項目1 網絡工程項目設計基礎
項目描述
在當前的網絡工程項目建設中，企業網的建設是非常重要的，企業網內部各種不同業務的開展，是企業網迅速發展的最主要原因。早期的企業網主要是簡單的數據共享，現在則是全方位的數據共享，從過去單一的企業內部到現在異地甚至分布在全球的多個分支公司的互連，對網絡的覆蓋面要求越來越廣，這種要求已經發展到整個企業、整個行業，甚至整個互聯網。
本項目要完成以下任務：
l 掌握網絡工程項目設計的相關概念。
l 了解網絡拓撲結構。
l 學會做網絡工程項目的需求分析。
l 掌握網絡工程項目設計的方法。
任務1 網絡工程項目設計的相關概念
任務展示
在進行網絡工程設計時，網絡工程設計者首先要搞清楚網絡技術集成、網絡設備集成和網絡應用集成三方面的要求；其次，將用戶方的需求用網絡工程的語言表述出來，使用戶理解設計者所做的工作。
任務知識
1.1 網絡工程項目設計的概念
計算機網絡工程的描述性定義如下：計算機網絡工程是指為了實現一定的應用目標，根據相關的標準和規范，通過詳細的分析、規劃和設計，按照可行性的設計方案，將計算機網絡技術、系統、管理，高效地集成到一起的工程。
也可簡單地描述為：計算機網絡工程是將系統化的、規范的、可度量的方法應用于網絡系統的設計、建造和維護的過程，即把工程化方法應用于網絡系統中。
1.2 網絡工程項目設計的目標
網絡設計遵循技術和行業標準的指導原則，確保設計的解決方案滿足網絡建設的需要，并符合IT建設的標準，為將來的網絡升級提供向后兼容能力。在整體方案設計中，要遵循功能性、可擴展性、適應性和管理性原則。
1. 有效性和可靠性
網絡的有效性和可靠性，即可連續運行性，是網絡建設必須考慮的首要原則，從用戶的角度考慮，當網絡不能繼續提供服務時，不管是何種原因，網絡就失去了實際價值。從另一方面看，當某種網絡服務的響應時間變得變幻莫測時，網絡系統也就不可靠了。
在網絡設計上，應考慮以下的一些技術。
(1) 選擇的網絡設備必須具有良好的可靠性。例如，有可熱插拔的模塊，有快速的恢復機制等。
(2) 擁有冗余及負載均衡的電源系統。
(3) 其他關鍵設備的冗余，如控制模塊的冗余、負載均衡的網絡鏈路冗余。確保不因為單條線路的故障而導致整個網絡系統的失效，而且，應確保在某條線路發生故障時，對系統性能的影響也能最小。
2. 靈活性和擴展性
隨著計算機應用的日益普及和進步，對網絡系統的可伸縮性要求成為網絡設計的一個重要考慮。一個設計良好的網絡系統應能方便地對其規�；蚣夹g進行擴充。用戶對網絡資源的需求經常隨著應用而發生變化，系統應具有一定的靈活性，為滿足用戶的不同需求而進行靈活的系統配置和資源的再分配。
網絡將會是不斷增長的，包括它的規模、它的應用范圍和服務內容，都將隨著計算機應用的不斷普及而不斷增加，因此，在網絡設計上必須非常重視網絡的擴展能力。網絡的擴展包括如下內容。
(1) 網絡規模的擴展：包括網絡的地理分布，用戶數。
(2) 應用內容的擴展：包括視頻和語音服務也會不斷加入到IP網絡中，這就要求主干網絡設備必須具有多種業務支持的能力。
(3) 網絡容量的擴展：隨著規模和應用的擴展，網絡傳輸容量也必須能相應地增加。
在網絡設備的選擇上，模塊化的系統在可伸縮性上也有著固定式系統無法比擬的優越性。整個系統的性能將能隨著模塊數量的增加而得到相應的增強，因此，也就更能適應不同規模網絡對設備的要求。模塊化的網絡設備在多種技術的適應能力上具有相當大的靈活性。網絡系統具有統一的系統平臺，具有平滑升級的能力，使系統能滿足各種用戶不同程度的需求，以節約投資，避免系統性能的閑置和浪費。
3. 開放性和先進性
用戶的環境、應用平臺和硬件平臺各不相同，遵循開放式標準是實現網絡互連的最根本保證。系統具有開放性，意味著遵循計算機系統和網絡系統所共同遵循的標準。開放性還意味著更多的選擇和最佳的性價比，有利于在眾多滿足同一開放性標準的硬件、軟件系統中選擇最符合要求的產品，同時，可以保證在不降低性能的前提下使用第三方的標準產品，以降低用戶投入的成本，因此具有先進性。
4. 可管理性和可維護性
在一個網絡系統中，網絡管理已經越來越受到人們的重視。因為它關系到網絡系統的使用效率、維護、監控，甚至關系到系統資源的再分配。
