上海市W1酒店办公网络方案建议书.doc

上海w1酒店办公网网络方案建议书上海市w1酒店办公 网络方案建议书二零零六年十月目 录第1章网络系统需求分析及设计31.1客户现状：31.2网络建设目标：31.3数据信息点情况：31.4网络建设需考虑的问题：4第2章网络设计原则：52.1网络设计原则5第3章数据网络方案设计63.1概述63.2网络拓扑图：63.3网络结构概述：73.4设备选型：83.4.1核心交换设备：83.4.2接入层交换设备：83.4.3防火墙设备：93.4.4网管系统：10第4章网络vlan和ip设计104.1vlan：104.1.1vlan技术简介：104.1.2vlan规划：114.2ip地址规划：114.2.1ip地址分配原则：114.2.2ip地址规划：124.3vlan划分和ip地址规划表：12第5章网络的安全设计145.1防火墙的安全设计145.2防毒软件系统的配置15第1章 网络系统需求分析及设计1.1 客户现状：上海市w1酒店项目目前正在建设中，共19层。本方案将针对用户办公的计算机网络建设进行规划设计，提出解决方案。1.2 网络建设目标：上海市w1酒店的本次网络建设主要为满足酒店内的电子化办公要求。整个网络目前覆盖楼内办公区、客房管理区、办公区、接待区、中心机房区等。内部网络需利用高速宽带接入internet ，提供web浏览、mail收发、办公oa系统等一些基本的应用服务。所有信息点性能要求提供100m到桌面的接入带宽，并通过酒店内统一的外网出口同internet互联。建成后的酒店内将同时为单位内的各个部门服务。为了节省项目投资，不同部门使用同一套网络硬件平台和一个internet数据出口。因此，需通过vlan划分做到多部门的数据隔离，保证不同部门间的数据保密性。同时，由于internet数据应用的存在，我们建议网络建设规划中必须考虑具备一定的网络安全措施。1.3 数据信息点情况：酒店机房位于一层，核心网络交换设备将设置在酒店机房内。根据信息点的分布情况，我们在各楼层的弱电间配置楼层交换机满足信息点的接入要求。具体的信息点分布参照下表：表一：点位分布表区域楼层数据点数办公区地下1层20 可房管理部地下1层15 其它区域地下1层10 办公区1层10 休闲区办公6层5 休闲区办公7层5 接待室8-19层各4 小计113 数据中心一层10 合计123 1.4 网络建设需考虑的问题：我们结合w1酒店的使用特点和规划目标，认为在将来的网络建设过程中因着重考虑一下几点：l 由于网络同时供多个部门使用，必需考虑网络的逻辑划分。同时做好各家单位的网络规划，避免今后进驻的部门各自为阵造成混乱。l 由于资金有限，在网络设计时需在满足使用要求的基础上，节约资金。同时要避免今后部门入住重复投资。l 该网络是同internet互联的办公网络，因此需考虑到内外网间的安全隔离。l 在设备选型上采用主流网络设备，保证设备的长期稳定有效工作。同时考虑到节约投资，推荐采用国产知名品牌。第2章 网络设计原则：我们遵循网络设计常用的基本原则来对上海w1酒店的网络平台进行设计。以此来保证今后网络建设的正确和高效。2.1 网络设计原则标准化及规范性整个网络从技术和设备的选择上，为确保不同厂家设备、不同应用以及不同协议连接的互操作性，我们将选择支持国际标准的网络接口和协议。先进性和扩展性。系统主要软硬件设备均采用广泛应用且具有良好性能价格比的产品，充分考虑保护系统建设投资，使系统具有良好的实用性、扩展性。硬件产品的选型应考虑开放性、标准化，同时强调兼容性，要考虑到一旦网络需要扩容升级，不至于主要的硬件产品被淘汰。可靠性和稳定性在考虑技术先进性和开放性的同时，还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及维修能力等方面着手，确保系统运行的可靠性和稳定性，达到最大的平均无故障时间。性能价格比高的原则在满足网络各项性能要求情况下，兼顾设备投资情况，我们将尽可能节约网络系统的投资，使整个网络的性能价格比达到最高。可管理性和可维护性网络管理产品的选型、软件选购应强调方便、实用和安全，能满足实际使用的要求。