【文章內(nèi)容簡(jiǎn)介】 據(jù)包 ,提高網(wǎng)絡(luò)運(yùn)行效率 。可以區(qū)分不同的應(yīng)用和用戶 ,方便集團(tuán)的管理與維護(hù) 。 建議每棟建筑物內(nèi)的局域網(wǎng)劃分 VLAN。 VLAN 用途如表 1 VLAN 劃分用途表 ⑵ IP 地址分配方案 IPv4 的地址結(jié)構(gòu)，各個(gè)位的使用規(guī)劃如圖： 07 810 1115 1618 19— 31 集團(tuán)標(biāo)識(shí) 子公司標(biāo)識(shí) 預(yù)留 類別標(biāo)識(shí) 用戶空間地址 其中，在項(xiàng)目實(shí)施的時(shí)候，接入層交換機(jī)的 IP 地址建議使用網(wǎng)管類地址空間 10.*.，多層交換機(jī)的 IP 地址的 LOOPBACK 接口的 IP 地址建議使用網(wǎng)管類地址 10.*.35.*/32；所有匯聚層設(shè)備互聯(lián) IP 地址使建議使用互聯(lián)類空間，相互備份的 2 臺(tái)匯聚層設(shè)備的 IP 地址建議使用互聯(lián)類地址空間 10.*.。 VLAN 用途 VLAN1 應(yīng)用類 1 的微機(jī)室工作人員 VLAN2 應(yīng)用類 1 的財(cái)務(wù)部工作人員 VLAN3 應(yīng)用類 1 的行政部工作人員 VLAN4 應(yīng)用類 1 的研發(fā)部工作人員 VLAN5 應(yīng)用類 1 的后勤部工作人員 VLAN6 應(yīng)用類 1 的人力資源部工作人員 VLAN7 應(yīng)用類 1 的業(yè)務(wù)部工作人員 VLAN8 應(yīng)用類 1 的生產(chǎn)部工作人員 ⑶ 冗余電源 CISCO6509 系列以太網(wǎng)交換機(jī)提供了 RPS 電源備份接口，可以對(duì)設(shè)備提供一對(duì)一的電源備份和保護(hù)，也可以以一路直流電源對(duì)多臺(tái)支持 RPS 接口的設(shè)備進(jìn)行備份和保護(hù)。 ⑷ 生成樹（ STP/RSTP/MSTP） CISCO6509 系列以太網(wǎng)交換機(jī)支持 STP/RSTP/MSTP 生成樹協(xié)議。 生成樹協(xié)議主要用來建立和維護(hù)局域網(wǎng)的拓?fù)?，消除循環(huán)連接導(dǎo)致的網(wǎng)絡(luò)廣播風(fēng)暴，并且提供網(wǎng)絡(luò)的拓?fù)涞娜哂鄠浞莨δ?，平時(shí)作為備份的路徑被阻塞，當(dāng)主用路徑網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時(shí)，能夠及時(shí)調(diào)整端口狀態(tài)，調(diào)整網(wǎng)絡(luò)拓?fù)洹? 生成樹協(xié)議的工作原理：網(wǎng)絡(luò)中的橋接設(shè)備根據(jù)設(shè)定的優(yōu)先值和 MAC 地址，確定最優(yōu)先的設(shè)備為網(wǎng)絡(luò)的根橋，根橋向外定時(shí)發(fā)送 CONFIG BPDU 報(bào)文，每個(gè)收到該報(bào)文的交換機(jī)將報(bào)文內(nèi)容根據(jù)自身的配置和所掌握的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)進(jìn)行更新下發(fā)到其他端口，當(dāng)一個(gè)交換機(jī)從兩個(gè)或兩個(gè)以上端口接 收到 CONFIG BPDU 的時(shí)候就表明網(wǎng)絡(luò)中存在循環(huán)，保留其中一個(gè)端口為轉(zhuǎn)發(fā)狀態(tài)，設(shè)置其余端口為阻塞狀態(tài)。 