当前位置：文档之家 › 第沈鑫剡编著《计算机网络工程》3章配套课件

第沈鑫剡编著《计算机网络工程》3章配套课件

  • 格式：ppt
  • 大小：1.89 MB
  • 文档页数：28

下载文档原格式

  / 28

合集下载

沈鑫剡编著(网络安全)教材配套课件第3章

沈鑫剡编著(网络安全)教材配套课件第3章

C1 28 位 D1
选位和置换运算1（P1）所完 成的功能就是从64位密钥k中提取 出真正用作密钥的56位，得到的结 果被分成两部分，前28位作为C0， 后28位作为D0；
这两部分分别循环左移n1位。 产生不同的子密钥时，循环左移的 位数是不同的； 选位和置换运算2（P2）所完 成的功能就是从循环左移后得到的 56位结果中提取48位。
Ri ┇ Kn

Ln Ln+1 W位 2W 位密文
F
Rn
Li-1=Ri⊕F（Ri-1，Ki）＝ F（ Li ，Ki） 加密解密算法的复杂度取决于函数F的运 算复杂度，函数F往往由多次替代和置换 运算实现。
计算机网络安全
Rn+1 W位
网络安全基础
二、 分组密码体制
（2）替代运算 替代是将数据段中的二进制数分段， 每一段二进制数用对应的编码代替。 （3）置换运算 置换运算是按照置换规则重新排列数 据段中二进制数的顺序。
计算机网络安全
网络安全基础
三、 密码体制分类
1．对称密钥体制和非对称密钥体制 如果加密密钥ke等于解密密钥kd，这 种密钥体制称为对称密钥体制。 如果加密密钥ke不等于解密密钥kd， 且无法由一个密钥直接导出另一个密钥， 这种密钥体制称为非对称密钥体制。非对 称密钥体制也称为双密钥密码体制。
计算机网络安全
密文 Y 明文分段； 每一段单独加密，产生密文； 各段密文组合成最终密文 如果明文内容有规律重复，密文内容也同样有规律重复，降低保密性。
计算机网络安全
网络安全基础
二、 分组密码体制
IV P1 P2 Pn
（2）加密分组链接模式

K E Y1 K

E …
Yn－1 K

沈鑫剡编著(网络安全)教材配套课件第10章

沈鑫剡编著(网络安全)教材配套课件第10章

虚拟专用网络
三、 VPN分类
Web 服务器 HTTP HTTPS 终端 SSL VPN 网关 SMTP+POP3 FTP FTP 服务器 邮件服务器
SSL VPN
远程终端通过HTTPS访问SSL VPN网关。以此实现远程终端与SSL VPN网关之间 的双向身份鉴别，保证远程终端与SSL VPN网关之间传输的数据的保密性和完整性。 SSL VPN网关作为中继设备，可以将远程终端访问内部网络资源的请求消息转 发给内部网络中的服务器，也将内部网络服务器发送的响应消息，转发给远程终端。
缺点：互连子网的专用点 对点物理链路的低效率、 高费用和不方便。
计算机网络安全
虚拟专用网络
一、企业网和远程接入
Modem PSTN 终端
实现远程接入的网络结构
可以随时随地连接到PSTN ； 可以按需建立与路由器R之间的语音信 道。
R
内部网络

缺点：需要支付昂贵的长 途费用；语音信道利用率 不高；语音信道的数据传 输速率受到严格限制。
第一次交互过程双方约定安全传输通道使用的加密算法3DES和报文摘 要算法MD5，同时完成用于生成密钥种子KS的随机数YA和YB的交换过程。
第二次交互过程双方约定安全关联使用的安全协议ESP，ESP使用的加 密算法AES和MAC算法HMAC-MD5-96。同时通过证书和数字签名完成双方身 份鉴别过程。第二次交互过程双方传输的信息是用3DES加密算法和通过密 钥种子KS推导出的密钥K加密后的密文。
虚拟专用网络
三、 VPN分类
内部网络 Web 服务器
Internet 终端 SSL VPN 网关
邮件服务器
FTP 服务器
SSL VPN
SSLVPN也是一种实现远程终端访问内部网络资源的技术，SSL VPN的 核心设备是SSL VPN网关，SSL VPN网关一端连接互联网，另一端连接内 部网络。

