【文章內(nèi)容簡介】 程序的控制，就成為網(wǎng)絡(luò)能長治久安和穩(wěn)定運(yùn)行的基石。網(wǎng)絡(luò)中大量部署的 IDS 和防火墻，將會(huì)準(zhǔn)確的捕捉這些應(yīng)用的發(fā)展，盡早的將這些應(yīng)用控制在管理者手中。 方案二： 本方案著眼較低改造成本。較低的改造成本往往意味著較低的行政審批壓力，相比較而言可以更加容易的開展工作。相應(yīng)的，網(wǎng)絡(luò)的可擴(kuò)展性將 會(huì)受到一定程度的制約，相對(duì)于前面一種方案而言，擴(kuò)展性會(huì)有所降低。 網(wǎng)絡(luò)總體設(shè)計(jì) 現(xiàn)在的網(wǎng)絡(luò)拓?fù)涓嗟膯栴}集中在網(wǎng)絡(luò)出口。僅從現(xiàn)在的拓?fù)涠裕W(wǎng)絡(luò)出口并沒有專職的防火墻來提供對(duì)網(wǎng)絡(luò)的保護(hù)。同時(shí)，盡管網(wǎng)絡(luò)鏈路實(shí)現(xiàn)了冗余，但是鏈路冗余設(shè)備卻產(chǎn)生了新的單點(diǎn)故障 ；核心的 Cisco7600 盡管具有 FWSM，和 NAM，但是無法監(jiān)控到 Cisco6509 上產(chǎn)生的流量。 為了能盡快地修正這些明顯的缺陷，應(yīng)當(dāng)進(jìn)行設(shè)備的添置，但不涉及對(duì)于網(wǎng)絡(luò)結(jié)構(gòu)的修改。 首先的，核心路由器和核心交換機(jī)統(tǒng)一購置雙引擎，以便從設(shè)備層面提供冗余能力。通常的，核心網(wǎng)絡(luò)設(shè)備會(huì)面臨最為險(xiǎn)惡的網(wǎng)絡(luò)應(yīng)用環(huán)境，因此必須要對(duì)核心實(shí)行板卡級(jí)或者設(shè)備級(jí)冗余，來提升網(wǎng)絡(luò)本身的穩(wěn)定性。 網(wǎng)絡(luò)可管理性 Cisco 基于 SSO 的切換可以在設(shè)備運(yùn)行期間，保存所有路由表和轉(zhuǎn)發(fā)任務(wù)，實(shí)現(xiàn)秒級(jí)切換，并且不會(huì)中斷轉(zhuǎn)發(fā)和所有鄰接關(guān)系。同時(shí)，將 Cisco7609 的 FWSM和 NAM 模塊全部 安裝到 Cisco6509 上，直接連接的用戶 也全部轉(zhuǎn)移到 Cisco6509上，實(shí)現(xiàn)接入層和網(wǎng)絡(luò)路由決策層的分離，提高網(wǎng)絡(luò)控制層面的靈活性。 由于現(xiàn)在出口的 Radware 設(shè)備使用小包探測(cè)鏈路形態(tài)，給出口的 UTM 設(shè)備增加了很多負(fù)擔(dān)，在 UTM 設(shè)備不能替換的情況下，將 Radware 設(shè)備更換為使用SRTT 算法的 F5 設(shè)備。減輕網(wǎng)絡(luò)設(shè)備負(fù)擔(dān)也有助于提升整體網(wǎng)絡(luò)的穩(wěn)定性。 網(wǎng)絡(luò)增值業(yè)務(wù) 由于下屬交換機(jī)和無線 AP 眾多，也增加了接入用戶管理的挑戰(zhàn)。為了避免由此產(chǎn)生的巨大的管理開銷，使用基于 Cisco ACS 服務(wù)器的 dot1x 質(zhì)詢認(rèn)證，來識(shí)別用戶身份和設(shè)備。以 此 限制用戶接入的能力和水平。