【正文】 流量進行管理。 網(wǎng)絡(luò)設(shè)計原則先進性：計算機網(wǎng)絡(luò)技術(shù)、軟件技術(shù)的發(fā)展迅速，網(wǎng)絡(luò)的設(shè)計要立足于較高的起點，保證系統(tǒng)有較長的生命力。保證滿足系統(tǒng)業(yè)務(wù)的同時，又要體現(xiàn)出網(wǎng)絡(luò)系統(tǒng)的先進性。在網(wǎng)絡(luò)設(shè)計中要把先進的技術(shù)與現(xiàn)有的成熟技術(shù)和標準結(jié)合起來，充分考慮到公司網(wǎng)絡(luò)應(yīng)用的現(xiàn)狀和未來的發(fā)展趨勢。可靠性：網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定可靠是應(yīng)用系統(tǒng)正常運行的關(guān)鍵保證，在網(wǎng)絡(luò)設(shè)計中選用高可靠性的網(wǎng)絡(luò)產(chǎn)品，合理設(shè)計網(wǎng)絡(luò)架構(gòu)，制定可靠的網(wǎng)絡(luò)備份策略，保證網(wǎng)絡(luò)具有故障治愈的能力，最大限度的支持各個系統(tǒng)的正常運行。安全性：在網(wǎng)絡(luò)設(shè)計中，應(yīng)采用硬件技術(shù)與軟件技術(shù)相結(jié)合的方式，全面系統(tǒng)的保護網(wǎng)絡(luò)的安全運行。系統(tǒng)應(yīng)提供一套完整的安全防范措施，防止由于操作人員的誤操作以及系統(tǒng)中的某些故障而造成數(shù)據(jù)被破壞或系統(tǒng)的誤操作。兼容：網(wǎng)絡(luò)結(jié)構(gòu)有良好的兼容性，能夠?qū)崿F(xiàn)與不同類型的協(xié)議或設(shè)備的無縫連接。靈活性和拓展性：根據(jù)未來的發(fā)展需求，網(wǎng)絡(luò)能夠具有較好的擴展性，實現(xiàn)網(wǎng)絡(luò)的平滑升級，盡可能的減少對網(wǎng)絡(luò)架構(gòu)和設(shè)備的調(diào)整?？晒芾硇裕壕W(wǎng)絡(luò)中的任何設(shè)備均可以通過網(wǎng)絡(luò)管理平臺進行控制，網(wǎng)絡(luò)的設(shè)備狀態(tài)、故障報警等都可以通過網(wǎng)管平臺進行監(jiān)控，通過網(wǎng)絡(luò)管理平臺簡化管理工作，提高網(wǎng)絡(luò)管理的效率。可靠性和冗余性：為使網(wǎng)絡(luò)可靠地運行，我們方案中要選用高品質(zhì)的產(chǎn)品，把故障率降到最小在設(shè)計時應(yīng)考慮為網(wǎng)絡(luò)留有適當?shù)娜哂喽?，硬件設(shè)備應(yīng)具備一定的冗余模塊和軟件備份冗余，以提高網(wǎng)絡(luò)容錯能力。所選用設(shè)備必須具有全容錯結(jié)構(gòu)，一臺設(shè)備中單個電源、單個風扇的故障不影響設(shè)備工作，單個模塊的故障不影響其它模塊的正常工作；設(shè)備應(yīng)具有熱修復(fù)能力，即當設(shè)備的某些部件發(fā)生故障時，可以帶電更換而不影響設(shè)備其它部件工作，新更換部件可直接投入工作而不必重新引導(dǎo)整個設(shè)備。網(wǎng)絡(luò)結(jié)構(gòu)容錯：不會因某臺設(shè)備的故障而影響到整個主干網(wǎng)絡(luò)的正常運行；任意一條鏈路的中斷不會使主干網(wǎng)絡(luò)的任何部分中斷工作。實用性：在網(wǎng)絡(luò)設(shè)計時，在考慮好未來發(fā)展的同時盡可能的減少額外功能支出，把現(xiàn)有的技術(shù)與現(xiàn)在的成熟技術(shù)結(jié)合起來，以滿足北京公司現(xiàn)有的應(yīng)用現(xiàn)況以及未來的發(fā)展趨勢。性能價格比：在滿足功能與性能的基礎(chǔ)上實現(xiàn)性能/價格比最優(yōu)。