【正文】 達(dá)目標(biāo)的最優(yōu)路徑。它使用三張表：鄰 第 14 頁(yè)共 25 頁(yè) 居表，拓?fù)浔恚酚杀?，通過(guò)這 3張表，每個(gè)路由器都能獨(dú)立的獲得前往每個(gè)目標(biāo)的路徑，而不象距離矢量協(xié)議那樣依靠鄰居來(lái)發(fā)現(xiàn)路由。確保了路由的真實(shí)可靠。 本方案中路由器與 Inter 網(wǎng)之間用 OSPF路由協(xié)議，來(lái)實(shí)現(xiàn)它們之間的通信。 OSPF路由協(xié)議的主要特點(diǎn)有： (1) 路由器擁有整個(gè)網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)信息，路由收斂快速。 (2)用增量方式更新路由表，即只更新變化的路由表項(xiàng)，節(jié)約帶寬資源。 (3)支持可變長(zhǎng)子 網(wǎng)掩碼。 (4)支持 CIDR以及路由聚合（ Routing Summary）。 (5)支持路由信息驗(yàn)證。 OSPF路由更新過(guò)程 (1)運(yùn)行 OSPF 的路由器從它所有啟用了 OSPF 的接口向外發(fā)送 Hello 包。如果 2 臺(tái)路由器共享某條 數(shù)據(jù)鏈路 ，并能夠使 Hello 包中所定義的某些參數(shù)協(xié)商成功，那么這 2 臺(tái)路由器就可以成為鄰居（ Neighbor） (2)鄰接（ Adjacency）可以想象成一條由鄰居之間形成虛擬的點(diǎn)到點(diǎn)鏈路，每個(gè)路由器都發(fā)送鏈路狀態(tài)宣告（ link state advertisement， LSA）給它的鄰居。LSA 描述了所有的路由器的鏈路或接口信息和鏈路的狀態(tài)信息。 (3)當(dāng)路由器收到從鄰居發(fā)來(lái)的 LSA，就把這個(gè) LSA 記錄在自己的鏈路狀態(tài)數(shù)據(jù)庫(kù) 里（ link state database， LSDB），然后拷貝該 LSA，繼續(xù) 發(fā)送給別的鄰居。 (4)通過(guò)在整個(gè)區(qū)域洪泛（ flood） LSA，所有的路由器將建立一致的 LSDB，當(dāng)所有路由器的 LSDB 的信息同步完成以后，路由器就各自使用 SPF（最短路徑優(yōu)先， Shortest Path First）算法計(jì)算到達(dá)目標(biāo)地址的最短路徑 。 (5)路由器根據(jù) SPF 算法的結(jié)果構(gòu)建自己的路由表，鄰居之間交換的 Hello包叫做 keepalive，并且 LSA 每 30 分鐘重傳 1 次 。 ACL技術(shù) ACL 使用包過(guò)濾技術(shù)，在路由器上讀取第三層及第四層包頭中的信息如源地址、目的地址、源端口、目的端口等，根據(jù)預(yù)先定義好的規(guī)則對(duì)包進(jìn)行過(guò)濾，從而達(dá)到訪問(wèn)控制的目的。 本方案中在匯聚層交換機(jī)上運(yùn)用 ACL 技術(shù)，來(lái)限制校園網(wǎng)內(nèi)部各部門的數(shù)據(jù)流通，以提高校園網(wǎng)信息的安全性。 NAT技術(shù) NAT的主要作用是為了節(jié)約全局地址的使用，多個(gè)內(nèi)部地址可共享一個(gè)全局地址上網(wǎng)。此外，由于采用 NAT的內(nèi)部主機(jī)不直接使用全局地址，故在 Inter不直接可見(jiàn)，可以在一定程度上減小被攻擊的風(fēng)險(xiǎn)，增強(qiáng)網(wǎng)絡(luò)的安全性。本方案中路由 器上都運(yùn)用了 NAT技術(shù)來(lái)實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)私有地址到公有地址的轉(zhuǎn)換，來(lái)節(jié)省開(kāi)銷和增加內(nèi)部用戶的安全性。 NAT技術(shù)能幫助解決令人頭痛的 IP地址緊缺的 第 15 頁(yè)共 25 頁(yè) 問(wèn)題，而且能使得內(nèi)外網(wǎng)絡(luò)隔離，提供一定的網(wǎng)絡(luò)安全保障。它解決問(wèn)題的辦法是：在內(nèi)部網(wǎng)絡(luò)中使用內(nèi)部地址，通過(guò) NAT把內(nèi)部地址翻譯成合法的 IP地址在Inter上使用，其具體的做法是把 IP包內(nèi)的地址域用合法的 IP地址來(lái)替換。 NAT功能通常被集成到路由器、防火墻、 ISDN路由器或者單獨(dú)的 NAT設(shè)備中。 NAT設(shè)備維護(hù)一個(gè)狀態(tài)表，用來(lái)把非法的 IP地址映射到合法的 IP地址上去。 