【文章內(nèi)容簡(jiǎn)介】 大型企業(yè)網(wǎng)絡(luò)分析為適應(yīng)企業(yè)信息化的發(fā)展，滿(mǎn)足日益增長(zhǎng)的通信需求和網(wǎng)絡(luò)的穩(wěn)定運(yùn)行，今天的企業(yè)網(wǎng)絡(luò)建設(shè)比傳統(tǒng)企業(yè)網(wǎng)絡(luò)建設(shè)有更高的要求，本文將通過(guò)對(duì)如下幾個(gè)方面的需求分析來(lái)規(guī)劃出一套最適用于目標(biāo)網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)。 寬帶性能需求現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更高的帶寬，更強(qiáng)大的性能，以滿(mǎn)足用戶(hù)日益增長(zhǎng)的通信需求。隨著計(jì)算機(jī)技術(shù)的高速發(fā)展，基于網(wǎng)絡(luò)的各種應(yīng)用日益增多，今天的企業(yè)網(wǎng)絡(luò)已經(jīng)發(fā)展成為一個(gè)多業(yè)務(wù)承載平臺(tái)。不僅要繼續(xù)承載企業(yè)的辦公自動(dòng)化，Web瀏覽等簡(jiǎn)單的數(shù)據(jù)業(yè)務(wù)，還要承載涉及企業(yè)生產(chǎn)運(yùn)營(yíng)的各種業(yè)務(wù)應(yīng)用系統(tǒng)數(shù)據(jù)，以及帶寬和時(shí)延都要求很高的IP電話(huà)、視頻會(huì)議等多媒體業(yè)務(wù)。因此，數(shù)據(jù)流量將大大增加，尤其是對(duì)核心網(wǎng)絡(luò)的數(shù)據(jù)交換能力提出了前所未有的要求。另外，隨著千兆位端口成本的持續(xù)下降，千兆位到桌面的應(yīng)用會(huì)在不久的將來(lái)成為企業(yè)網(wǎng)的主流。從2004年全球交換機(jī)市場(chǎng)分析可以看到，增長(zhǎng)最迅速的就是10 Gbps級(jí)別機(jī)箱式交換機(jī)，可見(jiàn)，萬(wàn)兆位的大規(guī)模應(yīng)用已經(jīng)真正開(kāi)始。所以，今天的企業(yè)網(wǎng)絡(luò)已經(jīng)不能再用百兆位到桌面千兆位骨干來(lái)作為建網(wǎng)的標(biāo)準(zhǔn)，核心層及骨干層必須具有萬(wàn)兆位級(jí)帶寬和處理性能，才能構(gòu)筑一個(gè)暢通無(wú)阻的高品質(zhì)大型企業(yè)網(wǎng)，從而適應(yīng)網(wǎng)絡(luò)規(guī)模擴(kuò)大，業(yè)務(wù)量日益增長(zhǎng)的需要[7]。 穩(wěn)定可靠需求現(xiàn)代大型企業(yè)的網(wǎng)絡(luò)應(yīng)具有更全面的可靠性設(shè)計(jì)，以實(shí)現(xiàn)網(wǎng)絡(luò)通信的實(shí)時(shí)暢通，保障企業(yè)生產(chǎn)運(yùn)營(yíng)的正常進(jìn)行。隨著企業(yè)各種業(yè)務(wù)應(yīng)用逐漸轉(zhuǎn)移到計(jì)算機(jī)網(wǎng)絡(luò)上來(lái)，網(wǎng)絡(luò)通信的無(wú)中斷運(yùn)行已經(jīng)成為保證企業(yè)正常生產(chǎn)運(yùn)營(yíng)的關(guān)鍵?，F(xiàn)代大型企業(yè)網(wǎng)絡(luò)在可靠性設(shè)計(jì)方面主要應(yīng)從以下3個(gè)方面考慮。設(shè)備的可靠性設(shè)計(jì)：不僅要考察網(wǎng)絡(luò)設(shè)備是否實(shí)現(xiàn)了關(guān)鍵部件的冗余備份，還要從網(wǎng)絡(luò)設(shè)備整體設(shè)計(jì)架構(gòu)、處理引擎種類(lèi)等多方面去考察。業(yè)務(wù)的可靠性設(shè)計(jì)：網(wǎng)絡(luò)設(shè)備在故障倒換過(guò)程中，是否對(duì)業(yè)務(wù)的正常運(yùn)行有影響。