【網(wǎng)絡(luò)】中小型企業(yè)網(wǎng)絡(luò)的構(gòu)建畢業(yè)論文

【關(guān)鍵字】網(wǎng)絡(luò)中小型企業(yè)網(wǎng)絡(luò)的構(gòu)建摘要隨著現(xiàn)代科技的發(fā)展及計(jì)算機(jī)技術(shù)與通訊技術(shù)的結(jié)合，計(jì)算機(jī)幾乎成了每個(gè)企業(yè)的必備設(shè)備，超過一半的企業(yè)擁有自己的網(wǎng)絡(luò)。企業(yè)網(wǎng)絡(luò)不僅可以提供給我們一個(gè)現(xiàn)代化的高效、快捷、安全的辦公環(huán)境，還可以進(jìn)行高速的數(shù)據(jù)傳輸和實(shí)現(xiàn)生產(chǎn)自動(dòng)化。本文根據(jù)網(wǎng)絡(luò)建立的原則，從技術(shù)基礎(chǔ)、方案選擇、建立方法等方面對組建一個(gè)中小型企業(yè)網(wǎng)絡(luò)進(jìn)行了分析，在此基礎(chǔ)上建立了網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，并進(jìn)行了詳細(xì)的設(shè)計(jì)及配置，為一些類似的企業(yè)公司的網(wǎng)絡(luò)建設(shè)提供了一個(gè)可供參考的模板。最后文章對網(wǎng)絡(luò)建設(shè)過程中的一些實(shí)踐經(jīng)驗(yàn)進(jìn)行了總結(jié)和討論。關(guān)鍵詞：網(wǎng)絡(luò)；交換機(jī)；路由器；服務(wù)器。1需求分析1.1網(wǎng)絡(luò)平臺實(shí)現(xiàn)的功能1,實(shí)現(xiàn)企業(yè)內(nèi)資源共享，提供管理應(yīng)用系統(tǒng)，實(shí)現(xiàn)企業(yè)辦公自動(dòng)化。2,接入Internet,共享網(wǎng)絡(luò)資源。3,企業(yè)擁有自己的IP地址和域名。4,建立企業(yè)Email系統(tǒng)和內(nèi)部通訊系統(tǒng)。5.在公司主機(jī)上建立網(wǎng)站，提供對外宣傳的信息平臺。1,2網(wǎng)絡(luò)平臺的特點(diǎn)網(wǎng)絡(luò)平臺是企業(yè)信息化的核心，要求具有高可靠性、高性能、良好可擴(kuò)展性以及端到端的QoS服務(wù)質(zhì)量保證。高可用性必須是一個(gè)端到端的網(wǎng)絡(luò)目標(biāo)。網(wǎng)絡(luò)設(shè)備、服務(wù)器集群、操作系統(tǒng)及網(wǎng)絡(luò)接口卡必須作為一個(gè)統(tǒng)一的生態(tài)系統(tǒng)協(xié)同工作，以恢復(fù)任何服務(wù)器、鏈路或網(wǎng)絡(luò)設(shè)備的故障。在考慮設(shè)備硬件可靠性和連接鏈路冗余的同時(shí)，應(yīng)關(guān)注網(wǎng)絡(luò)系統(tǒng)在不同層次上對系統(tǒng)可用性的軟件功能支持能力，另外容易被忽略的高可用性因素一一統(tǒng)一的設(shè)備軟件操作平臺。如果不同設(shè)備采用不同的軟件系統(tǒng)，兼容性、開放性和可擴(kuò)展性都會(huì)受到影響。QoS（服務(wù)質(zhì)量保證）是保證向網(wǎng)絡(luò)業(yè)務(wù)提供有品質(zhì)的服務(wù)。它為網(wǎng)絡(luò)中的數(shù)據(jù)劃分優(yōu)先級，對于某些數(shù)據(jù)，如語音、視頻等，給予高的優(yōu)先級，使他們在網(wǎng)絡(luò)中優(yōu)先傳輸，來保證通話及視頻的質(zhì)量。在應(yīng)用系統(tǒng)較為簡單的網(wǎng)絡(luò)發(fā)展的初期，常常被對應(yīng)于簡單的概念，例如設(shè)備可以支持的隊(duì)列數(shù)量等。在網(wǎng)絡(luò)應(yīng)用日趨復(fù)雜的環(huán)境下，如何在有限的網(wǎng)絡(luò)資源里充分保障各類應(yīng)用的實(shí)施，是一個(gè)非常復(fù)雜的問題，實(shí)施QoS,是端到端的概念，不是單個(gè)設(shè)備的問題，而是涉及整個(gè)園區(qū)網(wǎng)、甚至跨廣域網(wǎng)的問題。QoS的管理和部署可能需要涉及到不同城市、不同廠區(qū)、不同大樓的每一臺網(wǎng)絡(luò)設(shè)備，甚至每一個(gè)端口。因此，在選擇網(wǎng)絡(luò)設(shè)備和供應(yīng)商的時(shí)候，要擦亮眼睛看看供應(yīng)商的QoS能做到什么程度。網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)2.1網(wǎng)絡(luò)設(shè)計(jì)原則2.1網(wǎng)絡(luò)設(shè)計(jì)原則1）開放性：系統(tǒng)設(shè)計(jì)應(yīng)采用開放技術(shù)、開放結(jié)構(gòu)、開放系統(tǒng)組件和開放用戶接口，以利于網(wǎng)絡(luò)的維護(hù)、擴(kuò)展升級及與外界信息的溝通。