【文章內(nèi)容簡介】 機構網(wǎng)絡提供增強LAN服務。雙介質(zhì)上行鏈路端口提供了千兆以太網(wǎng)上行鏈路靈活性，可以使用銅纜或光纖上行鏈路端口—每個介質(zhì)上行鏈路端口都有一個10/100/1000以太網(wǎng)端口和一個小型可插拔(SFP)千兆以太網(wǎng)端口，在使用時其中一個端口激活，但不能同時使用這兩個端口。根據(jù)典型大型企業(yè)網(wǎng)配線間的設計原則，以提高網(wǎng)絡的可管理性，可靠性、可擴充性為目標，采用思科公司W(wǎng)SC291848TTC桌面型二層以太網(wǎng)交換機作為接入層的交換機，向下可提供線速的 10/100/1000M端口作為信息點的接入，向上可采用千兆端口與匯聚交換機進行連接。Cisco Catalyst 2918系列交換機是面向中國市場中小規(guī)模網(wǎng)絡部署的入門級固定配置交換機。Catalyst 2918采用簡體中文的設備面板和圖形化界面，以特優(yōu)的性價比，為入門級配線間和小型分支機構提供桌面快速以太網(wǎng)和千兆上行網(wǎng)絡連接。Cisco Catalyst 2918系列通過提供完備的入門級安全策略、服務質(zhì)量(QoS)和可用性功能，降低了企業(yè)網(wǎng)絡總體擁有成本。該系列交換機還為中國企業(yè)用戶提供了從非智能集線器和不可管理的交換機向便于擴展的可管理網(wǎng)絡遷移的簡便的途徑。第3章 企業(yè)網(wǎng)規(guī)劃在當前任何一個提供服務的網(wǎng)絡中，對IP的支持服務是最普遍的，而IP技術本身又處在發(fā)展變化中，如IpV6，IP QoS，IP Over SONET等等新興的技術不斷出現(xiàn)，企業(yè)網(wǎng)絡必須跟緊IP發(fā)展的步伐?，F(xiàn)代交換網(wǎng)絡還引入了虛擬局域網(wǎng)（Virtual LAN，VLAN）的概念。VLAN將廣播域限制在單個VLAN內(nèi)部，減小了各VLAN間主機的廣播通信對其他VLAN的影響。在VLAN間需要通信的時候，可以利用VLAN間路由技術來實現(xiàn)。當網(wǎng)絡管理人員需要管理的交換機數(shù)量眾多時，可以使用VLAN中繼協(xié)議（Vlan Trunking Protocol，VTP）簡化管理，它只需在單獨一臺交換機上定義所有VLAN。然后通過VTP協(xié)議將VLAN定義傳播到本管理域中的所有交換機上。這樣，大大減輕了網(wǎng)絡管理人員的工作負擔和工作強度。 xx企業(yè)VLAN實現(xiàn)根據(jù)網(wǎng)絡管理經(jīng)驗，一般建議在網(wǎng)絡當中部署用戶VLAN和管理VLAN。管理VLAN用于網(wǎng)絡管理人員對網(wǎng)絡設備的維護管理。網(wǎng)絡業(yè)務則運行于用戶VLAN。各VLAN ID需全局唯一。xx的局域網(wǎng)絡系統(tǒng)，將運行大量的業(yè)務及辦公應用，要求：1）靈活的VLAN劃分能力；2）支持多種協(xié)議的網(wǎng)絡層交換能力；3）高可靠性及快速的故障恢復和定位能力；4）完善的網(wǎng)絡管理和監(jiān)控。1. VLAN劃分1）由于xx企業(yè)業(yè)務的復雜性，需要靈活而快速的VLAN劃分能力。支持基于端口(分布在不同的Switch上)、MAC地址、網(wǎng)絡層協(xié)議的VLAN劃分。2）網(wǎng)絡節(jié)點可同時位于多個VLAN廣播域。將主服務器置于多個VLAN中，可降低路由負荷并提高響應時間。特別對不支持路由的網(wǎng)絡協(xié)議和應用（如NT服務器），可充分利用NT的Computer Browse及安全特性。3）支持多種網(wǎng)絡協(xié)議，如IP, IPX, DECNET, APPLETALK等，便于與異種網(wǎng)絡互連。4）可通過GUI快速改變VLAN設置。2. 網(wǎng)絡層交換劃分VLAN的主要目標是限制廣播域及提高網(wǎng)絡系統(tǒng)的安全性，但要求在VLAN之間實現(xiàn)高效及可控制的交換。