《XD企业网络设计.doc》由会员分享，可在线阅读，更多相关《XD企业网络设计.doc（16页珍藏版）》请在三一办公上搜索。
1、XD企业网络设计摘要：现今的计算机网络技术飞速发展，使用网络进行信息传输已成为社会运行的一种基本方法。随着办公信息化、自动化的需求，各企业为提高办公效率，促进信息交流，适应现代化办公的要求，企业网络的建设是企业向信息化发展的必然选择，企业网络系统是一个非常庞大而复杂的系统，它不仅为现代化企业综合管理和办公自动化等一系列应用提供基本操作平台，而且能提供多种应用服务，使信息能及时、准确地传送给各个系统。这直接关系到企业能否获得关键的竞争优势。本论文的主要目标是根据XD公司的局域网建设需求为背景，以计算机网络技术为基础，设计出该企业组网建设的规划设计方案。因此本论文着重从需求分析、企业网络的拓扑结构
2、、设备的选型、网络安全设计、路由设计等方面进行了分析，并给出具体的方案。关键词：Internet技术 企业网 拓扑结构 访问控制 VLAN Abstract：The currentrapid development of computer networktechnology,theuseofinformation transmission networke has becomeabasicway of operation. With the office of information and automation needs of various units to improve the of
3、fice efficiency and facilitate the exchange of information. toadapt to modem office requirements. Enterprise development is the developmentof enterprise information necessary to select the enterprise network system is avery large and complex system , it not only for enterprise modemization,integrate
4、d information managerment and office automation applications such asa series of provide basic operating tlatform, but also offers a variety ofapplications , so that the information timely and accurately transmittend to the various systems . The directly related to enterprise access to key competitiv
5、e.The plans main goal is the xide companys LAN construction according to needs as a background, based on the computer network technology as thefoundation. A detailed out the enterprise network construction planning designscheme.Therefore this graduation design emphatically from the demand analysis,t
6、he enterprise network topology, equipment selection, network security design, routing design were analyzed and described, and the specific design scheme is presented.Key words：Internet technology；Enterprise nets；Topology；Access control；Vlan 一 引言一个企业信息化程度的高低在某些方面来说代表了一个企业的综合实力与科技实力。为了能适应现代化的发展，网络的实用性
7、，安全性，可管理性以及扩展性是企业实现信息化的主要要求，近年来越来越多的企业都在加快构建自身的信息网络，而其中绝大多数都是中小企业。中小企业的网络建设每年都以15%的速度增长。为了使企业能建立稳定，高效的办公自动化网络，网络的合理设计与规划对整个网络的运行效率、技术性能、可靠性和费用等方面有着重要影响。因此，成本低廉、可靠、易用，降低网络的使用和维护成本、提高产品的性能价格比并能满足业务运用需要的网络办公环境是这一领域的真正需求。针对绝多数中小型企业集中办公这一现实特点，组建一个适合中小企业需求的高性价比实用的网络是有意义的。 二 需求分析2.1 企业概述XD公司是一家中等规模的企业，拥有员工
