【文章內(nèi)容簡(jiǎn)介】 行其他操作；高級(jí)的管理員可做故障診斷，不可修改設(shè)備配置文件；系統(tǒng)管理員可具有所有功能權(quán)限等。 2) 網(wǎng)絡(luò)管理系統(tǒng)的安全控制：由于本網(wǎng)絡(luò)中網(wǎng)絡(luò)管理系統(tǒng)采用標(biāo)準(zhǔn)的SNMP網(wǎng)絡(luò)管理技術(shù)，因此網(wǎng)絡(luò)設(shè)備的網(wǎng)管可能出現(xiàn)漏洞。本網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備可提供多種保護(hù)手段，如：特別的網(wǎng)管訪問密碼；由設(shè)備指定特別的網(wǎng)絡(luò)管理工作站系統(tǒng)等。 易管理維護(hù)的網(wǎng)絡(luò)：由于采用了IP骨干技術(shù)、DHCP技術(shù)和MPLS技術(shù)，使得網(wǎng)絡(luò)的管理簡(jiǎn)單化。這可以使網(wǎng)絡(luò)管理人員大為精簡(jiǎn)，節(jié)約運(yùn)行開銷。網(wǎng)絡(luò)管理人員只需在規(guī)劃好的網(wǎng)絡(luò)結(jié)構(gòu)內(nèi)提供各個(gè)接入網(wǎng)絡(luò)的接入控制即能實(shí)行各種網(wǎng)絡(luò)服務(wù)。網(wǎng)絡(luò)系統(tǒng)的管理工作重點(diǎn)變?yōu)閷?duì)于骨干網(wǎng)絡(luò)的運(yùn)行實(shí)施系統(tǒng)監(jiān)控。由于采用的網(wǎng)絡(luò)設(shè)備自身已具備較為完善的網(wǎng)絡(luò)管理、監(jiān)控和維護(hù)功能，因此采用建立一個(gè)管理工具齊全的集中的網(wǎng)絡(luò)管理中心即可實(shí)現(xiàn)全網(wǎng)絡(luò)的系統(tǒng)管理和監(jiān)控。 網(wǎng)絡(luò)概述機(jī)構(gòu)：某電子商務(wù)公司網(wǎng)管人數(shù)：1信息結(jié)點(diǎn)數(shù)：4000 關(guān)鍵網(wǎng)絡(luò)設(shè)備及數(shù)量核心層交換機(jī)：Cisco Catalyst 6509 交換機(jī) 2臺(tái)匯聚層交換機(jī)：Cisco Catalyst 4509 交換機(jī) 2臺(tái)接入層交換機(jī)：Cisco Catalyst 2950 24口 交換機(jī) 100臺(tái)接入路由器： Cisco 3500 路由器 2臺(tái) 關(guān)鍵網(wǎng)絡(luò)設(shè)備介紹圖 8 Cisco 6509交換機(jī)Catalyst 6509是帶有9個(gè)插槽的交換機(jī)機(jī)箱，它可以加兩個(gè)電源，可按需求配置不同功能類型的模塊（如防火墻模塊、入侵檢模塊、VPN 模塊、SSL 加速模塊、網(wǎng)絡(luò)流量分析模塊等），更靈活應(yīng)用在不同需求的網(wǎng)絡(luò)設(shè)計(jì)平臺(tái)上，提高穩(wěn)定性及安全性。首先，為Catalyst 6509核心交換機(jī)配備Cisco Catalyst 6500 Supervisor Engine 720模塊。Supervisor Engine 720支持Catalyst 6500系列的第三代模塊，能夠?yàn)槠髽I(yè)和電信運(yùn)營(yíng)商網(wǎng)絡(luò)提供先進(jìn)的IP服務(wù)，并提高端口密度，因而非常適合部署在高性能的核心層、數(shù)據(jù)中心和城域網(wǎng)中。由于使用同一套接口、操作系統(tǒng)和管理工具，Catalyst 6500系列監(jiān)控引擎(Supervisor Engines)能提供操作一致性——可使用相同的備件，所有模塊都具有可以預(yù)測(cè)的性能和多種功能。