【文章內(nèi)容簡介】 n port]//[list number| word]訪問控制列表的序列號或者命名//[permit | deny]允許或者拒絕//[protocol | protocol key word]協(xié)議或者協(xié)議號//[source address] 源 IP 地址//[sourceswidcard mask]源地址掩碼，如果使用關(guān)鍵字 host，則不用掩碼//[source port]源端口//[destination address]目的地 IP 地址//[destinationwildceard mask]目的地地址掩碼，如果使用 host 關(guān)鍵字，則不用掩碼//[destination port]目的端口8 總體設(shè)計(jì)、搭建網(wǎng)絡(luò)拓?fù)? 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖圖 11 網(wǎng)絡(luò)拓?fù)鋱D 設(shè)備清單表 11 設(shè)備清單序號 型號規(guī)格 說明 描述 數(shù)量 備注 價格1 Cisco 2621 XM路由器 多業(yè)務(wù)路由器，用于連接其他路由器，內(nèi)置防火墻。4 臺 寧波總部 2 臺慈溪分部 1 臺余姚分部 1 臺（總部備用 1 臺）13000/臺2 Cisco 3550核心層交換機(jī)有光纖擴(kuò)展接口或三層交換功能，易擴(kuò)展管理。2 臺 寧波總部 2 臺 16000/臺93 FIX 防火墻 策略過濾，隔離內(nèi)外網(wǎng)，根據(jù)用戶需求設(shè)置 DMZ1 臺 以滿足要求為原則，適時選配4000/臺4 Cisco 2950接入層交換機(jī)智能交換機(jī)，可進(jìn)行VLAN 劃分。至少7 臺寧波總部至少 5臺慈溪、余姚交換機(jī)不變4000/臺5 服務(wù)器 系統(tǒng)為Windows Server2022作為主服務(wù)器、數(shù)據(jù)庫服務(wù)器、文件服務(wù)器、FTP服務(wù)器、WEB 服務(wù)和郵件服務(wù)器等至少1 臺15000/臺6 PC 機(jī) 系統(tǒng)為Windows Xp企業(yè)各部門員工使用 近100臺以滿足要求為原則，適時選配4000/臺 設(shè)備命名表 12 設(shè)備命名規(guī)范設(shè)備類型 命名規(guī)則 說明 示例路由器 ??_DHY_ Rx ??:表示地區(qū)縮寫Rx:表示路由器號NB_DHY_R01表示寧波總部第 1 臺路由器接入層交換機(jī) ??_DHY_ Sx Sx：表示二層交換機(jī)號 YY_DHY _S03表示余姚分部第 3 臺二層交換機(jī)核心層交換機(jī) ??_ DHY_RSx RSx：表示三層交換機(jī)號 NB_DHY_RS02表示寧波總部第 2 臺三層交換機(jī)服務(wù)器 ??_DHY_SVxx SVxx：表示服務(wù)器號 NB_DHY_SV09表示寧波總部第 9 臺服務(wù)器防火墻 ??_DHY_XX XX:表示防火墻號 NB_DHY_01表示寧波總部第 1 臺防10火墻PC 機(jī) ??_DHY_??xx ??xx：??表示部門縮寫有XS、CW、JS、SC，??xx 表示該部門中的 PC 機(jī)號NB_DHY_XS09表示寧波總部銷售部第9 臺 PC 機(jī) IP 地址規(guī)劃 IP 地址規(guī)劃表 13 IP 地址規(guī)劃子網(wǎng) IP 地址規(guī)劃NB_DHY_R01 與 YY_DHY_R01 NB_DHY_R01 與 CX_DHY_R01 NB_DHY_RS01 與 NB_DHY_R01 —NB_DHY_RS02 與 NB_DHY_R01 服務(wù)器組 寧波銷售部 寧波財(cái)務(wù)部 —寧波生產(chǎn)部 —寧波技術(shù)部 —余姚財(cái)務(wù)部 —余姚銷售部 —余姚生產(chǎn)部 —慈溪財(cái)務(wù)部 —慈溪銷售部 —慈溪生產(chǎn)部 — VLAN 劃分合理表 14 VLAN 劃分地點(diǎn) VLAN 名稱 VLAN 的內(nèi)容 對應(yīng)子網(wǎng)VLAN 1 NB_ Server 服務(wù)器 VLAN 2 NB_XS 寧波銷售部 VLAN 3 NB_CW 寧波財(cái)務(wù)部 DHYNET（寧波總部）VLAN 4 NB_SC 寧波生產(chǎn)部 11VLAN 5 NB_JS 寧波技術(shù)部 VLAN 6 CX_CW 慈溪財(cái)務(wù)部 VLAN 7 CX_XS 慈溪銷售部 DHYNET(慈溪分部)VLAN 8 CX_SC 慈溪生產(chǎn)部 VLAN 9 YY_CW 余姚財(cái)務(wù)部 VLAN 10 YY_SC 余姚生產(chǎn)部 DHYNET(余姚分部)VLAN 11 YY_XS 余姚銷售部 交換部分設(shè)計(jì) 交換部分總體設(shè)計(jì)此次寧波公司總部的網(wǎng)絡(luò)改造，將對所有校區(qū)的局域網(wǎng)進(jìn)行規(guī)劃。 為了寧波公司網(wǎng)絡(luò)能夠高效、穩(wěn)定地運(yùn)行，便于管理與維護(hù)，此次寧波公司總部對各個分校的局域網(wǎng)交換技術(shù)的相關(guān)方面進(jìn)行了規(guī)劃設(shè)計(jì)，包括VLAN、VTP、STP、Trunk、EtherChannel、三層交換等。 VLAN 將廣播限制在單個 VLAN 內(nèi)部，較少了各 VLAN 間主機(jī)的廣播通信對其它 VLAN 的影響。在 VLAN間需要通信的時候，可以利用三層交換技術(shù)實(shí)現(xiàn)。 當(dāng)網(wǎng)絡(luò)管理員需要管理的交換機(jī)數(shù)量較多時，可以使用 VLAN 中繼協(xié)議（VTP）簡化管理，它只需在單獨(dú)一臺交換機(jī)上定義所有 VLAN，然后通過 VTP 協(xié)議將 VLAN 的定義傳播到本管理域中的所有交換機(jī)上，這樣，大大減少了網(wǎng)絡(luò)管理員的工作負(fù)擔(dān)和工作強(qiáng)度。 當(dāng)網(wǎng)絡(luò)內(nèi)交換機(jī)數(shù)量增多或交換機(jī)鏈路增加時，都有可能因交換網(wǎng)絡(luò)的復(fù)雜性提高而造成交換環(huán)路，或者為了提高網(wǎng)絡(luò)冗余度而有意設(shè)置了交換環(huán)路，這就需要通過在各個交換機(jī)上運(yùn)行生成樹協(xié)議（STP ）來解決。 此外，按照網(wǎng)絡(luò)建設(shè)要求，各個分校將建設(shè)一個雙核心、全冗余的交換網(wǎng)絡(luò)，其拓?fù)浣Y(jié)構(gòu)如圖所示。12圖 12 交換機(jī)部分其中所有的接入交換機(jī)采用購買的二層交換設(shè)備，核心層交換機(jī)采用購買的兩臺三層交換機(jī)。全網(wǎng)交換機(jī)配置 VTP，以對 VLAN 的設(shè)計(jì)統(tǒng)一管理。 兩臺核心交換機(jī)之間采用 2 條鏈路組成以太網(wǎng)通道，以提高核心交換機(jī)之間的帶寬。所有的接入交換機(jī)都使用 2 條上行鏈路（設(shè)置為 Trunk） ，分別連接到 2 臺核心交換機(jī)，采用 STP 對這樣的交換環(huán)路進(jìn)行阻塞，在保證上行鏈路冗余性的同時，避免了可能造成的廣播風(fēng)暴、橋表震蕩等問題。 VTP 設(shè)計(jì) 當(dāng)網(wǎng)絡(luò)中交換機(jī)數(shù)量較多時，需要分別在每臺交換機(jī)上創(chuàng)建很多重復(fù)的 VLAN。工作量大、過程繁瑣，并且容易出錯。由于寧波公司總部網(wǎng)絡(luò)中使用的全部交換機(jī)都為Cisco 的產(chǎn)品，所以將使用 Cisco 的專有協(xié)議——VLAN 中繼協(xié)議（VTP）來解決這個問題。 