除了支持傳統(tǒng)的生成樹協(xié)議外， CISCO6509 系列以太網(wǎng)交換機(jī)還支持 IEEE 快速生成樹協(xié)議 (RSTP)，以及 多生成樹協(xié)議（ MSTP）?？焖偕蓸鋮f(xié)議是生成樹協(xié)議的改進(jìn)，在原有功能的基礎(chǔ)上提高了網(wǎng)絡(luò)保護(hù)的性能。傳統(tǒng)生成樹倒換時(shí)間為 42S，從發(fā)現(xiàn)鏈路斷裂、數(shù)據(jù)中斷到數(shù)據(jù)恢復(fù)至少需要三十多秒的時(shí)間，而快速生成樹協(xié)議只需 6～ 8 秒的時(shí)間就可以將數(shù)據(jù)流切換到備份鏈路上。 多生 成樹協(xié)議（ MSTP）可以通過支持一個(gè)網(wǎng)絡(luò)內(nèi)的多個(gè)生成樹，這使管理員可以把 VLAN 流量分配給唯一的通路。網(wǎng)絡(luò)管理員只要為 VLAN 分配獨(dú)立的生成樹拓?fù)?，就可以確保兩個(gè) VLAN 都能在網(wǎng)上順暢傳輸。這就可以起到均衡網(wǎng)絡(luò)流量，提高可靠性的作用。 CISCO6509 系列以太網(wǎng)交換機(jī)最大可以支持 17 個(gè)或者 33 個(gè) STP 實(shí)例。 ⑸ 鏈路聚合（ Link Aggregation ） 為了在以太網(wǎng)上獲得更高的數(shù)據(jù)傳輸帶寬， CISCO6509 系列以太網(wǎng)交換機(jī)提供了二層的端口鏈路聚合功能（基于標(biāo)準(zhǔn) IEEE ）。這樣在生成樹協(xié)議（ STP）和其他二層協(xié)議上看，作了鏈路聚合的所有物理端口被視為同一個(gè)端口。在作了鏈路聚合的端口之間可以做冗余備份和負(fù)載分擔(dān)。 在實(shí)際應(yīng)用中，進(jìn)行聚合處理的端口等同于一個(gè)端口，任何轉(zhuǎn)發(fā)到聚合的端口上的報(bào)文會(huì)通過對(duì)源、目的地址的邏輯運(yùn)算來分布到聚合的不同端口上。即使是多播和廣播報(bào)文也不會(huì)被復(fù)制多份，也要通過對(duì)地址的邏輯計(jì)算，將流量平衡分配到不同的端口上。 CISCO6509 系列以太網(wǎng)交換機(jī)系統(tǒng)在二層和三層對(duì)硬件查表未命中的新地址進(jìn)行監(jiān)控。如果新地址是在聚合的端口上時(shí)，根據(jù)二層和三層的不同，使用 MAC 地址或 IP地址 進(jìn)行邏輯計(jì)算，根據(jù)邏輯的結(jié)果選擇相應(yīng)端口為轉(zhuǎn)發(fā)端口，發(fā)往該目的地址的幀將按照計(jì)算負(fù)載均衡后的結(jié)果進(jìn)行轉(zhuǎn)發(fā)，實(shí)現(xiàn)端口之間負(fù)載均衡和冗余保護(hù)，保證數(shù)據(jù)流不出現(xiàn)亂序現(xiàn)象。 ⑹ HSRP HSRP 是 CISCO 公司是所特有的。 HSRP 向主機(jī)提供了缺省網(wǎng)關(guān)的冗余性，減少了主機(jī)維護(hù)路由表的任務(wù)。當(dāng)網(wǎng)絡(luò)邊緣設(shè)備或接入電路出現(xiàn)故障時(shí)， HSRP 提供了一個(gè)較好的解決方案，它能夠確保用戶通信迅速并透明地恢復(fù)，以此為 IP網(wǎng)絡(luò)提供冗余性、容錯(cuò)和增強(qiáng)的路由選擇功能。