更改ISP 网管员如何才能做得又快又好

　　作为单位的一名网管，每隔一段时间就免不了要折腾一次，干什么呢，那就是更换ISP，就祥子单位来说，这么多年来，使用过的IPS从联通、铁通、电信等电信运营商到上级部门和兄弟单位提供的，甚至还有一些本地企业赞助的，基本上可以说市面上存在ISP的网络，我们都使用过了。更换的原因，价格是一方面，也有些其它层面的问题，咱们做网管就不管不了，但是从技术层面上，还是要保证每次更换ISP都能够顺利进行，说起更换ISP的操作，我们的行话叫割接，ISP一换，我们的网络设备和网络配置都要动了，必然会面临网络的中断，很多时候用户终端的配置也要改动，这是一项大工程，搞不好是网络就要断个一天半天，甚至会出现新的网络切不过去，旧的网络也切不回去的尴尬局面，被挂在中间，那就更惨了。好在现在随着经验的积累，现在切换的过程越来越顺畅了，下面我们结合最近一次的切换ISP的过程说一下如何才能使切换的过程进行的又快又好。

　　总体来说，切换ISP主要涉及到两个方面，一个是机房设备的调整(包括设备配置的调整)，另一个是用户端设置的调整，从时间先后上来说，是机房调整在前，用户端设置调整在后，但是在具体实施上，则要尽量做到第一个调整实施的尽可能快，第二个调整改动的尽可能少，这样才可以实现所谓的平滑过渡，以用户感觉不到使用的ISP变改了为追求目标。

　　一、切换ISP前的准备工作

　　既然是切换ISP，那么我们原来肯定是已经组建好了一个网络，并且这个网络正在运行着，本例中么我们现有的网络结构如下：

图1 切换前两个ISP并存

　　比如我们目前使用的是ISP1的网络，打算切换到ISP2，那么在正式的网络切换以前，就需要提前把ISP2的网线接到CISCO2960交换机上，那么如何保证两家ISP的网络有效的隔离呢?通过在交换机划分VLAN即可实现。

　　经验一 能来软的就不要来硬的

　　在进行更换ISP的操作时，尽量能来软的就来软的，尽不能的不要来硬的。这句是什么意思呢?即如果能做到通过软件调试解决来解决的，就不要去动物理的接头。可不要小看这一个小小的接头，在真正进行ISP切换的时候，网管员真恨不得生成三头六臂来，一边是急着要把网络切过来，另一边千头万绪什么事情都出来了，网管员那个时候一般都是抱着个笔记本在那儿急的冒着一头汗敲命令呢，根本没功夫去调网线，如果喊别人去帮忙，十有八九是越忙越忙，所以切换ISP的第一条经验，就是尽可能将所有的工作都通过软件解决，即网管员可以专心致志的抱着笔记本调试，而尽量少跑动耽误时间，比如在正式切换ISP时，将PIX520连接到CISCO3550上的网口所属的VLAN划归与ISP2的一致即可。

　　二、正式切换时的重点戏：更改硬件防火墙的配置

　　我们使用NAT设备是一台CISCO PIX520硬件防火墙，更换ISP时涉及硬件防火墙的配置改动，主要有四个地方，以实际的网络参数为例，说明一下配置文档。

　　(一)需要修改防火墙外网口的地址，这一步直接修改即可

　　ip address outside 221.*.*.84

　　(二)修改转换地址，这一步要先将旧地址no掉，然后再设置新地址

　　no global (outside) 1 222.*.*.90 netmask 255.255.255.255

　　global (outside) 1 221.*.*..85 netmask 255.255.255.255

　　(三)修改网关地址，这一步同样需要先no掉旧地址，再设置新地址

　　no route outside 0.0.0.0 0.0.0.0 222.175.169.65

　　route outside 0.0.0.0 0.0.0.0 221.1.223.94

　　(四)执行clear xlate命令

　　这行指令的作用是清空以前的NAT清空，使新的NAT生效。

　　经验二、创建配置文档，尽量不要一条一条的敲命令

　　作为一名有经验的网管，在进行工程量比较大的网络调试或操作时一般都是通过预先编写好的脚本来执行一系列操作的，而不是一条命令一条命令的敲，原因很简单，也是害怕忙中出错，提高撰写脚本一来时间比较充裕，二来可以考虑的比较全面。虽然网络割接是在某个指定的时间段时行的，但是准备工作越早开展越好，所谓“宜未雨绸缪，勿临渴掘井”。

　　不过凡事也不能绝对，割接时使用配置脚本便敏，但是也不能一棵树上吊死，如果执行完脚本以后发现网络不通了(即割切失败)，应当迅速、仔细的检查脚本，再次执行，如果二次以上均未成功，则立即就要转换思路，改为一条指令一条指令的敲，很可能经过这一遍网络就通了(这就说明以前撰写脚本时忽略某些方面)，而千万不要一边嘴里嘟噜着“为什么还不通，还不通，怎么会这样”之类的话，一边把同一个脚本执行了一遍又一遍，那样做的话就是让人家笑话了。

