网络工程设计方案

网络工程设计方案院系：软件学院班级：网络0911班姓名学号：杨文健指导老师：徐斌完毕时间：6目录一、 网络需求分析………41.1 工程项目概况………41.2 信息点分布…………41.3 需求分析……………4二、方案设计原则…………..6三、网络方案设计………….73.1网络拓扑构造介绍…………………73.2网络拓扑图…………73.3.1骨干核心层网络设计…………73.3.2核心层网络设计………………83.3.3汇聚层网络设计………………83.3.4接入层网络设计……………….93.3.5广域网互联设计……………….93.3.6冗余/负载均衡设计……………93.3.7线路冗余………93.3.8网络设备冗余/负载均衡设计…………………103.3.9服务器冗余设计……………….113.310IP地址规划原则………………11四、网络安全及管理机制…………………….114.1 完善的安全机制………………….......144.2 解决安全威胁………..144.3 VPN(虚拟专用网)…………………….15五、网络设备选型…………….16六、方案的扩展性考虑………17前言当今社会已步入信息社会，信息成为社会经济发展的核心因素，信息化已成为当今世界潮流。而现在，信息化程度已成为衡量一种国家当代化水平和综合国力强弱的重要标志。随着信息时代的到来，公司的生存和竞争环境发生了根本性的变化。对于大型公司而言，信息化无论是作为战略手段还是战术手段，在公司经营中发挥着举足轻重的作用。信息技术作为新技术革命的核心.不仅含有高增值性、成为最具经济活力的经济增加点,并且含有高渗入性,以极强的亲和力和扩散速度向经济各部门渗入，使其构造和效益发生根本性变化。信息化已成为当代经济发展与社会进步的巨大推力，特别是作为国民经济信息化基础的公司信息化，现在更显得尤为重要，信息化建设已成为公司发展的必由之路。信息化是公司加紧实现当代化的必然选择!随着近年来公司信息化建设的进一步，公司的运作越来越融入计算机网络，公司的沟通、应用、财务、决策、会议等等数据流都在公司网络上传输，构建一种“安全可靠、性能卓越、管理方便”的“高品质”大型公司网络已经成为公司信息化建设成功的核心基石。第一章网络需求分析1.1 工程项目概况XX集团为了加紧信息化建设，新的集团公司网将建设一种以集团办公自动化、电子商务、业务综合管理、多媒体视频会议、远程通讯、信息公布及查询为核心，以当代网络技术为依靠，技术先进、扩展性强，将集团的多个办公室、多媒体会议室、PC终端设备、应用系统通过网络连接起来，实现内、外沟通的当代化计算机网络系统。该网络系统是支持办公自动化、供应链管理、ERP以及各应用系统运行的基础设施，为了确保这些核心应用系统的正常运行、安全和发展，系统必须含有以下的特性：1、采用先进的网络通信技术完毕集团公司网的建设，实现各分公司的信息化；2、在整个公司集团内实现全部部门的办公自动化，提高工作效率和管理服务水平；3、在整个公司集团内实现资源共享、产品信息共享、实时新闻公布；4、在整个公司集团内实现财务电算化；5、在整个公司集团内实现集中式的供应链管理系统和客户服务关系管理系统；具体规定： ●WWW服务 ●E-mail、FTP服务 ●网上多媒体教学，能提供视频点播服务 ●集团内行政管理 ●拨号上网服务信息点分布重要信息点集中在生产部、账务部、网络中心、职工宿舍等部门。具体分布如表1所示。地点信息点备注网络中心40需确保速度、流量和可靠性生产部150需确保速度、流量和可靠性账务部120需确保速度、流量和安全性职工宿舍1000需确保速度和流量销售部100需要确保速度和可靠性综合设计30需确保速度和流量表1重要信息点分布1.3 需求分析为适应公司信息化的发展，满足日益增加的通讯需求和网络的稳定运行，今天的大型公司网络建设比传统公司网络建设提出更高的规定，重要体现在以下几个方面：1）当代大型公司网络应含有更高的带宽，支持10GE或将来平滑过渡到10GE，更强大的性能，以满足顾客日益增加的通讯需求。随着计算机技术的高速发展，基于网络的多个应用日益增多，特别是对核心网络的数据交换能力提出前所未有的规定。另外，随着千兆端口的成本持续下降，千兆到桌面的应用会在很快的将来成为公司网的主流。