【正文】 網(wǎng)絡拓撲結(jié)構、布線系統(tǒng)、Intra/Inter 的應用、網(wǎng)絡安全，網(wǎng)絡系統(tǒng)的維護等內(nèi)容。 隨著網(wǎng)絡的逐步普及，企業(yè)網(wǎng)絡的建設是企業(yè)向信息化發(fā)展的必然選擇，企業(yè)網(wǎng)網(wǎng)絡系統(tǒng)是一個非常龐大而復雜的系統(tǒng)，它不僅為現(xiàn)代化發(fā)展、綜合信息管理和辦公自動化等一系列應用提供基本操作平臺，而且能提供多種應用服務，使信息能及時 、準確地傳送給各個系統(tǒng)。 8 2 網(wǎng)絡邏輯結(jié)構設計 網(wǎng)絡拓撲結(jié)構設計 網(wǎng)絡拓撲結(jié)構是指用傳輸媒體互連各種設備的物理布局。如果一個網(wǎng)絡只連接幾臺設備 ,最簡單的方法是將它們都直接相連在一起，這種連接稱為點對點連接。這里所以給出這種拓撲結(jié)構，是因為當需要通過互連設備 (如路由器 ) 互連多個 LAN 時 ,將有可能遇到這種廣域網(wǎng) (WAN)的互連技術。星型布局是以中央結(jié)點為中心與各結(jié)點連接而組成的，各結(jié)點與中央結(jié)點通過點與點方式連接，中央結(jié)點執(zhí)行集中式通信控制策略，因此中央結(jié)點相當復雜，負擔也重。中央結(jié)點主要功能有： (1)為需要通 信的設備建立物理連接； (2)為兩臺設備通信過程中維持這一通路； (3)在完成通信或不成功時 ,拆除通道。由于這種拓撲結(jié)構，中心點與多臺工作站相連 ,為便于集中連線，目前多采用集線器 (HUB)。 這種結(jié)構便于集中控制 ,因為端用戶之間的通信必須經(jīng)過中心站。端用戶設備因為故障而停機時也不會影響其它端用戶間的通信但這種結(jié)構非常不利的一點是 ,中心系統(tǒng)必須具有極高的可靠性 ,因為中心系統(tǒng)一旦損壞，整個系統(tǒng)便趨于癱瘓。 總線拓撲結(jié)構 ` 總線結(jié)構是使用同一媒體或電纜連接所有端用戶的一種方式 ,也就是說，連接端用戶的物理媒體由所有設備共享。在點到點鏈路配置時 ,這是相當簡單的。在一點到多點方式中 ,對線路的訪問依靠控制端的探詢來確定。對此，研究了一種在總線共享型網(wǎng)絡使用的媒體訪問方法 :帶有碰撞檢測的載波偵聽多路訪問 ,英文縮寫成 CSMA/CD。由于其信息向四周傳播，類似于廣播電臺，故總線網(wǎng)絡也被稱為廣播式網(wǎng)絡。 總線布局的特點：結(jié)構簡單靈活，非常便于擴充；可靠性高，網(wǎng)絡響應速度快；設備 9 量少、價格低、安裝使用方便；共享資源能力強，非常便于廣播式工作，即一個結(jié)點發(fā)送所有結(jié)點都可接收。 (4)安裝容易，使用方便。 (6)在 一定程度上擴充容易，在需要增加新計算機的時候，在總線的任何地方加入都可以 。雖然總線拓撲結(jié)構簡單，可靠性高，但故障的檢測卻很不容易。 (2)故障隔離比較困難。 (3)所有的計算機都在一條總線上，發(fā)送信息時比較容易發(fā)生沖突，故這種結(jié)構的網(wǎng)絡實時性不強。 這種結(jié)構具有費用低、數(shù)據(jù)端用戶入網(wǎng)靈活、站點或某個端用戶失效不影響其它站點或端用戶通信的優(yōu)點。媒體訪問獲取機制較復雜。 