基于ENSP_ 某企业网规划与

企业网络规划与设计

摘 要

在企业规模持续扩张以及信息化进程不断推进的当下，构建一个高效、安全且稳定的企业网络成为保障企业正常运营与发展的关键。本次实验围绕某企业的网络需求，规划设计并实现了一套符合企业实际情况的网络系统。该网络采用三层架构，接入层选用华为 S3700 交换机，汇聚核心层（汇聚与核心合一）采用华为 S5700 交换机和华为 AR220 路由器，出口部署华为 USG600V 防火墙，并通过华为 AR220 路由器模拟 ISP。网络划分了技术部、销售部、市场部、行政部、财务部和服务器部门等 VLAN，配置了 DHCP、OSPF 等协议，实现了各部门的二层隔离与三层互通，以及所有终端对 ISP 的访问，同时通过 telnet 实现了设备的统一管理。

关键词：企业网络；三层架构；VLAN；OSPF；DHCP；telnet

Abstract 

With the continuous expansion of enterprise scale and the advancement of informatization, building an efficient, secure, and stable enterprise network has become crucial to ensuring the normal operation and development of enterprises. This experiment focused on the network requirements of a certain enterprise, planning, designing, and implementing a network system that aligns with the actual situation of the enterprise. The network adopts a three-tier architecture: the access layer uses Huawei S3700 switches; the converged core layer (with convergence and core functions integrated) employs Huawei S5700 switches and Huawei AR220 routers; a Huawei USG600V firewall is deployed at the exit; and the Huawei AR220 router is used to simulate the ISP. The network is divided into VLANs for departments such as the Technology Department, Sales Department, Marketing Department, Administration Department, Finance Department, and Server Department. Protocols such as DHCP and OSPF are configured to achieve Layer 2 isolation and Layer 3 interconnection between departments, as well as access from all terminals to the ISP. Meanwhile, unified device management is realized through telnet.

Keywords: Enterprise network; three-tier architecture; VLAN; OSPF; DHCP; telnet

前言

在当今数字化时代，企业的正常运营高度依赖稳定、高效、安全的网络环境。随着企业规模的扩大和业务的拓展，各部门对网络的需求日益多样化，既需要保障内部数据的安全传输与共享，又需要实现与外部网络的顺畅连接。

本次实验所模拟的企业包含多个职能部门，各部门业务特点不同，对网络的需求也存在差异。技术部需要高速稳定的内部通信环境以进行研发工作；销售部和市场部需要便捷访问外部网络以获取市场信息和开展业务；行政部负责企业内部管理，对网络的稳定性和安全性有较高要求；服务器部门存储着企业核心数据，需要严格的安全防护。

为满足企业各部门的网络需求，本次实验采用三层架构进行网络规划设计，通过合理划分网络层次、部署网络设备、配置网络协议，旨在构建一个能够实现部门隔离与互通、保障数据安全、支持内外网访问的企业网络，为企业的高效运营提供可靠的网络支撑。