網絡管理對系統的重要性越來越大，這是由于系統對網絡環境的依賴性不斷增加而引起的，一方面，是由于網絡中斷而使業務被迫中止造成的損失會越來越大；另一方面，由于越來越多的用戶連入網絡，對網絡管理的要求提高了，以確保網絡能實現最高的效率。
1.3 網絡工程的標準
計算機網絡體系結構和國際標準化組織(ISO)提出的開放系統互聯參考模型(OSI)已得到了廣泛認同，并提供了一個便于理解的、易于開發的和標準強化的統一的計算機網絡體系結構。
IEEE 802.3標準是一種永久載波傳感多路訪問局域網。其基本思想是：當有一個站希望發送時，就監聽線路。如果此時線路忙，該站就等待，直到線路空閑后再發送；如果在一根空閑線路上有兩個或多個站同時開始傳送，便會產生沖突。所有發生沖突的站都結束發送，等待時機，然后再重復上述過程。
所有IEEE 802實現的產品都直接使用曼徹斯特編碼。IEEE 802允許的電纜最大長度為500米，為了使網絡擴展到較大范圍，多根電纜可以用中繼器連接起來。一個系統可以有多段電纜和多個中繼器，但兩個收發器之間不能超過2.5千米，任何兩個收發器之間的路徑上不能跨過多于4個中繼器。IEEE 802.3是基于概率統計的媒體訪問控制協議，某個站的運氣稍差一點時，其發送一個幀可能要等任意長的時間。另外，IEEE 802.3的幀沒有優先級，從而IEEE 802.3不適應實時系統。
網絡產品符合IEEE 802.3標準的以太網(Ethernet)，其拓撲結構是總線型的，訪問控制采用CSMA/CD方式，傳輸速率為10Mbps。
除此之外，在雙絞線以太網的基礎上發展起來的快速以太網(100Base-T)，符合IEEE 802.3u標準。IEEE 802.3u標準與IEEE 802.3(10Base-T)標準在媒體訪問方法、協議和數據幀結構方面基本相同，不同的是，IEEE 802.3u標準在速度上進行了升級。在拓撲結構上，快速以太網不是總線型拓撲結構，而是采用星型拓撲結構，快速以太網支持全雙工方式，使得實際數據傳輸速率能夠達到200Mbps。快速以太網可使原來10Base-T以太網的用戶在不改變網絡布線、網絡管理、檢測技術以及網絡管理軟件的情況下，順利地向100Mbps快速以太網升級。
任務2 了解網絡拓撲結構
任務展示
網絡拓撲是指網絡中各個端點相互連接的方法和形式。網絡拓撲結構反映了組網的一種幾何形式。
任務知識
網絡拓撲結構
局域網的拓撲結構主要有總線型、星型、環型、網狀以及混合型拓撲結構。
1. 總線型網絡結構
總線型拓撲結構采用單根數據傳輸線作為通信介質，所有的站點都通過相應的硬件接口直接連接到通信介質。
總線型網絡結構如圖1-1所示。
圖1-1 總線型網絡結構
(1) 總線型拓撲結構的主要優點有：
l 布線容易、電纜用量小。
l 可靠性高。
l 易于擴充。
l 易于安裝。
(2) 總線型拓撲結構的局限性：
l 故障診斷困難。
l 故障隔離困難。
l 中繼器配置。
l 通信介質或中間某一接口點若出現故障，整個網絡會隨即癱瘓。
2. 星型網絡結構
在星型結構的網絡中，每一臺設備都通過傳輸介質與中心設備相連，而且每一臺設備只能與中心設備交換數據。星型網絡結構如圖1-2所示。
(1) 星型拓撲結構的優點如下：
l 可靠性高。
l 方便服務。
l 故障診斷容易。
(2) 星型拓撲結構雖有許多優點，但也有缺點：
l 擴展困難、安裝費用高。
l 對中央節點的依賴性強。
圖1-2 星型網絡結構
3. 環型網絡結構
環型拓撲結構網絡是由一些中繼器和連接到中繼器的點到點鏈路組成的一個閉合環。在環型拓撲結構的網絡中，所有的通信共享一條物理通道。環型網絡結構如圖1-3所示。
圖1-3 環型網絡結構
(1) 環型拓撲結構具有以下優點：
l 電纜長度短。
l 適用于光纖。
l 可以進行無差錯傳輸。
(2) 環型拓撲結構的缺點如下：
l 可靠性差。
l 故障診斷困難。
l 調整網絡比較困難。
4. 網狀網絡結構
網狀拓撲結構將網絡中的站點實現點對點的連接。
雖然一個簡單的局域網可以是一個網狀網絡，但這種拓撲結構更常用于企業級網絡和廣域網。網狀網絡結構如圖1-4所示。
因特網就是網狀廣域網的一個例子。
圖1-4 網狀網絡結構
(1) 網狀拓撲結構的優點如下：
l 所有設備間采用點到點通信，沒有爭用信道現象，帶寬充足。
