67
что существенно облегчает удалённое администрирование данного
устройства.
Catalyst 3750 - серия стекируемых многоуровневых коммутаторов
нового поколения. Коммутаторы этой серии могут быть использованы на
уровне доступа в крупных сетях, а также в качестве ядра сетей средних
размеров.
Это семейство открывает новое поколение коммутаторов уровня
доступа крупных локальных сетей предприятий и организаций; также Cisco
3750 Series Switches могут применяться в локальных сетях удаленных офисов
и небольших компаний, как в составе стека, так и в качестве отдельных
устройств. Довольно большое количество моделей устройств,
представленных в данном семействе, позволяют использовать эти
коммутаторы на различных участках локальных сетей, начиная от уровня
доступа и узлов агрегирования трафика, и заканчивая магистральными
соединениями сетей компаний среднего масштаба.
Основные особенности:
Новые возможности построения стека: благодаря технологии Cisco
StackWise можно объединить до 9 коммутаторов Catalyst 3750, которые
будут функционировать как один логический коммутатор. При этом можно
получить до 468 портов 10/100TX или до 252 портов 10/100/1000T, добавляя
новые коммутаторы в стек по мере необходимости. Для подключения стека к
магистрали сети можно использовать порты 10 Gigabit Ethernet. Пропускная
способность шины стека составляет 32 Гбит/с.Высокая доступность: стек
функционирует под управлением динамически избираемого ведущего
коммутатора и допускает «горячее» подключение новых коммутаторов.
Любой коммутатор стека может работать как ведущий, что обеспечивает
высокую доступность всей системы по схеме 1:N. Поддерживаются
резервные системы питания Cisco RPS 675, протоколы 802.1w, PVRST+,
HSRP, технологии Cisco CrossStack UplinkFast (CSUF), UDLD, Aggressive
UDLD.
68
Высокоскоростная маршрутизация трафика: благодаря технологии
Cisco Express Forwarding (CEF) серия Catalyst 3750 обеспечивает
высокопроизводительную маршрутизацию трафика IP, а также имеет
аппаратную поддержку маршрутизации IPv6. Поддерживается большинство
протоколов маршрутизации - RIPv1, RIPv2 (в версии ПО SMI и EMI), OSPF,
IGRP, EIGRP, BGPv4 (только EMI), а также PBR и протоколы
маршрутизации multicast-трафика (только EMI) - PIM-SM, PIM-DM, PIM
sparse-dense mode, туннелирование DVMRP
Высокая безопасность: поддержка протокола 802.1x,
функциональность Identity-Based Networking Services (IBNS), списки доступа
для трафика, коммутируемого на втором уровне (VLAN ACL), на третьем и
четвертом уровнях (Router ACL), а также Port-based ACLs (PACL). Для
обеспечения безопасности при администрировании поддерживаются
протоколы SSH и SNMPv3, а также централизованная аутентификация на
TACACS+ и RADIUS серверах
Поддержка качества обслуживания (QoS) в пределах стека:
классификация трафика по полям DSCP или 802. 1p (CoS), а также по
исходным и конечным MAC, IP адресам или портам TCP/UDP, приоритетная
очередность и очередность SRR, WTD, ограничение полосы пропускания,
CIR, функция AutoQoS.
Отличная управляемость: ПО Cisco CMS, поддержка CiscoWorks,
поддержка SNMP версий 1, 2, 3, Telnet, RMON, SPAN, RSPAN, NTP, TFTP.
Коммутатор: Cisco Catalyst WS-C2960G-24TC-L
Маршрутизатор: Cisco ISR4431
Обзор продукта
Cisco ISR 4000 series – универсальное решение на базе модульной
операционной системы IOS XE Software для построения корпоративной
распределенной сети, в том числе с использованием технологии Cisco
Intelligent WAN (IWAN). С помощью Cisco IWAN осуществляется
динамическая маршрутизация трафика приложений с выбором оптимального
69
канала связи на основе сформированной политики и с учетом текущего
состояния сети. Это позволяет гарантировать требуемые производительность
приложений и конфиденциальность передаваемых данных, контролировать
использование полосы пропускания и состояние соединений WAN.
Помимо оптимизации WAN-каналов, в решении объединены
возможности унифицированных коммуникаций, поддержка корпоративных
распределенных вычислений за счет использования серверных модулей UCS-
E. В условиях стремительной трансформации бизнеса, роста трафика данных
и перехода большинства бизнес-процессов в онлайн, оборудование
предоставляет необходимые скорость, масштабируемость и сервисы.
Маршрутизаторы Cisco ISR 4000 series оптимально подходят не только
для подключения небольших офисов с требованиями к пропускной
способности от 50 до 300 Мбит/с, но и для крупных организаций с
распределенной корпоративной сетью и пропускной способностью до 3
Гбит/с. При этом, платформа основывается на модели «Pay As You Grow»
(PAYG) т.е. «Плати по мере роста», что предусматривает поэтапное
наращивание функциональности и производительности, которую, по мере
обновления лицензии, можно увеличить без аппаратной модернизации и в
тот момент, когда это действительно требуется.
