【文章內(nèi)容簡介】 主樓30層，其他分部樓高度為七層。第一分部與主樓相距50米，第二分部與主樓相距也是50米，第三分部與主樓相距5公里，第四分部與主樓相距8公里，另分公司武漢有自己的辦公樓。各子公司部門結(jié)構(gòu)：這六個分公司都有各自的微機(jī)室（10人），財務(wù)部（20人），行政部（20人），生產(chǎn)部（100人），研發(fā)部（30人），后勤部（10人），業(yè)務(wù)部（80人），人力資源部（10人）總公司行政劃分也是如此， 人數(shù)比例大致類似分公司。 總體方案設(shè)計策略為了實現(xiàn)以上網(wǎng)絡(luò)設(shè)計原則，使企業(yè)園區(qū)網(wǎng)絡(luò)具有良好的 擴(kuò)展性能力和靈活的便于管理，易于維護(hù)，在網(wǎng)絡(luò)設(shè)計上采用了一下策略。 因特網(wǎng)接入和園區(qū)網(wǎng)分離將因特網(wǎng)接入部分和園區(qū)網(wǎng)主體部分分離，每部分完成其自身的功能，可以減少兩者之間的相互影響。因特網(wǎng)接入的變化，只影響接入的變化，對園區(qū)網(wǎng)絡(luò)沒有影響；而園區(qū)網(wǎng)絡(luò)的變化對因特網(wǎng)接入部分影響較小。這樣可以增強(qiáng)網(wǎng)絡(luò)的擴(kuò)展能力。保持網(wǎng)絡(luò)層次結(jié)構(gòu)清晰，便于管理和維護(hù)[10]。園區(qū)網(wǎng)與因特網(wǎng)的分離可以保證企業(yè)內(nèi)部網(wǎng)絡(luò)的安全性，只用在端口處加以策略保護(hù)就可以，限制用戶訪問內(nèi)網(wǎng)，同時內(nèi)網(wǎng)訪問外網(wǎng)便于在出口路由進(jìn)行控制。 降低各個子公司之間的網(wǎng)絡(luò)關(guān)聯(lián)度 將各個子公司之間的網(wǎng)絡(luò)的關(guān)聯(lián)度降低到最低的策略，可以最大限度的減少各個子公司網(wǎng)絡(luò)之間的相互影響，便于分別管理，或者在不同子公司擴(kuò)展網(wǎng)絡(luò)的新應(yīng)用。這種方式采用了VLAN的劃分來區(qū)別不同的部門和子公司，便于各部門之間的獨立運(yùn)行，提高企業(yè)內(nèi)部的運(yùn)轉(zhuǎn)效率，各部門之間不互相影響，通過IPsec VPN技術(shù)實現(xiàn)總部與分公司之間的連接，保證數(shù)據(jù)的安全高效傳輸，設(shè)置ACL訪問控制列表，對數(shù)據(jù)流進(jìn)行限制，控制網(wǎng)絡(luò)流量，限制用戶對內(nèi)部網(wǎng)絡(luò)的訪問等等，都極大的提高了內(nèi)部網(wǎng)絡(luò)的安全性，也降低了部門之間的關(guān)聯(lián)度。 統(tǒng)一標(biāo)準(zhǔn)，統(tǒng)一網(wǎng)絡(luò) 網(wǎng)絡(luò)規(guī)模的擴(kuò)大對于企業(yè)的管理提出了嚴(yán)格的要求，俗話說無規(guī)矩不成方圓，必須有統(tǒng)一的IP應(yīng)用標(biāo)準(zhǔn)（IP地址，路由協(xié)議），安全標(biāo)準(zhǔn)， 接入標(biāo)準(zhǔn)和網(wǎng)絡(luò)管理平臺，才能實現(xiàn)真正的統(tǒng)一管理，便于集團(tuán)的管理和網(wǎng)絡(luò)策略的實施。這樣對于企業(yè)未來的發(fā)展是具有可行性的，對于內(nèi)外部用戶的訪問控制在安全層面來講也是非常有效的，可以實現(xiàn)企業(yè)數(shù)據(jù)流的安全高效的傳輸。 園區(qū)總體結(jié)構(gòu)示意圖圖4–1總體結(jié)構(gòu)圖 路由交換模塊設(shè)計為了使企業(yè)園區(qū)網(wǎng)高效、穩(wěn)定的運(yùn)行，便于管理與維護(hù)，對局域網(wǎng)交換和路由技術(shù)的相關(guān)方面進(jìn)行了規(guī)范設(shè)計，包括VLAN、STP、ACL、HSRP、IPsec VPN等。每一臺都連接所有的匯聚層交換機(jī)，但相互之間并不連接（提高網(wǎng)絡(luò)的故障收斂速度）。作為二層的核心，只保證數(shù)據(jù)的高速轉(zhuǎn)發(fā)。網(wǎng)絡(luò)的可靠性由匯聚層的路由協(xié)議提供保證。 VLAN設(shè)計規(guī)范企業(yè)內(nèi)的局域網(wǎng)進(jìn)行VLAN劃分,可以減少網(wǎng)絡(luò)內(nèi)的廣播數(shù)據(jù)包,提高網(wǎng)絡(luò)運(yùn)行效率?？梢詤^(qū)分不同的應(yīng)用和用戶,方便集團(tuán)的管理與維護(hù)。