2）安全性：應(yīng)能在可靠性的前提下，抵擋來自內(nèi)部和外部的攻擊；采用的安全措施有效、可信，能夠在多層次上、以多種方式實(shí)現(xiàn)安全的控制。3）可靠性：系統(tǒng)及網(wǎng)絡(luò)結(jié)構(gòu)較為復(fù)雜，同時(shí)在部分子系統(tǒng)中存在較高的技術(shù)性，因此必須保證系統(tǒng)的穩(wěn)定、可靠和安全運(yùn)行，具有很高的MTBF（平均無故障工作時(shí)間）和極低的MTBR（平均無故障率），提高容錯(cuò)設(shè)計(jì)，支持故障檢測和恢復(fù)，可管理性強(qiáng)。網(wǎng)絡(luò)必須是可靠的，包括網(wǎng)元級的可靠性，如引擎、風(fēng)扇、單板、總計(jì)等；以及網(wǎng)絡(luò)級的可靠性，如路由、交換的匯聚，鏈路冗余，負(fù)載均衡等。網(wǎng)絡(luò)必須具有足夠高的性能，滿足業(yè)務(wù)的需要。具有容錯(cuò)功能，能滿足企業(yè)所在地環(huán)境、氣候條件，抗干擾能力強(qiáng)，對網(wǎng)絡(luò)的設(shè)計(jì)、選型、安裝、調(diào)試等各環(huán)節(jié)進(jìn)行統(tǒng)一規(guī)劃和分析，確保系統(tǒng)運(yùn)行可靠。4）統(tǒng)一性：在系統(tǒng)的設(shè)計(jì)過程中，堅(jiān)持土統(tǒng)一”，即統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一出口。5）經(jīng)濟(jì)性：在充分滿足以上要求的前提下，應(yīng)充分考慮到企業(yè)的經(jīng)濟(jì)承受能力，盡可能地節(jié)約投資，花好每一分錢。著眼于近期目標(biāo)和長期的發(fā)展，選用先進(jìn)的設(shè)備進(jìn)行最佳性能組合，利用有限的投資構(gòu)造一個(gè)性能最佳的網(wǎng)絡(luò)系統(tǒng)。6）實(shí)用性：實(shí)用性設(shè)計(jì)應(yīng)能滿足目前對網(wǎng)絡(luò)應(yīng)用的要求，充分實(shí)現(xiàn)內(nèi)部管理、信息化等要求，使網(wǎng)絡(luò)的整體性能盡快得到充分的發(fā)揮，并且便于掌握。2.2網(wǎng)絡(luò)設(shè)計(jì)模型在中型企業(yè)網(wǎng)的設(shè)計(jì)中，一般采用層次化模型來設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。所謂層次化”模型，就是將復(fù)雜的網(wǎng)絡(luò)設(shè)計(jì)分成幾個(gè)層次，每個(gè)層次著重于某些特定的功能，這樣就能夠使一個(gè)復(fù)雜的大問題變成許多簡單的小問題?！昂诵膶?分布層-接入層”層次化網(wǎng)絡(luò)設(shè)計(jì)模型有如下優(yōu)點(diǎn)：節(jié)省成本：在采用層次模型之后，各層次各司其職，不再在同一個(gè)平臺上考慮所有的事情。層次模型模塊化的特性使網(wǎng)絡(luò)中的每一層都能夠很好地利用帶寬，減少了對系統(tǒng)資源的浪費(fèi)。易于理解：層次化設(shè)計(jì)使得網(wǎng)絡(luò)結(jié)構(gòu)清晰明了，可以在不同的層次實(shí)施不同難度的管理，降低了管理成本。易于擴(kuò)展：在網(wǎng)絡(luò)設(shè)計(jì)中，模塊化具有的特性使得網(wǎng)絡(luò)增長時(shí)網(wǎng)絡(luò)的復(fù)雜性能夠限制在子網(wǎng)中，而不會(huì)蔓延到網(wǎng)絡(luò)的其他地方。易于排錯(cuò)：層次化設(shè)計(jì)能夠使網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分解為易于理解的子網(wǎng)，網(wǎng)絡(luò)管理者能夠輕易地確定網(wǎng)絡(luò)故障的范圍，從而簡化了排錯(cuò)過程。核心層核心層將各分布層交換機(jī)互連起來進(jìn)行穿越園區(qū)網(wǎng)骨干的高速數(shù)據(jù)交換。園區(qū)網(wǎng)的核心層連接所有的分布層設(shè)備，必須能夠盡可能高效地交換數(shù)據(jù)流。應(yīng)具有如下特征：第2層和第3層的吞吐量非常高；不執(zhí)行高成本或不必要的分組處理（訪問列表、分組過濾）；支持高可用性的冗余和彈性；高級QoS*能。應(yīng)對園區(qū)網(wǎng)核心層中的設(shè)備進(jìn)行優(yōu)化，以提供高性能的第2層或第3層交換。