内容发布更新时间 : 2024/12/26 0:57:47星期一 下面是文章的全部内容请认真阅读。

第3章 可行性分析和系统需求分析

3.1 划分VLAN的分析

虚拟局域网VLAN（Virtual Local Area Network）的中文名为“虚拟局域网”。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。

3.1.1 划分VLAN的基本策略

从技术角度讲，VLAN的划分可依据不同原则，一般有以下三种划分方法： 1、基于端口的VLAN划分

这种划分是把一个或多个交换机上的几个端口划分一个逻辑组，这是最简单、最有效的划分方法。该方法只需网络管理员对网络设备的交换端口进行重新分配即可，不用考虑该端口所连接的设备。

2、基于MAC地址的VLAN划分

MAC地址其实就是指网卡的标识符，每一块网卡的MAC地址都是唯一且固化在网卡上的。MAC地址由12位16进制数表示，前6位为网卡的厂商标识（OUI），后6位为网卡标识（NIC）。网络管理员可按MAC地址把一些站点划分为一个逻辑子网。

3、基于路由的VLAN划分 路由协议工作在网络层，相应的工作设备有路由器和路由交换机（即三层交换机）。该方式允许一个VLAN跨越多个交换机，或一个端口位于多个VLAN中。

就目前来说，对于VLAN的划分主要采取上述第1、3种方式，第2种方式为辅助性的方案。

3.1.2 VLAN的划分

(1)根据端口来划分VLAN； (2)根据MAC地址划分VLAN； (3)根据网络层划分VLAN； (4)根据IP组播划分VLAN； (5)基于规则的VLAN；

(6)按用户定义、非用户授权划分VLAN。

3.1.3 VLAN的优点

(1)广播风暴防范；

(2)安全；

(3)成本降低； (4)性能提高；

(5)提高IT员工效率；

(6)简化项目管理或应用管理； (7)增加了网络连接的灵活性。

3.2 ACL的相关分析

访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等， 根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提 供ACL的支持了。

访问控制列表使用原则：

由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。

1、最小特权原则

只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。

2、最靠近受控对象原则

所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。

3、默认丢弃原则

在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。

由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。

标准访问列表：

访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL。

3.3 RouterA 配置NET分析

1． 什么是NAT？

NAT即Network Address Translation,它可以让那些使用私有地址的内部网络连接到Internet或其它IP网络上。NAT路由器在将内部网络的数据包发送到公用网络时，在IP包的报头把私有地址转换成合法的IP地址。 2．在NAT实验中需要理解的术语：

1） 内部局部地址（Inside Local）：在内部网络中分配给主机的私有IP地址。

2） 内部全局地址（Inside Global）：一个合法的IP地址，它对外代表一个或多个内部局部IP地址。

3） 外部全局地址（Outside Global）：由其所有者给外部网络上的主机分配的IP地址。

4） 外部局部地址（Outside Local）：外部主机在内部网络中表现出来的IP地址。

3．NAT的优点和缺点： NAT的优点:

(1) 对于那些家庭用户或者小型的商业机构来说，使用NAT可以更便宜，更有效率地接入Internet。

(2) 使用NAT可以缓解目前全球IP地址不足的问题。 (3) 在很多情况下，NAT能够满足安全性的需要。

(4) 使用NAT可以方便网络的管理，并大大提高了网络的适应性。 NAT的缺点:

(1) NAT会增加延迟,因为要转换每个数据包包头的IP地址,自然要增加延迟. (2) NAT会使某些要使用内嵌地址的应用不能正常工作. 4．NAT的工作原理：

当内部网络中的一台主机想传输数据到外部网络时，它先将数据包传输到NAT路由器上，路由器检查数据包的报头，获取该数据包的源IP信息，并从它的NAT映射表中找出与该IP匹配的转换条目，用所选用的内部全局地址（全球唯一的IP地址）来替换内部局部地址，并转发数据包。

当外部网络对内部主机进行应答时，数据包被送到NAT路由器上，路由器接收到目的地址为内部全局地址的数据包后，它将用内部全局地址通过NAT映射表查找出内部局部地址，然后将数据包的目的地址替换成内部局部地址，并将数据包转发到内部主机。 5．NAT配置中的常用命令：

ip nat {inside|outside}：接口配置命令。以在至少一个内部和一个外部接口上启用NAT。

ip nat inside source static local-ip global-ip：全局配置命令。在对内部局部地址使用静态地址转换时，用该命令进行地址定义。

access-list access-list-number {permit|deny} local-ip-address：使用该命令为内部网络定义一个标准的IP访问控制列表。

ip nat pool pool-name start-ip end-ip netmask netmask [type rotary]：使用该命令为内部网络定义一个NAT地址池。

ip nat inside source list access-list-number pool pool-name [overload]：使用该命令定义访问控制列表与NAT内部全局地址池之间的映射。

ip nat outside source list access-list-number pool pool-name [overload]：使用该命令定义访问控制列表与NAT外部局部地址池之间的映射。

ip nat inside destination list access-list-number pool pool-name：使用该命令定义访问控制列表与终端NAT地址池之间的映射。

show ip nat translations：显示当前存在的NAT转换信息。 show ip nat statistics：查看NAT的统计信息。

show ip nat translations verbose：显示当前存在的NAT转换的详细信息。 debug ip nat：跟踪NAT操作，显示出每个被转换的数据包。 Clear ip nat translations *:删除NAT映射表中的所有内容.

第4章 系统总体规划和拓扑设计

网络拓扑图如下：

为了保证网络的稳定性，接入层和汇聚层通过两条链路相连，汇聚层交换机通过VLAN1中的接口F0/1 与Router A 相连，Router A通过广域网口和Router B相连，Router B则通过以太网口连接到ISP，通过ISP 连接到Internet。通过路由协议，实现全网的互通。

IP地址划分：

L3-Switch：VLAN 1：188.55.1.1/24

VLAN 11:188.55.10.1/24 VLAN 12:188.55.20.1/24 VLAN 13:188.55.30.1/24

Route A：F0/0.11：188.55.32.1/24

F0/0.12：188.55.33.1/24 F0/0.13：188.55.34.1/24

Route B：S2/0：200.211.21.2/24

F0/0：172.16.1.1/24