網路規劃

1. 第 17 章 網路規劃

2. 本章重點 • 17-1 以交換器連接多個節點 • 17-2 以交換器連接多個區域網路 • 17-3 以路由器切割網路 • 17-4 LAN 與 WAN 的連接 • 17-5 IDC (網際網路資訊中心) • 17-6 大型區域網路的規劃

3. 網路規劃 • 一個網路系統在建置之前若經良好規劃, 應可以花最少的成本, 獲得最高的效益。不但網路建置成本可以大幅節省, 日後亦能平順擴充網路機能, 而不會陣痛連連。經過良好規劃的網路, 除了運作效率高以外, 管理與維護也輕鬆多了。 • 本章將帶您從最小的區域網路開始規劃, 一路擴增網路規模, 實際走一趟網路規劃之旅。在區域網路建置中, 我們直接採用 10BaseT/100BaseTX 乙太網路傳輸技術；建置網路傳輸骨幹與廣域網路連線時會再搭配其它實用的網路傳輸技術與網路連線裝置。

4. 網路規劃 • 由於大多數廠商逐漸以交換器取代集線器, 因此後文儘量以交換器做網路規劃。若是遇到會有較大差異的部分, 則會特別提出說明。

5. 17-1 以交換器連接多個節點 • 朋友突然說要成立一家 6 人的小型公司, 並且已經租好一間辦公室, 公司規劃很簡單, 內部並沒有任何隔間, 所有人都在同一個房間內, 且每人桌上都有一台工作電腦 (共 6 台)。 • 為了方便共用檔案及備份資料, 公司另外還加了一台共用的伺服器。在這種情形下, 就能用交換器將這些電腦連接起來。

6. 以交換器連接多個節點

7. 以交換器連接多個節點 • 交換器是星狀佈線型網路不可或缺的網路連接設備, 使用交換器連接電腦的規劃考量有： • 頻寬 若網路上的資料傳輸量不大, 網路使用率不高 (例如：只是共享一些文件檔案與印表機、偶爾連上網際網路而已), 那麼透過一般交換器將 6 台電腦與伺服器直接連接起來即可。

8. 以交換器連接多個節點 • 傳輸距離 在 10BaseT 的區域網路下, 我們最多可以串接 4 台集線器, 兩台電腦間的傳輸線路最長可 500 公尺 (途中經過 4 台集線器時)；在 100BaseTX 的區域網路下,若以交換器來連接電腦, 只需注意每段連線不超過 100 公尺即可。若交換器與集線器混雜相接, 則集線器串接部分的傳輸長度仍然受 205 公尺的限制, 交換器串接部分則不受限制。

9. 以交換器連接多個節點

10. 以交換器連接多個節點 • 預留傳輸埠 若您目前只需要連接 5 台電腦, 但一個月後還要添增 2 台電腦, 那建議您購買一台具備 8 個傳輸埠的交換器, 不要因為貪便宜而買一台 5 個傳輸埠的交換器。結果, 一個月後又得再買一台 8 個傳輸埠的交換器, 才夠將 7 台電腦都串連起來。 不過若是您一個月後, 還要架設另外一個 4 台電腦的區域網路, 那麼先前具備 5 個傳輸埠的交換器就可以挪過來用, 所以, 該預留多少傳輸埠, 就看您未來的需求而定了。

11. 以交換器連接多個節點 此外要提醒您一點, 交換器之間互接時雙方都會用掉一個傳輸埠 (但有專用串接埠者例外)。換句話說, 若一台 8 傳輸埠交換器與另一台 5 傳輸埠交換器互接, 則兩台交換器就只剩下 8 + 5 - 2 = 11 個傳輸埠可用：

12. 17-2 以交換器連接多個區域網路 • 交換器除了可以直接連接電腦外, 也可以用來連接多個區域網路形成更大的區域網路, 延長區域網路的傳輸距離與涵蓋範圍：

13. 以交換器連接多個區域網路 • 以交換器連接多個區域網路的主要考量為傳輸距離。以上圖為例, 假設在四個區域網路中皆是以 100BaseTX 集線器直接連接電腦, 且這四個區域網路再透過集線器連接起來, 那麼所形成的大型區域網路中, 任兩台電腦之間的線路總長不得超過 205 公尺。 • 然而, 若這個區域網路皆是以交換器直接連接電腦, 該區域網路再透過交換器直接連接中央的交換器, 則無 205 公尺限制, 只需注意每段連線不超過 100 公尺即可。

