時(shí)間：2015/6/28來(lái)源：IT貓撲網(wǎng)作者：網(wǎng)管聯(lián)盟我要評(píng)論(0)
作為單位的一名網(wǎng)管，每隔一段時(shí)間就免不了要折騰一次，干什么呢，那就是更換ISP，就祥子單位來(lái)說(shuō)，這么多年來(lái)，使用過(guò)的IPS從聯(lián)通、鐵通、電信等電信運(yùn)營(yíng)商到上級(jí)部門(mén)和兄弟單位提供的，甚至還有一些本地企業(yè)贊助的，基本上可以說(shuō)市面上存在ISP的網(wǎng)絡(luò)，我們都使用過(guò)了。更換的原因，價(jià)格是一方面，也有些其它層面的問(wèn)題，咱們做網(wǎng)管就不管不了，但是從技術(shù)層面上，還是要保證每次更換ISP都能夠順利進(jìn)行，說(shuō)起更換ISP的操作，我們的行話叫割接，ISP一換，我們的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)配置都要?jiǎng)恿�，必然�?huì)面臨網(wǎng)絡(luò)的中斷，很多時(shí)候用戶(hù)終端的配置也要改動(dòng)，這是一項(xiàng)大工程，搞不好是網(wǎng)絡(luò)就要斷個(gè)一天半天，甚至?xí)霈F(xiàn)新的網(wǎng)絡(luò)切不過(guò)去，舊的網(wǎng)絡(luò)也切不回去的尷尬局面，被掛在中間，那就更慘了。好在現(xiàn)在隨著經(jīng)驗(yàn)的積累，現(xiàn)在切換的過(guò)程越來(lái)越順暢了，下面我們結(jié)合最近一次的切換ISP的過(guò)程說(shuō)一下如何才能使切換的過(guò)程進(jìn)行的又快又好。
總體來(lái)說(shuō)，切換ISP主要涉及到兩個(gè)方面，一個(gè)是機(jī)房設(shè)備的調(diào)整(包括設(shè)備配置的調(diào)整)，另一個(gè)是用戶(hù)端設(shè)置的調(diào)整，從時(shí)間先后上來(lái)說(shuō)，是機(jī)房調(diào)整在前，用戶(hù)端設(shè)置調(diào)整在后，但是在具體實(shí)施上，則要盡量做到第一個(gè)調(diào)整實(shí)施的盡可能快，第二個(gè)調(diào)整改動(dòng)的盡可能少，這樣才可以實(shí)現(xiàn)所謂的平滑過(guò)渡，以用戶(hù)感覺(jué)不到使用的ISP變改了為追求目標(biāo)。
一、切換ISP前的準(zhǔn)備工作
既然是切換ISP，那么我們?cè)瓉?lái)肯定是已經(jīng)組建好了一個(gè)網(wǎng)絡(luò)，并且這個(gè)網(wǎng)絡(luò)正在運(yùn)行著，本例中么我們現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)如下：
圖1 切換前兩個(gè)ISP并存
比如我們目前使用的是ISP1的網(wǎng)絡(luò)，打算切換到ISP2，那么在正式的網(wǎng)絡(luò)切換以前，就需要提前把ISP2的網(wǎng)線接到CISCO2960交換機(jī)上，那么如何保證兩家ISP的網(wǎng)絡(luò)有效的隔離呢?通過(guò)在交換機(jī)劃分VLAN即可實(shí)現(xiàn)。
經(jīng)驗(yàn)一 能來(lái)軟的就不要來(lái)硬的
在進(jìn)行更換ISP的操作時(shí)，盡量能來(lái)軟的就來(lái)軟的，盡不能的不要來(lái)硬的。這句是什么意思呢?即如果能做到通過(guò)軟件調(diào)試解決來(lái)解決的，就不要去動(dòng)物理的接頭�？刹灰】催@一個(gè)小小的接頭，在真正進(jìn)行ISP切換的時(shí)候，網(wǎng)管員真恨不得生成三頭六臂來(lái)，一邊是急著要把網(wǎng)絡(luò)切過(guò)來(lái)，另一邊千頭萬(wàn)緒什么事情都出來(lái)了，網(wǎng)管員那個(gè)時(shí)候一般都是抱著個(gè)筆記本在那兒急的冒著一頭汗敲命令呢，根本沒(méi)功夫去調(diào)網(wǎng)線，如果喊別人去幫忙，十有八九是越忙越忙，所以切換ISP的第一條經(jīng)驗(yàn)，就是盡可能將所有的工作都通過(guò)軟件解決，即網(wǎng)管員可以專(zhuān)心致志的抱著筆記本調(diào)試，而盡量少跑動(dòng)耽誤時(shí)間，比如在正式切換ISP時(shí)，將PIX520連接到CISCO3550上的網(wǎng)口所屬的VLAN劃歸與ISP2的一致即可。
