H3CNE 中小型企业网络架构
项目拓扑
项目设计
网络连接规划
- RUNTIME 公司需要进行信息化建设，要求内部所有员工的办公设备连网，并且能够访问互联网
- 公司网络架构按照三层模型设计
- 接入层采用二层交换机，通过划分 VLAN 来隔离各个业务部门
- 汇聚层采用两台三层交换机，作为所有业务网段的网关
- 核心层采用三台路由器，连接公司业务网段和内部服务器群，并接入到互联网
IP 地址及 VLAN 规划
- 公司有5个业务部门，分别为市场部、销售部、技术部、财务部、HR，划分到不同 VLAN 进行隔离
- 业务部门和服务器群主机数量较多，网段划分为
192.168.X.X/24的 C 类网段 - 设备之间的互联网段为了节省 IP 地址，划分为
10.X.X.X/30的网段，每个网段 2 个 IP 地址 - 在汇聚交换机上使用 DHCP 为终端设备自动分配 IP 地址，简化终端用户接入过程
- IP 地址及 VLAN 规划详细信息见表 1-1
位置 设备 接口 IP地址 VLAN ID VLAN NAME 备注 市场部 / / 192.168.1.0/24 10 market / 销售部 / / 192.168.2.0/24 20 sales / 技术部 / / 192.168.3.0/24 30 tech / 财务部 / / 192.168.4.0/24 40 account / HR / / 192.168.5.0/24 50 hr / 服务器区 / / 192.168.6.0/24 / / / 汇聚层 SW1 vlanif10 192.168.1.252/24 10 market / 汇聚层 SW1 vlanif20 192.168.2.252/24 20 sales / 汇聚层 SW1 vlanif30 192.168.3.252/24 30 tech / 汇聚层 SW1 vlanif40 192.168.4.252/24 40 account / 汇聚层 SW1 vlanif50 192.168.5.252/24 50 hr / 汇聚层 SW1 vlanif60 10.1.0.1/30 60 huiju / 汇聚层 SW1 vlanif111 10.0.0.6/30 111 hulian1 连接 R1 汇聚层 SW1 loopback0 10.1.1.11/32 / / / 汇聚层 SW2 vlanif10 192.168.1.253/24 10 market / 汇聚层 SW2 vlanif20 192.168.2.253/20 20 sales / 汇聚层 SW2 vlanif30 192.168.3.253/24 30 tech / 汇聚层 SW2 vlanif40 192.168.4.253/24 40 account / 汇聚层 SW2 vlanif50 192.168.5.253/24 50 hr / 汇聚层 SW2 vlanif60 10.1.0.2/30 60 huiju / 汇聚层 SW2 vlanif222 10.0.0.10/30 222 hulian2 连接 R2 汇聚层 SW2 loopback0 10.1.1.12/32 / / / 核心层 R1 G0/0 10.0.0.5/30 / / 连接 SW1 核心层 R1 G0/1 10.0.0.1/30 / / 连接 R2 核心层 R1 G0/2 10.0.0.14/30 / / 连接 R3 核心层 R1 MP1 202.100.1.2/30 / / 连接互联网 核心层 R1 loopback0 10.1.1.1/32 / / / 核心层 R2 G0/0 10.0.0.9/30 / / 连接 SW2 核心层 R2 G0/1 10.0.0.18/30 / / 连接 R3 核心层 R2 G0/2 10.0.0.2/30 / / 连接 R1 核心层 R2 loopback0 10.1.1.2/32 / / / 核心层 R3 G0/0 10.0.0.13/30 / / 连接 R1 核心层 R3 G0/1 10.0.0.17/30 / / 连接 R2 核心层 R3 G0/2 192.168.6.254/30 / / 连接服务器 核心层 R3 loopback0 10.1.1.3/32 / / / 表 1-1 路由规划
- 汇聚层和核心层工作在三层网络中，使用 OSPF 协议来实现全网路由互通
- 核心层划分为骨干区域，汇聚层划分为非骨干区域，提高网络可扩展性，以便日后加入新的汇聚层模块
- 使用静默接口来避免不必要的路由协议报文冲击业务网段
互联网接入规划
- 连接互联网的出口路由器通过配置并引入默认路由，来使所有节点具备访问互联网的路由信息
- 连接互联网的出口路由器配置 EASY IP 使内部私有地址可以访问互联网
- 服务器区只为公司内部提供服务，不允许访问互联网
- 使用 chap 验证来验证接入身份
冗余及可靠性规划
- 接入层交换机双上行连接至汇聚层，使用 STP 来消除二层环路
- 接入层交换机连接终端的端口配置为边缘端口，加快 STP 的收敛速度
- 汇聚层交换机之间连接多条链路，使用链路聚合来实现链路冗余，同时增加传输带宽
- 连接公网使用 PPP-MP 来实现双线聚合，使访问互联网的流量负载分担
- 通过上述设计，公司内部任何一条链路故障都不会造成网络和业务中断
管理性规划
- 所有设备开启 TELNET ，使运维人员可远程进行管理，提高管理效率
- 为了保证远程管理的安全性，通过 ACL 来限制只有运维人员的终端可以远程连接所有设备
设备清单（见表 1-2）
| 序号 | 名称 | 品牌 | 型号 | 产品描述 | 单位 | 数量 | 单价 | 合计 |
|---|---|---|---|---|---|---|---|---|
| 1 | 二层交换机 | H3C | S1526 | 千兆以太口X24 | 台 | 6 | 900 | 5400 |
| 2 | 三层交换机 | H3C | S5520V | 千兆以太口X24、万兆光口X2 | 台 | 2 | 4500 | 9000 |
| 3 | 路由器 | H3C | MSR36-20 | 千兆以太口X3、串口X2 | 台 | 3 | 7000 | 21000 |