【正文】 VPN效果驗證圖57 VPN連通性驗證 如圖所示，路由器R1以loopback 0端口為起點，向目標路由器發(fā)。 外地分公司R4訪問服務(wù)器圖55外地分公司接入路由器向服務(wù)器發(fā)送數(shù)據(jù)請求如圖55所示，外地分公司網(wǎng)絡(luò)用戶向本地服務(wù)器發(fā)送數(shù)據(jù)請求，測試結(jié)果暢通。此路由表信息顯示，在交換機FB1上，本網(wǎng)絡(luò)內(nèi)部的所有VLAN均可達。 匯聚層交換機FB1路由表圖53 匯聚層交換機FB1路由表匯聚層交換機FB1及FBFBFB4是本網(wǎng)絡(luò)匯聚交換機，圖53中,“C(connected) ”及“D(eigrp) ”、 “D(eigrp) ”、 “D(eigrp) ”VLAN信息路由條目。其余“D(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在路由器R1上，本網(wǎng)絡(luò)所涉及的所有網(wǎng)段均可達。5系統(tǒng)試運行6竣工交驗第5章 網(wǎng)絡(luò)效果驗證 關(guān)鍵三層設(shè)備路由表 接入路由器R1路由表圖51 接入路由器R1路由表路由器R1及R2是本網(wǎng)絡(luò)接入路由器,圖51中,“O(ospf)”路由條目為電信、網(wǎng)通運營商為本網(wǎng)絡(luò)提供的路由信息。固定：按照說明書中提供的方式、尺寸，正確安裝固定和末端裝置及設(shè)備，安裝后，檢查是否正確，是否牢固。如在合同范圍內(nèi)，不達到要求的地方一定返工，直到達到要求為止。6絕對保證施工的安全 施工完成后質(zhì)量的檢查和驗收施工完成后，雙方派出有關(guān)人員進行全面的質(zhì)量檢查，進行系統(tǒng)的總驗收。選擇質(zhì)量可靠、性能良好的設(shè)備及材料、嚴格按合同進貨、貨到后有雙方工程負責(zé)人一同驗收。我們將用明文確定貴校工程的項目負責(zé)團隊，明確權(quán)利和責(zé)任，在組織上一定保證工程的進度和質(zhì)量。這里全部工作在100Mbps.圖7 分布層交換機FB1(config)ip classlessFB1(config)ip subnetzero以實現(xiàn)對無類網(wǎng)絡(luò)和全零子網(wǎng)的支持（見圖7） 施工管理 施工前準備 合同簽訂后，客戶和公司雙方派出項目負責(zé)人，共同協(xié)商制訂施工要求的原則性文件，通過后，一切照文件實行。SW1(config)interface range fastethernet0/124SW1(configifrange)speed 100可以設(shè)定某端口根據(jù)對端設(shè)備速度自動調(diào)整本端口速度，也可以強制將端口速度設(shè)為10Mpbs或100Mbps。因為路由器和交換機接口的雙工模式必須匹配才可通信。HX2(config)line vty 0 4進入VTY線程下HX2(configline)password ca1配置遠程訪問交換機的密碼HX2(configline)login登陸驗證HX2(Configline)exectimeout 1 11配置登錄交換機虛擬終端線的超時時間為1分11秒鐘HX2(configline)line con 0HX2(configline)password ca2HX2(configline)loginHX2(configline)exectimeout 1 11R1(config)interface range E0/03R1(configifrange)duplex full可以設(shè)定某端口根據(jù)對端設(shè)備雙工類型自動調(diào)整本端口雙工模式，也可以強制將端口雙工模式設(shè)為半雙工或全雙工模式。R1(config)accesslist 112 permit ip any 創(chuàng)建訪問控制列表來抓住管理部VLAN的流量R1(config)accesslist 112 permit ip any R1(config)accesslist 112 deny該配置在連接AAA服務(wù)器的HX2上做。這需要首先啟用核心層交換機的路由功能。 根防護為了防止交換機上有接入一臺優(yōu)先級或MAC地址較小的交換機使得根被搶，要配置根防護SW1(configif)spanningtree portfast bpduguard default所有接入層交換機面向PC的端口和連接設(shè)備的端口上都要做 路由協(xié)議路由器和核心交換機之間工作在三層，所以要起路由協(xié)議，這里啟用EIGRP路由協(xié)議，由于與分公司之間設(shè)備比較少，我們只需要使用靜態(tài)路由即可。這就用到了三層冗余技術(shù)：熱備份HSRP。所以要給核心層交換機做備份做冗余。由于4000個結(jié)點的網(wǎng)絡(luò)比較大，為每一臺PC手工配置地址的工作量相當(dāng)大，所以我們要使用DHCP技術(shù)。