石油化工企业宽带小区项目解决方案

1、石油化工企业宽带小区解决方案随着人民生活水平的不断提高，信息化的不断普及，石油化工企业的职工对于信息化的需求也越来越多，大部分石油化工企业选择了自建宽带小区的方式，提高人们的生活质量，丰富广大职工的业余文化生活。目前石油化工企业普遍采用包月收取月租的方式，但由于传统宽带小区网络在安全性以及运营能力上的问题，使得宽带小区投资回收周期很长。主要表现在：无法防止非法用户接入，一个用户可用HUBg者代理的方式接入大量非法用户；不能提供按时长、按带宽、按流量等灵活计费方式满足不同用户的需求，固定费用的包月方式将大量的低上网需求的用户屏蔽在外，减少了企业的应得收入。为解决石油、石化企业宽带小区问题，华为提

2、出了“可管理、可运营、可增值”的宽带网络解决方案。宽带小区网络建设原则：可运营性：小区宽带网络需要向大量用户提供不同类型的服务，网络应提供良好的业务管理能力，支持对宽带用户的接入管理、身份认证、带宽许可、地址管理和服务质量（QOS,并针对不同的业务提供灵活的计费方式，确保网络的可运营特性。可管理性：网络要能够实现统一的网管，接入交换机具备远程维护能力，可实现统一的网络业务调度和管理。开放性与可增值性：组网技术选择必须符合相关国际标准及国内标准，确保网络的开放性和互连互通，同时小区宽带要建设成完整统一、组网灵活、易扩充的弹性网络平台，能够随着需求变化，充分留有扩充余地，能针对不同的用户需求提供丰

3、富的宽带增值业务，使网络可持续赢利。安全可靠性：设计应充分考虑整个网络的稳定性，支持网络节点的备份和线路保护，提供网络安全防范措施。宽带小区网络构建体系：网络的总体构建结构设计为星型分层次结构，采用核心层、汇聚层、接入层的三层网络结构。在核心层采用一台QuidwayS8016做为核心交换机，S8016的核心部件的冗余设计保证网络的可靠性，下行链路采用千兆光纤链路，在各个小区中心则采用MA5200Et为汇聚设备，各个小区内则根据楼栋的数量和各个单元的居民的数量和布线情况采用QuidwayS3026、2026、2403H、2016、2008（以太网）和MA5100ADSL3026VVDSL提供电话

4、线接入方式组网，对于较为老的小区较为适用）实现小区居民的接入。C阳保技bnT耳QWifm品区-为心优一企翌烹帚小区睢心厘M用g4yE即脂投小弹用交接机,IU!?aE隼富陋姓担及HAJ；腕力龙是认证力西必帝更苦独的客束-仃峪清空株就印W幅试也也会，地而选式认词立现陛瞌标，流基帝豪等菁州H药方SC.比琳ADEL.VtJEl1A«,无线3名制接入万丈的认治中心的Internet的出口则根据业务量的大小和实际的广域网线路选择QuidwayNEO豉QuidwayR3680E对于网络的如DHCPDNSmail、视频VOD?服务器群则建议通过千兆的方式和核心交换机进行互联，使得用户在使用网络时能够

5、得到及时的业务响应；对于整个网络设备的管理则在网络中心设置一台网管工作站，安装华为的Quidview网管软件对全网的设备进行统一的管理，而对于网络中用户的认证、授权和计费则可以通过华为的CAMS综合访问管理系统完成对小区用户的认证、授权和计费。方案特点：1 .高可靠性：做为宽带小区的核心，网络核心的可靠性对于整个网络的可用性和对用户的持续使用的重要性是不言而喻的，华为的QuidwayS8016设备本身提供主控引擎的热备份，接口单元则提供接口和单板的热插拔、电源系统采用4+1的备份方式从供电上保证了设备的动力无忧这些都从设备本身提供了可靠性的保证；2 .高性能的交换能力：做为宽带小区网络的核心，