Cisco 公司專有的 VTP 協(xié)議能夠從一個中心控制點(diǎn)開始，維護(hù)整個企業(yè)網(wǎng)絡(luò)上VLAN 的添加、刪除和重命名工作，確保配置的一致性，可以減少在數(shù)量眾多的交換機(jī)上配置 VLAN 相關(guān)的管理任務(wù)，降低認(rèn)為因素導(dǎo)致的 VLAN 配置不一致現(xiàn)象（例如，VLAN 配置錯誤、名稱不統(tǒng)一等） ，降低了配置的復(fù)雜性。 為使網(wǎng)絡(luò)能夠高效穩(wěn)定地運(yùn)行，便于管理與維護(hù)，寧波公司總部內(nèi)每一個獨(dú)立的局域網(wǎng)都應(yīng)當(dāng)運(yùn)行 VTP 協(xié)議，下面對寧波分?？偛烤钟蚓W(wǎng)中的 VTP 進(jìn)行規(guī)劃： VTP 域名為 。 VTP 版本為 V2。 VTP 域口令為 NBvtp。 13VTP 修剪設(shè)為啟用。 VTP Server 包括 NB_DHY_RS0NB_DHY_RS02。VTP Client 包括 DHY _S01～11。 配置 VTP 修建是為了減少在中繼端口上不必要的信息量。VTP 通過修剪，來減少沒有必要擴(kuò)散的 VLAN 廣播數(shù)據(jù)流量，提高中繼鏈路的帶寬利用率。 VTP 的口令是為了保證 VTP 域的安全。設(shè)置了口令之后，除非交換機(jī)設(shè)置了正確的口令，否則，新交換機(jī)不能自動加入到已存在的管理域中，可以避免 VLAN 被錯誤或惡意地增加、刪除。 STP 設(shè)計(jì) 所有的局域網(wǎng)都采用全冗余結(jié)構(gòu)，在交換網(wǎng)絡(luò)中造成了大量的交換環(huán)境，可能會引起網(wǎng)絡(luò)中的廣播風(fēng)暴和橋表震蕩等問題，所以將在網(wǎng)絡(luò)中啟用生產(chǎn)樹協(xié)議（STP） ，用來阻塞冗余鏈路，而在發(fā)生鏈路故障時，迅速啟用被阻塞的冗余鏈路，啟到鏈路備份的作用。 所以，此處的交換部分設(shè)計(jì)中，也將在各個交換機(jī)上啟用生成樹協(xié)議，并且我們將通過調(diào)整交換機(jī)優(yōu)先級的方式，來指定性能較高的核心交換機(jī)（即兩臺三層交換機(jī) NB_DHY_RS01 和 NB_DHY_RS02）為根網(wǎng)橋。 并且，Cisco 交換機(jī)支持每個 VLAN 的生成樹（PVST） ，在本方案中我們也將采用這種方式，為每一個 VLAN 啟用一個 STP 實(shí)例。通過這種方式，不同 VLAN 的流量被分擔(dān)到了 2 臺不同的核心交換機(jī)上，還可以實(shí)現(xiàn)一定的負(fù)載分擔(dān)功能。 對于 DHY _S01～11 接入交換機(jī)來說，我們將在其上啟用上行速鏈路，以減少網(wǎng)絡(luò)拓?fù)渥兓瘯r（例如某一臺核心交換機(jī)故障）的重新收斂時間，使冗余鏈路在轉(zhuǎn)發(fā)鏈路故障后能夠立即啟用，減少用戶的斷網(wǎng)時間。 同時，所有的接入交換機(jī)的 3～24 端口還將啟用速端口，因?yàn)檫@些端口連接的都是計(jì)算機(jī)等，不會產(chǎn)生交換環(huán)路，所以配置成速端口，可以在端口啟動時直接進(jìn)入轉(zhuǎn)發(fā)階段，加快網(wǎng)絡(luò)收斂的速度。 其余的 STP 參數(shù)不需要進(jìn)行調(diào)整，保持默認(rèn)值即可。 Ether Channel 設(shè)計(jì) 從上面各小節(jié)的圖中可以看到，在兩臺核心交換機(jī)之間設(shè)計(jì)了一條以太網(wǎng)通道，這也是系統(tǒng)的實(shí)際需要。 該以太網(wǎng)通道匯聚的是兩條核心交換機(jī)之間的鏈路，分別使14用了兩臺核心交換機(jī)上的 4 端口，使兩臺核心交換機(jī)之間的鏈路帶寬達(dá)到了200Mbps。