某單位局域網(wǎng)在當(dāng)初剛剛建設(shè)，選購網(wǎng)絡(luò)交換設(shè)備的時(shí)候，本著應(yīng)用先行、節(jié)約成本的原則，采用了一種非常保守的方案，那就是所采購的網(wǎng)絡(luò)交換設(shè)備只要能夠滿足眼前的網(wǎng)絡(luò)應(yīng)用就可以了，在網(wǎng)絡(luò)連接接口方面沒有留下足夠的擴(kuò)展空間，同時(shí)在數(shù)據(jù)交換能力方面也沒有多大的拓展余地。

運(yùn)行現(xiàn)狀

該單位局域網(wǎng)規(guī)模比較大，大致分為三個(gè)工作區(qū)域，其中A樓區(qū)域和B樓區(qū)域使用的核心交換機(jī)都是Huawei型號(hào)的S5516交換機(jī)，這種類型的交換機(jī)由于運(yùn)行性能不是很高，網(wǎng)絡(luò)管理員僅僅將該交換機(jī)作為A樓區(qū)域和B樓區(qū)域的匯聚層交換機(jī)，讓它集中連接來自A樓各個(gè)樓層的接入交換機(jī)和來自B樓各個(gè)樓層的接入交換機(jī);同時(shí)，為了讓劃分在各個(gè)樓層交換機(jī)上的所有Vlan都能通過局域網(wǎng)的核心交換機(jī)，訪問Internet網(wǎng)絡(luò)，網(wǎng)絡(luò)管理員特地將S5516交換機(jī)的各個(gè)交換端口都設(shè)置成了TRUNK工作模式。

局域網(wǎng)中的核心交換機(jī)采用的是Huawei型號(hào)的S6503交換機(jī)，該交換機(jī)不僅承擔(dān)著整個(gè)局域網(wǎng)網(wǎng)絡(luò)的所有數(shù)據(jù)交換業(yè)務(wù)，各個(gè)虛擬工作子網(wǎng)的網(wǎng)關(guān)全部設(shè)置在該交換機(jī)上，而且它還作為匯聚交換機(jī)連接主樓區(qū)域的各個(gè)樓層交換機(jī)與局域網(wǎng)的服務(wù)器群，整個(gè)網(wǎng)絡(luò)拓?fù)鋱D結(jié)構(gòu)，如圖1所示。考慮到S6503交換機(jī)在平時(shí)的工作過程中，運(yùn)行負(fù)荷實(shí)在是太大，因此網(wǎng)絡(luò)管理員并沒有在該交換機(jī)上設(shè)置ACL安全訪問規(guī)則，來有效保護(hù)本地服務(wù)器群的運(yùn)行安全，很顯然本地服務(wù)器群的運(yùn)行存在著很大的安全隱患。

隨著上網(wǎng)人數(shù)的不斷增多，以及大流量網(wǎng)絡(luò)應(yīng)用的逐步興起，局域網(wǎng)中的數(shù)據(jù)傳輸流量也是在不斷增大，這給原本只能滿足傳統(tǒng)網(wǎng)絡(luò)應(yīng)用的數(shù)據(jù)交換設(shè)備帶來了很大的運(yùn)行壓力;特別是在最近一段時(shí)間，局域網(wǎng)中的ARP病毒、蠕蟲病毒瘋狂肆虐，由這些病毒引發(fā)的廣播風(fēng)暴現(xiàn)象，更讓這些核心網(wǎng)絡(luò)交換設(shè)備“力不從心”，進(jìn)而在數(shù)據(jù)傳輸、處理、交換方面表現(xiàn)得比較遲鈍，最終導(dǎo)致整個(gè)局域網(wǎng)網(wǎng)絡(luò)的上網(wǎng)傳輸速度非常緩慢，嚴(yán)重的時(shí)候還會(huì)發(fā)生整個(gè)網(wǎng)絡(luò)不能上網(wǎng)的故障現(xiàn)象。很明顯，這些現(xiàn)象的頻繁發(fā)生，已經(jīng)嚴(yán)重影響了局域網(wǎng)用戶的正常工作效率;為此，想辦法對(duì)該局域網(wǎng)網(wǎng)絡(luò)進(jìn)行升級(jí)、改造，以便大幅度提升其運(yùn)行性能，已經(jīng)成為了網(wǎng)絡(luò)管理員刻不容緩需要解決的重點(diǎn)問題。

