基于OSPF的企业内网安全优化

于 2024-04-02 11:18:48 发布
阅读量1.7k 收藏 26
点赞数 11
分类专栏： 网络规划与设计 文章标签： 网络 ensp 企业网 校园网 ospf 网络协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_59193722/article/details/137262664
版权

1.拓扑

2.IP地址规划

设备/地址/vlan设备/地址
汇聚交换机/VLAN10192.200.10.0/24
汇聚交换机/VLAN20192.200.20.0/24
汇聚交换机/VLAN30192.200.30.0/24
汇聚交换机/VLAN40192.200.40.0/24
汇聚交换机/VLAN50192.200.50.0/24
汇聚交换机/VLAN60192.200.60.0/24
防火墙/VLAN70/服务器网段192.200.70.0/24
防火墙/VLAN80/服务器网段192.200.80.0/24

3.使用协议说明

VLAN-----------------隔离广播域，优化内网用户上网体验

SVI-------------Vlan间三层通信

DHCP---------------内网主机 自动获取IP地址

OSPF------------------提供内网路由的学习

MSTP--------------------多实例生成树，打破二层环路的同时，实现多vlan的负载均衡

VRRP------------------起到网关冗余作用

NAT--------------------地址转换，提供用户访问互联网

防火墙安全策略----------------------------提供安全策略的访问控制，以及高级的防病毒、入侵检测功能

链路聚合----------------提供链路带宽

4.设备选型

序号设备名称品牌规格单位及性能及指标产地
型号数量
1接入交换机华为CloudEngine S5731-H24P4XC30S5731-H24P4XC(24个10/100/1000BASE-T以太网端口,4个万兆SFP+,单子卡槽位,PoE+,不含电源)
2汇聚交换机华为CloudEngine S6730-H24X6C2S6730-H24X6C(24个万兆SFP+,6个40GE QSFP28，可选license升级到6个100GE QSFP28,不含电源
3核心路由器华为AR2204-24GE4AR2204-24GE(3GE WAN(1GE Combo),24 GE,1 USB,4 SIC,60W AC Power)
4防火墙华为Secospace USG6310S3USG6310S-W交流主机(8GE电,1GB内存),WIFI 2.4G+5G

