PAGEPAGEIII企業網絡組建及相關技術摘要當今社會是一個以網絡為平臺的信息時代，企業信息化己經成為現在企業的重要財富和資源。為適應企業信息化的發展，滿足口益增長的通訊需求和網絡的穩定運行，如今的大型企業網絡建設比傳統企業網絡建設提出更高的要求。隨著近年來企業信息化建設的普及和深入，企業經營的運作越來越融入到計算機網絡，網絡建設的規范性和系統性要求日益突出。本文主要介紹了網絡規劃與優化的基礎知識，網絡規劃和優化的工具以及從網絡規劃方面進行技術研究，并總結出相關經驗。通過查閱大量的文獻資料借鑒各方面的網絡規劃經驗，提高了對網絡規劃的認識。本文從企業網絡需求開始分析，根據現階段cisco公司主流網絡設備進行選材,規劃最適用于目標網絡的拓撲結構,建設合理的網絡設計方案。并測試其結果最終驗證網絡的規劃與設計符合中小型企業的需求。本設計使用ciscoPacketTracer軟件進行模擬真實的設備和運行環境，來測試方案是否正確和可行性。關鍵詞：網絡規劃；交換機；企業網絡

目錄摘要 I第1章緒論 1第2章用戶需求分析 22.1中小型企業需求分析 22.2.1寬帶性能需求 22.2.2穩定可靠需求 22.2.3服務質量需求 32.2.4網絡安全需求 32.2.5應用服務需求 32.2本網絡系統需求分析 4第3章網絡設計 53.1設計網絡拓撲結構 53.2VLAN及IP地址規劃 53.3設備命名 63.3.1設備命名規則 63.3.1全網設備命名 73.4模擬工具和環境介紹——PacketTracer 83.4.1PacketTracer工具介紹 83.4.2本設計的模擬圖 103.5設備配置 103.5.1基礎配置 103.5.2使用VTP 113.5.3創建VLAN 133.5.4交換鏈路封裝 143.5.5NAT 153.5.6DHCP/DNS 173.5.7ACL 203.5.8PVST 223.5.9路由協議 233.5.10網管控制 253.5.11其他配置 26第4章網絡效果驗證 274.1關鍵三層設備路由表 274.1.1行政樓外聯路由器路由表 274.1.2行政樓核心層交換機路由表 284.1.3外省外聯路由器路由表 304.2連通性測試 314.2.1外地用戶訪問總部服務器 314.2.2本部用戶訪問服務器 314.2.3外地路由器訪問服務器 324.3ACL驗證 324.4DHCP/DNS服務 35結語 36參考文獻 37PAGE18第1章緒論隨著企業各種業務需要在計算機網絡上進行操作，如何保障企業網絡無中斷運行已經成為保證企業正常的生產運營的關鍵。現代大型企業網絡在可靠性設計方面主要應從三方面考慮:首先是設備級可靠性設計，這里不僅要考察網絡設備是否實現了關鍵部件的冗余備份，還要從網絡設備整體設計架構、處理引擎種類等多方面去考察;其次是業務的可靠性設計，這里要注意網絡設備在故障倒換過程中是否對業務的正常運行有影響;再次是鏈路的可靠性設計，以太網的鏈路安全來自于它的多路徑選擇，所以在企業網絡建設時要考慮網絡設備是否能夠提供有效的鏈路自愈手段和快速重路由協議的支持。第2章用戶需求分析2.1中小型企業需求分析為適應企業信息化的發展，滿足日益增長的通信需求和網絡的穩定運行，今天的企業網絡建設比傳統企業網絡建設有更高的要求，本文將通過對如下幾個方面的需求分析來規劃出一套最適用于目標網絡的拓撲結構。2.2.1寬帶性能需求現代大型企業網絡應具有更高的帶寬，更強大的性能，以滿足用戶日益增長的通信需求。隨著計算機技術的高速發展，基于網絡的各種應用日益增多，今天的企業網絡已經發展成為一個多業務承載平臺。不僅要繼續承載企業的辦公自動化，Web瀏覽等簡單的數據業務，還要承載涉及企業生產運營的各種業務應用系統數據，以及帶寬和時延都要求很高的IP電話、視頻會議等多媒體業務。因此，數據流量將大大增加，尤其是對核心網絡的數據交換能力提出了前所未有的要求。另外，隨著千兆位端口成本的持續下降，千兆位到桌面的應用會在不久的將來成為企業網的主流。從2004年全球交換機市場分析可以看到，增長最迅速的就是10Gbps級別機箱式交換機，可見，萬兆位的大規模應用已經真正開始。