企業中IP位址的規劃

随着這些年網絡的發展，越來越多的企業都組建了内部區域網路，來實作自動化無紙辦公等高效率、低成本的營運和管理。很多新成立的中小企業以及一些以前沒有組網的老企業，現在也都紛紛組建企業區域網路，企業中“無網不利”已經成為大勢所趨。但是這些企業由于原來并沒有網絡管理和規劃的經驗，很多新上任的網管對IP位址的規劃管理不夠重視，以至

于在以後需要擴充網絡或增加服務時造成很多不便，而且随着時間的推移，沒有結構化的編制對日常的維護管理也會逐漸增加難度。是以，本文将對IP位址的配置設定和管理等方面做一個介紹，讓我們先來看看位址配置設定的幾個基本規則。

　　規則一：體系化編址

　　體系化其實就是結構化、組織化，根據企業的具體需求群組織結構為原則對整個網絡位址進行有條理的規劃。一般這個規劃的過程是由大局、整體着眼，然後逐級由大到小分割、劃分的。這其實跟實際的實體位址配置設定原則是一樣的，肯定是先劃分省市、再細分割出縣區、再細分出道路、再來是街巷，最後是門牌。從網絡總體來說，體系化編制由于相鄰或者具有相同服務性質的主機或辦公群落都在IP位址上也是連續的，這樣在各個區塊的邊界路由裝置上便于進行有效的路由彙總，使整個網絡的結構清晰，路由資訊明确，也能減小路由器中的路由表。而每個區域的位址與其他的區域位址相對獨立，也便于獨立的靈活管理。

　　注：将多條子路由條目彙總成一條都包含其内的總路由條目，這就是路由彙總或叫路由歸納。路由器在檢查計算路由時是比較消耗資源的，路由條目越多，路由表越長，則這個過程耗時越多，是以通過路由彙總減少路由表的長度，對提高路由器工作效率是很有幫助的。能不能進行有效的路由彙總、彙總的效率如何，都跟網絡結構中IP位址網段的分布有密切關系。IP位址的部署越連續而有條理，則路由彙總越容易也越有效，是以我們在部署網絡時應該重視體系化編址。在子網環境中，當網絡位址是以2的指數形式的連續區塊時，路由歸納是最有效的。

　　規則二：可持續擴充性

　　其實就是在初期規劃時為将來的網絡拓展考慮，眼光要放得長遠一些，在将來很可能增大規模的區塊中要留出較大的餘地。IP位址最開始是按有類劃分的，A、B、C各類标準網段都隻能嚴格按照規定使用位址。但現在發展到了無類階段，由于可以自由規劃子網的大小和實際的主機數，是以使得位址資源配置設定的更加合理，無形中就增大了網絡的可拓展性。雖然在網絡初期的一段可能很長的時間裡，未合理考慮餘量的IP位址規劃也能滿足需要，但是當一個局部區域出現高增長，或者整體的網絡規模不斷增大，這時不合理的規劃很可能必須重新部署局部甚至整體的IP位址，這在一個中、大型網絡中就絕不是一個輕松的工作了。

　　在這裡讓我們對IP位址、掩碼、子網等概念做個簡述，以便于了解無類位址劃分的意義。

　　IPv4－網際協定版本4（Internet Protocol Version 4）是現行的IP協定。其位址通常用以圓點分隔号的4個十進制數字表示，每一個數字對應于8個二進制的比特串，稱為一個位組(octets)。如某一台主機的IP位址為：128.10.2.1寫成二進制則為10000000.00001010.00000010.00000001。

　　網絡位址分為5類:

　　1.A類位址:4個8位位組(octets)中第一個octet代表網絡号,剩下的3個代表主機位.範圍是0xxxxxxx,即0到127。

　　2.B類位址: 前2個octets代表網絡号,剩下的2個代表主機位. 範圍是10xxxxxx,即128到191。

　　3.C類位址: 前3個octets代表網絡号,剩下的1個代表主機位. 範圍是110xxxxx,即192到223。

　　4.D類位址:多點傳播位址,範圍是224到239。

　　5.E類位址:保留位址,實驗用,範圍是240到255。

　　一些特殊的IP位址:

　　1.IP位址127.0.0.1:本地回環(loopback)測試位址

　　2.廣播位址:255.255.255.255

　　3.IP位址0.0.0.0:代表任何網絡

　　4.網絡号全為0:代表本網絡或本網段

　　5.網絡号全為1:代表所有的網絡

　　6.主機位全為0:代表某個網段的任何主機位址

　　7.主機位全為1:代表該網段的所有主機

　　私有IP位址(private IP address):為了節約IP位址空間,并增加了安全性，保留了一些IP位址段作為私網IP，不會在公網上出現。處于私有IP位址的網絡稱為内網或私網,與外部進行通信就必須通過網絡位址翻譯(NAT)。

