【文章內(nèi)容簡介】 （ 標準）的時代。企業(yè)網(wǎng)絡應用也是極其豐富的。并且隨著組播技術在企業(yè)的應用，企業(yè)網(wǎng)核心層將面臨嚴峻的考驗。出于對網(wǎng)絡發(fā)展的考慮，基于網(wǎng)絡業(yè)務的發(fā)展，在擁有近萬個信息點的企業(yè)采用萬兆以太網(wǎng)技術構建核心層是可行的。目前業(yè)務還沒完全開展起來，先采用千兆骨干，但核心設備必須支持萬兆，并且在教育行業(yè)有應用，證明核心產(chǎn)品的成熟性和穩(wěn)定性。在實現(xiàn)端到端的以太網(wǎng)訪問的 6 同時提高了傳輸?shù)男剩行У乇ＷC了多媒體辦公、作業(yè)等業(yè)務的開展。 處理能力 核心層是網(wǎng)絡高速交換的骨干，被設計成盡可能高速包轉(zhuǎn)發(fā)率， 同時能夠提供高速的 Inter 的接入和高冗余 性能，同時由于各企業(yè)基本采用了 Inter 和 CERNET 雙出口，而且出口的速率不同，所以所選擇的網(wǎng)絡核心層設備應該能夠提供多網(wǎng)絡出口的智能選擇的功能，本身能夠提供冗余特性。核心層設備須能夠支持多種不同模塊的插槽和提供多種不同的網(wǎng)絡模塊，支持到流媒體所需的網(wǎng)絡的組播協(xié)議和網(wǎng)絡的多播協(xié)議的處理能力，需要線速的數(shù)據(jù)轉(zhuǎn)發(fā)和數(shù)據(jù)交換功能，即高背板帶寬支持和高性能網(wǎng)絡處理芯片的支持；由于是核心設備，還必須考慮整體網(wǎng)絡的災難備份和設備冗余，在設計中考慮的設備 冗余需要有設備支持和協(xié)議支持，設備支持就是指在核心不能由單臺設備進行整個網(wǎng)絡的數(shù)據(jù)交換，需要有至少兩臺設備對整個網(wǎng)絡進行有效的支撐，并已經(jīng)具備災難備份的硬件支撐能力。 在協(xié)議上，需要支持冗余協(xié)議 實現(xiàn)整體網(wǎng)絡冗余。支持在單臺設備失效的同時，在最短的時間切換，避免網(wǎng)絡損失。對于核心交換機在整個網(wǎng)絡的設計，還要考慮整體業(yè)務的支撐方式，因為設備只是物理承載層面，而用戶需要在該物理層面實現(xiàn)其業(yè)務，達到職能和流程的有效快捷，這樣，物理設備的業(yè)務支撐能力就至關重要。核心設備應提供分布式 L2/3/4 層接口板處理應用流 （視頻、話音、數(shù)據(jù)）、重要用戶的優(yōu)先級，支持 NAT、 MPLS、 VPN、策略路由等應用；支持基于端口、 MAC、 VLAN、 IP、應用類型等多種 Qos；支持四個優(yōu)先級隊列和 WRED、 WRR、 PQ、 WFQ 等流分類、排隊、調(diào)度和整形機制。賦予交換機高度的智能性，高效支持各種應用業(yè)務。對于核心設備在網(wǎng)絡中的舉足輕重的位置，安全對于整個網(wǎng)絡來說也整個網(wǎng)絡的至關重要的，對于外部的黑客攻擊和內(nèi)部的病毒攻擊的屏蔽，是保證整個網(wǎng)絡運行的關鍵。核心設備要提供完善的 ACL 訪問控制策略的定制，防止非法內(nèi)容的訪問；廣播 包抑制 及廣播源定位功能，保證網(wǎng)絡用戶安全。 對于未來的擴展設計 對于在中心位置的核心設備的設計而言，隨著時代的改變，其業(yè)務結(jié)構和規(guī)模也會改變，這樣需要整個網(wǎng)絡設備能夠?qū)ξ磥淼淖兓邆鋺獙Υ胧?；由于核心設備是數(shù)據(jù)和業(yè)務的核心，所以，不能輕易的進行更換，同時，考慮到成本的因素，除非核心設備已經(jīng)完全不能支撐目前業(yè)務的進 7 行，否則，基本都會采取在原來的設備增加功能支撐來滿足新業(yè) 務的需求。這樣，對于未來的擴展性就變得異常重要，核心設備擴展槽，接插模塊類型，端口密度數(shù)應有所考慮，以保證整體設備的高性價比。 安全方案的部署 從各企業(yè)網(wǎng)絡現(xiàn)狀分析，目前面臨的網(wǎng)絡安全威脅來源主要來自以下幾個方面：一是來自 Inter 的安全威脅，各企業(yè)有自己獨立的鏈路通往 Inter。 Inter 上的任意接入點對本局域網(wǎng)發(fā)起的基于網(wǎng)絡的攻擊，從以及對外公開的應用服務器的攻擊，這樣可以造成網(wǎng)絡性能的急劇下降，應用服務器的癱瘓。使整體網(wǎng)絡正常的內(nèi)、外雙向通信、存儲等服務受阻或中斷。二是來自企業(yè)局域網(wǎng)內(nèi)部的惡意安全攻擊，網(wǎng)絡連接員工的計算機，員工有可能基于學習的目的可能使用各種入侵的軟件，給系統(tǒng)造成隱含的威脅。三是企業(yè)內(nèi)各相關部門的 數(shù)據(jù)上報采用 FTP 方式逐級復制，處于完全敞開和透明的模式，只要掌握 IP 地址，傳輸數(shù)據(jù)就可以被輕易截獲，從而造成保密信息的泄露；再有來自操作系統(tǒng)、應用系統(tǒng)本身的漏洞及來自互聯(lián)網(wǎng)、內(nèi)部局域網(wǎng)的病毒安全威脅的攻擊。