【文章內容簡介】 主樓30層，其他分部樓高度為七層。第一分部與主樓相距50米，第二分部與主樓相距也是50米，第三分部與主樓相距5公里，第四分部與主樓相距8公里，另分公司武漢有自己的辦公樓。各子公司部門結構：這六個分公司都有各自的微機室（10人），財務部（20人），行政部（20人），生產部（100人），研發(fā)部（30人），后勤部（10人），業(yè)務部（80人），人力資源部（10人）總公司行政劃分也是如此， 人數(shù)比例大致類似分公司。 總體方案設計策略為了實現(xiàn)以上網(wǎng)絡設計原則，使企業(yè)園區(qū)網(wǎng)絡具有良好的 擴展性能力和靈活的便于管理，易于維護，在網(wǎng)絡設計上采用了一下策略。 因特網(wǎng)接入和園區(qū)網(wǎng)分離將因特網(wǎng)接入部分和園區(qū)網(wǎng)主體部分分離，每部分完成其自身的功能，可以減少兩者之間的相互影響。因特網(wǎng)接入的變化，只影響接入的變化，對園區(qū)網(wǎng)絡沒有影響；而園區(qū)網(wǎng)絡的變化對因特網(wǎng)接入部分影響較小。這樣可以增強網(wǎng)絡的擴展能力。保持網(wǎng)絡層次結構清晰，便于管理和維護[10]。園區(qū)網(wǎng)與因特網(wǎng)的分離可以保證企業(yè)內部網(wǎng)絡的安全性，只用在端口處加以策略保護就可以，限制用戶訪問內網(wǎng)，同時內網(wǎng)訪問外網(wǎng)便于在出口路由進行控制。 降低各個子公司之間的網(wǎng)絡關聯(lián)度 將各個子公司之間的網(wǎng)絡的關聯(lián)度降低到最低的策略，可以最大限度的減少各個子公司網(wǎng)絡之間的相互影響，便于分別管理，或者在不同子公司擴展網(wǎng)絡的新應用。這種方式采用了VLAN的劃分來區(qū)別不同的部門和子公司，便于各部門之間的獨立運行，提高企業(yè)內部的運轉效率，各部門之間不互相影響，通過IPsec VPN技術實現(xiàn)總部與分公司之間的連接，保證數(shù)據(jù)的安全高效傳輸，設置ACL訪問控制列表，對數(shù)據(jù)流進行限制，控制網(wǎng)絡流量，限制用戶對內部網(wǎng)絡的訪問等等，都極大的提高了內部網(wǎng)絡的安全性，也降低了部門之間的關聯(lián)度。 統(tǒng)一標準，統(tǒng)一網(wǎng)絡 網(wǎng)絡規(guī)模的擴大對于企業(yè)的管理提出了嚴格的要求，俗話說無規(guī)矩不成方圓，必須有統(tǒng)一的IP應用標準（IP地址，路由協(xié)議），安全標準， 接入標準和網(wǎng)絡管理平臺，才能實現(xiàn)真正的統(tǒng)一管理，便于集團的管理和網(wǎng)絡策略的實施。這樣對于企業(yè)未來的發(fā)展是具有可行性的，對于內外部用戶的訪問控制在安全層面來講也是非常有效的，可以實現(xiàn)企業(yè)數(shù)據(jù)流的安全高效的傳輸。 園區(qū)總體結構示意圖圖4–1總體結構圖 路由交換模塊設計為了使企業(yè)園區(qū)網(wǎng)高效、穩(wěn)定的運行，便于管理與維護，對局域網(wǎng)交換和路由技術的相關方面進行了規(guī)范設計，包括VLAN、STP、ACL、HSRP、IPsec VPN等。每一臺都連接所有的匯聚層交換機，但相互之間并不連接（提高網(wǎng)絡的故障收斂速度）。作為二層的核心，只保證數(shù)據(jù)的高速轉發(fā)。網(wǎng)絡的可靠性由匯聚層的路由協(xié)議提供保證。 VLAN設計規(guī)范企業(yè)內的局域網(wǎng)進行VLAN劃分,可以減少網(wǎng)絡內的廣播數(shù)據(jù)包,提高網(wǎng)絡運行效率?？梢詤^(qū)分不同的應用和用戶,方便集團的管理與維護。