l 每條電纜之間都相互獨立，當發生故障時，故障隔離定位很方便。
l 任何兩站點之間都有兩條或者更多線路可以互相連通，網絡拓撲的容錯性極好。
(2) 網狀拓撲結構的缺點如下：
l 電纜數量多。
l 結構復雜、不易管理和維護。
5. 混合型網絡結構
(1) 星型總線結構
該混合拓撲結構組合了星型和總線構造。星型總線結構如圖1-5所示。
(2) 菊花鏈型結構
星型總線網絡拓撲還是過于簡單，而不能代表一種典型的中等規模局域網。菊花鏈型結構如圖1-6所示。
圖1-5 星型總線結構
圖1-6 菊花鏈型結構
(3) 層次結構
層次結構如圖1-7所示。
將拓撲結構層次化有以下幾種優點：
l 對不同的組進行帶寬隔離。
l 易于增加或隔絕不同的網絡組。
l 易于與不同的網絡類型互連。
因此，層次拓撲結構構成了高速局域網和廣域網設計的基礎。
圖1-7 層次結構
任務3 網絡工程項目的需求分析
任務展示
需求分析是網絡設計過程的基礎。無論從工作量，還是從重要性來看，它都占到了網絡系統工程約60%的份額。對網絡系統的設計和經費預算有直接的影響。
任務知識
3.1 網絡工程人員
系統集成人員應了解用戶需求，用戶方應了解技術方面的需求，兩者缺一不可。用戶需求會存在一些問題。
(1) 提不出具體需求，僅憑想象。
(2) 提出不切實際的、過高的要求。
(3) 不斷變化需求，使人無所適從。
因此，系統集成人員要引導用戶，將自己的想法告訴用戶，取得共識與諒解。
3.2 需求分析
1. 需求分析的目的
需求分析是網絡設計的基礎，需求分析需要我們與用戶溝通，并將用戶模糊的想法明確化和具體化，不正確的需求分析會導致網絡設計結果與用戶應用需求不一致，就會產生所謂的蠕動效果，使得項目被不斷地延期，甚至被迫終結。需求分析通常包括4個部分。
(1) 分析技術目標與約束：這是從技術角度分析未來網絡的功能需求是不是已經滿足用戶的需求。
(2) 識別商業目標和約束：理解網絡商業本質的關鍵步驟，它將貫穿網絡設計的整個過程，需要明確用戶的投資規模等。
(3) 刻畫未來網絡通信的需求特征。
(4) 刻畫現有網絡的特征。
2. 需求來源
進行需求分析時，首先要收集需求信息，需求的來源大致可以分為政策上和技術上兩個方面，通過細化，可以分為：決策者的建設思路、國家/行業政策、用戶技術人員細節描述、用戶能提供的各種資料等。這里比較有直觀效果的就是用戶技術人員的細節描述以及用戶能夠提供的各種資料。
3. 需求收集
需求收集從如下幾個方面進行。
(1) 商業需求：商業需求需要確定關鍵轉折點、確定網絡投資規模、預測增長率。
(2) 用戶需求：與用戶群交流、列出服務需求、列出性能需求。通常我們是從用戶的人員組織結構圖入手，比如采用一些問卷調查、集中訪談等方式交流，交流過程中必須找出哪些功能和服務是用戶完成工作所必需的，而網絡設計中，需要對這些服務需求進行整理。要注意的是，用戶并非總是從技術角度描述需求，而是從一些使用性能上來反映。
(3) 應用需求。分為可靠性/可用率、響應時間、安全性、可實現性、實時性等。
(4) 計算機平臺需求。
(5) 網絡需求。首先需要知道當前的網絡拓撲結構，其次，還需要看看當前這個網絡的網絡協議，還有就是安全需求、網絡設備和廣域網連接的手段等。
每個需求的收集都要形成文檔，有了文檔，才能很方便地完成后面一些工作的實施。
4. 需求分析整理
首先應該將當前的網絡業務情況總結出來，然后再進行新網絡建設思路的整理，包括線路的選擇、三網合一、安全性、可靠性、擴充性，以及今后的業務范疇。
3.3 可行性分析
1. 分析網絡應用的約束
商業的約束對網絡設計影響較高，也需要認真分析。
(1) 政策約束。
(2) 預算約束。
(3) 時間約束。
(4) 應用目標檢查表。
2. 網絡分析的技術指標
(1) 影響網絡性能的主要因素如下：
l 距離。
l 時效。
l 擁塞。
l 服務類型。
l 可行性。
l 信息冗余。
l 一點決定整體。
(2) 網絡性能參數如下：
l 時延。
l 吞吐量。
l 丟包率。
l 時延抖動。
l 路由器。
l 帶寬。
l 響應時間。
l 利用率。
l 效率。
(3) 可用性(Availability)：網絡或網絡設備可用于執行預期任務的時間總量(百分比)。
可用性 = (運行總時間 / 預期總時間) × 100%
