大中型企業(yè)網(wǎng)絡(luò)設(shè)計、配置與管理(編輯修改稿)

　

【文章內(nèi)容簡介】 證網(wǎng)絡(luò)足夠的可靠。這種方案大量采用千兆鏈路、三層交換機，投入比較大。 也可以采用雙層設(shè)計方案，接入層直接通過千兆鏈路連接到核心交換機 ， 節(jié)省投入成本。 華為 3COM 的 soho 系列產(chǎn)品包括無線產(chǎn)品、 ADSL 路由器、模塊化路由器、打印服務(wù)器、無管理交換機、千兆上行交換機、千兆無管理交換機。方便的為用戶提供家庭寬帶組網(wǎng)， 大 中小企業(yè)組網(wǎng)，網(wǎng)吧組網(wǎng)，校園組網(wǎng)解決方案。 用三層交換機實現(xiàn)大中型企業(yè) VLAN 方案 企業(yè)規(guī)模的擴大造就了企業(yè)網(wǎng)絡(luò)規(guī)模的不斷膨脹 ， 眾多企 業(yè)在擴展網(wǎng)絡(luò)規(guī)模時采用了在原有的網(wǎng)絡(luò)上直接增加計算機的方法來實現(xiàn)，隨之而來的就是網(wǎng)絡(luò)體系變得越來越復(fù)雜，對網(wǎng)絡(luò)的管理也變得越來越困難，網(wǎng)內(nèi)的安全指數(shù)也變得越來越低，并且網(wǎng)絡(luò)資源的利用率也大大降低，如何行之有效的管理網(wǎng)絡(luò)和合理利用網(wǎng)絡(luò)資源成為企業(yè)最大的難題。 VLAN 的定義與分類 VLAN 即虛擬局域網(wǎng)（ Virtual Local Area Network 的縮寫），是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組技術(shù)。 VLAN 是為解決以太網(wǎng)的廣播問題和 安全 性而提出的，它在以太網(wǎng)幀的基礎(chǔ)上增加了 VLAN，用 VLAN ID 把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪，每個工作組就是一個虛擬局域網(wǎng)。虛擬局域網(wǎng)的好處是可以限制廣播范圍，并能夠形成虛擬工作組，動態(tài)管理網(wǎng)絡(luò)。 VLAN 技術(shù)允許網(wǎng)絡(luò)管理者將一個物理的 LAN 邏輯地劃分成不同的廣播域即 VLAN，每一個 VLAN 都包含一組有著相同需求的計算機工作站，與物理上形成的LAN 有著相同的屬性。但由于它 是邏輯地而不是物理地劃分，所以同一個 VLAN內(nèi)的各個工作站無須被放置在同一個物理空間里，即這些工作站不一定屬于同一個物理 LAN 網(wǎng)段。一個 VLAN 內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他 VLAN 中，即使是兩臺計算機有著同樣的網(wǎng)段，但是它們卻沒有相同的 VLAN 號，它們各自的廣播流也不會相互轉(zhuǎn)發(fā)，從而有助于控制流量、減少設(shè)備投資、簡化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的 安全 性。 大中 型企業(yè)網(wǎng)絡(luò)方案與三層交換機的構(gòu)建 7 (1) 根據(jù)端口來劃分 VLAN 許多 VLAN 廠商都利用 交換 機的端口來劃分 VLAN 成員。被設(shè)定的端口都在同一個廣播域中。例如，一個 交換 機的 1， 2， 3， 4， 5端口被定義為虛擬網(wǎng) AAA，同一交換機的 6， 7， 8端口組成虛擬網(wǎng) BBB。 