毕业设计论文：基于MSTP与IPSec的船厂企业园区网规划与设计（提纲）
摘要 (Abstract)
随着船舶制造行业的数字化转型，大型船厂企业对内部网络的稳定性、安全性及跨地域协作能力提出了更高要求。本文以某船厂企业（含总部及设计分部）为背景，设计并实现了一套高可用、高安全的园区网络架构。网络采用经典的三层架构（核心层、汇聚层、接入层），主体技术栈涵盖MSTP（多生成树协议）实现链路冗余与负载均衡，MVRP（VLAN注册协议）简化VLAN配置，BFD（双向转发检测）加速故障收敛，SSH保障设备管理安全，并通过IPSec隧道实现总部与分部之间的安全互联。此外，部署防火墙进行边界防护，利用WLAN技术满足移动办公需求。仿真测试表明，该方案有效解决了单点故障问题，实现了部门间的安全隔离与高效通信，满足了船厂企业200-500人规模的业务需求。
关键词：园区网设计；MSTP；IPSec；BFD；网络安全；eNSP仿真
第一章 绪论 (Introduction)
1.1 研究背景
船舶制造业是典型的离散型制造行业，涉及大量的设计图纸传输、生产数据监控及财务销售管理。传统的扁平化网络已无法满足现代船厂对网络高可用性（High Availability）和数据保密性的需求。特别是当企业拥有“总部+分部”的双中心架构时，如何确保跨地域数据的安全传输及内部网络的快速故障恢复，成为网络规划的核心痛点。
1.2 设计目标
本项目旨在为一家规模约200-500人的船厂企业构建企业级园区网，具体目标包括：
高可靠性：消除单点故障，确保核心业务不中断。
高安全性：实现部门间逻辑隔离，保障财务、设计等敏感数据安全。
易管理性：自动化VLAN分发，标准化设备管理。
互联互通：通过加密隧道实现总部与分部的无缝连接。
1.3 论文结构
本文首先进行需求分析，随后详细阐述网络拓扑设计与IP规划，接着深入解析MSTP、BFD等关键技术的配置与原理，最后通过eNSP仿真验证网络连通性与可靠性。
第二章 需求分析与网络规划 (Requirement Analysis)
2.1 用户需求分析
根据船厂实际业务场景，网络需覆盖以下部门：
总部（Headquarters）：
财务部 (Finance)：数据敏感度最高，需独立VLAN，严格访问控制。
销售部 (Sales)：对外交互频繁，需保证带宽。
设计部 (Design)：大文件传输多（CAD图纸），需高吞吐量。
管理部 (Admin)：日常办公。
人事部 (HR)：员工档案管理。
分部（Branch – 船厂现场）：
质检部 (QC)：现场终端接入，移动性强。
采购部 (Procurement)：供应链数据交互。
服务器群：包含Web服务器、文件服务器，供全公司访问。
无线网络：覆盖办公区，支持STA（笔记本/手机）漫游接入。
2.2 技术选型
第三章 网络拓扑设计与IP规划 (Topology & IP Planning)
3.1 拓扑结构设计
本设计采用分层模块化设计，具体结构如下（参考附件拓扑图）：
核心层 (Core Layer)：
设备：Core1, Core2 (双机热备)。
功能：高速数据交换，连接服务器群、防火墙及汇聚层。
冗余：核心交换机之间通过Eth-Trunk互联，运行MSTP根桥选举。
汇聚层 (Aggregation Layer)：
设备：Agg1 ~ Agg5 (总部), Agg6, Agg7 (分部)。
功能：汇聚接入层流量，实施策略控制（ACL），运行VRRP/MSTP。
上行：双链路分别上联至Core1和Core2，形成物理环路。
接入层 (Access Layer)：
设备：Acc1 ~ Acc7。
功能：终端用户接入，划分VLAN，开启PortFast/MVRP。
无线：AP1~`AP5 通过PoE供电接入，由AC1`统一管理。
广域互联 (WAN)：
设备：AR1 (总部出口路由器), FW2 (分部防火墙/网关)。
链路：模拟Internet云，两端建立IPSec Tunnel。
3.2 VLAN与IP地址规划
为实现部门隔离，规划如下VLAN及网段（基于图示信息优化）：
第四章 关键技术实现 (Key Technologies Implementation)
4.1 MSTP多生成树配置
为防止二层环路并实现负载分担，在核心与汇聚交换机上部署MSTP。
区域配置：定义Region Name为"HUAYARD"，Revision Level为1。
实例映射：
