外加以屏蔽的。主要该做以下的 ACL 设计：1、对外屏蔽简单网管协议利用这个协议，远程主机可以监视、控制网络上的其它网络设备。它有两 种服务类型：SNMP 和 SNMPTRAP。 R1 (config)#access-list 101 deny udp any any eq snmpR1(config)#ac
18、cess-list 101 deny udp any any eq snmptrap2、对外屏蔽远程登录协议 首先，telnet 可以登录到大多数网络设备和 UNIX 服务器，并可以使用相关 命令全操纵它们。其次，telnet 是一种不安全的协议类型。用户在使用 telnet 登录网络设备或服务器时所使用的用户名和口令在网络中是以明文传输的，很 容易被网络上的非法协议分析设备截获。这是极其危险的，因此必须加以屏蔽。 R1(config)#access-list 101 deny udp any any eq telnet3、配置访问控制列表宿舍楼是学生为主，应限制宿舍楼对办公楼的访问。S1(c
19、onfig)#access-list 100 deny ip192.168.0.0 0.0.0.255 192.168.2.0 0.0.0.255S1(config)#access-list 100 permit ip any anyS1(config)#int f0/5S1(config-if)#ip access-grop 100 inS1(config-if)#exit因为 ftp 作为学校的内部信息的流通渠道，为保证本学校的信息安全，学校不希望自己的信息被外界知道，所以要求拒绝外界网络对本学校 ftp 的访问，只用于内部的访问与交流，而 web 服务器则都可以访问。配置如下：R1(co
20、nfig)#access-list 101 permit tcp 192.168.0.0 0.0.255.255 host 200.1.1.1 eq ftpR1(config)#access-list 101 permit tcp any host 200.1.1.2 eq wwwR1(config)#access-list 101 deny tcp any host 200.1.1.1 eq ftpR1(config)#access-list 101 permit ip any anyR1(config)#interface s0/1R1 (config-if)#ip access-grou
21、p 101 in二、端口聚合配置由于公司有许多的数据流量是跨交换机进行转发的，因此需要提高交换机之间的传输带宽，并且实现链路的冗余备份，因此建立端口聚合从而增 大链路带宽，解决交换机中因带宽引起的网络瓶颈问题，多天链路之间能够相互冗余备份，其中任意一条断开，不会影响其他链路的正常转发数据。S0(config)#interface range fastethernet0/10-11S0(config-if-range)#prot-group 1S0(config-if-range)#exitS0(config)#interface aggregateport 1S0(config-if)#swi
22、tchport mode trunkS0(config)#exitS1config)#interface range fastethernet0/10-11S1(config-if-range)#prot-group 1S1(config-if-range)#exitS1(config)#interface aggregateport 1S1(config-if)#switchport mode trunkS1(config)#exit三、防火墙的设置在现今的网络安全环境下，木马、病毒肆虐，黑客攻击频繁，而各种流氓软软件、间谍软件也行风作浪。光靠杀毒软件已不足以保证我们的系统安全，这时防火墙就
23、能帮我们解决。防火墙是一类防范措施的总称，它使得内部网络与 Internet 之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。防火墙简单的可以只用路由器实现，复杂的可以用主机甚至一个子网来实现。设置防火墙目的都是为了在内部网与外部网之间设立唯一的通道，简化网络的安全管理。防火墙的功能有：1、过滤掉不安全服务和非法用户2、控制对特殊站点的访问3、提供监视 Internet 安全和预警的方便端第五节、 相关测试诊断命令一、通用测试、诊断命令1、ping x.x.x.x 标准 ping 命令。用于测试设备间的物理连通性。2、ping扩展 ping 命令。也用于测试设备间的物理连通性。扩