通過使用熱備份路由份協(xié)議（ HSRP），可使網(wǎng)絡(luò)對(duì)最終用戶的可用性得到充分的 保證。另外，通過多個(gè)熱備份組，路由器可以提供冗余備份，并在不同的 IP 子網(wǎng)上實(shí)現(xiàn)負(fù)載分擔(dān)。 XXX 科技 集團(tuán)園區(qū)網(wǎng)的 IP 地址規(guī)范中規(guī)定：網(wǎng)關(guān)的地址統(tǒng)一使用子網(wǎng)的最后一個(gè)可用地址。啟用 HSRP 協(xié)議之后，這個(gè)地址就是 HSRP 的虛擬地址。 在成對(duì)的兩臺(tái)匯聚層多層交換機(jī)上，具體的 HSRP 配置規(guī)范如下： 1． 接口的 IP 地址：在第一臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第三個(gè)可用地址，在第二臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第二個(gè)可用地址。 2．熱備份組號(hào)：熱備份組號(hào)與接口的 VLAN 號(hào)相同。 3．熱備份地址：熱備份地址是子網(wǎng)的最后一個(gè)可用地址。 4．熱備份優(yōu)先級(jí)：在主用的多層交換機(jī)了，某個(gè) VLAN 虛擬接口的熱備份優(yōu)先級(jí)是 120。并且主用的匯聚層交換機(jī)配置占先權(quán)。 ⑺ 等價(jià)路由（ ECMP） 除了從設(shè)備級(jí)支持三層轉(zhuǎn)發(fā)容錯(cuò)協(xié)議 VRRP 之外， CISCO6509 系列以太網(wǎng)路由交換機(jī)還支持等價(jià)路由（ ECMP）。等價(jià)路由即為到達(dá)同一個(gè)目的 IP 或者目的網(wǎng)段存在多條 COST 值相等的不同路由路徑，當(dāng)設(shè)備支持等價(jià)路由時(shí)，發(fā)往該目的 IP或者目的網(wǎng)段的三層轉(zhuǎn)發(fā)流量就可以通過不同的路徑分擔(dān)，實(shí)現(xiàn)網(wǎng)絡(luò)的負(fù)載 均衡，并在其中某些路徑出現(xiàn)故障時(shí)，由其它路徑代替完成轉(zhuǎn)發(fā)處理，實(shí)現(xiàn)路由冗余備份功能。 不僅從軟件上，而且從硬件上也支持等價(jià)路由是 CISCO6509 系列以太網(wǎng)路由交換機(jī)與業(yè)界類似產(chǎn)品相比顯著的優(yōu)點(diǎn)。以前部分路由交換機(jī)雖然也宣稱支持等價(jià)路由，但實(shí)際上只是從軟件上支持，對(duì)軟件轉(zhuǎn)發(fā)的報(bào)文可以使用等價(jià)路由，但對(duì)于由硬件直接轉(zhuǎn)發(fā)的報(bào)文，則只能從一條固定路徑轉(zhuǎn)發(fā)。而 CISCO6509 系列以太網(wǎng)路由交換機(jī)從硬件上也實(shí)現(xiàn)了等價(jià)路由的支持，真正實(shí)現(xiàn)了硬件三層轉(zhuǎn)發(fā)流量的負(fù)載分擔(dān)與路由冗余備份。 CISCO6509系列以太網(wǎng) 路由交換機(jī)最大支持 4條等價(jià)路由，并且不論 RIP、 OSPF等路由協(xié)議產(chǎn)生的路由，還是靜態(tài)配置路由，不論是網(wǎng)段路由還是主機(jī)路由，甚至缺省路由，都可以支持等價(jià)路由。 