内网网络建设项目设计方案

千里之行，始于足下。第2页/共2页精品文档推荐内网网络建设项目设计方案内网网络建设项目设计方案

第一章用户需求分析

1.1网络建设目标

依照**************的使用性质，其计算机网络系统的设计与建设应当符合当前及今后一段时刻的治理及运行要求。依照当前治理与应用的需求，挑选性能价格比较高的设备。将**************计算机网络系统建设成有用、经济、先进、开放、高效、安全、节能与治理融为一体的现代化办公系统。

1.2计算机网络系统设计要求

本工程计算机网络系统采纳内部局域网（以下简称内网）和外部局域网（以下简称外网）物理隔离方式。要求采纳二级星型拓扑结构，在办公楼5层操纵机房内设置万兆位核心层网络交换机，在各个单位的网络机柜设置10/100/1000M接入层交换机，构成千兆到各单位，百兆到用户端点。中心机房设置光纤点，光纤采纳千兆直截了当到中心机房。独立采纳1台高性能路由交换机作为中心机房交换机。12台接入层交换机分不连接到各个单位的网络机柜。要求各个区域的网络即能够单独构成独立的网络，也能够实现与核心交换机形成统一的网络，共同接入互联网。接入层内外网需分开配置。

本工程计算机网络系统采纳内部局域网将更换生产部、氨加工分厂库房、动力分厂办公楼、新区总控、合成氨分厂、供应部库房、设按公司、仪表、供应销售处的多模光缆更换成单模光缆。把往常的生产部的二级机房取消，所有光缆由中心机房直截了当敷设至接入层交换机。

无线扩容：未来也能够在各层走廊设无线AP。网络可提供大楼内无线局域网功能及IP电话功能。IP电话用户可依照需要经过网络信息点灵便配置，网络交换机自带在线电源。

本次设计用现有的防火墙及上网行为治理，别思考系统应从防火墙、入侵检测、漏洞扫描、VPN、AAA、CA、安全审计、安全恢复和备份、防病毒、物理隔离等多个角度综合全面思考本工程的网络安全设计。

第二章网络整体设计概述

2.1总体网络设计原则

计算机网络系统设计必须习惯当前智能办公系统的各项应用，又可面向将来信息化进展的需要，所以必须是高质量的。在设计网络时，需要遵循以下原则：

（一）有用性和先进性

采纳先进成熟的技术满脚综合智能化办公业务需求，兼顾其他相关的治理需求，尽量采纳先进的网络技术以习惯更高的数据、语音、视频（多媒体）的传输需要，使整个系统在相当一段阶段内保持技术的先进性，以习惯将来信息化的进展的需要。

（二）安全可靠性

为保证各项业务应用，网络必须具有高可靠性，尽可能幸免系统的单点故障。要对网络结构、网络设备、服务器设备等各个方面举行高可靠性的设计和建设。在采纳硬件备份、冗余等可靠性技术的基础上，采纳相关的软件技术提供较强的治理机制、操纵手段和事故监控与网络安全保密等技术措施提高整个网络系统的安全可靠性。

（三）灵便性和可扩展性

计算机网络系统是一具别断进展的系统，因此它必须具有良好的灵便性和可扩展性，可以依照合胖新化化胖厂别断深入进展的需要，方便的扩展网络覆盖范围、扩大网络容量和提高网络的各层次节点的功能。具备支持多种通信媒体、多种物理接口的能力，提供技术升级、设备更新的灵便性。（四）开放性和互连性

具备与多种协议计算机通信网络互连互通的特性，确保本计算机网络系统的基础设施的作用能够充分的发挥。在结构上真正实现开放，基于开放式标准，包括各种局域网、广域网、计算机等，坚持统一规范的原则，从而为将来的进展奠定基础。

（五）经济性和投资爱护

应以较高的性能价格比构建本计算机网络系统，使资金的产出投入比达到最大值。能以较低的成本、较少的人员投入来维持系统运转，提供高效能与高效益。

（六）可治理性

由于系统本身具有一定复杂性，随着业务的别断进展，网络治理的任务必然会日益繁重。因此在网络设计中，必须建立一套全面的网络治理解决方案。网络设备必须采纳智能化，可治理的设备，并且采纳先进的网络治理软件，实现先进的分布式治理。最后可以实现监控、监测整个网络的运行事情，合理分配网络资源、动态配置网络负载、能够迅速确定网络故障等。经过先进的治理策略、治理工具提高网络的运行性能、可靠性，简化网络的维护工作，从而为办公、治理提供最有力的保障。

