【文章內(nèi)容簡介】 由的結(jié)構(gòu)實(shí)現(xiàn)跨VLAN 的通信。在路由器上做DHCP服務(wù)，為內(nèi)部主機(jī)動(dòng)態(tài)分配IP地址。在出口路由器上做NAPT，將內(nèi)部地址轉(zhuǎn)換為注冊外部地址，實(shí)現(xiàn)內(nèi)部所有主機(jī)對外網(wǎng)的訪問。駐廣東辦事處IP地址規(guī)劃如表62表62 駐廣東辦事處IP地址規(guī)劃部門VLAN起始IP結(jié)束IP網(wǎng)關(guān)綜合業(yè)務(wù)部VLAN 10客戶代表部VLAN 20技術(shù)服務(wù)部VLAN 30交換機(jī)選用RGS2052G，該交換機(jī)有48接口，可以滿足辦事處的接入需求，在滿足現(xiàn)有需求的情況下，還剩余十多個(gè)接口，可以為未來預(yù)留，滿足未來一定時(shí)期內(nèi)的新加入的用戶的接入。， VLAN，端口MAC地址綁定，端口MAC動(dòng)態(tài)地址鎖等功能，提供了完善的安全管理功能；該交換機(jī)提供了靈活的網(wǎng)絡(luò)擴(kuò)展，RGS2052G提供固化的千兆電口和SFP，非常方便用戶需要選擇介質(zhì)構(gòu)建網(wǎng)絡(luò)，同時(shí)又提供擴(kuò)展槽來進(jìn)一步方便網(wǎng)絡(luò)的靈活彈性擴(kuò)展。出口路由器選擇由組長楊貴四選取。辦事處設(shè)備選購清單如表63表63 辦事處設(shè)備清單名稱需求臺數(shù)單價(jià)（￥）主要性能參數(shù)RGS2052G120000元背板帶寬：包轉(zhuǎn)發(fā)率：端口數(shù)：48端口端口類型： 10/100BaseT端口在該設(shè)計(jì)中采用了VLAN，NAPT，DHCP等功能。VLAN是在物理網(wǎng)絡(luò)上通過設(shè)備配置邏輯地劃分出來的邏輯網(wǎng)絡(luò)，相當(dāng)于OSI參考模型的第二層的廣播域。劃分VLAN后，隨著廣播域的縮小，網(wǎng)絡(luò)中廣播消耗的帶寬所占的比例大大降低，網(wǎng)絡(luò)性能顯著提高。由于劃分了VLAN，限制了不同VLAN的通信。為了實(shí)現(xiàn)在二層交換機(jī)的不同VLAN下進(jìn)行通信，所以采用單臂路由。單臂路由有效地解決了二層交換機(jī)不支持跨VLAN 通信的問題。該辦事處內(nèi)部采用DHCP服務(wù)對接入的計(jì)算機(jī)分配IP 地址。DHCP基于Client/Server工作模式，使用DHCP服務(wù)可以簡化管理員對網(wǎng)絡(luò)內(nèi)部用戶的管理，用戶通過DHCP可以自動(dòng)獲取地址和各種主機(jī)配置參數(shù)。該辦事處從互聯(lián)網(wǎng)運(yùn)營商處申請到一個(gè)IP地址，為了實(shí)現(xiàn)全網(wǎng)都可以訪問互聯(lián)網(wǎng)，采用NAPT技術(shù)，將全網(wǎng)私有地址和公網(wǎng)地址進(jìn)行轉(zhuǎn)換，實(shí)現(xiàn)了全網(wǎng)的機(jī)子都可以及時(shí)的訪問互聯(lián)網(wǎng)。該項(xiàng)目的論證在思科模擬器上實(shí)現(xiàn)。論證實(shí)驗(yàn)拓?fù)鋱D如圖62。圖62 駐廣東辦事處論證拓?fù)鋱D 在該實(shí)驗(yàn)中，配置完成后，不同VLAN內(nèi)的主機(jī)可以相互通信，可以動(dòng)態(tài)的學(xué)到IP地址，并可以通過地址轉(zhuǎn)換與外網(wǎng)進(jìn)行連接。