【文章內(nèi)容簡(jiǎn)介】 段。 IANA 保證這些網(wǎng)絡(luò)號(hào)不會(huì)分配給連到Internet 上的任何網(wǎng)絡(luò)，因此任何人都可以自由地選擇這些網(wǎng)絡(luò)地址作為自己的私有網(wǎng)絡(luò)地址。在申請(qǐng)的合法IP不足的情況下，企業(yè)網(wǎng)內(nèi)網(wǎng)可以采用私有IP地址的網(wǎng)絡(luò)地址分配方案；企業(yè)網(wǎng)外網(wǎng)接入、DMZ 區(qū)使用合法IP 地址。我們確定了要使用的私有網(wǎng)段以后，進(jìn)一步還要?jiǎng)澐肿泳W(wǎng)段，并與VLAN 號(hào)部門相關(guān)聯(lián)，把這做成一個(gè)對(duì)照表。部門名VLAN號(hào)子網(wǎng)段子網(wǎng)網(wǎng)關(guān)（VLAN IP）經(jīng)理辦VLAN1行政辦VLAN2市場(chǎng)辦VLAN3財(cái)務(wù)辦VLAN4服務(wù)器組VLAN5其它未定用戶VLAN6網(wǎng)絡(luò)中心VLAN102．規(guī)劃主交換機(jī)端口VLAN我們一般采用較流行的VLAN 劃分方式：基于端口的VLAN 劃分。因此創(chuàng)建VLAN 號(hào)，為主交換機(jī)的端口指定VLAN 號(hào)是規(guī)劃整個(gè)內(nèi)部VLAN 的關(guān)鍵。另外VLAN 限制了廣播域，跨越VLAN 間的通信要經(jīng)過路由，主交換機(jī)是一臺(tái)三層交換機(jī)，需要為它配置路由選擇協(xié)議，以實(shí)現(xiàn)VLAN 間的線速路由。3． 規(guī)劃防火墻、路由器、服務(wù)器的IP 地址WWW/MAIL/FTP 服務(wù)器、防火墻的DMZ網(wǎng)卡、防火墻的外網(wǎng)卡、路由器以太網(wǎng)口路由器廣域網(wǎng)口1應(yīng)該使用從ISP申請(qǐng)到的合法IP。4．規(guī)劃企業(yè)網(wǎng)內(nèi)網(wǎng)用戶的IP 地址規(guī)劃完子網(wǎng)與VLAN，接下來就要考慮內(nèi)網(wǎng)用戶IP 的分配方式。針對(duì)用戶比較集中、信息點(diǎn)位置相對(duì)固定的情況，建議使用靜態(tài)IP。這對(duì)于日后的管理、維護(hù)、故障排查非常重要，管理員可以根據(jù)IP 地址迅速確定主機(jī)所在位置。使用靜態(tài)IP，用戶與聯(lián)接交換機(jī)的端口處于同一VLAN。為方便新的用戶IP地址的分配，應(yīng)做好現(xiàn)有用戶IP 地址的記錄。當(dāng)用戶變動(dòng)較大，信息點(diǎn)數(shù)量無法準(zhǔn)確計(jì)算時(shí)，建議使用動(dòng)態(tài)IP。動(dòng)態(tài)IP的優(yōu)勢(shì)在于方便用戶使用，用戶只需要將網(wǎng)絡(luò)屬性中的IP 地址欄設(shè)成自動(dòng)獲取，用戶的本機(jī)IP、缺省網(wǎng)關(guān)、DNS、WINS 等關(guān)鍵信息，會(huì)自動(dòng)從DHCP 服務(wù)器中得到。5．內(nèi)網(wǎng)NAT共享上網(wǎng)當(dāng)內(nèi)網(wǎng)的IP / VLAN 規(guī)劃基本完成后，要采用網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）技術(shù)，即通過1個(gè)外部IP 地址來實(shí)現(xiàn)內(nèi)網(wǎng)用戶訪問Internet。目前支持NAT 的硬件產(chǎn)品有路由器、防火墻，本案是防火墻來實(shí)現(xiàn)NAT。實(shí)現(xiàn)VLAN間路由的配置技術(shù)說明：當(dāng)交換機(jī)上的VLAN數(shù)量很多時(shí)， 封裝對(duì)VLAN間的數(shù)據(jù)進(jìn)行路由。