企業(yè)局域網(wǎng)規(guī)劃設(shè)計(正文).doc

此文檔收集于網(wǎng)絡(luò)，如有侵權(quán)，請聯(lián)系網(wǎng)站刪除第1章、功能需求分析迅速發(fā)展的Internet正在對全世界的信息產(chǎn)業(yè)帶來巨大的變革和深遠的影響。國內(nèi)越來越多的企業(yè)也已經(jīng)或正在考慮使用Internet/Intranet技術(shù)，以建設(shè)企業(yè)規(guī)劃化的信息處理系統(tǒng)。通過Internet與外部世界交換信息，本企業(yè)與全世界聯(lián)系起來，極大地提高了信息收集的能力和效率。企業(yè)內(nèi)部網(wǎng)（Intranet）是國際互連網(wǎng)（Internet）技術(shù)在企業(yè)內(nèi)部或封閉的用戶群內(nèi)的應(yīng)用。簡單地說，Intranet是使用Internet技術(shù)，特別是TCP/IP協(xié)議而建成的企業(yè)內(nèi)部網(wǎng)絡(luò)。這種技術(shù)允許不同計算機平臺進行互通，且不用考慮其位置。也就是所說的用戶可以對任何一臺進行訪問或從任何一臺計算機進行訪問。隨著Intranet技術(shù)的不斷發(fā)展，計算機已經(jīng)逐漸應(yīng)用到企業(yè)中的各個關(guān)鍵部分，極大的提高了企業(yè)的工作效率。1.1企業(yè)內(nèi)部資料、組織架構(gòu) 本企業(yè)是生產(chǎn)射頻接插件的科技技術(shù)型企業(yè)。企業(yè)由4個生產(chǎn)中心組成。每個生產(chǎn)中心由辦公樓和生產(chǎn)、裝配中心大樓組成。企業(yè)辦公樓生產(chǎn)、裝配中心 生產(chǎn)、裝配中心辦公樓生產(chǎn)中心2生產(chǎn)中心1按管理方的要求，一般一個生產(chǎn)中心局域網(wǎng)信息點共有222個。其中辦公樓60個，分別分布在3個樓層、生產(chǎn)、裝配中心136個分布于5層樓層，平房的26個信息點用于一層的階梯教室和企業(yè)輔助管理部門。各樓之間以光纜連接，構(gòu)成企業(yè)局域網(wǎng)。企業(yè)局域網(wǎng)的中心機房設(shè)在辦公樓的三層西側(cè)。生產(chǎn)、裝配中心的配線間設(shè)在三樓東側(cè)的北面。根據(jù)企業(yè)安排，信息點的具體分布是：辦公樓生產(chǎn)、裝配中心平房合計一層二層三層一層二層三層四層22201830303028262046011826204為適應(yīng)企業(yè)將來對各種網(wǎng)絡(luò)應(yīng)用的需求，另外隨著技術(shù)和工藝的進步，考慮到目前各類布線材料在價格方面比較接近，因此擬對所有信息點都按超五類UTP標(biāo)準(zhǔn)布線，每個信息點可實現(xiàn)不低于100Mb的帶寬，這樣不僅可支持一般的企業(yè)信息管理應(yīng)用對網(wǎng)絡(luò)傳輸帶寬的要求，而且完全支持MPEG-2等格式的多媒體信息傳輸。此布線方案只考慮數(shù)據(jù)信息點布線，不涉及語音信息點及其設(shè)備。1.2簡化作業(yè)管理流程,相對達到無紙辦公本企業(yè)是生產(chǎn)射頻接插件的科技技術(shù)型企業(yè)，生產(chǎn)全部使用ERP系統(tǒng)。輸入由電腦和鼠標(biāo)完成。輸出則基本由聯(lián)網(wǎng)打印機完成?；具_到了無紙辦公。1.3支持決策,能在短時間內(nèi)獲得信息 高速的內(nèi)部網(wǎng)各個信息點，及時的傳遞業(yè)務(wù)信息，供應(yīng)信息，生產(chǎn)信息，管理信息。供管理層及時決策。1.4外出人員與公司溝通WWW應(yīng)用是Intranet的標(biāo)志性應(yīng)用，最核心的應(yīng)用服務(wù)集中在WWW服務(wù)器上完成。因而對于WWW服務(wù)器的設(shè)計首要考慮的就是服務(wù)器性能問題，另外考慮到將來在Intranet平臺上做應(yīng)用開發(fā)的可能，對于WWW服務(wù)器同數(shù)據(jù)庫互聯(lián)的問題也應(yīng)作為重點考慮。1.5接入INTERNET功能對廣域網(wǎng)的連接需求主要表現(xiàn)在：能夠與國際互聯(lián)網(wǎng)連接，與國際交流信息；能夠與CERNET國內(nèi)各個單位交流信息。C11inaNet連接、與國內(nèi)各個單位交流信息。滿足出差在外的校領(lǐng)導(dǎo)及其它公務(wù)人員及時與學(xué)校保持聯(lián)絡(luò)。為此應(yīng)通過DDN、無線網(wǎng)等公用或者專用數(shù)據(jù)網(wǎng)絡(luò)與CERNET連接，再連到Internet。對辦公樓的網(wǎng)絡(luò)布線按照國際有關(guān)計算機網(wǎng)絡(luò)通信的標(biāo)準(zhǔn)進行設(shè)計。申請正式IP和域名，配置路由器，安裝Server（資源共享，Web），完成與Internet的連接，整體網(wǎng)絡(luò)既可在內(nèi)部使用，又可與外網(wǎng)互聯(lián)訪問Internet，實現(xiàn)與外界的數(shù)據(jù)交換。第2章、局域網(wǎng)設(shè)計方案概述2.1 設(shè)計目標(biāo)：按功能需求要求1） 根據(jù)企業(yè)對信息點的安排和網(wǎng)絡(luò)應(yīng)用的需求制定合理的企業(yè)網(wǎng)總體建設(shè)規(guī)劃和實施方案；2） 對企業(yè)辦公樓、生產(chǎn)、裝配中心和平房輔助管理部門等幾座主要建筑物實施局域網(wǎng)結(jié)構(gòu)化布線；3） 完成從辦公樓的網(wǎng)絡(luò)中心分別到生產(chǎn)、裝配中心和階梯教室所在平房的2條六芯室外主干網(wǎng)光纜的敷設(shè)。4） 實現(xiàn)企業(yè)核心交換機與二級交換機的連接、安裝、配置和調(diào)試；5） 實施對新購服務(wù)器和部分微機網(wǎng)絡(luò)工作站的連接和入網(wǎng)調(diào)試。2.2 設(shè)計原則2.2.1 先進性我們設(shè)計的網(wǎng)絡(luò)方案采用三層分布式結(jié)構(gòu)。核心層選用包括了銳捷網(wǎng)絡(luò)高性能的萬兆以太網(wǎng)交換機，可以實現(xiàn)對全網(wǎng)的數(shù)據(jù)進行高速無阻塞的交換，負(fù)責(zé)路由管理、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)服務(wù)、核心數(shù)據(jù)處理等。匯聚層由銳捷網(wǎng)絡(luò)STAR-S4909/S3550-12G全千兆路由交換機組成，負(fù)責(zé)接入層匯聚，提供高速無阻塞的鏈路到核心層，抑制廣播風(fēng)暴和分流核心數(shù)據(jù)處理壓力等，可實施分布式三層，大大提升網(wǎng)絡(luò)性能。接入層選用提供上聯(lián)千兆，10/100M桌面接入，并在全部采用認(rèn)證和流控等手段進行接入控制，充分滿足用戶的高速接入等，并可靈活擴展，增加端口密度。選用STAR-S2100。采用WINDOWS SERVER 2003操作系統(tǒng)2.2.2 安全可靠性可靠性：對工作站、服務(wù)器、交換機及其他主要相關(guān)設(shè)備在廠家、品牌、服務(wù)等方面進行充分調(diào)研、論證、選擇，確保硬件設(shè)備的基本品質(zhì)。 