计算机网络安全课件(沈鑫剡)第3章

计算机网络安全课件(沈鑫剡)第3章
明文 P E K

密文 Y
D K
明文 P
Y=EK（P）; P=DK（Y）； P=DK（ EK（P） ）=EK（ DK（P） ）。
计算机网络安全
网络安全基础
对称密钥加密算法

加密、解密算法是公开的； 安全性完全取决于密钥K的安全性。
保证密钥安全性的两种机制： 一次一密，密钥之间没有任何相关性； 在公开加密、解密算法，获取多对明文/ 密文对的前提下，无法推导出密钥K。
计算机网络安全
网络安全基础
对称密钥加密算法
流密码体制
发送端 P

接收端

P
Ki ｛K1 K2 K3，…，KN｝ 密钥集

Ki
无穷大的密钥集，密钥不可能重复，密钥之间没有任何相关性。 密文Y=P⊕Ki，因此，很容易根据明文和密文得出密钥， Ki = P⊕Y。 密钥的安全性在于不重复、不可预测。 计算机网络安全
根据上述规则，一旦满足条件MD（P）=EPKA（数字签名），得出数字签名 ＝DSKA（MD（P）），可以断定报文P由知道私钥SKA的用户发送，知道私 钥SKA的用户是和公钥PKA绑定的用户。
计算机网络安全
网络安全基础
3.4 认证协议


Kerberos； TLS； EAP和802.1X； RADIUS。

明文 明文 ） P P P‖DSKA（MD（P） 数字 签名 数字 签名
MD E PKA
相等，明文 P 认定是用户 A 所发
不相等，明文 P 无效
规则一：EPKA（DSKA（P））=P，通过公钥PKA加密还原的一定是通过私 钥SKA解密运算的结果；

规则二：无法根据报文摘要h，求出报文X，且使得MD（X）＝h；

沈鑫剡编著(网络安全)教材配套课件第11章

沈鑫剡编著(网络安全)教材配套课件第11章

计算机网络安全
防火墙
五、防火墙的局限性

无法防御网络内部终端发起的攻击； 无法阻止病毒传播； 无法防御利用防火墙安全策略允许的信息传输过 程实施的攻击行为。
计算机网络安全
防火墙
11.2 分组过滤器
本讲主要内容 无状态分组过滤器； 有状态分组过滤器。
计算机网络安全
防火墙
一、无状态分组过滤器
防火墙的作用是控制网络1与网络2之间传输的信息流， 所谓控制是指允许网络1与网络2之间传输某种类型的信息流， 阻断另一种类型的信息流网络1与网络2之间的传输过程。允 许和阻断操作的依据是为防火墙配置的安全策略。
计算机网络安全
防火墙
三、防火墙分类
防火墙
个人防火墙
网络防火墙
分组过滤器
分组过滤器电路层代理Biblioteka 计算机网络安全防火墙
一、引出防火墙的原因
数据交换过程 Internet 路由器 数据交 换过程 用户终端 黑客终端
内部网络
安全的网络系统既要能够保障正常的数据交换过程，又 要能够阻止用于实施攻击的数据交换过程。 防火墙一是能够检测出用于实施攻击的信息流，并阻断 这样的信息流。二是能够允许正常信息流通过。
计算机网络安全
防火墙
一、无状态分组过滤器
路由器R1接口1输入方向的过滤规则集如下。 ①协议类型＝TCP，源IP地址＝192.1.1.1/32，源端口号＝*， 目的IP地址＝192.1.2.7/32，目的端口号＝80；正常转发。 ②协议类型＝TCP，源IP地址＝192.1.1.7/32，源端口号＝21， 目的IP地址＝192.1.2.1/32，目的端口号＝*；正常转发。 ③协议类型＝TCP，源IP地址＝192.1.1.7/32，源端口号＝20， 目的IP地址＝192.1.2.1/32，目的端口号＝*；正常转发。 ④协议类型＝*，源IP地址＝any，目的IP地址＝any；丢弃。

