中小型企业局域网的设计与实现

中小型企业局域网的设计与实现

课题名称

学 院

专 业

班 级 14级专升本班

姓 名 张涛

指导老师 刘德福

摘 要

随着网络技术新系统、新领域的长足发展，传统企业也正利用其行业的特点，融合网络技术的优势，发展自身。在信息化生产逐步普及的今天，组建企业内部网络已经是企业必不可少的一部分，建立高速、稳定、安全、智能的办公网，是组建中小型企业局域网的核心。

本论文所阐述的网络是使用业界流行的核心层—汇聚层—分布层三层结构设计的中小型企业网，结合广为使用的虚拟局域网（VLAN ），热备份路由（HSRP ），访问控制列表（ACL ），网络地址转换（NAT ）等技术，增强网络的稳定性和安全性。 设计中采用虚拟局域网来隔离不同部门，以达到增强企业网络安全性的目的；在规划好的VLAN 的基础上，采用访问控制列表（ACL ），设置策略，来限制部门之间以及服务器区的访问，进一步提高企业网络内部的安全性；并在核心层交换机上采用热备份路由（HSRP ）技术，增加网络的冗余，提高企业网络的整体稳定性；采用路由器硬件的动态主机分配协议（DHCP ）功能，保证各部门IP 地址的获取；在边界路由器上设置网络地址转换（NAT ），将企业内部私有地址转换为公网地址，实现了多个用户同时公用一个合法IP 与外部Internet 进行通信，解决IP 地址短缺的问题。

目 录

绪论 ................................................................... 1

1. 网络建设背景和必要性 ................................................ 3

2. 组建局域网的需求分析 ................................................ 5

2.1 总体需求分析 ..................................................... 5

2.2 网络平台需求 ..................................................... 5

2.3 网络安全需求 ..................................................... 6

2.3.1 外网安全： ................................................... 6

2.3.1.1 物理安全需求 ............................................. 6

2.3.1.2 数据链路层需求 ........................................... 6

2.3.1.3 入侵检测系统需求 ......................................... 6

2.3.1.4 防病毒系统需求 ........................................... 6

2.3.1.5 安全管理体制 ............................................. 7

2.3.2 内网安全： ................................................... 7

2.3.2.1 VLAN 设置需求 ............................................ 7

2.3.2.2 防病毒系统需求 ........................................... 7

2.3.2.3 网络管理需求 ............................................. 7

2.3.2.4 网络系统管理 ............................................. 7

3. 组建局域网的设计目标和原则 .......................................... 9

3.1 核心交换机的高数据处理性能 ....................................... 9

3.2 核心交换机的高可靠性 ............................................. 9

3.3 核心交换机的灵活扩充性 .......................................... 10

3.4 网络的安全性 .................................................... 10

3.5 网络的可管理性 .................................................. 10

4. 局域网设计方案 ..................................................... 12

4.1网络结构设计方案 ................................................. 12

4.2 虚拟局域网（VLAN ）设计方案 . ....................................... 13

4.2.1 VLAN 技术简介 ............................................... 13

4.2.2 VLAN 方案设计 ............................................... 14

4.3 第三层交换技术设计方案 .......................................... 15

4.4 IP MULTICAST技术方案设计 . ......................................... 16

4.5 访问控制列表（ACL ）设计方案 ..................................... 18

4.6 IP 地址规划与路由设计方案 ....................................... 19

4.6.1 IP 地址规划方案 ............................................. 19

4.6.2 路由协议的选择 .............................................. 20

4.6.3 路由协议设计方案 ............................................ 22

4.7 HSRP ：热备份路由器协议 .......................................... 23

4.7.1 HSRP 协议概述 ............................................... 23

4.7.2 HSRP 的工作原理 ............................................. 24

4.7.3 本方案的特点 ................................................ 24

5. 设备清单 ........................................................... 27

结论 .................................................................. 28

参考文献 .............................................................. 29

绪论

0.1 选题的背景

企业网最原始的网络需求来自于对LAN 上共享资源、业务的开展需要，最小规模的局域网可能就要算通过1 台共享式集线器来连接打印机、文件服务器的组建模式了，但是，在信息科技日益发展的今天，基于共享式技术的网络已经不能符合当前企业IT 发展的需求，更高速、更可靠、更安全以及更方便的网络和业务管理已经成为新时期企业局域网的关注重点。如何最大程度的满足企业的这些需求正是本文最关心的问题。

0.2 选题的目的和意义

企业电子商务网络系统应是一个统一、可靠、安全的专用信息通信平台，支持话音、数据和图像的交换与传输，实现计算机数据、话音、电视会议、图片传输等多种信息通信业务，并具有完备的网络管理系统。

在先进成熟的计算机和通信技术基础上，企业要建设成光纤网络，使企业各部门实现宏观决策科学化，办公自动化，信息交换网络化，提高宏观决策和调控能力，促进企业信息化，同时有助于加快信息经济建设。

0.3 可行性分析

根据企业的实际情况，总结出该计算机网络有如下需求：

企业网络系统本着实用、经济可靠的原则，采用交换式以太网方案。采用内部IP 地址。网络采用两极交换结构，中心交换机采用三层交换机，构成千兆主干，中心交换机应有足够的插槽用于以后的扩展，至少有24个10/100M自适应端口用于连接服务器，光纤端口依实际应用提供，电源应有冗余；每个分配线间各放置若干台24口交换机作为二级交换机，用千兆光纤口用于上连，可以为用户提供交换式100Mbps 带宽，彼此间采用堆叠连接。是为入住企业的单位提供宽带国际互联网络接

入服务、内部网络通讯平台、计算机应用服务的综合性专用计算机数据通信网络。

为了使本网络设计向统一管理、高速宽带、复杂应用方向发展，本设计所建设的网络将为各入住单位系统内部互联网络系统提供一个统一的数据通信网络平台，各网络系统的信息都可在此数据通信网上传递，并可通过统一的网管系统提供统一的管理功能，将各专业内部网络网管的报警信息等一并显示，同时为未来的网络发展奠定必要的基础。

0.4 研究的基本思路

根据对所选题目背景、目的、意义和可行性的分析，总结出设计思路如下：选择合适的网络层次模型规划企业网络架构，合理分配企业内部的IP 地址。采用稳定高效的路由协议连通企业内部网，并在此基础上设计安全策略，增强企业数据的保密性，保证商业机密的安全。设置策略或设备的冗余，保证企业网络在遭遇突发故障时能顺利切换线路，保障数据的完整性，避免重要信息的丢失，增强网络的稳定性。最后，选择合适的网络设备，在顾及网络性能的前提下，优化企业的资源配置

