1、目录目录网络场景v新江科技公司目录安全畅通用户需求目录需求分析所以采用单核心二层网络架构，将核心层与汇聚层合为一层，单核心二层网络结构通常是指仅包含核心层设备和接入层设备的两层结构网络，出口设备与接入层设备直接连接在整个网络的核心设备上，这种结构类型的网络多见于中小型企业网。根据分公司的网络架构，采用单臂路由技术实现VLAN间的路由。总公司的网络采用的动态路由协议是OSPF路由协议，而分公司采用的路由协议是RIP路由协议，所以需要使用路由重分布的技术，实现全网互通。公司内部有工程部、市场部、运维部、管理部四个行政部门，可以采用VLAN技术，将两个行业部门的用户划分到不同的VLAN中，即可以实现
2、统一管理，又可以保障网络的安全性；需求分析使用网络地址转换（NAT）技术，将RFC1918的私有地址转换为合法的全局IP址；使用动态端口NAT技术实现内部用户访问互联网资源，使用静态NAT技术，将WEB服务器发布到互联网。在网络中部署Windows域环境，公司申请的合法域名为，部署活动目录服务器、DNS服务器、MAIL服务器、WEB服务器和DHCP服务器。在网络安全方面使用基于时间的访问控制列表，满足内部用户只能在上班的时间访问互联网；为保障接入层安全，在每个接入接口使用端口安全技术，实现交换机接口只允许接入一台主机。目录培养目标v学习目标 1学习并掌握PPP协议的配置与应用；2学习并掌握路由
3、重分布技术工作原理及应用；3学习并掌握WLAN的工作原理及应用；4熟练掌握和深入理解动态路由协议OSPF的工作原理及应用；5熟练掌握和深入理解动态路由协议RIP的工作原理及应用；6熟练掌握和深入理解邮件服务器的安装与配置；7熟练掌握和深入理解VSFTP服务高级功能的配置；9掌握无线技术在企业网络的部署与应用。培养目标v能力目标 1.考察文档制作能力 2.考察呈现能力 3.考察项目管理能力 4.考察岗位职能能力目录PPP概述vPPP（Point-to-Point Protocol点到点协议）是为在同等单元之间传输数据包这样的简单链路设计的链路层协议。v这种链路提供全双工操作，并按照顺序传递数据包
4、。vPPP是一种分层的协议，最初由LCP发起对链路的建立、配置和测试。v在LCP初始化后，通过一种或多种“网络控制协议（NCP）”来传送特定协议族的通信。vPPP 提供了一种在点对点的链路上封装多协议数据报（IP、IPX和AppleTalk）的标准方法。PPP特性v它具有以下特性：能够控制数据链路的建立；能够对IP地址进行分配和使用；允许同时采用多种网络层协议；能够配置和测试数据链路；能够进行错误检测；支持身份验证 有协商选项，能够对网络层的地址和数据压缩等进行协商。PPP协议体系结构vPPP协议使用了OSI分层体系结构中的3层PPP LCP选项v身份验证 PAP CHAPv压缩v错误检测v多
5、链路vPPP回拔PPP帧结构vPPP帧格式和HDLC帧格式相似，主要区别：PPP是面向字符的，而HDLC是面向位的。PPP的工作过程v在点对点链路的配置、维护和终止过程中，PPP需经历以下几个阶段：链路不可用阶段 链路建立阶段 验证阶段 网络层协议阶段 网络终止阶段PAP和CHAP认证vPPP支持两种授权协议：PAP（Password Authentication Protocol）和CHAP（Challenge Hand Authentication Protocol）。v密码验证协议（PAP，Password Authentication Protocol）通过两握手机制，为建立远程节点的
6、验证提供了一个简单的方法。v挑战握后验证协议（CHAP，Challenge Hand Authentication Protocol）使用三次握手机制来启动一条链路和周期性的验证远程节点。PAP认证 PAP认证是两次握手，PAP不是一种健壮的身份验证协议。身份验证时在链路上以明文发送，而且由于验证重试的频率和次数由远程节点来控制，因此不能防止回放攻击和重复的尝试攻击。CHAP认证vCHAP为三次握手协议v它只在网络上传送用户名而不传送口令PPP验证过程vCHAP身份验证呼叫阶段vCAHP身份验证挑战阶段PPP验证过程vCHAP身份验证回应阶段PPP验证过程vCHAP身份验证回应阶段PPP验证过
7、程vCHAP身份验证确认阶段PPP验证过程vCHAP身份验证确认阶段（成功）PPP验证过程vCHAP身份验证确认阶段（失败）配置PPP协议 配置时钟频率，需要在DCE设备上配置 配置封装协议。Router(config-if)#clock rate bpsRouter(config-if)#encapsulation encapsulation-type配置PAP认证 服务器端，建立本地口令数据库 服务器端，要求进行PAP认证 客户端将用户名和口令发送到对端Router(config-if)#username name nopassword|password password|0|7 Rout