采用WINDOWS 2000作為網(wǎng)絡(luò)操作系統(tǒng)，并以“數(shù)據(jù)庫”的方式建立各種生產(chǎn)、裝配中心和管理應(yīng)用系統(tǒng)，保證網(wǎng)絡(luò)系統(tǒng)和應(yīng)用系統(tǒng)的安全穩(wěn)定。容錯技術(shù)采用：雙工磁盤技術(shù)在網(wǎng)絡(luò)系統(tǒng)上建立起兩套同樣的且同步工作的文件服務(wù)器，如果其中一個出現(xiàn)故障，另一個將立即自動投入系統(tǒng)，接替發(fā)生故障的文件服務(wù)器的全部工作。2.2.3 實用性：性能指標(biāo)能滿足各項業(yè)務(wù)處理能力企業(yè)組網(wǎng)的方案在接入交換機將用戶賬號、MAC地址與端口的捆綁實現(xiàn)高效的用戶控制；采用網(wǎng)絡(luò)管理系統(tǒng)TCLView，使網(wǎng)絡(luò)易維護、易管理，可實施性好。2.2.4 可擴展性可擴展性：網(wǎng)絡(luò)核心層、匯聚層采用模塊化交換機，按照需求靈活配置各種模塊，做到既滿足需求，由留有余地。整個網(wǎng)絡(luò)架構(gòu)采用三層結(jié)構(gòu)，使網(wǎng)絡(luò)具有較好的伸縮性、可以根據(jù)網(wǎng)絡(luò)建設(shè)的不同階段靈活配置和擴展，具有能不斷吸收新技術(shù)、新方法的功能。2.2.5 開放性 本次設(shè)計的中央集成管理系統(tǒng)將是一個完全開放性的系統(tǒng)，通過編制系統(tǒng)的接口軟件將解決不同系統(tǒng)和產(chǎn)品間接口協(xié)議的“標(biāo)準(zhǔn)化”，以使他們之間具備“互操作性”。所有接口均基于標(biāo)準(zhǔn)的TCP/IP數(shù)據(jù)接口協(xié)議和內(nèi)容。系統(tǒng)的開放性設(shè)計完全遵循國際主流標(biāo)準(zhǔn)以及工業(yè)標(biāo)準(zhǔn)。第3章. 局域網(wǎng)規(guī)劃設(shè)計方案3.1 技術(shù)規(guī)劃3.1.1 網(wǎng)絡(luò)體系結(jié)構(gòu)企業(yè)網(wǎng)絡(luò)總拓?fù)滢k公大樓網(wǎng)絡(luò)總拓?fù)?.1.2 網(wǎng)絡(luò)層次劃分 核心層：核心層配置設(shè)備承擔(dān)的任務(wù)主要是通過核心層設(shè)備與匯聚層間信息的交流、分發(fā)與管理，因此核心層設(shè)備是整個網(wǎng)絡(luò)的中心樞紐，應(yīng)具有強大的交換能力，保證不會發(fā)生信息擁塞；強大的安全防護能力，保證不會因單點故障而影響整個系統(tǒng)的正常運行；有效的故障恢復(fù)能力,保證任何一種單點故障都能在短時間內(nèi)迅速予以恢復(fù)。匯聚層：匯聚層設(shè)備承擔(dān)的任務(wù)，一是構(gòu)造本地網(wǎng)絡(luò)核心，二是通過核心設(shè)備實現(xiàn)與其他部分大量信息交換。匯聚層設(shè)備具備較高的吞吐能力和上連帶寬，同時還具備強有力的用戶訪問控制能力（即三、四層交換能力、虛網(wǎng)功能）。接入層：接入層的功能在于將各種媒體、各種速度、任何地方的最終用戶接入IP網(wǎng)絡(luò)。這一層主要實現(xiàn)各單位終端節(jié)點設(shè)備的接入，并上連到網(wǎng)絡(luò)匯聚層。這一層網(wǎng)絡(luò)建設(shè)可以根據(jù)各節(jié)點的具體情況分期分批建設(shè)。3.1.3 網(wǎng)絡(luò)IP子網(wǎng)劃分根據(jù)企業(yè)安排，信息點的具體分布是：辦公樓生產(chǎn)、裝配中心平房合計一層二層三層一層二層三層四層22201830303028262046011826204把一個大網(wǎng)縮小為若干小網(wǎng)，叫子網(wǎng)（作動詞），而要把一個或幾個小網(wǎng)擴大為一個大網(wǎng)，叫超網(wǎng)，后者一般應(yīng)用于電信等其它領(lǐng)域，我們不作討論。劃分IP子網(wǎng)，有利于我們搞好系統(tǒng)維護，合理配置系統(tǒng)資源，減少資源浪費，企業(yè)信息點以樓層劃分。根據(jù)的保留地址劃分企業(yè)內(nèi)部局域網(wǎng)，屬于C類地址，子網(wǎng)掩碼。根據(jù)結(jié)構(gòu)分析，生產(chǎn)、裝配中心一層，數(shù)量最大，30臺，為每個樓層劃分單獨的網(wǎng)段公式：2N-2=Hosts2N-2=30 N=5N代表掩碼中0的個數(shù)，5個零則意味著二進制掩碼為11100000，即十進制的224加上前面24個1，1 的總數(shù)為27個。子網(wǎng)掩碼24確定掩碼規(guī)則以后，就要確認(rèn)每一個子網(wǎng)的具體地址段。當(dāng)前的IP地址的最后一位是0，二進制表示為00000000；而我們已經(jīng)算出的掩碼24的最后一位是224，二進制表示為11100000000000001110000000000000與結(jié)果：0001000001110000000100000與結(jié)果：32去除網(wǎng)絡(luò)回環(huán)地址，廣播地址依次類推辦公樓一層 2辦公樓二層 4辦公樓三層 6生產(chǎn)、裝配中心一層 28生產(chǎn)、裝配中心二層 60生產(chǎn)、裝配中心三層 92生產(chǎn)、裝配中心四層 243.1.4 網(wǎng)絡(luò)流量規(guī)劃一個設(shè)計成功的企業(yè)網(wǎng)，其網(wǎng)絡(luò)流量合理，系統(tǒng)各部分負(fù)載均衡。那么什么是網(wǎng)絡(luò)流量呢？網(wǎng)絡(luò)流量簡而言之就是網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)量。就像要根據(jù)來往車輛的多少和流向來設(shè)計道路的寬度和連接方式一樣，根據(jù)網(wǎng)絡(luò)流量設(shè)計企業(yè)網(wǎng)絡(luò)是十分必要的?！?0 /20”規(guī)則在傳統(tǒng)網(wǎng)絡(luò)中，一般將使用相同應(yīng)用程序的用戶放到同一工作組中，他們經(jīng)常使用的服務(wù)器也放在一起。工作組位于同一物理網(wǎng)段或VLAN（虛擬局域網(wǎng)）中。這樣做的目的是將網(wǎng)絡(luò)上客戶機與服務(wù)器之間產(chǎn)生的數(shù)據(jù)流量限制在同一網(wǎng)段中。在同一網(wǎng)段，可以使用帶寬相對高的交換機連接客戶機和服務(wù)器，而不必使用帶寬相對較低的路由器。將大部分網(wǎng)絡(luò)流量控制在本地的這種網(wǎng)絡(luò)設(shè)計模式，被稱為“80/20規(guī)則”，即80%的網(wǎng)絡(luò)流量是本地流量（采用交換機交換數(shù)據(jù)），在同一網(wǎng)段中傳輸；只有20%的網(wǎng)絡(luò)流量才需要通過網(wǎng)絡(luò)主干（路由器或三層交換機）。“80/20”規(guī)則中的“80”和“20”不能簡單地理解為數(shù)字，應(yīng)該理解為網(wǎng)絡(luò)流量分布的方式，即大部分網(wǎng)絡(luò)流量局限在本地工作組，小部分流量通過網(wǎng)絡(luò)主干。