【正文】 的具體層次。此設(shè)置使IT部門能在不影響用戶移動(dòng)性的情況下，以最低管理開銷實(shí)施強(qiáng)大的安全策略。ACL查詢?cè)谟布型瓿?，故此在?shí)施基于ACL的安全性時(shí)不會(huì)影響轉(zhuǎn)發(fā)性能。它也可用于限制插入一個(gè)交換機(jī)端口的總設(shè)備數(shù)目，因此可使交換機(jī)免遭MAC泛洪攻擊，降低了惡意無線接入點(diǎn)或集線器接入的風(fēng)險(xiǎn)。此外DHCP接口跟蹤器(選項(xiàng)82) 特性可為主機(jī)IP地址請(qǐng)求添加交換機(jī)端口ID，有助于實(shí)現(xiàn)對(duì)于IP地址分配的精確控制。SSHv2和SNMPv3對(duì)管理和網(wǎng)絡(luò)管理信息加密，保護(hù)網(wǎng)絡(luò)免遭干擾或竊聽。此外，可在交換機(jī)上配置本地用戶名和密碼數(shù)據(jù)庫(kù)。（4）可用性和可擴(kuò)展性Cisco Catalyst 2960系列配備了強(qiáng)大的特性集，通過組播過濾和旨在第二層網(wǎng)絡(luò)中提供最高可用性的全套生成樹協(xié)議改進(jìn)，實(shí)現(xiàn)了網(wǎng)絡(luò)可擴(kuò)展性及更高可用性。PVST+可在冗余鏈路上進(jìn)行第二層負(fù)載共享，以有效使用冗余設(shè)計(jì)中的額外容量。Flexlink提供了不到100ms的雙向、快速收斂。（5）高級(jí)QoSCisco Catalyst 2960提供了出色的多層QoS特性，確保網(wǎng)絡(luò)流量進(jìn)行了分類和優(yōu)先級(jí)劃分，并以最好的方式避免了擁塞。這優(yōu)化了流量?jī)?yōu)先級(jí)劃分和網(wǎng)絡(luò)可用性，且不會(huì)帶來復(fù)雜配置的問題。分組分類使網(wǎng)絡(luò)元素可區(qū)分不同流量，并根據(jù)第二層和第三層QoS實(shí)施策略。分類和再分類可根據(jù)源或目的地IP地址、源或目的地MAC地址或者第4層TCP/UDP端口等標(biāo)準(zhǔn)進(jìn)行。所有端口上都支持控制平面和數(shù)據(jù)平面ACL，確保每個(gè)分組得到正確的處理。在出口，交換機(jī)執(zhí)行排程和擁塞控制。Catalyst 2960系列交換機(jī)支持整形循環(huán)（SRR）和嚴(yán)格優(yōu)先級(jí)隊(duì)列。這些QoS特性使網(wǎng)絡(luò)管理員能將關(guān)鍵任務(wù)和帶寬密集型流量劃為較高優(yōu)先級(jí)，其中包括企業(yè)資源規(guī)劃（ERP）、語(yǔ)音（IP電話流量）和計(jì)算機(jī)輔助設(shè)計(jì)及制造（CAD/CAM）等，而將FTP或電子郵件等對(duì)應(yīng)用劃為較低優(yōu)先級(jí)。通過確保語(yǔ)音流量在網(wǎng)絡(luò)中得到正確分類和優(yōu)先級(jí)劃分，可避免此情況。Catalyst 2960系列能通過對(duì)思科承諾信息速率（CIR）功能的支持而執(zhí)行速率限制。帶寬的分配根據(jù)若干標(biāo)準(zhǔn)進(jìn)行，包括MAC源地址、MAC目的地地址、IP源地址、IP目的地地址和TCP/UDP端口號(hào)。 系統(tǒng)分析 關(guān)鍵網(wǎng)絡(luò)系統(tǒng)Cisco 2620路由器、Cisco Catalyst 2950 24口交換機(jī)（WSC295024）、Cisco Catalyst 3560交換機(jī) 網(wǎng)絡(luò)解決辦法對(duì)校園網(wǎng)系統(tǒng)整體方案設(shè)計(jì)；對(duì)訪問層交換機(jī)進(jìn)行配置；對(duì)分布層交換機(jī)進(jìn)行配置；對(duì)核心層交換機(jī)進(jìn)行配置；對(duì)廣域網(wǎng)接入路由器配置；對(duì)遠(yuǎn)程訪問服務(wù)器進(jìn)行配置；對(duì)整個(gè)校園網(wǎng)系統(tǒng)進(jìn)行診斷 技術(shù)分析路由、交換與遠(yuǎn)程訪問技術(shù)是現(xiàn)代計(jì)算機(jī)網(wǎng)絡(luò)領(lǐng)域中三大支撐技術(shù)體系。