升級(jí)要求

要是想快速地提升局域網(wǎng)的整體運(yùn)行性能，最簡(jiǎn)單、最直接的辦法就是重新購買三臺(tái)性能更高的交換機(jī)，來分別替換Huawei型號(hào)的S6503交換機(jī)以及另外兩臺(tái)S5516交換機(jī)，不過這種簡(jiǎn)單地通過替換設(shè)備的升級(jí)方法，需要耗費(fèi)很大的升級(jí)成本，這在經(jīng)濟(jì)條件十分有限的情況下，這種升級(jí)改造網(wǎng)絡(luò)的辦法無疑不是網(wǎng)絡(luò)管理員***的選擇。考慮到局域網(wǎng)中運(yùn)行壓力比較大的設(shè)備，就是核心交換機(jī)S6503交換機(jī)，并且該交換機(jī)的整體運(yùn)行性能，與整個(gè)局域網(wǎng)的運(yùn)行性能息息相關(guān)，如果核心交換機(jī)的運(yùn)行性能在一定程度上得到明顯提升后，那么整個(gè)局域網(wǎng)的運(yùn)行性能提升也會(huì)立竿見影;因此，從升級(jí)改造效果與升級(jí)改造成本來看，采購一臺(tái)性能更高的核心交換機(jī)來替換原來的S6503交換機(jī)，不但升級(jí)改造起來十分容易，而且投入的成本遠(yuǎn)遠(yuǎn)沒有大規(guī)模替換網(wǎng)絡(luò)設(shè)備那樣多，同時(shí)新的核心交換機(jī)投入運(yùn)行后，原來的核心交換機(jī)就可以“下放”為普通的鏈路匯聚設(shè)備，來連接局域網(wǎng)中心區(qū)域各個(gè)樓層的接入交換機(jī)了，這么一來新的核心交換機(jī)就會(huì)“一心一意”地承擔(dān)整個(gè)局域網(wǎng)網(wǎng)絡(luò)的三層數(shù)據(jù)交換工作，而不需要象以往那樣既要作為匯聚設(shè)備使用，又要作為所有虛擬工作子網(wǎng)的網(wǎng)關(guān)使用。

升級(jí)改造

按照上述升級(jí)要求，網(wǎng)絡(luò)管理員選用了運(yùn)行性能更高的Huawei型號(hào)的S9508交換機(jī)，作為整個(gè)局域網(wǎng)的新核心交換機(jī)，并且讓該核心交換機(jī)單獨(dú)承擔(dān)現(xiàn)有網(wǎng)絡(luò)的所有三層數(shù)據(jù)交換業(yè)務(wù);先前的核心交換機(jī)S6503交換機(jī)被“下放”作為普通的匯聚層交換機(jī)，來連接局域網(wǎng)中心區(qū)域各個(gè)樓層的接入交換機(jī)。S6503交換機(jī)在被降格使用后，原先與局域網(wǎng)路由器保持連接的交換端口，現(xiàn)在被改造成直接與新核心交換機(jī)S9508交換機(jī)保持連接，其他交換端口不需要進(jìn)行任何改變，這樣一來升級(jí)改造的工作量就不會(huì)很大，有利于提高網(wǎng)絡(luò)升級(jí)、改造的效率。當(dāng)新核心交換機(jī)被接入局域網(wǎng)后，處于局域網(wǎng)中心區(qū)域的所有服務(wù)器主機(jī)群，全部通過多模光纖線路與新核心交換機(jī)S9508交換機(jī)進(jìn)行連接，同時(shí)為了保證這些服務(wù)器主機(jī)的運(yùn)行安全，網(wǎng)絡(luò)管理員只要在S9508交換機(jī)上設(shè)置合適的安全訪問控制規(guī)則就可以了，同時(shí)還能順便利用該交換機(jī)的其他安全功能，來保護(hù)局域網(wǎng)服務(wù)器群的運(yùn)行安全。

同樣地，位于A樓區(qū)域和B樓區(qū)域的匯聚層交換機(jī)，也通過多模光纖線路與新核心交換機(jī)S9508交換機(jī)進(jìn)行連接，并且將新核心交換機(jī)的所有交換端口全部設(shè)置成TRUNK工作模式，確保來自各個(gè)區(qū)域的虛擬工作子網(wǎng)都能順利地訪問新核心交換機(jī)，并通過設(shè)置在新核心交換機(jī)的網(wǎng)關(guān)地址訪問Internet網(wǎng)絡(luò)。在完成升級(jí)改造任務(wù)后，我們見到了全新的局域網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D結(jié)構(gòu)(如圖2所示);從該結(jié)構(gòu)圖中，我們可以清楚地看出，新核心交換機(jī)不但作為Internet訪問出口設(shè)備，同時(shí)連接了來自中心區(qū)域、A樓區(qū)域、B樓區(qū)域的匯聚層交換機(jī)設(shè)備，而且還扮演著所有虛擬工作子網(wǎng)網(wǎng)關(guān)的角色，獨(dú)立承擔(dān)著所有虛擬工作子網(wǎng)訪問Internet時(shí)的數(shù)據(jù)交換業(yè)務(wù)。對(duì)比新核心交換機(jī)與舊核心交換機(jī)的工作性能，我們發(fā)現(xiàn)新核心交換機(jī)無論在功能擴(kuò)展方面還是自身運(yùn)行性能方面，都要比舊的核心交換機(jī)強(qiáng)很多，同時(shí)新核心交換機(jī)新增加了幾個(gè)千兆以太網(wǎng)電口，那樣一來那些安裝了千兆網(wǎng)卡的文件服務(wù)器可以直接連接到新核心交換機(jī)上，那么文件服務(wù)器的FTP數(shù)據(jù)傳輸能力就能得到充分的發(fā)揮。更為重要的是，新核心交換機(jī)還允許用戶根據(jù)工作要求，自行安裝插入專業(yè)的防火墻安全保護(hù)模塊，來對(duì)連接到核心交換機(jī)上的所有虛擬工作子網(wǎng)提供網(wǎng)絡(luò)訪問安全保護(hù)。