5.网络配置实施

二层划分vlan、以及接口配置

interface Ethernet0/0/1

 port link-type access

 port default vlan 10

#

interface Ethernet0/0/2

 port link-type access

 port default vlan 10

#

interface Ethernet0/0/3

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/1

 port link-type access

 port default vlan 20

#

interface Ethernet0/0/2

 port link-type access

 port default vlan 20

#

interface Ethernet0/0/3

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/1

 port link-type access

 port default vlan 30

#

interface Ethernet0/0/2

 port link-type access

 port default vlan 30

#

interface Ethernet0/0/3

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/1

 port link-type access

 port default vlan 40

#

interface Ethernet0/0/2

 port link-type access

 port default vlan 40

#

interface Ethernet0/0/3

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/1

 port link-type access

 port default vlan 50

#

interface Ethernet0/0/2

 port link-type access

 port default vlan 50

#

interface Ethernet0/0/3

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/1

 port link-type access

 port default vlan 60

#

interface Ethernet0/0/2

 port link-type access

 port default vlan 60

#

interface Ethernet0/0/3

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

interface Ethernet0/0/4

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#

双汇聚交换机上，进行三层SIV接口配置及路由器物理接口以及VRRP配置

汇聚交换机1：

[Huawei]int vlan 10

[Huawei-Vlanif10]ip add 192.200.10.1 255.255.255.0

[Huawei-Vlanif10]vrrp vrid 10 virtual-ip 192.200.10.254

[Huawei-Vlanif10] vrrp vrid 10 priority 120

[Huawei-Vlanif10]int vlan 20

[Huawei-Vlanif20]ip add 192.200.20.1 255.255.255.0

[Huawei-Vlanif20]vrrp vrid 20 virtual-ip 192.200.20.254

[Huawei-Vlanif20] vrrp vrid 20 priority 120

[Huawei-Vlanif20]int vlan 30

[Huawei-Vlanif30]ip add 192.200.30.1 255.255.255.0

[Huawei-Vlanif30]vrrp vrid 30 virtual-ip 192.200.30.254

[Huawei-Vlanif30] vrrp vrid 30 priority 120

[Huawei-Vlanif30]int vlan 40

[Huawei-Vlanif40]ip add 192.200.40.1 255.255.255.0

[Huawei-Vlanif40]vrrp vrid 40 virtual-ip 192.200.40.254

[Huawei-Vlanif40]int vlan 50

[Huawei-Vlanif50]ip add 192.200.50.1 255.255.255.0

[Huawei-Vlanif50]vrrp vrid 50 virtual-ip 192.200.50.254

[Huawei-Vlanif50]int vlan 60

[Huawei-Vlanif60]ip add 192.200.60.1 255.255.255.0

[Huawei-Vlanif60]vrrp vrid 60 virtual-ip 192.200.60.254

汇聚交换机2：

[Huawei]int vlan 10

[Huawei-Vlanif10]ip add 192.200.10.2 255.255.255.0

[Huawei-Vlanif10]vrrp vrid 10 virtual-ip 192.200.10.254

[Huawei-Vlanif10]int vlan 20

[Huawei-Vlanif20]ip add 192.200.20.2 255.255.255.0

[Huawei-Vlanif20]vrrp vrid 20 virtual-ip 192.200.20.254

[Huawei-Vlanif20]int vlan 30

[Huawei-Vlanif30]ip add 192.200.30.2 255.255.255.0

