【文章內(nèi)容簡介】 ection Protocol，設(shè)備連接檢測(cè)協(xié)議）支持端口環(huán)回檢測(cè)支持IPv6 host功能族，實(shí)現(xiàn)IPv6管理S5700支持自動(dòng)配置、即插即用、USB開局、自動(dòng)批量遠(yuǎn)程升級(jí)等功能，便于部署升級(jí)和業(yè)務(wù)發(fā)放，簡化后續(xù)的管理和維護(hù)性能。從而大大降低了維護(hù)成本。S5700支持SNMP V1/V2/VCLI命令行、Web網(wǎng)管、TELNET、HGMP集群管理等多樣化的管理和維護(hù)方式，設(shè)備管理更加靈活。支持NTP、TACACS+、RMON、多日志主機(jī)、基于端口的流量統(tǒng)計(jì)，支持NQA網(wǎng)絡(luò)質(zhì)量分析，有利于進(jìn)一步作好網(wǎng)絡(luò)規(guī)劃和改造。接入層是直接連接多臺(tái)計(jì)算機(jī)相連的設(shè)備，公司網(wǎng)絡(luò)中接入層建設(shè)中，每個(gè)部門網(wǎng)絡(luò)接入最為典型，其主要特點(diǎn)是上網(wǎng)時(shí)間集中，突發(fā)流量大、安全控制要求高。鑒于上述特點(diǎn)，對(duì)于超玩公司網(wǎng)絡(luò)接入層配合PVLAN、單端口環(huán)回檢測(cè)、端口速率限制、集群管理等手段.因此接入層設(shè)備采用H3C S310052p 24口交換機(jī)如圖34圖34 H3C S3100交換機(jī)特點(diǎn)：高帶寬和高擴(kuò)展H3C S310052p交換機(jī)為所有的端口提供二層線速交換能力，同時(shí)支持4個(gè)GE的上行擴(kuò)展，滿足行業(yè)用戶多業(yè)務(wù)和高帶寬的應(yīng)用需求。靈活的用戶管理和完備的安全控制策略H3C ，在用戶接入網(wǎng)絡(luò)時(shí)完成必要的身份認(rèn)證，支持廣播風(fēng)暴抑制和端口鎖定功能，支持配合H3C公司的CAMS系統(tǒng)對(duì)在線用戶進(jìn)行實(shí)時(shí)的管理，及時(shí)的診斷和瓦解網(wǎng)絡(luò)非法行為，保證接入用戶的合法性。支持對(duì)Proxy進(jìn)行有效的管理。H3C S5024P千兆交換機(jī)支持通過建立和維護(hù)DHCP Snooping綁定表實(shí)現(xiàn)偵聽接入用戶的MAC地址、IP地址、租用期、VLANID 接口等信息，解決 DHCP用戶的IP和端口跟蹤定位問題。豐富的QOS策略H3C S310052p交換機(jī)支持每個(gè)端口8個(gè)輸出隊(duì)列，支持SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR三種隊(duì)列調(diào)度算法。支持端口雙向限速，限速的控制粒度為64 Kbps。多樣的管理方式 H3C S310052p千兆交換機(jī)支持VCT（Virtual Cable Test）電纜檢測(cè)功能，便于快速定位網(wǎng)絡(luò)故障點(diǎn)。支持通過FTP、TFTP實(shí)現(xiàn)設(shè)備的遠(yuǎn)程升級(jí)，支持HGMP集群管理系統(tǒng)和故障診斷，實(shí)現(xiàn)了設(shè)備的集中管理和維護(hù)，支持SNMP，可支持Open View等通用網(wǎng)管平臺(tái)，以及Quidview網(wǎng)管系統(tǒng)。支持CLI命令行，Web網(wǎng)管，TELNET，HGMP集群管理，使設(shè)備管理更方便。 