大型企业网络设计方案书

大型企业网络设计方案书前言3设计思想3需求分析4现有网络分析4当前需求4流量分析4项目目标及设计原则4设计目标：4网络设计6网络拓扑图6IP地址设计7设计原则：7设计方案：7安全体系设计7物理安全7网络传输安全8访问控制8入侵检测8漏洞扫描9病毒防护9数据备份9安全审计10管理体系设计10对用户身份确认10计费方式的多样化10可扩展性体系设计10设备定型11选型的原则11核心交换机定型11会聚层交换机定型12接入层交换机定型13服务器设备定型14网络线路定型15前言随着时代的发展，全球正在进入一个崭新的知识经济时代，无穷无尽的知识和信息通过网络传输，以空前未有的深度和广度，影响和改变着每一个企业。能否及时获取 信息、反馈信息及发布信息，将直接影响到一个企业能否健康地发展，同时这一形式也对企业内部各部门之间、领导与职工之间的协调与配合提出了新的更高的要 求，传统的工作方式已不能适应当前市场的要求，建立现代管理机制适应市场经济的发展,是摆在现代企业面前的一个课题。未来市场经济的竞争必将是人才、科技 和信息的竞争。对信息资源的占有和充分应用，以及利用现代科技手段建立迅速反馈的机制，高效率、高质量的上传下达指示、命令，是现代企业的必备条件。综合 布线系统小区建设快速、高效、现代化的信息系统正是在此背景下提出的。从各方面分析，采用计算机网络和数据库对信息系统和日常工作进行管理有着充 分的可行性。首先，由于综合布线系统小区内部的计算机普及，对计算机管理信息系统的实际应用打下了良好的基础；其次，目前计算机软硬件技术和网络技术的长 足发展对开发和使用管理信息系统提供了充分的技术保障。设计思想工程采用比较先进的自顶向下的开发思想，自顶向下开发思想是一种非常适合大中型网络设计的开发思想。自顶向下开发方式有完整的开发规范，条理清晰，可读性好，有严密的推导过程。具体说：设计过程中采用技术，选用设备的原因都是有据可查，有据可依，完整的体现在文档当中的。网络设计首先从需求的收集开始，然后是需求分析，流量分析；根据需求写出网络逻辑层设计包括：拓扑图，IP编址体系设计，网络协议体系设计，安全体系设计，网络管理体系设计，可扩展性设计；根据上面的逻辑设计综合折中考虑，对设备进行选型。采用这种方式可很好的保证考虑的全面性和选型的精确性。需求分析现有网络分析前期网络采用单核心的两层网络结构，网络简单，设备性能不高存在问题：1.网络结构落后于应用需求。2.核心层交换机处理能力不足。3.接入层交换机安全性能不高。4.用户增加网络规模太小。5.网络可管理性差。6.可利用设施：部分交换机，电脑终端，服务器设备等。当前需求1 提供更多的入网借口。2 提供全面的安全保护措施。3 进行合理的内部网络划分，和VLAN划分。4 设计合理的访问控制。5 合理带宽的Internet接入。6 提供方便的远程接入。7 有很好的可扩展性。流量分析主要应用：1.一般用户的接入网络流量。2.对外服务器的对外流量。3.内部用户访问内部服务器的流量。4.各部门之间的流量。项目目标及设计原则设计目标：1、建立覆盖公司的各数据信息点的高速以太网；2、实现公司管理的网络化和现代化，提高公司职工的工作效率；3、实现居民生活的信息化，满足居民对信息的需求及相关服务；4、开展电视会议、远程办公等多种延伸性应用；5、接入互联网，可以在Internet上开拓眼界和接触更多的信息，真正做到天涯若比邻，使企业与国际、国内的最新动态保持同步，从而随时发现新的科研动态、业务信息、最新技术、最新资料以及潜在的其它信息；6、建立WEB网站，加强公司的对外宣传，在国际、国内树立良好的形象。因此，我们可以认为，网络化系统公司的以太网建设对社区的长远发展，以及对整个管理方式和工作方式的改变影响都有着深远的意义和影响。设计原则：先进性计算机网络技术发展很快，不断有新技术、新产品涌现，我们要采用先进的、成熟的计算机技术和网络通讯技术来满足业务的需求，保障系统有较长的生命周期，但同时要坚持采用标准化产品。可靠性系统能长时间稳定可靠地运行，并保证系统安全，防止非法用户的非法访问。系统不能出现故障，或者说即使有设备出现故障，对网络和网上的数据不构成大的威胁，要有设备对数据作备份。灵活性需求会变化，计算机网络技术也在进步，需求和解决方案之间是一个动态的匹配过程，因此，一方面要构筑一个稳固（Strong）的技术平台，另一方面也要有在 这平台上作调整、升级和扩充的灵活性。系统应具有良好的可扩展性，易于升级，支持新业务发展需求，使原有投资得到保护，因此在目前选择方案和产品时要留出余地，选用的产品要有好的升级扩充能力。