20、大型网络案例研究

大型网络案例研究

1. 大型网络分层模型思考

构建良好且安全的防火墙，关键在于智能地设计网络、识别安全点并理解数据包在网络中的流动方式。在设计和部署大型网络时，建议明确路由器在网络中的位置和方式，以及如何为其所需执行的功能扩展路由器。

大型网络通常分层构建，最大的网络采用三层层次结构，包括：
- 核心层
- 分布层
- 接入层

三层网络层次结构并非适用于所有大型网络，有些路由器可以执行多个层的功能。典型的三层网络设计如下：
- 核心层通常包含具有互联网或本地对等连接的路由器，它们之间有高速链路，并在它们之间分发路由，以实现互联网和对等连接的更好负载均衡。
- 分布层包含为不同位置的多个客户进行路由的路由器。
- 接入层包含位于客户场所的路由器，对于较小的客户，甚至可以是SOHO路由器。

当然，客户也可以直接连接到核心路由器，这意味着核心路由器还执行分布层和接入层的功能。如果客户是大型客户，这并非坏事，因为可以直接向他们分发大型路由表，而无需通过分布层路由器。但通常最好让客户通过分布层路由器，在那里进行QoS（服务质量）设置，以免核心路由器因QoS功能而过载。

2. 真实大型网络示例

下面介绍一个实际运行的大型网络，为了安全起见，替换了路由器和服务器的真实IP地址。该网络部署在一家大型互联网和IP电话服务提供商处，目的是理解数据包如何在网络中流动，识别安全断点，并为网络构建适当的防火墙。

2.1 网络概述

网络核心由以下路由器组成：
| 路由器 | 连接信息 |
| ---- | ---- | <