產(chǎn)品規(guī)格及參數(shù)：（見表所示）型號(hào)H3C S310052p固定端口24個(gè)10/100BaseTX以太網(wǎng)端口，2個(gè)10/100/1000BaseT以太網(wǎng)端口和2個(gè)復(fù)用的 1000BaseX SFP千兆以太網(wǎng)端口交換容量所有端口支持線速轉(zhuǎn)發(fā) 包轉(zhuǎn)發(fā)率交換模式存儲(chǔ)轉(zhuǎn)發(fā)模式（Store and Forward）支持QoS每個(gè)端口支持4個(gè)輸出隊(duì)列MAC地址支持8K MAC地址 支持黑洞MAC 支持設(shè)置端口最大MAC地址學(xué)習(xí)VLAN支持基于端口的VLAN(4K 個(gè)) 支持VLAN VPN（QinQ） 支持GVRP支持ACL支持L2（Layer 2）～L4（Layer 4）包過濾功能，可以匹配報(bào)文前80個(gè)字節(jié)，提供基于源MAC地址、目的MAC、源IP地址、目的IP地址、IP協(xié)議類型、TCP/UDP端口、TCP/UDP端口范圍、VLAN等定義ACL 支持基于時(shí)間段（Time Range）的ACL 支持基于端口組、全局、VLAN批量下發(fā)ACL安全特性用戶分級(jí)管理和口令保護(hù) 支持Guest VLAN 支持IEEE 支持集中MAC地址認(rèn)證 支持SSH 支持IP源地址保護(hù) 支持ARP 入侵檢測(cè)功能 支持ARP報(bào)文限速功能 支持端口隔離 支持IP＋端口的綁定 支持IP+MAC的綁定 支持端口＋MAC的綁定 支持IP+MAC+端口的綁定管理與維護(hù)支持XModem/FTP/TFTP加載升級(jí) 支持命令行接口（CLI），Telnet，Console口進(jìn)行配置 支持SNMPv1/v2/v3，WEB網(wǎng)管 支持RMON（Remote Monitoring）1，2，3，9組MIB 支持H3C iMC智能管理中心 支持系統(tǒng)日志，分級(jí)告警，調(diào)試信息輸出 支持IPv6 host，包括IPv6單播地址配置，ICMPv6，IPv6鄰居發(fā)現(xiàn)協(xié)議（ND），IPv6靜態(tài)路由，IPv6PING，IPv6TCP，IPv6TFTP，支持Telnet遠(yuǎn)程維護(hù) 支持上電POST 支持DLDP（Device Link Detection Protocol）單向鏈路檢測(cè)協(xié)議 支持Loopbackdetection 端口環(huán)回檢測(cè) 虛擬局域網(wǎng)VLAN與IP子網(wǎng)設(shè)計(jì)劃分虛擬局域網(wǎng)是整個(gè)網(wǎng)絡(luò)系統(tǒng)的重要技術(shù)之一。公司網(wǎng)絡(luò)內(nèi)部的環(huán)境復(fù)雜、分布區(qū)域廣、網(wǎng)絡(luò)用戶多，以至于企業(yè)內(nèi)部網(wǎng)絡(luò)用戶的可靠性得不到完全的保證。通過劃分虛擬局域網(wǎng)，隔離不同部門，可以增強(qiáng)企業(yè)網(wǎng)絡(luò)安全性，以下詳細(xì)論述了虛擬局域網(wǎng)的技術(shù)及在網(wǎng)絡(luò)系統(tǒng)中的必要性和設(shè)計(jì)方案。以太網(wǎng)基本上是以廣播為基礎(chǔ)的，如最初包的尋址等，交換機(jī)雖然能夠通過建立地址映射表減少不必要的廣播，但是地址映射表的建立過程仍然是基于廣播的，網(wǎng)絡(luò)節(jié)點(diǎn)（如PC機(jī)）在處理廣播時(shí)浪費(fèi)了CPU處理時(shí)間，降低了處理性能，根據(jù)統(tǒng)計(jì)，當(dāng)網(wǎng)絡(luò)上存在15000個(gè)廣播包時(shí)，將耗盡CPU資源；在傳統(tǒng)的網(wǎng)絡(luò)里，節(jié)點(diǎn)的吞吐量都會(huì)隨著節(jié)點(diǎn)的增多而下降，交換式以太網(wǎng)雖然能夠隔離沖突域及第二層廣播，但是無法隔離第三層網(wǎng)絡(luò)。另一方面，接入網(wǎng)需要保障用戶數(shù)據(jù)（單播地址的幀）的安全性，隔離攜帶有用戶信息的廣播消息（如ARP、DHCP消息等），防止關(guān)鍵設(shè)備受到攻擊。對(duì)每個(gè)用戶而言，當(dāng)然不希望他的信息被別人利用，因此需要從物理上隔離用戶數(shù)據(jù)（單播地址的幀），保證用戶單播地址的幀只有該用戶可以接收到，不像在局域網(wǎng)中采用共享總線方式，使單播地址的幀能被總線上的所有用戶接收。