【文章內(nèi)容簡(jiǎn)介】 接入層設(shè)計(jì) 接入層是直接與企業(yè)網(wǎng)眾多計(jì)算機(jī)相連的設(shè)備，企業(yè)網(wǎng)的接入層建設(shè)中，學(xué)生宿舍區(qū)網(wǎng)絡(luò)接入最為典型，在整個(gè)企業(yè)網(wǎng)的接入網(wǎng)建設(shè)中占有很大的比重，其主要特點(diǎn)是上網(wǎng)時(shí)間集中，突發(fā)流量大、安全控制要求高、網(wǎng)絡(luò)布設(shè)分散，不易統(tǒng)一管理。鑒于上述特點(diǎn)，配合PVLAN、單端口環(huán)回檢測(cè)、端口速率限制、集群管理等手段，達(dá)到對(duì)學(xué)生可控、可管理的目的。以下請(qǐng)進(jìn)行接入層交換機(jī)的選型和特點(diǎn)介紹。 VLAN與IP子網(wǎng)設(shè)計(jì) VLAN規(guī)劃采用虛擬局域網(wǎng)VLAN主要出于三個(gè)目的：用戶隔離、提高網(wǎng)絡(luò)效率；提供靈活的管理；提高系統(tǒng)安全性。因此，規(guī)劃VLAN時(shí)也應(yīng)該綜合考慮這三方面的因素。接入層設(shè)備為二層交換機(jī)，用于最終用戶的接入。**系列以太網(wǎng)交換機(jī)均支持VLAN功能，為了進(jìn)行不同用戶間的有效隔離和互聯(lián)，需要利用交換機(jī)對(duì)用戶進(jìn)行相應(yīng)的VLAN劃分。具體做法可以是將交換機(jī)的每一端口劃分一個(gè)VLAN以實(shí)現(xiàn)所有用戶間的二層隔離，此時(shí)如果需要互聯(lián)，可通過(guò)上連設(shè)備的ACL功能來(lái)控制；也可以根據(jù)需要將多個(gè)交換機(jī)的不同端口劃為同一個(gè)VLAN，直接實(shí)現(xiàn)有限制的用戶互聯(lián)。 IP子網(wǎng)設(shè)計(jì)由于IP地址及域名尚未確定，本次方案中只簡(jiǎn)要提出IP分配及VLAN規(guī)劃的原則。域名規(guī)劃要注意層次性和一致性。內(nèi)部域名、外部域名要分別設(shè)置，能體現(xiàn)組織結(jié)構(gòu)并易于管理。IP地址分配要遵循以下原則：1．簡(jiǎn)單性：地址的分配應(yīng)該簡(jiǎn)單，避免在主干上采用復(fù)雜的掩碼方式。2．連續(xù)性：為同一個(gè)網(wǎng)絡(luò)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地址，便于采用SUMMARIZATION及CIDR(CLASSLESS INTERDOMA IN ROUTING)技術(shù)縮減路由表的表項(xiàng)，提高路由器的處理效率。3．可擴(kuò)充性：為一個(gè)網(wǎng)絡(luò)區(qū)域分配的網(wǎng)絡(luò)地址應(yīng)該具有一定的容量，便于主機(jī)數(shù)量增加時(shí)仍然能夠保持地址的連續(xù)性。4．靈活性：地址分配不應(yīng)該基于某個(gè)網(wǎng)絡(luò)路由策略的優(yōu)化方案，應(yīng)該便于多數(shù)路由策略在該地址分配方案上實(shí)現(xiàn)優(yōu)化。5．可管理性：地址的分配應(yīng)該有層次，某個(gè)局部的變動(dòng)不要影響上層、全局。6．安全性：網(wǎng)絡(luò)內(nèi)應(yīng)按工作內(nèi)容劃分成不同網(wǎng)段即子網(wǎng)以便進(jìn)行管理。根據(jù)以上設(shè)計(jì)和企業(yè)網(wǎng)的需求，學(xué)院企業(yè)網(wǎng)網(wǎng)絡(luò)的VLAN和IP子網(wǎng)建議劃分如下：以下請(qǐng)對(duì)企業(yè)網(wǎng)的VLAN和子網(wǎng)進(jìn)行設(shè)計(jì)（列出VLAN和子網(wǎng)對(duì)應(yīng)表）。 