這樣做允許各端口之間的通訊，并允許共享型網(wǎng)絡(luò) 的升級。但是，這種劃分模式將虛擬網(wǎng)限制在了一臺交換機上。 第二代端口 VLAN 技術(shù)允許跨越多個交換機的多個不同端口劃分 VLAN，不同交換機上的若干個端口可以組成同一個虛擬網(wǎng)。 以交換機端口來劃分網(wǎng)絡(luò)成員，其配置過程簡單明了。因此，從目前來看，這種根據(jù)端口來劃分 VLAN 的方式仍然是最常用的一種方式。 (2) 根據(jù) MAC地址劃分 VLAN 這種劃分 VLAN 的方法是根據(jù)每個主機的 MAC 地址來劃分，即對每個 MAC 地址的主機都配置它屬于哪個組。這種劃分 VLAN 方法的最大優(yōu)點就是當(dāng)用戶物理位置移動時，即從一個交換機換到其他 的交換機時， VLAN 不用重新配置，所以，可以認為這種根據(jù) MAC 地址的劃分方法是基于用戶的 VLAN，這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的。而且這種劃分的方法也導(dǎo)致了交換機執(zhí)行效率的降低，因為在每一個交換機的端口都可能存在很多個 VLAN組的成員，這樣就無法限制廣播包了。另外，對于使用筆記本電腦的用戶來說，他們的網(wǎng)卡可能經(jīng)常更換，這樣， VLAN就必須不停地配置。 (3) 根據(jù)網(wǎng)絡(luò)層劃分 VLAN 這種劃分 VLAN 的方法是根據(jù)每個主機的網(wǎng)絡(luò)層地址或 協(xié)議 類型（如果支持多 協(xié)議 ）劃分的，雖然這種劃分方法是根據(jù)網(wǎng)絡(luò)地址，比如 IP 地址，但它不是路由 ，與網(wǎng)絡(luò)層的路由 毫無關(guān)系。 這種方法的優(yōu)點是用戶的物理位置改變了，不需要重新配置所屬的 VLAN，而且可以根據(jù) 協(xié)議 類型來劃分 VLAN，這對網(wǎng)絡(luò)管理者來說很重要，還有，這種方法不需要附加的幀標(biāo)簽來識別 VLAN，這樣可以減少網(wǎng)絡(luò)的通信量。 這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng)絡(luò)層地址是需要消耗處理時間的（相對于前面兩種方法），一般的交換機芯片都可以自動檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)幀頭， 但要讓芯片能檢查 IP 幀頭，需要更高的技術(shù)，同時也更費時 ， 當(dāng)然，這與各個廠商的實現(xiàn)方法有關(guān)。 (4) 根據(jù) IP組播劃分 VLAN 大中 型企業(yè)網(wǎng)絡(luò)方案與三層交換機的構(gòu)建 8 IP 組播實際上也是一種 VLAN 的定義，即認為一個組播組就是一個 VLAN，這種劃分的方法將 VLAN 擴大到了廣域網(wǎng)，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，當(dāng)然這種方法不適合局域網(wǎng)，主要是效率不高。采用 VLAN方式劃分網(wǎng)絡(luò)體系能夠讓管理員更加方便的管理企業(yè)網(wǎng)絡(luò)，而 VLAN 網(wǎng)絡(luò)靈活的擴展能力也讓企業(yè)網(wǎng)絡(luò)規(guī)模在不斷擴大的同時不會出現(xiàn)網(wǎng)絡(luò)混亂的情況， VLAN 網(wǎng)絡(luò)所具有的 控制廣播風(fēng)暴能力讓企業(yè)網(wǎng)絡(luò)資源的性能得到大幅度提高，并且 VLAN 網(wǎng)絡(luò)還具有管理簡單，安全性高的特點。