В новом поколении маршрутизаторов используются многоядерные
процессоры, а также современная архитектура в которой выделяются
отдельные ресурсы под control, data и services plane. Разделение трафика
данных, контроля и сервисов позволяет достигать максимальной
эффективности, а также обеспечивать непрерывное функционирование
сервисов, в том числе в случае сбоя. Это дает возможность задействовать на
одной платформе такие актуальные технологии, как VPN, межсетевой экран,
контроль приложений, выбор маршрута, оптимизация WAN, передача голоса,
видеонаблюдение и т. д.
Ключевые особенности:
Маршрутизаторы нового поколения заметно более производительные и
70
мощные, чем маршрутизаторы поколения ISR G2
Реализация концепции Pay-As-You-Grow (Плати по мере роста) и
предоставляет пользователю заведомо более серьёзное железо за сниженную
стоимость, позволяя нарастить производительность докупкой и активацией
лицензий. Возможность использовать выделенные ресурсы для различных
сервисов
Архитектура серии ISR 4400
В устройстве выделены control и services plane, имеющие собственный
4-х ядерный процессор, а также отдельный процессор для data plane,
имеющим от 6 до 10 ядер. В маршрутизаторах используется MGF-матрица
(Multi-Gigabit Fabric) – коммутатор 2-го уровня, встроенный внутри системы,
и выполняющий передачи данных между различными модулями.
На передней панели маршрутизатора Cisco 4431 располагаются 4 порта
SFP/RJ-45, 2 из которых позволяют обеспечить питание PoE для
подключаемых устройств при необходимости. Кроме того, платформа
содержит 3 NIM слота для компактных модулей с сетевыми интерфейсами, 8
Гб flash-памяти, 2 Гб оперативной памяти (Data Plane), 4 Гб оперативной
памяти (Control Plane), Integrated Services Card (ISC) слот на материнской
плате для PVDM4-модулей нового поколения с улучшенными показателями
DSP для голосовых и видео сервисов.
Сервисы
Одним из преимуществ маршрутизаторов нового поколения является
возможность использовать выделенные ресурсы для различных сервисов.
Сейчас доступны следующие сервисы:
Сервис оптимизации WaaS;
Сервис функций Unified Communications – т.е. голосовой шлюз;
Сервис контроля маршрутов - все маршрутизаторы нового поколения
поддерживает PfRv3;
Сервис поддержки протокола NBAR2, позволяющий
идентифицировать более 1000 различных приложений с использованием
71
соответствующих сигнатур (Youtube, Skype и т.п.);
Разнообразные сервисы функций безопасности - шифрование,
межсетевой экран и т.п.;
Возможность установить серверные блейды – модули UCS-E, которые
обеспечивают выполнение унифицированных вычислений.
Точка доступа: Cisco Air AP 1142
Описание: Двухдиаппазонная беспроводная WiFi точка доступа Cisco
Aironet серии 1140, работает под управлением контроллера, 802.11 a/g/n, до
300Мбит/с, интегрированная двухдиаппазонная антенна
AIR-LAP1142N-A-K9 - энергоэффективная точка доступа с
возможностью быстрого развертывания. Подходит для работы в критически
важных беспроводных сетях различных масштабов. Разработана для
обеспечения уровня производительности стандарта 802.11n, позволяет
добиться увеличения эффективности до 9 раз по сравнению с устройствами
разработанными для WiFi сетей стандартов 802.11a/g.
Серия Cisco Aironet 1140 является компонентом Cisco Unified Wireless
Network, которая может масштабироваться до 18000 точек доступа с
обеспечением полноценной Layer 3 мобильности от центральных и до самых
удаленных мест на территории предприятия, в филиалах и на удаленных
объектах. Cisco Unified Wireless Network является наиболее гибкой и
масштабируемой архитектурой в отрасли, обеспечивая безопасный доступ к
услугам и предлагает самую низкую общую стоимость и простоту
интеграции с существующей проводной сетью.
Опираясь на опыт предыдущих разработок Cisco Aironet, серия 1140
обеспечивает лучшую в отрасли производительность для безопасных и
надежных беспроводных соединений. Электроника корпоративного класса и
высококачественные радиокомпоненты позволили создать техологию Cisco
M-Drive, которая включает в себя:
ClientLink улучшает надежность и покрытие для клиентов
BandSelect улучшает связь в диаппазоне 5ГГц в смешанных клиентских
72
средах
VideoStream позволяет использовать мультикаст для улучшения работы
ресурсоемких мультимедиа приложений
Все эти функции позволяют добиться наилучшего обслуживания
конечных пользователей беспроводной сети.