在遠征總公司的LAN設計中，放棄了傳統(tǒng)的中心路由器，使用網(wǎng)絡層交換技術實現(xiàn)VLAN間的互聯(lián)。1）端口設置廣播閥門，隔離廣播風暴；2）支持多種網(wǎng)絡協(xié)議，如IP, IPX, DECNET, APPLETALK；3）可通過網(wǎng)管系統(tǒng)實現(xiàn)基于策略的VLAN互連。3. 高可靠性及快速的故障恢復和定位能力。由于xx企業(yè)局域網(wǎng)絡運行了大量關鍵應用，因此，最大程度地降低網(wǎng)絡停頓時間及故障次數(shù)，是整個網(wǎng)絡系統(tǒng)可行的重要因素。1）網(wǎng)絡骨干無阻塞設計；2）交換端口可進行優(yōu)先級設置；3）骨干交換機（完成交換及VLAN虛擬路由）不存在故障瓶頸。如冗余電源，無源底板及獨立路由設計；4）網(wǎng)絡骨干故障冗余設計；5）網(wǎng)管系統(tǒng)能快速定位故障，并支持一定程度的自動恢復；6）網(wǎng)絡設備自動隔離故障點。4. VLAN管理和監(jiān)控。VLAN的監(jiān)控及管理為網(wǎng)絡管理人員收集和分析網(wǎng)絡運行數(shù)據(jù)，以調(diào)整VLAN結構，修改VLAN策略及快速定位故障提供有力工具。1）支持到端口的RMON。（嵌入式RMON）2）完善的運行日志。3）統(tǒng)計報表和分析。4）報警處理。5）實時網(wǎng)絡狀態(tài)顯示。在一個大、中型網(wǎng)絡里，VLAN單劃分是必不可少的步驟之一。在本企業(yè)網(wǎng)設計中，整個企業(yè)網(wǎng)中VLAN及IP編址是非常重要的，： VLAN及IP地址規(guī)劃VLAN號VLAN名稱IP網(wǎng)段默認網(wǎng)關說明VLAN1GL管理VLANVLAN10PBK品質(zhì)保證科VLANVLAN20SHFWK售后服務科VLANVLAN30CWK財務科VLANVLAN40SCK生產(chǎn)科VLANVLAN50XSK銷售科VLANVLAN60BGS綜合辦公室VLANVLAN70KFK產(chǎn)品開發(fā)科VLANVLAN100FW服務器群VLAN第4章 企業(yè)網(wǎng)設計 綜合布線設計 綜合布線的組成綜合布線系統(tǒng)是一套用于建筑物或建筑群內(nèi)的傳輸網(wǎng)絡。它將話音、數(shù)據(jù)、圖像等設備彼此相連，也使上設備與外部通信數(shù)據(jù)網(wǎng)絡相連連接。一個設計良好的布線系統(tǒng)應具有開放性、靈活性和擴展性，并對其服務的設備有一定的獨立性。需要指出的是，結構化綜合布線系統(tǒng)是一套具有標準、設計、施工及信息界面的無源系統(tǒng)，不包含任何相關的有源連接設備。綜合布線系統(tǒng)支持的設備品種繁多，包括傳輸介質(zhì)、配線箱（電纜配電箱、光纜配線箱、連接器）、標準信息插座、RJ45插頭、適配器、電子保護器裝置以及專用手工藝安裝工具、檢測工具等等。綜合布線系統(tǒng)采用的傳輸介質(zhì)通常包括雙絞線（非屏蔽雙絞線UTP踏它屏蔽雙絞線FTP）踏它光纖。 在企業(yè)網(wǎng)局域網(wǎng)中，常用的網(wǎng)絡協(xié)議有NetBEUI、IPX/SPX和TCP/IP三種，在實際組網(wǎng)時，到底選擇哪種網(wǎng)絡協(xié)議，需要根據(jù)企業(yè)網(wǎng)的實際規(guī)模、網(wǎng)絡應用需求、網(wǎng)絡平臺兼容性和網(wǎng)絡管理等情況而定。其中NetBEUI協(xié)議是為中小局域網(wǎng)設計，它是用SinglePartnames定義網(wǎng)絡節(jié)點，不支持多網(wǎng)段網(wǎng)絡（不可路由），但具有安裝非常簡單、不需要進行配置、占用內(nèi)存少等特點，因而機器性能比較低，往往只安裝了比老的Windows 98/NT/200/XP系統(tǒng)，只是為了簡單的文件和設備共享，并且暫時沒有對外連接的需要，此時選擇NetBEUI協(xié)議進行組網(wǎng)。 