2.2总体组网方案概述

依照**************计算机网络系统的具体需求，通过合理规划，总体网络设计分为内部办公局域网。网络互联出口分为Internet接入和新化化胖厂专网接入。网络建设目标实现内部局域网和Internet互联互通，方便快捷的信息交换，并且健全安全保障体系，确保网络与信息的安全。（一）内部局域网：

内网网络拓扑图如下：

层次设计：

内部局域网采纳标准的三层结构设计。核心层采纳高端多业务路由交换机，经过双万兆链路连接各汇聚层交换机；汇聚层采纳全千兆三层交换机，经过双千兆链路连接各接入层交换机；接入层采纳三层智能交换机，经过智能弹性堆叠，提供高密度百兆到桌面，双千兆上行。并经过百兆连接增强型无线AP，提供楼层无线宽带接入。

数据中心（内网服务器）：

数据中心（内网服务器）采纳全千兆智能三层交换机作为汇聚，经过双千兆捆绑高速链路连接至内网防火墙DMZ区。为保障内网数据中心的高安全需求，在数据中心汇聚交换机与内网防火墙间部署高性能IPS入侵防备系统。实现内网和专网对数据中心的高效拜访，并且经过防火墙和入侵防备系统的双重爱护，保障数据中心内网服务器的安全。

（二）外部局域网：

外网网络拓扑图如下：

层次设计：

思考新化化胖厂内网和外网物理结构相同，所以外网也采纳标准的三层结构设计。核心层采纳高端多业务路由交换机，经过双万兆链路连接各汇聚层交换机；汇聚层采纳全千兆三层以太网交换机，经过双千兆链路连接各接入层交换机；接入层采纳三层智能交换机，经过智能弹性堆叠，提供高密度百兆到桌面，双千兆上行。并经过百兆连接增强型无线AP，提供楼层无线宽带接入。

Internet连接：

外网Internet出口配置高性能专业防火墙，外网核心交换机经过双千兆链路连接外网防火墙，外网防火墙再经过100/1000M链路连接至运营商提供的Internet接口，实现外网的Internet接入。为了更好的抵御来自Internet的威胁，在外网防火墙与Internet接口间部署IPS入侵防备系统，对所有流经的流量举行深度分析与检测，从而具备了实时阻断各种网络攻击的能力。

第三章内部局域网设计

3.1内网核心层设计

核心层设备位于办公楼五层中心机房。采纳1台H3CS7506R高端多业务路由交换机。经过双万兆捆绑多膜光纤链路连接汇聚层设备，构成高速万兆骨干，保障核心网数据高速全线速交换。

核心交换H3CS7506R采纳机箱式模块化设计，整机共8个槽位，6个业务槽和2个主控槽。可灵便配置百兆、千兆、万兆别同端口密度，别同接口方式的业务接口板，满脚用户多样化的需求。

核心层大容量高性能特性：

H3CS7500系列交换机采纳先进的全分布式体系结构设计，经过主引擎和分布式高速业务接口板上内置的Crossbar交换网芯片实现板内、板间二、三层流量的线速分布式转发，经过分布式高速业务接口板上内置的高性能CPU与位于主控引擎上的CPU协同工作，实现ACL、流分类、QOS、组播等业务的全分布式处理。

H3CS7506R系列交换机提供业界率先的交换能力，高达1.6Tbps的背板容量，768Gbps路由交换引擎提供432Mpps的数据转发能力，最大能够实现288个GE的线速转发或24个10GE，习惯网络业务别断进展的需求，持续爱护用户投资。

核心层可靠性：

H3CS7500系列交换机采纳电信级、自习惯的可靠性设计，支持无源背板，支持双路电源供电，支持引擎、电源、风扇的冗余，支持单板热插拔，并能够支持STP/RSTP/MSTP/VRRP等协议实现链路冗余，并且S7500系列交换机具有专利的RRPP弹性环网爱护技术，能够提供50ms级不的链路故障业务快速恢复手段，这些使得以S7500系列交换机为核心的骨干网络可靠性大大提高，保障了业务的永续性。

