基于OSPF的企业内网安全优化

网络设计ensp2024-04-07 21:56

1.拓扑

2.IP地址规划

|------------------|-----------------|
| 设备/地址/vlan | 设备/地址 |
| 汇聚交换机/VLAN10 | 192.200.10.0/24 |
| 汇聚交换机/VLAN20 | 192.200.20.0/24 |
| 汇聚交换机/VLAN30 | 192.200.30.0/24 |
| 汇聚交换机/VLAN40 | 192.200.40.0/24 |
| 汇聚交换机/VLAN50 | 192.200.50.0/24 |
| 汇聚交换机/VLAN60 | 192.200.60.0/24 |
| 防火墙/VLAN70/服务器网段 | 192.200.70.0/24 |
| 防火墙/VLAN80/服务器网段 | 192.200.80.0/24 |

3.使用协议说明

VLAN-----------------隔离广播域，优化内网用户上网体验

SVI-------------Vlan间三层通信

DHCP---------------内网主机 自动获取IP地址

OSPF------------------提供内网路由的学习

MSTP--------------------多实例生成树，打破二层环路的同时，实现多vlan的负载均衡

VRRP------------------起到网关冗余作用

NAT--------------------地址转换，提供用户访问互联网

防火墙安全策略----------------------------提供安全策略的访问控制，以及高级的防病毒、入侵检测功能

链路聚合----------------提供链路带宽

4.设备选型

|----|-------|----|---------------------------|-----|-------------------------------------------------------------------|----|---|-------|----|--------------------------|---|----------------------------------------------------------------------|---|
| 序号 | 设备名称 | 品牌 | 规格 | 单位及 | 性能及指标 | 产地 |
| 序号 | 设备名称 | 品牌 | 型号 | 数量 | 性能及指标 | 产地 |
| 1 | 接入交换机 | 华为 | CloudEngine S5731-H24P4XC | 30 | S5731-H24P4XC(24个10/100/1000BASE-T以太网端口,4个万兆SFP+,单子卡槽位,PoE+,不含电源) | |
| 1 | 接入交换机 | 华为 | CloudEngine S5731-H24P4XC | 30 | S5731-H24P4XC(24个10/100/1000BASE-T以太网端口,4个万兆SFP+,单子卡槽位,PoE+,不含电源) | | 2 | 汇聚交换机 | 华为 | CloudEngine S6730-H24X6C | 2 | S6730-H24X6C(24个万兆SFP+,6个40GE QSFP28，可选license升级到6个100GE QSFP28,不含电源 | |
| 3 | 核心路由器 | 华为 | AR2204-24GE | 4 | AR2204-24GE(3GE WAN(1GE Combo),24 GE,1 USB,4 SIC,60W AC Power) | |
| 4 | 防火墙 | 华为 | Secospace USG6310S | 3 | USG6310S-W交流主机(8GE电,1GB内存),WIFI 2.4G+5G | |

