第14章網(wǎng)絡(luò)技術(shù)綜合應(yīng)用計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)及應(yīng)用（第2版）14.1交換三級(jí)網(wǎng)某中型企業(yè)擁有500臺(tái)以上的計(jì)算機(jī)，并且有兩個(gè)異地的分支機(jī)構(gòu)。該企業(yè)希望建設(shè)自己的一個(gè)園區(qū)網(wǎng)，現(xiàn)已向InterNIC提出申請(qǐng)并注冊(cè)了一個(gè)C類網(wǎng)段地址/24及，，等幾個(gè)公用IP。具體建設(shè)目標(biāo)如下：（1）企業(yè)各部門信息能夠及時(shí)準(zhǔn)確地傳輸?shù)郊瘓F(tuán)公司決策部門和管理部門；（2）異地分支機(jī)構(gòu)能夠與企業(yè)總部中心網(wǎng)絡(luò)互連起來，以便下載、上傳業(yè)務(wù)數(shù)據(jù)，以及使用電子郵件。（3）各部門、分支機(jī)構(gòu)可以相互獨(dú)立，互不干擾；（4）網(wǎng)管中心提供統(tǒng)一的外部互連接口，能夠保證集團(tuán)公司企業(yè)內(nèi)部網(wǎng)的信息安全。（5）提供集團(tuán)公司內(nèi)部的信息服務(wù)。（6）企業(yè)有擴(kuò)展的需要，要預(yù)留接口。針對(duì)上面的建設(shè)需求，我們可分析得到以下內(nèi)容：1．園區(qū)化分布這類大中型網(wǎng)絡(luò)通常不再是同一樓層，或者少數(shù)一兩棟樓可以承載的，而是分布在一個(gè)園區(qū)中。正是因?yàn)檫@種分布特點(diǎn)，所以這種網(wǎng)絡(luò)中，不同建筑物之間可能相距較遠(yuǎn)，而且基本上都不會(huì)在同一交換網(wǎng)中，而是采用多個(gè)子網(wǎng)的方式，子網(wǎng)之間通過高性能的三層交換機(jī)進(jìn)行連接?？梢园芽傮w網(wǎng)絡(luò)結(jié)構(gòu)規(guī)劃為核心層、分布層和接入層三層。2．高性能，全交換為了確保上所有網(wǎng)絡(luò)節(jié)點(diǎn)都能充分發(fā)揮自己的性能優(yōu)勢(shì)，要求各交換層有充分的可用帶寬保證。在核心層、分布層通常是光纖或雙絞千兆位連接，對(duì)于需要高寬帶的節(jié)點(diǎn)同樣需采用GE鏈路聚合技術(shù)連接。一般工作站用戶仍可以采用10/100Mbps連接，如需要可預(yù)留千兆位連接的桌面用戶接口。3．靈活分配IP地址該企業(yè)500臺(tái)以上計(jì)算機(jī)，只有一個(gè)C類IP地址段。針對(duì)這種IP地址不足的情況，可只將注冊(cè)的IP地址用于主干網(wǎng)、主要服務(wù)器及交換機(jī)路由器等網(wǎng)絡(luò)設(shè)備，而其它節(jié)點(diǎn)使用Internet為企業(yè)專用網(wǎng)保留的A類地址192.168.*.*，將其分隔成不同的子網(wǎng)段。另外，對(duì)于規(guī)模較大的子網(wǎng)來說，可采用動(dòng)態(tài)IP地址分配方式，以減輕管理上的壓力。4．高安全性為保障各部門間相互獨(dú)立，互不干擾，可對(duì)整個(gè)網(wǎng)絡(luò)按部門及應(yīng)用需求劃分VLAN；在異地分支機(jī)構(gòu)與企業(yè)總部中心網(wǎng)絡(luò)互連方式上，可選擇VPN技術(shù)。