很明顯，這種改造、升級(jí)方案，不但投入的設(shè)備以及模塊比較少，能夠有效地節(jié)約升級(jí)成本，而且升級(jí)、改造操作也很簡(jiǎn)單，只有部分網(wǎng)絡(luò)連接線路需要調(diào)整，其他位置幾乎不需要進(jìn)行調(diào)整，整個(gè)局域網(wǎng)用戶幾乎感覺不出有什么影響，此外被替換下來的舊核心交換機(jī)也能得到充分利用，避免了貴重網(wǎng)絡(luò)設(shè)備的資源浪費(fèi)。

升級(jí)測(cè)試

在完成升級(jí)、改造任務(wù)后，網(wǎng)絡(luò)管理員對(duì)整個(gè)局域網(wǎng)的運(yùn)行穩(wěn)定性以及安全性進(jìn)行了測(cè)試，經(jīng)過一段時(shí)間的觀察、分析，局域網(wǎng)中的上網(wǎng)用戶普遍反映，通過文件傳輸工具向局域網(wǎng)中的文件服務(wù)器上傳或下載數(shù)據(jù)時(shí)，速度有了大幅度提升，同時(shí)訪問局域網(wǎng)中的其他服務(wù)器時(shí)，速度也不象以往那樣慢慢吞吞了。

通過對(duì)網(wǎng)絡(luò)運(yùn)行狀態(tài)的持續(xù)監(jiān)控、測(cè)試，網(wǎng)絡(luò)管理員發(fā)現(xiàn)單位局域網(wǎng)中即使存在比較嚴(yán)重的廣播風(fēng)暴現(xiàn)象，或者出現(xiàn)了大規(guī)模的病毒爆發(fā)，新核心交換機(jī)的CPU消耗率也不會(huì)超過50%，并且新核心交換機(jī)的運(yùn)行狀態(tài)一直很穩(wěn)定;在安全性方面，網(wǎng)絡(luò)管理員由于在核心交換機(jī)上新安裝了專業(yè)的防火墻安全保護(hù)模塊，整個(gè)網(wǎng)絡(luò)的運(yùn)行安全只需要在防火墻上進(jìn)行集中設(shè)置，而不需要單獨(dú)在各個(gè)虛擬工作子網(wǎng)中進(jìn)行重復(fù)設(shè)置，這樣一來大大減輕了網(wǎng)絡(luò)管理員管理、維護(hù)網(wǎng)絡(luò)的工作量。

總之，升級(jí)改造后的局域網(wǎng)網(wǎng)絡(luò)，在下面幾個(gè)性能方面得到了明顯提升：1、數(shù)據(jù)交換能力有明顯提升;由于新核心交換機(jī)不但自身性能有大幅提升，而且在工作過程中它也是一心一意地承擔(dān)數(shù)據(jù)交換工作，而不象舊交換機(jī)那樣負(fù)載壓力較大，所以新核心交換機(jī)可以大幅提升整個(gè)局域網(wǎng)網(wǎng)絡(luò)的數(shù)據(jù)交換能力。2、安全性能更高;由于新核心交換機(jī)既能允許用戶自行定義安全控制規(guī)則，又能允許用戶自由安裝專業(yè)防火墻模塊，所以網(wǎng)絡(luò)管理員可以根據(jù)實(shí)際工作要求，在防火墻上展開更多的安全控制操作，來保護(hù)整個(gè)網(wǎng)絡(luò)的運(yùn)行安全性。3、運(yùn)行穩(wěn)定性得到了保證;經(jīng)過實(shí)踐測(cè)試，在局域網(wǎng)發(fā)生大規(guī)模網(wǎng)絡(luò)病毒爆發(fā)或存在廣播風(fēng)暴現(xiàn)象時(shí)，核心交換機(jī)的CPU消耗率仍然不會(huì)超過50%，這說明核心交換機(jī)對(duì)網(wǎng)絡(luò)病毒的抵抗能力明顯增強(qiáng)，因此局域網(wǎng)的運(yùn)行穩(wěn)定性自然也能得到保證了。