5.网络配置实施

二层划分vlan、以及接口配置

interface Ethernet0/0/1

port link-type access

port default vlan 10

interface Ethernet0/0/2

port link-type access

port default vlan 10

interface Ethernet0/0/3

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/4

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/1

port link-type access

port default vlan 20

interface Ethernet0/0/2

port link-type access

port default vlan 20

interface Ethernet0/0/3

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/4

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/1

port link-type access

port default vlan 30

interface Ethernet0/0/2

port link-type access

port default vlan 30

interface Ethernet0/0/3

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/4

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/1

port link-type access

port default vlan 40

interface Ethernet0/0/2

port link-type access

port default vlan 40

interface Ethernet0/0/3

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/4

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/1

port link-type access

port default vlan 50

interface Ethernet0/0/2

port link-type access

port default vlan 50

interface Ethernet0/0/3

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/4

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/1

port link-type access

port default vlan 60

interface Ethernet0/0/2

port link-type access

port default vlan 60

interface Ethernet0/0/3

port link-type trunk

port trunk allow-pass vlan 2 to 4094

interface Ethernet0/0/4

port link-type trunk

port trunk allow-pass vlan 2 to 4094

双汇聚交换机上，进行三层SIV接口配置及路由器物理接口以及VRRP配置

汇聚交换机1：

Huaweiint vlan 10

Huawei-Vlanif10ip add 192.200.10.1 255.255.255.0

Huawei-Vlanif10vrrp vrid 10 virtual-ip 192.200.10.254

Huawei-Vlanif10 vrrp vrid 10 priority 120

Huawei-Vlanif10int vlan 20

Huawei-Vlanif20ip add 192.200.20.1 255.255.255.0

Huawei-Vlanif20vrrp vrid 20 virtual-ip 192.200.20.254

Huawei-Vlanif20 vrrp vrid 20 priority 120

Huawei-Vlanif20int vlan 30

Huawei-Vlanif30ip add 192.200.30.1 255.255.255.0

Huawei-Vlanif30vrrp vrid 30 virtual-ip 192.200.30.254

Huawei-Vlanif30 vrrp vrid 30 priority 120

Huawei-Vlanif30int vlan 40

Huawei-Vlanif40ip add 192.200.40.1 255.255.255.0

Huawei-Vlanif40vrrp vrid 40 virtual-ip 192.200.40.254

Huawei-Vlanif40int vlan 50

Huawei-Vlanif50ip add 192.200.50.1 255.255.255.0

Huawei-Vlanif50vrrp vrid 50 virtual-ip 192.200.50.254

Huawei-Vlanif50int vlan 60

Huawei-Vlanif60ip add 192.200.60.1 255.255.255.0

Huawei-Vlanif60vrrp vrid 60 virtual-ip 192.200.60.254

汇聚交换机2：

Huaweiint vlan 10

Huawei-Vlanif10ip add 192.200.10.2 255.255.255.0

Huawei-Vlanif10vrrp vrid 10 virtual-ip 192.200.10.254

Huawei-Vlanif10int vlan 20

Huawei-Vlanif20ip add 192.200.20.2 255.255.255.0

Huawei-Vlanif20vrrp vrid 20 virtual-ip 192.200.20.254

Huawei-Vlanif20int vlan 30

Huawei-Vlanif30ip add 192.200.30.2 255.255.255.0

Huawei-Vlanif30vrrp vrid 30 virtual-ip 192.200.30.254

Huawei-Vlanif30int vlan 40

Huawei-Vlanif40ip add 192.200.40.2 255.255.255.0

Huawei-Vlanif40vrrp vrid 40 virtual-ip 192.200.40.254

Huawei-Vlanif40 vrrp vrid 40 priority 120

Huawei-Vlanif40int vlan 50

Huawei-Vlanif50ip add 192.200.50.2 255.255.255.0

Huawei-Vlanif50vrrp vrid 50 virtual-ip 192.200.50.254

Huawei-Vlanif50 vrrp vrid 50 priority 120