同樣的，由于成本限制，不能在外鏈路上使用高端防火墻，因此采用天融信的行為管理設(shè)備，限制用戶可以訪問的 Inter 網(wǎng)絡(luò)資源。天融信作為國內(nèi)行為管理起步最早的企業(yè)，其行為特征數(shù)據(jù)庫的更新也是首屈一指，通過不斷的更新數(shù)據(jù)庫，行為管理設(shè)備可以識(shí)別和管理更多的網(wǎng)絡(luò)數(shù)據(jù)流量。 為了更好的適應(yīng)網(wǎng)絡(luò)統(tǒng)一化管理的目標(biāo)，下屬接入交換機(jī)也視情況改為Cisco 制造的型號(hào)，以便于識(shí)別和管理。 除了主鏈路配置有區(qū)別，其他的諸如準(zhǔn)入控制，復(fù)雜隊(duì)列技術(shù)， CiscoWorks等等，均和上述方案相同。 第三部分 設(shè)備簡介 CiscoWorks 的簡介 CiscoWorks Local Network Management Solution (LMS)是 Cisco 的一個(gè)端到端的網(wǎng)絡(luò)管理解決方案。它是包含有兩到三個(gè)分支辦公室的小型網(wǎng)絡(luò)管理的理想解決方案。 CiscoWorks LMS 是廣泛的、低成本并且友好的解決方案，提供了強(qiáng)大的監(jiān)視和配置能力，也提供了網(wǎng)絡(luò)管理和簡單的網(wǎng)絡(luò)管理功能。 基于廣受歡迎的 Inter 標(biāo)準(zhǔn)， CiscoWorks LMS 允許網(wǎng)絡(luò)管理員更有效率的管理網(wǎng)絡(luò)，這一切僅僅通過一個(gè)簡單的機(jī)遇瀏覽器的界面就能夠在任何時(shí)間任何地點(diǎn)登陸并且管理網(wǎng)絡(luò)。 CiscoWorks LMS 提供了足以完成配置、監(jiān)視和解決路由器、交換機(jī)或者其他應(yīng)用程序問題的工具，能快速的控制由于人為因素而導(dǎo)致的錯(cuò)誤。商業(yè)用戶使用 CiscoWork SNMS，能夠幫助他們有效的提升網(wǎng)絡(luò)性能和減少網(wǎng)絡(luò)中端時(shí)間（給予監(jiān)視和問題解決工具），并能使得網(wǎng)絡(luò)配置恢復(fù)到配置之前的狀態(tài)。 典型網(wǎng)絡(luò)的部署 今天來自商業(yè)用戶的挑戰(zhàn)就是保證網(wǎng)絡(luò)具有很高的可用時(shí)間和迅速的故障解決能力 。 CiscoWorksLMS 不僅僅可以進(jìn)行普通的網(wǎng)絡(luò)管理任務(wù)，最主要的是，他們還能協(xié)助用戶進(jìn)行配置或者重新配置復(fù)雜并且多變的網(wǎng)絡(luò)。一般而言，管理一個(gè)小型的網(wǎng)絡(luò)，需要及時(shí)地管理并清查網(wǎng)絡(luò)基礎(chǔ)設(shè)備的變化，定期升級(jí)運(yùn)行在本地和遠(yuǎn)程設(shè)備的軟件鏡像，執(zhí)行配置更改，優(yōu)化網(wǎng)絡(luò)的利用率，部署策略以適應(yīng)組織新的計(jì)劃。當(dāng)然，這是一個(gè)具有挑戰(zhàn)性的任務(wù)，特別是在大多數(shù)組織面臨的預(yù)算和人力資源有限的情況下。 CiscoWorksLMS 支持用戶監(jiān)控、管理和部署新的網(wǎng)絡(luò)設(shè)備并使它們?cè)诤芏痰臅r(shí)間運(yùn)行起來，很多其他的針對(duì)網(wǎng)絡(luò)部署方面的特性 。 