【導(dǎo)讀】中小型企業(yè)的網(wǎng)絡(luò)管理模式方案設(shè)計(jì)。二○一○年十一月二十五日

　　

【正文】 將端口激活。 ⑸ 應(yīng)用系統(tǒng)的訪問限制 可以 根據(jù)公司的應(yīng)用需求，在匯聚層的多層交換機(jī)上實(shí)施訪問控制，限制園區(qū)網(wǎng)用戶對(duì)特定應(yīng)用系統(tǒng)的訪問，或者只允許特定的用戶訪問某些資源。 ⑹ 因特網(wǎng)的接入安全控制 因特網(wǎng)的接入安全控制是非常重要的，不僅需要布置防火墻等安全設(shè)備，還要指定嚴(yán)格的安全策略。 第四章、路由交換部分的設(shè)計(jì) 為了使 公司 園區(qū)網(wǎng)高效、穩(wěn)定的運(yùn)行，便于管理與維護(hù)，對(duì)局域網(wǎng)交換和路由技術(shù)的相關(guān)方面進(jìn)行了規(guī)范設(shè)計(jì)，包括 VTP、 VLAN、 STP、 TRUNK、ETHERCHANNEL， HSRP， VPN 等。每一臺(tái)都連接所有的匯聚層交換機(jī)，但相互之間并不連接（提高網(wǎng)絡(luò)的故障收斂速度）。作為二層的核心，只保證數(shù)據(jù)的高速轉(zhuǎn)發(fā)。網(wǎng)絡(luò)的可靠性由匯聚層的路由協(xié)議提供保證。 ． VLAN 設(shè)計(jì)規(guī)范 公司 內(nèi)的局域網(wǎng)進(jìn)行 VLAN 劃分 ,可以減少網(wǎng)絡(luò)內(nèi)的廣播數(shù)據(jù)包 ,提高網(wǎng)絡(luò)運(yùn)行效率 ?？梢詤^(qū)分不同的應(yīng)用和用戶 ,方便集團(tuán)的管理與維護(hù) . 冗余電源 Cisco6509 系列以太網(wǎng)交換機(jī)提供了 RPS 電源備份接口，可以對(duì)設(shè)備提供一對(duì)一的電源備份和保護(hù)，也可以以一路直流電源對(duì)多臺(tái)支持 RPS 接口的設(shè)備 進(jìn)行 23 備份和保護(hù)。 生成樹（ STP/RSTP/MSTP） Cisco6509 系列以太網(wǎng)交換機(jī)支持 STP/RSTP/MSTP 生成樹協(xié)議。 生成樹協(xié)議主要用來建立和維護(hù)局域網(wǎng)的拓?fù)?，消除循環(huán)連接導(dǎo)致的網(wǎng)絡(luò)廣播風(fēng)暴，并且提供網(wǎng)絡(luò)的拓?fù)涞娜哂鄠浞莨δ?，平時(shí)作為備份的路徑被阻塞，當(dāng)主用路徑網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時(shí)，能夠及時(shí)調(diào)整端口狀態(tài)，調(diào)整網(wǎng)絡(luò)拓?fù)洹? 生成樹協(xié)議的工作原理：網(wǎng)絡(luò)中的橋接設(shè)備根據(jù)設(shè)定的優(yōu)先值和 MAC 地址，確定最優(yōu)先的設(shè)備為網(wǎng)絡(luò)的根橋，根橋向外定時(shí)發(fā)送 Config BPDU 報(bào)文，每個(gè)收到該報(bào) 文的交換機(jī)將報(bào)文內(nèi)容根據(jù)自身的配置和所掌握的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)進(jìn)行更新下發(fā)到其他端口，當(dāng)一個(gè)交換機(jī)從兩個(gè)或兩個(gè)以上端口接收到 Config BPDU的時(shí)候就表明網(wǎng)絡(luò)中存在循環(huán)，保留其中一個(gè)端口為轉(zhuǎn)發(fā)狀態(tài)，設(shè)置其余端口為阻塞狀態(tài)。 除了支持傳統(tǒng)的生成樹協(xié)議外， Cisco6509 系列以太網(wǎng)交換機(jī)還支持 IEEE 快速生成樹協(xié)議 (RSTP)，以及 多生成樹協(xié)議（ MSTP）?？