VLAN用途如表：表4–1 VLAN劃分用途表 VLAN用途VLAN1應用類1的微機室工作人員VLAN2應用類1的財務部工作人員VLAN3應用類1的行政部工作人員VLAN4應用類1的研發(fā)部工作人員VLAN5應用類1的后勤部工作人員VLAN6應用類1的人力資源部工作人員VLAN7應用類1的業(yè)務部工作人員VLAN8應用類1的生產部工作人員 IP地址分配方案表4–1 IPv4地址結構表 07810111516181931集團標識子公司標識預留類別標識用戶空間地址表4–2 各部門地址分部表位取值含義備注0700001010某某企業(yè)私有地址8110000保留0001總部主樓的用戶標識0010分部1分部1的用戶標識0011分部2分部2的的用戶標識0100分部3分部3的用戶標識0101分部4分部4的用戶標識0110分部5分部5的用戶標識0111分部6分部5的用戶標識10001111保留121300缺省0011保留1417000保留001網(wǎng)管類交換機設備地址，路由器環(huán)回地址，網(wǎng)管工作站地址010互聯(lián)類交換機，路由器等設備之間互相連接用011應用類1企業(yè)OA類用111因特網(wǎng)類企業(yè)的因特網(wǎng)連接，因特網(wǎng)應用。100110保留1831任意用戶地址表4–3具體IP地址分配表 機構地址空間用途集團全部地址空間總部全部地址空間總部網(wǎng)管類全部地址總部互聯(lián)類全部地址總部應用類全部地址總部因特網(wǎng)全部地址 /21總部應用類1微機室工作人員地址空間總部應用類1財務部工作人員地址空間總部應用類1行政部工作人員地址空間總部應用類1研發(fā)部工作人員地址空間總部應用類1后勤部工作人員地址空間總部應用類1人力資源部工作人員地址空間總部應用類1業(yè)務部工作人員地址空間總部應用層1生產部工作人員地址空間分部1子公司1全部地址空間子公司1網(wǎng)管類全部地址空間子公司1互聯(lián)類全部地址空間子公司1應用類全部地址空間子公司1因特網(wǎng)全部地址子公司1的應用類1微機室工作人員全部地址空間子公司1的應用類1財務部工作人員全部地址空間子公司1的應用類1行政部工作人員全部地址空間子公司1的應用類1研發(fā)部工作人員全部地址空間子公司1的應用類1后勤部工作人員全部地址空間子公司1的應用類1人力資源部工作人員全部地址空間子公司1的應用類1業(yè)務部工作人員全部地址空間子公司1的應用類1生產部工作人員全部地址空間分部2子公司2全部地址空間子公司2網(wǎng)管類全部地址空間子公司2互聯(lián)類全部地址空間子公司2應用類全部地址空間子公司2因特網(wǎng)全部地址子公司1的應用類1微機室工作人員全部地址空間..子公司2的應用類1財務部工作人員全部地址空間子公司2的應用類1行政部工作人員全部地址空間子公司2的應用類1研發(fā)部工作人員全部地址空間子公司2的應用類1后勤部工作人員全部地址空間子公司2的應用類1人力資源部工作人員全部地址空間子公司2的應用類1業(yè)務部工作人員全部地址空間子公司2的應用類1生產部工作人員全部地址空間分部3子公司3全部地址空間子公司3網(wǎng)管類全部地址空間子公司3互聯(lián)類全部地址空間子公司3應用類全部地址空間子公司3因特網(wǎng)全部地址子公司3的應用類1微機室工作人員全部地址空間子公司3的應用類1財務部工作人員全部地址空間子公司3的應用類1行政部工作人員全部地址空間子公司3的應用類1研發(fā)部工作人員全部地址空間子公司3的應用類1后勤部工作人員全部地址空間子公司3的應用類1人力資源部工作人員全部地址空間子公司3的應用類1業(yè)務部工作人員全部地址空間子公司3的應用類1生產部工作人員全部地址空間分部4子公司4全部地址空間子公司4網(wǎng)管類全部地址空間子公司4互聯(lián)類全部地址空間子公司4應用類全部地址空間子公司4因特網(wǎng)全部地址子公司4的應用類1微機室工作人員全部地址空間子公司4的應