【正文】 可用網(wǎng)絡(luò)前提下 ， 改進(jìn)、擴(kuò)充原有網(wǎng)絡(luò)為原則， 實現(xiàn)對 企業(yè) 局域網(wǎng)全面的 改革更新 。 主要是采用現(xiàn)在最流行的萬兆網(wǎng)絡(luò)結(jié)合市場非常成熟的千兆以太網(wǎng)絡(luò)，利 6 用 cisco 主流品牌 的硬件實現(xiàn)網(wǎng)絡(luò) 互聯(lián) 、訪問 控制 、防火墻技術(shù)等 。 關(guān)鍵詞：企業(yè)網(wǎng) 網(wǎng) .絡(luò)設(shè)計 設(shè)計方案 分析與設(shè)計 中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 7 第 二 部分 網(wǎng)絡(luò)需求分析和設(shè)計目標(biāo) 創(chuàng)新電子 網(wǎng)絡(luò)現(xiàn)狀 以及問題 創(chuàng)新電子背景 湖南創(chuàng)新科技 電子有限公司（簡稱： 創(chuàng)新電子 ）創(chuàng) 辦于 2021 年，現(xiàn)國內(nèi) 有 1個分支機(jī)構(gòu) 和 5 個 大的 部門另加科研中心 、 營銷大樓和三個廠區(qū) 。作為 長沙 市 重點(diǎn) 工業(yè)企業(yè)、 湖南省著名 電子企業(yè)和 湖南省電子設(shè)備 出口企業(yè) 重點(diǎn)單位 和 湖南省百強(qiáng)企業(yè) ，市場潛力巨大。用戶接入主要采用以太網(wǎng)交換機(jī)和集線器。整個 創(chuàng)新電子 的總部網(wǎng)絡(luò)設(shè)備有一條 128K 專線通過 Cisco2511 與 Inter 相連接。舊網(wǎng)不足及需求分析如下 ： 1． 中心交換機(jī)三臺，出現(xiàn)故障就會影響網(wǎng)絡(luò)的應(yīng)用、帶寬有限。 2． 原有的廠區(qū) 、 營銷中心大樓 和 科研 中心 已完成早期局域網(wǎng)建設(shè)并接入中心接點(diǎn)。現(xiàn)需要將所有的接點(diǎn)與中心相連接。再 加上許多新 應(yīng)用的逐步引入，對網(wǎng)絡(luò)的依賴和帶寬的需求會越來越高 。由于業(yè)務(wù)的擴(kuò)展，分公司都希望企業(yè)總部能夠與各分支機(jī)構(gòu)互聯(lián)互通 。 5． 新型應(yīng)用需求增加，并發(fā)數(shù)據(jù)量增大，突發(fā)性操作頻繁，對原有網(wǎng)絡(luò)的安 8 全性、實時性提出挑戰(zhàn)。 6． 今后根據(jù)實際應(yīng)用，還將逐步增加相應(yīng)的服務(wù)器，如 DHCP、 ERP 等必須的服務(wù)器和辦公自動化、銷售、財務(wù)等應(yīng)用級服務(wù)器，隨著電子商務(wù)全面開展，服務(wù)器將有可能大量的增加。 企業(yè)網(wǎng)絡(luò)需求分析 企業(yè)的接入網(wǎng)關(guān)像是連接企業(yè)各個部門的大動脈，脈搏的跳動需要原動力和一定 的免役功能，也就是說企業(yè)網(wǎng)絡(luò)建設(shè)必須保證網(wǎng)絡(luò)的高效、穩(wěn)定、可靠、安全、靈活 和 易管理等方面，企業(yè)網(wǎng)絡(luò)的生命才能延續(xù)并富有激情 。 運(yùn)用國內(nèi)外的成熟、先進(jìn)技術(shù)，把握發(fā)展的大趨勢，結(jié)合實際情況、特點(diǎn)、使用需求及未來發(fā)展，提出以下建設(shè)原則： 經(jīng)濟(jì)使用性 建設(shè)企業(yè) 網(wǎng)絡(luò)必須經(jīng)濟(jì)實用且具有很高的性價 比 ， 能夠完成企業(yè)需求的前提下最大可能提供擴(kuò)展功能 。