【文章內容簡介】 終端用戶和公司核心交換網(wǎng)絡，是網(wǎng)絡中最廣泛的網(wǎng)絡設備。11 / 31. 分區(qū)設計詳解. 核心交換區(qū)設計此次網(wǎng)絡改造，建議新增兩臺高性能的核心交換機作為**的網(wǎng)絡核心。核心層作為整個**網(wǎng)絡的核心處理層，連接各分布層設備和**核心服務器區(qū)，核心層應采用兩臺高性能的三層交換機采用互為冗余備份的方式實現(xiàn)網(wǎng)絡核心的高速數(shù)據(jù)交換機，同時，兩臺核心設備與分布層各設備連接，保證每臺分布層設備分別與兩臺核心層設備具有網(wǎng)絡連接，通過鏈路的冗余和設備冗余的設計，保證整個核心層的高可靠性。兩臺核心設備之間應至少保證 2Gbps 全雙工的速率要求，并能平滑升級到10Gbps。核心區(qū)是整個平臺的樞紐。因此，可靠性是衡量核心交換區(qū)設計的關鍵指標。否則，一旦核心模塊出現(xiàn)異常而不能及時恢復的話，會造成整個平臺業(yè)務的長時間中斷，影響巨大。. 互聯(lián)網(wǎng)出口區(qū)設計**與外網(wǎng)的出口區(qū)域，目前是通過建立獨立的寬帶網(wǎng)，實現(xiàn)辦公區(qū)和生活區(qū)通過統(tǒng)一出口訪問外網(wǎng)的。在此次網(wǎng)絡改造中，我們計劃把生活區(qū)上網(wǎng)與辦公區(qū)上網(wǎng)隔離開，通過不同的出口訪問外網(wǎng)。改造后的生活區(qū)網(wǎng)絡拓撲結果如下圖所示：12 / 31生活區(qū)寬帶網(wǎng)聯(lián)通移動生活區(qū)接入網(wǎng)核心交換機華為 S 8 5 1 2/ S 9 3 0 6I n t e r n e t防火墻負載均衡如上圖所示，此次生活區(qū)的網(wǎng)絡改造會增加新的防火墻和負載均衡設備，作為生活區(qū)的網(wǎng)絡安全管理設備，通過單獨的出口設備連接到互聯(lián)網(wǎng)。改在后的廠區(qū)互聯(lián)網(wǎng)出口區(qū)域，如下圖所示：I n t e r n e tD N SW W WM A I LD M Z 區(qū)域聯(lián)通移動出口區(qū)域13 / 31如上圖所示，工作區(qū)的網(wǎng)絡改造同樣會增加新的防火墻和負載均衡設備，以及上網(wǎng)行為管理等安全設備，作為生活區(qū)的網(wǎng)絡安全管理設備，通過單獨的出口設備之間連接到互聯(lián)網(wǎng)。出口區(qū)域除了網(wǎng)絡出口設備外，還包括一個 DMZ 區(qū)域，用于將 WWW、DNS、MAIL等，需要同時服務內、外網(wǎng)用戶的服務器放到該區(qū)域，. 中心服務器區(qū)設計規(guī)劃統(tǒng)一的中心服務器集群區(qū)域，將現(xiàn)有生產網(wǎng)、設備管理系統(tǒng)、人事系統(tǒng)中運行的服務器，劃到同一邏輯區(qū)域。該區(qū)域物理上為一個區(qū)域接入到核心，而邏輯上可以再劃分為多個業(yè)務應用區(qū)，根據(jù)業(yè)務屬性的不同可以劃分為生產服務器區(qū)（如 ERP 等） 、辦公服務器區(qū)（如 OA 等） 、管理服務器區(qū)（如 IT 運維、管理等系統(tǒng)）等。考慮到新的核心交換的高性能，將所有的服務器直接接到核心交換，通過核心區(qū)域的安全設備來保證訪問安全。使全廠的所有客戶終端都通過核心交換來對各個業(yè)務系統(tǒng)進行統(tǒng)一訪問。產銷O A質量中心服務器集群M E S安全管理人事設備管理原料采購. 網(wǎng)絡匯聚區(qū)設計網(wǎng)絡匯聚區(qū)域，根據(jù)現(xiàn)有的網(wǎng)絡結構及客戶需求，設立新的網(wǎng)絡匯聚節(jié)點，形成以銷售部、自動化部自動化車間、軋鋼總降、一煉、二煉、一軋、二軋等14 / 31七個部位為主的匯聚點，覆蓋全公司、部門、車間的生產區(qū)域。