鏈路的可靠性設(shè)計(jì)：以太網(wǎng)的鏈路安全來(lái)自于多路徑選擇，所以在企業(yè)網(wǎng)絡(luò)建設(shè)時(shí)，要考慮網(wǎng)絡(luò)設(shè)備是否能夠提供有效的鏈路自愈手段，以及快速重路由協(xié)議的支持[7]。 服務(wù)質(zhì)量需求現(xiàn)代大型企業(yè)網(wǎng)絡(luò)需要提供完善的端到端QoS保障，以滿(mǎn)足企業(yè)網(wǎng)多業(yè)務(wù)承載的需求。大型企業(yè)網(wǎng)絡(luò)承載的業(yè)務(wù)不斷增多，單純的提高帶寬并不能夠有效地保障數(shù)據(jù)交換的暢通無(wú)阻，所以今天的大型企業(yè)網(wǎng)絡(luò)建設(shè)必須要考慮到網(wǎng)絡(luò)應(yīng)能夠智能識(shí)別應(yīng)用事件的緊急和重要程度，如視頻、音頻、數(shù)據(jù)流（MIS、ERP、OA、備份數(shù)據(jù)）。同時(shí)能夠調(diào)度網(wǎng)絡(luò)中的資源，保證重要和緊急業(yè)務(wù)的帶寬、時(shí)延、優(yōu)先級(jí)和無(wú)阻塞的傳送，實(shí)現(xiàn)對(duì)業(yè)務(wù)的合理調(diào)度才是一個(gè)大型企業(yè)網(wǎng)絡(luò)提供高品質(zhì)服務(wù)的保障[7]。 網(wǎng)絡(luò)安全需求現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)提供更完善的網(wǎng)絡(luò)安全解決方案，以阻擊病毒和黑客的攻擊，減少企業(yè)的經(jīng)濟(jì)損失。傳統(tǒng)企業(yè)網(wǎng)絡(luò)的安全措施主要是通過(guò)部署防火墻、IDS、殺毒軟件，以及配合交換機(jī)或路由器的ACL來(lái)實(shí)現(xiàn)對(duì)病毒和黑客攻擊的防御，但實(shí)踐證明這些被動(dòng)的防御措施并不能有效地解決企業(yè)網(wǎng)絡(luò)的安全問(wèn)題。在企業(yè)網(wǎng)絡(luò)已經(jīng)成為公司生產(chǎn)運(yùn)營(yíng)的重要組成部分的今天，現(xiàn)代企業(yè)網(wǎng)絡(luò)必須要有一整套從用戶(hù)接入控制，病毒報(bào)文識(shí)別到主動(dòng)抑制的一系列安全控制手段，這樣才能有效地保證企業(yè)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行[7]。 應(yīng)用服務(wù)需求現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具備更智能的網(wǎng)絡(luò)管理解決方案，以適應(yīng)網(wǎng)絡(luò)規(guī)模日益擴(kuò)大，維護(hù)工作更加復(fù)雜的需要。當(dāng)前的網(wǎng)絡(luò)已經(jīng)發(fā)展成為以應(yīng)用為中心的信息基礎(chǔ)平臺(tái)，網(wǎng)絡(luò)管理能力的要求已經(jīng)上升到了業(yè)務(wù)層次，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備的智能已經(jīng)不能有效支持網(wǎng)絡(luò)管理需求的發(fā)展。比如，網(wǎng)絡(luò)調(diào)試期間最消耗人力與物力的線(xiàn)纜故障定位工作，網(wǎng)絡(luò)運(yùn)行期間對(duì)不同用戶(hù)靈活的服務(wù)策略部署、訪(fǎng)問(wèn)權(quán)限控制、以及網(wǎng)絡(luò)日志審計(jì)和病毒控制能力等方面的管理工作，由于受網(wǎng)絡(luò)設(shè)備功能本身的限制，都還屬于費(fèi)時(shí)、費(fèi)力的任務(wù)。所以現(xiàn)代的大型企業(yè)網(wǎng)絡(luò)迫切需要網(wǎng)絡(luò)設(shè)備具備支撐以應(yīng)用為中心的智能網(wǎng)絡(luò)運(yùn)營(yíng)維護(hù)的能力，并能夠有一套智能化的管理軟件，將網(wǎng)絡(luò)管理人員從繁重的工作中解脫出來(lái)[7]。 