第1章 企业网建设背景及项目分析

1.1企业网建设背景

本次实验所模拟的企业是一家中等规模的综合性企业，随着业务的不断发展，原有的简单网络架构已无法满足企业的发展需求。目前企业面临的主要网络问题如下：

各部门网络未进行有效隔离，广播风暴时有发生，影响网络性能，同时存在数据安全隐患，部门间敏感信息容易泄露。

网络设备老旧，性能不足，无法满足大量终端同时接入和高速数据传输的需求，导致网络卡顿、延迟现象频繁出现。

缺乏有效的网络管理和安全防护机制，外部网络的攻击和病毒入侵风险较高，威胁企业数据安全。

网络架构扩展性差，随着企业规模扩大和新业务的开展，难以便捷地扩展网络规模和增加网络功能。

为解决上述问题，提升企业网络的性能、安全性和可扩展性，满足各部门的业务需求，亟需对企业网络进行重新规划与建设。

1.2项目分析

1.2.1 需求分析

企业主要负责人对新网络建设提出了以下要求：

实现各部门的二层隔离，防止广播风暴影响整个网络，同时保障部门内部数据传输的安全性。

实现各部门间的三层互通，满足企业内部跨部门协作的数据共享需求。

所有终端能够顺畅访问外部网络（通过模拟的 ISP），便于获取外部信息和开展对外业务。

为各部门终端自动分配 IP 地址，减少网络管理员的手动配置工作量，提高网络管理效率。

服务器部门采用静态 IP 地址配置，确保服务器地址的稳定性，便于用户访问和管理。

网络架构应具备良好的可扩展性，能够适应企业未来的发展和业务扩展需求。

部署安全防护设备，保障企业网络免受外部网络的攻击和未授权访问。

1.2.2 可行性分析

结合企业的需求和现有网络建设条件，本次网络规划设计具有较高的可行性：

选用的华为系列网络设备（S3700 交换机、S5700 交换机、AR220 路由器、USG600V 防火墙）性能稳定、功能完善，能够满足企业网络的各项需求，且具有良好的兼容性和可扩展性。

采用的 VLAN 技术、OSPF 路由协议、DHCP 服务、防火墙技术等均为成熟的网络技术，在企业网络建设中已得到广泛应用，技术实现难度较低。

网络架构设计合理，层次清晰，接入层、汇聚核心层的划分便于网络的管理和维护，同时也为网络的扩展提供了便利。

实验环境可以通过网络模拟软件搭建，无需实际采购大量设备，降低了实验成本和难度，便于开展网络配置和测试工作。

1.3网络架构

本次企业网络架构采用三层架构设计，即接入层、汇聚核心层（汇聚层和核心层合并），具体架构如下：

1.3.1 接入层

接入层主要负责连接企业各部门的终端设备（如计算机、打印机等），采用华为 S3700 型号接入交换机。每个部门配备相应的接入交换机，技术部、销售部、市场部的终端通过接入交换机连接至核心交换机 1；行政部、服务器部门的终端通过接入交换机连接至核心交换机 2。接入层交换机主要实现终端设备的接入和基本的网络隔离功能。

1.3.2 汇聚核心层

汇聚核心层将汇聚层和核心层的功能合并，承担着数据汇聚、路由转发、网络管理等重要功能。

核心交换机：采用两台华为 S5700 交换机（核心交换机 1 和核心交换机 2）。核心交换机 1 负责技术部（VLAN 10，IP：192.168.10.0/24，网关：192.168.10.254）、销售部（VLAN 20，IP：192.168.20.0/24，网关：192.168.20.254）、市场部（VLAN 30，IP：192.168.30.0/24，网关：192.168.30.254）的网络汇聚和网关功能，并启用基于全局的 DHCP 功能为这三个部门的终端分配 IP 地址。核心交换机 2 负责行政部（VLAN 40，IP：192.168.40.0/24，网关：192.168.40.254）、财务部（VLAN 50，IP：192.168.50.0/24，网关：192.168.50.254）、服务器部门（VLAN 60，IP：192.168.60.0/24，网关：192.168.60.254）的网络汇聚和网关功能，启用基于全局的 DHCP 功能为行政部终端分配 IP 地址，服务器部门采用静态 IP 地址配置。

核心路由器：采用华为 AR220 路由器，作为企业网络的核心路由设备，负责连接核心交换机 1、核心交换机 2 和防火墙，并通过 OSPF 协议实现企业内部网络的路由互通。核心交换机 1 与核心路由器通过 VLAN 100（网段：192.168.100.0/30）连接；核心交换机 2 与核心路由器通过 VLAN 200（网段：192.168.200.0/30）连接；核心路由器与防火墙通过网段 192.168.12.0/30 连接。

1.3.3 出口与外部网络

防火墙：采用华为 USG600V 防火墙，部署在企业网络的出口位置，负责企业内部网络与外部网络（模拟 ISP）之间的安全防护，实现数据包过滤、NAT 转换等功能。防火墙与核心路由器通过网段 192.168.12.0/30 连接，与模拟 ISP 的 AR220 路由器通过网段 114.1.1.0/30 连接。

模拟 ISP：采用华为 AR220 路由器，模拟互联网服务提供商的网络，在其 Loopback 接口配置地址 8.8.8.8/32 作为模拟外网地址，用于测试企业内部终端访问外网的连通性。ISP 路由器与防火墙通过网段 114.1.1.0/30 连接，并配置默认路由指向防火墙，实现与企业网络的通信。