焖偕蓸鋮f(xié)議是生成樹協(xié)議的改進(jìn)，在原有功能的基礎(chǔ)上提高了網(wǎng)絡(luò)保護(hù)的性能。傳統(tǒng)生成樹倒換時(shí)間為 42s，從發(fā)現(xiàn)鏈路斷裂、數(shù)據(jù) 中斷到數(shù)據(jù)恢復(fù)至少需要三十多秒的時(shí)間，而快速生成樹協(xié)議只需 6～ 8 秒的時(shí)間就可以將數(shù)據(jù)流切換到備份鏈路上。 多生成樹協(xié)議（ MSTP）可以通過支持一個(gè)網(wǎng)絡(luò)內(nèi)的多個(gè)生成樹，這使管理員可以把 VLAN 流量分配給唯一的通路。網(wǎng)絡(luò)管理員只要為 VLAN 分配獨(dú)立的生成樹拓?fù)?，就可以確保兩個(gè) VLAN 都能在網(wǎng)上順暢傳輸。這就可以起到均衡網(wǎng)絡(luò)流量，提高可靠性的作用。 Cisco6509 系列以太網(wǎng)交換機(jī)最大可以支持 17 個(gè)或者 33 個(gè) STP 實(shí)例。 鏈路聚合（ Link Aggregation ） 為了在以 太網(wǎng)上獲得更高的數(shù)據(jù)傳輸帶寬， Cisco6509 系列以太網(wǎng)交換機(jī)提供了二層的端口鏈路聚合功能（基于標(biāo)準(zhǔn) IEEE ）。這樣在生成樹協(xié)議（ STP）和其他二層協(xié)議上看，作了鏈路聚合的所有物理端口被視為同一個(gè)端口。在作了鏈路聚合的端口之間可以做冗余備份和負(fù)載分擔(dān)。 在實(shí)際應(yīng)用中，進(jìn)行聚合處理的端口等同于一個(gè)端口，任何轉(zhuǎn)發(fā)到聚合的端 24 口上的報(bào)文會(huì)通過對(duì)源、目的地址的邏輯運(yùn)算來分布到聚合的不同端口上。即使是多播和廣播報(bào)文也不會(huì)被復(fù)制多份，也要通過對(duì)地址的邏輯計(jì)算，將流量平衡分配到不同的端口上。 Cisco6509 系列以太網(wǎng)交換機(jī)系統(tǒng)在二層和三層對(duì)硬件查表未命中的新地址進(jìn)行監(jiān)控。如果新地址是在聚合的端口上時(shí)，根據(jù)二層和三層的不同，使用 MAC 地址或 IP地址進(jìn)行邏輯計(jì)算，根據(jù)邏輯的結(jié)果選擇相應(yīng)端口為轉(zhuǎn)發(fā)端口，發(fā)往該目的地址的幀將按照計(jì)算負(fù)載均衡后的結(jié)果進(jìn)行轉(zhuǎn)發(fā)，實(shí)現(xiàn)端口之間負(fù)載均衡和冗余保護(hù)，保證數(shù)據(jù)流不出現(xiàn)亂序現(xiàn)象。 HSRP HSRP 是 CISCO 公司是所特有的。 HSRP 向主機(jī)提供了缺省網(wǎng)關(guān)的冗余性，減少了主機(jī)維護(hù)路由表的任務(wù)。當(dāng)網(wǎng)絡(luò)邊緣設(shè)備或接入電路出現(xiàn)故障時(shí)， HSRP 提供了一個(gè)較好 的解決方案，它能夠確保用戶通信迅速并透明地恢復(fù)，以此為 IP 網(wǎng)絡(luò)提供冗余性、容錯(cuò)和增強(qiáng)的路由選擇功能。通過使用熱備份路由份協(xié)議（ HSRP），可使網(wǎng)絡(luò)對(duì)最終用戶的可用性得到充分的保證。另外，通過多個(gè)熱備份組，路由器可以提供冗余備份，并在不同的 IP 子網(wǎng)上實(shí)現(xiàn)負(fù)載分擔(dān)。 公司 園區(qū)網(wǎng)的 IP 地址規(guī)范中規(guī)定：網(wǎng)關(guān)的地址統(tǒng)一使用子網(wǎng)的最后一個(gè)可用地址。啟用 HSRP 協(xié)議之后，這個(gè)地址就是 HSRP 的虛擬地址 。 在成對(duì)的兩臺(tái)匯聚層多層交換機(jī)上，具體的 HSRP 配置規(guī)范如下： 1． 接口的 IP 地址：在第一臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP地址是子網(wǎng)的最后第三個(gè)可用地址，在第二臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第二個(gè)可用地址。 