В качестве маршрутизатора ядра был взять маршрутизатор Cisco Catalyst 7606-S (рисунок 7).

Рисунок 7 - Cisco 7606-S

Cерия маршрутизаторов Cisco 7600 - единственная в отрасли серия маршрутизаторов для граничных сегментов сетей, обеспечивающих широкий набор функций IP/MPLS для граничных сегментов операторских сетей и корпоративных городских и распределенных сетей.

Благодаря широчайшему набору интерфейсов и новой технологии Adaptive Network Processing, маршрутизатор Cisco 7600 обладает лучшими в отрасли возможностями обеспечивая интегрированные услуги Ethernet, частных каналов и агрегации абонентского трафика.

Маршрутизатор Cisco 7606-S обеспечивает производительность коммутации на уровне 480 Гбит/с и пропускную способность 40 Гбит/с на слот. При этом маршрутизатор соответствует требованиям NEBS и обеспечивает достаточную производительность для организации граничных сегментов сетей IP/MPLS. 6-слотовая компактная (занимающая 1/6 стойки) система централизованно обрабатывает 30 млн. пакетов/с, а также оснащено распределенной системой обработки, позволяющей обеспечить работу сетей Gigabit Ethernet и 10 Gigabit Ethernet.

Для него был выбран модуль 4-port OC-12/STM-4 SONET/SDH OSM, SM-LR with 4GE. Он позволяет соединять между собой маршрутизаторы ядра. В каждом из 4 регионов расположено 20 кампусов, следовательно, на каждый кампус нам понадобится отдельный порт.

Таким образом, необходимо приобрести по 5 таких модулей на каждый регион.

Рисунок 8 - Модуль для маршрутизатора Cisco 7606-S

Модули SFP используются для присоединения платы сетевого устройства (коммутатора, маршрутизатора или подобного устройства) к оптическому волокну или неэкранированной витой паре, выступающим в роли сетевого кабеля. Для соединения маршрутизаторов был выбран модуль фирмы Prointech WDM SFP-6M-80LC-A/B DDM (рисунок 9).

Рисунок 9 - Трансивер

Так же для маршрутизатора ядра понадобятся модули E1, с помощью которых этот маршрутизатор подключается к маршрутизаторам кампусов региона. В качестве такого модуля возьмем Cisco 8-Port Channelized T1/E1 Shared Port Adapter (рисунок 10). Именно этот модуль подходит для маршрутизатора серии 7600. На каждый маршрутизатор ядра нам понадобится 3 таких модуля, в общей сложности для 4 регионов нужно купить 12 модулей.

Рисунок 10 - Cisco 8-Port Channelized T1/E1 Shared Port Adapter

В качестве коммутатора, который соединяет провайдера с сетью, которая будет разработана в ходе выполнения курсового проекта, был взят коммутатор Cisco ME 4924-10GE (рисунок 10).

Рисунок 11 - Cisco ME 4924-10GE

Агрегирующий Ethernet-коммутатор Cisco ME 4924-10GE представляет собой коммутатор уровня 2-4 для агрегации на границе между пользовательским и провайдерским сегментами сети, предназначенный для высокопроизводительных операторских сетей Ethernet.

Маршрутизатор, организующий корпоративный доступ в сеть Интернет, должен обладать высокой производительностью.

Помимо маршрутизации пакетов, маршрутизатор доступа к Интернету должен обязательно выполнять фильтрацию пакетов и трансляцию адресов, а также поддерживать безопасность на периметре сети, выполняя функции основного шлюза. Для этого он оснащается встроенным межсетевым экраном (Firewall) и модулем обнаружения атак на сеть (IDS), а также специализированной операционной системой Cisco IOS Advanced Security. Этим требованиям отвечает маршрутизатор Cisco CISCO2851-SEC/K9 2851 Security BundleAdv Security 128F/512D.

Через один из портов Gigabit Ethernet маршрутизатор связывается с узловым маршрутизатором через коммутатор.

Подключение к Интернету осуществляется в каждом регионе, поэтому необходимо 4 маршрутизатора.

Таблица 7 - Расчет стоимости активного оборудования глобальной сети

4. Шаблон базовой настройки

4.3 Настройка маршрутизатора доступа в Интернет

Для этого маршрутизатора необходимо настроить интерфейсы и протокол маршрутизации. В качестве протокола маршрутизации используется RIPv2.

Настройка протокола RIP выполняется с учетом того, что необходимо ограничить рассылку таблиц маршрутизации через интерфейсы внутренней и внешней сети:

router-internet-2 (config)#router rip;

router-internet-2 (config-router) #version 2

router-internet-2 (config-router)#network 10.0.0.0;

router-internet-2 (config-router)#timer basic 30 180 180 240;

router-internet-2 (config-router)#passive-interface gigabitethernet 0 - отключение рассылки таблиц маршрутизации в корпоративную сеть;

router-internet-2 (config-router)#passive-interface serial0/0 - запрет отправления пакетов с таблицами маршрутизации из корпоративной сети во внешнюю сеть.

Интерфейс Gigabit Ethernet 0 настраивается аналогично настройке интерфейса Gigabit Ethernet 0/0 для маршрутизатора ядра.