應(yīng)用多重網(wǎng)絡(luò)防護(hù)機(jī)制，如在內(nèi)外網(wǎng)間設(shè)置防火墻，在路由器上設(shè)置ACL（accesscontrollist，訪問控制列表）實(shí)現(xiàn)對(duì)流經(jīng)路由器或交換機(jī)的數(shù)據(jù)包根據(jù)一定的規(guī)則進(jìn)行過濾。對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備進(jìn)行保護(hù)，建立完善的網(wǎng)絡(luò)設(shè)備安全登錄和管理規(guī)定。5．高性能的信息服務(wù)基于集團(tuán)公司內(nèi)部的信息服務(wù)要求，可建立一服務(wù)器群，提供HTTP、FTP、電子郵件及域名查詢等信息服務(wù)。服務(wù)器群直接與核心層交換機(jī)相連，以保證整個(gè)網(wǎng)絡(luò)的訪問速度。如部門內(nèi)部有建立服務(wù)器的需求，則可將部門服務(wù)器放置在自己的內(nèi)部子網(wǎng)上，僅供部門內(nèi)部人員訪問。6．高擴(kuò)展性這類大型網(wǎng)絡(luò)的可擴(kuò)展性要求非常高，因?yàn)榭赡軙?huì)在短時(shí)間內(nèi)添加大量的節(jié)點(diǎn)。這種網(wǎng)絡(luò)的擴(kuò)展性可以通過如下方式保障：核心層通常采用多插槽的機(jī)箱式結(jié)構(gòu)，這樣可以安裝許多種模塊和提供更多的各種接口；在骨干層通常采用模塊化結(jié)構(gòu)的交換機(jī)；在分布層和接入層通常采用堆疊方式，一方面可以提高每個(gè)端口實(shí)際可用的帶寬，另一方面，同樣為可擴(kuò)展性提供了保障。14.1.1網(wǎng)絡(luò)拓?fù)渚C合以上考慮，為該企業(yè)設(shè)計(jì)網(wǎng)絡(luò)規(guī)劃圖如圖14-1所示。14.1.2IP地址分配針對(duì)該網(wǎng)絡(luò)IP地址不足的情況，只將注冊(cè)的IP地址/24用于主干網(wǎng)、主要服務(wù)器及交換機(jī)路由器等網(wǎng)絡(luò)設(shè)備，而其它節(jié)點(diǎn)使用Internet為企業(yè)專用網(wǎng)保留的C類地址192.168.*.*，將其分隔成不同的子網(wǎng)段。針對(duì)網(wǎng)絡(luò)現(xiàn)有情況，將/24進(jìn)行子網(wǎng)劃分，取主機(jī)號(hào)的前三位為子網(wǎng)號(hào)，這樣，去掉全0，全1兩種情況，共可將該網(wǎng)段分為六個(gè)新的子網(wǎng)。再加上在接入層的子網(wǎng)，在網(wǎng)絡(luò)內(nèi)部共存在著如表14-1中所示的子網(wǎng)：表14-1子網(wǎng)分配情況子網(wǎng)網(wǎng)絡(luò)ID服務(wù)器地址網(wǎng)關(guān)地址客戶機(jī)網(wǎng)段子網(wǎng)1/24～01～54子網(wǎng)2/24～01～54子網(wǎng)3/24～01～54子網(wǎng)4/24～01～54子網(wǎng)5/24～01～54子網(wǎng)6/24～01～54子網(wǎng)7/24～01～54子網(wǎng)8/24～192.168.8101～54子網(wǎng)9/24～01～54子網(wǎng)102/274～23無子網(wǎng)114/27無59～4子網(wǎng)126/27無77～26子網(wǎng)1328/27無2929～58子網(wǎng)1460/24無6161～92子網(wǎng)1592/27無9393～22各設(shè)備端口的IP地址分配情況如表14-2所示：設