這種網(wǎng)絡拓撲結(jié)構是由前面所講的星型結(jié)構和總線型結(jié)構的網(wǎng)絡結(jié)合在一起的網(wǎng)絡結(jié)構，這樣的拓撲結(jié)構更能滿足較大網(wǎng)絡的拓展，解決星型網(wǎng)絡在傳輸 距離上的局限，而同時又解決了總線型網(wǎng)絡在連接用戶數(shù)量的限制。這種網(wǎng)絡拓撲結(jié)構主要用于較大型的局域網(wǎng)中，如果一個單位有幾棟在地理位置上分布較遠（當然是同一小區(qū)中），如果單純用星型網(wǎng)來組整個公司的局域網(wǎng)，因受到星型傳輸介質(zhì) 雙絞線的單段傳輸距離（ 100m）的限制很難成功；如果單純采用總線型結(jié)構來布線則很難承受公司的計算機網(wǎng)絡規(guī)模的需求。但是如果超過 500m 我們只有采用光纜或者粗纜加中繼器來滿足了。這種拓撲結(jié)構主要有以下幾個方面的特點： （ 1）應用相當廣泛：這主要是因它解決了星型和總線型拓撲結(jié)構的不足，滿足了大公司組網(wǎng)的實際需求； （ 2）擴展相當靈活：這主要是繼承了星型拓撲結(jié)構的優(yōu)點。再一個整個網(wǎng)絡非常復雜，維護起來不容易； （ 5）速度較快：因為其骨干網(wǎng)采用高速的同軸電纜或光纜，所以整個網(wǎng)絡在速度上應不受太多的限制。總線型拓撲結(jié)構的訪問控制發(fā)射一般采用分布控制，常用的是 CSMA/CD 與令牌總線型訪問控制方式。為了擴展計算機的臺數(shù)，需要在網(wǎng)絡中添加其他的設備，如中繼器等。 根據(jù)以上設計網(wǎng)絡拓撲結(jié)構的原則及現(xiàn)在常用的總線型、星型、環(huán)型拓撲結(jié)構的特點，設計公司的網(wǎng)絡結(jié)構時采用星型拓撲結(jié)構， 如圖 所示。目前有兩種方案，一是使用動態(tài) IP地址分配（ DHCP），另一種方案是使用靜態(tài)地址分配， 但必須加強 MAC 地址的管理。但是，因為 IP 地址是動態(tài)分配的，網(wǎng)管員不能從 IP地址上鑒定客戶的身份，相應的 IP 層管理將失去作用。 使用靜態(tài) IP 地址分配可以對各部門進行合理的 IP 地址規(guī)劃，能夠在第三層上方便地跟蹤管理， 再加上 對 網(wǎng)卡 MAC 地址的管理， 網(wǎng)絡就會具有更好的可管理性。 綜合以上考慮，由于一期規(guī)劃整個信息點的規(guī)模不是很大，因此從網(wǎng)絡安全的角度出發(fā)，我們建議采用靜態(tài)地址分配的方法。 當隨著以后各期規(guī)劃的實施，整個網(wǎng)絡信息的規(guī)模不斷擴大，則可以考慮采用 DHCP動態(tài) IP 地址分配的方案，設立專門的 DHCP 服務器進行動態(tài) IP 地址分配。 內(nèi)部網(wǎng)絡 IP 地址分配 內(nèi)部網(wǎng)部分可以使用保留地址。保留地址如下： （ 1 個 A類地址）（ ChinaNet 使用該地址段） ； 至 （ 16 個 B 類地址） ； 至 （ 256 個 C類地址） 。如果子網(wǎng)數(shù)大于 254 個，則可以通過修改子網(wǎng)掩碼的方式擴展。根據(jù)二級單位的規(guī)模和信息點的數(shù)量，可以根據(jù)需要進行調(diào)整。 對于重要的 IP 地址（比如領導使用的 IP 地址和各個服務器使用的 IP 地址），采取 IP地址和 MAC 地址綁定的方法，來保證 IP 地址 不被盜用。 