【正文】 的確定性，因此在運行和擴招過程中進行故障檢查和排錯很方便。多層模式使用網(wǎng)絡(luò)的移植更為簡單易行，因為他保留了基于路由器和交換機的網(wǎng)絡(luò)原有尋址方案，對以往網(wǎng)絡(luò)有很好的兼容性。每個層次完成不同的功能。包括訪問控制列表、VLAN路由等。該網(wǎng)絡(luò)分三層：以R2和R5為核心的，核心層以SW1L3和SW2L3為匯聚層，SW1 LSW2 LSW3 LSW4 LSW5 LSW6 LSW7L2…是接入層。對于邊界網(wǎng)絡(luò)接入網(wǎng)絡(luò)（與合作伙伴、分支機構(gòu)以及Internet 接入通稱為邊界網(wǎng)絡(luò)），網(wǎng)絡(luò)的安全性將是一個需要考慮的非常重要的因素。對于網(wǎng)絡(luò)帶寬，由于帶寬有限且租金昂貴，為了方便局域網(wǎng)內(nèi)語音通信我們?yōu)槟扑]VOIP，并建議用QOS技術(shù)進行擁塞管理、擁塞避免、流量整形等策略對網(wǎng)絡(luò)上的流量進行管理。可靠性：網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定可靠是應(yīng)用系統(tǒng)正常運行的關(guān)鍵保證，在網(wǎng)絡(luò)設(shè)計中選用高可靠性的網(wǎng)絡(luò)產(chǎn)品，合理設(shè)計網(wǎng)絡(luò)架構(gòu)，制定可靠的網(wǎng)絡(luò)備份策略，保證網(wǎng)絡(luò)具有故障治愈的能力，最大限度的支持各個系統(tǒng)的正常運行。靈活性和拓展性：根據(jù)未來的發(fā)展需求，網(wǎng)絡(luò)能夠具有較好的擴展性，實現(xiàn)網(wǎng)絡(luò)的平滑升級，盡可能的減少對網(wǎng)絡(luò)架構(gòu)和設(shè)備的調(diào)整。網(wǎng)絡(luò)結(jié)構(gòu)容錯：不會因某臺設(shè)備的故障而影響到整個主干網(wǎng)絡(luò)的正常運行；任意一條鏈路的中斷不會使主干網(wǎng)絡(luò)的任何部分中斷工作。這樣設(shè)計不但保證網(wǎng)絡(luò)的高可用性和穩(wěn)定性，還能夠充分利用現(xiàn)有設(shè)備的資源，以避免單臺核心設(shè)備的負載太重而導(dǎo)致的網(wǎng)絡(luò)性能問題。圖411如上圖所示，整體網(wǎng)絡(luò)可以根據(jù)功能劃分為總部核心網(wǎng)絡(luò)、匯聚層、接入層，接入層包括總部的辦公室26人、信息中心10人、企業(yè)管理部58人、生產(chǎn)部500人、銷售部120人、財務(wù)部28人、人力資源部58人、服務(wù)部57人；另外分公司辦公室12人、銷售部240人、儲運部25人、疫苗部20人、服務(wù)部10人。分公司可以各自建立交換網(wǎng)絡(luò)、路由接入、網(wǎng)絡(luò)安全體系，可以有獨立的安全策略、數(shù)據(jù)流量控制等個體的特性，而需要和其他區(qū)域的設(shè)備進行通訊的時候，則可以通過核心交換機Vlan間路由來實現(xiàn)。多層網(wǎng)絡(luò)有很大的確定性，因此在運行和擴展過程中進行故障查找和排除非常簡單。分層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進行很好的隔離。核心層核心層作為整個網(wǎng)絡(luò)系統(tǒng)的核心，其主要功能是高速、可靠的進行數(shù)據(jù)交換。我們推薦使用四臺Cisco Catalyst 3560交換機完成此項功能。它提供帶集成永續(xù)性的出色控制，將永續(xù)性集成到硬件和軟件中，縮短了網(wǎng)絡(luò)停運時間。我采用SW13L和SW23L作為安博公司綜合項目的匯聚層的交換機，對于大型企業(yè)來說，WSC3560G48TSS 系列通過配置靈活性、支持融合網(wǎng)絡(luò)模式及自動進行智能網(wǎng)絡(luò)配置，簡化了融合應(yīng)用的部署，并可對不斷變化的業(yè)務(wù)需求進行調(diào)整。Web服務(wù)器。