二、正式切換時(shí)的重點(diǎn)戲：更改硬件防火墻的配置
我們使用NAT設(shè)備是一臺(tái)CISCO PIX520硬件防火墻，更換ISP時(shí)涉及硬件防火墻的配置改動(dòng)，主要有四個(gè)地方，以實(shí)際的網(wǎng)絡(luò)參數(shù)為例，說(shuō)明一下配置文檔。
(一)需要修改防火墻外網(wǎng)口的地址，這一步直接修改即可
ip address outside 221.*.*.84
(二)修改轉(zhuǎn)換地址，這一步要先將舊地址no掉，然后再設(shè)置新地址
no global (outside) 1 222.*.*.90 netmask 255.255.255.255
global (outside) 1 221.*.*..85 netmask 255.255.255.255
(三)修改網(wǎng)關(guān)地址，這一步同樣需要先no掉舊地址，再設(shè)置新地址
no route outside 0.0.0.0 0.0.0.0 222.175.169.65
route outside 0.0.0.0 0.0.0.0 221.1.223.94
(四)執(zhí)行clear xlate命令
這行指令的作用是清空以前的NAT清空，使新的NAT生效。
經(jīng)驗(yàn)二、創(chuàng)建配置文檔，盡量不要一條一條的敲命令
作為一名有經(jīng)驗(yàn)的網(wǎng)管，在進(jìn)行工程量比較大的網(wǎng)絡(luò)調(diào)試或操作時(shí)一般都是通過(guò)預(yù)先編寫(xiě)好的腳本來(lái)執(zhí)行一系列操作的，而不是一條命令一條命令的敲，原因很簡(jiǎn)單，也是害怕忙中出錯(cuò)，提高撰寫(xiě)腳本一來(lái)時(shí)間比較充裕，二來(lái)可以考慮的比較全面。雖然網(wǎng)絡(luò)割接是在某個(gè)指定的時(shí)間段時(shí)行的，但是準(zhǔn)備工作越早開(kāi)展越好，所謂"宜未雨綢繆，勿臨渴掘井"。
不過(guò)凡事也不能絕對(duì)，割接時(shí)使用配置腳本便敏，但是也不能一棵樹(shù)上吊死，如果執(zhí)行完腳本以后發(fā)現(xiàn)網(wǎng)絡(luò)不通了(即割切失敗)，應(yīng)當(dāng)迅速、仔細(xì)的檢查腳本，再次執(zhí)行，如果二次以上均未成功，則立即就要轉(zhuǎn)換思路，改為一條指令一條指令的敲，很可能經(jīng)過(guò)這一遍網(wǎng)絡(luò)就通了(這就說(shuō)明以前撰寫(xiě)腳本時(shí)忽略某些方面)，而千萬(wàn)不要一邊嘴里嘟嚕著"為什么還不通，還不通，怎么會(huì)這樣"之類(lèi)的話，一邊把同一個(gè)腳本執(zhí)行了一遍又一遍，那樣做的話就是讓人家笑話了。
#p#副標(biāo)題#e#
以上介紹了切換操作的執(zhí)行腳本，下面是恢復(fù)腳本：
conf t
ip address outside 222.*.*.80
no global (outside) 1 221.*.*..85 netmask 255.255.255.255
global (outside) 1 222.*.*.90 netmask 255.255.255.255
no route outside 0.0.0.0 0.0.0.0 221.1.223.94
route outside 0.0.0.0 0.0.0.0 222.175.169.65
exit
clear xlate
