公司小型办公网络设计
此网络设计尽供参考！
摘要：
本网络有两个模块：公司互联网模块与园区网模块：公司互联网模块拥有与互联网的连接，同时也端接VPN与公共服务（DNS、HTTP、FTP、SMTP）信息流。园区模块包含第2层交换功能与所有的用户以及管理与内部网服务器。
互联网模块为内部用户提供了与互联网的连接并使用户能够通过互联网访问公共服务器上的信息，同时还为远程地点和远程工作人员提供了VPN访问能力。这种模块不适用于电子商务类型的应用。
园区网模块包含最终用户工作站、公司内部网服务器、管理服务器和支持这些设备所需的相关第2层基础设施。
关键字：
VPN；公共服务（DNS、HTTP、FTP、SMTP）信息流；互联网；远程；工作站；服务器
1 目的要求
至少要有两个LAN
一个WAN
网间设备之间能互通
注：在报告中要有各种设备的详细配置命令
2 需求分析
小型办公网络环境一般是的应用需求是作为办公用途，所以在组建过程中，一般以办公应用为主，主要实现的功能就是共享文件、打印机等应用。下面我们就为大家介绍如何构建小型办公网络环境。
2.1费用因素
这是在组建网络时主要考虑的因素之一。一般情况下，费用因素包括：设备的购买费用、宽带线路租用费用这两项。其中需要的设备主要是根据自身需求来选择的。
2.2 应用需求
这是在集成网络之前就需要考虑到的，用户构建的网络主要是以办公需求为主，主要是共享文件、打印机之类的需求，所以建议构建一个10/100M的交换以太网络就完全能够满足这些需求。
在接入线路方面，一般小型办公网络环境对于流量的需求并不是很多，一般都是些获取信息、收发电子邮件等流量比较低的应用，所以选择目前流行的一些宽带接入方式就已经完全够用。
目前适合小型办公网络使用的宽带主要有ADSL和以太网接入，这两种方式用户可以根据办公场所的现有线路环境来进行选择，如果有以太网接入方式就可以直接向ISP申请服务，而如果没有只能申请ADSL线路接入服务。以下是北京网通这两项的费用比较，用户可以根据自己的预算需求来选择。
2.3 管理和安全性因素
在小型办公网络环境中，可管理性和安全性因素也必不可少，但相对大型网络来说要简单的多，所以一般有条件的可以配备一名网管，而如果现有人员有对网络管理方面有经验则不需要，一般需要的网络管理就是一些常用的升级操作，并不复杂。在安全性方面，一般就是安装和升级防火墙，定期对网络中的病毒进行查杀的工作。
2.4 组网方法
2.4.1 内部网络：
前面我们提到，小型办公网络可以使用10/100M的交换以太网来组建内部网络，在这里我们需要的设备包括网络适配器和交换机这两种设备。
网络适配器就是一般的网卡，在市场上一般的PCI网卡三十元左右就可以买到,网卡需要每台上网的计算机都必须提供，主要有PCI和PCMCIA两种，PCI网卡用于台式机当中，而PCMCIA卡则用于笔记本电脑当中，价格相应会贵一些。
交换机设备则需要根据网络中的终端数量来进行选择，目前市场上适合小型办公网络使用的交换机有5口、8口、16口和24口几种，在选择的过程我们需要根据网络中终端数量的多少来选择，而且在选择时还应注意要有冗余和日后网络升级的考虑。
2.4.2 外部网络
前面我们也提到小型办公网络可以选择ADSL或以太网两种接入方式。在这里，我们需要讲解的是几种宽带共享上网方式。一般我们可以用以下几种方式来共享一条宽带线路上网：
<1>代理服务器方式共享上网
这种方式不需要其他的投资，但需要提供一台主机用作代理上网使用，这台机器需要配备两块网卡，不需要如宽带路由器等共享上网设备。缺点是如果这台机器出现故障或关机时，所有的机器都会受到影响而不能正常上网。
<2>宽带路由器方式共享上网
这种方式需要投资购买宽带路由器，优点是不需要过多的维护，只要打开宽带路由器就可以随时提供共享上网服务，缺点是宽带路由器有可能会因为性能、病毒等种种因素造成使用网络的不正常。
3 网络规划
本网络有两个模块：公司互联网模块与园区网模块：如图1。公司互联网模块拥有与互联网的连接，同时也端接VPN与公共服务（DNS、HTTP、FTP、SMTP）信息流。园区模块包含第2层交换功能与所有的用户以及管理与内部网服务器。关于这种设计的讨论的前提是小型网络用作企业的头端。
图1
3.1 公司互联网模块
互联网模块为内部用户提供了与互联网的连接并使用户能够通过互联网访问公共服务器上的信息，同时还为远程地点和远程工作人员提供了VPN访问能力。这种模块不适用于电子商务类型的应用。
互联网模块涉及的关键设备有：SMTP服务器、DNS服务器、FTP／HTTP服务器、防火墙或防火墙路由器、第2层交换机（支持专用VLAN）：如图2。