Ключевые особенности серии Cisco Aironet
Обширная зона покрытия. Радиотехника и антенны Cisco специально
разработаны для обеспечения максимально надежного покрытия.
Производительность. Двухдиапазонная радиосвязь высокой мощности
обеспечивает гибкость, мощность и производительность для обслуживания
широкого спектра мобильных приложений, в том числе для гостевого
доступа и передачи голоса по беспроводной локальной сети.
Безопасность. Точки доступа Cisco известны своими титулованными
реализациями стандартизированных и расширенных решений в области
обеспечения безопасности.
Масштабируемость. Точки доступа могут работать самостоятельно,
обеспечивая базовое покрытие и основные мобильные сервисы, либо с
контроллерами беспроводных локальных сетей Cisco для более сложных
приложений и централизованного управления группой точек доступа.
Гибкость. Различные модели точек доступа могут быть предназначены
не только для офисов с ковровым покрытием, но и являются оптимальным
выбором для заводов, складов и торговых площадей.
2.3.2 Схема IP-адресации и распределение VLAN
Схема IP-адресации VLAN представлена в приложении В.
Для начала собираем стек из коммутаторов Cisco 3750 и настраиваем
на них необходимые VLANы. Выбираем порты 1 и 2 первого коммутатора в
стеке для подключения каналов операторов связи и выделяем VLANы для
них. Порт 3 первого коммутатора подключаем к маршрутизатору Cisco ISR
73
4431 и настраиваем транк.
Производим настройку маршрутизаторов в КЦ и на площадке
головного офиса согласно представленной схеме:
Настройка VPN IPsec между КОМКОР Москва и КЦ Тула
Рисунок 2.7 – настройка канала связи между КЦ Тула и головным офисом
Роутер со стороны Москвы:
Упрощённая выдержка из конфигурационного файла:
!
! настройка IKE и SA
crypto keyring COMCOR_Key
pre-shared-key address 94.79.11.105 key MyKey
crypto isakmp policy 16
encr aes
authentication pre-share
group 2
crypto isakmp invalid-spi-recovery
74
crypto isakmp keepalive 15
crypto isakmp nat keepalive 15
crypto isakmp profile IKP_COMCOR
keyring COMCOR_Key
match identity address 94.79.11.105 255.255.255.255
crypto ipsec transform-set AES256_SHA esp-aes 256 esp-sha-hmac
mode tunnel
crypto ipsec profile IPS_COMCOR
set security-association lifetime seconds 600
set transform-set AES256_SHA
set isakmp-profile IKP_COMCOR
!
!
interface GigabitEthernet0/0
switchport mode trunk
switchport trunk allowed (список VLAN)
!
! интерфейс L2-канала
!
interface GigabitEthernet0/0.1
encapsulation dot1Q (номер VLAN)
ip address 172.16.10.10 255.255.255.0
ip ospf network point-to-point
ip ospf cost 32
ip ospf dead-interval minimal hello-multiplier 5
!
! интерфейс Internet
!
interface GigabitEthernet0/0.2
encapsulation dot1Q (номер VLAN)
75
ip address 94.79.11.105 255.255.255.252
!
! внутренний интерфейс
!
interface GigabitEthernet0/0.3
encapsulation dot1Q (номер VLAN)
ip address 192.168.127.254 255.255.128.0
!
!
! внутренний интерфейс для телефонии
interface GigabitEthernet0/0.4
encapsulation dot1Q (номер VLAN)
ip address 10.252.127.254 255.255.128.0
!
! туннельный интерфейс IPSec
!
interface Tunnel0
ip address 10.0.255.5 255.255.255.252
ip ospf network point-to-point
ip ospf cost 256
tunnel source 94.79.11.105
tunnel destination 194.85.61.76
tunnel mode ipip
tunnel key 45790132
tunnel protection ipsec profile IPS_COMCOR
!
! маршрутизация
!
router ospf 1
router-id 10.0.255.1
76
auto-cost reference-bandwidth 100000
passive-interface default
network 10.0.255.1 0.0.0.0 area 0
network 10.0.255.5 0.0.0.0 area 0
no passive-interface GigabitEthernet0/0.1
no passive-interface Tunnel0
!
ip route 0.0.0.0 0.0.0.0 94.79.11.106
!
Роутер в Контакт Центре г. Тула
Упрощённая выдержка из конфигурационного файла:
!
! настройка IKE и SA
!
crypto keyring COMCOR_Key
pre-shared-key address 194.85.61.76 key MyKey
crypto isakmp policy 16
encr aes
authentication pre-share
group 2
crypto isakmp invalid-spi-recovery
crypto isakmp keepalive 15
crypto isakmp nat keepalive 15
crypto isakmp profile IKP_COMCOR
keyring COMCOR_Key
match identity address 194.85.61.76 255.255.255.255
crypto ipsec transform-set AES256_SHA esp-aes 256 esp-sha-hmac
mode tunnel
crypto ipsec profile IPS_COMCOR