企業(yè)網(wǎng)絡(luò)解決方案資料

八：企業(yè)(qǐyè)網(wǎng)絡(luò)解決方案第一頁，共81頁。1中小型企業(yè)(qǐyè)網(wǎng)絡(luò)解決方案第二頁，共81頁。2適合(shìhé)24用戶采用24口交換機(jī)構(gòu)建一個(gè)一級(jí)的小型局域網(wǎng)。主服務(wù)器與交換機(jī)，之間的鏈路數(shù)據(jù)流量較大，因此它采用2個(gè)100M高速交換端口連接服務(wù)器，以免形成傳輸瓶頸。24個(gè)10M交換端口最多可連接24個(gè)桌面用戶。此外，它還通過10M接口連接共享網(wǎng)絡(luò)打印機(jī)，普通打印機(jī)也可以通過打印服務(wù)器的方式共享。該方案的安全措施可采用路由器內(nèi)置的軟件防火墻，它使路由器在承擔(dān)遠(yuǎn)程連接的同時(shí)實(shí)施數(shù)據(jù)包檢驗(yàn)和過濾，防止非法用戶侵入(qīnrù)到內(nèi)部局域網(wǎng)中。第三頁，共81頁。3中型企業(yè)網(wǎng)絡(luò)(wǎngluò)解決方案

第四頁，共81頁。4方案引入了二級(jí)聯(lián)網(wǎng)的方式，骨干層交換機(jī)采用了1000M高速交換端口與服務(wù)器連接，以滿足大容量數(shù)據(jù)的傳輸需求。接入層交換機(jī)以10/100M自適應(yīng)交換端口連接桌面用戶。這樣便很容易擴(kuò)充桌面用戶數(shù)。骨干交換機(jī)和接入交換機(jī)的連接則采用了快速(kuàisù)以太網(wǎng)通道（FEC）技術(shù)，有效地?cái)U(kuò)展了網(wǎng)絡(luò)的帶寬。這項(xiàng)技術(shù)能夠把2-4個(gè)物理鏈路聚合在一起，在全雙工工作模式下達(dá)到400M-800M的帶寬。安全措施：可采用路由器內(nèi)置的軟件防火墻，也可以采用功能更強(qiáng)大的專用防火墻，根據(jù)企業(yè)對(duì)安全性的要求級(jí)別來決定。第五頁，共81頁。5

RedundantUplinksRedundantUplinks大型企業(yè)(qǐyè)網(wǎng)絡(luò)解決方案第六頁，共81頁。6采用三級(jí)模式：接入層、匯接層、核心層。接入層交換機(jī)是面向桌面用戶。匯接層交換機(jī)是多臺(tái)接入層交換機(jī)的集合點(diǎn)，匯接層交換機(jī)一般能夠通過路由處理器進(jìn)行三層交換。如Catalyst5000系列交換機(jī)。接入層交換機(jī)到匯接層交換機(jī)采用雙冗余連接。核心層交換機(jī)完成整個(gè)(zhěnggè)網(wǎng)絡(luò)數(shù)據(jù)快速交換。核心層可采用雙核心的冗余連接。第七頁，共81頁。7VLAN介紹(jièshào)第八頁，共81頁。8EthernetBroadcastDomainInaflatnetwork,everydeviceseeseverytransmittedpacket第九頁，共81頁。9VLANsAVLANisabroadcastdomain第十頁，共81頁。10VLANsEngineeringVLANMarketingVLANSalesVLANFloor#1Floor#2Floor#3PhysicalLayerLANSwitchHumanLayerNetworkLayerRoutingFunctionInterconnectsVLANsData-LinkLayerBroadcastDomains第十一頁，共81頁。11VLANsEstablishBroadcastDomainsBroadcastDomain1BroadcastDomain2第十二頁，共81頁。12ScalingtheSwitchBlockwithVLANs34125678910DecisionsincludehowmanyVLANsexistinaswitchblockandwherethesedevicesareplaced.ServerBlockCore第十三頁，共81頁。13Layer2End-to-EndVLANDistribution