计算机网络安全课件(沈鑫剡)第4章

计算机网络安全课件(沈鑫剡)第4章
计算机网络安全
安全网络技术
4.1 以太网安全技术
以太网接入控制 访问控制列表； 访问控制列表； 安全端口； 安全端口； 802.1X接入控制过程 802.1X接入控制过程。 接入控制过程。 以太网其他安全功能 防站表溢出攻击功能； 防站表溢出攻击功能； 防DHCP欺骗； 欺骗； 欺骗 欺骗攻击。 防ARP欺骗攻击。 欺骗攻击
信任端口
交换机 B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC C IP C F0/7 MAC A IP A F0/7 MAC B IP B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC A IP A F0/4 MAC B IP B F0/7 MAC C IP C
计算机网络安全
安全网络技术
以太网接入控制
黑客攻击内部网络的第一步是接入内部网络， 黑客攻击内部网络的第一步是接入内部网络， 而以太网是最常见的直接用于接入用户终端 的网络， 的网络，只允许授权用户终端接入以太网是 抵御黑客攻击的关键步骤； 抵御黑客攻击的关键步骤； 交换机端口是用户终端的物理连接处， 交换机端口是用户终端的物理连接处，防止 黑客终端接入以太网的关键技术是授权用户 终端具有难以伪造的标识符，交换机端口具 终端具有难以伪造的标识符， 有识别授权用户终端标识符的能力。 有识别授权用户终端标识符的能力。
计算机网络安全
第四章
© 2006工程兵工程学院 计算机教研室
安全网络技术
第4章 安全网络技术
以太网安全技术； 以太网安全技术； 安全路由； 安全路由； 虚拟网络； 虚拟网络； 信息流管制； 信息流管制； 网络地址转换； 网络地址转换； 容错网络结构。 容错网络结构。 解决网络安全问题的方法主要有三： 解决网络安全问题的方法主要有三：一是提出解决安全问 题的新的机制和算法，如数字签名算法和认证机制。 题的新的机制和算法，如数字签名算法和认证机制。二是 增加解决安全问题的新设备，如防火墙和入侵防御系统。 增加解决安全问题的新设备，如防火墙和入侵防御系统。 三是在传统网络设备和网络设计方法中增加抵御黑客攻击 的手段和能力， 的手段和能力，安全网络技术就是在传统网络设备和网络 设计方法中增加的用于抵御黑客攻击和保障网络适用性的 技术。 技术。

计算机网络安全课件(沈鑫剡)第5章PPT课件

计算机网络安全课件(沈鑫剡)第5章PPT课件
第五章 无线局域网安全技术
•无线局域网的开放性； •WEP加密认证机制； •WEP的安全缺陷； •802.11i。 无线局域网的开放性对移动通信带来了便利，但 也产生了严重的安全问题，WEP加密和认证机 制就用于解决因为开放性带来的安全问题，但 WEP技术本身存在严重的安全缺陷，802.11i是 目前解决无线局域网安全问题的理想技术。
• 明文由源和目的MAC地址、优先级、净荷和MIC组成（如果明文是这些内容 分段后的某个段，需要将所有段重新拼装成原始格式），然后根据源和目的 MAC地址、优先级、净荷与MIC密钥计算MIC，将计算结果和MAC帧携带 的MIC比较，如果相同，表示源和目的MAC地址、优先级、净荷在传输过程 中未被篡改；
第12页/共37页
5.3 WEP的安全缺陷
•共享密钥认证机制的安全缺陷； •一次性密钥字典； •完整性检测缺陷。 WEP安全缺陷起因于以下几点：一是一次性密 钥和初始向量一一对应，发送端通过明文传输 初始向量，且密文和明文的异或操作结果即是 一次性密钥；二是一次性密钥的空间只有224， 且伪随机数生成器根据伪随机数种子生成一次 性密钥机制使得各个一次性密钥之间存在相关 性；三是用循环冗余检验码作为完整性检测码， 容易实现同时篡改密文和加密后的ICV。
TA TK
MAC 帧中 SA、DA 优先级和 净荷字段
MIC 密钥
TSC 32 16
第1级 密钥混 TTAK 合函数
WEP 密钥
第2级 密钥混 合函数 IV
WEP 加密
michael
MIC 分段 数据 TSC
密钥混合函数是伪 随机数生成器， Michael是简化的报 文摘要算法，但完 整性检测能力远远 超过循环冗余检验 码；
AP
关联请求