因此在實際網(wǎng)絡(luò)設(shè)計中，只要大部分網(wǎng)絡(luò)流量在本地、小部分網(wǎng)絡(luò)流量通過主干，就認(rèn)為它符合了“80/20”規(guī)則，而不管實際的數(shù)字比例是多少。后面談及的“20/80”規(guī)則也是如此。按照“80/20”規(guī)則，分支交換機可以使用不支持VLAN的交換機，如全向的QS-6924交換機，這樣能夠大大降低不必要的開支。當(dāng)然使用支持VLAN的交換機產(chǎn)品就更好了，如果以后想劃分子網(wǎng)也比較方便，全向系列交換機中，帶有“V”的型號具有VLAN功能，如QS-532V交換機、QS-516V交換機等?！?0/80”規(guī)則隨著網(wǎng)絡(luò)應(yīng)用的逐漸豐富，“80/20”規(guī)則已經(jīng)不能完全滿足網(wǎng)絡(luò)設(shè)計的需要。而一種被稱為“集中存儲、分布計算”的模式逐漸得到推廣。集中存儲，就是數(shù)據(jù)集中在網(wǎng)絡(luò)中心存儲，如已經(jīng)得到普遍使用的Web服務(wù)、電子郵件系統(tǒng)和逐漸流行的VOD（視頻點播）、多媒體資源庫等；分布計算，就是數(shù)據(jù)被下載到各個工作站上處理，如使用網(wǎng)絡(luò)上的多媒體資源庫制作多媒體課件等。在“集中存儲、分布計算”的網(wǎng)絡(luò)應(yīng)用模式下，對網(wǎng)絡(luò)流量的要求已經(jīng)大大偏離了“80/20”規(guī)則，一種新的規(guī)則應(yīng)運而生，這就是“20/80”規(guī)則。在符合“20/80”規(guī)則的網(wǎng)絡(luò)中，只有大約20%的網(wǎng)絡(luò)流量局限在本地工作組，而大約80%網(wǎng)絡(luò)流量經(jīng)過網(wǎng)絡(luò)主干傳輸。這種網(wǎng)絡(luò)流量模式的轉(zhuǎn)變，給企業(yè)網(wǎng)主干交換機帶來了很大的負(fù)荷。因此理想狀態(tài)下主干交換機應(yīng)該能夠提供與下面連接的支干交換機相匹配的性能，即提供線速三層交換，也就是說，下面的支干交換機能夠跑多快，上面的主干交換機也應(yīng)該能夠跑多快。同樣，如果網(wǎng)絡(luò)中有許多按功能劃分的VLAN，這些VLAN也很難管理。在以往的“80/20”規(guī)則中，服務(wù)器往往分布在VLAN中，因此對于各工作組來說，訪問起來比較快。但是在“20/80”規(guī)則中，服務(wù)器往往集中在網(wǎng)絡(luò)中心，因此對于各工作組，必須實現(xiàn)跨VLAN的訪問。沒有三層交換機，VLAN之間無法通信，VLAN類似于硬盤的邏輯分區(qū)，可以簡單地理解為把同一硬盤劃分成不同的硬盤盤符。但是與邏輯盤不同的是，VLAN之間通信可不像把文件從一個邏輯盤復(fù)制到另一個邏輯盤那樣簡單，而是必須依靠路由器才能使VLAN之間相互通信。因此符合“20/80”規(guī)則的大中型網(wǎng)絡(luò)必須使用三層交換機，如神州數(shù)碼D-Link的 DES-6706交換機。企業(yè)網(wǎng)適用哪一條規(guī)則在企業(yè)網(wǎng)絡(luò)環(huán)境中，有的地方“80/20”規(guī)則適用，數(shù)據(jù)流量一般局限在本地子網(wǎng)中，如果將專用的服務(wù)器架設(shè)在網(wǎng)絡(luò)中心，必將大大增加網(wǎng)絡(luò)主干的負(fù)擔(dān)。有的地方“20/80”規(guī)則適用，比如電子郵件服務(wù)器、Web服務(wù)器等，是任何網(wǎng)絡(luò)用戶都會使用的，就應(yīng)當(dāng)放置在網(wǎng)絡(luò)主干上，如果放在某一個子網(wǎng)中，不僅增加該子網(wǎng)的負(fù)擔(dān)，其他子網(wǎng)的用戶訪問起來也會很慢。3.1.5 以太網(wǎng)交換技術(shù)以太網(wǎng)交換技術(shù)具有許多類型，各自宣傳其具有不同的優(yōu)點；通過簡單的鼠標(biāo)即可增加、移動和改變往來落的結(jié)構(gòu)；比網(wǎng)橋和路由器更為有效地進行網(wǎng)絡(luò)分段；為高性能工作站或服務(wù)器提供高寬帶。網(wǎng)絡(luò)管理者渴望采用這些技術(shù)，但是首先他們想了解各種以太網(wǎng)交換技術(shù)。當(dāng)前有兩種以太網(wǎng)交換技術(shù)：靜態(tài)以太網(wǎng)交換和動態(tài)以太網(wǎng)交換。一、靜態(tài)以太網(wǎng)交換靜態(tài)以太網(wǎng)交換是為網(wǎng)絡(luò)管理者通過軟件來完成網(wǎng)絡(luò)配置的增加、移動及改變而設(shè)計的。靜態(tài)以太網(wǎng)交換工作與傳統(tǒng)的共享式網(wǎng)絡(luò)環(huán)境。所以稱為“靜態(tài)”是由于需要網(wǎng)絡(luò)管理員的人工干預(yù)，既每次網(wǎng)絡(luò)節(jié)點的移動和增加，網(wǎng)絡(luò)管理員必須通過網(wǎng)絡(luò)管理軟件進行操作。一旦一次靜態(tài)交換操作完成，用戶或工作站將被移到一個新的共享網(wǎng)段，并且一直呆在那里直到另一次新的操作。靜態(tài)交換允許網(wǎng)絡(luò)管理員在一個內(nèi)將用戶容易地從一個共享局域網(wǎng)總線移到另外一個共享局域網(wǎng)總線。，集線器的以太網(wǎng)總線是由工程部臺工作站共享的以太網(wǎng)網(wǎng)段。而以太網(wǎng)總線是由市場部的工作站所共享）的網(wǎng)段，以上兩個網(wǎng)段都是傳統(tǒng)的共享局域網(wǎng)。當(dāng)工程部某位工程師調(diào)至市場部，希望將其工作站連至市場部局域網(wǎng)段（以太網(wǎng)總線）時，該如何操作？對靜態(tài)以太網(wǎng)交換，網(wǎng)絡(luò)管理員只需通過網(wǎng)絡(luò)管理工作站的集線器圖形界面，用鼠標(biāo)將調(diào)離的工程師工作站所對應(yīng)的端口從總線拉至總線即可。這種改變只需幾秒鐘的時間。而傳統(tǒng)的方法，則需網(wǎng)絡(luò)管理員通過查線、撥號、重新布線等一系列的工作才能完成。顯然，在網(wǎng)絡(luò)結(jié)構(gòu)需經(jīng)常改變的場合，靜態(tài)交換以太網(wǎng)極為適宜。靜態(tài)交換不能改變帶寬(性能), 用戶唯一可以提高網(wǎng)絡(luò)性能的方法是將工作站從擁擠的網(wǎng)段移到空閑的網(wǎng)段。只有動態(tài)以太網(wǎng)交換才可以增加標(biāo)準(zhǔn)以太網(wǎng)的帶寬(性能)。二、動態(tài)以太網(wǎng)交換動態(tài)以太網(wǎng)交換最初設(shè)計思路來源于電話網(wǎng), 即在一個系統(tǒng)內(nèi)同時按需存在許多點-點會話.動態(tài)以太網(wǎng)交換可以在不改變標(biāo)準(zhǔn)以太網(wǎng)節(jié)點設(shè)備的同時( 即工作站和服務(wù)器采用標(biāo)準(zhǔn)的以太網(wǎng)卡,驅(qū)動程序,電纜和應(yīng)用程序),極大地提高網(wǎng)絡(luò)的帶寬.其工作過程如下:交換機檢查來自PC的數(shù)據(jù)包; 交換機識別該數(shù)據(jù)包的源地址和目的地址;交換機動態(tài)打開一專用的10Mbps鏈路,將包由源地址端口傳送至目的地址端口。