(shè)備名稱端口名稱IP地址端口連接狀況S1F1/03/27服務(wù)器群交換機(jī)F1/15/27接防火墻F1/47/27S2-F1/24F1/529/27S3-F1/24F1/661/27S4-F1/24F1/793/27S5-F1/24S2F1/0/24接入層交換機(jī)F1/1/24接入層交換機(jī)F1/248/27S1-F1/4S3F1/0/24接入層交換機(jī)F1/1/24接入層交換機(jī)F1/2430/27S1-F1/5S4F1/0/24接入層交換機(jī)F1/1/24接入層交換機(jī)F1/2462/27S1-F1/6S5F1/0/24接入層交換機(jī)F1/1/24接入層交換機(jī)F1/2494/27S1-F1/7R1F1/054/27接防火墻S1/2/24接外網(wǎng)R2F1/0/24接分支機(jī)構(gòu)內(nèi)網(wǎng)S1/2/24接外網(wǎng)R3F1/0/24接分支機(jī)構(gòu)內(nèi)網(wǎng)S1/2/24接外網(wǎng)在部門子網(wǎng)當(dāng)中，IP地址的分配可采用靜態(tài)分配，也可采用動(dòng)態(tài)分配。一般來說，服務(wù)器等供別人訪問的設(shè)備采用靜態(tài)地址分配，而其它客戶機(jī)可采用DHCP動(dòng)態(tài)地址分配，以減少工作量。需要注意的是，如果采用動(dòng)態(tài)分配方式，則要在該子網(wǎng)內(nèi)配置至少一臺(tái)DHCP服務(wù)器。14.1.3VLAN劃分在現(xiàn)今的企業(yè)網(wǎng)絡(luò)或園區(qū)網(wǎng)中，對(duì)VLAN技術(shù)的應(yīng)用也更加重要，通過對(duì)VLAN的劃分可使管理更方便，同時(shí)也提高了網(wǎng)絡(luò)安全性。在上一節(jié)中我們可以看到，在C類網(wǎng)中劃分子網(wǎng)時(shí)，計(jì)算比較復(fù)雜，分配上不夠直觀，同時(shí)也減少了實(shí)際IP地址數(shù)。其實(shí)，我們可以用劃分VLAN的方式來替代主干網(wǎng)上的子網(wǎng)劃分。即將S1-S5等交換機(jī)端口的子網(wǎng)掩碼設(shè)為，這樣，在默認(rèn)情況下，相關(guān)端口都屬于200.16.2.*這一網(wǎng)段。我們?cè)賹?duì)這一網(wǎng)段進(jìn)行基于端口的VLAN劃分，即把S1的每一端口或部分端口劃分到一個(gè)VLAN當(dāng)中，以此實(shí)現(xiàn)隔離的目的。14.4安全設(shè)計(jì)為保障網(wǎng)絡(luò)的安全，許多安全措施被提出并被應(yīng)用。但對(duì)于大多數(shù)網(wǎng)絡(luò)來說，安全防護(hù)并未成為一個(gè)完整的體系，所以，因蠕蟲病毒泛濫而導(dǎo)致的網(wǎng)絡(luò)緩慢，因IP地址盜用而導(dǎo)致的頻繁掉線，因外來惡意的DoS攻擊而造成的網(wǎng)絡(luò)服務(wù)癱瘓等現(xiàn)象在局域網(wǎng)中處處可見。一個(gè)完善的網(wǎng)絡(luò)防御體系應(yīng)當(dāng)包含以下防護(hù)手段：病毒防護(hù)、網(wǎng)絡(luò)設(shè)備接入端口安全、ACL過濾機(jī)制、網(wǎng)絡(luò)防火墻、入侵檢測(cè)系統(tǒng)以及VPN安全。在網(wǎng)絡(luò)中因?yàn)橛羞h(yuǎn)程子網(wǎng)的互連，所以應(yīng)用VPN技術(shù)是必不可少的。其它可根據(jù)實(shí)際情況設(shè)置。