如果不隔離這些廣播消息而讓其他用戶接收到，容易發(fā)生MAC/IP地址仿冒，影響設(shè)備的正常運(yùn)行，中斷合法用戶的通信過程。為了隔離第三層廣播，增強(qiáng)安全性、提高網(wǎng)絡(luò)性能，可以運(yùn)用VLAN（虛擬局域網(wǎng)）技術(shù)或者使用路由設(shè)備。使用路由器時(shí)可以將網(wǎng)絡(luò)劃分多個(gè)物理網(wǎng)段，這些物理網(wǎng)段可以連接到路由器的多個(gè)端口，多個(gè)物理網(wǎng)段間通過路由器進(jìn)行通信，但是路由器的端口價(jià)格遠(yuǎn)遠(yuǎn)高出交換機(jī)的端口價(jià)格，所以這種方式將增加設(shè)備投資，在物理網(wǎng)段增多時(shí)就更為嚴(yán)重，而且只有使用高端設(shè)備才能滿足高端口密度的要求，所以不推薦這種方式。VLAN技術(shù)不需要特殊的設(shè)備，目前第二層交換機(jī)均支持VLAN技術(shù)。通過在一個(gè)物理網(wǎng)段上劃分出多個(gè)邏輯網(wǎng)段，由每一個(gè)邏輯網(wǎng)段構(gòu)成一個(gè)VLAN，其內(nèi)部采用交換機(jī)連接，所有的廣播信息只限制在本VLAN內(nèi)，而之間的連接則采用路由實(shí)現(xiàn)，具體實(shí)施時(shí)可以外加路由器，或者直接使用第三層交換設(shè)備。使用路由器時(shí)，將這些邏輯網(wǎng)段連接到路由器時(shí)可以只使用一條物理鏈路、占用一個(gè)路由器接口，這樣就節(jié)省了設(shè)備的投資，而使用三層交換設(shè)備時(shí)，不需要額外增加設(shè)備，只要交換機(jī)支持三層路由功能即可，由于三層交換設(shè)備的工作效率高于路由器，所以在本論文中推薦采用三層交換設(shè)備實(shí)現(xiàn)VLAN之間的路由。 VLAN規(guī)劃目前，VLAN技術(shù)可以使用以下方式組建：基于交換機(jī)端口的VLAN、基于MAC地址的VLAN和基于應(yīng)用協(xié)議的VLAN：基于端口的VLAN，即靜態(tài)VLAN，特點(diǎn)是技術(shù)簡單，容易配置且維護(hù)工作量小，缺點(diǎn)是終端設(shè)備移動(dòng)時(shí)需要更改設(shè)備配置?；贛AC地址的VLAN，即動(dòng)態(tài)VLAN，基于Vlan策略服務(wù)組建，特點(diǎn)是終端設(shè)備可以在整個(gè)局域網(wǎng)中移動(dòng)而不用改變配置，適合于移動(dòng)辦公型的網(wǎng)絡(luò)環(huán)境，缺點(diǎn)是配置工作量大、繁瑣。由于交換機(jī)為二層設(shè)備，所以基于應(yīng)用協(xié)議的VLAN對(duì)于交換機(jī)來說沒有任何意義，反而會(huì)造成交換機(jī)性能的下降?？紤]到本系統(tǒng)的特點(diǎn)，節(jié)點(diǎn)在網(wǎng)絡(luò)中內(nèi)移動(dòng)的可能性較小，基于易維護(hù)、易管理方面的考慮，使用基于交換機(jī)端口的VLAN進(jìn)行配置。采用虛擬局域網(wǎng)VLAN主要出于三個(gè)目的：用戶隔離、提高網(wǎng)絡(luò)效率；提供靈活的管理；提高系統(tǒng)安全性。因此，規(guī)劃VLAN時(shí)也應(yīng)該綜合考慮這三方面的因素。接入層設(shè)備為二層交換機(jī)。為了進(jìn)行不同用戶間的有效隔離和互聯(lián)，需要利用交換機(jī)對(duì)用戶進(jìn)行相應(yīng)的VLAN劃分。具體做法可以是將交換機(jī)的每一端口劃分一個(gè)VLAN以實(shí)現(xiàn)所有用戶間的二層隔離，此時(shí)如果需要互聯(lián)，可通過上連設(shè)備的ACL功能來控制；也可以根據(jù)需要將多個(gè)交換機(jī)的不同端口劃為同一個(gè)VLAN，直接實(shí)現(xiàn)有限制