（6） VPN設(shè)計(jì)方案網(wǎng)絡(luò)密碼機(jī)安置在企業(yè)各級(jí)局域網(wǎng)到互聯(lián)網(wǎng)的入口處，通過加裝密碼機(jī)構(gòu)建安全隧道，使信息經(jīng)過加密后傳輸，防止第三方竊取，且密碼機(jī)之間的機(jī)機(jī)認(rèn)證也有效防范了第三方的非法接入，保證訪問該網(wǎng)絡(luò)的遠(yuǎn)程節(jié)點(diǎn)的合法性，從而在網(wǎng)絡(luò)上構(gòu)造了一個(gè)封閉的安全傳輸網(wǎng)絡(luò)。應(yīng)用密碼技術(shù)實(shí)現(xiàn)的密碼機(jī)間的加解密和身份認(rèn)證，有效避免了來自傳輸網(wǎng)的攻擊，如圖所示：在建立安全隧道時(shí)有以下特性：透明連接、隧道管理、明密結(jié)合、網(wǎng)段分割、用戶定制、安全算法的協(xié)商。 隨著互聯(lián)網(wǎng)的發(fā)展，移動(dòng)辦公要求提供更大的靈活性，加密到端用戶是唯一的解決方案，對(duì)于那種跨區(qū)分散式分布且分布點(diǎn)人員相對(duì)較少的網(wǎng)絡(luò)，當(dāng)要求安全可靠的內(nèi)部通信時(shí)，解決這一矛盾的最佳策略就是利用端到端的VPN解決方案，如圖所示： 點(diǎn)到點(diǎn)之間采用網(wǎng)絡(luò)加密卡來進(jìn)行安全通信，網(wǎng)絡(luò)加密卡是與網(wǎng)絡(luò)密碼機(jī)配合使用的加密設(shè)備，適合采用PSTN或DDN等方式聯(lián)網(wǎng)或系統(tǒng)僅有少量機(jī)器傳輸?shù)男畔⑿枰用艿那闆r，目前該加密卡支持Windows系統(tǒng), 提供兩臺(tái)主機(jī)之間的安全連接。（7） 無線網(wǎng)絡(luò)設(shè)計(jì)方案 無線局域網(wǎng)的組網(wǎng)模式大致上可以分為兩種，一種是Adhoc模式，即點(diǎn)對(duì)點(diǎn)無線網(wǎng)絡(luò)；另一種是Infrastructure模式，即集中控制式網(wǎng)絡(luò)。Adhoc網(wǎng)絡(luò)是一種點(diǎn)對(duì)點(diǎn)的對(duì)等式移動(dòng)網(wǎng)絡(luò)，沒有有線基礎(chǔ)設(shè)施的支持，網(wǎng)絡(luò)中的節(jié)點(diǎn)均由移動(dòng)主機(jī)構(gòu)成。網(wǎng)絡(luò)中不存在無線AP，通過多張無線網(wǎng)卡自由的組網(wǎng)實(shí)現(xiàn)通信。要建立對(duì)等式網(wǎng)絡(luò)需要完成以下幾個(gè)步驟： 1) 首選為您的電腦安裝無線網(wǎng)卡，并且為您的無線網(wǎng)卡配置好IP地址等網(wǎng)絡(luò)參數(shù)。注意，要實(shí)現(xiàn)互連的主機(jī)的IP必須在同一網(wǎng)段，對(duì)等網(wǎng)絡(luò)不存在網(wǎng)關(guān)，所以網(wǎng)關(guān)可以不用填寫。 2) 設(shè)定無線網(wǎng)卡的工作模式為Adhoc模式，并給需要互連的網(wǎng)卡配置相同的SSID、頻段、加密方式、密鑰和連接速率。集中控制式模式網(wǎng)絡(luò)，是一種整合有線與無線局域網(wǎng)構(gòu)架的應(yīng)用模式。在這種模式中，無線網(wǎng)卡與無線AP進(jìn)行無線連接，在通過無線AP與有線網(wǎng)絡(luò)建立連接。實(shí)際上Infrastructure模式網(wǎng)絡(luò)還可以分為兩種模式，一種是無線路由器+無線網(wǎng)卡建立連接的模式；一種是無線AP與無線網(wǎng)卡建立連接的模式。（八）監(jiān)控系統(tǒng)超市的最大特點(diǎn)是顧客可以自己選擇喜愛的商品，最后到收銀處付款，滿足了顧客自由選擇的需求。