1.IP地址規(guī)劃
IP地址的合理規(guī)劃是網(wǎng)絡設計中的重要一環(huán)，大型網(wǎng)絡必須對IP地址進行統(tǒng)一規(guī)劃。IP地址規(guī)劃的好壞，影響到網(wǎng)絡路由協(xié)議算法的效率，影響到網(wǎng)絡的性能，影響到網(wǎng)絡的擴展和管理，也必將直接影響到網(wǎng)絡應用的進一步發(fā)展。
# IP地址設計需求關注表
| 需求類型 | 需求調(diào)研關注點 | 需求分析關注點 |
|---|
| 用戶終端的數(shù)量。
服務器數(shù)量。
每種業(yè)務需要的信息點數(shù)量。
是否需要獨立終端運行一種單一業(yè)務。 | 信息點數(shù)量及類型涉及IP地址網(wǎng)段劃分及每個網(wǎng)段的范圍。 |
| 用戶辦公及生產(chǎn)所用地址空間是否嚴格隔離？
哪部分用戶需要訪問Internet？
合作伙伴或分支的IP地址是否由園區(qū)管理員統(tǒng)一規(guī)劃？合作伙伴和分支要訪問哪些業(yè)務？ | 不同地址空間的業(yè)務具有不同的地址規(guī)劃，可能使用重疊的IP地址，如果需要交互，需要考慮NAT、代理等策略部署。 |
考慮到網(wǎng)絡擴展性，在規(guī)劃網(wǎng)絡 IP地址時主要以易管理為主要目標。
大中型網(wǎng)絡中的DMZ區(qū)或Internet互聯(lián)區(qū)有少量設備使用公網(wǎng)IP，內(nèi)部使用的則是私網(wǎng)IP。
原則上服務器，特殊終端設備（打卡機、打印服務器、IP視頻監(jiān)控設備等）和生產(chǎn)設備建議采用靜態(tài)IP。辦公用設備建議使用DHCP動態(tài)獲取，如辦公用PC、IP電話等。
1.1 IP地址的規(guī)劃原則
唯一性：大中型網(wǎng)絡中的每個節(jié)點IP地址都唯一存在，即使使用MPLS VPN隔離，也建議不同VRF下不要使用相同的IP地址。
連續(xù)性：同一業(yè)務的節(jié)點地址要連續(xù)，便于路由規(guī)劃和匯總。
擴展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡規(guī)模擴展時無需新增地址段及路由條目。
易維護：設備地址段、各業(yè)務地址段清晰區(qū)分，易于后續(xù)基于地址段實施統(tǒng)計監(jiān)控、安全防護等策略。
好的IP地址規(guī)劃使每個地址具有實際含義，看到一個地址就可以大致判斷出該地址所屬的設備。IP地址的規(guī)劃可以與VLAN的規(guī)劃對應起來。例如，IP地址的第三個字節(jié)與VLAN編號的后三位保持一致，這樣可以便于管理員記憶和管理。
1.2大中型網(wǎng)絡IP地址的的基本分類
管理地址：
二層設備使用 VLANIF 地址作為管理 IP，建議網(wǎng)關下的所有二層交換機使用同一網(wǎng)段。
三層設備建議使用 Loopback 地址作為管理IP，Loopback 地址掩碼統(tǒng)一為32位。
堆疊或集群系統(tǒng)建議預留兩個管理IP以方便其靈活選擇。
互聯(lián)地址：
互聯(lián)地址是指兩臺網(wǎng)絡設備相互連接的接口所需要的地址。
互聯(lián)地址務必使用30位掩碼的地址。核心設備使用較小的一個地址，互聯(lián)地址通常要聚合后發(fā)布，在規(guī)劃時要充分考慮使用連續(xù)的可聚合地址。
業(yè)務地址：
業(yè)務地址是連接在以太網(wǎng)上的各種服務器、主機所使用的地址以及網(wǎng)關的地址，業(yè)務地址規(guī)劃時所有的網(wǎng)關地址統(tǒng)一使用相同的末位數(shù)字，如：.254都是表示網(wǎng)關。
每一類子業(yè)務的地址范圍要清晰區(qū)分，每一類子業(yè)務的服務器和客戶端的地址范圍也要清晰區(qū)分。
每一類業(yè)務終端地址連續(xù)，可聚合。
考慮廣播域范圍及規(guī)劃的簡易程度，建議為每個業(yè)務地址段預留掩碼為24位的地址段，如果業(yè)務終端超出200，再為其順延一個掩碼為24位的地址段。
大中型網(wǎng)絡內(nèi)部的IP地址：
建議使用私網(wǎng)IP地址，在邊緣網(wǎng)絡通過NAT轉換成公網(wǎng)地址后接入公網(wǎng)。
匯聚交換機下接入的網(wǎng)段可能有很多，在規(guī)劃的時候需要考慮路由是可以聚合的，這樣可以減少核心網(wǎng)絡的路由數(shù)目。
業(yè)務隨行的IP地址：
業(yè)務隨行方案中安全組的規(guī)劃非常重要。IP地址規(guī)劃對于靜態(tài)資源類安全組的配置也存在重要的影響。相同用途接口、主機或服務器的IP地址規(guī)劃至同一網(wǎng)段中，可以大幅簡化安全組的配置。
例如所有網(wǎng)絡轉發(fā)設備接口的互聯(lián)IP地址雖然通過子網(wǎng)掩碼分隔成多了網(wǎng)段（10.1.1.0/30、10.1.1.4/30等），但是如果在IP地址規(guī)劃時為設備接口IP地址預留了一個統(tǒng)一的網(wǎng)段（10.1.0.0/16），在配置代表網(wǎng)絡接口的安全組時就非常方便。