第4章 網(wǎng)絡(luò)總體設(shè)計 網(wǎng)絡(luò)總體拓撲圖考慮到總公司的實際需求，建議采用兩臺Cisco Catalyst3560做HSRP、PVST、TRUNK、VTP、EtherChannel（鏈路捆綁）、VLAN、上行速鏈路等，并啟用OSPF協(xié)議，二層交換機連接PC的端口設(shè)為速端口并開啟端口安全，使其自動學習最先接入的MAC地址，用Cisco 專有熱備份路由協(xié)議技術(shù)（HSRP），根據(jù)需求配置成多組HSRP；同時雙機還可以做負載均衡。這樣設(shè)計不但保證網(wǎng)絡(luò)的高可用性和穩(wěn)定性，還能夠充分利用現(xiàn)有設(shè)備的資源，以避免單臺核心設(shè)備的負載太重而導(dǎo)致的網(wǎng)絡(luò)性能問題。根據(jù)分布的需要也要做同樣的配置，在總部設(shè)有VPN接入，為出差的員工提供安全的、方便的通道，達到信息安全快捷傳輸。生產(chǎn)部設(shè)有考勤系統(tǒng)方便員工上班考勤記錄。另外本網(wǎng)絡(luò)選用的設(shè)備支持VOIP，可以廉價方便地在企業(yè)內(nèi)部打電話，此電話本公司建議用軟電話來進行通信，軟電話不用硬件的投資只需在現(xiàn)有的PC上安裝軟電話客戶端；除此之外還支持IPv6,因為IPv4資源枯竭，未來的發(fā)展趨勢IPv6整個網(wǎng)絡(luò)市場，IPv6將占領(lǐng)網(wǎng)絡(luò)，本網(wǎng)絡(luò)的設(shè)備適應(yīng)時代的發(fā)展。圖411如上圖所示，整體網(wǎng)絡(luò)可以根據(jù)功能劃分為總部核心網(wǎng)絡(luò)、匯聚層、接入層，接入層包括總部的辦公室26人、信息中心10人、企業(yè)管理部58人、生產(chǎn)部500人、銷售部120人、財務(wù)部28人、人力資源部58人、服務(wù)部57人；另外分公司辦公室12人、銷售部240人、儲運部25人、疫苗部20人、服務(wù)部10人?？偣?164人。總部設(shè)有DNS Server、File Server、DHCP Server、Mail Server、AD和Web Server，Web Server應(yīng)用集群為內(nèi)部和外部用戶提供Web服務(wù)。網(wǎng)絡(luò)各區(qū)域相對獨立，通過核心網(wǎng)絡(luò)進行數(shù)據(jù)的交互。分公司可以各自建立交換網(wǎng)絡(luò)、路由接入、網(wǎng)絡(luò)安全體系，可以有獨立的安全策略、數(shù)據(jù)流量控制等個體的特性，而需要和其他區(qū)域的設(shè)備進行通訊的時候，則可以通過核心交換機Vlan間路由來實現(xiàn)。 網(wǎng)絡(luò)層次化設(shè)計隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和網(wǎng)上應(yīng)用量的增長，分布式的網(wǎng)絡(luò)服務(wù)和交換已經(jīng)移至用戶級，由此形成了一個新的、更適應(yīng)現(xiàn)代的高速大型網(wǎng)絡(luò)的分層設(shè)計模型。這種分級方法被稱為“多層設(shè)計”。多層設(shè)計有以下一些好處：多層設(shè)計的模塊化，網(wǎng)絡(luò)容量可隨著日后網(wǎng)絡(luò)節(jié)點的增加而不斷增大，若有新建分公司或合并小公司多可以方便的接入。多層網(wǎng)絡(luò)有很大的確定性，因此在運行和擴展過程中進行故障查找和排除非常簡單。多層網(wǎng)絡(luò)系統(tǒng)設(shè)計最有效地利用多種第3 層業(yè)務(wù)，包括分段、負載分擔、多組熱備和故障恢復(fù)等。在分層網(wǎng)絡(luò)中運用智能第3 層業(yè)務(wù)可以大大減少因配置不當或故障設(shè)備引起的一般問題。