基于华为eNSP的中小企业办公园区网络规划与设计

一、需求分析

（一）项目背景

企业拟建设一个信息化的企业园区网络信息系统，运用现代计算机网络技术实现一个高可靠性、高效率性、高安全性的网络结构，要求网络技术先进且成熟，另外为了适应企业信息化的发展，同时也要满足未来日益增长的业务要求，这对于提高企业园区的工作、管理效率和执行效率是必要的，并且可以通过网络降低企业的日常管理成本和交易成本，借此还可以获得更多的利润和长期收益。该网络信息系统搭建后，企业内部可实现资源的高度共享，可为企业的生产、办公、管理提供服务，其基本要求是办公自动化，能够提高园区内的工作效率和管理水平，能高效、及时、可靠、准确地收集、处理、存储、传输企业内的数据信息，且能与外网Internet通信和服务器的资源共享，从而实现企业的资源与社会资源的有机结合。

（二）网络业务需求

企业分为六个部门，分别是行政部、财务部、产品开发部、营销部、生产部和人事部。通过建设一个高速、高安全性、高可靠性、可扩展的网络结构，使整个办公园区的网络系统通过一张网连接在一起，实现企业内部信息的共享，以及在工作协助中更高效、迅速地传递至相关部门，同时也便于管理层管理，能对当前企业的生产、销售额、财务、人事调动各方面情况及时地了解，并对潜在的问题及时发现处理。

（三）网络应用需求

在企业的内网出口设备采用相关的协议建立出口信道（采用NAT网络转换技术），将内部私有地址和外部公网地址进行转换，实现内网和外网的通信，即企业与Internet连接。

企业网络内应含有DMZ区域，其中搭建有FTP服务器、HTTP服务器、DNS服务器供使用，FTP服务器提供文件存储和访问服务，可实现企业内部资源的共享，HTTP服务器用于处理企业内部客户端发出的请求并返回响应，可以放置数据文件供下载；DNS服务器用于保存企业网络中所有主机的域名和相对应的IP地址，将域名转换为IP地址。另外，通过无线局域网技术，其无线高速IEEE标准，能够覆盖在一定范围内的客户上网访问支持；其灵活、移动的Internet访问能力，在Internet与电子邮件访问中为企业提供解决方案。WLAN要用一定的扩展性以及移动性，不仅可以在企业园区和大楼内局域网用户可以实时访问信息，且WLAN可以通过多种方式进行配置。采用防火墙技术来提高企业网络的安全性，根据企业安全策略监控网络信息的存取和传递，从而起到保护内部网络安全，通过建立访问控制列表，限制网络流量，提高网络性能，对通信流量起到控制的手段，这是企业网络访问的基本安全手段。

二、网络结构设计

根据企业的总体网络结构分析后，采用三层结构组网的方式来实现数据的传输，即接入层、汇聚层和核心层，除了这三层结构以外还有无线上网区域、DMZ区域和ISP区域，网络结构图如下：

