【文章內(nèi)容簡介】 劃分 VLAN，是指為了適應特別的 VLAN 網(wǎng)絡，根據(jù)具體的網(wǎng)絡用戶的特別要求來定義和設計 VLAN，同時也可以讓非 VLAN 群體用戶訪問 VLAN，但是需 要提供用戶密碼。在得到 VLAN 管理的認證后才可以加入一個 VLAN。 在上海晟奧軟件科技公司網(wǎng)絡中采用的是基于端口的 VLAN，這種 VLAN 是目前網(wǎng)絡設計最簡單常用的方法，適用于任何大小的網(wǎng)絡。 Trunk 技術 Trunk 技術使一條物理線路上可以傳送多個 VLAN 的數(shù)據(jù)，交換機從屬于某一 VLAN 的端口接收數(shù)據(jù)，在 Trunk 鏈路上進行傳輸前，會加上一個標記，表明該數(shù)據(jù)是該 VLAN 的，到了對方交換機，交換機會把該標記去掉，只發(fā)送到屬于它的端口。當一個 VLAN 跨過不同的交換機時，在同一 VLAN 上但是卻是 在不同的交換機上的計算機進行通訊時需要使用 Trunk?？梢酝ㄟ^共享的 Trunk 端口實現(xiàn)不同臺的交換機上相同的 VLAN 要相互通信，如果是同一臺上不同的 VLAN 之間要相互通信，需要通過第三方的路由來實現(xiàn)。需要注意的是先要進入交換機互聯(lián)接口后根據(jù)需要封裝 Trunk 協(xié)議類型， Cisco 默認 Trunk 類型為 dot1q 協(xié)議，再將其制定為 Trunk 模式。 目前最為常用的 Trunk 協(xié)議為 ISL 和 ，其中 ISL 是思科的私有協(xié)議，本網(wǎng)絡采用的是 [1]。 訪問控制列表（ ACL） 訪問控制列表（ Access Control List， ACL） 是交換機和路由器接口的指令列表，用來控制端口進出的數(shù)據(jù)包。 ACL 通過過濾數(shù)據(jù)包并且丟棄不希望抵達目的地的數(shù)據(jù)包來控制通信流量。然而，網(wǎng)絡是否能有效地減少不必要的通信流量，還要取決于網(wǎng)絡管理員把 ACL 放置在哪個地方。需要注意的是， ACL 控制的對象是進出接口的流量，所以在 創(chuàng)建完訪問控制列表之后，必須將其應用到某個接口才可開始生效。 ACL 適用于所有的被路由協(xié)議，如 IP、IPX、 AppleTalk 等。 端口聚合 在網(wǎng)絡的分層結構和寬帶的合理分配方面， Trunk 又被解釋為“端口聚合”，具體是將多個物理端口捆綁成一個邏輯端口，是為了實現(xiàn)出入流量在各個成員端口中的負荷分擔。 因為在核心交換機之間很容易出現(xiàn)帶寬瓶頸，全部的流量都通過它 ，所以要使用端口聚合技術。具體原理是交換機根據(jù)用戶配置的負荷分擔策略負責將報文從一個端口發(fā)送到另一個端口。當交換機檢測到其中某個成員端口鏈路發(fā)生錯誤故障時，就停止發(fā)送報文，并重新根據(jù)負荷分擔策略在余下的鏈路中計算報文發(fā)送的端口，恢復后再次重新計算。簡而言之，端口聚合就是將多條物理端口聚合成一條 帶寬 更高的邏輯端口。在實現(xiàn)鏈路冗余和增加鏈路帶寬方面 合肥學院計算機科學與技術系畢業(yè)論文 11 具有顯著的作用 [2]。 網(wǎng)絡地址轉換（ NAT） 網(wǎng)絡地址轉換 (NAT,Network Address Translation)屬接入廣域網(wǎng)技術，是一種將私有地址轉化為合法 IP 地址的轉換技術。隨著網(wǎng)絡的發(fā)展，公有的 IP 地址在逐漸減少，但是接入Inter 的計算機在逐漸增加， NAT 解決了 lP 地址不足的問題，而且能夠有效地避免來自網(wǎng)絡外部的攻擊，隱藏并保護網(wǎng)絡內(nèi)部的計算機。 