多層模式使網(wǎng)絡(luò)的移植更為簡單易行，因為它保留了基于路由器和交換機的網(wǎng)絡(luò)原有的尋址方案，對以往的網(wǎng)絡(luò)有很好的兼容性。分層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進行很好的隔離。針對實際情況我們可以采用三層結(jié)構(gòu)模型。 三層結(jié)構(gòu)模型劃分為三個層次，即核心層、分布層、接入層。每個層次完成不同的功能。核心層核心層作為整個網(wǎng)絡(luò)系統(tǒng)的核心，其主要功能是高速、可靠的進行數(shù)據(jù)交換。保證內(nèi)網(wǎng)用戶可以方便高效上網(wǎng)。我采用3SW1和3SW2作為北京公司綜合項目的匯聚層的交換機，3SW3和3SW4作為鄭州分部的匯聚層的交換機，對于大型企業(yè)來說，WSC3560G48TSS 系列通過配置靈活性、支持融合網(wǎng)絡(luò)模式及自動進行智能網(wǎng)絡(luò)配置，簡化了融合應(yīng)用的部署，并可對不斷變化的業(yè)務(wù)需求進行調(diào)整。核心交換區(qū)的作用是盡快地提供所有的區(qū)域間的數(shù)據(jù)交換。我們推薦使用四臺Cisco Catalyst 3560交換機完成此項功能。四臺3560交換機高性能、可靠性、可用性是我們主要考慮的因素。本區(qū)的安全性可以由邊界防火墻提供，如有需要在3560 上面可以部署安全策略，使得核心交換區(qū)的安全性進一步地增強。Cisco Catalyst 3560系列憑借眾多智能服務(wù)將控制擴展到網(wǎng)絡(luò)邊緣，其中包括先進的服務(wù)質(zhì)量 (QoS)、可預(yù)測性能、高級安全性和全面的管理。它提供帶集成永續(xù)性的出色控制，將永續(xù)性集成到硬件和軟件中，縮短了網(wǎng)絡(luò)停運時間。Cisco Catalyst 3560 系列的模塊化架構(gòu)、介質(zhì)靈活性和可擴展性減少了重復(fù)運營開支保護投資，提高了投資回報（ROI），從而在延長部署壽命的同時降低了擁有成本。分布層分布層主要進行接入層的數(shù)據(jù)流量匯聚，并對數(shù)據(jù)流量進行訪問控制。包括訪問控制列表、Vlan路由、HSRP、生成樹協(xié)議等等。我采用SW13L和SW23L作為安博公司綜合項目的匯聚層的交換機，對于大型企業(yè)來說，WSC3560G48TSS 系列通過配置靈活性、支持融合網(wǎng)絡(luò)模式及自動進行智能網(wǎng)絡(luò)配置，簡化了融合應(yīng)用的部署，并可對不斷變化的業(yè)務(wù)需求進行調(diào)整。接入層接入層主要提供最終用戶接入網(wǎng)絡(luò)的途徑。接入層采用CISCO WSC2960G24TCL以千兆鏈路和匯聚交換機連接，并為客戶提供10/100M自適應(yīng)接入，從而形成以千兆為骨干，百兆到桌面的以太網(wǎng)三層結(jié)構(gòu)。辦公系統(tǒng)所需的各種服務(wù)如辦公自動化服務(wù)器、郵件服務(wù)器、DHCP服務(wù)器。Web服務(wù)器。FTP服務(wù)器等組成服務(wù)群，數(shù)據(jù)中心的多種系統(tǒng)連接到匯聚交換機的千兆模塊上，因此，內(nèi)部的局域網(wǎng)是采用三層結(jié)構(gòu)組建。主要是進行VLAN的劃分、與分布層的連接等等。接入層交換機采用思科的CISCO WSC2960G24TCL 以千兆以太鏈路和匯聚交換機相連接，并為用戶終端提供10/100M 自適應(yīng)的接入，從而形成千兆為骨干，百兆到桌面的以太網(wǎng)三層結(jié)構(gòu)。辦公系統(tǒng)所需的各種服務(wù)器如辦公自動化服務(wù)器、郵件服務(wù)器、DHCP 服務(wù)器、Web服務(wù)器、AD、File服務(wù)器等組成服務(wù)器群，數(shù)據(jù)中心的多種金融系統(tǒng)應(yīng)用服務(wù)器, 連接到匯聚交換機的千兆模塊上面,因此，內(nèi)部的局域網(wǎng)是采用三層結(jié)構(gòu)組建。 