園區(qū)內(nèi)部所有IP地址屬于同一地址空間，方便互訪。
內(nèi)部用戶訪問Internet時，在Internet出口區(qū)進行NAT轉換，避免園區(qū)內(nèi)部存在公網(wǎng)、私網(wǎng)地址混跑的現(xiàn)象。NAT策略要足夠精確，僅針對有權限進行Internet訪問的私網(wǎng)地址進行NAT轉換。如果公網(wǎng)地址緊張，建議設備互聯(lián)接口地址使用私網(wǎng)IP，僅在NAT設備上部署公網(wǎng)地址池。
合作伙伴和分支的本地地址可能不會由園區(qū)管理員統(tǒng)一規(guī)劃，園區(qū)要為合作伙伴、分支基于園區(qū)地址空間預留IP地址段，并在接入邊界處通過NAT或VPDN等方式將IP地址段分配給合作伙伴和分支用戶。
2.VLAN規(guī)劃
園區(qū)網(wǎng)絡主要的二層技術包括VLAN技術和破環(huán)技術。
2.1VLAN劃分方式設計
VLAN 劃分方式包括5種，匹配順序由高到低依次為：基于匹配策略劃分VLAN->基于MAC地址或基于子網(wǎng)劃分VLAN（缺省MAC地址方式優(yōu)于子網(wǎng)方式，可修改缺省配置使子網(wǎng)方式優(yōu)于MAC地址方式）->基于協(xié)議劃分VLAN->基于接口劃分VLAN。其中，最常用的劃分方式是基于接口。
# 各種劃分方式適用的場景如下表：
| 劃分方式 | 適用場景 | 優(yōu)點 | 缺點 |
|---|
| | | |
| 適用于位置經(jīng)常移動但網(wǎng)卡不經(jīng)常更換的小型網(wǎng)絡，如移動PC。 | 當終端用戶的物理位置發(fā)生改變，不需要重新配置VLAN。提高了終端用戶的安全性和接入的靈活性。 | 只適用于網(wǎng)卡不經(jīng)常更換、網(wǎng)絡環(huán)境較簡單的場景中。 需要預先定義網(wǎng)絡中所有成員。 |
| 適用于對安全需求不高、對移動性和簡易管理需求較高的場景中。 | 當用戶的物理位置發(fā)生改變，不需要重新配置VLAN。 可以減少網(wǎng)絡通信量，可使廣播域跨越多個交換機。 | 網(wǎng)絡中的用戶分布需要有規(guī)律，且多個用戶在同一個網(wǎng)段。 |
| 適用于需要同時運行多協(xié)議的網(wǎng)絡。 | 將網(wǎng)絡中提供的服務類型與VLAN相綁定，方便管理和維護。 | 需要對網(wǎng)絡中所有的協(xié)議類型和VLAN ID的映射關系表進行初始配置。 需要分析各種協(xié)議的格式并進行相應的轉換，消耗交換機較多的資源，速度上稍具劣勢。 |
| | 安全性高，VLAN劃分后，用戶不能改變IP地址或MAC地址。 網(wǎng)絡管理人員可根據(jù)自己的管理模式或需求選擇劃分方式。 | |
如無特殊需求，推薦基于接口劃分VLAN。
2.2管理VLAN和互聯(lián)VLAN設計
二層交換機無法直接創(chuàng)建三層接口，需要創(chuàng)建VLANIF來進行管理，這時需要定義管理VLAN。通常，二層交換機使用VLANIF接口地址作為管理地址，三層交換機使用Loopback接口地址作為管理地址。如果網(wǎng)絡規(guī)模不大，建議所有的二層交換機使用同一管理VLAN，管理IP處于同一網(wǎng)段即可；如果網(wǎng)絡規(guī)模很大，可為同一網(wǎng)關下的二層交換機分配同一管理VLAN，管理IP處于同一網(wǎng)段。
互聯(lián)VLAN一般用在兩臺三層交換機之間或三層交換機與路由器之間，創(chuàng)建VLANIF接口進行三層互聯(lián)。如果交換機支持切換接口的二三層模式，建議切換為三層模式來配置互聯(lián)地址。 如果交換機不支持切換接口的二三層模式，必須使用互聯(lián)VLAN時，建議互聯(lián)VLAN和業(yè)務VLAN嚴格區(qū)分；每條互聯(lián)鏈路分配一個VLAN，且互聯(lián)物理接口配置為Trunk模式。
2.3VLAN規(guī)劃原則與建議
一個二層網(wǎng)絡規(guī)劃的基本原則：
- 區(qū)分業(yè)務VLAN、管理VLAN和互聯(lián)VLAN
- 同一業(yè)務區(qū)域按照具體的業(yè)務類型（如：Web、APP、DB）劃分不同的VLAN
- VLAN需連續(xù)分配，以保證VLAN資源合理利用
- 預留一定數(shù)目VLAN方便后續(xù)擴展
VLAN可以根據(jù)多種原則組合劃分。
# 按照邏輯區(qū)域劃分VLAN范圍，如：
- 服務器區(qū)：200～999，預留1000～1999
# 按照地理區(qū)域劃分VLAN范圍，如：
- 接入網(wǎng)絡A的地理區(qū)域使用2000～2199
- 接入網(wǎng)絡B的地理區(qū)域使用2200～2399
# 按照人員結構劃分VLAN范圍，如：
- 接入網(wǎng)絡A地理區(qū)域A部門使用2000～2009
- 接入網(wǎng)絡A地理區(qū)域B部門使用2010～2019
# 按照業(yè)務功能劃分VLAN范圍，如：
閱讀原文：原文鏈接
該文章在 2025/3/17 11:10:34 編輯過
400 186 1886