由于核心層必須處理大量的園區(qū)網(wǎng)級數(shù)據(jù)，因此核心層設(shè)計(jì)必須簡單、高效。在本設(shè)計(jì)的核心層中，采用兩臺CiscoCatalyst4006交換機(jī)組成雙機(jī)熱備份的核心交換機(jī)系統(tǒng)解決方案。為提高核心-網(wǎng)絡(luò)的健壯性，實(shí)現(xiàn)鏈路的安全保障，本方案骨干核心層中可以采用VRRP熱備用路由器協(xié)議）。對于各個(gè)業(yè)務(wù)VLAN可以指向這個(gè)虛擬的IP地址作為網(wǎng)關(guān)，因此應(yīng)用VRR豉術(shù)為核心交換機(jī)提供一個(gè)可靠的網(wǎng)關(guān)地址，以實(shí)現(xiàn)在核心層核心交換機(jī)之間進(jìn)行設(shè)備的硬件冗余，一主兩備，共用一個(gè)虛擬的IP地址和MAC*址，通過內(nèi)部的協(xié)議傳輸機(jī)制可以自動(dòng)進(jìn)行工作角色的切換。進(jìn)而雙引擎、雙電源的設(shè)計(jì)為網(wǎng)絡(luò)高效處理大集中數(shù)據(jù)提供了可靠的保障。分布層分布層將園區(qū)網(wǎng)的接入層和核心層連接起來。必須具備下述的功能：聚集多臺接入層設(shè)備；較高的第3層分組處理吞吐量；使用訪問列表和分組過濾器提供安全和基于策略的連接；QoSft能；連接到核心層和接入層的高速鏈接具有可擴(kuò)展性和彈性。在分布層中，來自接入層設(shè)備的上行鏈路被聚合在一起。分布層交換機(jī)必須能夠處理來自所有連接的設(shè)備的總流量。這些交換機(jī)必須擁有能提供高速鏈路的端口密度，以支持所有接入層交換機(jī)。VLANff口廣播域在分布層聚合在一起，需要支持路由選擇、過濾和安全。該層的交換機(jī)還必須能夠執(zhí)行高吞吐量的多層交換。接入層接入層位于連接到網(wǎng)絡(luò)的最終用戶處。接入層交換機(jī)通常在用戶之間提供第2層(VLAN連接性。該層設(shè)備有時(shí)被稱為大樓介入交換機(jī)，必須具備下述功能：低交換機(jī)端口成本；高端口密度；連接到高層的可擴(kuò)展上行鏈路；用戶接入功能，如VLAN成員資格、數(shù)據(jù)流和協(xié)議過濾以及服務(wù)質(zhì)量(QoS;使用多條上行鏈路提供彈性。2.3系統(tǒng)組成與拓?fù)浣Y(jié)構(gòu)為了實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一，本設(shè)計(jì)方案中完全采用同一廠家的網(wǎng)絡(luò)產(chǎn)品，即Cisco公司的網(wǎng)絡(luò)設(shè)備構(gòu)建。全網(wǎng)使用同一廠商設(shè)備的好處是可以實(shí)現(xiàn)各種不同網(wǎng)絡(luò)設(shè)備功能的互相配合和補(bǔ)充。該企業(yè)網(wǎng)設(shè)計(jì)方案主要由以下四大部分構(gòu)成：交換模塊、廣域網(wǎng)接入模塊、遠(yuǎn)程訪問模塊、服務(wù)器群。網(wǎng)絡(luò)拓?fù)淙缦聢D所示：3網(wǎng)絡(luò)詳細(xì)設(shè)計(jì)及配置這里我將使用思科的一款虛擬軟件(ciscopackettracer)完成配置，該軟件功能有限，一些配置并不能在該軟件上實(shí)現(xiàn)。以下配置截圖，皆來自該軟件。交換模塊設(shè)計(jì)3.1.1接入層交換服務(wù)的實(shí)現(xiàn)—配置接入層交換機(jī)接入層為所有的終端用戶提供一個(gè)接入點(diǎn)。這里的接入層交換機(jī)采用的是CiscoCatalyst295024口交換機(jī)(WS-C2950-24。交換機(jī)擁有24個(gè)10/100Mbps自適應(yīng)快速以太網(wǎng)端口，運(yùn)行的是Cisco的IOS操作系統(tǒng)。1,配置接入層交換機(jī)AccessSwitch1的基本參數(shù)(1)設(shè)置交換機(jī)名稱設(shè)置交換機(jī)名稱，也就是出現(xiàn)在交換機(jī)CLI提示符中的名字。一般我們會(huì)以地理位置或行政劃分來為交換機(jī)命名。當(dāng)我們需要Telnet登錄到若干臺交換機(jī)以維護(hù)一個(gè)大型網(wǎng)絡(luò)時(shí)，通過交換機(jī)名稱提示符提示自己當(dāng)前配置交換機(jī)的位置是很有必要的。其中h是hostname的簡寫，(在真實(shí)環(huán)境中也支持簡寫)可以用該命令實(shí)現(xiàn)設(shè)備的重命名。(2)設(shè)置交換機(jī)的加密使能口令加密口令為：enablesecret+密碼。當(dāng)用戶在普通用戶模式而想要進(jìn)入特權(quán)用戶模式時(shí)，需要提供此口令。