24、展 ping 命令还支持灵 活定义 ping 参数，如 ping 数据包的大小，发送包的个数，等待响应数据包的 超时时间等。 命令 show running-config 用于显示路由器、交换机运行配置文件的内容。3、traceroute x.x.x.x 命令 traceroute 用于跟踪、显示路由信息。4、show running-config命令 show running-config 用于显示路由器、交换机运行配置文件的内容5、show startup-config 命令 show startup-config 用于显示路由器、交换机启动配置文件的内容。6、show sessions
25、命令 show sessions 用于显示从当前设备发出的所有呼出 Telnet 会话。 7、disconnect 命令 disconnect 用于断开与远程目标主机的 Telnet 会话。 8、show users 命令 show users 用于查看呼入 Telnet 会话情况。 9. shutdown命令 shutdown 用于临时将某个接口关闭。 10、no shutdown 命令 no shutdown 用于手动启动（激活）处于管理性关闭的接口。 11、show interfaces 命令 show interface 用于显示各接口的状态及参数信息。 12、show ip inte
26、rface 命令 show ip interface 用于显示 IP 接口的状态及配置信息。13、show version命令 show version 用于显示路由器硬件配置、软件版本等信息。 14、show debugging 命令 show debugging 用于显示正在进行的诊断过程清单。6.2 路由和路由协议测试、诊断命令1. show ip route 命令 show ip route 用于显示当前路由表内容。 2、show ip protocols 命令 show ip protocols 用于显示动态路由协议的配置参数信息。 二、VLAN 测试、诊断命令1、show inte
27、rface vlan vlan-num 命令 show interface vlan vlan-num 用于显示 VLAN 是否已激活、交换机 MAC 基地址、接口参数等。 2、show mac-address-table 命令 show mac-address-table 用于显示 CAM，即桥接表的内容。该命令可列 出学习到的主机 MAC 地址及其所属 VLAN、所处端口、条目类型（静态 STATIC、 动态 DYNAMIC 等）以及满足列表条件的 MAC 地址数目。 3、show vlan 命令 show vlan 用于查看 VLAN 创建情况。该命令可以显示系统所有的 VLAN 信息，
28、包括 VLAN 编号、VLAN 名称、VLAN 状态、VLAN 成员等信息。三、生成树测试、诊断命令1、show spanning-tree 命令 show spanning-tree 用于显示生成树协议中交换机及其端口的情况。 2、show spanning-tree blockedports 命令 show spanning-tree blockedports 用于显示处于阻塞状态的端口。 3、show spanning-tree detail 命令 show spanning-tree detail 用于显示生成树详细信息。 4、show spanning-tree interface
29、命令 show spanning-tree interface 用于显示生成树中某端口相关状态。 5、show spanning-tree vlan 当有多个 VLAN 时，Catalyst 交换机会为每个 VLAN 运行一个生成树实例。 此命令用于显示指定 VLAN 的生成树内容。 6、show spanning-tree summary 命令 show spanning-tree summary 用于显示生成树总结，包括本交换机是哪些 VLAN 的根网桥、端口快速特性是否启用、处于生成树各个端口状态的端口数量等信息。四、NAT 测试、诊断命1、show ip nat translation
