安全兼顧性能 企業(yè)子網(wǎng)劃分有章可循
現(xiàn)在Internet網(wǎng)絡(luò)的“身影”已經(jīng)隨處可見，越來越多的單位在辦公時(shí)已經(jīng)感覺到一時(shí)一刻都不能離開網(wǎng)絡(luò)了，為此高效搭建安全可靠、性能穩(wěn)定的局域網(wǎng)就已經(jīng)提到各個(gè)單位的議事日程。對(duì)于動(dòng)不動(dòng)就有百十臺(tái)或者幾百臺(tái)工作站的單位來說，要想確保搭建的局域網(wǎng)網(wǎng)絡(luò)上網(wǎng)速度快捷、網(wǎng)絡(luò)管理方便、數(shù)據(jù)傳輸安全，就需要在搭建網(wǎng)絡(luò)之前認(rèn)真設(shè)計(jì)好網(wǎng)絡(luò)規(guī)劃方案，特別是要?jiǎng)澐趾霉ぷ髯泳W(wǎng)。畢竟，將規(guī)模較大的局域網(wǎng)網(wǎng)絡(luò)，劃分成幾個(gè)互相獨(dú)立的工作子網(wǎng)，將單位重要的部門或工作站集中設(shè)置到一個(gè)獨(dú)立的工作子網(wǎng)中，可以限制單位其他人員對(duì)重要主機(jī)的訪問。為了幫助大家劃分好工作子網(wǎng)，本文特意總結(jié)了下面一些規(guī)劃要點(diǎn)，我們只要遵循這些要點(diǎn)就能設(shè)計(jì)出一個(gè)貼近工作實(shí)際的子網(wǎng)劃分方案!
1、確定工作子網(wǎng)個(gè)數(shù)
我們?cè)趯?duì)單位局域網(wǎng)網(wǎng)絡(luò)設(shè)計(jì)子網(wǎng)規(guī)劃方案的時(shí)候，首先要考慮的問題，按照工作實(shí)際要求單位究竟應(yīng)該劃分幾個(gè)工作子網(wǎng)，畢竟我們?nèi)蘸笮枰鶕?jù)這個(gè)數(shù)字來確認(rèn)虛擬工作子網(wǎng)的掩碼位數(shù)。比方說，筆者單位共有六個(gè)處室 ，經(jīng)過與各個(gè)處室進(jìn)行詳細(xì)溝通后，筆者決定為單位局域網(wǎng)劃分四個(gè)工作子網(wǎng)。財(cái)務(wù)處、綜合處各用一個(gè)獨(dú)立的虛擬工作子網(wǎng)，其他幾個(gè)處室的所有工作站共同處于一個(gè)虛擬工作子網(wǎng)中;另外，為了保障單位重要服務(wù)器的運(yùn)行安全性，筆者特意把單位文件服務(wù)器、郵箱服務(wù)器、OA辦公自動(dòng)化軟件服務(wù)器以及Web網(wǎng)站等集中放置到一個(gè)虛擬工作子網(wǎng)中。
明確了單位局域網(wǎng)的工作子網(wǎng)個(gè)數(shù)后，我們下面就能確定好虛擬工作子網(wǎng)的掩碼位數(shù);一般來說，虛擬工作子網(wǎng)的掩碼位數(shù)乘以2，應(yīng)該等于虛擬工作子網(wǎng)的個(gè)數(shù)，例如現(xiàn)在我們確定好虛擬工作子網(wǎng)的個(gè)數(shù)為4，那么依照上述規(guī)律，虛擬工作子網(wǎng)的掩碼位數(shù)應(yīng)該為2，用二進(jìn)制方式表示就是11000000，我們?nèi)蘸笥?jì)算虛擬工作子網(wǎng)的網(wǎng)段號(hào)碼時(shí)需要用到這個(gè)數(shù)字。
2、明確子網(wǎng)主機(jī)數(shù)量