因此今天的公司网络已经不能再用百兆到桌面千兆骨干来作为建网的原则，它的核心层及骨干层必须含有万兆级带宽和解决性能，才干构筑一种畅通无阻的“高品质”大型公司网，从而适应网络规模扩大，业务量日益增加的需要。2）当代大型公司网络应含有更全方面的可靠性设计，以实现网络通讯的实时畅通，保障公司生产运行的正常进行。当代大型公司网络在可靠性设计方面重要应从三方面考虑：第一是设备级可靠性设，这规定购置设备的时候不能一味的只追求价格因素而无视可靠性；另首先是业务的可靠性设计，这里要注意网络设备在故障倒换过程中与否对业务的正常运行有影响；再次是链路的可靠性设计，以太网的链路安全来自于它的多途径选择，因此在公司网络建设时要考虑网络设备与否能够提供有效的链路自愈手段和快速重路由合同的支持。3）当代大型公司网络需要提供完善的端到端QOS保障，以满足公司网多业务承载的需求。大型公司网络承载业务的不停增多，单纯的提高带宽并不能够有效的保障数据交换的畅通无阻，而必须要考虑到网络应能够智能的识别应用事件的紧急和重要程度，如视频、音频、数据流(MIS、ERP、OA、备份数据)，同时能够调度网络中的资源，确保重要和紧急业务的带宽、时延、优先级和无阻塞的传送，实现对业务的合理调度才是一种大型公司网络提供“高品质”服务的保障。4）当代大型公司网络应提供更完善的网络安全解决方案，以阻击病毒和黑客的攻击，减少公司的经济损失。传统公司网络的安全方法重要是通过布署防火墙、IDS、杀毒软件以及配合交换机或路由器的ACL来实现对于病毒和黑客攻击的防御，但实践证明这些被动的防御方法并不能有效的解决公司网络的安全问题。5）当代大型公司网络应含有更智能的网络管理解决方案，以适应网络规模日益扩大，维护工作更加复杂的需要。第二章方案设计原则本方案的设计将在追求性能优越、经济实用的前提下，本着严谨、谨慎的态度，从系统构造、技术方法、设备选择、系统应用、技术服务和实施过程等方面综合进行系统的总体设计，力图使该系统真正成为符合该中学的网络系统。从技术方法角度来讲，在网络的设计和实现中，本方案严格恪守了下列原则：1、实用性和集成性系统的软硬件设计、还是集成，均以合用为第一宗旨，在系统充足适应公司信息化的需求的基础上进而再来考虑其它的性能。2、原则性和开往性只有支持原则性和开放性的系统，才干支持与其它开放型系统一起协同工作，在网络中采用的硬件设备及软件产品应当支持国际工作原则或事实上的原则，方便能和不同厂家的开放性产品在同一网络中同时共存。3、先进性和安全性系统全部的构成要素均应充足地考虑其先进性。不能一味地追求实用而无视先进，只有将当今最先进的技术和我们的实际应用规定紧密结合，才干获得最大的系统性能和效益。4、成熟性和高可靠性网络硬件体系构造在实际应用中能通过较长时间的考验，在运行速度和性能上都应是稳定可靠的、拥有完善的、实用的解决方案，并通到较多的第三方开发商和顾客在全球的广泛支持和使用。同时，应从久远的技术发展来选择含有较好前景的、较为先进的技术和产品，以适应系统将来的发展需要。可靠性也是衡量一种计算机应用系统的重要原则之一。5、可维护性和可管理性整个信息网络系统中的互连设备，应是使用方便、操作简朴易学，并便于维护。管理员能方便进行网络管理、维护甚至修复。在设计和实现时，必须充足考虑整个系统的便于维护性，以使系统万一发生故障时能提供有效手段及时进行恢复，尽量减少损失。6、可扩充性和兼容性网络的拓扑构造应含有可扩展性即网络联结必须在系统构造、系统容量与解决能力、物理接连、产品支持等方面含有扩充与升级换代的可能，采用的产品要遵照通用的工业原则，方便不同的设备能方便灵活地接连入网并满足系统规模扩充的规定。第三章网络方案设计3.1网络拓扑构造介绍在本次XX集团大型公司网的设计中，我们采用层次化模型来设计网络拓扑构造。所谓“层次化”模型，就是将复杂的网络设计分成几个层次，每个层次着重于某些特定的功效，这样就能够使一种复杂的大问题变成许多简朴的小问题。层次模型既能够应用于局域网的设计，也能够应用于广域网的设计。3.2网络拓扑图网络拓扑图如图1所示。图1网络拓扑图3.3网络设计3.3.1骨干核心层网络设计大型公司生产办公网络的核心网重要完毕整个公司集团内部不同地区公司之间的高速数据路由转发，以及维护全网路由的计算。鉴于大型集团公司的顾客数量众多，业务复杂，QOS规定较高的特点，在本方案中采用H3CS7506-AC高密度多业务核心路由交换机组建高性能的核心网络平台。