【文章內(nèi)容簡介】 業(yè)務承載、高性能的網(wǎng)絡環(huán)境智能交換機 ，具備傳統(tǒng)二層交換機大容量、高性能等優(yōu)點，同時還具有領先的安全特性，進一步加強了企業(yè)網(wǎng)絡對邊緣接入中小型電子企業(yè)網(wǎng)絡的分析和設計 15 層面的安全控制能力。 用戶可以根據(jù)需要來訂制自身的安全策略并部署在此交換機上。該產(chǎn)品具備 智能的服務質(zhì)量（ QoS）、限速、訪問控制列表（ ACL）和多播服務 等功能可以很好的協(xié)助用戶實現(xiàn)網(wǎng)絡的管理和維護 。 除此之外，此交換機還具備多個專用堆疊接口，可以滿足樓層，樓宇內(nèi)多個交換機高性能匯聚的需要。 拓撲 冗余 /負載均衡設計 冗余設計是網(wǎng)絡設計的重要部分，是保證網(wǎng)絡整體可靠性能的重要手段。但是投資也將增加。部分 企 業(yè)園區(qū) 網(wǎng)在早期的建設中由于成本的原因并未在設計中考慮冗余問題 。冗余設計可以貫穿整個 層次化 結構，每個冗余設計都有針對性，可以選擇其中一部分或幾部分應用到網(wǎng)絡中以針對重要的應用。萬一網(wǎng)絡中某條路徑失效時，冗余鏈路可以提供另一條物理路徑。可采用 GEC 鏈路聚合（ ）實現(xiàn)端口級冗余，以克服某個端口或線路引起的故障。也可采用生成樹協(xié)議（ ）提供設備級的冗余連接。 核心 冗余備份： 示意如圖 32 所示： 圖 32 核心冗余 圖解：可使用二條 10000M 物理鏈路在連接二臺交換 機，在不增加投資的情況下，實現(xiàn)冗余互備份，使關鍵連接的傳輸效率更高，更可靠。成員互相動態(tài)備份。當某一鏈路中斷時，其它成員能夠迅速接替其工作。與生成樹協(xié)議不同， HSRP 啟用備份的過程對聚合之外是不可見的，而且啟用備份過程只在鏈路內(nèi)，與其它鏈路無關，切換可在數(shù)毫秒內(nèi)完成。 雙核心拓撲結構提供了兩條等代價路徑和雙倍的帶寬。每個交換區(qū)塊都有冗余的連接到核心交換機上，因此形成兩條不同的，但是等代價的連接。如果一條核心設備發(fā)生故障，還是能夠收斂，因為匯聚層設備的路由選擇表中還有另一條到核心設備的路由。第 3 層路由選擇協(xié) 議在核心中起鏈路選擇的作用。核心層不需要 STP，因為在核心交換機間沒有冗余的第 2 層連接。 16 服務器冗余設計 企業(yè)網(wǎng)中服務器、大型機，如網(wǎng)絡存儲服務器， SQL Server 服務器，其存儲的數(shù)據(jù)對于企業(yè)來說致關重要，一些核心數(shù)據(jù)被視為企業(yè)的生命。一方面它對企業(yè)的重要性毋庸質(zhì)疑，另一方面，由于這些數(shù)據(jù)的性質(zhì)決定了其較大的被訪問量，這個對服務器提出了穩(wěn)定和快速的要求。為此，我們采用的是雙機熱備技術 ，此技術能夠有效的滿足核心服務器 高效，穩(wěn)定的高要求。而且相對于其它成本技術來說，這是比較有經(jīng)濟 成效的技術。 如圖 33 圖 3－ 3 服務器冗余 具體技術實現(xiàn)：每個核心服務器均具有兩個以太網(wǎng)接口（可以通過安裝雙網(wǎng)卡實現(xiàn)），在此基礎上，以上圖為例， 數(shù)據(jù) 服務器 A 與 數(shù)據(jù) 服務器 B 先分別利用自己的一個以太網(wǎng)接口實現(xiàn)兩個服務器之間的直連，每個服務器另外的一個接口則與 服務器 區(qū)的網(wǎng)絡實現(xiàn)互連，以達到雙機熱備的目的。因此增加服務器的穩(wěn)定性與高效性。 HSRP 熱備份 采用 HSRP 進行備份的一組 設備 共用一個虛擬的 MAC 地址及虛擬 IP 地址，每個參與 HSRP 的局域端口有一個本端口的 IP 地址和 MAC 地址 ，每個路由器都有一個權值，權值最高的作為主路由器進行工作，其它的不工作，當主路由器癱瘓時，第二個權值最高的路由器將作為主路由器，依次類推。