【正文】 務(wù)范圍的擴展奠定了堅實的技術(shù)基礎(chǔ)，在此前提下，為了適應(yīng)信息形勢下超市將來業(yè)務(wù)量的不斷增長和業(yè)務(wù)模式的不斷變化，超市提出了建設(shè)高性能企業(yè)業(yè)務(wù)網(wǎng)，將超市供應(yīng)鏈 MMIS 系統(tǒng)等業(yè)務(wù)納入該網(wǎng)絡(luò)系統(tǒng)，為超市的業(yè)務(wù)發(fā)展奠定堅實的網(wǎng)絡(luò)基礎(chǔ)。 下面我們將基于上述諸點進一步對用戶的需求加以分析。核心層網(wǎng)絡(luò)將實現(xiàn)主干網(wǎng)絡(luò)的連通要求，并能夠通過某種手段保證主干網(wǎng)絡(luò)穩(wěn)定可靠；而且，一旦某個主干連接中斷時，網(wǎng)絡(luò)能自動隔離故障點并繼續(xù)工作。光纖的采用為我們設(shè)計高帶寬的傳輸骨干奠定了堅實的物質(zhì)基礎(chǔ)。 在主干網(wǎng)絡(luò)上傳輸?shù)臉I(yè)務(wù)主要有 MIS 應(yīng)用，它們構(gòu)成整個企業(yè)的管理信息流。該局域網(wǎng)將高速交換機提供高速接口連接核心層主干網(wǎng)絡(luò)，同時，對每個用戶提供網(wǎng)絡(luò)接入服務(wù)，完成到用戶桌面的最終連接。 網(wǎng)絡(luò)設(shè)計原則 本方案的總體設(shè)計思想是以 XX 超市所提出的應(yīng)用系統(tǒng)（ MIS）建設(shè)總體規(guī)劃和要求為指導(dǎo)，力求為超市提供一個先進、靈活、可 靠、基于標準的多業(yè)務(wù)網(wǎng)絡(luò)平臺，支持超市降低生產(chǎn)成本，增加市場競爭力；并為滿足今后新的業(yè)務(wù)需求，迅速推出新的業(yè)務(wù)打好基礎(chǔ)。 ● 先進性和成熟性 采用業(yè)界先進而又成熟的網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)設(shè)備，能夠承載和交換各種信息。因 此，在網(wǎng)絡(luò)技術(shù)的選擇上，網(wǎng)絡(luò)設(shè)備的選擇上，應(yīng)考慮到未來的升級、擴展。 從用戶需求情況來看，全網(wǎng)將為超市的各種業(yè)務(wù)提供各種高速的網(wǎng)絡(luò)服務(wù)，降低企業(yè)內(nèi)部信息交換的成本開支。這種業(yè)務(wù)趨勢要求網(wǎng)絡(luò)具有很好的可擴展性，以適應(yīng)不斷增長的業(yè)務(wù)需求。預(yù)計在 2 年內(nèi)將擴展到 Terabits 級，因此骨干路由 /交換設(shè)備應(yīng)具有千兆容量。隨著業(yè)務(wù)量的不斷增長，只要在已有設(shè)備上增加模塊和端口，已適應(yīng)業(yè)務(wù)的需求。 ● 提供可擴展的多種網(wǎng)絡(luò)業(yè)務(wù) 隨著 TCP/IP 技術(shù)的不斷發(fā)展，應(yīng)用越來越多地轉(zhuǎn)移到 IP 平臺上，采用TCP/IP 網(wǎng)絡(luò)技術(shù)建立支持多種業(yè)務(wù)的統(tǒng)一網(wǎng)絡(luò)平臺已經(jīng)成為一種經(jīng)濟的、高效率的做法。為確保不同的業(yè)務(wù)得到服務(wù)質(zhì)量保證（ QoS），網(wǎng)絡(luò)交換設(shè)備 應(yīng)能夠提供 QoS 和 COS 功能。特別是在網(wǎng)絡(luò)環(huán)境不太穩(wěn)定的建網(wǎng)初期，以及自然條件不好的情況下，如何保證網(wǎng)絡(luò)的可靠性就成為一個極具挑戰(zhàn)性的問題。當發(fā)現(xiàn)存在安全漏洞和遭到攻擊時，應(yīng)及時通知網(wǎng)絡(luò)管理人員，并應(yīng)自動采取適當?shù)拇胧┯枰员Ｗo。 網(wǎng)絡(luò)方案描述 超市是一家大型的商品流通企業(yè)，所建網(wǎng)絡(luò)系統(tǒng)主要用于連接超市內(nèi)部網(wǎng)絡(luò)，各單位均承載對本企業(yè)而言至關(guān)重要的信息流。它的主要特點是： ● 高可靠性 /高可用性 由于該企業(yè)網(wǎng)絡(luò)所服務(wù)的對象是支撐整個企業(yè)業(yè)務(wù)活動的關(guān)鍵應(yīng)用（ MissionCritical），因此要求組成網(wǎng)絡(luò)的主要設(shè)備具有相當高的可靠性；同時在網(wǎng)絡(luò)的整體拓撲結(jié)構(gòu)的設(shè)計方面，也必須仔細考慮， 使其在某些物理鏈路故障時，仍能保證不影響應(yīng)用的運行。 ● 生命力 對于投入了大量的人力、物力建設(shè)的網(wǎng)絡(luò)，自然希望它能夠盡可能持久地有服務(wù)于業(yè)務(wù)的需求，所以網(wǎng)絡(luò)所使用 /選用的技術(shù)及設(shè)備，以及所采用的拓撲結(jié)構(gòu)必須能夠支持未來至少五至十年的通訊需求的能力 /擴充余地。 ● 彈性的，模塊化的設(shè)計思想 正因為架設(shè)企業(yè)主干網(wǎng)是一項投資大、周期長的建設(shè)，因此在規(guī)劃、設(shè)計及設(shè)備選型階段，必須充分考慮未來需求的成長、技術(shù)的升級和投資的保護等等因素，選擇具有先進的體系結(jié)構(gòu)，彈性的、模塊化的結(jié)構(gòu)，以便容納未來新型的應(yīng)用、技術(shù)。單一的技術(shù)選擇難免會有失偏頗，因此，采用模塊化的設(shè)計思想，綜合多重技術(shù)，揚長避短 ，結(jié)合實際情況，采用專網(wǎng)、公網(wǎng)相結(jié)合的傳輸方式才能最大限度的發(fā)揮投資的效益。百兆以太網(wǎng)技術(shù)最高傳輸速率為 100Mbps，與以太網(wǎng)技術(shù)、網(wǎng)絡(luò)結(jié)構(gòu)方案設(shè)計 7 快速以太網(wǎng)技術(shù)向下兼容，而且，百兆以太網(wǎng)交換機具有極高的性能價格比，是目前園區(qū)網(wǎng) /企業(yè)網(wǎng)的主流選擇?；?TCP/IP 協(xié)議開發(fā)的應(yīng)用程序極為豐富。其中包括 IP 電話、圖象傳輸、視頻點播、電視會議系統(tǒng)等多媒體應(yīng)用程序。與 ATM 網(wǎng)絡(luò)相比， IP 網(wǎng)絡(luò)的 QoS 技術(shù)發(fā)展得更快，應(yīng)用支持更加豐富。 基于以上考慮，并從超 市逐步向連鎖體系發(fā)展的實際出發(fā)，我們建議超市局域網(wǎng)絡(luò)主要采用 DLINK 公司的網(wǎng)絡(luò)設(shè)備，整個網(wǎng)絡(luò)彩以太網(wǎng)技術(shù)，不同的層次根據(jù)業(yè)務(wù)需要選用不同的網(wǎng)絡(luò)設(shè)備。企業(yè)的關(guān)鍵數(shù)據(jù)庫器，通過百兆直接連到核心集線器上；各區(qū)不同部門的桌面計算機或 POS 機通過 10M/100M 接入二級百兆集線器上，構(gòu)成接入層。網(wǎng)絡(luò)系統(tǒng)主要選用 Dlink網(wǎng)絡(luò)設(shè)備，通過路由設(shè)備可方便地與銀行、稅務(wù)、 INTERNET 等互連網(wǎng)絡(luò)。 Routeconfig terminal Route(config)enable secret admin Route(configline)exectimeout 5 30 Route(configline)line 0 4 Route(configline)password abc Route(configline)login Route(configline)exectimout 5 30 Route(configline)ecit 配置各接入路由器的參數(shù) : Route(config)interface fasteher 0/1 Route(configif)ip address Route(configif)no shutdown Route(configif)interface serial 0/1 Route(configif)ip address Route(configif)no shutdown 配置各接入路由器端口的參數(shù) : Route(config)ip route serial 0/1 到企業(yè)網(wǎng)內(nèi)部的路由條目可以經(jīng)過路由匯總后形成兩條路由條目 Route(config)ip route Route(config)ip route 淮安信息職業(yè)技術(shù)學院畢業(yè)設(shè)計 10 NAT 的配置： 定義 NAT 內(nèi)部、外部接口 Route(config)interface fasteher 0/1 Route(configif)ip address Route(configif)ip nat inside Route(configif)interface serial 0/1 oute(configif)ip address Route(configif)ip nat outside Route (config)ip nat inside source static 為其他工作站定義復(fù)用地址轉(zhuǎn)換 Route(config)ip nat inside source static 1 interface serial 0/1 overload 交換機最大連接數(shù)設(shè)置： S4(config)interface fasteher 0/124 S4(configif)switchport mode access S4(configif)switchport potrsecurity S4(configif) switchport potrsecurity maximum 20 S1(configif) switchport potrsecurity violation shutdown 其余的交換機以此類推 …… 交換機端口的地址綁定，可以針對 IP 地址、 MAC 地址、 IP+MAC 進行靈活的綁定。 S4(config)interface gigabitether 0/1 S4(configif)switchport mode access S4(configif)switchport potrsecurity S4(configif)switchport potrsecurity macadress......ip addadress 交換機中各端口具有自動學習地址的功能，通過端口發(fā)送和接收的幀的源地址 (源 MAC 地址、交換機端口號 )將存儲到地址表中。