(4) 可擴展性(Scalability)：可擴展性是指網絡技術或設備隨著客戶需求的增長而擴充的能力。主要包括的內容有信息點的增加，網絡的規模，服務器的數量等。
(5) 安全性(Security)：安全性設計是企業網設計的重要方面之一，它能防止商業數據和其他資源的丟失或破壞。
(6) 可管理性。
(7) 適應性。
3. 確定網絡的規模
(1) 確定網絡的規模即明確網絡建設的范圍，這是通盤考慮問題的前提。網絡規模一般分為以下4種：
l 工作組或小型辦公室局域網。
l 部門局域網。
l 骨干網絡。
l 企業級網絡。
(2) 確定網絡的規模涉及以下方面的內容：
l 哪些部門需要進入網絡。
l 哪些資源需要上網。
l 有多少網絡用戶。
l 采用什么檔次的設備。
l 網絡及終端設備的數量。
4. 網絡拓撲結構分析
拓撲結構分析要明確以下指標：
l 網絡接入點(訪問網絡的入口)的數量。
l 網絡接入點的分布位置。
l 網絡連接的轉接點分布位置。
l 網絡設備間的位置。
l 網絡中各種連接的距離參數。
l 其他結構化綜合布線系統中的基本指標。
3.4 網絡工程設計方案
不管是作為售前還是售后，當拿到一個項目的時候，都必須了解用戶的環境：他當前的應用以及他期望的應用有哪些？他當前使用的網絡產品和他期望使用的網絡產品。這些對于一個售前人員或者一個項目經理來說，都是必須事先了解的，這樣才可以給客戶提供所謂定制化的最優的網絡設計方案。
1. 企業網絡的構成
對于一個企業來說，企業網絡的構成，主要有如下6個方面。
(1) 應用軟件：指支持用戶完成一些特定操作的軟件，而對于應用軟件來說，它根據工作方式，分為單機模式和網絡模式兩種，不同的工作模式對網絡會有不同的需求。
(2) 計算平臺。
(3) 物理網絡及拓撲結構：指從網卡到網卡之間位于網絡之間的基礎結構，包括電纜、連接器、插線板、集線器等。
(4) 網絡軟件及工具軟件：網絡軟件是用來在客戶端和服務器之間傳輸信息的協議棧，對于網絡軟件來說，最主要的就是網絡操作系統。
(5) 網絡互聯設備：網絡設備的選擇在網絡設計中是一個關鍵的決策。
(6) 廣域網連接。
2. 網絡的生命周期
對于一個網絡，從設計好，到它生命的終止，主要分為如下4個階段。
(1) 網絡構思與計劃階段：必須明確網絡結構體系，了解客戶的需求，根據客戶的需求來給客戶設計一個最佳的網絡方案，這個方案必須考慮到相關的設計目標和一些有可能的約束情況，如果沒有正確的計劃和對未來發展的考慮，這種實施和擴展網絡都會變得非常困難。
(2) 分析與設計階段：這是網絡生命周期中一個非常重要的步驟，這個步驟主要考慮公司的整個需求，考慮用戶的需求，確定網絡結構。這個階段還需要輸出一些結果，比如用戶的需求說明書、網絡的邏輯圖、網絡物理連接圖、網絡地址的一些分配、物理設備說明、用戶確認文件等，這些都可以作為我們網絡實施的一些參考。
(3) 實施階段：指定項目經理、指定實施工程師，然后根據設計和分析的結果，完成網絡的實施。
(4) 運行與維護階段：一個網絡實施好了，如果沒有很好地維護，那它的生命力是不會長的，因此，實施過的網絡必須要有一整套運營和維護的手段，這個階段可能需要用戶不斷投資，來對網絡做有關的維護、改造、升級、換代等工作，這樣才可以保證我們一個網絡的生命周期很長，但是，這也會導致用戶針對網絡的連續投資。
3. 網絡設計目標
(1) 最低運作成本。
(2) 不斷增強的整體性能。
(3) 易于操作和使用。
(4) 充分的可靠性。
(5) 完備的安全性。
(6) 可擴展性。
作為投資方來說，它最關注的只有兩點：成本和性能，如何能夠達到最好的性價比，就是我們的目標。
任務4 網絡工程項目的設計方法
任務展示
對于以網絡設備實際物理地址為依據生成的拓撲圖，我們稱之為物理拓撲，物理拓撲的生成方式是根據SNMP協議掃描網絡自動生成的。物理拓撲可以反映出實際的物理網絡環境。這里給出一個物理拓撲圖的例子，如圖1-8所示。
圖1-8 物理拓撲圖
任務知識
4.1 物理拓撲圖
物理拓撲圖由于是根據網絡設備的實際物理地址進行掃描而得出的，所以它更加適合于網絡設備層管理，通過物理拓撲圖，一旦網絡中出現故障或者即將出現故障，就可以及時詳細地告訴網絡管理者是哪一臺網絡設備出了問題。舉個簡單的例子，當網絡中某臺交換機出現了故障時，通過物理拓撲圖，網絡管理系統可以告訴管理者在網絡里眾多的交換設備中，是哪一臺交換機的那一個端口出現了問題，通過這個端口連接了哪些網絡設備，便于網管人員進行維護。