拥有公共地址的服务器是最容易被攻击的。以下是互联网模块潜在的威胁：未授权访问、应用层攻击、病毒与特洛伊马攻击、密码攻击、拒绝服务、IP电子欺骗、分组窃听、网络侦察、信任关系利用、端口重定向。
设计指南——在小型VPN网络设计中，该模块堪称为极至。VPN功能被压缩入一个机箱，但依然执行着路由选择、NAT、IDS和防火墙功能。在确定如何实施该功能时，提及了两种主要替代措施。第一是使用带防火墙和VPN功能的路由器。这种选择为小型网络带来了极大的灵活性，因为路由器将支持在当今网络中可能是不可或缺的所有高级服务。作为一种替代措施，可使用带VPN的专用防火墙来取代路由器。这种设置给部署造成了一些限制。首先，防火墙通常都只是以太网，要求对相应的WAN协议进行一些转换。在目前的环境中，大多数有线和DSL路由器/调制解调器都是由电信服务供应商提供的，可用于连接以太网防火墙。如果设备要求WAN连接（如电信供应商的DSL电路），那么，就必须使用路由器。使用专用防火墙不具备轻松配置安全性和VPN服务的优势，当发挥防火墙功能时，可提供改进性能。无论选用哪种设备，都要考虑一些VPN的因素。请注意，路由器倾向于允许信息流通过，而防火墙的缺省设置则倾向于阻止信息流通过。
从ISP的客户边缘路由器开始，ISP出口将限制那些超出预定阈值的次要信息流，以便减少DDoS攻击。同时在ISP路由器的入口处，RFC1918与RFC 2827过滤功能将防止针对本地网络及专用地址的源地址电子欺骗。
在防火墙的入口，RFC1918与RFC2827将首先被用于验证ISP的过滤功能。此外，由于零散的分组带来了极大的安全隐患，因此防火墙将丢弃那些在互联网上不应被视作标准信息流的零散分组。这种过滤有可能导致某些合格信息流被丢弃，但考虑到允许以上不合格的信息流通过所带来的风险，上述情况是可以接受的。目的地为防火墙的信息流仅限于IPSec信息流和用于路由的任何必要协议。
防火墙为通过防火墙发起的会话提供了连接状态执行操作以及详细的过滤。拥有公共地址的服务器通过在防火墙上使用半开放连接限制能够防止TCP SYN洪水。从过滤的角度讲，除了将公共服务区域的信息流限定到相关地址和端口外，在相反的方向上也在进行过滤。如果某个攻击涉及到一个公共服务器（通过规避防火墙和基于主机的IDS），那么这个服务器应该不会再进一步攻击网络。为了缓解这种攻击，具体的过滤将防止公共服务器向其他任何地点发出任何未授权请求。例如，应该对Web服务器进行过滤，以便使其不能自身产生请求，而只能回答来自客户机的请求。这种设置有助于防止黑客在实施最初的攻击后将更多的应用下载到被破坏的机器。同时还有助于防止黑客在主攻击过程中触发不受欢迎的会话。这种攻击的例子是从Web服务器生成一个xterm，再通过防火墙将其传送到黑客的机器。此外，DMI上的专用VLAN可以防止一个被破坏的公共服务器攻击同一区域的其他服务器。这种信息流甚至不能被防火墙发现，由此可以证明专用VLAN的重要性。
从主机的角度看，公共服务区域内的每个服务器均拥有主机入侵检测软件，用于监控OS级的任何不良活动以及普通服务器应用的活动（HTTP、FTP、SMTP等）。DNS主机应该只响应必要的命令，同时消除任何可能有助于黑客的网络侦察攻击的不必要响应。这包括防止从任何地点进行zone传输（合格的二级DNS服务器除外）。在邮件服务方面，防火墙在第7层过滤SMTP信息，以便只允许必要的命令到达邮件服务器。
防火墙与防火墙路由器的安全功能中通常包括一些有限的NIDS功能。这种功能会影响设备的性能，但在您遭受攻击的情况下却能提供一些关于攻击的信息。您是牺牲部分性能换取了攻击透明度。如果不使用IDS，许多攻击将被放弃，但监控站不会知道发生了什么具体攻击。VPN连通性是通过防火墙或防火墙／路由器实现的。远程地点用预共享的密钥进行彼此验证，远程用户则通过园区模块中的访问控制服务器得到验证。
与上述设计不同的设计将是为了提高网络容量或将各种不同的安全功能分配给不同的设备。这样这种设计就越来越象本文后面要讨论的中型网络设计。在完全采用中型网络设计之前可以先添加专用的远程访问VPN集中器，以提高远程用户群的可管理性。
图2
3.2 园区网模块
园区网模块包含最终用户工作站、公司内部网服务器、管理服务器和支持这些设备所需的相关第2层基础设施：如图3。在小型网络设计中，这种第2层功能已被并入单个交换机中。
设计指南——园区交换机的主要功能是交换生产与管理信息流并为公司和管理服务器以及用户提供连接。在交换机内部可以实施VLAN，以减少设备间的信任关系利用攻击。例如，公司用户可能需要与公司服务器通信但彼此之间可能没有必要通信。
