企业网络工程设计方案和对策

网络工程设计方案目录TOC\o"1-5"\h\z一、需求分析..4工程项目概况4信息点分布5需求分析5二、方案设计原那么..8三、网络方案设计..10网络拓扑结构介绍10网络拓扑图11骨干核心层网络设计.12核心层网络设计.13汇聚层网络设计.14接入层网络设计.14广域网互联设

TOC\o"1-5"\h\z计.15冗余/负载均衡设计15线路冗余.16网络设备冗余/负载均衡设计17服务器冗余设计.193.310IP地址规划原贝U203.4方案特点...23四、网络技术选型..24路由协议一一OSPF..24端口安全与认证〔基于802.1X〕..24VRRP虚拟路由冗余协议〕原理..25NAT的描述及策略路由的实现..274.64.6ACL访问控制列表〕..28链路聚合EC〔EthernetChannel〕28VLAN〔虚拟局域网〕...29WLAN无线局域网..30五、网络平安及治理机制..30完善的安全机制....30解决安全威胁32VPN〔虚拟专用网〕.32六、网络设备选型..33七、方案的扩展性考虑..34、乙刖百当今社会已步入信息社会,信息成为社会经济开展的核心因素,信息化已成为当今世界潮流.而现在,信息化程度已成为衡量一个国家现代化水平和综合国力强弱的重要标志.信息技术作为新技术革命的核心.不仅具有高增值性、成为最具经济活力的经济增长点,而且具有高渗透性,以极强的亲和力和扩散速度向经济各部门渗透,使其结构和效益发生根本性改变.信息化已成为当代经济开展与社会进步的巨大推力,尤其是作为国民经济信息化根底的企业信息化,当前更显得尤为重要,信息化建设已成为企业开展的必由之路.信息化是企业加快实现现代化的必然选择！随着信息时代的到来,企业的生存和竞争环境发生了根本性的变化.对于大型企业而言,信息化无论是作为战略手段还是战术手段,在企业经营中发挥着举足轻重的作用.随着近年来企业信息化建设的深入,企业的运作越来越融入计算机网络,企业的沟通、应用、财务、决策、会议等等数据流都在企业网络上传输,构建一个“平安可靠、性能卓越、治理方便〞的“高品质〞大型企业网络已经成为企业信息化建设成功的关键基石.一、需求分析1.1工程工程概况红塔木业集团为了加快信息化建设,新的集团企业网将建设一个以集团办公自动化、电子商务、业务综合治理、多媒体视频会议、远程通讯、信息发布及查询为核心,以现代网络技术为依托,技术先进、扩展性强,将集团的各种办公室、多媒体会议室、PC终端设备、应用系统通过网络连接起来,实现内、外沟通的现代化计算机网络系统.该网络系统是支持办公自动化、供给链治理、ER叫及各应用系统运行的根底设施,为了保证这些关键应用系统的正常运行、平安和开展,系统必须具备如下的特性：1、采用先进的网络通信技术完成集团企业网的建设,实现各分公司的信息化；2、在整个企业集团内实现所有部门的办公自动化,提升工作效率和治理效劳水平；3、在整个企业集团内实现资源共享、产品信息共享、实时新闻发布；4、在整个企业集团内实现财务电算化；5、在整个企业集团内实现集中式的供给链治理系统和客户效劳关系治理系统；具体要求：・wwW务•E-mail、FTP月艮务・网上多媒体教学,能提供视频点播效劳・集团内行政治理・拨号上网效劳信息点分布主要信息点集中在生产部、账务部、网络中央、职工宿舍等部门.详细分布如表1所示.地点信息点备注网络中央40需保证速度、流量不T可靠性生产部150需保证速度、流量不T可靠性账务部120需保证速度、流量和平安性职工宿舍1000需保证速度和流量销售部100需要保证速度和可靠性综合设计30需保证速度和流量表1主要信息点分布需求分析为适应企业信息化的开展,满足日益增长的通讯需求和网络的稳定运行,今天的大型企业网络建设比传统企业网络建设提出更高的要求,主要表现在如下几个方面：1〕现代大型企业网络应具有更高的带宽,支持10GE^将来平滑过渡到10GE更强大的性能,以满足用户日益增长的通讯需求.随着计算机技术的高速开展,基于网络的各种应用日益增多,今天的企业网络已经开展成为一个多业务承载平台,它不仅要继续承载企业的办公自动化和WEE^U览等简单的数据业务,还要承载涉及企业生产运营的各种业务应用系统数据,以及带宽和时延都要求很高的IP、视频会议等多媒体业务,因此数据流量将大大增加,尤其是对核心网络的数据交换水平提出前所未有的要求.