因此，在網(wǎng)絡(luò)最初的設(shè)計中采用 VLAN 方式能夠?qū)W(wǎng)絡(luò)將來的擴展帶來極大的好處。 在普通的小型企業(yè)中，采用路由器方式劃分 VLAN 是一種節(jié)約成本的方法，不過在大中型企業(yè)中，采用路由器方式劃分 VLAN 會嚴重影響企業(yè)網(wǎng)絡(luò)的性能，而 VLAN 間的通信必需通過路由才能實現(xiàn)，因此，具有路由功能的三層交換機被廣泛應(yīng)用于大中型企業(yè) VLAN 網(wǎng)絡(luò)中。但我們必需清楚一點，就是采用三層交換機的 VLAN 網(wǎng)絡(luò)同樣需要路由器，只不過路由器只是企 業(yè)網(wǎng)絡(luò)和互聯(lián)網(wǎng)的連接工具， VLAN 間的通信不會靠路由器來實現(xiàn)。 三層交換機構(gòu)建的 VLAN 網(wǎng)絡(luò)結(jié)構(gòu) 圖 16 三層交換機構(gòu)建的 VLAN 網(wǎng)絡(luò)結(jié)構(gòu) VLAN 網(wǎng)絡(luò)的劃分最大的特點就在于它的靈活性，而采用 VLAN 方式劃分網(wǎng)絡(luò)主要有靜態(tài) VLAN和動態(tài) VLAN方式，靜態(tài) VLAN 實際上就基于端口的 VLAN，這種劃分方式由于要管理員對每個交換機的端口都要進行配置，顯得非常復(fù)雜，一般不采用這種方式。動態(tài) VLAN 又分為三種劃分方式，基于子網(wǎng)的 VLAN， 基于 MAC大中 型企業(yè)網(wǎng)絡(luò)方案與三層交換機的構(gòu)建 9 地址的 VLAN，基于用戶的 VLAN。這三種方式各有各的特點，因此，我們在劃分VLAN 網(wǎng)絡(luò)的時候可以靈活搭配，例如移動用戶由于外置無線網(wǎng)卡隨時可能被更換，所以我們對移動用戶可采用用戶的 VLAN 劃分方式，將這部分劃為一個基于用戶的 VLAN。而一些固定的用戶我們可采用基于子網(wǎng)的 VLAN方式，也就是把一個段的 IP劃分為一個 VLAN。因此，劃分 VLAN 顯得非常靈活。 圖 16 所顯示的網(wǎng)絡(luò)第一層我們還是采用了路由器，這是由于路由器本身就是連接內(nèi)網(wǎng)和外網(wǎng)的唯一工具，因此，路由器不能缺少，只是 VLAN 間通信路由不在路由器中實現(xiàn)。但我們也必需注意，大型 VLAN 網(wǎng)絡(luò)由于數(shù)據(jù)傳輸量非常大，對路由器的要求也非常高，所以我們不能簡單的認為有了三層交換機對路由器要求就不高了。因此，我們選擇路由器還是要根據(jù)整個網(wǎng)絡(luò)的規(guī)模來看。 在第二層就是采用的三層交換機，這也是整個大型 VLAN 網(wǎng)絡(luò)的關(guān)鍵所在。三層交換機具有路由和交換兩種功能，其中的路由功能是實現(xiàn) VLAN 間通信的關(guān)鍵技術(shù)。當(dāng)?shù)谝粋€數(shù)據(jù)流進入三層交換機后，三層交換機將會對這個數(shù)據(jù)流進行路由，在路由的同時三層交換機會產(chǎn)生一個 MAC 地址與 IP 地址的映射表，這樣做的好處就是當(dāng)同樣的 數(shù)據(jù)流進入三層交換機后，不需要三層交換機對這個數(shù)據(jù)流再進行一次路由，這個數(shù)據(jù)流只需要直接通過三層交換機就能實現(xiàn) VLAN 間通信，從而有效解除了路由器所帶來的網(wǎng)絡(luò)瓶頸。