【文章內(nèi)容簡(jiǎn)介】 終端用戶和公司核心交換網(wǎng)絡(luò)，是網(wǎng)絡(luò)中最廣泛的網(wǎng)絡(luò)設(shè)備。11 / 31. 分區(qū)設(shè)計(jì)詳解. 核心交換區(qū)設(shè)計(jì)此次網(wǎng)絡(luò)改造，建議新增兩臺(tái)高性能的核心交換機(jī)作為**的網(wǎng)絡(luò)核心。核心層作為整個(gè)**網(wǎng)絡(luò)的核心處理層，連接各分布層設(shè)備和**核心服務(wù)器區(qū)，核心層應(yīng)采用兩臺(tái)高性能的三層交換機(jī)采用互為冗余備份的方式實(shí)現(xiàn)網(wǎng)絡(luò)核心的高速數(shù)據(jù)交換機(jī)，同時(shí)，兩臺(tái)核心設(shè)備與分布層各設(shè)備連接，保證每臺(tái)分布層設(shè)備分別與兩臺(tái)核心層設(shè)備具有網(wǎng)絡(luò)連接，通過(guò)鏈路的冗余和設(shè)備冗余的設(shè)計(jì)，保證整個(gè)核心層的高可靠性。兩臺(tái)核心設(shè)備之間應(yīng)至少保證 2Gbps 全雙工的速率要求，并能平滑升級(jí)到10Gbps。核心區(qū)是整個(gè)平臺(tái)的樞紐。因此，可靠性是衡量核心交換區(qū)設(shè)計(jì)的關(guān)鍵指標(biāo)。否則，一旦核心模塊出現(xiàn)異常而不能及時(shí)恢復(fù)的話，會(huì)造成整個(gè)平臺(tái)業(yè)務(wù)的長(zhǎng)時(shí)間中斷，影響巨大。. 互聯(lián)網(wǎng)出口區(qū)設(shè)計(jì)**與外網(wǎng)的出口區(qū)域，目前是通過(guò)建立獨(dú)立的寬帶網(wǎng)，實(shí)現(xiàn)辦公區(qū)和生活區(qū)通過(guò)統(tǒng)一出口訪問(wèn)外網(wǎng)的。在此次網(wǎng)絡(luò)改造中，我們計(jì)劃把生活區(qū)上網(wǎng)與辦公區(qū)上網(wǎng)隔離開(kāi)，通過(guò)不同的出口訪問(wèn)外網(wǎng)。改造后的生活區(qū)網(wǎng)絡(luò)拓?fù)浣Y(jié)果如下圖所示：12 / 31生活區(qū)寬帶網(wǎng)聯(lián)通移動(dòng)生活區(qū)接入網(wǎng)核心交換機(jī)華為 S 8 5 1 2/ S 9 3 0 6I n t e r n e t防火墻負(fù)載均衡如上圖所示，此次生活區(qū)的網(wǎng)絡(luò)改造會(huì)增加新的防火墻和負(fù)載均衡設(shè)備，作為生活區(qū)的網(wǎng)絡(luò)安全管理設(shè)備，通過(guò)單獨(dú)的出口設(shè)備連接到互聯(lián)網(wǎng)。改在后的廠區(qū)互聯(lián)網(wǎng)出口區(qū)域，如下圖所示：I n t e r n e tD N SW W WM A I LD M Z 區(qū)域聯(lián)通移動(dòng)出口區(qū)域13 / 31如上圖所示，工作區(qū)的網(wǎng)絡(luò)改造同樣會(huì)增加新的防火墻和負(fù)載均衡設(shè)備，以及上網(wǎng)行為管理等安全設(shè)備，作為生活區(qū)的網(wǎng)絡(luò)安全管理設(shè)備，通過(guò)單獨(dú)的出口設(shè)備之間連接到互聯(lián)網(wǎng)。出口區(qū)域除了網(wǎng)絡(luò)出口設(shè)備外，還包括一個(gè) DMZ 區(qū)域，用于將 WWW、DNS、MAIL等，需要同時(shí)服務(wù)內(nèi)、外網(wǎng)用戶的服務(wù)器放到該區(qū)域，. 中心服務(wù)器區(qū)設(shè)計(jì)規(guī)劃統(tǒng)一的中心服務(wù)器集群區(qū)域，將現(xiàn)有生產(chǎn)網(wǎng)、設(shè)備管理系統(tǒng)、人事系統(tǒng)中運(yùn)行的服務(wù)器，劃到同一邏輯區(qū)域。該區(qū)域物理上為一個(gè)區(qū)域接入到核心，而邏輯上可以再劃分為多個(gè)業(yè)務(wù)應(yīng)用區(qū)，根據(jù)業(yè)務(wù)屬性的不同可以劃分為生產(chǎn)服務(wù)器區(qū)（如 ERP 等） 、辦公服務(wù)器區(qū)（如 OA 等） 、管理服務(wù)器區(qū)（如 IT 運(yùn)維、管理等系統(tǒng)）等。