外部網(wǎng)絡 IP 地址分配 但是 內(nèi)部服務器中的 WWW 服務器 、 EMAIL 服務器等都需要和外界通訊我們解決這個問題， 我們可以 申請一定數(shù)量的合法 IP 地址，并綁定在在 防火墻的外部網(wǎng)卡上，然后通過IP映射 （ NAT，介紹 PIX 防火墻時有詳細描述） 使發(fā)給其中 X 一個 IP 地址的包轉(zhuǎn)發(fā)至內(nèi)部的 WWW 服務器上，然后再將該內(nèi)部 WWW 服務器響應包偽裝成該合法 IP 發(fā)出的包。 需要申請合法 IP 地址的服務器包括： INTERNET 接入路由器、 WWW 服務器、 EMAIL 服務器、防火墻。檔 ISP 系統(tǒng)擴容時，可以相應增加子網(wǎng)的數(shù)量即可。 為了方便管理， ISP 分配給用戶的 IP 地址都是 內(nèi)部 IP 地址 ， 可以訪問內(nèi)部網(wǎng)絡 。 域名管理 X已注冊域名 從 Inter 訪問 WWW 服務器時， Inter 上的域名解析指向 PIX 防火墻，由防火墻進行 轉(zhuǎn)換指向 WWW 服務器。如果需要訪問 Inter 上的資源，則使用外部 DNS 服務器進行域名解析，得到 目的地的IP 地址。它依靠邏輯設定將原來物理上互連的一個局域網(wǎng)絡劃分為多個虛擬網(wǎng)段，劃分的依據(jù)可為設備所連的端口、用戶節(jié)點的 MAC地址等。劃分的結(jié)果使得同一虛網(wǎng)內(nèi)數(shù)據(jù)可自由通訊，而不同虛網(wǎng)間的數(shù)據(jù)交流則需要通過具有第三層路由功能的設備來完成。 本方案設備從核心層交換機 CISCO catalyst 6500、訪問層交換機 ,到接入層交換機設備都支持 IEEE VLAN 標準，保證了該項技術的順利實施。辦公大樓的訪問層采用 CISCO catalyst 3550 三層交換機 ,部門之間的 VLAN 信息可以通過它來轉(zhuǎn)發(fā)可以減少核心層交換機的負擔 ,在核心層交換機通過 ACL（訪問控制列表）進行 相應的控制，使得用戶的訪問得到完全的控制。 （ 2） 子網(wǎng)二：機關大樓，包括公司領導和機關各處室 （ 3） 子網(wǎng)三：電訊公司 （ 4） 其它每個聯(lián)網(wǎng)二級單位均分配一個子網(wǎng)， 每一個二級單位屬于一個 VLAN，以此提高整個網(wǎng)絡的可靠性和可用性。 互聯(lián)網(wǎng)接入方案 Inter 接入概述 在網(wǎng)絡中心，租用專線（ X 計劃采用虛擬光纖接入方式）接入到 Inter/ChinaNET中，利用 Inter/ ChinaNET 的物理線路資源來實現(xiàn)廣域網(wǎng)絡連接。 網(wǎng)絡連接如 圖 14 圖 當采用 Inter 上的 Web訪問方式時，公司在 Inter 上建立自己的 Web 網(wǎng)站，將要發(fā)布的信息放在 Web 上供用戶查詢、下載， Web 服務器通過防火墻與公司的 Intra 相連。也為電子商務打下基礎。 Cisco 3600 系列是 適合大中型企業(yè)較小型 Inter 服務供應商的一系列模塊化多服務訪問平臺。高性能模塊化體系結(jié)構可以保護客戶的網(wǎng)絡拓撲投資，并將多個設備的功能集成到一個可管理的解決方案中。 Cisco 3640 平臺的新增功能和性能可以啟動新的應用，例如分組語音集合及 T1/E1 IMA 到 OC3 范圍的分支機構 ATM 訪問。目前所有數(shù)字接口還支持 QSIG，包括 T1/E1 和 BRI。