再见太难100Mb/s 光纤 G .370接口 2Mb/s 线，
V3.
连接到校总部示意图
5.3校园网主干
主干为千兆主干，设备为CISCO的3层交换机，型号为CISCO2948G-L3。因考虑到以后多媒体数据流在网上的应用于及主干的冗余，因此在主干上采用千兆链路（100Mb/s Trunk），既可扩大主干带宽（200Mb/s或全双工400Mb/s）,又可以起到主干冗余作用及均衡负载。
主干采用超5类非屏蔽双绞线（UTP）布线，能承载千兆带宽，可以保证以后网络的扩容与提升。主干所有链路屏蔽层全部接到信号地（主机房地网），防止静电和电磁干扰，地保证数据链路的可靠性。 5.4防火墙
为考虑系统的安全可靠性，将在网络主机房为学校安装一套ISA server 2004 是路由级网络防火墙，兼备高性能缓存特性。ISA server 2004 是微软推出的面向企业级应用的高级应用防火墙，融合了状态检测和代理型防火墙的种种特点。ISA server 2004 为各种类型的网络提供了高级保护、易用性和快速、安全的访问。它尤其适合于保护需要为不同地域设置多重防火墙阵列的企业网络。ISA server 2004 可以部署成一台专用防火墙，作为内部用户接入Internet的安全网关。在信息传输过程中ISA server 2004 计算机对其他各方来说是透明的。也就是说，内部访问Internet或者外部人员访问企业内部时，它们都感觉不到防火墙的存在。ISA server 2004 既可完成防火墙的功能，又能完成代理的功能，能起到Web cache 的作用，并能够安全服务器发布，提高访问Internet的速度，并且减少对外访问的流量，节省带宽。 5.5 VLAN的划分
- 20 -
根据学校的应用类型，划分了办公室、电脑室、教学楼课室、网络中心等子网。分VLAN在一定程度上可以提高网络的安全性，防止网段上无效的广播包的传播以及减少带宽的占用，可以减少延迟，还可以增加网络弹性，并降低成本易于管理。
VLAN技术的优点：控制广播风暴、提高网络整体安全性、网络管理简单、提高性能等优点
VLAN有两种划分方法： 静态: 基于端口划分的VLAN。 动态：基于MAC地址的VLAN。
本方案采用基于端口的划分VLAN，因为基于端口的划分VLAN配置比较简单，便于管理。
端口 1～8 9 10 11 12 13---18 19--20 48 VLAN ID 说明 Cisco2948G-L3（网管中心，核心交换机，网管IP：172.16.1.254/24） 2、3、4、5、6、7、8、9 连接到综合楼学生机主交换机上行端口 1、10 1、11 1、12 1、13 连接到办公室交换机上行端口 连接到实验楼交换机 连接到一教交换机 连接到教师公寓交换机 1、14、15、16、17、18、连接到宿舍楼的交换机 19 1～19 连接到另外一台三层交换机的以太网通道 连接到路由器上的接口
5.6中心交换机及其配置
实现与总部的广域路由，实现本地不同VLAN之间的局域路由，实现对网络各种数据包的QoS控制。采用第三层交换技术：一方面支持VLAN之间通信；另一方面交换技术减少了数据包的碰撞问题。支持VLAN的交换机配合第三层功能不但具有很高的性能，而且具有充分的弹性，因此，是最好的选择。网络的冗余技术：提高网络的可靠性；链路冗余既可提高可靠性，又能均衡负载。
本方案采用两台三层的交换机，可以实现链路的冗余，当其中的一台出现问题，不会导致整个网络的瘫痪，这就是网络的稳定性。还
- 21 -
可以在三层交换机上启用ＳＴＰ，并且为每个ＶＬＡＮ指定根网桥，另外一台三层交换机为它的备份根网桥，当根网桥的链路断开，数据可以通过备份根网桥转发出去。在两台三层交换机之间配置以太网通道可以提高链路带宽。
根据对该学校情况的了解，原来4间电脑室的主交换机Intel 530在使用时会出现流量阻塞的情况，并且无法与CISCO核心交换机做Trunk。因此，在次工程中，我们建议用CISCO 2950-48与现有的Intel530交换机互换，并与核心交换机做两路100Mb/s Trunk，使链路带宽增加到200Mb/s，可满足教学的要求。而原来的Intel530 可作为综合楼的二级交换机使用。 交换机配置：
1．配置核心层交换机CoreSwitch1的基本参数 Switch#configure terminal
Enter configuration commands,one per line.End with CNTL/Z Switch(config)#hostname DistributeSwitch1 CoreSwitch1 (config)#enable secret youguess CoreSwitch1 (config)#line con 0
CoreSwitch1 (config-line)#logging synchronous CoreSwitch1 (config-line)#exec-timeout 5 30 CoreSwitch1 (config-line)#line vty 0 15 CoreSwitch1 (config-line)#password abc CoreSwitch1 (config-line)#login
CoreSwitch1 (config-line)# exec-timeout 5 30 CoreSwitch1 (config-line)#exit
CoreSwitch1 (config)#no ip domain-lookup
2．配置核心层交换机CoreSwitch1的管理IP、默认网关 CoreSwitch1(config)#interface vlan 1 CoreSwitch1(config-if)#ip address CoreSwitch1(config-if)#no shutdown CoreSwitch1(config-if)#exit
CoreSwitch1(config-if)#ip default-gateway
3．配置核心层交换机CoreSwitch1的的VLAN及VTP CoreSwith1(config)#vtp mode client
4．配置核心层交换机CoreSwitch1的端口参数
核心层交换机CoreSwitch1通过自己的端口FastEthernet 4/3同广域网接入模块（Internet路由器）相连。同时，核心层交换机CoreSwitch1的端口GigabitEthernet 3/1～GigabitEthernet 3/2分别下连到分布层交换机DistributeSwitch1和DistributeSwitch2的端口GigabitEthernet 0/1。
DistributeSwitch1(config)#interface range fastethernet 0/1 – 24
- 22 -
DistributeSwitch1(config-if-range)#dupex full DistributeSwitch1(config-if-range)#speed 100