一些私有位址的範圍:

　　1.A類位址中:10.0.0.0到10.255.255.255.255

　　2.B類位址中:172.16.0.0到172.31.255.255

　　3.C類位址中:192.168.0.0到192.168.255.255

　　無類IP位址：首先要了解Subnet Masks（子網路遮罩），它用于辨識IP位址中哪部分為網絡位址,哪部分為主機位址,由1和0組成,長32位,全為1的位代表網絡号。不是所有的網絡都需要子網,是以就引入1個概念:預設子網路遮罩(default subnet mask).A類IP位址的預設子網路遮罩為255.0.0.0（由于255相當于二進制的8位1，是以也縮寫成“/8”，表示網絡号占了8位）;B類的為255.255.0.0（/16）;C類的為255.255.255.0(/24)。

　　而無類的IP子網不使用預設子網路遮罩，而是可以自由劃分網絡位和主機位，完全打破了A、B、C這樣的固定類别劃分。如這樣的位址：192.168.10.32/28，它的掩碼是255.255.255.240，最後一位組是11110000，也就是隻剩後4位為主機位，前面28位為網絡位，由于192.x.x.x屬于C類位址，預設24位掩碼，也就說這裡多用了4位作為網絡位。使用這樣子網路遮罩可以得到“2的x次方-2(x代表多占的掩碼位，這裡是4)”＝14個子網，這裡減掉的2個為全0和全1的網段，每個子網包含“2的y次方-2(y代表主機位，這裡也是4)”＝14台主機，這裡減掉的2個是主機位全0和全1的位址。這樣本來的一個C類子網被劃分成了14個可用小子網（在某些情況下，初始的全0網段也是可用的，在Cisco路由器中使用IP SUBNET-ZERO指令之後,你就能使用全0網段，這樣可以得到15個可用子網）。可以看到，當需要的每個子網中主機數比較少時，可以用這種辦法節約IP資源，得到更多的子網。在實際使用中，如你給一個點對點的連接配接中兩端的裝置配置設定IP位址，如果你嚴格按照有類别的子網劃分去配置設定位址，那麼你隻能分一個C類子網給它，一個C類網包含254（即2的8次方－2）個可用位址，而你隻使用2個，那麼将浪費252個可用位址。這時如果使用/30的掩碼，則一個子網隻包含2（即2的2次方－2）個有效位址，這樣劃分出來的其他子網位址還可利用。

　　超網(supernetting) ：超網是與子網類似的概念（也可以說是相對的概念），IP位址根據子網路遮罩被分為獨立的網絡位址和主機位址。但是，與子網把大網絡分成若幹小網絡相反，它是把一些小網絡組合成一個大網絡--超網。可以說超網是一個位址聚合的概念，它和路由彙總有緊密的關系。關于路由彙總和超網的計算方法這裡簡略說明一下。如，一路由器的路由表中有如下幾個條目：

　　目的IP位址    掩碼          下一跳（或網關）

　　192.168.0.0     255.255.255.0   10.1.1.2

　　192.168.1.0     255.255.255.0   10.1.1.2

　　192.168.2.0     255.255.255.0   10.1.1.4

　　其中前兩條下一跳位址相同，可以想象這兩個子網是挂在一個路由器下面的，那麼這兩條路由可以彙總為：目的IP位址192.168.0.0，掩碼255.255.254.0，下一跳10.1.1.2這樣的一條路由。為什麼不能寫成192.168.0.0  255.255.0.0  10.1.1.2呢？因為這樣的彙總不精确，它包含了那個路由器下實際上并不存在的一些子網（192.168.2.0～192.168.255.0），其中最明顯的就是路由表中192.168.2.0這個子網就是在10.1.1.4下面，那麼路由就會出錯了。那麼路由彙總中的掩碼是怎麼算的呢？