1. 网络建设背景和必要性

格罗莫夫（Gregory Gromov）曾经说过：“网络本身就是一种计算机科学概念。”不过，现在有了更丰富的内涵，注解之一就是，网络本身更具有经济学内涵。

在现代经济学中有“规模效益”理论，就是通过扩大经济规模，来降低单位成本。虽然“扩大规模”仍然是降低成本的根本途径，但是伴随经济规模的扩大也增加了“协调成本”，既与企业相关的信息交流的代价。在很多情况下，企业的生产经营并不是孤立进行的，其需要在内部生产部门之间与外部市场之间达到充分的信息交流，才能维系正常的生产经营，尤其是在规模不断扩大的情况下，如果仍然延续传统的信息交流手段，则信息交流代价急剧增长。由此造成单位生产成本不降反升，从而制约着现代经济规模。随着科技进步，网络技术成为信息沟通的重要手段，世界正因为有了互联网而变得越来越小，世界级的企业也越来越依赖于网络技术，扩大和巩固其市场地位。从网络在企业生产、流通、服务等关键环节起的重要作用来看，其更多超出了技术领域，而深具经济学内涵。

随着网络技术，新系统新领域的长足发展，网络经济，知识经济再不是IT 等高科技行业的专利，传统企业正利用其行业特点，汲取网络技术精华，努力创造着传统行业的又一个春天。未来是美好的，但现实不可回避。大多数企业对电子商务的一般认识是电子商务能帮助企业进行网上购物、网上交易，仅是一种新兴的企业运作模式，比较适用于商业贸易公司，殊不知电子商务已经对传统的企业造成的了巨大的冲击。

制造业传统运作模式效率低，成本过高，已不适于新经济的需要。随着企业间竞争的日趋激烈，以及全球经济一体化，市场向企业提出了更高的要求，要求企业能及时提供高品质、低价格，具有个性化的产品。而企业在商业运作过程中比较重视控制生产成本，对于采购成本，销售成本的控制无论从意识上、管理上还是从执行上都比较薄弱，如何减少采购和销售过程中的环节，直接控制供应商的价格、品质、交货期以及批发商和经营商的进货、出货、仓储情况是企业在电子商务时代所面临的第一个问题，这种情况在集团公司的运作中尤为明显。通过实施电子商务，可以实现企业对产品、原材料、非生产性产品、服务类等的电子化、网络化采购，总公司与下属子公司几个职能部门有组织、有计划的统一管理，减少流通环节，降低成本，提高效率，使企业在管理上通过电子商务的实施达到更高水品。作为电子商务基石的网络系统已经成为现代企业的“神经”，而“神经”是否工作正常，是否高速高效，直接关系到“生存死亡”。

传统企业对市场的反应速度取决于自身的信息网络水平。在电子商务时代，产品

的个性化情况非常普遍，比如服装，时尚和潮流总是千变万化，捉摸不定。生产商要在短时间内捕获市场信息并作出适宜反馈，确实有难度。传统企业在对市场的反馈速度上明显过慢。究其主要原因是企业没有将供应商和客户那到企业自身的供应链中，没能及时知道下游客户的库存情况、市场情况，没有让上有的供应商及时了解企业原材料的库存情况、成套情况。在供应商、商家、客户三者之间没有形成一个有效的环路，有次造成了商家随市场的反应迟缓，导致了商业损失。有了网络的协助，企业从原材料的采购、产品设计、到订单处理和产品的发送，均可用小时为单位来追踪。同时利用互联网技术不仅可以全面监控下游客户每日的进销存情况，及时进行补货，而且可以让上有的供应商及时知道企业原料的库存情况，及时补充，将存货量保持在最低水品。

企业受限于内部庞杂的关系管理，拓展外部市场是如果还用一成不变的业务服务方式，很可能在提取激烈的市场竞争中处于尴尬的境地。为了摆脱可能出现的窘境必须依赖可靠、安全、高效、可扩充、可管理的网络产品和技术，为企业提供流畅的信息传递和资源共享，优化资源配置，并开拓新市场，吸引更多客户，扩展市场影响力，产生业务增值，降低生产成本成为可能。

综上所述，传统企业如果希望在市场的天空中飞的更高更远，那么必须插上网络化生产、经营和服务的翅膀。

在选取“飞”的翅膀时，计算机网络解决方案的选取是关键。只有综合考虑了网络安全、网络管理、可靠性、可管理性、可扩展性和高性能的需要，精选出适合企业网络需要的网络解决方案，才能对企业高效，科学的管理，控制企业的运营成本，为企业的腾飞助跑。

2. 组建局域网的需求分析

2.1 总体需求分析

总体需求是将企业网络建成以办公自动化为主的硬件平台系统。企业网络系统的需求包括以下几点：适应桌面计算机处理、I/O能力大幅度提高的现状，发挥桌面机的网络性能，提高桌面机的访问带宽；适应连网规模大、总流量大的情况，合理分布流量，实现流量隔离和控制；适应部门多、层次复杂的特点，合理进行网络划分，实现有效的安全访问控制和运行管理；能够向未来的高速网络技术和不断出现的新应用过渡；实现网络互联，解决互联网络带来的安全问题和管理问题；适应数据集中型应用的发展趋势，为客户/服务器的应用环境提供支撑；增加网络系统的运行可靠性，降低故障隐患，提高系统的可管理性。本方案针对网络系统应用场合对安全提出了很高的要求，因此网络设计充分考虑网络上敏感数据传输的安全性，一方面需要充分利用网络设备提供的安全策略（VLAN 划分等），另一方面为了保障内部数据传输的安全性，采用各种安全技术（防火墙、入侵检测、防病毒体系等），并且尽量不影响到整个网络的运行效率。为了更好的保证网络的正常运行，设计的网络系统还考虑到网络管理，实现网络的统一管理。

2.2 网络平台需求

利用目前最流行的千兆以太网技术实现企业网络为千兆主干、百兆交换到桌面，全方位支持企业的信息处理与交换的传输、操作和策略服务。

网络总体结构分为网络互连、核心节点、楼层交换三个层面。一般采用交换，必要时实现路由隔离。网络根据业务用户分布和数据的流向，合理的进行网段划分。允许采用虚拟网技术（VLAN ）。

实现各计算机网络系统的互联，形成公共信息的交换环境，为企业用户提供网络服务平台。

实现信息资源和软硬件资源共享，提供丰富的网络信息服务，以推动办公自动化。 根据楼宇办公场合不同，网络平台分别设计出内网和外网平台，两网之间采用物理隔离的技术手段实现涉密问题。

