旅游景区自动票务系统设计方案.docx

网络工程设计课程报告项目名称：旅游景区自动票务系统设计方案第一章：项目背景 一个旅游景区的面积大约有30005000亩大小，景区有东、西、南、北4个门，数据中心位于南门旁。游客购买门票可以使用刷卡、网购或者现金，购买后，门票打印机自动打印带有条码的卡片门票，游客通过景区门口的翼闸读票即可通过。每个门口2个翼闸，两台PC，景区内部通过有线快速以太网连接。服务器放置于数据中心（不考虑后台软件系统费用）。需要购置服务器若干台，交换机如干台，PC若干台，（“若干台”者需要论证具体需要几台）。翼闸8台，门票打印机8台。第二章：项目分析2.1 需求分析某旅游景区刚刚建成，是一大型3000亩旅游景区，为了实现景区的自动化售票系统，旅游景区客流量大，一般景区年客流量大约在30120万人次，门票方式将是非常重要的考虑因素，需要建立自己企业的Intranet。景区有东、西、南、北4个门，数据中心位于南门旁。游客购买门票可以使用刷卡、网购或者现金，购买后，门票打印机自动打印带有条码的卡片门票，游客通过景区门口的翼闸读票即可通过。系统需要实现的目标如下：（1）现有效的数据交换和共享。企业通过两条专线接入电信和网通。（2）景点实现售票自动化，可通过刷卡，网购或现金交易。（3）景点对外提供网站购票，并且能够保证网站安全，不受外部或者内部攻击。（4）购买后，门票打印机自动打印带有条码的卡片门票，游客通过景区门口的翼闸读票即可通过。（5）服务器放置于数据中心。需要购置服务器若干台，交换机如干台，PC若干台，翼闸8台，门票打印机8台。（6）充分考虑后续网络的接入扩展性。（7）充分考虑数据中心内部网络的安全性。2.2 网络设计原则我们遵循以下的原则进行网络设计：l 实用性实用性是网络系统建设的首要原则，该网络必须最大限度的满足需求，保证网络服务的质量，否则就会影响日常工作效率。l 标准化整个网络从设计、技术和设备的选择，要确保将来可能的不同厂家设备、不同应用、不同协议连接的需求，必须支持国际标准的网络接口和协议，以提供高度的开放性。l 先进性先进性主要是针对网络系统的设计思想、网络结构、软硬件设施以及所选用技术等方面。只有先进的技术才可能为网络带来更高的性能，并且能保证在技术上不容易被淘汰。l 可扩展性可扩展性是指该网络系统能够适应需求的变化。随着技术发展，信息量增多和业务的扩大，网络将在规模和性能两方面进行一定程度的扩展。l 可靠性网络要求具有高可靠性，高稳定性和足够的冗余，提供拓扑结构及设备的冗余和备份，为了防止局部故障引起整个网络系统的瘫痪，要避免网络出现单点失效，核心设备需要支持冗余备份。l 安全性网络安全性在整个网络中是个很重要的问题，网络系统建设应采取一定手段控制网络的安全性，以保证网络正常运行。l 管理性随着网络规模和复杂程度的增加，管理和故障排除就会越来越困难。为保障网络中心的正常运行，网络必须易于管理，支持网络网段与端口的监控、网络流量与出错的统计、网络故障的定位、诊断、修复。2.3 安全目标该旅游景点自动售票系统安全体系建设的目标是在国家和行业相关安全政策和标准的指导下，结合信息系统自身的安全风险防范需求，通过信息安全保障总体规划、信息安全管理体系建设、信息安全技术策略设计以及信息安全产品集成实施等，全面提升信息系统的安全性，能面对目前和未来一段时期内的安全威胁，实现对全网安全状况的统一管理，更好地保障信息系统的正常运行，全面提升售票信息系统的安全保护水平，并达到国家信息安全等级保护相关标准的要求。2.4 设计遵循的规范综合布线1、TIA/ EIA-568A商业大楼电信布线标准（加拿大采用CSA工T529）2、EIA/ TIA-569电信通道和空间的商业大楼标准（CSA T530）3、EIA/ TIA-570住宅和N型商业电信布线标准CSA T5254、TIA/ EIA-606商业大楼电信基础设施的管理标准（CSA T528）5、TIA/ EIA-607商业大楼接地/连接要求（CSA T527）6、ANSI/ IEEE 802.5-1989令牌环网访问方法和物理层规范7、GB 50311-2007建筑与建筑群综合布线系统工程设计规范8、GB 50312-2007建筑与建筑群综合布线系统工程验收规范9、CECS72：97建筑与建筑群综合布线系统工程设计及验收规范网络系统在整个项目的建设过程中，我公司将遵循和参照最新的、最权威的、最具有代表性的信息安全标准。