IPv6網(wǎng)絡(luò)設(shè)計(jì)IPv6的發(fā)展是從1992年開(kāi)始的，經(jīng)過(guò)了12年的發(fā)展時(shí)間，IPv6的標(biāo)準(zhǔn)體系已經(jīng)基本完善，在這個(gè)過(guò)程中，IPv6逐步優(yōu)化了協(xié)議體系結(jié)構(gòu)，為業(yè)務(wù)發(fā)展創(chuàng)造機(jī)會(huì)，歸納起來(lái)IPv6的優(yōu)勢(shì)包括如下幾個(gè)特點(diǎn)：地址充足：IPv6產(chǎn)生的初衷主要是針對(duì)IPv4地址短缺問(wèn)題，即從IPv4的32bit地址，擴(kuò)展到了IPv6的128bit地址，充分解決地址匱乏問(wèn)題。同時(shí)IPv6地址是有范圍的，包括鏈路本地地址、站點(diǎn)本地地址和任意播地址，這也進(jìn)一步增加地址應(yīng)用的擴(kuò)展性。簡(jiǎn)單是美：簡(jiǎn)化固定的基本報(bào)頭，采用64比特邊界定位，取消IP頭的校驗(yàn)和域等措施，以提高網(wǎng)絡(luò)設(shè)備對(duì)IP報(bào)文的處理效率。擴(kuò)展為先：引入靈活的擴(kuò)展報(bào)頭，按照不同協(xié)議要求增加擴(kuò)展頭種類，按照處理順序合理安排擴(kuò)展頭的順序，其中網(wǎng)絡(luò)設(shè)備需要處理的擴(kuò)展頭在報(bào)文頭的前部，而需要宿端處理的擴(kuò)展頭在報(bào)文頭的尾部。層次區(qū)劃：IPv6極大的地址空間使層次性的地址規(guī)劃成為可能，同時(shí)國(guó)際標(biāo)準(zhǔn)中已經(jīng)規(guī)定了各個(gè)類型地址的層次結(jié)構(gòu)，這樣既便于路由快速查找址格式更具層次性，也有利于路由聚合，縮減IPv6路由表大小，降低網(wǎng)絡(luò)地址規(guī)劃的難度。即插即用：IPv6引入自動(dòng)配置以及重配置技術(shù)，對(duì)于IP地址等信息實(shí)現(xiàn)自動(dòng)增刪更新配置，提高IPv6的易管理性。貼身安全：IPv6集成了IPSec，用于網(wǎng)絡(luò)層的認(rèn)證與加密，為用戶提供端到端安全，使用起來(lái)比IPv4簡(jiǎn)單、方便，可以在遷移到IPv6時(shí)同步發(fā)展IPSec。Qos 考慮：新增流標(biāo)記域，為源宿端快速處理實(shí)時(shí)業(yè)務(wù)提供可能，有利于低性能的業(yè)務(wù)終端支持IPv6的語(yǔ)音、視頻等應(yīng)用。移動(dòng)便捷：Mobile IPv6增強(qiáng)了移動(dòng)終端的移動(dòng)特性、安全特性、路由特性，降低了網(wǎng)絡(luò)部署的難度和投資，為用戶提供了永久在線的服務(wù)。IPv6的上述特點(diǎn)充分迎合了未來(lái)網(wǎng)絡(luò)向IP融合統(tǒng)一的發(fā)展方向，并提升IP網(wǎng)絡(luò)的可運(yùn)營(yíng)可管理性。在整個(gè)IPv6網(wǎng)當(dāng)中可以運(yùn)行多種IPv6相關(guān)業(yè)務(wù)，因此將會(huì)出現(xiàn)以下相關(guān)技術(shù)，如：6to4to雙棧等多種方式，如圖所示，全網(wǎng)的資源實(shí)驗(yàn)訪問(wèn)可分為以下幾種：(1)IPV4IPV6：IPv4與IPv6之間的相互互通是非常重要的，在實(shí)際的應(yīng)用的過(guò)程當(dāng)中華為3Com采用NAT轉(zhuǎn)換的方式進(jìn)行互通，在IPv4用戶訪問(wèn)IPv6的資源時(shí)，由于IPv6的IP地址豐富，可以采用一個(gè)IPV4對(duì)應(yīng)一個(gè)IPv6的地址，進(jìn)行轉(zhuǎn)換；而IPv6用戶訪問(wèn)IPv4的資源時(shí)，由于IPv4的地址資源相對(duì)有限，可以按照收斂比采取多對(duì)一動(dòng)態(tài)的轉(zhuǎn)換的方式進(jìn)行互通，其基本的實(shí)現(xiàn)方式如圖31所示：圖31 