核心层网络安全特性：

H3CS7500系列交换机遵从最小服务原则，所有也许遭受到攻击的网络服务在默认事情下均关闭。支持安全的SSH登陆、基于用户安全策略的SNMPV3、MAC+IP+VLAN绑定、802.1X认证等安全策略。支持防网络风暴攻击、防DOS/DDOS攻击、防扫描窥探攻击、防畸形报文攻击、防网络协议报文攻击等安全技术。

丰富的多业务支持：

H3CS7500系列交换机支持强大的组播功能、灵便QinQ、802.1x、内置DHCP-SERVER、NAT、PBR、

POE、EPON等多种业务特性，这些业务特性极大的提高了企业网络业务部署的简便性和灵便性，并且增强了对IP语音、视频、WLAN的支持能力，为企业IT系统实现通信整合提供了便利。基于“ASIC+NP”的体系结构，能够灵便的支持业务功能的别断扩展，经过多功能网络处理器模块，能够进一步支持NAT、PBR等多种高级业务特性。

特群的网络流量分析功能：

H3CS7500系列交换机能够支持NetStream（网流分析）功能，经过NetStream与华为3COMXLOG网络分析器相互配合，可帮助网络治理员轻松的获得详细的网络应用信息，使网络系统变得透明、可见。例如查看Web、文件传输协议(FTP)、Telnet和其它闻名的TCP/IP应用所占通信资源的百分比，以及用户利用网络和应用资源的详细事情，进而用于高效地规划和分配资源，并保障网络的安全运营。

3.2内网汇聚层设计

汇聚层设备位于10层中心机房。采纳3台H3CS7502高端多业务路由交换机，上行经过双万兆捆绑光纤链路连接至核心交换，下行经过双千兆捆绑光纤链路连接各接入层交换机。提供大容量、全线速的数据汇聚转发。

整个综合楼分三个区域汇聚，15层以上的楼层接入交换机集中连接到1台S7502交换机；9至15楼层接入交换机集中连接到1台S7502交换机；9层以下楼层接入交换机集中连接到1台S7502交换机。3台S7502交换机经过双万兆汇聚到核心交换上。

汇聚层强大的L2/L3转发性能：

H3CS7502交换机采纳先进的全分布式体系结构设计，经过分布式高速业务接口板上内置的Crossbar交换网芯片实现板内、板间二、三层流量的线速分布式转发，高达192Gbps的交换容量，提供144Mpps数据转发能力，最大能够实现96个GE或8个10GE的线速转发，保障了汇聚层网络全面升级至万兆平台。

汇聚层电信级可靠性设计：

H3CS7500系列交换机支持无源背板，支持双路电源供电，支持引擎、电源、风扇的冗余，支持单板热插拔，并能够支持STP/RSTP/MSTP/VRRP等协议实现链路冗余。

汇聚层完善的网络安全特性

H3CS7500系列交换机遵从最小服务原则，所有也许遭受到攻击的网络服务在默认事情下均关闭。支持安全的SSH登陆、基于用户安全策略的SNMPV3、MAC+IP+VLAN绑定、802.1X认证等安全策略。支持防网络风暴攻击、防DOS/DDOS攻击、防扫描窥探攻击、防畸形报文攻击、防网络

协议报文攻击等安全技术。

汇聚层丰富的多业务支持

H3CS7500系列交换机支持强大的组播功能、灵便QinQ、802.1x、内置DHCP-SERVER、NAT、PBR、POE、EPON等多种业务特性，这些业务特性极大的提高了网络业务部署的简便性和灵便性，并且增强了对IP语音、视频、WLAN的支持能力，为企业IT系统实现通信整合提供了便利。

3.3内网接入层设计

内网接入层设备分布于各楼层配线间。统一采纳H3CS3600智能弹性三层交换机，每个楼层依照用户信息接入点的数量，灵便配置48端口和24端口盒式交换机，经过智能弹性堆叠，提供高密度端口扩展和统一治理。接入层每个堆叠组经过双千兆捆绑的光纤链路连接到汇聚层交换机。另外每台S3600还提供4个千兆SFP端口，可实现多千兆捆绑增加上行带宽，还能够实现少量千兆到桌面的接入。