8、200人左右。公司主要建筑有办公楼和职工宿舍，共约200多个信息点，所有工作人员集中在三层楼内办公。公司集产品设计研发、销售为一体综合性企业。分别设有行政部、财务部、销售部、技术部共4个大部门。随着公司人员与规模不断扩大，办公自动化、信息化的需求，为提高各部门的办公效率，促进信息交流，适应现代发展的要求，需构建一个稳定完善的企业办公局域网。新建网络必须满足公司未来35年内的办公需求，支持公司内部经营管理、企业网站的建设、严格的网络信息安全管理系统，适应公司当前应用及后续不断发展。在企业内部建立稳定、高效的办公自动化网络，从而提高员工的工作效率和加快企业内部的信息传递。部分员工配置桌面PC，使员
9、工能通过内部网络接入Internet,以充分利用因特网上的资源。拟建的企业局域网主要涉及两个建筑物：办公楼和宿舍楼。这两幢建筑之间以光缆连接，网络中心设在办公楼。主要信息点集中在行政部、财务部、销售部、技术部，为了以后的适当扩充，信息点的个数留有一定余量。信息点详细分布如下表2.1所示表2.1信息点分布情况地点楼层信息点信息点合计到网络中心距离/m销售部13050在同一栋楼内财务部20技术部24040行政部32020宿舍10010080合计2102.2 网络系统需求分析公司目前开展的企业网建设，旨在推动公司的信息化建设，其最终建设目标是将公司建设成了一个借助信息化办公和管理的高水平的智能化、数
10、字化的企业网络，满足企业信息化的要求，为各类应用系统提供方便，快捷的信息通路，具有良好的性能，能够支持大容量和实时性的各类应用，能够可靠的运行，具有较低的故障率和维护要求。主干网负责各子网和应用服务的连接，为信息交换提供有效的高速通道，满足企业信息安全的要求，扩展容易，用户使用简单。要特别考虑企业内部信息共享等方面的实时性。应根据公司部门的信息流量情况分配网段，以充分利用网络带宽，提高网络的运行效率。具有良好的管理性，可实现自动实施备份策略等功能，减轻维护人员的工作量。结合公司具体情况和当前网络技术发展潮流，网络应满足以下几点需求：1） 系统主干采用千兆以太网交换，下属子网采用百兆以太网，采用
11、TCP/IP协议，提供标准化的高速主干网连接，实现100Mb/s交换到桌面的网络。使用三层交换机来代替路由，实现数据的快速转发。2） 在同一个网络中支持多种网络通信协议，为用户提供远程登录。在外出差人员可以通过VPN安全访问公司内部资源，进行远程办公等。支持多种传输介质。3） 企业网络内部资源的共享，包括文件共享，硬件共享，软件共享等。4） 文件传输。能快速地，在不需要移动存储设备的情况下在各电脑之间进行文件的拷贝。5） 企业办公自动化，有效降低办公成本，企业内部人员可以方便安全地访问因特网。对不同部门之间的相互访问作限制，防止非法未授权访问，保护商业机密不被泄露。6） 能通过内部网络高速接入
12、Internet进行工作，浏览网页查找资料。建立企业对外网站，提供一个对外宣传的平台，提高企业知名度。7） 交换机采用主流、成熟和售后服务均佳的产品，具有较高的性价比。网络中使用的设备和协议应完全符合国际通用的技术标准。预留扩展空间，以便今后的网络改造。8） 核心交换机应采用三层交换机，支持VLAN等多种功能，能快速地解决突发数据量，在内部用户进行数据交换、语音通话、视频信号时不会出现过载现象和数据包丢失的情况。2.3 应用系统需求分析为满足企业信息化建设的需要，PC机操作系统应选择占市场份额最大的主流操作系统，整个网络采用同一厂商的操作系统产品，所选的操作系统应依据以下需求：1） 所有的客户
13、端和服务器系统应该是易于配置和维护的，保障客户端的方便使用，并提供方便的更新与升级方法。2） 系统的运行应具有高稳定性，保障最高平均无故障时间。3） 服务器及客户机操作系统都需要支持TCP/IP协议，并能够运行大多数常用的应用软件，例如办公软件、图像处理软件、CAD等。4） 计算机应用系统能处理大信息量的传输和计算；易于用户管理、界面简单、逻辑清晰。5） 服务器操作系统应能够提供WEB、DNS等服务及完善的管理功能。6） 所有的操作系统及选择的服务应尽量广泛的支持各种硬件设备，系统设计应尽量降低整个系统的成本。7） 在系统的设计与实现及应用上应采用多种安全手段保障网络的安全，并提供优质的售后服