沈鑫剡编著(网络安全)教材配套课件第5章(10页)

计算机网络安全
3．证书和私钥证书可以证明主体x与公钥PK之间的绑定关系，如果主体x能够证明自己知道与公钥PK对应的私钥SK，就能证明自己是主体x。
网络安全基础
三、单向鉴别过程
1．基于共享密钥主体A只需证明自己知道共享密钥K，即可证明自己身份。
计算机网络安全
网络安全基础
三、单向鉴别过程
2．基于用户名和口令主体A只需证明自己知道某个授权用户对应的用户名和口令，即可证明自己身份。
计算机网络安全
网络安全基础
二、 PPP与接入控制过程
2．与接入控制相关的协议
（1） PPP帧结构
计算机网络安全
网络安全基础
二、 PPP与接入控制过程
2．与接入控制相关的协议
（2）用户身份鉴别协议用用户名和口令标识用户身份；身份鉴别过程需要向接入控制设备证明自己知道某个授权用户对应的用户名和口令；CHAP防止泄露口令。
计算机网络安全
网络安全基础
四、双向鉴别过程
2．基于用户名和口令用户A不仅需要证明自己知道某个授权用户对应的用户名和口令，还需对方证明知道该用户名对应的口令。
计算机网络安全
网络安全基础
四、双向鉴别过程
3．基于证书和私钥用户A和用户B与各自公钥之间的绑定得到权威机构证明，且用户A和用户B能够证明自己知道公钥对应的私钥。
计算机网络安全
网络安全基础
三、单向鉴别过程
3．基于证书和私钥主体A与公钥PKA之间的绑定已经得到权威结构证明，主体A只要证明自己知道PKA对应的私钥 SKA，即可证明自己身份。
计算机网络安全
网络安全基础
四、双向鉴别过程
1．基于共享密钥每一方不仅需要证明自己知道共享密钥，还需证明对方知道共享密钥。

计算机网络安全课件(沈鑫剡)第4章PPT课件


LAN 4
终端 A IP A
R1 IP H
LAN4 1
黑客终端
R2
R3
终端 B
IP B
黑客终端伪造路由项过程
• 黑客终端伪造和LAN4直接相连的路由项，并通过路由消息将该路由 项组播给路由器R1、R2；
• 路由器R1将通往LAN4传输路径的下一跳改为黑客终端； • 所有LAN1中终端发送给LAN4中终端的IP分组都被错误地转发给黑客
路由器 R1 正确路由表
路由器 R1 错误路由表
子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 3
下一跳 直接 直接
IP R IP R
子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 2
下一跳 直接 直接
IP R IP HLAN 1LAN 2 IP RLAN 3
第1页/共38页
4.1 以太网安全技术
• 以太网接入控制 ➢ 访问控制列表； ➢ 安全端口； ➢ 802.1X接入控制过程。 • 以太网其他安全功能 ➢ 防站表溢出攻击功能； ➢ 防DHCP欺骗； ➢ 防ARP欺骗攻击。
第2页/共38页
以太网接入控制
• 黑客攻击内部网络的第一步是接入内部网络，而以太网是最常见的直接用于接入用 户终端的网络，只允许授权用户终端接入以太网是抵御黑客攻击的关键步骤；
IP 接口
VLAN 2 VLAN 3
192.1.2.254 192.1.3.254
192.1.2.0/24
192.1.3.0/24
终端 B 终端 C
Web 接口 192.1.1.0/24
终端 A
终端 A 终端 B 终端 C 终端 D
物理网络