　　以上介绍了切换操作的执行脚本，下面是恢复脚本：

　　conf t

　　ip address outside 222.*.*.80

　　no global (outside) 1 221.*.*..85 netmask 255.255.255.255

　　global (outside) 1 222.*.*.90 netmask 255.255.255.255

　　no route outside 0.0.0.0 0.0.0.0 221.1.223.94

　　route outside 0.0.0.0 0.0.0.0 222.175.169.65

　　exit

　　clear xlate

　　为什么还要提前撰写恢复脚本，就是为了预防万一切换失败，好再迅速的回复到原来网络，这样用户上网不受影响，从而为排查故障争取时间，所谓“未思胜先思败”就是这个道理。

　　三、用户终端配置的修改

　　用户终端配置的修改主要就是IP地址、子网掩码、网关、DNS服务器这四项，其实如果准备的比较好的，客户端这一侧是不需要作任何改动的。

　　我们还是结合着图1的网络拓扑来说明，在我们的网络中使用了一台CISCO3550的三层交换机，该交换机上划分了许多的VLAN，每个VLAN的IP地址即是该VLAN下面所带用户的网关，通过上面我们切换脚本大家也可以看出来，我们并没有动硬件防火墙的内网口地址，也就是说内部网络并没有改动，因此内网用户的网络设置中的IP地址、子网掩码、网关这三项都不用改动。

　　比较难办的是DNS服务器，以前我们都是自建DNS服务器，倒是练了不少本事，可以在LINUX、SOLARIS、WINDOWS等各个操作系统中自如的建立DNS服务器，而且DNS服务跟单位的WWW服务都是在WWW服务器实现的，这样的好处是利用WWW服务器性能比较稳定这个特性(WWW服务器是使用的SUN的企业级服务)，但是更换了两次ISP以后就发现这个办法不行，因为更换ISP后，WWW服务器的IP地址也就随之改变了，自然DNS服务器的地址也要跟着变，这样用户就需要修改DNS服务器地址，大部分用户可能无法及时得到这个信息，还有一部分用户根本不会修改DNS服务器，所以就造成了用户的上网故障。所以我们的经验是不再将DNS服务器建立在WWW服务器上，而是告诉用户两个公共的DNS服务器地址，一个新联通(即原网通的)如202.102.152.3，一个电信的如202.96.199.133，这样不论我们切换到哪家运营商，都可以保证用户访问网页没有问题，DNS服务器地址也不会老是换来换去了。

　　当然，自建DNS服务器也不是不可以，但是不要使用公网的地址，在内部局域网找个服务器建立一个DNS服务器就可以了，WIN2003和LINUX系统都是很好的选择，这样就可以保证DNS服务器地址的相对稳定。

　　这样，更换ISP所涉及到的机房里面的改动和用户终端的改动已经做的差不多了，用户访问网页，运行各种网络程度都没什么问题了，是不是就万事大吉了呢，其实不然，第一千万不要忘了将所有做过改动的网络设备的配置存盘，尽快整理操作文档，另外大家也别忘了我们还有一台WWW服务器，它还没做相应的修改呢，多年以来单位的同事都习惯了将其作为上网的出口，我们要保证内网用户在我们更改了ISP以后仍然可以访问到它。

　　WWW服务器所在网络结构仍如图1所示，由于WWW服务器是位于一台华为E100的硬件防火墙之下，所以网络参数的修改在华为硬件防火墙上操作就可以了，主要有如下几个地方：

　　nat server protocol tcp global 221.1.223.87 www inside 10.66.0.101 www

　　修改内网WWW服务器对应公网IP地址

　　interface Ethernet1/0

　　ip address 221.*.*.87 255.255.255.240

　　重新设置外网口的地址

　　ip route-static 0.0.0.0 0.0.0.0 221.*.*.94

　　修改网关为新的地址

　　修改华为硬件防火墙的设置，接着修改WWW服务器自身的参数，WWW服务器的网络参数不需要修改，我们主要是对涉及WWW服务的参数做修改，因为是使用APACHE作的WEB发布，要在里面修改允许访问的地址，即把我们内网用户对应的公网地址写进去，将原来的地址进行替换。即修改httpd.conf文件，在该文件中找到这一行：# Controls who can get stuff from this server.

　　然后修改下面的内容：

　　#Order allow,deny

　　Order deny,allow

　　deny from all

　　allow from 221.*.*.88

　　这样就允许指定的地址(即我们自己网段)访问这台服务器，其它地址过来的都拒绝了。之后再重启系统的Apache服务：

　　# cd /usr/local/apache/bin

　　# ./apachectl stop

　　# ./apachectl start

　　或执行#./apachectl restart命令。

　　最后，是的，还有最后，那就是需要到域名注册机构那里修改对应的信息，即域名与IP地址对应关系。我们是在新网申请的域名，就要到新网去进行修改，主要有两个地方，一个是“域名管理”，进入“修改域名状态信息”项，将域名对应的IP地址做相应的修改，另一处是“My DNS”，同样的将域名与IP地址的对应关系做相应的修改，提交后生效。这个时候我们使用新网的DNS服务器就可以看到域名对应的IP地址已经更改过来，但是要待所有的DNS服务器都更新这个信息，可能需要比较长的时间。

　　好了，这样就真的做完，可以好好的出一口气了，最后说一句，我们最近的一次更改ISP，用了不到半个小时的时间。