14、务及技术支持。8） 系统的设计应采用开放的技术及标准应用软件，保障系统能够适应未来几年公司的业务发展需求，便于网络的扩展和企业网络的结构变更。2.4 服务器需求分析为了达到西德公司网络的需求，服务器在网络中充当不可或缺的角色，由于公司需要连接互联网浏览网页和对外发布企业网站，根据公司实际情况，至少需要2台服务器设备。具体服务器设备如下表2.2所示。表2.2企业网络服务器设备名称数量IP地址DNS服务器1172.16.60.2WWW服务器1172.16.60.3三 企业网络总体设计3.1 设计标准EIA/TIA569：商用建筑物标准中对电信路由和空间的规定。EIA/TIA606：配线间的管理。T
15、SB67：商用建筑标准中对电信路径的建议规定。IEEEE 802.2：10BASE-T、100BASE-T、10BASE-5、10BASE-2以太网标准。IEEEE 802.5：TOKEN TING 4M/16M令牌环网标准。IEEEE 802.7：FDDI网络标准。IEEEE 802.4：ARCNET网络标准。3.2 设计原则为了使设计出来的系统更为合理和经济，性能更加良好，在网络设计过程中应遵循以下原则： 1） 高可用性/高可靠性确保网络可靠运行，在网络的关键部分应具有冗余和容错能力，提供公共网络连接、通信链路、服务器等全方位的安全管理系统。确保很高的平均无故障时间。 2） 实用性和经济性
16、服务设备和网络虽然在技术性能上逐步提升，但其价格却在逐年下降，不可能也没必要实现所谓的“一步到位”。从实用性和经济性出发，选用合理的设备和材料，进行最佳性能组合，做到实用，经济和有效。 3） 安全性和保密性计算机网络是一个极其复杂而又相对公开的系统，既要考虑信息资源的充分共享，更要注意信息的保护和隔离，安全保密是企业信息化建设的核心，应根据相应的管理制度和网络策略制定一套完善的安全策略，采用合适的技术手段，以达成目标，保证系统的安全性。4） 扩展性和易维护性系统便于扩展，即要满足企业网不断发展的要求，还要满足未来主流技术和升级的需求。采用可网管产品，提供有效的网络管理和系统监控等技术，保证系统
17、维护管理简明、方便、有效。5） 先进性/成熟性不但满足用户当前需要，还应考虑满足未来几年内用户对网络功能和带宽的需要，采用成熟先进技术，尽量减少技术风险和投资风险，在保证应用和发展的基础上，尽量减少不必要的投资。6） 规范性和开放性只有支持规范性和开放性的系统，才能支持与其它开放型系统一起协同工作。在设计和实施中，必须严格遵循国家的规范和国际的标准；网络系统应用开放的标准的技术，以满足未来网络扩充的与其他网络互联。3.3 拓扑结构设计网络拓扑结构选用星型网络拓扑结构，星型网络拓扑结构具有安全、可靠、易扩展等特点。采用层次化模型来设计网络拓扑结构。层次化模型有利于实现较为复杂的网络功能要求且节省
18、成本，也可以支持较大的网络规模便于企业网的升级扩大。在设计上划分了三层来设计：核心层、汇聚层和接入层。公司的工作站大约为200人，因公司要求网络主干具备高可靠性和可用性,且考虑到以后扩充和该公司的业务比较重要，为了保证数据转发的快速和可靠，核心层的设计上采用了二台万兆三层交换机，在汇聚层用两台三层交换机之间作链路聚合，做到设备冗余和负载均衡，就算其中某个交换机发生故障，网络也可以快速恢复，增加网络的可靠性。而在接入层的设计上，使用多台二层交换机。网络拓扑结构如下图所示：3.4 IP规划绝大多数企业局域网采用TCP/IP协议，因此IP地址规划在组建企业局域网时至关重要。在企业网网络规划中，好的I
19、P地址方案不仅可以减少网络负荷,还能为以后的网络扩展打下良好的基础。IP地址规划应考虑： 1） 惟一性。一个IP网络中不能有两台主机采用相同的IP地址。2） 连续性。为同一网络区域分配连续的网络地址，缩减速路由表的表项，提高路由表的处理效率。3） 可扩充性。为一个网络区域分配的IP应有一定的地址冗余，以便于主机数量增加，保证网络的可持续发展。4） 简单性。地址分配简单，避免在主干上采用复杂的掩码方式。5） 安全性。公司网络内可按不同的部门划分不同的网段，以便进行管理。公司申请了一个电信公网IP：61.190.10.2/24以及一个网通公网IP：220.249.10.2/24,内网采用私有地址，
20、边界路由进行NAT转换。以下表格为本设计方案的网络地址规划：表3.1IP地址分配设备名称接口IP地址描述3S1F0/1192.168.3.1/243L-Switch3S1F0/2192.168.1.2/243L-Switch3S2F0/1192.168.4.1/243L-Switch3S2F0/2192.168.2.2/243L-Switch3S3F0/2192.168.1.1/243L-Switch3S4F0/2192.168.2.1/243L-SwitchR1F0/1192.168.3.2/24RouterR1F0/0192.168.4.2/24RouterR1S1/161.190.10.