这些安全标准包括：1、ISO/IEC 15408 Information technology Security techniques Evaluation criteria for IT security 信息技术安全技术信息技术安全评估准则（等同于Common Criteria for Information Technology Security Evaluation V2.1，简称CC V2.1）2、BS7799 Code of practice for information security management信息安全管理纲要（即将被ISO采纳为 ISO17799）3、IETF-RFCRequests For Comments是Internet Engineering Task Force组织发布的TCP/IP标准及相关说明等资料。其中有许多有关安全的标准和说明作为本项目的参考标准和资料。4、我国的国家标准GB、国家军用标准GJB、公共安全行业标准GA、行业标准SJ等标准作为本项目的参考标准。5、GB9813-88 微型数字电子计算机通用技术条件6、JY0001-88教学仪器产品的检验规则7、JY0002-88教学仪器产品的检验规则8、JY0009-90教学电子仪器的环境要求和试验方法第三章：项目涉及的相关理论和技术1）防火墙：所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。防火墙是一种保护计算机网络安全的技术性措施，它通过在网络边界上建立相应的网络通信监控系统来隔离内部和外部网络，以阻挡来自外部的网络入侵。2）访问控制列表：访问控制列表（Access Control Lists,ACL）是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪些数据包可以收、哪些数据包需要拒绝。至于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。访问控制列表不但可以起到控制网络流量、流向的作用，而且在很大程度上起到保护网络设备、服务器的关键作用。作为外网进入企业内网的第一道关卡，路由器上的访问控制列表成为保护内网安全的有效手段。此外，在路由器的许多其他配置任务中都需要使用访问控制列表，如网络地址转换（Network Address Translation，NAT）、按需拨号路由（Dial on Demand Routing，DDR）、路由重分布（Routing Redistribution）、策略路由（Policy-Based Routing，PBR）等很多场合都需要访问控制列表。3）地址转化（NAT）：路由器将私有地址转换为公有地址使数据包能够发到因特网上，同时从因特网上接收数据包时，将公用地址转换为私有地址。 在计算机网络中，网络地址转换（Network Address Translation或简称NAT，也叫做网络掩蔽或者IP掩蔽）是一种在IP数据包通过路由器或防火墙时重写源IP地址或/和目的IP地址的技术。4）生成树： 生成树算法的网桥协议STP(Spanning Tree Protocol) 它通过生成生成树保证一个已知的网桥在网络拓扑中沿一个环动态工作。网桥与其他网桥交换BPDU消息来监测环路，然后关闭选择的网桥接口取消环路，统指IEEE8021生成树协议标准和早期的数字设备合作生成树协议，该协议是基于后者产生的。IEEE版本的生成树协议支持网桥区域，它允许网桥在一个扩展本地网中建设自由环形拓扑结构。IEEE版本的生成树协议通常为在数字版本之上的首选版本。5）SVI：交换机虚拟接口用于三层交换机跨vlan间路由。具体可以用interface vlan接口配置命令来创建svi,然后为其配置ip地址即可实现路由功能。6）路由协议原理：路由器提供了异构网互联的机制，实现将一个网络的数据包发送到另一个网络，路由就是指导IP数据包发送的路径信息。