HX1(config)spanningtree mode pvst開啟PVST生成樹模式HX1(config)spanningtree vlan 10，20，30 root primary將HX1設(shè)置為VLAN 10 20 30的主根HX1(config)spanningtree vlan 40，50，60 root secondary將HX1設(shè)置為VLAN 40 50 60的備份根HX2(config)spanningtree mode pvstHX2(config)spanningtree vlan 40，50，60 root primaryHX2(config)spanningtree vlan 10，20，30 root secondary PVST的三個FAST由于只啟用PVST后根切換時生成樹接口從阻塞狀態(tài)到轉(zhuǎn)發(fā)狀態(tài)速度會很慢，采用PORTFAST,UPLINKFAST,BACKBONEFAST三個FAST會大大縮短狀態(tài)轉(zhuǎn)換的時間，提高效率。而服務(wù)器模式擁有以上的所用功能。Pruning switched ONFB1(vlan)apply 應(yīng)用以上配置APPLY pleted.FB1(vlan)exit退出VLAN配置模式進入特權(quán)模式APPLY pleted.Exiting....在其他所有的交換機上都要做VTP配置，我們以FB2為例（見圖3）圖3 分布層設(shè)備FB2FB2vlan daFB2(vlan)vtp domain ciscoChanging VTP domain name from NULL to ciscoFB2(vlan)vtp client將FB2設(shè)置為客戶端，客戶端可以學(xué)習(xí)到服務(wù)端的所有VLAN信息?！　≡谝粋€VTP域下，只需要在VTP服務(wù)器上激活VTP剪裁功能。這時，可以激活主干道上的VTP剪裁功能。（見圖2） 圖2 分布層設(shè)備FB1FB1vlan database 特權(quán)模式下進入VLAN設(shè)置模式(小凡模擬器特有)FB1(vlan)vtp domain cisco定義VTP域名Changing VTP domain name from NULL to ciscoFB1(vlan)vtp server 將該交換機設(shè)置為VTP的服務(wù)端Device mode already VTP SERVER.FB1(vlan)vtp v2mode 啟用的VTP版本號為2V2 mode enabled.FB1(vlan)vtp password 123456設(shè)置VTP的密碼為123456，交換機的VTP必須密碼一致才能同步Setting device VLAN database password to 123456.FB1(vlan)vtp pruning 啟用VTP修剪，激活VTP剪裁功能，默認情況下主干道傳輸所有VLAN的用戶數(shù)據(jù)。將分布層FB1設(shè)置成為VTP服務(wù)器，其他交換機設(shè)置成為VTP客戶機。以上配置為路由器和交換機的基本配置，有方便管理防止出錯的作用，所以每臺設(shè)備上都要配置。 基礎(chǔ)配置這里以接入層交換機SW1為例（見圖1） 圖1 接入層設(shè)備Switchen進入特權(quán)模式Switchconf t進入全局模式Enter configuration mands, one per line. End with CNTL/Z.此注釋說明在全局模式下直接按CNTL+Z可以進入特權(quán)模式Switch(config)hostname SW1修改路由器或者交換機的名字，方便管理SW1(config)no ip domain lookup 關(guān)閉域名查詢 啟用與禁止DNS服務(wù)器，在交換機默認配置的情況下，當(dāng)我們輸入一條錯誤的交換機命令時，交換機會嘗試將其廣播給網(wǎng)絡(luò)上的DNS服務(wù)器并將其解析成對應(yīng)的IP地址。這是一款最廉價的Cisco交換產(chǎn)品系列，為中型網(wǎng)絡(luò)和城域接入應(yīng)用提供了智能服務(wù)。憑借一系列快速以太網(wǎng)和千兆位以太網(wǎng)配置，Cisco Catalyst 3550系列堪稱一款適用于企業(yè)和城域接入應(yīng)用的強大選擇。由于這種方式能減少重復(fù)運作開支，降低擁有成本，因而能提高投資回報（ROI）。作為Cisco AVVID（集成語音、視頻和融合數(shù)據(jù)體系結(jié)構(gòu)）的關(guān)鍵組件，Cisco Catalyst 4500能夠通過智能網(wǎng)絡(luò)服務(wù)將控制擴展到網(wǎng)絡(luò)邊緣，包括高級服務(wù)質(zhì)量（QoS）、可預(yù)測性能、高級安全性、全面管理和集成式彈性。Cisco Catalyst 4500系列中提供的集成式彈性增強包括1＋1超級引擎冗余（只對Cisco Catalyst 4507R）、集成式IP電話電源、基于軟件的容錯以及1+1電源冗余?？