Настраиваем фильтрацию для маршрутизаторов доступа в Интернет.

Исключим для внутренних хостов возможность использовать протоколы, отличные от FTP (порты 20-21), HTTP (порт 80), HTTPS (порт 443), POP3 (порт 110), SMTP (порт 25).

Доступ для этого трафика разрешен только сетям соответствующего региона.

router-internet-2 (config)# access-list 101 permit tcp 10.X.X.0 0.0.255.255 any range 20 21

router-internet-2 (config)# access-list 101 permit tcp 10.X.X.0 0.0.255.255 any eq 80

router-internet-2 (config)# access-list 101 permit tcp 10.X.X.0 0.0.255.255 any eq 433

router-internet-2 (config)# access-list 101 permit tcp 10.X.X.0 0.0.255.255 any eq pop3

router-internet-2 (config)# access-list 101 permit tcp 10.X.X.0 0.0.255.255 any eq smtp

Где 10.Х.Х.0 - номер сети кампуса.

Создаем рефлексивный фильтр, позволяющий принимать ответные пакеты в соединениях, первоначально установленных внутренними хостами.

router-internet-2 (config)# access-list 102 permit tcp any any established

Применяем списки доступа к соответствующим интерфейсам.

router-internet-2 (config) #interface gigabitethernet0

router-internet-2 (config-if)#access-group 101 in

router-internet-2 (config) #interface serial0/0

router-internet-2 (config-if)#access-group 102 in

Маршрутизатор доступа в Интернет должен выполнять трансляцию адресов, чтобы отображать внутренние адреса корпоративной сети на внешние адреса Интернет. Трансляция осуществляется следующим образом: для каждого пакета, направляемого во внешнюю сеть, внутренний адрес заменяется внешним, из доступного пула адресов. При этом адрес резервируется. Все ответы, пришедшие на зарезервированный адрес, транслируются обратно.

Для того, чтобы настроить трансляцию адресов, необходимо указать пул, из которого берутся внешние адреса:

router-internet-2 (config) # ip nat pool pool1 217.151.23.61 217.151.23.69

В этой команде указывается имя пула (pool1) и адреса.

Следующим шагом указывается список адресов, для которых разрешено транслирование:

router-internet-2 (config) # access-list 1 permit 10.64.0.0 0.31.255.255,

где 10.64.0.0 - сеть второго региона.

Далее указывается, что адреса, определяемые с помощью первого списка доступа, будут транслироваться с помощью заданного пула:

router-internet-2 (config) # ip nat inside source 1 pool pool1 overload

Слово «overload» указывает, что один внешний адрес можно использовать для нескольких внутренних. Последним шагом нужно указать входной и выходной интерфейсы.

Следующие команды выполняются в режиме конфигурации соответствующих интерфейсов:

router-internet-2 (config) #interface gigabitethernet0

router-internet-2 (config - if) # ip serial outside

router-internet-2 (config) #interface serial0/0

router-internet-2 (config - if) # ip ethernet inside

4.4 Настройка ADSL по протоколу PPPoE на маршрутизаторе доступа в Интернет

На маршрутизаторе необходимо создать логический интерфейс командой interface dialer 1. Чтобы автоматичеки получить IP адрес и DNS сервер от оператора связи, на интерфейсе нужно прописать команды ip address negotiated и ppp ipcp dns request. Командой encapsulation ppp определяем тип инкапсуляции.

Инкапсуляция происходит за счет добавления нового заголовка PPP размером 8 байт к Ethernet фрейму, величина которого по умолчанию равна 1500 байт. Поэтому чтобы избежать фрагментации, необходимо указать значение 1492 командой ip mtu 1492.

Обычно, сессия аутентификации протекает в двухстороннем порядке. Но в случае подключения к оператору связи по PPPoE от нас требуется только отправить ему имя пользователя и пароль.

Для этого воспользуемся командой ppp authentication chap callin. Ее использование позволит маршрутизатору аутентифицировать удаленное устройство только в том случае, если удаленное устройство инициирует это подключение. Ни один нормальный провайдер, как правило, не станет открывать сессию аутентификации первым.

Укажем имя пользователя и пароль, любезно предоставленные оператором связи, командой ppp chap sent-username YOURUSERNAME password YOURPASS и поставим метку на данном интерфейсе dialer pool 1.

Далее необходимо зайти в режим конфигурации WAN интерфейса на маршрутизаторе serial0/0, командой interface serial0/0. Включим PPPoE - pppoe enable и укажем метку интерфейса Dialer 1 - pppoe-client dial-pool-number 1.