路由协议是在路由指导IP数据包发送过程中事先约定好的规定和标准。作用：路由协议主要运行于路由器上，路由协议是用来确定到达路径的，它包括RIP，IGRP（Cisco私有协议），EIGRP（Cisco私有协议），OSPF，IS-IS，BGP。起到一个地图导航，负责找路的作用。它工作在网络层。第四章：网络详细设计方案4.1网络拓扑图4.2 IP地址规划在构建基于TCP/IP的企业网络时，IP地址的选择是根据企业网络规模大小从以下三类国际Internet组织公布的私有网段中产生，这些范围内的IP地址不在Internet上传输，是专门提供给企业用来建设内部网络（Intranet）A类私有IP：55。B类私有IP：55。C类私有IP：55。对于小型网络，由于用户少、设备数量少，建议使用地址空间小的/16的网络。而对于中大型园区网络，如三层结构的校园网，由于上网人数多，设备数量多，建议采用地址空间大的/8的网络4.3 VLAN规划虚拟局域网（VLAN）是将局域网内广播域逻辑地址划分为若干子网。在一个交换局域网中，所有局域网段通过交换机连接到一起，路由器连在交换机上（如果是三层交换机，则不需路由器），可以按网段和站点的逻辑分组形成广播域，通过在局域网交换机内过滤广播包，使得源于特定虚拟局域网的信息包仅传送到那些也属于这个虚拟局域网的网段上。虚拟局域网之间的寻径由路由器完成。虚拟局域网建立之后，能有效地控制网络的广播风暴，减少不必要的资源带宽浪费，并能随着企业规模的发展和调整改变通信流的模式。VLAN规划需要考虑如下因素：用户VLAN与设备管理VLAN分开（IP地址）。为网络扩容进行可汇总的预留设计。IP地址与VLAN编号（其它相关因素）有一定的对照性。 用户VLAN VLAN 100 用户IP地址段 /24根据具体需求与安全性要求等情况综合分析，景区网络IP地址详细规划如 IP地址规划表物理位置Vlan范围IP网段默认网关获取方式东门入口VLAN 10-53/2454DHCP西门入口VLAN 20-53/2454 DHCP南门入口VLAN 30-53/2454 DHCP北门入口VLAN 40-53/2454 DHCP内部serverVLAN 50-53/2454DHCPWeb 服务器VLAN 60-53/2454DHCP第五章：网络安全设计1）vlan技术VLAN（虚拟局域网）是对连接到的第二层交换机端口的网络用户的逻辑分段，不受网络用户的物理位置限制而根据用户需求进行网络分段。一个VLAN可以在一个交换机或者跨交换机实现。VLAN可以根据网络用户的位置、作用、部门或者根据网络用户所使用的应用程序和协议来进行分组。基于交换机的虚拟局域网能够为局域网解决冲突域、广播域、带宽问题。2）防火墙技术所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。防火墙是一种保护计算机网络安全的技术性措施，它通过在网络边界上建立相应的网络通信监控系统来隔离内部和外部网络，以阻挡来自外部的网络入侵。3）安装杀毒软件杀毒软件，也称反病毒软件或防毒软件，是用于消除电脑病毒、特洛伊木马和恶意软件等计算机威胁的一类软件。杀毒软件通常集成监控识别、病毒扫描和清除和自动升级等功能，有的杀毒软件还带有数据恢复等功能，是计算机防御系统（包含杀毒软件，防火墙，特洛伊木马和其他恶意软件的查杀程序，入侵预防系统等）的重要组成部分。4）其他安全措施 定期更改密码等；第六章：设备选型6.1核心层交换机选型华为S5700-52C-SI参数 优点：性能稳定，功能强大，质量不错，端口丰富，扩展性不错，速度快，功耗低。 缺点：设置比较复杂。