网络拓扑与设备选型

在设计网络时，通常采用分层架构：核心层、分布层和接入层。各层设备需根据流量转发能力和可靠性要求进行选型。核心层部署支持高速转发和大容量路由表的路由器或三层交换机，常见品牌如华为、思科等均可提供相应产品。分布层负责策略控制和区域汇聚，接入层则连接终端用户。

以下为典型的三层结构参考：

• 核心层：华为 NetEngine 系列路由器或 CE 系列交换机，支持 OSPF、BGP，具有冗余引擎和电源。
• 分布层：华为 S5735 或思科 Catalyst 9300 系列交换机，完成 VLAN 间路由和 ACL 策略实施。
• 接入层：华为 S5731-L 或思科 Catalyst 9200 系列交换机，提供 PoE 和接入端口安全。

VLAN 划分与三层接口配置

合理的 VLAN 设计可以隔离广播域、提高安全性。通常为管理、服务器、不同部门单独划分 VLAN。以下示例使用私有地址段 172.16.0.0/16，在核心交换机上定义三层接口：

configure terminal
!
vlan 100
 name Admin_Mgmt
vlan 200
 name DataCenter_Svrs
vlan 300
 name Corp_Users
!
interface vlan 100
 ip address 172.16.1.1 255.255.255.0
interface vlan 200
 ip address 172.16.2.1 255.255.255.0
interface vlan 300
 ip address 172.16.3.1 255.255.255.0

分布层上继续划分子部门 VLAN，并在该层启用路由与核心层互通：

configure terminal
vlan 400
 name Finance
vlan 500
 name Marketing
vlan 600
 name R_D
!
interface vlan 400
 ip address 172.16.4.1 255.255.255.0
interface vlan 500
 ip address 172.16.5.1 255.255.255.0
interface vlan 600
 ip address 172.16.6.1 255.255.255.0

接入层为终端预留 VLAN 并配置二层接入：

configure terminal
vlan 700
 name Reception
vlan 800
 name MeetingRm
vlan 900
 name IT_Lab
!
interface vlan 700
 ip address 172.16.10.1 255.255.255.0
interface vlan 800
 ip address 172.16.11.1 255.255.255.0
interface vlan 900
 ip address 172.16.12.1 255.255.255.0

冗余与高可用性

核心层使用双设备部署，启用 VRRP（虚拟路由器冗余协议）为网关注目虚拟 IP，防止单点故障。同时利用链路聚合（EtherChannel）提升带宽和容错。分布层与核心层之间运行 OSPF 动态路由，自动计算最优路径，在链路中断时快速收敛。

示例（核心路由器 OSPF 配置片段）：

router ospf 1
 network 172.16.0.0 0.0.255.255 area 0

安全策略实施

访问控制列表（ACL）

标准 ACL 基于源 IP 地址过滤，应靠近目标部署；扩展 ACL 可匹配源/目的 IP、协议及端口，提供精细化控制。例如仅允许管理 VLAN 访问交换机管理地址：

access-list 110 remark Permit Admin access
access-list 110 permit ip 172.16.1.0 0.0.0.255 host 172.16.1.1
access-list 110 deny ip any any log

网络准入控制（NAC）

NAC 通过终端安全检查、用户认证和授权来控制网络接入。典型组件包括 NAC 客户端、准入设备和准入服务器。流程：终端请求接入 → 获取健康状态（防病毒、补丁等） → 服务器根据策略决定允许、隔离或拒绝。不符合要求的设备定向至修复区域，更新合规后再授权访问。

远程管理

使用 SSH 协议替代 Telnet，保证管理通信的机密性。在 Linux 服务器上安装并配置 SSH 服务：

sudo apt-get install openssh-server   # Debian 系
sudo systemctl enable --now sshd

加固配置：

# 修改配置文件 /etc/ssh/sshd_config
Port 2222
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

重启服务并开放防火墙新端口：

sudo systemctl restart sshd
sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

SNMP 监控

在设备上启用 SNMP v3 代理，将 CPU、内存、端口状态等性能数据发送至网络管理平台，以便主动发现异常并生成告警。

snmp-server group netmon v3 priv
snmp-server user admin netmon v3 auth sha Auth_Pwd priv aes 128 Enc_Pwd

维护与文档

制定备份计划，定期保存设备配置文件与日志；安排周期性的安全审计和性能检查。同时为 IT 团队提供培训，建立包含拓扑图、IP 编址表、VLAN 映射和应急预案的完整文档。