另外,随着千兆端口的本钱持续下降,千兆到桌面的应用会在不久的将来成为企业网的主流.所以今天的企业网络已经不能再用百兆到桌面千兆骨干来作为建网的标准,它的核心层及骨干层必须具有万兆级带宽和处理性能,才能构筑一个畅通无阻的“高品质〞大型企业网,从而适应网络规模扩大,业务量日益增长的需要.2〕现代大型企业网络应具有更全面的可靠性设计,以实现网络通讯的实时畅通,保证企业生产运营的正常进行.随着企业各种业务应用逐渐转移到计算机网络上来,网络通讯的无中断运行已经成为保证企业正常的生产运营的关键.现代大型企业网络在可靠性设计方面主要应从三方面考虑：首先是设备级可靠性设计,这里不仅要考察网络设备是否实现了关键部件的冗余备份,还要从网络设备整体设计架构、处理引擎种类等多方面去考察；其次是业务的可靠性设计,这里要注意网络设备在故障倒换过程中是否对业务的正常运行有影响；再次是链路的可靠性设计,以太网的链路平安来自于它的多路径选择,所以在企业网络建设时要考虑网络设备是否能够提供有效的链路自愈手段和快速重路由协议的支持.3〕现代大型企业网络需要提供完善的端到端QOS呆障,以满足企业网多业务承载的需求.大型企业网络承载业务的不断增多,单纯的提升带宽并不能够有效的保证数据交换的畅通无阻,而必须要考虑到网络应能够智能的识别应用事件的紧急和重要程度,如视频、音频、数据流〔MIS、ERROA备份数据〕,同时能够调度网络中的资源,保证重要和紧急业务的带宽、时延、优先级和无阻塞的传送,实现对业务的合理调度才是一个大型企业网络提供“高品质〞效劳的保证.4〕现代大型企业网络应提供更完善的网络平安解决方案,以阻击病毒和黑客的攻击,减少企业的经济损失.传统企业网络的平安举措主要是通过部署防火墙、IDS、杀毒软件以及配合交换机或路由器的ACL来实现对于病毒和黑客攻击的防御,但实践证实这些被动的防御举措并不能有效的解决企业网络的安全问题.在企业网络已经成为公司生产运营的重要组成局部的今天,现代企业网络必须要有一整套从用户接入限制,病毒报文识别到主动抑制的一系列平安限制手段,才能有效的保证企业网络的稳定运行.5〕现代大型企业网络应具备更智能的网络治理解决方案,以适应网络规模日益扩大,维护工作更加复杂的需要.当前的网络已经开展成为“以应用为中央〞的信息根底平台,网络治理水平的要求已经上升到了业务层次,传统的网络设备的智能已经不能有效支持网络治理需求的开展.比方,网络调试期间最消耗人力与物力的线缆故障定位工作,网络运行期间对不同用户灵活的效劳策略部署、访问权限限制、以及网络日志审计和病毒限制水平等方面的治理工作,由于受网络设备功能本身的限制,都还属于费时、费力,有时甚至是不可能的任务,所以现代的大型企业网络迫切需要网络设备具备支撑“以应用为中央〞的智能网络运营维护的水平,并能够有一套智能化的治理软件,将网络治理人员从繁重的工作中解脱出来.二、方案设计原那么本方案的设计将在追求性能优越、经济实用的前提下,本着严谨、慎重的态度,从系统结构、技术举措、设备选择、系统应用、技术服务和实施过程等方面综合进行系统的总体设计,力图使该系统真正成为符合该中学的网络系统.从技术举措角度来讲,在网络的设计和实现中,本方案严格遵守了以下原那么：1、实用性和集成性系统的软硬件设计、还是集成,均以适用为第一宗旨,在系统充分适应企业信息化的需求的根底上进而再来考虑其他的性能.该系统所包含的内容很多,必须能将各种先进的软硬件设备有效地集成在一起,使系统的各个组成局部能充分发挥作用,协调一致的进行高效工作.2、标准性和开往性只有支持标准性和开放性的系统,才能支持与其它开放型系统一起协同工作,在网络中采用的硬件设备及软件产品应该支持国际工作标准或事实上的标准,以便能和不同厂家的开放性产品在同一网络中同时共存.通信中应采用标准的通信协议以使不同的操作系统与不同的网络系统及不同的网络之间顺利进行通讯3、先进性和平安性系统所有的组成要素均应充分地考虑其先进性.不能一味地追求实用而忽略先进,只有将当今最先进的技术和我们的实际应用要求紧密结合,才能获得最大的系统性能和效益.