要保證服務(wù)器安全，除了要安裝殺毒軟件，個(gè)人防火墻等安全工具之外，還可從以下方面著手：一、帳戶信息加密，入侵者在很多情況下是通過信息掃描，信息截獲等非法手段來獲得帳戶信息的，為了保證信息在鏈路上的安全，可采用信息加密的方法，使入侵者即使截獲信息也不能識(shí)別信息，從而達(dá)到安全目的；二、限制IP訪問，大多數(shù)入侵者都是外部用戶，其主機(jī)的IP地址區(qū)別于內(nèi)網(wǎng)用戶，所以可通過限制IP的方法來減少資源的非法訪問；三、增強(qiáng)操作系統(tǒng)的安全性，可采用UNIX、LINUX等操作系統(tǒng)，相對(duì)于Windows服務(wù)器操作系統(tǒng)來講，這些系統(tǒng)的漏洞少，安全性較高。14.1.5網(wǎng)絡(luò)管理對(duì)于一個(gè)大規(guī)模的網(wǎng)絡(luò)來說，網(wǎng)絡(luò)管理是必須的。在網(wǎng)絡(luò)中，域名服務(wù)器，DHCP服務(wù)器等服務(wù)都應(yīng)該建立，并能到有效管理。為了保證網(wǎng)絡(luò)更加有效、可靠地運(yùn)行，可配置一臺(tái)網(wǎng)絡(luò)管理工作站，以便更有效地對(duì)網(wǎng)絡(luò)進(jìn)行管理。網(wǎng)管工作站上安裝CiscoWorks2000forWindowsNT/98/2000企業(yè)版網(wǎng)管軟件CiscoWorks2000是該公司基于Web界面的網(wǎng)管產(chǎn)品，該網(wǎng)管軟件的主要功能如下：●提供網(wǎng)內(nèi)Cisco交換機(jī)、路由器的自動(dòng)識(shí)別和自動(dòng)拓?fù)浣Y(jié)構(gòu)圖?！裉峁┫到y(tǒng)級(jí)的VLAN拓?fù)浣Y(jié)構(gòu)圖?！裢ㄟ^簡單單擊鼠標(biāo)提供鏈路信息?！馰LAN的管理功能（路徑、增/刪/改名稱、故障檢查等）?！裥阅芄芾恚盒阅鼙O(jiān)視分析、性能趨勢(shì)分析、報(bào)警等。●遠(yuǎn)程網(wǎng)絡(luò)配置功能。●網(wǎng)絡(luò)設(shè)備管理：建立維護(hù)網(wǎng)絡(luò)設(shè)備數(shù)據(jù)庫。總結(jié)：在本案例當(dāng)中，我們可以學(xué)習(xí)到多種網(wǎng)絡(luò)技術(shù)的應(yīng)用方法，如：交換網(wǎng)組建、IP地址分配（動(dòng)態(tài)分配與靜態(tài)分配）、子網(wǎng)劃分、VLAN劃分、VPN技術(shù)、網(wǎng)絡(luò)管理等。14.2路由三級(jí)網(wǎng)某金融機(jī)構(gòu)欲建設(shè)自己的網(wǎng)絡(luò)，要求該網(wǎng)絡(luò)覆蓋省、地市及縣行的所有網(wǎng)點(diǎn)，并通過網(wǎng)絡(luò)能夠?qū)崿F(xiàn)與縣級(jí)網(wǎng)點(diǎn)的業(yè)務(wù)通訊及語音電話。根據(jù)該機(jī)構(gòu)的需求，我們幫其規(guī)劃一個(gè)具有三級(jí)結(jié)構(gòu)的路由網(wǎng)絡(luò)。整個(gè)網(wǎng)絡(luò)分為省行、地市行、縣級(jí)三級(jí)結(jié)構(gòu)，跨行連接采用租用DDN專線的方式，根據(jù)需求確定連接速率，如總部與省級(jí)網(wǎng)之間采用2M帶寬，地市級(jí)間連接采用1M帶寬，縣級(jí)間采用128K帶寬，并且采用VoIP技術(shù)實(shí)現(xiàn)縣級(jí)網(wǎng)點(diǎn)與省行直接通話的功能。