路由器之間定期交換權值信息以確定路由器的工作狀態(tài)。如果主路由器在一段時間內(nèi)不發(fā)送這種信息包，其它備份路由器將認為該路由器已壞，權值電高的備份路由器將接管虛擬中小型電子企業(yè)網(wǎng)絡的分析和設計 17 MAC 地址和 IP 地址，并負責傳輸數(shù)據(jù)。一旦主路由器恢復正常，將自動切換回去，重新接管傳輸數(shù)據(jù)的工作，之后備份路由器停止傳輸，處于備份狀態(tài)。另外， HSRP允許路由器對某些端口的工作狀態(tài)進行監(jiān)測，一旦這個端口出現(xiàn)故障，也進 行自動切換。 VTP 中繼協(xié) VTP（ VLAN Trunking Protocol）：是 VLAN 中繼協(xié)議，也被稱為虛擬局域網(wǎng)干道協(xié)議。 它是一個 OSI 參考模型第二層的通信協(xié)議，主要用于管理在同一個域的網(wǎng)絡范圍內(nèi) VLAN 的建立、刪除和重命名。在一臺 VTP Server 上配置一個新的 VLAN時，該 VLAN 的配置信息將自動傳播到本域內(nèi)的其他所有交換機。這些交換機會自動地接收這些配置信息，使其 VLAN 的配置與 VTP Server 保持一致，從而減少在多臺設備上配置同一個 VLAN 信息的工作量，而且保持了 VLAN 配置的統(tǒng)一性。 NAT 地址轉換 在組建網(wǎng) 絡 時，為了節(jié)約地址，我們在內(nèi)部使用保留的私有地址段中的地址，但是使用私有地址不能訪問 Inter,所以必須申請多個公開地址配置在 Inter 相連的局域網(wǎng)邊緣設備上。應用 NAT 可以 進行地址轉換。 節(jié)約公網(wǎng)地址。 NAT用來將你的私有 IP 地址轉換為全球的外部地址 ,在 inter 上使用，從而保護和隱藏內(nèi)部網(wǎng)絡中的 IP 地址。 NAT 的分類： 靜態(tài) NAT：實現(xiàn)內(nèi)部地址與外部地址一對一的映射。現(xiàn)實中一般用于服務器 動態(tài) NAT： 動態(tài)地址轉換也 是將本地地址與內(nèi)部合法地址一對一的轉換，但是動態(tài)地址轉換是從內(nèi)部合法地址池中動態(tài)地選擇一個末使用的地址對內(nèi)部本地地址進行轉換。動態(tài)地址轉換基本配置步驟： PAT：使用不同的端口來映射多個內(nèi)網(wǎng) IP 地址到一個指定的外網(wǎng) IP 地址，多對一 ACL控制列表 訪問列表為我們提供了一種對網(wǎng)絡訪問進行有效管理的方法，通過訪問列表，我們可以設置允許或拒絕數(shù)據(jù)包通過路由器，或者允許或者拒絕具體的某些端口 18 進行訪問和使用，如果滿足條件則執(zhí)行相應的操作，放行這個包或者放棄這個包。我們通過這些設置來滿足實際網(wǎng)絡的靈活需求， 從而達到設置網(wǎng)絡安全策略，防止網(wǎng)絡中的敏感設備受到非授權訪問的情況。 ACL 分為兩種類型 ,他們分 別是標準訪問列表 (Standard access lists)和擴展訪問列表（ Extends access lists）前者在過濾網(wǎng)絡的時候只使用 IP 數(shù)據(jù)報的源地址，那么在使用這種訪問列表的情況下它做出允許或者拒絕這個決定完全是依賴于源 IP 地址，它無法區(qū)分具體的流量類型。而擴展訪問列表則可以提供更細的決定，它可以具體到端口，從而 精確到某一個服務，給我們網(wǎng)絡的策略提供了更細的控制手段。我們利用這種訪問 列表進行協(xié)議級的控制以達到對網(wǎng)絡一個有效的管理。標準訪問控制列表一般放在靠近目標的路由器上 ,而擴展訪問控制列表一般放于近源端的路由器上。 VLAN 虛擬局域網(wǎng) VLAN（ Virtual Local Area Network）又稱虛擬局域網(wǎng)，是指在交換局域網(wǎng)的基礎上，采用網(wǎng)絡管理軟件構建的可跨越不同網(wǎng)段、不同網(wǎng)絡的端到端的邏輯網(wǎng)絡。