NAT的實 現(xiàn)方式有三種，即靜態(tài)轉換 Static Nat、動態(tài)轉換 Dynamic Nat和端口多路復用OverLoad。在本網(wǎng)絡設計中，使用的是動態(tài)地址轉換方式。將內(nèi)部網(wǎng)絡的私有 IP地址轉換為公用 IP地址時， IP地址是隨機的，所有被授權訪問上 Inter的私有 IP地址可隨機轉換為任何指定的合法 IP地址 。 要注意的是在配置網(wǎng)絡地址轉換之前，必須清楚內(nèi)部接口和外部接口以及在哪個外部接口上啟用 NAT。一般情況下，連接到用戶內(nèi)部網(wǎng)絡的接口是 NAT內(nèi)部接口，而連接到外部網(wǎng)絡的接口是 NAT外部接口。 VLAN 中繼協(xié) 議（ VTP） VTP（ VLAN Trunking Protocol）：是 VLAN中繼協(xié)議，也被稱為虛擬局域網(wǎng)干道協(xié)議。當網(wǎng)絡中包括很多臺臺交換機時，需要配置的 VLAN量大，這時可以使用 VTP協(xié)議，將一臺交換機配置成 VTP Server模式 , 其余交換機配置成 VTP Client模式 ,配置完成后配置成 VTP Server模式的交換機就可以自動學習到配置成 VTP Client模式上的 VLAN 信息。在系統(tǒng)級管理增加，刪除，調(diào)整的 VLAN，會自動地將信息向網(wǎng)絡中其它的交換機廣播，通過網(wǎng)絡保持 VLAN配置的統(tǒng)一性 。只要 VTP Server上的交換機做了相應設置，其他的 VTP Client會自動學習 [3]。 內(nèi)部網(wǎng)關協(xié)議（ RIP） RIP 協(xié)議是一種動態(tài)路由選擇，它的信息的傳遞只是適用于一個自治系統(tǒng)（ AS）內(nèi)的 [2]。并且是基于矢量算法的，衡量到目的地址的距離單位用“跳數(shù)”來表示。它的跳數(shù)限制在 15跳之內(nèi)，這就決定了 RIP 協(xié)議不適用于大型網(wǎng)絡，但是用于中小型企業(yè)的內(nèi)部網(wǎng)絡， RIP 也有其明顯的優(yōu)點，比如開銷小，易于管理和實現(xiàn)等。 熱備份 路由器 協(xié)議（ HSRP） 在本網(wǎng)絡設計中，采用 HSRP 技術實現(xiàn)負載均衡。 HSRP(Hot Standby Router Protoco)即 熱備份 路由器 協(xié)議 ，是 Cisco 的私有協(xié)議。 熱備份 路由器 協(xié)議的設計目標是為了支持在特定情況下 IP 流量失敗轉移不會引起混亂并允許 主機 使用單路由器以及當源主機不能動態(tài)知道第一跳 路由器 的 IP 地址時，能夠保護第一跳路由器不發(fā)生故障。 HSRP 協(xié)議能夠提供一種決定使用主動 路由器 還是備份路由器的機制，并且指定一個虛擬的 IP 地址作為 默認網(wǎng)關 地址。如果主動 路由器 發(fā)生 故障，將由備份路由器承接主動路由器的所有任務，并且不會導致主機連通中斷現(xiàn)象。 HSRP 協(xié)議利用優(yōu)先級方案決定哪個路由器成 合肥學院計算機科學與技術系畢業(yè)論文 12 為默認的主動路由器。如果一個路由器的優(yōu)先級設置的比其他所有路由器的優(yōu)先級高，那么該路由器是主動路由器。路由器的默認優(yōu)先級是 100[4]。 HSRP 具有以下幾個特點： （ 1） 高度的可靠性。