資產(chǎn)管理 CiscoWorks LMS 提供了非常全面的設(shè)備生命周期的管理工具，包括設(shè)備的硬件和安裝在上面的軟件。只需要很少的配置工作就可以使得這個(gè)工具有效的運(yùn)行起來，比如可能需要修改密碼和設(shè)備集名稱，就會(huì)被自動(dòng)的記錄在案，而不用人為的去創(chuàng)建觸發(fā)器或者進(jìn)行其他的操作。利用 CiscoWorks LMS 可以使得管理任務(wù)的自動(dòng)化。 CiscoWorks LMS 提供了用戶跟蹤網(wǎng)絡(luò)設(shè)備配置修改的工具。當(dāng)網(wǎng)絡(luò)規(guī)模逐漸增大，設(shè)備可以使用帶有新的特性和升級(jí)了性能的操作系統(tǒng)來適應(yīng)，比如新版本的 Cisco IOS/Cisco Catalyst OS。經(jīng)常更新這些程序可以保證網(wǎng)絡(luò)安全和穩(wěn)定的運(yùn)行。 CiscoWorks LMS 提供了一個(gè)非常簡單但是功能強(qiáng)大的管理窗口來管理整個(gè)網(wǎng)絡(luò)的基礎(chǔ)設(shè)施，并且不僅僅局限于 Cisco 的設(shè)備，包括了 PC 機(jī)，服務(wù)器和其他的應(yīng)用程序，并為紀(jì)錄和管理這些公用的基礎(chǔ)設(shè)施開辟了有一條新的途徑。用戶開始不需要使用很多彼此不相關(guān)的應(yīng)用程序來管理他們的網(wǎng)絡(luò)了。 無線局域網(wǎng)控制器 思科 174。無線局域網(wǎng)控制器適用于企業(yè)無線局域網(wǎng)部署，并提供了系統(tǒng)級(jí)無線局域網(wǎng)功能，如安全策略、入侵防御、 RF 管理、服務(wù) 質(zhì)量 (QoS)和移動(dòng)性。它們與 Cisco 1000 系列輕型接入點(diǎn)和思科無線控制系統(tǒng) (WCS)軟件共用，可支持關(guān)鍵的無線應(yīng)用。從語音和數(shù)據(jù)服務(wù)到地點(diǎn)跟蹤， WLAN 控制器提供了必要的控制能力、可擴(kuò)展性和可靠性，以便 IT 經(jīng)理能構(gòu)建從分支機(jī)構(gòu)到主園區(qū)的安全、企業(yè)級(jí)無線網(wǎng)絡(luò)。 思科無線局域網(wǎng)控制器可平穩(wěn)地集成入現(xiàn)有企業(yè)網(wǎng)絡(luò)中。它們使用輕型接入點(diǎn)協(xié)議（ LWAPP），與 Cisco 1000 系列輕型接入點(diǎn)在任意第二層（以太網(wǎng)）或第三層（ IP）基礎(chǔ)設(shè)施上通信。這種新型 IETF 標(biāo)準(zhǔn)有助于確保接入點(diǎn)和無線局域網(wǎng)控制器間的通信安全 ，可完全自動(dòng)地支持重要的無線局域網(wǎng)配置和管理功能，從而實(shí)現(xiàn)經(jīng)濟(jì)有效的無線局域網(wǎng)運(yùn)營。 思科無線局域網(wǎng)控制器使企業(yè)能為支持關(guān)鍵業(yè)務(wù)應(yīng)用的端到端無線局域網(wǎng)系統(tǒng)，創(chuàng)建和實(shí)施策略。多個(gè) WLAN 控制器可自動(dòng)相互發(fā)現(xiàn)，并在它們之間無縫協(xié)調(diào) WLAN 服務(wù)。以這種方式，思科無線局域網(wǎng)控制器可作為單一無縫系統(tǒng)運(yùn)行，提供一個(gè)有數(shù)千 AP 的可擴(kuò)展 WLAN 網(wǎng)絡(luò)。