三、网络拓扑图

分区如下：

四、网络设备基本配置

核心交换机配置：

<Huawei>undo ter monitor<Huawei>sys<Huawei>undo info-center enable[Huawei]sysname Core-LSW1//创建vlan[Core-LSW1]vlan batch 10 20 30 40 50 60 100 101[Core-LSW1]int Vlanif 10[Core-LSW1-Vlanif10]ip address 192.168.10.254 24[Core-LSW1-Vlanif10]vrrp vrid 10 virtual-ip 192.168.10.252[Core-LSW1-Vlanif10]vrrp vrid 10 priority 120[Core-LSW1-Vlanif10]vrrp vrid 10 track interface g0/0/1[Core-LSW1-Vlanif10]vrrp vrid 10 track interface g0/0/2[Core-LSW1-Vlanif10]quit[Core-LSW1]int Vlanif 20[Core-LSW1-Vlanif20]ip address 192.168.20.254 24[Core-LSW1-Vlanif20]vrrp vrid 20 virtual-ip 192.168.20.252[Core-LSW1-Vlanif20]vrrp vrid 20 priority 120[Core-LSW1-Vlanif20]vrrp vrid 20 track interface g0/0/1[Core-LSW1-Vlanif20]vrrp vrid 20 track interface g0/0/2[Core-LSW1-Vlanif20]quit[Core-LSW1]int Vlanif 30[Core-LSW1-Vlanif30]ip address 192.168.30.254 24[Core-LSW1-Vlanif30]vrrp vrid 30 virtual-ip 192.168.30.252[Core-LSW1-Vlanif30]vrrp vrid 30 priority 120[Core-LSW1-Vlanif30]vrrp vrid 30 track interface g0/0/1[Core-LSW1-Vlanif30]vrrp vrid 30 track interface g0/0/2[Core-LSW1-Vlanif30]quit[Core-LSW1]int Vlanif 40[Core-LSW1-Vlanif40]ip address 192.168.40.254 24[Core-LSW1-Vlanif40]vrrp vrid 40 virtual-ip 192.168.40.252[Core-LSW1-Vlanif40]vrrp vrid 40 track interface g0/0/1[Core-LSW1-Vlanif40]vrrp vrid 40 track interface g0/0/2[Core-LSW1-Vlanif40]quit[Core-LSW1]int Vlanif 50[Core-LSW1-Vlanif50]ip address 192.168.50.254 24[Core-LSW1-Vlanif50]vrrp vrid 50 virtual-ip 192.168.50.252[Core-LSW1-Vlanif50]vrrp vrid 50 track interface g0/0/1[Core-LSW1-Vlanif50]vrrp vrid 50 track interface g0/0/2[Core-LSW1-Vlanif50]quit[Core-LSW1]int Vlanif 60[Core-LSW1-Vlanif60]ip address 192.168.60.254 24[Core-LSW1-Vlanif60]vrrp vrid 60 virtual-ip 192.168.60.252[Core-LSW1-Vlanif60]vrrp vrid 60 track interface g0/0/1[Core-LSW1-Vlanif60]vrrp vrid 60 track interface g0/0/2[Core-LSW1-Vlanif60]quit[Core-LSW1]int Vlanif 100[Core-LSW1-Vlanif100]ip address 192.168.100.254 24[Core-LSW1-Vlanif100]undo shutdown[Core-LSW1]vlan batch 5 7[Core-LSW1]int Vlanif 5[Core-LSW1-Vlanif5]ip address 192.168.5.2 24[Core-LSW1-Vlanif5]int Vlanif 7[Core-LSW1-Vlanif7]ip address 192.168.7.2 24[Core-LSW1-Vlanif7]quit[Core-LSW1]int g0/0/1[Core-LSW1-GigabitEthernet0/0/1]port link-type access [Core-LSW1-GigabitEthernet0/0/1]port default vlan 5[Core-LSW1-GigabitEthernet0/0/1]int g0/0/2[Core-LSW1-GigabitEthernet0/0/2]port link-type access [Core-LSW1-GigabitEthernet0/0/2]port default vlan 7[Core-LSW1-GigabitEthernet0/0/2]quit//链路聚合Eth-Trunk：[Core-LSW1]int Eth-Trunk 1[Core-LSW1-Eth-Trunk1]port link-type trunk[Core-LSW1-Eth-Trunk1]port trunk allow-pass vlan all[Core-LSW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/3[Core-LSW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/4[Core-LSW1-Eth-Trunk1]display this[Core-LSW1]interface GigabitEthernet 0/0/5[Core-LSW1-GigabitEthernet0/0/5]port link-type trunk[Core-LSW1-GigabitEthernet0/0/5]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/5]q[Core-LSW1]interface GigabitEthernet 0/0/6[Core-LSW1-GigabitEthernet0/0/6]port link-type trunk[Core-LSW1-GigabitEthernet0/0/6]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/6]q[Core-LSW1]interface GigabitEthernet 0/0/7[Core-LSW1-GigabitEthernet0/0/7]port link-type trunk[Core-LSW1-GigabitEthernet0/0/7]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/7]q[Core-LSW1]interface GigabitEthernet 0/0/8[Core-LSW1-GigabitEthernet0/0/8]port link-type trunk[Core-LSW1-GigabitEthernet0/0/8]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/8]q[Core-LSW1]interface GigabitEthernet 0/0/9[Core-LSW1-GigabitEthernet0/0/9]port link-type trunk[Core-LSW1-GigabitEthernet0/0/9]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/9]q[Core-LSW1]interface GigabitEthernet 0/0/10[Core-LSW1-GigabitEthernet0/0/10]port link-type trunk[Core-LSW1-GigabitEthernet0/0/10]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/10]q[Core-LSW1]interface GigabitEthernet 0/0/12[Core-LSW1-GigabitEthernet0/0/12]port link-type trunk[Core-LSW1-GigabitEthernet0/0/12]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/12]q[Core-LSW1]interface GigabitEthernet 0/0/13[Core-LSW1-GigabitEthernet0/0/13]port link-type trunk[Core-LSW1-GigabitEthernet0/0/13]port trunk pvid vlan 101[Core-LSW1-GigabitEthernet0/0/13]port trunk allow-pass vlan all[Core-LSW1-GigabitEthernet0/0/13]quit//生成树stp：[Core-LSW1]stp enable[Core-LSW1]stp region-configuration[Core-LSW1-mst-region]region-name huawei[Core-LSW1-mst-region]revision-level 5[Core-LSW1-mst-region]instance 1 vlan 10 20 30 100[Core-LSW1-mst-region]instance 2 vlan 40 50 60[Core-LSW1-mst-region]active region-configuration[Core-LSW1-mst-region]quit[Core-LSW1]stp instance 1 root primary [Core-LSW1]stp instance 2 root secondary [Core-LSW1-mst-region]dis th[Core-LSW1]quit