三層交換機也是劃分 VLAN 網(wǎng)絡(luò)的關(guān)鍵所在，管理員只需要對三層交換機進行配置就可完成對 VLAN 網(wǎng)絡(luò)的劃分。所以在選擇三層交換機時，我們一定要根據(jù)自己的實際情況進行合理選擇，才能更加有效的保證整個 VLAN 網(wǎng)絡(luò)的正常運行。 在網(wǎng)絡(luò)的第三層，我們選用的二層交換機，二層交換機在 VLAN 網(wǎng)絡(luò)中的作用實際上只是保證整個網(wǎng)絡(luò)基層的正常運行，如果網(wǎng)絡(luò)規(guī)模非常大， 那么這一層最好選擇千兆交換機，讓網(wǎng)絡(luò)的下一層繼續(xù)連接交換機進行擴展，如果網(wǎng)絡(luò)規(guī)模不是非常大（采用三層交換機連接的計算機數(shù)量最少也是在 200 臺以上），這一層直接選擇普通交換機就可以了。 在網(wǎng)絡(luò)最底層是整個網(wǎng)絡(luò)的基礎(chǔ)，也是我們決定怎樣劃分 VLAN 網(wǎng)絡(luò)的標(biāo)準(zhǔn)，它們由企業(yè)的計算機終端、服務(wù)器等組成。 (1) 400 節(jié)點企業(yè)網(wǎng)絡(luò)設(shè)計方案 下面我們來設(shè)計一個具有 400 節(jié)點的企業(yè) VLAN 網(wǎng)絡(luò)，我們假設(shè)這個企業(yè)分為銷售部，售后服務(wù)部，設(shè)計部，財務(wù)部，服務(wù)器區(qū)組成。其中，銷售部有 20臺計算機，售后服務(wù)部有 20 臺計算機，財務(wù)部 有 20 臺計算機，服務(wù)器區(qū)有 20大中 型企業(yè)網(wǎng)絡(luò)方案與三層交換機的構(gòu)建 10 臺服務(wù)器，設(shè)計部有 320 臺計算機。我們可將整個企業(yè)網(wǎng)絡(luò)劃分為 6 個 VLAN，如果用戶對設(shè)計部的計算機量感覺有些大，還可將這個部門的計算機進行 VLAN細劃。下圖是這個 500節(jié)點的 VLAN 劃分結(jié)構(gòu)圖。 再次申明， VLAN 網(wǎng)絡(luò)的劃分需要在三層交換機上進行配置才能實現(xiàn)，上圖是經(jīng)過配置之后的一個 VLAN 結(jié)構(gòu)圖。我們看到，在上圖中的銷售部，售后服務(wù)部和財務(wù)部三個 VLAN 都選用了二層交換機，由于這些部門對網(wǎng)絡(luò)帶寬要求不大，加上計算機數(shù)量少，每個 VLAN 只有 20 臺，實際上我們選擇 24 口的交換機就能實現(xiàn) VLAN，用戶可根據(jù)自己實際情況來決定。 設(shè)計部 VLAN 由于計算機數(shù)量多，所以我們用了一個千兆交換機加上多個普通交換機實現(xiàn) VLAN，而在服務(wù)器我們也選擇了千兆交換機進行連接，這主要是由于服務(wù)器對網(wǎng)絡(luò)帶寬本身要求就非常高。三層交換機和路由器的選擇也是根據(jù)實際情況而定。 幾種常用的路由器和交換機 下面我們就根據(jù)上面這個 VLAN 結(jié)構(gòu)圖來為大家推薦幾款產(chǎn)品。路由器的選擇相對來說比較簡單，我們要求只要能夠?qū)崿F(xiàn) 400 節(jié)點的計算機連 接就可以了，不過普通的防火墻功能我們也要考慮，再次就是路由器的性能我們還是要考慮，畢竟一個網(wǎng)絡(luò)的速度如何路由器比較重要。 