21、2/24电信R1S1/2220.249.10.2/24网通表3.2VLAN IP地址规划VLAN 号网段IP名称描述1172.16.1.0/24gl管理10172.16.10.0/24xzb行政部20172.16.20.0/24jsb技术部30172.16.30.0/24cwb财务部40172.16.40.0/24xsb销售部50172.16.50.0/24ss宿舍60172.16.60.0/24Server服务器四 网络设备选型4.1 设备选型原则1） 具备较强的安全性。2） 代表目前网络系统设备的先进水平。3） 具备优良的可扩充性和升级能力。4） 具有优良的性价比。5） 选择售后服务好且有
22、一套完善的服务体系及未来在该领域的发展计划的厂商产品。为保证企业的信息系统的稳定性和高效运行，因此，应该采用主流的网络产品。CISCO是网络业界第一品牌和最大的研发专家，是项目可持续应用的投资保护和规避厂家风险的首选。根据调查，综合考虑各家公司的发展状况、技术实力、市场占有率等各方面因素，选择CISCO公司的网络设备，以确保网络实用与性价比。4.2 核心层交换机选型核心层为网络主干，选用具有“路由器的功能，交换机的性能”的三层交换机最为合适。为公司办公网络主干选用二台CISCO WS-C6509-E万兆路由交换机作为核心交换机来连接各级交换机，对全网的数据进行高速无阻塞的交换。CISCO WS
23、-C6509-E为企业级模块化交换机，具备极高的交换能力和端口密度，最多可支持上百个千兆以太网端口，充分满足网络互联的需求。WS-C6509-E交换机拥有高达720Gbps背板带宽和400Mpps的包转发率，以固定的配置、存储转发的交换方式、可堆叠的独立设备，提供了线速度快速以太网和千兆以太网连接，并带有三层路由的引擎，可使公司网络具有很强的升级能力，大大增加了网络的交换能力、系统的实时性和系统的互动性。4.3 汇聚层交换机选型汇聚层连接各接入设备，提供路由管理、网络服务等，每天访问量巨大，所以建议汇聚层设备选用二台CISCO WS-C3750-24TD-S三层企业级交换机，它以存储转发的交换
24、方式，68Gbps的背板带宽和65.5Mpps的包转发率，提供高水平的可用性、安全性和管理能力，从而提高整个公司网络的运行效率。XD公司网络中该设备通过1000Base-FX光缆上联核心交换机，形成网络的高速骨干。WS-C3750-24TD-S的传输速率为10/100/1000Mbps，具有很高的性能和堆叠能力。满足服务器群的高速率的接入需要，也可以满足因特网接入的需求。WS-C3750-24TD-S交换机简化了网络的部署，同时融合了可伸缩的网络速率、性能、网络规模。4.4 接入层设备选型接入层交换机放置于楼层的设备间，连接各端末设备，做为网络智能安全和策略的边缘。为方便跨交换机的VLAN划分
25、，优化网络性能，简化网络拓扑结构，在本设计中接入层统一使用10/100Mbps自适应的CISCO WS-2950-24普通交换机。背板带宽为8.8Gbps,包转发率为3.6Mpps,以存储转发的交换方式和全双工的传输模式，配备有千兆的上行链路，所有的接入层交换机组以百兆RJ-45直通双绞线交换到桌面，在网络中提供高密度的接入。用于VLAN边缘为交换机的端口间提供安全性和隔离性，同时保证语音流量从进入点通过虚拟通道直接传输到汇聚层设备上，而不会被定位到其它无关端口。保证了投资成本少及易于管理的要求。4.5 企业网服务器设备选择服务器是所有C/S模式网络中最核心的网络设备，在相当程度上决定了整个网
