【正文】 除思科網(wǎng)絡(luò)助理之外， Catalyst 2960 系列交換機(jī)還使用 CiscoWorks for Switched Interworks 等 SNMP網(wǎng)絡(luò)管理平臺(tái)實(shí)現(xiàn)了擴(kuò) 展管理。 思科網(wǎng)絡(luò)助理是一個(gè)基于 PC 的網(wǎng)絡(luò)管理應(yīng)用，適用于用戶數(shù)目不超過(guò) 250名的 LAN。 Web 瀏覽等其他應(yīng)用則可作為較低優(yōu)先級(jí)對(duì)待。 Cisco Catalyst 2960 支持每端口 4 個(gè)輸出隊(duì)列，使網(wǎng)絡(luò)管理員能更好地進(jìn)行控制，為 LAN 上的各種應(yīng)用分配優(yōu)先級(jí)。 QoS 的配置通過(guò)自動(dòng) QoS（ Auto QoS）大大得到了簡(jiǎn)化，這是一個(gè)可發(fā)現(xiàn)思科 IP 電話并自動(dòng)配置交換機(jī)以進(jìn)行正確分類和輸出排序的特性。 憑借動(dòng)態(tài)主機(jī)配置協(xié)議 (DHCP)監(jiān)聽(tīng)，可以只允許來(lái)自不可信用戶端口的DHCP 請(qǐng)求（但不允許響應(yīng)）進(jìn)入網(wǎng)絡(luò)，從而防止 DHCP 電子欺騙。 Catalyst 2960 系列中的 IBNS 可防止未授權(quán)接入，并確保用戶只獲得其指定權(quán)利。 網(wǎng)絡(luò)智能性 當(dāng)今的網(wǎng)絡(luò)正在不斷發(fā)展，在網(wǎng)絡(luò)邊緣出現(xiàn)了四種新趨勢(shì)： ? 桌面計(jì)算能 力提高 ? 帶寬密集型應(yīng)用出現(xiàn) ? 高敏感數(shù)據(jù)在網(wǎng)絡(luò)中擴(kuò)展 ? 出現(xiàn)了多種設(shè)備類型，如 IP 電話、 WLAN 接入點(diǎn)和 IP 視頻攝像頭 這些新需求正與許多已有關(guān)鍵任務(wù)應(yīng)用爭(zhēng)奪資源。 2960 系列智能以太網(wǎng)交換機(jī)是一個(gè)全新的、固定配置的獨(dú)立設(shè)備系列，提供桌面快速以太網(wǎng)和千兆以太網(wǎng)連接，可為入門級(jí)企業(yè)、中型市場(chǎng)和分支機(jī)構(gòu)網(wǎng)絡(luò)提供增強(qiáng) LAN 服務(wù)。通過(guò)安裝一個(gè) SSL VPN升級(jí)許可證，企業(yè)能在每個(gè) Cisco ASA 5550 上支持 5000 個(gè) SSL VPN 對(duì)；基本平臺(tái)上支持 5000 個(gè) IPSec VPN 對(duì)。所有7200系列 VXR 機(jī)箱提供的集成 TDM交換功能都可以支持通過(guò)一個(gè)單一多用途設(shè)備升級(jí)到 IP語(yǔ)音網(wǎng)絡(luò)。這種模塊化設(shè)計(jì)在使客戶獲得自己所需要的性能和容量的同時(shí)，還為客戶提供了投資保護(hù)和有保證的擴(kuò)展途徑。此外，思科已開(kāi)發(fā)了主動(dòng)密鑰緩存 (PKC)，這是 標(biāo)準(zhǔn)的擴(kuò)展、 標(biāo)準(zhǔn)的前身，可通過(guò) AES 加密和 RADIUS 驗(yàn)證實(shí)現(xiàn)安全漫游。這使網(wǎng)絡(luò)管理員能環(huán)繞其 RF 域創(chuàng)建一個(gè)“防御屏障”， 抑制未授權(quán)無(wú)線活動(dòng)，直至他們作好部署無(wú)線局域網(wǎng)服務(wù)的準(zhǔn)備為止。 ? 覆蓋盲區(qū)檢測(cè)和修復(fù) — 無(wú)線資源管理 (RMM)軟件可發(fā)現(xiàn)覆蓋盲區(qū)，并嘗試通過(guò)調(diào)整接入點(diǎn)的功率輸出來(lái)修復(fù)它們。 4402 具有 1 個(gè)擴(kuò)展插槽， 4404 具有2個(gè)擴(kuò)展插槽，可用于在將來(lái)添加增強(qiáng)功能，如 VPN終結(jié)等。 思科無(wú)線局域網(wǎng)控制器可平穩(wěn)地集成入現(xiàn)有企業(yè)網(wǎng)絡(luò)中。當(dāng)網(wǎng)絡(luò)規(guī)模逐漸增大，設(shè)備可以使用帶有新的特性和升級(jí)了性能的操作系統(tǒng)來(lái)適應(yīng)，比如新版本的 Cisco IOS/Cisco Catalyst OS。 CiscoWorksLMS 不僅僅可以進(jìn)行普通的網(wǎng)絡(luò)管理任務(wù)，最主要的是，他們還能協(xié)助用戶進(jìn)行配置或者重新配置復(fù)雜并且多變的網(wǎng)絡(luò)。 除了主鏈路配置有區(qū)別，其他的諸如準(zhǔn)入控制，復(fù)雜隊(duì)列技術(shù)， CiscoWorks等等，均和上述方案相同。 由于現(xiàn)在出口的 Radware 設(shè)備使用小包探測(cè)鏈路形態(tài)，給出口的 UTM 設(shè)備增加了很多負(fù)擔(dān)，在 UTM 設(shè)備不能替換的情況下，將 Radware 設(shè)備更換為使用SRTT 算法的 F5 設(shè)備。 網(wǎng)絡(luò)總體設(shè)計(jì) 現(xiàn)在的網(wǎng)絡(luò)拓?fù)涓嗟膯?wèn)題集中在網(wǎng)絡(luò)出口。 縱觀網(wǎng)絡(luò)發(fā)展史，老舊網(wǎng)絡(luò)的衰落和換代無(wú)一不是應(yīng)用交付程序的暴發(fā)性增長(zhǎng)所致。群件使用 Cisco 定義設(shè)備特性集，可以準(zhǔn)確的繪制網(wǎng)絡(luò)拓?fù)?，精確描述設(shè)備間電纜連接狀況 ；同時(shí)，具有強(qiáng)大的記錄功能，基于 SNMP 的 Trap 和 CiscoWorks 輪詢確保了數(shù)據(jù)的完整性。結(jié)合預(yù)認(rèn)證和功率分布分析等等功能，可以為用戶提供非常好的無(wú)線接入體驗(yàn)。同時(shí)，購(gòu)買第二塊引擎和電源，以便于從物理結(jié)構(gòu)上增加 設(shè)備的可靠程度。相 比較而言， Radware 的 Echo 技術(shù)大量的消耗自身的上游設(shè)備資源，嚴(yán)重的增加了網(wǎng)絡(luò)設(shè)備處理數(shù)據(jù)包的負(fù)擔(dān)。 IPS 模塊可以成倍的提高防火墻對(duì)于攻擊的抵抗能力。使用 Cisco 基于 ASA 算法的新一代防火墻，同時(shí)內(nèi)置 IPS 模塊，除了能夠很好的解決目前網(wǎng)絡(luò)威脅，也可以為今后大量面對(duì) Inter 的服務(wù)器提供良好的保障。采用多級(jí)網(wǎng)絡(luò)安全的設(shè)計(jì)思路，推薦使用設(shè)備內(nèi)置的安全功能，能配合專業(yè)的安全產(chǎn)品（如防火墻）還能有效地阻止外部的非法入侵和內(nèi)部的非授權(quán)操作。 