企業(yè)范圍內(nèi)的病毒防護不能依靠個人的自覺性，應當從網(wǎng)關、服務器、客戶端多個層面來統(tǒng)一部署，實施整體病毒防護解決方案。這樣才能從根本上降低病毒的發(fā)作和傳播幾率，有效地保護企業(yè)內(nèi)部資源，同時對新出現(xiàn)的病毒有一個很好的、快速的響應系統(tǒng)。作為企業(yè)網(wǎng)絡安全的防線，防火墻、入侵檢測、防病毒系統(tǒng)是必不可少的，它可有效的 對來自外網(wǎng)和內(nèi)網(wǎng)的攻擊做出及時告警，并給予一定的響應措施。 初步確定網(wǎng)絡拓撲圖 在用戶管理、計費方面，要保證計費數(shù)據(jù)的準確，交換機可以支持用戶賬號、 IP 地址、 MAC 地址、交換機端口、 VLAN 的綁定，保證了用戶上網(wǎng)期間 IP 地址不被盜用，支持基于流量 /時長 /包月 /帶寬的計費及其組合計費方式。 在用戶日志管理方面，業(yè)務管理平臺和接入交換機配置可以實現(xiàn)完善的用戶日志功能。用戶訪問日志的內(nèi)容包括用戶名、源 MAC、 VLANID、源 IP、目的IP、訪問時間。用戶的目的 IP 地址改變時會產(chǎn)生一條日志。根據(jù)這些信 息可以很方便的定位用戶在某個時間段訪問了那些內(nèi)部服務器，與服務器的日志相對應追查出一些事故的責任人。在網(wǎng)絡管理方面，網(wǎng)絡管理軟件支持多種操作平臺，并能夠與多種通用網(wǎng)管平臺集成，實現(xiàn)從設備級到網(wǎng)絡級全方位的網(wǎng)絡管理。提供統(tǒng)一拓撲發(fā)現(xiàn)功能，實現(xiàn)全網(wǎng)監(jiān)控，可以實時監(jiān)控所有設備的運行狀況，并根據(jù)網(wǎng)絡運行環(huán)境變化提供合適的方式對網(wǎng)絡參數(shù)進行配置修改，保證網(wǎng)絡以最優(yōu)性 8 能正常運行。模型見圖 31 圖 31 初步確認網(wǎng)絡拓撲 IP 地址 劃分 為什么要做好 IP 地址規(guī)劃 在網(wǎng)絡規(guī)劃中， IP 地址方案的設計至關重要，好的 IP 地址方案不僅可以減少網(wǎng)絡負荷，還能為以后的網(wǎng)絡擴展打下良好的基礎。 IP 地址用于在網(wǎng)絡上標識唯一一臺機器。根據(jù) RFC791 的定義， IP 地址由 32 位二進制數(shù)組成(四個字節(jié) )，表示為用圓點分成每組 3 位的 12 位十進制數(shù)字 ()每個 3 位數(shù)代表8 位二進制數(shù) (一個字節(jié) )。由于 1 個字節(jié)所能表示的最大數(shù)為 255，因此 IP 地址中每個字節(jié)可含有 0～ 255 之間的值。但 0 和 255 有特殊含義， 255 代表廣播地址： IP 地址中 0 用于指定網(wǎng)絡地址號 (若 0 在地址末 端 )或結(jié)點地址 (若 0 在地址開始 )。 子網(wǎng)掩碼用于找出 IP 地址中網(wǎng)絡及結(jié)點地址部分。子網(wǎng)掩碼長 32 位，其中 1 表示網(wǎng)絡部分，0 表示結(jié)點地址部分。 A 類， B 類， C 類網(wǎng)絡的子網(wǎng)掩碼見表 3，如一個結(jié)點 IP 地址為，子網(wǎng)掩碼 ，表示其網(wǎng)絡地址為 ，結(jié)點地址為 195。 有時為了方便網(wǎng)絡管理，需要將網(wǎng)絡劃分為若干個網(wǎng)段。為此，必須打破傳統(tǒng)的 8 位界限， 9 從結(jié)點地址空間中“搶來”幾位作為網(wǎng)絡地址。具體說來，建立子網(wǎng)掩碼需要以下兩步：確定運行 IP 的網(wǎng)段數(shù)，確定子 網(wǎng)掩碼。 設計 IP 地址方案 在設計 IP 地址方案之前，考慮到以下幾個問題：是否將網(wǎng)絡連入 Inter，是否將網(wǎng)絡劃分為若干網(wǎng)段以方便網(wǎng)絡管理，是采用靜態(tài) IP 地址分配還是動態(tài) IP 地址分配 計劃將網(wǎng)絡連入 Inter，則需要向 ISP 申請一個網(wǎng)絡地址。這里，我們假定得到了一個 C類網(wǎng)絡地址 。本設計采用 pppoe 認證自動分配的動態(tài) IP 地址 ,具體如下， Radius 服務器： 采用 PPPOE 認證地址池（用戶）： 局域網(wǎng)接 入 ip 范圍 ： WWW/FTP/Email 服務器地址： Radius 服務器地址： Isp 接入地址： R1 fa0/0/0： Se0/0/1： Se0/2/0： Se0/0/0： R2 se0/0/0： Fa0/0：