网络开放性网络开放性的好坏，实际是指构造网络所选用的网络硬件、软件产品的开放性如何，网络产品是否可与其他厂商产品联网。包括是否具有支持多种网络协议的能力，是否支持通用的国际标准，或普遍使用的工业标准等等。开放性好的网络不但可以在一个网络系统上使用其他厂家的网络产品而实现“无缝联接”，而且为进一步的网络应用环境的集成、实现网络的可互操作性提供了技术基础条件。网络的开放性好，也为 网络的扩充、发展以及新的应用领域开阔了天地。否则，不仅网络的应用和发展受到限制，而且会导致投资浪费。网络可互操作性网络系统的可互操作性是指在一个网络上的不同厂商的系统之间是否可以透明地以统一界面相互访问对方的系统、文件数据以及应用系统，以达到共享资源的目的。显然，对于网络 可互操作性的要求是必需的，因为没有一个较具规模的网络不是异物化的。特别是各党政内部网络(Intranet)、中国电信网络(ChinaNet)与世 界范围的超级网络(Internet等)联接，不具备可互操作性是不能发挥网络作用的。另一方面，可互操作性还体现在对网络管理的可互操作性上。包括网络运行监测、网络应用管理、网络设备管理、网络安全管理以及网络维护管理等，这些管理不仅在本地网络上可以操作，而且能够在远程网络间进行互操作。网络的兼容性当一个已有的网络在采用新技术或新的网络设备进行改进、扩充和升级时，这些新的网络设施(软、硬件)是否能与原有的或其他的网络设施兼容是非常重要的。兼容性好可以保护原有的投资，可使新投资与原有的投资同时发挥效益。网络的可用性 建成后网络的可用性高低是网络用户最为关心的，它也是对网络质量和网络性能的综合衡量。可用性是网络本身很多物理特性的总体体现，如网络的带宽、网络带宽效 率、网络时延、网络负载、网络故障频率等状况。同时也是网络系统环境、网络应用环境和网络应用的支持能力、水平和质量的总体反映。网络的扩展缩性网络的可伸缩性不只是一种网络设施在构造网络时，在规模上可依据需要扩大或减小，而且还应体现在网络的模块化和结构化方面。网络体系结构的模块化、结构化是现代化网络技术产品的标志和趋势，为今后党政网络体系的构成注入新的活力。网络管理的任意性和网络配置的简便性等是网络可伸缩性的另一重要方面。网络的经济性一个好的网络并不是高价网络设备的简单堆积，并不是网络设备越好，网络就越好。衡量一个网络的好坏和它的经济性，不能单看所用的投资的多少，而应以网络所具 有的功能和网络可承担的负荷，如网上的用户数、数据流量等参数去综合衡量。以“少花钱，多办事”的原则，获得更大的经济效益和社会效益。网络设计网络拓扑图IP地址设计设计原则：简单性；地址的分配应该简单，避免在小区内采用复杂的掩码方式。连续性；为同一个楼内区域分配连续的网络地址，便于管理，易于维护。可扩充性；为整个小区或楼内区域分配的网络地址应该具有一定的容量，便于主机数量增加时仍然能够保持地址的连续性。灵活性；地址分配不应该基于某个网络路由策略的优化方案，应该便于多数路由策略在该地址分配方案上实现优化。可管理性；地址的分配应该有层次，某个局部的变动不要影响上层、全局。安全性；小区内应按工作内容划分成不同网段即子网以便进行管理。设计方案：1 公司对外只有一个公网IP，所以采用内网采用内网地址192.168.2.0到192.168.254.0。边界路由进行NAT转换。2 全网根据个部门的分工，及职能进行子网的划分。以及VLAN的划分。3 同一建筑物进行连续的网络地址划分。4 进行层次化的划分方式。5 考虑全局的路由策略。6 考虑网络的可扩展性。无类别域间路由和路由汇聚无类别域间路由（CIDR） CIDR是开发用于帮助减缓IP地址和路由表增大问题的一项技术。CIDR（Classless Inter-Domain Routing，无类域间路由）的基本思想是取消IP地址的分类结构，将多个地址块聚合在一起生成一个更大的网络，以包含更多的主机。CIDR支持路由聚合，能够将路由表中的许多路由条目合并为成更少的数目，因此可以限制路由器中路由表的增大，减少路由通告。同时，CIDR有助于IPv4地址的充分利用。 CIDR叫做无类域间路由,ISP常用这样的方法给客户分配地址,ISP提供给客户1个块(block size),类似这样:172.16.10.32/28,这排数字告诉你你的子网掩码是多少,/28代表多少位为1,最大/32.但是你必须知道的1点是:不管是A类还是B类还是其他类地址,最大可用的只能为30/,即保留2位给主机位。安全体系设计物理安全网络的物理安全是整个网络系统安全的前提。