30、命令 show ip nat translation 用于显示当前正在进行的 NAT 情况。2、show ip nat translation verbose命令 show ip nat translation verbose 用于显示当前正在进行的 NAT 更为详细的情况。3、show ip nat statistics命令 show ip nat statistics 用于显示 NAT 运行情况统计。4、debug ip nat命令 debug ip nat 用于打开对 NAT 的诊断。五、 ACL 测试、诊断命令1、show access-lists 命令 show access-lis
31、ts 用于显示所有已定义的访问控制列表内容及命中情况。2、show ip access-lists 命令 show ip access-lists 用于显示所有已定义的 IP 访问第 2 章、校园局域网组建二第一节、校园网的设计与功能一、校园网设计步骤1、进行对象研究和需求调查，弄清学校的性质、任务和改革发展的特点，对学校的信息化环境进行准确的描述，明确系统建设的需求和条件；2、在应用需求分析的基础上，确定学校 Intranet 服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方面的目标；3、确定网络拓朴结构和功能，根据应用需求、建设目标和学校主要建筑分布特点，进
32、行系统分析和设计；4、确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配置等方面的标准和要求；5、规划安排校园网建设的实施步骤。二、校园网的功能1、网络中心 网络中心形成了主干网，是整个校园网的总节点，并提供连接广域网和拨入服务，在主干网系统采用以太网结构。在方案中，中心机房放置着中心交换机、服务器群、路由器、机架 MODEM 等网络设备，这些设备以中心交换机作为中心，以星形拓朴结构通过双绞电缆线连接在一起。网络中心与子网的连接，是通过根据与子网的距离，通过光纤和双绞电缆线将中心交换机和子网的交换机连接起来。 2、信息交流功能(1) 互联网信息服务- 让学校了解世界，让世界了解学
33、校(2) 校内信息服务，信息的接收者就是信息的发布者3、学生学习功能网络使学生的学习方式发生了很大变化，他们利用网络自主学习，提高自己的学习能力。他们需要上网查了资料，将完成的作业利用电子邮件发送给了老师。鼓励学生们建立自己的网页，包括英语角、名站鉴赏、硬件长廊、编程作坊、会员网页、游戏论坛、电脑文化等栏目。4.图书馆功能，以图书馆为信息源图书馆可以开设面向教师开放的电子备课室和光盘阅览室，开设面向学生开放的电子阅览室。采购、分类编目、流通、查询、期刊等环节全面实行计算机自动化管理，可以在校园网提供网上在线书目检索服务，读者可以在网上实现检索图书、浏览全文、查阅借阅情况、办理预约及续借手续等。
34、进而实现图书管理的“电脑化“ 和资料查询的 “网络化“。5、办公子网 学校管理机构作为学校的中枢管理系统，协调、组织整个学校工作的正常运行，为了能适应管理机构的功能，办公子网需要针对用户的权限，完成数据生成、修改、查询，进行办公自动化、人员资料管理、课程管理等方面的工作。办公子网与网络中心的信息通信比较多、每天要访问大量的数据，还有音频、视频等方面的需求，可以采用一个千兆光纤模块的交换机，在与网络中心的中心交换机通信时有足够的带宽，足以适应各种场合的应用。6、多媒体教学子网在多媒体教学活动中，需要有大量的视频、音频数据进行传输，而基于共享工作方式的集线器，其有限带宽、广播式工作模式不利于这些信
35、号的传输。所以推荐采用交换机用为主要设备，只有在个别用户数目比较少、对信号质量要求不高时，采用集线器。多媒体教室与网络中心的数据通信一般不多，但距离比较远，可以根据教室的多少，增加二级交换机，各个教室采用端口数比较多的交换机。 7、图书馆子网 图书馆子网主要功能是在图书馆范围内进行计算机文献检索、电子阅读、计算机借还系统以及在校园网上进行文献检索等。由于图书、文献等多以文本的形式出现，数据量不大，可以采用集线器作为节点。图书馆子网中需要存储大量数据，所以要设置专用的数据库服务器作为数据存储、管理系统，数据存放在光盘塔、硬盘阵列等系统中，支持图书馆子网和校园网用户的访问和查询。图书馆子网与网络中
36、心采用 1000M 带宽的交换机。8、宿舍子网学生和教师宿舍子网主要是通过 100M 接入层交换机实现互联。三、网络教学的应用分析组建校园网的根本目的在于应用，而这之中，网络教学又是重点。要充分发挥校园网的作用，就需要在网络教学中体现。网络教学包括一系列的软、硬件系统。当然建立网络教学也需要建立起配套的网络办公软件。这是现在办公自动化的一个体现,可以大大的提高办公效率，具体办公系统如下： 1、多媒体教学系统 建立起基于多媒体的教学系统，在这中间充分利用多媒体教室的计算机、网络系统，为教学提供帮助。在相关软件配合下，实现现代化的教学。在这过程中，软件方面建立相应的CAI 软件库。CAI 软件库应