沈鑫剡计算机网络技术及应用无线局域网PPT课件

不是
随机生成 退避时间
持续 DIFS 是 信道空闲？
不是
信道不忙 不是 且 NAV=0？
是
持续 DIFS 不是 信道空闲？
是
退避时间 不是 到？
是 信道不忙？
发送数据
• CSMA/CA算法的特点是争用总线， 即信道持续空闲DIFS时间，认为 信道空闲；
• 通过NAV预约信道，预留时间通过 MAC帧中的持续时间字段给出，预 约时间内等同于信道忙；
• 如果终端第一次发送数据时检测到信道忙，在等待信道由忙转为空闲 的时间内，可能有多个终端开始检测信道，因此，发生冲突的概率较 大，需要进入退避时间。
第24页/共42页
三、DCF和CSMA/CA
AP
①
BSS
④ ②⑤ ⑥ ③
①:数据 ②ACK ③:数据 ④:ACK ⑤:数据 ⑥:ACK 终端 A
DCF操作过程
三、无线局域网拓扑结构
AP1 DS
BSS1
终端 B 终端 C
1 S1 2
AP2 BSS2
终端 D 终端 E 终端 F
（3）扩展服务集是一个
。
A．冲突域
B．广播域
C．所有终端都能接收到任何目的地址MAC帧的传输区域
D．多个广播域构成的传输区域
选择答案，并简要回答为什么？
第13页/共42页
四、无线局域网标准
终端 B
终端 C
实现终端A至终端C，终端B至AP的数据传输过 程
第25页/共42页
三、DCF和CSMA/CA
终端 A 检测信道
数据
终端 A
DIFS
信道忙
AP 终端 B 检测信道
时隙
ACK
SIFS

沈鑫剡编著《信息安全实用教程》第1章配套课件

信息安全实用技术 计算机基础与计算思维
概述
二、互联网应用
微信扫码支付涉及的安全问题 如何确保预支付请求中指明的商家与发送预支付请 求的商家是一致的； 如何确保预支付请求传输过程中不被篡改； 如何确保预支付交易链接传输过程中不被篡改； 如何确保支付验证传输过程中不被篡改； 如何确保支付授权传输过程中不被截获； 如何确保微信客户端和商家后台系统无法否认曾经 发送过的信息； 如何确保微信客户端和微信支付系统能够正常工作。
信息安全实用技术 计算机基础与计算思维
概述
二、互联网应用
用户 ①商品名称、数量 商家
③账号、用户名、 密码、动态口令 银行
②商品清单、 支付 金额
网上购物涉及的数据交换过程
信息安全实用技术 计算机基础与计算思维
概述
二、互联网应用
网上购物涉及的安全问题 商家链接的银行支付界面有可能是伪造的银行 支付界面； 用户与银行之间交换的与鉴别用户身份和完成 网上支付过程有关的数据在传输过程中有可能 被截获； 商家与银行之间交换的与支付有关的数据，在 传输过程中有可能被篡改； 用户和商家可能否认曾经发送过的信息； 用户终端和商家的电商平台可能无法正常工作。
信息安全实用技术 计算机基础与计算思维
概述
一、互联网和移动互联网
Internet GPRS 3G 4G

无线局域网

移动终端 无线通信网络 移动互联网应用
笔记本 计算机
平板电脑
智能手机
信息安全实用技术 计算机基础与计算思维
概述
一、互联网和移动互联网
智能手机（移动终端）特点 方便携带； 方便使用； 方便连接； 方便身份鉴别； 丰富的传感器； 移动通信设备。
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机网络工程
校园网设计方法和实现过程
二、网络拓扑结构
核心层设备 1000Base-LX 1000Base-LX
Si
UNIVERSIT Y
Si汇聚层设备 汇聚层设备 接入设备Si数据中心
汇聚层与核心层设备之间采用链路聚合技术
计算机网络工程
校园网设计方法和实现过程
三、数据传输网络设计要求


计算机网络工程
校园网设计方法和实现过程
五、设备选型和配置
核心层设备 需要核心层设备具有高速转发IP分组的功 能； 需要核心层设备灵活分配连接汇聚层设备 的链路的带宽。
计算机网络工程
校园网设计方法和实现过程
五、设备选型和配置
S9 1～2 4～5 V12 S7 3 1 2 3 3 S3 S2 1 2 1 2
计算机网络工程
校园网设计方法和实现过程
三、VLAN IP地址分配
S9
Si
互连网络结构
VLAN 13
VLAN 12
Si
S7
Si
S8
VLAN 2 VLAN 3 VLAN 4 VLAN 5
VLAN 6 VLAN 7 VLAN 8
VLAN 9 VLAN 10 VLAN 11
计算机网络工程
校园网设计方法和实现过程
计算机网络工程
校园网设计方法和实现过程
四、安全系统设计要求