辦公系統(tǒng)所需的各種服務(wù)器如辦公自動化服務(wù)器、郵件服務(wù)器、DHCP 服務(wù)器、Web服務(wù)器、AD、File服務(wù)器等組成服務(wù)器群，數(shù)據(jù)中心的多種金融系統(tǒng)應(yīng)用服務(wù)器, 連接到匯聚交換機的千兆模塊上面,因此，內(nèi)部的局域網(wǎng)是采用三層結(jié)構(gòu)組建。由于總部網(wǎng)絡(luò)和分部機房屬于公司的內(nèi)部網(wǎng)絡(luò)的一部分，因此可信度很高；接入時主要作用是生產(chǎn)運營系統(tǒng)的數(shù)據(jù)交換，查詢等等和管理以及監(jiān)控。一旦每個路由器有了完整的鏈路狀態(tài)數(shù)據(jù)庫，該路由器就可以自己為根，構(gòu)造最短路徑樹，然后再根據(jù)最短路徑構(gòu)造路由表。OSPF定義了5種分組：Hello分組用于建立和維護連接；數(shù)據(jù)庫描述分組初始化路由的網(wǎng)絡(luò)拓撲數(shù)據(jù)庫；當發(fā)現(xiàn)數(shù)據(jù)庫中的某部分信息已過時后，路由器發(fā)送鏈路狀態(tài)請求分組，請求鄰居提供更新信息；路由器使用鏈路狀態(tài)更新分組來主動擴散自己的鏈路狀態(tài)數(shù)據(jù)庫或?qū)︽溌窢顟B(tài)請求分組進行向應(yīng)；由于OSPF直接運行在IP層，協(xié)議本身要提供確認機制，鏈路狀態(tài)應(yīng)答分組是對鏈路狀態(tài)更新分組進行確認。安博總部規(guī)劃為area 0，內(nèi)部網(wǎng)絡(luò)都規(guī)劃為area 0。這樣不僅可以避免了由于網(wǎng)絡(luò)環(huán)路造成的廣播風(fēng)暴等，在北京總部和分部在匯聚層的交換機上我們采用熱備份協(xié)議，運用兩臺交換機，當其中的一臺出現(xiàn)故障致使網(wǎng)絡(luò)不能正常通信時，備用的那臺馬上起到作用，避免了網(wǎng)絡(luò)的“短路”問題。這樣不僅可以少在多臺設(shè)備上配置同一個VLAN信息的工作量，而且還保持了VLAN配置的統(tǒng)一性。 子網(wǎng)及IP地址規(guī)劃IP地址的規(guī)劃在網(wǎng)絡(luò)設(shè)計中舉足輕重。簡單性：地址分配應(yīng)簡單易于管理，降低網(wǎng)絡(luò)擴展的復(fù)雜性，簡化路由表的款項。表：53 IP地址規(guī)劃表北京總部內(nèi)部網(wǎng)絡(luò)地址規(guī)劃單位/部門人數(shù)ip地址網(wǎng)段/掩碼本網(wǎng)段用到的IP地址可用地址個數(shù)網(wǎng)關(guān)地址辦公室26 /2730信息中心1014企業(yè)管理部5862生產(chǎn)部500510銷售部120126財務(wù)部2830人力資源部5862服務(wù)部5762Vlan 2　 /273Vlan 3　3Vlan 4　3Vlan 5　3Vlan 6　3Vlan 7　3Vlan 8　3Vlan 9　3路由器R2R5　2　路由器R2R1　2　路由器R5R4　2　R2SW1L3　2　R2SW2L3　2　R3SW2L3　2　R3SW21　2　Web Server　6DNS Server　6File Server　6DHCP Server　6Mail Server　6AD　6鄭州分部IP規(guī)劃表：單位/部門人數(shù)ip地址網(wǎng)段/掩碼本網(wǎng)段用到的IP地址可用地址個數(shù)網(wǎng)關(guān)地址辦公室1230銷售部240254儲運部2530疫苗部2030服務(wù)部1014vlan 2　3vlan 3　3vlan 4　3vlan 5　3vlan 6　3Web Server　6Mail Server　6　FTP Server　6　路由器R63SW3　2　路由器R53SW3　2　路由器R53SW4　2　公網(wǎng)IP規(guī)劃：單位/部門ip地址網(wǎng)段/掩碼本網(wǎng)段用到的IP地址可用地址個數(shù)路由器R1R22總部Web　1分部Web　1路由器R4R5　2路由器R2R5　2Easyvpn　2 IPV6 由于IPV4網(wǎng)絡(luò)地址的資源有限，所以，為了提高網(wǎng)絡(luò)的可擴展性，在本次網(wǎng)絡(luò)項目中所采用的設(shè)備，均支持IPV6。