2.3 网络安全需求

随着网络的建成，基于网络的应用日渐增多，网络用户也会越来越多，网络的安全成为了系统建设的主要问题。在局域网中安全系统建设主要设计包括外网安全和内网安全。

2.3.1 外网安全：

由于外网主要运行企业各部门非涉密的内部办公业务以及运行面向客户的公开信息，所以必须采取过硬的安全技术来实现企业的网络系统不受Internet 的“黑客”、病毒等攻击。外网对安全的需求包括物理安全需求、数据链路层需求、入侵检测系统需求、防病毒系统需求和安全管理体制等。

2.3.1.1 物理安全需求

针对重要信息可能通过电磁辐射或线路干扰等泄漏。需要对存放机密信息的机房进行必要的设计，如构建屏蔽室。采用辐射干扰机，防止电磁辐射泄漏机密信息。对重要的设备进行冗余配置；对重要系统进行备份等安全保护。

2.3.1.2 数据链路层需求

信息的泄漏很多都是在链路上被搭线窃取，数据也可能因为在链路上被截获、被篡改后传输给对方，造成数据真实性、完整性得不到保证。如果利用加密设备对传输数据进行加密，使得在网上传输的数据以密文传输。因为数据是密文，所以，即使在传输过程中被截获，入侵者也读不懂，而且加密机还能通过先进行技术手段，对数据传输过程中的完整性、真实性进行鉴别。可以保证数据的保密性、完整性及可靠性。因此，可能需要配备加密设备对数据进行传输加密。

2.3.1.3 入侵检测系统需求

网络安全是整体的、动态的，不是单一产品能够完全实现的，所以为了确保网络更加安全必须配备入侵检测系统，对透过防火墙的攻击进行检测并做相应反应（记录、报警、阻断）。

2.3.1.4 防病毒系统需求

针对防病毒危害性极大并且传播极为迅速，必须配备从单机到服务器的整套防病毒软件，实现全网的病毒安全防护。

2.3.1.5 安全管理体制

安全系统只能提供技术手段和措施，但人为的因素不可忽略，只有确立健全的安全管理体制，设立相应的安全管理岗位，从制度上加以严格管理。

2.3.2 内网安全：

运用多种技术，如VLAN 、防病毒体系等，对各个部门、系所访问进行控制，各单位之间在未授权的情况下不能互相访问，保证系统内部的安全。内网对安全的需求包括VLAN 设置需求、防病毒系统需求、网络管理需求和网络系统管理等。

2.3.2.1 VLAN设置需求

企业网络内部的环境比较复杂，而且各子网的分布区域广，网络用户多，因此，内部网络用户的可靠性并不能得到完全的保证。特别是对于存放敏感数据的主机的攻击往往发自内部用户，如何对内部用户进行访问控制和安全防范就显得特别重要。为了保障内部网络运行的可靠性和安全性，必须要对它进行详尽的设计，尽可能防护到网络的每一节点。

2.3.2.2 防病毒系统需求

针对防病毒危害性极大并且传播极为迅速，必须配备从单机到服务器的整套防病毒软件，实现全网的病毒安全防护。

2.3.2.3 网络管理需求

此次建设的企业网络系统是一个相当复杂的计算机网络，包含多种设备和技术。随着系统复杂度的增加，会给系统管理带来成指数增加的管理工作量。为此必须要设计一套健全的管理系统。针对系统的功能采取相应的管理措施。

2.3.2.4 网络系统管理

系统中包含大量的网络设备，必须为其配置功能强大的管理系统，该系统应具有以下功能：

(1)虚拟网管理、分配；

(2)对所有网络设备端口的监视和管理；

(3)对网络流量的监测和管理；

(4)对所有网络设备的远程管理和控制，包括网络端口设备的开放和关闭；

(5)整个网络的故障监测，故障自动报警功能；

(6)整个网络性能的统计和分析报告。

3. 组建局域网的设计目标和原则

3.1 核心交换机的高数据处理性能

核心交换机满足网络中心海量数据交换的要求，连接中心的通讯链路带宽满足应用的性能要求。

在Intranet 网络应用环境中心，WWW 服务器，FTP 服务器，E-Mail 服务器，DHCP 服务器，支撑着整个企业的应用服务。各部门用户客户端软件，透过网络访问中心服务器，请求应用，查询数据库。网络的负载流量主要是从边缘设备到核心的数据交换，随着业务的发展，网络规模的扩展，以及应用的信息交换量增加，使得网络通常会在核心发生通讯瓶颈现象，改善局域网的网络数据交换性能，往往是首先扩充核心交换机的交换性能，增加边缘设备到核心的数据通讯带宽，以减轻整个网络的瓶颈，使得应用软件的性能和效率得到提高。因此在设计局域网的原则上，首先应该考虑满足网络规模所要求的核心设备数据交换处理能力，以及边缘设备到核心的链路带宽。

3.2 核心交换机的高可靠性

核心交换机关键部件可以实现冗余工作，可以在线更换(热插拔) ，故障的恢复时间在秒级间隔内完。通过H3C 专有的VRRP 技术可以配置双核心交换，在发生故障时自动切换到备用交换机，确保数据不发生丢包。

随着信息化社会的飞速发展，普遍采用了Intranet 应用模式，实现管理和生产自动化，提高管理效率，管理水平。支持单位应用的基础设施是网络。它直接影响到办公应用环境，交易、生产、开发、设计等业务环境，财务管理，部品管理等环境，信息检索、数据库查询、Internet 浏览等支持正常运行的必要服务设施功能。网络的可靠性要求是保障应用环境正常运行的首要条件，网络要求可靠性的同时，要求网络具有高可用性。网络设备的选择，尤其是核心机箱式设备，应该可以配置冗余部件，关键部件不存在单一故障点，也就是说，像交换机的电源、风扇、交换引擎、管理模块这些部件可以冗余备份，其中之一任何部件的损坏，不会影响设备的正常运行，不会影响网络的连通。提供网络设备的可靠性，容错性的另一个要求是设备损坏部件更换时，不需要停机，更换部件后不需要重新启动，也就是说部件的更换可以进行在线操作，这样可以使停机的时间降低到最小。在设计局域网的原则上提高网络的高可靠性、高可用性原则是至关重要的，不仅要求设备的部件冗余，同时要求网络的链路冗余，