所以，今天的企業網絡已經不能再用百兆位到桌面千兆位骨干來作為建網的標準，核心層及骨干層必須具有萬兆位級帶寬和處理性能，才能構筑一個暢通無阻的"高品質"大型企業網，從而適應網絡規模擴大，業務量日益增長的需要。2.2.2穩定可靠需求現代大型企業的網絡應具有更全面的可靠性設計，以實現網絡通信的實時暢通，保障企業生產運營的正常進行。隨著企業各種業務應用逐漸轉移到計算機網絡上來，網絡通信的無中斷運行已經成為保證企業正常生產運營的關鍵。現代大型企業網絡在可靠性設計方面主要應從以下3個方面考慮。設備的可靠性設計：不僅要考察網絡設備是否實現了關鍵部件的冗余備份，還要從網絡設備整體設計架構、處理引擎種類等多方面去考察。業務的可靠性設計：網絡設備在故障倒換過程中，是否對業務的正常運行有影響。鏈路的可靠性設計：以太網的鏈路安全來自于多路徑選擇，所以在企業網絡建設時，要考慮網絡設備是否能夠提供有效的鏈路自愈手段，以及快速重路由協議的支持。2.2.3服務質量需求現代大型企業網絡需要提供完善的端到端QoS保障，以滿足企業網多業務承載的需求。大型企業網絡承載的業務不斷增多，單純的提高帶寬并不能夠有效地保障數據交換的暢通無阻，所以今天的大型企業網絡建設必須要考慮到網絡應能夠智能識別應用事件的緊急和重要程度，如視頻、音頻、數據流（MIS、ERP、OA、備份數據）。同時能夠調度網絡中的資源，保證重要和緊急業務的帶寬、時延、優先級和無阻塞的傳送，實現對業務的合理調度才是一個大型企業網絡提供"高品質"服務的保障。2.2.4網絡安全需求現代大型企業網絡應提供更完善的網絡安全解決方案，以阻擊病毒和黑客的攻擊，減少企業的經濟損失。傳統企業網絡的安全措施主要是通過部署防火墻、IDS、殺毒軟件，以及配合交換機或路由器的ACL來實現對病毒和黑客攻擊的防御，但實踐證明這些被動的防御措施并不能有效地解決企業網絡的安全問題。在企業網絡已經成為公司生產運營的重要組成部分的今天，現代企業網絡必須要有一整套從用戶接入控制，病毒報文識別到主動抑制的一系列安全控制手段，這樣才能有效地保證企業網絡的穩定運行。2.2.5應用服務需求現代大型企業網絡應具備更智能的網絡管理解決方案，以適應網絡規模日益擴大，維護工作更加復雜的需要。當前的網絡已經發展成為"以應用為中心"的信息基礎平臺，網絡管理能力的要求已經上升到了業務層次，傳統的網絡設備的智能已經不能有效支持網絡管理需求的發展。比如，網絡調試期間最消耗人力與物力的線纜故障定位工作，網絡運行期間對不同用戶靈活的服務策略部署、訪問權限控制、以及網絡日志審計和病毒控制能力等方面的管理工作，由于受網絡設備功能本身的限制，都還屬于費時、費力的任務。所以現代的大型企業網絡迫切需要網絡設備具備支撐"以應用為中心"的智能網絡運營維護的能力，并能夠有一套智能化的管理軟件，將網絡管理人員從繁重的工作中解脫出來。2.2本網絡系統需求分析網絡聯接的建筑物有五個：三個辦公樓、一個行政樓和一個在外省的銷售部。管理部、財務部和網絡部在行政樓中；市場部在辦公樓A；銷售部和人力資源部在辦公樓B；研發部在辦公樓C。我們把網絡中心設在行政樓，用光纖連接辦公樓A、B、C，構成公司網絡光纖主干網絡。企業服務器在行政樓。辦公樓4個，行政樓1個，（1）劃分VLAN（2）VTP動態學習VLAN（3）PVST(選根，二層冗余)（4）SVI（VLAN間路由）（5）HSRP（三層冗余）（6）DHCP（7）根防護（8）靜態路由（9）SITE-TO-SITEVPN（連接分公司，固定IP）（10）DNS（11）ACL（12）網管控制第3章網絡設計3.1設計網絡拓撲結構主干網絡設計如下圖：表3.1主干網絡設計圖采用上設計圖優點如下：（1）結構整齊，層次清晰，便于管理；（2）采用動態路由協議，維護簡單，擴展性好。3.2VLAN及IP地址規劃表3.1VLAN及IP地址規劃表VLAN號VLAN名稱IP網段默認網關說明VLAN11/28管理VLANVLAN10GLB/24管理部VLANVLAN20CWB/24財務部VLANVLAN30WLB/24網絡部VLANVLAN40SCB/24市場部VLANVLAN50XSB/24銷售部VLANVLAN60RLZY/24人力資源部VLANVLAN70YFB/24研發部VLAN3.3設備命名3.3.1設備命名規則為便于進行網絡故障診斷和遠程監測，各個辦公樓將統一全轄網絡設備的命名。