6、为小区内用户提供线速、无阻塞的交换机能力是保障小区用户能够得到良好业务服务的保障，华为的QuidwayS8016采用业界性能最优的网络处理器，提供128G的背板带宽，96Mpps的包转发能力，同时该设备提供基于包的硬件转发特性使得在满配置的情况下，可以实现所有端口无阻塞的线速交换，更加适合宽带小区中流量20/80现象以及流量流向不规则的情况。3 .完善的安全管理机制：提供ACL功能，对用户的访问目的地址进行限制，保护网上重要的资源不被非法攻击。对用户进行二层的隔离和三层受控互访，充分保证网络的安全。防止IP地址盗用。做为核心交换机，QuidwayS8016还提供了专用的NAT板，它最大支持并发

7、会话数128k,NATW的数量可以按NAT容量需求灵活配置；支持基本地址转换、网络地址端口号转换，支持普通TCPUD应用，支持FTRICMPALG应用，支持如OICQRealPlay等流行的网上应用，满足网络访问Internet的安全需求。4 .灵活的计费方式：通过华为交换机和华为CAMS1间的配合，可以根据用户的业务级别实现业务优先级调度，实现业务的QO勃能。可以提供基于时段的流量统计或连接时间统计，提供灵活合理的用户计费方式，用户可在网上自主选择和更改计费方式。MA5200展华为公司针对以太网商用化而设计的IP接入产品，该产品采用先进的网络处理技术和交换式总线技术，具有强大的硬件转发能力和

8、灵活的协议处理能力。同时为适应运营、管理的要求，MA5200Effl强了用户管理、计费等方面的处理，使之既有以太网接入经济、成熟的特色，又有电信级的用户管理和运营能力，适用于宽带小区的网络建设。5 .不同业务的精细管理：对于不同业务的带宽需求不同，MA5200EI以对用户的业务流进行有效的流量识别和控制，同时还可以对每个端口下接入的用户数量进行控制，保证了对业务的有效区分的管理和使用网络者的控制。6 .支持多种用户认证方式：MA5200除了提供802.1X之外，还提供VLANVLAWWE序口PPPo茅种接入方式，可以充分满足固定用户和便携移动用户的需求。下面对VLANVLAWWE序口PPPoE

9、g入方式进行简要的介绍。采用PPPO磋拟拨号的用户接入方式：用户需要在其客户端安装PPPO欧件，使用时从客户端（PC终端）发起PPPit接,PPP1接通过以太网在MA5200EE进行解析后从PPP呼叫中提取相应的用户信息（用户名以及密码），将用户信息传递给华为的CAMS艮务器上对用户进行认证鉴权，并依据用户情况为用户动态分配合法的IP地址，实现INTERNE接入。同时CAMS艮务器对用户实施计费，计费可采用时长、流量等多种计费方式，满足不同资费政策的需求。采用PPPOET式解决以太网接入同样需要安装客户端软件，会造成安装、维护难度增强的问题；同时采用PPPOET式时,在客户端上IP数据会经过P

10、PPOEPPP层协议处理，增加了相应的协议开销，造成有效的通信流量的降低。采用VLANg接用户接入方式：采用这种接入方式时，每个用户分配一个VLAN口，MA5200除据此VLANS力口上用户的IP地址以及MACfe址相捆绑，同时配合用户所需的业务制定的用户策略（用户带宽的需求、分配IP地址数目等）实现对用户实现用户的接入管理、带宽分配以及用户的计费等。这种接入认证方式的特点是最终用户“零客户端”，即用户终端不需进行任何操作，只要安装好网卡，插入网线即可使用；同时采用该接入方式，网络中传输的均为标准的以太网数据帧，避免了采用PPPOET式时的网络传输效率下降等问题。采用VLAWWEBA证的用户接