此口令會(huì)以MD5勺形式加密，因此，當(dāng)用戶查看配置文件時(shí)，無法看到明文形式的口令。(3)設(shè)置登錄虛擬終端線時(shí)的口令Linevty015PasswordciscoLoginLogin對這個(gè)配置很重要，沒有他你就算配了密碼也無法登陸。對于一個(gè)已經(jīng)運(yùn)行著的交換網(wǎng)絡(luò)來說，交換機(jī)的帶內(nèi)遠(yuǎn)程管理為網(wǎng)絡(luò)管理人員提供了很多的方便。但是，處于安全考慮，在能夠遠(yuǎn)程管理交換機(jī)之前網(wǎng)絡(luò)管理人員必須設(shè)置遠(yuǎn)程登錄交換機(jī)的口令。(4)設(shè)置終端線超時(shí)時(shí)間為了安全考慮，可以設(shè)置終端線超時(shí)時(shí)間。在設(shè)置的時(shí)間內(nèi)，如果沒有檢測到鍵盤輸入，IOS將斷開用戶和交換機(jī)之間的連接。這里設(shè)置的是5分30秒。(5)設(shè)置禁用IP地址解析特性在交換機(jī)默認(rèn)配置的情況下，當(dāng)我們輸入一條錯(cuò)誤的交換機(jī)命令時(shí)，交換機(jī)會(huì)嘗試將其廣播給網(wǎng)絡(luò)上的DNSK務(wù)器并將其解析成對應(yīng)的IP地址。利用命令noipdomain-lookup?？梢越眠@個(gè)特性(6)設(shè)置啟用消息同步特性有時(shí)，用戶輸入的交換機(jī)配置命令會(huì)被交換機(jī)產(chǎn)生的消息打亂?？梢允褂妹頻oggingsynchronous設(shè)置交換機(jī)在下一行CLI提示符后復(fù)制用戶的輸入。2,配置接入層交換機(jī)AccessSwitchl的管理IP、默認(rèn)網(wǎng)關(guān)接入層交換機(jī)是OSI參考模型的第2層設(shè)備，即數(shù)據(jù)鏈路層的設(shè)備。因此，給接入層交換機(jī)的每個(gè)端口設(shè)置IP地址是沒意義的。但是，為了使網(wǎng)絡(luò)管理人員可以從遠(yuǎn)程登錄到接入層交換機(jī)上進(jìn)行管理，必要給接入層交換機(jī)設(shè)置一個(gè)管理用IP地址。這種情況下，實(shí)際上是將交換機(jī)看成和PC機(jī)一樣的主機(jī)。給交換機(jī)設(shè)置管理用IP地址只能在VLAN1即本征VLAN中進(jìn)行。為了使網(wǎng)絡(luò)管理人員可以在不同的子網(wǎng)管理此交換機(jī)，還應(yīng)設(shè)置默認(rèn)網(wǎng)關(guān)地址,3.配置接入層交換機(jī)AccessSwitchl的VTP從提高效率的角度出發(fā)，在本企業(yè)網(wǎng)實(shí)現(xiàn)實(shí)例中使用了VTP技術(shù)。同時(shí)，將分布層交換機(jī)DistributeSwitchl設(shè)置成為VTP服務(wù)器，其他交換機(jī)設(shè)置成為VTP客戶機(jī)。這里接入層交換機(jī)AccessSwitchl將通過VTP獲得在分布層交換機(jī)DistributeSwitchl中定義的所有VLANB信息。設(shè)置接入層交換機(jī)AccessSwitchl成為VTP客戶機(jī)。圖中，ver是version的縮寫。以后都將使用這些縮寫。Vtpmodeclient命令設(shè)置該交換機(jī)為vtp的客戶機(jī)模式，vtpver2命令設(shè)置使用vtp的版本號為2。4,配置接入層交換機(jī)AccessSwitchl端口基本參數(shù)：端口速度可以設(shè)定某端口根據(jù)對端設(shè)備速度自動(dòng)調(diào)整本端口速度，也可以強(qiáng)制將端口速度設(shè)為10Mpbs或100Mbps在了解對端設(shè)備速度的情況下，建議手動(dòng)設(shè)置端口速度。設(shè)置接入層交換機(jī)AccessSwitchl的所有端口（1-24）的速度均為100Mbps）int是interface的縮寫，是進(jìn)入某個(gè)接口的命令；r為range的縮寫，f為fastethernet（快速以太網(wǎng)接口）的縮寫，f0/1-24表示快速以太網(wǎng)的0/1-0/24共24個(gè)接口。5,配置接入層交換機(jī)AccessSwitch1的接入端口接入層交換機(jī)AccessSwitch1為終端用戶提供接入服務(wù)。接入層交換機(jī)AccessSwitch1為VLAN10S供接入服務(wù)。Swi為switchport的縮寫，mo為mode的縮寫，acc為access的縮寫。用spanning-treeportfast來配置生成樹快速端口。（1）設(shè)置接入層交換機(jī)AccessSwitch1的端口1?22如圖所示，設(shè)置接入層交換機(jī)AccessSwitch1的端口1?