動態(tài)交換檢查由A工作站發(fā)往B工作站的數(shù)據(jù)包,在A與B 之間動態(tài)建立一專用的10Mbps鏈路.顯然,不象傳統(tǒng)的共享以太網(wǎng), 數(shù)據(jù)包不是發(fā)往網(wǎng)絡(luò)上的所有工作站,而是對每一數(shù)據(jù)傳輸產(chǎn)生專用的10Mbps鏈路.而連接到動態(tài)交換上的工作站及服務(wù)器仍使用標(biāo)準(zhǔn)的以太網(wǎng)卡,驅(qū)動程序,電纜及應(yīng)用程序。在動態(tài)交換的內(nèi)部,標(biāo)準(zhǔn)以太網(wǎng)的沖突式網(wǎng)絡(luò)存取機制(CSMA/CD)不再存在, 與以太網(wǎng)相依存的沖突顯著變小或不復(fù)存在, 每一用戶昀可獨立享受局域網(wǎng)的全部帶寬(以太網(wǎng)10Mbps),所有的數(shù)據(jù)包都通過專用的點對點10Mbps鏈路進行交換,因此以太網(wǎng)交換為諸如客戶機/服務(wù)器應(yīng)用,分布式數(shù)據(jù)庫,圖像處理,CAD,甚至多媒體等數(shù)據(jù)密集型網(wǎng)絡(luò)應(yīng)用提供了足夠的帶寬。因為數(shù)據(jù)不昌傳送到所有的端口,網(wǎng)絡(luò)也難以被竊聽,所以動態(tài)交換環(huán)境比共享式以太網(wǎng)更加安全.動態(tài)交換同時檢查所有數(shù)據(jù)包,同時開辟許多的10Mbps 專用鏈路以完成并行的數(shù)據(jù)通信。這樣在任何時間內(nèi)可以存在許多專用的源-目的以太網(wǎng)。 動態(tài)交換以太網(wǎng)的這種并行的,點對點特性與電話網(wǎng)相似,同時也與FTM相近。一旦一個獨立的端口通信完成,動態(tài)交換釋放此鏈路。因此,動態(tài)交換的帶寬流量是按需的,這種按需帶寬特性是ATM網(wǎng)的另一特性.但因動態(tài)以太網(wǎng)交換是建立在標(biāo)準(zhǔn)以太網(wǎng)基礎(chǔ)上( 標(biāo)準(zhǔn)接口卡,驅(qū)動,電纜和應(yīng)用) , 用戶可以保留其在原有以太網(wǎng)上的投資和基礎(chǔ)上, 獲得像ATM一樣的專用帶寬及安全保密性。三、以太網(wǎng)交換技術(shù)分類上面已討論了動態(tài)交換和靜態(tài)交換在功能和應(yīng)用上的基本差異, 下面將著重討論每種交換技術(shù)的兩種實現(xiàn)方式:動態(tài)端口交換動態(tài)段交換靜態(tài)端口交換靜態(tài)模塊交換對靜態(tài)交換而言,模塊交換和端口交換差別很小,它們可應(yīng)用于相同的場合, 而對動態(tài)交換,段交換與端口交換的應(yīng)用明顯不同.1.動態(tài)端口交換動態(tài)端口交換的功能已在前面講述過,每一端口聯(lián)接到單一的工作站或服務(wù)器.因為每一端口可被按需賦予一個獨立的 10Mbps專用以太網(wǎng)鏈路,這樣可以賦予每一工作站或服務(wù)器更高的網(wǎng)絡(luò)帶寬。2.動態(tài)段交換動態(tài)段交換與動態(tài)端口交換的功能相似,通過交換結(jié)構(gòu),按需提供專用的端口間10Mbps專用鏈路.每一動態(tài)段交換端口可以連接一個網(wǎng)段(即傳統(tǒng)的共享以太網(wǎng)),而不只是一個工作站或服務(wù)。動態(tài)段交換通過對大量MAC地址的識別來完成此功能。用端口連結(jié)整個網(wǎng)段,可以使動態(tài)段交換取代現(xiàn)今分段網(wǎng)絡(luò)中的路由器及網(wǎng)橋。如果網(wǎng)段A的用戶在網(wǎng)段內(nèi)發(fā)送數(shù)據(jù)包, 交換識別數(shù)據(jù)為本網(wǎng)段數(shù)據(jù)包而不允許這些數(shù)據(jù)包進入其它網(wǎng)段.但是如果網(wǎng)絡(luò)段A的用戶發(fā)送數(shù)據(jù)包到網(wǎng)絡(luò)段B,則交換機識別那些傳送至網(wǎng)段B的數(shù)據(jù)包,分配一專用的10Mbps鏈路，發(fā)送數(shù)據(jù)包到網(wǎng)段B的目的用戶.網(wǎng)絡(luò)分段,即將一個大的擁擠的網(wǎng)絡(luò)分成一系列的小型網(wǎng)絡(luò),每一網(wǎng)絡(luò)具有小的用戶和小的流量。以前網(wǎng)絡(luò)分段一般是通過網(wǎng)橋和路由器來實現(xiàn)的, 而采用動態(tài)段交換對網(wǎng)絡(luò)分段比用網(wǎng)橋和路由器更優(yōu)越,理由如下:(1)價低.(2)易管理,而路由器需要QSI協(xié)議中網(wǎng)絡(luò)層的復(fù)雜網(wǎng)絡(luò)管理.(3)更快速,因為交換只檢測其數(shù)據(jù)包頭中的源及目的地址, 而網(wǎng)橋及路由器則需檢測整個包,這樣交換所產(chǎn)生的時延比網(wǎng)橋及路由器小得多.3.靜態(tài)端口交換靜態(tài)端口交換允許網(wǎng)絡(luò)管理員通過軟件將用戶工作站從一條共享以太網(wǎng)總線移到另一條，靈活地對網(wǎng)絡(luò)進行增加,減少所需的交換模塊訂貨量.例如,在網(wǎng)絡(luò)上增加8個用戶,他們工作于4個不同的部門,在4條不同的以太網(wǎng)總線上。所有這些用戶可以采用一塊單一的端口交換模塊來實現(xiàn).與此相比,以前則需購4 塊新的模塊并連到不同的總線,但每個新的模塊的大部分端口是未用的,造成低效及浪費.4.靜態(tài)模塊交換靜態(tài)模塊交換也是由軟件來實現(xiàn)網(wǎng)絡(luò)的增加,移動和改變.與靜態(tài)端口交換不同的是,靜態(tài)模塊交換是將整個模塊(包括模塊上的所有端口) 從一條共享總線移至另一條共享總線.3.1.6 虛擬交換技術(shù)一、VLAN技術(shù)的概述及其優(yōu)點VLAN（虛擬局域網(wǎng)）是對連接到的第二層交換機端口的網(wǎng)絡(luò)用戶的邏輯分段，不受網(wǎng)絡(luò)用戶的物理位置限制而根據(jù)用戶需求進行網(wǎng)絡(luò)分段。一個VLAN可以在一個交換機或者跨交換機實現(xiàn)。VLAN可以根據(jù)網(wǎng)絡(luò)用戶的位置、作用、部門或者根據(jù)網(wǎng)絡(luò)用戶所使用的應(yīng)用程序和協(xié)議來進行分組?；诮粨Q機的虛擬局域網(wǎng)能夠為局域網(wǎng)解決沖突域、廣播域、帶寬問題。傳統(tǒng)的共享介質(zhì)的以太網(wǎng)和交換式的以太網(wǎng)中，所有的用戶在同一個廣播域中，會引起網(wǎng)絡(luò)性能的下降，浪費可貴的帶寬；而且對廣播風(fēng)暴的控制和網(wǎng)絡(luò)安全只能在第三層的路由器上實現(xiàn)。 VLAN相當(dāng)于OSI參考模型的第二層的廣播域，能夠?qū)V播風(fēng)暴控制在一個VLAN內(nèi)部，劃分VLAN后，由于廣播域的縮小，網(wǎng)絡(luò)中廣播包消耗帶寬所占的比例大大降低，網(wǎng)絡(luò)的性能得到顯著的提高。不同的VLAN之間的數(shù)據(jù)傳輸是通過第三層（網(wǎng)絡(luò)層）的路由來實現(xiàn)的，因此使用VLAN技術(shù)，結(jié)合數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層的交換設(shè)備可搭建安全可靠的網(wǎng)絡(luò)。