不同網域融合的類型

■

從事網管工作時間較長的朋友，一定會在網絡維護工作中碰到一些不尋常的案例，比如如何才能同時訪問不同網絡域的問題，諸如此類問題值得我們進行深入的探討。

一層融合

指不同的網絡在終端層面融合起來，通常應用在對此種網絡需求數量不多的場景。

實例1：公司新開設的翼支付公交充值臺席，需要同時訪問內部營業小前臺和公交公司網絡。這個臺席采用了雙網卡的方式，內網對應的網卡配置網關，公交網絡對應網卡的網關留空，并手工增加指向公交公司的靜態路由，這樣兩個網絡就可以同時訪問了。

二層融合

指在二層交換機層面將不同的網絡連接起來，只要不同的網絡有相同的VLAN號，它們之間就可以互相訪問（也有可能僅僅用于線路復用）。

實例1：公司DCN網絡基本遍布到每個樓層，符合地址規范的IP可以順利的訪問網絡資源。但是現在在不同的樓層有些具有私有地址的監控網元（192.168.XXX.XXX） 之間需要互相訪問，這些私有地址不能更改，為了避免重新布線的麻煩，我們設置了一個獨立的VLAN，這些網元接入的交換機端口都打上這個VLAN標記。雖然這些監控設備無法訪問DCN網絡，但是這并不妨礙它們之間的互相訪問。這種方式實際上是運用了VLAN之間的互相隔離原理。記得本刊曾經有篇文章講，作者單位有根跨建筑物的網線，這根網線很難布設，作者通過采取將八根網線分為兩根四芯網線（分別接RJ45的1236口）的方法，將兩個網絡引到了另一座建筑物。不難想象，如果我們兩邊分別增加一臺交換機，再配置兩個不同的VLAN，然后互聯端口再采用trunk模式，這樣實際上就會與之起到異曲同工的效果（當然這樣增加了交換機的投入，具有一定的實施成本）。

實例2：公司114話務網是一個獨立的網絡，服務器在省公司，出于安全考慮，省公司沒有允許114、DCN直接互聯。現在的問題是，幾乎所有的坐席都有同時訪問兩個網絡的需求，原先我們采取的方式是雙網卡，但是這樣就耗費了兩套網卡、線路、交換機資源，而且在維護過程中我們發現，每次系統重裝時都要重新識別一下兩塊網卡對應哪個網絡，因此維護效率也不高，所以我們決心改造它。我們將兩個網絡的二層交換機連接起來，在DCN網絡配置與114網絡具有相同VLAN號的VLAN，所有電腦只需一塊網卡一根網線接入DCN網絡，主地址配置DCN網絡IP，在IP配置的的高級屬性里增加114網絡的從地址。另外和雙網卡方式時一樣，我們只需再增加一條靜態路由即可訪問到114網絡。實踐證明，當數據包由靜態路由分發出去訪問114網絡的時候，數據包的源地址就會由操作系統自動設置為從地址（這樣返回的數據包就可以正常接收到），因此我們主從地址的設置方式，實際上是對網卡進行了復用。如果再考慮到這種方式對線路、交換機的復用，我們可以說這樣做是非常節約資源的。

實例3：第一個例子介紹了線路的復用，除此之外兩個網絡是非常獨立的。第二個例子介紹了線路與VLAN的復用，因此在終端最終實現了兩個網絡的融合。我們再給一個特殊點的例子，如果在第一個例子中，我們某個私網的設備(IP1)，需要訪問DCN網絡的打印機(IP2)，需要怎么做呢。很簡單，在DCN的三層設備定義私網VLAN的接口IP0，再在私網設備IP1上配置指向IP2的靜態路由下一跳為IP0即可。因此我們可以看到，通過控制不同的設備，我們完全可以精確的控制兩個網絡之間的訪問方式。

三層融合

即不同網絡在三層路由設備上的互相訪問策略的設定。看了前面114與DCN的例子，有人一定會想需要這么麻煩么，兩個網絡的三層設備之間互相學習路由不就可以了么。確實是如此，如果我們可以控制不同的網絡核心設備，顯然在兩個網絡的邊界路由器上分別配置bgp協議就可以直接打通兩個網絡。但我們面臨的問題恰恰是我們沒有所有網絡的控制權限，或者僅僅只有部分權限，這就是我們采取非常規做法的原因。

實例1：為了實現電子政務聯網，公司DCN與電子政務網之間布設了光纖專線，在專線兩端的路由設備上，我們分別配置了指向對方地址段的靜態路由，這樣就實現了兩個網絡的互通。而且根據安全需要，我們縮小了可訪問地址段的范圍，并應用了一些安全策略。

總而言之，面對復雜的網絡需求，我們必須針對不同的情景采取不同的方法。有時候有些方法雖然似乎不太符合常規，但是基于我們的有限控制力，我個人認為只要可以快速可靠的解決問題，就不失為一個好的方法。