网络的平安是事关重要的,在某些情况下,宁可牺牲系统的局部功能也必须保证系统的平安.4、成熟性和高可靠性作为信息系统根底的网络结构和网络设备的配置及带宽应能充分地满足网络通信的需要.网络硬件体系结构在实际应用中能经过较长时间的考验,在运行速度和性能上都应是稳定可靠的、拥有完善的、实用的解决方案,并通到较多的第三方开发商和用户在全球的广泛支持和使用.同时,应从长远的技术开展来选择具有很好前景的、较为先进的技术和产品,以适应系统未来的开展需要.可靠性也是衡量一个计算机应用系统的重要标准之一.在保证系统网络环境中单独设备稳定、可靠运行的前提下,还需要考虑网络整体的容错水平、平安性及稳定性,使系统出现问题和故障时能迅速地修复.因此需要采取一定的预防举措,如对关键应用的主干设备考虑有适当的冗余.应急处理信息系统能够全天候工作,到达每周7*24小时工作的要求.一个高可用性的系统才能使用户的投资真正得到回报.5、可维护性和可治理性整个信息网络系统中的互连设备,应是使用方便、操作简单易学,并便于维护.对复杂和庞大的网络,要求有强有力的网络治理手段,以便合理的治理网络资源,监视网络状态及限制网络的运行,因此,网络所选的网络设备应支持多种协议,治理员能方便进行网络治理、维护甚至修复.在设计和实现时,必须充分考虑整个系统的便于维护性,以使系统万一发生故障时能提供有效手段及时进行恢复,尽量减少损失.6、可扩充性和兼容性网络的拓扑结构应具有可扩展性即网络联结必须在系统结构、系统容量与处理水平、物理接连、产品支持等方面具有扩充与升级换代的可能,采用的产品要遵循通用的工业标准,以便不同的设备能方便灵活地接连入网并满足系统规模扩充的要求.为了使所实现系统能够在应用发生变化的情况下保护原有的开发投资,在设计系统时,应将系统按功能做成模块化的,可根据需要增加和删除功能模块.三、网络方案设计3.1网络拓扑结构介绍在此次红塔木业集团大型企业网的设计中,我们采用层次化模型来设计网络拓扑结构.所谓“层次化〞模型,就是将复杂的网络设计分成几个层次,每个层次着重于某些特定的功能,这样就能够使一个复杂的大问题变成许多简单的小问题.层次模型既能够应用于局域网的设计,也能够应用于广域网的设计.层次化模型的好处：在大型企业网设计中,使用层次化模型有许多好处,列举如下：1、节省本钱在采用层次模型之后,各层次各司其职,不再在同一个平台上考虑所有的事情.层次模型模块化的特性使网络中的每一层都能够很好地利用带宽,减少了对系统资源的浪费.2、易于理解层次化设计使得网络结构清楚明了,可以在不同的层次实施不同难度的治理,降低了治理本钱.3、易于扩展在网络设计中,模块化具有的特性使得网络增长时网络的复杂性能够限制在子网中,而不会蔓延到网络的其他地方.而如果采用扁平化和网状设计,任何一个节点的变动都将对整个网络产生很大影响.4、易于排错层次化设计能够使网络拓扑结构分解为易于理解的子网,网络管理者能够轻易地确定网络故障的范围,从而简化了排错过程.网络拓扑图网络拓扑图如图1所示.图1网络拓扑图网络设计骨干核心层网络设计大型企业生产办公网络的核心网主要完成整个企业集团内部不同地域企业之间的高速数据路由转发,以及维护全网路由的计算.鉴于大型集团企业的用户数量众多,业务复杂,QO酸求较高的特点,在本方案中采用神州数码的DCRS-7508高密度多业务核心路由交换机组建高性能的核心网络平台.神州数码DCRS-7500系列交换机是具有运营商级容错水平的高性能大型网络核心交换机,可为高校和运营商提供基于领先技术的卓越性能和可靠性.DCRS-750源列交换机专为发挥万兆、千兆以太网潜在的强大交换水平而设计,超大容量的交换背板使得包括万兆端口在内的每个端口具备全线速交换水平,保证在巨大的网络通信负载下始终能够轻松实现线速的第二层和第三层交换,是城域网、数据中央、智能大厦及企业网络骨干级核心路由交换机的理想选择DCRS-7500系列交换机具有三种型号,包括15插梢的DCRS-75158插梢的DCRS-750部口4插梢的DCRS-7504除DCRS-7515^用的大功率电源模块外,该系列交换机的所有治理模块、交换模块以及电源模块都可互换使用,而且治理模块、电源模块、风扇等还可实现冗余备份,温度传感器可以随时监控各个部件的工作温度,从而提供运营商级的可靠性.DCRS-7500系列交换机的一大特色是治理模块均带有业务接口,使得所有的插梢均为有效的业务插梢,从而大大提升了端口密度和插梢利用率.