【正文】 和應(yīng)用系統(tǒng)，為保障企業(yè)網(wǎng)的運(yùn)行安全和應(yīng)對(duì)各種網(wǎng)絡(luò)風(fēng)險(xiǎn)，有必要統(tǒng)一規(guī)劃，設(shè)計(jì)一個(gè)符合四川托普學(xué)院企業(yè)網(wǎng)實(shí)際的企業(yè)網(wǎng)系統(tǒng)，有計(jì)劃地分步驟實(shí)施。相同之處在于：作為集團(tuán)用戶，接入網(wǎng)絡(luò)都需要具有一定的獨(dú)立性和相當(dāng)?shù)目山y(tǒng)計(jì)、可管理性的特性；較之一般的企業(yè)網(wǎng)，企業(yè)網(wǎng)又會(huì)面臨更復(fù)雜的用戶類型和業(yè)務(wù)需求，它不是單純的辦公網(wǎng)絡(luò)，是一個(gè)承載教學(xué)、辦公自動(dòng)化、圖書館等多種業(yè)務(wù)和應(yīng)用的平臺(tái)，并且有部分網(wǎng)絡(luò)資源用來經(jīng)營，因此對(duì)投資回報(bào)有更高的要求。一般高校企業(yè)網(wǎng)的主要需求有：：典型的組網(wǎng)有中國教育和科研網(wǎng)（CERNET）出口和運(yùn)營商網(wǎng)絡(luò)出口。、外網(wǎng)需求：限制資源的訪問，對(duì)內(nèi)、網(wǎng)采用不同計(jì)費(fèi)策略；：非法的DHCP Server、病毒、攻擊、上網(wǎng)日志等；：公網(wǎng)地址不夠，在運(yùn)營商或教育網(wǎng)其中一個(gè)出口做NAT；：強(qiáng)大的組播支持能力、多業(yè)務(wù)融合（語言、數(shù)據(jù)、飾品）能力；：設(shè)備具備高性能、高可靠性、高穩(wěn)定性、高安全性；：高性價(jià)比、平滑升級(jí)、投資保護(hù)；：具備完善的QOS能力。3．請(qǐng)補(bǔ)充4. 請(qǐng)補(bǔ)充。 設(shè)計(jì)原則現(xiàn)在高校企業(yè)網(wǎng)建設(shè)要實(shí)現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，應(yīng)用三層交換，提供全面的QoS保障服務(wù)，使網(wǎng)絡(luò)安全可靠，從而實(shí)現(xiàn)教育管理、多媒體教學(xué)、圖書館管理自動(dòng)化，而且還要通過Internet實(shí)現(xiàn)遠(yuǎn)程教學(xué)，提供可增值可管理的業(yè)務(wù)，必須具備高性能、高安全性、高可靠性，可管理、可增值特性以及開放性、兼容性、可擴(kuò)展性。同時(shí)由于高校網(wǎng)絡(luò)的使用者數(shù)量巨大，網(wǎng)上開展的業(yè)務(wù)眾多，因此需要能夠提供用戶的高效管理，以確保用戶和學(xué)校的利益不受損失。所以在建設(shè)時(shí)要充分考慮業(yè)務(wù)的擴(kuò)展能力，能針對(duì)不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機(jī)制，實(shí)現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。4．開放性技術(shù)選擇必須符合相關(guān)國際標(biāo)準(zhǔn)及國內(nèi)標(biāo)準(zhǔn)，避免個(gè)別廠家的私有標(biāo)準(zhǔn)或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開放性和互連互通，滿足信息準(zhǔn)確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護(hù)、測(cè)量和管理手段，提供網(wǎng)絡(luò)統(tǒng)一實(shí)時(shí)監(jiān)控的遙測(cè)、遙控的信息處理功能，實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。