[Huawei-Vlanif30]vrrp vrid 30 virtual-ip 192.200.30.254

[Huawei-Vlanif30]int vlan 40

[Huawei-Vlanif40]ip add 192.200.40.2 255.255.255.0

[Huawei-Vlanif40]vrrp vrid 40 virtual-ip 192.200.40.254

[Huawei-Vlanif40] vrrp vrid 40 priority 120

[Huawei-Vlanif40]int vlan 50

[Huawei-Vlanif50]ip add 192.200.50.2 255.255.255.0

[Huawei-Vlanif50]vrrp vrid 50 virtual-ip 192.200.50.254

[Huawei-Vlanif50] vrrp vrid 50 priority 120

[Huawei-Vlanif50]int vlan 60

[Huawei-Vlanif60]ip add 192.200.60.2 255.255.255.0

[Huawei-Vlanif60]vrrp vrid 60 virtual-ip 192.200.60.254

[Huawei-Vlanif60] vrrp vrid 60 priority 120

MSTP配置

stp region

 region-name Huawei

 instance 1 vlan 10 20 30 

 instance 2 vlan 40 50 60

 active region-configuration

调整MSTP实例优先级

[Huawei]stp instance  1 root  primary  

[Huawei]stp instance  2 root  secondary  

链路聚合配置

[Huawei-Eth-Trunk0]trunkport GigabitEthernet  0/0/23 to 0/0/24

[Huawei-Eth-Trunk0]port link-type t

[Huawei-Eth-Trunk0]port trunk allow-pass vlan all

DHCP配置

定义DHCP地址池：

ip pool vlan10

network 192.200.10.0 mask 255.255.255.0

  dns-list 114.114.114.114

 gateway-list 192.200.10.254

ip pool vlan20

network 192.200.20.0 mask 255.255.255.0

  dns-list 114.114.114.114

 gateway-list 192.200.20.254

ip pool vlan30

network 192.200.30.0 mask 255.255.255.0

  dns-list 114.114.114.114

 gateway-list 192.200.30.254

ip pool vlan40

network 192.200.40.0 mask 255.255.255.0

  dns-list 114.114.114.114

 gateway-list 192.200.40.254

ip pool vlan50

network 192.200.50.0 mask 255.255.255.0

  dns-list 114.114.114.114

 gateway-list 192.200.50.254

ip pool vlan60

network 192.200.60.0 mask 255.255.255.0

  dns-list 114.114.114.114

 gateway-list 192.200.60.254

开启DHCP以及接口下调用

[Huawei] dhcp enable

[Huawei]  int vlan 10

[Huawei-Vlanif10]  dhcp se g

[Huawei-Vlanif10] int vlan 20

[Huawei-Vlanif20]  dhcp se g

[Huawei-Vlanif20] int vlan 30

[Huawei-Vlanif30]  dhcp se g

[Huawei-Vlanif30] int vlan 40

[Huawei-Vlanif40]  dhcp se g

[Huawei-Vlanif40] int vlan 50

[Huawei-Vlanif50]  dhcp se g

[Huawei-Vlanif50] int vlan 60

[Huawei-Vlanif60]  dhcp se g

路由协议OSPF配置

ospf 1

area 0.0.0.0

  network 10.0.0.0 0.0.255.255

 area 0.0.0.1

  network 192.200.0.0 0.0.255.255

配置OSPF优化，配置静默端口

[Huawei-ospf-1]silent-interface Vlanif  10

[Huawei-ospf-1]silent-interface Vlanif 20

[Huawei-ospf-1]silent-interface Vlanif 30

[Huawei-ospf-1]silent-interface Vlanif 40

[Huawei-ospf-1]silent-interface Vlanif 50

[Huawei-ospf-1]silent-interface Vlanif 60

核心层配置

[Huawei]ospf 1

[Huawei-ospf-1]a 0

[Huawei-ospf-1-area-0.0.0.0]network  10.0.0.0 0.0.255.255

出口防火墙配置安全策略

security-policy

 rule name ISP

  source-zone trust

  destination-zone untrust

  action permit

防火墙NAT策略

rule name ISP

  source-zone trust

