拓撲與說明

某公司的網路架構，這樣的架構在目前的網路中是在常見的，假設您接收一個這樣的網路，應該如何部署，該實戰系列，就是一步一步講解，如何規劃、設計、部署這樣一個環境，這裡會針對不同的情況給出不同的講解，比如拓撲中有2個ISP，假設客戶需求是，想實現主備的效果，又或者是想負載分擔。 DHCP部署在防火牆上面或者是單獨的伺服器上面又該如何配置部署。 說明：總部使用的是華為的全套裝置，包括防火牆、無線、交換機等，而分部使用的是H3C的路由器與交換機，無線還是使用的華為的AP。 總部的架構屬於中型企業的架構了，而分部的架構則屬於中小型的架構，在工作中都經常會遇到，這裡會一步一步講解，如何進行部署，實現客戶的需求，並且總部與分部之間互訪，出差員工可以訪問總部的資源。這樣您在工作中遇到這樣的網路架構也就會單獨部署了，不用擔心不知道如何下手的情況。這裡除了一步一步講解如何配置以外，還會講解為什麼這麼配置，實現的效果是什麼。

客戶需求

1、使用合理的IP子網劃分，保證合理性與可擴充套件性、彙總性、控制性 2、保證冗餘性，包括鏈路冗餘與裝置冗餘 3、安全性，保護重要的部門，除了特定人員可以訪問外，其餘部門不允許訪問，比如財務部，有效的控制病毒、ARP的攻擊 4、無線終端，考慮到公司手機與移動電腦增多，增加無線功能，提供給裝置連線，要求實現驗證功能，而訪客區，不進行認證，但不能連線到公司內部，只能訪問公司提供的網頁服務與Internet連線。 5、保證在正常情況下，訪問Internet都是走電信出口，當出現問題後，用網通出去，保證冗餘性，需實現自動切換。並且實施NAT技術 6、總部與分部，財務部之間需要互訪，必須保證安全性 7、出差員工，可以通過遠端訪問技術接入到公司內部實現訪問特定的資源。 8、裝置實現管理，由單獨的管理主機訪問。

解決思路

1、使用子網劃分來對每個部門進行規劃，每一個部門單獨一個24位的子網斷，保證連續性，即使後續有新增加的員工，24位有254個地址，可以保證能正常使用，並且連續性可以方便做彙總、與一些策略的控制。 2、冗餘性的實現，可以利用MSTP+VRRP技術實現鏈路的冗餘性與閘道器的熱備功能，並且核心之間鏈路起鏈路聚合，提高頻寬。 3、安全性的實施，可以利用ACL與埠隔離技術 來進行部署，當然也可以高階點，dot1x、DHCP snooping+DAI+IPSGD等技術。一般情況下用ACL與埠隔離技術即可，除非有特殊需求在使用後續的。 4、使用AC+AP的三層旁掛架構元件無線網路，實現內部網路使用5G接入網路，而訪問則使用2.4G頻率，並且實現，訪客只能訪問公司提供的WEB頁面與Internet訪問，並且要求無線訪客區之間實現隔離。 5、利用浮動路由+NQA或者ip-link技術實現自動切換 6、使用IPSEC技術實現總部與分部之間的互訪，通過加密驗證等機制來保證資料的安全性 7、部署L2TP Over IPSEC實現出差員工能夠撥入到內網，訪問特定的資源。 8、開啟Telnet或者SSH功能，實現訪問，並且用ACL限制只能特點的主機訪問。

部署思路

1、定義IP地址規劃表項，方便配置 2、規劃VLAN，以及對應的閘道器地址 3、實施VLAN配置，並且配置交換機之間的鏈路為Trunk，接入交換機面對終端為Access，無線部分為Hybrid或者Trunk，接防火牆裝置為Access 4、配置IP地址，保證直連可達 5、配置MSTP技術、VRRP、埠聚合技術，保證全網無環路、高可靠性、冗餘性存在 6、配置路由實現全網可達 7、配置DHCP服務，以及中繼，使得PC能夠正常獲取地址以及DNS等引數 8、配置無線部分，能夠讓AP正常上線，以及PC能夠連線網路，並且獲取地址，實現特定需求 9、防火牆配置策略、NAT、VPN等技術，實現訪問Internet、分部，與出差員工可以正常撥入公司內網 10、部署管理，終端管理 11、最終安全策略部署

分部部署思路

1、採用之前定義的IP地址表項與VLAN與介面劃分進行配置 2、配置路由，或者採用單臂路由兩種方式 3、路由器配置VPN，實現財務部互訪，並且AP能夠正常關聯到總部的AC上面。