本課題系統(tǒng)需求分析 本課題設(shè)計(jì)一個(gè)大型的企業(yè)網(wǎng)絡(luò)，網(wǎng)絡(luò)聯(lián)接的建筑物有三個(gè)：兩個(gè)辦公樓和一個(gè)行政樓。管理部、財(cái)務(wù)部和網(wǎng)絡(luò)部在行政樓中；市場(chǎng)部在辦公樓A；銷(xiāo)售部和人力資源部在辦公樓B。所以我們已建筑物的中心也就是行政樓的三層為網(wǎng)絡(luò)的中心，用光纖連接辦公樓A、B，構(gòu)成電子商務(wù)公司網(wǎng)絡(luò)光纖主干。辦公樓2個(gè)，行政樓1個(gè)1．劃分VLAN （見(jiàn)表1）2．VTP 動(dòng)態(tài)學(xué)習(xí)VLAN3．PVST(選根，二層冗余)4．SVI（VLAN間路由）5．HSRP（三層冗余）6．DHCP7．根防護(hù)8．3個(gè)FAST9．靜態(tài)路由10．SITETOSITE VPN（連接分公司，固定IP）11．AAA12．PBR（20M專(zhuān)線(xiàn)）13．網(wǎng)管控制第4章 網(wǎng)絡(luò)系統(tǒng)實(shí)現(xiàn) 大型企業(yè)網(wǎng)絡(luò)拓?fù)鋱D圖 41 網(wǎng)絡(luò)拓?fù)鋱D VLAN及IP地址的規(guī)劃 表 1 VLAN劃分VLAN號(hào)VLAN名稱(chēng)IP網(wǎng)段默認(rèn)網(wǎng)關(guān)說(shuō)明VLAN 1GL VLAN管理VLANVLAN 10GLB 管理部VLANVLAN 20SCB 市場(chǎng)部VLANVLAN 30CWB 財(cái)務(wù)部VLANVLAN 40XSB 銷(xiāo)售部VLANVLAN 50RLZY人力資源部VLANVLAN 60WLB網(wǎng)絡(luò)部VLAN路由器R1與電信連接的接口F0/，與HX1連接的接口F1/，與HX2連接的接口F1/,與R2連接的接口F1/。路由器R2與網(wǎng)通連接的接口F0/，與HX1連接的接口F1/，與HX2連接的接口F1/,與R2連接的接口F1/。路由器R3與HX1連接的接口F1/，與HX2連接的接口F1/，與server連接的接口F1/。路由器R4上與電信連接的接口F1/，與網(wǎng)通連接的接口F1/，與SW11連接的接口F1/。交換機(jī)HX1與R1相連的接口F1/,與R2相連的接口F1/,與R3相連的接口F1/。交換機(jī)HX2與R1相連的接口F1/,與R2相連的接口F1/,與R3相連的接口F1/。 關(guān)鍵網(wǎng)絡(luò)設(shè)備及數(shù)量核心層交換機(jī)：Cisco Catalyst 6509 交換機(jī) 2臺(tái)匯聚層交換機(jī)：Cisco Catalyst 4509 交換機(jī) 4臺(tái)接入層交換機(jī)：Cisco Catalyst 2950 24口 交換機(jī) 100臺(tái)接入路由器： Cisco 3500 路由器 4臺(tái) 關(guān)鍵網(wǎng)絡(luò)設(shè)備介紹圖 8 Cisco 6509交換機(jī)Catalyst 6509是帶有9個(gè)插槽的交換機(jī)機(jī)箱，它可以加兩個(gè)電源，可按需求配置不同功能類(lèi)型的模塊（如防火墻模塊、入侵檢模塊、VPN 模塊、SSL 加速模塊、網(wǎng)絡(luò)流量分析模塊等），更靈活應(yīng)用在不同需求的網(wǎng)絡(luò)設(shè)計(jì)平臺(tái)上，提高穩(wěn)定性及安全性。首先，為Catalyst 6509核心交換機(jī)配備Cisco Catalyst 6500 Supervisor Engine 720模塊。Supervisor Engine 720支持Catalyst 6500系列的第三代模塊，能夠?yàn)槠髽I(yè)和電信運(yùn)營(yíng)商網(wǎng)絡(luò)提供先進(jìn)的IP服務(wù)，并提高端口密度，因而非常適合部署在高性能的核心層、數(shù)據(jù)中心和城域網(wǎng)中。由于使用同一套接口、操作系統(tǒng)和管理工具，Catalyst 6500系列監(jiān)控引擎(Supervisor Engines)能提供操作一致性——可使用相同的備件，所有模塊都具有可以預(yù)測(cè)的性能和多種功能。