接入层交换机：

<Huawei>undo ter monitor<Huawei>sys<Huawei>undo info-center enable[Huawei]sysname LSW1//创建vlan[LSW1]vlan batch 10 20 30 40 50 60 100 101[LSW1]stp enable[LSW1]stp region-configuration [LSW1-mst-region]region-name huawei[LSW1-mst-region]revision-level 5[LSW1-mst-region]instance 1 vlan 10 20 30 100[LSW1-mst-region]instance 2 vlan 40 50 60[LSW1-mst-region]active region-configuration[LSW1-mst-region]quit[LSW1]int e0/0/1[LSW1-Ethernet0/0/1]port link-type trunk[LSW1-Ethernet0/0/1]port trunk allow-pass vlan all[LSW1-Ethernet0/0/1]int e0/0/2[LSW1-Ethernet0/0/2]port link-type trunk[LSW1-Ethernet0/0/2]port trunk allow-pass vlan all[LSW1-Ethernet0/0/2]int e0/0/3[LSW1-Ethernet0/0/3]port link-type access[LSW1-Ethernet0/0/3]port default vlan 10[LSW1-Ethernet0/0/3]int e0/0/4[LSW1-Ethernet0/0/4]port link-type access[LSW1-Ethernet0/0/4]port default vlan 10