14. 17-3 以路由器切割網路 • 比起橋接器 (或 L2 交換器), 路由器 (或 L3 交換器) 多了檢視封包內網路位址的能力, 因此可以擔任 OSI 第三層的路由工作。通常我們依據網路位址將區域網路切割成數個子網路, 在下列兩種情況下經常會用到路由器： • 過濾廣播封包, 提高網路傳輸效益 雖說橋接器 (或 L2 交換器) 可以依據 MAC 位址過濾資料封包, 但對於目的位址為『所有節點』的廣播封包可就沒輒了。

15. 以路由器切割網路 區域網路的規模大到某個程度後, 數百台的電腦之間不斷傳來傳去的廣播封包,也就成了整個區域網路的一大負擔。這時就有必要透過路由器 (或 L3 交換器)將整個區域網路切割成數個較小的子網路, 讓個別子網路內的廣播封包只在該子網路內傳遞, 而不會干擾到其它子網路。 當然了, 要讓路由器 (或 L3 交換器) 發揮正常的功能, 得先做好適當的組態設定。子網路之間若要透過 TCP/IP 通訊協定互連, 需事先規劃好 IP 位址的切割方式,這部分請參考本書第 8 章的解說。

16. 以路由器切割網路 • 連接廣域網路 區域網路要連上廣域網路得用到路由器, 將廣域網路連線傳來的資料封包轉換成區域網路可以接受的格式, 並將區域網路要傳出去的資料封包轉換成廣域網路連線所能接受的格式。

17. 17-4 LAN 與 WAN 的連接 • 要連線到區域網路外的世界, 就得透過廣域網路連線或其它可以突破佈線限制的傳輸技術 (例如：無線傳輸) 的幫忙。本書在第 7 章已經介紹過各種廣域網路骨幹傳輸技術, 並在第 6 章介紹無線網路傳輸技術, 也在第 15-2 節介紹各種廣域網路末端用戶的連線方式。 • 至於該選擇那種廣域網路連線, 就得視需求而定。為此本節將就各種可能的需求, 幫您規劃各種適用的方案。

18. 17-4-1 連上網際網路存取網際網路資源 • 如果您連上網際網路的目的是擷取網際網路資源, 例如瀏覽網頁、收發電子郵件、閱讀新聞群組文章, 則可依使用量來決定要採用何種連線方式連上網際網路。若只是平均三到五天才上網收一下電子郵件, 那麼採用數據機撥接連線似乎是個最省錢的選擇。 • 若上網的時數很長, 那麼數據機撥接連線所耗掉的電話費可能就會高得令您跳腳, 這時便可採用 ADSL 、光纖 (FTTB, Fiber To The Building)、雙向纜線數據機或 3G連線, 則每月只要繳交固定的費用即可, 還能獲得更高的連線頻寬。

19. 連上網際網路存取網際網路資源 • 若有數台電腦想同時透過廣域網路連線連上網際網路, 但是 IP 位址的數量卻不夠, 則可以透過 Windows 作業系統提供的『Internet 連線資源分享』 (Internet Connection Sharing, ICS) 功能解決, 讓多台電腦可以共用一個 IP 位址連上網際網路。 • ICS 功能是透過『網路位址轉譯』 (Network Address Translation, NAT) 機制達成的 (詳見第 8-8 節)。另外, 也可使用具備 NAT 功能的寬頻分享器 (或稱 IP分享器) 來連接這些電腦, 即可共用同一個 IP 上網。

20. 17-4-2 連上網際網路提供網路服務 • 若您想架設對外提供服務的網路伺服器, 那麼配發動態 IP 位址的撥號連線、纜線數據機連線與非固定制 ADSL 連線就不適用了, 只剩下專線、光纖 (FTTB)、固定制 ADSL 、及 SDSL(Symmetric Digital Subscriber Line, 對稱式用戶線路)連線可以選擇。 • 固定制 ADSL 就是使用固定的 IP 位址連線 ISP, 非固定制 ADSL 則是每次連線時由 ISP的 DHCP 伺服器分配動態的 IP位址。後者通常在連線一段時間 (例如 48 或 72 小時)後會被 ISP 自動斷線。

21. 連上網際網路提供網路服務 • SDSL 和 ADSL 的技術原理類似, 但其特點是上傳和下載頻道的頻寬相同。 • 當然了, 除了在自己的區域網路上架設網路伺服器外, 許多網際網路資訊中心(IDC) 也提供了主機代管服務, 負責包辦網路伺服器的安置與維護工作。本章將於下一節介紹 IDC 的特色。