網(wǎng)絡(luò)管理員通過控制交換機的每一個端口來控制網(wǎng)絡(luò)用戶對網(wǎng)絡(luò)資源的訪問，同時VLAN和第三層第四層的交換結(jié)合使用能夠為網(wǎng)絡(luò)提供較好的安全措施。另外，VLAN具有靈活性和可擴張性等特點，方便于網(wǎng)絡(luò)維護和管理，這兩個特點正是現(xiàn)代局域網(wǎng)設(shè)計必須實現(xiàn)的兩個基本目標(biāo)，在局域網(wǎng)中有效利用虛擬局域網(wǎng)技術(shù)能夠提高網(wǎng)絡(luò)運行效率。 二、VLAN的實現(xiàn)VLAN的實現(xiàn)方式有兩種：靜態(tài)和動態(tài)。靜態(tài)實現(xiàn)是網(wǎng)絡(luò)管理員將交換機端口分配給某一個VLAN，這是一種最經(jīng)常使用的配置方式，容易實現(xiàn)和監(jiān)視，而且比較安全。動態(tài)實現(xiàn)方式中，管理員必須先建立一個較復(fù)雜的數(shù)據(jù)庫，例如輸入要連接的網(wǎng)絡(luò)設(shè)備的MAC地址及相應(yīng)的VLAN號，這樣當(dāng)網(wǎng)絡(luò)設(shè)備接到交換機端口時交換機自動把這個網(wǎng)絡(luò)設(shè)備所連接的端口分配給相應(yīng)的VLAN。動態(tài)VLAN的配置可以基于網(wǎng)絡(luò)設(shè)備的MAC地址、IP地址、應(yīng)用或者所使用的協(xié)議。實現(xiàn)動態(tài)VLAN時候一般情況下使用管理軟件來進行管理。在CISCO交換機上可以使用VLAN管理策略服務(wù)器（VMPS）實現(xiàn)基于MAC地址的動態(tài)VLAN配置。VMPS是MAC地址與VLAN的映射表。這種配置的優(yōu)點是網(wǎng)絡(luò)管理員維護管理相應(yīng)的數(shù)據(jù)庫，而不用關(guān)心用戶使用哪一個端口，但是每次新用戶加入時需要做較復(fù)雜的手工配置?；贗P地址的動態(tài)配置中，交換機通過查閱網(wǎng)絡(luò)層的地址自動將用戶分配到不同的虛擬局域網(wǎng)。 3.2硬件系統(tǒng)結(jié)構(gòu)硬件選擇網(wǎng)絡(luò)接入層STAR-S2100系列交換機具有高安全特性，有效防御病毒和網(wǎng)絡(luò)攻擊，控制用戶非法接入； STAR-S2100系列交換機可提供多種安全機制，如專家級ACL功能（可以對MAC地址IP地址VLAN號傳輸端口號協(xié)議類型時間ACL的任意組合）可以防止紅色代碼病毒、沖擊波病毒；端口和MAC、IP綁定可以控制Synflood攻擊；支持IGMP源端口檢查，有效控制非法組播源，提高多媒體組播業(yè)務(wù)的正常運行證。種種安全策略的實施保證了數(shù)字圖書館全網(wǎng)的穩(wěn)定、安全運行?；诹鞯膸捪拗票ＷC網(wǎng)絡(luò)發(fā)揮的最大效能STAR-S2100可以基于VLAN ID、用戶ID、IP地址等多種分類方式為不同應(yīng)用提供不同的接入服務(wù)策略。STAR-S2100的用戶帶寬控制技術(shù)采用了類似ATM的CBR方式，利用大容量的緩存為突發(fā)數(shù)據(jù)流整形，不但可以將帶寬控制精確到Kbps級別，而且有效防止了突發(fā)數(shù)據(jù)包的丟失。STAR-S2100系列交換機均支持基于流的QoS策略，具備MAC流、IP流、應(yīng)用流等多層流分類和流控制能力，實現(xiàn)帶寬控制、轉(zhuǎn)發(fā)優(yōu)先級等多種流策略，支持網(wǎng)絡(luò)根據(jù)不同的應(yīng)用以及不同應(yīng)用所需要的服務(wù)質(zhì)量特性提供服務(wù)，有效地保障了用戶關(guān)鍵業(yè)務(wù)的高速運行。接入層采用先進的堆疊技術(shù)，彈性擴展網(wǎng)絡(luò)cisco的29系列可以堆疊在一起來使用。堆疊是通過集線器的背板連接起來的，它是一種建立在芯片級上的連接，如2個24口交換機堆疊起來的效果就像是一個48口的交換機，優(yōu)點是不會產(chǎn)生瓶頸的問題。堆疊(Stack)和級聯(lián)(Uplink)是多臺交換機或集線器連接在一起的兩種方式。它們的主要目的是增加端口密度。但它們的實現(xiàn)方法是不同的。簡單地說，級聯(lián)可通過一根雙絞線在任何網(wǎng)絡(luò)設(shè)備廠家的交換機之間，集線器之間，或交換機與集線器之間完成。而堆疊只有在自己廠家的設(shè)備之間，且此設(shè)備必須具有堆疊功能才可實現(xiàn)。級聯(lián)只需單做一根雙絞線(或其他媒介)，堆疊需要專用的堆疊模塊和堆疊線纜，而這些設(shè)備可能需要單獨購買。交換機的級聯(lián)在理論上是沒有級聯(lián)個數(shù)限制的(注意：集線器級聯(lián)有個數(shù)限制，且10M和100M的要求不同)，而堆疊各個廠家的設(shè)備會標(biāo)明最大堆疊個數(shù)。多個設(shè)備級聯(lián)會產(chǎn)生級聯(lián)瓶頸。兩個交換機通過堆疊連接在一起，堆疊線纜將能提供高于1G的背板帶寬，極大地減低了瓶頸。在網(wǎng)絡(luò)接入層選用的是銳捷網(wǎng)絡(luò)系列千兆智能可堆疊交換機STAR-S2100系列。這個系列的產(chǎn)品都是全線速可堆疊千兆智能交換機，提供智能的流分類和完善的服務(wù)質(zhì)量（QoS）以及組播管理特性，并可以實施靈活多樣的ACL訪問控制。S2100系列以極高的性價比為各類型網(wǎng)絡(luò)提供完善的端到端的服務(wù)質(zhì)量、靈活豐富的安全設(shè)置和基于策略的網(wǎng)管，最大化滿足高速、安全、智能的企業(yè)網(wǎng)新需求。網(wǎng)絡(luò)會聚層千兆干線、百兆交換到桌面；徹底解決帶寬問題匯聚層由銳捷網(wǎng)絡(luò)STAR-S4909/S3550-12G全千兆路由交換機組成，負(fù)責(zé)接入層匯聚，提供高速無阻塞的鏈路到核心層，抑制廣播風(fēng)暴和分流核心數(shù)據(jù)處理壓力等，可實施分布式三層，大大提升網(wǎng)絡(luò)性能。強大的組播支持能力組播業(yè)務(wù)作為未來最具潛力的業(yè)務(wù)之一，得到了前所未有的重視。隨著寬帶技術(shù)的不斷發(fā)展，F(xiàn)TP、HTTP、SMTP等傳統(tǒng)數(shù)據(jù)業(yè)務(wù)已經(jīng)難以滿足人們對信息業(yè)務(wù)的需求，視頻點播、遠程教學(xué)、新聞發(fā)布、網(wǎng)絡(luò)電視等業(yè)務(wù)將成為新一輪運營競爭的焦點。這類新型業(yè)務(wù)的特點是，由一個服務(wù)器（媒體流服務(wù)器）發(fā)布信息，接收端數(shù)量很大，可能成千上萬個，而且具體數(shù)目不固定。強大的組播支持： 視頻組播應(yīng)用是目前高校多媒體教學(xué)和數(shù)字化企業(yè)的應(yīng)用重點，企業(yè)網(wǎng)絡(luò)對組播的支持能力是企業(yè)網(wǎng)建設(shè)要考慮的重點。匯聚交換機STAR-S4909提供多種組播支持技術(shù)，包括IGMP snooping、IGMP、PIM（SM、DM），DVMRP，保證了網(wǎng)絡(luò)中提供組播服務(wù)時的帶寬合理占用。