端口24工作在接入模式。同時(shí)，設(shè)置端口1?端口22為VLAN10的成員。（2）設(shè)置快速端口默認(rèn)情況下，交換機(jī)在剛加電啟動(dòng)時(shí)，每個(gè)端口都要經(jīng)歷生成樹的四個(gè)階段：阻塞、偵聽、學(xué)習(xí)、轉(zhuǎn)發(fā)。在能夠轉(zhuǎn)發(fā)用戶的數(shù)據(jù)包之前，某個(gè)端口可能最多要等50秒鐘的時(shí)間（20秒的阻塞時(shí)間+15秒的偵聽延遲時(shí)間+15秒的學(xué)習(xí)延遲時(shí)間）。對于直接接入終端工作站的端口來說，用于阻塞和偵聽的時(shí)間是不必要的。為了加速交換機(jī)端口狀態(tài)轉(zhuǎn)化時(shí)間，可以設(shè)置將某端口設(shè)置成為快速端口（Portfast）o設(shè)置為快速端口的端口當(dāng)交換機(jī)啟動(dòng)或端口有工作站接入時(shí)，將會(huì)直接進(jìn)入轉(zhuǎn)發(fā)狀態(tài)，而不會(huì)經(jīng)歷阻塞、偵聽、學(xué)習(xí)狀態(tài)（假設(shè)橋接表已經(jīng)建立）。6,配置接入層交換機(jī)AccessSwitch1的主干道端口接入層交換機(jī)AccessSwitch1通過端口FastEthernet0/23上連到分布層交換機(jī)DistributeSwitch1的端口FastEthernet0/1。同時(shí)，接入層交換機(jī)AccessSwitch1還通過端口FastEthernet0/24上連到分布層交換機(jī)DistributeSwitch2的端口FastEthernet0/1。這兩條上連鏈路將成為主干道鏈路，在這兩條上連鏈路上將運(yùn)輸多個(gè)VLAN的數(shù)據(jù)。設(shè)置接入層交換機(jī)AccessSwitchl的端口FastEthernet0/23>FastEthernet0/24為主干道端口，即為配置這兩個(gè)端口的中繼。命令為switchportmodetrunk7.配置接入層交換機(jī)AccessSwitch2、3、4、5接入層交換機(jī)AccessSwitch2、3、4、5分別為VLAN20VLAN30VLAN40VLAN50的用戶提供接入服務(wù)。同時(shí)，分別通過自己的FastEthernet0/23、FastEthernet0/24上連到分布層交換機(jī)DistributeSwitchl、DistributeSwitch2的端口FastEthernet0/2。對接入層交換機(jī)AccessSwitch2、3、4、5的配置步驟、命令和對接入層交換機(jī)AccessSwitchl的配置類似。3.1.2分布層交換服務(wù)的實(shí)現(xiàn)-配置分布層交換機(jī)分布層除了負(fù)責(zé)將接入層交換機(jī)進(jìn)行匯集外，還為整個(gè)交換網(wǎng)絡(luò)提供VLAN間的路由選擇功能。對分布層交換機(jī)DistributeSwitchl的基本參數(shù)的配置步驟與對接入層交換機(jī)AccessSwitchl的基本參數(shù)的配置類似。這里，只給出實(shí)際的配置。.配置分布層交換機(jī)DistributeSwitchl的管理IP、默認(rèn)網(wǎng)關(guān)顯示了為分布層交換機(jī)DistributeSwitchl設(shè)置管理IP并激活本征VLAN同時(shí)，還設(shè)置了默認(rèn)網(wǎng)關(guān)的地址。add為address的縮寫；nosh即為noshutdown,開啟端口。.配置分布層交換機(jī)DistributeSwitchl的VTP當(dāng)網(wǎng)絡(luò)中交換機(jī)數(shù)量很多時(shí)，需要分別在每臺交換機(jī)上創(chuàng)建很多重復(fù)的VLAN工作量很大、過程很繁瑣，并且容易出錯(cuò)。我們常采用VLANfr繼協(xié)議（VlanTrunkingProtocol,VTP來解決這個(gè)問題。VTP允許我們在一臺交換機(jī)上創(chuàng)建所有的VLAN然后，利用交換機(jī)之間的互相學(xué)習(xí)功能，將創(chuàng)建好的VLAN定義傳播到整個(gè)網(wǎng)絡(luò)中需要此VLAN定義的所有交換機(jī)上。同時(shí)，有關(guān)VLAN的刪除、參數(shù)更改操作均可傳播到其他交換機(jī)。從而大大減輕了網(wǎng)絡(luò)管理人員配置交換機(jī)負(fù)擔(dān)。在本企業(yè)網(wǎng)實(shí)現(xiàn)實(shí)例中使用了VTP技術(shù)。同時(shí)，將分布層交換機(jī)DistributeSwitchl設(shè)置成為VTP服務(wù)器，其他交換機(jī)設(shè)置成為VTP客戶機(jī)。