增強(qiáng)型QOS機(jī)制、基于硬件的GRE隧道和NAT，以及由硬件加速的基于MPLS的高性能服務(wù)；支持基于用戶的Microflow監(jiān)管，對(duì)每個(gè)用戶實(shí)施服務(wù)等級(jí)協(xié)議；采用分布式轉(zhuǎn)發(fā)模式，提供高達(dá)200Mpps的硬件IPv6能力，可以順利過渡到Internet 2和其他支持3G和PDA的通信網(wǎng)絡(luò)；配備光纖通道接口模塊滿足光纖接入需求。加6500系列的防火墻服務(wù)模塊（FWSM）可以為大型企業(yè)和服務(wù)供應(yīng)商提供無(wú)以倫比的安全性、可靠性和性能。Catalyst 6500系列和為企業(yè)網(wǎng)絡(luò)和服務(wù)供應(yīng)商網(wǎng)絡(luò)提供了一系列高性能多層交換解決方案。6500系列提供了廣泛的智能交換解決方案，使公司內(nèi)部網(wǎng)和Internet能夠支持多媒體、關(guān)鍵任務(wù)數(shù)據(jù)和語(yǔ)音應(yīng)用。6500系列交換機(jī)為園區(qū)網(wǎng)提供了高性能、多層交換的解決方案，專門為需要千兆擴(kuò)展、可用性高、多層交換的應(yīng)用環(huán)境設(shè)計(jì)，主要面向園區(qū)骨干連接等場(chǎng)合。圖9 Cisco Catalyst 4500系列交換機(jī)Cisco Catalyst 4500系列能夠?yàn)闊o(wú)阻礙的第2/3/4層交換提供集成式彈性，因而能進(jìn)一步加強(qiáng)對(duì)融合網(wǎng)絡(luò)的控制（見圖9）?？捎眯愿叩娜诤险Z(yǔ)音/視頻/數(shù)據(jù)網(wǎng)絡(luò)能夠?yàn)檎诓渴鸹诨ヂ?lián)網(wǎng)企業(yè)應(yīng)用的企業(yè)和城域以太網(wǎng)客戶提供業(yè)務(wù)彈性。作為新一代Cisco Catalyst 4000系列平臺(tái)，Cisco Catalyst 4500系列包括三種新型Cisco Catalyst 機(jī)箱：Cisco Catalyst 4507R（七個(gè)插槽）、Cisco Catalyst 4506（六個(gè)插槽）和Cisco Catalyst 4503（三個(gè)插槽）。Cisco Catalyst 4500系列中提供的集成式彈性增強(qiáng)包括1＋1超級(jí)引擎冗余（只對(duì)Cisco Catalyst 4507R）、集成式IP電話電源、基于軟件的容錯(cuò)以及1+1電源冗余。硬件和軟件中的集成式冗余性能夠縮短停機(jī)時(shí)間，從而提高生產(chǎn)率、利潤(rùn)率和客戶成功率。作為Cisco AVVID（集成語(yǔ)音、視頻和融合數(shù)據(jù)體系結(jié)構(gòu)）的關(guān)鍵組件，Cisco Catalyst 4500能夠通過智能網(wǎng)絡(luò)服務(wù)將控制擴(kuò)展到網(wǎng)絡(luò)邊緣，包括高級(jí)服務(wù)質(zhì)量（QoS）、可預(yù)測(cè)性能、高級(jí)安全性、全面管理和集成式彈性。由于Cisco Catalyst 4500系列提供與Cisco Catalyst 4000系列線卡和超級(jí)引擎的兼容性，因而能夠在融合網(wǎng)絡(luò)中延長(zhǎng)Cisco Catalyst 4000系列的部署窗口。由于這種方式能減少重復(fù)運(yùn)作開支，降低擁有成本，因而能提高投資回報(bào)（ROI）。圖10 Cisco Catalyst 3550系列智能以太網(wǎng)交換機(jī)Cisco Catalyst 3550系列智能以太網(wǎng)交換機(jī)是一個(gè)可堆疊多層交換機(jī)系列，可通過高可用性、服務(wù)質(zhì)量（QoS）和安全性來(lái)改進(jìn)網(wǎng)絡(luò)運(yùn)行（見圖10）。憑借一系列快速以太網(wǎng)和千兆位以太網(wǎng)配置，Cisco Catalyst 3550系列堪稱一款適用于企業(yè)和城域接入應(yīng)用的強(qiáng)大選擇。圖11 Cisco Catalyst 2950系列智能以太網(wǎng)交換機(jī)Cisco Catalyst 2950系列智能以太網(wǎng)交換機(jī)是一個(gè)固定配置、可堆疊的獨(dú)立設(shè)備系列，提供了線速快速以太網(wǎng)和千兆位以太網(wǎng)連接（見圖11）。