企业网络架构小结

J I A N G S U U N I V E R S I T Y

“企业网络架构应具备的特点及实现

方法简介”

2019年3月6日

学院名称： 计算机科学与通信工程学院 专业班级： 网络工程16级 学生姓名： 吴丽霞 李青茂 学生学号： 3160610032 3150610027 指导教师： 申屠浩

1.企业园区网络所具有的特点：

（1）层次化设计：每个层可以看作为是园区网内一个具有特定角色和功能的、结构定义良好的模块，层次化的设计结构，易于扩展和维护，降

低了设计的复杂度和难度。理论上，分层架构的层次可以任意多，但

在大多数情况下，3个层次就足够了，这样可以更好地控制网络规模

和网络质量，同时也方便网络管理和维护。

（2）模块化设计：每个模块对应一个部门、功能或业务区域，可根据网络规模灵活扩展，部门或区域内部调整涉及范围小，容易进行问题定位。

（3）冗余设计：双节点冗余性设计可以保证设备级可靠，适当的冗余提高可靠性，但过度的冗余也不便于运行维护。如果无法做好双节点冗余

设计，对框式的核心交换机或者出口路由器，可以考虑单板级的冗余，

如双主控板，双交换网板。另外，关键链路可以采用Eth-Trunk链路

实现链路级可靠性。

（4）对称性设计：网络的对称性便于业务部署，拓扑直观，便于协议设计和分析。综上所述，在实际应用中，网络架构可以根据网络规模或业

务需要灵活划分或调整，通常分为三层、二层、单层等多种结构类

型。在企业边缘区一般采用边界路由器+防火墙的结构，以此实现公

司内部应用和外部访问隔离的目的。

2.企业园区网络一般架构：

1.小型企业网：用户终端--交换机--出口路由器--WAN(wide area network)广域网；

2.一般企业网：三层精简模型，分层有利于网络的扩展和管理。

（1）接入层：第1层，此层设备主要为接入层交换机，用以接入企业终端设备，如：PC、AP、IP电话、服务器等。

（2）汇聚层/分布层：第2层，此层设备主要为路由器将内网下层所有设备的发送的流量汇聚，实现包括网关配置、VLAN Interface（接口）配置，不同VLAN 间互通等工作。（在服务集群场景下汇聚层又称为分布层）

（3）核心层：第3层，此层设备一般为路由器或高性能三层核心交换机等，快

速转发汇聚层上送的数据，通过核心层的网关设备将数据转发至WAN广域网。

3.服务集群架构：对于大型企业来说会有服务器集群，要与员工办公的一般设备区分开，其结构一般为接入层--分布层--核心层--服务器集群。

3.企业网络的评估和实现：

首先选择结构模型，它的判断标准主要有两条：

l .网络规模（自底向上法）：即网络接入点或用户数量。

2.业务需求（自顶向下法）：主要体现在业务是否需要网络隔离以及如何隔离。

这两条标准一般在实际应用中同时采用，相互印证或补充。当两种标准的判断结果不相

同时，采取就高不就低的原则，选择层数多的结果作为统一的最终结果。

根据用户数量选择：

根据网络规模选择：

根据业务需求选择：

当园区网的多种业务需要进行网络隔离时，可以直接确定采用三层结构，实现物理隔离。

例如，某公司有研发、生产、财务、人力等多个部门，各部门之间需要进行网络隔离，要求各部门数据不能直接进行二层访问。通常各部门之间是业务隔离的，建议每个部门形成一个独立的汇聚区域，部门内部可以二层互通，不同部门之间不能直接互通。如果部门之间有业务互访的需求，则需要进行严格控制。通过在核心层设备上部署ACL来进行访问控制。

安装防火墙等安全防护组件：

网络上"黑来黑去"的事件不断发生，企业或组织可能面临的伤害，轻则只是网页被篡改，但重则可能蒙受巨额或商业利益上的损失。因此，许多企业组织开始警觉到架设防火墙的对网络安全的重要性。

网络架构方面，可以依据防火墙系统的网络接口，来区分不同的防火墙网络建置型态

第一种类型，是所谓的「单机版」防火墙。这种型态的防火墙建置架构，是目前防火墙产品市场中较少被提出的方案。「单机版」的防火墙是针对特定主机作安全防护的措施，而非整个网络内所有的机器。这种「单机版」的防火墙对某些企业而言有一定的需求；例如已架设防火墙，但需要重点式保护某些主机的企业，或是只有单一主机的企业。这种架构从网络的底层就开始保护这台伺服主机，可以彻底地防御类似「拒绝服务(Denial of Service)的攻击，因为这类攻击可能不单来自外界或者是网际网络，亦可能来自同一个网络区段上的任何一台机器。因此，架设这种「单机版」的防火墙绝对会提升在同一个网络区段上的服务器的安全等级。

第二种类型是利用防火墙系统实际区分两个网络区段，如果与防火墙的网络地址转换的功能做搭配，这样建置的网络架构就有不同的变化。防火墙的架构上有一种设计被称为「非军事区」(De-Military Zone /DMZ)。DMZ网段的设计可完全区隔网际网络用户及企业内部网络用户。通常置于DMZ网段的主机是为服务公众的主机，例如企业对外的网站、信件服务器等。这些主机可以经由防火墙的授权让企业内部或网际网络的用户进行资料的存取，而防火墙也会针对非授权封包的攻击，例如Ping of Death、SNY Flooding….等予以拦截并反击。另一方面，企业更可以利用防火墙系统提供的网络监控及记录分析工具(如果防火墙系统没有提供，可选购辅助的软件) 来评估企业网际网络专线的使用状况是否符合企业效益。所以最终企业网络架构如下图：

终端层：包含园区内的各种终端设备，例如PC、笔记本电脑、打印机、传真、POS话机、SIP话机、手机、摄像头等。接入层：为终端用户提供园区网接入功能，是园区网的边界。接入层通常由以太网交换机组成。对于某些终端，可能还要增加特定的接入设备，例如无线接入的AP设备等。汇聚层：将众多的接入设备和大量用户经过一次汇聚后再接入到核心层，扩展核心层接入用户的数量，完成数据汇聚或交换的功能。汇聚层通常还作为用户三层网关，承担二三层边缘设备的角色，提供用户管理、安全管理、QoS调度等各项跟用户和业务相关的处理。核心层：园区网的骨干区域，是园区数据交换的核心，联接园区网的各个组成部分，如数据中心、汇聚层、出口区等。核心层网络需要实现带宽的高利用率和网络故障的快速收敛。出口区：园区内部网络到外部网络的边界，内部用户通过边缘网络接入到公网，外部用户（包括客户、合作伙伴、分支机构、远程用户等）通过边缘网络接入到内部网络。

数据中心区：部署服务器和应用系统的区域，为企业内部和外部用户提供数据和应用服务。DMZ区：通常公用服务器部署于该区域，为外部访客（非企业员工）提供相应的访问业务，其安全性受到严格控制。

经过以上大致的分析和分层思想，一个企业网络的架构基本如上图所示。

4.体会与心得

在本次作业当中，了解到了企业网络架构的多样性与复杂性，在每个网络设计的环节中都要因地制宜的定制相应的方案。而在实际的网络布设方案中不仅要考虑网络速度，安全，及可靠性等方面也得从经费方面结合企业的实际情况来决定相应的方案。