網絡系統中設備的命名使用五個字段組成，分別表示該設備所在區域，功能，層次，類型等，便于設備維護管理。設備名稱的字母全部采用大寫表示。主要網絡設備的ID命名規則如下：A_B_C_D_E：A：辦公樓名稱（如A、B等）B：區域名稱（如核心區、服務器區、辦公區、管理區、等，也可表示名稱）C：區域層次（如匯聚層或接入層）D：設備類型（如核心交換機、路由器、防火墻、入侵檢測、等）E：設備序列號（如第一臺、第二臺、等）根據上述描述，每個字段做如下進一步的明確：A：樓名稱表3.2企業樓名稱表分行名稱標識行政樓XZ辦公樓AA……B：區域名稱表3.3區域名稱表序號名稱描述1CORE核心區（CoreZone）2ADMIN管理區（AdminZone）3APPSVR業務服務器區（App_ServerZone）4APPUSR業務用戶接入區（APP_UserZone5OAUSR辦公用戶接入區（OA_UserZone）6OASVR辦公服務器區(OA_ServerZone)7DMZDMZ區8TA終端接入區(TerminalAccessZone)C：區域層次表3.4區域層次表序號名稱區域1DL匯聚層（DistributionLayer）2AL接入區（AccessLayer）D：設備類型表3.5設備類型表序號名稱描述1SW交換機2RT路由器3FW防火墻4IDS入侵檢測系統E：設備序列號表3.6設備序列號表序號名稱描述11同區同層第１臺設備22同區同層第2臺設備3……例如：XZ_CORE_SW_1：表示行政樓核心區(CORE)核心交換機（SW）第一臺（1）；XZ_ADMIN_DL_SW_1：表示行政樓管理區（ADMIN）匯聚層（DL）交換機（SW）第一臺；3.3.1全網設備命名下面是全網設備命名：表3.7全網設備命名表序號名稱描述1XZ_CORE_SW_1行政樓核心交換機—12XZ_CORE_SW_2行政樓核心交換機—23XZ_CORE_FW_1行政樓外聯防火墻—14XZ_CORE_FW_2行政樓外聯防火墻—25XZ_DMZ_DL_SW行政樓DMZ區匯聚交換機6XZ_EXTCONN_RT行政樓外聯路由器7A_DL_SW_1A樓匯聚交換機—18A_DL_SW_2A樓匯聚交換機—29*_AL_SW_1*部接入交換機—110B_DL_SW_1B樓匯聚交換機—111B_DL_SW_2B樓匯聚交換機—212*_AL_SW_1*部接入交換機—113C_DL_SWC樓匯聚交換機14C_DL-SW_2C樓匯聚交換機—215C_AL_SW_1C樓接入交換機—116WS_RT外省路由器3.4模擬工具和環境介紹——PacketTracer3.4.1PacketTracer工具介紹PacketTracer是由Cisco公司發布的一個輔助學習工具，為學習思科網絡課程的初學者去設計、配置、排除網絡故障提供了網絡模擬環境。用戶可以在軟件的圖形用戶界面上直接使用拖曳方法建立網絡拓撲，并可提供數據包在網絡中行進的詳細處理過程，觀察網絡實時運行情況。可以學習IOS的配置、鍛煉故障排查能力。在界面的左下角一塊區域，這里有許多種類的硬件設備，從左至右，從上到下依次為路由器、交換機、集線器、無線設備、設備之間的連線（Connections）、終端設備、仿真廣域網、CustomMadeDevices（自定義設備）。在左下邊你會看到各種類型的線，依次為AutomaticallyChooseConnectionType（自動選線，萬能的，一般不建議使用，除非你真的不知道設備之間該用什么線）、控制線、直通線、交叉線、光纖、電話線、同軸電纜、DCE、DTE。其中DCE和DTE是用于路由器之間的連線，實際當中，你需要把DCE和一臺路由器相連，DTE和另一臺設備相連。而在這里，你只需選一根就是了，若你選了DCE這一根線，則和這根線先連的路由器為DCE，配置該路由器時需配置時鐘。交叉線只在路由器和電腦直接相連，或交換機和交換機之間相連時才會用到。對設備進行編輯在右邊有一個區域，從上到下依次為選定/取消、移動（總體移動，移動某一設備，直接拖動它就可以了）、PlaceNote（先選中）、刪除、Inspect（選中后，在路由器、PC機上可看到各種表，如路由表等）、simplePPD、complex。