(1)配置VTP管理域vtpdomaincisco共享相同VLANS義數(shù)據(jù)庫的交換機(jī)構(gòu)成一個(gè)VTP管理域。每一個(gè)VTP管理域都有一個(gè)共同的VTP管理域域名。不同VTP管理域的交換機(jī)之間不交換VTP通告信息。將VTP管理域的域名定義為“cisco”。(2)設(shè)置VTP服務(wù)器vtpmodeserver工作在VTP服務(wù)器模式下的交換機(jī)可以創(chuàng)建、刪除VLAN修改VLAN^數(shù)。同時(shí)，還有責(zé)任發(fā)送和轉(zhuǎn)發(fā)VLAN更新消息。(3)激活VTP剪裁功能vtppruning默認(rèn)情況下主干道傳輸所有VLAN勺用戶數(shù)據(jù)。有時(shí)，交換網(wǎng)絡(luò)中某臺交換機(jī)的所有端口都屬于同一VLAN的成員，沒有必要接收其他VLAN勺用戶數(shù)據(jù)。這時(shí)，可以激活主干道上的VTP剪裁功能。當(dāng)激活了VTP剪裁功能以后，交換機(jī)將自動(dòng)剪裁本交換機(jī)沒有定義的VLANB據(jù)。在一個(gè)VTPM下，只需要在VTP服務(wù)器上激活VTP剪裁功能。同一VTP域下的所有其他交換機(jī)也將自動(dòng)激活VTP剪裁功能。下圖為該交換機(jī)的配置參數(shù)：.在分布層交換機(jī)DistributeSwitchl上定義VLAN在本企業(yè)網(wǎng)實(shí)現(xiàn)實(shí)例中，除了默認(rèn)的本征VLAN#,又定義了6個(gè)VLAN由于使用了VT限術(shù)，所以所有VLAN勺定義只需要在VTP服務(wù)器，即分布層交換機(jī)DistributeSwitchl上進(jìn)行。如圖所示，定義了6個(gè)VLAN同時(shí)為每個(gè)VLANe名。.配置分布層交換機(jī)DistributeSwitchl的端口基本參數(shù)分布層交換機(jī)DistributeSwitchl的端口FastEthernet0/1?FastEthernet0/5連到接入層交換機(jī)AccessSwitch1-5的端口FastEthernet0/23,端口FastEthernet0/10?FastEthernet0/12為服務(wù)器群提供接入服務(wù)。止匕外，分布層交換機(jī)DistributeSwitch1還通過自己的千兆端口GigabitEthernet1/1上連到核心交換機(jī)CoreSwitch1的GigabitEthernet0/1。為了實(shí)現(xiàn)冗余設(shè)計(jì)，分布層交換機(jī)DistributeSw讓chi還通過自己的千兆端口GigabitEthernet1/2連接另一臺到分布層交換機(jī)DistributeSwitch2的GigabitEthernet1/2。給出了對所有訪問端口、主干道端口的配置步驟和命令。設(shè)置分布層交換機(jī)DistributeSwitchl的各端口參數(shù)其中，f0/1-f0/5,gi1/1,gi1/2都被配為中繼端口，端口f0/10-f0/12被劃分給VLAN100。swi為switchport的縮寫，acc為access的縮寫，gi為gigabitEthernet的縮寫，5.配置分布層交換機(jī)DistributeSwitch1的3層交換功能分布層交換機(jī)DistributeSwitch1需要為網(wǎng)絡(luò)中的各個(gè)VLAN1供路由功能。這需要首先啟用分布層交換機(jī)的路由功能。接下來，需要為每個(gè)VLA就義自己的默認(rèn)網(wǎng)關(guān)地址，止匕外，還需要定義通往Internet的路由。這里使用了一條缺省路由命令，其中，下一跳地址是Internet接入路由器的快速以太網(wǎng)接口FastEthernet0/0的IP地址。6.配置分布層交換機(jī)DistributeSwitch2分布層交換機(jī)DistributeSwitch2的端口FastEthernet0/1-5分別下連到接入層交換機(jī)AccessSwitch1-5的端口FastEthernet0/24。此外，分布層交換機(jī)DistributeSwitch2還通過自己的千兆端口GigabitEthernet1/1上連到核心交換機(jī)CoreSwitch2的GigabitEthernet0/1。對分布層交換機(jī)DistributeSwitch2的配置步驟、命令和對分布層交換機(jī)DistributeSwitch1的配置類似。3.1.3核心層交換服務(wù)的實(shí)現(xiàn)—配置核心層交換機(jī)1,配置核心層交換機(jī)CoreSwitch1的基本參數(shù)對核心層交換機(jī)CoreSwitch1的基本參數(shù)的配置步驟與對接入層交換機(jī)AccessSwitch1的基本參數(shù)的配置類似。