對于大中型企業(yè)局域網(wǎng)而言，由于存在多個網(wǎng)段或要通過路由器與外部相連，加之企業(yè)配備的電腦性能比較好，此時NetBEUI協(xié)議就無法滿足組網(wǎng)需求，建議選擇IPX/SPX或TCP/IP協(xié)議組網(wǎng)，其中IPX/SPX 協(xié)議在復雜環(huán)境下具有很強的適應性，具有強大的路由功能，適合于大型網(wǎng)絡使用，不過它局限于使用在NetWare網(wǎng)絡環(huán)境中，在Windows網(wǎng)絡環(huán)境中無法直接使用IPX/SPX通信協(xié)議。不過為了實現(xiàn)與NetWare平臺的互聯(lián)，Windows 系統(tǒng)提供了兩個IPX/SPX兼容協(xié)議：NWLink SPX/SPX和NWLink NetBIOS，前者只能作為客戶端的協(xié)議實現(xiàn)對NetWare服務器訪問，而后者可在NetWare平臺與Windows 平臺之間傳遞信息，也能夠作為Windows系統(tǒng)之間的通信協(xié)議。 綜合布線的設計標準采用以太交換的企業(yè)網(wǎng)絡，可以用VLAN技術來加強內(nèi)部網(wǎng)絡管理。VLAN能夠幫助控制流量，提供更高的安全性，使網(wǎng)絡設備的變更或移動更加方便。VLAN技術的核心是網(wǎng)絡分段，根據(jù)不同的應用業(yè)務以及不同的安全級別，將網(wǎng)絡分段并進行隔離，實現(xiàn)相互間的訪問控制，以達到限制非法訪問的目的。網(wǎng)絡分段分為物理分段和邏輯分段兩種方式。、通常是將網(wǎng)絡在物理層和數(shù)據(jù)段鏈路層分為若干網(wǎng)段，各網(wǎng)段相互之間無法直接通信。邏輯分段則是將整個系統(tǒng)在網(wǎng)絡層上進行分段。例如：對于TCP／IP網(wǎng)絡，可以把網(wǎng)絡分成若干IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機或網(wǎng)關等設備進行連接，利用這些中間設備（含軟件、硬件）的安全機制來控制各子網(wǎng)間的訪問。實際應用時，通常采取物理分段與邏輯分段相結合的方法。 企業(yè)網(wǎng)總體設計企業(yè)網(wǎng)絡是非常典型的綜合網(wǎng)絡實例。為了闡明主要問題，在本設計方案中對實際企業(yè)網(wǎng)的設計進行了適當?shù)暮捅匾暮喕?，同時將重點放在網(wǎng)絡主干的設計上，對于服務器的架設只作簡單介紹。： 企業(yè)網(wǎng)拓撲結構為了實現(xiàn)網(wǎng)絡設備的統(tǒng)一，本設計方案中完全采用同一廠家的網(wǎng)絡產(chǎn)品，全網(wǎng)使用同一廠商設備主要好處在于可以實現(xiàn)各種不同網(wǎng)絡設備功能的互相配合和補充。本企業(yè)網(wǎng)設計方案主要由以下三大部分組成：交換模塊、廣域網(wǎng)接入模塊、服務器模塊。： 交換模塊設計一個好的企業(yè)網(wǎng)設計應該是一個分層的設計。一般分為三層設計模型。 為了簡化交換網(wǎng)絡設計、提高交換網(wǎng)絡的可擴展性，在企業(yè)區(qū)網(wǎng)內(nèi)部數(shù)據(jù)交換模塊的部署是分層進行的。 企業(yè)網(wǎng)數(shù)據(jù)交換設備可以劃分為三個層次：接入層、匯聚層、核心層。傳統(tǒng)意義上的數(shù)據(jù)交換發(fā)生在OSI模型的第2層。現(xiàn)代交換技術還實現(xiàn)了第3層交換和多層交換。高層交換技術的引入不但提高了園區(qū)網(wǎng)數(shù)據(jù)交換的效率，更大大增強了園區(qū)網(wǎng)數(shù)據(jù)交換服務質(zhì)量，滿足了不同類型網(wǎng)絡應用程序的需要。 現(xiàn)代交換網(wǎng)絡還引入了虛擬局域網(wǎng)（Virtual LAN，VLAN）的概念。VLAN 將廣播域限制在單個VLAN內(nèi)部，減小了各VLAN間主機的廣播通信對其他VLAN的影響。在VLAN間需要通信的時候，可以利用VLAN間路由技術來實現(xiàn)。 當網(wǎng)絡管理人員需要管理的交換機數(shù)量眾多時，可以使用VLAN 中繼協(xié)議（Vlan Trunking Protocol，VTP）簡化管理，它只需在單獨一臺交換機上定義所有VLAN。