LayerCoreLayerFastorGigabitEthernetWiringClosetFastEthernetFastEthernetWorkgroupServersSwitchedEthernetEnterpriseServersInter-VLANRouting第十四頁，共81頁。14LocalVLANsSTPBlockedLinksSTPBlockedLinksRedundantUplinksRedundantUplinksRedundantUplinksHSRPPeersHSRPPeers第十五頁，共81頁。15EstablishingVLANMembershipPort-BasedVLAN1VLAN2VLAN3MAC

AddressesMAC

AddressesVLAN2MAC-BasedVLAN1MACAddress-

Driven(Layer2)Port-DrivenStaticDynamic第十六頁，共81頁。16MembershipbyPortMaximizesForwardingPerformanceVLAN2VLAN1VLAN3第十七頁，共81頁。17VLAN的特征(tèzhēng)一個(gè)vlan中的所有設(shè)備處于同一個(gè)廣播域一個(gè)VLAN是一個(gè)邏輯的子網(wǎng)或由定義的成員(chéngyuán)所組成的一個(gè)網(wǎng)絡(luò)段,VLAN之間通信必須要進(jìn)行路由VLAN的成員(chéngyuán)通常是基于交換機(jī)的端口號(hào),但也可基于設(shè)備的MAC地址而動(dòng)態(tài)設(shè)置.第十八頁，共81頁。18VLAN解決(jiějué)的問題有效的帶寬利用增強(qiáng)了安全性,VLAN間通信,可利用路由器的安全和過慮功能負(fù)載均衡多條路徑,可利用路由協(xié)議(xiéyì)進(jìn)行負(fù)載均衡.第十九頁，共81頁。19LinkTypes接入鏈路AccessLinksAnaccesslinkisalinkthatisamemberofonlyoneVLAN第二十頁，共81頁。20LinkTypes(Cont.)干道(ɡàndào)鏈路TrunkLinksAtrunklinkiscapableofcarryingmultipleVLANs第二十一頁，共81頁。21VLANFrameIdentificationSpecificallydevelopedformulti-VLAN,inter-switchcommunicationsPlacesauniqueidentifierintheheaderofeachframe,functionsatLayer2VLANidentificationoptions:CiscoISLIEEE802.1QVLAN1VLAN1VLAN2VLAN2VLAN3VLAN3BackboneVLAN1VLAN2VLAN3第二十二頁，共81頁。22VLANIdentificationUsingISLTrunkLinkVLAN100VLAN200(PortC)VLAN200(PortA)TrunkLinksVLAN200(AccessLink)XZYWTrunkLinkTrunkLinkFrame12Frame3VLAN200(PortB)ISLmaintainsVLANinformationasframestravelbetweenswitchesontrunklinksYFrameISL第二十三頁，共81頁。23VLANIdentificationUsingIEEE802.1Q2-bytetagprotocolidentifier(TPID)Afixedvalueof0x8100.ThisTPIDvalueindicatesthattheframecarriesthe802.1Q/802.1ptaginformation.2-bytetagcontrolinformation(TCI)InitialMACAddressInitialType/DataNewCRC2-ByteTPID

2-ByteTCI第二十四頁，共81頁。24ConfiguringTrunkingSwitch(config-if)#trunk[on|off|desirable|auto|nonegotiate]Catalyst1900Catalyst2900Switch(config-if)#switchportmodetrunkSwitch(config-if)#switchporttrunkencapsulation{isl|dot1q}Catalyst5500Switch(enable)settrunk<mod/port>[on|off|desirable|auto|nonegotiate][range][isl|dot1q|dot10|lane|negotiate]第二十五頁，共81頁。25AddingaVLANSwitch(config)#

vlan<vlan#>[name<vlan-name>]Catalyst1900Catalyst2900Switch#vlandatabaseSwitch(vlan)#

vlan<vlan#>[name<vlan-name>]Catalyst5500Switch(enable)setvlan<vlan#>[name<vlan-name>]第二十六頁，共81頁。26AssigningSwitchPortstoaVLANSwitch(config-if)#vlan-membership{static<vlan#>|dynamic}Catalyst1900Catalyst2900Switch(config-if)#switchportaccessvlanvlan#

