中小型企業(yè)組網(wǎng)方案設(shè)計deflate(編輯修改稿)

　

【文章內(nèi)容簡介】 當(dāng)網(wǎng)絡(luò)管理人員需要管理的交換機(jī)數(shù)量眾多時，可以使用 VLAN 中繼協(xié)議（ Vlan Trunking Protocol， VTP）簡化管理，它只需在單獨一臺交換機(jī)上定義所有 VLAN。然后通過 VTP 協(xié)議將 VLAN 定義傳播到本管理域中的所有交換機(jī)上。這樣，大大減輕了網(wǎng)絡(luò)管理人員的工作負(fù)擔(dān)和工作強(qiáng)度。 VTP（ VLAN Trunking Protocol）：是 VLAN 中繼協(xié)議，也被稱為虛擬局域網(wǎng)干道協(xié)議。 它是一個 OSI 參考模型第二層的通信協(xié)議，主要用于管理在同一個域的網(wǎng)絡(luò)范圍內(nèi)VLANs 的建立、刪除和重命名。在一臺 VTP Server 上配置一個新的 VLAN 時，該 VLAN的配置信息將自動傳播到本域內(nèi)的其他所有交換機(jī)。這些交換機(jī)會自動地接收這些配置信息，使其 VLAN 的配置與 VTP Server 保持一致，從而減少在多臺設(shè)備上配置同一個VLAN 信息的工作量，而且保持了 VLAN 配置的統(tǒng)一性。 VTP 通過網(wǎng)絡(luò) (ISL幀或 cisco 私有 DTP 幀 )保持 VLAN 配置統(tǒng)一性。 VTP 在系統(tǒng)級管理增加，刪除，調(diào)整的 VLAN，自動地將信息向網(wǎng)絡(luò)中其它的交換機(jī)廣播。此外， VTP減小了那些可能導(dǎo)致安全問題的配置。 使用 VTP 便于管理 ， 只要在 VTP Server 做相應(yīng)設(shè)置 ， VTP Client 會自動學(xué) 習(xí) VTP Server 上的 Vlan信息。 VTP 有三種工作模式 ： VTP Server、 VTP Client 和 VTP Transparent，如圖 4 所示 。 一般，一個 VTP 域內(nèi)的整個網(wǎng)絡(luò)只設(shè)一個 VTP Server。 VTP Server 維護(hù)該 VTP 域中所有VLAN 信息列表， VTP Server 可以建立、刪除或修改 VLAN。 VTP Client 雖然也維護(hù)所有 VLAN 信息列表，但其 VLAN 的配置信息是從 VTP Server 學(xué)到的， VTP Client 不能建Vlan 10 Vlan 20 Fa 0/0 trunk 靜態(tài)路由 8 立、刪除或修改 VLAN。 VTP Transparent 相當(dāng)于是一上獨立的交換機(jī)，它不參與 VTP 工作，不從 VTP Server 學(xué)習(xí) VLAN 的配置信息，而只擁有本設(shè)備上自己維護(hù)的 VLAN 信息。VTP Transparent 可以建立、刪除和修改本機(jī)上的 VLAN 信息。 圖 4 VTP 的不同工作模式 ? STP（ Spanning Tree Protocol,生成樹協(xié)議） 企業(yè)網(wǎng)絡(luò)首要關(guān)心的就是高可用性，它在很大程序上依賴于處理業(yè)務(wù)的多層交換網(wǎng)絡(luò)。確保高可用性的方法之一就是在整個網(wǎng)絡(luò)中提供設(shè)備、模塊和鏈路的冗余。但 是，第二層的網(wǎng)絡(luò)冗余可能會導(dǎo)致潛在的橋接環(huán)路，數(shù)據(jù)包將在設(shè)備之間無休止地循環(huán)，進(jìn)而破壞網(wǎng)絡(luò)的正常工作能力。 STP 能夠識別并防止這種第二層環(huán)路。 