将交换机端口与IP地址和MAC地址对绑定，以此 防止源IP地址欺骗攻击和ARP欺骗攻击； 通过将教员和学员接入不同的VLAN、将不同的服 务器接入不同的VLAN，建立如下访问控制策略。


只允许学员访问Web服务器和E-mail服务器； 允许教员访问所有服务器。
计算机网络工程
第三章
© 2006工程兵工程学院 计算机教研室
校园网设计方法和实现过程
第 3 章
校园网设计方法和实现过程
本章主要内容 校园布局和设计要求； 数据传输网络实现过程； 安全系统实现过程。
计算机网络工程
校园网设计方法和实现过程
3.1 校园网布局和设计要求
本讲主要内容 校园布局； 网络拓扑结构； 数据传输网络设计要求； 安全系统设计要求； 设备选型和配置。
计算机网络工程
校园网设计方法和实现过程
二、VLAN划分
S7 VLAN 3 转发表 MAC 地址 端口 MAC B 1 MAC C 2 S7 VLAN 2 转发表 MAC 地址 端口 MAC A 1 S1 VLAN 3 转发表 MAC 地址 端口 MAC B 2 MAC C 3 MAC R 3 S1 VLAN 2 转发表 MAC 地址 端口 MAC A 1 MAC R 3 S7 路由模块 S7 路由表 目的网络 输出接口 192.1.2.0/24 VLAN 2 192.1.3.0/24 VLAN 3 192.1.4.0/24 VLAN 4 192.1.5.0/24 VLAN 5 下一跳 直接 直接 直接 直接
计算机网络工程
校园网设计方法和实现过程
3.3 安全系统实现过程
本讲主要内容 端口安全机制 安全路由机制 分组过滤器
计算机网络工程
校园网设计方法和实现过程
一、端口安全机制
访问控制列表 00-46-78-11-22-33


00-46-78-11-22-33 终端 A
00-46-78-37-22-73 终端 B
允许为交换机每一个端 口配置访问控制列表， 列表中给出允许接入的 终端的MAC地址； 配置访问控制列表的端 口只允许转发源MAC 地址属于列表中MAC 地址的MAC帧，因此 对于接入端口，只允许 物理连接MAC地址属 于列表中MAC地址的 终端。
计算机网络工程
校园网设计方法和实现过程
二、安全路由机制


