计算机网络系统设计方案

1、民航西南地区管理局搬迁办公区工程、成都民用航空医学中心等业务用房及配套工程弱电系统计算机网络系统设计方案目 录一、项目概述3二、网络系统实施目标3三、网络设计原则3四、网络系统主要任务6五、系统网络建设基本要求6六、网络总体规划76、1办公区外网网络设计86、2 办公区外网信息点86、3办公区内网网络设计106、4办公区内网信息点10七、网络逻辑设计127、1 IP地址规划的范围127、2 IP地址规划的原则127、3 IP地址分配建议127、4具体IP地址分配13l网络设备IP地址13l链路IP地址13l用户主机IP地址137、5 VLAN 规划147、6 网络设备命名规则147、7 设备密

2、码编码规则15八、路由规划158、1 路由协议选择158、2 路由协议介绍168、3 路由设计19九、网络可靠性设计209、1设备的可靠性209、2网络结构的可靠性21十、网络安全性设计2910、1系统安全概述2910、2安全风险分析29物理安全风险29链路传输风险29网络结构安全风险分析30系统的安全风险分析30应用的安全风险分析31管理的安全风险分析3210、3安全技术手段32交换和虚拟网技术33访问控制与可靠路由33Port Security技术34DHCP Snooping技术35Dynamic ARP Inspection技术36IP Source Guard技术36802.1x技术

3、37防火墙技术39入侵检测技术43网络分析技术45AAA认证技术47十一、服务质量(QOS)设计48十二、网络管理设计50十三、相关设备简介5113、1 Cisco Catalyst 6500和6500-E系列交换机产品简介5113、2 Cisco Catalyst 4500系列交换机6113、3 Catalyst 3560系列交换机6813、4 Cisco Catalyst 2960系列交换机83一、项目概述民航西南地区管理局网络系统建设项目由办公区办公区由1、2、3、4、5号楼宇及办公区室外道路、庭院组成,总建筑面积约0.9万平方米，均为三类多层建筑。1号楼1层局部为汽车库,2号楼地下层为

4、汽车库及设备用房,其余均为办公等用房。民航西南地区管理局辖管3省1区1市（四川省、云南省、贵州省、西藏自治区和重庆直辖市）的民航行业管理，管辖区域广，信息量大，各类业务应用较多，是民航西南地区行业管理的数据交换、存储中心。本工程是集办公、科研、会议、培训等功能于一体的综合工程，将建成为全国同行业的标志性智能化办公区，要求智能化系统的设计和建设达到国家智能化楼宇，力求达到甲级设计和施工的相关标准。二、网络系统实施目标根据中国民航总局规定，办公区计算机网络分为内网、外网两套网络，要求做到物理隔离。即线路、设备和设备机柜均要求物理隔离，并有明显的标志。办公区计算机网络系统的实施目标是：建成支撑办公区

5、和业务的信息网络系统，实现办公自动化、信息共享化、楼宇控制网络化和管理科学化，外网与互联网进行安全联接，内网与民航总局通过ATM连接。公安专网；民航公安局与四川省公安厅通过专线联接，构成公安专网。三、网络设计原则信息网络系统质量的好坏，直接影响到西南民航管理局网络的各项功能及各项业务的开展。因此，在网络设备的选择上，既要考虑采用符合国际标准的先进、成熟的技术和产品，又要考虑与原有系统整合的因素、人员的培训状况。本方案建议书将严格遵循以下网络设计原则：(1) 模块化设计：在本次网络设计中，采用模块化的设计思路。整个网络系统从逻辑上分为三个层次：核心层(Core)、分布层(Distribution

6、)和访问层（Access）每个层次都有其独特的功能。 核心层是整个网络系统的关键连接点，所有设备必须提供冗余部件。核心层必须是高可靠和适应网络结构的快速变化。分布层提供基于统一策略的互连性，它是核心层和访问层的分界点，定义了网络的边界，对数据包进行复杂的运算。访问层的主要功能是为工作组用户提供对企业网络访问的途径。另外，为保证网络的可靠性，在网络的拓朴中需采用冗余链路，应能充分利用这些冗余链路，既保证了网络的可靠性又增加了网络负载均衡能力。(2) 可靠性设计：为确保系统高可靠性，设计的网络系统必须提供设备级、链路级和网络层的可靠性。网络系统的设备级可靠性：1+1冗余交换引擎冗余、负载均衡电源（

7、AC和DC）冗余共享风扇冗余系统时钟冗余上行链路冗余交换矩阵包括电源、风扇、引擎、线路板模块、交换背板在内的所有系统单元都可热插拔，如元件增加、转移或替换，而不会导致相关业务中断。在双重交换引擎配置中，为了保护关键应用，需要在最短的时间内将交换机控制转换到冗余交换引擎上。所有系统单元都可现场替换，从而实现了最大服务性和最少的网络停机时间。网络链路级和网络层可靠性：网络应能承受元件、链路、电源以及其它类型的故障。网络必须围绕这些故障收敛，自愈，而不干扰网络运行并使网络业务的中断最小化。一方面，网络应该能够完成所有这些任务，另一方面，它还要十分简单，以使一般网络管理人员都能配置、监视并管理网络环境