VLAN用途如表：表4–1 VLAN劃分用途表 VLAN用途VLAN1應(yīng)用類1的微機(jī)室工作人員VLAN2應(yīng)用類1的財務(wù)部工作人員VLAN3應(yīng)用類1的行政部工作人員VLAN4應(yīng)用類1的研發(fā)部工作人員VLAN5應(yīng)用類1的后勤部工作人員VLAN6應(yīng)用類1的人力資源部工作人員VLAN7應(yīng)用類1的業(yè)務(wù)部工作人員VLAN8應(yīng)用類1的生產(chǎn)部工作人員 IP地址分配方案表4–1 IPv4地址結(jié)構(gòu)表 07810111516181931集團(tuán)標(biāo)識子公司標(biāo)識預(yù)留類別標(biāo)識用戶空間地址表4–2 各部門地址分部表位取值含義備注0700001010某某企業(yè)私有地址8110000保留0001總部主樓的用戶標(biāo)識0010分部1分部1的用戶標(biāo)識0011分部2分部2的的用戶標(biāo)識0100分部3分部3的用戶標(biāo)識0101分部4分部4的用戶標(biāo)識0110分部5分部5的用戶標(biāo)識0111分部6分部5的用戶標(biāo)識10001111保留121300缺省0011保留1417000保留001網(wǎng)管類交換機(jī)設(shè)備地址，路由器環(huán)回地址，網(wǎng)管工作站地址010互聯(lián)類交換機(jī)，路由器等設(shè)備之間互相連接用011應(yīng)用類1企業(yè)OA類用111因特網(wǎng)類企業(yè)的因特網(wǎng)連接，因特網(wǎng)應(yīng)用。100110保留1831任意用戶地址表4–3具體IP地址分配表 機(jī)構(gòu)地址空間用途集團(tuán)全部地址空間總部全部地址空間總部網(wǎng)管類全部地址總部互聯(lián)類全部地址總部應(yīng)用類全部地址總部因特網(wǎng)全部地址 /21總部應(yīng)用類1微機(jī)室工作人員地址空間總部應(yīng)用類1財務(wù)部工作人員地址空間總部應(yīng)用類1行政部工作人員地址空間總部應(yīng)用類1研發(fā)部工作人員地址空間總部應(yīng)用類1后勤部工作人員地址空間總部應(yīng)用類1人力資源部工作人員地址空間總部應(yīng)用類1業(yè)務(wù)部工作人員地址空間總部應(yīng)用層1生產(chǎn)部工作人員地址空間分部1子公司1全部地址空間子公司1網(wǎng)管類全部地址空間子公司1互聯(lián)類全部地址空間子公司1應(yīng)用類全部地址空間子公司1因特網(wǎng)全部地址子公司1的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司1的應(yīng)用類1財務(wù)部工作人員全部地址空間子公司1的應(yīng)用類1行政部工作人員全部地址空間子公司1的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司1的應(yīng)用類1后勤部工作人員全部地址空間子公司1的應(yīng)用類1人力資源部工作人員全部地址空間子公司1的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司1的應(yīng)用類1生產(chǎn)部工作人員全部地址空間分部2子公司2全部地址空間子公司2網(wǎng)管類全部地址空間子公司2互聯(lián)類全部地址空間子公司2應(yīng)用類全部地址空間子公司2因特網(wǎng)全部地址子公司1的應(yīng)用類1微機(jī)室工作人員全部地址空間..子公司2的應(yīng)用類1財務(wù)部工作人員全部地址空間子公司2的應(yīng)用類1行政部工作人員全部地址空間子公司2的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司2的應(yīng)用類1后勤部工作人員全部地址空間子公司2的應(yīng)用類1人力資源部工作人員全部地址空間子公司2的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司2的應(yīng)用類1生產(chǎn)部工作人員全部地址空間分部3子公司3全部地址空間子公司3網(wǎng)管類全部地址空間子公司3互聯(lián)類全部地址空間子公司3應(yīng)用類全部地址空間子公司3因特網(wǎng)全部地址子公司3的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司3的應(yīng)用類1財務(wù)部工作人員全部地址空間子公司3的應(yīng)用類1行政部工作人員全部地址空間子公司3的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司3的應(yīng)用類1后勤部工作人員全部地址空間子公司3的應(yīng)用類1人力資源部工作人員全部地址空間子公司3的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司3的應(yīng)用類1生產(chǎn)部工作人員全部地址空間分部4子公司4全部地址空間子公司4網(wǎng