化繁为简 用访问控制下文跑双网

企业网络配置不是一成不变的，往往使用几年都会遇到应用瓶颈，需要对网络进行升级和改造。这些都可以通过添加新网络设备，以满足扩大的网络需求。但有时网络需要在规模上扩展，这时就非常棘手了。例如笔者负责的教育信息网在最近一次升级过程中就遇到了要在原有教育信息网络的基础上再引入金财网，保证在同一个物理网络中运行两个互相没有联系各自独立的网络。这种跑双网的情况在现实中还是比较常见的，那么我们该如何升级实现这种隔离与兼顾呢？笔者采用的是访问控制列表法来解决的，下面就将实现双网的思路介绍给大家。由于很多内容都是基础命令，这里就不详细罗列出来了仅仅介绍实现思路。

网络现状和需求

当前网络环境：

笔者所在教育信息网络是以区信息中心为核心，核心设备为CISCO 6509。各个下属学校网络作为分支分散在全区147个网络中，分支网络通过电信提供的ATM技术与核心设备CISCO 6509互连，每个学校都有一个路由器作为网络出口，路由器型号为华为3COM的2621设备。

在升级之前学校的计算机要上网的话，首先发送数据包到本学校的交换机，然后交换机将数据传输到学校2621设备上，在2621路由器上通过设置缺省路由指向CISCO 6509的相应接口完成数据的路由工作，最后由CISCO 6509把数据发送到全区网络出口对应的端口，通过光纤连接到北京市。数据接收也是一样的，只是上面过程的逆向传送而已。（如图1）

双网环境需求：

由于财政部门要求区网络中心对网络进行改造，对部分学校开通金财网络。而我们又不可能再花精力和财力用于新建一个网络，所以工作的重点就落在了对目前网络的升级上。如果在目前这样一个接入层与汇聚层组成的网络中再添加一个金财网呢？而且财政部门要求金财网与之前的教育信息网是隔离的，也就是说学校连接金财网的终端是不能够访问连接教育信息网中的主机的。而不同学校之间同属一个网的用户是可以互相访问的，例如A学校金财网用户不能访问A学校的教育信息网终端，却可以访问B学校的金财网。