22. 17-4-3 串連區域網路 • 若您純粹只是想透過廣域網路傳輸技術串連兩個 (或多個) 距離較遠的區域網路, 那就不一定要連上網際網路。固網業者提供這種『純』專線的連線服務, 讓您可以透過這種專線服務連接分隔兩地的區域網路。 • 不但高雄與台北兩地的區域網路可以連接起來, 有些固網業者甚至還提供了可以連到海外的對接連線服務。

23. 串連區域網路 • 許多大專院校校園 (或大工廠的廠區) 也需要透過廣域網路傳輸技術, 串連分散在各處的區域網路。 • 由於廣域網路傳輸線路都架設在自家的土地上, 也就沒必要向固網業者租用線路了, 直接請專業的廠商來施工即可。然後視頻寬需求與建置成本的考量, 再決定是要佈設雙絞線還是光纖傳輸線路。 • 當然了, 有時候兩個區域網路之間之所以無法直接串連起來, 是因為兩邊有著實際上的佈線困難 (例如：相隔一條河流或一條大馬路), 這時就可以考慮以無線網路傳輸技術來串連這兩個區域網路, 詳情請參考本書第 6 章的解說。

24. 17-5 IDC（網際網路資訊中心） • 自從台灣發生汐止東方科學園區大火和納莉水災, 美國發生 911 恐怖攻擊事件等天災人禍之後, 各企業主逐漸有了危機意識。開始考慮以下的問題： • 電腦機房的防災（防火、防震、防水）能力如何？ • 重要資料的備份策略為何？ • 萬一電腦機房受損, 要如何應變？

25. IDC（網際網路資訊中心） • 於是大家紛紛檢討目前的軟硬體需求, 以期建立一個安全可靠的資訊中心。但是, 隨即發現所要投資的金額實在高得嚇人！ • 以提升防震與防火能力而言, 往往大興土木, 動輒耗費數十萬元經費, 實在讓人不敢貿然嘗試。於是大家開始重視 IDC（Internet Data Center, 網際網路資訊中心, 亦可稱為網際網路資料中心）的重要性。

26. 17-5-1 IDC 的基本功能 • 大體而言,IDC 是一個出租空間、設備和服務給客戶的資訊中心, 它實際上所營業的項目會因各家業者而異, 但是通常會包含以下 4 項基本服務： • 主機代管（Co-locat ion） 許多企業使用知名品牌、功能強大的主機擔任伺服器, 為了侍候這些尊貴之軀,往往得改善機房的佈線系統、空調系統、電力系統, 甚至連隔間都必須修改。

27. IDC 的基本功能 倘若該主機提供網際網路線上服務, 還得租用一條頻寬夠大的專線。與其花這麼高的代價, 倒不如將它擺放在 IDC 的機房, 利用 IDC 提供的電力、空調和頻寬, 同樣能讓主機享受『五星級』的待遇, 而企業卻能省下機房的整修、維護經費。這種將自己的電腦放在 IDC 機房的作法便是所謂的主機代管。

28. IDC 的基本功能 • 網站出租（Web Hosting） 上述的主機代管雖然省了一些錢, 但是終究得先花錢買一部高檔的主機, 對於中小企業而言仍然是一筆不小的負擔。於是 IDC 乾脆連電腦都出租, 企業可以將自己的網頁和電子郵件信箱放在 IDC 提供的電腦上, 依據需求承租硬碟空間和連線頻寬。這種『用戶負責軟體、IDC 負責硬體』的作法, 便是所謂的網站出租或網站代管, 還有人稱為虛擬主機（Virtual Host）。

29. IDC 的基本功能 • 網路監控 大多數 IDC 業者的網路都安裝了網管軟體, 可以即時偵測、記錄網路的資料流量, 並製作成分析報告提供給客戶參考, 例如：資料流量統計表、網路使用率（Utilization）統計表、主機負載（Loading）統計表、封包種類統計表等等。

30. IDC 的基本功能 • 資料備份 在發生前述的一堆天災人禍之前, 許多人不能體會到異地備援的重要性。直到在災難中, 主機隨著備份媒體（磁帶、光碟）一起損毀, 才後悔莫及。可是如果真要在其它地點, 建立一個專門儲存備份資料的環境, 似乎不太划算。因此 IDC便鼓勵大家將資料備份到它那裡, 由它負責儲存保管。將來有必要時, 再從 IDC還原到企業的主機。