8、。提供网络冗余的设备在网络正常运行状态下还要对网络有其他好处，比如负载均衡等。核心层和分布层的设备都支持第三层交换机技术即路由技术，因此，核心层和分布层的链路备份采用OSPF等高级路由协议，支持相同成本(equal cost)的负载均衡技术。要求访问层和分布层的第三层交换机采用热备份路由协议，在出现灾难性故障时，快速切换到备份系统。同时通过对备份优先级的控制，实现多台第三层交换机的负载均衡，即在正常运转情况下，每台第三层交换机同时各自为同一VLAN中不同的主机提供网关负载均衡服务。(3) 局域网的安全设计：网络设备应该通过VLAN划分来隔离不同的业务系统，在网络第三层设备上要在不同的VLAN间

9、设置访问控制列表，以实现VLAN之间的访问控制。并且网络中需要部署IDS入侵检测系统，用于快速发现并定位内部的威胁源。为了保护网络的安全，在互联网的出入口设置高性能的硬件千兆级防火墙。(4) 服务质量的保证（QoS）要求网络设备(尤其是中心交换机)应该具备以下指出的一些数据包级别区分、标识、带宽控制、队列管理等功能。802.1p分级与识别；IP Precedence分级与识别(此条针对第三层交换机)；拥塞避免丢包机制；带宽分配机制。(5) 局域网的网络管理：网络管理提供的不只是一个网络管理平台，而是基于全线网络设备的一系列系统管理软件。网络管理系统必须实现比如设备面板监控、配置管理、设备软件升

10、级管理、QoS服务质量管理、安全管理、规划管理等，以及许多现代网络中必备的技术管理，如VLAN管理、访问控制管理等功能。为用户提供强大的网络管理、分析和规划手段。(6) 多点广播的支持：随着网上培训、网上广播等应用的普及，网络中将越来越多地应用到多点广播技术，如果局域网设备不支持多点广播的相关协议和流量控制机制的话，就会造成网络中传输了大量无用的广播信息，浪费网络带宽，造成拥塞，影响网络效率。规模越大的网络，后果会越严重。设计的局域网网络交换设备应支持以下协议和功能： IGMP；流量优化机制(CGMP或 IGMP snooping)；Protocol Independent Multicast

11、 (PIM)等(针对第三层交换机或路由器)。四、网络系统主要任务（1）建成稳定可靠、高速快捷的局域网。（2）整个网络可按行政分布、应用需求安全形成子网。（3）与公用网的互连，宽带接入国际互联网。（外网）（4）与民航总局ATM专网互联。（内网）（5）与本地公安专网互联。（公安专网）（6）互联网接口处有防火墙和入侵检测功能。（7）能够通过VPN接入提供移动办公。（外网）（8）建立安全分区，按照应用需求设立区间过滤规则。（9）建立域结构体制，实施域策略机制。（10）全面实施网络管理，对服务器、交换机等实施实事监控。五、系统网络建设基本要求计算机信息网络系统是一个面向本系统提供信息管理及办公自动化服务

12、的网络系统，能有效地与国内公用网、相关专用网、国际互联网互连。网络主干采用千兆速率，百兆交换到桌面。因此，建网设计时应充分考虑到：保证网络的可靠性、安全性，以适应网络应用的实时效应、数据安全和应急备份的要求。实现网络的互连性、开放性，采用国际标准网络协议和国际通用技术设备。体现网络的先进性，在满足较佳的性能价格比的前提下，力求采用当前国际先进而又成熟的技术和设备。网络的总体结构要先进，支持WWW浏览器、QOS、客户服务器及分布式数据库计算方式。考虑网络的可扩展性，以适应网络功能扩充、新技术应用和网络系统的升级。网络具备支持TCPIP等多种协议的能力。六、网络总体规划办公区计算机信息网络（包括内

13、、外和专网）的拓扑结构采用星型结构的以太网，计算机网络中心设立在1号楼，整个网络支持VLAN管理，千兆到楼宇，百兆到桌面。子网与子网之间的安全互连考虑与相关业务的往来，办公区内网应为智能化管理设立独立的通信子网；建立BAS数据通信子网。建立消防广播、背景音乐数据通信子网。建立视频监控数据通信子网。建立门禁系统、停车场系统管理数据通信子网。周界防范通信子网。住宅小区网络为智能化管理设立独立的通信子网；建立BAS数据通信子网。建立消防广播、背景音乐数据通信子网。建立视频监控数据通信子网。周界防范通信子网。6、1办公区外网网络设计从图上可以看到，办公区外网拓扑结构采用星型结构的以太网，网络从应用层面

14、上分为核心层，汇聚层和接入层，办公区外网独立布线，与办公区内网物理隔离。其中，核心层设备设立在1号楼网络中心，汇聚层分布在1，2，3，4，5号楼接点机房，接入层分布在1，2，3，4，5号楼各个楼层。核心层和汇聚层设备之间通过千兆光纤连接，汇聚层同接入层之间通过千兆双绞线连接。在办公区外网1号楼网络中心中配置了两台cisco6509核心交换机，两台两台cisco6509核心交换机之间做双机冗余，在办公区外网1，2，3号楼接点机房各配置了两台cisco3560G汇聚交换机，每两台cisco3560G汇聚交换机之间做双机冗余，在办公区外网4，5号楼接点机房各配置一台cisco3560G汇聚交换机做楼