STP 使用根網(wǎng)橋、根端口和指定端口等概念來建立網(wǎng)絡(luò)的無環(huán)路徑。 STP 能夠克服冗余網(wǎng)絡(luò)中透明橋接的問題，通過采用無環(huán)路徑， STP 能夠避免和消除網(wǎng)絡(luò)中的環(huán)路。 STP 可以通過 判斷網(wǎng)絡(luò)中存在環(huán)路的地方并阻斷冗余鏈路， 從而達(dá)到上述目的，確保到每個目標(biāo)都只有一條路徑，所以永遠(yuǎn)不會產(chǎn)生環(huán)路，如果發(fā)生某條鏈路失效的情況，那么網(wǎng)橋就會將接口從阻塞狀態(tài)過渡到轉(zhuǎn)發(fā)狀態(tài)。 ? 園區(qū)網(wǎng)內(nèi)部部署 方式 為了簡化交換網(wǎng)絡(luò)設(shè)計、提高交換網(wǎng)絡(luò)的可擴(kuò)展性，在園區(qū)網(wǎng)內(nèi)部數(shù)據(jù)交換的部署Sever Client Transparent 創(chuàng)建 VLAN 修改 VLAN 刪除 VLAN 發(fā)送、轉(zhuǎn)發(fā) VLAN 信息 同步 VLAN 信息 只能創(chuàng)建本地 VLANs 只能修改本地 VLANs 只能刪除本地 VLANs 轉(zhuǎn)發(fā)接到到的 VLAN 信息 不能同步 VLAN 信息 不能創(chuàng)建 VLANs 不能修改 VLANs 不能刪除 VLAN 同步 VLAN 信息 VTP 模式 9 是分層進(jìn)行的。園區(qū)網(wǎng)數(shù)據(jù)交換設(shè)備可以劃分為三個層次： 接入 層、分布層、核心層。接入層 為所有的終端用戶提供一個接入點；分布層除了負(fù)責(zé)將 接入層 交換機(jī)進(jìn)行匯集外，還為整個交換網(wǎng)絡(luò)提供 VLAN 間的路由選擇功能；核心層將各分布層交換機(jī)互連起來進(jìn)行穿越園區(qū)網(wǎng)骨干的高速數(shù)據(jù)交換。 遠(yuǎn)程訪問技術(shù)： 遠(yuǎn)程訪問也是園區(qū)網(wǎng)絡(luò)必須提供的服務(wù)之一。它可以為家庭辦公用戶和出差在外的員工提供移動接入服務(wù)。 下面對各種遠(yuǎn)程接入方式進(jìn)行比較 ： ? 各種遠(yuǎn)程接入方式的比較 1) 遠(yuǎn)程撥號 采用遠(yuǎn)程撥號方式，必須申請電話線，用戶多時，需申請中繼電話線，而且需要 Modem Pool 將模擬信號轉(zhuǎn)換成數(shù)字信號，撥號訪問服務(wù)器將串行數(shù)據(jù)轉(zhuǎn)換為網(wǎng)絡(luò)上傳輸?shù)?IP 數(shù)據(jù)包。同時多數(shù)企業(yè)較難為接入設(shè)備提供理想的工作環(huán)境，不能確保信息傳輸?shù)馁|(zhì)量和安全。 2) 租用專用線路 在過去的數(shù)十年間，許多企業(yè)花費大量資金租用專用線路，將其主要分支機(jī)構(gòu)連接起來組成該企業(yè)的私有通信網(wǎng)絡(luò)，以達(dá)到信息在企業(yè)內(nèi)部的快速溝通和共享，這樣企業(yè)在獲得高效率的同時，也為租用專用線路付出了較高的成本。 3) VPN 遠(yuǎn)程接入 VPN(Virtual Private Network) 即虛擬專用網(wǎng)是在公共網(wǎng)絡(luò)上建立的專用網(wǎng)絡(luò) [810]，但其任意 2 個結(jié)點間的連接并沒有傳統(tǒng)專用網(wǎng)絡(luò)所需的點到點的物理鏈路，而是架構(gòu)在公共網(wǎng)絡(luò) ( Inter) 服務(wù)商 ( ISP) 所提供網(wǎng)絡(luò)平臺上的邏輯網(wǎng)絡(luò)。