用類1財務部工作人員全部地址空間子公司4的應用類1行政部工作人員全部地址空間子公司4的應用類1研發(fā)部工作人員全部地址空間子公司4的應用類1后勤部工作人員全部地址空間子公司4的應用類1人力資源部工作人員全部地址空間子公司4的應用類1業(yè)務部工作人員全部地址空間子公司4的應用類1生產部工作人員全部地址空間武漢分公司（5）子公司5全部地址空間子公司5網(wǎng)管類全部地址空間子公司5互聯(lián)類全部地址空間子公司5應用類全部地址空間北京子公司因特網(wǎng)全部地址子公司5的應用類1微機室工作人員全部地址空間子公司5的應用類1財務部工作人員全部地址空間子公司5的應用類1行政部工作人員全部地址空間子公司5的應用類1研發(fā)部工作人員全部地址空間子公司5的應用類1后勤部工作人員全部地址空間子公司5的應用類1人力資源部工作人員全部地址空間子公司5的應用類1業(yè)務部工作人員全部地址空間子公司5的應用類1生產部工作人員全部地址空間其中，在項目實施的時候，接入層交換機的IP地址建議使用網(wǎng)管類地址空間10.*.，多層交換機的IP地址的LOOPBACK接口的IP地址建議使用網(wǎng)管類地址10.*.35.*/32；，相互備份的2臺匯聚層設備的IP地址建議使用互聯(lián)類地址空間10.*.。為各個部門劃分相應的VLAN，并為其分配相適應的端口，保證各部門的良好運行，實現(xiàn)交換機級聯(lián)技術，實現(xiàn)了用戶端口的有效擴展，保證了網(wǎng)絡拓撲的伸縮性的有效實現(xiàn)。VLAN 劃分配置如圖42所示：圖4–2 VLAN配置圖 HSRP功能模塊HSRP是CISCO公司是所特有的。HSRP向主機提供了缺省網(wǎng)關的冗余性，減少了主機維護路由表的任務。當網(wǎng)絡邊緣設備或接入電路出現(xiàn)故障時，HSRP提供了一個較好的解決方案，它能夠確保用戶通信迅速并透明地恢復，以此為IP網(wǎng)絡提供冗余性、容錯和增強的路由選擇功能。通過使用熱備份路由份協(xié)議（HSRP），可使網(wǎng)絡對最終用戶的可用性得到充分的保證。另外，通過多個熱備份組，路由器可以提供冗余備份，并在不同的IP子網(wǎng)上實現(xiàn)負載分擔[11]。企業(yè)園區(qū)網(wǎng)的IP地址規(guī)范中規(guī)定：網(wǎng)關的地址統(tǒng)一使用子網(wǎng)的最后一個可用地址。啟用HSRP協(xié)議之后，這個地址就是HSRP的虛擬地址。在成對的兩臺匯聚層多層交換機上，具體的HSRP配置規(guī)范如下：接口的IP地址：在第一臺多層交換機上，某個VLAN虛擬接口的IP地址是子網(wǎng)的最后第三個可用地址，在第二臺多層交換機上，某個VLAN虛擬接口的IP地址是子網(wǎng)的最后第二個可用地址。熱備份組號：熱備份組號與接口的VLAN號相同。熱備份地址：熱備份地址是子網(wǎng)的最后一個可用地址。熱備份優(yōu)先級：在主用的多層交換機了，某個VLAN虛擬接口的熱備份優(yōu)先級是120。并且主用的匯聚層交換機配置占先權。具體主要配置命令如下：STP根網(wǎng)橋配置（將核心交換機SW1配置為根網(wǎng)橋）sw1(config)spanningtree vlan 1 priority 0 //最高優(yōu)先級sw1(config)spanningtree vlan 8 priority 0 sw1(config)spanningtree vlan 10 priority 0sw1(config)spanningtree vlan 11 priority 0sw1(config)spanningtree vlan 12 priority 0STP備份根網(wǎng)橋配置（將核心交換機SW2配置為備份根網(wǎng)橋）sw2(config)spanningtree vlan 1 priority