這里，只給出實(shí)際的配置步驟，不再給出解釋。2,配置核心層交換機(jī)CoreSwitch1的管理IP、默認(rèn)網(wǎng)關(guān)如圖所示，顯示了為核心層交換機(jī)CoreSwitch1設(shè)置管理IP并激活本征VLAN同時(shí)，還設(shè)置了默認(rèn)網(wǎng)關(guān)的地址。3,配置核心層交換機(jī)CoreSwitchl的的VLANMVTP在本實(shí)例中，核心層交換機(jī)CoreSwitchl也將彳乍為VTP客戶機(jī)。這里核心層交換機(jī)CoreSwitchl將通過VTP獲得在分布層交換機(jī)DistributeSwitchl中定義的所有VLANW信息。完整命令為：vtpmodeclient.配置核心層交換機(jī)CoreSwitchl的端口參數(shù)核心層交換機(jī)CoreSwitchl通過自己的端口FastEthernet0/22同廣域網(wǎng)接入模塊（Internet路由器）相連。同時(shí)，核心層交換機(jī)CoreSwitchl的端口GigabitEthernet0/1?GigabitEthernet0/2分別下連到接入層交換機(jī)DistributeSwitchl和DistributeSwitch2的端口GigabitEthernet1/1。如圖所示，給出了對上述端口的配置命令。止匕外，為了提供主干道的吞吐量以及實(shí)現(xiàn)冗余設(shè)計(jì)，在本設(shè)計(jì)中，將核心層交換機(jī)CoreSwitchl的千兆端口GigabitEthernet2/1、GigabitEthernet2/2捆綁在一起實(shí)現(xiàn)2000Mbps的千兆以太網(wǎng)信道，然后再連接到另一臺核心層交換機(jī)CoreSwitch2。下面是設(shè)置核心層交換機(jī)CoreSwitch1的千兆以太網(wǎng)信道的步驟。.配置核心層交換機(jī)CoreSwitch1的路由功能核心層交換機(jī)CoreSwitch1通過端口FastEthernet0/22同廣域網(wǎng)接入模塊（Internet路由器）相連。因此，需要啟用核心層交換機(jī)的路由功能。同時(shí)，還需要定義通往Internet的路由。這里使用了一條缺省路由命令，如圖所示。其中，下一跳地址是Internet接入路由器的快速以太網(wǎng)接口FastEthernet0/0的IP地址。.核心層交換機(jī)CoreSwitch2的配置核心層交換機(jī)CoreSwitch2的配置步驟、命令和對核心層交換機(jī)CoreSwitch1的配置類似。這里，不再詳細(xì)分析。同時(shí)，對于配置核心層交換機(jī)CoreSwitch2下連的一系列交換機(jī)，其連接方法以及配置步驟和命令同核心層交換機(jī)CoreSwitch1下連的一系列交換機(jī)的連接方法以及配置步驟和命令類似。這里，也不再贅述。3.2廣域網(wǎng)接入模塊設(shè)計(jì)在本設(shè)計(jì)中，廣域網(wǎng)接入模塊的功能是由廣域網(wǎng)接入路由器InternetRouter來完成的。采用白是Cisco的2811路由器。它通過添加WIC-2T模塊上帶的串行接口serial0/0使用DDN128K)技術(shù)接入Internet。它的作用主要是在Internet和企業(yè)網(wǎng)內(nèi)網(wǎng)問路由數(shù)據(jù)包。除了完成主要的路由任務(wù)外，利用訪問控制列表(AccessControlList,ACL,廣域網(wǎng)接入路由器InternetRouter還可以用來完成以自身為中心的流量控制和過濾功能并實(shí)現(xiàn)一定的安全功能。配置接入路由器InternetRouter的基本參數(shù)對接入路由器InternetRouter的基本參數(shù)的配置步驟與對接入層交換機(jī)AccessSwitch1的基本參數(shù)的配置類似。配置接入路由器InternetRouter的各接口參數(shù)對接入路由器InternetRouter的各接口參數(shù)的配置主要是對接口FastEthernet0/0以及接口Serial0/0/0的IP地址、子網(wǎng)掩碼的配置。如圖2-3所示，顯示了為接入路由器InternetRouter的各接口設(shè)置IP地址、子網(wǎng)掩碼。配置接入路由器InternetRouter的路由功能在接入路由器InternetRouter上需要定義兩個(gè)方向上的路由：到企業(yè)網(wǎng)內(nèi)部的靜態(tài)路由以及到Internet上的缺省路由。到Internet上的路由需要定義一條缺省路由，如圖所示。其中，下一跳指定從本路由器的接口serial0/0/0送出。到企業(yè)網(wǎng)內(nèi)部的路由條目可以經(jīng)過路由匯總后形成兩條路由條目。如圖所示。