兩臺路由器之間采用 HSRP 協(xié)議時，可以保證兩臺路由器中的任意一臺 Down 掉，或路由器的廣域網(wǎng)口 Down 掉，都會迅速切換到另外一臺。 （ 2） 實現(xiàn)了負載均 衡。在一個特定的局域網(wǎng)中，可能有多個熱備份組并存或重疊。當在一個 局域網(wǎng)上有多個熱備份組存在時，把主機分布到不同的熱備份組，可以使負載得到分擔。 （ 3） 通過設置 VLAN，有效的控制了兩個子網(wǎng)間的安全。 （ 4） 不會存在單點故障問題。 虛擬專用網(wǎng)絡（ VPN） 虛擬專用網(wǎng)絡（ Virtual Private Network ，簡稱 VPN)指的是在公用網(wǎng)絡上建立專用網(wǎng)絡的技術。其之所以稱為虛擬網(wǎng)，主要是因為整個 VPN 網(wǎng)絡的任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是架構在公用網(wǎng)絡服務商所提 供的網(wǎng)絡平臺，如Inter、 ATM(異步傳輸模式〉、 Frame Relay （幀中繼）等之上的邏輯網(wǎng)絡，用戶數(shù)據(jù)在邏輯鏈路中傳輸。它涵蓋了跨共享網(wǎng)絡或公共網(wǎng)絡的封裝、加密和身份驗證鏈接的專用網(wǎng)絡的擴展 [5]。 合肥學院計算機科學與技術系畢業(yè)論文 13 第三章 網(wǎng)絡系統(tǒng)總體規(guī)劃與設計 網(wǎng)絡系統(tǒng)總體規(guī)劃與設計 網(wǎng)絡總體設計思想 根據(jù)上海晟奧軟件科技公司網(wǎng)絡的設計要求， 主干采用萬兆網(wǎng)結構，各樓層采用 光纖提供 1000 兆帶寬， 以滿足公司網(wǎng)絡的有效運轉，并且統(tǒng)一采用標準協(xié)議和接口以便未來網(wǎng)絡線路的拓展 與升級。 網(wǎng)絡整體規(guī)劃 上海晟奧軟件科技公司總共有 3 樓，一樓主要是公司大廳、管理部、會客廳和倉庫；二樓主要是總經(jīng)理辦公室、財務部、銷售部和會議室；三樓主要是技術部、制造部和后勤服務區(qū)。按照上海晟奧軟件科技公司的要求 ，公司有五個部門，分別是銷售部、管理部、技術部、財務部和制造部，整個公司分為總公司和分公司，總公司和分公司之間的信息傳遞是加密的。另外，公司分內(nèi)網(wǎng)與外網(wǎng)，內(nèi)網(wǎng)設有各種服務器，僅供公司內(nèi)部人員使用。但是公司員工都可以上外網(wǎng)。公司內(nèi)部與外部之間設有防火墻，公司外部人員只可以通過公司設置的專 門的服務器來訪問公司的有限資源。公司需要管理五個部門，所以采用基于樹型的星型結構。針對以上要求，制定了如下的網(wǎng)絡設計方案： (1) 核心層：核心層交換機需要具備足夠多的端口，以便提供服務；要能實現(xiàn)多種網(wǎng)絡帶寬及介質(zhì)的連接能力；具有擴展訪問控制列表的功能；具備 VLAN 劃分及三層交換能力；具備足夠的萬兆擴展能力。另外，在核心交換機中使用端口聚合提高帶寬和可靠性。 (2) 匯聚層：匯聚層交換機需要具備核心交換機上述所具備的性能； 具備三層交換能力； VLAN間路由；具有擴展訪問控制列表功能，保證公司各部門之間安全訪問。 (3) 接入層：接入 層為用戶提供在本地網(wǎng)段訪問網(wǎng)絡的能力；實現(xiàn)對每臺接入計算機的控制；接入層交換機配置 VLAN 實現(xiàn)各區(qū)域間安全隔離。 (4) 網(wǎng)絡管理：在公司網(wǎng)絡 里，服務器及網(wǎng)絡設備是網(wǎng)絡應用系統(tǒng)的關鍵設備，需要保證 24小時不間斷的運行，因此需要有專門的系統(tǒng)管理員來負責管理和監(jiān)控。