用戶數(shù)據(jù)通過 ISP 在公共網(wǎng)絡(luò)中建立的邏輯隧道 ( Tunnel ) ，即點到點的虛擬專線進(jìn)行傳輸。通過加密和認(rèn)證技術(shù)，確保企業(yè)內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)在公共網(wǎng)絡(luò)上安全傳輸，真正實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)的專有性。 VPN 是對企業(yè)內(nèi)部網(wǎng)絡(luò)的擴(kuò)展，通過它可以實現(xiàn)遠(yuǎn)程用戶與內(nèi)部網(wǎng)絡(luò)的安全連 接。 VPN 遠(yuǎn)程接入方式最適用于企業(yè)經(jīng)常有人員出差，需實現(xiàn)遠(yuǎn)程辦公的情況。出差員工利用當(dāng)?shù)?ISP 提供的 VPN 服務(wù)，即可與企業(yè) VPN 網(wǎng)關(guān)建立私有的隧道連接。 VPN 遠(yuǎn)程接入方式有以下主要優(yōu)勢： 簡化網(wǎng)絡(luò)。只需要投入 1 臺 VPN 網(wǎng)關(guān)設(shè)備，即可解決幾十到幾千人的遠(yuǎn)程接入問題。 10 節(jié)省費用。利用本地?fù)芴柦尤肴〈h(yuǎn)距離接入或 800 電話接入，顯著降低長途通信費用，減少了用于購置調(diào)制解調(diào)器和終端服務(wù)設(shè)備的費用。 支持多種標(biāo)準(zhǔn)認(rèn)證機(jī)制如 LDAP、 RADIUS 等。 多樣接入方式。無論用戶采用哪種方式訪問互聯(lián)網(wǎng)，均可 建立 VPN 連接。 自由選擇規(guī)模。無論企業(yè)大小， VPN 都有相對應(yīng)的產(chǎn)品，用戶數(shù)可為 5～ 5 000 個。 具有高可用性。對于接入用戶較多的企業(yè)， VPN 支持遠(yuǎn)程接入的高可用性模式，保障用戶服務(wù)的連貫性。 ? Easy VPN 方式 Easy VPN 是 Cisco的一種 特性 ，它允許使用 Cisco VPN 客戶端軟件一類實施 IPsec遠(yuǎn)程訪問設(shè)備 。 由于可以使用 Cisco 路由器或者 PIX 來配置 Easy VPN 服務(wù)器，而不需要另外增加其他設(shè)備，對于已經(jīng)擁有一臺大容量的邊緣路由，而且僅需要少量的遠(yuǎn)程訪問用戶的企業(yè)來說，這無 疑在保證了遠(yuǎn)程訪問的高安全性的前提下， 可以 在成本控制上有更大的優(yōu)勢。 這也是本設(shè)計方案所采用它作為遠(yuǎn)程訪問方式的原因。 HSRP（熱備份路由器協(xié)議） 隨著 Inter 的日益普及，人們對網(wǎng)絡(luò)的依賴性也越來越強(qiáng)。這同時對網(wǎng)絡(luò)的穩(wěn)定性提出了更高的要求，人們自然想到了基于設(shè)備的備份結(jié)構(gòu)，就像在服務(wù)器中為提高數(shù)據(jù)的安全性而采用雙硬盤結(jié)構(gòu)一樣。路由器是整個網(wǎng)絡(luò)的核心和心臟，如果路由器發(fā)生致命性的故障，將導(dǎo)致本地網(wǎng)絡(luò)的癱瘓，如果是骨干路由器，影響的范圍將更大，所造成的損失也是難以估計的。因此，對路由器采用熱備份是提 高網(wǎng)絡(luò)可靠性的必然選擇。在一個路由器完全不能工作的情況下，它的全部功能便被系統(tǒng)中的另一個備份路由器完全接管，直至出現(xiàn)問題的路由器恢復(fù)正常，這就是熱備份路由協(xié)議（ Hot Standby Router Protocal）， HSR PRFC2281 技術(shù)要解決的問題 ，如圖 5 所示 。 