15、层接入交换机的汇聚。在办公区外网1，2，3号楼接入层交换机采用cisco2960接入交换机，4、5号楼接入层交换机采用相应搬迁网络设备。接入层交换机实现百兆到用户桌面。6、2 办公区外网信息点办公区外网网络信息点如下表所示：楼号层号外网口数11222513311号楼合计：104201611622833842号楼合计：34531242393号楼合计：6341172764号楼合计：935091385号楼合计：47共计：6436、3办公区内网网络设计从图上可以看到，办公区内网拓扑结构同样采用星型结构的以太网，网络从应用层面上分为核心层，汇聚层和接入层。办公区内网独立布线，与办公区外网物理隔离。其中，

16、核心层设备设立在1号楼网络中心，汇聚层分布在1，2，3，4，5号楼接点机房，接入层分布在1，2，3，4，5号楼各个楼层。核心层和汇聚层设备之间通过千兆光纤连接，汇聚层同接入层之间通过千兆双绞线连接。在办公区内网1号楼网络中心中配置了两台cisco4506核心交换机，两台两台cisco4506核心交换机之间做双机冗余，在办公区内网1，2，3号楼接点机房各配置了两台cisco3560G汇聚交换机，每两台cisco3560G汇聚交换机之间做双机冗余，在办公区内网4，5号楼接点机房各配置一台cisco3560G汇聚交换机做楼层接入交换机的汇聚。在办公区内网1，2，3号楼接入层交换机采用cisco296

17、0接入交换机，4、5号楼接入层交换机采用相应搬迁网络设备。接入层交换机实现百兆到用户桌面。6、4办公区内网信息点办公区内网网络信息点如下表所示：楼号层号内网口数11 182 473 271号楼合计：9220 1 1582 793 802号楼合计：31731 222 373号楼合计：5941 42 4号楼合计：450 11 85号楼合计：9共计：480七、网络逻辑设计7、1 IP地址规划的范围西南民航地区管理局IP网全网的网络设备IP地址分配、链路IP地址分配、用户主机的IP地址分配、预留地址空间等（需要根据工程实施前的网络调研来进行具体确定）。7、2 IP地址规划的原则IP地址规划遵循以下原则

18、：IP地址的规划与划分应该考虑到未来业务的飞速发展，能够满足未来发展的需要，充分考虑未来业务发展，预留相应的地址段，制定较为宽松的IP地址使用空间，申请较多的IP地址来适应网络发展的需要。IP地址的分配需要有足够的灵活性，能够满足各种网络接入的需要；地址分配是由业务驱动，按照先业务后区域的矩阵方式分配地址段；IP地址的分配必须采用VLSM技术，保证IP地址的利用效率；采用CIDR技术，这样可以减小路由器路由表的大小，加快路由器路由的收敛速度，也可以减小网络中广播的路由信息的大小；7、3 IP地址分配建议我们建议网络设备IP地址，链路IP地址，用户主机IP地址分为连续的三块地址段，每块地址段按2

19、0的预留地址空间进行IP段预留。对办公网外网，内网以及小区网络而言，我们建议网络设备IP地址，链路IP地址，用户主机IP地址尽量采用私有IP地址，以节约相应的公网IP地址资源，仅仅在对外互连的部分，保留原有的IP地址的分配。考虑到手工IP地址管理的复杂性，我们建议在用户主机IP分配的时候，在可能的情况下，尽量对用户主机IP地址进行DHCP自动非配，以缓解网络管理的工作压力。7、4具体IP地址分配l 网络设备IP地址网络设备的Loopback地址，是保证OSPF内部路由协议的正常运行的重要条件。各网络设备的Loopback地址，对于整个网络的正常运行，有着至关重要的作用，因而对于各个网络设备的L

20、oopback的分配和管理，应当采取统一的专有地址空间。通过为所有的网络设备分配一个专有的地址空间，能够更为有效地进行路由器的路由配置和管理，以及方便今后的故障的诊断和排除。所有网络设备全部使用静态公网地址（Lookback管理地址）；l 链路IP地址网络设备间链路的IP地址，从业务的相关性上，他们一般不具有全局的功能，而只是提供完成两个网络之间的连接。因而从这个角度上讲，这部分的地址空间的分配应当考虑以下的方面：尽可能以分层次的方式为他们分配地址。由于链路地址空间不具有全局性，因而并不需要在全网范围内为每个链路保持精确路由。而采取分层次的地址分配方式，能够将链路地址逐级汇总，从而使得这些地址

21、在各路由器的路由表中占有较少的空间。以降低对路由器的要求，并保证网络设备的处理效率。提供足够的预留空间，以满足今后新增链路的需要。采用上面的分层次的链路地址分配结构，能够保证路由处理的高效性。而在实施的过程中，应当考虑到在根据业务需要新增链路的时候，这种分层次的结构尽量不会被打破。那么，就需要在初期分配的时候，考虑到不远的将来可能进行的扩容，从而进行相应的预留。所有网络链路（设备接口）地址全部使用静态公网地址（互联地址）；l 用户主机IP地址用户主机的IP地址建议在可能的情况下采用DHCP方式进行地址的分配；我们建议按下表进行相应的地址分配，需要注意这仅仅是我们的建议，具体IP地址分配需要在项

