【導(dǎo)讀】本項目建議書來自對于北京廣播電臺的不完全認識。僅從規(guī)劃和實際技術(shù)角度討論項目的拓撲和其他可能變化。北京廣播電臺網(wǎng)絡(luò)經(jīng)過五年的建設(shè)，已經(jīng)具有相當?shù)囊?guī)模。該層面包含了兩個功能，一個是網(wǎng)絡(luò)安全用的行為審計設(shè)備，另外一個是流量均衡設(shè)備。行為審計設(shè)備用以限制內(nèi)部和外部使用者的行為，某些具有明顯惡意行為的數(shù)據(jù)包將會使用簽名比對的方式進行查找并且丟棄，同時提供了針對某些協(xié)議和應(yīng)用的封閉能力，可能包括下載工具和流媒體。流量均衡設(shè)備目前使用Radwear的主動型流量均衡器，設(shè)備通過對外散布ICMP小包，并且統(tǒng)計回環(huán)延時的方式來確定前往特定目的地的最佳路徑。網(wǎng)絡(luò)邊緣層主要是各樓層接入交換機組成。接入交換機匯聚客戶流量，并在網(wǎng)絡(luò)二層防護方面發(fā)揮積極作用。核心進行小幅的調(diào)整，用以提高整個網(wǎng)絡(luò)的可靠性水平和可管理能力。同時，將核心設(shè)備上的防火墻模塊轉(zhuǎn)移到CiscoCata

　　

【正文】 人員都對網(wǎng)絡(luò)有著更高需求，在網(wǎng)絡(luò)上同時運行多個應(yīng)用。例如，一位員工通過IP視頻會議而參加小組會議，向與會者發(fā)送一個10MB的電子表格，將最新營銷視頻廣播給整個小組以供評估，此外還查詢客戶關(guān)系管理(CRM)數(shù)據(jù)庫，以獲得最新實時反饋。同時，后臺開始了一個多GB的系統(tǒng)備份，并向客戶端提供最新防病毒軟件的升級。當今的網(wǎng)絡(luò)正在不斷發(fā)展，在網(wǎng)絡(luò)邊緣出現(xiàn)了四種新趨勢： 桌面計算能力提高 帶寬密集型應(yīng)用出現(xiàn) 高敏感數(shù)據(jù)在網(wǎng)絡(luò)中擴展 出現(xiàn)了多種設(shè)備類型，如IP電話、WLAN接入點和IP視頻攝像頭 這些新需求正與許多已有關(guān)鍵任務(wù)應(yīng)用爭奪資源。因此，IT專業(yè)人員必須將網(wǎng)絡(luò)邊緣看作有效管理信息和應(yīng)用的提供的關(guān)鍵。隨著公司日益依賴網(wǎng)絡(luò)，將其作為戰(zhàn)略性業(yè)務(wù)基礎(chǔ)設(shè)施，確保網(wǎng)絡(luò)的高可用性、安全性、可擴展性和對它的全面控制就比以前更為重要。通過為LAN接入添加思科智能功能，客戶現(xiàn)可部署遍布整個網(wǎng)絡(luò)的智能服務(wù)，從而一致地滿足從桌面到核心再到WAN的要求。通過Cisco Catalyst智能以太網(wǎng)交換機，思科可幫助公司獲得向其網(wǎng)絡(luò)添加智能服務(wù)的全面優(yōu)勢。為進一步優(yōu)化網(wǎng)絡(luò)運行，部署具備以下特性的功能是十分關(guān)鍵的：能使網(wǎng)絡(luò)基礎(chǔ)設(shè)施高度可用以達到關(guān)鍵時間要求、可擴展以便于公司發(fā)展、高度安全以保護保密信息，且能區(qū)分和控制流量。憑借Cisco Catalyst 2960系列提供的廣泛安全特性，企業(yè)可保護重要信息，防止未授權(quán)人員接入網(wǎng)絡(luò)，確保私密性及維持不間斷運行。