根據(jù)企業(yè)網(wǎng)建設(shè)的需求和設(shè)計(jì)原則，并結(jié)合學(xué)院企業(yè)網(wǎng)的當(dāng)前狀況和未來發(fā)展趨勢(shì)，本論文為學(xué)院企業(yè)網(wǎng)網(wǎng)絡(luò)建設(shè)量身定制了一套合體合用的企業(yè)網(wǎng)建設(shè)方案。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，特別是網(wǎng)絡(luò)主干拓?fù)浣Y(jié)構(gòu)的設(shè)計(jì)直接關(guān)系到網(wǎng)絡(luò)性能的好壞。三層網(wǎng)絡(luò)結(jié)構(gòu)包括核心層、匯聚層和接入層；兩層網(wǎng)絡(luò)結(jié)構(gòu)分為核心層和接入層。兩層結(jié)構(gòu)相對(duì)于三層結(jié)構(gòu)投資少，網(wǎng)絡(luò)結(jié)構(gòu)簡單、維護(hù)方便、網(wǎng)絡(luò)故障環(huán)節(jié)少，但是僅僅適合相對(duì)用戶數(shù)量較少的情況；另外，二層結(jié)構(gòu)對(duì)于有技術(shù)功底的學(xué)生來說，讓核心設(shè)備直接暴露在學(xué)生的PC下面，造成不安全因素；同時(shí)，大量的服務(wù)器以及應(yīng)用平臺(tái)直接下帶核心設(shè)備，也極大的占用了核心設(shè)備的高速轉(zhuǎn)發(fā)性能，體現(xiàn)不出核心交換機(jī)的功能。三層結(jié)構(gòu)出了方便用戶管理和設(shè)備管理之外，也提供了良好的網(wǎng)絡(luò)安全性和擴(kuò)展性。匯聚層的作用是匯聚接入層的流量，連接核心層，為接入層和核心層提供通道。根據(jù)這種層次化網(wǎng)絡(luò)設(shè)計(jì)思想的原則，我們可以把企業(yè)網(wǎng)的整個(gè)網(wǎng)絡(luò)體系結(jié)構(gòu)分為以下三個(gè)層次：u 由位于中心機(jī)房的核心交換機(jī)組成的核心層；u 由位于樓宇機(jī)房的匯聚層交換機(jī)組成匯聚層；u 由位于各樓層的信息點(diǎn)和接入組成接入層；總體設(shè)計(jì)以高性能、高可靠性、高安全性、良好的可擴(kuò)展性、可管理性和統(tǒng)一的網(wǎng)管系統(tǒng)及可靠組播為原則，以及考慮到技術(shù)的先進(jìn)性、成熟性，并采用模塊化的設(shè)計(jì)方法。 詳細(xì)設(shè)計(jì)及設(shè)備選型 核心層設(shè)計(jì)核心交換機(jī)是整個(gè)網(wǎng)絡(luò)的計(jì)算和內(nèi)部數(shù)據(jù)交換處理中心，在整個(gè)局域網(wǎng)內(nèi)是最為關(guān)鍵和重要的設(shè)備。以下請(qǐng)進(jìn)行核心層所使用的交換機(jī)的選型和特點(diǎn)介紹。樓內(nèi)匯聚層設(shè)備不但分擔(dān)了核心設(shè)備的部分壓力，同時(shí)提高了網(wǎng)絡(luò)的安全性。以下請(qǐng)進(jìn)行匯聚層所使用的交換機(jī)的選型和特點(diǎn)介紹。鑒于上述特點(diǎn)，配合PVLAN、單端口環(huán)回檢測(cè)、端口速率限制、集群管理等手段，達(dá)到對(duì)學(xué)生可控、可管理的目的。 VLAN與IP子網(wǎng)設(shè)計(jì) VLAN規(guī)劃采用虛擬局域網(wǎng)VLAN主要出于三個(gè)目的：用戶隔離、提高網(wǎng)絡(luò)效率；提供靈活的管理；提高系統(tǒng)安全性。接入層設(shè)備為二層交換機(jī)，用于最終用戶的接入。具體做法可以是將交換機(jī)的每一端口劃分一個(gè)VLAN以實(shí)現(xiàn)所有用戶間的二層隔離，此時(shí)如果需要互聯(lián)，可通過上連設(shè)備的ACL功能來控制；也可以根據(jù)需要將多個(gè)交換機(jī)的不同端口劃為同一個(gè)VLAN，直接實(shí)現(xiàn)有限制的用戶互聯(lián)。域名規(guī)劃要注意層次性和一致性。IP地址分配要遵循以下原則：1．