由于該實(shí)現(xiàn)是在思科模擬器上實(shí)現(xiàn)的，所以路由器RA由思科1814代替，交換機(jī)S1由思科2950代替。該實(shí)驗(yàn)的配置說明：在交換機(jī)S1中劃分VLAN 10和VLAN 20，在路由器RA上設(shè)置子接口，完成單臂路由配置。DHCP服務(wù)在RA中設(shè)置，并給VLAN 10和VLAN 20指定地址池。NAPT服務(wù)在RA 上開啟，并設(shè)定所需轉(zhuǎn)換的地址池。開啟設(shè)備后，點(diǎn)擊動(dòng)態(tài)獲取IP參數(shù)，可以看見PC0和PC1獲取到的IP地址。如圖63和64。通過這個(gè)可以得出PC機(jī)已經(jīng)從DHCP服務(wù)器那獲取到了IP地址，可見該DHCP驗(yàn)證成功。圖63 PC0獲取IP地址圖64 PC1獲取IP地址在交換機(jī)中SHOW VLAN，可見已經(jīng)有兩個(gè)VLAN如圖65，且 F0/11在VLAN 10中，F(xiàn)0/12在VLAN 20中。在PC0和PC1中相互ping如圖66，可見單臂路由功能實(shí)現(xiàn)，已經(jīng)可以跨VLAN通信。圖65 show vlan圖66 PC0 ping PC17 子項(xiàng)目浪潮電子信息項(xiàng)目的設(shè)計(jì)方案（）浪潮電子信息產(chǎn)業(yè)股份有限公司坐落在北京五環(huán)到六環(huán)之間；主要從事服務(wù)器及微型計(jì)算機(jī)的研發(fā)、生產(chǎn)以及相關(guān)軟件的研發(fā)，服務(wù)對象有網(wǎng)絡(luò)供應(yīng)商，有各種基層，通用，機(jī)架式，應(yīng)用層服務(wù)器。該子公司浪潮電子信息一共有523人，其人員組成如表71。表71 子公司浪潮電子信息各部門功能及人員組成部門職能人數(shù)接入點(diǎn)數(shù)管理部對公司進(jìn)行管理，制定決策等10人10財(cái)務(wù)部制定及實(shí)施財(cái)務(wù)政策，對公司的財(cái)務(wù)狀況進(jìn)行管理，包括制定預(yù)算，計(jì)算職工工資等5人5人力資源部建立和完善集團(tuán)招聘、培訓(xùn)、調(diào)配、薪酬、績效等各項(xiàng)人力資源管理制度6人6產(chǎn)品研發(fā)部根據(jù)市場分析，確定研發(fā)方向并組織人員研發(fā)200人200生產(chǎn)部根據(jù)需求確定生產(chǎn)計(jì)劃及進(jìn)行生產(chǎn)90人10質(zhì)檢部建立集團(tuán)質(zhì)量管理體系，對產(chǎn)品進(jìn)行質(zhì)量檢查，提出質(zhì)量改進(jìn)計(jì)劃等10人10市場營銷部制定市場營銷戰(zhàn)略規(guī)劃，制訂年度市場營銷工作計(jì)劃和銷售目標(biāo)，并貫徹落實(shí)等160人160客戶服務(wù)部制定客戶服務(wù)計(jì)劃，對產(chǎn)品進(jìn)行調(diào)試，安裝及售后等30人20保安部對公司進(jìn)行安保管理等，包括防火，防盜等12人1該子公司包括一個(gè)三層辦公樓、一個(gè)生產(chǎn)車間及倉庫。該公司市場營銷部，保安部位于辦公樓一層；管理部，財(cái)務(wù)部，人力資源部，客戶服務(wù)部，會(huì)議室和軟件產(chǎn)品研發(fā)部位于辦公樓二層；硬件研發(fā)部位于辦公樓三層；生產(chǎn)部，質(zhì)檢部位于生產(chǎn)區(qū)。