1、中小型企业网络的构建摘 要随着现代科技的发展及计算机技术与通讯技术的结合，计算机几乎成了每个企业的必备设备，超过一半的企业拥有自己的网络。企业网络不仅可以提供给我们一个现代化的高效、快捷、安全的办公环境，还可以进行高速的数据传输和实现生产自动化。本文根据网络构建的原则，从技术基础、方案选择、构建方法等方面对组建一个中小型企业网络进行了分析，在此基础上构建了网络的拓扑结构，并进行了详细的设计及配置，为一些类似的企业公司的网络建设提供了一个可供参考的模板。最后文章对网络建设过程中的一些实践经验进行了总结和讨论。关键词：网络；交换机；路由器；服务器。I1 需求分析 .11.1 网络平台实现的功能 .
2、11.2 网络平台的特点 .12 网络系统设计 .22.1 网络设计原则 .22.2 网络设计模型 .32.2.1 核心层 .32.2.2 分布层 .42.2.3 接入层 .42.3 系统组成与拓扑结构 .53 网络详细设计及配置 .63.1 交换模块设计 .63.1.1 接入层交换服务的实现配置接入层交换机 .63.1.2 分布层交换服务的实现配置分布层交换机 .103.1.3 核心层交换服务的实现配置核心层交换机 .153.2 广域网接入模块设计 .173.2.1 配置接入路由器 InternetRouter 的基本参数 .173.2.2 配置接入路由器 InternetRouter 的各
3、接口参数 .173.2.3 配置接入路由器 InternetRouter 的路由功能 .183.2.4 配置接入路由器 InternetRouter 上的 NAT.183.2.5 设置接入路由器 InternetRouter 上的 ACL.193.3 远程访问设计和程访问模块设 .213.4 服务器模块设计 .224 系统总结 .2301 需求分析1.1 网络平台实现的功能1.实现企业内资源共享，提供管理应用系统，实现企业办公自动化。2.接入 Internet，共享网络资源。3.企业拥有自己的 IP 地址和域名。4.建立企业 Email 系统和内部通讯系统。5.在公司主机上建立网站，提供对外宣
4、传的信息平台。1.2 网络平台的特点网络平台是企业信息化的核心，要求具有高可靠性、高性能、良好可扩展性以及端到端的 QoS 服务质量保证。高可用性必须是一个端到端的网络目标。网络设备、服务器集群、操作系统及网络接口卡必须作为一个统一的生态系统协同工作，以恢复任何服务器、链路或网络设备的故障。在考虑设备硬件可靠性和连接链路冗余的同时，应关注网络系统在不同层次上对系统可用性的软件功能支持能力，另外容易被忽略的高可用性因素统一的设备软件操作平台。如果不同设备采用不同的软件系统，兼容性、开放性和可扩展性都会受到影响。QoS(服务质量保证)是保证向网络业务提供有品质的服务。它为网络中的数据划分优先级，对
5、于某些数据，如语音、视频等，给予高的优先级，使他们在网络中优先传输，来保证通话及视频的质量。在应用系统较为简单的网络发展的初期，常常被对应于简单的概念，例如设备可以支持的队列数量等。在网络应用日趋复杂的环境下，如何在有限的网络资源里充分保障各类应用的实施，是一个非常复杂的问题，实施 QoS，是端到端的概念，不是单个设备的问题，而是涉及整个园区网、甚至跨广域网的问题。QoS 的管理和部署可能需要涉及到不同城市、不同厂区、不同大楼的每一台网络设备，甚至每一个端口。因此，在选择网络设备和供应商的时候，要擦亮眼睛看看供应商的 QoS 能做到什么程度。12 网络系统设计2.1 网络设计原则1）开放性：系