對于物理拓撲圖來說，由于它是基于SNMP協議自動掃描網絡而生成的，在精確程度上，需要我們仔細地進行檢查。這是因為，網絡設備品牌型號眾多，如果想要生成精確的拓撲圖，就必須對不同品牌和型號的網絡設備的內部MIB庫有著足夠的了解。而網管系統廠商如果想把市場上所有的網絡設備的MIB庫掌握完全，顯然是不現實的，所以，沒有一家網絡管理系統的廠商敢于保證他們的產品在每一個網絡中都能生成100%準確的物理拓撲圖。換句話說，物理拓撲圖生成的準確與否，是網絡管理系統廠商長期積累的結果。同時，如果網絡中的某些備用設備沒有開啟，那么，在掃描生成物理拓撲圖的過程中，是無法發現這些沒有開啟的備用設備的。
4.2 網絡系統層次劃分
對于計算機網絡系統這樣一個十分復雜的系統，分層是系統分解的最好方法之一。利用分層的思想，可將計算機網絡表示為圖1-9所示的層次結構模型。
圖1-9 計算機網絡的層次結構模型
(1) 網絡層次結構的特點
① 以功能作為劃分層次的基礎。
② 第N層是第N-1層的用戶，同時是第N 1層的服務提供者。
③ 第N層向第N 1層提供的服務不僅包含第N層本身的功能，還包含第N層以下各層提供的服務。
④ 同一主機相鄰層之間都有一個接口，該接口定義了下層向上層提供的操作原語和服務。該接口中交換信息的地方稱為服務訪問點(SAP)，它是相鄰兩層實體的邏輯接口，即N層上面的SAP就是第N 1層可以訪問第N層的地方。
⑤ 除了在物理介質上進行的是實通信外，其余各對等層實體間進行的都是邏輯通信(虛通信)。除最低層外，一臺主機的第N層與另一臺主機的第N層進行通信，并不是同一層數據的直接傳送，而是將數據和控制信息通過層間接口傳送給相鄰的第N-1層，直至底層。在底層再通過物理介質實現與另一臺主機底層的物理通信(實通信)。
(2) 網絡層次結構中的協議
① 不同主機同一層次(對等層)實體之間進行的通信。
② 同一主機相鄰層的實體之間進行的通信。
(3) 網絡層次結構的優點
① 各層的功能明確，并且相互獨立。
② 易于實現和維護。
③ 易于實現標準化。
(4) 網絡層次結構的劃分原則
① 每層具有特定的功能，相似的功能盡量集中在同一層。
② 各層相對獨立，某一層的內部變化不能影響另一層，低層對高層提供的服務與低層如何完成無關。
③ 相鄰層之間的接口必須清晰，跨越接口的信息量應盡可能少，以利于標準化。
④ 層數應適中。若層數太少，每一層的功能太多，會造成協議太復雜；若層數太多，則體系結構過于復雜，難以描述和實現各層的功能。
4.3 有線網與無線網
有線網使用有形的傳輸介質，如電纜、光纖等，連接通信設備和計算機。在無線網絡中，計算機之間的通信是通過大氣空間(包括衛星)進行的。
從網絡的發展趨勢看，網絡的傳輸介質由有線技術向無線技術發展，網絡上傳輸的信息向多媒體方向發展。網絡系統由局域網向廣域網發展。
4.4 網絡安全措施
隨著網絡規模的不斷擴大、企業中連接部門的不斷增多、網絡中關鍵應用的不斷增加，網絡安全已不再是幾條規章制度所能保證的了，它已成為一個在網絡建設中需要認真分析、綜合考慮的關鍵問題。下面將從5個方面來討論保障網絡安全的若干措施。
1. 網絡設計方面的安全措施
在內部網絡設計中，主要考慮的是網絡的可靠性和性能，而如何確保網絡安全也是一個不容忽視的問題。
(1) 盡量避免使用電話撥號線路
如果使用X.25來組建網絡，由于撥入方具有電信局分配的唯一的X.121地址，被撥入方的路由器將識別這一地址，非法用戶難以入侵。而使用電話撥號線路來組建計算機網絡時，被撥入方難以確認撥號方的身份，容易形成安全漏洞。
(2) 采用網段分離技術
網段分離就是把網絡上相互間沒有直接關系的系統分布在不同的網段，由于各網段間不能直接互訪，從而可以減少各系統被正面攻擊的機會。以前，網段分離是物理概念，組網單位要為各網段單獨購置交換機等網絡設備�，F在有了虛擬網技術，網段分離成為邏輯概念，網絡管理員可以在網絡控制臺上對網段做任意劃分。
(3) 采用通信服務器