從一個地址記錄加入地址表以后開始計時，如果在老化時間內(nèi)各端口未收到源地址為該 MAC 地址的幀，那么，這些地址將從動態(tài)轉(zhuǎn)發(fā)地址網(wǎng)絡(luò)結(jié)構(gòu)方案設(shè)計 11 表（由源 MAC 地址、目的 MAC 地址和它們相對應(yīng)的交換機的端口號）中被刪除。 Route(config)accesslist 101 dy udp any any cq snmp Route(config)accesslist 101 dy udp any any cq snmptrap Route(config)accesslist 101 permit ip any any Route(config)interface serial 0/1 Route(configif)ipn accessgrop 101 in 對外 屏蔽 : Route(config)accesslist 101 dy udp any any cq tel Route(config)accesslist 101 permit ip any any Route(config)interface serial 0/1 Route(configif)ipn accessgrop 101 in 任何及其不可以訪問總經(jīng)理的機器： S4(config)accesslist 10 deny ip any any S4(config)int vlan 10 S4(configif)ip accessgrop 10 out 財務(wù)部可以訪問銷售部： S5(config)accesslist 40 permit S5(config)int vlan 40 S5(configif)ip accessgrop 40 out 總經(jīng)理可以訪問財務(wù)部，銷售部和管理部則不可以： S4(config)accesslist 30 permit S4(config)accesslist 30 deny 淮安信息職業(yè)技術(shù)學院畢業(yè)設(shè)計 12 S4(config)accesslist 30 deny S4(config)int vlan 30 S4(configif)ip accessgrop 30 out 因為 ftp 作為公司的內(nèi)部信息的流通渠道，為保證本公司的信息安全，公司不希望自己的信息被外界知道，所以要求拒絕外界網(wǎng)絡(luò)對本公司 ftp 的訪問，只用于內(nèi)部的訪問與交流，而 web 服務(wù)器則都可以訪問?？梢詫崿F(xiàn)對用戶的嚴格控制，保證用戶的安全接入和防止常見的內(nèi)網(wǎng)網(wǎng)絡(luò)攻擊。老化時間是一個影響交換機學習進程的參數(shù)。 S1(config)interface gigabitether 0/1 S1(configif)switchport potrsecurity aging time 1 S1(configif)switchport potrsecurity aging ststic SNMP 和 SNMPTRAP。配置如下： R (config)router eigrp 10 R (config)work R (config)work R (config)accesslist 100 permit tcp host host eq ftp R (config)accesslist 100 pwemit tcp any host eq R(config)interface s0/1 R(configif)ip accessgroup 101 in 端口聚合配置 : S0(config)interface range fastether0/67 網(wǎng)絡(luò)結(jié)構(gòu)方案設(shè)計 15 S0(configifrange)protgroup 1 S0(configifrange)exit S0(config)interface aggregateport 1 S0(configif)switchport mode trunk S0(config)exit S1config)interface range fastether0/67 S1(configifrange)protgroup 1 S1(configifrange)exit S1(config)interface aggregateport 1 S1(configif)switchport mode trunk S1(config)exit VPN 的配置： 設(shè)置內(nèi)網(wǎng)接口 ： int s0/0 ip address no ip mroutecache no fairqueue clockrate 64000 crypto map bjmap 設(shè)置外網(wǎng)接口并指定在該接口上應(yīng)用配置好的加密圖 accesslist 101 permit ip accesslist 101 permit ip 配置訪問控制列表指定需要加密的通信 在總部上設(shè)置完后還需要在分公司進行設(shè)置，只有雙方在加密等協(xié)議方面統(tǒng)一了標準才能正常通訊。默認為 86400秒。 crypto isakmp key cisco