在骨干核心层中,我们采用三台神州数码DCRS-750舷心路由交换机组成一个环形多机热备份的核心交换机系统解决方案.为提升核心网络的健壮性,实现链路的平安保证,本方案骨干核心层环网中可以采用VRRP〔虚拟路由器冗余协议〕.对于各个业务VLAN可以指向这个虚拟的IP地址作为网关,因此应用VRR豉术为核心交换机提供一个可靠的网关地址,以实现在核心层核心交换机之间进行设备的硬件冗余,一主两备,共用一个虚拟的IP地址和MACt址,通过内部的协议传输机制可以自动进行工作角色的切换.进而双引擎、双电源的设计为网络高效处理大集中数据提供了可靠的保证.核心层网络设计大型企业生产办公网络的核心层网络主要完成园区内各会聚层设备之间的数据交换和与骨干核心层网络之间的路由转发.传统解决方案一般采用骨干路由器+核心交换机来组建,但这种方式受限于交换机的性能,在提供MPLSVPN勺业务水平方面较弱,不适合大型企业网络的建设需求,同时现在的大型企业办公网络具有城域网的特点,网络开展具有网络扁平化的开展方向,因此本方案骨干层网络设备采用DCRS-7508核心路由交换机作为大型企业生产办公网络的园区核心路由交换设备,DCRS-7508M有强大的业务和路由处交换理能力,能提供如MPLS/PNQOS策略路由、NATPPPoE/Web/802.1x/L2TP认证等丰富业务水平,并可通过内置防火墙模块实现各种强大的网络平安策略,可以充分满足大型企业不同园区网络的高速数据交换和支持多业务功能的要求,并能够提供完善的平安防御策略,保证企业园区网络的稳定运行.会聚层网络设计会聚层网络主要完成企业各园区内办公楼宇和相关单位的内接入交换机的会聚及数据交换和VLAN^结,在本方案中采用神州数码的DCRS-750较换机多层交换机作为会聚层面的交换机.DCRS-7504交换机在提供高密度千兆端口接入的同时还能够满足会聚层智能高速处理的需要,并能够加灵活的部署在网络边缘的各个位置.能够同时提供多个高速专用堆叠端口和百兆、千兆光口/电口.这些交换机都具备较强的多业务提供水平,可支持包括智能的CCLMPLS组播在内的各种业务.为用户提供丰富、高性价比的组网选择.接入层网络设计以往传统企业网络接入层的建设中并不关注于平安限制和QOS提供水平,而将网络的平安防御举措和QOS呆障依赖于网络的会聚层或骨干层设备,这给会聚层和骨干层设备带来了巨大的压力,往往内网病毒泛滥成灾后导致骨干层设备瘫机,使网络没有QOq艮务质量保障.DCRS-2026圉能宽带接入交换机是能满足高平安、多业务承载、高性能的网络环境智能交换机,具备传统二层交换机大容量、高性能等优点,同时还具有领先的平安特性,进一步增强了企业网络对边缘接入层面的平安限制水平.用户可以根据需要来订制自身的平安策略并部署在此交换机上.该产品具备的端口带宽限制、端口镜像、QOS端口平安、播送风暴抑制等功能可以很好的协助用户实现网络的治理和维护.除此之外,此交换机还具备多个专用堆叠接口,可以满足楼层,楼宇内多个交换机高性能会聚的需要.广域网互联设计针对于大型企业需要良好的出口网关设备,我们建议用户选用神州数码DCFW-1800S-L神州数码DCFW-1800E-G防火墙专为千兆位流量的网络效劳运营商,大型数据中央等骨干网络而设计,采用2U专用千兆平安平台,完全模块化可扩展结构,具有热插拔特性的冗余部件为您提供最大的不间断运行时间.神州数码DCFW-1800E-GJ火墙内置2个10/100/1000M自适应以太网电口,具备6个SFP扩展插梢,最多可扩展至8个千兆接口,接口模块类型支持单模、多模光纤,千兆电口,充分满足您的定制需求.冗余/负载均衡设计冗余设计是网络设计的重要局部,是保证网络整体可靠性能的重要手段.但是投资也将增加.局部企业园区网在早期的建设中由于成本的原因并未在设计中考虑冗余问题,而在优化工作中那么需从网络链路和网络设备两方面着手.冗余设计可以贯穿整个层次化结构,每个冗余设计都有针对性,可以选择其中一局部或几局部应用到网络中以针对重要的应用.