11、入方式：采用VLAN式减少了客户端的安装、维护的工作量，同时提高了网络的传输效率，采用这种接入方式相对于PPPO接入方式而言，由于减少了用户名以及密码的验证过程，因此比较适合与终端相对固定的用户，如：政府机关、居民用户等，但对于流动性较多、较强的用户，VLANT式就显得捉襟见肘了。针对与这个问题，华为提出了VLANWEB勺认证方式有效地解决了用户帐号的流动问题，VLANWEBA证指的是通过VLAN®入的用户首先通过登录门户网站，输入用户名和密码进行身份认证后，从而获得用户访问权限的过程。当用户采用VLAN式开机时，先通过DHCPt程来获得IP地址，得到IP地址后，MA5200E巴用户

12、的权限设为未认证用户，此时用户只能访问免费站点和门户网站。当用户想访问外部站点时，必须先访问门户网站，进行登录。用户在登录过程中，输入用户名和密码，用户信息被发送到CAM纵证服务器进行认证，认证通过后，MA5200E艮据认证结果提供用户使用的权限，通知用户并开始计费。当用户结束访问时，需要在门户网站上点击注销按钮，发送注销消息。MA5200E艮据注销消息改变用户权限，并停止计费。采用VLAWWEB）接入方式相对单纯的VLAN®入方式其主要特点：一个用户端口内，不同用户拥有不同的权限：采用VLAN+WEB）认证方式时，一个用户端口内（一个用户家中），不同的用户可以拥有不同的访问权限，例

13、如：家中父母的访问权限较高，而子女的访问权限较低，避免了各类不良站点对用户侵蚀。用户的帐号可以流动，提高了服务的满意度：用户的帐号可以在同一个WEES艮务器的管辖范围内中的任意端口进行上网，大大方便了用户的使用。对于上述两套方案来说，同样都面临这网络的管理的问题，从整个网络的管理上来说，整个小区的管理面临着下述的问题：?设备覆盖范围扩大:宽带小区的建设使得部分设备不能放在机房，而是放在的小区中的居民楼中，使得网络的维护范围从原来的机房扩大为网络覆盖的所有小区；?设备数量多，而且分布的点多、面广，使得设备维护量急剧增加；为了解决上述管理问题，在整个网络的管理上，华为提供了华为集群管理协议HGM(

14、PHuaweiGroupManagementProtocol)对整个网络进行统一的管理，即通过一个公有的IP地址就可以实现对汇聚层、接入层交换机进行集群管理，有效的节省IP地址资源。通过华为的QuidviewLANManager中提供的QuidviewStackmanager、HGMPManag前以实现对网络的配置、管理、维护，即在中心就可以完成对各层次设备的包括端口、协议等的配置，通过网管对端口进行开放或关闭，通过网管提供的交换机端口的环回测试对交换机进行远程的维护，做到了网管员不出门便可完成对网络的管理、维护。同时华为提供的网管Quidview、安全管理及计费系统CAMSfB提供中文化的管

15、理界面和手册，便于网管员进行学习和操作。管理功能是可运营IP网络的重要组成部分。能否支持完善、有效可靠的用户管理，将是这个网络能否有效运营的关键。华为MA5200E：持完善的管理功能，除了提供传统的网络设备的管理之外，还提供包括安全管理以及用户业务管理。实例2在一个规模较大的企业中，其下属有多个二级单位，在各单位的孤立网络进行互连时，出于对不同职能部门的管理、安全和整体网络的稳定运行，我们进行了VLAN勺划分。第一步子网分析该网络系统由三部分组成：公司、二级单位1、二级单位2，初始为三部分各自独立，未形成统一的网络环境，故各网络系统的运行采用的是以交换技术为主的方式。三网主干均采用的是千兆以太

16、网技术，起点的高定位为企业的信息应用带来了高速、稳定、符合国际标准的网络平台。公司中心交换机采用的是Cisco的Catalyst6506，带有三层路由的引擎使得企业网具有将来升级的能力；同时各二级单位的中心交换机采用的亦是Cisco的Catalyst4006；各二级、三级交换机则采用的是Cisco的Catalyst3500系列，主要因为Catalyst3500系列交换机的高性能和可堆叠能力。现三部分应公司的要求联网，网络的互连仍采用千兆带宽，但因三网均采用了千兆以太网技术，为了不在主干形成瓶颈，因此各子网的互连采用Trunk技术，即双千兆技术，使网络带宽达到4G如此既增加了带宽，又提供了链路的