由于园区模块中没有第3层服务，因此必须注意，由于内部网络的开放性，这种设计越来越注重应用和主机的安全性。因此，园区中的关键系统上也安装了HIDS，包括公司服务器与管理系统。
在管理站与网络其余部分之间设置一个小型过滤路由器或防火墙能够提高总体安全性。这种设置将使管理流量只沿着管理员认为必要的方向传输。如果机构内部的信任水平高，那么可以取消HIDS（尽管我们不建议这样做）。
图3
3.3 分支机构与独立式配置
在分支机构中不要求配备远程访问VPN功能，因为公司总部通常会提供这种功能。此外，管理主机一般位于中央地点，这种设置要求管理信息流穿过地点到地点VPN连接回到公司总部。
4 网络实现
4.1 应用BOSSON软件画出公司小型办公网络拓补图
网络拓补图
4.2 配置路由器
相关程序如下：
配置路由器基本参数
通过 Boson NetSim 中的工具栏按钮“ eRouters”选择“ R1”并按照下面的 过程进行路由器基本参数的配置
Router>enable
Router#conf t
Router(config)#host ISP
ISP (config)#ena se c1
ISP (config)#line vty 0 4
ISP (config-line)#pass c2
ISP (config-line)#int eth 0
ISP (config-if)#ip add 192.168.1.1 255.255.255.0
ISP (config-if)#no shut
ISP (config-if)#int se 0
ISP (config-if)#ip add 10.0.0.1 255.0.0.0
ISP (config-if)#clock rate 64000
ISP (config-if)#no shut
ISP (config-if)#end
ISP #copy run start
通过 Boson NetSim 中的工具栏按钮“ eRouters”选择“ R2”并按照下面的 过程进行路由器基本参数的配置：
Router>enable
Router#conf t
Router(config)#host R2
R2(config)#ena se c1
R2(config)#line vty 0 4
R2(config-line)#pass c2
R2(config-line)#int eth 0
R2(config-if)#ip add 192.168.2.1 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int se 0
R2(config-if)#ip add 10.0.0.2 255.0.0.0
R2(config-if)#no shut
R2(config-if)#end
R2#copy run start
配置、测试静态路由选择路由器 R1 并配置相关的静态路由信息，如下所示：
ISP #conf t
ISP (config)#ip route 192.168.2.0 255.255.255.0 10.0.0.2
ISP (config)#end
ISP #copy run start
选择路由器 R2 并配置相关的静态路由信息，如下所示：
R2#conf t
R2(config)#ip route 192.168.1.0 255.255.255.0 10.0.0.1
R2(config)#end
R2#copy run start
选择路由器 R1 并按照下面的步骤测试静态路由配置结果：
ISP #show ip route
选择路由器 R2 并按照下面的步骤测试静态路由配置结果：
R2#show ip route
4.3 配置交换机
相关程序如下：
Switch>enable
Switch#conf t
Switch(config)#host SW1
SW1(config)#ena se c1
SW1(config)#line vty 0 15
SW1(config-line)#pass c2
SW1(config-line)#int fe 0/1
SW1(config-if)#switchport mode access
SW1(config-if)#int fe 0/2
SW1(config-if)#switchport mode access
SW1(config-if)#int vlan 1
SW1(config-if)#ip add 192.168.0.1 255.255.255.0