QOS服務(wù)質(zhì)量保障端到端的服務(wù)質(zhì)量保證（Qos）：從核心到匯聚到接入系列智能交換機，能夠自動識別數(shù)據(jù)類型，區(qū)別業(yè)務(wù)重要性，保證關(guān)鍵數(shù)據(jù)得到更高的網(wǎng)絡(luò)帶寬。提供多種流分類技術(shù)和多種QOS技術(shù)，包括SP、WRR、WFQ、WRED、CAR、HOL等，為各種應(yīng)用的帶寬保障提供需要的支持技術(shù)。網(wǎng)絡(luò)核心層主干可以升級至萬兆萬兆以太網(wǎng)采用了IEEE802.3以太網(wǎng)媒體訪問控制（MAC）協(xié)議、IEEE802.3以太網(wǎng)幀格式，以及IEEE802.3幀的最大和最小尺寸。萬兆以太網(wǎng)是以太網(wǎng)在速度和距離方面的進步，采用全雙工技術(shù)，不需要應(yīng)用低速的、半雙工的CSMA/CD協(xié)議。在其他方面，萬兆以太網(wǎng)保留了初期以太網(wǎng)模型的精髓，因而可以和現(xiàn)有以太網(wǎng)環(huán)境無縫融合，支持客戶已有應(yīng)用。RG-S6800系列交換機提供目前主流的三種萬兆局域網(wǎng)傳輸標(biāo)準(zhǔn)：10GBASE-R、10GBASE-W、10GBASE-LX4，三種傳輸標(biāo)準(zhǔn)在數(shù)據(jù)鏈路層以上都相同，差別在于物理層。10GBASE-R用于傳統(tǒng)的以太網(wǎng)環(huán)境，而10GBASE-W可與OC-192電路、SONET/SDH設(shè)備一起運行，保護傳統(tǒng)基礎(chǔ)投資，使運營商能夠在不同地區(qū)通過城域網(wǎng)提供端到端以太網(wǎng)。10GBSE-LX4則使用WDM波分復(fù)用技術(shù)進行數(shù)據(jù)傳輸。用戶數(shù)據(jù)量的大量增加，以及語音、視頻多業(yè)務(wù)應(yīng)用需求增加，再加上對網(wǎng)絡(luò)安全性、可擴展性、高QoS保障等方面的日益增強和千兆到桌面的實現(xiàn)。另外，萬兆產(chǎn)品價格的下調(diào)也是推動萬兆產(chǎn)品成功應(yīng)用的關(guān)鍵所在。在網(wǎng)絡(luò)的核心層部署的是銳捷網(wǎng)絡(luò)萬兆核心骨干路由交換機RG-S6806。RG-S6806提供了冗余管理模塊、冗余電源模塊、各種模塊熱拔插等高可靠性功能，作為一款萬兆骨干核心交換機，其背板寬帶為256G，三層包轉(zhuǎn)發(fā)速率可達143 Mpps，具備128個快速以太網(wǎng)端口、96個千兆光纖端口和8個萬兆端口，為接入層提供高速無阻塞的路由交換。同時，RG-S6806通過千兆雙絞線連接服務(wù)器集群。協(xié)議支持豐富提供多種生成樹協(xié)議，包括802.1D、802.1W、802.1S等協(xié)議，滿足客戶各種網(wǎng)絡(luò)環(huán)境收斂需求；特色安全技術(shù)復(fù)雜功能硬件實現(xiàn)，做到板卡分布式處理RG-S6806對全網(wǎng)的數(shù)據(jù)進行高速無阻塞的交換，將原有國外設(shè)備主要負(fù)責(zé)的路由交換任務(wù)平移到RG-S6806上，在RG-S6806上實現(xiàn)路由管理、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)服務(wù)和核心數(shù)據(jù)處理等，RG-S6806超強的數(shù)據(jù)處理能力，支持負(fù)載均衡、冗于備份、QOS、ACL和策略路由等強大的功能，同時，板卡支持分布式處理和熱插拔。3.3軟件系統(tǒng)結(jié)構(gòu)一、服務(wù)器管理軟件中文圖形化網(wǎng)絡(luò)管理平臺：StarView網(wǎng)絡(luò)管理軟件可以提供簡單、清晰的設(shè)備管理圖、拓?fù)錉顟B(tài)圖和流量分析圖，將企業(yè)網(wǎng)管理工作量降到最低程度；網(wǎng)絡(luò)拓?fù)洳榭矗篠tarView可自動生成圖形化網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，并且識別網(wǎng)絡(luò)內(nèi)各種網(wǎng)絡(luò)設(shè)備和IP設(shè)備，一目了然查看整個企業(yè)網(wǎng)的網(wǎng)絡(luò)拓?fù)淝闆r；網(wǎng)絡(luò)設(shè)備管理：StarView不僅可以管理銳捷系列網(wǎng)絡(luò)設(shè)備，還可以通過公共接口提供對其他品牌網(wǎng)絡(luò)設(shè)備和服務(wù)器的管理； 網(wǎng)絡(luò)節(jié)點監(jiān)控：StarView可提供實時的網(wǎng)絡(luò)各節(jié)點的網(wǎng)絡(luò)性能監(jiān)控，并通過矢量圖的形式進行遠程查看，當(dāng)發(fā)生網(wǎng)絡(luò)故障的時候，系統(tǒng)可以自動向網(wǎng)絡(luò)管理員發(fā)出報警信號；二、網(wǎng)絡(luò)服務(wù)管理1、網(wǎng)管工作站設(shè)計 網(wǎng)絡(luò)管理是企業(yè)網(wǎng)必須考慮的關(guān)鍵技術(shù)，這里的網(wǎng)絡(luò)管理主要指網(wǎng)絡(luò)設(shè)備及其系統(tǒng)的管理，它包括配置、性能、安全、故障管理等，網(wǎng)絡(luò)管理設(shè)計需要在配置每個網(wǎng)絡(luò)設(shè)備時，都選擇具有網(wǎng)絡(luò)管理代理的、駐留有網(wǎng)絡(luò)管理協(xié)議的設(shè)備。 網(wǎng)絡(luò)管理設(shè)計的另一方面，是配置一個網(wǎng)絡(luò)管理中心，配置網(wǎng)絡(luò)管理平臺，在平臺上運行管理每個網(wǎng)絡(luò)設(shè)備的應(yīng)用軟件。網(wǎng)管軟件應(yīng)能夠支持對網(wǎng)絡(luò)進行設(shè)備級和系統(tǒng)級的管理，并能支持通用瀏覽器進行網(wǎng)絡(luò)設(shè)備的管理及配置。2、WWW服務(wù)器設(shè)計 WWW應(yīng)用是Intranet的標(biāo)志性應(yīng)用，最核心的應(yīng)用服務(wù)集中在WWW服務(wù)器上完成。因而對于WWW服務(wù)器的設(shè)計首要考慮的就是服務(wù)器性能問題，另外考慮到將來在Intranet平臺上做應(yīng)用開發(fā)的可能，對于WWW服務(wù)器同數(shù)據(jù)庫互聯(lián)的問題也應(yīng)作為重點考慮。 因為WWW服務(wù)器是被大量實時訪問的超文本服務(wù)器，它要求在支持大量網(wǎng)絡(luò)實時訪問、磁盤空間、I/O吞吐能力、快速處理能力等方面具有較高的要求。IIS服務(wù)器的配置IIS是一個信息服務(wù)系統(tǒng)，主要是建立在服務(wù)器一方。服務(wù)器接收從客戶發(fā)來的請求并處理它們的請求，而客戶機的任務(wù)是提出與服務(wù)器的對話。只有實現(xiàn)了服務(wù)器與客戶機之間信息的交流與傳遞，Internet/Intranet的目的才可能實現(xiàn)。在Windows2000中集成了IIS5.0版，這是Windwos2000中最重要的Web技術(shù)，同時也使得它成為一個功能強大的Internet/Intranet Web應(yīng)用服務(wù)器。