從語音和數(shù)據(jù)服務(wù)到地點(diǎn)跟蹤， WLAN控制器提供了必要的控制能力、可擴(kuò)展性和可靠性，以便 IT 經(jīng)理能構(gòu)建安全的企業(yè)級(jí)無線網(wǎng)絡(luò)。 Cisco 4400 系列無線局域網(wǎng)控制器適用于大中型機(jī)構(gòu)，有兩個(gè)型號(hào) — 帶 2 個(gè)千兆以太網(wǎng)端口，其配置可支持 1 25 和 50 個(gè)接入點(diǎn)的 4402，以及帶 4 個(gè)千兆以太網(wǎng)端口，支持 100 個(gè)接入點(diǎn)的 4404。 4402 具有 1 個(gè)擴(kuò)展插槽， 4404 具有2個(gè)擴(kuò)展插槽，可用于在將來添加增強(qiáng)功能，如 VPN終結(jié)等。此外，每個(gè) 4400 WLAN控制器均支持一個(gè)可選冗余電源，以確保最高可靠性。 智能 RF 管理 所有思科 WLAN 控制器都配備了用于自適應(yīng)實(shí)時(shí) RF管理的內(nèi)嵌軟件。思科WLAN 系統(tǒng)使用即將榮獲專利的無線資源管理 (RRM)算法，來實(shí)時(shí)發(fā)現(xiàn)空 中無線資源使用的變化并作出調(diào)整。這些調(diào)整以類似于路由協(xié)議為 IP 網(wǎng)絡(luò)計(jì)算最佳拓?fù)涞姆绞?，為無線網(wǎng)絡(luò)創(chuàng)建最優(yōu)拓?fù)洹? 思科無線局域網(wǎng)控制器所管理的特定智能 RF 功能包括： ? 動(dòng)態(tài)信道分配 — 信道可根據(jù)不斷變化的 RF情況進(jìn)行調(diào)整，以優(yōu)化網(wǎng)絡(luò)覆蓋范圍和性能。 ? 干擾檢測(cè)和避免 — 該系統(tǒng)可檢測(cè)干擾并重新調(diào)整網(wǎng)絡(luò)，以避免性能問題。 ? 負(fù)載均衡 — 此系統(tǒng)對(duì)多個(gè)接入點(diǎn)提供了自動(dòng)的用戶負(fù)載均衡，即使負(fù)載量很大，也能獲得最優(yōu)網(wǎng)絡(luò)性能。 ? 覆蓋盲區(qū)檢測(cè)和修復(fù) — 無線資源管理 (RMM)軟件可發(fā)現(xiàn)覆蓋盲區(qū)，并嘗試通過調(diào)整接入點(diǎn)的功率輸出來修復(fù)它們。 ? 動(dòng)態(tài)功率控制 — 該系統(tǒng)可動(dòng)態(tài)調(diào)整各接入點(diǎn)的功率輸出，來適應(yīng)不斷變化的網(wǎng)絡(luò)情況，以確保達(dá)到預(yù)期的無線性能和可靠性。 嚴(yán)格的安全性 思科無線局域網(wǎng)控制器符合最嚴(yán)格的安全標(biāo)準(zhǔn)，包括： ? WiFi WPA2， WPA 和有線等效加密 (WEP) ? ，帶多種可擴(kuò)展驗(yàn)證協(xié)議 (EAP)類型 — 受保護(hù) EAP (PEAP)，帶傳輸層安全的 EAP(EAPTLS)，帶隧道化 TLS 的 EAP (EAPTTLS)和思科 LEAP ? VPN 終結(jié) — 4100 系列的可選模塊，提供 IP 安全 (IPSec)和第二層隧道協(xié)議(L2TP) VPN 終結(jié) 因此，它堪稱業(yè)界最全面的無線局域網(wǎng)安全解決方案。 在思科無線局域網(wǎng)架構(gòu)中，接入點(diǎn)可作