【正文】 太網(wǎng)模塊。因此，在本方案的核心層，部署了思科網(wǎng)絡(luò)的模塊化骨干路由交換機(jī)兩臺，該交換機(jī)具有背板帶寬 32Gbps 共享總線 256Gbps交換矩陣，同時還可以配置冗余電源，管理引擎模塊， WAN 接口模塊，光服務(wù)模塊，第四到七層服務(wù)模塊，內(nèi)容服務(wù)模塊，網(wǎng)絡(luò)分析模塊和防火墻服務(wù)模塊等等可以實現(xiàn)對全網(wǎng)的數(shù)據(jù)進(jìn)行高速無阻塞的交換，負(fù)責(zé)路由管理、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)服務(wù)、核心數(shù)據(jù)處理等。 作為企業(yè)網(wǎng)的核心，要求設(shè)備能夠大容量、穩(wěn)定可靠的高速路由轉(zhuǎn)發(fā)，能夠接入大量的匯聚節(jié)點并滿足今后擴(kuò)充的需要。 網(wǎng)絡(luò) 設(shè)備選型 核心層設(shè)備 中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 23 圖 34 cisco6506 產(chǎn)品 選擇理由： 6500 系列通過大幅度提高用戶生產(chǎn)效率，增強(qiáng)運營控制，并提供史無前例的投資保護(hù)，為企業(yè)園區(qū)和服務(wù)供應(yīng)商網(wǎng)絡(luò)設(shè)置了全新的 IP 通信和應(yīng)用支持標(biāo)準(zhǔn)。最好能夠做到在網(wǎng)絡(luò)技術(shù)進(jìn)一步發(fā)展，現(xiàn)有模塊不支持新技術(shù)的情況下，只需要更換相應(yīng)模塊，而不需要更換整個設(shè)備。 (5）免工具安裝：系統(tǒng)應(yīng)采用組合壓接的方式，使安裝人員僅需配備剪刀就可以安裝跳線面板和插座面板，減輕安裝人員和維護(hù)人員身上的負(fù)擔(dān)，提高壓接時的可靠性。 (4）模塊化：應(yīng)采用模塊化結(jié)構(gòu)，能通過輕易更改網(wǎng)絡(luò)的結(jié)構(gòu)和線路的連接方式，來滿足科學(xué)技術(shù)的發(fā)展和應(yīng)用環(huán)境的變化。使點到點端接、任何一條線路故障均不影響其他線路的運行；應(yīng)為線路的運行維 護(hù)及故障檢修提供較大的方便，保障系統(tǒng)的可靠運行。每條信息通道都應(yīng)采用專用儀器測試，以保證其電氣性能。系統(tǒng)不僅應(yīng)該滿足當(dāng)前信息傳輸?shù)男枨螅?22 而且還應(yīng)該適應(yīng)將來的網(wǎng)絡(luò)結(jié)構(gòu)的更改或設(shè)備的擴(kuò)充，做到以不變應(yīng)萬變。信息通道應(yīng)該可以支持電話、傳真、多用戶終端、以太網(wǎng)、令牌環(huán)網(wǎng)、ATM 等等。 布線的設(shè)備選擇 要求 綜合布線系統(tǒng)的選擇應(yīng)滿足以下要求： (1）開放性：具有可傳輸語音、數(shù)據(jù)、圖像、視頻信號、控制信號等功能；系統(tǒng)能夠支持目前及今后所有的數(shù)據(jù)、話音及控制設(shè)備廠商的應(yīng)用系統(tǒng)。 網(wǎng)絡(luò)系統(tǒng)性能要求： (1) 能滿足靈活應(yīng)用的要求； (2) 除了固定于建筑物內(nèi)線纜外，所有的接插件都應(yīng)是模塊化的標(biāo)準(zhǔn)件，以方便系統(tǒng)管理和使用； (3) 系統(tǒng)要有可擴(kuò)充性，以便將來系統(tǒng)增加時，很容易將設(shè)備擴(kuò)展進(jìn)去； (4) 能實現(xiàn)數(shù)據(jù)通信，話音通信和圖像傳遞； (5) 為計算機(jī)網(wǎng)絡(luò)與高速電信網(wǎng)絡(luò)之間提供接口，以方便 企業(yè) 計算機(jī)系統(tǒng)擴(kuò)展時對城域網(wǎng)的高速通信需求。 (4) 要從企業(yè)廣域網(wǎng)的接入方式出發(fā)，對內(nèi)部與之對應(yīng) 的綜合布線整體考慮。 (3) 數(shù)據(jù)點線材依據(jù)水平、垂直采用不同的類型。 布線設(shè)計要求 設(shè)計要求 綜合布線系統(tǒng)設(shè)計要求： (1) 布線系統(tǒng)設(shè)計要為數(shù)據(jù)通信提供實用的、可重新組合、可擴(kuò)展的模塊中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 21 化通道，網(wǎng)絡(luò)布線要內(nèi)、外網(wǎng)實行物理隔離，配置 防 火墻。總之，既要適應(yīng)當(dāng)前信息處理的需要，又充分考慮到信息系統(tǒng)未來的發(fā)展趨勢。近年來，信息處理系統(tǒng)發(fā)展迅速，對信息傳輸?shù)目焖?、便捷、安全性和穩(wěn)定可靠性要求高。綜合布線系統(tǒng)要能滿足 企業(yè) 網(wǎng)現(xiàn)在以及未來網(wǎng)絡(luò)高速多媒體傳輸?shù)囊?，要能滿足系統(tǒng)對性能、可靠性的高要求，還要能滿足 企業(yè)網(wǎng)對擴(kuò)展性、升級性的要求。 綜合布線系統(tǒng)將所有的語音、數(shù)據(jù)、視頻信號等所需的線路和各自的設(shè)備進(jìn)行連接，經(jīng)過統(tǒng)一的規(guī)劃設(shè)計，綜合在一套標(biāo)準(zhǔn)的布線系統(tǒng)中，將企業(yè)建筑的三大子系統(tǒng)有機(jī)地連接起來，為建企業(yè)網(wǎng)絡(luò)系統(tǒng) 集成提供了物理介質(zhì)。計算機(jī)無線聯(lián)網(wǎng)常見的形式是把遠(yuǎn)程計算機(jī)以 無線方式聯(lián)入一個計算機(jī)網(wǎng)絡(luò)中，作為網(wǎng)絡(luò)中的一個節(jié)點，使之具有網(wǎng)上工作站所具有的同樣功能，獲得網(wǎng)絡(luò)上的所有服務(wù)；或把數(shù)個有線或無線局域網(wǎng)聯(lián)成一個區(qū)域網(wǎng)；當(dāng)然，也可用全無線方式構(gòu)成一個局域網(wǎng)或在一個局域網(wǎng)中混合使用有線與無線方式。 outside 訪問 dmz 需要配合 ACL(訪問控制列表 )。 dmz 可以訪問 outside 區(qū)域。 (內(nèi)部發(fā)起的連接可以回包。 PIX25 是典型的設(shè)備。 pix技術(shù) PIX 是 Cisco 的硬件防火墻，硬件防火 墻有工作速度快，使用方便等特點。 為了讓路由器可以幫助轉(zhuǎn)發(fā)廣播請求數(shù)據(jù)包，使用 ip helpaddress 命令。當(dāng)服務(wù)器和客戶段處在不同網(wǎng)段，即被路由器分割開來時，路由器是不會轉(zhuǎn)發(fā)這樣廣播包的。 中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 19 DHCP 技術(shù) 動態(tài)主機(jī)設(shè)置協(xié)議（ Dynamic Host Configuration Protocol, DHCP）是一個局域網(wǎng)的網(wǎng)絡(luò)協(xié)議，使用 UDP 協(xié)議工作，主要有兩個用途：給內(nèi)部網(wǎng)絡(luò)或網(wǎng)絡(luò)服務(wù)供應(yīng)商自動分配 IP 地址給用戶 ， 內(nèi)部網(wǎng)絡(luò)管理員作為對所有計算機(jī)作中央管理手段。動態(tài) VLAN 則更靈活，它可以根據(jù)接入計算機(jī)的 IP 地址， MAC 地址，甚至是用戶的登陸賬號做出相應(yīng)的處理，把計算機(jī)劃分進(jìn)相應(yīng)的 VLAN中，這樣就 為我們實際的網(wǎng)絡(luò)管理帶來了比較大的方便性和靈活性 。但每一個新的改進(jìn)通常都會引起新的問題 —— 用戶和設(shè)備的數(shù)量越大，每臺交換機(jī)必須處理的廣播和數(shù)據(jù)包就越多。 