Чтобы завершить подключение по протоколу PPPoE, на внутреннем и внешнем интерфейсе (в нашем случае Dialer 1) необходимо настроить NAT и указать маршрут по умолчанию ip route 0.0.0.0 0.0.0.0 interface dialer 1.

router-internet-2 (config)#interface dialer 1

router-internet-2 (config-if)#ip address negotiated

router-internet-2 (config-if)#encapsulation ppp

router-internet-2 (config-if)#dialer pool 1

router-internet-2 (config-if)#ip mtu 1492

router-internet-2 (config-if)#ip nat outside

router-internet-2 (config-if)#ppp authentication chap callin

router-internet-2 (config-if)#ppp chap sent-username YOURUSERNAME password YOURPASS

router-internet-2 (config-if)#ppp ipcp dns request

router-internet-2 (config)#interface serial0/0

router-internet-2 (config-if)#pppoe enable

router-internet-2 (config-if)#pppoe-client dial-pool-number 1

router-internet-2 (config)#interface gigabitethernet0

router-internet-2 (config-if)#ip address 10.64.2.3 255.255.254.0

router-internet-2 (config-if)#ip nat inside

router-internet-2 (config-if)#no shutdown

4.5 Настройка коммутаторов рабочих групп и коммутаторов зданий

Выполним настройку общих параметров и сетевых интерфейсов. Интерфейс может работать в трёх режимах. По умолчанию на коммутаторах Cisco устанавливается режим автоматического выбора, для нашей сети полного дуплекса.

Скорость на интерфейсах FastEthernet может устанавливаться в три режима 10 Mbps, 100 Mbps и auto. При режиме auto скорость выбирается устройством.

Учитывая, что к коммутаторам рабочих групп подключено большое количество компьютеров, принадлежащих работникам разных подразделений, которые могут иметь разные права доступа к ресурсам, нам необходимо организовать виртуальные локальные сети (VLAN).

4.6 Настройка виртуальных сетей на коммутаторах

4.7 Настройка STP на коммутаторах

Spanning Tree Protocol (протокол связующего дерева) - канальный протокол. Основной задачей STP является устранение петель в топологии произвольной сете Ethernet, в которой есть один или более сетевых мостов, связанных избыточными соединениями.

STP решает эту задачу, автоматически блокируя соединения, которые в данный момент для полной связности коммутаторов является избыточными.

При создании запасных линий связи в топологии сети обязательно появляются петли. В то же время коммутируемые сети не будут функционировать, если в их топологии присутствует петля.

Для решения этой проблемы используется STP. Сетевое оборудование, работающее по этому протоколу, отключает запасные пути. В случае если одна из линий связи перестанет работать, коммутаторы перестраивают топологию сети таким образом, чтобы она имела вид покрывающего дерева - охватывала бы все узлы, но при этом не имела петель. Покрывающее дерево строится отдельно для каждой виртуальной локальной сети.

Работа протокола покрывающего дерева производится в два этапа. Сначала, исходя из установленных приоритетов, выбирается корневой коммутатор.

Далее, исходя из приоритетов линий связи, от корневого коммутатора строится покрывающее дерево.

Настройка протокола состоит из трех этапов:

-включение протокола покрывающего дерева для нужных виртуальных сетей;

-настройка приоритетов коммутаторов;

-настройка приоритетов линий связи.

Так как настройки необходимо произвести на всех коммутаторах виртуальных сетей, и эти коммутаторы находятся на разных уровнях иерархии, обозначим имя устройства, как СИУ (символьное имя устройства).

Настройка коммутаторов здания сводится к установке транкового режима работы для всех его интерфейсов. Также нужно установить инкапсуляцию dot1q.

Существует два типа инкапсуляции: dot1q и isl.

СИУ(config) # interface gigabitethernet0

СИУ(config - if) # switchport mode trunk

СИУ(config - if) # switchport trunk encapsulation dot1q

Включение протокола для конкретной виртуальной сети производится следующей командой:

СИУ(config - if) # spanning-tree VLAN 1

Приоритет коммутатора устанавливается таким образом:

СИУ(config) # spanning-tree VLAN Х priority Р

Приоритет линий связи состоит из двух составляющих: собственно, приоритета и стоимости. Задаются они командами:

СИУ(config - if) # spanning-tree VLAN Х port-priority Р

СИУ(config - if) # spanning-tree VLAN Х cost m

Необходимо на коммутаторах здания и на маршрутизирующих коммутаторах кампуса для каждой виртуальной сети, прежде всего, включить STP и затем задать приоритеты.

Маршрутизирующему коммутатору кампуса задаём самый высокий приоритет.

Коммутатору здания, соединенному с коммутатором кампуса, задаем приоритет ниже, двум другим коммутаторам здания задаем одинаковые приоритеты, но ниже, чем у предыдущего.

Стоимость маршрута со скоростью 100Мб/сек -19.

Число P, определяющее приоритет коммутаторов, может принимать следующие значения:

P = 10 - для коммутатора кампуса (наивысший приоритет);

P = 50 - для одного из коммутаторов зданий;

P = 100 - для двух других коммутаторов зданий;

P = 1000 - для коммутаторов рабочих групп.

Чтобы равномерно распределить нагрузку по линиям, соединяющим здания, коммутаторам зданий назначаем различный приоритет для разных VLANов.

Например, для первого VLANа определяем, что корневым коммутатором будет коммутатор первого здания (назначаем ему приоритет P=50).

Для второго VLANа этому же коммутатору назначаем меньший приоритет (P = 100), а корневым делаем коммутатор второго здания и т.д.

4.7 Настройка коммутатора кампуса