這是一款最廉價(jià)的Cisco交換產(chǎn)品系列，為中型網(wǎng)絡(luò)和城域接入應(yīng)用提供了智能服務(wù)。作為思科最為廉價(jià)的交換產(chǎn)品系列，Cisco Catalyst 2950系列在網(wǎng)絡(luò)或城域接入邊緣實(shí)現(xiàn)了智能服務(wù)。 系統(tǒng)需求分析 該企業(yè)位于海淀區(qū)中關(guān)村，網(wǎng)絡(luò)聯(lián)接的建筑物有三個(gè)：兩個(gè)辦公樓和一個(gè)行政樓。管理部、財(cái)務(wù)部和網(wǎng)絡(luò)部在行政樓中；市場(chǎng)部在辦公樓A；銷售部和人力資源部在辦公樓B。所以我們已建筑物的中心也就是教學(xué)樓的三層為網(wǎng)絡(luò)的中心，用光纖連接辦公樓A、B，構(gòu)成電子商務(wù)公司網(wǎng)絡(luò)光纖主干。辦公樓2個(gè)，行政樓1個(gè)1．劃分VLAN （見表1）2．VTP 動(dòng)態(tài)學(xué)習(xí)VLAN3．PVST(選根，二層冗余)4．SVI（VLAN間路由）5．HSRP（三層冗余）6．DHCP7．根防護(hù)8．3個(gè)FAST9．靜態(tài)路由10．SITETOSITE VPN（連接分公司，固定IP）11．AAA12．PBR（20M專線）13．網(wǎng)管控制4 網(wǎng)絡(luò)系統(tǒng)實(shí)現(xiàn) 電子商務(wù)企業(yè)網(wǎng)絡(luò)拓?fù)鋱D 圖 1 網(wǎng)絡(luò)拓?fù)鋱D VLAN及IP地址的規(guī)劃 整個(gè)企業(yè)網(wǎng)中VLAN及IP編址方案如表所示VLAN號(hào)VLAN名稱IP網(wǎng)段默認(rèn)網(wǎng)關(guān)說(shuō)明VLAN 1GL VLAN管理VLANVLAN 10GLB 管理部VLANVLAN 20SCB 市場(chǎng)部VLANVLAN 30CWB 財(cái)務(wù)部VLANVLAN 40XSB 銷售部VLANVLAN 50RLZY人力資源部VLANVLAN 60WLB網(wǎng)絡(luò)部VLAN表 1 VLAN劃分路由器R1與電信連接的接口接口E0/ ，與網(wǎng)通連接的接口接口E0/，與HX1連接的接口E0/，與HX2連接的接口E0/路由器R2上與電信連接的接口E0/，與網(wǎng)通連接的接口E0/，交換機(jī)HX1與R1相連的接口F0/,與AAA服務(wù)器連接的接口為F0/1交換機(jī)HX2與R1相連的接口F0/ 基礎(chǔ)配置這里以接入層交換機(jī)SW1為例（見圖1） 圖1 接入層設(shè)備Switchen進(jìn)入特權(quán)模式Switchconf t進(jìn)入全局模式Enter configuration mands, one per line. End with CNTL/Z.此注釋說(shuō)明在全局模式下直接按CNTL+Z可以進(jìn)入特權(quán)模式Switch(config)hostname SW1修改路由器或者交換機(jī)的名字，方便管理SW1(config)no ip domain lookup 關(guān)閉域名查詢 啟用與禁止DNS服務(wù)器，在交換機(jī)默認(rèn)配置的情況下，當(dāng)我們輸入一條錯(cuò)誤的交換機(jī)命令時(shí)，交換機(jī)會(huì)嘗試將其廣播給網(wǎng)絡(luò)上的DNS服務(wù)器并將其解析成對(duì)應(yīng)的IP地址。利用命令no ip domain lookup，可以禁用DNS服務(wù)器，可以減少輸入錯(cuò)誤命令的等待時(shí)間SW1(config)line console 0進(jìn)入CONCOLE 0口線程下，通過CONSOLE線串口直接控制交換機(jī)或路由器接口SW1(configline)no exectimeout 關(guān)閉超時(shí)時(shí)間（真實(shí)工程中不能用此命令）SW1(configline)logging synchronous在線路上同步輸出 用戶在為交換機(jī)配置命令時(shí)，配置命令會(huì)被交換機(jī)產(chǎn)生的內(nèi)部信息隔開或打亂以 使用命令logging synchronous設(shè)置交換機(jī)在下一行CLI提示符后復(fù)制用戶的輸入。