26、络的性能。它既是网络的文件中心，同是又是网络的数据中心。西德公司需对外发布企业商业信息网站，且WEB站点为动态网页，我为该公司的服务器选择了联想万全R525 S5405企业级机架式服务器，它是一款内存1G，CPU为Intel Xeon E5405、主频2000MHZ，硬盘容量73GB，集成ATI显示芯片,16MB显存，集成Intel双千兆自适应网卡,支持网卡冗余、负载均衡等功能,可选外插Intel千兆自适应网卡的服务器。它支持Windows server 2003 R2 Standard Edition中文版/英文版(X32)、Windows server 2003 R2 Enterprise
27、 Edition中文版/英文版(X32)、Windows server 2003 R2 Standard Edition英文版（X64）、Windows Server2003存储增强版V2(WSS)等操作系统。且价格适中，有较高的性价比。4.6 出口路由设备选型由于大量的数据都发生在局域网内部，所以对路由器的性能要求不高，可以选用中低端路由器。因此出口路由器选用CISCO 2811模块化路由器。它是企业网络对外的出口，也可以作为企业网络的第一道防火墙。CISCO 2811模块化路由器提供了安全、可扩展的网络连接，容纳多种流量类型，如VPN等,最大DRAM内存为760MB，传输速率为10/100
28、Mbps,支持IEEE 802.3x网络标准。内置的防火墙功能提高了局域网的安全性，利用CISCO 2811网络服务还可以预防和响应网络攻击和威胁。4.7 客户端电脑选型客户端PC机选择神舟新瑞D2000, 神舟新瑞D2000配有英特尔2.4G双核处理器E3200,双核心设计,相当于两个CPU共同工作,更大程度的提高多任务处理能力,搭配1G DDR2内存, Intel集成显卡，凭借其高频的256位内核，动态显存技术可支持224MB的共享显存，并可根据需要动态分配系统内存。性能好，运行速度快。配备320G的硬盘,有效降低成本，可使办公效率大大提高。4.8 主要网络设备清单表4.1主要网络设备列表
29、设备名称产品说明数量（个）CISCO WS-C6509-E核心层设备2CISCO WS-C3750-24TD-S汇聚层设备2CISCO WS-2950-24接入层设备5联想万全R525 S5405服务器设备2CISCO 2811边界路由1神舟新瑞D2000客户端电脑180五 网络详细设计5.1 广域网接入随着Internet技术的不断发展，IP地址资源缺乏是Internet面临的一个关键问题。为了节约地址资源，在内部使用私有地址段中的地址，但是使用私有IP地址不能访问Internet。所以必须申请一个或多个公有IP地址配置在和Internet相连的局域网边缘设备上。再应用NAT把使用私有地址的
30、内部网络转换成注册的合法IP与Internet进行连接，解决了IP地址紧缺的问题。在该企业的网络设计中，出口处仅使用了一个CISCO 2811路由器，因公司要求网络具有很高的可靠性和快速性，由于当前网通和电信两个运营商之间存在着互联互通速度慢的问题，造成速度瓶颈。所以公司向ISP同时申请了10M的中国电信宽带和4M的中国网通宽带两条接入线路，在出口上采用双出口设计，提高企业网络对公网的访问速度，保证网络的稳定、可靠和快速。由于企业只购买了一个电信公网IP地址和一个网通公网IP地址，而企业内部共有200多个信息点，采用普通的静态地址转换，200多个信息点访问外网需要200多个公网地址，这样显然不