默認(rèn)時，交換機(jī)分隔沖突域；路由器分隔廣播域。 VLAN 虛擬局域網(wǎng) VLAN（ Virtual Local Area Network）又稱虛擬局域網(wǎng)，是指在交換局域網(wǎng)的基礎(chǔ)上，采用網(wǎng)絡(luò)管理軟件構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。我們利用這種訪問 列表進(jìn)行協(xié)議級的控制以達(dá)到對網(wǎng)絡(luò)一個有效的管理。 ACL 分為兩種類型 ,他們分 別是標(biāo)準(zhǔn)訪問列表 (Standard access lists)和擴(kuò)展訪問列表（ Extends access lists）前者在過濾網(wǎng)絡(luò)的時候只使用 IP 數(shù)據(jù)報的源地址，那么在使用這種訪問列表的情況下它做出允許或者拒絕這個決定完全是依賴于源 IP 地址，它無法區(qū)分具體的流量類型。動態(tài)地址轉(zhuǎn)換基本配置步驟： PAT：使用不同的端口來映射多個內(nèi)網(wǎng) IP 地址到一個指定的外網(wǎng) IP 地址，多對一 ACL控制列表 訪問列表為我們提供了一種對網(wǎng)絡(luò)訪問進(jìn)行有效管理的方法，通過訪問列表，我們可以設(shè)置允許或拒絕數(shù)據(jù)包通過路由器，或者允許或者拒絕具體的某些端口 18 進(jìn)行訪問和使用，如果滿足條件則執(zhí)行相應(yīng)的操作，放行這個包或者放棄這個包。 NAT 的分類： 靜態(tài) NAT：實現(xiàn)內(nèi)部地址與外部地址一對一的映射。 節(jié)約公網(wǎng)地址。 NAT 地址轉(zhuǎn)換 在組建網(wǎng) 絡(luò) 時，為了節(jié)約地址，我們在內(nèi)部使用保留的私有地址段中的地址，但是使用私有地址不能訪問 Inter,所以必須申請多個公開地址配置在 Inter 相連的局域網(wǎng)邊緣設(shè)備上。在一臺 VTP Server 上配置一個新的 VLAN時，該 VLAN 的配置信息將自動傳播到本域內(nèi)的其他所有交換機(jī)。 VTP 中繼協(xié) VTP（ VLAN Trunking Protocol）：是 VLAN 中繼協(xié)議，也被稱為虛擬局域網(wǎng)干道協(xié)議。一旦主路由器恢復(fù)正常，將自動切換回去，重新接管傳輸數(shù)據(jù)的工作，之后備份路由器停止傳輸，處于備份狀態(tài)。路由器之間定期交換權(quán)值信息以確定路由器的工作狀態(tài)。因此增加服務(wù)器的穩(wěn)定性與高效性。而且相對于其它成本技術(shù)來說，這是比較有經(jīng)濟(jì) 成效的技術(shù)。一方面它對企業(yè)的重要性毋庸質(zhì)疑，另一方面，由于這些數(shù)據(jù)的性質(zhì)決定了其較大的被訪問量，這個對服務(wù)器提出了穩(wěn)定和快速的要求。核心層不需要 STP，因為在核心交換機(jī)間沒有冗余的第 2 層連接。如果一條核心設(shè)備發(fā)生故障，還是能夠收斂，因為匯聚層設(shè)備的路由選擇表中還有另一條到核心設(shè)備的路由。 雙核心拓?fù)浣Y(jié)構(gòu)提供了兩條等代價路徑和雙倍的帶寬。當(dāng)某一鏈路中斷時，其它成員能夠迅速接替其工作。 核心 冗余備份： 示意如圖 32 所示： 圖 32 核心冗余 圖解：可使用二條 10000M 物理鏈路在連接二臺交換 機(jī)，在不增加投資的情況下，實現(xiàn)冗余互備份，使關(guān)鍵連接的傳輸效率更高，更可靠?？刹捎?GEC 鏈路聚合（ ）實現(xiàn)端口級冗余，以克服某個端口或線路引起的故障。冗余設(shè)計可以貫穿整個 層次化 結(jié)構(gòu)，每個冗余設(shè)計都有針對性，可以選擇其中一部分或幾部分應(yīng)用到網(wǎng)絡(luò)中以針對重要的應(yīng)用。但是投資也將增加。 除此之外，此交換機(jī)還具備多個專用堆疊接口，可以滿足樓層，樓宇內(nèi)多個交換機(jī)高性能匯聚的需要。 