該區(qū)域的網(wǎng)絡設備主要以現(xiàn)有的生產網(wǎng)匯聚設備為主、另外融合了寬帶網(wǎng)和設備網(wǎng)的匯聚設備，同時考慮現(xiàn)有匯聚設備性能不能滿足需求的情況，新增高新能的匯聚設備。匯聚層設備通過雙鏈路的方式與核心層兩臺核心交換設備相連，同時，為保障網(wǎng)絡的健壯性，以及便于各個分廠區(qū)之間數(shù)據(jù)交互，各個分廠區(qū)的匯聚交換機之間也有線路直連。各匯聚節(jié)點與核心層的連接，應全部采用 1000Mbps或 1000Mbps 以上的連接方式，分布層設備實現(xiàn)本區(qū)域內的各 Vlan 的路由處理和安全限制。一煉匯聚交換機S 5 6 2 4一軋匯聚交換機S 5 3 2 4二煉匯聚交換機S 5 6 2 4二軋匯聚交換機S 5 6 2 4銷售部匯聚交換機S 5 3 2 4軋鋼總降匯聚交換機S 6 5 0 6自動化車間匯聚交換機S 6 3 2 4一煉接入網(wǎng)一軋接入網(wǎng)二煉接入網(wǎng) 二軋接入網(wǎng)自動化車間接入網(wǎng)銷售部接入網(wǎng)軋鋼總降接入網(wǎng)原生產網(wǎng)核心交換機華為 S 8 5 1 2生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機生產網(wǎng)接入交換機寬帶網(wǎng)接入交換機. 接入層部分網(wǎng)絡匯聚節(jié)點主要下聯(lián)現(xiàn)有的生產網(wǎng)接入設備，同時，將原寬帶網(wǎng)和設備網(wǎng)的接入設備融入，構建統(tǒng)一的網(wǎng)絡接入平臺，不再重復建網(wǎng)。新的網(wǎng)絡平臺融合了，生產網(wǎng)的數(shù)據(jù)訪問和外網(wǎng)互聯(lián)的需求，使用同一終端即可實現(xiàn)內外網(wǎng)同時訪問的功能。接入層設備與分布層設備通過 1000M 光纖或雙絞線的方式連接，在用戶量較少的分節(jié)點可以采用 100M 上聯(lián)方式，與各終端用戶連接一般采用 100M 或者1000M 雙絞線的方式。生產網(wǎng)中其他辦公樓及分廠區(qū)的網(wǎng)絡接入，通過自動化車間和軋鋼總降等匯聚節(jié)點，接入到新的數(shù)據(jù)網(wǎng)絡中。各個分廠區(qū)的網(wǎng)絡接入情況如下圖所示：15 / 31辦公樓生產網(wǎng)接入寬帶網(wǎng)接入質量部生產網(wǎng)接入寬帶網(wǎng)接入技改部生產網(wǎng)接入寬帶網(wǎng)接入鍛造廠生產網(wǎng)接入寬帶網(wǎng)接入科技部生產網(wǎng)接入寬帶網(wǎng)接入人事 、 財務生產網(wǎng)接入寬帶網(wǎng)接入辦公樓匯聚交換機S 5 3 2 4質量部匯聚交換機S 5 3 2 4技改部匯聚交換機S 5 3 2 4鍛造廠匯聚交換機S 5 3 2 4科技部匯聚交換機S 5 3 2 4人事 、 財務匯聚交換機S 5 3 2 4自動化車間匯聚交換機S 6 3 2 4其他生產網(wǎng)接入寬帶網(wǎng)接入其他匯聚交換機S 5 3 2 4自動化車間匯聚網(wǎng)絡拓撲圖自動化車間匯聚網(wǎng)絡拓撲圖原料部生產網(wǎng)接入寬帶網(wǎng)接入動力廠生產網(wǎng)接入寬帶網(wǎng)接入動力廠匯聚交換機S 5 3 2 4原料部匯聚交換機S 5 3 2 4軋鋼總降匯聚交換機S 6 5 0 6其他生產網(wǎng)接入寬帶網(wǎng)接入其他匯聚交換機S 5 3 2 4軋鋼總降匯聚網(wǎng)絡拓撲圖軋鋼總降匯聚網(wǎng)絡拓撲圖16 / 31. 網(wǎng)絡協(xié)議設計. IP 地址和 VLAN 規(guī)劃IP 地址是網(wǎng)絡設計工作中重要的一環(huán)，使用 IP 地址不當會造成路由表龐大、難以部署安全控制、地址重疊問題、地址空間耗盡等問題，會給網(wǎng)絡運行帶來很大麻煩。