8、er(config-if)#ppp authentication chap|pap|chap pap|pap chap callin Router(config-if)#ppp pap sent-username username password encryption-type password 配置CHAP认证 服务器端和客户端，建立本地口令数据库 服务器端，要求进行CHAP认证Router(config-if)#username name nopassword|password password|0|7 Router(config-if)#ppp authentication chap|
9、pap|chap pap|pap chap callin 故障排除故障排除 检查二层的封装，同时也可以显示LCP和NCP两者的状态，观察PPP通讯过程中的报文信息 查看在PPP通讯过程中授权调试信息Router#show interface serialRouter#debug ppp packetsRouter#degub ppp authentication WLAN的发展历程 v 发展历程 上世纪80年代 1991年联合成立了WECA（Wireless Ethernet compatibility alliance,无线以太网兼容性联盟）1997年，IEEE发布了无线局域网的802.系列
10、标准 1999年IEEE批准了IEEE802.11a（频段5GHz，速度54Mbit/s）标准和IEEE802.11b（频段2.4GHz，速度11Mbit/s）标准 2003年6月，又批准了IEEE802.11g(频段2.4G，速度54Mbit/s)标准 目前IEEE802.11系列的标准仍在补充当中，WLAN技术的速率也从1Mbit/s提高到54Mbit/s WLAN技术分类 WLAN的网络介质 v无线信号是能够空气进行传播的电磁波，无线信号不需要任何物理介质，它在真空环境中也能够传输，v电磁波的区别仅仅在于频率不同。功率波、无线电波、微波、红外光波、可见光波、紫外光波、X射线、伽马射线等具
11、有以下共同的重要特征 WLAN的技术优势 v 安装便捷安装便捷 v 覆盖范围广覆盖范围广 v 经济节约经济节约 v 易于扩展易于扩展 v 传输速率高传输速率高 WLAN的应用 v计算机无线网技术适用范围：在不能使用传统走线方式的地方、传统布线方式困难、布线破坏性很大或因历时等原因不能布线的地方；有水域或不易跨过的区域阻隔的地方；重复地临时建立设置和安排通讯的地方；无权铺设线路或线路铺设环境可能导致线路损坏；时间紧急，需要迅速建立通讯，而使用有线不便、成本高或耗时长；局域网的用户需要更大范围进行移动计算的地方；v行业应用：包括企业应用、交通运输、零售行业、医疗行业、教育行业等 IEEE802.1
12、1简介 vIEEE802.11是第一代无线局域网标准之一。该标准定义了物理层和媒体访问控制(MAC)协议的规范，允许无线局域网及无线设备制造商在一定范围内建立互操作网络设备。802.11初期的规格采直接序列展频技术或跳频展频技术，制定了在RF射频频段2.4GHz上的运用，并且提供了1Mbps、2Mbps和许多基础讯号传输方式与服务的传输速率规格。802.11a 802.11的衍生版，于5.8GHz频段提供了最高54 Mbps的速率规格。802.11b(即所谓的高速无线网路或Wi-Fi标准)802.11e定义了无线局域网的服务质量（quality-of-service），例如支持语音ip；802
13、.11g在2.4GHz频段上提供高于20 Mbps的速率规格。802.11n预计在2006年所采用的建议规范，此规范将使得802.11a/g无线局域网的传输速率提升一倍；无线标准参数对比表无线技术与标准无线技术与标准802.11802.11a802.11b802.11g802.11n蓝牙蓝牙推出时间1997年1999年1999年2002年2006年1994年工作频段2.4GHz5GHz2.4GHz2.4GHz2.4GHz和5 GHz2.4GHz最高传输速率2Mbps54Mbps11Mbps54Mbps108Mbps以上2Mbps实际传输速率低于2Mbps31Mbps6Mbps20Mbps大于3