路由器具有在網(wǎng)絡(luò)中傳遞數(shù)據(jù)時(shí)選擇最佳路徑的能力。在本次設(shè)計(jì)中，內(nèi)網(wǎng)用戶不僅通過路由器接入因特網(wǎng)、內(nèi)網(wǎng)用戶之間也通過3層交換機(jī)上的路由功能進(jìn)行數(shù)據(jù)包交換?，F(xiàn)代交換技術(shù)還實(shí)現(xiàn)了第3層交換和多層交換。 現(xiàn)代交換網(wǎng)絡(luò)還引入了虛擬局域網(wǎng)（Virtual LAN，VLAN）的概念。在VLAN間需要通信的時(shí)候，可以利用VLAN間路由技術(shù)來實(shí)現(xiàn)。然后通過VTP協(xié)議將VLAN定義傳播到本管理域中的所有交換機(jī)上。當(dāng)園區(qū)網(wǎng)絡(luò)的交換機(jī)數(shù)量增多、交換機(jī)間鏈路增加時(shí)，交換網(wǎng)絡(luò)的復(fù)雜性可能會(huì)造成交換環(huán)路問題，這需要通過在各交換機(jī)上運(yùn)行生成樹協(xié)議（Spanning Tree Protocol，STP）來解決。一般分為三層設(shè)計(jì)模型。第3章 系統(tǒng)詳細(xì)設(shè)計(jì) 　系統(tǒng)組成與拓?fù)浣Y(jié)構(gòu)在此次網(wǎng)絡(luò)工程設(shè)計(jì)中，為了實(shí)現(xiàn)整個(gè)工程設(shè)計(jì)設(shè)備的統(tǒng)一性，本設(shè)計(jì)方案中完全采用同一廠家的網(wǎng)絡(luò)產(chǎn)品，即Cisco公司的網(wǎng)絡(luò)設(shè)備構(gòu)建?！　”拘@網(wǎng)設(shè)計(jì)方案主要由以下四大部分構(gòu)成：交換模塊、廣域網(wǎng)接入模塊、遠(yuǎn)程訪問模塊、服務(wù)器群。（省略了部分拓?fù)湫畔ⅲ? 圖31　校園網(wǎng)整體拓?fù)浣Y(jié)構(gòu)圖 　VLAN及IP地址規(guī)劃整個(gè)校園網(wǎng)中VLAN及IP編址方案如圖311所示：圖311　VLAN及IP編址方案在此次設(shè)計(jì)中，我規(guī)劃了15個(gè)VLAN，并為每個(gè)VLAN定義了一個(gè)由拼音縮寫組成的VLAN名稱。園區(qū)網(wǎng)數(shù)據(jù)交換設(shè)備可劃分為三個(gè)層次：訪問層、分布層、核心層。這里的訪問層交換機(jī)采用的是Cisco Catalyst 2950 24口交換機(jī)。我們以拓?fù)鋱D中的訪問層交換機(jī)XingZhengLou為例進(jìn)行介紹。一般我們會(huì)以地理位置或行政劃分來為交換機(jī)命名。如圖322所示，為訪問層交換機(jī)XingZhengLou命名。此口令會(huì)以MD5的形式加密，因此，當(dāng)用戶查看配置文件時(shí)，無法看到明文形式的口令。但是，處于安全考慮，在能夠遠(yuǎn)程管理交換機(jī)之前網(wǎng)絡(luò)管理人員必須設(shè)置遠(yuǎn)程登錄交換機(jī)的口令。在設(shè)置的時(shí)間內(nèi)，如果沒有檢測(cè)到鍵盤輸入，IOS將斷開用戶和交換機(jī)之間的連接。圖325　設(shè)置控制臺(tái)終端線路和虛擬終端線路的超時(shí)時(shí)間（5）設(shè)置禁用IP地址解析特性交換機(jī)默認(rèn)配置的情況下，當(dāng)我們輸入一條錯(cuò)誤的交換機(jī)命令時(shí)，交換機(jī)會(huì)嘗試將其廣播給網(wǎng)絡(luò)上的DNS服務(wù)器并將其解析成對(duì)應(yīng)的IP地址?？梢越眠@個(gè)特性如圖326所示，設(shè)置禁用IP地址解析特性。因此，給訪問層交換機(jī)的每個(gè)端口設(shè)置IP地址是沒意義的。這種情況下，實(shí)際上是將交換機(jī)看成和PC機(jī)一樣的主機(jī)。按照表31，管理VLAN所在的子網(wǎng)是：，這里將訪問層交換機(jī)XingZhengLou的管理IP地址設(shè)為：如圖327所示，顯示了為訪問層交換機(jī)XingZhengLou設(shè)置管理IP并激活本征VLAN。