22、目实施调研开始后进行更正。地址分类对应网段子网掩码备注网络设备IP地址办公内网网络设备loopback地址链路IP地址办公内网网络设备互连地址服务器IP地址办公内网服务IP地址用户主机IP地址办公内网主机IP地址网络设备IP地址办公外网网络设备loopback地址链路IP地址办公外网网络设备互连地址服务器IP地址255.255.2

23、48.0办公外网服务IP地址用户主机IP地址办公外网主机IP地址7、5 VLAN 规划Vlan编号用途备注1网络设备管理内外网均用此号100服务器vlan内外网均用此号105-125用户vlan内外网均用此号125-130预留vlan内外网均用此号7、6 网络设备命名规则网络设备的命名对于远程操作而言非常重要，好的命名不但可以识别设备，还能知道相应的设备型号和地址，我们建议按以下原则进行网络设备的命名设备地址_设备型号_设备编号设备地址：设备地址必须能够清楚标明地址，具体为OAOUTSIDE (办公外网)，OAINSIDE(办公内网)，GAZW（公安专

24、网）和XQWL(小区网络)。设备型号：设备型号应当具体标明设备类型和具体型号，具体为S6509,S4507，S3560,S2960等。设备编号作为全网所有网络设备的数量的一个计数，我们一般建议全网的计数编号应当统一。7、7 设备密码编码规则网络设备密码编码如果有规律可寻，虽然对管理人员来讲容易记忆且方便运维，但是这从而也增加了网络安全漏洞。如果设置的密码有规律，就有可能被别人猜出密码。为了安全起见，不建议采用有规则的密码方式，这样对网络安全有帮助。为此我们建议：不要在密码中使用您能够认识的常用单词例如像是您的名字或家庭成员的名字。请使用大小写字母混合的密码。它可以有效地让您的密码变得比现在更稳

25、当，因为您有 52 个字母可以选择。您不用担心文法。使用最少含有 6 个字符的密码，并依据本清单上其它的建议，由字母和符号加以组成。 在每个网络设备使用不同的密码。定期修改密码。八、路由规划8、1 路由协议选择当跨网络进行数据传输前，传送方需要“知道”数据发送的路径或方向，这通过路由来完成。路由包括两个基本的活动：决定路由路径和通过网络传送数据。后一活动通常是指封包交换，相对比较简单明晰，而且对于大多数路由协议来说基本相同，相反决定路由路径要复杂得多。静态路由选择的路由表映射（由源到目的地或对应网关路径）由系统管理员在路由器或计算机开始工作前设定。除非网络管理员加以重新配置，否则他们将无法自动

26、改变。由于静态路由简单和易于实现的，所以对于小型的、数据传输可以预见的网络是一个好的选择。由于静态路由不能对网络的变化做出相应的改变，所以它们不能适用于今天的大型、一直处于变化中的网络，在这些系统中所采用的将是动态路由。动态路由选择采用动态路由算法，它由路由器或计算机根据所收到的路由更新信息，自动地通过实时的调整来改变网络上数据的传输路线。如果网络的链路情况发生了改变，相连的设备上的路由软件将重新计算路由，并把该信息作为新的路由更新信息发送出去。这些路由更新信息将到达网络的每个角落，从而使相关的路由器重新计算路由，并对它们的路由表进行更新。动态路由算法可以作为静态路由算法的适当的补充。即在计算

27、机上采用静态路由，指明到达相应目的地的网关（路由器），而在网关（路由器）之间采用动态路由。这样做的好处是可以避免把计算机资源用于对动态路由的计算，而该计算由“善于此道”的路由器来完成。8、2 路由协议介绍动态路由原理动态路由选择协议通过大量的控制消息传输来维护它们路由表，路由刷新信息是其中的重要控制消息。路由刷新信息通常可以构造出部分或全部的路由表，通过分析来自所有路由器的刷新消息，路由表可以构造出非常详细的完整网络拓扑关系。链路状态广播是另外一种重要的控制消息，链路状态广播通知其它的路由器有关发送者的链路状态，可以被路由器用来构造网络拓扑关系。一旦网络拓扑关系清楚明朗了之后，动态路由协议就能

28、计算出通向目的地的最佳路由。动态路由选择算法通常满足下面列举的一个或多个要求：最佳性：指路由选择算法具有选择最佳路由的能力简易性及低开销：路由选择算法必须使用最少的软件和最低的开销来高效地实现其功能。强壮性及稳定性：路由选择算法必须是强壮的，也就是说，它们在异常和非预期的情况下也能正常地工作，如硬件故障、负载过高和操作失误等。迅速收敛性：动态路由选择算法必须能够迅速收敛（收敛是所有路由器在最佳路径上取得一致的过程）。动态路由选择算法收敛过程缓慢可能导致路由选择循环或网络出现故障。灵活性：指能够迅速准确地适应不同的网络环境。能适应网络的连通情况、网络带宽、路由器队列大小、网络延迟以及其它参数的改

29、变。常见的动态路由协议目前常见的动态路由协议主要有以下几种：路由信息协议（RIP）RIP是一个标准化的内部网关协议，也是最早广泛使用的动态路由选择协议。它采用距离向量来决定路由，RIP的不同版本可以支持除IP协议以外的其他路由传输协议（如IPX、AppleTalk等）。由于RIP采用周期性的广播整个路由表的方式来实现路由的更新和发现，所以它对通讯资源的占用较大。RIP协议规定最大的节点计数为15个，任何经过多于15个中间节点才能到达的目标都被认为是不可到达的；RIP不支持层次结构。尽管RIP有着众多的缺点，但由于它实现简单，并且是可以在UNIX主机上实现的动态路由选择协议，所以在小型的局域网系