2．熱備份組號(hào)：熱備份組號(hào)與接口的 VLAN 號(hào)相同。 3．熱備份地址：熱備份地址是子網(wǎng)的最后一個(gè)可用地址。 4．熱備份優(yōu)先級(jí)：在主用的多層交換機(jī)了，某個(gè) VLAN 虛擬接口的熱備份優(yōu)先級(jí)是 120。并且主用的匯聚層交換機(jī)配置占先權(quán)。 等價(jià)路由（ ECMP） 除了從設(shè)備級(jí)支持三層轉(zhuǎn)發(fā)容錯(cuò)協(xié)議 VRRP 之外， Cisco6509 系列以太網(wǎng)路由交換機(jī)還支持等價(jià)路由（ ECMP）。等價(jià)路由 即為到達(dá)同一個(gè)目的 IP 或者目的網(wǎng)段 25 存在多條 Cost 值相等的不同路由路徑，當(dāng)設(shè)備支持等價(jià)路由時(shí)，發(fā)往該目的 IP或者目的網(wǎng)段的三層轉(zhuǎn)發(fā)流量就可以通過不同的路徑分擔(dān)，實(shí)現(xiàn)網(wǎng)絡(luò)的負(fù)載均衡，并在其中某些路徑出現(xiàn)故障時(shí)，由其它路徑代替完成轉(zhuǎn)發(fā)處理，實(shí)現(xiàn)路由冗余備份功能。 不僅從軟件上，而且從硬件上也支持等價(jià)路由是 Cisco6509 系列以太網(wǎng)路由交換機(jī)與業(yè)界類似產(chǎn)品相比顯著的優(yōu)點(diǎn)。以前部分路由交換機(jī)雖然也宣稱支持等價(jià)路由，但實(shí)際上只是從軟件上支持，對(duì)軟件轉(zhuǎn)發(fā)的報(bào)文可以使用等價(jià)路由，但對(duì)于由硬件直接轉(zhuǎn)發(fā)的報(bào)文，則只能 從一條固定路徑轉(zhuǎn)發(fā)。而 Cisco6509 系列以太網(wǎng)路由交換機(jī)從硬件上也實(shí)現(xiàn)了等價(jià)路由的支持，真正實(shí)現(xiàn)了硬件三層轉(zhuǎn)發(fā)流量的負(fù)載分擔(dān)與路由冗余備份。 Cisco6509系列以太網(wǎng)路由交換機(jī)最大支持 4條等價(jià)路由，并且不論 RIP、 OSPF等路由協(xié)議產(chǎn)生的路由，還是靜態(tài)配置路由，不論是網(wǎng)段路由還是主機(jī)路由，甚至缺省路由，都可以支持等價(jià)路由。 Cisco6509 系列以太網(wǎng)路由交換機(jī)在支持等價(jià)路由、實(shí)現(xiàn)負(fù)載均衡的同時(shí)，還能很好地保證報(bào)文的有序性。通過數(shù)據(jù)流的目的 IP地址和源 IP地址進(jìn)行計(jì)算，Cisco6509 系列以太網(wǎng)路由交換機(jī)可以保證同一個(gè) IP 轉(zhuǎn)發(fā)流都從同一個(gè)路由路徑被轉(zhuǎn)發(fā)出去，從而保證了整個(gè)端到端網(wǎng)絡(luò)的路由報(bào)文轉(zhuǎn)發(fā)的有序性，避免了TCP 全局同步等問題的發(fā)生。 策略路由（ PBR） Cisco6509 系列以太網(wǎng)路由交換機(jī)支持高性能的策略路由。策略路由（ PolicyBased Routing，簡(jiǎn)稱 PBR）是目前越來越多的路由器或三層交換機(jī)設(shè)備正在支持的一項(xiàng)路由擴(kuò)展功能，支持策略路由的設(shè)備不僅能以報(bào)文的目的 IP地址為依據(jù)來進(jìn)行路由選擇，還可以以報(bào)文的源 IP 地址、源 MAC 地址、報(bào)文大小、 報(bào)文進(jìn)入的端口、報(bào)文類型、報(bào)文的 VLAN 屬性等等其它擴(kuò)展條件來選擇路由。通過合理的路由策略設(shè)計(jì)，可以實(shí)現(xiàn)網(wǎng)絡(luò)流量的負(fù)載均衡，充分利用路由設(shè)備，并實(shí)現(xiàn)路由、交換設(shè)備之間的冗余備份功能，同時(shí)提供各種可以區(qū)分的服務(wù)等級(jí)，為不同用戶提供不同的 QoS 服務(wù)。