在安全方面有一個最基本的原則：系統的安全性與它被暴露的程度成反比。因此，建議引入通信服務器，各系統將要輸出的數據放置在通信服務器中，由它向外輸出，輸入的數據經由通信服務器進入內部的業務系統。由于將數據庫和業務系統封閉在系統內部，增加了系統的安全性。
2. 業務軟件方面的安全措施
在網上運行的網絡軟件需要通過網絡收發數據，要確保安全，就必須采用一些安全保障方式。
(1) 用戶口令加密存儲和傳輸
目前，絕大多數應用仍采用口令來確保安全，口令需要通過網絡來傳輸，并且作為數據存儲在計算機硬盤中。如果用戶口令仍以原碼的形式存儲和傳輸，一旦被讀取或竊聽，入侵者將能以合法的身份進行非法操作，絕大多數的安全防范措施將會失效。
(2) 分設操作員
分設操作員的方式在許多單機系統中早已使用。在網絡系統中，應增加網絡通信員和密押員等操作員類型，以便對用戶的網絡行為進行限制。
(3) 日志記錄和分析
完整的日志不僅要包括用戶的各項操作，而且還要包括網絡中數據接收的正確性、有效性及合法性的檢查結果，為日后網絡安全分析提供依據。對日志的分析還可用于預防入侵，提高網絡安全。
例如，如果分析結果表明某用戶某日失敗注冊次數高達20次，就可能是入侵者正在嘗試該用戶的口令。
3. 網絡配置方面的安全措施
要想使網段分離和通信服務器起作用，還需要由網絡配置來具體實施和保證，如用于實現網段分離的虛擬局域網配置。為進一步保證系統安全，還要在網絡配置中對防火墻和路由等方面做特殊的考慮。
(1) 路由
為了避免入侵者繞過通信服務器而直接訪問數據庫等內部資源，還應仔細進行路由的配置。
路由技術雖然能阻止對內部網段的訪問，但不能約束外界公開網段的訪問。為了確保通信服務器的安全運轉，避免讓入侵者借助公開網段對內部網構成威脅，我們有必要使用防火墻技術對此進行限定。
(2) 防火墻
H3C等公司的路由器通常都具有過濾型防火墻功能。這一功能通俗地說，就是由路由器過濾掉非正常IP包，把大量的非法訪問隔離在路由器之外。過濾的主要依據，是在源、目的IP地址和網絡訪問所使用的TCP或UDP端口號。幾乎所有的應用都有其固定的TCP或UDP端口號，通過對端口號的限制，可以限定網絡中運行的應用。
4. 系統配置方面的安全措施
這里的系統配置，是指主機的安全配置和數據庫的安全配置。據調查表明，85%的計算機犯罪是內部作案，因此這兩方面的安全配置也相當重要。在主機的安全配置方面，應主要考慮普通用戶的安全管理、系統管理員的安全管理及通信與網絡的安全管理。
(1) 網絡服務程序
任何非法的入侵最終都需要通過被入侵主機上的服務程序來實現，如果關閉被入侵主機上的這些程序，入侵必然無效。因此，這也是保證主機安全的一個相當徹底的措施。當然，我們不能關閉所有的服務程序，可以只關閉其中沒有必要運行的部分。
(2) 數據庫的安全配置
在數據庫的安全配置方面，應主要注意以下幾點。
① 選擇口令加密傳輸的數據庫。
② 避免直接使用超級用戶，超級用戶的行為不受數據庫管理系統的任何約束，一旦它的口令泄露，數據庫就毫無安全可言。
一般情況下，不要直接對外界暴露數據庫，數據收發可通過通信服務器進行。如果確實有此需要，最好以存儲過程的方式提供服務，并以最低的權限運行。
5. 通信軟件方面的安全措施
應用程序要發送數據時，先發往本地通信服務器，再由它發往目的通信服務器，最后由目的應用主動向目的通信服務器查詢、接收。
通信服務器上的通信軟件除了能在業務中不重、不錯、不漏地轉發業務數據外，還應在安全方面具有以下特點。
(1) 在本地應用與本地通信服務器間提供口令保護。應用向本地通信服務器發送數據或查詢，接收數據時要提供口令，由通信服務器判別IP地址及其對應口令的有效性。
(2) 在通信服務器之間傳輸密文時，可以采用SSL加密方式。如果在此基礎上再增加簽名技術，則更能提高通信的安全性。
(3) 在通信服務器之間也提供了口令保護。接收方在接收數據時，要驗證發送方的IP地址和口令，當IP地址無效或口令錯誤時，拒絕進行數據接收。
(4) 提供完整的日志記錄和分析。日志對通信服務器的所有行為進行記錄，日志分析將對其中各種行為和錯誤的頻度進行統計。
綜上所述，網絡安全問題是一個系統性、綜合性的問題。我們在進行網絡建設時，不能將它孤立考慮，只有層層設防，這個問題才能得到有效的解決。我們還應看到，像其他技術一樣，入侵者的手段也在不斷提高。在安全防范方面沒有一個一勞永逸的措施，只有通過不斷地改進和完善安全手段，才能保證不出現漏洞，保證網絡的正常運轉。
