某企业网络系统规划与设计

某企业网络系统规划与设计目录一、 需求分析 31、 背景 32、 设计原那么 3二、 总拓扑 6三、 总体设计思路 6四、 路由规划 7五、 Ip地址及vlan规划 7六、 关键技术分析 8七、 设备选型 91. 选型原那么 92. 设备清单及报价 9八、 配置命令 101. 在接入层交换机下端口配置端口平安 102. 接入层与分布层之间相连的链路配置trunk 103. 接入层与分布层交换机配置vtp 104. 在分布层交换机创立vlan 105. 将接入层上端口划分vlan 106. 将交换机的链路进行捆绑 117. VRRP配置 118. 配置ospf协议 119. 防火墙上的nat及下放默认路由 12需求分析背景某企业，考虑了将来，大约2000用户，根本均匀分布于四栋楼。每栋楼约4层，人员均匀分布。效劳器10台集中于机房。用户无大数据量应用。现需要组建局域网，要求网络保证一定稳定性，网络主干中断最多为1分钟。设计原那么多业务网络系统方案以实现以上功能为根本要求，在设计上力求做到既要采用国际上先进的技术，又要保证系统的平安可靠性和实用性。具体来讲，其设计遵循以下原那么：可靠性：本系统是7x24小时连续运行系统，从硬件和软件两方面来保证系统的高可靠性。硬件可靠性系统的主要部件采用冗余结构，如：传输方式的备份，提供备份组网结构；主要的计算机设备〔如数据库效劳器〕，配备不间断电源等。软件可靠性充分考虑异常情况的处理，具有强的容错能力、错误恢复能力、错误记录及预警能力并给用户以提示；并具有进程监控管理功能，保证各进程的可靠运行数据库系统应。网络结构稳定性当增加/扩充应用子系统时，不影响网络的整体结构以及整体性能，对关键的网络连接采用主备方式，已保证数据的传输的可靠性。先进性：网络技术应为当期国际同业中先进的，并能支持未来网络技术的高性能需求，并且在业界表现出较高的网络性能；实用性：整个网络系统要按照实用、好用的原那么，使网络具有较高的实用性；时效性：网络要保证各类业务数据流的及时传输，网络时效性要强，网络延时要小，确证业务交易的实时高效完成。完整性：网络系统应实现端到端的，能整合数据、语音和图象的多业务应用，需要在全网范围统一的实施平安策略、QoS策略、流量管理策略和系统管理策略的完整的一体化网络；可实施性：整个网络解决方案的实施要便于实际的实施，并在实施过程中要保证现有网络和切换的完整性和一致性，确保实施工作的正常、顺利。可扩展性：随着技术不断开展，新的标准和功能不断增加，网络设备必须可以通过网络进行升级，以提供更先进、更多的功能。在网络建成后，随着应用和用户的增加，核心骨干网络设备的交换能力和容量必须能作出线性的增长。设备应能提供高端口密度、模块化的设计以及多种类接口、技术的选择，以方便未来更灵活的扩展。兼容性：跟踪世界科技开展动态，网络规划与现有光纤传输网及将要改造的分配网有良好的兼容，在采用先进技术的前提下，最大可能地保护已有投资，并能在已有的网络上扩展多种业务。平安性：网络的平安性对网络设计是非常重要的，合理的网络平安控制，可以使应用环境中的信息资源得到有效的保护可以有效的控制网络的访问，灵活的实施网络的平安控制策略。在企业园区网络中，关键应用效劳器、核心网络设备，只有系统管理人员才有操作、控制的权力。应用客户端只有访问共享资源的权限，网络应该能够阻止任何的非法操作。在园区网络设备上应该可以进行基于协议、基于Mac地址、基于IP地址的包过滤控制功能。在大规模园区网络的设计上，划分虚拟子网，一方面可以有效的隔离子网内的大量播送，另一方面隔离网络子网间的通讯，控制了资源的访问权限，提高了网络的平安性。在设计园区网的原那么上必须强调网络平安控制能力，使网络可以任意连接，又可以从第二层、第三层控制网络的访问。可管理性：网络中的任何设备均可以通过网络管理平台进行控制，网络的设备状态，故障报警等都可以通过网管平台进行监控，通过网络管理平台简化管理工作，提高网络管理的效率。总拓扑总体设计思路整个网络通过企业总部上Internet，在企业总部设置有防火墙，用于防护企业内部网络的平安，且在防火墙上进行NAT转换，使得整个企业的网络能上Internet。网络总体使用三层结构，分别是核心层、分布层和接入层。核心层设有两台核心交换机，核心交换机使用上行链路与路由器连接，保证冗余性。核心交换机间可以使用链路捆绑链路进行连接，保证核心交换机间的链路冗余性及提高链路的可靠性。企业内部效劳器核心交换机相连，保证数据的高速转发，且使用双链路分别与两台核心交换机相连，保证冗余性，减少因链路故障带来的影响，提高网络的可靠性。除效劳器外，各部门的信息点都连接到接入层交换机，在接入层上端口划分vlan，同一部门的计算机都在同一vlan，并采用VTPPrune技术，防止trunk链路的不必要流量。在分布层交换机上创立vlan，自动发布到接入层交换机。接入设备的网关设在核心交换机，并且使用vrrp在两台核心交换机间实现冗余。路由规划为了使各栋楼实现高效的互联，并且便于网络管理与维护，整个网络采用OSPF协议，将总部A栋的三层交换机、防火墙、路由器划分为Area0，其他各个分部B、C、D栋分别划分为Area1，Area2，Area3，以此类推。总部与分部相连的链路划为Area0。在区域便界进行网络汇总，保证网络正常的同时，尽量减少路由条目，提高路由器的转发效率。Ip地址及vlan规划关键技术分析在接入层交换机上做端口平安，接入层与分布层交换机之间使用stp保护。交换机的连接全部使用trunk链路，并且允许所有vlan通过。在每栋楼的分布层交换机上都创立要用到的vlan。总部核心层交换机间使用链路捆绑技术总部的核心交换机使用vrrp进行网关冗余，并且调整vrrp使得一局部主网关在MultilayerSwitch8，一局部主网关在MultilayerSwitch9，结合MSTP实现负载分担在防火墙ASA1上做NAT转换，写一条出口指向Internet的缺省路由，并且通过OSPF下放缺省路由，使得整个网络能访问ISP。