  destination-zone untrust

  action source-nat easy-ip

防火墙做NAT SERVER 映射

[USG6000V1]nat server  protocol  tcp  global  100.100.100.100 8080 inside  192.2

00.80.10 www

服务器区域防火墙配置

security-policy

 rule name server

  source-zone trust

  destination-zone dmz

  action permit

#

6.网络测试

私信获取

网络设计ensp
关注
专栏目录
OSPF 实验
weixin_43774222的博客
11-23 1194
OSPF 实验 1.实验拓扑图 2.子网划分，配置地址 为了在最后能够有效的优化网络，在这里需要有策略的划分网段，先按照区域划分，然后将划分的子网根据区域内的情况在划分，这样可以更好的汇总路由。然后根据划分配置好各网段的地址。 172.16.0.0 /16 172.16.64.0/19--区域0 172.16.64.0/21 172.16.72.0/21 172.16.80.0/21 172....
OSPF综合实验
最新发布
2302_76218258的博客
04-21 1058
1.全网通（R1 ping R4环回 R1 ping R5环回 R1 ping R10环回 R1 ping R12环回）（2）.考虑优化选择多进程双向重发布——在R9上删除area4的宣告进入OSPF进程2，将进程1和进程2互相发布到对方的OSPF进程中。3.配置MGRE R3作为中心站点 R5-R6-R7作为分支站点。2、R3-R5、R6、R7为MGRE环境，R3为中心站点；5.配置汇总后空接口防环（R-3-6-7-9-12都配置）
-基于OSPF中小企业网络工程的设计与实现
04-24
随着中小型企业的高速发展，对网络处理和传输性能提出了新的要求。由于网点接入路由器和终端接入设备年代较久，性能和扩展能力都出现了瓶颈，严重影响网点业务的发展和客户服务质量。为此本论文设计了一个中小型企业的网络工程，从而解决了由于设备性能低下出现瓶颈的问题，而且提高了企业网络工程的扩展能力。 本论文首先讨论了中小企业网的背景、意义、应用现状以及研究与开发现状，然后对OSPF协议、DHCP协议、VLAN的划分、静态路由以及数据流控制等相关技术理论作了简单的论述，其次结合工程项目，论述了企业网络的需求分析、整体设计，其中包括对IP地质的划分，网络拓扑图等做了分析和描述。接下来，论文着重讨论了基于OSPF协议的网络工程的设计和实现，详细地论述了各个协议的运用和实现方法。最后，对整个网络进行了测试。 关键词：网络工程；协议；性能；扩展 ABSTRACT With the rapid development of small and medium enterprises, this network processing and network transmission performance and scalability of terminal smooth raised new demands. As the network access routers and terminal access device's longer, performance and scalability bottlenecks have appeared, it affect the network business development and customer service. To this end this paper, an application of existing small and medium enterprises in network engineering, to solve the poor performance bottleneck because the equipment problems, and improve the ability of the corporate network expansion project. This paper first discusses the background of small and medium networks, meaning, application status, and research and development status, Then on the OSPF protocol, DHCP protocol, VLAN classification, static routing and data flow control and other related technology theory briefly discussed, Secondly, combined with the project, specifically addressing the needs of the corporate network analysis, overall design, including the division of IP addresses, network topology maps were analyzed and described. Next, the paper focused on the OSPF protocol-based network engineering design and implementation. Discussed in detail in the paper the use of various agreements and implementation methods. Finally, test the entire network. Keywords: Network engineering; protocol; performance; expansion
ospf在企业网中的应用
weixin_33951761的博客
08-01 229
ospf简介: 开放式最短路径优先协议ospf是一个内部网关协议，它总坐在一个自制系统中，用于自制系统内部的路由选择信息交换.协议号89. ospf协议特点: 1:可使用大规模网络,没有跳数限制. 2:路由收敛速度块. 3:无路由环路产生. 4:支持变长子网掩码VLSM. 5...