　　我們都知道IPv4的位址是由4段8位的二進制數組成，一部分是網絡位，一部分是主機位。其對應的子網路遮罩網絡位部分就是全1的二進制數，而主機位就是全0的二進制數。每個資訊包在過路由器時會檢查其目的IP，和路由表中路由條目的子網路遮罩做“與”運算，并與路由條目中目的IP進行比對，相同的就按照這條路由規則轉發，不相同的就再檢查比對下一條。可以看出我們做的彙總路由的操作，就是将多條路由條目中目的IP相同的網絡位提取出來寫成一條。如上面路由表中的第一條：目的IP為192.168.0.0；第二條：目的IP為192.168.1.0。我們隻提取了前面的兩段192.168，而後面的第三段網絡位中還是有相同的部分的。192.168.0.0中第三段寫成二進制數為00000000（8位0），182.168.1.0中第三段寫成二進制數為00000001（7位0，1位1），那麼它們的前7位是相同的，在對應的子網路遮罩位置上就應該是11111110（7位1，1位0），合成十進制為254。是以這條彙總路由應該寫成：目的IP為192.168.0.0，子網路遮罩255.255.254.0，下一跳10.1.1.2。這樣，這條彙總路由隻包含192.168.0.0和192.168.1.0兩個子網，是一條精确的彙總路由。這時發送到192.168.2.0網段的資訊包，其第三段網絡位寫成二進制為00000010（前6位0），就不包含在這條精确的彙總路由内了。

　　規則三：按需配置設定公網IP

　　相對于私有IP而言，公網IP是不能由自己完全做主要求的，而是ISP等機構統一配置設定和租用的。這就造成了公網IP要稀缺的多，是以對公網IP必須按實際需求來配置設定。如：對外提供服務的伺服器群組區域，不僅要夠用，還得預留出餘量；而員工部門等僅需要浏覽Internet等基本需求的區域，可以通過NAT（網絡位址轉換）來多個節點共享一個或幾個公網IP；最後，那些隻對内部提供服務，或隻限于内部通訊的主機自然不用配置設定公網IP了。公網IP具體的配置設定，必須根據實際的需求，進行合理的規劃。

　　注：NAT（Network Address Translation）是一種把内部私有網絡位址（IP位址）翻譯成合法網絡IP位址的技術。内部網絡使用者連接配接網際網路時，NAT将使用者的内部私有IP位址轉換成一個外部公網IP位址；反之，資料從外部傳回時，NAT反向将目标位址替換成初始的内部使用者的位址。其中的過程基于位址端口的一張記錄表，使傳回的位址端口資訊和發出的資訊能對照起來。現在市面上的寬帶路由共享裝置就是基于這個技術來使區域網路多台PC共享一個公網IP的。并且由于NAT隐藏了内部IP位址，是以構成了一個天然的防火牆，使得外網使用者無法直接看到内網主機。正是由于這個原因，使得一些主機上的對外服務不能被外網使用者直接通路到，由此出現了端口映射的概念。這時必須通過端口映射将其内網主機對外服務端口映射到公網IP上，這樣外網使用者再通路你的公網IP服務端口時，路由器才會自動将通路轉移到映射的主機上。

　　另外，由于現在的IPv4網絡正在向IPv6過渡，将來很可能出現一段很長的IPv4和IPv6共存的時期，是以現在建構網絡時應盡量考慮到對IPv6的相容性，選擇能支援IPv6的裝置和系統，以降低更新過渡時的成本。

　　靜态和動态配置設定位址的選擇

　　在何種環境下使用靜态或動态配置設定IP，這個問題需要從這兩類配置設定機制的優缺點談起。

　　第一，動态配置設定位址由于位址是由DHCP伺服器配置設定的，便于集中化統一管理，并且每一個新接入的主機都能夠通過非常簡單的操作就可以正确獲得IP位址、子網路遮罩、預設網關、DNS等參數，在管理的工作量上比靜态位址要減少很多，而且越大的網絡越明顯。而靜态配置設定就正好相反，需要先指定好那些主機要用到那些IP，絕對不能重複了，然後再去客戶主機上挨個設定必要的網絡參數，并且當主機區域遷移時，還要記錄釋放IP，并重配置設定新的區域IP和配置網絡參數。這需要一張詳細記錄IP位址資源使用情況的表格，并且要根據變動實時更新，否則很容易出現IP沖突等問題，可以想見這在一個大規模的網絡中工作量是多麼可怕。但是在一些特定的區塊，如伺服器群區域，每台伺服器都有一個固定的IP位址這在絕大多數情況下都是必須的。當然，也可以使用DHCP的位址綁定功能或者動态域名系統來實作類似的效果。