17、冗余，提高了整体网络的高速、稳定、安全运行性能。但亦由于网络规模的扩大化，信息流量的加大，人员的复杂化等原因，为企业网络的安全性、稳定性、高效率运行带来了新的隐患。由此引发了VLANI勺划分。对于VLANI勺划分，应公司的需求，我们对各VLAN的IP地址分配为：经理办子网：192.168.1.0192.168.2.0/22网关：192.168.1.1；财务子网：192.168.3.0192.168.5.0/22网关：192.168.3.1；供销子网：192.168.6.0192.168.8.0/22网关：192.168.6.1；信息中心子网：192.168.7.0/24网关：192.168.7

18、.1；其余子网：192.168.8.0服务器子网：192.168.100.0/24网关：192.168.100.1192.168.9.0/22网关：192.168.8.1；第二步系统分析对于Cisco的产品划分，VLAN主要是基于两种标准协议：ISL和802.1Q。在我们这里，因为所采用的均是Cisco的网络设备，故在进行VLAN间的互连时采用ISL的协议封装，该协议针对Cisco网络设备的硬件平台在信息流的处理、多媒体应用的优化进行了合理有效的优化。对于不同产品的VLANE连，我们在后面会提到。服务器瘠母信忠中Q厂服将密小C35+BCM *18信息I中七A良IL_千兆甲模 百兆TKMOCKj

19、：近拮E中心千兆#候鲤理办供销回身注理力一供箔经骂叁一供精眼能供第一机战54比二歌甲1立I二级C4O06网络拓扑图由于本案例中关于VLAN的划分扩展了各个交换机，所以交换机之间的连接都必须采用Trunk的方式。经理办和供销子网代表了VLAN1分中的两种问题扩展交换机VLAN的划分和端口VLAN的戈IJ分：在经理办虚网中，对于一个交换机扩展多个VLAN的时候，前面提到了该交换机与其上层交换机间必须采用Trunk方式连接，但在供销的虚网划分中，在二级单位1中的供销独立于一个LAN交换机Catalyst3548，所以在这里，Catalyst3548与二级中心交换机Catalyst4006只需采用正常

20、的交换式连接即可，对于此部分供销VLAN的戈ij分，只要在Catalyst4006上针对与Catalyst3548连接的端口进行划分即可。也就是前面提到的基于端口的VLAN的划分。第三步路由列表做完了VLAN间的连接后，因为两个Catalyst4006与主中心交换机Catalyst6506间采用的是双光纤通道式连接，屏蔽了Catalyst406与Catalyst6506间的线路故障的产生，所以要对整体网络的路由进行基于Catalyst6506的集中式管理。我们在主中心交换机Catalyst6506上设置了VLAN§由：经理办虚网：192.168.1.1/22；财务虚网：192.168

21、.3.1/22供销虚网：192.168.6.1/22；信息中心虚网：192.168.7.1/24；其余虚网：192.168.8.1/22；接下来，在中心交换机上设置路由协议RIP或OSPF并指定网段192.168.0.0。在全局配置模式下执行如下命令：routerripnetwork192.168.0.0注意事项1 .在这里需要注意的是：因为整个公司的网络系统的VLAN的划分是作为一个整体结构来设计的，所以为了保持VLANJ表的一致性，例如当二级单位1的VLANW所变化时，VLANRJ表也会有所变化，这时就需要该Catalyst4006对整体网络的其他部分进行广播，以达到VLAN的列表的一致性。所以在设置VTP(VLANTrunkProtocol)时要注意，要将VTP的域作为一个整体，即：VTP类型分别为Server和Client2 .有些企业建网较早，所选用的网络设备为其他的厂商的产品，而后期的产品又不能与前期统一，这样在VLAN的划分中就会遇到些问题。例如：在Cisco产品与3Com品的混合