第6章 服務(wù)器設(shè)計 服務(wù)器服務(wù)器群的主要功能是為客戶端提供各種網(wǎng)絡(luò)服務(wù)，包括：File Server、Web Server、DHCP Server、FTP Server、Mail Server、AD及身份驗證服務(wù)等等。 第7章 網(wǎng)絡(luò)安全解決方案 網(wǎng)絡(luò)邊界安全威脅分析網(wǎng)絡(luò)的邊界隔離著不同功能或地域的多個網(wǎng)絡(luò)區(qū)域，由于職責(zé)和功能的不同，相連網(wǎng)絡(luò)的密級也不同，這樣的網(wǎng)絡(luò)直接相連，必然存在著安全風(fēng)險，下面我們將對公司網(wǎng)絡(luò)就網(wǎng)絡(luò)邊界問題做脆弱性和風(fēng)險的分析。內(nèi)部用戶的非授權(quán)的訪問，更容易造成資源和重要信息的泄漏。例如，路由設(shè)備存在路由信息泄漏、交換機和路由器設(shè)備配置風(fēng)險等。 解決方法外網(wǎng)的安靠全靠防火墻來解決。第8章 關(guān)鍵技術(shù)介紹 VLAN技術(shù)VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的新興技術(shù)。VLAN可以根據(jù)網(wǎng)絡(luò)用戶的位置、作用、部門或者根據(jù)網(wǎng)絡(luò)用戶所使用的應(yīng)用程序和協(xié)議來進行分組。網(wǎng)絡(luò)管理員通過控制交換機的每一個端口來控制網(wǎng)絡(luò)用戶對網(wǎng)絡(luò)資源的訪問，同時VLAN和第三層第四層的交換結(jié)合使用能夠為網(wǎng)絡(luò)提供較好的安全措施。VTP最重要的作用是，將進行變動時可能會出現(xiàn)在的配置不一致性降至最低。有了VTP，在同一個VTP域就可以在一臺機換上集中過時行配置變更，所作的變更會被自動傳播到網(wǎng)絡(luò)中所有其他的交換機上。 VTP的優(yōu)點保持配置的一致性；提供跨不同介質(zhì)類型如ATM FDDI和以太網(wǎng)配置虛擬局域網(wǎng)的方法；提供跟蹤和監(jiān)視虛擬局域網(wǎng)的方法；提供檢測加到另一個交換機上的虛擬局域的方法；提供從一個交換機在整個管理域中增加虛擬局域網(wǎng)的方法 Trunk 技術(shù)TRUNK是端口匯聚的意思，一般的交換機端口只能屬于一個VLAN，對于多個VLAN 需要跨過多臺交換機，就需要用到Trunk 技術(shù)。 HSRP 協(xié)議我們使用HSRP來實現(xiàn)對故障路由器的接管,HSRP中文解釋是熱備份路由協(xié)議，其含義是系統(tǒng)中有多臺三層交換機，它們組成一個“熱備份組”，這個組形成一個虛擬路由器。HSRP 協(xié)議只支持一個路由器代表虛擬路由器實現(xiàn)數(shù)據(jù)包轉(zhuǎn)發(fā)過程。所以主機仍然保持連接，沒有受到故障的影響，這樣就較好地解決了路由器切換的問題。 SpanningTree協(xié)議生成樹算法的網(wǎng)橋協(xié)議STP(Spanning Tree Protocol) 它通過生成生成樹保證一個已知的網(wǎng)橋在網(wǎng)絡(luò)拓撲中沿一個環(huán)動態(tài)工作。在局域網(wǎng)中是不允許出現(xiàn)環(huán)路的，而為了實現(xiàn)冗余和負載的均衡，通常會有多條鏈路的連接，這樣就會引入環(huán)路。STP 算法會造成網(wǎng)絡(luò)的暫時的不穩(wěn)定狀態(tài)，該轉(zhuǎn)換時間在30秒之內(nèi)，亦即在30 秒之內(nèi)網(wǎng)絡(luò)會重新恢復(fù)到穩(wěn)定狀態(tài)。對于指定的VLAN，具有該VLAN 最高優(yōu)先權(quán)的端口轉(zhuǎn)發(fā)該VLAN的信息，其它VLAN 的信息則阻塞。采用多個STP 域顯然可以獲得比單個域高的網(wǎng)絡(luò)可靠性。根端口立即進入轉(zhuǎn)發(fā)狀態(tài)，Uplinkfast通過減少最大更新速率來限制突發(fā)多播流量。 