CISCO6509 系列以太網(wǎng)路由交換機(jī)在支持等價(jià)路由、實(shí)現(xiàn)負(fù)載均衡的同時(shí)，還能很好地保證報(bào)文的有序性。通過數(shù)據(jù)流的目的 IP地址和源 IP地址進(jìn)行計(jì)算，CISCO6509系列以太網(wǎng)路由交換機(jī)可以保證同一個(gè) IP轉(zhuǎn)發(fā)流都從同一個(gè)路由路徑被轉(zhuǎn)發(fā)出去，從而保證了整個(gè)端到端網(wǎng)絡(luò)的路由報(bào)文轉(zhuǎn)發(fā)的有序性，避免了 TCP全局同步等問題的發(fā)生。 ⑻ 策略路由（ PBR） CISCO6509 系列以太網(wǎng)路由交換機(jī)支持高性能的策略路由。策略路由（ POLICYBASED ROUTING，簡(jiǎn)稱 PBR）是目前越來越多的路由器或三層交換機(jī)設(shè)備正在支持的一項(xiàng)路由擴(kuò)展功能，支持策略路由的設(shè)備不僅能以報(bào)文的目的 IP 地址為依據(jù)來進(jìn)行路由選擇，還可以以報(bào)文的源 IP 地址、源 MAC 地址、報(bào)文大小、報(bào)文進(jìn)入的端口、報(bào)文類型、報(bào)文的 VLAN 屬性等等其它擴(kuò)展條件來選擇路由。通過合理的路由策略設(shè)計(jì)，可以實(shí)現(xiàn)網(wǎng)絡(luò)流量的負(fù)載均衡，充分利用路由設(shè)備，并實(shí)現(xiàn)路由、交換設(shè)備之間的冗余備份功能，同時(shí)提供各種可以區(qū)分的服務(wù)等 級(jí)，為不同用戶提供不同的 QOS 服務(wù)。策略路由是設(shè)置在接收?qǐng)?bào)文接口而不是發(fā)送接口。 CISCO6509 系列以太網(wǎng)路由交換機(jī)可以很好地支持策略路由功能，并且可以將路由下一跳重定向到某個(gè)物理端口，或者某個(gè)下一跳 IP 地址。 VPN解決方案 需求概述 企業(yè) 網(wǎng)絡(luò)安全問題 是信息網(wǎng)絡(luò)系統(tǒng)中 面對(duì)的最重要問題之一。網(wǎng)絡(luò)帶寬的擴(kuò)充、 IT 應(yīng)用的豐富、互聯(lián)網(wǎng)用戶的膨脹式發(fā)展，使得網(wǎng)絡(luò)和信息平臺(tái)早已成為攻擊愛好者和安全防護(hù)者最激烈斗爭(zhēng)的舞臺(tái)。 WEB 時(shí)代的安全問題已遠(yuǎn)遠(yuǎn)超于早期的單機(jī)安全問題，盡管防火墻、 IDS、 UTM 等傳統(tǒng)安全產(chǎn)品 在不斷的發(fā)展和自我完善，但是道高一尺魔高一丈，黑客們不僅專門針對(duì)安全設(shè)備開發(fā)各種工具來偽裝攻擊、逃避檢測(cè)，在攻擊和入侵的形式上也與應(yīng)用相結(jié)合越來越緊密。這些都使傳統(tǒng)的安全設(shè)備在保護(hù)網(wǎng)絡(luò)安全上越來越難。目前更多的出現(xiàn)了以下的安全問題： 投資成本攀升，運(yùn)維效率下降 “數(shù)據(jù)庫(kù)泄密”、“網(wǎng)頁(yè)遭篡改”等應(yīng)用層安全事件 的發(fā)生 網(wǎng)管員對(duì)企業(yè)流量 控制 束手無策 部署 UTM，網(wǎng)絡(luò)中斷或訪問變慢 內(nèi)網(wǎng)出現(xiàn)威脅，追究責(zé)任困難 方案設(shè)計(jì) 結(jié)合上述的用戶需求以及 IT 系統(tǒng)業(yè)務(wù)應(yīng)用交付的過程，我公司提供一個(gè)端到端的可視化應(yīng)用安全防護(hù)方案 。 