IPV4IPV6 IPv6用戶在訪問(wèn)Pv4的用戶時(shí)，在邊界路由器上進(jìn)行NAT轉(zhuǎn)換，過(guò)程是將IP的報(bào)頭取出，改為IPv4的報(bào)頭，與IPv4的用戶進(jìn)行互通；同樣IPV4用戶訪問(wèn)IPV6的用戶時(shí)，當(dāng)經(jīng)過(guò)邊界路由器的時(shí)候，邊界路由器會(huì)將IPv4的包取出，更改為IPv6的報(bào)文格式在IPv6的網(wǎng)絡(luò)內(nèi)部實(shí)現(xiàn)IPv6之間的互通。（2）IPV6IPV4IPV6同樣在IPv6網(wǎng)絡(luò)的建設(shè)過(guò)程當(dāng)中將會(huì)存在IPv6的孤島跨IPv4進(jìn)行互訪的情況。***品牌可以支持跨IPv4網(wǎng)絡(luò)的IPv6孤島的互通，可支持在多個(gè)邊界路由器上（必須以雙棧的方式進(jìn)行運(yùn)行。）進(jìn)行手工的配置隧道，該隧道對(duì)于最終的用戶來(lái)說(shuō)是不可見(jiàn)的， 如圖32所示：圖32 IPV6IPV4IPV6當(dāng)一個(gè)IPv6的包經(jīng)過(guò)邊界路由器的時(shí)候邊界路由器會(huì)將IPv6的報(bào)文封裝為IPv4的包在隧道種進(jìn)行傳送，當(dāng)報(bào)文到達(dá)對(duì)防的時(shí)候，在邊界路由器上進(jìn)行解封裝，還原出原IP6的包，從而實(shí)現(xiàn)互通。對(duì)于終端的PC機(jī)用戶來(lái)說(shuō)也可以實(shí)現(xiàn)網(wǎng)絡(luò)的訪問(wèn)，PC機(jī)終端會(huì)攜帶IPV6請(qǐng)求包向IPv6接口發(fā)出請(qǐng)求，該報(bào)文通過(guò)IPv4網(wǎng)絡(luò)時(shí)將會(huì)直接封裝為IPv4包，當(dāng)?shù)竭_(dá)IPv6接口時(shí)，將還原為IPv6包，當(dāng)接口得到IPv6請(qǐng)求時(shí)，會(huì)返回其請(qǐng)求的前綴，報(bào)文同樣被封裝為IPv4包，當(dāng)?shù)竭_(dá)終端IPv6主機(jī)時(shí)，會(huì)直接還原為IPv6包，并將前綴直接分給終端主機(jī)，終端主機(jī)結(jié)合自己的后綴，自動(dòng)配置好IPv6地址，進(jìn)而實(shí)現(xiàn)PC機(jī)終端與邊界路由器之間的6to4隧道。（3）雙棧模式***品牌的***型號(hào)支持雙棧方式的運(yùn)行，即一臺(tái)路由器可實(shí)現(xiàn)同時(shí)處理IPv4以及IPv6兩種方式，如圖33所示：圖33雙棧模式在由同一個(gè)物理網(wǎng)絡(luò)當(dāng)中同時(shí)存在兩種模式的IP網(wǎng)絡(luò)，即：IPv6網(wǎng)絡(luò)與IPv4網(wǎng)絡(luò)，IPV6用戶之間可實(shí)現(xiàn)互通，同時(shí)IPv4用戶亦可在同一張網(wǎng)絡(luò)當(dāng)中實(shí)現(xiàn)互通，這樣每個(gè)點(diǎn)的用戶即可以通過(guò)核心路由器之間進(jìn)行IPv4的互通，也可以通過(guò)核心路由器NE40