1、某大学校园网设计方案某大学校园网设计方案 (组图)日期:2005-10-26 概述- 总设计师：ChinaITLab讲师张保通- 机构：XX国家重点大学院校- 校园占地面积： 146.57万平方米- 校舍建筑面积： 1070875.64平方米- 教职工人数： 2000- 学生总数:：1.7万余人- 网络面临的挑战： 建立一个可扩展的、高速的、充分冗余的、基于标准的网络，该网络能够支持融合了话音、视频、图像和数据的应用程序。- 关键网络系统：Cisco 3640路由器、Cisco Catalyst 2950 24口交换机（WS-C2950-24）、Cisco Catalyst 3550交换机、C
2、isco Catalyst 4006交换机- 网络解决办法：对校园网系统整体方案设计对访问层交换机进行配置对分布层交换机进行配置对核心层交换机进行配置对广域网接入路由器进行配置对远程访问服务器进行配置对整个校园网系统进行诊断分析：路由、交换与远程访问技术不仅仅是思科的CCNP课程及考试的重点。更是现代计算机网络领域中三大支撑技术体系。它们几乎涵盖了一个完整园区网实现的方方面面。常常有学员说无法学以致用，其实，CCNP课程中的每个章节都对应着实际工程中的每个小的案例。只不过，实际工程是各个小案例的综合。在遇到一个实际工程的时候，我们不防采用自顶向下、模块化的方法、参考3层模型来进行工程的设计和实
3、施。路由技术：路由协议工作在OSI参考模型的第3层，因此它的作用主要是在通信子网间路由数据包。路由器具有在网络中传递数据时选择最佳路径的能力。除了可以完成主要的路由任务，利用访问控制列表（Access Control List，ACL），路由器还可以用来完成以路由器为中心的流量控制和过滤功能。在本工程案例设计中，内网用户不仅通过路由器接入因特网、内网用户之间也通过3层交换机上的路由功能进行数据包交换。交换技术：传统意义上的数据交换发生在OSI模型的第2层。现代交换技术还实现了第3层交换和多层交换。高层交换技术的引入不但提高了园区网数据交换的效率，更大大增强了园区网数据交换服务质量，满足了不同类
4、型网络应用程序的需要。现代交换网络还引入了虚拟局域网（Virtual LAN，VLAN）的概念。VLAN将广播域限制在单个VLAN内部，减小了各VLAN间主机的广播通信对其他VLAN的影响。在VLAN间需要通信的时候，可以利用VLAN间路由技术来实现。当网络管理人员需要管理的交换机数量众多时，可以使用VLAN中继协议（Vlan Trunking Protocol，VTP）简化管理，它只需在单独一台交换机上定义所有VLAN。然后通过VTP协议将VLAN定义传播到本管理域中的所有交换机上。这样，大大减轻了网络管理人员的工作负担和工作强度。为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数
5、据交换的部署是分层进行的。园区网数据交换设备可以划分为三个层次：访问层、分布层、核心层。访问层为所有的终端用户提供一个接入点；分布层除了负责将访问层交换机进行汇集外，还为整个交换网络提供VLAN间的路由选择功能；核心层将各分布层交换机互连起来进行穿越园区网骨干的高速数据交换。在本工程案例设计中，也将采用这三层进行分开设计、配置。远程访问技术：远程访问也是园区网络必须提供的服务之一。它可以为家庭办公用户和出差在外的员工提供移动接入服务。远程访问有三种可选的服务类型：专线连接、电路交换和包交换。不同的广域网连接类型提供的服务质量不同，花费也不相同。企业用户可以根据所需带宽、本地服务可用性、花费等因
6、素综合考虑，选择一种适合企业自身需要的广域网接入方案。）在本工程案例设计中，分别采用专线连接（到因特网）和电路交换（到校园网）两种方式实现远程访问需求。作为一个较为完整的园区网实现，路由、交换与远程访问技术缺一不可。在后面的内容中，我们将就每一技术领域的常用技术的实现进行详细的讨论。通过本书后面章节的学习，相信读者能够系统地掌握园区网的设计、实施以及维护技巧。一系统总体设计方案概述为了阐明主要问题，在本设计方案中对实际校园网的设计进行了适当和必要的简化。同时，将重点放在网络主干的设计上，对于服务器的架设只作简单介绍。1.1系统组成与拓扑结构为了实现网络设备的统一，本设计方案中完全采用同一厂家的