為什么還要提前撰寫(xiě)恢復(fù)腳本，就是為了預(yù)防萬(wàn)一切換失敗，好再迅速的回復(fù)到原來(lái)網(wǎng)絡(luò)，這樣用戶(hù)上網(wǎng)不受影響，從而為排查故障爭(zhēng)取時(shí)間，所謂"未思勝先思敗"就是這個(gè)道理。
三、用戶(hù)終端配置的修改
用戶(hù)終端配置的修改主要就是IP地址、子網(wǎng)掩碼、網(wǎng)關(guān)、DNS服務(wù)器這四項(xiàng)，其實(shí)如果準(zhǔn)備的比較好的，客戶(hù)端這一側(cè)是不需要作任何改動(dòng)的。
我們還是結(jié)合著圖1的網(wǎng)絡(luò)拓?fù)鋪?lái)說(shuō)明，在我們的網(wǎng)絡(luò)中使用了一臺(tái)CISCO3550的三層交換機(jī)，該交換機(jī)上劃分了許多的VLAN，每個(gè)VLAN的IP地址即是該VLAN下面所帶用戶(hù)的網(wǎng)關(guān)，通過(guò)上面我們切換腳本大家也可以看出來(lái)，我們并沒(méi)有動(dòng)硬件防火墻的內(nèi)網(wǎng)口地址，也就是說(shuō)內(nèi)部網(wǎng)絡(luò)并沒(méi)有改動(dòng)，因此內(nèi)網(wǎng)用戶(hù)的網(wǎng)絡(luò)設(shè)置中的IP地址、子網(wǎng)掩碼、網(wǎng)關(guān)這三項(xiàng)都不用改動(dòng)。
比較難辦的是DNS服務(wù)器，以前我們都是自建DNS服務(wù)器，倒是練了不少本事，可以在LINUX、SOLARIS、WINDOWS等各個(gè)操作系統(tǒng)中自如的建立DNS服務(wù)器，而且DNS服務(wù)跟單位的WWW服務(wù)都是在WWW服務(wù)器實(shí)現(xiàn)的，這樣的好處是利用WWW服務(wù)器性能比較穩(wěn)定這個(gè)特性(WWW服務(wù)器是使用的SUN的企業(yè)級(jí)服務(wù))，但是更換了兩次ISP以后就發(fā)現(xiàn)這個(gè)辦法不行，因?yàn)楦鼡QISP后，WWW服務(wù)器的IP地址也就隨之改變了，自然DNS服務(wù)器的地址也要跟著變，這樣用戶(hù)就需要修改DNS服務(wù)器地址，大部分用戶(hù)可能無(wú)法及時(shí)得到這個(gè)信息，還有一部分用戶(hù)根本不會(huì)修改DNS服務(wù)器，所以就造成了用戶(hù)的上網(wǎng)故障。所以我們的經(jīng)驗(yàn)是不再將DNS服務(wù)器建立在WWW服務(wù)器上，而是告訴用戶(hù)兩個(gè)公共的DNS服務(wù)器地址，一個(gè)新聯(lián)通(即原網(wǎng)通的)如202.102.152.3，一個(gè)電信的如202.96.199.133，這樣不論我們切換到哪家運(yùn)營(yíng)商，都可以保證用戶(hù)訪問(wèn)網(wǎng)頁(yè)沒(méi)有問(wèn)題，DNS服務(wù)器地址也不會(huì)老是換來(lái)?yè)Q去了。
當(dāng)然，自建DNS服務(wù)器也不是不可以，但是不要使用公網(wǎng)的地址，在內(nèi)部局域網(wǎng)找個(gè)服務(wù)器建立一個(gè)DNS服務(wù)器就可以了，WIN2003和linux系統(tǒng)都是很好的選擇，這樣就可以保證DNS服務(wù)器地址的相對(duì)穩(wěn)定。
這樣，更換ISP所涉及到的機(jī)房里面的改動(dòng)和用戶(hù)終端的改動(dòng)已經(jīng)做的差不多了，用戶(hù)訪問(wèn)網(wǎng)頁(yè)，運(yùn)行各種網(wǎng)絡(luò)程度都沒(méi)什么問(wèn)題了，是不是就萬(wàn)事大吉了呢，其實(shí)不然，第一千萬(wàn)不要忘了將所有做過(guò)改動(dòng)的網(wǎng)絡(luò)設(shè)備的配置存盤(pán)，盡快整理操作文檔，另外大家也別忘了我們還有一臺(tái)WWW服務(wù)器，它還沒(méi)做相應(yīng)的修改呢，多年以來(lái)單位的同事都習(xí)慣了將其作為上網(wǎng)的出口，我們要保證內(nèi)網(wǎng)用戶(hù)在我們更改了ISP以后仍然可以訪問(wèn)到它。