綜合以上信息，該子項(xiàng)目浪潮電子信息網(wǎng)絡(luò)拓?fù)淙鐖D 71。圖 71 子公司浪潮電子信息網(wǎng)絡(luò)拓補(bǔ)圖該子公司采用單核心交換機(jī)設(shè)計(jì)。采用SVI技術(shù)在三層交換機(jī)上實(shí)現(xiàn)跨VLAN 的通信。采用DHCP服務(wù)，為內(nèi)部主機(jī)動(dòng)態(tài)分配IP地址。在出口路由器上做NAPT，將內(nèi)部地址轉(zhuǎn)換為注冊外部地址，實(shí)現(xiàn)內(nèi)部主機(jī)對外網(wǎng)的訪問。應(yīng)用訪問控制列表禁止某些部門訪問互聯(lián)網(wǎng)和限制內(nèi)部之間的互訪。子公司浪潮電子信息的IP地址規(guī)劃如表72。表72 子公司浪潮電子信息的IP地址規(guī)劃部門VLAN起始IP結(jié)束IP網(wǎng)關(guān)管理部門VLAN 10財(cái)務(wù)部VLAN 20人力資源部VLAN 30產(chǎn)品研發(fā)部VLAN 40生產(chǎn)部VLAN 50質(zhì)檢部VLAN 60市場營銷部VLAN 70客戶服務(wù)部VLAN 80保安部VLAN 90核心層設(shè)備選擇RG7604。該型號交換機(jī)性能較好，且比較穩(wěn)定，提供的功能也較多。該設(shè)備支持電源冗余備份，提供雙引擎冗余備份，為單核心的網(wǎng)絡(luò)提供了可靠地物理保證。該設(shè)備提供SSH的加密登陸和管理功能，避免管理信息明文傳輸?shù)耐{。該設(shè)備還支持IP、MAC、端口綁定，提高了用戶接入的控制力。為了避免病毒和攻擊，該設(shè)備提供了強(qiáng)大的ACL特性，能夠有效地保護(hù)內(nèi)部網(wǎng)絡(luò)，提高網(wǎng)絡(luò)性能。接入層設(shè)備選擇RGS2126S，該設(shè)備作為接入層設(shè)備功能比較全面，且價(jià)格比較合理。該設(shè)備提供了端口安全，硬件ACL控制等，滿足了企業(yè)網(wǎng)加強(qiáng)對訪問者進(jìn)行控制、限制非授權(quán)用戶通信的需求。該設(shè)備還提供了強(qiáng)大的集群管理，通過一臺命令交換機(jī)可管理多達(dá)20臺的交換機(jī)，很大程度上方便了用戶的管理。匯聚層設(shè)備選擇：RGS3250E24。該設(shè)備作為匯聚層設(shè)備性能比較穩(wěn)定，功能比較全面，且性價(jià)比高。在保證匯聚業(yè)務(wù)的同時(shí)，還提供了靈活多樣的安全策略，保證了網(wǎng)絡(luò)的安全，且該設(shè)備管理比較方便。出口路由器選擇由組長楊貴四選取。表73 設(shè)備選購清單（選自太平洋網(wǎng)）名稱需求臺數(shù)單價(jià)（￥）主要性能參數(shù)RGS2126G205600元背板帶寬：包轉(zhuǎn)發(fā)率：端口數(shù)：24口端口類型：10/100BaseT端口RGS3250E24420000元包轉(zhuǎn)發(fā)率：端口數(shù)：24口端口類型：10/100BaseT端口RG7604176000元背板帶寬：1T包轉(zhuǎn)發(fā)率：合計(jì)270000元該子公司人員較多，考慮到該子公司的業(yè)務(wù)要求，采用一個(gè)核心層交換機(jī)加樓層匯聚層交換機(jī)加接入層交換機(jī)的局域網(wǎng)結(jié)構(gòu)。該公司內(nèi)部局域網(wǎng)將不同的部門劃分不同的VLAN。VLAN技術(shù)可以阻隔廣播域，提高網(wǎng)絡(luò)性能。