11 圖 5 正常情況下啟動 HSRP 的數(shù)據(jù)傳輸路徑 熱備份路由器協(xié)議（ HSRP）是思科私有的協(xié)議，它的設(shè)計目標(biāo)是支持特定情況下 IP 流量失敗轉(zhuǎn)移不會引起混亂、并允許主機(jī)使用單路由器 ，以及即使在實際第一跳路由器使用失敗的情形下仍能維護(hù)路由器間的連通性。負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)包的路由器稱之為主動路由器（ Active Router）。一旦主動路由器出現(xiàn)故障， HSRP 將激活備份路由器（ Standby Routers）取代主動路由器。 HSRP 協(xié)議提供了一種決定使用主動路由器還是備份路由器的機(jī)制，并指定一個虛擬的 IP 地址作為網(wǎng)絡(luò)系統(tǒng)的缺省網(wǎng)關(guān)地址。如果主動路由器出現(xiàn)故障，備份路由器（ Standby Routers）承接主動路由器的所有任務(wù)，并且不會導(dǎo)致主機(jī)連通中斷現(xiàn)象 ，如圖 6 所示 。 圖 6 主動路由發(fā)生故障時數(shù)據(jù)的傳輸路徑 活動路由 備份路由 園區(qū)核心 虛擬路由 活動路由 備份路由 園區(qū)核心 虛擬路由 12 HSRP 運行在 UDP 上，采用端口號 1985。路由器轉(zhuǎn)發(fā)協(xié)議數(shù)據(jù)包的源地址使用的是實際 IP 地址，而并非虛擬地址，正是基于這一點， HSRP 路由器間能相互識別。 現(xiàn)思科公司的第三層交換機(jī)也支持該協(xié)議。 HSRP 根據(jù)對兩互備份路由器或交換機(jī)的優(yōu)先級設(shè)定，將其中一臺設(shè)備置為活動狀態(tài)，而另一臺設(shè)備置為備用狀態(tài)，當(dāng)主設(shè)備發(fā)生故障時備用設(shè)備能立即啟用，這就是所謂 ―熱備 份 ‖的含義。對網(wǎng)絡(luò)中正常工作的用戶而言，這一切 都 是透明不可見 的，從而保證了網(wǎng)絡(luò)的正常運行。 3 中小型企業(yè)網(wǎng)絡(luò)的建設(shè)目標(biāo)與需求分析 網(wǎng)絡(luò)建設(shè)目標(biāo) 與原則 中小型企業(yè)網(wǎng)絡(luò)設(shè)計的總體目標(biāo)是利用先進(jìn)的計算機(jī)技術(shù)和網(wǎng)絡(luò)通信技術(shù)，建設(shè)高質(zhì)量、高效率的統(tǒng)一的通信網(wǎng)絡(luò)。其具體目標(biāo)： 一、使系統(tǒng)互通互聯(lián)，最大限度地實現(xiàn)信息資源共享； 二、用電子信息的傳遞取代紙面文件、材料的傳送，逐步實現(xiàn) “ 無紙辦公 ，改變傳統(tǒng) ” 工作方式，進(jìn)一步提高工作效率； 三、利用各種業(yè)務(wù)信息的綜合分析，為各級領(lǐng)導(dǎo)提供決策支持，更好地組織生產(chǎn)和經(jīng)營。 在網(wǎng)絡(luò)建設(shè)中主要遵循以下原則： 一、在企業(yè)領(lǐng)導(dǎo)小組的統(tǒng)一領(lǐng)導(dǎo)下，建立 統(tǒng)一的規(guī)章制度，進(jìn)行統(tǒng)一的管理，采用統(tǒng)一的標(biāo)準(zhǔn)。 二、在網(wǎng)絡(luò)建設(shè)中，所有軟硬件產(chǎn)品的選擇都必須堅持標(biāo)準(zhǔn)化的原則，采用全路統(tǒng)一的硬、軟件平臺和基本應(yīng)用軟件，進(jìn)行統(tǒng)一的軟件版本升級管理。 