【文章內(nèi)容簡介】 。 (3) 基于網(wǎng)絡(luò)層的 VLAN：這種方法是根據(jù)每個主機的網(wǎng)絡(luò)層地址或 協(xié)議類型 (如果支持多協(xié)議 )來劃分的。雖然這種劃分方法是根據(jù)網(wǎng)絡(luò)地址，比如 IP地址，但它不是路由，與網(wǎng)絡(luò)層的路由毫無關(guān)系。這種方法的優(yōu)點是用戶的物理位置改變時，不需要重新配置所屬的 VLAN。而且，可以根據(jù)協(xié)議類型來劃分VLAN，這對網(wǎng)絡(luò)管理者來說很重要。此外，這種方法不需要附加的幀標(biāo)簽來識別 VLAN，這樣可以減少網(wǎng)絡(luò)的通信量。它的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng) 絡(luò)層地址是需要消耗大量處理時間的 (相對于前面兩種方法 )。 一般的交換機芯片都可以自動檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)幀頭，但要讓芯片能檢查 IP 幀頭，則需要更高級的技術(shù)，同時也更費時 [7]。 (4) 基于策略的 VLAN 的劃分是一種比較有效而直接的方式。這主要取決于在 VLAN 的劃分中所采用的策略。 根據(jù)上述描述，可得出 VLAN 的種類，如表 11 所示。 表 11 VLAN 的種類 種類 說明 靜態(tài) VLAN 基于交換端口的 VLAN 根據(jù)交換機的各端口固定指派給 VLAN 動態(tài) VLAN 基于 MAC 地址的 VLAN 根據(jù)各 端口所連計算機的 MAC 地址設(shè)定 基于網(wǎng)絡(luò)層的 VLAN 根據(jù)各端口所連計算機的 IP 地址設(shè)定 基于策略的 VLAN 靈活應(yīng)用上述三種策略的綜合劃分 就目前來說，對于 VLAN的劃分主要采用基于端口的模式。這種技術(shù)相對成熟，組網(wǎng)簡單、靈活實用，基于端口劃分 VLAN的以太網(wǎng)交換機是校園網(wǎng)和企業(yè)網(wǎng)組網(wǎng)所選用的標(biāo)準(zhǔn)網(wǎng)絡(luò)設(shè)備。 ６ 工作站 2 工作站 3 工作站 4 2 交換技術(shù)簡介 交換技術(shù)對于網(wǎng)絡(luò)設(shè)計來說來說是至關(guān)重要，下面分別說明。 兩層交換技術(shù) 局域網(wǎng)交換是對傳統(tǒng) LAN技術(shù)的一次本質(zhì)革命。在傳統(tǒng)以太網(wǎng)環(huán)境中，以細(xì)纜組網(wǎng)為例，終端通過掛在 同一條電纜上相互連接起來。這條電纜作為各工作站的一個共同的傳輸介質(zhì)被所有連接在上面的工作站所共享。但由于它是共享介質(zhì)，因此在同一個時刻只允許一個工作站發(fā)送數(shù)據(jù)。在以太網(wǎng)中，采用帶有沖突檢測的載波監(jiān)聽多路訪問 (CSMA/CD)協(xié)議來保證在任何時候只有一個工作站能夠獲得共享總線的控制權(quán)。圖 21描述了共享 LAN，連接域中的四個工作站共享一條傳輸介質(zhì)，同一時刻只能有一個工作站傳輸數(shù)據(jù)，其他工作站必須等待。也就是說，這三個工作站在同一個沖突域中。 圖 21 共享 LAN 在這種共享式 LAN中，業(yè)務(wù)量和終端用戶的大量增加，會導(dǎo)致較低的網(wǎng)絡(luò)利用率和應(yīng)用程序吞吐率。最好的解決方法是 LAN分段，減少每個網(wǎng)段上工作站的數(shù)量 (每個網(wǎng)段即為一個沖突域 )，最好是每個網(wǎng)段只有一個工作站，從而使共享LAN的沖突域縮小。