OSPF在企业网中的应用
weixin_34346099的博客
08-01 243
一 、OSPF的工作原理 OSPF（Open Shortest Path First， 开放式最短路径优先）是一个内部网关协议（Inner Gateway Protocol，简称IGRP），用于在单一自治系统（Autonomous System，简称AS）内决策路由。OSPF是链路状态（L-S）路由协议，采用SPF算法，在一个AS中，所有的OSPF路由器都维...
企业常用OSPF组网配置示例
Richardlygo的博客
11-24 4325
转载至：企业常见ospf组网配置示例 企业常用OSPF组网配置示例 1、组网需求 图1、企业常用ospf组网示例图（点击图片放大查看高清示例图） 如上图1要求各分公司与总公司之间用ospf连接。 由于特殊原因，新成立的分公司3无法与总公司直连，所以通过分公司2做vlink peer来实现与总公司的ospf连接。 2、配置思路 创建vlan把不同用户加入不同的vlan，实现二层隔离 总公司与分公司直连的连接采用trunk端口来实现通信 3、具体配......
使用OSPF协议实现企业内部网络所有网段的互连互通
张毅轩的博客
01-03 1万+
摘  要随着网络技术的发展，互联网正影响着各个领域的企业。企业局域网的建设的企业走向信息化发展的必经之路。模拟搭建大型企业局域网可以在条件有限的环境下研究这一意义重大的课题。企业局域网的要求概括起来可归纳为四点：高效、稳定、安全、可扩展。基于以上四点的企业局域网需求，本次课程设计决定采用基于三层网络构架的拓扑结构。利用思科模拟器来呈现整个企业局域网的环境。本次设计采用了OSPF（开放最短路径优先）...
内网安全：Web/Portal认证与以太网安全挑战
内网安全涉及多种威胁，包括广播风暴、MAC地址泛洪攻击、生成树攻击、DHCP欺骗、ARP欺骗、VLAN局限性及攻击、VTP攻击、无线攻击、安全接入、病毒攻击、ACL策略、DDoS攻击、网络窃听、RIP攻击、OSPF攻击、HSRP攻击...
内网安全：QoS需求下的应用挑战与以太网解决方案
针对内网安全威胁，文章列举了一系列可能的攻击手段，如广播风暴、MAC地址泛洪攻击、生成树攻击、DHCP欺骗、ARP欺骗、VLAN跳跃攻击、VTP攻击、无线攻击等，这些都是QoS优化中必须考虑的因素，因为它们可能会严重影响...
内网安全：故障监测与以太网交换机的MAC地址学习
"本文主要探讨了内网安全中的各种威胁，包括广播风暴、MAC地址泛洪攻击、生成树攻击、DHCP欺骗、ARP欺骗、VLAN局限性与攻击、VTP攻击、无线攻击、安全接入问题、病毒攻击、ACL策略应用、DDoS攻击、网络窃听、RIP攻击...
基于OSPF技术的某企业网络设计（完整文档+ENSP拓扑图)
热门推荐
qq1325513482的博客
07-14 1万+
主要对网络规划与设计，以企业网络为背景，对某个中型企业网络进行规划设计，该企业总部在南京，在常州有一个分公司，需要实现总部和分公司能够访问外网，能够让分公司内的用户或主机访问总部服务器的资源，并且保证数据的安全性。在这次总部企业网络设计中，考虑到资金的问题，核心层部署2台核心三层交换机，负责转发总部内部用户的流量，并充当内部用户网关，能够实现内部不同网段的用户之间的连通性。对于一些对网络比较敏感的企业或用户，对网络的要求较高，对于网络的稳定性和安全性也有较高的要求。
企业网架构——OSPF协议
m0_63645854的博客
03-27 190
(1) 建立邻居和邻接关系1.路由器组播发送hello信息，来建立邻居关系2.通过选举DR和BDR来建立连接关系，使后续链路信息交互过程更加高效有序DRother和DR会建立邻接关系DRother和BDR建立邻接关系DR和BDR建立邻接关系DRother直接任保持邻居关系(2) 邻接路由器通过交互链路状态信息，实现区域内的链路状态数据库的同步1.相关概念(1)LSA链路状态公告、链路状态信息——路由器产生的用于描述某一个接口或网段路由信息(2)LSDB。
经典企业网内部OSPF路由选路
xiaogaoxiaoyuan的博客
10-14 695
实验： 为了增加网络带宽以及网络流量的监控 ，本公司设置了俩台专门负责办公和业务的路由器。 要求： 1、全网可达 2、分部办公网络只能走办公路由器，分部业务网络智能走分部路由器。 3、路由器之间采取OSPF的方式进行联通 配置思路：首先我们想，流量要分开走，必须要上策略，前缀列表必须在重发布上完成，所以我们需要俩个进程。在办公路由器和业务路由器上进行重分布的配置。 配置： R1: interface LoopBack0 ip address 10.1.1.1 255.255.255.0 ospf ne
ospf 在企业网中的应用
weixin_34256074的博客
08-01 350
首先综述一下ospf相对于其他内部网关协议的优点：ospf是一种链路状态协议，收敛速度快，占用资源较少，支持区域划分，通过区域的划分分为骨干区域和非骨干区域，可避免路由环路的产生，非骨干区域只和骨干区域进行通讯建立邻居，这样既可以减少路由器的资源浪费亦可以避免路由环路，最重要的是ospf支持大型网络，不像rip最大支持16跳，把网络限制在15台路由器内，在网络的扩展上...
【计算机网络】内部网关协议：OSPF
暮色年华的博客
11-02 841
OSPF
内网路由配置优化-NETCORE NR238
baidu_41755565的博客
10-23 1538
前言：记录几个遇到的问题。1、IP不够用。2、如何有效限速。 问题一：NR238只能带动32个IP，若超过上限，则多余的设备无法联网。 方案：设置合理的续租时间，释放离线设备的IP，供后来者使用。如下图： 释放ip 地址租期的作用： 例如租期为120分钟，设备在连接路由器时被分配一个IP地址，地址租期开始计时 1、设备持续在线120分钟，IP地址自动续租，租期重新计时。 2、设备在租期...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

网络设计ensp

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值