考慮到新的核心交換的高性能，將所有的服務(wù)器直接接到核心交換，通過(guò)核心區(qū)域的安全設(shè)備來(lái)保證訪問(wèn)安全。使全廠的所有客戶終端都通過(guò)核心交換來(lái)對(duì)各個(gè)業(yè)務(wù)系統(tǒng)進(jìn)行統(tǒng)一訪問(wèn)。產(chǎn)銷O A質(zhì)量中心服務(wù)器集群M E S安全管理人事設(shè)備管理原料采購(gòu). 網(wǎng)絡(luò)匯聚區(qū)設(shè)計(jì)網(wǎng)絡(luò)匯聚區(qū)域，根據(jù)現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)及客戶需求，設(shè)立新的網(wǎng)絡(luò)匯聚節(jié)點(diǎn)，形成以銷售部、自動(dòng)化部自動(dòng)化車間、軋鋼總降、一煉、二煉、一軋、二軋等14 / 31七個(gè)部位為主的匯聚點(diǎn)，覆蓋全公司、部門、車間的生產(chǎn)區(qū)域。該區(qū)域的網(wǎng)絡(luò)設(shè)備主要以現(xiàn)有的生產(chǎn)網(wǎng)匯聚設(shè)備為主、另外融合了寬帶網(wǎng)和設(shè)備網(wǎng)的匯聚設(shè)備，同時(shí)考慮現(xiàn)有匯聚設(shè)備性能不能滿足需求的情況，新增高新能的匯聚設(shè)備。匯聚層設(shè)備通過(guò)雙鏈路的方式與核心層兩臺(tái)核心交換設(shè)備相連，同時(shí)，為保障網(wǎng)絡(luò)的健壯性，以及便于各個(gè)分廠區(qū)之間數(shù)據(jù)交互，各個(gè)分廠區(qū)的匯聚交換機(jī)之間也有線路直連。各匯聚節(jié)點(diǎn)與核心層的連接，應(yīng)全部采用 1000Mbps或 1000Mbps 以上的連接方式，分布層設(shè)備實(shí)現(xiàn)本區(qū)域內(nèi)的各 Vlan 的路由處理和安全限制。一煉匯聚交換機(jī)S 5 6 2 4一軋匯聚交換機(jī)S 5 3 2 4二煉匯聚交換機(jī)S 5 6 2 4二軋匯聚交換機(jī)S 5 6 2 4銷售部匯聚交換機(jī)S 5 3 2 4軋鋼總降匯聚交換機(jī)S 6 5 0 6自動(dòng)化車間匯聚交換機(jī)S 6 3 2 4一煉接入網(wǎng)一軋接入網(wǎng)二煉接入網(wǎng) 二軋接入網(wǎng)自動(dòng)化車間接入網(wǎng)銷售部接入網(wǎng)軋鋼總降接入網(wǎng)原生產(chǎn)網(wǎng)核心交換機(jī)華為 S 8 5 1 2生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī)生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī)生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī)生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī)生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī)生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī)生產(chǎn)網(wǎng)接入交換機(jī)寬帶網(wǎng)接入交換機(jī). 接入層部分網(wǎng)絡(luò)匯聚節(jié)點(diǎn)主要下聯(lián)現(xiàn)有的生產(chǎn)網(wǎng)接入設(shè)備，同時(shí)，將原寬帶網(wǎng)和設(shè)備網(wǎng)的接入設(shè)備融入，構(gòu)建統(tǒng)一的網(wǎng)絡(luò)接入平臺(tái)，不再重復(fù)建網(wǎng)。新的網(wǎng)絡(luò)平臺(tái)融合了，生產(chǎn)網(wǎng)的數(shù)據(jù)訪問(wèn)和外網(wǎng)互聯(lián)的需求，使用同一終端即可實(shí)現(xiàn)內(nèi)外網(wǎng)同時(shí)訪問(wèn)的功能。