增強(qiáng)型QOS機(jī)制、基于硬件的GRE隧道和NAT，以及由硬件加速的基于MPLS的高性能服務(wù)；支持基于用戶(hù)的Microflow監(jiān)管，對(duì)每個(gè)用戶(hù)實(shí)施服務(wù)等級(jí)協(xié)議；采用分布式轉(zhuǎn)發(fā)模式，提供高達(dá)200Mpps的硬件IPv6能力，可以順利過(guò)渡到Internet 2和其他支持3G和PDA的通信網(wǎng)絡(luò)；配備光纖通道接口模塊滿(mǎn)足光纖接入需求。加6500系列的防火墻服務(wù)模塊（FWSM）可以為大型企業(yè)和服務(wù)供應(yīng)商提供無(wú)以倫比的安全性、可靠性和性能。Catalyst 6500系列和為企業(yè)網(wǎng)絡(luò)和服務(wù)供應(yīng)商網(wǎng)絡(luò)提供了一系列高性能多層交換解決方案。6500系列提供了廣泛的智能交換解決方案，使公司內(nèi)部網(wǎng)和Internet能夠支持多媒體、關(guān)鍵任務(wù)數(shù)據(jù)和語(yǔ)音應(yīng)用。6500系列交換機(jī)為園區(qū)網(wǎng)提供了高性能、多層交換的解決方案，專(zhuān)門(mén)為需要千兆擴(kuò)展、可用性高、多層交換的應(yīng)用環(huán)境設(shè)計(jì)，主要面向園區(qū)骨干連接等場(chǎng)合。圖9 Cisco Catalyst 4500系列交換機(jī)Cisco Catalyst 4500系列能夠?yàn)闊o(wú)阻礙的第2/3/4層交換提供集成式彈性，因而能進(jìn)一步加強(qiáng)對(duì)融合網(wǎng)絡(luò)的控制（見(jiàn)圖9）?？捎眯愿叩娜诤险Z(yǔ)音/視頻/數(shù)據(jù)網(wǎng)絡(luò)能夠?yàn)檎诓渴鸹诨ヂ?lián)網(wǎng)企業(yè)應(yīng)用的企業(yè)和城域以太網(wǎng)客戶(hù)提供業(yè)務(wù)彈性。作為新一代Cisco Catalyst 4000系列平臺(tái)，Cisco Catalyst 4500系列包括三種新型Cisco Catalyst 機(jī)箱：Cisco Catalyst 4507R（七個(gè)插槽）、Cisco Catalyst 4506（六個(gè)插槽）和Cisco Catalyst 4503（三個(gè)插槽）。Cisco Catalyst 4500系列中提供的集成式彈性增強(qiáng)包括1＋1超級(jí)引擎冗余（只對(duì)Cisco Catalyst 4507R）、集成式IP電話(huà)電源、基于軟件的容錯(cuò)以及1+1電源冗余。硬件和軟件中的集成式冗余性能夠縮短停機(jī)時(shí)間，從而提高生產(chǎn)率、利潤(rùn)率和客戶(hù)成功率。作為Cisco AVVID（集成語(yǔ)音、視頻和融合數(shù)據(jù)體系結(jié)構(gòu)）的關(guān)鍵組件，Cisco Catalyst 4500能夠通過(guò)智能網(wǎng)絡(luò)服務(wù)將控制擴(kuò)展到網(wǎng)絡(luò)邊緣，包括高級(jí)服務(wù)質(zhì)量（QoS）、可預(yù)測(cè)性能、高級(jí)安全性、全面管理和集成式彈性。由于Cisco Catalyst 4500系列提供與Cisco Catalyst 4000系列線(xiàn)卡和超級(jí)引擎的兼容性，因而能夠在融合網(wǎng)絡(luò)中延長(zhǎng)Cisco Catalyst 4000系列的部署窗口。由于這種方式能減少重復(fù)運(yùn)作開(kāi)支，降低擁有成本，因而能提高投資回報(bào)（ROI）。圖10 Cisco Catalyst 3550系列智能以太網(wǎng)交換機(jī)Cisco Catalyst 3550系列智能以太網(wǎng)交換機(jī)是一個(gè)可堆疊多層交換機(jī)系列，可通過(guò)高可用性、服務(wù)質(zhì)量（QoS）和安全性來(lái)改進(jìn)網(wǎng)絡(luò)運(yùn)行（見(jiàn)圖10）。