7、网络产品，即Cisco公司的网络设备构建。全网使用同一厂商设备的好处是可以实现各种不同网络设备功能的互相配合和补充。本校园网设计方案主要由以下四大部分构成：交换模块、广域网接入模块、远程访问模块、服务器群。整个网络系统的拓扑结构图如图1-1所示。在后面的几节中我们将根据此图分块进行介绍。 图1-1校园网整体拓扑结构图1.2VLAN及IP地址规划整个校园网中VLAN及IP编址方案如表所示。 表1-1VLAN及IP编址方案除了表中的内容外，拨号用户从192.168.200.0/27中动态取得IP地址。为了简化起见，这里我们只规划了8个VLAN，同时为每个VLAN定义了一个由拼音缩写组成的VLAN名
8、称。 二交换模块设计为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数据交换的部署是分层进行的。园区网数据交换设备可以划分为三个层次：访问层、分布层、核心层。传统意义上的数据交换发生在OSI模型的第2层。现代交换技术还实现了第3层交换和多层交换。高层交换技术的引入不但提高了园区网数据交换的效率，更大大增强了园区网数据交换服务质量，满足了不同类型网络应用程序的需要。现代交换网络还引入了虚拟局域网（Virtual LAN，VLAN）的概念。VLAN将广播域限制在单个VLAN内部，减小了各VLAN间主机的广播通信对其他VLAN的影响。在VLAN间需要通信的时候，可以利用VLAN间路由技术来
9、实现。当网络管理人员需要管理的交换机数量众多时，可以使用VLAN中继协议（Vlan Trunking Protocol，VTP）简化管理，它只需在单独一台交换机上定义所有VLAN。然后通过VTP协议将VLAN定义传播到本管理域中的所有交换机上。这样，大大减轻了网络管理人员的工作负担和工作强度。当园区网络的交换机数量增多、交换机间链路增加时，交换网络的复杂性可能会造成交换环路问题，这需要通过在各交换机上运行生成树协议（Spanning Tree Protocol，STP）来解决。一个好的校园网设计应该是一个分层的设计。一般分为三层设计模型。2.1访问层交换服务的实现配置访问层交换机访问层为所有的
10、终端用户提供一个接入点。这里的访问层交换机采用的是Cisco Catalyst 2950 24口交换机（WS-C2950-24）。交换机拥有24个10/100Mbps自适应快速以太网端口，运行的是Cisco的IOS操作系统。我们以图1-1中的访问层交换机AccessSwitch1为例进行介绍。如图2-1所示， 图2-1访问层交换机AccessSwitch11配置访问层交换机AccessSwitch1的基本参数（1）设置交换机名称设置交换机名称，也就是出现在交换机CLI提示符中的名字。一般我们会以地理位置或行政划分来为交换机命名。当我们需要Telnet登录到若干台交换机以维护一个大型网络时，通过
11、交换机名称提示符提示自己当前配置交换机的位置是很有必要的。如图2-2所示，为访问层交换机AccessSwitch1命名。 图2-2为访问层交换机AccessSwitch1命名（2）设置交换机的加密使能口令当用户在普通用户模式而想要进入特权用户模式时，需要提供此口令。此口令会以MD5的形式加密，因此，当用户查看配置文件时，无法看到明文形式的口令。如图2-2所示，将交换机的加密使能口令设置为secretpasswd。 图2-3为交换机设置加密使能口令（3）设置登录虚拟终端线时的口令对于一个已经运行着的交换网络来说，交换机的带内远程管理为网络管理人员提供了很多的方便。但是，处于安全考虑，在能够远程管