具體設(shè)置如下：與配置DNS類似地，打開“配置服務(wù)器”界面，單擊“Web/媒體服務(wù)器”；選擇“Web服務(wù)器”，在右邊窗口中單擊“打開”鏈接，此時出現(xiàn)Internet信息服務(wù)窗口（如圖7）；展開后，可以看到默認(rèn)的FTP站點等站點信息，右擊“默認(rèn)的Web站點”-選“屬性”-“主目錄”可設(shè)置本地路徑、權(quán)限等；選“文檔”卡片，可設(shè)置默認(rèn)文檔順序。將公司內(nèi)部首頁以defalt.htm命名，并將其覆蓋 C:Inetpubwwwrootdefalt.htm。3、DNS服務(wù)器設(shè)計 建立Intranet，其中一個必不可少的組成部分就是DNS（域名系統(tǒng)）。IP地址和機器名稱的統(tǒng)一管理由DNS（DomainNameSystem）來完成的單擊“開始”-“管理工具”-“配置服務(wù)器”-“聯(lián)網(wǎng)”-“DNS”-“管理”DNS 啟動“DNS”管理界面單擊“操作”菜單下的命令“連接到計算機” 選定“這臺計算機”和“立即連接到指定計算機”然后“確定”，此時服務(wù)器機器名出現(xiàn)在管理窗口中，本實例為：LBFS(如圖3)，依次單擊LBFS、正向搜索區(qū)域、前面的擴展分支號“+”，出現(xiàn)域名時，在上右擊，在彈出菜單中選取“新建域命令單擊，輸入新域名，本例為：toplan ，確定后在目錄下出現(xiàn)toplan目錄，右擊此目錄，選擇“新建主機”命令出現(xiàn)“新建主機”對話框，依次輸入主機名稱和IP地址，主機名稱：www ，IP地址為(如圖4)。然后點擊“添加主機”按鈕，再添加三個主機，分別為：ftp、 mail、 news IP地址均為：。經(jīng)過以上設(shè)置后，我們已經(jīng)建立了四個主機，對應(yīng)的域名分別為： 用于內(nèi)部主頁服務(wù) 用于文件傳送服務(wù) 用于內(nèi)部電子郵件系統(tǒng) 用于內(nèi)部新聞組 4、FTP服務(wù)器的設(shè)計 FTP是Internet中一種廣泛使用的服務(wù)，主要用來在兩臺機器之間（甚至是一同系統(tǒng)）傳輸文件。FTP采用C/S模式，F(xiàn)TP客戶軟件必須與遠程FTP服務(wù)器建立連接并登錄后才能進行文件傳輸。為了實現(xiàn)有效的FTP連接和登錄，用戶必須在FTP服務(wù)器進行注冊，建立帳號，擁有合法的用戶名和口令。 5、E-mail服務(wù)器設(shè)計 為了作到Intranet內(nèi)部Mail系統(tǒng)同公共InternetMail系統(tǒng)的平滑對接，要求采用Internet公共標(biāo)準(zhǔn)的通用MAIL系統(tǒng)，在內(nèi)部的MAIL系統(tǒng)同外部通信時需要一個Proxy應(yīng)用作適當(dāng)?shù)霓D(zhuǎn)接服務(wù)，進行相應(yīng)的地址轉(zhuǎn)換工作。 6、Proxy服務(wù)器的設(shè)計 代理服務(wù)器是作為內(nèi)部私有網(wǎng)絡(luò)和INTERNET之間的一個網(wǎng)關(guān)。 通過代理方式，首先可以大大降低網(wǎng)絡(luò)使用費，另外代理可以保護局域網(wǎng)的安全，起到防火墻的作用。3.4安全策略3.4.1病毒防治1 禁用沒用的服務(wù)Windows提供了許許多多的服務(wù)。 Telnet就是一個非常典型的例子。在Windows2003的服務(wù)中是怎么解釋的：“允許遠程用戶登錄到系統(tǒng)并且使用命令行運行控制臺程序” 。建議禁止該服務(wù)還有一個值得一提的就是NetBIOS。Windows還有許多服務(wù)，在此不做過多地介紹?？梢愿鶕?jù)自己實際情況禁止某些服務(wù)。禁用不必要的服務(wù)，除了可以減少安全隱患 2 打補丁Microsofe公司時不時就會在網(wǎng)上免費提供一些補丁，可以去打補丁。除了可以增強兼容性外，更重要的是堵上已發(fā)現(xiàn)的安全漏洞。3 反病毒監(jiān)控選擇一流的反病毒軟件。用反病毒軟件的根本目的是防病毒。另外，安裝反病毒軟件后必須對其進行必要的設(shè)置和時刻開啟反病毒監(jiān)控。這樣才能發(fā)揮其最大的威力。3.4.2建立防火墻網(wǎng)絡(luò)地址轉(zhuǎn)化NAT 網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把IP地址轉(zhuǎn)換成臨時的、外部的、注冊的IP地址標(biāo)準(zhǔn)。它允許具有私有IP地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。它還意味著用戶不許要為其網(wǎng)絡(luò)中每一臺機器取得注冊的IP地址。 在內(nèi)部網(wǎng)絡(luò)通過安全網(wǎng)卡訪問外部網(wǎng)絡(luò)時，將產(chǎn)生一個映射記錄。系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網(wǎng)卡與外部網(wǎng)絡(luò)連接，這樣對外就隱藏了真實的內(nèi)部網(wǎng)絡(luò)地址。在外部網(wǎng)絡(luò)通過非安全網(wǎng)卡訪問內(nèi)部網(wǎng)絡(luò)時，它并不知道內(nèi)部網(wǎng)絡(luò)的連接情況，而只是通過一個開放的IP地址和端口來請求訪問。OLM防火墻根據(jù)預(yù)先定義好的映射規(guī)則來判斷這個訪問是否安全。當(dāng)符合規(guī)則時，防火墻認(rèn)為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內(nèi)部計算機中。當(dāng)不符合規(guī)則時，防火墻認(rèn)為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對于用戶來說是透明的，不需要用戶進行設(shè)置，用戶只要進行常規(guī)操作即可。3.4.3網(wǎng)絡(luò)的保密措施1堵住服務(wù)器操作系統(tǒng)安全漏洞任何網(wǎng)絡(luò)操作系統(tǒng)的安全性都是相對的，無論是UNIX還是NT都存在安全漏洞，他們的站點會不定期發(fā)布系統(tǒng)補丁，系統(tǒng)管理員應(yīng)定期下載，及時堵住系統(tǒng)漏洞。2注意保護系統(tǒng)管理員的密碼用戶名和密碼應(yīng)當(dāng)設(shè)置合理，口令應(yīng)大小寫混合，最好加上特殊字符和數(shù)字，至少不能少于16位，同時應(yīng)定期修改；口令不得以明文方式存放在系統(tǒng)中；建立帳號鎖定機制，當(dāng)同一帳號的密碼校驗錯誤若干次時，自動斷開連接并鎖定該帳號。3關(guān)閉不必要的服務(wù)端口。謹(jǐn)慎開放缺乏安全保障的端口：很多黑客攻擊程序是針對特定服務(wù)和特定服務(wù)端口的。a、常用服務(wù)端口有：WEB：80，SMTP：25，POP3：110，可根據(jù)情況選擇關(guān)閉。b、比較危險(很可能存在系統(tǒng)漏洞)的服務(wù)端口：TELNET：23，F(xiàn)INGER：79，建議關(guān)閉掉。c、對必須打開的服務(wù)(如SQL數(shù)據(jù)庫等)進行安全檢查。4制定完善的安全管理制度定期使用網(wǎng)絡(luò)管理軟件對整個局域網(wǎng)進行監(jiān)控，發(fā)現(xiàn)問題及時防范。