捎眯愿叩娜诤险Z音/視頻/數(shù)據(jù)網(wǎng)絡(luò)能夠為正在部署基于互聯(lián)網(wǎng)企業(yè)應(yīng)用的企業(yè)和城域以太網(wǎng)客戶提供業(yè)務(wù)彈性。6500系列交換機為園區(qū)網(wǎng)提供了高性能、多層交換的解決方案，專門為需要千兆擴展、可用性高、多層交換的應(yīng)用環(huán)境設(shè)計，主要面向園區(qū)骨干連接等場合。Catalyst 6500系列和為企業(yè)網(wǎng)絡(luò)和服務(wù)供應(yīng)商網(wǎng)絡(luò)提供了一系列高性能多層交換解決方案。增強型QOS機制、基于硬件的GRE隧道和NAT，以及由硬件加速的基于MPLS的高性能服務(wù)；支持基于用戶的Microflow監(jiān)管，對每個用戶實施服務(wù)等級協(xié)議；采用分布式轉(zhuǎn)發(fā)模式，提供高達200Mpps的硬件IPv6能力，可以順利過渡到Internet 2和其他支持3G和PDA的通信網(wǎng)絡(luò)；配備光纖通道接口模塊滿足光纖接入需求。Supervisor Engine 720支持Catalyst 6500系列的第三代模塊，能夠為企業(yè)和電信運營商網(wǎng)絡(luò)提供先進的IP服務(wù)，并提高端口密度，因而非常適合部署在高性能的核心層、數(shù)據(jù)中心和城域網(wǎng)中。 關(guān)鍵網(wǎng)絡(luò)設(shè)備及數(shù)量核心層交換機：Cisco Catalyst 6509 交換機 2臺匯聚層交換機：Cisco Catalyst 4509 交換機 4臺接入層交換機：Cisco Catalyst 2950 24口 交換機 100臺接入路由器： Cisco 3500 路由器 4臺 關(guān)鍵網(wǎng)絡(luò)設(shè)備介紹圖 8 Cisco 6509交換機Catalyst 6509是帶有9個插槽的交換機機箱，它可以加兩個電源，可按需求配置不同功能類型的模塊（如防火墻模塊、入侵檢模塊、VPN 模塊、SSL 加速模塊、網(wǎng)絡(luò)流量分析模塊等），更靈活應(yīng)用在不同需求的網(wǎng)絡(luò)設(shè)計平臺上，提高穩(wěn)定性及安全性。交換機HX1與R1相連的接口F1/,與R2相連的接口F1/,與R3相連的接口F1/。路由器R3與HX1連接的接口F1/，與HX2連接的接口F1/，與server連接的接口F1/。辦公樓2個，行政樓1個1．劃分VLAN （見表1）2．VTP 動態(tài)學(xué)習(xí)VLAN3．PVST(選根，二層冗余)4．SVI（VLAN間路由）5．HSRP（三層冗余）6．DHCP7．根防護8．3個FAST9．靜態(tài)路由10．SITETOSITE VPN（連接分公司，固定IP）11．AAA12．PBR（20M專線）13．網(wǎng)管控制第4章 網(wǎng)絡(luò)系統(tǒng)實現(xiàn) 大型企業(yè)網(wǎng)絡(luò)拓撲圖圖 41 網(wǎng)絡(luò)拓撲圖 VLAN及IP地址的規(guī)劃 表 1 VLAN劃分VLAN號VLAN名稱IP網(wǎng)段默認網(wǎng)關(guān)說明VLAN 1GL VLAN管理VLANVLAN 10GLB 管理部VLANVLAN 20SCB 市場部VLANVLAN 30CWB 財務(wù)部VLANVLAN 40XSB 銷售部VLANVLAN 50RLZY人力資源部VLANVLAN 60WLB網(wǎng)絡(luò)部VLAN路由器R1與電信連接的接口F0/，與HX1連接的接口F1/，與HX2連接的接口F1/,與R2連接的接口F1/。管理部、財務(wù)部和網(wǎng)絡(luò)部在行政樓中；市場部在辦公樓A；銷售部和人力資源部在辦公樓B。所以現(xiàn)代的大型企業(yè)網(wǎng)絡(luò)迫切需要網(wǎng)絡(luò)設(shè)備具備支撐以應(yīng)用為中心的智能網(wǎng)絡(luò)運營維護的能力，并能夠有一套智能化的管理軟件，將網(wǎng)絡(luò)管理人員從繁重的工作中解脫出來[7]。當(dāng)前的網(wǎng)絡(luò)已經(jīng)發(fā)展成為以應(yīng)用為中心的信息基礎(chǔ)平臺，網(wǎng)絡(luò)管理能力的要求已經(jīng)上升到了業(yè)務(wù)層次，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備的智能已經(jīng)不能有效支持網(wǎng)絡(luò)管理需求的發(fā)展。在企業(yè)網(wǎng)絡(luò)已經(jīng)成為公司生產(chǎn)運營的重要組成部分的今天，現(xiàn)代企業(yè)網(wǎng)絡(luò)必須要有一整套從用戶接入控制，病毒報文識別到主動抑制的一系列安全控制手段，這樣才能有效地保證企業(yè)網(wǎng)絡(luò)的穩(wěn)定運行[7]。 網(wǎng)絡(luò)安全需求現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)提供更完善的網(wǎng)絡(luò)安全解決方案，以阻擊病毒和黑客的攻擊，減