接入層設(shè)備與分布層設(shè)備通過(guò) 1000M 光纖或雙絞線的方式連接，在用戶量較少的分節(jié)點(diǎn)可以采用 100M 上聯(lián)方式，與各終端用戶連接一般采用 100M 或者1000M 雙絞線的方式。生產(chǎn)網(wǎng)中其他辦公樓及分廠區(qū)的網(wǎng)絡(luò)接入，通過(guò)自動(dòng)化車間和軋鋼總降等匯聚節(jié)點(diǎn)，接入到新的數(shù)據(jù)網(wǎng)絡(luò)中。各個(gè)分廠區(qū)的網(wǎng)絡(luò)接入情況如下圖所示：15 / 31辦公樓生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入質(zhì)量部生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入技改部生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入鍛造廠生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入科技部生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入人事 、 財(cái)務(wù)生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入辦公樓匯聚交換機(jī)S 5 3 2 4質(zhì)量部匯聚交換機(jī)S 5 3 2 4技改部匯聚交換機(jī)S 5 3 2 4鍛造廠匯聚交換機(jī)S 5 3 2 4科技部匯聚交換機(jī)S 5 3 2 4人事 、 財(cái)務(wù)匯聚交換機(jī)S 5 3 2 4自動(dòng)化車間匯聚交換機(jī)S 6 3 2 4其他生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入其他匯聚交換機(jī)S 5 3 2 4自動(dòng)化車間匯聚網(wǎng)絡(luò)拓?fù)鋱D自動(dòng)化車間匯聚網(wǎng)絡(luò)拓?fù)鋱D原料部生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入動(dòng)力廠生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入動(dòng)力廠匯聚交換機(jī)S 5 3 2 4原料部匯聚交換機(jī)S 5 3 2 4軋鋼總降匯聚交換機(jī)S 6 5 0 6其他生產(chǎn)網(wǎng)接入寬帶網(wǎng)接入其他匯聚交換機(jī)S 5 3 2 4軋鋼總降匯聚網(wǎng)絡(luò)拓?fù)鋱D軋鋼總降匯聚網(wǎng)絡(luò)拓?fù)鋱D16 / 31. 網(wǎng)絡(luò)協(xié)議設(shè)計(jì). IP 地址和 VLAN 規(guī)劃IP 地址是網(wǎng)絡(luò)設(shè)計(jì)工作中重要的一環(huán)，使用 IP 地址不當(dāng)會(huì)造成路由表龐大、難以部署安全控制、地址重疊問(wèn)題、地址空間耗盡等問(wèn)題，會(huì)給網(wǎng)絡(luò)運(yùn)行帶來(lái)很大麻煩。為了讓**網(wǎng)絡(luò)建設(shè)項(xiàng)目順利進(jìn)行，我們建議**網(wǎng)絡(luò)采用以下 IP 地址規(guī)劃原則進(jìn)行適當(dāng)改進(jìn)：為公司各個(gè)二級(jí)單位、應(yīng)用業(yè)務(wù)、數(shù)據(jù)中心采用統(tǒng)一規(guī)劃，統(tǒng)一分配，統(tǒng)一管理的地址設(shè)計(jì)原則，避免重疊地址的出現(xiàn)。設(shè)定專門流程和人員對(duì)全公司網(wǎng)絡(luò)地址進(jìn)行記錄和權(quán)限管理。盡可能采用私有地址進(jìn)行 IP 地址分配。私有地址就是我們熟知的三類網(wǎng)絡(luò)地址，分別是 A 類網(wǎng)中的 ~ 范圍，B 類網(wǎng)中的~ 范圍，C 類網(wǎng)中的～ 范圍。整網(wǎng)地址規(guī)劃思路可按照以下方法設(shè)計(jì)，如 ，X 為不同廠區(qū)進(jìn)行標(biāo)示，Y 為該廠區(qū)內(nèi)不同業(yè)務(wù)或應(yīng)用進(jìn)行標(biāo)示，Z 為主機(jī)地址位。