軟件界面的最右下角有兩個切換模式，分別是Realtimemode(實時模式)和Simulationmode（模擬模式），實時模式顧名思意即時模式，也就是說是真實模式。舉個例子，兩臺主機通過直通雙絞線連接并將他們設為同一個網段，那么A主機PingB主機時，瞬間可以完成，這就是實時模式。而模擬模式，切換到模擬模式后主機A的CMD里將不會立即顯示ICMP信息，而是軟件正在模擬這個瞬間的過程，以人類能夠理解的方式展現出來。圖3.2CiscoPacketTracer模擬軟件3.4.2本設計的模擬圖圖3.3本設計的模擬圖3.5設備配置3.5.1基礎配置以接入層交換機為例：圖3.4接入層交換機圖3.5配置截圖Switch>en進入特權模式Switch#conft進入全局模式Enterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#hostnameCW_AL_SW_1修改路由器或者交換機的名字，方便管理CW_AL_SW_1(config)#noipdomainlookup關閉域名查詢啟用與禁止DNS服務器，在交換機默認配置的情況下，當我們輸入一條錯誤的交換機命令時，交換機會嘗試將其廣播給網絡上的DNS服務器并將其解析成對應的IP地址。利用命令noipdomainlookup，可以禁用DNS服務器，可以減少輸入錯誤命令的等待時間CW_AL_SW_1(config)#lineconsole0進入CONCOLE0口線程下，通過CONSOLE線串口直接控制交換機或路由器接口設置登錄口令，如下圖：圖3.6交換機密碼設置3.5.2使用VTP從提高效率的角度出發，在企業網實現實例中使用了VTP技術。將匯聚層XZ_DL_SW_1設置成為VTP服務器，其他交換機設置成為VTP客戶機。這里接入層交換機SW1將通過VTP獲得在分布層交換機FB1中定義的所有VLAN的信息。下面是配置截圖：圖3.7行政樓匯聚層交換機VTP配置截圖XZ_DL_SW_1#vlandatabase特權模式下進入VLAN設置模式XZ_DL_SW_1(vlan)#vtpdomaincisco定義VTP域名ChangingVTPdomainnamefromNULLtociscoXZ_DL_SW_1(vlan)#vtpserver將該交換機設置為VTP的服務端DevicemodealreadyVTPSERVER.XZ_DL_SW_1(vlan)#vtpv2-mode啟用的VTP版本號為2V2modeenabsled.XZ_DL_SW_1(vlan)#vtppassword123456設置VTP的密碼為123456，交換機的VTP必須密碼一致才能同步SettingdeviceVLANdatabasepasswordto123456.XZ_DL_SW_1(vlan)#vtppruning啟用VTP修剪，激活VTP剪裁功能，默認情況下主干道傳輸所有VLAN的用戶數據。有時，交換網絡中某臺交換機的所有端口都屬于同一VLAN的成員，沒有必要接收其他VLAN的用戶數據。這時，可以激活主干道上的VTP剪裁功能。當激活了VTP剪裁功能以后，交換機將自動剪裁本交換機沒有定義的VLAN數據。在一個VTP域下，只需要在VTP服務器上激活VTP剪裁功能。同一VTP域下的所有其他交換機也將自動激活VTP剪裁功能。退出VLAN配置模式進入特權模式APPLYcompleted.Exiting其他設備配置（配置成用戶端）下面以CW_AL_SW_1為例：圖3.8交換機VTP客戶模式配置CW_AL_SW_1#vlandaCW_AL_SW_1(vlan)#vtpdomainciscoChangingVTPdomainnamefromNULLtociscoCW_AL_SW_1(vlan)#vtpclient將FB2設置為客戶端，客戶端可以學習到服務端的所有VLAN信息。客戶模式是沒有創建、修改、刪除VLAN得權利的，它只能接收和轉發信息。而服務器模式擁有以上的所用功能。SettingdevicetoVTPCLIENTmode.CW_AL_SW_1(vlan)#vtpv2V2modeenabled.CW_AL_SW_1(vlan)#vtppassword123456SettingdeviceVLANdatabasepasswordto123456.CW_AL_SW_1(vlan)#exitAPPLYcompleted.Exiting3.5.3創建VLAN在XZ_DL_SW_1配置VLAN數據庫。