弄清楚了究竟需要?jiǎng)澐謳讉€(gè)虛擬工作子網(wǎng)后，我們需要明確的是每一個(gè)工作子網(wǎng)中大概需要容納多少臺(tái)工作站，這是因?yàn)槊總€(gè)虛擬工作子網(wǎng)包含的工作站數(shù)量是有限的，我們一定要確保每一個(gè)虛擬工作子網(wǎng)包含的工作站數(shù)量可以滿足各處室的實(shí)際工作需要，只有這樣這個(gè)子網(wǎng)規(guī)劃方案才能算是有效的。
筆者所在的單位中，財(cái)務(wù)處、綜合處包含的工作站數(shù)量都很有限，差不多12臺(tái)左右，其他各個(gè)處室包含的工作站數(shù)量大約也是20臺(tái)左右，如果考慮到以后的擴(kuò)展升級(jí)，筆者打算為每一個(gè)虛擬工作子網(wǎng)預(yù)留60臺(tái)工作站的余量。
根據(jù)這樣的余量要求，我們現(xiàn)在需要計(jì)算出上述子網(wǎng)規(guī)劃方案，是否可以正常滿足單位各處室工作站的需要。在計(jì)算每一個(gè)虛擬子網(wǎng)究竟能包含多少合法的工作站數(shù)量的時(shí)候，我們可以遵循這樣一個(gè)計(jì)算公式，那就是：合法的工作站數(shù)量=(2)x-2，值得注意的是這里的(2)x表示2的x次方，而這里的x指的的是子網(wǎng)掩碼為0的位數(shù)。
在虛擬工作子網(wǎng)數(shù)量為4的情況下，我們計(jì)算得出每一個(gè)虛擬工作子網(wǎng)的掩碼位數(shù)為2，也就是虛擬工作子網(wǎng)掩碼中為1的數(shù)字只有兩個(gè)。假設(shè)我們?yōu)槊恳粋€(gè)虛擬工作子網(wǎng)分配使用C類IP地址，那么對(duì)應(yīng)其虛擬工作子網(wǎng)掩碼中為1的數(shù)字最多有八個(gè);當(dāng)我們指定子網(wǎng)掩碼為1的數(shù)字有2位時(shí)，那么子網(wǎng)掩碼為0的數(shù)字就是6位。依照上面的計(jì)算公式，我們不難計(jì)算出每一個(gè)虛擬工作子網(wǎng)應(yīng)該包含的工作數(shù)量為62，而現(xiàn)在筆者單位的局域網(wǎng)只要求每個(gè)虛擬工作子網(wǎng)最多包含60臺(tái)工作站就可以了，并且這個(gè)數(shù)值已經(jīng)包含了日后的擴(kuò)展升級(jí)需要，很明顯，上面的虛擬工作子網(wǎng)規(guī)劃方案是能夠滿足單位各處室工作需求的。
當(dāng)然，單位局域網(wǎng)中包含的工作站數(shù)量比較多時(shí)，那么我們就不能夠?yàn)槊恳粋€(gè)虛擬工作子網(wǎng)分配使用C類IP地址了，而應(yīng)該分配使用B類IP地址或者A類IP地址?？偠灾?，我們必須要確保設(shè)計(jì)的虛擬工作子網(wǎng)規(guī)劃方案，其每個(gè)工作子網(wǎng)包含的工作站數(shù)量一定要能夠滿足單位實(shí)際工作需要。不然的話，那個(gè)設(shè)計(jì)好的虛擬工作子網(wǎng)規(guī)劃方案仍然需要進(jìn)一步調(diào)整。
那么究竟什么樣的虛擬工作子網(wǎng)規(guī)劃方案是合理的呢?難道僅僅是滿足了單位的實(shí)際工作需要就是合理的了?其實(shí)除了要滿足單位眼前的工作需要外，我們?cè)O(shè)計(jì)出來的虛擬工作子網(wǎng)規(guī)劃方案還應(yīng)該符合拓展升級(jí)需要，不能看現(xiàn)在有多少臺(tái)工作站就留多少個(gè)IP地址空間。正常來說，我們需要為每一個(gè)虛擬工作子網(wǎng)保留有50%的地址空間余量，甚至更多的空間余量，畢竟每一個(gè)虛擬工作子網(wǎng)劃分設(shè)置好之后，對(duì)應(yīng)網(wǎng)段的IP地址重新調(diào)整起來將是一件非常麻煩的事情。