30、统中还是大量采用。开放最短路径优先协议（OSPF）OSPF也是一个标准化的协议，它只支持TCP/IP协议。OSPF是一种使用链路状态算法的路由选择协议，因此它要求将链路状态广告（LSA）发送给位于同一层次区域内的所有其它路由器。随着OSPF路由器逐渐地积累链路状态信息，它们就可以采用SPF算法来计算通向每一个节点的最短路径。每台OSPF路由器都周期性地发送一次链路状态宣告（LSA）信息，当路由器的状态发生改变时也可以发送LSA信息。通过对比已建立的链路状态的邻接关系，出现故障的路由器很容易就能被快速地检测出来，因而网络的拓扑结构就能立即做出恰当的变化。每台OSPF路由器都有自己独立的、通过LS

31、A信息构造的拓扑结构数据库，所以每台路由器都可以独立地计算出一棵最短路径树，最短路径树的树根就是路由器本身。进一步，最短路径树就构造成了OSPF路由选择表。OSPF是一种支持层次结构的路由选择协议。层次中的最大实体是自治系统（AS）。自治系统能够被划分成若干个区域，每一个区域是由一组互相连接的网络和与网络直接相连的主机组成。具有多个接口的路由器可以同时属于多个区域，这些路由器被命名为区域边界路由器，它们为每一个区域保存单独的拓扑结构数据库。将自治系统划分成一个个的区域的好处是： OSPF会花较少的网络资源用于路由选择信息的传输，从而在一定程度上提高了网络的性能。在OSPF中有两种类型的区域存在

32、：骨干区域和非骨干区域，它们也构成了OSPF的两个层次。非骨干区域间的数据传输要经由骨干区域来完成。在一个OSPF自治系统系统中，只允许有一个骨干区域，非骨干区域可以有好多个。OSPF属于自治系统内部（内部网关）路由选择协议，尽管OSPF能接收来自其它自治系统的路由信息，同时能向其它自治系统发送路由信息。运行OSPF的自治系统边界路由器可以通过外部网关协议簇或配置信息来学习自治系统外部的路由信息，这些协议包括外部网关协议（EGP）和边界网关协议（BGP）等。OSPF协议还支持可变长的子网掩码。通过使用可变长的子网掩码，一个IP网络能够被划分成若干大小不等的子网，这样为网络管理人员对网络进行配置

33、提供了更大的灵活性，同时也可以在区域边界路由器上实现对路由信息的合并。增强型内部网关路由协议（EIGRP）EIGRP是IGRP协议的增强版本，也是有CISCO公司独立开发的路由选择协议。EIGRP协议版本组合了链路状态路由选择协议和距离向量路由选择协议的长处，同时还综合SRI公司开发的分散刷新算法（DUAL）的许多新特点。EIGRP协议主要包括了如下一些新的特征：快速收敛运行EIGRP协议的路由器存储所有相邻路由器的路由选择表，这样能够快速地适应路由的变化。可变长子网掩码EIGRP协议对可变长子网掩码提供全面的支持，根据网络号边界可以自动地总结子网路由，而且EIGRP协议可以根据任意二进制位边

34、界总结局部路由。部分界定刷新EIGRP协议不提供周期性的路由刷新消息功能，只有那些需要新信息的路由器才被刷新；所以EIGRP协议于IGRP相比明显地节约了网络带宽。多网络传输协议支持EIGRP协议支持的网络传输协议包括AppleTalk、IP和NetWare IPX等协议。EIGRP协议是一个内部网关协议。运行EIGRP协议的直接相连的网络可以认为是一个内部路由系统，路由信息可以通过EIGRP协议自主系统传播。EIGRP也可学习到外部路由，这些路由被单个地标上了与它们有关的原协议信息。EIGRP协议本身不是一个层次结构的路由选择协议，但由于EIGRP支持在人以一个节点上的地址合并，所以可以使用

35、EIGRP来构成层次结构。边界网关协议（BGP）与以上四种路由选择协议不同的是，上述协议都是内部网关协议，而BGP是一个外部网关协议。BGP针对克服早期的外部网关协议（EGP）的问题而开发的，它是满足不同自治系统间路由选择的协议。与其他路由选择协议不同的是：BGP不需要对路由表进行定期的更新。动态路由协议的选用动态路由协议的选定需要根据用户的具体要求和实际情况选定。一般需要考虑以下因素来选定动态路由协议：（1）适用于大规模网络（2）符合用户的管理模式和应用系统的数据流向（3）一个开放性的协议随着现代计算机系统的不断扩大，对不同环境、不同厂商产品间实现互连的要求越来越高，开放性已经成为衡量一个产