在各个楼栋的路由器及总部的路由器上做区域间汇总在总部与分部的路由器上启用CHAP认证。设备选型选型原那么在设备选型时，主要考虑如下原那么：稳定性只有运行稳定的网络才能投入到实际工程的使用中去，而网络的稳定性取决于很多因素，如网络的设计，产品的可靠等。高处理性能为了支持数据、语音、视频等多媒体的传输能力，应选取转发速率高、cpu性能较好、数据包处理速度快的产品。扩展性网络设计中要有扩展性和可升级性，随着企业业务的增长，网络中的数据流量会持续增加，所以网络中的可扩展性尤为重要。平安性网络系统中的平安性主要表达在网络设计的平安性、产品本身的平安性以及人为因素等。可控性随着网络规模的增大，网络的可控性会降低。一个网络既要保证数据的正确传输，也要保证数据朝着最优的方向传输。设备清单及报价配置命令在接入层交换机下端口配置端口平安S2950-24(config)#intf0/1S2950-24(config-if)#shutdownS2950-24(config-if)#switchportmodeaccessS2950-24(config-if)#switchportport-securityS2950-24(config-if)#switchportport-securitymaximum1S2950-24(config-if)#switchportport-securityviolationshutdown接入层与分布层之间相连的链路配置trunkS2950-24(config)#intf0/1S2950-24(config-if)#switchportmodetrunk//其他接口类似，就不一一列举接入层与分布层交换机配置vtpS2950T-24(config)#vtpmodeserverS2950T-24(config)#vtpdomainSZPTS2950T-24(config)#vtppasswordcisco//在vtpserver模式下启用vtppruning，其他交换机类似，就不一一列举，需要隐私的部门可以设置模式为transparent在分布层交换机创立vlanS2950T-24(config)#vlan10S2950T-24(config-vlan)#descriptionoffice//创立vlan并加以描述信息，方便管理，其他vlan类似，就不一一列举将接入层上端口划分vlanS2950-24(config)#intf0/1S2950-24(config-if)#switchportmodeaccessS2950-24(config-if)#switchportaccessvlan10//其他接口类似于此操作将交换机的链路进行捆绑3560-24PS(config)#interfaceport-channel13560-24PS(config)#interfacerangef0/11-123560-24PS(config-if-range)#channel-group1modeon3560-24PS(config-if-range)#switchportmodetrunk3560-24PS(config-if-range)#exit3560-24PS(config)#port-channelload-balancedst-ip//进行端口聚合，另一台核心交换机也做同样的操作VRRP配置3560-24PS(config)#track100intf0/13line-protocol3560-24PS(config)#intf0/113560-24PS(config-if)#vrrp3560-24PS(config-if)#vrrp1priority1203560-24PS(config-if)#vrrp1preempt3560-24PS(config-if)#vrrp1authenticationMD5key-stringcisco3560-24PS(config-if)#vrrp1track100decrement303560-24PS(config-if)#vrrp3560-24PS(config-if)#vrrp2preempt3560-24PS(config-if)#vrrp2authenticationmd5key-stringcisco在另外一台核心交换机上3560-24PS(config)#track100intf0/14line-protocol3560-24PS(config)#intf0/123560-24PS(config-if)#vrrp3560-24PS(config-if)#vrrp1preempt3560-24PS(config-if)#vrrp1authenticationMD5key-stringcisco3560-24PS(config-if)#vrrp3560-24PS(config-if)#vrrp2priority1203560-24PS(config-if)#vrrp2preempt3560-24PS(config-if)#vrrp2authenticationMD5key-stringcisco3560-24PS(config-if)#vrrp2track100decrement30//使用vrrp使得各部门的主网关在两个核心间进行冗余及负载分担，配置就不一一列举配置ospf协议3560-24PS(config)#iprouting3560-24PS(config)#routerospf1103560-24PS(config-router)#network10.1.10.10.0.0.0ar03560-24PS(config-router)#abr-summary255.0.0.0//ospf的配置，配置router-id，按规划的区域宣告网络，在区域边界进行汇总，其他