具有优异的可管理性和可维护性。用户界面友好统一，易学易用。安全性和保密性在系统设计中，既考虑信息资源的充分共享，更要注意信息的保护和隔离，因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括系统安全机制、数据存取的权限控制等。第3章 数据网络方案设计3.1 概述根据上海w1酒店网络建设要求，网络节点必须达到1000m上联，100m到桌面的性能。同时必须考虑不同业务部门之间的数据隔离。提供高速、安全、可靠的网络平台。3.2 网络拓扑图：上海w1酒店网络结构拓扑图如下：3.3 网络结构概述：目前，整个上海w1酒店网络规模较小，共123个信息点。因此我们建议采用结构较为简单的二层星型网络结构。即：核心层和接入层。星型网络具有结构简单，建设成本较低等优点。核心层采用高性能3层交换设备，将负责整个网络内数据的路由交换功能。整个网络为二层结构，核心节点位于大楼一楼酒店机房内。服务器直接通过100m或1000m以太网接入核心交换机。接入层采用2层交换机设备，同一楼层内设备将来亦可通过多台设备堆叠保证提供足够的端口数量。交换机通过vlan划分将网络划分成不同的逻辑子网。接入层交换机同核心交换机间通过1000m多模光纤进行互联，两端端口配置成thrunk模式。不同vlan间ip数据通信必须经过核心交换机的3层路由进行。若在核心交换机上不设置相应的路由信息，则可保证vlan间的数据隔离。通过该方法可保证楼内不同部门间的ip通信数据隔离。internet接入采用光纤专线接入方式，接入带宽上/下行10mbps 。在无需更改线路设备情况下，可升级出口带宽至100m。internet外网同核心交换机间配置防火墙设备进行安全隔离，通过防火墙安全策略关闭部分平时不使用的tcp/ip端口。所有物理接口为10/100m以太网。防火墙上配置nat或pat地址转换，使得内部分配私有ip网络地址的计算机可访问internet。防火墙具有vpn功能，为在外出差办公的工作人员提供vpn拨号通道，安全接入公司的内部网络。核心交换机同防火墙之间用100m以太网互联。3.4 设备选型：3.4.1 核心交换设备：核心层设备作为整个网络数据路由交换的酒店节点，各ip网段间的网络数据包须经其路由转发。因此必须配置三层网络交换机。若核心节点故障将造成整个网络的通信中断，要求拥有较高性能和可靠性。同时兼顾今后网络扩展，需留有一定性能余量。因此建议在核心节点选用一台性能较高的cisco catalyst 4506。catalyst 4506系列交换机是一个新型的、多层企业级交换机系列，可以提供高水平的可用性、可扩展性、安全性和控制能力，从而提高网络的运行效率。因为具有多种快速以太网和千兆以太网配置，因此catalyst 4506系列适合于作为一个功能强大的汇聚层交换机和中型网络的核心交换机。在模块选择上我们采用了双电源模块，为核心设备提供冗余的电源输入；配置高性能3层主控模块ws-x4515；配置3块6端口1000m光纤互联模块，提供楼层交换机的接入；配置24口10/100m以太网口用于机房内服务器等设备接入及同防火墙设备互联。3.4.2 接入层交换设备：楼层交换机要求有足够的端口密度，提供足够数量的交换机端口供楼层内信息点的接入。当一台交换机设备无法满足端口数量时，将来也可采用多台设备通过堆叠模式进行扩展。在这里我们选用cisco catalyst2960（24端口）或者(48端口)。每台提供独立的、固定配置的、可管理的24口或48口10/100m以太网端口交换机，作为桌面用户的连接。考虑到数据中心内服务器数据转发的高速性和高性能要求，我们选用cisco catalyst3560（24端口）作为数据中心交换机，作为服务器的连接。