在局域網(wǎng)交換技術(shù)產(chǎn)生以前，通常采用網(wǎng)橋或路由器進行沖突域的劃分。這種方式在某種程度上能改善帶寬問題，但這樣做一方面會增加投資和維護費用，另一方面效果并不明顯且缺乏靈活性。 使用二層交換技術(shù)完全改變了共享式 LAN中的最大弊病 。首先，二層交換技工作站 1 發(fā) 送 ７ 術(shù)能夠輕松將一個 LAN分割成多個網(wǎng)段。其次，每個網(wǎng)段可以根據(jù)工作組性質(zhì)放置有共同特點的工作站，這樣提供了良好的性能和靈活性。最后，二層交換技術(shù)能夠?qū)⑼ㄐ拍芰τ砂腚p工擴展成全雙工，從而使工作站能使用全部的可用帶寬同時發(fā)送和接收數(shù)據(jù)。 二層交換技術(shù)不僅僅能夠通過把沖突域縮小，讓終端獨占鏈路段帶寬的方式來提高網(wǎng)絡(luò)的傳輸速率，它還能與其它網(wǎng)絡(luò)技術(shù)相結(jié)合把網(wǎng)絡(luò)建成能夠?qū)π畔⒘髯詣臃诸悺Σ煌畔⒘鲗嵤┎煌?wù)級別、高度容錯、自動診斷、管理方便這樣一個智能型的網(wǎng)絡(luò)。也正是因為二層交換技術(shù)的諸多優(yōu)點，以 太網(wǎng)交換機得到了越來越廣的應(yīng)用。 在第二層交換網(wǎng)絡(luò)中可以通過建立 VLAN來打破廣播域的限制。然而，虛擬網(wǎng)中的主機默認(rèn)情況下只能與相同虛擬網(wǎng)中的主機通信。如果要與不同虛擬網(wǎng)中的設(shè)備進行通信，必須通過第三層交換設(shè)備。下一節(jié)介紹三層交換技術(shù) [10]。 三層交換技術(shù) 現(xiàn)在的網(wǎng)絡(luò)管理人才談?wù)撟疃嗟耐ㄓ嵲O(shè)備往往是三層交換機，下面會通過兩點來進行闡述，不過首先得要明白三層交換機的概念。交換技術(shù)在網(wǎng)絡(luò)的源端口與目的端口之間提供直接、快速、準(zhǔn)確的點到點連接，為主干網(wǎng)提供高速低延時通信。另一方面，交換技術(shù)的引入，使得 網(wǎng)絡(luò)不同端口之間的數(shù)據(jù)傳輸可并行發(fā)生且互不影響 [10]。三層交換技術(shù)，簡單說就是將路由與交換合二為一，在對第一個數(shù)據(jù)包進行路由后，將會產(chǎn)生一個由 MAC地址、 IP地址和對應(yīng)端口組成的映射表。當(dāng)后面數(shù)據(jù)包通過時，將根據(jù)此映射表直接從二層進行交換，而不是再次路由。這就消除了傳統(tǒng)路由器對每個報文都進行路由選擇而造成的網(wǎng)絡(luò)延遲，提高了數(shù)據(jù)包轉(zhuǎn)發(fā)速率。采用這種技術(shù)的交換機稱之為三層交換機。 選用三層交換機的必要性 (1) 網(wǎng)絡(luò)骨干少不了三層交換 要說三層交換機在諸多網(wǎng)絡(luò)設(shè)備中的作用，用 “ 中流砥柱 ” 形容并 不為過。在校園網(wǎng)中，骨干網(wǎng)、匯聚層都有三層交換機的用武之地，尤其是核心骨干網(wǎng) 必須使 用三層交換機 。 否則 ， 整個網(wǎng)絡(luò)成千上萬臺計算機都在一個子網(wǎng)中，不僅毫無安全可言，也會因為無法分割廣播域而 引發(fā)嚴(yán)重的 廣播風(fēng)暴。 如果采用傳統(tǒng)的路由器，雖然可以隔離廣播，但是性能得不到保障。而三層交換機的性能非常高，既有三層路由的功能，又具有二層交換的速度。二層交換 ８ 是基于 MAC尋址，三層交換則是轉(zhuǎn)發(fā)基于第三層地址的業(yè)務(wù)流 。 除了必要的路由決定過程外，大部分?jǐn)?shù)據(jù)轉(zhuǎn)發(fā)過程由二層交換處理， 從而 提高了數(shù)據(jù)包轉(zhuǎn)發(fā)的效率。 