配置接入路由器InternetRouter上的NAT為了接入Internet,本企業(yè)網(wǎng)向當(dāng)?shù)豂SP申請了9個(gè)IP地址。其中一個(gè)IP地址：，另外8個(gè)IP地址：NAT勺配置可以分為以下幾個(gè)步驟。(1)定義NAT內(nèi)部、外部接口Ipnatinside定義端口為內(nèi)部端口；Ipnatoutside定義端口為外部端口。(2)定義允許進(jìn)行NAT的內(nèi)部局部IP地址范圍內(nèi)部地址范圍為：，，，(3)為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換將服務(wù)器的內(nèi)部IP地址改為公有地址。(4)為其他工作站定義動(dòng)態(tài)地址轉(zhuǎn)換將一個(gè)網(wǎng)絡(luò)中的所有需要轉(zhuǎn)換的私有地址用一個(gè)ACL來表示，再從ISP注冊到的共有地址一個(gè)地址池來表示，最后再將ACL與地址池做動(dòng)態(tài)的轉(zhuǎn)換。將除服務(wù)器外的內(nèi)部IP隨機(jī)轉(zhuǎn)換為地址池內(nèi)的-設(shè)置接入路由器InternetRouter上的ACL在網(wǎng)絡(luò)環(huán)境中還普遍存在著一些非常重要的、影響服務(wù)器群安全的隱患。在絕大多數(shù)網(wǎng)絡(luò)環(huán)境的實(shí)現(xiàn)中它們都是應(yīng)該對外加以屏蔽的。主要應(yīng)該做以下的ACL設(shè)計(jì)：(1)對外屏蔽簡單網(wǎng)管協(xié)議，即SNMP利用這個(gè)協(xié)議，遠(yuǎn)程主機(jī)可以監(jiān)視、控制網(wǎng)絡(luò)上的其它網(wǎng)絡(luò)設(shè)備。它有兩種月艮務(wù)類型：SNMP口SNMPTRAP對外屏蔽簡單網(wǎng)管協(xié)議SNMP(2)對外屏蔽遠(yuǎn)程登錄協(xié)議telnet首先，telnet是一種不安全的協(xié)議類型。用戶在使用telnet登錄網(wǎng)絡(luò)設(shè)備或服務(wù)器時(shí)所使用的用戶名和口令在網(wǎng)絡(luò)中是以明文傳輸?shù)?，很容易被網(wǎng)絡(luò)上的非法協(xié)議分析設(shè)備截獲。其次，telnet可以登錄到大多數(shù)網(wǎng)絡(luò)設(shè)備和UNIX服務(wù)器，并可以使用相關(guān)命令完全操縱它們。這是極其危險(xiǎn)的，因此必須加以屏蔽。對外屏蔽遠(yuǎn)程登錄協(xié)議telnet:(3)對外屏蔽其它不安全的協(xié)議或服務(wù)這樣的協(xié)議主要有SUNOS的文件共享協(xié)議端口2049,遠(yuǎn)程執(zhí)行(rsh)、遠(yuǎn)程登錄(rlogin)和遠(yuǎn)程命令(rcmd)端口512、513、514,遠(yuǎn)程過程調(diào)用(SUNRPC端口111?？梢詫⑨槍σ陨蠀f(xié)議綜合進(jìn)行設(shè)計(jì)，如圖所示。(4)針對DoSt擊的設(shè)計(jì)DoS攻擊(DenialofServiceAttack,拒絕服務(wù)攻擊)是一種非常常見而且極具破壞力的攻擊手段，它可以導(dǎo)致服務(wù)器、網(wǎng)絡(luò)設(shè)備的正常服務(wù)進(jìn)程停止，嚴(yán)重時(shí)會(huì)導(dǎo)致服務(wù)器操作系統(tǒng)崩潰。(5)保護(hù)路由器自身安全作為內(nèi)網(wǎng)、外網(wǎng)間屏障的路由器，保護(hù)自身安全的重要性也是不言而喻的。為了阻止黑客入侵路由器，必須對路由器的訪問位置加以限制。應(yīng)只允許來自服務(wù)器群的IP地址訪問并配置路由器。這時(shí)，可以使用ACCESS-CLASS令進(jìn)行VTY訪問控制。如圖所示遠(yuǎn)程訪問設(shè)計(jì)和程訪問模塊設(shè)遠(yuǎn)程訪問也是園區(qū)網(wǎng)絡(luò)必須提供的服務(wù)之一。它可以為家庭辦公用戶和出差在外的員工提供移動(dòng)接入服務(wù)。遠(yuǎn)程訪問有三種可選的服務(wù)類型：專線連接、電路交換和包交換。不同的廣域網(wǎng)連接類型提供的服務(wù)質(zhì)量不同，花費(fèi)也不相同。在本設(shè)計(jì)中，由于面對的用戶群規(guī)模、業(yè)務(wù)量較小，所以采用了異步撥號連接作為遠(yuǎn)程訪問的技術(shù)手段。異步撥號連接屬于電路交換類型的廣域網(wǎng)連接，它是在傳統(tǒng)公共交換電話網(wǎng)(PublicSwitchedTelephoneNetwork,PSTN上提供服務(wù)的。傳統(tǒng)PSTN^供的服務(wù)也被稱為簡易老式電話業(yè)務(wù)(PlanOldTelephoneSystem,POTS