用戶可以根據(jù)需要來訂制自身的安全策略并部署在此交換機(jī)上。 接入層網(wǎng)絡(luò)設(shè)計 以往傳統(tǒng)企業(yè)網(wǎng)絡(luò)接入層的建設(shè)中并不關(guān)注于安全控制和 QOS 提供能力，而將網(wǎng)絡(luò)的安全防御措施和 QOS 保障依賴于網(wǎng)絡(luò)的匯聚層或骨干層設(shè)備，這給匯聚層和骨干層設(shè)備帶來了巨大的壓力，往往內(nèi)網(wǎng)病毒泛濫成災(zāi)后導(dǎo)致骨干層設(shè)備癱機(jī)，使網(wǎng)絡(luò)沒有 QOS 服務(wù)質(zhì)量保障。這些交換機(jī)都具備較強(qiáng)的多業(yè)務(wù)提供能力，可支持包括智能的 QOS、 MPLS、組播在內(nèi)的各種業(yè)務(wù)。 CISCO3560 交換機(jī)在提供高密度端口接入的同時還能夠滿足匯聚層智能高速處理的需要 ,并 能夠加靈活的部署在網(wǎng)絡(luò)邊緣的各個位置。此外我們采用一 臺 cisco6506 核心 路由交換機(jī) 與企業(yè)中原來 的 cisco 3560 交換機(jī) 組成 雙 機(jī)熱備份的核心交換機(jī)解決方案 。對網(wǎng)絡(luò)具備了一定的處理能力。在網(wǎng)絡(luò)硬件上采用高性能、高可靠，高性價比的 cisco 設(shè)備，這些設(shè)備是在傳輸網(wǎng)中廣泛使用并在實踐中部署的，容錯能力的高性能和具有強(qiáng)大擴(kuò)展性能的大型網(wǎng)絡(luò)核心交換機(jī)，可實現(xiàn)冗余備份，從而提高全網(wǎng)的可靠性。 拓?fù)浣Y(jié)構(gòu)規(guī)劃 說明 在網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計上， 創(chuàng)新電子 采用 流行 的萬兆骨干 網(wǎng)結(jié)合主流的千兆 以太網(wǎng)交換技術(shù) (第三層交換 )作為核心層 ，在企業(yè)網(wǎng)匯聚層及接入層出于性價比的 考慮，我們決定采用萬兆核心，千兆匯聚 ； 萬兆拓展 ， 百兆到桌面的鏈路選擇。而如果采用扁平化和網(wǎng)狀設(shè)計，任何一個節(jié)點的變動都將對整個網(wǎng)絡(luò)產(chǎn)生很大影響。 易于理解 層次化設(shè)計使得網(wǎng)絡(luò)結(jié)構(gòu)清晰明了，可以在不同的層次實施不同難度的 管理，降低了管理成本。 層次化模型的好處 ： 節(jié)省成本 在采用層次模型之后，各層次各司其職，不再在同一個平臺上考慮所有的事情。這里我們直接 用創(chuàng)新電子的拓?fù)鋱D來分析一下企業(yè)網(wǎng)絡(luò)的設(shè)計。 6 標(biāo)準(zhǔn)化 和可行性 原則 本方案參照信息安全方面的國家法規(guī)與標(biāo)準(zhǔn)和公司內(nèi)部已經(jīng)執(zhí)行或正在起草標(biāo)準(zhǔn)及規(guī)定，使安全技術(shù)體系的建設(shè)達(dá)到標(biāo)準(zhǔn)化、規(guī)范化的要求， 采用市場上先進(jìn)的技術(shù)和相對成熟的產(chǎn)品，并向國際標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)、工程標(biāo)準(zhǔn)、相關(guān)業(yè)標(biāo)準(zhǔn)和暫行規(guī)定先靠攏， 為拓展、升級和集中統(tǒng)一打好基礎(chǔ)。 4．可擴(kuò)充性 系統(tǒng)規(guī)模及檔次要易于擴(kuò)展，可以方便地進(jìn)行設(shè)備擴(kuò)充和適應(yīng) 工程的變化，以及靈活進(jìn)行軟件版本的更新和升級，保護(hù)用戶的投資 ， 為將來系統(tǒng)的升級 和 擴(kuò)展打下良好的基礎(chǔ)。企業(yè)的商業(yè)機(jī)密 、 員工資料 、 市場和銷售信息等敏感信息關(guān)系到企業(yè)生存利害。