思科基于身份的網(wǎng)絡(luò)服務(wù)(IBNS)解決方案提供了身份驗證、訪問控制和安全策略管理，可保護網(wǎng)絡(luò)連接和資源。Catalyst 2960系列中的IBNS可防止未授權(quán)接入，并確保用戶只獲得其指定權(quán)利。它能動態(tài)管理網(wǎng)絡(luò)接入的具體層次。（ACS），無論用戶在何處連接到網(wǎng)絡(luò)中，都可在驗證基礎(chǔ)上分配到一個VLAN。此設(shè)置使IT部門能在不影響用戶移動性的情況下，以最低管理開銷實施強大的安全策略。為防止拒絕服務(wù)攻擊和其他攻擊，可用ACL根據(jù)源和目的地MAC地址、IP地址或TCP/UDP端口來拒絕分組，從而限制對網(wǎng)絡(luò)敏感部分的訪問。ACL查詢在硬件中完成，故此在實施基于ACL的安全性時不會影響轉(zhuǎn)發(fā)性能。端口安全性可根據(jù)與以太網(wǎng)端口相連的設(shè)備的MAC地址，來限制以太網(wǎng)端口上的訪問。它也可用于限制插入一個交換機端口的總設(shè)備數(shù)目，因此可使交換機免遭MAC泛洪攻擊，降低了惡意無線接入點或集線器接入的風(fēng)險。憑借動態(tài)主機配置協(xié)議(DHCP)監(jiān)聽，可以只允許來自不可信用戶端口的DHCP請求（但不允許響應(yīng)）進入網(wǎng)絡(luò)，從而防止DHCP電子欺騙。此外，DHCP接口跟蹤器(選項82) 特性可為主機IP地址請求添加交換機端口ID，有助于實現(xiàn)對于IP地址分配的精確控制。MAC地址通知特性可向管理站發(fā)送報警，從而監(jiān)控網(wǎng)絡(luò)和跟蹤用戶，以使網(wǎng)絡(luò)管理員知道用戶何時、從何處進入網(wǎng)絡(luò)。SSHv2和SNMPv3對管理和網(wǎng)絡(luò)管理信息加密，保護網(wǎng)絡(luò)免遭干擾或竊聽。TACACS+或RADIUS驗證實現(xiàn)了交換機的集中訪問控制，并限制未授權(quán)用戶改變配置。此外，可在交換機上配置本地用戶名和密碼數(shù)據(jù)庫。交換機控制臺上的15個授權(quán)級別和Web管理界面上的2個級別提供了向不同管理員分配不同配置功能級別的能力。Cisco Catalyst 2960提供了出色的多層QoS特性，確保網(wǎng)絡(luò)流量進行了分類和優(yōu)先級劃分，并以最好的方式避免了擁塞。QoS的配置通過自動QoS（Auto QoS）大大得到了簡化，這是一個可發(fā)現(xiàn)思科IP電話并自動配置交換機以進行正確分類和輸出排序的特性。這優(yōu)化了流量優(yōu)先級劃分和網(wǎng)絡(luò)可用性，且不會帶來復(fù)雜配置的問題。Catalyst 2960可對進入的分組分類、再分類、監(jiān)管、標記、排序和排程，并能在出口處對分組排序和排程。分組分類使網(wǎng)絡(luò)元素可區(qū)分不同流量，并根據(jù)第二層和第三層QoS實施策略。為實現(xiàn)QoS，Catalyst 2960系列交換機首先確認分組或流量組，（CoS）字段對這些組分類和再分類。分類和再分類可根據(jù)源或目的地IP地址、源或目的地MAC地址或者第4層TCP/UDP端口等標準進行。在入口，Catalyst 2960也將進行監(jiān)管，以確定分組是在小組內(nèi)還是在小組外，標記以改變分類標簽，傳輸或丟棄小組分組，并根據(jù)類別對分組排序。所有端口上都支持控制平面和數(shù)據(jù)平面ACL，確保每個分組得到正確的處理。