網(wǎng)絡(luò)拓?fù)涫疽鈭D所圖14-2所示。圖14-2金融機(jī)構(gòu)分布圖該網(wǎng)絡(luò)做為一個(gè)跨地區(qū)的自治網(wǎng)絡(luò)，最重要的是解決路由問題。考慮到該網(wǎng)絡(luò)規(guī)模較大，可選用OSPF做為網(wǎng)絡(luò)的路由選擇協(xié)議，按網(wǎng)點(diǎn)所在地劃分區(qū)域。假定該機(jī)構(gòu)已申請(qǐng)到191.16.*.*的B類IP地址。下面我們就為該網(wǎng)絡(luò)做出規(guī)劃。網(wǎng)絡(luò)的區(qū)域劃分情況如圖所示（說明：圖中所示只是整個(gè)網(wǎng)絡(luò)的一部分，其它部分類似）。圖14-3三級(jí)路由網(wǎng)規(guī)劃圖IP地址分配及線路連接情況列于表14-3IP地址分配及線路連接情況設(shè)備名稱端口名稱IP地址端口連接狀況R1S1/2/24S1/2—R2-S1/2R2S1/2/24S1/2—R1-S1/2S1/3/24S1/3—R3-S1/2-S1/4/24S1/4—R4-S1/2F1/0/24F0/1—R2-F0/1R3S1/2/24S1/2—R2-S1/3S1/3/24S1/3—R5-S1/2R4S1/2/24S1/2—R2-S1/4S1/3/24S1/3—R6-S1/2F1/0/24F1/0—S2-F0/1R5S1/2/24S1/2—R3-S1/3F1/0/24F1/0—S3-F0/1R6S1/2/24S1/2—R4-S1/3F1/0/24F1/0—S4-F0/1S1F0/1/24F0/1—R2-F0/1S2F0/1/24F0/1—R4-F1/0S3F0/1/24F0/1—R5-F1/0S4F0/1/24F0/1—R6-F1/0Voice-portR1-voice-port號(hào)碼111111Port2/0R5-voice-port號(hào)碼222222Port2/0總結(jié)：在本案例當(dāng)中，我們可以學(xué)習(xí)到路由網(wǎng)絡(luò)的構(gòu)建方法、路由選擇協(xié)議OSPF的應(yīng)用方法、IP地址的分配等。14.3無線局域網(wǎng)14.3.1室內(nèi)無線網(wǎng)絡(luò)當(dāng)前無線網(wǎng)絡(luò)在校園網(wǎng)的建設(shè)中得到了廣泛的應(yīng)用，許多學(xué)校的校園網(wǎng)都部分采用無線網(wǎng)絡(luò)方式。無線網(wǎng)絡(luò)在校園網(wǎng)的建設(shè)中有著許多有線網(wǎng)絡(luò)所無法比擬的優(yōu)勢(shì)。首先是對(duì)于一些不方便布線的場(chǎng)所，采用無線方式可有效地解決布線方面的困難，如禮堂、操場(chǎng)和閱覽室等。另一方面大大節(jié)省了網(wǎng)絡(luò)投資成本，布線是一項(xiàng)復(fù)雜的工程，其成本往往占總投資的30%左右。當(dāng)然這不僅是網(wǎng)線的成本，更重要的是人工布線成本。第三是大大方便了用戶位置的靈活移動(dòng)。當(dāng)用戶位置改變時(shí)，不用重新布線。對(duì)于多媒體教學(xué)系統(tǒng)，現(xiàn)在許多學(xué)校也采用無線方式，同樣具有以上三個(gè)方面的優(yōu)勢(shì)。在本案例中為某一多媒體教室設(shè)計(jì)無線網(wǎng)絡(luò)。在一個(gè)教室中通常有40～60個(gè)座位，教室面積在80平方米左右。