详细配置情况请参照下表：表二、上海w1酒店楼层交换设备分布：设备数量信息点数中心机房cisco catalyst356048110地下一层cisco catalyst296048120+15+10=45一层cisco catalyst296024110六层cisco catalyst29602415七层cisco catalyst29602415八层cisco catalyst29602414九层cisco catalyst29602414十层cisco catalyst29602414十一层cisco catalyst29602414十二层cisco catalyst29602414十三层cisco catalyst29602414十四层cisco catalyst29602414十五层cisco catalyst29602414十六层cisco catalyst29602414十七层cisco catalyst29602414十八层cisco catalyst29602414十九层cisco catalyst29602414小计cisco catalyst3560241123cisco catalyst2960481cisco catalyst296024153.4.3 防火墙设备：另外，由于用户要求通过电信光纤资源访问internet，为增强内部局域网的安全性，并提供对公网ip地址的nat或pat地址转换 ，可在核心交换机和internet网络之间配置一台netscreen204系列防火墙，由其提供地址转换（nat或pat）服务。netscreen204上具有4个10/100m以太口，分别接入内外网和dmz区（配置三个10/100m以太口的考虑是为以后通过光纤或其他高速链路上internet时，可使用第三个10/100m以太口作为dmz区，放置专用服务器设备），netscreen204防火墙对访问用户提供访问控制功能，以防止黑客入侵。netscreen204防火墙具有vpn功能模块，可支持异地远程vpn拨号接入。3.4.4 网管系统：随着信息化的不断深入，网络在各行业、企事业单位的日常工作中发挥着越来越重要的作用。网络也变得越来越复杂，网络的通信质量、网络的故障恢复能力、网络的兼容、扩充能力等问题日益突出，在这些问题的处理中，网管软件承担着越来越突出的作用。bt_nm通用网管平台支持windows系列操作系统平台的兼容能力，自动发现拓扑，通过通用化的图形界面、设备面板管理界面、灵活而及时的告警机制、全网策略性的权限管理等特色功能为各行业和企事业单位提供了实用的网管解决方案，确保了网络运行的安全高效，有效的保护了单位在网络建设方面的投资。第4章 网络vlan和ip设计4.1 vlan：4.1.1 vlan技术简介：一个vlan就是一个交换网，其逻辑上按功能、项目、应用来分而不必考虑用户的物理位置。任何交换口都可以属于某一vlan, ip包、广播包及组播包均可以发送或广播给在此vlan内的最终用户。每一个vlan均可看成是一个逻辑网络，发往另一vlan的数据包必须由路由器或网桥转发（如下图）。由于vlan被看成是一个逻辑网络，其具有自己的网桥管理信息库 (mib) 并可支持自己的生成树cisco交换机可通过vlan技术将一个物理广播网络划分为多个虚拟局域网络（vlan）。vlan即虚拟局域网，vlan的划分有三种方式：基于端口（port）、基于mac地址和基于ip地址。通过划分vlan，可以把数据交换限制在各个虚拟网的范围内，从而减少整个网络范围内广播包的传输，提高了网络的传输效率；同时各虚拟网之间不能直接进行通讯，而必须通过路由器转发，起到了隔离端口的作用，避免数据被窃听。为高级安全控制提供了可能，增强了网络的安全性。4.1.2 vlan规划：我们建议根据网络实际组织结构将整个网络划分为多个vlan。中心机房、接待区、休闲办公区、办公区、客房管理区、财务部、人事部、总经理室等各个业务部门。4.2 ip地址规划：4.2.1 ip地址分配原则：对于本次这样一个基于tcp/ip协议的网络系统，在分配ip地址时，必须充分考虑网络运行和管理、路由算法效率、路由变化收敛速度及ip地址分配简单性和可扩充性。简言之，ip地址分配应具备：l 唯一性：一个ip网络中不能有两个主机采用相同的ip地址；l 简单性：地址分配应简单，易于管理，降低网络扩展的复杂性；l 连续性：连续地址在层次结构网络中易于进行路径叠合，缩减路由表，提高路由算法效率；l 可扩展性：地址分配在每一层次上都要留有余量，在网络规模扩展是能保证地址叠合所需的连续性。