在確定好虛擬工作子網(wǎng)方案后，我們應(yīng)該先嘗試使用C類IP地址進(jìn)行測(cè)試，之后再依次使用B類、A類IP地址進(jìn)行測(cè)試;當(dāng)發(fā)現(xiàn)C類地址無法滿足單位局域網(wǎng)的實(shí)際工作要求時(shí)候，才考慮使用B類IP地址、A類IP地址進(jìn)行測(cè)試。通常來說，在虛擬工作子網(wǎng)數(shù)量相同的情況下，B類IP地址、A類IP地址包含的有效IP地址空間要比C類地址多很多，我們可以自己的個(gè)人愛好以及結(jié)合工作實(shí)際，來選用哪類IP地址。#p#
3、計(jì)算子網(wǎng)網(wǎng)段參數(shù)
通過上面的兩個(gè)工作步驟，局域網(wǎng)的子網(wǎng)劃分方案基本已經(jīng)確定下來，下面我們要做的工作就是將每一個(gè)虛擬工作子網(wǎng)的一些具體參數(shù)計(jì)算出來，包括每一個(gè)子網(wǎng)的網(wǎng)段號(hào)碼、廣播地址，以及每一個(gè)虛擬工作子網(wǎng)究竟有多少可用的主機(jī)IP地址等，這些參數(shù)對(duì)日后客戶端系統(tǒng)的參數(shù)配置以及具體的網(wǎng)絡(luò)管理維護(hù)工作帶來方便。
在計(jì)算虛擬工作子網(wǎng)的網(wǎng)段號(hào)碼時(shí)，我們可以遵循這樣一個(gè)公式，那就是“256-子網(wǎng)掩碼=主機(jī)IP地址數(shù)量”。比方說，筆者為單位局域網(wǎng)劃分了四個(gè)虛擬工作子網(wǎng)，子網(wǎng)掩碼位數(shù)為2，使用二進(jìn)制來表達(dá)時(shí)就是“11000000”，使用十進(jìn)制來表達(dá)時(shí)就是“192”，那么依照上面的公司，我們計(jì)算得到每一個(gè)虛擬工作子網(wǎng)包含的主機(jī)IP地址數(shù)量就為64。那么，從0開始計(jì)算，每隔64個(gè)IP地址就是一個(gè)虛擬工作子網(wǎng)，每一個(gè)虛擬工作子網(wǎng)最前面的一個(gè)IP地址就是對(duì)應(yīng)該子網(wǎng)的網(wǎng)段號(hào)碼，例如筆者單位局域網(wǎng)所劃分的四個(gè)虛擬工作子網(wǎng)的網(wǎng)段號(hào)碼依次為192.168.0.0、192.168.0.64、192.168.0.128、192.168.0.192。
此外，每一個(gè)虛擬工作子網(wǎng)***面的一個(gè)IP地址就是對(duì)應(yīng)該子網(wǎng)的廣播地址，例如筆者單位局域網(wǎng)所劃分的四個(gè)虛擬工作子網(wǎng)的廣播地址依次為192.168.0.63、192.168.0.127、192.168.0.191、192.168.0.255。依照IP地址劃分規(guī)則，上述八個(gè)IP地址具有與眾不同的用途，我們不能夠?qū)⑺鼈冸S意分配給普通客戶端系統(tǒng)使用。
