计算机网络课程设计和实验计算机网络课程设计.docx
计算机网络课程设计学院计算机专业信息安全年级班别201601学号3116005128学生姓名陈旭钦指导教师_许青林成绩1引言在企业中，要实现所有的员工都能与互联网进行通信，每个人各使用一个公网地址是很不现实的。一般，企业有1个或几个公网地址，而企业有几十、几百个员工。要想让所有的员工使用这仅有的几个公网地址与互联网通信该怎么做呢？使用NAT技术！在企业中，一般会有多个部门，像财务部、技术部、工程部等等。每个部门有每个部门的职责。像财务部这种重要的部门有些资料是不允许被其他员工知道的。怎样能清楚的区分不同的部门，以便于管理呢？使用VLAN技术！为了工作方便、增强工作效率，各部门经理必须能相互通信。但不允许员工之间相互通信。我们又该怎样做呢？使用ACL技术！2 .相关技术-NAT、VLAN、ACL和子接口NAT:(1)简介：networkaddresstranslation,即网络地址转换.当在专用网内部的一些主机本来已经分配到了本地ip地址(仅在本专用网内使用的地址)，但现在又想和因特网上的主机通信(并不需要加密)时，可使用NAT方法.(2)功能：通过使用少量的公有ip地址代表较多的私有ip地址的方式，将有助于减缓可用的ip地址空间的枯竭.使用NAT还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的主机.(3)实现方式：NAT有三种实现方式，静态转换，动态转换和端口多路复用.静态转换，是指将内部网络的私有ip地址转换为公有ip地址，ip地址对是一对一的，某个私有ip地址只转换为某个公有ip地址.借助于静态转换，可以实现外部网络对内部网络中某些特定设备的访问.动态转换，是指将内部网络的私有ip地址转换为公用ip地址时，ip地址是不确定的，随机的，所有被授权访问上internet的私有ip地址可随机转换为任何指定的合法ip地址.只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换.端口多路复用，是指改变外出数据包的源端口并进行端口转换.内部网络的所有主机均可共享一个合法外部ip地址，从而可以最大限度地节约ip地址资源.目前网络上应用最多的就是端口多路复用.(4) NAPT:networkaddressporttranslation,即网络端口地址转换，可将多个内部地址映射为一个合法公网地址，但是以不同的协议端口号与不同的内部地址相对应.NAPT与动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的ip地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号.VLAN:(1)简介：virtuallocalareanetwork,即虚拟局域网.VLAN是一组逻辑上的设备和用户，这些设备和用户不受物理位置的限制，相互之间的通信就好像它们在同一个网段一样.VLAN工作在OSl参考模型的第2层和第3层，一个VLAN就是一个广播域，VLAN之间的通信就是通过第3层的路由器来完成.(2)功能：不同VLAN之间一般不能相互通讯，这样增加了企业网络中不同部门之间的安全性.网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访.VLAN还可以限制网络上的广播，将网络划分为多个VLAN可减少参与广播风暴的设备数量，在一个VLAN中的广播不会送到VLAN之外.(3)实现方式：按端口划分VLAN,利用交换机的端口来划分VLAN成员.例如，一个交换机的1,2,3,4,5端口被定义为VLAN2,同一交换机的6,7,8端口组成VLAN3.按MAC地址划分VLAN,根据每个主机的MAe地址来划分，即对每个MAC地址的主机都配置它属于哪个组.按网络层划分，根据每个主机的网络层地址或协议类型划分.ACL:(1)简介：accesscontrollist,即访问控制列表.是指路由器和交换机接口的指令列表，用来控制端口进出的数据包.acl可以过滤网络中的流量，允许特定设备访问，是控制访问的一种网络技术手段.(2)功能：acl可以限制网络流量，提高网络性能.提供对通信流量的控制手段,提供网络安全访问的基本手段.3P原则：每种协议一个ACL,要控制接口上的流量，必须为接口上启用的每种协议定义相应的ACL.每个方向一个ACL,一个ACL只能控制接口上一个方向的流量.要控制入站流量和出站流量，必须分别定义两个ACL.每个接口一个ACL一个ACL只能控制一个接口上的流量.(4)执行过程：一个端口执行哪条ACL这需要按照列表中的条件语句执行顺序来判断.如果一个数据包的报头跟表中某个条件判断语句相匹配，那么后面的语句就将被忽略，不再进行检查.数据包只有在跟第一个判断条件不匹配时，它才会被交给列表中的下一个条件判断语句进行比较.如果匹配，数据会立即发送到目的接口.如果整个列表都没有匹配的语句，则该数据包将被视为拒绝而被丢弃.(5)三种主要分类：标准ACL扩展ACL以及命名ACL.标准的ACL使用1-99以及1300-1999之间的数字作为表号.扩展ACL使用100-199以及2000-2699之间的数字作为表号.