31、可能。所以在出口路由器上采用NAT技术，在公司内部使用B类私有IP，通过基于端口号的地址转换，将内部私有IP地址转换成公有IP地址在Internet上使用，既可节省IP地址，又可以同时让多个内网IP地址访问Internet。NAT地址转换使公司网络内外网互相独立，达到完全的物理隔离的目的。5.2 冗余与负载均衡设计5.2.1 STP生成树协议STP技术提供在链路冗余的同时防止网络产生环路，从而避免了广播风暴的产生，并在个别线路出现故障时能有效地切换线路从而保证通信顺畅。STP创建了一个无环树结构。生成树协议可以保证一个网络的冗余性，在一个网络中设置冗余链路，并用生成树协议让备份链路阻塞，而一旦
32、出现故障，启用备份链路。 由于公司的汇聚层使用了链路冗余，存在环路，因此在汇聚层的交换机上使用STP技术，配置VLAN的根网桥，3S3作为VLAN10、VLAN20、VLAN30的主根桥，同时作为VLAN40、VLAN50、VLAN60的备用网桥，3S4作为VLAN40、VLAN50、VLAN60的主根桥，同时也作为VLAN10、VLAN20、VLAN30的备网桥。以便在提供路径冗余的同时在逻辑上断开环路，缩短网络变化收敛时间，同时可以实现汇聚链路的三层交换负载均衡，提高网络的可靠。5.2.2 以太网通道以太网信道是在交换机、路由器之间提供容错的高速链路。考虑到该公司对网络的需求，此次设计中分
33、别将核心层的两个三层交换机、汇聚层的两个三层交换机的F0/23和F0/24号端口设置成以太网通道，这样多条链路被用作单条高速数据通道，通道中的一条线路发生故障也可保证网络的瞬间恢复不影响数据的通信，很大程度地增快了网络的速度，实现快速收敛和高速转发，增加了网络的可扩展性。保障了网络的稳定可靠，增加了带宽，实现负载均衡和骨干网络之间的优化传输。5.2.3 虚拟路由器冗余（VRRP）VRRP给路由器组提供了一个冗余网关地址，是一种容错协议。本设计通过在汇聚层配置VRRP，一个VLAN共享一个单一的虚拟IP地址，实现二层和三层链路和设备冗余，保待网络的稳定运行，并且两台三层交换机同时工作，充分利用核
34、心的高速安全转发性能，提高设备利用率，增强网络的可用性、可靠性和高速性。VRRP配置的详细信息如下表5.1所示：表5.1VRRP信息SVI接口组优先级状态IP设备VLAN101100Standby172.16.10.13S3VLAN202100Standby172.16.20.13S3VLAN303100Standby172.16.30.13S3VLAN404110Standby172.16.40.13S3VLAN505110Active172.16.50.13S3VLAN606110Active172.16.60.13S3VLAN101110Active172.16.10.13S4VLAN2
35、02110Active172.16.20.13S4VLAN303110Active172.16.30.13S4VLAN404100Active172.16.40.13S4VLAN505100Standby172.16.50.13S4VLAN606100Standby172.16.60.13S45.3 路由设计5.3.1 OSPF西德公司企业网络中有一个路由器和四个路由交换机，需使用路由协议使它们之间能够共享信息。考虑到将来网络的扩展，平面结构的路由协议（如RIP，EIGRP）不能满足网络性能的要求。企业网络内部有6个用户网段，4个中转路径，为优化网络性能，建议采用OSPF路由协议。因此在本设计
36、中在核心层汇聚层交换机与外出其路由器之间使用OSPF路由协议，并运行在Area0区域上，以实现路由的动态更新，加快核心层的路由转发能力，确保全网互通。area0区域的划分可减少各路由器的路由表尺寸；占用网络资源少；利于网络扩展,使用灵活，安全性较好。5.3.2 策略路由XD公司分别连接了电信和网通双线路，通过在出口路由设备R1上添加策略路由包的方式，实现电信数据走电信，网通数据走网通。IP报文将先根据策略路由指定的策略转发，只有当所有策略都不满足时，才查找路由表，根据路由转发，提高网络的访问速度。5.4 网络管理规划5.4.1 VTP网络域VTP DOMAIN称为管理域，是VLAN中继协议。在