WWW服務(wù)器所在網(wǎng)絡(luò)結(jié)構(gòu)仍如圖1所示，由于WWW服務(wù)器是位于一臺(tái)華為E100的硬件防火墻之下，所以網(wǎng)絡(luò)參數(shù)的修改在華為硬件防火墻上操作就可以了，主要有如下幾個(gè)地方：
nat server protocol tcp global 221.1.223.87 www inside 10.66.0.101 www
修改內(nèi)網(wǎng)WWW服務(wù)器對(duì)應(yīng)公網(wǎng)IP地址
interface Ethernet1/0
ip address 221.*.*.87 255.255.255.240
重新設(shè)置外網(wǎng)口的地址
ip route-static 0.0.0.0 0.0.0.0 221.*.*.94
修改網(wǎng)關(guān)為新的地址
修改華為硬件防火墻的設(shè)置，接著修改WWW服務(wù)器自身的參數(shù)，WWW服務(wù)器的網(wǎng)絡(luò)參數(shù)不需要修改，我們主要是對(duì)涉及WWW服務(wù)的參數(shù)做修改，因?yàn)槭鞘褂?a href="http://europeautoinsurance.com/key/apache/" target="_blank">Apache作的WEB發(fā)布，要在里面修改允許訪問(wèn)的地址，即把我們內(nèi)網(wǎng)用戶(hù)對(duì)應(yīng)的公網(wǎng)地址寫(xiě)進(jìn)去，將原來(lái)的地址進(jìn)行替換。即修改httpd.conf文件，在該文件中找到這一行：# Controls who can get stuff from this server.
然后修改下面的內(nèi)容：
#Order allow,deny
Order deny,allow
deny from all
allow from 221.*.*.88
這樣就允許指定的地址(即我們自己網(wǎng)段)訪問(wèn)這臺(tái)服務(wù)器，其它地址過(guò)來(lái)的都拒絕了。之后再重啟系統(tǒng)的Apache服務(wù)：
# cd /usr/local/apache/bin
# ./apachectl stop
# ./apachectl start
或執(zhí)行#./apachectl restart命令。
最后，是的，還有最后，那就是需要到域名注冊(cè)機(jī)構(gòu)那里修改對(duì)應(yīng)的信息，即域名與IP地址對(duì)應(yīng)關(guān)系。我們是在新網(wǎng)申請(qǐng)的域名，就要到新網(wǎng)去進(jìn)行修改，主要有兩個(gè)地方，一個(gè)是"域名管理"，進(jìn)入"修改域名狀態(tài)信息"項(xiàng)，將域名對(duì)應(yīng)的IP地址做相應(yīng)的修改，另一處是"My DNS"，同樣的將域名與IP地址的對(duì)
關(guān)鍵詞標(biāo)簽：ISP,網(wǎng)管員
相關(guān)閱讀
熱門(mén)文章
路由器地址大全-各品牌路由設(shè)置地址
各品牌的ADSL與路由器出廠默認(rèn)IP、帳號(hào)、密
Nslookup命令詳解-域名DNS診斷
站長(zhǎng)裝備：十大網(wǎng)站管理員服務(wù)器工具軟件
人氣排行 各品牌的ADSL與路由器出廠默認(rèn)IP、帳號(hào)、密碼路由器地址大全-各品牌路由設(shè)置地址騰達(dá)路由器怎么設(shè)置？騰達(dá)路由器設(shè)置教程ADSL雙線負(fù)載均衡設(shè)置詳細(xì)圖文教程路由表說(shuō)明(詳解route print)網(wǎng)管員實(shí)際工作的一天用此方法讓2M帶寬下載速度達(dá)到250K/S左右網(wǎng)管必會(huì)！了解交換機(jī)控制端口流量