因此，要求負(fù)責(zé)寬帶接入的 路由器 具有高穩(wěn)定性和自我恢復(fù)能力，從而保證網(wǎng)絡(luò)可靠穩(wěn)定的運(yùn)行。但也要兼顧技術(shù)的成熟性、標(biāo)準(zhǔn)性、實用性考慮，不采用還未成為標(biāo)準(zhǔn)的技術(shù)及設(shè)備接口，降低由于新技術(shù)和新產(chǎn)品不成熟等因素給用戶帶來的風(fēng)險。同時，設(shè)備應(yīng)采用開放技術(shù)、支持標(biāo)準(zhǔn)，具有良好的 聯(lián) 通性，能夠支持同一廠家 不同系列的產(chǎn)品以及不同廠家的產(chǎn)品之間的無縫連接與通信。網(wǎng)絡(luò)安全問題也一直困擾著中小企業(yè)，給中小企業(yè)所造成的損失不可估量。同時，企業(yè)內(nèi)部員工對網(wǎng)絡(luò)的不正當(dāng)使用，降低了生產(chǎn)率 ， 消耗了 企業(yè)網(wǎng)絡(luò)資源 ， 并引入病毒和間諜程序 。因此我們在網(wǎng)絡(luò)設(shè)備的選擇上一定要具備內(nèi)外網(wǎng)防護(hù)能力。隨著計算機(jī)技術(shù)的高速發(fā)展，基于 網(wǎng)絡(luò)的各種應(yīng)用日益增多，今天的企業(yè)網(wǎng)絡(luò)已經(jīng)發(fā)展成為一個多業(yè)務(wù)承載平臺。因此，數(shù)據(jù)流量將大大增加，尤其是對核心網(wǎng)絡(luò)的數(shù)據(jù)交換能力提出了前所未有的要求。所以，核心層及骨干 層必須具有萬兆位級帶寬和處理性能，才能構(gòu)筑一個暢通無阻的 高品質(zhì) 的 企業(yè)網(wǎng)，從而適應(yīng)網(wǎng)絡(luò)規(guī)模擴(kuò)大，業(yè)務(wù)量日益增長的需要。隨著企業(yè)各種業(yè)務(wù)應(yīng)用逐漸轉(zhuǎn)移到計算機(jī)網(wǎng)絡(luò)上來，網(wǎng)絡(luò)通信的無中斷運(yùn)行已經(jīng)成為保證企業(yè)正常生產(chǎn)運(yùn)營的關(guān)鍵。業(yè)務(wù)的可靠性 需求 網(wǎng)絡(luò)設(shè)備在故障倒換過程中，是否對業(yè) 務(wù)的正常運(yùn)行有影響。 所以 10 我們這里采用了鏈路冗余技術(shù)，服務(wù)器冗余技術(shù)，熱備粉技術(shù)還有 UPS 來保證企業(yè)網(wǎng)絡(luò)的正常運(yùn)行 服務(wù)質(zhì)量需求 企業(yè)網(wǎng)絡(luò)需要提供完善的端到端 QoS 保障，以滿足企業(yè)網(wǎng)多業(yè)務(wù)承載的需求。同時能夠調(diào)度網(wǎng)絡(luò)中的資源，保證重要和緊 急業(yè)務(wù)的帶寬、時延、優(yōu)先級和無阻塞的傳送，實現(xiàn)對業(yè)務(wù)的合理調(diào)度才是一個企業(yè)網(wǎng)絡(luò)提供 高品質(zhì) 服務(wù)的保障。傳統(tǒng)企業(yè)網(wǎng)絡(luò)的安全措施主要是通過部署防火墻、殺毒軟件，以及配合交換機(jī)或路由器的 ACL 來實現(xiàn)對病毒和黑客攻擊的防御 。 應(yīng)用服 務(wù)需求 企業(yè)網(wǎng)絡(luò)應(yīng)具備更智能的網(wǎng)絡(luò)管理解決方案，以適應(yīng)網(wǎng)絡(luò)規(guī)模日益擴(kuò)大，維護(hù)工作更加復(fù)雜的需要。 新的 應(yīng)用服務(wù) 需要 網(wǎng)絡(luò)運(yùn)行期間對不同用戶靈活的服務(wù)策略部署、訪問控制 權(quán)限 、以及網(wǎng)絡(luò)日志審計和病毒控制能力等方面的管理工作 。