36、品的重要依据。这里的开放性包含了标准的制定、与其他同类产品的接口等因素在内。（4）安全性和可靠性路由选择协议的安全性和可靠性是整个计算机系统安全性和可靠性的一个重要环节；尤其是对于民航西南地区管理局网络系统这样需要常年实时运作的系统，更是来不得半点差错。所选择的路由选择协议必须是可靠的和有一定的安全保障的。（5）可以满足系统未来发展的要求随着计算机技术的不断发展和计算机应用的不断深入，可以预见，民航西南地区管理局网络系统是一个不断发展和扩充的系统。所以在路由选择协议的选定和结构设计阶段就要考虑未来系统扩展的需要，留下系统扩展的充分余地。8、3 路由设计根据前面对各种动态路由协议的分析比较，可以

37、看出由于RIP协议自身的局限性，使它不适合作为层次比较多的大型网络的骨干路由协议。OSPF和EIGRP是两种比较好的动态路由协议，它们具有快速的路由收敛速度，在性能上各有特点和长处，而且目前国内有许多采用上述两个协议建立的大型网络运行，有很多的经验可以参考，应该讲这两个协议都可以满足网络的需求。但是EIGRP是CISCO专有的路由协议，因此考虑到系统未来的扩展和与其他网络系统连接的问题，所以我们推荐以OSPF作为民航西南地区管理局的路由选择协议。我们建议的OSPF参数如下表所示，具体的参数需要在网络实施时确定。OSPF进程号OSPF区域对应设备1000办公内网核心交换机1000办公内网汇聚交换

38、机1000办公外网核心交换机1000办公外网汇聚交换机九、网络可靠性设计9、1设备的可靠性对办公网外网cisco6509核心交换机而言，今后可以在需要时通过增加一个引擎模板实现1+1引擎冗余，每个引擎都可以提供100%处理能力。交换引擎之间通过Stateful Switch Over和No Stop Forwarding技术进行切换的时间<=5秒，完全不影响应用程序的运行。同时，办公网外网cisco6509核心交换机采用冗余电源、散热风扇等配置，也进一步保证了核心交换机不会因为电源或风扇故障而产生宕机。办公网外网cisco6509核心交换机电源、风扇、引擎、线路板模块、交换背板在内的所有

39、系统单元都可热插拔，如元件增加、转移或替换，而不会导致相关业务中断。对办公网内网cisco4507R核心交换机而言，对办公网外网cisco6509核心交换机而言，今后可以在需要时通过增加一个引擎模板实现1+1引擎冗余，每个引擎都可以提供100%处理能力。交换引擎之间通过Stateful Switch Over和No Stop Forwarding技术进行切换的时间<=5秒，完全不影响应用程序的运行。同时，办公网内网cisco4507R核心交换机也同样采用用冗余电源的配置，保证了办公网内网cisco4507R核心交换机不会因为电源故障而产生宕机。9、2网络结构的可靠性从上图我们可以看到，无

40、论是办公网内网还是外网，核心层，汇聚层和接入层在网络结构上都采用双链路上联的方式来实现全网的链路冗余，这样的好处是无论上一层的设备出现何种故障，都不会影响下一层设备的上联链路的中断。具体实现方法如下在接入层到到汇聚层的链路为二层链路，其物理链路的冗余主要依靠生成树协议实现。在第二层网络中，路由协议不可用，生成树协议通过从网格化物理拓扑结构而构建一个无环路逻辑转发拓扑结构，提供了冗余连接，消除了数据流量环路的威胁。原始生成树协议 IEEE 802.1D 通常在 50 秒内就可以恢复一个链接故障 融合时间 = （ 2xForward_Delay ） +Max_Age 。当设计此协议时，这种停机还是

41、可接受的，但是当前的关键任务应用（如语音和视频）却要求更快速的网络融合。为加速网络融合并解决与生成树和虚拟 LAN （ VLAN ）交互相关的地址可扩展性限制的问题， IEEE 委员会开发了两种新标准：在 IEEE 802.1w 中定义的快速生成树协议（ RSTP ）和在 IEEE 802.1s 中定义的多生成树协议（ MST ）IEEE 802.1w 快速生成树协议IEEE 意识到原始 802.1D 生成树协议的融合特性与现代化的交换网络和应用相比是有差距的，为此设计了一种全新的 802.1w 快速生成树协议（ RSTP ），以解决 802.1D 的融合问题。 IEEE 802.1w RST

42、P 的特点是将许多思科增值生成树扩展特性融入原始 802.1D 中，如 Portfast 、 Uplinkfast 和 Backbonefast 。通过利用一种主动的网桥到网桥握手机制取代 802.1D 根网桥中定义的计时器功能， IEEE 802.1w 协议提供了交换机（网桥）、交换机端口（网桥端口）或整个 LAN 的快速故障恢复功能。通过将生成树“ hello ”作为本地链接保留的标志， RSTP 改变了拓扑结构的保留方式。这种做法使原始 802.1D fwd-delay 和 max-age 计时器主要成为冗余设备，目前主要用于备份，以保持协议的正常运营。 RSTP 引入了新的 BPDU

43、处理和新的拓扑结构变更机制。每个网桥每次“ hello time ”都会生成 BPDU ，即使它不从根网桥接收时也是如此。 BPDU 起着网桥间保留信息的作用。如果一个网桥未能从相邻网桥收到 BPDU ，它就会认为已与该网桥失去连接，从而实现更快速的故障检测和融合。在 RSTP 中，拓扑结构变更只在非边缘端口转入转发状态时发生。丢失连接例如端口转入阻塞状态，不会像 802.1D 一样引起拓扑结构变更。 802.1w 的拓扑结构变更通知（ TCN ）功能不同于 802.1D ，它减少了数据的溢流。在 802.1D 中， TCN 被单播至根网桥，然后组播至所有网桥。 802.1D TCN 的接收使