憑借一系列快速以太網(wǎng)和千兆位以太網(wǎng)配置，Cisco Catalyst 3550系列堪稱(chēng)一款適用于企業(yè)和城域接入應(yīng)用的強(qiáng)大選擇。圖11 Cisco Catalyst 2950系列智能以太網(wǎng)交換機(jī)Cisco Catalyst 2950系列智能以太網(wǎng)交換機(jī)是一個(gè)固定配置、可堆疊的獨(dú)立設(shè)備系列，提供了線(xiàn)速快速以太網(wǎng)和千兆位以太網(wǎng)連接（見(jiàn)圖11）。這是一款最廉價(jià)的Cisco交換產(chǎn)品系列，為中型網(wǎng)絡(luò)和城域接入應(yīng)用提供了智能服務(wù)。作為思科最為廉價(jià)的交換產(chǎn)品系列，Cisco Catalyst 2950系列在網(wǎng)絡(luò)或城域接入邊緣實(shí)現(xiàn)了智能服務(wù)。 基礎(chǔ)配置這里以接入層交換機(jī)SW1為例（見(jiàn)圖1） 圖1 接入層設(shè)備Switchen進(jìn)入特權(quán)模式Switchconf t進(jìn)入全局模式Enter configuration mands, one per line. End with CNTL/Z.此注釋說(shuō)明在全局模式下直接按CNTL+Z可以進(jìn)入特權(quán)模式Switch(config)hostname SW1修改路由器或者交換機(jī)的名字，方便管理SW1(config)no ip domain lookup 關(guān)閉域名查詢(xún) 啟用與禁止DNS服務(wù)器，在交換機(jī)默認(rèn)配置的情況下，當(dāng)我們輸入一條錯(cuò)誤的交換機(jī)命令時(shí)，交換機(jī)會(huì)嘗試將其廣播給網(wǎng)絡(luò)上的DNS服務(wù)器并將其解析成對(duì)應(yīng)的IP地址。利用命令no ip domain lookup，可以禁用DNS服務(wù)器，可以減少輸入錯(cuò)誤命令的等待時(shí)間SW1(config)line console 0進(jìn)入CONCOLE 0口線(xiàn)程下，通過(guò)CONSOLE線(xiàn)串口直接控制交換機(jī)或路由器接口SW1(configline)no exectimeout 關(guān)閉超時(shí)時(shí)間（真實(shí)工程中不能用此命令）SW1(configline)logging synchronous在線(xiàn)路上同步輸出 用戶(hù)在為交換機(jī)配置命令時(shí)，配置命令會(huì)被交換機(jī)產(chǎn)生的內(nèi)部信息隔開(kāi)或打亂以 使用命令logging synchronous設(shè)置交換機(jī)在下一行CLI提示符后復(fù)制用戶(hù)的輸入。以上配置為路由器和交換機(jī)的基本配置，有方便管理防止出錯(cuò)的作用，所以每臺(tái)設(shè)備上都要配置。 使用VTP從提高效率的角度出發(fā)，在企業(yè)網(wǎng)實(shí)現(xiàn)實(shí)例中使用了VTP技術(shù)。將分布層FB1設(shè)置成為VTP服務(wù)器，其他交換機(jī)設(shè)置成為VTP客戶(hù)機(jī)。這里接入層交換機(jī)SW1將通過(guò)VTP獲得在分布層交換機(jī)FB1中定義的所有VLAN的信息。（見(jiàn)圖2） 圖2 分布層設(shè)備FB1FB1vlan database 特權(quán)模式下進(jìn)入VLAN設(shè)置模式(小凡模擬器特有)FB1(vlan)vtp domain cisco定義VTP域名Changing VTP domain name from NULL to ciscoFB1(vlan)vtp server 將該交換機(jī)設(shè)置為VTP的服務(wù)端Device mode already VTP SERVER.FB1(vlan)vtp v2mode 啟用的VTP版本號(hào)為2V2 mode enabled.FB1(vlan)vtp password 123456設(shè)置VTP的密碼為123456，交換機(jī)的VTP必須密碼一致才能同步Setting device V