万一网络中某条路径失效时,冗余链路可以提供另一条物理路径.可采用GECJ路聚合(IEEE802.3ad)实现端口级冗余,以克服某个端口或线路引起的故障.也可采用生成树协议(IEEE802.1d)提供设备级的冗余连接.此外,我们在设计中提供不同物理方向的双归属、双路由保护.线路冗余在企业网骨干核心层,企业网络边界拓扑结构由于采用了环形多机热备份的核心交换机系统解决方案,所以在线路冗余方面的要求较高,对于线路的冗余要求,我们采用10GE线路对三台企业网骨干核心层设备进行环行双向备份,并使用业界领先的VRRP(虚拟路由器冗余协议)来对其作为冗余线路的协议保证.以GECC乍为N*1000M±干链路,通过这个链路连接骨干网交换机,具备万兆扩展水平；接入交换机采用10/100M自适应端口连接桌面系统,多千兆链路连接到汇聚层.GE密具有链路聚合和冗余保证两大特性,下面我们将对它们依次进行介绍.链路聚合：可使用一条物理链路在不同品牌交换机之间、交换机和效劳器间提供聚合的高速通道,在不增加投资的情况下,扩大交换带宽,使关键连接的传输效率更高冗余保证：链路聚合中,成员互相动态备份.当某一链路中断时,其它成员能够迅速接替其工作.与生成树协议不同,链路聚合启用备份的过程对聚合之外是不可见的,而且启用备份过程只在聚合链路内,与其它链路无关,切换可在数毫秒内完成.综合分析以上各主流方案的优缺点,从性能与本钱及拓展性等方面的综合考虑出发,我们决定采用GECt干核心网络10GE®展的方式作为其链路选择及备份选择.在企业网会聚层及接入层出于本钱及性价比的考虑,我们决定采用千兆会聚,万兆拓展；百兆到桌面的链路选择.网络设备冗余/负载均衡设计当前,无论在企业网、园区网还是在广域网如Internet上,业务量的开展都超出了过去最乐观的估计,上网热潮风起云涌,新的应用层出不穷,即使根据当时最优配置建设的网络,也很快会感到吃不消.尤其是各个网络的核心局部,其数据流量和计算强度之大,使得单一设备根本无法承当.负载均衡建立在现有网络结构之上,它提供了一种廉价有效的方法扩展效劳器带宽和增加吞吐量,增强网络数据处理水平,提升网络的灵活性和可用性.它主要完成以下任务：解决网络拥塞问题,效劳就近提供,实现地理位置无关性；为用户提供更好的访问质量；提升效劳器响应速度；提升效劳器及其他资源的利用效率；预防了网络关键部位出现单点失效.在此方案中,在网络的每个关键结点,我们在设计时都做到了对其有效的冗余备份和负载均衡.在网络的骨干核心层上.我们采用了三台锐捷网络的RG-S861cM密度多业务IPV6核心路由交换机组建高性能的核心网络平台,在对骨干核心层提供足够的网络接点和接入需求的同时最大限度的为网络提供了有效的冗余保证和负载均衡.在核心层的每个区块,我们都采用了两台锐捷网络的RG-S860渡多业务IPV6核心路由交换机做到冗余与负载均衡.在会聚层的每个区块,我采用了两台锐捷网络的RG-S575饺换机多层交换机做到冗余与负载均衡.在本方案的设计中,出现了两个以上的交换区块和需要提供冗余连接的时候,我们采用了双核心配置.如下列图,我们给出了从接入层到会聚层再到核心层的双核心配置.奏换区跳।交强区域2

双核双核心拓扑结构提供了两条等代价路径和双倍的带宽每个核心交换机连接着数目相同的子网到第三层会聚设备上.每个交换区块都有冗余的连接到核心交换机上,因此形成两条不同的,但是等代价的连接.如果一条核心设备发生故障,还是能够收敛,由于会聚层设备的路由选择表中还有另一条到核心设备的路由.第3层路由选择协议在核心中起链路选择的作用,VRRP提供快速错误恢复.核心层不需要STP由于在核心交换机间没有冗余的第2层连接.效劳器冗余设计企业网中效劳器、大型机,如网络存储效劳器,SQLServer效劳器,其存储的数据对于企业来说致关重要,一些核心数据被视为企业的生命.一方面它对企业的企业的重要性毋庸质疑,另一方面,由于这些数据的性质决定了其较大的被访问量,这个对效劳器提出了稳定和快速的要求.如果宕机,后果是技术是保证计算机系统的可靠性是重中之重.为此,我们采用的是双机热备技术,此技术能够有效的满足核心效劳器高效,稳定的高要求.而且相对于其它本钱技术来说,这是比拟有经济价成效的技术.