定期使用黑客軟件攻擊自己的系統(tǒng)，以便發(fā)現(xiàn)漏洞，及時補救。謹(jǐn)慎利用共享軟件，不應(yīng)隨意下載使用共享軟件。做好數(shù)據(jù)的備份工作，有了完整的數(shù)據(jù)備份。5注意WEB服務(wù)的安全問題WEB編程人員編寫的CGI、ASP、PHP等程序存在的問題，會暴露系統(tǒng)結(jié)構(gòu)或使服務(wù)目錄可讀寫，這樣黑客入侵的發(fā)揮空間就更大。在給WEB服務(wù)器上傳前，要進行腳本安全檢查。6警惕DOS攻擊和DDOS攻擊DOS攻擊和DDOS攻擊可以使網(wǎng)站系統(tǒng)失去與互聯(lián)網(wǎng)通信的能力，甚至于系統(tǒng)崩潰。建議：如果有條件允許的話，可以使用具有DoS和DdoS防護的防火墻。3.4.4數(shù)據(jù)安全性和完整性措施數(shù)據(jù)安全性和完整性就是數(shù)據(jù)的安全技術(shù)為了解決上述問題，就必須利用另外一種安全技術(shù)-數(shù)字簽名PKI（Publie Key Infrastucture）技術(shù)就是利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。PKI技術(shù)是信息安全技術(shù)的核心，也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。由于通過網(wǎng)絡(luò)進行的電子商務(wù)、電子政務(wù)、電子事務(wù)等活動缺少物理接觸，因此使得用電子方式驗證信任關(guān)系變得至關(guān)重要。而PKI技術(shù)恰好是一種適合電子商務(wù)、電子政務(wù)、電子事務(wù)的密碼技術(shù)，他能夠有效地解決電子商務(wù)應(yīng)用中的機密性、真實性、完整性、不可否認(rèn)性和存取控制等安全問題。一個實用的PKI體系應(yīng)該是安全的易用的、靈活的和經(jīng)濟的。它必須充分考慮互操作性和可擴展性。它是認(rèn)證機構(gòu)（CA）、注冊機構(gòu)（RA）、策略管理、密鑰（Key）與證書（Certificate）管理、密鑰備份與恢復(fù)、撤消系統(tǒng)等功能模塊的有機結(jié)合。 1.認(rèn)證機構(gòu) CA（Certification Authorty）就是這樣一個確保信任度的權(quán)威實體，它的主要職責(zé)是頒發(fā)證書、驗證用戶身份的真實性。由CA簽發(fā)的網(wǎng)絡(luò)用戶電子身份證明證書，任何相信該CA的人，按照第三方信任原則，也都應(yīng)當(dāng)相信持有證明的該用戶。CA也要采取一系列相應(yīng)的措施來防止電子證書被偽造或篡改。構(gòu)建一個具有較強安全性的CA是至關(guān)重要的，這不僅與密碼學(xué)有關(guān)系，而且與整個PKI系統(tǒng)的構(gòu)架和模型有關(guān)。此外，靈活也是CA能否得到市場認(rèn)同的一個關(guān)鍵，它不需支持各種通用的國際標(biāo)準(zhǔn)，能夠很好地和其他廠家的CA產(chǎn)品兼容。 2.注冊機構(gòu) RA（Registration Authorty）是用戶和CA的接口，它所獲得的用戶標(biāo)識的準(zhǔn)確性是CA頒發(fā)證書的基礎(chǔ)。RA不僅要支持面對面的登記，也必須支持遠程登記。要確保整個PKI系統(tǒng)的安全、靈活，就必須設(shè)計和實現(xiàn)網(wǎng)絡(luò)化、安全的且易于操作的RA系統(tǒng)。 3.策略管理 在PKI系統(tǒng)中，制定并實現(xiàn)科學(xué)的安全策略管理是非常重要的這些安全策略必須適應(yīng)不同的需求，并且能通過CA和RA技術(shù)融入到CA 和RA的系統(tǒng)實現(xiàn)中。同時，這些策略應(yīng)該符合密碼學(xué)和系統(tǒng)安全的要求，科學(xué)地應(yīng)用密碼學(xué)與網(wǎng)絡(luò)安全的理論，并且具有良好的擴展性和互用性。 4.密鑰備份和恢復(fù) 為了保證數(shù)據(jù)的安全性，應(yīng)定期更新密鑰和恢復(fù)意外損壞的密鑰是非常重要的，設(shè)計和實現(xiàn)健全的密鑰管理方案，保證安全的密鑰備份、更新、恢復(fù)，也是關(guān)系到整個PKI系統(tǒng)強健性、安全性、可用性的重要因素。 5.證書管理與撤消系統(tǒng) 證書是用來證明證書持有者身份的電子介質(zhì)，它是用來綁定證書持有者身份和其相應(yīng)公鑰的。通常，這種綁定在已頒發(fā)證書的整個生命周期里是有效的。但是，有時也會出現(xiàn)一個已頒發(fā)證書不再有效的情況這就需要進行證書撤消，證書撤消的理由是各種各樣的，可能包括工作變動到對密鑰懷疑等一系列原因。證書撤消系統(tǒng)的實現(xiàn)是利用周期性的發(fā)布機制撤消證書或采用在線查詢機制，隨時查詢被撤消的證書。 國外的PKI應(yīng)用已經(jīng)開始，開發(fā)PKI的廠商也有多家。許多廠家，如Baltimore,Entrust等推出了可以應(yīng)用的PKI產(chǎn)品，有些公司如VerySign等已經(jīng)開始提供PKI服務(wù)。網(wǎng)絡(luò)許多應(yīng)用正在使用PKI技術(shù)來保證網(wǎng)絡(luò)的認(rèn)證、不可否認(rèn)、加解密和密鑰管理等。盡管如此，總的說來PKI技術(shù)仍在發(fā)展中。按照國外一些調(diào)查公司的說法，PKI系統(tǒng)僅僅還是在做示范工程。IDC公司的Internet安全知深分析家認(rèn)為：PKI技術(shù)將成為所有應(yīng)用的計算基礎(chǔ)結(jié)構(gòu)的核心部件，包括那些越出傳統(tǒng)網(wǎng)絡(luò)界限的應(yīng)用。B2B電子商務(wù)活動需要的認(rèn)證、不可否認(rèn)等只有PKI產(chǎn)品才有能力提供這些功能。第4章、本方案的系統(tǒng)特點4.1 合理的系統(tǒng)結(jié)構(gòu)企業(yè)主干采用具有第三層交換功能的千兆位以太網(wǎng)(Gigabit Ethernet)以 滿足廣大用戶的各種要求。 企業(yè)網(wǎng)建設(shè)應(yīng)能保護企業(yè)網(wǎng)的投資,要求企業(yè)網(wǎng)的管理方案與管理策略.主干設(shè)備應(yīng)能滿足10,000用戶接入訪問的要求。支持IP多目廣播(Multicast)與服務(wù)質(zhì)量(Qos)或服務(wù)類型(CoS),滿足遠程教育的需求。支持虛擬網(wǎng)絡(luò)(VLAN).網(wǎng)管軟件應(yīng)具備對接入層交換設(shè)備進行遠程可操作的能力。4.2 可靠的安全防護軟件采用反病毒軟件，關(guān)鍵數(shù)據(jù)傳遞使用數(shù)字簽名技術(shù)網(wǎng)絡(luò)骨干線路的冗余備份,網(wǎng)絡(luò)核心設(shè)備的冗余備份和電源冗余備份等方面保證校園網(wǎng)的可靠性。內(nèi)部網(wǎng)絡(luò)之間,內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)之間的互聯(lián),利用VLAN/ ELAN ,防火墻等對訪問進行控制,確保網(wǎng)絡(luò)的安全。4.3 充分的擴充余地主干網(wǎng)絡(luò)設(shè)備的選型及其模塊,插槽個數(shù)