以上配置為路由器和交換機(jī)的基本配置，有方便管理防止出錯(cuò)的作用，所以每臺(tái)設(shè)備上都要配置。 使用VTP從提高效率的角度出發(fā)，在企業(yè)網(wǎng)實(shí)現(xiàn)實(shí)例中使用了VTP技術(shù)。將分布層FB1設(shè)置成為VTP服務(wù)器，其他交換機(jī)設(shè)置成為VTP客戶機(jī)。這里接入層交換機(jī)SW1將通過VTP獲得在分布層交換機(jī)FB1中定義的所有VLAN的信息。（見圖2） 圖2 分布層設(shè)備FB1FB1vlan database 特權(quán)模式下進(jìn)入VLAN設(shè)置模式(小凡模擬器特有)FB1(vlan)vtp domain cisco定義VTP域名Changing VTP domain name from NULL to ciscoFB1(vlan)vtp server 將該交換機(jī)設(shè)置為VTP的服務(wù)端Device mode already VTP SERVER.FB1(vlan)vtp v2mode 啟用的VTP版本號(hào)為2V2 mode enabled.FB1(vlan)vtp password 123456設(shè)置VTP的密碼為123456，交換機(jī)的VTP必須密碼一致才能同步Setting device VLAN database password to 123456.FB1(vlan)vtp pruning 啟用VTP修剪，激活VTP剪裁功能，默認(rèn)情況下主干道傳輸所有VLAN的用戶數(shù)據(jù)。有時(shí)，交換網(wǎng)絡(luò)中某臺(tái)交換機(jī)的所有端口都屬于同一VLAN的成員，沒有必要接收其他VLAN的用戶數(shù)據(jù)。這時(shí)，可以激活主干道上的VTP剪裁功能。當(dāng)激活了VTP剪裁功能以后，交換機(jī)將自動(dòng)剪裁本交換機(jī)沒有定義的VLAN數(shù)據(jù)?！　≡谝粋€(gè)VTP域下，只需要在VTP服務(wù)器上激活VTP剪裁功能。同一VTP域下的所有其他交換機(jī)也將自動(dòng)激活VTP剪裁功能。Pruning switched ONFB1(vlan)apply 應(yīng)用以上配置APPLY pleted.FB1(vlan)exit退出VLAN配置模式進(jìn)入特權(quán)模式APPLY pleted.Exiting....在其他所有的交換機(jī)上都要做VTP配置，我們以FB2為例（見圖3）圖3 分布層設(shè)備FB2FB2vlan daFB2(vlan)vtp domain ciscoChanging VTP domain name from NULL to ciscoFB2(vlan)vtp client將FB2設(shè)置為客戶端，客戶端可以學(xué)習(xí)到服務(wù)端的所有VLAN信息?？蛻裟Ｊ绞菦]有創(chuàng)建、修改、刪除VLAN得權(quán)利的，它只能接收和轉(zhuǎn)發(fā)信息。而服務(wù)器模式擁有以上的所用功能。Setting device to VTP CLIENT mode.FB2(vlan)vtp v2V2 mode enabled.FB2(vlan)vtp password 123456Setting device VLAN database password to 123456.FB2(vlan)exitIn CLIENT state, no apply attempted.Exiting.... 劃分VLAN現(xiàn)在我們根據(jù)需求在服務(wù)端FB1上配置VLAN信息，創(chuàng)建并命名（見表1）FB11vlan daFB1(vlan)vlan 10 name GLB創(chuàng)建一個(gè)VLAN 10 命名為G