策略路由是設(shè)置在接收?qǐng)?bào)文接口而不是發(fā)送接口。 Cisco6509 系列以太網(wǎng)路由交換機(jī)可以很好地支持策略路由功能，并且可以將路由下一跳重定向到某個(gè)物理端口，或者某個(gè)下一跳 IP 地址。 26 VPN Cisco6509 系列以太網(wǎng)路由交換機(jī)支持 VPN,VPN（虛擬專網(wǎng)） 是利用公共網(wǎng)絡(luò)資源 (如公用電信網(wǎng) )為客戶組建專用網(wǎng)的一種技術(shù)，它通過對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行封包和加密傳輸，在公網(wǎng)上傳輸私有數(shù)據(jù)，達(dá)到私有網(wǎng)絡(luò)的安全級(jí)別，從而利用公網(wǎng)構(gòu)筑專網(wǎng)（即 VPN）。它是一種邏輯上的專用網(wǎng)絡(luò)，向用戶提供專用網(wǎng)絡(luò)所具有的功能，但本身卻不是一個(gè)獨(dú)立的物理網(wǎng)絡(luò)。 總 結(jié) 需要說明的是，一個(gè)完整的企業(yè)網(wǎng)網(wǎng)絡(luò)系統(tǒng)不僅只包含上述的設(shè)備或系統(tǒng)，還包括像入侵檢測(cè)系統(tǒng)等其它的系統(tǒng)組成部分。限于知識(shí)水平，在此就不再寫了。由于企業(yè)網(wǎng)功能齊全，技術(shù)含量高，接觸面廣，在網(wǎng)絡(luò)設(shè)計(jì)、規(guī)劃和建設(shè)中都非常復(fù)雜，在論述中不可能 面面具到，同時(shí)也由于本人的知識(shí)水平有限，文中的不足和錯(cuò)誤在所難免，敬請(qǐng)各位老師多多指點(diǎn)和更正。 主要參考文獻(xiàn)資料 : 張立云主編：《計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)教程》清華大學(xué)出版社， 2020 年 4 月第一版 Cisco System：《思科網(wǎng)絡(luò)技術(shù)學(xué)院教程》（第一，二學(xué)期）人民郵電出版社， 2020 年 7 月第一版 Cisco System：《思科網(wǎng)絡(luò)技術(shù)學(xué)院教程》（第三，四學(xué)期）人民郵電出版 27 社， 2020 年 7 月第一版 Karen Webb 主編：《組建 Cisco 多層交換網(wǎng)絡(luò)》人民郵電出版社， 2020 年9 月第五版 來自 INTERNET 上的相關(guān)網(wǎng)頁 致 謝 本設(shè)計(jì)是在 XXX 學(xué)院老師的指導(dǎo)下完成的，還得到了多位老師的指點(diǎn)與幫助，我在此對(duì)傳授我知識(shí)的各位老師表示崇高的敬意和誠(chéng)摯的謝意。 28 評(píng) 語： (本表由指導(dǎo)老師在畢業(yè)答辯進(jìn)行之前，根據(jù)該生進(jìn)行畢業(yè)設(shè)計(jì) (論文 )情況及畢業(yè)設(shè)計(jì)說明書 (論文 )撰寫內(nèi)容等填寫優(yōu)秀、良好、中等、及格、不及格相應(yīng)等次的評(píng)語。 ) 指導(dǎo)教師 _________________ __________________ 畢業(yè)設(shè)計(jì)（論文）起止日期： ___年 __月 __日 至 ___年 __月 __日 29 畢業(yè)答辯成績(jī)： (本表由參加答辯的評(píng)委根據(jù)學(xué)生答辯情況如實(shí)填寫優(yōu)秀、良好、中等、及格、不及格相應(yīng)等次的評(píng)語。 ) 評(píng) 語： 批閱評(píng)委 ______________（簽字） 答辯委員會(huì)主任 _______________（簽字） ____年 ___月 ___日 30