在校园网工程建设中，由于网络系统属于弱电工程，耐压值很低。因此，在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及报警系统、安全意识等，因此要尽量避免网络的物理安全风险。网络传输安全l 网络传输数据保护；由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采取加密或隧道的方式进行传输l 网络隔离保护；与INTERNET进行隔离，控制内网与INTERNET的相互访问l 集中统一管理，提高网络安全性；l 降低成本（设备成本和维护成本）；访问控制l 控制外部合法用户对内部网络的网络访问；l 控制外部合法用户对服务器的访问；l 禁止外部非法用户对内部网络的访问；l 控制内部用户对外部网络的网络；l 阻止外部用户对内部的网络攻击；l 防止内部主机的IP欺骗；l 对外隐藏内部IP地址和网络拓扑结构；l 网络监控；l 网络日志审计；入侵检测网络安全不可能完全依靠单一产品来实现，网络安全是个整体的，必须配相应的安全产品。作为必要的补充，入侵检测系统（IDS）可与安全VPN系统形成互补。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应（阻断、报警、发送E-mail）。从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器（网络引擎）。控制台用作制定及管理所有探测器（网络引擎）。探测器（网络引擎）用作监听进出网络的访问行为，根据控制台的指令执行相应行为。由于探测器采取的是监听而不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。漏洞扫描作为一个完善的通用安全系统，应当包含完善的安全措施，定期的安全评估及安全分析同样相当重要。由于网络安全系统在建立后并不是长期保持很高的安全性，而是随着时间的推移和技术的发展而不断下降的，同时，在使用过程中会出现新的安全问题，因此，作为安全系统建设的补充，采取相应的措施也是必然。本方案中，采用漏洞扫描设备对网络系统进行定期扫描，对存在的系统漏洞、网络漏洞、应用程序漏洞、操作系统漏洞等进行探测、扫描，发现相应的漏洞并告警，自动提出解决措施，或参考意见，提醒网络安全管理员作好相应调整。病毒防护因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，相应地企业在构建网络防病毒系统时，应利用全方位的企业防毒产品，实施“层层设防、集中控制、以防为主、防杀结合”的策略。具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。本方案中在选择杀毒软件时应当注意几个方面的要求：具有卓越的病毒防治技术、程序内核安全可靠、对付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可管理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的60%瘫痪是由于感染病毒引起的。数据备份作为国家机关，企业内部存在大量的数据，而这里面又有许多重要的、机密的信息。而整个数据的安全保护就显得特别重要，对数据进行定期备份是必不可少的安全措施。在采取数据备份时应该注意以下几点：l 存储介质安全在选择存储介质上应选择保存时间长，对环境要求低的存储产品，并采取多种存储介质备份。如同时采用硬盘、光盘备份的方式。l 数据安全即数据在备份前是真实数据，没有经过篡改或含有病毒。l 备份过程安全确保数据在备份时是没有受到外界任何干扰，包括因异常断电而使数据备份中断的或其它情况。l 备份数据的保管安全审计作为一个良好的安全系统，安全审计必不可少。由于企业是一个非常庞大的网络系统，因而对整个网络（或重要网络部分）运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。管理体系设计对用户身份确认随着进入一个个新的增长阶段，需要访问相关信息和应用的用户不断增加。现在，您所面对的问题是：如何在不影响数据完整性的同时让这些用户能够访问这些信息或应用，或者对自己加以完善以符合规则要求。解决方案的出路在于对身份进行管理并控制对资源的访问。合理的身份管理解决方案能帮助您安全管理越来越多的接触到您IT系统的用户，以随需应变的方式对业务环境的变化做出灵活的反应。