同一個(gè)區(qū)域內(nèi)部，使用連續(xù)的 IP 子網(wǎng)進(jìn)行 IP 地址分配。例如，廠區(qū) A 內(nèi)需要有 4 個(gè) C 類網(wǎng)絡(luò)，為了滿足地址匯聚需要，應(yīng)該為連續(xù)的 C 類網(wǎng)絡(luò)。例如：、。在定義測(cè)試區(qū)安全策略時(shí)，不用將4個(gè)網(wǎng)段同時(shí)定義成ACL，使用一條ACL就可以包括全部網(wǎng)絡(luò)。使用可變長(zhǎng)掩碼規(guī)劃網(wǎng)絡(luò)地址，根據(jù) IP 地址使用對(duì)象的特點(diǎn)，部署不同長(zhǎng)度子網(wǎng)掩碼。例如，應(yīng)用網(wǎng)段的 IP 地址，可以采用 C 類網(wǎng)地址，掩碼為 24位；區(qū)域設(shè)備之間的互連地址可以采用 29 位掩碼。不同主機(jī)實(shí)際網(wǎng)關(guān) IP 地址與 HSRP 使用的 IP 地址應(yīng)該在整個(gè)數(shù)據(jù)中心統(tǒng)一，使用相同的方式配置，例如：整個(gè)廠區(qū)均采用 作為主機(jī)實(shí)際網(wǎng)關(guān)IP 地址，HSRP 采用 為 HSRP 網(wǎng)關(guān)地址。網(wǎng)絡(luò)互連地址采用 IP 地址網(wǎng)段的頭兩個(gè)可用地址，核心側(cè)設(shè)備接口配置奇17 / 31數(shù)地址，邊緣側(cè)設(shè)備接口配置偶數(shù)地址。例如，設(shè)備 A 與設(shè)備 B 互連，采用 ，該網(wǎng)段頭兩個(gè)可用地址為 和 ，設(shè)備 A 為核心設(shè)備，配置奇數(shù)地址，設(shè)備 B 為邊緣設(shè)備，配置偶數(shù)地址 。網(wǎng)絡(luò)設(shè)備配置環(huán)回地址（32 位掩碼地址），用于網(wǎng)絡(luò)管理和日志管理。VLAN 主要用于將局域網(wǎng)環(huán)境劃分為多個(gè)邏輯網(wǎng)絡(luò)，從而降低廣播風(fēng)帶來(lái)的影響，也可提高網(wǎng)絡(luò)可管理性和安全性。建議在此次網(wǎng)絡(luò)建設(shè)中可按照以下原則對(duì)新建 VLAN 及原有 VLAN 進(jìn)行適當(dāng)調(diào)整和修改。 VLAN ID 的規(guī)劃可按照應(yīng)用業(yè)務(wù)、工作部門、廠區(qū)位置等方法定義，這里建議按照原有網(wǎng)絡(luò)規(guī)劃方法進(jìn)行。 VLAN ID 可以是 24096 任意數(shù)字，為了方便標(biāo)示和管理，建議 ID 與 IP 網(wǎng)段地址相關(guān)聯(lián)。如 –VLAN10。 —VLAN20。 —VLAN30 等。 VLAN 規(guī)劃避免重復(fù)，全網(wǎng) VLAN 靜態(tài)手動(dòng)分配（在根交換機(jī)），統(tǒng)一管理和記錄。. 動(dòng)態(tài)路由協(xié)議對(duì)一個(gè)大網(wǎng)絡(luò)來(lái)說(shuō)，選擇一個(gè)合適的路由協(xié)議是非常重要的，不恰當(dāng)?shù)倪x擇有時(shí)對(duì)網(wǎng)絡(luò)是致命的，路由協(xié)議對(duì)網(wǎng)絡(luò)的穩(wěn)定高效運(yùn)行、網(wǎng)絡(luò)在拓樸變化時(shí)的快速收斂、網(wǎng)絡(luò)帶寬的充分有效利用、網(wǎng)絡(luò)在故障時(shí)的快速恢復(fù)、網(wǎng)絡(luò)的靈活擴(kuò)展都有很重要的影響。目前存在的路由協(xié)議有：RIP(v1amp。v2)、OSPF、IGRP、EIGRP、ISIS、BGP 等，根據(jù)路由算法的性質(zhì)，它們可分為兩類：距離矢量(DistanceVector)協(xié)議(RIP/IGRP/EIGRP)和連接狀態(tài)(LinkState)協(xié)議(OSPF/ISIS)?？捎糜诖笠?guī)模的網(wǎng)絡(luò)同時(shí)又基于標(biāo)準(zhǔn)的 I