如圖328所示。同時(shí)，將分布層交換機(jī)DistributeSwitch1設(shè)置成為VTP服務(wù)器，其他交換機(jī)設(shè)置成為VTP客戶機(jī)。如圖329所示，設(shè)置訪問層交換機(jī)XingZhengLou成為VTP客戶機(jī)。在了解對(duì)端設(shè)備類型的情況下，建議手動(dòng)設(shè)置端口雙工模式。圖3210設(shè)置訪問層交換機(jī)XingZhengLou的端口工作模式　（2）端口速度 可以設(shè)定某端口根據(jù)對(duì)端設(shè)備速度自動(dòng)調(diào)整本端口速度，也可以強(qiáng)制將端口速度設(shè)為10Mpbs或100Mbps。如圖3211所示，設(shè)置訪問層交換機(jī)XingZhengLou的所有端口的速度均為100Mbps。在圖中，訪問層交換機(jī)XingZhengLou為VLANVLANVLAN4提供接入服務(wù)。在能夠轉(zhuǎn)發(fā)用戶的數(shù)據(jù)包之前，某個(gè)端口可能最多要等50秒鐘的時(shí)間（20秒的阻塞時(shí)間＋15秒的偵聽延遲時(shí)間＋15秒的學(xué)習(xí)延遲時(shí)間）。為了加速交換機(jī)端口狀態(tài)轉(zhuǎn)化時(shí)間，可以設(shè)置將某端口設(shè)置成為快速端口（Portfast）。如圖3213所示，設(shè)置訪問層交換機(jī)XingZhengLou的端口1～端口20為快速端口。同時(shí)，訪問層交換機(jī)XingZhengLou還通過端口FastEthernet 0/24上連到分布層交換機(jī)DistributeSwitch2的端口FastEthernet 0/20。 如圖3214所示，設(shè)置訪問層交換機(jī)XingZhengLou的端口FastEthernet 0/2FastEthernet 0/24為主干道端口。同時(shí)，它們也通過自己的FastEthernet 0/23 、FastEthernet 0/24上連到分布層交換機(jī)DistributeSwitchDistributeSwitch2的端口上。這里就不再詳細(xì)分析了。這里的分布層交換機(jī)采用的是Cisco Catalyst 3550交換機(jī)。我們以圖3215中的分布層交換機(jī)DistributeSwitch1為例進(jìn)行介紹。這里，只給出實(shí)際的配置步驟，不再給出解釋。同時(shí)，還設(shè)置了默認(rèn)網(wǎng)關(guān)的地址。工作量很大、過程很繁瑣，并且容易出錯(cuò)。VTP允許我們?cè)谝慌_(tái)交換機(jī)上創(chuàng)建所有的VLAN。同時(shí)，有關(guān)VLAN的刪除、參數(shù)更改操作均可傳播到其他交換機(jī)。在本校園網(wǎng)實(shí)現(xiàn)實(shí)例中使用了VTP技術(shù)。（1）配置VTP管理域 共享相同VLAN定義數(shù)據(jù)庫(kù)的交換機(jī)構(gòu)成一個(gè)VTP管理域。不同VTP管理域的交換機(jī)之間不交換VTP通告信息。圖3218　設(shè)置VTP管理域的域名（2）設(shè)置VTP服務(wù)器 工作在VTP服務(wù)器模式下的交換機(jī)可以創(chuàng)建、刪除VLAN、修改VLAN參數(shù)。如圖3219所示，設(shè)置分布層交換機(jī)DistributeSwitch1成為VTP服務(wù)器。網(wǎng)絡(luò)技術(shù)的發(fā)展是永無止境的，在前進(jìn)的過程中必 將有更多的知識(shí)需要我們?nèi)W(xué)習(xí)與研究，并能將其應(yīng)用到實(shí)際的網(wǎng)絡(luò)工程建設(shè)之中。本設(shè)計(jì)是吉林省經(jīng)濟(jì)管理干部學(xué)院譚曉輝老師的指導(dǎo)下完成的，還得到了多位同學(xué)的指點(diǎn)與幫助，我在此對(duì)傳授我知識(shí)的各位老師和幫助我的同學(xué)表示崇高的敬意和誠(chéng)摯的謝意