Huawei-Vlanif50int vlan 60

Huawei-Vlanif60ip add 192.200.60.2 255.255.255.0

Huawei-Vlanif60vrrp vrid 60 virtual-ip 192.200.60.254

Huawei-Vlanif60 vrrp vrid 60 priority 120

MSTP配置

stp region

region-name Huawei

instance 1 vlan 10 20 30

instance 2 vlan 40 50 60

active region-configuration

调整MSTP实例优先级

Huaweistp instance 1 root primary

Huaweistp instance 2 root secondary

链路聚合配置

Huawei-Eth-Trunk0trunkport GigabitEthernet 0/0/23 to 0/0/24

Huawei-Eth-Trunk0port link-type t

Huawei-Eth-Trunk0port trunk allow-pass vlan all

DHCP配置

定义DHCP地址池：

ip pool vlan10

network 192.200.10.0 mask 255.255.255.0

dns-list 114.114.114.114

gateway-list 192.200.10.254

ip pool vlan20

network 192.200.20.0 mask 255.255.255.0

dns-list 114.114.114.114

gateway-list 192.200.20.254

ip pool vlan30

network 192.200.30.0 mask 255.255.255.0

dns-list 114.114.114.114

gateway-list 192.200.30.254

ip pool vlan40

network 192.200.40.0 mask 255.255.255.0

dns-list 114.114.114.114

gateway-list 192.200.40.254

ip pool vlan50

network 192.200.50.0 mask 255.255.255.0

dns-list 114.114.114.114

gateway-list 192.200.50.254

ip pool vlan60

network 192.200.60.0 mask 255.255.255.0

dns-list 114.114.114.114

gateway-list 192.200.60.254

开启DHCP以及接口下调用

Huawei dhcp enable

Huawei int vlan 10

Huawei-Vlanif10 dhcp se g

Huawei-Vlanif10 int vlan 20

Huawei-Vlanif20 dhcp se g

Huawei-Vlanif20 int vlan 30

Huawei-Vlanif30 dhcp se g

Huawei-Vlanif30 int vlan 40

Huawei-Vlanif40 dhcp se g

Huawei-Vlanif40 int vlan 50

Huawei-Vlanif50 dhcp se g

Huawei-Vlanif50 int vlan 60

Huawei-Vlanif60 dhcp se g

路由协议OSPF配置

ospf 1

area 0.0.0.0

network 10.0.0.0 0.0.255.255

area 0.0.0.1

network 192.200.0.0 0.0.255.255

配置OSPF优化，配置静默端口

Huawei-ospf-1silent-interface Vlanif 10

Huawei-ospf-1silent-interface Vlanif 20

Huawei-ospf-1silent-interface Vlanif 30

Huawei-ospf-1silent-interface Vlanif 40

Huawei-ospf-1silent-interface Vlanif 50

Huawei-ospf-1silent-interface Vlanif 60

核心层配置

Huaweiospf 1

Huawei-ospf-1a 0

Huawei-ospf-1-area-0.0.0.0network 10.0.0.0 0.0.255.255

出口防火墙配置安全策略

security-policy

rule name ISP

source-zone trust

destination-zone untrust

action permit

防火墙NAT策略

rule name ISP

source-zone trust

destination-zone untrust

action source-nat easy-ip

防火墙做NAT SERVER 映射

USG6000V1nat server protocol tcp global 100.100.100.100 8080 inside 192.2

00.80.10 www

服务器区域防火墙配置

security-policy

rule name server

source-zone trust

destination-zone dmz

action permit

6.网络测试

私信获取

相关推荐
筼筜2 小时前
【系统架构设计师】通信系统架构设计理论与实践
网络
小程序设计3 小时前
基于IPv6的校园网设计与过渡技术仿真
网络·安全
Lynne3095 小时前
工业网络，到底该集中还是自治？
网络·架构·数据
鱼月半6 小时前
两台电脑直连网络不通怎么办？
linux·网络协议
光电笑映7 小时前
网络通信基础：从协议分层到 Socket 编程预备
linux·运维·服务器·网络
mengge.cloud9 小时前
0917Docker 小白实验教程（理论+实操）
linux·服务器·网络·docker
Thomas.Sir11 小时前
第13课：PyTorch｜经典CNN网络模型从零复现【从LeNet到VGG的逐行实现】
网络·pytorch·cnn
en.en..11 小时前
网络分层封装 与 TCP粘包的因果关系
网络·单片机·嵌入式硬件
IMPYLH12 小时前
HTML 的 ＜slot＞ 元素
前端·网络·html
星恒讯工业路由器12 小时前
“铸链计划”第三批启动，工业5G产品从“有”到“优”的淘汰赛开始了
网络·物联网·智能路由器·工业物联网·铸链计划·工业5g·工业路由器选型
热门推荐
01国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）02历年考研数学一、数学二、数学三真题试卷及答案PDF03GitHub 镜像站点04蜘蛛磁力 搜索引擎大全，如何使用蜘蛛磁力查找磁力链接05人工智能（AI）发展史：详细里程碑062026 国产 AI 大模型横评：DeepSeek、通义千问、Kimi、文心一言、星火、豆包谁更能打？07微信历史版本含下载地址（ Windows PC | 安卓 | MAC ）及设置微信不更新08ZCode 周末送额度活动开启：3 亿 Token 免费领取09数学公理体系大全:第六章 选择公理的等价形式及证明10【一等奖版】2026 国赛 A题 药材的烘干问题