31. 17-5-2 IDC 的安全考量 • 表面上看起來, 只要有足夠的空間、對外頻寬與資料儲存設備, 似乎就可以建立一個 IDC。事實上, IDC 應該認真地思考：『如何安全地維護客戶的運作、資料與設備』, 這才是吸引客戶的關鍵。要讓客戶安心地交出自己的軟、硬體, 至少要考量到以下各點。

32. IDC 的安全考量 • 防震 921 地震讓全國同胞感受到大自然的威力, 也喚醒大眾對於防震的重視。IDC既然要負責保管客戶的軟體與硬體, 當然不容忽視這個問題。有的業者在設計機房時便已經提高防震係數；有的雖然沿用既有的機房, 但也會增加補強設施,以提高抗震能力。

33. IDC 的安全考量 • 防火 2001 年 5 月汐止東方科學園區大火延燒了 43 小時, 由於該建築物包含宏碁（Acer）、數位聯合（Seednet）等資訊廠商, 因此也燒出一堆關於如何搶救電腦設施的問題。例如：如何避免火苗隨線路通道蔓延？如何滅火而且不損壞電腦？較常見的作法是採用防火材料與 FM-200 氣體滅火系統。

34. IDC 的安全考量 • 防洪 2001 年 9 月納莉颱風給台北縣市帶來驚人的雨量, 在部分地區水位淹到了接近2 層樓。在地下室或一樓的房間, 即使有鐵捲門阻隔, 卻仍然擋不住從門縫、排水孔灌進來的水勢, 因此傢具、電腦、汽車無一倖免。事件過後, 大家痛定思痛,一方面將電腦機房、發電機組移到較高的樓層；另一方面加裝擋水閘門, 以避免悲劇重演。

35. IDC 的安全考量 • 防斷電 談到防止斷電, 相信很多人首先就想到 UPS（Un interruptable Power Supply）。UPS 固然好用, 但是它受限於電池容量, 只適合提供短期的電力, 通常不超過 1 小時。若要較長時間的供電, 就得藉助於發電機。原則上只要發電機的燃油不短缺, 就能持續地發電。但是在納莉水災的經驗顯示, 早期的許多設計將發電機設置於地下室, 結果一旦豪雨成災, 發電機首先泡水故障, 無法在後續停電期間提供電力。

36. IDC 的安全考量 • 防斷水 或許有人覺得奇怪：『缺水與電腦機房有何關係？反正電腦又不用喝水！』是的, 嚴格說來, 兩者的確沒有直接關係, 但是卻有間接關係！因為空調系統需要充足的清水作為冷卻劑, 倘若水壓不足就會停擺。一旦空調系統停擺, 機房內的溫度便會上升, 畢竟高運算能力的主機所產生的熱量不容小覷。若室內溫度持續上升, 最終會導致主機內部的溫度上升, 於是主機可能因過熱而不穩定或自動關機。 解決之道是自建水塔或蓄水池, 並且有循環過濾、回收使用的濾水設備, 即使外部中斷供水仍能自給自足, 使依賴外部供水的需求降到最低。

37. IDC 的安全考量 • 防電磁干擾 在未來的戰爭型態中, 電子戰扮演極為重要的角色。很可能在一開戰, 敵方就利用電磁脈衝武器攻擊我方, 這種武器能破壞電子元件, 將磁帶、磁碟片與硬碟上的資料消磁, 以癱瘓我方的通訊與情報系統。因此, 一個先進的電腦機房, 應該能抵擋這方面的攻擊。具體的防禦措施是以鋼板和鋁箔作為屏蔽, 有效地隔離電磁波的干擾。

38. IDC 的安全考量 • 防駭客入侵 駭客們無時無刻、處心積慮地想要入侵各大企業的主機, IDC 擺放了許多企業的主機, 自然很容易成為入侵的目標。因此至少必須安裝功能強大的防火牆（Firewall）系統, 再加上入侵偵測系統（IDS,Intrusion Detection System） 和入侵防禦系統 (IPS, Intrusion Prevention System), 24 小時監控是否有異常狀況。

39. IDC 的安全考量 • 防資料竊取 客戶既然花錢請 IDC 儲存備份資料, 就表示所儲存的都是很重要的資料。倘若IDC 因管理不善而外洩或損毀這些資料, 不但聲譽形象受損, 還得面對鉅額的賠償。因此各家 IDC 都會嚴格管制進出機房的人員, 較先進者會引進生物特徵門禁管制系統, 以指紋、虹膜或聲紋取代傳統的刷卡辨識。