此外，與 Call Manager 軟件版本協(xié)作的一個特性使這些產(chǎn)品成為 PBX 和 PSTN IP 電話的完美網(wǎng)關，從而啟動了呼叫轉(zhuǎn)移、保持和會議等應用。主要配置如下： 四插槽 3640 路由器，帶 AC電源， (產(chǎn)品定價中包括 IP軟件 )； 3640 IOS 軟件 2 口 快速 以太網(wǎng) 2個廣域網(wǎng)卡插槽 15 1口廣域網(wǎng) 高速 串口卡 以上配置完全可以滿足一期規(guī)劃中 INTERNET 高速連接的需要。在 X 的企業(yè)網(wǎng)建設中，內(nèi)部網(wǎng)與 Inter/ ChinaNET 公眾網(wǎng)的連接是重要環(huán)節(jié)。 由于 路由器防火墻只能作為過濾器，并不能把內(nèi)部網(wǎng)絡結(jié)構從入侵者眼前隱藏起來 ，只要允許外部網(wǎng)絡上的計算機直接訪問內(nèi)部網(wǎng)絡上的計算機，就存在著攻擊者可以損害內(nèi)部局域網(wǎng)上機器的安全性，并從那里攻擊其他計算機的可能性。 因此，本方案采用兩層防火墻加上應用系統(tǒng)的身份認證和權限管理四層安全措施，來保證網(wǎng)絡安全和應用安全。 軟件防火墻 通過 CISCO 的路有器和訪問服務器本身具有的包過濾功 能和代理服務器的內(nèi)外網(wǎng)隔離功能實現(xiàn)。具體配置 為： （ 1） CISCO SECURE PIX 525 （ 2） 4個 100M 以太網(wǎng)端口 （ 3） 128M 內(nèi)存 （ 4） 600MHZ CPU 身份認證 用戶使用應用系統(tǒng)，不管是從內(nèi)部網(wǎng)絡登錄，還是撥號訪問，還是通過 INTERNET 訪問公司網(wǎng)絡，首先需要通過嚴格的身份認證。 權限管理 每個使用網(wǎng)絡的用戶將受到嚴格的權限限制。 結(jié)構化綜合布線系統(tǒng)（ SCS）是智能化園區(qū)的基礎，有了好的結(jié)構化綜合布線系統(tǒng)，整個企業(yè)園區(qū)很容易就能成為智能園區(qū)，為企業(yè)各層次用戶提供最佳、最便捷的服務。 （ 2） 可靠性：網(wǎng)絡中心是廠區(qū)的中心樞紐所在，對結(jié)構化布線系統(tǒng)和以后的應用系統(tǒng)的可靠性要求是相當嚴格的，它應能防止各種可能出現(xiàn)的故障性癱瘓。 （ 4） 易擴性：布線系統(tǒng)和網(wǎng) 絡的投資保護和節(jié)省很大程度上是取決于系統(tǒng)能否擴展以及標準化、開放性和設計容量等。 （ 6） 可維護性：對于大規(guī)模的布線系統(tǒng)和大范圍分布的網(wǎng)絡，其差錯與故障診斷，維護和重組，系統(tǒng)重配置等功能是必不可少的。 PDS 設計方案的目的就是要以經(jīng)濟實用，科學合理的最新技術，對 X 集團的語音、數(shù)據(jù)、視頻、圖像等進行自動化管理。當這些智能系統(tǒng)需要集成共同發(fā)揮作用或單獨實施功能運行時，可以非常方便靈活地在綜合布線系統(tǒng)平臺上實現(xiàn)。我們按“ 3A”大廈標準設計，選用美國 LUCENT 公司的 PDS 結(jié)構化綜合布線系統(tǒng)產(chǎn)品。 大型企業(yè)園區(qū)布線應采用總體分布式、局部集中 式。 水平線路每條均按 4對（八芯）配備，選用超五類非屏蔽雙絞線，既可滿足了近期需要，又為將來應用多媒體技術打下了基礎，并滿足