網(wǎng)絡(luò)拓?fù)鋱D 方案描述 針對(duì) 企業(yè)園區(qū)網(wǎng)絡(luò)的出口部署安全設(shè)備可能會(huì)遇到的問題， 我們 推薦深信服VPN2050 VPN 網(wǎng)關(guān)，為業(yè)務(wù)系統(tǒng)提供安全防護(hù)。 避免帶寬浪費(fèi)，降低投資成本 為客戶提供一套精細(xì)的內(nèi)網(wǎng)流量管理手段。在無需增加帶寬 擴(kuò)容成本的前提下，最大限度提高帶寬利用率！ 保障關(guān)鍵應(yīng)用帶寬需求，提升帶寬價(jià)值 細(xì)致劃分帶寬資源，保證核心業(yè)務(wù)的帶寬需求，限制非業(yè)務(wù)應(yīng)用的帶寬占用，徹底解決 P2P 濫用帶寬等問題，大幅度提升 業(yè)務(wù)運(yùn)行效率。 全面洞悉網(wǎng)絡(luò)中應(yīng)用流量分布情況 提供細(xì)致且直觀的流量分布、趨 勢(shì)、對(duì)比報(bào)表等，讓網(wǎng)絡(luò)更加透明，為組織的 IT 決策提供科學(xué)依據(jù)！ 產(chǎn)品優(yōu)勢(shì) VPN2050 采用基于隊(duì)列的流量處理機(jī)制和分層三色令牌桶技術(shù)，并結(jié)合 DPI（數(shù)據(jù)包深度內(nèi)容檢測(cè)）、 DFI（動(dòng)態(tài)流狀態(tài)檢測(cè)） 及智能識(shí)別等網(wǎng)絡(luò)應(yīng)用及數(shù)據(jù)識(shí)別技術(shù)，通過高性能硬件平臺(tái)為客戶提供業(yè)界性能卓越的流量管理方案。其強(qiáng)大的應(yīng)用識(shí)別能力、以及豐富的 流量管理策略，可以實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)流量的全面透析與管控，優(yōu)化網(wǎng)絡(luò)帶寬，為網(wǎng)絡(luò)管理者提供了前所未有的網(wǎng)絡(luò)可見性，真正意義上幫助用戶構(gòu)建可視、可控、可優(yōu)化 的高效網(wǎng)絡(luò)。 超強(qiáng)的網(wǎng)絡(luò)應(yīng)用識(shí)別能力 內(nèi)置中國(guó)最大的應(yīng)用協(xié)議識(shí)別庫(kù)及千萬級(jí)規(guī)模 URL 庫(kù)，外加基于網(wǎng)頁(yè)內(nèi)容的智能識(shí)別技術(shù)，可識(shí)別絕大多數(shù)的應(yīng)用和網(wǎng)址，確保對(duì)各種流量實(shí)現(xiàn)有效管控； 基于統(tǒng)計(jì)學(xué)的 P2P 智能識(shí)別技術(shù)，實(shí)現(xiàn)對(duì)加密的、版本泛濫的、同一版本多次變種、以及不常見的 P2P 應(yīng)用進(jìn)行全方位識(shí)別，為有效的管控 P2P 應(yīng)用提供了強(qiáng)大的技術(shù)保證； 基于文件類型的精確識(shí)別有效管控 HTTP、 FTP 文件上傳、下載流量，保證網(wǎng)絡(luò)帶寬的合理利用； 最豐富的流量管理手段 可基于用戶 /用戶組、 IP/IP 組、應(yīng)用類型 /網(wǎng)站類型 /文件類型、時(shí)間段進(jìn)行流量控制； 支持按照物理 線路 — 〉虛擬線路 — 〉虛擬通道 — 〉用戶通道的多級(jí)流量分類與帶寬分配； 支持基于外網(wǎng) IP 的流量管理