启动OSPF的安全路由功能，防止路由项欺骗攻击； 通过限制终端与服务器之间未完成的TCP连接数 量，防止对服务器的DoS攻击。
计算机网络工程
校园网设计方法和实现过程
五、设备选型和配置
接入层设备 接入层需要具有VLAN划分功能； 接入层需要具有接入控制和防御ARP欺骗攻击、 源IP地址欺骗攻击、伪造DHCP服务器攻击等功能； 终端和服务器需要提供全双工通信方式； 接入层一般不需要提供VLAN间路由功能； 由于接入层设备的量比较大，采用相对比较便宜 的设备。
V2 1
V3 2
V4 3
V5
S1 3 V2 1 2
V3
S2 3 V3
S3
1
S2 VLAN 3 转发表 MAC 地址 端口 MAC B 3 MAC C 1 MAC R 3
192.1.2.1 192.1.2.254 MAC A 终端 A
192.1.3.1 192.1.3.254 MAC B 终端 B
192.1.3.2 192.1.3.254 MAC C 终端 C
计算机网络工程
校园网设计方法和实现过程
四、OSPF建立路由表过程
表 3.8 三层交换机 S7 路由表 目的网络 192.1.2.0/24 192.1.3.0/24 192.1.4.0/24 192.1.5.0/24 192.1.9.12/30 192.1.6.0/24 192.1.7.0/24 192.1.8.0/24 192.1.9.0/30 192.1.9.4/30 192.1.9.8/30 192.1.9.16/30 输出接口 VLAN 2 VLAN 3 VLAN 4 VLAN 5 VLAN 12 VLAN 12 VLAN 12 VLAN 12 VLAN 12 VLAN 12 VLAN 12 VLAN 12 下一跳 直接 直接 直接 直接 直接 192.1.9.14 192.1.9.14 192.1.9.14 192.1.9.14 192.1.9.14 192.1.9.14 192.1.9.14 链路代价 0 0 0 0 0 3 3 3 3 3 3 2
路由器 R1 正确路由表 子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 3 下一跳 直接 直接 IP R IP R
路由器 R1 错误路由表 子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 2 下一跳 直接 直接 IP R IP H
LAN 1 终端 A IP A R1
计算机网络工程
校园网设计方法和实现过程
五、设备选型和配置
汇聚层设备 需要汇聚层设备支持跨接入层设备的VLAN 划分； 需要汇聚层设备实现VLAN间路由功能； 需要汇聚层设备实现资源访问控制功能； 需要汇聚层设备灵活分配连接核心层设备 和接入层设备的链路的带宽； 需要汇聚层设备生成端到端IP传输路径。
计算机网络工程
校园网设计方法和实现过程
3.2 数据传输网络实现过程
本讲主要内容 链路聚合过程 VLAN划分 VLAN IP地址分配 OSPF建立路由表过程
计算机网络工程
校园网设计方法和实现过程
一、链路聚合过程
S8 1000Mb/s S9
Si Si
S8
Si
3000Mb/s
S9
Si
聚合
计算机网络工程
校园网设计方法和实现过程
一、校园布局
UNIVERSIT Y
主楼
办公楼 1 教室 1 办公楼 2 数据中心 教室 2 教室 3 教室 4 教室 5
楼与楼之间距离在1km～2km之间。要求将每一栋教 室中的若干终端和数据中心中的若干服务器连接到校园 网上，不考虑主楼和办公楼中的终端和服务器。
三、VLAN IP地址分配
表 3.3 IP 接口分配的 IP 地址 设备名称 S7 S7 S7 S7 S7 S8 S8 S8 S8 S8 S8 S8 S9 S9 IP 接口 VLAN 2 VLAN 3 VLAN 4 VLAN 5 VLAN 12 VLAN 6 VLAN 7 VLAN 8 VLAN 9 VLAN 10 VLAN 11 VLAN 13 VLAN 12 VLAN 13 IP 地址 192.1.2.254/24 192.1.3.254/24 192.1.4.254/24 192.1.5.254/24 192.1.9.13/30 192.1.6.254/24 192.1.7.254/24 192.1.8.254/24 192.1.9.2/30 192.1.9.6/30 192.1.9.10/30 192.1.9.17/30 192.1.9.14/30 192.1.9.18/30
Si Si
3～5 V13 3 5～7 S8 1 2 3～4
Si
S1 1 V2 终端 A
3 2 V3
S4 1 V6
S5 2 1 V7
3
4～5 3 S6 2 1 2
Web 服务器 V11
V4
V5
V8
V9 V10
设备名称、类型和端口VLAN分配
计算机网络工程
校园网设计方法和实现过程
五、设备选型和配置
表 3.1 设备类型和配置 设备名称 S1 S2 S3 S4 S5 S6 S7 S8 S9 类型 二层交换机 二层交换机 二层交换机 二层交换机 二层交换机 二层交换机 三层交换机 三层交换机 三层交换机 100Base-TX 端口 2 2 2 2 2 3 1000Base-TX 端口 1000Base-LX 端口 1 1 1 1 1 2 5 7 5
计算机网络工程
校园网设计方法和实现过程
四、OSPF建立路由表过程
表 3.4 三层交换机 S7 直连路由项 目的网络 192.1.2.0/24 192.1.3.0/24 192.1.4.0/24 192.1.5.0/24 192.1.9.12/30 输出接口 VLAN 2 VLAN 3 VLAN 4 VLAN 5 VLAN 12 下一跳 直接 直接 直接 直接 直接