該網(wǎng)絡(luò)分三層：以R1和R3為核心的，核心層以3SW1和3SW2為匯聚層，SW12L、SW22L、SW32L、SW42L、SW52L、SW62L、SW72L是接入層。 總部與分部內(nèi)聯(lián)接入內(nèi)聯(lián)接入的作用是用于連接北京總部機房和鄭州分部辦公網(wǎng)絡(luò)。我們推薦使用兩臺Cisco 2811路由器通過SDH/DDN線路完成此項功能。由于總部網(wǎng)絡(luò)和分部機房屬于公司的內(nèi)部網(wǎng)絡(luò)的一部分，因此可信度很高；接入時主要作用是生產(chǎn)運營系統(tǒng)的數(shù)據(jù)交換，查詢等等和管理以及監(jiān)控?？偨Y(jié)以上的原因，內(nèi)聯(lián)路由器與核心交換網(wǎng)絡(luò)間不需要配置額外的防火墻。第5章 路由、交換設(shè)計 路由協(xié)議選擇為達到路由快速收斂、尋址以及方便網(wǎng)絡(luò)管理員管理的目的，我們建議采用動態(tài)路由協(xié)議，目前較好的動態(tài)路由協(xié)議是OSPF 協(xié)議和EIGRP 協(xié)議，OSPF 以協(xié)議標準化強，支持廠家多，受到廣泛應(yīng)用，而EIGRP 協(xié)議由Cisco 公司發(fā)明，考慮網(wǎng)絡(luò)的快速收斂和擴展性、公開性、投資的保護等原因，我們設(shè)計采用OSPF 路由協(xié)議和靜態(tài)路由相結(jié)合的路由方式。OSPF協(xié)議采用鏈路狀態(tài)算法，每個路由器維護一個相同的鏈路狀態(tài)數(shù)據(jù)庫，保存整個AS的拓撲結(jié)構(gòu)（AS不劃分情況下）。一旦每個路由器有了完整的鏈路狀態(tài)數(shù)據(jù)庫，該路由器就可以自己為根，構(gòu)造最短路徑樹，然后再根據(jù)最短路徑構(gòu)造路由表。對于大型的網(wǎng)絡(luò)，為了進一步減少路由協(xié)議通信流量，利于管理和計算。OSPF將整個AS劃分為若干個區(qū)域，區(qū)域內(nèi)的路由器維護一個相同的鏈路轉(zhuǎn)臺數(shù)據(jù)庫，保存該區(qū)域的拓撲結(jié)構(gòu)。OSPF路由器相互間交換信息，但交換的信息不是路由，而是鏈路狀態(tài)。OSPF定義了5種分組：Hello分組用于建立和維護連接；數(shù)據(jù)庫描述分組初始化路由的網(wǎng)絡(luò)拓撲數(shù)據(jù)庫；當發(fā)現(xiàn)數(shù)據(jù)庫中的某部分信息已過時后，路由器發(fā)送鏈路狀態(tài)請求分組，請求鄰居提供更新信息；路由器使用鏈路狀態(tài)更新分組來主動擴散自己的鏈路狀態(tài)數(shù)據(jù)庫或?qū)︽溌窢顟B(tài)請求分組進行向應(yīng)；由于OSPF直接運行在IP層，協(xié)議本身要提供確認機制，鏈路狀態(tài)應(yīng)答分組是對鏈路狀態(tài)更新分組進行確認。相對其他協(xié)議，OSPF有很多優(yōu)點。OSPF支持各種不同鑒別機制（如簡單口令驗證。MD5 加密認證），并且允許各個系統(tǒng)或區(qū)域采用互不相同的鑒別機制；提供負載均衡功能，如果計算機出到某個項目的站點若干條費用相同的路由，OSPPF路由器會把通信流量均勻地分配給之幾條路由，沿之幾條路由把該分組發(fā)出去；在一個自治系統(tǒng)內(nèi)可劃分出若干個區(qū)域，每個區(qū)域根據(jù)自己的拓撲機構(gòu)計算最短路徑，這減少了OSPF路由實現(xiàn)的工作量；OSPF屬動態(tài)的自適應(yīng)協(xié)議，對于網(wǎng)絡(luò)的拓撲機構(gòu)變化可以迅速的做出反應(yīng)，進行相應(yīng)調(diào)整，提供短的收斂期，使路由表盡快的穩(wěn)定下來，并且與其它路由協(xié)議相比，OSPF在對網(wǎng)絡(luò)的拓撲變化的處理過程中僅需要最少的通信流量；OSPF提供的到點接口，支持CIDR（無類型域間路由）地址。