分析不同的 企業(yè)網(wǎng)，我們可以找出一些相似的基本特征： 網(wǎng)絡(luò)結(jié)構(gòu)的復(fù)雜性： 一個大型的企業(yè)網(wǎng)絡(luò)，往往由分布在廣泛地域的分支機(jī)構(gòu)所屬的眾多局域網(wǎng)組成，各個網(wǎng)絡(luò)之間的連接可能包括專線、 VPN、拔號以及寬帶接入等多種互聯(lián)方式。 不但包括企業(yè)內(nèi)部生產(chǎn)鏈的數(shù)據(jù)業(yè)務(wù)，還包括 WWW、 MAIL、 FTP 等業(yè)務(wù)數(shù)據(jù)流，與合作伙伴、供應(yīng)商之間的供應(yīng)鏈業(yè)務(wù)數(shù)據(jù)流 。 速度：提高企業(yè)的競爭力與生產(chǎn)效率，就必須使自己的信息系統(tǒng)在保證安全的情況下實現(xiàn)快速地信息流通。 設(shè)計原則 企業(yè)網(wǎng)絡(luò) 建設(shè)應(yīng)按照 “統(tǒng)一規(guī)劃、統(tǒng)籌安排、統(tǒng)一標(biāo)準(zhǔn)、分步實施 ”的原則進(jìn)行，避免重復(fù)投入、重復(fù)建設(shè)，充分考慮整體和局部的利益。所以，選購設(shè)備要充分注意先進(jìn)性，選擇硬件要預(yù)測到未來發(fā)展方向，選擇軟件要考慮開放性，工具性和軟件集成 優(yōu)勢。 實用性原則 系統(tǒng)的設(shè)計既要在相當(dāng)長的時間內(nèi)保證其先進(jìn)性，還應(yīng)本著實用的原則，在實用的基礎(chǔ)上追求先進(jìn)性。 12 安全性原則 企業(yè)計算機(jī)網(wǎng)絡(luò)都與外部網(wǎng)絡(luò)互通日益增加，直接或間接與國際互 聯(lián) 網(wǎng)連接。因此，在系統(tǒng)方案設(shè)計需考慮到系統(tǒng)的可靠性、信息安全性和保密性的要求。 5 靈活性原則 采用結(jié)構(gòu)化、模塊化的設(shè)計形式，滿足系統(tǒng)及用戶各種不同的應(yīng)用要求，適應(yīng)業(yè)務(wù)調(diào)整。 設(shè)計 拓?fù)鋱D分析 企業(yè)拓?fù)淠軌蜃钪庇^反映企業(yè)網(wǎng)絡(luò)的結(jié)構(gòu) 。如圖 31： 中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 13 圖 3－ 1 企業(yè)網(wǎng)拓?fù)?結(jié)構(gòu) 在這個中小型企業(yè)園區(qū)網(wǎng)的設(shè)計中，我們采用層次化模型來設(shè)計網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。層次模型模塊化的特性使網(wǎng)絡(luò)中的每一層都能夠很好地利用帶寬，減少了對系統(tǒng)資源的浪費(fèi)。 易于擴(kuò)展 在網(wǎng)絡(luò)設(shè)計中，模塊化具有的特性使得網(wǎng)絡(luò)增長時網(wǎng)絡(luò)的復(fù)雜性能夠限制在子網(wǎng)中，而不會蔓延到網(wǎng)絡(luò)的其他地方。 易于排錯 層次化設(shè)計能夠使網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分解為易于理解的子網(wǎng)，網(wǎng)絡(luò)管理者能夠 14 輕易地確定網(wǎng)絡(luò)故障的范圍，從而簡化了排錯過程。 以 TCP/IP協(xié)議為主，服務(wù)器機(jī)群 網(wǎng)管中心 與核心層交換機(jī)連接。 核心層網(wǎng)絡(luò)設(shè)計 在核心層中，考慮到企業(yè)原先已經(jīng)在使用了一臺核心交換機(jī)。