以保证网络可以在任何时间、任何地点提供信息访问服务。

3.3 核心交换机的灵活扩充性

核心交换机应该具备灵活的端口扩充能力，模块扩充能力，满足网络规模的扩充。同时提高性能，满足更高性能的要求。

在设计局域网的方案上，首先是满足现有规模的网络用户的需求，同时考虑到业务发展、规模的扩大，应该设计网络具有用户端口的扩充能力。核心设备是整个网络的枢纽，用户端口数的扩充，需要增加配线间边缘工作组的设备，增加边缘设备的同时，要求连接核心骨干设备的端口数相应增加，因此核心设备应该可以通过增加模块来灵活地增加端口数。核心设备的机箱设计应该具备强大的背板带宽，足够多的负载插槽容量。对于交换机来说，核心交换引擎应该可以满足最大配置下，无阻塞的进行端口数据包交换，模块的扩充不影响交换性能。采用分布式交换结构是实现这一原则的最佳方案，分布式交换机结构实现了交换机的并行数据交换处理，优化了网络的性能，本地交换和全局交换相结合的分布式结构减少了交换引擎的压力。因此在设计大规模网络的原则上普遍采用分布式交换机实现灵活的模块、端口扩充能力。

3.4 网络的安全性

可以有效的控制网络的访问，灵活的实施网络的安全控制策略。

网络的安全性对局域网的设计是非常重要的，合理的网络安全控制，可以使应用环境中的资源得到有效的保护。在网络中，关键应用服务器、核心网络设备，只有系统管理人员才有操作、控制的权力。应用客户端只有应用访问的权限，网络应该能够阻止黑客的任何非法操作。在网络设备上应该可以进行基于协议、基于Mac 地址、基于IP 地址的包过滤控制功能。在大规模网络的设计上，划分虚拟子网，一方面可以有效的隔离子网内的大量广播，另一方面隔离网络子网间的通讯，控制了资源的访问权限，提高了网络的安全性。在设计局域网的原则上必须强调网络安全控制能力，使网络可以任意连接，又可以从第二层、第三层控制网络的访问。

3.5 网络的可管理性

网络中的任何设备均可以通过网络管理平台进行控制，网络的设备状态，故障报警等都可以通过网管平台进行监控，通过网络管理平台简化管理工作，提高网络管理的效率。

在设计局域网时，选择先进的网络管理软件是必不可少的。网络管理软件应用于网络的设备配置，网络拓扑结构表示，网络设备的状态的显示，网络设备的故障事件报警，网络流量统计分析以及计费等等。网管软件的应用可以提高网络管理的效率，

减轻网络管理人员的负担。网络管理的目标是实现零管理，基于策略的管理方式，网络管理是通过制定统一的策略，由管理策略服务器进行全局控制的。基于Web 的网管界面，是网管软件的发展趋势，灵活的操作方式简化了管理人员的工作。在设计局域网的设备选择上，要求网络设备支持标准的网络管理协议SNMP ，同时支持RMON/RMONII协议，核心设备要求支持RAP(远程分析端口) 协议，实施充分的网络管理功能。在设计局域网的原则上应该要求设备的可管理性，同时先进的网管软件可以支持网络维护、监控、配置等功能。

网络设备采用开放技术、支持标准协议：采用标准的协议保护用户的投资，提高设备的互操作性。

局域网的设备要求具有可互操作性，设备的技术采用开放技术，协议标准，支持跨平台之间的相互连接与通讯。在设计网络的原则上，发挥不同厂商产品的专用先进技术同时，必须强调考察设备的技术、协议的标准性。

4. 局域网设计方案

4.1 网络结构设计方案

对于网络平台的网络结构，建议采用模块化的设计思想，按照功能划分为以下区块：交换区块和核心区块。对于由交换区块和核心区块构成的局域网再按照目前流行的层次化的设计思想，划分为接入层、汇聚层和核心层。

1、交换区块的主要功能是提供用户的接入点，并防止广播数据流和网络问题到达核心区块或者其他区块，交换区块由接入层交换机和汇聚层交换机构成：

(1)接入层：

接入层设备作为最终用户的网络接入点，使用100M 双绞线连接各层桌面终端，为每个用户提供专用的带宽，并可基于端口或MAC 地址的VLAN 成员资格和流量进行过滤，接入层主要的设计原则是能够通过低成本、高端口密度的设备提供这些功能。

(2)汇聚层：

接入层交换机使用100M 双绞线汇聚到一台或者多台汇聚层设备，汇聚层设备在接入层交换机之间提供第二层连接，作为接入层交换机的集中连接点及接入层和核心层之间的分界点，汇聚层在提供接入层接入的同时，还能够做到广播域的隔离、不同网段之间的路由、介质转换、安全控制。汇聚层需要提供第三层功能，即支持路由选择和网络层服务，以保护交换区块不受网络其他部分失效的影响，并防止本交换区块故障对网络其他部分的影响，如果交换区块发生了广播风暴，分布层设备可以防止该广播风暴扩散到核心和网络的其他部分。

2、核心区块是园区网络的主干，主要功能是在交换区块之间用最小的时延传输数据，尽可能快的将交换数据提供到其他区块（比如交换区块）。核心区块由核心层构成，包含一个或一组用来连接多个交换区块的交换机。

核心层：

核心层交换机负责所有交换区块设备和广域网设备的接入，因此需要高速的数据转发能力。核心层设备需要支持链路捆绑技术，来保证数据的转发能力，防止出现线路瓶颈。作为企业网络的心脏，核心层也是路由协议最优选路和运行稳定的保证，需要合理的配置路由协议，并添加冗余处理器或者应用冗余协议来保障网络核心的稳定，使企业数据流正常运作。

网络结构的设计是整个网络系统设计的基础，一个优秀的网络结构设计方案有利于提高网络的性能、可靠性及将来网络的扩展能力，并能够有效的减少维护难度，本

论文设计的网络结构拓扑图如图1：

图1 网络结构拓扑图

4.2 虚拟局域网（vlan ）设计方案

划分虚拟局域网是整个网络系统的重要技术之一。企业网络内部的环境复杂、分布区域广、网络用户多，以至于企业内部网络用户的可靠性得不到完全的保证。通过划分虚拟局域网，隔离不同部门，可以增强企业网络安全性，以下详细论述了虚拟局域网的技术及在网络系统中的必要性和设计方案。

4.2.1 VLAN技术简介

以太网基本上是以广播为基础的，如最初包的寻址等，交换机虽然能够通过建立地址映射表减少不必要的广播，但是地址映射表的建立过程仍然是基于广播的，网络节点（如PC 机）在处理广播时浪费了CPU 处理时间，降低了处理性能，根据统计，当网络上存在15000个广播包时，将耗尽CPU

资源；在传统的网络里，节点的吞吐

量都会随着节点的增多而下降，交换式以太网虽然能够隔离冲突域及第二层广播，但是无法隔离第三层网络。

另一方面，接入网需要保障用户数据（单播地址的帧）的安全性，隔离携带有用户信息的广播消息（如ARP 、DHCP 消息等），防止关键设备受到攻击。对每个用户而言，当然不希望他的信息被别人利用，因此需要从物理上隔离用户数据（单播地址的帧），保证用户单播地址的帧只有该用户可以接收到，不像在局域网中采用共享总线方式，使单播地址的帧能被总线上的所有用户接收。如果不隔离这些广播消息而让其他用户接收到，容易发生MAC/IP地址仿冒，影响设备的正常运行，中断合法用户的通信过程。