防火墙配置：

<USG6000V1>undo ter monitor <USG6000V1>sys[USG6000V1]undo info-center enable [USG6000V1]sysname FW1//为防火墙的四个接口配IP地址[FW1]int g1/0/0[FW1-GigabitEthernet1/0/0]ip address 192.168.2.1 24[FW1-GigabitEthernet1/0/0]int g1/0/1[FW1-GigabitEthernet1/0/1]ip address 192.168.3.1 24[FW1-GigabitEthernet1/0/1]int g1/0/3[FW1-GigabitEthernet1/0/3]ip address 192.168.200.1 24[FW1-GigabitEthernet1/0/3]int g1/0/2[FW1-GigabitEthernet1/0/2]ip address 200.10.10.1 30[FW1-GigabitEthernet1/0/2]quit//划分trust区域，内网[FW1]firewall zone trust[FW1-zone-trust]add interface g1/0/0[FW1-zone-trust]add interface g1/0/1[FW1-zone-trust]quit//划分untrust区域，外网[FW1]firewall zone untrust[FW1-zone-untrust]add interface g1/0/2[FW1-zone-untrust]quit//划分dmz区域[FW1]firewall zone dmz[FW1-zone-dmz]add interface g1/0/3[FW1-zone-dmz]quit//配置安全放行策略[FW1]security-policy[FW1-policy-security]rule name tr-untr[FW1-policy-security-rule-tr-untr]source-zone trust [FW1-policy-security-rule-tr-untr]source-address 192.168.0.0 0.0.255.255[FW1-policy-security-rule-tr-untr]destination-zone untrust [FW1-policy-security-rule-tr-untr]action permit [FW1-policy-security-rule-tr-untr]quit[FW1-policy-security]quit[FW1]security-policy[FW1-policy-security]rule name trust-dmz[FW1-policy-security-rule-trust-dmz]source-zone trust [FW1-policy-security-rule-trust-dmz]source-address 192.168.0.0 0.0.255.255[FW1-policy-security-rule-trust-dmz]destination-zone dmz[FW1-policy-security-rule-trust-dmz]action permit[FW1-policy-security-rule-trust-dmz]quit[FW1-policy-security]rule name dmz-to-trust[FW1-policy-security-rule-dmz-to-trust]source-zone dmz[FW1-policy-security-rule-dmz-to-trust]source-address 192.168.0.0 0.0.255.255[FW1-policy-security-rule-dmz-to-trust]destination-zone trust [FW1-policy-security-rule-dmz-to-trust]action permit [FW1-policy-security-rule-dmz-to-trust]quit[FW1-policy-security]rule name dmz-to-local[FW1-policy-security-rule-dmz-to-local]source-zone dmz[FW1-policy-security-rule-dmz-to-local]source-zone local[FW1-policy-security-rule-dmz-to-local]destination-zone dmz[FW1-policy-security-rule-dmz-to-local]destination-zone local[FW1-policy-security-rule-dmz-to-local]action permit [FW1-policy-security-rule-dmz-to-local]quit[FW1-policy-security]quit//进入四个接口，允许所有的协议通过[FW1]int g1/0/0[FW1-GigabitEthernet1/0/0]service-manage all permit [FW1-GigabitEthernet1/0/0]int g1/0/1[FW1-GigabitEthernet1/0/1]service-manage all permit [FW1-GigabitEthernet1/0/1]int g1/0/2[FW1-GigabitEthernet1/0/2]service-manage all permit [FW1-GigabitEthernet1/0/2]int g1/0/3[FW1-GigabitEthernet1/0/3]service-manage all permit [FW1-GigabitEthernet1/0/3]quit//防火墙FW1上的OSPF[FW1]ospf 50[FW1-ospf-50]area 0[FW1-ospf-50-area-0.0.0.0]network 192.168.2.0 0.0.0.255[FW1-ospf-50-area-0.0.0.0]network 192.168.3.0 0.0.0.255[FW1-ospf-50-area-0.0.0.0]network 192.168.200.0 0.0.0.255[FW1-ospf-50-area-0.0.0.0]quit[FW1-ospf-50]default-route-advertise always [FW1-ospf-50]quit[FW1]ip route-static 0.0.0.0 0.0.0.0 200.10.10.2//防火墙上的NAT[FW1]nat-policy [FW1-policy-nat]rule name easy-ip[FW1-policy-nat-rule-easy-ip]source-address 192.168.0.0 0.0.255.255[FW1-policy-nat-rule-easy-ip]source-zone trust [FW1-policy-nat-rule-easy-ip]source-zone dmz[FW1-policy-nat-rule-easy-ip]destination-zone untrust [FW1-policy-nat-rule-easy-ip]action source-nat easy-ip[FW1-policy-nat-rule-easy-ip]quit

………