盡管在這樣一個(gè)面積中，一個(gè)基于IEEE802.11b/a/g，任意一個(gè)AP都能有效覆蓋，但是此種情況不適用于單AP，因?yàn)樵诖朔N應(yīng)用中，無線用戶相對(duì)集中，況且各用戶所進(jìn)行的是需要高帶寬的多媒體教學(xué)、聽課。針對(duì)這種應(yīng)用實(shí)際情況，建議選擇高速率標(biāo)準(zhǔn)，并且在一個(gè)教室中安排放置三個(gè)AP，各AP分區(qū)域覆蓋，其拓?fù)浣Y(jié)構(gòu)如圖14-4所示。圖14-4多媒體教室無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)在這樣一種應(yīng)用方案中，發(fā)布多媒體教學(xué)內(nèi)容的計(jì)算機(jī)可以在機(jī)房中，也可以在其他任何網(wǎng)絡(luò)位置，并且以有線方式與交換機(jī)連接。交換機(jī)的端口數(shù)根據(jù)實(shí)際需要選擇，但連接各AP的端口帶寬最好都采用10/100Mbps以上的。在多媒體教室中，教師講解所用的計(jì)算機(jī)也最好通過有線方式直接與有線網(wǎng)絡(luò)交換機(jī)的高帶寬端口連接，以確定連接的穩(wěn)定性和高帶寬。多媒體教室中的用戶劃分為三個(gè)區(qū)域，各用一個(gè)AP覆蓋，各自與有線網(wǎng)絡(luò)的交換機(jī)連接。在配置時(shí)要注意這三個(gè)AP的所有信道不用重疊，例如可以采用1、6、11這三個(gè)信道。如果采用雙絞線連接，注意單段雙絞線的最長長度要在100米以內(nèi)，如果超過這個(gè)距離，則應(yīng)采用多個(gè)交換機(jī)或集線器級(jí)聯(lián)擴(kuò)展。因?yàn)槎嗝襟w教學(xué)需要較高的帶寬，并且要求穩(wěn)定性較高，所以在此方案中選用802.11g+標(biāo)準(zhǔn)的無線網(wǎng)絡(luò)方案，因?yàn)樗鼈兌伎梢蕴峁?08Mbps的超高連接速率。50個(gè)用戶平均分為三個(gè)AP區(qū)域，則每個(gè)AP區(qū)域用戶在17個(gè)左右，按總帶寬108Mbps的帶寬計(jì)算，平均每個(gè)用戶也有6Mbps多的連接速率，即使按理論值的一半計(jì)算，也有3Mbps左右的帶寬，足以滿足多媒體教學(xué)使用。14.2室外無線網(wǎng)絡(luò)在整個(gè)企業(yè)網(wǎng)絡(luò)的構(gòu)建中，核心及匯聚層的構(gòu)建是非常重要的，但是，真正實(shí)現(xiàn)智能化、靈活性、高帶寬、可運(yùn)營等特性的網(wǎng)絡(luò)，接入層設(shè)備的功能是支持整網(wǎng)擁有此強(qiáng)大功能的必要條件。WLAN無線局域網(wǎng)技術(shù)隨著近年來的逐步完善和發(fā)展，以其靈活性和與有線以太網(wǎng)絡(luò)的互補(bǔ)性，成為局域網(wǎng)絡(luò)接入層的一種補(bǔ)充手段。無線局域網(wǎng)技術(shù)的日趨成熟可以為此提供更加高效靈活的解決方案，通過無線網(wǎng)絡(luò)，可以在企業(yè)的任何地方方便地訪問企業(yè)內(nèi)網(wǎng)及INTERNET，可以較少的投資獲得空前的應(yīng)用靈活性。這樣大大提高了企業(yè)辦公/生產(chǎn)網(wǎng)絡(luò)的靈活性，節(jié)約了開支降低了成本，進(jìn)而提高了工作效率。大中型企事業(yè)對(duì)于無線網(wǎng)絡(luò)訪問主要關(guān)注在于網(wǎng)絡(luò)的穩(wěn)定覆蓋、帶寬容量的保證、安全準(zhǔn)入的保障、與有線網(wǎng)