为了隔离第三层广播，增强安全性、提高网络性能，可以运用VLAN （虚拟局域网）技术或者使用路由设备。

使用路由器时可以将网络划分多个物理网段，这些物理网段可以连接到路由器的多个端口，多个物理网段间通过路由器进行通信，但是路由器的端口价格远远高出交换机的端口价格，所以这种方式将增加设备投资，在物理网段增多时就更为严重，而且只有使用高端设备才能满足高端口密度的要求，所以不推荐这种方式。

VLAN 技术不需要特殊的设备，目前第二层交换机均支持VLAN 技术。通过在一个物理网段上划分出多个逻辑网段，由每一个逻辑网段构成一个VLAN ，其内部采用交换机连接，所有的广播信息只限制在本VLAN 内，而之间的连接则采用路由实现，具体实施时可以外加路由器，或者直接使用第三层交换设备。使用路由器时，将这些逻辑网段连接到路由器时可以只使用一条物理链路、占用一个路由器接口，这样就节省了设备的投资，而使用三层交换设备时，不需要额外增加设备，只要交换机支持三层路由功能即可，由于三层交换设备的工作效率高于路由器，所以在本论文中推荐采用三层交换设备实现VLAN 之间的路由。

4.2.2 VLAN方案设计

目前，VLAN 技术可以使用以下方式组建：基于交换机端口的VLAN 、基于MAC 地址的VLAN 和基于应用协议的VLAN ：

基于端口的VLAN ，即静态VLAN ，特点是技术简单，容易配置且维护工作量小，缺点是终端设备移动时需要更改设备配置。

基于MAC 地址的VLAN ，即动态VLAN ，基于Vlan 策略服务组建，特点是终端设备可以在整个局域网中移动而不用改变配置，适合于移动办公型的网络环境，缺点是配置工作量大、繁琐。

由于交换机为二层设备，所以基于应用协议的VLAN 对于交换机来说没有任何意义，反而会造成交换机性能的下降。

考虑到本系统的特点，节点在网络中内移动的可能性较小，基于易维护、易管理

方面的考虑，使用基于交换机端口的VLAN 进行配置。

VLAN 规划参照图2，各个VLAN 间由ACL 控制，限制互访。其中VLAN10~31为部门VLAN ，禁止互访，VLAN 51为文件服务器区，能被任何部门访问，VLAN 52为网管区，能单向访问各个部门。

vlan10

192.168.10.0/24vlan11

192.168.11.0/24

vlan20

192.168.20.0/24vlan21

192.168.21.0/24vlan30

192.168.30.0/24vlan31

192.168.31.0/24图2 Vlan及IP 地址规划图

4.3 第三层交换技术设计方案

顾名思义，第三层交换器就是将第二层的交换器与第三层的路由器合二为一，使路由器根据第二层的地址转发数据包以达到快速通讯，这就形成了第三层交换器。

第三层交换出现因于ATM 与交换器的技术背景，因为传统的网络是由路由器作为中心的。使用第二层交换器使网络速度提升，可是在网络中使用过多的交换器，所有交换器所架构的网络可能会形成广播风暴，所以需要路由器来隔离可能会形成的广播风暴，为了使路由器不会形成网络的瓶颈，就形成了第三层交换。VLAN 将广播域进行分割，但透过VLAN 进行通讯则必须通过路由器进行转发。

所有核心层交换机均为三层交换，手动打开 ip routing。

4.4 IP multicast技术方案设计

为了使企业网络系统成为能够承载多种应用的多媒体网络，使网络点播和网络会议成为办公的有力工具，网络对组播的支持是必不可少的。

传统的点对点单播通信，在发送方和每一接收方需要单独的数据通道。在这种通信方式下，源IP 主机向指定的目标IP 主机发送信息包。IP 信息包中的目标地址就是IP 网络中惟一的主机地址。从一台主机送出的每个数据包只能传送给一个目标主机，通过路由器或交换机将这些IP 信息包从源主机发送到目标主机。在源主机和目标主机之间的路径上的每一个路由器都维护由单播路由协议生成的单播路由信息库，并根据数据包中的IP 目标地址在单播路由信息库中查找单播包转发路径。这种传送方式称为单播。

在单播方式下，如果有另外的多个用户希望同时获得这个数据包的拷贝是不可能的。发送信息的主机必须向每个希望接收此数据包的用户发送一份单独的数据包拷贝。这种巨大的冗余会带来很大的代价，首先，会给发送数据的源主机带来沉重的负担，因为它必须对每个要求都做出响应，这使得负担过于沉重主机的响应会大大延长。其次对路由器和交换机的性能也提出了更高的要求，管理人员被迫购买本来不必要的硬件和带宽来保证一定的服务质量。

组播路由与IP 单播路由有一个本质的区别就是，IP 单播路由是根据网络的拓扑结构而不是实际的会话来建立路径，而IP 组播路由则是根据网络的会话来动态地建立投递路径；因此，IP 组播路由比IP 单播路由更具有动态性。

目前可用的组播路由模型有两种：稠密分布模型和稀疏分布模型。稠密分布模型假定组播成员在网络中稠密分布，并且它们之间的网络带宽资源往往随时可用；而稀疏分布模型假定组播成员在网络中稀疏分布，而且它们之间带宽资源往往比较紧张。

组播和传统的单播数据传送方式如图3所示：

图3 组播示意图

从图中可以清楚的看出，单播传送发送数据的多个拷贝，每个拷贝发送到一个接收者，主机轮流发送数据的拷贝，网络分别将它们转发至每个接收者，主机一次只能发送至一个接收者。而组播传送则只把发送数据的一个拷贝发送到多个接收者，主机

发送数据的一个拷贝，可同时发送到多个接收者。网络在每个接收者的最后一个路由器或主机复制它，在一个给定的网络上每一个包只传送一次。

关于组播路由设计，在企业网络核心交换机和汇聚交换机上运行PIM-DM 组播协议对业务及服务进行支持，并提供优秀的可扩展性；在边缘交换机上运行IGMP Snooping 组播管理协议对业务及服务进行支持。

用户通过运行组播客户端软件的PC 运行IGMP 协议，用户可通过IGMP 协议加入某个组播组，建立成员关系。对于组播业务的具体实施及管理需根据不同的业务类型及厂家提供设备的特点具体进行分析。