簡單性：地址的分配應(yīng)該簡單，避免在主干上采用復(fù)雜的掩碼方式。3．可擴(kuò)充性：為一個(gè)網(wǎng)絡(luò)區(qū)域分配的網(wǎng)絡(luò)地址應(yīng)該具有一定的容量，便于主機(jī)數(shù)量增加時(shí)仍然能夠保持地址的連續(xù)性。5．可管理性：地址的分配應(yīng)該有層次，某個(gè)局部的變動(dòng)不要影響上層、全局。根據(jù)以上設(shè)計(jì)和企業(yè)網(wǎng)的需求，學(xué)院企業(yè)網(wǎng)網(wǎng)絡(luò)的VLAN和IP子網(wǎng)建議劃分如下：以下請(qǐng)對(duì)企業(yè)網(wǎng)的VLAN和子網(wǎng)進(jìn)行設(shè)計(jì)（列出VLAN和子網(wǎng)對(duì)應(yīng)表）。同時(shí)IPv6地址是有范圍的，包括鏈路本地地址、站點(diǎn)本地地址和任意播地址，這也進(jìn)一步增加地址應(yīng)用的擴(kuò)展性。擴(kuò)展為先：引入靈活的擴(kuò)展報(bào)頭，按照不同協(xié)議要求增加擴(kuò)展頭種類，按照處理順序合理安排擴(kuò)展頭的順序，其中網(wǎng)絡(luò)設(shè)備需要處理的擴(kuò)展頭在報(bào)文頭的前部，而需要宿端處理的擴(kuò)展頭在報(bào)文頭的尾部。即插即用：IPv6引入自動(dòng)配置以及重配置技術(shù)，對(duì)于IP地址等信息實(shí)現(xiàn)自動(dòng)增刪更新配置，提高IPv6的易管理性。Qos 考慮：新增流標(biāo)記域，為源宿端快速處理實(shí)時(shí)業(yè)務(wù)提供可能，有利于低性能的業(yè)務(wù)終端支持IPv6的語音、視頻等應(yīng)用。IPv6的上述特點(diǎn)充分迎合了未來網(wǎng)絡(luò)向IP融合統(tǒng)一的發(fā)展方向，并提升IP網(wǎng)絡(luò)的可運(yùn)營可管理性。（2）IPV6IPV4IPV6同樣在IPv6網(wǎng)絡(luò)的建設(shè)過程當(dāng)中將會(huì)存在IPv6的孤島跨IPv4進(jìn)行互訪的情況。）進(jìn)行手工的配置隧道，該隧道對(duì)于最終的用戶來說是不可見的， 如圖32所示：圖32 IPV6IPV4IPV6當(dāng)一個(gè)IPv6的包經(jīng)過邊界路由器的時(shí)候邊界路由器會(huì)將IPv6的報(bào)文封裝為IPv4的包在隧道種進(jìn)行傳送，當(dāng)報(bào)文到達(dá)對(duì)防的時(shí)候，在邊界路由器上進(jìn)行解封裝，還原出原IP6的包，從而實(shí)現(xiàn)互通。（3）雙棧模式***品牌的***型號(hào)支持雙棧方式的運(yùn)行，即一臺(tái)路由器可實(shí)現(xiàn)同時(shí)處理IPv4以及IPv6兩種方式，如圖33所示：圖33雙棧模式在由同一個(gè)物理網(wǎng)絡(luò)當(dāng)中同時(shí)存在兩種模式的IP網(wǎng)絡(luò)，即：IPv6網(wǎng)絡(luò)與IPv4網(wǎng)絡(luò)，IPV6用戶之間可實(shí)現(xiàn)互通，同時(shí)IPv4用戶亦可在同一張網(wǎng)絡(luò)當(dāng)中實(shí)現(xiàn)互通，這樣每個(gè)點(diǎn)的用戶即可以通過核心路由器之間進(jìn)行IPv4的互通，也可以通過核心路由器NE40 進(jìn)行IPv6的互通，進(jìn)行IPV6的相關(guān)實(shí)驗(yàn)。學(xué)院企業(yè)網(wǎng)IPv6網(wǎng)絡(luò)的建設(shè)主要是為了在新的企業(yè)網(wǎng)內(nèi)部建設(shè)IPv6環(huán)境，使得師生能對(duì)IPv6網(wǎng)絡(luò)進(jìn)行訪問，同時(shí)逐步在IPv6網(wǎng)絡(luò)當(dāng)中開展IPv6業(yè)務(wù)，如：組播、FTP、流媒體等業(yè)務(wù)，進(jìn)而提高IPV6網(wǎng)絡(luò)的用戶數(shù)量，擴(kuò)大IPv6應(yīng)