三層交換機通過硬件 交換實現(xiàn) IP的路由功能，其優(yōu)化的路由軟件使得路由過程效率提高，解決了傳統(tǒng)路由器的路由速度問題。因此可以說，三層交換機具有“ 路由器的功能、交換機的性能 ” 。 (2) 連接子網(wǎng)少不了三層交換 同一網(wǎng)絡(luò)上的計算機如果超過一定數(shù)量 (通常在 200臺左右，視通信協(xié)議而定 )，就很可能會因為網(wǎng)絡(luò)上大量的廣播而導(dǎo)致網(wǎng)絡(luò)傳輸效率低下。為了避免在大型交換機上進行廣播所引起的廣播風(fēng)暴，可將其進一步劃分為多個虛擬網(wǎng)。但是這樣做將導(dǎo)致一個問題： VLAN之間的通信必須通過路由器來實現(xiàn)。傳統(tǒng)路由器 對每個報文都執(zhí)行路由選擇，效率相對較低。 使用三層交換機上的千兆端口或百兆端口連接不同的子網(wǎng)或 VLAN， 可以 在保持性能的前提下， 既 經(jīng)濟 又高效地 解決劃分子網(wǎng)之后子網(wǎng)之間的通信問題 。 因此 ， 三層交換機是連接子網(wǎng)的理想設(shè)備。 第三層交換的應(yīng)用特征 在校園網(wǎng)中，常用第三層交換機上的千兆端口或百兆端口連接不同的子網(wǎng)或VLAN，以優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，減少控制功能和降低成本。 (1) 核心交換機 在校園網(wǎng)絡(luò)拓樸結(jié)構(gòu)中，第三層交換機一般作為網(wǎng)絡(luò)的核心交換和服務(wù)器群交換機，也可作為網(wǎng)絡(luò)節(jié)點交換機。將三層交換機與其他第一、二層交換機配合使用，網(wǎng)絡(luò)管理員能構(gòu)造出無縫的 10/100/1000M以太交換系統(tǒng)，為整個信息系統(tǒng)提供統(tǒng)一的網(wǎng)絡(luò)服務(wù)，使全網(wǎng)具有可伸縮性和基于策略的 Qos。 (2) 支持 Trunk協(xié)議 采用 Trunk干道技術(shù)能將若干條相同的源交換機與目的交換機的以太網(wǎng)連接線從邏輯上看作一條線，以保證局域網(wǎng)無環(huán)路。這種技術(shù)不僅能夠連接不同的VLAN或跨越多個交換機的相同 VLAN，而且能有效地加大連接寬帶，增強網(wǎng)絡(luò)設(shè)備的冗余性。 (3) 實現(xiàn)組播和自學(xué) 第三層交換機支持動態(tài)路由協(xié)議，能夠?qū)嵤┗跇?biāo)準(zhǔn)的多點組播協(xié)議并具有自學(xué)習(xí)功能。根據(jù)學(xué)習(xí)到的信息，三層交換機建立和維護路由表中的路由信息， ９ 并自動為所有 IP數(shù)據(jù)包提供路由服務(wù)。 (4) 內(nèi)置安全機制 三層交換機可以與普通路由器一樣，具有訪問列表的功能， 從而 實現(xiàn)不同VLAN間的單向或雙向通訊。如果在訪問列表中進行設(shè)置，可以限制用戶訪問特定的 IP地址，這樣學(xué)校就可以禁止學(xué)生訪問不健康的站點 。 訪問列表不僅可以用于禁止內(nèi)部用戶訪問某些站點，也可以用于防止校園網(wǎng)、城域教育網(wǎng)外部的非法用戶訪問校園網(wǎng)、城域教育網(wǎng)內(nèi)部的網(wǎng)絡(luò)資源，從而提高網(wǎng)絡(luò)的安全 性 。 三層交換機支持內(nèi)部帶有硬件的過濾器，能在不降低系統(tǒng)性能的前提下對所有數(shù)據(jù)包進行過濾，且能根據(jù)實際需求結(jié)合 ACL用戶訪問控制列表對第二層到第四層的數(shù)據(jù)包進行過濾。 (5) 認(rèn)證 計費功能 在校園網(wǎng) 中也需要 進行認(rèn) 證和 計費 。當(dāng)前 三層交 換機 一 般都有AAA(Authentication, Authorization and Accounting)功能，使用 RADIUS協(xié)議和RADIUS服務(wù)器 ，可以統(tǒng)計網(wǎng)絡(luò)中計算機的數(shù)據(jù)流量 ，并 按流量計費，也可以統(tǒng)計計算機連接在網(wǎng)絡(luò)上的時間， 從而 按時間計費。 3 網(wǎng)絡(luò)總體需求分析與詳細(xì)設(shè)計 由于 學(xué)校 發(fā)展迅猛， 老校區(qū) 與 3個 新的校區(qū) 迫切需要暢通無阻的信息交流，從而讓 老校區(qū)的決策者 能對 各校區(qū)的學(xué)院 進行更直接 和更有效的管理，進而達到多 方信息共享的目的，所以將彼此相互獨立的 分校區(qū)的 子網(wǎng)聯(lián)成一個統(tǒng)一網(wǎng)絡(luò)勢在必行 。又由于 隨著各 校區(qū) 計算機及局域網(wǎng)絡(luò)應(yīng)用的不斷深入，特別是各種計算機應(yīng)用系統(tǒng)被相繼應(yīng)用在實際工作中，各 學(xué)院 之間、各 學(xué)院 同外界信息媒體之間的相互交換和共享的要求日益增加。需要使各 學(xué)院 相互間真正做到高效的信息交換、資源的共享，為各 學(xué)院 各級領(lǐng)導(dǎo)提供準(zhǔn)確、可靠、快捷的各種生產(chǎn)數(shù)據(jù)和信息，充分發(fā)揮各 學(xué)院 現(xiàn)有的計算機設(shè)備的功能。 網(wǎng)絡(luò)總體方案 網(wǎng)絡(luò)總體方案要點包括：采用統(tǒng)一的通信協(xié)議、路由協(xié)議；主干網(wǎng)從高速交換鏈 路連接各子網(wǎng)；各子網(wǎng)內(nèi)部為交換網(wǎng)絡(luò)，形成兩個層次的平面網(wǎng)絡(luò)；主干網(wǎng)包括高速交換機、 VLAN路由處理；實行統(tǒng)一集中式的網(wǎng)絡(luò)管理。校園網(wǎng)工程整 １０ 體示意圖如圖 31所示： 圖 31 整體設(shè)計示意圖 詳細(xì)設(shè)計 如圖 31所示，校園網(wǎng)接入服務(wù)商有 3個，帶寬共 800Mbps，一個是 100Mbps中國教育科研網(wǎng)，從南昌大學(xué)接入；一個是南昌網(wǎng)通提供的 200Mbps寬帶；一個是南昌電信提供的 500Mbps寬帶。華為 S8505路由交換機集合下游校園網(wǎng)內(nèi)的數(shù)據(jù)，并在 NE40上實現(xiàn)路由策略。訪問中國科研網(wǎng)的數(shù)據(jù)，經(jīng)由教育網(wǎng)出 口；訪問中國網(wǎng)通的數(shù)據(jù)，經(jīng)由網(wǎng)通網(wǎng)出口；其他的則經(jīng)由南昌電信網(wǎng)出口。由于校園網(wǎng)跨越四個校區(qū)，其他分校區(qū)通過 S8505連接，所以網(wǎng)絡(luò)結(jié)構(gòu)比較龐大。為此，以學(xué)校的圖書館為例，來說明 VLAN在校園網(wǎng)中的應(yīng)用。邏輯上 VLAN主要根據(jù)圖書館的業(yè)務(wù)來進行劃分，實現(xiàn)上采用基于端口的方式進行劃分，下面分別進行說明。 VLAN 應(yīng)用 首先應(yīng)熟悉整個圖書館的業(yè)務(wù)流程，并確定有多少個部門以及安全性狀況，據(jù)此來劃分 VLAN。考慮到校園網(wǎng) I