式系统结构中，每个资源都可以由多个管理者管理，大大提高了设备利用率。
3.1.3虚拟网络
VLAN是一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。VLAN划分可以分为基于端口VLAN、基于地址VLAN、基于应用的VLAN等几种划分方式，这几种划分方式各有特点。可根据实际情况选择不同的VLAN划分方式。
虚网中的站点不应受接口类型的限制，同时支持网络站点的自由移动，虚网标志可被交换设备自动识别以保持原有虚网属性。此外，虚网可延伸到整个信息中心网络，跨越各种交换设备。
3.1.4路由功能
三层交换技术，也称多层交换技术或IP交换技术，是相对于二层交换技术提出的，因工作在OSI七层网络标准模型中的第三层而得名。传统的路由器也工作在第三层，它可以处理大量的跨越IP子网的数据包，但是它的转发效率比较低，而三层交换技术在网络标准模型中的第三层实现了分组的高速转发，效率大大提高。简单地说，三层交换技术就是“二层交换技术 + 路由转发”。它的出现，解决了二层交换技术不能处理不同IP子网之间的数据交换的缺点，又解决了传统路由器低速、复杂所造成的网络瓶颈问题。
推荐内部路由采用三层交换功能提高其路由识别和包转发能力。而内部的三层交换虚拟路由功能与外部路由功能具有互操作性，可以实现平滑部署。
3.1.5容错功能
在大型网络中，核心层处于网络的中心，网络之间的大量数据都通过核心层设备进行交换，同时承担不同VLAN之间路由的功能。核心层设备一旦宕机，整个网络即面临瘫痪。因此，在园区网络设计中，核心设备的选择，一方面要求其具有强大的数据交换能力，另一方面要求其具有较高的可靠性，一般选择高端核心三层交换机。同时，为进一步提高核心层的可靠性，避免核心层设备宕机造成整个网络瘫痪，一般在核心层再放置一台设备，作为另一台设备的备份，一旦主用设备整机出现故障，立即切换到备用设备，确保网络核心层的高
17
度可靠性。
接入层交换机使用链路冗余，或者叫弹性链路的特性。在交换机的端口上，通过厂商专有的技术，实现硬件上的故障切换。在主链路发生中断时，备份链路会在1～5秒的时间内切换到工作状态。这样的技术不需要有生成树协议的运算，没有BPDU的开销，而且切换时间远远低于生成树的收敛时间。因此，接入层交换机适合采用这种简单易用的方式实现链路的冗余备份。
3.1.6出口防火墙
由于对Internet访问的需求，对上级主管部门通讯的需求及相关机构的信息往来等要求外部接入不可避免。因此要求防火墙除提供必不可少的局域网络保护和控制外，还需要防火墙提供多种配置模式，并且通过路由模式实现内网、外网、DMZ区域的划分，使网络更加安全可靠。
对于较为复杂的网络环境还可采用简单的网桥透明模式，将防火墙与核心交换互联，这样访问将通过严格认证和控制。通过防火墙的带宽管理功能，针对不同的区域、策略和主机分配带宽。
在路由模式下可对各单位网络的具体环境需求实现服务的负载平衡（Load Balancing）功能，并且合理分配关键主机的访问负载。
防火墙集成状态过滤、攻击防范、NAT、流量监控、动态路由等功能，能有效防范来自外部和内部攻击、过滤VPN隧道中的非法流量，既保护了传输通道的安全，也保证了传输内容的安全；同时，通过对接入用户的认证、授权和审计，防止接入用户越权使用网络，造成信息泄漏；对于移动用户的接入，则通过终端安全漏洞审查，杜绝不符合安全策略的用户接入。
防火墙提供安全区域划分、静态/动态黑名单功能、MAC和IP绑定、访问控制列表（ACL）和攻击防范等基本功能，还提供基于状态的检测过滤、虚拟防火墙、VLAN透传等功能。能够防御ARP欺骗、TCP报文标志位不合法、Large ICMP报文、CC、SYN flood、地址扫描和端口扫描等多种恶意攻击。并集成丰富的VPN特性：支持L2TP VPN、GRE VPN、IPSec VPN等远程安全接入方式，同时设备集成硬件加密引擎实现高性能的VPN处理。
防火墙通过双机热备、L3 Monitor、IPSec DPD、动态路由等先进技术对链路状态实时探测，在链路故障或者设备故障的情况下，及时发现故障并快速自动切换，保障业务不间断
18
运行。
3.2 办公楼网络设备设计
针对办公楼的网络设计，我们推荐网络设备采用核心交换机，汇聚交换机，接入交换机及防火墙等网络设备。为了便于管理统一上网络机柜。
19