設(shè)計(jì)原則 為了能夠進(jìn)一步提升網(wǎng)絡(luò)的運(yùn)作水平，包括容錯(cuò)、 均衡和可管理能力，使得網(wǎng)絡(luò) 能更好的適應(yīng)未來(lái)基于應(yīng)用的交付，決定利用這次機(jī)會(huì)，對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行重新的改造。網(wǎng)絡(luò)核心層使用 Cisco 7600 路由器作為核心路由器。僅從規(guī)劃和實(shí)際技術(shù)角度討論項(xiàng)目的拓?fù)浜推渌赡茏兓?。行為審?jì)設(shè)備用以限制內(nèi)部和外部使用者的行為，某些具有明顯惡意行為的數(shù)據(jù)包將會(huì)使用簽名比對(duì)的方式進(jìn)行查找并且丟棄，同時(shí)提供了針對(duì)某些協(xié)議和應(yīng)用的封閉能力，可能包括下載工具和流媒體。 網(wǎng)絡(luò)邊緣層。方案中所推薦的各級(jí)網(wǎng)絡(luò)設(shè)備能針對(duì)各類業(yè)務(wù)提供適合的帶寬。第一套方案傾向高性能和高可靠性，目標(biāo)是滿足今后至少 5 年網(wǎng)絡(luò)情況的發(fā)展，網(wǎng)絡(luò)設(shè)計(jì)有全冗余鏈路，擁有極高的故障恢復(fù)和負(fù)載可控特性。 Cisco 防火墻是業(yè)界領(lǐng)先的設(shè)備，基于簽名的數(shù)據(jù)包過(guò)濾技術(shù)可以非常容易的發(fā)現(xiàn)已知的攻擊行為，并能進(jìn)行極深度數(shù)據(jù)包檢查，避免夾雜在數(shù)據(jù)包當(dāng)中針對(duì)特定系統(tǒng)的語(yǔ)義攻擊，更大限度的自外而內(nèi)保護(hù)網(wǎng)絡(luò)安全。 冗余 鏈路以下，使用兩臺(tái) F5 LC1500 鏈路負(fù)載均衡器，用以實(shí)現(xiàn)智能網(wǎng)絡(luò)均衡負(fù)載能力。同時(shí)，將核心設(shè)備上的防火墻模塊轉(zhuǎn)移到 Cisco Catalyst 6509 上 ，新購(gòu)買NAM 模塊安裝到 Cisco6509 上，用以提供更為詳細(xì)的流量統(tǒng)計(jì)報(bào)告 。兩套 IDS 與防火墻、核心路由器和核心交換機(jī)進(jìn)行聯(lián)動(dòng)，確?？梢詼?zhǔn)確及時(shí)的消除網(wǎng)絡(luò)攻擊帶來(lái)的隱患。必要時(shí)侯，使用 ZBF 來(lái)進(jìn)一步強(qiáng)化網(wǎng)絡(luò)的整體安全性。結(jié)合網(wǎng)絡(luò)中的 IPS/IDS， NAM 模塊， MARS 具有更加豐富和準(zhǔn)確的數(shù)據(jù)源，因此可以發(fā)揮更好的作用。 方案二： 本方案著眼較低改造成本。通常的，核心網(wǎng)絡(luò)設(shè)備會(huì)面臨最為險(xiǎn)惡的網(wǎng)絡(luò)應(yīng)用環(huán)境，因此必須要對(duì)核心實(shí)行板卡級(jí)或者設(shè)備級(jí)冗余，來(lái)提升網(wǎng)絡(luò)本身的穩(wěn)定性。同樣的，由于成本限制，不能在外鏈路上使用高端防火墻，因此采用天融信的行為管理設(shè)備，限制用戶可以訪問(wèn)的 Inter 網(wǎng)絡(luò)資源。 CiscoWorks LMS 提供了足以完成配置、監(jiān)視和解決路由器、交換機(jī)或者其他應(yīng)用程序問(wèn)題的工具，能快速的控制由于人為因素而導(dǎo)致的錯(cuò)誤。只需要很少的配置工作就可以使得這個(gè)工具有效的運(yùn)行起來(lái)，比如可能需要修改密碼和設(shè)備集名稱，就會(huì)被自動(dòng)的記錄在案，而不用人為的去創(chuàng)建觸發(fā)器或者進(jìn)行其他的操作。