H3CS7506-AC系列交换机是含有运行商级容错能力的高性能大型网络核心交换机，可为高校和运行商提供基于领先技术的卓越性能和可靠性。H3CS7506-AC系列交换机专为发挥万兆、千兆以太网潜在的强大交换能力而设计，超大容量的交换背板使得涉及万兆端口在内的每个端口含有全线速交换能力，确保在巨大的网络通信负载下始终能够轻松实现线速的第二层和第三层交换，是城域网、数据中心、智能大厦及公司网络骨干级核心路由交换机的抱负选择。该系列交换机的全部管理模块、交换模块以及电源模块都可交换使用，并且管理模块、电源模块、电扇等还可实现冗余备份，温度传感器能够随时监控各个部件的工作温度，从而提供运行商级的可靠性。H3CS7506-AC交换机的一大特色是管理模块均带有业务接口，使得全部的插槽均为有效的业务插槽，从而大大提高了端口密度和插槽运用率。在骨干核心层中，我们采用三台H3CS7506-AC核心路由交换机构成一种环形多机热备份的核心交换机系统解决方案。为提高核心网络的强健性，实现链路的安全保障，本方案骨干核心层环网中能够采用VRRP（虚拟路由器冗余合同）。对于各个业务VLAN能够指向这个虚拟的IP地址作为网关，因此应用VRRP技术为核心交换机提供一种可靠的网关地址，以实现在核心层核心交换机之间进行设备的硬件冗余，一主两备，共用一种虚拟的IP地址和MAC地址，通过内部的合同传输机制能够自动进行工作角色的切换。进而双引擎、双电源的设计为网络高效解决大集中数据提供了可靠的保障。3.3.2核心层网络设大型公司生产办公网络的核心层网络重要完毕园区内各汇聚层设备之间的数据交换和与骨干核心层网络之间的路由转发。传统解决方案普通采用骨干路由器＋核心交换机来组建，但这种方式受限于交换机的性能，在提供MPLSVPN的业务能力方面较弱，不适合大型公司网络的建设需求，同时现在的大型公司办公网络含有城域网的特点，网络发展含有网络扁平化的发展方向，因此本方案骨干层网络设备采用H3CS7506-AC核心路由交换机作为大型公司生产办公网络的园区核心路由交换设备，H3CS7506-AC含有强大的业务和路由处交换理能力，能提供如MPLSVPN、QOS、方略路由、NAT、PPPoE/Web/802.1x/L2TP认证等丰富业务能力，并可通过内置防火墙模块实现多个强大的网络安全方略，能够充足满足大型公司不同园区网络的高速数据交换和支持多业务功效的规定，并能够提供完善的安全防御方略，保障公司园区网络的稳定运行。3.3.3汇聚层网络设计汇聚层网络重要完毕公司各园区内办公楼宇和有关单位的内接入交换机的汇聚及数据交换和VLAN终止，在本方案中采用H3CS7502E交换机多层交换机作为汇聚层面的交换机。H3CS7502E交换机在提供高密度千兆端口接入的同时还能够满足汇聚层智能高速解决的需要,并能够加灵活的布署在网络边沿的各个位置。能够同时提供多个高速专用堆叠端口和百兆、千兆光口/电口。这些交换机都含有较强的多业务提供能力，可支持涉及智能的CCL、MPLS、等业务。3.3.4接入层网络设计以往传统公司网络接入层的建设中并不关注于安全控制和QOS提供能力，而将网络的安全防御方法和QOS保障依赖于网络的汇聚层或骨干层设备，这给汇聚层和骨干层设备带来了巨大的压力，往往内网病毒泛滥成灾后造成骨干层设备瘫机，使网络没有QOS服务质量保障。H3CS1024智能宽带接入交换机是能满足高安全、多业务承载、高性能的网络环境智能交换机，含有传统二层交换机大容量、高性能等优点，同时还含有领先的安全特性，进一步加强了公司网络对边沿接入层面的安全控制能力。顾客能够根据需要来订制本身的安全方略并布署在此交换机上。该产品含有的端口带宽限制、端口镜像、QOS、端口安全、广播风暴克制等功效能够较好的协助顾客实现网络的管理和维护。除此之外，此交换机还含有多个专用堆叠接口，能够满足楼层，楼宇内多个交换机高性能汇聚的需要。3.3.5广域网互联设计针对于大型公司需要良好的出口网关设备，我们建议顾客选用H3CSecPathU200-CS-AC。H3CSecPathU200-CS-AC防火墙专为千兆位流量的网络服务运行商，大型数据中心等骨干网络而设计,采用2U专用千兆安全平台，完全模块化可扩展构造，含有热插拔特性的冗余部件为您提供最大的不间断运行时间。