對(duì)超市來說，最關(guān)心的是如何管理商品，既避免顧客順手牽羊的行為，又要尊重顧客。超市只能利用監(jiān)控系統(tǒng)，通過在天花板、墻壁等地點(diǎn)安裝的攝像頭，方便地監(jiān)看眾多的貨架，以查看超市內(nèi)是否有偷竊行為。如果發(fā)現(xiàn)偷竊行為，只要在付款處把錄像資料回放給顧客看就可以了，不需要與顧客發(fā)生任何爭(zhēng)執(zhí)。在監(jiān)看貨架的同時(shí)，如果發(fā)現(xiàn)有貨物錯(cuò)架、亂架較多的地方，可以馬上派人員進(jìn)行整理，從而提高了管理效率。五、設(shè)備選型（一）Catalyst 2960 系列交換機(jī)Cisco174。 Catalyst174。 2960系列智能以太網(wǎng)交換機(jī)是一個(gè)全新的、固定配置的獨(dú)立設(shè)備系列，提供桌面快速以太網(wǎng)和千兆以太網(wǎng)連接，可為入門級(jí)企業(yè)、中型市場(chǎng)和分支機(jī)構(gòu)網(wǎng)絡(luò)提供增強(qiáng)LAN服務(wù)。Catalyst 2960系列具有集成安全特性，包括網(wǎng)絡(luò)準(zhǔn)入控制(NAC)、高級(jí)服務(wù)質(zhì)量(QoS)和永續(xù)性，可為網(wǎng)絡(luò)邊緣提供智能服務(wù)。Cisco Catalyst 2960系列提供： 為網(wǎng)絡(luò)邊緣提供了智能特性，如先進(jìn)的訪問控制列表 (ACL)和增強(qiáng)安全特性。 雙介質(zhì)上行鏈路端口提供了千兆以太網(wǎng)上行鏈路靈活性，可以使用銅纜或光纖上行鏈路端口—每個(gè)介質(zhì)上行鏈路端口都有一個(gè)10/100/1000以太網(wǎng)端口和一個(gè)小型可插拔(SFP)千兆以太網(wǎng)端口，在使用時(shí)其中一個(gè)端口激活，但不能同時(shí)使用這兩個(gè)端口。 通過高級(jí)QoS、精確速率限制、ACL和組播服務(wù)，實(shí)現(xiàn)了網(wǎng)絡(luò)控制和帶寬優(yōu)化。 通過多種驗(yàn)證方法、數(shù)據(jù)加密技術(shù)和基于用戶、端口和MAC地址的網(wǎng)絡(luò)準(zhǔn)入控制，實(shí)現(xiàn)了網(wǎng)絡(luò)安全性。 通過思科網(wǎng)絡(luò)助理，簡(jiǎn)化了網(wǎng)絡(luò)配置、升級(jí)和故障診斷。 使用Smartports自動(dòng)配置特定應(yīng)用。 系列產(chǎn)品的配置Cisco Catalyst 2960系列包括以下交換機(jī)： Cisco Catalyst 296024TT：24個(gè)10/100以太網(wǎng)端口和2個(gè)10/100/1000固定以太網(wǎng)上行鏈路端口；1機(jī)架單元(RU) Cisco Catalyst 296048TT：48個(gè)10/100以太網(wǎng)端口和2個(gè)10/100/1000固定以太網(wǎng)上行鏈路端口；1 RU Cisco Catalyst 296024TC：24個(gè)10/100以太網(wǎng)端口和2個(gè)雙介質(zhì)上行鏈路端口；1 RU Cisco Catalyst 296048TC：48個(gè)10/100以太網(wǎng)端口和2個(gè)雙介質(zhì)上行鏈路端口；1 RU Cisco Catalyst 2960G24TC：20個(gè)10/100/1000以太網(wǎng)端口，其中4個(gè)為雙介質(zhì)端口；1 RUCisco Catalyst 2960系列軟件鏡像提供了一系列豐富的智能服務(wù)，包括高級(jí)QoS、速率限制和ACL。SFP千兆以太網(wǎng)端口可安裝多種SFP收發(fā)器，包括Cisco 1000BASESX、1000BASELX、1000BASEBX、1000BASEZX、100BASEFX、100BASELX10