無(wú)線局域網(wǎng)控制器適用于企業(yè)無(wú)線局域網(wǎng)部署，并提供了系統(tǒng)級(jí)無(wú)線局域網(wǎng)功能，如安全策略、入侵防御、 RF 管理、服務(wù) 質(zhì)量 (QoS)和移動(dòng)性。以這種方式，思科無(wú)線局域網(wǎng)控制器可作為單一無(wú)縫系統(tǒng)運(yùn)行，提供一個(gè)有數(shù)千 AP 的可擴(kuò)展 WLAN 網(wǎng)絡(luò)。 思科無(wú)線局域網(wǎng)控制器所管理的特定智能 RF 功能包括： ? 動(dòng)態(tài)信道分配 — 信道可根據(jù)不斷變化的 RF情況進(jìn)行調(diào)整，以優(yōu)化網(wǎng)絡(luò)覆蓋范圍和性能。 思科提供了唯一能同時(shí)進(jìn)行無(wú)線保護(hù)和提供無(wú)線局域網(wǎng)服務(wù)的無(wú)線局域網(wǎng)系統(tǒng)。 這其中包括： 第二層安全功能 — (PEAP, LEAP, TTLS), WPA, (WPA2)和 L2TP 第三層（和更高層次）的安全功能 — IPSec, web 驗(yàn)證 VLAN 分配 訪問(wèn)控制列表（ ACL） — IP 限制，協(xié)議類型，端口和差分服務(wù)代碼點(diǎn) (DSCP)數(shù)值 QoS— 多個(gè)服務(wù)級(jí)別，帶寬減少，流量整形和 RF 利用 驗(yàn)證、授權(quán)和記帳 (AAA)/RADIUS— 用戶連接策略和權(quán)限管理 網(wǎng)絡(luò)準(zhǔn)入控制 (NAC)— 實(shí)施客戶端配置和行 為策略，以確保只有擁有適當(dāng)安全工具的終端用戶設(shè)備才能訪問(wèn)網(wǎng)絡(luò)。在 7200 系列的配置中，客戶可以選擇 4 種處理引擎、一個(gè) 4 或 6 插槽多服務(wù)機(jī)箱、不同的輸入 /輸出（ I/O）控制器以及多種 LAN 和 WAN 端口適配器，這使 7200 系列能夠提供大量不 同的配置，以滿足不同的網(wǎng)絡(luò)需求。由于對(duì) MOLS VP的行業(yè)標(biāo)準(zhǔn)支持，當(dāng)您的網(wǎng)絡(luò)對(duì) MPLS 主干的可擴(kuò)展性、靈活性和性能提出要求時(shí)， 7200 系列可以提供強(qiáng)大的行業(yè)同盟。利用其 8 個(gè)千兆以太網(wǎng)接口、 4 個(gè) SFP 光纖接口 *和多達(dá) 200個(gè)的 VLAN，企業(yè)可以將網(wǎng)絡(luò)分成多個(gè)高性能分區(qū)，從而提高安全性。企業(yè)可選擇銅纜或光纖連接，從而為數(shù)據(jù)中心、園區(qū)或企業(yè)邊緣連接提供了靈活性。目前，工作人員都對(duì)網(wǎng)絡(luò)有著更高需求，在網(wǎng)絡(luò)上同時(shí)運(yùn)行多個(gè)應(yīng)用。為進(jìn)一步優(yōu)化網(wǎng)絡(luò)運(yùn)行，部署具備以下特性的功能是十分關(guān)鍵的：能使網(wǎng)絡(luò)基礎(chǔ)設(shè)施高度可用以達(dá)到關(guān)鍵時(shí)間要求、可擴(kuò)展以便于公司發(fā)展、高度安全以保護(hù)保密信息，且能區(qū)分和控制流量。 ACL 查詢?cè)谟布型瓿?，故此在?shí)施基于 ACL 的安全性時(shí)不會(huì)影響轉(zhuǎn)發(fā)性 能。此外，可在交換機(jī)上配置本地用戶名和密碼數(shù)據(jù)