14、0Mbps低于1Mbps传输距离100M80M100M150M以上100M以上1030M主要业务数据数据图像、语音数据、图像数据、图像、语音数据、语音、高清图像语音、数据成本高低低低低低物理层特点 物理层是OSI的第一层，他为设备之间的数据通信提供传输媒介及各种物理设备，为数据传输提供可靠的环境。主要功能是：为数据端设备提供传送数据的通路。传输数据。完成物理层的一些管理工作。IEEE802.11 MAC层 802.11的数据链路层分为两个子层：逻辑链路层LLC和介质访问层MAC，使用与802.2完全相同的LLC层以及802协议中的48位MAC地址，这使得无线和有线之间的桥接非常方便，但MAC地
15、址只对无线局域网是唯一的。FHSS技术 vFHSS是一种利用频率捷变将数据扩展到频谱的83MHz以上的扩频技术。频率捷变是无线设备在可RF频段内快速改变发送频率的一种能力。v弱点：速度慢，只能达到1Mbps。WLAN组件v在WLAN中最常见的组件如下：笔记本电脑和工作站 无线网卡 无线网桥 天线 无线路由器无线网卡 v无线网卡根据接口类型的不同，主要分为三种类型，即 PCMCIA无线网卡 PCI无线网卡 USB无线网卡。什么是什么是APAPv无线AP（Access Point）：即无线接入点，它是用于无线网络的无线交换机，也是无线网络的核心。v无线AP是移动计算机用户进入有线网络的接入点，主要
16、用于宽带家庭、大楼内部以及园区内部，典型距离覆盖几十米至上百米，目前主要技术为802.11系列。v大多数无线AP还带有接入点客户端模式（AP client），可以和其它AP进行无线连接，延展网络的覆盖范围。APAP工作模式工作模式 vAP可支持以下六种组网方式。AP模式，又被称为基础架构模式，点对点桥接模式。AP Client客户端模式。该 无线中继模式。无线混合模式。胖胖APAP与瘦与瘦APAP 区别区别胖胖AP瘦瘦AP安全性单点安全，无整网统一安全能力统一的安全防护体系，AP与无线控制器间通过数字证书进行认证，支持2层、3层安全机制，具有IPSec VPN终结能力配置管理每个AP需要单独配
17、置，管理复杂AP零配置管理，统一由无线控制器集中配置自动RF调节没有RF自动调节能力通过自动的RRM能力，自动调整包括信道、功率等无线参数，实现自动优化无线网络配置网络康复网络无法自恢复，AP故障会造成无线覆盖漏洞无需人工干扰，网络具有自康复能力，自动弥补无线漏洞，自动进行无线控制器切换容量容量小，每个AP独自工作可支持最大24个无线控制器堆叠，最大支持3600个AP无缝漫游漫游能力仅支持2层漫游功能，3层无缝漫游必须通过其他技术，如MobileIP技术实现，实现复杂，客户端需要安装相应软件支持2层、3层快速安全漫游，3层漫游通过基于瘦AP体系架构里的LWAPP隧道技术实现可扩展性无扩展能力方
18、便扩展，对于新增AP无需任何配置管理一体化网络室内、室外AP产品需要分别单独部署，无统一配置管理能力统一无线控制器、无线网管支持基于集中式无线网络架构的室内、室外AP、MESH产品高级功能对于基于WiFi的高级功能，如安全、语音等支持能力很差。专门针对无线增值系统设计，支持丰富的无线高级功能，如安全、语音、位置业务、个性化页面推送、基于用户的业务/完全/服务质量控制等等网络管理能力管理能力较弱，需要固定硬件支持可视化的网管系统，可以实时监控无线网络RF状态，支持在网络部署之前模拟真实情况进行无线网络设计的工具。锐捷无线AP产品RG-WG54P室内型无线接入点RG-P-720室内型无线接入点RG
19、-P-780室外型无线接入点RG-WGP500室外无线接入点天线v无线天线有许多种类型，常见的有两种 一种是室内天线 一种是室外天线v室外天线的类型比较多 一种是锅状的定向天线 一种则是棒状的全向天线锐捷天线产品WLAN拓扑类型v在无线局域网WLAN中，主要网络结构只有两类：一种就是类似于对等网的Ad-Hoc结构；另一种则是类似于有线局域网中星型结构的Infrastructure结构。点对点Ad-Hoc结构 v点对点Ad-Hoc对等结构就相当于有线网络中的多机（一般最多是3台机）直接通过网卡互联，信号是直接在两个通信端点对点传输的，基于AP的Infrastructure结构 v与有线网络中的星
20、型交换模式差不多，也属于集中式结构类型，其中的无线AP相当于有线网络中的交换机，起着集中连接和数据交换的作用。v特点主要表现在：网络易于扩展 便于集中管理 能提供用户身份验证等优势 数据传输性能也明显高于Ad-Hoc对等结构。基于AP的Infrastructure结构（续）vAP和无线网卡还可针对具体的网络环境调整网络连接速率，以发挥相应网络环境下的最佳连接性能 。v理论上一个IEEE 802.11b的AP最大可连接72个无线节点，实际应用中考虑到更高的连接需求，我们建议为10个节点以内。BSS(Basic Service Set)基本服务集 vBSS(Basic Service Set)基本