易于維護(hù)管理，具有廣泛兼容性，同時 要 適應(yīng)企業(yè)的內(nèi)部需求，員工的工作特性等。網(wǎng)絡(luò)設(shè)計要考慮通信發(fā)展要求。 此次企業(yè)網(wǎng)設(shè)計應(yīng)遵循如下原則 ： 先進(jìn)性原則 世界上計算機(jī)技術(shù)的發(fā)展十分迅速，更新?lián)Q代周期越來越短。 這就 要求 要 有 極低的延遲時間 。 數(shù)據(jù)的敏感性 : 隨著商業(yè)競爭的不斷加劇，如何保護(hù)自己的信息資源特別是客戶信息、產(chǎn)品信息及技 術(shù)資料的敏感性顯得尤為重要。 數(shù)據(jù)流的多樣性： 如今的企業(yè)網(wǎng)業(yè)務(wù)數(shù)據(jù)流種類繁多，極高的數(shù)據(jù)吞吐量 。 中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 11 第 三 部分 總體結(jié)構(gòu)設(shè)計 認(rèn)識 隨著 Inter 技術(shù)的快速發(fā)展，越來越多的企業(yè)將自己的內(nèi)部網(wǎng)絡(luò)融合到整個互連網(wǎng)中 ， 以提高自己的生產(chǎn)率與競爭力。當(dāng)前的網(wǎng)絡(luò)已經(jīng)發(fā)展成為 以應(yīng)用為中心 的信息基礎(chǔ)平臺，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備的智能已經(jīng)不能有效支持網(wǎng)絡(luò)管理需求的發(fā)展。 在企業(yè)網(wǎng)絡(luò)已經(jīng)成為公司生產(chǎn)運營的重要組成部分的今天，現(xiàn)代企業(yè)網(wǎng)絡(luò)必須要有一整套從用戶接入控制，病毒報文識別到主動抑制的一系列安全控制手段，這樣才能有效地保證企業(yè)網(wǎng)絡(luò)的穩(wěn)定運行。 網(wǎng)絡(luò)安全需求 企業(yè)網(wǎng)絡(luò)應(yīng)提供更完善的網(wǎng)絡(luò)安全解決方案，以阻擊病毒和黑客的攻擊，減少企業(yè)的經(jīng)濟(jì)損失。企業(yè)網(wǎng)絡(luò)承載的業(yè)務(wù)不斷增多，單純的提高帶寬并不能夠有效地保障數(shù)據(jù)交換的暢通無阻，所以今天的企業(yè)網(wǎng)絡(luò)建設(shè)必須要考慮到網(wǎng)絡(luò)應(yīng)能夠智能識別應(yīng)用事件的緊急和重要程度，如視頻、音頻、數(shù)據(jù)流。在企業(yè)網(wǎng)絡(luò)建設(shè)時， 還 要考慮網(wǎng)絡(luò)設(shè)備是否能夠提供有效的鏈路自愈手段，以及快速重路由協(xié)議的支持。設(shè)備的可靠性 需求 不僅要考察網(wǎng)絡(luò)設(shè)備是否實現(xiàn)了關(guān)鍵部件的冗余備份，還要從網(wǎng)絡(luò)設(shè)備整體設(shè)計架構(gòu)、處理引擎種類等多方面去考察。 現(xiàn)代大型企業(yè)的網(wǎng)絡(luò)應(yīng)具有更全面的可靠性設(shè)計，以實現(xiàn)網(wǎng)絡(luò)通信的實時暢通，保障企業(yè)生產(chǎn)運營的正常進(jìn)行。另外，隨著千兆位端口成本的持續(xù)下降，千兆位到桌面的應(yīng)用會在不久的將來成為企業(yè)網(wǎng)的主流。不僅要繼續(xù)承載企業(yè)的辦公自動化 、 Web 瀏覽等 簡單的數(shù)據(jù)業(yè)務(wù)，還要承載涉及企業(yè)生產(chǎn)運營的各種業(yè)務(wù)應(yīng)用系統(tǒng)數(shù)據(jù) 以及帶寬和時延都要求很高的 IP 電話、 視頻 會議等多媒體業(yè)務(wù)。 需求分析 帶寬性能需求 現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更高的帶寬，更強(qiáng)大的性能，以