　　第二，動态配置設定IP，可以做到按需配置設定位址，當一個IP位址不被主機使用時，能釋放出來供别的新接入主機使用，這樣可以在一定程度上高效利用好IP資源。DHCP的位址池隻要能滿足同時使用的IP峰值即可。靜态配置設定必須考慮更大的使用餘量，很多臨時不接入網絡的主機并不會釋放掉IP，而且由于是臨時性的斷開和接入，手動去釋放和添加IP等參數明顯是受累不讨好的工作，是以這時必須考慮使用更大的IP位址段，確定有足夠的IP資源。

　　第三，動态配置設定要求網絡中必須有一台或幾台穩定且高效的DHCP伺服器，因為當IP管理和配置設定集中的同時，故障點也相應集中起來了，隻要網絡中的DHCP伺服器出現故障，整個網絡都有可能癱瘓，是以在很多網絡中DHCP伺服器不止一台，而是另有一台或一組熱備份的DHCP伺服器，在平時還可以分擔位址配置設定的工作量。另外，客戶機在與DHCP伺服器通信時，如：位址申請、續約和釋放等，都會産生一定的網絡流量，雖然不大，但是還是要考慮到的。而靜态配置設定就沒有上面的這兩個缺點，而且靜态位址還有一個最吸引人的優點，就是比動态配置設定更加容易定位故障點。在大多數情況下，企業網管在使用靜态位址配置設定時，都會有一張IP位址資源使用表，所有的主機和特定IP都會一一對應起來，出現了故障或者對某些主機進行控制管理時都比動态位址配置設定的要簡單的多了。

　　注：做DHCP伺服器備援時要注意，為了防止多台DHCP伺服器為不同的客戶機配置設定同一個IP位址，應該将該子網的IP段分割成幾個部分，然後分别配置設定到各個DHCP伺服器的作用域中，多台DHCP伺服器的位址池不能有重疊。另外，還得保證即使隻有單台DHCP工作時，所提供的IP位址也足夠網絡中客戶機的需要。也就是說每個分割開的位址池都要比實際需求的位址量要大，這樣才能保證最大的備援性。

　　到底何種情況使用動态配置設定，何種使用靜态呢？肯定要按實際的網絡結構和需求來考慮，其中最重要的一個決定因素應該是網絡規模的大小，這是直接決定網管員工作量的因素。是以簡單的說，大型企業和遠端通路的網絡适合動态位址配置設定，而小企業網絡和那些對外提供服務的主機适合用靜态位址配置設定。

　　看了前面的叙述，讀者可能覺得很枯燥，下面我們舉個簡單的例子來說明企業中大緻哪些區域需要部署哪些IP資源，這樣會容易了解一些。

　　示意圖中以職能共劃分為3個區域：對外公共伺服器群組、内部伺服器群組和内網用戶端區域。這個示意圖雖然簡單，但是代表了大多數企業的網絡基本構架。其中内網用戶端區域部署私有IP位址，然後根據其數量群組織規模等因素來選擇網段，并決定是否使用DHCP動态IP配置設定。其中，需要通路Internet的用戶端可以通過NAT技術實作，一般在企業防火牆後面另配置一個NAT裝置（可能是代理伺服器或路由器等），在其上配置一個NAT池放置适當的公網IP以供内網機通路Internet的需要。還可在其上或其連接配接的下層3層交換機、路由器等裝置上做ACL（通路控制清單），以限制内網機通路Internet的權限。内網伺服器區域由于隻對内網使用者提供服務，是以不需要公網IP也不需要過NAT，而且因其職能應該部署固定的私有IP。其中如果由于整體網絡規模較大，内網伺服器區與用戶端區之間隔着路由器，那當使用DHCP伺服器時，還要注意DHCP的過程使用了廣播包，而路由器隔絕廣播，這時需要在路由器上配置DHCP中繼代理（在Cisco路由器需要的端口上使用ip-help address 即可打開中繼代理）。這樣對于用戶端來說，得到IP位址的過程和通路本地DHCP沒有什麼差別，也就是說DHCP中繼代理對用戶端而言是透明的。最後的DMZ區域放置着對外提供服務的伺服器群組，這部分自然是部署固定的公網IP。當然，可能由于使用伺服器叢集等備援和負載均衡措施，會使IP位址的配置設定政策稍有不同。一個典型的企業網絡結構中，IP位址資源的配置設定和部署便大緻如此了，細節部分肯定會因實際情況而不同，但是大的方向是不會有什麼變化的。

　　總結：初期的IP位址規劃和配置設定在整個網絡的維護和擴充的難易度中，占了舉足輕重的地位，會直接影響到後期維護、更新、運作的效率。是以請各位網管和網絡規劃人員千萬不能等閑視之。