扩展ACL比标准ACL提供了更广泛的控制范围.命名ACL使用一个字母数字组合的字符串作为字符串.使用命名ACL可以用来删除某一条特定的控制条目，方便修改.子接口：(1)简介：subinterface,通过协议和技术将一个物理接口虚拟出来的多个逻辑接口.相对子接口而言，这个物理接口称为主接口.每个子接口从功能作用上来说，与普通物理接口是没有任何区别的.在路由器中，一个子接口的取值范围是0-4095,受主接口物理性能限制，子接口数量越多，各子接口性能越差.(2)功能：子接口打破了物理接口的数量限制，它允许一个路由器的单个物理接口通过划分多个子接口的方式，实现多个VLAN间的路由和通信.3 .网络结构及地址分配O/3/O2001eT/24S1981/240/3/0200i87/24s0302. 1.8. 7/24f0063. 19 6.1/240302811200.1.8.8/24 RouterlServer-PT63 19.6.2/24£3/01f00.2192168.2.1/24192.1683.1/24£0/03192.168.4.1/24V 外部网络结构V 1.AN2（财务部）：PCO（财务部门经理）：192.168.2.2/24PCl:192.168.2.3/24V PC2:192.168.2.4/24V 1.AN3（技术部）：PC3（技术部门经理）:192.168.3.2/24PC4:192.168.3.3/24V PC5:192.168.3.4/24V 1.AN4（工程部）：PC6（工程部门经理）：192.168.4.2/24PC7:192.168.4.3/24PC8:192,168.4.4/24RouterO（NAT路由器）：S030:200.1.8.7/24Fa00.1:192,168.2.1/24FaOO.2:192.168.3.1/24FaOO.3:192,168.4.1/24ROUterI（公网中的路由器）:S0/3/0:200.1.8.8/24FaO/O:63.19.6.1/24SerVerO（公网中的服务器）:63.19.6.2/244,配置与实施(1)先配置好每台PC的ip地址，子网掩码和网关.IPConfiguration（2）在SwitChO上添加VLAN2,VLAN3,VLAN4,并按照端口划分VLANVLANConfigurationVLANNumberVLANNameVLAN2AddIRemOVJ0 OnB AutoBandwidthVLANNoVLANName1default2VLAN23 VLAN34 VLAN41002fddi-default1003token-nng-default1004fddinet-defaultFastEthernetO/1PortStatusFastEthernetO/4PortStatus0AutoBandwidthPortStatusFastEthernetO/70On0AutoBandwidthFastEthernetO/240 OnPortStatus0AutoBandwidth(3)在RoUtCrO完成子接口的配置，配置成功后同个VLAN可以访问，不同VLAN不能访问RouterO(config)#intfa00.1RouterO(config-subif)ttencapsulationdotIQ2RouterO(config-subif)#ipadd192.168.2.1255.255.255.0RouterO(config-subif)#noshutRouterO(config-subif)#exitRouterO(config)#intfa00.2RouterO(config-subif)SencapsulationdotlQ3RouterO(config-subif)#ipadd192.168.3.1255.255.255.0RouterO(config-subif)#noshutRouterO(config-subif)#exitRouterO(config)#intfa00.3RouterO(config-subif)SencapsulationdotlQ4RouterO(config-subif)#ipadd192.168.4.1255.255.255.0RouterO(config-subif)#noshutRouterO(config-subif)#exit(4)在RouterO配置ACL,完成后部门经理之间可以互相通信RouterO(config)ttaccess-list RouterO(config)#access-list RouterO(config)ftaccess-list RouterO(config)ttaccess-list RouterO(config)ttaccess-list RouterO(config)#int fa00. 110 permit 192. 168. 3. 2 0. 0. 0. 010 deny 192. 168. 3. 0 0. 0. 0. 25510 permit 192. 168. 4. 2 0. 0. 0. 010 deny 192. 168. 4. 0 0. 0. 0. 