Catalyst5500Switch(enable)setvlan<vlan#><mod/port_list>第二十七頁，共81頁。27VerifyingaTrunkCatalyst2900Switch#showinterface<interface>switchportSwitch#showtrunk[A|B]Catalyst1900Switch(enable)showtrunk[mod/port]Catalyst5500第二十八頁，共81頁。28VerifyingaVLAN/VLANMembershipCatalyst2900Switch#showvlan[vlan#]Switch#showvlanbriefSwitch#showvlan[vlan#]Swotch#showvlan-membershipCatalyst1900Switch(enable)showvlanCatalyst5500第二十九頁，共81頁。29VLAN的路由第三十頁，共81頁。30Problem:IsolatedBroadcastDomainsVLAN10VLAN20VLAN30Becauseoftheirnature,VLANsinhibitcommunicationbetweenVLANs.第三十一頁，共81頁。31Solution:RoutingBetweenVLANsVLAN10VLAN20VLAN30CommunicationsbetweenVLANsrequirearoutingprocessor第三十二頁，共81頁。32Problem:FindingtheRouteVLAN10Network

VLAN20Network

Ineedtosendthis

packetto.Thataddressisnotonmylocalsegment.Wherecanend-userstationssendnonlocalpackets?第三十三頁，共81頁。33Solution:DefiningaDefaultGatewayVLAN10Network

VLAN20Network

Iknowwherenetworkis!End-userstationssendnonlocalpacketstoadefaultrouterIwillsend

thepackettomydefaultrouter.第三十四頁，共81頁。34VLAN20VLAN10Problem:SupportingMultipleVLANTrafficVLAN30Ihavethree

distinctstreamsof

trafficdestinedfor

thesameplace!??FileServerA

27IneedinformationfromFileServerA.IneedinformationfromFileServerA.IneedinformationfromFileServerA.MultipleVLANsinterfacingwithasinglerouteprocessorrequiremultipleconnectionsorVLANtrunking??第三十五頁，共81頁。35VLAN60VLAN10VLAN30VLAN20Solution:MultipleLinksTheroutercansupportaseparateinterfaceforeachVLAN第三十六頁，共81頁。36Solution:Inter-SwitchLinkTheroutercansupportasingleISLlinkformultipleVLANsVLAN10VLAN30VLAN20Eth3/0.13/0.23/0.33/0.4VLAN60ISLLinkVLAN10VLAN30VLAN20第三十七頁，共81頁。37DistributionLayerRouteProcessorsDistributionLayerThedistribution-layerdeviceisacombinationofahigh-endswitchandarouteprocessor第三十八頁，共81頁。38ExternalRouteProcessorSwitchCSwitchASwitchBVLAN41NetworkVLAN41NetworkVLAN42Network第三十九頁，共81頁。39InternalRouteProcessorsVLAN41NetworkVLAN42NetworkVLAN41Network第四十頁，共81頁。40RoutingBetweenVLANsVLAN1VLAN2ISLinterfacefastethernet0/0

noipaddress

!