然后通過VTP協(xié)議將VLAN定義傳播到本管理域中的所有交換機上。這樣，大大減輕了網(wǎng)絡管理人員的工作負擔和工作強度。當園區(qū)網(wǎng)絡的交換機數(shù)量增多、交換機間鏈路增加時，交換網(wǎng)絡的復雜性可能會造成交換路問題，這需要通過在各交換機上運行生成樹協(xié)議（Spanning Tree Protocol，STP）來解決。 配置接入層交換機接入層為所有的終端用戶提供一個接入點。這里的接入層交換機采用的是Cisco WSC291848TTC 24口交換機。該交換機擁有24個10/100Mbps自適應快速以太網(wǎng)端口，運行的是Cisco的IOS操作系統(tǒng)。這里。1. 配置接入層交換機asw1(1) 設置交換機名稱就是出現(xiàn)在交換機CLI提示符中的名字。一般以地理位置或行政劃分來為交換機命名。當需要Telnet登錄到若干臺交換機以維護一個大型網(wǎng)絡時，通過交換機名稱提示符提示自己當前配置交換機的位置是很有必要的。，為接入層交換機WSC291848TTC命名。(2) 設置交換機的加密口令用戶在普通用戶模式而想要進入特權用戶模式時，需要提供此口令。此口令會以MD5的形式加密，因此，當用戶查看配置文件時，無法看到明文形式的口令。，將交換機的加密使能口令設置為star。(3) 設置登錄虛擬終端線時的口令于一個已經(jīng)運行著的交換網(wǎng)絡來說，交換機的帶內(nèi)遠程管理為網(wǎng)絡管理人員提供了很多的方便。但是，出于安全考慮，在能夠遠程管理交換機之前網(wǎng)絡管理人員必須設置遠程登錄交換機的口令。 ，設置登錄交換機時需要驗證用戶身份，同時設置口令為star。(4) 配置接入層交換機的管理IP、默認網(wǎng)關接入層交換機是OSI參考模型的第2層設備，即數(shù)據(jù)鏈路層的設備。因此，給接入層交換機的每個端口設置IP地址是沒意義的。但是，為了使網(wǎng)絡管理人員可以從遠程登錄到接入層交換機上進行管理，必須給接入層交換機設置一個管理用IP地址。這種情況下，實際上是將交換機看成和PC機一樣的主機。給交換機設置管理用IP地址只能在VLAN1，即本征VLAN中進行。，管理VLAN所在的子網(wǎng)是：，這里將接入層交換機的管理IP地址設為：。，顯示了為接入層交換機，設置管理IP并激活本征VLAN。(5) 配置接入層交換機的VLAN及端口置接入層交換機的端口1～端口10工作在訪問（接入）模式。同時，設置端口1～端口10為VLAN 10的成員。(6) 設置接入層交換機的端口10～端口20工作在訪問（接入）模式。同時，設置端口10～端口20為VLAN 20的成員。(7) 設置快速端口默認情況下，交換機在剛加電啟動時，每個端口都要經(jīng)歷生成樹的四個階段：阻塞、偵聽、學習、轉(zhuǎn)發(fā)。在能夠轉(zhuǎn)發(fā)用戶的數(shù)據(jù)包之前，某個端口可能最多要等50秒鐘的時間（20 秒的阻塞時間＋15 秒的偵聽延遲時間＋15 秒的學習延遲時間）。 對于直接接入終端工作站的端口來說，用于阻塞和偵聽的時間是不必要的。 為了加速交換機端口狀態(tài)轉(zhuǎn)化時間，可以設置將某端口設置成為快速端口（Portfast）。設置為快速端口的端口當交換機啟動或端口有工作站接入時，將會直接進入轉(zhuǎn)發(fā)狀態(tài)，而不會經(jīng)歷阻塞、偵聽、學習狀態(tài)（假設橋接表已經(jīng)建立）。(8) 配置接入層交換機 Asw1的主干道端口入層交換機通過端口F 0/23上連到匯聚層交換機dsw1 的端口F0/23。同時，接入層交換機還通過端口F0/24上連到匯聚層交換機dsw2的端口F0/23。 這兩條上連鏈路將成為主干道鏈路，在這兩條上連鏈路上將運輸多個VLAN 的數(shù)據(jù)。 如圖設置接入層交換機 Asw1 的端口 FastEthernet 0/2FastEthernet 0/24 為主干道端口。2. 接入層交換機asw2參數(shù)配置接入層交換機asw2為VLAN30和VLAN40的用戶提供接入服務。同時，分別通過自己的F0/2