12、理交换机之前网络管理人员必须设置远程登录交换机的口令。如图2-2所示，设置登录交换机时需要验证用户身份，同时设置口令为youguess。 图2-2为访问层交换机AccessSwitch1命名（4）设置终端线超时时间为了安全考虑，可以设置终端线超时时间。在设置的时间内，如果没有检测到键盘输入，IOS将断开用户和交换机之间的连接。如图2-2所示，设置登录交换机的控制台终端线路及虚拟终端线的超时时间为5分30秒钟。 图2-2设置控制台终端线路和虚拟终端线路的超时时间（5）设置禁用IP地址解析特性在交换机默认配置的情况下，当我们输入一条错误的交换机命令时，交换机会尝试将其广播给网络上的DNS服务器并将
13、其解析成对应的IP地址。利用命令no ip domain-lookup。可以禁用这个特性如图2-2所示，设置禁用IP地址解析特性。 图2-3设置禁用IP地址解析特性（6）设置启用消息同步特性有时，用户输入的交换机配置命令会被交换机产生的消息打乱。可以使用命令logging synchronous设置交换机在下一行CLI提示符后复制用户的输入。如图2-2所示，设置启用消息同步特性。 图2-3设置启用消息同步特性2配置访问层交换机AccessSwitch1的管理IP、默认网关访问层交换机是OSI参考模型的第2层设备，即数据链路层的设备。因此，给访问层交换机的每个端口设置IP地址是没意义的。但是，为
14、了使网络管理人员可以从远程登录到访问层交换机上进行管理，必要给访问层交换机设置一个管理用IP地址。这种情况下，实际上是将交换机看成和PC机一样的主机。给交换机设置管理用IP地址只能在VLAN1，即本征VLAN中进行。按照表1-1，管理VLAN所在的子网是：192.168.0.0/24，这里将访问层交换机AccessSwitch1的管理IP地址设为：192.168.0.5/24如图2-3所示，显示了为访问层交换机AccessSwitch1设置管理IP并激活本征VLAN。 图2-2设置访问层交换机AccessSwitch1的管理IP为了使网络管理人员可以在不同的子网管理此交换机，还应设置默认网关地
15、址192.168.0.254。如图所示。 图2-2设置访问层交换机AccessSwitch1的默认网关地址3配置访问层交换机AccessSwitch1的VLAN及VTP从提高效率的角度出发，在本校园网实现实例中使用了VTP技术。同时，将分布层交换机DistributeSwitch1设置成为VTP服务器，其他交换机设置成为VTP客户机。这里访问层交换机AccessSwitch1将通过VTP获得在分布层交换机DistributeSwitch1中定义的所有VLAN的信息。如图所示，设置访问层交换机AccessSwitch1成为VTP客户机。 图2-2设置访问层交换机AccessSwitch1成为VT
16、P客户机4配置访问层交换机AccessSwitch1端口基本参数（1）端口双工配置可以设定某端口根据对端设备双工类型自动调整本端口双工模式，也可以强制将端口双工模式设为半双工或全双工模式。在了解对端设备类型的情况下，建议手动设置端口双工模式。如图所示，设置访问层交换机AccessSwitch1的所有端口均工作在全双工模式。 图2-2设置访问层交换机AccessSwitch1的端口工作模式（2）端口速度可以设定某端口根据对端设备速度自动调整本端口速度，也可以强制将端口速度设为10Mpbs或100Mbps。在了解对端设备速度的情况下，建议手动设置端口速度。如图所示，设置访问层交换机AccessSw
17、itch1的所有端口的速度均为100Mbps。 图2-4 设置访问层交换机AccessSwitch1的端口速度5配置访问层交换机AccessSwitch1的访问端口访问层交换机AccessSwitch1为终端用户提供接入服务。在图中，访问层交换机AccessSwitch1为VLAN10、VLAN20提供接入服务。（1）设置访问层交换机AccessSwitch1的端口110如图所示，设置访问层交换机AccessSwitch1的端口1端口10工作在访问（接入）模式。同时，设置端口1端口10为VLAN 10的成员。 图2-2设置访问层交换机AccessSwitch1的端口110（2）设置访问层交换机