interfacefastethernet0/0.1

ipaddress

encapsulationisl1

interfacefastethernet0/0.2

ipaddress

encapsulationisl2Fast

E0/0第四十一頁，共81頁。41DefiningaDefaultGatewayVLAN40VLAN30ASW31#configtEnterconfigurationcommands,oneperline.EndwithCNTL/ZASW31(config)#ipdefault-gateway63ASW41#configtEnterconfigurationcommands,oneperline.EndwithCNTL/ZASW41(config)#ipdefault-gateway63636363DefaultGateway63DefaultGateway63Definingadefaultgatewayfacilitatesinter-VLANcommunications第四十二頁，共81頁。42訪問控制列表(lièbiǎo)（ACL）第四十三頁，共81頁。43ACL相當(dāng)包過濾功能，可以幫助路由器控制數(shù)據(jù)包在網(wǎng)絡(luò)中的傳輸，通過包過濾可以限制網(wǎng)絡(luò)流量以及(yǐjí)增加網(wǎng)絡(luò)安全性.第四十四頁，共81頁。44ACL規(guī)則(guīzé)的方式1、標(biāo)準(zhǔn)(biāozhǔn)包過濾該種包過濾只對(duì)數(shù)據(jù)包中的源地址進(jìn)行檢查2、擴(kuò)展包過濾該種包過濾對(duì)數(shù)據(jù)包中的源地址，目的地址，協(xié)議及端口號(hào)進(jìn)行檢查。第四十五頁，共81頁。45包過濾功能(gōngnéng)配置一：定義ＡＣＬ規(guī)則1.定義標(biāo)準(zhǔn)包過濾規(guī)則,在全局配置狀態(tài)下：access-list標(biāo)識(shí)號(hào)碼deny或permit源地址通配符2.定義擴(kuò)展(kuòzhǎn)包過濾規(guī)則,在全局配置狀態(tài)下下，access-list標(biāo)識(shí)號(hào)碼deny或permit協(xié)議源地址通配符『操作碼端口號(hào)』目地地址通配符『操作碼端口號(hào)』第四十六頁，共81頁。46access-list規(guī)定的標(biāo)識(shí)(biāozhì)號(hào)碼包過濾類型標(biāo)識(shí)號(hào)碼范圍(fànwéi)IP標(biāo)準(zhǔn)1-99IP擴(kuò)展100-199