為此，從為企業(yè)網(wǎng)絡(luò)建設(shè)的拓展性能需求出發(fā)，我們將充分利用此核心交換機(jī) 作為辦公區(qū)的匯 聚層交換 。 匯聚層網(wǎng)絡(luò)設(shè)計 匯聚層網(wǎng)絡(luò)主要完成企業(yè)各園區(qū)內(nèi)辦公樓宇和相關(guān)單位的內(nèi)接入交換機(jī)的匯聚及數(shù)據(jù)交換和 VLAN 中繼 ，在本方案中采用 CISCO3560 這臺原有的核心 三 層交換機(jī)作為匯聚層面的交換機(jī)。能夠同時提供多個高速專用堆疊端口和百兆、千兆光口 /電口 還有二 個 線速萬兆以太網(wǎng)上行鏈路端口 。為用戶提供豐富、高性價比的組網(wǎng)選擇。 Cisco2950 智能寬帶接入交換機(jī) 是 能 滿足高安全、多業(yè)務(wù)承載、高性能的網(wǎng)絡(luò)環(huán)境智能交換機(jī) ，具備傳統(tǒng)二層交換機(jī)大容量、高性能等優(yōu)點(diǎn)，同時還具有領(lǐng)先的安全特性，進(jìn)一步加強(qiáng)了企業(yè)網(wǎng)絡(luò)對邊緣接入中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 15 層面的安全控制能力。該產(chǎn)品具備 智能的服務(wù)質(zhì)量（ QoS）、限速、訪問控制列表（ ACL）和多播服務(wù) 等功能可以很好的協(xié)助用戶實現(xiàn)網(wǎng)絡(luò)的管理和維護(hù) 。 拓?fù)?冗余 /負(fù)載均衡設(shè)計 冗余設(shè)計是網(wǎng)絡(luò)設(shè)計的重要部分，是保證網(wǎng)絡(luò)整體可靠性能的重要手段。部分 企 業(yè)園區(qū) 網(wǎng)在早期的建設(shè)中由于成本的原因并未在設(shè)計中考慮冗余問題 。萬一網(wǎng)絡(luò)中某條路徑失效時，冗余鏈路可以提供另一條物理路徑。也可采用生成樹協(xié)議（ ）提供設(shè)備級的冗余連接。成員互相動態(tài)備份。與生成樹協(xié)議不同， HSRP 啟用備份的過程對聚合之外是不可見的，而且啟用備份過程只在鏈路內(nèi)，與其它鏈路無關(guān)，切換可在數(shù)毫秒內(nèi)完成。每個交換區(qū)塊都有冗余的連接到核心交換機(jī)上，因此形成兩條不同的，但是等代價的連接。第 3 層路由選擇協(xié) 議在核心中起鏈路選擇的作用。 16 服務(wù)器冗余設(shè)計 企業(yè)網(wǎng)中服務(wù)器、大型機(jī)，如網(wǎng)絡(luò)存儲服務(wù)器， SQL Server 服務(wù)器，其存儲的數(shù)據(jù)對于企業(yè)來說致關(guān)重要，一些核心數(shù)據(jù)被視為企業(yè)的生命。為此，我們采用的是雙機(jī)熱備技術(shù) ，此技術(shù)能夠有效的滿足核心服務(wù)器 高效，穩(wěn)定的高要求。 如圖 33 圖 3－ 3 服務(wù)器冗余 具體技術(shù)實現(xiàn)：每個核心服務(wù)器均具有兩個以太網(wǎng)接口（可以通過安裝雙網(wǎng)卡實現(xiàn)），在此基礎(chǔ)上，以上圖為例， 數(shù)據(jù) 服務(wù)器 A 與 數(shù)據(jù) 服務(wù)器 B 先分別利用自己的一個以太網(wǎng)接口實現(xiàn)兩個服務(wù)器之間的直連，每個服務(wù)器另外的一個接口則與 服務(wù)器 區(qū)的網(wǎng)絡(luò)實現(xiàn)互連，以達(dá)到雙機(jī)熱備的目的。 HSRP 熱備份 采用 HSRP 進(jìn)行備份的一組 設(shè)備 共用一個虛擬的 MAC 地址及虛擬 IP 地址，每個參與 HSRP 的局域端口有一個本端口的 IP 地址和 MAC 地址 ，每個路由器都有一個權(quán)值，權(quán)值最高的作為主路由器進(jìn)行工作，其它的不工作，當(dāng)主路由器癱瘓時，第二個權(quán)值最高的路由器將作為主路由器，依次類推。