整个网络通过 OSPF 协议打通内部网络路由，在防火墙连接 ISP 处配置默认路由指向 ISP，确保企业内部终端能够访问外部网络。各部门通过 VLAN 实现二层隔离，通过核心路由器和 OSPF 协议实现三层互通。

图1.1 ensp网络架构

第2章 项目实施技术分析

2.1虚拟局域网（VLAN）

需拟局域网（VLAN）是一种通过逻辑划分将物理网络分割成多个不同广播域的技术。在本次企业网络中，为技术部、销售部、市场部、行政部、财务部和服务器部门分别划分 VLAN 10、VLAN 20、VLAN 30、VLAN 40、VLAN 50和VLAN 60，各部门终端仅能在本 VLAN 内进行二层通信，有效隔离了各部门的网络流量，减少了广播风暴对网络性能的影响。同时，VLAN 技术还提高了网络的安全性，防止不同部门之间未经授权的访问和数据泄露。例如，技术部的敏感研发数据不会通过二层广播泄露到销售部或其他部门，保障了企业核心数据的安全。

2.2 开放式最短路径优先（OSPF）

开放式最短路径优先（OSPF）是一种链路状态路由协议，属于内部网关协议（IGP）。在本次实验中，OSPF 协议被用于企业内部网络的路由互通。核心交换机 1、核心交换机 2、核心路由器和防火墙均运行 OSPF 协议，它们通过交换链路状态信息，构建全网的拓扑结构，并计算出到达各网段的最短路径。OSPF 协议具有收敛速度快、无路由环路、支持变长子网掩码（VLSM）等优点，能够为企业网络提供高效、稳定的路由服务，确保各部门之间以及各设备之间的三层通信顺畅。例如，技术部终端需要访问行政部终端时，OSPF 协议会计算出最优的路由路径，使数据能够快速、准确地传输

2.3 动态主机配置协议（DHCP）

动态主机配置协议（DHCP）用于为网络中的终端设备自动分配 IP 地址、子网掩码、网关、DNS 服务器等网络参数。在本次企业网络中，核心交换机 1 为技术部、销售部、市场部提供基于全局的 DHCP 服务，核心交换机 2 为行政部提供基于全局的 DHCP 服务。通过 DHCP 服务，网络管理员无需手动为每个终端配置 IP 地址，减少了配置错误和 IP 地址冲突的可能性，提高了网络管理效率。当终端设备接入网络时，会自动向 DHCP 服务器发送请求，获取所需的网络参数并进行配置，简化了终端接入网络的过程。

2.4 网络地址转换（NAT）

网络地址转换（NAT）技术用于将企业内部的私有 IP 地址转换为公有 IP 地址，使内部网络终端能够访问外部互联网。在本次实验中，防火墙将承担 NAT 转换的功能。企业内部终端使用的是私有 IP 地址（如 192.168.10.0/24 网段等），这些地址无法直接在互联网上路由。当内部终端访问外部网络（如模拟 ISP 的 8.8.8.8 地址）时，防火墙会将内部私有 IP 地址转换为防火墙与 ISP 连接接口的公有 IP 地址（114.1.1.1），实现内部终端与外部网络的通信。NAT 技术不仅解决了 IPv4 地址资源短缺的问题，还隐藏了内部网络的拓扑结构，提高了内部网络的安全性。

2.5防火墙技术

防火墙是一种位于企业内部网络与外部网络之间的安全防护设备，用于控制进出网络的数据包。在本次实验中，华为 USG600V 防火墙被部署在企业网络出口，通过配置安全策略对进出网络的流量进行过滤和控制。例如，防火墙可以允许企业内部终端访问外部网络的 HTTP、HTTPS 等常用服务，同时阻止外部网络对企业内部服务器部门的非法访问。此外，防火墙还可以提供日志记录功能，记录网络访问情况，便于网络管理员进行安全审计和故障排查，为企业网络构建了一道安全屏障。

2.6 静态路由

静态路由是由网络管理员手动配置的路由条目，用于指定到达特定网络的路径。在本次实验中，防火墙配置了一条默认静态路由指向 ISP 路由器，用于将所有未知目的地址的数据包转发到外部网络；ISP 路由器也配置了一条默认静态路由指向防火墙，用于将针对企业内部网络的数据包转发到防火墙。静态路由具有配置简单、路由选择稳定等优点，适用于网络拓扑结构相对简单的场景，在企业网络与外部网络的互联中发挥了重要作用，确保了企业内部终端访问外部网络时数据能够正确转发。