安博總部規(guī)劃為area 0，內(nèi)部網(wǎng)絡(luò)都規(guī)劃為area 0。各區(qū)域接入路由器跟區(qū)域不同使用動態(tài)協(xié)議，或者使用靜態(tài)路由與動態(tài)路由結(jié)合的方式。公司總部和分部都用AS 1各區(qū)域接入路由器根據(jù)區(qū)域不同使用動態(tài)協(xié)議，或者使用靜態(tài)路由與動態(tài)路由結(jié)合的方式。 交換技術(shù)對于本次項目的核心層思科路由器CiscoISCO 2811進行于外網(wǎng)的互聯(lián)，匯聚層我們將采用Cisco三層交換機SW3560建立在生成樹基礎(chǔ)上的多鏈路冗余連接。這樣不僅可以避免了由于網(wǎng)絡(luò)環(huán)路造成的廣播風暴等，在北京總部和分部在匯聚層的交換機上我們采用熱備份協(xié)議，運用兩臺交換機，當其中的一臺出現(xiàn)故障致使網(wǎng)絡(luò)不能正常通信時，備用的那臺馬上起到作用，避免了網(wǎng)絡(luò)的“短路”問題。HSRP 實現(xiàn)容錯備份功能，可以有效解決網(wǎng)絡(luò)不暢問題，保證了網(wǎng)絡(luò)的可靠性，做HSRP還可以保證核心交換機之間存在備份連接和負載均衡，鏈路捆綁可以完成高帶寬、大容量網(wǎng)絡(luò)層路由交換功能。這樣當交換機之間的線路出現(xiàn)故障時，傳輸?shù)臄?shù)據(jù)會快速自動切換到另外一條線路上進行傳輸，不影響網(wǎng)絡(luò)系統(tǒng)的正常工作。匯聚層交換機Cisco 3560和接入層交換機Cisco 2960，我們將采用Trunk技術(shù)，并把三層交換機上配置成VTP Server, 二層交換機配置成VTP Client,使其在同一個VTP域中，利用VTPServer同步VLAN間信息。這樣不僅可以少在多臺設(shè)備上配置同一個VLAN信息的工作量，而且還保持了VLAN配置的統(tǒng)一性。利用VLAN 技術(shù)可以限制廣播范圍的特性，能夠形成虛擬工作組，方便網(wǎng)絡(luò)管理。不僅提高了網(wǎng)絡(luò)的安全性，而且成本低，提高了性能，節(jié)省了人力，具有很強的靈活性。HSRP 是熱備份路由協(xié)議。 子網(wǎng)及IP地址規(guī)劃IP地址的規(guī)劃在網(wǎng)絡(luò)設(shè)計中舉足輕重。直接影響網(wǎng)絡(luò)運行的效率。IP地址設(shè)計的總原則是簡單、易管理、易擴展。我們配IP地址按以下原則：唯一性：一個IP網(wǎng)絡(luò)中不可能有兩個主機采用相同的IP地址。簡單性：地址分配應(yīng)簡單易于管理，降低網(wǎng)絡(luò)擴展的復(fù)雜性，簡化路由表的款項。連續(xù)性：連續(xù)地址在此結(jié)構(gòu)網(wǎng)絡(luò)中易于進行路由總結(jié)（Route Summarization）,大大縮減路由表，提高路由算法效率?？蓴U展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴展時能保證地址總結(jié)所需的連續(xù)性。靈活性：地址分配應(yīng)具有靈活性，可借助可變長子網(wǎng)掩碼技術(shù)，以滿足多種路由策略的優(yōu)化，充分利用地址空間。表：53 IP地址規(guī)劃表北京總部內(nèi)部網(wǎng)絡(luò)地址規(guī)劃單位/部門人數(shù)ip地址網(wǎng)段/掩碼本網(wǎng)段用到的IP地址可用地址個數(shù)網(wǎng)關(guān)地址辦公室26 /2730信息中心1014企業(yè)管理部5862生產(chǎn)部500510銷售部120126財務(wù)部2830人力資源部5862服務(wù)部5762Vlan 2　 /273Vlan 3　3