為了讓**網(wǎng)絡建設項目順利進行，我們建議**網(wǎng)絡采用以下 IP 地址規(guī)劃原則進行適當改進：為公司各個二級單位、應用業(yè)務、數(shù)據(jù)中心采用統(tǒng)一規(guī)劃，統(tǒng)一分配，統(tǒng)一管理的地址設計原則，避免重疊地址的出現(xiàn)。設定專門流程和人員對全公司網(wǎng)絡地址進行記錄和權限管理。盡可能采用私有地址進行 IP 地址分配。私有地址就是我們熟知的三類網(wǎng)絡地址，分別是 A 類網(wǎng)中的 ~ 范圍，B 類網(wǎng)中的~ 范圍，C 類網(wǎng)中的～ 范圍。整網(wǎng)地址規(guī)劃思路可按照以下方法設計，如 ，X 為不同廠區(qū)進行標示，Y 為該廠區(qū)內不同業(yè)務或應用進行標示，Z 為主機地址位。同一個區(qū)域內部，使用連續(xù)的 IP 子網(wǎng)進行 IP 地址分配。例如，廠區(qū) A 內需要有 4 個 C 類網(wǎng)絡，為了滿足地址匯聚需要，應該為連續(xù)的 C 類網(wǎng)絡。例如：、。在定義測試區(qū)安全策略時，不用將4個網(wǎng)段同時定義成ACL，使用一條ACL就可以包括全部網(wǎng)絡。使用可變長掩碼規(guī)劃網(wǎng)絡地址，根據(jù) IP 地址使用對象的特點，部署不同長度子網(wǎng)掩碼。例如，應用網(wǎng)段的 IP 地址，可以采用 C 類網(wǎng)地址，掩碼為 24位；區(qū)域設備之間的互連地址可以采用 29 位掩碼。不同主機實際網(wǎng)關 IP 地址與 HSRP 使用的 IP 地址應該在整個數(shù)據(jù)中心統(tǒng)一，使用相同的方式配置，例如：整個廠區(qū)均采用 作為主機實際網(wǎng)關IP 地址，HSRP 采用 為 HSRP 網(wǎng)關地址。網(wǎng)絡互連地址采用 IP 地址網(wǎng)段的頭兩個可用地址，核心側設備接口配置奇17 / 31數(shù)地址，邊緣側設備接口配置偶數(shù)地址。例如，設備 A 與設備 B 互連，采用 ，該網(wǎng)段頭兩個可用地址為 和 ，設備 A 為核心設備，配置奇數(shù)地址，設備 B 為邊緣設備，配置偶數(shù)地址 。網(wǎng)絡設備配置環(huán)回地址（32 位掩碼地址），用于網(wǎng)絡管理和日志管理。VLAN 主要用于將局域網(wǎng)環(huán)境劃分為多個邏輯網(wǎng)絡，從而降低廣播風帶來的影響，也可提高網(wǎng)絡可管理性和安全性。建議在此次網(wǎng)絡建設中可按照以下原則對新建 VLAN 及原有 VLAN 進行適當調整和修改。 VLAN ID 的規(guī)劃可按照應用業(yè)務、工作部門、廠區(qū)位置等方法定義，這里建議按照原有網(wǎng)絡規(guī)劃方法進行。 VLAN ID 可以是 24096 任意數(shù)字，為了方便標示和管理，建議 ID 與 IP 網(wǎng)段地址相關聯(lián)。如 –VLAN10。 —VLAN20。 —VLAN30 等。 VLAN 規(guī)劃避免重復，全網(wǎng) VLAN 靜態(tài)手動分配（在根交換機），統(tǒng)一管理和記錄。. 動態(tài)路由協(xié)議對一個大網(wǎng)絡來說，選擇一個合適的路由協(xié)議是非常重要的，不恰當?shù)倪x擇有時對網(wǎng)絡是致命的，路由協(xié)議對網(wǎng)絡的穩(wěn)定高效運行、網(wǎng)絡在拓樸變化時的快速收斂、網(wǎng)絡帶寬的充分有效利用、網(wǎng)絡在故障時的快速恢復、網(wǎng)絡的靈活擴展都有很重要的影響。目前存在的路由協(xié)議有：RIP(v1amp。v2)、OSPF、IGRP、EIGRP、ISIS、BGP 等，根據(jù)路由算法的性質，它們可分為兩類：距離矢量(DistanceVector)協(xié)議(RIP/IGRP/EIGRP)和連接狀態(tài)(LinkState)協(xié)議(OSPF/ISIS)?？捎糜诖笠?guī)模的網(wǎng)絡同時又基于標準的 I