4.5 網絡工程設計與實施的步驟
1. 網絡工程設計的步驟
(1) 分析網絡用戶的需求。隨著業務環境和網絡技術的變化，用戶的網絡需求也會不斷地變化，需求分析不僅包括對業務的需求分析，還包括對網絡的擴展性、建設成本、運維成本的一些深入細致的分析。
(2) 網絡拓撲選擇。這是指我們根據客戶的需求，在網絡分層模型里面找到最符合我們用戶需求的網絡搭建模型。一般來說，是指所謂的三層模型結構：核心、分布和訪問層，有時候，我們會根據用戶的網絡規模，把它衍變成兩層或者多層的網絡架構。
(3) 網絡流量的分析。根據用戶當前網絡不同的業務需求來分析在這個新網絡里面的業務流量，有了業務流量，就可以根據業務流量來選擇不同的網絡技術了，比如帶寬是采用每秒百兆位還是千兆位，是采用幀中繼還是ADSL，分析網絡流量是為了完成后面的設備選型。
(4) 網絡設計和設備選擇。
2. 邏輯網絡設計過程
(1) 確定設計目標。根據不同用戶的差異，確定的設計目標是完全不一樣的，通常來說，設計目標要滿足給定服務水平的原始需求。設計目標可能包括以下幾個方面：
l 要有最低的運作成本。
l 不斷增強的整體性能。
l 易于操作和使用。
l 充分的可靠性。
l 完備的安全性。
l 可擴展性。
l 最短的故障響應時間。
l 最短的安裝花費。
(2) 完成網絡服務評價。不同的設計對網絡服務的要求也是不一樣的，主要的網絡服務包括以下兩個方面：
l 網絡管理考慮的因素。
l 網絡故障查找。
l 網絡的配置和重配置。
l 網絡監視。
l 網絡安全。標出需要保護的系統，對需要保護的系統實施物理上的安全防范。
l 標出網絡弱點和漏洞，防止入侵者或者未授權的使用者訪問資源。
l 安全管理：檢查訪問審核的程序，確定安全指導方針，從管理上進行安全防范。
(3) 完成技術評價。
對于技術評價來說，物理媒體和網絡拓撲結構的考慮是很重要的，在LAN和WAN里面都有很多不同的介質被考慮，各種不同的介質有各種不同的優缺點，另外，還有一個網絡互聯的考慮。不同設備有比較，采用什么樣的網絡設備實現連接。廣域網和局域網要求的設備也是不一樣的。
(4) 進行技術決策。
3. 網絡設備的選型
設計的最后一步就是設備的選擇，網絡設備選擇的依據，是需求分析獲得的各種網絡性能方面的數據，包括帶寬和拓撲結構等類型，然后再看接口類型和數量，針對它的有關特殊應用以及各層設備，它所要具備的一些性能綜合在一起，可以完成設備的選擇。
(1) 網絡設備層次選擇的原則：LAN和WAN要分開；局域網、廣域網分層的設計。
(2) 設備選擇的原則：設備檔次主要由設備的網絡位置來決定；可靠性要求；性能要求；接口數量要求；接口類型。
特別需要注意的是接口數量和接口類型，如果要求接口數量多，要求高速接口連接，那一般這個設備檔次就會要求更高。
網絡設計完成后，必須要有一些相關的輸出資料，以滿足下一步如網絡工程實施、備案。做參考方案建議書首先是設備選型的指導，其次是網絡設計的記錄。
一個全面的設計，除了上面的描述之外，還要包括安全設計思路、QOS設計思路、可靠性方面的考慮、擴展性方面的考慮和設備的介紹等。
項目小結
本項目主要介紹了網絡工程設計的相關概念，以及網絡結構和協議。沒有涉及“任務實施”的環節，希望讀者在此基礎上，能夠根據網絡工程的實際，進行正確的需求分析，并掌握網絡工程設計的方法，在網絡工程設計與實施中做到學以致用。
項目檢測
一、選擇題
(1) 網絡設計涉及的核心標準是( )和IEEE兩大系列。
A. RFC B. TCP/IP C. ITU-T D. Ethernet
(2) 計算機網絡在傳輸和處理文字、圖形、聲音、視頻等信號時，所有這些信息在計算機中都必須轉換為( )的形式進行處理。
A. 二進制數 B. 數據 C. 模擬信號 D. 電信號
(3) 大型系統集成項目的復雜性體現在技術、成員、環境、( )四個方面。
A. 時間 B. 投資 C. 制度 D. 約束
(4) ( )技術的核心思想是“整個因特網就是一臺計算機”。
A. 網絡 B. 因特網 C. 以太網 D. 網格
(5) 對需求進行變更時，網絡工程師應當對( )、影響有真實可信的評估。