重要参数 产品类型：千兆以太网交换机应用层级：三层 背板带宽：256Gbps包转发率：132Mpps 端口结构：非模块化电源电压：AC 100-240V，50-60Hz 端口描述：48个10/100/1000Base-T端口，4个1000Base-X SFP端口电源功率：78W华为S5700-52C-SI详细参数主要参数 产品类型千兆以太网交换机 应用层级三层 传输速率10/100/1000Mbps 交换方式存储-转发 背板带宽256Gbps 包转发率132Mpps MAC地址表16K端口参数 端口结构非模块化 端口数量52个 端口描述48个10/100/1000Base-T端口，4个1000Base-X SFP端口 扩展模块2个扩展插槽功能特性 堆叠功能可堆叠 VLAN支持4K个VLAN支持Guest VLAN、Voice VLAN支持基于MAC/协议/IP子网/策略/端口的VLAN支持1:1和N:1 VLAN交换功能 QOS支持对端口接收和发送报文的速率进行限制支持报文重定向支持基于端口的流量监管，支持双速三色CAR功能每端口支持8个队列支持WRR、DRR、SP、WRRSP、DRR+SP队列调度算法支持报文的802.1p和DSCP优先级重新标记支持L2（Layer 2）-L4（Layer 4）包过滤功能，提供基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、端口、协议、VLAN的非法帧过滤功能支持基于队列限速和端口Shapping功能 组播管理支持IGMP v1/v2/v3 Snooping和快速离开机制支持VLAN内组播转发和组播多VLAN复制支持捆绑端口的组播负载分担支持可控组播基于端口的组播流量统计IGMP v1/v2/v3、PIM-SM、PIM-DM、PIM-SSM 网络管理支持堆叠支持MFF支持虚拟电缆检测（Virtual Cable Test）支持端口镜像和RSPAN（远程端口镜像）支持Telnet远程配置、维护支持SNMPv1/v2/v3支持RMON支持网管系统、支持WEB网管特性支持集群管理HGMP支持系统日志、分级告警支持GVRP协议支持MUX VLAN功能 安全管理用户分级管理和口令保护支持防止DOS、ARP攻击功能、ICMP防攻击支持IP、MAC、端口、VLAN的组合绑定支持端口隔离、端口安全、Sticky MAC支持黑洞MAC地址支持MAC地址学习数目限制支持IEEE 802.1X认证，支持单端口最大用户数限制支持AAA认证，支持Radius、TACACS+、NAC等多种方式支持SSH V2.0支持HTTPS支持CPU保护功能支持 黑名单和白名单其它参数 电源电压AC 100-240V，50-60Hz 电源功率华为S5700-48TP-SI(AC) 优点：性能稳定，功能强大，质量不错，端口丰富，扩展性不错，速度快，功耗低。 缺点：设置比较复杂。重要参数 产品类型：千兆以太网交换机应用层级：三层 背板带宽：256Gbps包转发率：72Mpps 端口结构：非模块化电源电压：AC 100-240V 端口描述：48个10/100/1000Base-T端口，4个100/1000Base-X千兆Combo口电源功率：74W华为S5700-48TP-SI(AC)详细参数主要参数 产品类型千兆以太网交换机 应用层级三层 传输速率10/100/1000Mbps 交换方式存储-转发 背板带宽256Gbps 包转发率72Mpps MAC地址表16K端口参数 端口结构非模块化 端口数量52个 端口描述48个10/100/1000Base-T端口，4个100/1000Base-X千兆Combo口 扩展模块1个堆叠扩展插槽 传输模式全双工/半双工自适应功能特性 网络标准IEEE 802.3，IEEE 802.3u，IEEE 802.3ab，IEEE 802.3z，IEEE 802.3x，IEEE 802.1Q，IEEE 802.1d，IEEE 802.1X 堆叠功能可堆叠 VLAN支持4K个VLAN支持Guest VLAN、Voice VLAN支持基于MAC/协议/IP子网/策略/端口的VLAN支持1:1和N:1 VLAN交换功能 QOS支持对端口接收和发送报文的速率进行限制支持报文重定向支持基于端口的流量监管，支持双速三色CAR功能每端口支持8个队列支持WRR、DRR、SP、WRRSP、DRR+SP队列调度算法支持报文的802.1p和DSCP优先级重新标记支持L2（Layer 2）-L4（Layer 4）包过滤功能，提供基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、端口、协议、VLAN的非法帧过滤功能支持基于队列限速和端口Shapping功能 