三、網(wǎng)絡(luò)應(yīng)具有良好的安全性與保密性。 四、做到資源共享與保護(hù)。充分合理地利用現(xiàn)有的資源，最大限度地與原有系統(tǒng)或在建系統(tǒng)互通互聯(lián)，在盡可能利用已有投資的基礎(chǔ)上，解決好經(jīng)費的補(bǔ)充和配套資金到位問題。 中小型企業(yè)網(wǎng)絡(luò) 設(shè)計 需求 根據(jù)國家于 2020 年 2 月 19 日發(fā)布的《關(guān)于印發(fā)中小企業(yè)標(biāo)準(zhǔn)暫行規(guī)定的通知》可 13 以得知，不同行業(yè)的中小型企業(yè)人數(shù) 限定是不一樣的，但是根據(jù)行業(yè)的性質(zhì)以及所規(guī)定的人數(shù)，一間中小型企業(yè)使用計算機(jī)的數(shù)量一般在幾百臺以內(nèi)。因此，小型園區(qū)網(wǎng)絡(luò)設(shè)計即可滿足要求。小型園區(qū)網(wǎng)絡(luò)設(shè)計適用于最多只包含幾百臺聯(lián)網(wǎng)設(shè)備的建筑物規(guī)模的網(wǎng)絡(luò)。 因此，在本方案中，將以企業(yè)目前擁有 300 臺辦公計算機(jī)為例，設(shè)定該企業(yè)對網(wǎng)絡(luò)需要如下： ? 企業(yè)擁有有 300 臺辦公計算機(jī)，要求都能訪問 Inter 資源 ； ? 外網(wǎng)通過 inter只能訪問企業(yè)內(nèi) DMZ區(qū)域的各種共享服務(wù)器，如 FTP、 WWW、不能訪問其它內(nèi)網(wǎng)信息 ； ? 會議室、會客廳、大廳這三個位置，要實現(xiàn) wifi無線上網(wǎng)，可以實現(xiàn)多人同時接入 ； ? 出差工作人員及在家辦公人員能夠遠(yuǎn)程訪問公司內(nèi)部的共享文件以及進(jìn)行數(shù)據(jù)傳送 ； ? 網(wǎng)絡(luò)要求是可擴(kuò)展的，高速的，冗余的，安全的，并可滿足為現(xiàn)在或?qū)磉M(jìn)行語音、視頻、圖像等各種服務(wù)的應(yīng)用 ； ? 要保證企業(yè)內(nèi)部服務(wù)器群可以集中管理以及企業(yè)內(nèi)部信息安全 ； ? 為了簡化起見， 在本方案中 設(shè)定 公司一共有 5 個部門：財務(wù)部、市場部、策劃部、客服中心、采購部。 網(wǎng)絡(luò)設(shè)計需求分析 根據(jù)企業(yè)提出需求，進(jìn)行分析，最終將采取以下方案解決企業(yè)需求 ： ? 申請一個 10M 的帶寬，以滿足 300 臺計算機(jī)訪問 Inter； ? 申請有九個公網(wǎng) IP： 分配給了 Inter 接入路由器的串行接口，另外8 個 IP 地址： ～ ； ? 購買一臺 CISCO 路由器 CISCO 3640 以實現(xiàn)企業(yè)內(nèi)部網(wǎng)連接到 Inter； ? 企業(yè)目前有 300 臺計算機(jī)連入網(wǎng)絡(luò)，考慮到在未來五年內(nèi)可能會有所增加，預(yù)計增加幅度為 100 臺，總共有 400 臺。因此接入層交換機(jī) 48 口的 Catalyst 2960 需要數(shù)量為： 400/48＝ 10 臺； ? 將各個部門劃分在不同的 VLAN，包括服務(wù)組群 和管理 VLAN 一共需要 7 個VLAN； 14 ? 將 WEB服務(wù)器， 郵件 服務(wù)器， FTP 服務(wù)器直接與核心交換機(jī) Cisco 4501 連接，置于管理機(jī)房，方便管理，同時配置 ACL控制各部門訪問權(quán)限并阻止外網(wǎng)訪問； ? 在需要無線上網(wǎng)的會議廳、會客廳