计费方式的多样化一种是有不少用户并不会经常在线，“包月制”就造成了浪费；另一种是一些用户认为既然已交了包月费，“不用白不用”，就常泡在网上，导致“宽带不宽”现象。因而，目前有人对包月制计费模式提出了质疑，认为这种收费模式迟早会退出宽带市场。对于用户来说，合算与否要看自己的情况。中国的用户还不习惯来准确根据自己的业务使用特点来经常改变计费模式，这其实也是宽带运营商的一个任务，帮助用户选择自己的“最佳方案”，这必将是未来运营商争取用户的一个手段和服务。可扩展性体系设计接入能力扩展接入能力是指交换机接入用户数的能力。这种扩展要求通常出现在网络边缘，由于用户数目的增加，现有交换机端口数目不够，需要进行端口数目的扩展。根据用户入网意愿的调查资料，工程提供85%的数据点接入能力，保证有平滑扩展到95%的数据点接入能力。在此处涉及到IP地址的可扩展性，同样提供85%的数据点接入能力，保证有平滑扩展到95%的数据点接入能力。处理能力扩展处理能力是指交换机的数据转发能力，一般是指三层转发能力。这种要求通常出现在网络的汇聚层或核心层。随着用户需求的发展，数据流较大时，或对数据流有较多的QOS或安全策略时，交换机的转发能力不足就会影响业务。处理能力设计到核心交换机的扩展，核心交换机应该具备95%以上用户同时接入的处理能力。带宽扩展带宽扩展通常出现在不同的网络层次间，如接入层和汇聚层，汇聚层和核心层。由于桌面接入的主流都已经是100M，而100M交换机的上联端口通常为 1000M，在满负荷情况下，也才能满足10个端口的线速上联，而现在交换机动辄24口，48口，因此在一定的情况下，需要进行上联带宽的扩展。服务器的扩展服务器的可扩展性是指服务器的硬件配置可以根据需要灵活配置，如内存、适配器、硬盘、处理器等，因为服务器的硬件配置可能是根据不同时期的网络配置而改变。服务器通常因为要连接多个板卡，所以网卡需要具有较多的PCI、PCI-X插槽；因为需要高容量磁盘来存储服务器数据，所以需要有较多的驱动器支架。设备定型选型的原则考虑到设备的兼容性，整体性，售后服务等因素，决定在网络主干（核心交换机，会聚层交换机，接入层交换机）使用同一品牌的产品。非技术性原因投资商对成本的控制。特殊用户群体的特殊要求。技术性原因基本性能（一般需求，带宽，背板，接口数）稳定性（经过市场的考验）可管理性（本身的可管理性，和可提供的管理服务）灵活性，可扩展性安全性（本身的安全性，和可提供的安全服务）交换机设备定型核心交换机定型核心交换机选型的要求核心交换机需求，核心网络骨干交换机是宽带网的核心，应满足以下特点。非技术因素：1 在满足要求的基础上，考虑成本因素。2 网络的安全级别，由于是政府部门附属区，级别要求相对较高。技术因素：1 高性能，高速率 二层交换达到线速交换，基于安全考虑应能提供VLAN，划分虚拟网。2 便于升级和扩展采用模块化交换机，能提供高密度端口和大吞吐量扩展卡，以满足将近八千个的信息点网络需求。3 高可靠性能选择需要的冗余设计设备（如电源，风扇等），设备宽展卡支持热插拔，易于更换维护。4 强大的网络控制能力能提供服务质量（QoS）和网络安全，支持RADIUS、TACACS+等认证机制。5 良好的可管理性 支持通用网络管理协议，如SNMP、RMON、RMON2等。选择锐捷的核心层交换机RG-S6810E原因强大数据处理设计（SPOH设计）RG-S6810E的交换、路由、ACL、QOS等复杂功能通过硬件实现，避免了软件实现同样功能对数据高速处理的影响。强大的扩展能力RG-S6810E系列多业务万兆核心路由交换机目前提供1.6T/0.8T背板带宽，在不更换机箱的情况下，未来仅通过更换管理模块可以支持背板带宽扩展到3.2T/1.6T。高安全保障措施 物理安全：RG-S6810E提供冗余管理模块、冗余电源模块、各种模块热拔插等物理安全保障措施。 病毒和攻击防护：支持防源IP地址欺骗（Souce IP Spoofing）、防DOS/DDOS攻击（Synflood，Smurf），防扫描（PingSweep）等能力。提供多端口同步监控技术，支持灵活的网络监控，提升网络监控能力设备管理安全为了避免非管理人员登陆并操纵网络设备，造成网络传输和安全的影响，RG-S6800E提供了SSH加密登陆功能，以及telnet/web登录的源IP限制功能。接入安全硬件支持IP、MAC、端口绑定，提高用户接入控制能力。支持802.1X技术，满足6元素绑定接入限制支持IGMP源端口检查，以及支持IGMP源IP检查功能，有效杜绝非法组播源播放非法信息，防止非法组播服务器的使用。