VLAN是在物理網(wǎng)絡(luò)上通過設(shè)備配置邏輯地劃分出來的邏輯網(wǎng)絡(luò)，相當(dāng)于OSI參考模型的第二層的廣播域。劃分VLAN后，隨著廣播域的縮小，網(wǎng)絡(luò)中廣播消耗的帶寬所占的比例大大降低，網(wǎng)絡(luò)性能顯著提高。為了實(shí)現(xiàn)不同部門也就是不同VLAN間的互訪，采用了SVI技術(shù)，在三層交換機(jī)上為不同的VLAN配置不同的IP地址，實(shí)現(xiàn)跨VLAN的互訪。該子公司內(nèi)部采用DHCP服務(wù)對接入的計(jì)算機(jī)動(dòng)態(tài)分配IP 地址。DHCP基于Client/Server工作模式，使用DHCP服務(wù)可以簡化管理員對網(wǎng)絡(luò)內(nèi)部用戶的管理，用戶通過DHCP可以自動(dòng)獲取地址和各種主機(jī)配置參數(shù)。采用NAPT技術(shù)，將全網(wǎng)私有地址和公網(wǎng)地址進(jìn)行轉(zhuǎn)換，實(shí)現(xiàn)內(nèi)部局域網(wǎng)的用戶訪問互聯(lián)網(wǎng)。采用訪問控制列表禁止某些部門對互聯(lián)網(wǎng)的訪問以及限制不同部門之間的互訪，提高全網(wǎng)的安全性。實(shí)驗(yàn)論證拓?fù)鋱D如圖 72。圖72 子公司浪潮電子信息實(shí)驗(yàn)論證拓?fù)鋱D在該實(shí)驗(yàn)拓?fù)渲?，RA相當(dāng)與分公司的出口路由器，S1相當(dāng)于核心交換機(jī)，S2和S3模擬接入層交換機(jī)。在SS2和S3中都劃分VLAN，在S1中設(shè)置SVI，實(shí)現(xiàn)跨VLAN的通信。在路由器RA中做DHCP服務(wù)，并在S1，S2，S3中開啟DHCP中繼代理。在出口路由器上做NAPT，將公網(wǎng)地址與私有地址進(jìn)行轉(zhuǎn)換。在RA上做訪問控制列表，禁止某些部門對互聯(lián)網(wǎng)的訪問。在S1中同樣配置訪問控制列表，限制部門訪問。VLAN 10 中的機(jī)子ping VLAN 40中的機(jī)子，ping通則表明三層交換機(jī)的SVI配置正確，實(shí)現(xiàn)了跨VLAN的通信。圖73 ping DHCP開啟后，位于VLAN 10中的計(jì)算機(jī)可以動(dòng)態(tài)獲得IP地址，如圖77。圖74 PC機(jī)獲得IP地址RA中show DHCP binding：圖75 show DHCP binding8浪潮通軟項(xiàng)目的設(shè)計(jì)方案（）浪潮集團(tuán)浪潮通軟南京分公司，位于南京市一幢六層寫字樓中，以軟件開發(fā)、應(yīng)用為主要業(yè)務(wù)。公司劃分7個(gè)部門：財(cái)務(wù)部（20人）、人力資源部（20人）、研發(fā)管理部（30人）、研發(fā)部（300人）、營銷部（150人）、技術(shù)服務(wù)與培訓(xùn)中心（80人）、管理部（15人）。各樓層部門分布及所需信息點(diǎn)數(shù)如下表所示：表81 樓層各部門及信息點(diǎn)分部 樓層（層）部門 信息點(diǎn)（個(gè)） 6管理部、財(cái)務(wù)部、人力資源部、大會(huì)議室 84 5研發(fā)管理部、研發(fā)部、小會(huì)議室 132 4研發(fā)部 130 3研發(fā)部 130 2技術(shù)服務(wù)及培訓(xùn)中心、營銷部、小會(huì)議室 93 1營銷部 100 網(wǎng)絡(luò)設(shè)計(jì)：網(wǎng)絡(luò)規(guī)劃采用三層結(jié)構(gòu)。