44、网桥将转发表中的所有内容快速失效，而无论网桥转发拓扑结构是否受到影响。相形之下， RSTP 则通过明确地告知网桥，溢出除了经由 TCN 接收端口了解到的内容外的所有内容，优化了该流程。 TCN 行为的这一改变极大地降低了拓扑结构变更过程中， MAC 地址的溢出量。端口作用RSTP 在端口状态（转发或阻塞流量）和端口作用（是否在拓扑结构中发挥积极作用）间进行了明确的划分。除了从 802.1D 沿袭下来的根端口和指定端口定义外，还定义了两种新的作用（见下图 ）： 备份端口 用于指定端口到生成树树叶的路径的备份，仅在到共享 LAN 网段有 2 个或 2 个以上连接，或 2 个端口通过点到点链路连接为

45、环路时存在 替代端口 提供了替代当前根端口所提供路径、到根网桥的路径这些 RSTP 中的新端口实现了在根端口故障时替代端口到转发端口的快速转换。下面的例子中详细解释了此过程。端口状态端口的状态控制转发和学习过程的运行。RSTP 定义了 3 种状态：放弃、学习和转发。根或指定端口在拓扑结构中发挥着积极作用，而替代或备份端口不参与主动拓扑结构。在稳定的网络中，根和指定端口处于转发状态，替代和备份端口则处于放弃状态。快速融合概述如前所述， RSTP 旨在尽快地将根端口和指定端口转成转发状态，以及将替代和备份端口转成阻塞状态。为防止生成转发环路， RSTP 在网桥间采用了明确的“握手”功能，以确保端口

46、作用在网络中分配的一致性。上图介绍了将端口转换成转发前达成的协定 / 建议握手。当链接激活时，“ P1 ”和“ P2 ”都成为处于放弃状态的指定端口。在这种情况下，“ P1 ”将向交换机 A 发送一个建议 BPDU 。收到新 BPDU 后，交换机 A 将确认根交换机有较优根成本。因为 BPDU 包含较高的根优先级，交换机 A 在将新的根端口“ P2 ”转入转发状态前，会先启动同步机制。如果一个端口处于阻塞状态或是一个边缘端口（位于网桥 LAN 边缘或连接到终端工作站），该端口与根信息同步。端口 3 （“ P3 ”）已满足上述要求，因为它已经是阻塞的。因此，不会对该端口采取任何行动。但是，“ P

47、4 ”是一种指定端口，需要阻塞。一旦交换机 A 上的所有接口处于同步状态，“ P2 ”就会承认从前从根接收的建议，并可以安全地转入转发状态。在收到交换机 A 的认可后，根交换机将立即将“ P1 ”转入转发。建议 / 协定信息的类似传送波将从“ P4 ”传播至网络枝叶部分。由于这种握手机制不依赖计时器，因此它可以快速地传播至网络边缘，并在拓扑结构变更后迅速恢复连接。如果协定并未复制建议信息，端口会转换成 802.1D 模式，并通过传统听学顺序转入转发状态。需要说明的是， 802.1w 协议只适用于点到点链接。在媒体共享的情况下， 802.1w 协议将转换成 802.1D 运行。多生成树协议在 C

48、isco MISTP 多实例生成树协议 的推动下， MST 通过将一些基于 VLAN 的生成树汇聚入不同的实例，并且每实例只运行一个（快速）生成树，从而改进了 RSTP 的可扩展性。为确定 VLAN 实例的相关性， 802.1s 引入了 MST 区域概念。每台运行 MST 的交换机都拥有单一配置，包括一个字母数字式配置名、一个配置修订号和一个 4096 部件表，它与潜在支持某个实例的各 4096 VLAN 相关联。作为公共 MST 区域的一部分，一组交换机必须共享相同的配置属性。重要的是请记住，配置属性不同的交换机会被视为位于不同的区域。为确保一致的 VLAN 实例映射，协议需要识别区域的边界

49、。因此，区域的特征都包括在 BPDU 中。交换机必须了解它们是否像邻居一样位于同一区域，因此会发送一份 VLAN 实例映射表摘要，以及修订号和名称。当交换机接收到 BPDU 后，它会提取摘要，并将其与自身的计算结果进行比较。为避免出现生成树环路，如果两台交换机在 BPDU 中所接收的参数不一致，负责接收 BPDU 的端口就会被宣布为边界端口。IEEE 802.1s 引入了 IST （内部生成树）概念和 MST 实例。 IST 是一种 RSTP 实例，它扩展了 MST 区域内的 802.1D 单一生成树。 IST 连接所有 MST 网桥，并从边界端口发出、作为贯穿整个网桥域的虚拟网桥。 MST