一個 VLAN 組成一個邏輯子網(wǎng)，即一個邏輯廣播域，它可以覆蓋多個網(wǎng)絡設備，允許處于不同地理位置的網(wǎng)絡用戶加入到一個邏輯子網(wǎng)中。 默認時，交換機分隔沖突域；路由器分隔廣播域。 第 2 層交換式網(wǎng)絡的最大好處是，它為插入到交換機每個端口的每臺設備創(chuàng)建了各自的沖突域。但每一個新的改進通常都會引起新的問題 —— 用戶和設備的數(shù)量越大，每臺交換機必須處理的廣播和數(shù)據(jù)包就越多。 從技術上說 VLAN 可以分為靜態(tài) VLAN 和動態(tài) VLAN,那么靜 態(tài)的 VLAN 是基于交換機端口進行劃分，根據(jù)網(wǎng)絡設備連接不同的交換機端口， 則進入相應的 VLAN。動態(tài) VLAN 則更靈活，它可以根據(jù)接入計算機的 IP 地址， MAC 地址，甚至是用戶的登陸賬號做出相應的處理，把計算機劃分進相應的 VLAN中，這樣就 為我們實際的網(wǎng)絡管理帶來了比較大的方便性和靈活性 。 VLAN 可以減少了廣播數(shù)據(jù)對帶寬的浪費 ,避免了廣播風暴危害 .各個系在地理位置上進行邏輯分隔開 ,并在匯聚層做訪問控制， 減小不必要的廣播流量， 限制對關鍵部門 (如財務 ,銷售 )，等等， 從而提高網(wǎng)絡的利用效率 ，提高安全性和網(wǎng)絡性能。 中小型電子企業(yè)網(wǎng)絡的分析和設計 19 DHCP 技術 動態(tài)主機設置協(xié)議（ Dynamic Host Configuration Protocol, DHCP）是一個局域網(wǎng)的網(wǎng)絡協(xié)議，使用 UDP 協(xié)議工作，主要有兩個用途：給內(nèi)部網(wǎng)絡或網(wǎng)絡服務供應商自動分配 IP 地址給用戶 ， 內(nèi)部網(wǎng)絡管理員作為對所有計算機作中央管理手段。 DHCP 中繼原理： DHCP 客戶使用 IP 廣播來尋找同一網(wǎng)段上的 DHCP 服務器。當服務器和客戶段處在不同網(wǎng)段，即被路由器分割開來時，路由器是不會轉發(fā)這樣廣播包的。 DHCP 中繼的使用使得一個 DHCP 服務器同時為多個網(wǎng)段服務成為可能。 為了讓路由器可以幫助轉發(fā)廣播請求數(shù)據(jù)包，使用 ip helpaddress 命令。通過使用該命令，路由器可以配置為接受廣播請求，然后將其以單播方式轉發(fā)個指定 IP 地址。 pix技術 PIX 是 Cisco 的硬件防火墻，硬件防火 墻有工作速度快，使用方便等特點。 PIX有很多型號，并發(fā)連接數(shù)是 PIX 防火墻的重要參數(shù)。 PIX25 是典型的設備。沒有連接的狀態(tài) (沒有握手或握手不成功或非法的數(shù)據(jù)包 )，任何數(shù)據(jù)包無法穿過防火墻。 (內(nèi)部發(fā)起的連接可以回包。通過 ACL 開放的服務器允許外部發(fā)起連接 )inside可以訪問任何 outside 和 dmz 區(qū)域。 dmz 可以訪問 outside 區(qū)域。 inside 訪問 dmz需要配合 static(靜態(tài)地址轉換 )。 outside 訪問 dmz 需要配合 ACL(訪問控制列表 )。設置接口名稱，并指定安全級別，安全級別取值范圍為 1～ 100，數(shù)字越 小 安全級別越高 PIXfirewall(config)nameif ether0 outside security0 配置以太口工作狀態(tài)，常見狀態(tài)有： auto、 100full、 shutdown PIXfirewall (config)interface ether0 { auto|100full|shutdown} WLAN 無線局域網(wǎng) 無線局域網(wǎng)要求以無線方式相聯(lián)的計算機之間資源共享，具有現(xiàn)有網(wǎng)絡操作系統(tǒng)所支持的各種服務功能。