支持领先的万兆以太网技术（IEEE802.3AE、IEEE802.3AK）支持L2 VPN（VPLS）支持ECMP/WCMP（Equal-Cost Multipath Routing/ Weight-Cost Multipath Routing）最长匹配（LPM）三层交换技术支持完善的双核心技术会聚层交换机定型汇聚层交换机选型要求非技术原因：1 在满足要求的基础上，考虑成本因素。2 网络的安全级别，由于是政府部门附属区，级别要求相对较高。技术原因：1 灵活性提供多种固定端口数量，可堆叠，易扩展。2 高性能作为大中型往来二级交换设备，应支持1000Mbit/s告速上连，能链路聚合FEC/GEC，以及设备队叠，此外品牌一致。3 性能满足要求，使用方便，即插即用，配置简单。4 具备一定的网络服务质量和控制能力（802.X）以及端到端的QoS。5 支持VPN标准协议。6 支持多级别网络管理。选择锐捷SS3550-12G原因S3550-12G是线速全千兆智能多层交换机，能提供多种形式接口如 GBIC插槽或SFP插槽或10/100/1000M自适应电口，可提供24个GBIC插槽，GBIC插槽支持千兆铜缆、光纤扩展模块，支持模块热插拔，极大方便用户灵活配置网络。 该系列交换机硬件支持2至4层的多层线速交换，提供二到七层的智能的流分类和和完善的服务质量（QoS）以及组播管理特性，支持完善的高性能路由协议，并可以实施灵活多样的ACL访问控制策略。可通过SNMP、Telnet、Web和Console口等多种方式提供丰富的管理。 SS3550-12G以极高的性价比为各类型网络提供线速多层交换、完善的端到端的服务质量、丰富的安全设置和基于策略的网管，最大化满足高速、安全、智能的企业网新需求。接入层交换机定型接入层选择要求1 性能满足要求，使用方便，即插即用，配置简单。2 价格合适。接入层选RG-S1926G+原因：STAR-S1926G+是一款全线速千兆增强网管型交换机，具有特别丰富而强大的网管功能，可以通过多重设置方式对网络进行网管操作，实现IP设置、Spanning Tree设置、Port VLAN 和Port TRUNK设置、802.1Q Tag VLAN 和L2 TRUNK设置、安全控制设置、监控设置、地址老化时间修改、静态地址管理、广播风暴控制、端口动态MAC地址锁、端口MAC地址绑定、端口IGMP属性设置、802.1p优先级等各种管理。S1926G+可针对用户的不同情况进行端口带宽分配，并采用业界最先进的802.1x安全接入控制策略，简化认证的同时实现高效的用户控制能力，其灵活的带宽分配功能和安全的用户接入控制功能使此款交换机特别适合于宽带社区、高教宿舍网、中小学、企业等多种应用场合。6.3 路由器设备定型RG-R3642是RG-R3600系列模块化中心路由器一员。RG-R3600系列模块化中心路由器是锐捷网络公司开发的面向企业级的网络产品，采用模块化设计，提供了多个网络/语音模块插槽，支持种类丰富、功能齐全、高密度的网络/语音模块，可实现更多的组合应用。64位的微处理器技术，使用RGNOS（锐捷网络操作系统平台），提供了极其丰富的软件特性，支持哑终端接入服务，支持IPv4/IPv6，VoIP特性等，提供丰富的备份方案及QoS特性；硬件采用模块化结构，具有更高的处理能力和更大的接入密度，既可以在中小型企业网中担当核心路由器，也可以在大型网络中担当汇聚层路由器。适合大中型企业、金融体系、各大公司的办事处和中型 Internet 服务供应商的模块化多服务访问平台，可以实现大规模、高密度的专线、拨号、宽带和IP语音接入。服务器设备定型应用服务器:SUN Fire V40z (AMD Opteron 850*4/8GB/73GB*2)选择应用服务器理由硬件方面：4个2400MHZ的AMD Opteron 850 CPU 能出色的解决多用户并发问题。8GB的内存性能优良73G*2的硬盘容量可基本满足用户存放资料以及小区提供在线电影等特殊需求。10/100/1000M网卡可基本满足用户对网络的需求。软件方面：支持的操作系统：Solaris 9 4/04 OS, x86 Platform Edition,Red Hat?Enterprise Linux 3 for AMD Opteron,SUSE Linux Enterprise Server 8 for AMD Opteron,SUSE Linux 9 Professional* 64-bit,Microsoft Windows 2000* (WHQL certified)