目前经常被采用的稀疏分布模型的域内组播路由协议是PIM-SM ，因此，使用PIM-SM 作为域内组播路由协议。

PIM-SM 采用树形投递结构，被设计成限制组播报文只发给那些希望接收它的路由器，PIM-SM 围绕一个称为汇聚点(RP，Rendezvous Point)的路由器来设计组广播投递树；RP 在PIM-SM 中充当广播树的树根，所有报文首先被封装后从发送者采用单播的方式送往RP ，然后由RP 解封后送往所有接收者。但是，在PIM-SM 中，某个广播组接受者可以根据一定条件选择从以RP 为根的RPT 树切换到以发送者为根的所谓SPT 树；RPT 树和SPT 树各有其优点，RPT 树易于构造，并且可以减少路由器中所要维护的组播状态；如果广播组会话由大量低带宽多目的广播流构成，RPT 还可以节省网络资源，而SPT 树则可以采用最优路径，并消除封装和解封装过程，提供更好的性能。

采用PIM Version2作为组播路由协议。PIM （RFC 2362）是IETF 关于域内组播路由协议的标准，目前为大多数组播服务提供商采用。按照规划，选择核心节点作为整个企业网络组播系统的RP 点，来对整个企业网络的组播进行控制。

每个部门VLAN 划入一个多播地址： Vlan10：224.1.1.1 Vlan11：224.1.1.2 Vlan20：224.1.1.3 Vlan21：224.1.1.4 Vlan30：224.1.1.5 Vlan31：224.1.1.6 在核心交换机和PIX 上启用多播，命令如下： ip multicast-routing int interface #

ip pim sparse-dense-mode ip igmp join-group 224.1.1.X 配置PIX 为RP 的命令如下：

ip pim send-rp-announce Loopback0 scope 3 group-list 50 ip pim send-rp-discovery Loopback0 scope 3 access-list 50 permit 224.1.1.1

access-list 50 permit 224.1.1.2 access-list 50 permit 224.1.1.3 access-list 50 permit 224.1.1.4 access-list 50 permit 224.1.1.5 access-list 50 permit 224.1.1.6 ip pim rp-address 3.3.3.3

4.5 访问控制列表（ACL ）设计方案

访问控制列表（Access Control List，ACL ） 是路由器接口的指令列表，用来控制端口进出的数据包。ACL 适用于所有的被路由协议，如IP 、IPX 、AppleTalk 等。

ACL 的定义也是基于每一种协议的。如果路由器接口配置成为支持三种协议（IP 、AppleTalk 以及IPX ）的情况，那么，用户必须定义三种ACL 来分别控制这三种协议的数据包。

自反访问表在路由器的一边创建I P流量的动态开启，该过程是基于来自路由器另一边的会话进行的。在正常的操作模式下，自反访问表被配置并用于从路由器的不可信方，例如连接到I n t e r n e t的串行端口，创建开启表项。这些开启表项的创建是基于源于设备的可信方的会话进行的，例如以太网或令牌环网的用户连接到一个网段或连接到路由器端口的环。在该过程中，访问表执行的动作称为自反向过滤（ reflexive filtering）。该名称是根据此访问表的类型得来的。在I O S版本11 . 3中引入了自反访问表，并且它可用在所有的路由器平台上。

在核心层交换机上配置访问列表如下（由于各个端口配置相似，故只列出核心交换机SW1上的e0/1.1）：

ip access-list extended e0/0.1-in evaluate admin

deny ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 deny ip 192.168.10.0 0.0.0.255 192.168.21.0 0.0.0.255 deny ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 deny ip 192.168.10.0 0.0.0.255 192.168.31.0 0.0.0.255 deny ip 192.168.10.0 0.0.0.255 192.168.52.0 0.0.0.255 permit ip any any exit

ip access-list extended e-out permit ip any any reflect admin int e0/0.1

ip access-group e-out out ip access-group e0/0.1-in in exit

4.6 IP地址规划与路由设计方案

路由组织及其方案是IP 网络中的基本问题之一，涉及网络的连通性、可达性、稳定性、精确性和易管理性，其设计的好坏直接影响着网络性能。路由组织应根据网络对路由信息的需求，设计网络中路由信息的分布。

因为IP 地址的规划与路由策略息息相关，所以在以IP 地址规划的基础上，选择企业网络平台中最优的路由设计方案，以下详细论述了IP 地址规划与路由设计方案。

4.6.1 IP地址规划方案

IP 地址是整个网络系统运行的基石，IP 地址规划不仅应该满足当前的需求，还应该充分的考虑系统将来的扩展性，以满足将来发展的需要。因此需要对企业网络系统的IP 地址进行统一规划， IP 地址规划方案如下：

在整个网络环境中必须保持IP 地址的唯一性；

根据业务情况，为每个单位局域网分配一个或多个C 类地址段（指掩码为255.255.255.0的地址段），或者使用VLSM 技术进一步进行细化，如分配64个（掩码255.255.255.192）或者32个（掩码255.255.255.224）地址，满足当前要求，并留有一定的扩充余地（如2-3倍），便于将来增加节点。

地址分配具有层次性和连续性，便于管理，即在IP 地址规划时应该充分的考虑利用路由汇总技术，减少路由波动，使得各局部的变动不影响整个网络的其它部分，增加网络的稳定性，同时由于路由汇总技术能够缩减路由表项数，所以还能够提高路由器的处理效率。

使用VLSM 技术，在划分IP 地址时应该尽可能的减少IP 地址浪费：

三层交换设备之间的互联IP 地址使用30位子网掩码（255.255.255.252），以节约IP 地址；

网络设备管理接口使用32位子网掩码（255.255.255.255）；

在访问Internet 时，使用NAT 或者PAT 技术通过防火墙设备进行地址或者端口翻译，把私网地址转换成公网地址，以获得对Internet 的访问；

各局域网内，根据业务情况，本着满足需求和扩展性的要求，划分并预留出以下地址段：网络设备地址段、服务器地址段、办公网段。在划分这些网段时，需要注意所有单位应该统一规划，以使地址分段全网统一，便于维护，其IP 地址详细规划如表1：

表1 IP地址规划表

4.6.2 路由协议的选择

路由器上指明去另一点需要走的具体路径。动态路由是网络上的所有路由器互相通告自己所连的网段，各路由器根据某种算法计算出到每一点的最佳路径。

静态路由方式适用于网络拓扑结构确定并且结构简单，IP 地址规划完善，网络

规模较小的场合。静态路由配置简单，调试方便，但由于静态路由在网络上每增加一个点时，都需要在网络上所有现有路由器中增加路由，这样使得静态路由不适合于网络规模较大，网络不断发展的场合，而动态路由因为在网络上的路由器之间相互交换路由信息，增加一个节点时，网络上的其他路由器的配置可以不作任何修改，非常便于网络的扩展，根据企业网络系统的网络规模、结构和将来的扩展能力，使用动态路由协议。