6、统设计应采用开放技术、开放结构、开放系统组件和开放用户接口，以利于网络的维护、扩展升级及与外界信息的沟通。2）安全性：应能在可靠性的前提下，抵挡来自内部和外部的攻击；采用的安全措施有效、可信，能够在多层次上、以多种方式实现安全的控制。3）可靠性：系统及网络结构较为复杂，同时在部分子系统中存在较高的技术性，因此必须保证系统的稳定、可靠和安全运行，具有很高的 MTBF(平均无故障工作时间)和极低的 MTBR(平均无故障率)，提高容错设计，支持故障检测和恢复，可管理性强。网络必须是可靠的，包括网元级的可靠性，如引擎、风扇、单板、总计等；以及网络级的可靠性，如路由、交换的汇聚，链路冗余，负载均衡等。网
7、络必须具有足够高的性能，满足业务的需要。具有容错功能，能满足企业所在地环境、气候条件，抗干扰能力强，对网络的设计、选型、安装、调试等各环节进行统一规划和分析，确保系统运行可靠。4）统一性：在系统的设计过程中，坚持“三统一” ，即统一规划、统一标准、统一出口。5）经济性：在充分满足以上要求的前提下，应充分考虑到企业的经济承受能力，尽可能地节约投资，花好每一分钱。着眼于近期目标和长期的发展，选用先进的设备进行最佳性能组合，利用有限的投资构造一个性能最佳的网络系统。6）实用性：实用性设计应能满足目前对网络应用的要求，充分实现内部管理、信息化等要求，使网络的整体性能尽快得到充分的发挥，并且便于掌握。2
8、.2 网络设计模型在中型企业网的设计中，一般采用层次化模型来设计网络拓扑结构。所谓“层次化”模型，就是将复杂的网络设计分成几个层次，每个层次着重于某些2特定的功能，这样就能够使一个复杂的大问题变成许多简单的小问题。“核心层-分布层-接入层”层次化网络设计模型有如下优点： 节省成本：在采用层次模型之后，各层次各司其职，不再在同一个平台上考虑所有的事情。层次模型模块化的特性使网络中的每一层都能够很好地利用带宽，减少了对系统资源的浪费。 易于理解 ：层次化设计使得网络结构清晰明了，可以在不同的层次实施不同难度的管理，降低了管理成本。 易于扩展 ：在网络设计中，模块化具有的特性使得网络增长时网络的复杂
9、性能够限制在子网中，而不会蔓延到网络的其他地方。 易于排错：层次化设计能够使网络拓扑结构分解为易于理解的子网，网络管理者能够轻易地确定网络故障的范围，从而简化了排错过程。2.2.1 核心层核心层将各分布层交换机互连起来进行穿越园区网骨干的高速数据交换。园区网的核心层连接所有的分布层设备，必须能够尽可能高效地交换数据流。应具有如下特征： 第 2 层和第 3 层的吞吐量非常高； 不执行高成本或不必要的分组处理（访问列表、分组过滤）； 支持高可用性的冗余和弹性； 高级 QoS 功能。应对园区网核心层中的设备进行优化，以提供高性能的第 2 层或第 3 层交换。由于核心层必须处理大量的园区网级数据，因此
10、核心层设计必须简单、高效。在本设计的核心层中，采用两台 Cisco Catalyst 4006 交换机组成双机热备份的核心交换机系统解决方案。为提高核心-网络的健壮性，实现链路的安全保障，本方案骨干核心层中可以采用 VRRP（热备用路由器协议） 。对于各个业务 VLAN 可以指向这个虚拟的 IP 地址作为网关，因此应用 VRRP 技术为核心交换机提供一个可靠的网关地址，以实现在核心层核心交换机之间进行设备的硬件冗余，一主两备，共用一个虚拟的 IP 地址和 MAC 地址，通过内部的协议传输机制可以自动进行工作角色的切换。进而双引擎、双电源的设计为网络高效处理3大集中数据提供了可靠的保障。2.2.