DistributeSwitch1(config-if-range)#switchport mode access DistributeSwitch1(config-if-range)#switchport access vlan 1 DistributeSwitch1(config-if-range)#spanning-tree portfast
DistributeSwitch1(config-if-range)#interface range gigabitEthernet 3/1– 2 DistributeSwitch1(config-if-range)#switchport mode trunk
此外，为了提供主干道的吞吐量以及实现冗余设计，在本设计中，将核心层交换机CoreSwitch1的千兆端口GigabitEthernet 2/1、GigabitEthernet 2/2捆绑在一起实现2000Mbps的千兆以太网信道，然后再连接到另一台核心层交换机CoreSwitch2。
CoreSwitch1 (config)#interface port-channel CoreSwitch1 (config-if)#switchport
CoreSwitch1 (config-if)# interface gigabitEthernet 2/1– 2
CoreSwitch1 (config-if)#channel-group 1 mode desiruble non-silent CoreSwitch1 (config-if)#no shutdown
5．配置核心层交换机CoreSwitch1的路由功能
核心层交换机CoreSwitch1通过端口FastEthernet 4/3同广域网接入模块（Internet
路由器）相连。因此，需要启用核心层交换机的路由功能。同时，还需要定义通往Internet的路由。这里使用了一条缺省路由命令。其中，下一跳地址是Internet接入路由器的快速以太网接口FastEthernet 0/0的IP地址。
CoreSwitch1(config)#ip routing
CoreSwitch1(config)#ip route 0.0.0.0 0.0.0.0 192.168.2.254 6．其它配置
定义对无类别网络以及全零子网的支持 CoreSwith1(config)#ip classless CoreSwith1(config)#ip subnet-zero
CoreSwitch2的配置步骤、命令和CoreSwitch1的配置类似.
5.7路由器及其配置 （1）路由器的选择
路由器选择2600系列路由器，cisco 2600系列路由器提供了一个灵活、可扩展的集成解决方案，本项目选用cisco 2621xm这款产品，能够满足目前系统的需求以及性能指标要求，也方便今后系统的扩展和升级。 （2）路由器配置
1. 配置接入路由器InternetRouter的基本参数 Router#configure terminal
Enter configuration commands,one per line.End with CNTL/Z Switch(config)#hostname InternetRouter
InternetRouter (config)#enable secret youguess
- 23 -
InternetRouter (config)#line con 0
InternetRouter (config-line)#logging synchronous InternetRouter (config-line)#exec-timeout 5 30 InternetRouter (config-line)#line vty 0 15 InternetRouter (config-line)#password abc InternetRouter (config-line)#login
InternetRouter (config-line)# exec-timeout 5 30 InternetRouter (config-line)#exit
InternetRouter (config)#no ip domain-lookup
2. 配置接入路由器InternetRouter的各接口参数 InternetRouter (config)#interface fastethernet 0/0 InternetRouter (config-if)#ip address InternetRouter (config-if)#no shutdown
InternetRouter (config-if)# interface serial 0/0 InternetRouter (config-if)#ip address InternetRouter (config-if)#no shutdown
3. 配置接入路由器InternetRouter的路由功能 InternetRouter (config)#ip route InternetRouter (config)#ip route InternetRouter (config)#ip route /定义到校园网内部的路由
4. 配置接入路由器InternetRouter上的NAT
为了接入Internet，本校园网向当地ISP申请了9个IP地址。其中一个IP地址：193.1.1.1被分配给了Internet接入路由器的串行接口，另外8个IP地址：202.206.222.1～202.206.222.8用作NAT。
InternetRouter (config)#interface fastethernet 0/0 InternetRouter (config-if)#ip nat inside
InternetRouter (config-if)#interface serial 0/0
InternetRouter (config-if)#ip nat outside /定义NAT内部、外部接口 InternetRouter (config)#ip access-list 1 permit InternetRouter (config)#ip access-list 1 permit InternetRouter (config)#ip nat inside source static InternetRouter (config)#ip nat inside source static InternetRouter (config)#ip nat inside source static …… / 为服务器定义静态地址转换
InternetRouter (config)#ip nat inside source list 1 interface serial 0/0 overload / 为工作站定义复用地址转换
5.8网络管理
网络管理涉及网络资源和运行的规划、组织、监视以及计费和控
制各个方面，为了更好的定义网络管理的范围，国际标准化组织定义了网络管理的5个功能，即配置管理、性能管理、故障管理、安全管
- 24 -