21、服务集，是一个AP提供的覆盖范围，也称为微单元，同一台AP及数台工作站所组成的局域网。扩展服务集（ESS）v一个或多个以上的BSS即可被定义成一个Extended Service Set(ESS)，用户可在ESS上漫游及存取BSS系统中的任何资料，其中Access Points必须设定相同的ESSID才能允许漫游。WLAN安全性 v服务集标识符(SSID)对资源访问的权限进行区别限制。可以认为SSID是一个简单的口令，从而提供一定的安全。v2物理地址过滤(MAC)在AP中手工维护一组允许访问的MAC地址列表，实现物理地址过滤。可扩展性差;是较低级别的授权认证。物理地址过滤属于硬件认证，而不是用
22、户认证。v连线对等保密(WEP)在链路层采用RC4对称加密技术 WEP提供了40位(有时也称为64位)和128位长度的密钥机制 钥匙是静态的，要手工维护，扩展能力差 WLAN安全性（续）vWi-Fi保护接入(WPA)WPA(Wi-Fi Protected Access)是继承了WEP基本原理而又解决了WEP缺点的一种新技术。WPA不仅是一种比WEP更为强大的加密方法，而且有更为丰富的内涵。作为802.11i标准的子集，WPA包含了认证、加密和数据完整性校验三个组成部分，是一个完整的安全性方案。v国家标准(WAPI)WAPI(WLAN Authenticationand Privacy Infr
23、astructure)，即无线局域网鉴别与保密基础结构，。用户只要安装一张证书就可在覆盖WLAN的不同地区漫游，方便用户使用。安装、组网便捷，易于扩展，可满足家庭、企业、运营商等多种应用模式。WLAN安全性（续）v端口访问控制技术(802.1x)802.1x要求无线工作站安装802.1x客户端软件，无线访问点要内嵌802.1x认证代理，同时它还作为Radius客户端，将用户的认证信息转发给Radius服务器。802.1x除提供端口访问控制能力之外，还提供基于用户的认证系统及计费，特别适合于公共无线接入解决方案。无线局域网安全防范措施 采用端口访问技术(802.1x)进行控制，防止非授权的非法接
24、入和访问。采用128位WEP加密技术，并不使用产商自带的WEP密钥。对于密度等级高的网络采用VPN进行连接。对AP和网卡设置复杂的SSID，并根据需求确定是否需要漫游来确定是否需要MAC绑定。禁止AP向外广播其SSID。修改缺省的AP密码，Intel的AP的默认密码是Intel。防止AP的覆盖范围超出办公区域(难度比较大)如果网卡支持修改属性需要密码功能，要开启该功能，防止网卡属性被修改。配置设备检查非法进入公司的2.4G电磁波发生器，防止被干扰和DOS 制定无线网络管理规定，禁止设置P2P的Ad hoc网络结构 网络管理人员进行知识培训路由重发布的作用 v路由重分发是指连接到不同路由选择域的
25、边界路由器，在不同路由选择域（自主系统）之间交换和通告路由选择信息的能力。路由重发布的原则 v度量v管理距离v从无类别协议向有类别协议重新分配度量种子度量值v路由重分发时，必须给重分发而来的路由指定的度量值被称为默认度量值或种子度量值，它是在重分发配置期间定义的。度量 管理距离v确定首选路径 首选路由源 管理距离越小，协议的可信度越高从无类别路由协议向有类别路由协议重分发v有类路由选择协议不能通告携带子网掩码的路由，路由器所接收到的每一条路由，无外有下面两种情况之一：路由器有一个或多个接口连接到主网上；路由器没有接口连接到主网络上。配置路由重分发v实现重分发之前，需要考虑以下几点：只能在支持相
26、同协议栈的路由协议之间进行重分发。配置重分发的方法随路由选择协议组合而异。v重分发分为两种：双向重分发：在两个路由选择进程之间重分发所有路由。单向重分发：将一条路由传递给一种路由选择协议，同时只将通过该路由选择协议获得的网络传递给其他路由选择协议。最安全的的重分发是只在网络中一台边界路由器上进行单向重分发，但这将可能导致网络的单点故障。RIP协议的redistribute命令 vredistributeredistribute protocol metricmetric metric-value matchmatch internal|external nssa-external type r