為了減輕系統(tǒng)管理的環(huán)節(jié)，需要建立監(jiān)控系統(tǒng)，使得系統(tǒng)管理員能夠在任何時間、任何地點都可以查看網(wǎng)絡系統(tǒng)的運行狀況。本網(wǎng)絡使用網(wǎng)絡管理軟件， IDS 實時監(jiān)控網(wǎng)絡的運行狀態(tài) [6]。 (5) 網(wǎng)絡安全：在公司的建設中，網(wǎng)絡建設尤為重要，而在整個公司網(wǎng)絡建設中，安全性的設計是最重 要的。必須保護其網(wǎng)絡系統(tǒng)，避免受外來惡意性入侵， 本網(wǎng)絡在互聯(lián)網(wǎng)出口使用防火墻來實現(xiàn)網(wǎng)絡通信的安全性，另外每個核心交換機的登錄也配置了安全通道，確保最大限度的安全。 合肥學院計算機科學與技術系畢業(yè)論文 14 (6) 服務器：上海晟奧軟件科技公司網(wǎng)絡的設計與規(guī)劃包括了基本的園區(qū)網(wǎng)服務器的配置，其中包括基本的域名解析即 DNS 服務、 動態(tài)主機配置 DHCP 服務、 FTP 服務器、電子郵件服務器和 基本的網(wǎng)絡互聯(lián)網(wǎng)功能的 WWW 服務。 網(wǎng)絡總體拓撲規(guī)劃設計 本方案的網(wǎng)絡拓撲主要采用樹形拓撲圖結構，樹型拓撲是一種分級結構。在樹型結構網(wǎng)絡中，任意兩個結點之間不會產(chǎn)生回路，每 條通路都支持雙向傳輸。這種結構的優(yōu)點是擴充方便、靈活，而且成本低，適合分主次或分等級的層次型管理系統(tǒng)。本網(wǎng)絡采用樹型拓撲結構，是因為它具有非常好的可擴展性，適用于構建網(wǎng)絡主干，所以適合作為網(wǎng)絡布線系統(tǒng)的網(wǎng)絡拓撲，適合本網(wǎng)絡方案的設計。 以下即是本網(wǎng)絡的拓撲圖： 圖 31 上海晟奧軟件科技公司網(wǎng)絡拓撲圖 網(wǎng)絡 主要設備和布線設計 主要設備 合肥學院計算機科學與技術系畢業(yè)論文 15 在仔細分析了上海晟奧軟件科技公司的網(wǎng)絡功能的需求以及實際的布線系統(tǒng)情況后，各部門的接入設備需選擇同一型號的設備，這樣便于公司統(tǒng)一管理。所有的網(wǎng)絡設備 對技術都有嚴格的要求，公司本身規(guī)模較大，所以需進入一批具有廣泛性和先進性的網(wǎng)絡設備，先進的設備增強了公司的硬件功能，更能滿足公司現(xiàn)有的 PC 機設備的高速接入，因此具有良好的可升級性和可擴展性。最后，網(wǎng)絡設備除了要滿足公司所需所有功能和性能之外，還應當具有良好的性價比。設備選型如下： （ 1）服務器選型 IBM System x3650 M2 的設計非常強大，主要體現(xiàn)在技術和設計上，技術久經(jīng)考驗，采用節(jié)能智能型的設計。它的強大的 2U 服務器采用了 QuickPath Interconnect 技術，其中，英特爾至強 5500 系列的處理器為它提供四核運算，通過它的節(jié)能智能型的特性設計成功耗低的組件，使它的性能功耗比相比上一代服務器有了大幅度的提升。 IBM System x3650 M2 主要是提供技術先進的虛擬化功能，支持虛擬化解決方案。此外，它還提供了卓越的每個內(nèi)核的內(nèi)存容量，這樣就能虛擬化更加高效地和經(jīng)濟地進行。 IBM 易捷優(yōu)勢產(chǎn)品組合 TM 的一部分是 IBM System x3650 M2 的指定配置，設計是充分考慮