组播管理支持IGMP v1/v2/v3 Snooping和快速离开机制支持VLAN内组播转发和组播多VLAN复制支持捆绑端口的组播负载分担支持可控组播基于端口的组播流量统计 网络管理支持堆叠支持MFF支持虚拟电缆检测（Virtual Cable Test）支持端口镜像和RSPAN（远程端口镜像）支持Telnet远程配置、维护支持SNMPv1/v2/v3支持RMON支持网管系统、支持WEB网管特性支持集群管理HGMP支持系统日志、分级告警支持GVRP协议支持MUX VLAN功能 安全管理用户分级管理和口令保护支持防止DOS、ARP攻击功能、ICMP防攻击支持IP、MAC、端口、VLAN的组合绑定支持端口隔离、端口安全、Sticky MAC支持黑洞MAC地址支持MAC地址学习数目限制支持IEEE 802.1X认证，支持单端口最大用户数限制支持AAA认证，支持Radius、TACACS+、NAC等多种方式支持SSH V2.0支持HTTPS支持CPU保护功能支持 黑名单和白名单其它参数 电源电压AC 100-240V 电源功率74W 产品尺寸25018043.6mm 产品重量10cm；5水平线槽和竖井梯架连接处，及水平线槽和管线各连接处须配以相应规格的分支附件，不能断接，以保证线路路由的弯曲自如以及线路的安全；6所有PVC槽在线缆安装完毕后，全部要求封闭，以防鼠害；7为防止电磁干扰，信息线缆线路与强电线路平行走向之间距离不能小于如下距离：5KVA610mm7.5系统布线设计方案根据本项目实际需要，在设计中用四对超五类非屏蔽双绞线传输介质和光纤构成整个系统。7.5.1工作区的设计工作区布线子系统由终端设备连接到信息插座的连线和信息插座组成。为了保证计算机网络系统的正常运转，每个信息插口都是一个标准的RJ45五类信息插口，可以支持100MHz的信息传输。不同型号的计算机和终端可以通过RJ45标准跳线方便地连接到电脑信息插座上。7.5.2水平区的设计水平布线子系统是将干线子系统线路延伸到用户工作区。该系统是从各个子配线间出发连向各个工作区的信息插座。水平子系统示意图水平子系统由各大楼内楼层配线间至各个工作区之间的电缆构成。所有的水平电缆全部采用超5类非屏蔽阻燃双绞线电缆。因此具有很强的抗干扰性，具备很高的备用冗余，使系统具有极高的可靠性及灵活性。水平电缆从楼层配线、天花板线槽引向工作区各信息点，配线间内接线端子与信息插座之间均为点到点端接，任何改变系统的操作（如增减用户、用户地址改变等）都不影响整个系统的运行，为系统的重新配置和故障检修提供了极大的方便。7.5.3主配线间的设计设备子系统由设备间(主配线间)中的电缆、连接器和相关支撑硬件组成，它把公共系统设备的各种不同设备互连起来。该子系统将中继线交叉连接处和布线交叉处与公共系统设备(如PBX )连接起来。配线间环境的要求按照标准的设计要求，设备间尤其是要集中放设备的设备间，应尽量满足下面的要求：室温应保持在18至27之间，相对湿度保持在30%55%；保持室内无尘或少尘，通风良好，亮度至少达30英尺*烛光；安装合适的消防系统（如采用湿型消防系统，不要把喷头直接对准电气设备）；使用防火门，至少能耐火1小时的防火墙和阻燃漆；尽量远离存放危险物品的场所和电磁干扰源（如发射机和电动机）；设备间的地板负重能力应为500kg/平方米。在配线间内应至少留有二个为本系统专用的，符合一般办公室照明要求的220V电压，电流10A单相三极电源插座。如果需要在配线间内放置网络设备，则还应根据接线间内放置设备的供电需求，配有另外的带4个AC双排插座的20A专用线路。此线路不应与其他大型设备并联，并且最好先连接到UPS，以确保对设备的供电及电源的质量。7.6工程实施及验收建成后的综合布线系统将严格按照系统设计依据和要求，采用专用仪器、仪表进行测试。在验收前，提供有关的测试及验收文本；测试后提供完整的测试记录和竣工资料。7.6.1缆线敷设缆线布放前应核对规格、程式、路由及位置与设计规定相符。缆线的布放应平直、不得产生扭绞、打圈等现象，不应受到外力的挤压和损伤。缆线在布放