H3CS3600系列交换机要紧有以下三个型号：

●S3600-28P：24个10/100Base-T以太网端口，4个1000Base-XSFP千兆以太网端口；

●S3600-28TP：24个10/100Base-T以太网端口，2个1000Base-XSFP千兆以太网端口，2

个10/100/1000Base-T以太网端口；

●S3600-52P：48个10/100Base-T以太网端口，4个1000Base-XSFP千兆以太网端口；

S3600-28P/S3600-28TP交换容量为12.8Gbps，二/三层转发率9.6Mpps。

S3600-52P交换容量为17.6Gbps，二/三层转发率13.2Mpps。

接入层弹性扩展技术—IRF：

H3CS3600系列交换机采纳华为3COM公司创新的IRF（IntelligentResilientFramework）智能弹性技术，与传统组网技术相比，在扩展性、可靠性、整体架构的性能方面具有强大的优势：扩展性—IRF技术允许交换机利用互联电缆实现多台设备的扩展，最大扩展至384个10/100M端口；具有即插即用、单一IP治理，同步升级的优点，并且大大落低系统扩展的成本。

可靠性—经过专利的路由热备份技术，在整个堆叠架构内实现操纵平面和数据平面所有信息的冗余备份和无间断三层转发，极大的增强了堆叠架构的可靠性和性能，并且消除了单点故障，幸免了业务中断。

分布性--经过分布式链路聚合技术，实现多条上行链路的负载分担和互为备份，从而提高整个网络架构的冗余性和链路资源的利用率。

接入层完备的安全策略：

H3CS3600系列交换机支持EAD（端点准入防备）功能，配合后台系统能够将终端防病毒、补丁修复等终端安全措施与网络接入操纵、拜访权限操纵等网络安全措施整合为一具联动的安全体系，经过对网络接入终端的检查、隔离、修复、治理和监控，使整个网络变被动防备为主动防备、变单点防备为全面防备、变分散治理为集中策略治理，提升了网络对病毒、蠕虫等新兴安全威胁的整体防备能力。

H3CS3600支持跨交换机的远程端口镜像功能（RSPAN），能够将接入端口的流量镜像到核心交换机（例如S9500/7500）上，在核心上启动网流分析（Netstream）功能，配合XLOG系统对监控端口的业务和流量举行监控、优化部署和恶意攻击监控。

H3CS3600系列交换机提供DHCPSnooping(侦听)功能，经过建立和维护DHCPSnooping绑定表实现侦听接入用户的MAC地址、IP地址、租用期、VLAN-ID接口等信息，解决了DHCP用户的IP和端口跟踪定位咨询题。并且对别符合绑定表项的非法报文（ARP欺骗报文、擅自修改IP地址的报文）直截了当丢弃，保证DHCP环境的真实性和一致性。并且利用DHCPSnooping的信任端口特性能够保证DHCPServer的合法性。

接入层多业务融合能力：

H3CS3600系列交换机提供丰富的QOS功能，能为数据、语音、视频、多媒体等别同的业务提供服务质量保证。

H3CS3600系列交换机经过支持VoiceVLAN技术和智能POE技术非常好的解决了该类设备的智能检测、供电和优先级的调整咨询题。

接入层高可靠性设计：

H3CS3600系列交换机除了支持高可靠性的IRF技术以外，还支持传统的STP/RSTP/MSTP二层链路爱护技术，极大提高了链路的冗余备份，提高容错能力，保证网络的稳定运行。

支持VRRP虚拟路由冗余协议，与其他三层交换机构建VRRP备份组。构建故障时的冗余路由拓扑结构，保持通讯的延续性和可靠性，有效保障网络稳定。

支持ECMP（等价路由），经过配置多条等值路径实现上行路由的冗余备份和负载分担。

采纳交流/直流双输入设计，设备既能够采纳交流电源输入，也能够直流电源输入，二者之间热备份。

3.4专网连接

新化化胖厂专网出口配置1台SecPathF1000-S高性能专业防火墙。内网核心交换机经过双千

兆捆绑高速链路连接内网防火墙，内网防火墙再经过100/1000M链路连接至新化化胖厂专网路由器，实现内部局域网到新化化胖厂专网的互联，并且内网防火墙有效的防备来自新化化胖厂专网对内部局域网和数据中心的威胁。

H3CSecPathF1000-S防火墙提供四个千兆以太网接口，其中两个千兆电口，两个千兆光电复用接口。还提供两个MIM插槽，可支持4个百兆或千兆端口扩展。高达1Gbps吞吐量的