18、AccessSwitch1的端口1120如图所示，设置访问层交换机AccessSwitch1的端口11端口20工作在访问（接入）模式。同时，设置端口1端口10为VLAN 20的成员。 图2-2设置访问层交换机AccessSwitch1的端口1120（3）设置快速端口默认情况下，交换机在刚加电启动时，每个端口都要经历生成树的四个阶段：阻塞、侦听、学习、转发。在能够转发用户的数据包之前，某个端口可能最多要等50秒钟的时间（20秒的阻塞时间15秒的侦听延迟时间15秒的学习延迟时间）。对于直接接入终端工作站的端口来说，用于阻塞和侦听的时间是不必要的。为了加速交换机端口状态转化时间，可以设置将某端口设置
19、成为快速端口（Portfast）。设置为快速端口的端口当交换机启动或端口有工作站接入时，将会直接进入转发状态，而不会经历阻塞、侦听、学习状态（假设桥接表已经建立）。如图所示，设置访问层交换机AccessSwitch1的端口1端口20为快速端口。 图2-2设置快速端口6配置访问层交换机AccessSwitch1的主干道端口如图所示，访问层交换机AccessSwitch1通过端口FastEthernet 0/23上连到分布层交换机DistributeSwitch1的端口FastEthernet 0/23。同时，访问层交换机AccessSwitch1还通过端口FastEthernet 0/24上连到
20、分布层交换机DistributeSwitch2的端口FastEthernet 0/23。这两条上连链路将成为主干道链路，在这两条上连链路上将运输多个VLAN的数据。如图所示，设置访问层交换机AccessSwitch1的端口FastEthernet 0/23、FastEthernet 0/24为主干道端口。 图2-2设置主干道端口Switch(config)#spanning-tree uplinkfast7配置访问层交换机AccessSwitch2访问层交换机AccessSwitch2为VLAN 30和VLAN 40的用户提供接入服务。同时，分别通过自己的FastEthernet 0/23 、
21、FastEthernet 0/24上连到分布层交换机DistributeSwitch1、DistributeSwitch2的端口FastEthernet 0/24。如图所示，是访问层交换机AccessSwitch2的连接示意图。 图2-2访问层交换机AccessSwitch2的连接示意图对访问层交换机AccessSwitch2的配置步骤、命令和对访问层交换机AccessSwitch1的配置类似。这里，不再详细分析，只给出最后的配置文件内容（只留下了必要的命令）。需要指出的是，为了提供主干道的吞吐量，可以采用链路捆绑（快速以太网信道）技术增加可用带宽。例如，可以将访问层交换机AccessSwit
22、ch1的端口FastEthernet 0/21 和FastEthernet 0/22捆绑在一起实现200Mbps的快速以太网信道，然后再上连到分布层交换机DistributeSwitch1。同样，也可以将访问层交换机AccessSwitch1的端口FastEthernet 0/23 和FastEthernet 0/24捆绑在一起实现200Mbps的快速以太网信道，然后再上连到分布层交换机DistributeSwitch2。具体的配置步骤和命令我们将在核心层交换机的配置一节中进行介绍。8访问层交换机的其它可选配置（1）Uplinkfast访问层交换机AccessSwitch1通过两条冗余上行链路
23、分别接入分布层交换机DistributeSwitch1和、DistributeSwitch2。在生成树的作用下，其中一条上行链路处于转发状态，而另一条上行链路处于阻塞状态。当处于转发状态的链路因故障断开后，经过大约50秒钟的时间，处于阻塞状态的链路才能替代故障链路工作。Uplinkfast特性可以使得当主上行链路失败后，处于阻塞状态的上行链路（备份上行链路）可以立即启用。如图所示，是在访问层交换机AccessSwitch1上启用Uplinkfast特性。同样的步骤也可以在访问层交换机AccessSwitch2上进行配置。 图2-2启用Uplinkfast特性注意，Uplinkfast特性只能在