從上面的描述我們不難看出，在計(jì)算每一個(gè)虛擬工作子網(wǎng)的主機(jī)地址數(shù)量的時(shí)候，我們必須記得減去兩個(gè)IP地址，那就是子網(wǎng)網(wǎng)段地址以及子網(wǎng)廣播地址。依照這樣的分析，我們就能分析計(jì)算出每一個(gè)虛擬工作子網(wǎng)中究竟包含了哪些合法有效的主機(jī)IP地址;在計(jì)算每個(gè)虛擬工作子網(wǎng)中有效的主機(jī)IP地址時(shí)，我們只要把每一個(gè)虛擬工作子網(wǎng)中的IP地址，減去子網(wǎng)網(wǎng)段號(hào)碼與網(wǎng)絡(luò)廣播地址之外，那就都是合法有效的IP地址了。換句話說，合法有效的IP地址就是那些介于每一個(gè)虛擬工作子網(wǎng)之間的取值，同時(shí)要減去虛擬工作子網(wǎng)的網(wǎng)段號(hào)碼與廣播地址。
當(dāng)然，在計(jì)算出每一個(gè)虛擬工作子網(wǎng)的各個(gè)網(wǎng)絡(luò)參數(shù)后，我們***及時(shí)將這些計(jì)算出來的參數(shù)整理成一張表格，那樣一來，我們?nèi)蘸笤跒槠胀蛻舳讼到y(tǒng)分配設(shè)置上網(wǎng)參數(shù)的時(shí)候，才不會(huì)由于自身的疏忽將上網(wǎng)參數(shù)配置出錯(cuò)。要知道，我們?nèi)蘸缶褪峭ㄟ^這些IP地址來有效控制局域網(wǎng)中每一臺(tái)普通工作站所處的網(wǎng)段。特別是在虛擬工作子網(wǎng)數(shù)量比較多或者組網(wǎng)結(jié)構(gòu)相對(duì)復(fù)雜的時(shí)候，我們一定要設(shè)計(jì)出一個(gè)合理的IP地址劃分方案。
4、劃分子網(wǎng)幾點(diǎn)建議
在對(duì)局域網(wǎng)進(jìn)行虛擬工作子網(wǎng)劃分操作時(shí)，我們應(yīng)該高度重視網(wǎng)絡(luò)規(guī)劃的作用，結(jié)合工作實(shí)際，認(rèn)真設(shè)計(jì)好子網(wǎng)劃分方案，這是由于局域網(wǎng)網(wǎng)絡(luò)一旦搭建成功后，我們才可能發(fā)現(xiàn)已經(jīng)設(shè)計(jì)好的虛擬子網(wǎng)劃分方案不能夠滿足單位實(shí)際的工作需要，比方說虛擬工作子網(wǎng)數(shù)量不夠或者工作站數(shù)量不夠時(shí)，我們?nèi)绻賹?duì)其進(jìn)行調(diào)整的話，那么工作量將會(huì)十分的巨大，而且網(wǎng)絡(luò)規(guī)劃調(diào)整也會(huì)對(duì)普通客戶端系統(tǒng)產(chǎn)生非常大的影響。因此，我們要盡可能地對(duì)已經(jīng)劃分好的虛擬工作子網(wǎng)方案禁止進(jìn)行頻繁調(diào)整。
在劃分虛擬工作子網(wǎng)的時(shí)候，我們不能片面地追求虛擬工作子網(wǎng)的數(shù)量，畢竟不是虛擬子網(wǎng)數(shù)量越多越好。盡管從理論角度來看，為各個(gè)不同的處室單獨(dú)劃分一個(gè)虛擬工作子網(wǎng)，能夠有效提高局域網(wǎng)的運(yùn)行安全性與傳輸性能，不過虛擬工作子網(wǎng)數(shù)量的不斷增多，同時(shí)也意味著網(wǎng)絡(luò)管理員的管理維護(hù)工作量也會(huì)不斷增加，這樣一來就不利于網(wǎng)絡(luò)管理員高效管理網(wǎng)絡(luò)。因此，在沒有特殊使用要求的情況下，我們不要為局域網(wǎng)網(wǎng)絡(luò)劃分太多的虛擬工作子網(wǎng)。
【編輯推薦】