11、2 分布层分布层将园区网的接入层和核心层连接起来。必须具备下述的功能： 聚集多台接入层设备； 较高的第 3 层分组处理吞吐量； 使用访问列表和分组过滤器提供安全和基于策略的连接； QoS 功能； 连接到核心层和接入层的高速链接具有可扩展性和弹性。在分布层中，来自接入层设备的上行链路被聚合在一起。分布层交换机必须能够处理来自所有连接的设备的总流量。这些交换机必须拥有能提供高速链路的端口密度，以支持所有接入层交换机。VLAN 和广播域在分布层聚合在一起，需要支持路由选择、过滤和安全。该层的交换机还必须能够执行高吞吐量的多层交换。2.2.3 接入层接入层位于连接到网络的最终用户处。接入层交换机通常在
12、用户之间提供第 2 层（VLAN）连接性。该层设备有时被称为大楼介入交换机，必须具备下述功能： 低交换机端口成本； 高端口密度； 连接到高层的可扩展上行链路； 用户接入功能，如 VLAN 成员资格、数据流和协议过滤以及服务质量（QoS）； 使用多条上行链路提供弹性。2.3 系统组成与拓扑结构为了实现网络设备的统一，本设计方案中完全采用同一厂家的网络产品，即 Cisco 公司的网络设备构建。全网使用同一厂商设备的好处是可以实现各种不同网络设备功能的互相配合和补充。4该企业网设计方案主要由以下四大部分构成：交换模块、广域网接入模块、远程访问模块、服务器群。网络拓扑如下图所示：3 网络详细设计及配置
13、 这里我将使用思科的一款虚拟软件（cisco packet tracer）完成配置，该软件功能有限，一些配置并不能在该软件上实现。以下配置截图，皆来自该软件。53.1 交换模块设计3.1.1 接入层交换服务的实现配置接入层交换机接入层为所有的终端用户提供一个接入点。这里的接入层交换机采用的是Cisco Catalyst 2950 24 口交换机（WS-C2950-24）。交换机拥有 24 个10/100Mbps 自适应快速以太网端口，运行的是 Cisco 的 IOS 操作系统。 1. 配置接入层交换机 AccessSwitch1 的基本参数（1）设置交换机名称设置交换机名称，也就是出现在交换机
14、 CLI 提示符中的名字。一般我们会以地理位置或行政划分来为交换机命名。当我们需要 Telnet 登录到若干台交换机以维护一个大型网络时，通过交换机名称提示符提示自己当前配置交换机的位置是很有必要的。其中 h 是 hostname 的简写，（在真实环境中也支持简写）可以用该命令实现设备的重命名。（2）设置交换机的加密使能口令加密口令为：enable secret +密码。当用户在普通用户模式而想要进入特权用户模式时，需要提供此口令。此口令会以 MD5 的形式加密，因此，当用户查看配置文件时，无法看到明文形式的口令。6（3）设置登录虚拟终端线时的口令Line vty 0 15Password c
15、iscoLoginLogin 对这个配置很重要，没有他你就算配了密码也无法登陆。对于一个已经运行着的交换网络来说，交换机的带内远程管理为网络管理人员提供了很多的方便。但是，处于安全考虑，在能够远程管理交换机之前网络管理人员必须设置远程登录交换机的口令。（4）设置终端线超时时间为了安全考虑，可以设置终端线超时时间。在设置的时间内，如果没有检测到键盘输入，IOS 将断开用户和交换机之间的连接。这里设置的是 5 分 30 秒。（5）设置禁用 IP 地址解析特性在交换机默认配置的情况下，当我们输入一条错误的交换机命令时，交换机会尝试将其广播给网络上的 DNS 服务器并将其解析成对应的 IP 地址。利用
16、命令 no ip domain-lookup。可以禁用这个特性（6）设置启用消息同步特性有时，用户输入的交换机配置命令会被交换机产生的消息打乱。可以使用命令 logging synchronous 设置交换机在下一行 CLI 提示符后复制用户的输入。2. 配置接入层交换机 AccessSwitch1 的管理 IP、默认网关接入层交换机是 OSI 参考模型的第 2 层设备，即数据链路层的设备。因此，给接入层交换机的每个端口设置 IP 地址是没意义的。但是，为了使网络管理人员可以从远程登录到接入层交换机上进行管理，必要给接入层交换机设置一个管理用 IP 地址。这种情况下，实际上是将交换机看成和 PC 机一样的主机。给交换机设置管理用 IP 地址只能在 VLAN1，即本征 VLAN 中进行。为了使网络管理人员可以在不同的子网管理此交换机，还应设置默认网关地址.