2.7 远程登录（Telnet）

Telnet 是一种远程登录协议，允许用户通过网络在本地计算机上远程控制另一台计算机。本项目中，将在 6 台接入交换机、核心交换机 1、核心交换机 2、核心路由器上配置 Telnet 功能，管理员可以使用管理终端通过 Telnet 登录到这些设备，进行配置、监控和维护操作，实现网络设备的统一管理。

第3章 网络设备选型

3.1 选型原则

性能可靠：选择性能稳定、运行可靠的设备，确保企业网络的持续稳定运行，减少因设备故障导致的网络中断。

功能适用：根据企业网络的需求选择具备相应功能的设备，避免功能冗余造成的成本浪费，同时确保设备功能能够满足网络规划和未来扩展的需求。

兼容性好：所选设备应具有良好的兼容性，能够与其他品牌或型号的设备顺畅通信，便于网络的集成和扩展。

成本合理：在满足性能和功能需求的前提下，选择价格合理的设备，降低网络建设成本。

售后服务：选择具有良好售后服务

3.2网络设备选型

3.2.1接入层设备选型

接入层选用华为 S3700 型号接入交换机：SS3700 系列交换机是华为推出的一款高性能、绿色节能的接入层交换机，支持丰富的 VLAN 功能，能够满足企业网络中各部门 VLAN 划分的需求，实现网络的二层隔离,具备 POE 供电能力，可为 IP 电话、无线接入点等设备供电，减少了布线成本和复杂性,支持简单便利的安装维护手段，便于网络管理员进行设备配置和管理,具有良好的扩展性，能够根据企业业务的发展增加端口数量或升级功能，满足网络扩展的需求。

3.2.2汇聚层设备选型

汇聚层采用华为 S5700 交换机：作为全千兆三层交换机，它提供灵活的全千兆接入和万兆上行端口，可满足汇聚层高速数据传输需求以确保接入层数据快速汇聚转发，支持智能 iStack 堆叠技术能将多台交换机虚拟为一台逻辑设备，从而简化网络管理并提高可靠性与扩展性，同时具备丰富的路由功能（支持 OSPF、RIP 等协议）实现企业内部网络三层路由互通，还支持端口安全、MAC 地址绑定等多样安全控制功能增强网络安全性，其性能和功能完全满足汇聚核心层的数据汇聚、路由转发和安全控制需求，是本次企业网络汇聚层的理想选择。

3.2.3核心层设备选型

核心层AR2200设备：该系列路由器是高性能的多业务设备，具备多核 CPU 和无阻塞交换架构，处理能力强劲，能够承担企业网络核心路由重任并快速转发大量网络数据；它融合了路由、交换、安全等多种业务，支持丰富的接口类型，可灵活连接核心交换机、防火墙等不同网络设备和网段；同时支持 OSPF、BGP 等多种路由协议，能在复杂网络环境下实现路由管理和优化，确保网络高效运行，且具有灵活的扩展性，可通过插入业务模块扩展功能以适应企业网络未来发展需求，能够为企业网络提供稳定、高效的核心路由服务，保障各部门之间及企业与外部网络之间的通信顺畅。

3.2.4防火墙设备选型

防火墙设备USG6000V：该系列防火墙是功能强大的安全防护设备，集成了传统防火墙、入侵防御、VPN、反病毒等多种安全功能，可为企业网络提供全方位安全防护以抵御外部网络攻击和威胁；支持状态检测技术，能对进出网络的数据包进行深度检测和分析，并根据预设安全策略允许或拒绝数据包通过，提高了网络安全性；具有较高的吞吐量和并发连接数，可满足企业网络与外部网络之间大量数据传输需求而不会成为网络瓶颈，同时支持静态 NAT、动态 NAT、PAT 等多种 NAT 转换方式，能满足企业内部终端访问外部网络的需求，能够有效保障企业网络安全，是企业网络出口的理想安全防护设备。

图3.1 USG6000V防火墙