在动态路由中比较常用的协议有以下几种：路由信息协议(RIP)、增强内部网关路由协议(EIGRP)和开放式最短路径优先(OSPF)。

RIP 和EIGRP 属于距离向量协议，OSPF 属于链路状态协议；RIP 配置简单，适合于较小规模的网络，这就限制了网络的发展；EIGRP 路由协议只适用于所有设备都是H3C 产品的情况，这就限制了网络产品的选型，降低了网络的灵活性，不适于网络规模的扩展；OSPF 虽然配置复杂，但是非常适合于较大规模的网络。

因此，在整个企业网络中建议使用适合大型网络运行的内部网关协议：OSPF ，OSPF 由于其快速的收敛速度，较低的带宽开销和极大的应用普遍性成为大型网络IGP 的不二选择，目前中国公众多媒体网骨干网部分所运行的协议就是OSPF ，而且Chinanet （163）电信宽带网也大都运行OSPF 路由协议。

开放式最短路径优先路由选择协议(OSPF)是于20世纪80年代后期发展起来, 并且早在90年代初就由互联网组织实现成为一个现代的与提供方无关的协议。在同一时期，RIP 协议已成为最主要的协议，但它随着网络规模的增长，已逐渐暴露出一些问题。H3C 的IGRP 协议是可用的，并有更优秀的路径选择特性，但它属于专门的公司且收敛时间太长。

OSPF 协议的发展借鉴了许多其他路由选择协议的思想：包括最初的ARPANET 链路的状态协议和OSI 协议。大规模地运用OSPF 协议的网络必须使用分层网络拓扑结构。这在实现上更容易一些，但发生协议变动时，可能会改变拓扑结构。

OSPF 协议属于链路状态路由协议，链路状态路由协议是通过给每个路由器提供足够的信息，使其能构建一张完整的网络映射图从而实现的。该图中的元素包含在路由器的“链路状态数据库”中，库中包含一个详尽的且易于了解的关于给定的链路状态路由域所有链路的列表。在OSPF 中，链路状态数据库列出了链路状态路由域中特定区域的所有链路。链路状态路由域或区域中的每一个路由器，其链路状态数据库的内容都是一致的。每个路由器都根据自己的拓扑数据库来确定它在网络中的位置，并以此计算自己的路由表。

目前，虽然距离向量算法已经有了一定的改进，如EIGRP 的DUAL 算法。但仍然不及OSPF 的链路状态算法成功。部分原因是链路状态算法本身从根本上改善了路由性能，而且比起EIGRP 来，OSPF 提供了更多更灵活的路由控制策略，方便复杂网络结构的用户实施路由规划。另一方面则在于OSPF 的开放性，为用户网络今后的扩

展提供了较大的空间和灵活性，从而获得了广泛的认可，使之成为内部路由协议的一种较佳选择。

总的来说OSPF 路由协议具有以下优点：

节省网络带宽：OSPF 属于链路状态协议，只有当网络连接状态发生变化时才彼此更新变化了的拓扑信息，而并非整个网络的LSDB ，从而大大节省了网络带宽，这对于大型的广域网来说很重要。

支持VLSM ：OSPF LSA(Link State Advertisement)中包含子网掩码。

支持层次化的网络结构设计：网络设计人员可以把一个大型OSPF 网络分成若干域(Area)，其中一个是主干域(Backbone Area, Area ID 0.0.0.0)，其它非主干域均与主干域相连，并通过主干域交换LSDB 。同时OSPF 还引入了外部路由(External Routes) 及ASBR (Autonomous System Boundary Router)概念，非OSPF 路由均视为外部路由，由ASBR 注入到OSPF 域。

支持路由总结(Route Summary)：OSPF ABR（连接多个区域的设备）具有路由总结的功能，如果连续地分配IP 地址空间，则ABR 仅向主干域广播总结后的路由信息，抑制那些具体的路由信息的广播，从而大大减小了其它域中路由器LSDB 及路由表的大小。

没有路由跳数限制：OSFF 路由表是基于LSDB 运行Dijkstra 算法计算出来的，没有跳数限制。

没有路由环路问题：OSPF 属于Link-State 路由协议，没有环路问题。

OSPF 其它特性：OSPF 定义了Stub Area及 Not-So-Stubby-Area(NSSA)，为设计包含多种路由协议的混合网络，以及控制LSDB 及路由表的大小提供了手段。

4.6.3 路由协议设计方案

整个企业网络的路由结构十分清晰：

核心层高性能交换机和路由器为Area 0，作为整个OSPF 路由系统域的路由主干，并作为自治系统边界路由器（ASBR ）连接各接入层交换机。

在核心层设备上进行配置，对相应的非0区域的路由表进行汇聚。

在网络需扩展时，沿用现在的路由机制，保证系统的扩展性，即以核心交换机作为ABR 和ASBR ，连接区域0和非0区域，并进行路由汇总。

访问Internet 的路由在核心交换设备上配置指向Internet 接入设备的默认路由，使得内网可以获得Internet 访问。

对于接入层的用户分两种情况来考虑：VLAN 直接接入的用户通过二层转发来实现；需要路由转发的用户通过静态路由来实现。

在PIX 上配置OSPF 协议如下： router ospf 1

log-adjacency-changes

network 192.168.5.0 0.0.0.3 area 0 network 192.168.5.4 0.0.0.3 area 0 network 192.168.5.8 0.0.0.3 area 0 network 192.168.51.0 0.0.0.255 area 0 network 192.168.52.0 0.0.0.255 area 0 在核心交换上配置OSPF 协议如下： router ospf 1

log-adjacency-changes

network 192.168.5.0 0.0.0.3 area 0 network 192.168.10.0 0.0.0.255 area 0 network 192.168.11.0 0.0.0.255 area 0 network 192.168.20.0 0.0.0.255 area 0 network 192.168.30.0 0.0.0.255 area 0

在边缘交换机Router 1上配置OSPF 协议如下（NBMA 类型，手工指定邻居，分支机构路由器Router2 配置类似于Router1）：

interface Serial2/1

ip address 192.168.45.4 255.255.255.0 ip nat inside ip virtual-reassembly encapsulation frame-relay serial restart-delay 0 clock rate 64000

frame-relay map ip 192.168.45.5 101 no frame-relay inverse-arp router ospf 1

log-adjacency-changes

network 192.168.5.8 0.0.0.3 area 0 network 192.168.45.0 0.0.0.255 area 0 neighbor 192.168.45.5