SeServer1Server2效劳器双机热备技术具体技术实现：每个核心效劳器均具有两个以太网接口〔可以通过安装双网卡实现〕,在此根底上,以上图为例,DB效劳器A与DB效劳器B先分别利用自己的一个以太网接口实现两个效劳器之间的直连,每个效劳器另外的一个接口那么与效劳器区的网络实现互连,以到达双机热备的目的.因此增加效劳器的稳定性与高效性.本网络中应具有多台效劳器设备,包括DBSERVE敷据库效劳器,WEB,CATALOG应用效劳器,NEWS,MAI萼通讯效劳器及多媒体效劳器等.3.310IP地址规划原那么IP地址构成了整个Internet的根底,IP地址资源是整个Internet的根本核心资源,IP地址资源的合理分配和有效利用是整个Internet开展过程中持续有效的一个极具分量的研究课题.我们在对企业园区网IP地址编址设计和分配利用时,遵循了以下几个原那么：1〕、自治：整个园区网络网络被划分成几个大的自治区域,每个大自治区域中又被划分成几个小的自治区域.2〕、有序：我们根据自治原那么将网络进行逻辑划分后,就根据地域、设备分布及区域内用户数量来进行子网规划.同时,我们将IP地址规划和网络层次规划、路由协议规划、流量规划等结合起来考虑.在进行地址分配时,为了提升地址分配效率和地址利用率,我们在编址设计时根据了一定的顺序进行.选择的顺序是自上而下的顺序,即采用了业界领先的自顶向下网络设计(Top-DownNetworkDesign)方法.3)、可持续性：考虑到园区内网络用户数将持续高速增长,网络所要承载的业务量和业务种类越来越多,这使得网络需要频频进行技术升级、改造和扩容.所以,在进行地址分配时本方案充分考虑到了这些因素,为网络的每个局部留有局部地址冗余,这样保证网络的可持续开展.4)、可聚合：互联网日新月异的开展和日益庞大的规模令当初设计互联网络的专家始料不及,在路由表急剧膨胀情况下,可聚合原那么是网络地址分配时所必须遵守的最高原那么,可聚合原那么要求在进行地址规划时,应提供足够的路由冗余功能.5)、尽量节约IPv4地址：由于IPv4地址越来越少,所以对于IPv4地址的使用需要格外节约.IPv4地址的节约可以通过动态编址技术和NAT技术等来实现.6)、闲置IP地址回收利用：对于已分配出去的静态IP地址进行定期追踪治理,对长时间闲置的IP地址可经过确认后回收重复利用.此次方案的设计,我们决定采用一个内部私有A类地址()对企业园区的网络设备编址.由于从方案本身的网络拓扑图采用了典型的层次化设计,所以对IP地址的编址设计也应采取层次化的设计来完成,并采用VLS味拓展有限的IP地址.网段描述所需的IP地址数骨干核心层链路5〔2个用于拓展备份〕集团总部1000生产部500客户部500机械厂1000大型机/效劳器群500企业VOIP语音系统2000VLS幅可变长子网掩码的英文缩写,它提供了一个主类〔A类、B类、C类〕网络内包含多个子网掩码的水平,可以对一个子网再进行子网划分.VLSM勺优点1、对IP地址更为有效的使用2、应用路由归纳的水平更强所以我们采取VLSM寸网络进行编址,以到达节约IP地址,能够使用路由汇总的目的.首先采用一个A类网址对园区网主体结构进行编址,至上而下的设计思路有利于设计的最后成型和网络的健壮性.其次,在语音系统中,每一个IP需要一个IP地址以及诸如子网掩码、默认网关等的相关信息.事实上,这意味着一个组织需要指派两倍于IP的IP地址给当前所有的pc用户,这个由DHC的供.我们使用私有遍址的IP作为语音遍址方案.私有遍址IP：网络IP使用♦□□□□用□□□OOOIP+PC在同一交换机端口上IP地址网段VLAN®号默认网关财务部/241054/24生产部/242054/24销售部/243054/24行政部/244054/24IP地址分配如下表:最后经过我们的计算,将各部门用户地址与VLAN^J分Wet®务器IP地址：/24FTP效劳器IP地址：/24路由器出口IP地址：/24方案特点本方案很好地解决了用户要求的四个问题,即带宽问题、平安问题、治理计费问题、灵活扩展问题.带宽问题：使用万兆互连双核心结构,使网络核心设备不但可以互相备份,而且有效的减轻流量负荷,使设备时刻保持稳定和高效.平安问题：校园网核心层、会聚层、楼层会聚层所使用的产品全部具有网络病毒和攻击的防护水平,并且防DOS/DDO攻击,因而可以在不同的环境中做到平安防护,足以应对突发事件,保持网络稳定、通畅.治理计费问题：统一认证,针对校园网开放式的信息点造成的平安隐患,全网接入采用统一认证技术〔可以进行账号、IP,MACLAVNID、交换机IP和交换机端口六要素灵活捆绑〕,保证了只有合法授权的用户才能使用网络或外部网络,而且还能对网络的使用情况进行审计.