SW1(config-if)#no shut
SW1(config-if)#end
SW1#copy run start
通过 Boson NetSim 中的工具栏按钮 “ eSwitches”选 择“ SW2” 并 按照下面 的过程进行交换机基本参数的配置：
Switch>enable
Switch#conf t
Switch(config)#host SW2
SW2(config)#ena se c1
SW2(config)#line vty 0 15
SW2(config-line)#pass c2
SW2(config-line)#int fe 0/1
SW2(config-if)#switchport mode access
SW2(config-if)#int fe 0/2
SW2(config-if)#switchport mode access
SW2(config-if)#int vlan 1
SW2(config-if)#ip add 192.168.0.2 255.255.255.0
SW2(config-if)#no shut
SW2(config-if)#end
SW2#copy run start
通过 Boson NetSim 中的工具栏按钮“ eStations”选 择“ Host 1”并按照下面 的步骤配置 Host 1 的相关参数
4.4 给相应网络PC配置IP地址
通过 Boson NetSim 中的工具栏按钮“ eStations”选 择“ Host 1”并按照下面 的步骤配置 Host 1 的相关参数：
键入“回车键”继续。
在 Host 1 的命令提示符下键入 ipconfig /ip 192.168.0.11 为 Host 1 设置 IP 地址、子网掩 码。
在 Host 2 的命令提示符下键入 ipconfig /ip 192.168.0.22 为 Host 2 设置 IP 地址、子网掩 码。
在 Host 3 的命令提示符下键入 ipconfig /ip 192.168.0.33 为 Host 3 设置 IP 地址、子网掩 码。
在 Host 4 的命令提示符下键入 ipconfig /ip 192.168.0.44 为 Host 4 设置 IP 地址、子网掩 码。
4.5 检测网络畅通性
在 Host 1 的命令提示符下键入 ping 192.168.0.1 测试到交换机 SW1 的管理 IP 的连通性。
在 Host 1 的命令提示符下键入 ping 192.168.0.2 测试到交换机 SW2 的管理 IP 的连通性。
在 Host 1 的命令提示符下键入 ping 192.168.0.22 测试到 PC 机 Host 2 的连通性。
在 Host 1 的命令提示符下键入 ping 192.168.0.33 测试到 PC 机 Host 3 的连通性。 在 Host 1 的命令提示符下键入 ping 192.168.0.44 测试到 PC 机 Host 4 的连通性。
5 结论
小型办公网络环境一般是的应用需求是作为办公用途，所以在组建过程中，一般以办公应用为主，主要实现的功能就是共享文件、打印机等应用。
6 心得体会
通过本次计算机网络课程设计，我更加充分的理解了课本上的知识，并能够加以扩展，从而应用于实践当中，在BOSON软件中虚拟实现一个小型办公网络，画出网络简单模块拓补图，对其内部器件进行相应的正确配置。达到网络畅通、功能齐全、安全可靠的目的，并符合公司对网络的要求水平。
通过本网络的设计，我基本掌握了路由器、交换机、网络适配器以及SMTP服务器、DNS服务器、FTP／HTTP服务器的用途及配置维护方法，了解了防火墙对网络的重要性，从而对我的网络知识有了更深一步的加深与延拓，是今后学习和工作中的一次宝贵经验。
7 参考文献：
[1]《计算机网络》（第四版） 谢希仁编 大连理工大学出版社 2004-2
[2] Cisco Networking Academy Program《思科网络技术学院教程网络安全基础》
人民邮电出版社 2005年4月
[3] Cisco Networking Academy Program
《思科网络技术学院教程CCNP1高级路由（第二版）》
人民邮电出版社 2005年3月
[4] Cisco Networking Academy Program
《思科网络技术学院教程CCNP 2远程接入（第二版）》
人民邮电出版社 2005年2月
[5]圆网—无线局域网安全技术
温馨提示：答案为网友推荐，仅供参考