50、实例（ MSTI ）是一种仅存在于区域内部的 RSTP 实例。它可以缺省运行 RSTP ，无须额外配置。不同于 IST 的是， MSTI 在区域外既不与 BPDU 交互，也不发送 BPDU 。 MST 可以与传统和 PVST+ 交换机互操作。思科实施定义了 16 种实例：一个 IST （实例 0 ）和 15 个 MSTI ，而 802.1s 则支持一个 IST 和 63 个 MSTI 。与传统生成树的互操作性RSTP 和 MSTP 都能够与传统生成树协议互操作。但是，当与传统网桥交互时， 802.1w 的快速融合优势就会失去。为保留与基于 802.1D 网桥的向后兼容性， IEEE 802.1

51、s 网桥在其端口上接听 802.1D 格式的 BPDU 。如果收到了 802.1D BPDU ，端口会采用标准 802.1D 行为，以确保兼容性。例如，在图 3 中，交换机 A 上的“ P4 ”一旦在至少两倍的“ hello time ”中检测到 PVST+ BPDU ，它就会发送 PVST+ BPDU 。要说明的是，如果 PVST+ 网桥从网络中删除后，交换机 A 就无法发现拓扑结构变更，需要人工重启协议移植。上图介绍了应用于 VLAN 2000 的转发拓扑结构，它映射至 RSTP/MSTP 区域中的 MST #2 。用于 IST 和 MST #2 的根交换机驻留于 RSTP/MSTP 区域

52、内。 MSTI BPDU 并未发送至边界端口“ P4 ”外，只有 IST BPDU 是如此。通过在 PVST+ 域所有现用 VLAN 上复制 ISTP BPDU ， MST 区域模拟了 PVST+ 邻居。然后， PVST+ 域接收 IST 上发送的 BPDU ，并选择交换机 B 作为 VLAN 2000 的根交换机（注：交换机 B 是 IST 的根。）如果 PVST+ 域中出现拓扑结构变更，在传统云中生成的相应的拓扑结构变化通知（ TCN ） BPDI 将由 IST 在 MST 域中处理，不致影响 MST 转发拓扑结构。为了避免可能导致环路的错误配置，强烈建议为 MST 域中的 PVST+ 实

53、例（即 IST 根）配置根交换机。 主要定义IEEE 802.1D IEEE 建议，在整个第二层域中定义单一无环路拓扑结构。由于 802.1D 无虚拟 LAN （ VLAN ）感知功能，因此转发拓扑结构是唯一的，独立于网络中现用的 VLAN 。这种方案从计算开支的角度是可扩展的，但在配置多个 VLAN 的情况下，无法为冗余链接提供负载均衡功能 。PVST+ 思科生成树为每个 VLAN 构建了一个不同的逻辑拓扑结构。这种方案通过允许每个 VLAN 拥有不同的转发链接，实现了负载均衡，但它却是 CPU 密集型的网桥协议数据单元（ BPDU ）是根据各个 VLAN 生成并处理的。通过上述对生成树协议

54、的解释，我们可以明白，但我们恰当的配置生成树协议之后，接入层设备到汇聚层设备的冗余上联链路将能够在主干链路中断时快速的切换到备份链路，从而完成接入层设备到汇聚层设备在二层上的链路冗余。在汇聚层上交换机的vlan网关的冗余，主要依靠HSRP协议实现。随着Internet的日益普及，人们对网络的依赖性也越来越强。这同时对网络的稳定性提出了更高的要求，人们自然想到了基于设备的备份结构，就像在服务器中为提高数据的安全性而采用双硬盘结构一样。路由器或三层交换机是整个网络的核心和心脏，如果路由器或三层交换机发生致命性的故障，将导致本地网络的瘫痪，如果是骨干路由器或三层交换机，影响的范围将更大，所造成的损失

55、也是难以估计的。因此，对路由器或三层交换机采用热备份是提高网络可靠性的必然选择。在一个路由器或三层交换机完全不能工作的情况下，它的全部功能便被系统中的另一个备份路由器或三层交换机完全接管，直至出现问题的路由器恢复正常，这就是热备份路由协议（HotStandbyRouterProtocal）。实现HSRP的条件是系统中有多台路由器或三层交换机，它们组成一个“热备份组”，这个组形成一个虚拟路由器或三层交换机。在任一时刻，一个组内只有一个路由器是活动的，并由它来转发数据包，如果活动路由器或三层交换机发生了故障，将选择一个备份路由器或三层交换机来替代活动路由器或三层交换机，但是在本网络内的主机看来，虚

56、拟路由器没有改变。所以主机仍然保持连接，没有受到故障的影响，这样就较好地解决了路由器或三层交换机切换的问题。为了减少网络的数据流量，在设置完活动路由器或三层交换机和备份路由器或三层交换机之后，只有活动路由器或三层交换机和备份路由器或三层交换机定时发送HSRP报文。如果活动路由器或三层交换机失效，备份路由器或三层交换机将接管成为活动路由器或三层交换机。如果备份路由器或三层交换机失效或者变成了活动路由器或三层交换机，将有另外的路由器或三层交换机被选为备份路由器。在实际的一个特定的局域网中，可能有多个热备份组并存或重叠。每个热备份组模仿一个虚拟路由器或三层交换机工作，它有一个WellknownMAC地址和一个 IP地址。该IP地址、组内路由器或三层交换机的接口地址、主机在同一个子网内，但是不能一样。当在一个局域网上有多个热备份组存在时，把主机分布到不同的热备份组，可以使负载得到分担。从上述描述我们可以明白，汇聚层交换机在每个vlan上启用HSRP之后，每个vlan的IP地址