灵活扩展问题：核心层使用的路由交换机DCRS-7508T良好的扩展性,可以为将来的网络实现轻松扩展.四、网络技术选型路由协议——OSPF在网络骨干核心层和核心层以及会聚层上需要使用三层设备为网络内部不同的网段的数据和不同VLAN间的数据转发而需要路由协议时,我们采用OSP前议作为路由协议.OSP度一种典型的链路状态路由协议.采用OSPF勺路由器彼此交换并保存整个网络的链路信息,从而掌握全网的拓扑结构,独立计算路由.由于RIP路由协议不能效劳于大型网络,所以,IETF的IGP工作组特别开发出链路状态协议一一OSPF目前广为使用的是OSP噪二版,最新标准为RFC2328OSPF乍为一种内部网关协议〔InteriorGatewayProtocol,IGP〕,用于在同一个自治域〔AS〕中的路由器之间发布路由信息.区别于距离矢量协议〔RIP〕,OSPFH有支持大型网络、路由收敛快、占用网络资源少等优点,在目前应用的路由协议中占有相当重要的地位.端口平安与认证〔基于802.1X〕a.端口平安交换设备定义了对端口保护的功能,我们能定义允许的最大MAC地址访问数,或者静态的定义特定的MAC地址.b.基于802.1x的端口认证基于端口的认证就是将AAA认证与端口保护相结合,默认情况下.一个支持802.1x的交换机端口处于未授权状态,除了和x有关的数据,其他数据都不能通过该端口,只有客户的交换机创立了一个802.1x的会话,客户被授权访EAPOLExtensibleAuthenticationProtocolOVERLAN局域网上的可扩展身份认证.在端口处于未授权状态下,客户端只能使用EAPOL与交换机通信.VRRP〔虚拟路由冗余协议〕原理VRRP合路由器组提供了一个冗余网关地址,它是一种容错协议,通过定义不同的组,不同优先级的路由器,它保证网络的主路由器失效时,可以及时的由备分来实现路由器来替代,从而保持通讯的连续性和可靠性.并可以在该协议上实现负载均衡等高级交换特性.VRR限术的实现：会聚到核心冗余连接及VRRP的实现通过VRRP技术将多个设备虚拟成为一台逻辑设备,实现会聚/接入链路冗余.VRRP〔虚拟路由冗余协议〕原理RSTP协议完全向下兼容802.1DSTP协议,除了和传统的STP协议一样具有预防回路、提供冗余链路的功能外,最主要的特点就是“快〞.如果一个局域网内的网桥都支持RSTP协议且治理员配置得当,一旦网络拓朴改变而要重新生成拓朴树只需要不超过1秒的时间〔传统的STP需要大约50秒〕.本交换机支持MSTPMSTP是在传统的STP、RSTP的根底上发展而来的新的生成树协议,本身就包含了RSTP的快速FORWARDING机制.由于传统的生成树协议与VLAN没有任何联系,因此在特定网络拓朴下就会产生以下问题：如下列图所示,交换机A、B在vlan1内,交换机C、D在vlan2内,然后连成环路.A在某种情况的配置下,会造成把交换机A和B间的链路给DISCARDIN由于交换机C、D不包含vlan1,无法转发vlan1的数据包,这样交换机A的vlanl就无法与交换机B的vlanl进行通讯.在网络末梢,连接到单个工作站的时候,是不可能形成桥接环路的.在接口上启用了PORTFAS语性,可以使交换机端口立即变为转发状态,提升了网络的响应速度及收敛时间.基于RSTP的交换机高级特性UPLINKFAST在网络中的应用.考虑到有冗余上行连接的网络,使用冗余连接到上层交换机,通常情况下一个上行连接处于转发状态,另一个处于阻塞状态,如果主上行连接断开,在使用冗余连接之前所经历的时间高达50S.在使用UPLINKFAS佗后,使的具有冗余上行连接的交换机具有根端口失效时,另一个阻塞的上行连接能够立即使用,这个时间大大缩小到1-5S之间,在校园网的特殊环境之下,能大大增强网络的稳定性,加快网络收敛.NAT的描述及策略路由的实现在组建网络时,为了节约地址,我们在内部使用保存的私有地址段中的地址,但是使用私有地址不能访问Internet,所以必须申请多个公开地址配置在和Internet相连的局域网边缘设备上.应用NAT进行地址转换.NAT是网络地址译技术,在路由器上起用NAT之后,可以在部私有地址和外部公网地址之间做转换.比方我们可以把网络内部使用的IP翻译成外部公网的IP.IP地配置基于策略的路由选择时,可使用路由映射表来指定基于址,应用程序,协议或者分组长度的条件.基于策略的路由选择命令对中选的路由实现策IP地基于策略的路由和静态路由有很多共同之处.然而,静态路由根据目标网络地址来转换分组,而策略路由根据源地址来转发分组.