Instance 1: 映射 VLAN 10, 20 (财务、销售) -> 主根 Core1，备根 Core2。
Instance 2: 映射 VLAN 30, 40 (设计、管理) -> 主根 Core2，备根 Core1。
Instance 3: 映射 VLAN 50, 60, 70 (人事、分部) -> 负载分担。
效果：不同VLAN的流量走不同的物理链路，避免单条链路拥塞。
4.2 MVRP动态VLAN注册
在汇聚层与接入层交换机互联接口开启MVRP功能。
配置逻辑：当接入层交换机创建新VLAN（如VLAN 80）时，自动向汇聚层注册，无需人工逐台配置Trunk允许列表，降低运维复杂度。
4.3 BFD与路由联动
在运行动态路由协议（如OSPF）的链路间部署BFD。
作用：传统OSPF Hello时间为10s，故障检测慢。BFD可将检测时间缩短至毫秒级（如50ms）。
场景：当Core1与Agg1之间光纤中断，BFD立即通知OSPF邻居Down，触发路由快速收敛，用户无感知。
4.4 IPSec总部与分部互联
利用AR1与分部FW2（或路由器）建立IPSec隧道。
IKE阶段：配置预共享密钥（Pre-shared Key），协商加密算法（AES-256）和认证算法（SHA2-1）。
IPSec阶段：定义感兴趣流（ACL），匹配总部网段（192.168.10.0/24等）与分部网段（192.168.60.0/24等）。
结果：分部质检/采购数据通过加密隧道传输至总部服务器，即使经过公网也无法被窃听。
4.5 SSH安全管理与防火墙策略
SSH配置：所有交换机/路由器禁用Telnet，生成RSA密钥对，创建本地用户admin，强制使用SSH v2登录。
防火墙策略：
Trust -> Untrust：允许内网访问互联网。
Untrust -> Trust：默认拒绝，仅开放特定端口（如Web服务器的80/443）。
区域间隔离：禁止VLAN 10（财务）直接访问VLAN 30（设计），需经防火墙审计。
4.6 无线WLAN配置
AC旁挂式部署：AC1旁挂在核心交换机，通过CAPWAP隧道管理AP。
SSID规划：
HuaYard_Staff：员工办公，绑定VLAN Pool，认证方式802.1X或Portal。
HuaYard_Guest：访客网络，隔离内网资源，仅限访问互联网。
第五章 仿真测试与结果分析 (Simulation & Testing)
5.1 连通性测试
同VLAN互通：PC1 (财务) Ping PC2 (财务)，延迟<1ms，通畅。
跨VLAN互通：PC1 (财务) Ping PC3 (设计)，通过三层网关转发，通畅。
跨地域互通：总部PC1 Ping 分部PC6 (质检)，数据包经过IPSec隧道加密，Ping通
5.2 冗余性测试 (MSTP/BFD)
链路故障模拟：手动关闭Core1与Agg1之间的链路。
观察结果：
Wireshark抓包显示BFD会话Down报文。
路由表在200ms内完成切换，流量自动绕行至Core2路径。
Ping测试丢包不超过1个，业务未中断。
5.3 安全性测试
SSH测试：使用SecureCRT尝试Telnet登录设备，连接被拒绝；使用SSH登录成功。
防火墙测试：从外网模拟攻击扫描内网服务器，防火墙日志记录并阻断非法请求。
第六章 总结与展望 (Conclusion)
6.1 总结
本文设计并实现了一套适用于中型船厂企业的园区网络方案。通过引入MSTP技术，有效解决了二层环路问题并提升了链路利用率；利用IPSec低成本实现了总部与分部的高速安全互联；结合BFD、SSH及防火墙技术，构建了立体化的安全防护体系。仿真结果表明，该网络架构稳定可靠，能够满足船厂企业未来3-5年的业务发展需求。
详细拓扑：
对应配置：
详细讲解视频：
【【网络工程】基于MSTP与IPSec的船厂企业园区网规划与设计S2026082】 https://www.bilibili.com/video/BV1NZPZzeE6g/?share_source=copy_web&vd_source=3d18b0a7b9486f50fe7f4dea4c24e2a4
https://www.bilibili.com/video/BV1NZPZzeE6g/?share_source=copy_web&vd_source=3d18b0a7b9486f50fe7f4dea4c24e2a4