可以在指定范圍(fànwéi)內(nèi)任意選擇一個(gè)標(biāo)識(shí)號(hào)碼定義相應(yīng)的包過濾規(guī)則第四十七頁，共81頁。47deny參數(shù)表示禁止，pernit表示允許通配符為32位二進(jìn)制數(shù)字(shùzì)，并與相應(yīng)的地址一一對(duì)應(yīng)。路由器將檢查與通配符中的“0”（2進(jìn)制）位置一樣的地址位，對(duì)于通配符中“1”（2進(jìn)制）位置一致的地址位，將忽略不檢查。第四十八頁，共81頁。48通配符對(duì)某主機(jī)(zhǔjī)IP地址進(jìn)行匹配0host0指任何IP皆可55any第四十九頁，共81頁。49一個(gè)包過濾規(guī)則可以包含一系列檢查(jiǎnchá)條件，即可以用同一標(biāo)識(shí)號(hào)碼定義一系列access-list語句路由器將從最先定義的條件開始依次檢查(jiǎnchá)，如數(shù)據(jù)包滿足某個(gè)條件，路由器將不再執(zhí)行下面的包過濾條件，如果數(shù)據(jù)包不滿足規(guī)則中的所有條件，Cisco路由器缺省為禁止該數(shù)據(jù)包，即丟掉該數(shù)據(jù)包。第五十頁，共81頁。50包過濾功能配置二：在端口應(yīng)用(yìngyòng)包過濾規(guī)則在需要包過濾功能的端口，應(yīng)用包過濾規(guī)則：在子端口配置模式下ipaccess-group包過濾規(guī)則標(biāo)識(shí)號(hào)in或outin表示對(duì)進(jìn)入(jìnrù)該端口的數(shù)據(jù)包進(jìn)行檢查out表示對(duì)要從該端口送出的數(shù)據(jù)包進(jìn)行檢查第五十一頁，共81頁。51InboundACLRoutingTableIPPacketDenyPacketDiscardBucketPermitPermitRouterOutboundInterface第五十二頁，共81頁。52RoutingTableIPPacketOutboundACLPacketDiscardBucketPermitDenyRouterOutboundInterface第五十三頁，共81頁。53標(biāo)準(zhǔn)(biāozhǔn)ＡＣＬ過濾考慮(kǎolǜ)源IP地址Accesslist標(biāo)識(shí)號(hào)碼1—99例:Router(config)#access-list10denyhost拒絕所有來自主機(jī)的數(shù)據(jù)包Router(config)#intserial0Router(config-if)#ipaccess-group10第五十四頁，共81頁。54標(biāo)準(zhǔn)(biāozhǔn)ＡＣＬE0S0E1E2InternetFinanceServerMarketingSalesaccess-list10deny55access-list10permitanyinterfacee0ipaccess-group10out第五十五頁，共81頁。55擴(kuò)展(kuòzhǎn)ＡＣＬRouter(config)#access-list<標(biāo)識(shí)號(hào)碼>{permit|deny}<協(xié)議(xiéyì)><源地址通配符>[操作碼端口號(hào)]<目的地址通配符>[操作碼端口號(hào)]協(xié)議(xiéyì):IP,TCP,UDP,ICMP,GRE,IGRP操作碼it:小于gt:大于eq:相等neq:不相等Router(config-if)#ipaccess-group<access-list-#>{in|out}第五十六頁，共81頁。56常用(chánɡyònɡ)的端口號(hào)FTPdata 21FTPprogram23Telnet 25SMTP69TFTP 53DNS第五十七頁，共81頁。57擴(kuò)展(kuòzhǎn)ＡＣＬE0S0E1E2InternetServerMarketingSalesaccess-list110denytcpanyeq21access-list110denytcpanyeq23access-list110permitipanyanyinterfacee0ipaccess-group110out第五十八頁，共81頁。58放置(fàngzhì)ACL的準(zhǔn)則擴(kuò)展ACL靠近源端標(biāo)準(zhǔn)(biāozhǔn)的ACL靠近接受端第五十九頁，共81頁。59IP地址解決方案用戶若要訪問(fǎngwèn)Internet，必須使用一個(gè)合法的IP地址。但合法可分配的InternetIP地址有限……第六十頁，共81頁。60IP地址的擴(kuò)展(kuòzhǎn)固定(gùdìng)IP（主機(jī)在INTERNE的IP地址不變）動(dòng)態(tài)IP（主機(jī)在INTERNE的IP地址隨機(jī)獲?。┕蠭P（主機(jī)在INTERNET的IP地址）私有IP（主機(jī)在LAN內(nèi)部的IP地址，同樣可分為固定(gùdìng)IP和動(dòng)態(tài)IP）IPv4(32bit)和IPv6(128bit)第六十一頁，共81頁。61固定(gùdìng)IP在傳統(tǒng)的IP網(wǎng)絡(luò)中，網(wǎng)絡(luò)上的每一個(gè)設(shè)備都有一個(gè)永久的IP地址。第六十二頁，共81頁。62動(dòng)態(tài)IP采用動(dòng)態(tài)分配的方法，系統(tǒng)(xìtǒng)把公用的IP地址分配給用戶或收回分配給用戶的IP地址，使它仍然可以為許多用戶公用。一個(gè)動(dòng)態(tài)分配的例子如:25個(gè)分散的用戶共享10個(gè)IP地址。如果有一個(gè)用戶請(qǐng)求一個(gè)IP地址的話，動(dòng)態(tài)分配方法將把這10個(gè)IP地址中的一個(gè)(隨便哪一個(gè))IP地址分配給這個(gè)用戶使用;在這個(gè)用戶使用完這一IP地址后，再收回這一地址。同一個(gè)用戶在多次應(yīng)用中申請(qǐng)到的IP地址可以不是同一個(gè)。第六十三頁，共81頁。63網(wǎng)絡(luò)地址轉(zhuǎn)換器