核心層用雙核心，做到核心冗余。匯聚層用兩個(gè)三層交換機(jī)，與核心層冗余連接，并且分別接7個(gè)接入層交換機(jī)。接入層交換機(jī)用14個(gè)二層交換機(jī)。核心交換機(jī)與路由器冗余連接，利用基于內(nèi)部源的動(dòng)態(tài)NAT技術(shù)實(shí)現(xiàn)內(nèi)外網(wǎng)連接，利用VPN技術(shù)實(shí)現(xiàn)與總公司的網(wǎng)絡(luò)連接。在核心交換機(jī)連接服務(wù)器的端口做ACL，設(shè)置服務(wù)器訪問權(quán)限。為公司每個(gè)部門劃分VLAN，分配私有IP地址段，方便管理。利用DHCP技術(shù)實(shí)現(xiàn)動(dòng)態(tài)IP地址分配?？紤]樓層結(jié)構(gòu)、各部門分配及環(huán)境影響等因素，將主設(shè)備間及主配線間設(shè)在二層，在五層設(shè)子設(shè)備間，其余各層都設(shè)配線間。表82：VLAN劃分及IP地址分配 VLAN 號部門 IP地址段 VALN10管理部 VALN20財(cái)務(wù)部 VALN30人力資源部 VALN40六層大會(huì)議室 VALN50研發(fā)管理部 VALN60五層小會(huì)議室 VALN70研發(fā)部（5層） VALN80研發(fā)部（3層） VALN90技術(shù)服務(wù)及培訓(xùn)中心 VALN100二層小會(huì)議室 VALN110營銷部 網(wǎng)絡(luò)拓?fù)淙鐖D81圖81浪潮通軟網(wǎng)絡(luò)拓?fù)鋱D流量計(jì)算：約690個(gè)信息點(diǎn)，每個(gè)信息點(diǎn)接2兆，共需1380Mbps匯聚交換機(jī)所需背板帶寬：7*48*100=33600Mbps表83設(shè)備性能表設(shè)備型號需求量單價(jià)（元）設(shè)備性能參數(shù)RGS7604278700背綁帶寬：1024Gbps支持OSPF 包轉(zhuǎn)發(fā)率： 模塊化插槽數(shù)4個(gè)RGS575048GT/4SFP268000背綁帶寬：240Gbps 包轉(zhuǎn)發(fā)率：102Mpps支持OSPF 端口數(shù)：48增強(qiáng)型48端口10/100/1000M自適應(yīng)電口，4個(gè)復(fù)用的SFP接口，2個(gè)擴(kuò)展槽CISCO WSC296048TCL149500背綁帶寬： 包轉(zhuǎn)發(fā)率：：48合計(jì)：426400劃分VLAN 是把局域網(wǎng)內(nèi)設(shè)備通過邏輯方式而不是物理方式劃分成一個(gè)個(gè)網(wǎng)段的技術(shù)。由于實(shí)現(xiàn)了廣播域的分隔，VLAN可以將廣播風(fēng)暴控制在一個(gè)VLAN內(nèi)部，提高網(wǎng)絡(luò)性能。不同VLAN間的數(shù)據(jù)的傳輸通過三層路由來實(shí)現(xiàn)。因此使用VLAN技術(shù)，結(jié)合數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層的交換設(shè)備可搭建安全可靠的網(wǎng)絡(luò)。OSPF是一種基于鏈路狀態(tài)的內(nèi)部網(wǎng)關(guān)路由協(xié)議，是專為IP開發(fā)的路由協(xié)議，直接運(yùn)行在IP層上面，協(xié)議號是89，采用組播方式進(jìn)行OSPF包交換，（全部O