EtherChannel以太通道也稱為以太端口捆綁、端口聚集或以太鏈路聚集。 NAT技術(shù)IP地址耗盡促成了CIDR的開發(fā)，但是CIDR開發(fā)的主要目的是為了有效的使用現(xiàn)有的INTERNET地址，而同時根據(jù)RFC1631(IP NETWORK ADDRESS TRANSLATOR)開發(fā)的NAT卻可以在多重的INTERNET子網(wǎng)中使用相同的IP地址，用來減少注冊IP地址的使用。PAT普遍應(yīng)用于接入設(shè)備中，它可以將內(nèi)網(wǎng)隱藏在一個合法的IP地址后面。ACL適用于所有的被路由協(xié)議，如IP、IPX、AppleTalk等。 ACL的定義也是基于每一種協(xié)議的。 ACL可以在路由器端口處決定哪種類型的通信流量被轉(zhuǎn)發(fā)或被阻塞。本文就集群系統(tǒng)的定義、發(fā)展趨勢、任務(wù)調(diào)度等問題進行了簡要論述。 采用集群的目的 提高性能 一些計算密集型應(yīng)用，如：天氣預(yù)報、核試驗?zāi)M等，需要計算機要有很強的運算處理能力，現(xiàn)有的技術(shù)，即使普通的大型機其計算也很難勝任。但與價值上百萬美元的專用超級計算機相比已屬相當便宜。 增強可靠性 集群技術(shù)使系統(tǒng)在故障發(fā)生時仍可以繼續(xù)工作，將系統(tǒng)停運時間減到最小。 目前，寬帶接入正在成為取代撥號上網(wǎng)的趨勢，在寬帶接入技術(shù)日新月異的今天，PPP也衍生出新的應(yīng)用。 DNS服務(wù)器DNS是域名系統(tǒng) (Domain Name System) 的縮寫，它是由解析器和域名服務(wù)器組成的。域名服務(wù)器為客戶機/服務(wù)器模式中的服務(wù)器方，它主要有兩種形式：主服務(wù)器和轉(zhuǎn)發(fā)服務(wù)器。當用戶在應(yīng)用程序中輸入 DNS 名稱時，DNS 服務(wù)可以將此名稱解析為與之相關(guān)的其他信息，如 IP 地址。因為，8個二進制數(shù)轉(zhuǎn)化為十進制數(shù)的最大范圍就是0～255。 FTP簡介:用戶聯(lián)網(wǎng)的首要目的就是實現(xiàn)信息共享，文件傳輸是信息共享非常重要的一個內(nèi)容之一。用戶通過一個支持FTP協(xié)議的客戶機程序，連接到在遠程主機上的FTP服務(wù)器程序。為了實現(xiàn)Windows環(huán)境下的FTP服務(wù)器配置，絕大多數(shù)的Windows 發(fā)行套裝中都選用的是Washington University FTP（Wu－Ftpd），這是一個性能優(yōu)秀的服務(wù)器軟件，由于它具有眾多強大功能和超大的吞吐量，Internet上的FTP服務(wù)器有60％以上采用了它。 File服務(wù)器本地文件傳輸協(xié)議，F(xiàn)ile協(xié)議主要用于訪問本地計算機中的文件，就如同在Windows資源管理器中打開文件一樣。 Mail服務(wù)器郵件服務(wù)器是一種用來負責(zé)電子郵件收發(fā)管理的設(shè)備。與傳統(tǒng)郵件不同的是，電子郵件既迅速，又易于分發(fā)，而且成本低廉。 郵件結(jié)構(gòu)系統(tǒng)由三類主要部件構(gòu)成:用戶代理、郵件服務(wù)器和簡單郵件傳送協(xié)議(simple Mail Transfer Protocol，簡稱SMTP)。郵件服務(wù)器構(gòu)成了電子郵件系統(tǒng)的核心。SMlP的客戶端和服務(wù)器端同時運行在每個郵件服務(wù)器上。所有的WWW文件都必須遵守這個標準。 HTTP是一個客戶端和服務(wù)器端請求和應(yīng)答的標準（TCP）。應(yīng)答的服務(wù)器上存儲著（一些）資源，比如HTML文件和圖像。它不僅保證計算機正確快速地傳輸超文本文檔，還確定傳輸文檔中的哪一部分，以及哪部分內(nèi)容首先顯示(如文本先于圖形)等。）Active Directory存儲了有關(guān)網(wǎng)絡(luò)對象的信息，并且讓管理員和用戶能夠輕松地查找和使用這些信息。一個最典型的例子就是一個網(wǎng)絡(luò)目錄存儲一個用戶帳號時，它存儲了用戶的姓名、密碼、電