)管類全部地址空間子公司4互聯(lián)類全部地址空間子公司4應(yīng)用類全部地址空間子公司4因特網(wǎng)全部地址子公司4的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司4的應(yīng)用類1財務(wù)部工作人員全部地址空間子公司4的應(yīng)用類1行政部工作人員全部地址空間子公司4的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司4的應(yīng)用類1后勤部工作人員全部地址空間子公司4的應(yīng)用類1人力資源部工作人員全部地址空間子公司4的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司4的應(yīng)用類1生產(chǎn)部工作人員全部地址空間武漢分公司（5）子公司5全部地址空間子公司5網(wǎng)管類全部地址空間子公司5互聯(lián)類全部地址空間子公司5應(yīng)用類全部地址空間北京子公司因特網(wǎng)全部地址子公司5的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司5的應(yīng)用類1財務(wù)部工作人員全部地址空間子公司5的應(yīng)用類1行政部工作人員全部地址空間子公司5的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司5的應(yīng)用類1后勤部工作人員全部地址空間子公司5的應(yīng)用類1人力資源部工作人員全部地址空間子公司5的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司5的應(yīng)用類1生產(chǎn)部工作人員全部地址空間其中，在項目實施的時候，接入層交換機(jī)的IP地址建議使用網(wǎng)管類地址空間10.*.，多層交換機(jī)的IP地址的LOOPBACK接口的IP地址建議使用網(wǎng)管類地址10.*.35.*/32；，相互備份的2臺匯聚層設(shè)備的IP地址建議使用互聯(lián)類地址空間10.*.。為各個部門劃分相應(yīng)的VLAN，并為其分配相適應(yīng)的端口，保證各部門的良好運(yùn)行，實現(xiàn)交換機(jī)級聯(lián)技術(shù)，實現(xiàn)了用戶端口的有效擴(kuò)展，保證了網(wǎng)絡(luò)拓?fù)涞纳炜s性的有效實現(xiàn)。VLAN 劃分配置如圖42所示：圖4–2 VLAN配置圖 HSRP功能模塊HSRP是CISCO公司是所特有的。HSRP向主機(jī)提供了缺省網(wǎng)關(guān)的冗余性，減少了主機(jī)維護(hù)路由表的任務(wù)。當(dāng)網(wǎng)絡(luò)邊緣設(shè)備或接入電路出現(xiàn)故障時，HSRP提供了一個較好的解決方案，它能夠確保用戶通信迅速并透明地恢復(fù)，以此為IP網(wǎng)絡(luò)提供冗余性、容錯和增強(qiáng)的路由選擇功能。通過使用熱備份路由份協(xié)議（HSRP），可使網(wǎng)絡(luò)對最終用戶的可用性得到充分的保證。另外，通過多個熱備份組，路由器可以提供冗余備份，并在不同的IP子網(wǎng)上實現(xiàn)負(fù)載分擔(dān)[11]。企業(yè)園區(qū)網(wǎng)的IP地址規(guī)范中規(guī)定：網(wǎng)關(guān)的地址統(tǒng)一使用子網(wǎng)的最后一個可用地址。啟用HSRP協(xié)議之后，這個地址就是HSRP的虛擬地址。在成對的兩臺匯聚層多層交換機(jī)上，具體的HSRP配置規(guī)范如下：接口的IP地址：在第一臺多層交換機(jī)上，某個VLAN虛擬接口的IP地址是子網(wǎng)的最后第三個可用地址，在第二臺多層交換機(jī)上，某個VLAN虛擬接口的IP地址是子網(wǎng)的最后第二個可用地址。熱備份組號：熱備份組號與接口的VLAN號相同。熱備份地址：熱備份地址是子網(wǎng)的最后一個可用地址。熱備份優(yōu)先級：在主用的多層交換機(jī)了，某個VLAN虛擬接口的熱備份優(yōu)先級是120。并且主用的匯聚層交換機(jī)配置占先權(quán)。具體主要配置命令如下：STP根網(wǎng)橋配置（將核心交換機(jī)SW1配置為根網(wǎng)橋）sw1(config)spanningtree vlan 1 priority 0 //最高優(yōu)先級sw1(config)spanningtree vlan 8 priority 0 sw1(config)spanningtree vlan 10 priority 0sw1(config)spanningtree vlan 11 priority 0sw1(config)spanningtree vlan 12 priority 0STP備份根網(wǎng)橋配置（將核心交換機(jī)SW2配置為備份根網(wǎng)橋）sw2(config)spanningtree vlan 1 priority