Cisco Catalyst 2960支持每端口4個輸出隊列，使網(wǎng)絡(luò)管理員能更好地進行控制，為LAN上的各種應(yīng)用分配優(yōu)先級。在出口，交換機執(zhí)行排程和擁塞控制。排程是一種確定隊列處理順序的算法或進程。Catalyst 2960系列交換機支持整形循環(huán)（SRR）和嚴格優(yōu)先級隊列。SRR算法有助于確保個性化優(yōu)先級劃分。這些QoS特性使網(wǎng)絡(luò)管理員能將關(guān)鍵任務(wù)和帶寬密集型流量劃為較高優(yōu)先級，其中包括企業(yè)資源規(guī)劃（ERP）、語音（IP電話流量）和計算機輔助設(shè)計及制造（CAD/CAM）等，而將FTP或電子郵件等對應(yīng)用劃為較低優(yōu)先級。例如，下載一個目的地為交換機上某一端口的大型文件，而這會增加目的地為此交換機上另一端口的語音流量的延遲，這種情況是用戶極為不愿看到的。通過確保語音流量在網(wǎng)絡(luò)中得到正確分類和優(yōu)先級劃分，可避免此情況。Web瀏覽等其他應(yīng)用則可作為較低優(yōu)先級對待。Catalyst 2960系列能通過對思科承諾信息速率（CIR）功能的支持而執(zhí)行速率限制。通過CIR，能以低至8kbps的增量保證帶寬。帶寬的分配根據(jù)若干標準進行，包括MAC源地址、MAC目的地地址、IP源地址、IP目的地地址和TCP/UDP端口號。在需服務(wù)級別協(xié)議的網(wǎng)絡(luò)環(huán)境中或需控制授予某些用戶的帶寬時，帶寬分配非常重要。新的思科快速設(shè)置特性簡化了交換機的初始配置。用戶現(xiàn)可選擇通過Web瀏覽器設(shè)置交換機，無需更多復(fù)雜的終端模擬程序和命令行界面（CLI）?？焖僭O(shè)置允許沒有豐富技術(shù)知識的人員簡單、快速地設(shè)置交換機，從而降低了部署成本。思科網(wǎng)絡(luò)助理是一個基于PC的網(wǎng)絡(luò)管理應(yīng)用，適用于用戶數(shù)目不超過250名的LAN。思科網(wǎng)絡(luò)助理為思科交換機、路由器和WLAN接入點提供了集中管理。它支持范圍廣泛的Cisco Catalyst 智能交換機－從Cisco Catalyst 2960直至Cisco Catalyst 4506。通過一個便于使用的GUI，用戶可以配置和管理多種交換機功能，啟動思科路由器和思科無線接入點的設(shè)備管理器。只需點擊幾次鼠標，即能實施思科建議的安全性、可用性和QoS特性，無需查詢具體的設(shè)計指南。安全向?qū)Э勺詣酉拗茖τ谟忻舾袛?shù)據(jù)的服務(wù)器的未授權(quán)訪問。Smartports和向?qū)芄?jié)約網(wǎng)絡(luò)管理員數(shù)小時的時間、消除人為錯誤，并有助于確保交換機的配置針對這些應(yīng)用進行了優(yōu)化。思科網(wǎng)絡(luò)助理可從思科網(wǎng)站上免費下載。除思科網(wǎng)絡(luò)助理之外，Catalyst 2960系列交換機還使用CiscoWorks for Switched Internetworks等SNMP網(wǎng)絡(luò)管理平臺實現(xiàn)了擴展管理。通過CiscoWorks，可配置和管理Cisco Catalyst交換機，提供端到端的設(shè)備、VLAN、流量和策略管理。此外，一款基于Web的管理工具，CiscoWorks Resource Manager Essentials，能進行自動庫收集、軟件部署、方便地跟蹤網(wǎng)絡(luò)變化、查看設(shè)備可用性和快速隔離故障區(qū)。