每個(gè)包在NAT設(shè)備中都被翻譯成正確的 IP地址，發(fā)往下一級(jí)，這意味著給處理器帶來(lái)了一定的負(fù)擔(dān)。但對(duì)于一般的網(wǎng)絡(luò)來(lái)說(shuō)，這種負(fù)擔(dān)是微不足道的。 表 VLAN 規(guī)劃 IP 地址分配 (1)核心交換機(jī) IP 地址分配 核心交換機(jī)接口 IP 地址 1/1(教學(xué)樓 ) 1/2(實(shí)驗(yàn)樓 ) 1/3(辦公樓 ) 1/4(宿舍樓 ) 1/5（圖書館） 表 核心交換機(jī) IP 地址分配表 (2) VLAN 功能描述 Vlan ID 網(wǎng)絡(luò)地址 描述 Vlan1 Vlan1 Vlan2 Vlan3 Vlan4 Vlan5 設(shè)備命名 為設(shè)備命名，方便區(qū)分各個(gè)設(shè)備，避免配置時(shí)因選錯(cuò)設(shè)備而產(chǎn)生的錯(cuò)誤。 在交換機(jī)和路由器上進(jìn)入全局配置模式，輸入 hostname name 例如： Switchenable //進(jìn)入特權(quán)模式 Switch configure terminal //進(jìn)入全局模式 第 16 頁(yè)共 25 頁(yè) Switch(config) hostname xiao //將 switch 命名為 xiao Xia+o(config) VLAN 配置劃分 以太網(wǎng) VLAN ID 的取值范圍為 1～ 1001。其中， VLAN 1 為系統(tǒng)默認(rèn) VLAN，不能被創(chuàng)建，也不能被刪除。在基于 IOS 的交換機(jī)上配置 VLAN，可以在兩種管理模式下操作：在特權(quán)配置模式下和 VLAN Database模式下創(chuàng)建，其中第 2種模式在新型交換機(jī)上會(huì)有警告提示，并說(shuō)明此模式已不被廠商推薦使用。 * 第 1 種配置方法：在特權(quán)配置模式下配置 VLAN 步驟 : (1)Switchconfigure terminal 進(jìn)入全局配置模式 (2)Switch(config)vlanvlanid (輸入一個(gè) VLAN號(hào) , 然后進(jìn)入 VLAN配置模式，可以輸入一個(gè)新的 VLAN 號(hào)或舊的來(lái)進(jìn)行修改。如本案例采用的 VLAN 11～ 14,VLAN 21～ 24,VLAN 31～ 34) (3)Switch(configvlan)name vlanname (輸入一個(gè) VLAN 名，如果沒(méi)有配置 VLAN 名，缺省的名字是 VLAN 號(hào)前面用 0 填滿的 4 位數(shù)，如 VLAN0010 是VLAN10 的缺省名字 ) (4)Switch(configvlan)mtumtusize 改變 MTU 大?。蛇x ） (5)Switch(configvlan)end 退出 (6)Switchshowvlan 驗(yàn)證 VLAN 配置結(jié)果。 (7)Switchcopy runningconfig startup config 保存配置 * 第 2 種配置方法：在 VLAN Database 模式下創(chuàng)建 VLAN 步驟 : (1)Switchvlan database 進(jìn)入 VLAN 配置模式 (2)Switch(vlan)vlanvlanid name vlanname 鍵 VLAN 號(hào)及 VLAN 名 可以使用接口配置模式來(lái)定義端口模式（接入（ access）還是干道（ trunk）），并向 VLAN 中添加或從中刪除端口。將端口指定到特定的 VLAN 后，就是在處理接入鏈路而非 trunk 鏈路?？梢允褂?switchport mode access 定義端口成為 VLAN成員模式，使用此命令的 no 形式，可以將一個(gè)端口從 VLAN 中去除。 接下來(lái)，你需要通過(guò)接口命令 switchport access vlanvlanid 將端口指定到特定的 VLAN 中。使用此命令的 no 形式，也可以將一個(gè)端口從 VLAN 中去除。 在接入模式下，接口僅屬于一個(gè) VLAN。 步驟 : (1)Switchconfigure terminal 進(jìn)入全局配置模式 第 17 頁(yè)共 25 頁(yè) (2)Switch(config)interface interfaceid 進(jìn)入接口配置模式，進(jìn)入要分配的端口，如本案例中 FastEther 0/11 (3)Switch(configif)switchport mode access 定義交換機(jī)二層接口為接入模式 (4)Switch(configif)switchport access vlanvlanid 把端口分配給某一 VLAN。 (5)Switch(configif)end 退出接口配置模式 (6)Switchshow runningconfig interface interfaceid 驗(yàn)證端口的 VLAN 號(hào) (7)Switchshow interfaces interfaceid switchport 驗(yàn)證端口的管理模式和 VLAN 情況 (8)Switchcopy runningconfig startupconfig 保存配置 默認(rèn)情況下交換機(jī)上的所有端口都屬于 VLAN1中。 你不能對(duì) VLAN1進(jìn)行更改、刪除或重命名，因?yàn)樗悄J(rèn)的 VLAN。默認(rèn) 時(shí) VLAN1 是所有交換機(jī)的本地 VLAN，一般廠商都推薦你使用 VLAN1 作為負(fù)責(zé)管理的 VLAN。 本地 VLAN 的功能是指： “ 沒(méi)有特別地分配到不同的數(shù)據(jù)包都將被發(fā)送到本地 VLAN 中。 ” 這就是交換機(jī)在沒(méi)有劃分 VLAN 時(shí)，客戶端能夠通信的原理。 若欲將某個(gè)端口從 VLAN 中刪除，可以將該接口恢復(fù)為默認(rèn)值，即可清除該接口的所有配置，使之不再屬于任何 VLAN。 步驟： (1)Switchconfigure terminal 進(jìn)入全局配置模式 (2)Switch(config)default interface interfaceid 清除某接口的所有配置 (3)Switch(config)end 返回特權(quán)配置模式 (4)Switchcopy runningconfig startupconfig 保存對(duì)配置的修改 刪除 VLAN 管理員在配置 VLAN過(guò)程中，很有可能輸入錯(cuò)誤的 VLAN名稱，如果要?jiǎng)h除這些 VLAN 可用 vlan database 進(jìn)入 VLAN 配置狀態(tài)，用 novlanvlanid 來(lái)刪除，也可以在特權(quán)配置模式下進(jìn)行操作。 步驟： (1)Switchconfigure terminal 進(jìn)入全局配置模式 (2) Switch(config) no vlanvlanid 刪除某一 VLAN，如： novlan 11 (3) Switch(config) end 返回特權(quán)配置模式 (4) Switchshowvlan brief 驗(yàn)證 VLAN 數(shù)據(jù)庫(kù)的結(jié)果 第 18 頁(yè)共 25 頁(yè) (5) Switchcopy runningconfig startup config 保存對(duì)配置的修改 根據(jù)本校園網(wǎng)絡(luò)的 VLAN劃分， IP地址的劃分等分配，分 別在教學(xué)樓、實(shí)驗(yàn)樓、辦公樓、宿舍樓等樓群匯聚層的交換機(jī)配置相關(guān)的 IP 地址，并對(duì)其重要的部門和多媒體教室進(jìn)行 VLAN 的劃分。 配置步驟相對(duì)簡(jiǎn)單 ，每樓群的配置方法也相似 。 只需將交換機(jī)劃分 VLAN，將相對(duì)應(yīng)的客戶端端口加入到 VLAN 中，并配置中繼（要將交換機(jī)與交換機(jī)之間的連接以及交換機(jī)與路由器之間的連接端口設(shè)為主干模式 Trunk）。同時(shí)需要配置單臂路由使有些 VLAN 之間可以相互訪問(wèn)。 另外，我們之前對(duì) VLAN 的添加、變更和刪除都會(huì)寫入交換機(jī) ISO 系統(tǒng)中的 文件。你在特權(quán)模式下利用 show vlan 的輸出結(jié)果就是顯示該文件的內(nèi)容。 文件存儲(chǔ)在 NVRAM 中。你可以刪除這個(gè)文件，但要清楚后果：刪除 文件很可能破壞不同交換機(jī) VLAN 數(shù)據(jù)庫(kù)中的一致性。如果你想改變 VLAN 的配置，最好的做法是使用 VLAN 配置模式下的命令。 IP地址設(shè)置 在路由器和交換機(jī)上為接口或 VLAN 設(shè)置 IP。進(jìn)入接口模式，用 ip address命令后加上 IP 地址和子網(wǎng)掩碼。 例如： (1)為端口分配 IP Router(config)interface fastEther 0/1 //進(jìn)入接口 1 Router(configif) ip address //為 1 號(hào)接口分配 (2)為 VLAN 分配 IP Switch(config)interface vlan 10 //進(jìn)入 VLAN 10 Switch(configif)ip address 為 VLAN10 分配 IP 為