計算機無線聯(lián)網(wǎng)常見的形式是把遠程計算機以 無線方式聯(lián)入一個計算機網(wǎng)絡中，作為網(wǎng)絡中的一個節(jié)點，使之具有網(wǎng)上工作站所具有的同樣功能，獲得網(wǎng)絡上的所有服務；或把數(shù)個有線或無線局域網(wǎng)聯(lián)成一個區(qū)域網(wǎng)；當然，也可用全無線方式構成一個局域網(wǎng)或在一個局域網(wǎng)中混合使用有線與無線方式。此時，以無線方式入網(wǎng)的計算機將具有可移動性，在一定的區(qū)域移 20 動而同時又隨時與網(wǎng)絡保持聯(lián)系。 綜合布線系統(tǒng)將所有的語音、數(shù)據(jù)、視頻信號等所需的線路和各自的設備進行連接，經(jīng)過統(tǒng)一的規(guī)劃設計，綜合在一套標準的布線系統(tǒng)中，將企業(yè)建筑的三大子系統(tǒng)有機地連接起來，為建企業(yè)網(wǎng)絡系統(tǒng) 集成提供了物理介質(zhì)。另外，綜合布線系統(tǒng)有自已獨特的要求。綜合布線系統(tǒng)要能滿足 企業(yè) 網(wǎng)現(xiàn)在以及未來網(wǎng)絡高速多媒體傳輸?shù)囊螅軡M足系統(tǒng)對性能、可靠性的高要求，還要能滿足 企業(yè)網(wǎng)對擴展性、升級性的要求。 結構化布線系統(tǒng)正是被廣泛接受的一種布線技術，它能夠以一次性的布線投資，解決今后相當一段時間內(nèi)的所有布線問題。近年來，信息處理系統(tǒng)發(fā)展迅速，對信息傳輸?shù)目焖?、便捷、安全性和穩(wěn)定可靠性要求高。在辦公大樓中，所建網(wǎng)絡要求對內(nèi)適應不同的網(wǎng)絡設備、主機、終端、 PC 及外部設備，可構成靈活的拓撲結構，有足夠的系統(tǒng)擴展能力，對外 通過與國家公共信息網(wǎng)與外部信息源相連，組成全方位多通道的信息訪問系統(tǒng)?？傊纫m應當前信息處理的需要，又充分考慮到信息系統(tǒng)未來的發(fā)展趨勢。 布線設計 設計依據(jù) 設計標準： EIA/TIA569 TSB 36/40 工業(yè)標準國際商務建筑布線標準 ISO/IEC IS 11801 ISO/IECJTC1/SC25/WG3 此方案是以開放式結構的綜合布線系統(tǒng)為基礎，依據(jù)國家標準 CECS 72:97 （建筑與建筑群綜合布線系統(tǒng)工程設計規(guī)范）作設計及市內(nèi)電話線工程施工及實驗收技術規(guī)范。 布線設計要求 設計要求 綜合布線系統(tǒng)設計要求： (1) 布線系統(tǒng)設計要為數(shù)據(jù)通信提供實用的、可重新組合、可擴展的模塊中小型電子企業(yè)網(wǎng)絡的分析和設計 21 化通道，網(wǎng)絡布線要內(nèi)、外網(wǎng)實行物理隔離，配置 防 火墻。 (2) 要求對每一樓層信息點分布情況詳細列出，內(nèi)、外網(wǎng)便于切換。 (3) 數(shù)據(jù)點線材依據(jù)水平、垂直采用不同的類型。水平子系統(tǒng)采用超五類非屏蔽系統(tǒng)可靠地提供 100MHZ 傳輸帶寬，垂直子系統(tǒng)、樓群子系統(tǒng)的數(shù)據(jù)可采用不同類非屏蔽雙絞線、光纖等符合傳輸速率，滿足語音、數(shù)據(jù)、圖象的通信要求。 (4) 要從企業(yè)廣域網(wǎng)的接入方式出發(fā)，對內(nèi)部與之對應 的綜合布線整體考慮。 (5) 依據(jù)設計慣例，網(wǎng)絡容量要有一定的冗余。 網(wǎng)絡系統(tǒng)性能要求： (1) 能滿足靈活應用的要求； (2) 除了固定于建筑物內(nèi)線纜外，所有的接插件都應是模塊化的標準件，以方便系統(tǒng)管理和使用； (3) 系統(tǒng)要有可擴充性，以便將來系統(tǒng)增加時，很容易將設備擴展進去；