37、西德公司网络设计中，在公司内部划分了6个VLAN，如果要在每台交换机上都进行同一个VLAN建立，无疑加重了网络工程中网络配置的工作量，而且在以后新加VLAN时增加了管理员的工作量，所以在接入层和汇聚层的交换机上配置VTP，所有交换机配置为相同的管理域，三层交换机配置成服务器模式，这样只要在Server模式的交换机上配置VLAN，管理域里所有的交换机就能够了解彼此的VLAN列表，减少在多台设备上配置同一个VLAN的工作量。而且保持了VLAN配置的统一性。VTP配置信息如下表4.2所示：表4.2VTP信息设备名称DomainpasswordMode3S1ciscociscoServer3S2cis
38、cociscoServer3S3ciscociscoServer3S4ciscociscoServer2S1ciscociscoClient2S2ciscociscoClient2S3ciscociscoClient2S4ciscociscoClient2S5ciscociscoClient注：交换机为Server模式是指允许在本交换机上创建、修改、删除VLAN及对整个VTP域的配置参数。Client模式则不允许在本交换机上创建、修改、删除VLAN。5.4.2 IP地址管理网络中需要为所有的PC机配置IP地址，由于公司网络中有200个信息点，为每一台PC手工配置地址的工作量相当大，为了简化企业
39、网络的配置，在3S3三层交换机上采用DHCP技术，网内的主机除服务器外均通过DHCP服务器动态主机分配协议，自动获得IP地址，减轻了网络配置的工作量，同时当某个部门增加主机时不需要查看哪些IP地址可用，更不用担心IP地址配置冲突。DHCP配置的详细信息如下表4.3所示：表4.3DHCP信息名称IP地址池默认网关DNS描述VLAN10172.16.10.2-252172.16.10.1172.16.60.2行政部VLAN20172.16.20.2-252172.16.20.1172.16.60.2技术部VLAN30172.16.30.2-252172.16.30.1172.16.60.2财务部V
40、LAN40172.16.40.2-252172.16.40.1172.16.60.2销售部VLAN50172.16.50.2-252172.16.50.1172.16.60.2宿舍5.4.3 TELNET远程登录由于西德公司局域网覆盖范围为2栋楼，交换机路由器分别放置在不同的地点，如果每次管理维护交换机与路由器时都到设备所在的现场进行配置，管理员工作量很大且麻烦，为提高工作效率，在交换机路由器上进行telnet设置，以后再需要配置交换机与路由器时，管理员可以通过 telnet远程方式登录，然后进行配置与管理。需要注意的是，交换机的telnet 管理IP配置在Vlan虚拟接口上，而路由器或路由交
41、换机的管理IP在物理接口上，不在同一网段在交换机需加默认网关Ip default-gateway，Telnet登录配置的详细信息如下表4.4所示：表4.4Telnet登录信息设备名称管理IP地址用户名密码特权密码R1192.168.3.2/192.168.4.2adim123123453S1192.168.1.2adim123123453S2192.168.2.2adim123123453S3172.16.1.253adim123123453S4172.16.1.254adim123123455.5 网络安全设计5.5.1 VLAN规划VLAN（虚拟局域网）它依靠用户的逻辑设定将原来物理上互连