24、访问层交换机上启用。（2）BackbonefastBackbonefast的作用与Uplinkfast类似，也用于加快生成树的收敛。所不同的是，Backbonefast可以检测到间接链路（非直连链路）故障并立即使得相应阻塞端口的最大寿命计时器到时，从而缩短该端口可以开始转发数据包的时间。如图所示，是在访问层交换机AccessSwitch1上启用Backbonefast特性。同样的步骤需要在网络中的所有交换机上进行配置。 图2-2启用Backbonefast特性注意，Backbonefast特性需要在网络中所有交换机上进行配置。2.2分布层交换服务的实现配置分布层交换机分布层除了负责将访问层交换
25、机进行汇集外，还为整个交换网络提供VLAN间的路由选择功能。这里的分布层交换机采用的是Cisco Catalyst 3550交换机。作为3层交换机，Cisco Catalyst 3550交换机拥有24个10/100Mbps自适应快速以太网端口，同时还有2个1000Mbps的GBIC端口供上连使用，运行的是Cisco的Integrated IOS操作系统。我们以图1-1中的分布层交换机DistributeSwitch1为例进行介绍。如图2-1所示： 图2-1分布层交换机DistributeSwitch11配置分布层交换机DistributeSwitch1的基本参数对分布层交换机Distribut
26、eSwitch1的基本参数的配置步骤与对访问层交换机AccessSwitch1的基本参数的配置类似。这里，只给出实际的配置步骤，不再给出解释。 图2-1配置分布层交换机DistributeSwitch1的基本参数2配置分布层交换机DistributeSwitch1的管理IP、默认网关如图2-3所示，显示了为分布层交换机DistributeSwitch1设置管理IP并激活本征VLAN。同时，还设置了默认网关的地址。 图2-2分布层交换机DistributeSwitch1的管理IP、默认网关3配置分布层交换机DistributeSwitch1的VTP当网络中交换机数量很多时，需要分别在每台交换机上
27、创建很多重复的VLAN。工作量很大、过程很繁琐，并且容易出错。我们常采用VLAN中继协议（Vlan Trunking Protocol，VTP）来解决这个问题。VTP允许我们在一台交换机上创建所有的VLAN。然后，利用交换机之间的互相学习功能，将创建好的VLAN定义传播到整个网络中需要此VLAN定义的所有交换机上。同时，有关VLAN的删除、参数更改操作均可传播到其他交换机。从而大大减轻了网络管理人员配置交换机负担。在本校园网实现实例中使用了VTP技术。同时，将分布层交换机DistributeSwitch1设置成为VTP服务器，其他交换机设置成为VTP客户机。（1）配置VTP管理域共享相同VLA
28、N定义数据库的交换机构成一个VTP管理域。每一个VTP管理域都有一个共同的VTP管理域域名。不同VTP管理域的交换机之间不交换VTP通告信息。如图9-4-2所示，将VTP管理域的域名定义为nciae。 图2-2设置VTP管理域的域名（2）设置VTP服务器工作在VTP服务器模式下的交换机可以创建、删除VLAN、修改VLAN参数。同时，还有责任发送和转发VLAN更新消息。如图所示，设置分布层交换机DistributeSwitch1成为VTP服务器。 图2-2设置分布层交换机DistributeSwitch1成为VTP服务器（3）激活VTP剪裁功能默认情况下主干道传输所有VLAN的用户数据。有时，交换网络中某台交换机的所有端口都属于同一VLAN的成员，没有必要接收其他VLAN的用户数据。这时，可以激活主干道上的VTP剪裁功能。当激活了VTP剪裁功能以后，交换机将自动剪裁本交换机没有定义的VLAN数据。在一个VTP域下，只需要在VT