銳捷網(wǎng)絡(luò) STARR2620 模塊化多業(yè)務(wù)路由器 STARR2620是 一款面向中小型企業(yè)的模塊化路由器，該款路由器采用了 ARM 大中 型企業(yè)網(wǎng)絡(luò)方案與三層交換機的構(gòu)建 11 4530 處理器，擁有 32MB 內(nèi)存和 8MB 閃存，加上 1 個 10/100Mbps 自適應(yīng) LAN 口和 1個 WAN 口，能夠充分滿足中小型企業(yè)用戶作為核心路由器的需要，同時也可作為大型企業(yè)接入路由器使用。該款路由器提供了兩個可擴展的插槽，用戶可根據(jù)自己情況選擇不同的擴展模塊，滿足用戶對多業(yè)務(wù)的需要。并且這些擴展模塊都自帶有 CPU，當(dāng)這些擴展模塊插到路由器上時，能夠減低對路由器 CPU 的運算負荷。 STARR2620 支持語音功能，可進行視頻會議，并且能夠?qū)崿F(xiàn)實時傳真，充 分滿足了企業(yè)用戶對各種不同業(yè)務(wù)的需要。該款路由器還支持 VPN功能，通過該項功能，企業(yè)可實現(xiàn)遠程訪問，即使企業(yè)內(nèi)員工遠在千里之外，也能夠?qū)ζ髽I(yè)內(nèi)部資源進行訪問。該款路由器具有完善的 Qos機制，當(dāng)企業(yè)內(nèi)網(wǎng)出現(xiàn)網(wǎng)絡(luò)資源不足情況時，該項功能能夠?qū)σ恍┖诵臉I(yè)務(wù)分配足夠的網(wǎng)絡(luò)帶寬資源，滿足用戶的需要。在安全方面，該款路由器支持 MAC 地址綁定，基于時間的訪問控制，命令分層保護等功能，能夠抵御來自互聯(lián)網(wǎng)中一些黑客的攻擊。 由于路由器在大中型 VLAN 網(wǎng)絡(luò)中只是起一個企業(yè)網(wǎng)絡(luò)和互聯(lián)網(wǎng)連接的作用，對 VLAN 方面并沒有什么要求， 而對于企業(yè)網(wǎng)絡(luò)來說，語音， VPN 等功能又是比較常用的功能，因此我們選擇了 STARR2620 路由器。 三層交換機在大中型 VLAN 網(wǎng)絡(luò)中屬于核心產(chǎn)品，所有 VLAN 間通信都要通過三層交換機進行路由之后才能實現(xiàn)，而三層交換機又需要對所有數(shù)據(jù)進行交換，因此三層交換機的負荷非常大，所以，我們在選擇三層交換機的時候一定要慎重。 銳捷網(wǎng)絡(luò) STARS355012G 三層交換機 大中 型企業(yè)網(wǎng)絡(luò)方案與三層交換機的構(gòu)建 12 STARS355012G是一款全千兆三層交換機，該款交換機 48Gbps的背板帶寬，其包轉(zhuǎn)發(fā)率達到 18Mpps，并且通過 12 個千兆 LAN 口可與其他交換機連接，達到擴展網(wǎng)絡(luò)規(guī)模的作用。該款交換機具有 4K的 VLAN 空間，支持多種 VLAN 方式，用戶可在這款交換機上進行 VLAN 配置，達到組建 VLAN 網(wǎng)絡(luò)的作用。該款交換機具有的路由功能讓不同 VLAN可在此進行路由，實現(xiàn) VLAN間通信。 STARS355012G具有的冗余電源系統(tǒng) STARRPS，支持的 VRRP 虛擬路由器冗余協(xié)議等功能，保證了路由器運行的正常和穩(wěn)定。這款交換機可實現(xiàn)端口與 MAC 地址和 IP 地址的綁定，可以防止目前互聯(lián)網(wǎng)中最常見的 Dos 拒絕服務(wù)攻擊，該款交換機提供了對數(shù)據(jù)信息的加密傳輸 Secure Shell，能夠有效防止黑客的攻擊以及對數(shù)據(jù)信息的盜用。這款交換機還支持用戶認證，限制非授權(quán)用戶通信等功能，為企業(yè)網(wǎng)絡(luò)提