如果主路由器在一段時間內(nèi)不發(fā)送這種信息包，其它備份路由器將認(rèn)為該路由器已壞，權(quán)值電高的備份路由器將接管虛擬中小型電子企業(yè)網(wǎng)絡(luò)的分析和設(shè)計 17 MAC 地址和 IP 地址，并負(fù)責(zé)傳輸數(shù)據(jù)。另外， HSRP允許路由器對某些端口的工作狀態(tài)進(jìn)行監(jiān)測，一旦這個端口出現(xiàn)故障，也進(jìn) 行自動切換。 它是一個 OSI 參考模型第二層的通信協(xié)議，主要用于管理在同一個域的網(wǎng)絡(luò)范圍內(nèi) VLAN 的建立、刪除和重命名。這些交換機(jī)會自動地接收這些配置信息，使其 VLAN 的配置與 VTP Server 保持一致，從而減少在多臺設(shè)備上配置同一個 VLAN 信息的工作量，而且保持了 VLAN 配置的統(tǒng)一性。應(yīng)用 NAT 可以 進(jìn)行地址轉(zhuǎn)換。 NAT用來將你的私有 IP 地址轉(zhuǎn)換為全球的外部地址 ,在 inter 上使用，從而保護(hù)和隱藏內(nèi)部網(wǎng)絡(luò)中的 IP 地址?，F(xiàn)實中一般用于服務(wù)器 動態(tài) NAT： 動態(tài)地址轉(zhuǎn)換也 是將本地地址與內(nèi)部合法地址一對一的轉(zhuǎn)換，但是動態(tài)地址轉(zhuǎn)換是從內(nèi)部合法地址池中動態(tài)地選擇一個末使用的地址對內(nèi)部本地地址進(jìn)行轉(zhuǎn)換。我們通過這些設(shè)置來滿足實際網(wǎng)絡(luò)的靈活需求， 從而達(dá)到設(shè)置網(wǎng)絡(luò)安全策略，防止網(wǎng)絡(luò)中的敏感設(shè)備受到非授權(quán)訪問的情況。而擴(kuò)展訪問列表則可以提供更細(xì)的決定，它可以具體到端口，從而 精確到某一個服務(wù)，給我們網(wǎng)絡(luò)的策略提供了更細(xì)的控制手段。標(biāo)準(zhǔn)訪問控制列表一般放在靠近目標(biāo)的路由器上 ,而擴(kuò)展訪問控制列表一般放于近源端的路由器上。一個 VLAN 組成一個邏輯子網(wǎng)，即一個邏輯廣播域，它可以覆蓋多個網(wǎng)絡(luò)設(shè)備，允許處于不同地理位置的網(wǎng)絡(luò)用戶加入到一個邏輯子網(wǎng)中。 第 2 層交換式網(wǎng)絡(luò)的最大好處是，它為插入到交換機(jī)每個端口的每臺設(shè)備創(chuàng)建了各自的沖突域。 從技術(shù)上說 VLAN 可以分為靜態(tài) VLAN 和動態(tài) VLAN,那么靜 態(tài)的 VLAN 是基于交換機(jī)端口進(jìn)行劃分，根據(jù)網(wǎng)絡(luò)設(shè)備連接不同的交換機(jī)端口， 則進(jìn)入相應(yīng)的 VLAN。 VLAN 可以減少了廣播數(shù)據(jù)對帶寬的浪費(fèi) ,避免了廣播風(fēng)暴危害 .各個系在地理位置上進(jìn)行邏輯分隔開 ,并在匯聚層做訪問控制， 減小不必要的廣播流量， 限制對關(guān)鍵部門 (如財務(wù) ,銷售 )，等等， 從而提高網(wǎng)絡(luò)的利用效率 ，提高安全性和網(wǎng)絡(luò)性能。 DHCP 中繼原理： DHCP 客戶使用 IP 廣播來尋找同一網(wǎng)段上的 DHCP 服務(wù)器。 DHCP 中繼的使用使得一個 DHCP 服務(wù)器同時為多個網(wǎng)段服務(wù)成為可能。通過使用該命令，路由器可以配置為接受廣播請求，然后將其以單播方式轉(zhuǎn)發(fā)個指定 IP 地址。 PIX有很多型號，并發(fā)連接數(shù)是