37、做到学科齐全，内容丰富和形式多样，要适应不同学科，不同层次的课堂和个性化学习的需要。 2、建立教学资料、课件库 要保证网络为教学提供必要的辅助，除了在 CAI 软件外，就是建立相应的资料、课题库。这就包括参考资料，相关教师、学生信息，还有典型的专家教学案例，网络教学课件。其内容包括多方面的，可以是文本，如 WORD 文件，PowerPoint 演示文件等；也可以是声像，如 Flash 教学文件，VCD，DVD，RM/RMVB，WMV 教学录像资料。3、建立基于 Internet/Intranet 的网络办公系统 目前，办公无纸化是一个趋势，办公无纸化就是指通过在 Internet/Intern
38、et 服务器建立相应的办公软件，并发布相应办公信息。各 Internet/Internet 客户端通过相应软件访问服务器资源，查看服务发布的各种信息。在这个过程中,网络办公系统包括处理日常事物，教学事务，学生信息管理，考试系统等。校园网络办公系统不仅要考虑到校园办公的实际需要，而且要增强信息管理和信息查询功能，为校园网领导提供相应信息服务，这样才能充分发挥校园网的优势，完成学校办公系统自动化的管理要求。系统在 WEB 浏览器上实现校园网的办公需求，应具体有如下功能：(1).办公自动化：包括公文流转、公文管理及日常办公事务处理等(2).信息服务：包括办公管理信息查询和日常信息服务，办公管理信息主
39、要是学校的教务信息、学生信息、教职工信息、教学信息、财务信息、校园设备信息、多媒体信息、图书馆信息等。日常信息主要是学校相关介绍、新闻动态、教学信息、招生信息等。这要求系统能提供较强的扩充功能，并且学校可根据自己的需要，对信息进行修改和扩充。(3).信息共享：主要包括数据的共享，体现在数据转储、查询构造等。四、各信息点分析各建筑群需要的信息点数建筑名 楼层 信息点数 到网络中心的距离（米）教学楼 1-5F 500 150图书馆 1F 450 150办公楼 1-6F 500 300总结：在中心机房内设服务器机房，各服务器通过 1000M 双绞线与核心交换机连接，实现直接与核心交换机数据交换；通过
40、室内，室外多模光纤与各栋大楼配线间接入交换机连接，在各子配线间通过 100M 双绞线连接至多媒体教室，网络教室，教师备课间，教师办公室的桌面交换机或其 PC 机。整个布线网络实现 1000M 主干， 100M 桌面的连接。第二节、校园网的设计与要求 一、构建校园网络设计目标此方案设计将实现网络主干 1000M，桌面 100M，端口应为独占 100M。而且从目前应用水平考虑，端口独占 100M 的交换式网络，在相当一段时间内也能支持应用。同时并不影响将来网络的各方面扩展。二、网络系统的构成网络系统最终将由以下几个子系统构成： 1、校园计算机局域网； 这点是校园网建设的基础，也是本次校园网组建规划
41、的主要工作，其他所有的建设都是建立在此部分之上的。建设覆盖全校的局域网包括网络技术选型，拓扑结构设计，布线系统设计和网络方案的具体设计。在这之中，网络方案设计中网络的核心、汇聚、接入层三层是其重点。其次进行 VLAN 划分，子网配置和 IP 地址的分配，最后进行服务器、交换机和路由器的配置。 2、交互式多媒体教学系统； 3、学校自动化办公系统；4、学校教学和管理综合信息系统在本网络中服务从类型上说既有简单的消息服务，又有资源共享服务；既有访问集中式的数据库，又有分布式事务处理；既有非实时性服务，又有实时性服务。主要支持教师教学和学生学习，提供共享接入 Internet，E-mail，WWW，F
42、TP ，VOD 点播等。二、校园网络系统管理要求我校组建的校园网必需具备有完善的、安全的智能化网络管理功能，其基本需求如下：1、网络设备支持基于端口的虚拟网（VLAN）划分，利用网络管理软件能动态地调整配置VLAN。使划分的各虚网之间既能相互共享所需的信息，又能分别独立运作，加强各虚网之间信息的安全性。这样易于实现网络重组并具备隔离广播风暴的能力。2、具有基于端口的访问控制模式，有效防止外部或内部对某些重要信息点的访问，达到控制信息流向的目的，增强网络的安全性。3、动态监控网络流量和端口状态，及时平衡网络负载。4、动态监控网络登录、网络代理用户数，有效、及时地防止某些非法访问。5、对网络故障及时报警，并实现隔离。对于网络管理系统软件，选用华为公司的网络管理软件 H3C 网管应用软件。三、校园网络系统应用要求对于我校组建的网络系统来说要求是比较高的，针对我校的实际情况，对服务器硬件系统和应用软件系统的要求如下：