A. 設計方案 B. 需求分析 C. 質量 D. 成本
(6) 電信企業對網絡設備要求支持多種業務，以及較強的( )能力。
A. 通信 B. QOS C. 服務 D. 網絡
(7) 大型校園網外部一般采用雙出口，一個出口接入到寬帶ChinaNet，另外一個出口接入到( )。
A. 城域網 B. 接入網 C. CERNet D. Internet
(8) 支持廣播網絡的拓撲結構有總線型、星型和( )。
A. SDH B. ATM C. 環網 D. 蜂窩型
(9) 對于用戶比較集中的環境，由于接入的用戶比較多，因此交換機應當提供( )功能。
A. 堆疊 B. 級聯 C. 路由 D. 3層交換
(10) ( )是一種數據封裝技術，它是一條點到點的鏈路，通過這條鏈路，可以連接多個交換機中的VLAN組成員。
A. STP B. VLAN C. Trunk D. DNS
(11) 數據包丟失一般是由網絡( )引起的。
A. 死機 B. 斷線 C. 擁塞 D. 安全
(12) 完全不發生任何數據碰撞的以太網是不存在的，一般小于( )%的碰撞率是可以接受的。
A. 1 B. 5 C. 10 D. 15
(13) 集中式服務設計模型是將所有服務子網設計在網絡( )。
A. 接入層 B. 匯聚層 C. 核心層 D. 骨干層
(14) IEEE 802.1w標準的生成樹技術可以將收斂時間縮短為( )秒之內。
A. 1 B. 4 C. 10 D. 40
(15) ( )指可用信道與接入用戶線的比例。
A. 集線比 B. 接入比 C. 匯聚比 D. 信噪比
(16) 計算機網絡是計算機技術和( )技術相結合的產物。
A. 通信 B. 網絡 C. Internet D. Ethernet
(17) 城域網往往由多個園區網以及( )、傳輸網等組成。
A. 校園網 B. 以太網 C. 電信網 D. 接入網
(18) ( )標準化組織主要由計算機和電子工程學等專業人士組成。
A. ITU B. IEEE C. ISO D. RFC
(19) 網絡分層設計中，( )層的主要功能是實現數據包高速交換。
A. 邊緣層 B. 接入層 C. 匯聚層 D. 核心
(20) 協議隔離指兩個網絡之間存在直接的物理連接，但通過( )來連接兩個網絡。
A. 專用協議 B. 專用軟件 C. 通用協議 D. 通用軟件
二、填空題
(1) 城域網信號傳輸距離比局域網長，信號更加容易受到環境的( )。
(2) 可以將“信息系統”分解為( )系統、硬件系統和軟件系統三大部分。
(3) 系統集成涉及用戶、系統集成商、第三方人員、社會評價部門，它們之間既有共同的( )，也有不同的期望。
(4) 在網絡工程設計階段，風險存在于不必要的帶入過多的( )。
(5) 按照網絡信號傳輸方式，可以將網絡分為( )網絡和點對多點網絡兩種類型。
(6) 網絡冗余設計的目的有兩個，一是為了提供網絡備用；二是為了( )。
(7) ( )是基于增加帶寬的需要，可以將幾條鏈路捆綁在一起，以增加鏈路帶寬。
(8) 符合(G.652 )標準的光纖在我國占90%以上的市場。
(9) 網絡的功能分層與各層通信協議的集合稱為( )。
(10) 網絡設計包括邏輯設計、物理設計、軟件規劃和( )等工作。
三、判斷題
(1) 城域IP網可采用與局域網大體相同的技術，也可采用與局域網完全不同的技術。 ( )
(2) 在標準制訂的過程中，用戶的作用非常明顯。 ( )
(3) 以太網的誤碼率一般在10E-20以下。 ( )
(4) OSI/RM給出了計算機網絡的一些原則性說明，是一個具體的網絡協議。 ( )
(5) 網絡層數越多，建設成本和運行維護成本也會越高。 ( )
(6) 當兩臺主機企圖同時將信號發往同一個目的端口時，就會產生信號沖突。 ( )
(7) 廣播式網絡主要用于局域網、城域網、廣域網中。 ( )
(8) 網絡物理隔離卡與操作系統無關，兼容所有操作系統，可以應用于所有IDE標準硬盤。 ( )
四、簡答題
(1) 網絡邏輯設計主要包括哪些工作？
(2) 對用戶網絡設備狀態進行需求分析時需要了解哪些情況？
(3) 網絡擴展時應當滿足哪些要求？
(4) 對用戶網絡服務進行需求分析時需要了解哪些情況？
(5) 匯聚層的主要功能有哪些？
新書資訊