42、的一个局域网络划分为多个虚拟网段。虚拟网络（VLAN）技术在企业网中起到举足轻重的作用，因为VLAN技术可以提高企业网络的效率和安全性，便于对用户的管理。在本设计中对西德公司内部的不同部门划分不同的VLAN进行管理，以达到以下几个目的：1） 控制网络上的广播风暴西德公司网络的客户端有上百台设备，如所有设备都在一个VLAN中，当某台设备发出一个广播报文，报文到达交换机后就会被交换机复制到除接收该报文接口外的其余所有接口，浪费了其余设备带宽。本方案将不同部门划分到不同的VLAN中，能够很好的保证一个VLAN中的广播不会被另一个VLAN接收，这样就减少了广播流量，释放更多的带宽给用户应用。一个VLA
43、N内的通信主机原则上不超过50台控制在30台内，宿舍的主机数量超过50台，通过二层隔离，三层交换的方式来解决。2） 加强了网络的安全性一个VLAN为一个单独的广播域，VLAN间相互隔离，提高了网络的利用率。公司内不同部门需要配置不同的访问权限，以保护保密数据的安全，最有效的方法是将网络划分成几个不同的广播域，划分VLAN时禁止未经允许的用户访问VLAN中的应用，确保网络的安全性和保密性。3） 简化网络管理根据分析计算，传统的局域网中约有70%的网络花销是因为添加、删除、移动、更改网络用户而导致的。VLAN技术可以实现在VLAN网中移动或变更工作站地理位置，不必改变网络物理拓扑结构，就能重组网络
44、的逻辑结构。有利于公司未来网络的扩充。在多种划分VLAN的方式中，本设计选择以交换机物理端口为依据来划分VLAN，在配置VLAN之前，为了使一条链路能为多个VLAN传送流量，把内部局域网中所有的交换机与交换机之间的链路全部设置为Trunk链路，这样VLAN信息就可以在各交换机之间传递，不同交换机但是同一个VLAN的用户也可以相互访问，即节省了网络硬件的成本，从而也扩展整个网络。然后在VTP管理域中的任何一台属性为Server的交换机上建立VLAN，它就会通过VTP通告整个管理域中的所有交换机，只要在接入层的交换机上把同一个部门的端口全部划分进同一个VLAN就行了。企业内部有200多个信息点，分
45、6个部门，每个部门划分一个VLAN,VLAN配置信息如下表4.5所示：表4.5VLAN信息VLAN 号名称描述1管理10xzb行政部20jsb技术部30cwb财务部40xsb销售部50ss宿舍60Server服务器但如果要将交换机的端口划入某个VLAN，就必须在该端口所属的交换机上进行设置。5.5.2 VPN技术VPN（虚拟专用网）为我们提供一种通过公用网络安全对企业内部专用网络进行远程访问的连接方式。VPN的使用降低了费用、增强内网的安全性、IP地址安全。因公司经常有员工在外地出差，为了使企业员工无论身处何地都能够与企业计算机内部资源建立连接，与企业内人员进行及时安全有效的通讯，提高办公效率。本方案设计决定使用PPTP VPN二层隧道技术, 移动办公员工通过VPN接入企业网络，在逻辑上所有VPN远程访问都相当于是企业内的某个部门，它可以对所有IP级的通信进行加密，这样可以为企业的应用及数据提供最佳灵活性和安全性。同时，与以前的专线相比大大降低费用，设置VPN后只需要向ISP进行本地呼叫，用户就可以通过Internet安全的访问专用的企业Internet，公司不需要租用专线就能组成一个属于自己专用的网络。5.5.3 ACL访问控制通过访问列表，可以设置允许或拒绝某些数据包通过，或者允许或拒绝某些端口进行访问和使