25510 permit anyRouterO(config-subif)#ipaccess-group10outRouterO(config-subif)#exit RouterO(config)ttaccess-list RouterO(config)#access-list RouterO(config)ftaccess-list RouterO(config)ttaccess-list RouterO(config)ttaccess-listRouterO(config)#int fa00. 211 permit 192. 168. 2. 2 0. 0. 0. 011 deny 192. 168. 2. 0 0. 0. 0. 25511 permit 192. 168. 4. 2 0. 0. 0. 011 deny 192. 168. 4. 0 0. 0. 0. 25511 permit anyRouterO(config-subif)#ipaccess-group11outRouterO(config-subif)#exit RouterO(config)ttaccess-list RouterO(config)#access-list RouterO(config)ftaccess-list RouterO(config)ttaccess-list RouterO(config)ttaccess-listRouterO(config)#int fa00. 313 permit 192. 168. 2. 2 0. 0. 0. 013 deny 192. 168. 2. 0 0. 0. 0. 25513 permit 192. 168. 3. 2 0. 0. 0. 013 deny 192. 168. 3. 0 0. 0. 0. 25513 permit anyRouterO(config-subif)#ipaccess-group13outRouterO(config-subif)ftexit(5)配置好RoUter0,Routerl,SerVerO的ip地址，在ROUterO上配置NATRouterO(config)#ints030RouterO(config-if)#ipadd200.1.8.7255.255.255.0RouterO(config-if)ftclockrate64000RouterO(config-if)#noshutRouterO(config-if)#exitRouterO(config)#iproute0.0.0.00.0.0.0s030RouterO(config)#intfa00.1RouterO(config-subif)#ipnatinsideRouterO(config-subif)#exitRouterO(config)#intfa00.2RouterO(config-subif)#ipnatinsideRouterO(config-subif)#exitRouterO(config)#intfa00.3RouterO(config-subif)#ipnatinsideRouterO(config-subif)#exitRouterO(config)#ints030RouterO(config-if)#ipnatoutsideRouterO(config-if)#exitRouterO(config)#ipnatpoolgg200.1.8.7200.1.8.7netmask255.255.255.0192. 168. 2. 0192. 168. 3. 0192. 168. 4. 0 list 1 pool0. 0. 0. 2550. 0. 0. 2550. 0. 0. 255gg overloadRouterO(config)ftaccess-list1permitRouterO(config)ftaccess-list1permitRouterO(config)ftaccess-list1permitRouterO(config)#ipnatinsidesource5 .结果分析(1)同一VLAN之间的主机可以ping通CommandPromptPacketTracerPCConanandLin1.0PC>ipconfigIP AddzessSubnet Mask.DefaUIt Gateway:192.18.2.2：2S5.2S5.2SS.0：192.168.2.1PC>ping192.168.2.3Pxngxng192.168.2.3with32byt;esofdata:bytes=32 bytes32 byces32 byts32time=l2Sms TTL=I28 Ciine=2BlS TTL128 Cime=47ms TTL128 Cime=63ms