在路由选择表中使用访问列表时,可根据诸如目标地址,分组长度,IP协议字段,优先级或端口号来转发数据流.这样可以指定范围更广泛,更细致的条件,并根据这些条件来决定下一路由器.ACL(访问限制列表)访问列表为我们提供了一种对网络访问进行有效治理的方法,通过访问列表,我们可以设置允许或拒绝数据包通过路由器,或者允许或者拒绝具体的某些端口进行访问和使用,如果满足条件那么执行相应的操作,放行这个包或者放弃这个包.我们通过这些设置来满足实际网络的灵活需求,从而到达设置网络平安策略,预防网络中的敏感设备受到非授权访问的情况.在具体实现过程中从技术上来说我们需要了解到ACL分为两种类型,他们分别是标准访问列表(Standardaccesslists)和扩展访问列表(Extendsaccesslists)前者在过滤网络的时候只使用IP数据报的源地址,那么在使用这种访问列表的情况下它做出允许或者拒绝这个决定完全是依赖于源IP地址,它无法区分具体的流量类型.而扩展访问列表那么可以提供更细的决定,它可以具体到端口,从而精确到某一个效劳,比方对WEB,FTP的访问等,给我们网络的策略提供了更细的限制手段.我们利用这种访问列表进行协议级的控制以到达对网络一个有效的治理.标准访问限制列表一般放在靠近目标的路由器上,而扩展访问限制列表一般放于近源端的路由器上.链路聚合EC(EthernetChannel)以太网信道链路聚合可以让交换机之间和交换机与效劳器之间的链路带宽有非常好的伸缩性,比方可以把2个、3个、4个千兆的链路绑定在一起,使链路的带宽成倍增长.链路聚合技术可以实现不同端口的负载均衡,同时也能够互为备份,保证链路的冗余性.在这些千兆以太网交换机中,最多可以支持4组链路聚合,每组中最大4个端口.链路聚合一般是不允许跨芯片设置的.生成树协议和链路聚合都可以保证一个网络的冗余性.在一个网络中设置冗余链路,并用生成树协议让备份链路阻塞,在逻辑上不形成环路.而一旦4.8VLAN(虚拟局域网)VLAN虚拟局域网是一种在二层设备上隔离和划分播送域的技术,通过这种划分,我们可以把物理位置上别离的网络设备在逻辑上划为同一个播送域,或者把物理位置上邻近的网络设备划为不同的播送域,从而更方便我们治理和做一个逻辑层次的划分.从技术上说VLAN可以分为静态VLAN和动态VLAN,那么静态的VLAN是基于交换机端口进行划分,根据网络设备连接不同的交换机端口,那么进入相应的VLAN.动态VLAN那么更灵活,它可以根据接入计算机的IP地址,MAC地址,甚至是用户的登陆账号做出相应的处理,把计算机划分进相应的VLAN中,这样就为我们实际的网络治理带来了比拟大的方便性和灵活性.那么在我们的企业网方案中,我们希望通过使用VLAN技术进行划分到达以下目的：隔离,划分播送域,减小不必要的播送流量,从而提升整个网络的利用效率.4.9WLANB线局域网无线局域网有4大特点：移动性：不受时间限制,空间限制,用户可以在网络中漫游；灵活性：不受线缆的限制,可以随意增加和配置工作站；低本钱：无线网络不再需要大量的工程布线,同时节省了线路的维护费用；易安装：对于有线网络来说,无线网络的组建、配置和维护更为容易.结合以上特点,无线网络非常适合图书馆的环境和要求,我们在图书管布置无线网络,并且采用INFRASTUCTUR眩种典型的WLAN工作模式,无线客户端可以通过无线接入器AP(AccessPoint)接入以太网共享网络资源,多个AP分布在相邻的区域可以实现无线客户端的移动漫游.五、网络平安及治理机制5.1完善的平安机制企业楼宇交换机通过内在的多种平安机制可有效预防和限制病毒传播和网络流量攻击,限制非法用户使用网络,保证合法用户合理化使用网络,如端口平安、端口隔离、ACL端口ARP报文合法性检查、基于数据流的带宽限速、六元素绑定等等,满足企业网增强对访问者进行限制、限制非授权用户通信的需求；在会聚、核心交换设备设置由硬件实现ACL,对病毒进行过滤,我们选用的会聚、核心交换设备都支持SPOH所以在使用ACL时将不会影响整个交换机的性能..硬件实现端口与MAC地址和用户IP地址的绑定,严格限定端口上用户接入..通过PrivateVLAN可以在交换机的同一VLAN中提供端口之间的通讯或平安隔离,保证数据流进入有效端口,而不会被发送到其它端口,即解决了因传统802.1QVLAN造成全网VID资源不够的问题,同时又无需利用平安规那么资源即能到达隔离不同用户以及不同组用户之间通讯的功能,充分保护用户隐私..可实现用户账号、MAC地址、IP地址、交换机IP、交换机端口等六大元素之间的灵活任意绑定,有效确认用户合法性和唯一性..支持业界特