配置截圖如下：圖3.9VLAN配置3.5.4交換鏈路封裝圖3.10交換鏈路封裝XZ_DL_SW_2(config)#intfa0/4進入要封裝的接口XZ_DL_SW_2(config-if)#switchporttrunkencapsulationdot1q進行封裝XZ_DL_SW_2(config-if)#switchportmodetrunk指定封裝模式XZ_DL_SW_2(config-if)#noshutdown開啟接口XZ_DL_SW_2(config)#interfacefastEthernet0/0XZ_DL_SW_2(config-if)#switchporttrunkencapsulationdot1qXZ_DL_SW_2(config-if)#switchportmodetrunkXZ_DL_SW_2(config-if)#noshutdown3.5.5NAT圖3.11靜態nat配置圖3.12動態nat配置XZ_WL_RT>enPassword:XZ_WL_RT#configConfiguringfromterminal,memory,ornetwork[terminal]?tEnterconfigurationcommands,oneperline.EndwithCNTL/Z. XZ_WL_RT(config)#ipnatpoolnat53netmask配置動態NAT轉換的地址池XZ_WL_RT(config)#ipnatpoolnat54netmaskXZ_WL_RT(config)#ipnatinsidesourcelist1poolnat配置動態NAT轉換的內部地址范圍XZ_WL_RT(config)#access-list1permit55XZ_WL_RT(config)#intse2/0XZ_WL_RT(config-if)#ipnatoutsideXZ_WL_RT(config-if)#exXZ_WL_RT(config)#intfa0/0XZ_WL_RT(config-if)#ipnatinsideXZ_WL_RT(config-if)#exXZ_WL_RT(config)#圖3.13查看NAT轉換的統計信息3.5.6DHCP/DNS圖3.14配置DHCPXZ_DL_SW(config)#ipdhcpexcluded-addressXZ_DL_SW(config)#ipdhcpexcluded-addressXZ_DL_SW(config)#ipdhcpexcluded-addressXZ_DL_SW(config)#ipdhcpexcluded-addressXZ_DL_SW(config)#ipdhcpexcluded-addressXZ_DL_SW(config)#ipdhcpexcluded-address先配置除去PC機不能使用的IP地址圖3.15配置DHCP,DNS,默認網關現在需要為路由器接口和所有的PC機接口配置IP地址。由于幾千個結點的網絡比較大，為每一臺PC手工配置地址的工作量相當大，所以我們要使用DHCP技術。XZ_DL_SW(config)#ipdhcppoolVLAN10創建地址池，VLAN10地址池network宣告網段default-router默認網關DNS-SERVERDNS地址ipdhcppoolVLAN20networkdefault-routerDNS-SERVERipdhcppoolVLAN30networkdefault-routerDNS-SERVERipdhcppoolVLAN40networkdefault-routerDNS-SERVERipdhcppoolVLAN50networkdefault-routerDNS-SERVERipdhcppoolVLAN60networkdefault-routerDNS-SERVERipdhcppoolVLAN70networkdefault-routerDNS-SERVER圖3.16DHCP服務請求成功3.5.7ACL圖3.16配置ACLWS_WL_RT(config)#access-list1permit55WS_WL_RT(config)#linevty04WS_WL_RT(config-line)#access-class1in在vty下應用aclWS_WL_RT(config-line)#passwordciscoWS_WL_RT(config-line)#loginWS_WL_RT(config-line)#圖3.17配置ACLXZ_DL_SW_1(config)#access-list6deny55XZ_DL_SW_1(config)#access-list6deny55XZ_DL_SW_1(config)#access-list6deny55XZ_DL_SW_1(config)#access-list6deny55XZ_DL_SW_1(config)#access-list6deny55XZ_DL_SW_1(config)#access-list6deny55XZ_DL_SW_1(config)#access-list6permitanyXZ_DL_SW_1(config)#intvlan20XZ_DL_SW_1(config-if)#ipacc6outXZ_DL_SW_1(config-if)#XZ_DL_SW_1(config-if)#XZ_DL_SW_1(config)#圖3.18配置擴展ACL3.5.8PVST圖3.19配置PVST由于網絡拓撲比較大，兩兩相連加冗余會出現環路，所以需要配置二層防環的PVST首先要選舉根橋，我們這里手工指定XZ_AL_SW為VLAN10的主根，VLAN203060的備份根。Switch>enSwitch#configConfiguringfromterminal,memory,ornetwork[terminal]?tEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#spanning-treemodepvst開啟PVST生成樹模式Switch(config)#spanning-treevlan20rootprimary設置為VLAN20的主根Switch(config)#spanning-treevlan10,30rootsecondary設置為VLAN1030的備份根Switch(config)#3.5.9路由協議外聯路由器配置EIGRP，總部外聯路由配置如下圖：圖3.20總部外聯路由協議配置XZ_WL_RT(config)#routereigrp100啟用EIGRP協議XZ_WL_RT(config-router)#network5把/28網段宣告進協議中XZ_WL_RT(config-router)#network55XZ_WL_RT(config-router)#network55XZ_WL_RT(config-router)#network55圖3.21外省外聯路由協議配置WS_WL_RT(config)#routereigrp100啟用EIGRP協議WS_WL_RT(config-router)#network把/30網段宣告進協議中WS_WL_RT(config-router)#networkEIGRP還有自動匯總的功能，當不需要時：WS_WL_RT(config-router)#noauto-summary關閉自動匯總功能3.5.10網管控制圖3.22配置網絡管理為了方便管理員對企業網安全方便的管理控制，我們需要對坐配置使得管理員能都使用PC直接連接或遠程登陸到到交換機進行控制。XZ_DL_SW(config)#linevty04進入VTY線程下XZ_DL_SW(config-line)#passwordcisco配置遠程訪問交換機的密碼XZ_DL_SW(config-line)#login登陸驗證XZ_DL_SW(Config-line)#exec-timeout11配置登錄交換機虛擬終端線的超時時間為1分11秒鐘HX2(config-line)#linecon0HX2(config-line)#passwordcisco2HX2(config-line)#loginHX2(config-line)#exec-timeout113.5.11其他配置圖3.