TTL=128Replyfrom192.18.2.3:Replyfrom192.18.2.3:Replyfrom192.16.2.3:Replyfrom192.168.2.3:Pingscaiscicsfor192.168.2.3:Packets:Senc三4,Received三4,Lose三0(0%loss),Approximateroundtriptinesinmilli-seconds:Minisuxn三47msrMaxinium三12SmsrAvr*g«74ms(2)不同VLAN之间的主机不能ping,但是部门经理之间的主机可以PC>ipconfig192.18.2.22SS.2SS.2SS.0192.18.2.1IPAddress：SubnetMask:DefaUItGateway:PC>ping192.168.3.3Pxngxng192.168.3.3With32byt;esRequest Request Request Requesttimedout.timedouz.CiBIedouc.timedout.Pingstatisticsfox192.168.3.3:Packets:Snc三4,Received三O,Lost三4(100%loss),PC>ipconfigPAddrss：192.1C.2.2SubnetMask:2S5.25S.2SS.0DefaxilcGateway:192.16.2.1PC>ping192.168.3.2Pinging192.168.3.2with32bytesofdata:Requestrimedout.Replyfrom192.18.3.2:bytes=32time=12SmsTTL三127Replyfrom192.18.3.2:bytes32Ciine=I25msTTL=127Replyfsoa192.168.3.2:bytes32cime12SmsTTL=127Pxngstatisticsfor192.16.3.2:Packets:Snt=4,Received=3,Lose«1(2S%loss)rAPPrOXiaaSroundtriptimesinmilli-sconds:Mxnisun三12SmsrMaximum-125ms,Avrag三125ms(3)VLAN中的主机都能够访问公网中的服务器ServerOPC>ipconfIgIPAddress.:192.18.4.2SubnetMask：25S.2SS.2S5.0DefaultGateway:192.168.4.1PC>ping3.19.6.2Pxngxng3.19.6.2with32bycesofdata二ReplyErOJn3.19.2:bytes三32tine=172msTTL=12Replyfmn3.19.2:bytes三32time三12SnLSTTL三126Replyfrom3.19.6.2:byes32time=125msTTL=12Replyfrom3.19.6.2:bytes三32time12SmsTTL=I2Pingstatistics£or3.19.6.2:Packers:Sent三4,Received三4,Lost三0(0%loss)rApproxxmatroundtriptimesinmilli-sconds:Minimum三12SmsrMaximum三172msfAvrag三13ms(4)ServerO无法ping通公司内部主机SERVER>ipconfig3.19.2255.2S5.255.03.19.6IPAddress：SubnetMask:DefaultGateway:SERVER>ping工92.168.3.4Pinging192.18.3.4with32by%esofdata:Reply from 3.19.l:Reply from 3.19.6.1:Reply from 3.19.6.1:Reply from 3.19.6.1:DestinationhostUnseachable.DescinaCionhoseunreachable.Destinationhostunreachable.Destinationhosetmrachable.Pxngsacisticsfo192.16.3.4:Packers:Snt三4,Received三0,Lost三4(100%loss),(5)查看RouterO的access-listsRoutrOfshowaccss-listsStandasdIPaccessIisc10mithost192.18.3.2(3rna«ch(s)deny192.168.3.00.0.0.2S5(3match(es)prmithost192.168.4.2deny192.18.4.00.0.0.2S5permitany(1match(s)StandardIPaccessIisc11permithost192.18.2.2(8aacch(s)deny192.18.2.00.0.0.255prmichost192.18.4.2deny192.18.4.00.0.0.25SpxmitanyStandardIPaccessIiSt12pnaiehost192.18.2.2deny192.168.2.00.0.0.255p«rmichose192.18.3.2deny192.18.3.00.0.0.255permitany(4mAtch(s)StandardIPaccessIisc1permit192.168.2.00.0.0.2SS(4match(s)prmit192.18.3.00.0.0.25Spermit192.18.4.00.0.0.25S(8matc(s)