27、oute-maproute-map map-tag OSPF协议的redistribute命令 vredistributeredistribute protocol metricmetric metric-value metric-type 1|2 tag tag-value route-maproute-map map-tag 重分发直连路由、静态路由和默认路由 v redistribute connectedredistribute connected metric metric-value v redistribute connectedredistribute connected su
28、bnets metricmetric metric-value metric-typemetric-type 1|2 tagtag tag-value route-maproute-map map-tag v redistribute staticredistribute static metricmetric metric-value v redistribute staticredistribute static subnets metricmetric metric-value metric-typemetric-type 1|2 tagtag tag-value route-mapro
29、ute-map map-tag v default-information originate default-information originate route-maproute-map route-map-name v default-information originatedefault-information originate always always metricmetric metric-value metric-metric-typetype type-value route-maproute-map map-name 重分发直连路由、静态路由和默认路由示例目录实施流程
30、实施设备 设备名称设备名称设备品牌设备品牌设备型号设备型号设备数量设备数量路由器路由器锐捷RSR20-042台三层交换机三层交换机锐捷RG-S3760E1台二层交换机二层交换机锐捷RG-2328G1台服务器服务器 IBMIBM（双核）3台计算机计算机联想联想2台软件名称软件名称软件品牌软件品牌软件型号软件型号软件数量软件数量W i n d w o s Server微软Windows Server 2003 R23Windows XP微软Windows XP SP32项目任务一：网络底层v步骤一：网络拓扑设计项目任务一：网络底层v步骤二：网络接入层设备配置v步骤三：网络核心层设备配置v步骤四：网
31、络出口设备配置v步骤五：无线网络配置v步骤六：运营商路由器配置项目任务二：活动目录服务器v步骤一：安装操作系统 Windows Server 2003 R2v步骤二：安装活动目录 dcpromov步骤三：创建用户账户 活动目录用户和计算机项目任务三：WEB服务器v步骤一：安装操作系统 CentOS 5.5v步骤二：安装WEB服务 apachev步骤三：配置WEB服务 创建站点项目任务四：DHCP服务器v步骤一：安装操作系统 CentOS 5.5v步骤二：安装DHCP服务v步骤三：配置DHCP服务 创建作用域项目任务五：Mail服务v步骤一：安装操作系统 Windows Server 2003
32、R2v步骤二：安装Mail组件v步骤三：配置Mail服务目录项目任务五：底层测试v依据项目测试报告模板，进行填写v具体测试内容如下：VLAN功能测试 链路聚合测试 网络地址转换测试 路由协议测试 无线网络测试项目任务六：应用服务测试v依据项目测试报告模板，进行填写v具体测试内容如下：步骤一：活动目录测试 步骤二：DNS服务测试 步骤三：Mail服务测试 步骤四：WEB服务测试 步骤五：DHCP服务测试项目验收v目验收文件以作业的形式提交v依据模板来制作验收文件v具体内容包括：1项目实施报告：实施报告内容包括项目介绍、网络底层架构实施、活动目录服务器实施、DNS服务器实施、WEB服务器实施；2项目测试报告：测试报告内容包括网络底层架构测试、活动目录服务器测试、DNS服务器测试、WEB服务器测试；3项目验收报告：按照项目验收报告的模板进行填写；项目总结v依据模板来填写项目总结报告v具体内容如下：项目概述 实施后达到的目标情况说明 工程实施的实际情况说明 经验汇总和思考项目练习项目报告v使用Microsoft PowerPoint制作演讲文稿v演讲时间为30分种v具体内容如下所示：1项目概述 2网络项目设计思路 3网络项目设备选型 4网络项目实施 5网络项目测试 6网络存在的问题 7优化的解决方案