而且核心交換機(jī)上有大量保留端口，隨時可以擴(kuò)充通道的帶寬，最大可以匯聚 8 條鏈路成為一條以太網(wǎng)通道。 同時，這條以太網(wǎng)通道也是兩臺核心交換機(jī)之間的Trunk 鏈路，按照 STP 對不同 VLAN 的根網(wǎng)橋做了指定之后，需用這條 Trunk 鏈路承載不同 VLAN 之間的流量以及 VTP 的各種消息。 配置以太網(wǎng)通道可以提高冗余功能。配合以接入交換機(jī)的雙上行鏈路，本方案可以實(shí)現(xiàn)極高的網(wǎng)絡(luò)可靠性和健壯性，只要有一臺核心交換機(jī)以及一半的正常鏈路，整個網(wǎng)絡(luò)就可以正常工作。 在配置的時候，優(yōu)先使用標(biāo)準(zhǔn)的協(xié)議。 三層交換技術(shù)寧波公司總部網(wǎng)絡(luò)中，在兩臺核心交換機(jī)上各自為 VLAN 配置 IP 地址，啟用路由轉(zhuǎn)發(fā)功能，各個 VLAN 內(nèi)的計(jì)算機(jī)使用該地址作為網(wǎng)關(guān)，之間便可以實(shí)現(xiàn)互通了。 三層交換機(jī)技術(shù)在第三層實(shí)現(xiàn)了數(shù)據(jù)包的高速轉(zhuǎn)發(fā)，從而解決了傳統(tǒng)路由器低速、復(fù)雜 所造成的網(wǎng)絡(luò)瓶頸問題。 這里需要注意一點(diǎn)是，寧波公司總部的局域網(wǎng)中，兩臺核心交換機(jī)啟用路由功能，其上給 VLAN 配置的 IP 地址將是上面所連計(jì)算機(jī)的網(wǎng)關(guān)地址。而兩臺交換機(jī)上同一個VLAN 只能配置不同的 IP 地址，所以這兩臺三層交換機(jī)還會采用 HSRP 方式形成互為備份關(guān)系，為每個 VLAN 上形成一個 HSRP 組，使用 HSRP 組的虛擬地址作為 VLAN 的網(wǎng)關(guān)。 路由部分設(shè)計(jì) 對于企業(yè)內(nèi)聯(lián)網(wǎng)的路由器而言，可以使用一系列路由協(xié)議。選擇路由器時需同時考慮網(wǎng)絡(luò)設(shè)計(jì)和路由協(xié)議的選擇。最常見的標(biāo)準(zhǔn)路由協(xié)議是 RIP 和 OSPF，但 RIP 并不適合大型網(wǎng)絡(luò)?？紤]到寧波計(jì)算機(jī)學(xué)院內(nèi)聯(lián)網(wǎng)未來擴(kuò)展的要求，我們將采用 OSPF 協(xié)議作為網(wǎng)絡(luò)的路由協(xié)議。 OSPF 路由協(xié)議是業(yè)界標(biāo)準(zhǔn)的網(wǎng)絡(luò)協(xié)議，許多廠商的網(wǎng)絡(luò)設(shè)備都支持它，因此它受到了廣泛的應(yīng)用。OSPF 路由協(xié)議能夠快速收斂，支持無類路由（Classless）和變長子網(wǎng)掩碼（VLSM） ，可劃分區(qū)域，適合運(yùn)行在大中型網(wǎng)絡(luò)中。 設(shè)計(jì)方案從 OSPF 區(qū)域、指定路由器、路由器 ID 等方面進(jìn)行了規(guī)劃。15 OSPF 區(qū)域規(guī)劃 為了解決最短路由優(yōu)先（SPF）算法的頻繁計(jì)算、路由表過大、鏈路狀態(tài)數(shù)據(jù)庫過大的問題，OSPF 將大型網(wǎng)絡(luò)分成多個區(qū)域。劃分區(qū)域具有以下優(yōu)點(diǎn)： 減少 OSPF 路由協(xié)議的 LSA 泛洪，減少鏈路帶寬的占用。 降低 SPF 計(jì)算頻率，減少路由器的資源消耗。 具有更小的路由表。 降低鏈路狀態(tài)更新的負(fù)荷。 提高網(wǎng)絡(luò)的穩(wěn)定性。 寧波公司總部的內(nèi)聯(lián)網(wǎng) OSPF 路由協(xié)議將采用多區(qū)域的方式。 寧波公司總部中