(NATNetworkAddressTranslate)(NAT)是一種InternetEngineeringTaskForce(IETF)標(biāo)準(zhǔn)，用于允許專用網(wǎng)絡(luò)上的多臺(tái)PC機(jī)（使用(shǐyòng)專用地址范圍，例如10.0.x.x、192.168.x.x、172.x.x.x）共享單個(gè)或多個(gè)、公有的IPv4地址。第六十四頁，共81頁。64NAT的應(yīng)用環(huán)境情況1：一個(gè)企業(yè)不想(bùxiǎnɡ)讓外部網(wǎng)絡(luò)用戶知道自己的網(wǎng)絡(luò)內(nèi)部結(jié)構(gòu)，可以通過NAT將內(nèi)部網(wǎng)絡(luò)與外部Internet隔離開，則外部用戶根本不知道通過NAT設(shè)置的內(nèi)部IP地址。情況2：一個(gè)企業(yè)申請(qǐng)的合法InternetIP地址很少，而內(nèi)部網(wǎng)絡(luò)用戶很多?？梢酝ㄟ^NAT功能實(shí)現(xiàn)多個(gè)用戶同時(shí)公用一個(gè)合法IP與外部Internet進(jìn)行通信。第六十五頁，共81頁。65NAT的實(shí)現(xiàn)(shíxiàn)專門(zhuānmén)的NAT設(shè)備具有NAT功能路由器第六十六頁，共81頁。66NAT的種類(zhǒnglèi)靜態(tài)地址轉(zhuǎn)換動(dòng)態(tài)(dòngtài)地址轉(zhuǎn)換復(fù)用動(dòng)態(tài)(dòngtài)地址轉(zhuǎn)換第六十七頁，共81頁。67靜態(tài)(jìngtài)地址轉(zhuǎn)換靜態(tài)地址轉(zhuǎn)換將內(nèi)部本地地址與內(nèi)部合法地址進(jìn)行一對(duì)一的轉(zhuǎn)換，且需要指定和哪個(gè)合法地址進(jìn)行轉(zhuǎn)換。如果內(nèi)部網(wǎng)絡(luò)有E-mail服務(wù)器或FTP服務(wù)器等可以為外部用戶提供的服務(wù)，這些服務(wù)器的IP地址必須(bìxū)采用靜態(tài)地址轉(zhuǎn)換，以便外部用戶可以使用這些服務(wù)。第六十八頁，共81頁。68動(dòng)態(tài)地址(dìzhǐ)轉(zhuǎn)換動(dòng)態(tài)地址轉(zhuǎn)換也是將本地地址與內(nèi)部(nèibù)合法地址一對(duì)一的轉(zhuǎn)換，但是動(dòng)態(tài)地址轉(zhuǎn)換是從內(nèi)部(nèibù)合法地址池中動(dòng)態(tài)地選擇一個(gè)末使用的地址對(duì)內(nèi)部(nèibù)本地地址進(jìn)行轉(zhuǎn)換。第六十九頁，共81頁。69復(fù)用動(dòng)態(tài)地址(dìzhǐ)轉(zhuǎn)換復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換首先是一種動(dòng)態(tài)地址轉(zhuǎn)換，但是它可以允許多個(gè)內(nèi)部本地地址共用一個(gè)內(nèi)部合法地址。只申請(qǐng)到少量IP地址但卻經(jīng)常同時(shí)有多于合法地址個(gè)數(shù)的用戶上外部網(wǎng)絡(luò)的情況，這種轉(zhuǎn)換極為有用。注：當(dāng)多個(gè)用戶同時(shí)使用一個(gè)IP地址，外部網(wǎng)絡(luò)通過NAT設(shè)備利用上層的如TCP或UDP端口號(hào)等唯一(wéiyī)標(biāo)識(shí)某臺(tái)計(jì)算機(jī)。