并在不同的业务部门间留有一定预留地址端，防止将来部门扩展时需修改酒店内原有计算机ip地址。l 灵活性：地址分配应具有灵活性，以满足多种路由策略的优化，充分利用地址空间。l 规范性：上海w1酒店网为企业内部局域网络，理论上不会同其他网络ip地址冲突。但若将来需要接入其他的相关企事业单位组网互联（如政务网），成为其下级网络，则需服从上级网络的ip地址规划。4.2.2 ip地址规划：我们建议采用172.16.0.0/16中255个c类私网ip地址作为上海w1酒店数据网络内部ip地址。4.3 vlan划分和ip地址规划表：表三、上海w1酒店vlan及ip地址规划：vlan用途ip地址分配网关预留172.16.0.0/24vlan1管理vlan,用于设备管理172.16.1.0/24预留172.16.2.0/24172.16.9.0/24vlan10中心机房（服务器）172.16.10.0/24172.16.10.1/24vlan20主管办公室172.16.20.0/24172.16.20.1/24vlan21主管办公室172.16.21.0/24172.16.21.1/24vlan22办公区（地下一层）172.16.22.0/24172.16.22.1/24vlan23休闲办公区f6172.16.23.0/24172.16.23.1/24vlan24休闲办公区f7172.16.24.0/24172.16.24.1/24预留172.16.25.0/24172.16.39.0/24vlan40接待区f8172.16.40.0/24172.16.40.1/24vlan41接待区f9172.16.41.0/24172.16.41.1/24vlan42接待区f10172.16.42.0/24172.16.42.1/24vlan43接待区f11172.16.43.0/24172.16.43.1/24vlan44接待区f12172.16.44.0/24172.16.44.1/24vlan45接待区f13172.16.45.0/24172.16.45.1/24vlan46接待区f14172.16.46.0/24172.16.46.1/24vlan47接待区f15172.16.47.0/24172.16.47.1/24vlan48接待区f16172.16.48.0/24172.16.48.1/24vlan49接待区f17172.16.49.0/24172.16.49.1/24vlan50接待区f18172.16.50.0/24172.16.50.1/24vlan51接待区f19172.16.51.0/24172.16.51.1/24预留172.16.52.0/24172.16.253.0/24vlan100出口vlan172.16.254.0/24172.16.254.1/24（注：项目实施时将根据用户实际业务部门划分实际情况做调整）第5章 网络的安全设计由于上海w1酒店接入internet，所以办公网内的网络安全必须进行一定考虑。考虑分为两方面：网络的边界安全防护；主机的病毒防护。网络的安全防护将通过在internet出口处设置防火墙设备来达到，而病毒防护将通过主机上安装防病毒软件来完成。5.1 防火墙的安全设计当一个网络接上internet之后，系统的安全除了考虑计算机病毒、系统的健壮性之外，更主要的是防止非法用户的入侵。而目前防止的措施主要是靠防火墙的技术完成。防火墙(firewall)是指一个由软件或和硬件设备组合而成，处于企业或网络群体计算机与外界通道(internet)之间，限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。防火墙控制允许或拒绝访问是基于地址的信息（源ip 地址、目标ip 地址、源tcp、 udp 端口、目标tcp 、udp 端口），用一个过滤器检查源地址和目标地址及端口号。同时，通过防火墙进行nat地址转换，能够极大地缓解目前ipv4地址匮乏的弊