4.7 HSRP：热备份路由器协议

4.7.1 HSRP协议概述

实现HSRP （Hot Standby Router Protocol）的条件是系统中有多台路由器，它们

组成一个“热备份组”，这个组形成一个虚拟路由器。在任一时刻，一个组内只有一个路由器是活动的，并由它来转发数据包，如果活动路由器发生了故障，将选择一个备份路由器来替代活动路由器，但是在本网络内的主机看来，虚拟路由器没有改变。所以主机仍然保持连接，没有受到故障的影响，这样就较好地解决了路由器切换的问题。

为了减少网络的数据流量，在设置完活动路由器和备份路由器之后，只有活动路由器和备份路由器定时发送HSRP 报文。如果活动路由器失效，备份路由器将接管成为活动路由器。如果备份路由器失效或者变成了活动路由器，将有另外的路由器被选为备份路由器。

在实际的一个特定的局域网中，可能有多个热备份组并存或重叠。每个热备份组模仿一个虚拟路由器工作，它有一个Well －known －MAC 地址和一个IP 地址。该IP 地址、组内路由器的接口地址、主机在同一个子网内，但是不能一样。当在一个局域网上有多个热备份组存在时，把主机分布到不同的热备份组，可以使负载得到分担。

4.7.2 HSRP的工作原理

HSRP 协议利用一个优先级方案来决定哪个配置了HSRP 协议的路由器成为默认的主动路由器。如果一个路由器的优先级设置的比所有其他路由器的优先级高，则该路由器成为主动路由器。路由器的缺省优先级是100，所以如果只设置一个路由器的优先级高于100，则该路由器将成为主动路由器。

通过在设置了HSRP 协议的路由器之间广播HSRP 优先级，HSRP 协议选出当前的主动路由器。当在预先设定的一段时间内主动路由器不能发送hello 消息时，优先级最高的备用路由器变为主动路由器。路由器之间的包传输对网络上的所有主机来说都是透明的。

4.7.3 本方案的特点

1．高度的可靠性，两台路由器之间采用HSRP （热备份冗余协议）协议，来保证两台路由器中的任意一台down 掉，或路由器的广域网口down ，都会迅速切换到另外一台。

2．有效的实现了负载均衡，在核心交换机上划分出各自的VLAN ， VLAN 11~Vlan21在Core SW1上的HSRP 的优先级较高， VLAN 30~VLAN31在Core SW2上的HSRP 的优先级较高。充分利用了带宽资源，而且实现了负载均衡。

3．充分利用了多以太口路由器在划分多业务网段上的功能，也只有多以太口路由器在HSRP 应用中才能实现两个路由器间的负载分担，这是具有四个以太口路由器的极大的优点。

4．通过在交换机上设置VLAN ，有效的控制了两个子网间的安全。 5．不存在单点故障问题。

HSRP 设计如图4所示：

vlan10

192.168.10.0/24

HSRP 主路由：Core Sw1 HSRP 备份路由：Core Sw2 vlan11

192.168.11.0/24

HSRP 主路由：Core Sw1 HSRP 备份路由：Core Sw2 vlan20

192.168.20.0/24

HSRP 主路由：Core Sw1 HSRP 备份路由：Core Sw2 虚拟网关：192.168.10.101/24虚拟网关：192.168.11.101/24

虚拟网关：192.168.20.101/24虚拟网关：192.168.21.101/24虚拟网关：192.168.30.101/24虚拟网关：192.168.31.101/24

192.168.21.0/24

HSRP 主路由：Core Sw1 HSRP 备份路由：Core Sw2 vlan21

vlan30

192.168.30.0/24

HSRP 主路由：Core Sw2 HSRP 备份路由：Core Sw1 192.168.31.0/24

HSRP 主路由：Core Sw2 HSRP 备份路由：Core Sw1 优先级：100

vlan31

图4 HSRP设计示意图

完成核心层交换机的HSRP 命令配置后，Core SW1和Core SW2的输出如表2和表3所示：

表2 Core SW1上的HSRP 状态表

表3 Core SW2上的HSRP 状态表

5. 设备清单

根据设计方案，综合企业网络对传输速度、安全性、稳定性以及资金的考虑，对网络设备及相关线材、软件的选型如表4所示：

表4 设备清单表

东华理工大学本科毕业设计（论文） 结论

结论

1）随着科技的发展，网络在经济规模中正以不可替代的趋势，扮演着“利用信息资源，协调生产成本，提高经济效益”的重要角色。对于企业而言，网络的构建是企业不可缺少的一部分。

2）在设计网络结构时，企业的商业目的是优先处理的因素，因此要考虑其成本、扩充性、安装维护是否方便等。综合这些因素，使用网络设备商的中低端设备，构建快速以太网，是适合中小型企业网络的解决方案。

3）本方案中使用的主要技术方法：

采用成熟的OSPF 协议规划网络；

VLAN技术保证部门的隔离和安全，VTP 管理VLAN 的传播；

HSRP技术增强骨干网的稳定性，

组播技术，保证链路带宽费充分利用，避免浪费；

ACL管理，保证企业数据的安全性；

远程专线接入，保证企业远端数据与企业本部的同时更新；

参考文献

[1] Jeff Doyle. CCIE Professional Development Routing TCP/IP Volume Ⅰ. 人民邮电出版社

[2] Jeff Doyle .CCIE Professional Development Routing TCP/IP Volume Ⅱ. 人民邮电出版社

[3] Brent D.Stewart .H3C.Press.CCNP.BSCI.Official.Exam.Certification.Guide.4th.Edition.人民邮电出版社

[4] Brian.Morgan .H3C.Press.CCNP.ISCW.Official.Exam.Certification.Guide.1st.Editio.人民邮电出版社

[5] Dinae Teare .CCNP学习指南：组建可扩展的H3C 互联网络（BSCI ）（第三版）. 人民邮电出版社

[6] Brian Morgan Neil Lovering. CCNP ISCW认证考试指南. 人民邮电出版社

[7] Amir Ranjbar. CCNP ONT认证考试指南. 人民邮电出版社

[8] Richard Froom, Balaji Sivasubramanian, Erum Frahim. CCNP学习指南：组建H3C 多层交换网络(BCMSN)(第4

版). 人民邮电出版社

[9] David Hucaby .CCNP BCMSN认证考试指南(第4版). 人民邮电出版社

[10] David Hucaby .CCNP BCMSN认证考试指南(第三版). 人民邮电出版社

[11] David Hucaby. H3C.Press.H3C.ASA.PIX.and.FWSM.Handbook.2nd.Edition

[12] Eric Vyncke,Christopher Paggen. H3C.Press.LAN.Switch.Security.Sep.2007

[13] 房智勇.CCIE R&S路由与交换 CCIE SP 服务提供商 认证考试指南. 上海交通大学网络信息管理部

[14] Williamson. IP组播网络设计开发. 电子工业出版社