40. 17-5-3 宏碁電子化資訊管理中心 (Acer eDC) • 前文談了不少關於 IDC 應具備的條件, 或許讀者會質疑：『這些條件是否太嚴苛了？台灣有哪一家 IDC 能達到這種水準呢？』為了找尋答案, 我們親自走訪了宏碁（Acer）集團設立於龍潭的 IDC －Acer eDC（Acer e-Enabling Data Center, 宏碁電子化資訊管理中心）。

41. 宏碁電子化資訊管理中心 (Acer eDC) • Acer eDC 位於宏碁渴望園區, 在 2001 年第 3 季正式完工, 總樓板面積約19000 坪, 其中機房面積約佔 7000 坪。自 2001 年 10 月創立營運, 至 2007 年創下國內第一家連續六年 (52560 小時) 機房不中斷的紀錄。並以符合國際水準的機房和專業的團隊, 提供以下的服務： • 機房租用服務：擁有專屬的機房, 用戶可租用機櫃或辦公室空間來做為企業的備援中心。 • 災難備援服務：提供專業的儲存及備份系統, 讓客戶可以即時備份資料。另外也提供磁帶配送與儲存的服務。

42. 宏碁電子化資訊管理中心 (Acer eDC) • 主機設備與網路代管服務：協助客戶監控、管理主機系統與網路 (如防火牆、VPN)。 • 資訊安全管理服務：提供各項安全服務, 像是病毒掃描、安全監控與弱點掃描。 • 顧問與加值服務：協助客戶進行各項備援計畫的演練以及營運架構導入。 • 此外, 亦能提供企業資訊委外、ASP（Application Service Provider, 應用軟體租賃服務）專業代管等等加值性的服務。限於篇幅有限, 以下我們僅針對前一小節所提的考量點, 對 Acer eDC 做一番概略的檢視與說明。

43. 防震措施 • 採用可承受 7 級地震的防震設計, 比核四廠的 6 級防震設計更勝一籌。在樓層載重方面, 一般商用大樓約為每平方公尺 300〜500 公斤, eDC 則高達 1000 公斤, 即使放滿電腦機櫃與設備, 也無須擔心樓板無法負荷而崩塌。

44. 防火措施 • 各機房均使用雷射偵煙警報系統和 FM200 氣體滅火系統。FM200 滅火系統具有不損壞設備與不傷害人員兩大特色, 為目前最先進、最適用於資訊中心的滅火系統。此外, 所有隔間也一律使用防火、防靜電材料。

45. 供電措施 • 為了避免電力中斷, 由外而內設計了 4 道防線：雙變電所、雙供電迴路、UPS和柴油發電機。 • 前兩道防線是避免因單一變電所或供電迴路損壞而斷電；UPS 則是在市電中斷時避免瞬間斷電, 提供『關鍵 10 分鐘』的電力, 讓伺服器能儲存重要資料、正常關機；倘若在 UPS 供電期間無法恢復市電, 便啟動柴油發電機提供較長期的電力。

46. 供電措施

47. 供電措施 • 為了使發電機不因缺油而停擺, 因此 eDC 在地下建有專屬油槽, 可提供滿載連續運轉 40 小時的油料。並與中油簽訂合約, 在 eDC 提出供油需求後,1 小時之內便可獲得補充油料。 • 而且每一部發電機都屬於耐久操作型, 可連續運轉 350 天。為了避免泡水及考慮散熱, 特別將發電機組置於通風良好的 6 樓。

48. 供電措施

49. 空調系統供水措施 • 空調系統也有專用的蓄水池, 容量高達 6300 噸, 可供空調系統連續運轉 70 小時。至於水源則有自來水、地下水和循環水 3 種, 其中循環水便是將用過的水循環過濾後再度使用, 如此可確保長期不虞匱乏。

50. 門禁管制措施 • 除了各出入口與重點設施的監控攝影機之外, 在設計建築物時就已經隔開行政區與機房區。 • 欲進入機房區必須先經刷卡確認身份, 方能開啟機房區大門；即使進入機房區也只是在機房外, 若要進入機房, 必須再經過掌紋辨識系統核對身份, 並由保安監控員透過監控螢幕目視確認後, 才手動開啟機房大門。