H3CSecPathU200-CS-AC防火墙内置1个10/100/1000M自适应以太网电口，含有6个SFP扩展插槽，接口模块类型支持单模、多模光纤，千兆电口，充足满足您的定制需最多可扩展至8个千兆接口。3.3.6冗余/负载均衡设计冗余设计是网络设计的重要部分，是确保网络整体可靠性能的重要手段。但是投资也将增加。部分公司园区网在早期的建设中由于成本的因素并未在设计中考虑冗余问题，而在优化工作中则需从网络链路和网络设备两方面着手。冗余设计能够贯穿整个层次化构造，每个冗余设计都有针对性，能够选择其中一部分或几部分应用到网络中以针对重要的应用。万一网络中某条途径失效时，冗余链路能够提供另一条物理途径。可采用GEC链路聚合（IEEE802.3ad）实现端口级冗余，以克服某个端口或线路引发的故障。也可采用生成树合同（IEEE802.1d）提供设备级的冗余连接。另外，我们在设计中提供不同物理方向的双归属、双路由保护。3.3.7线路冗余在公司网骨干核心层，公司网络边界拓扑构造由于采用了环形多机热备份的核心交换机系统解决方案，因此在线路冗余方面的规定较高，对于线路的冗余规定，我们采用10GE线路对三台公司网骨干核心层设备进行环行双向备份，并使用业界领先的VRRP（虚拟路由器冗余合同）来对其作为冗余线路的合同保障。以GEC作为N*1000M主干链路，通过这个链路连接骨干网交换机，含有万兆扩展能力；接入交换机采用10/100M自适应端口连接桌面系统，多千兆链路连接到汇聚层。GEC路含有链路聚合和冗余确保两大特性，下面我们将对它们依次进行介绍。链路聚合：可使用一条物理链路在不同品牌交换机之间、交换机和服务器间提供聚合的高速通道，在不增加投资的状况下，扩大交换带宽，使核心连接的传输效率更高冗余确保：链路聚合中，组员互相动态备份。当某一链路中断时，其它组员能够快速接替其工作。与生成树合同不同，链路聚合启用备份的过程对聚合之外是不可见的，并且启用备份过程只在聚合链路内，与其它链路无关，切换可在数毫秒内完毕。综合分析以上各主流方案的优缺点，从性能与成本及拓展性等方面的综合考虑出发，我们决定采用GEC骨干核心网络10GE拓展的方式作为其链路选择及备份选择。在公司网汇聚层及接入层出于成本及性价比的考虑，我们决定采用千兆汇聚，万兆拓展；百兆到桌面的链路选择。3.3.8网络设备冗余/负载均衡设计负载均衡建立在现有网络构造之上，它提供了一种便宜有效的办法扩展服务器带宽和增加吞吐量，加强网络数据解决能力，提高网络的灵活性和可用性。它重要完毕下列任务:解决网络拥塞问题，服务就近提供，实现地理位置无关性;为顾客提供更加好的访问质量;提高服务器响应速度;提高服务器及其它资源的运用效率;避免了网络核心部位出现单点失效。在此方案中，在网络的每个核心结点，我们在设计时都做到了对其有效的冗余备份和负载均衡。在网络的骨干核心层上。我们采用了三台锐捷网络的RG-S8610高密度多业务IPV6核心路由交换机组建高性能的核心网络平台，在对骨干核心层提供足够的网络接点和接入需求的同时最大程度的为网络提供了有效的冗余保障和负载均衡。在核心层的每个区块，我们都采用了两台锐捷网络的RG-S8606度多业务IPV6核心路由交换机做到冗余与负载均衡。在汇聚层的每个区块，我采用了两台锐捷网络的RG-S5750交换机多层交换机做到冗余与负载均衡。在本方案的设计中，出现了两个以上的交换区块和需要提供冗余连接的时候，我们采用了双核心配备。以下图，我们给出了从接入层到汇聚层再到核心层的双核心配备。双核心拓扑构造提供了两条等代价途径和双倍的带宽。每个核心交换机连接着数目相似的子网到第三层汇聚设备上。每个交换区块都有冗余的连接到核心交换机上，因此形成两条不同的，但是等代价的连接。如果一条核心设备发生故障，还是能够收敛，由于汇聚层设备的路由选择表中尚有另一条到核心设备的路由。第3层路由选择合同在核心中起链路选择的作用，VRRP提供快速错误恢复。核心层不需要STP，由于在核心交换机间没有冗余的第2层连接。3.3.9服务器冗余设计公司网中服务器、大型机，如网络存储服务器，SQLServer服务器，其存储的数据对于公司来说致关重要，某些核心数据被视为公司的生命。首先它对公司的公司的重要性毋庸质疑，另首先，由于这些数据的性质决定了其较大的被访问量，这个对服务器提出了稳定和快速的规定。如果宕机,后果是技术是保障计算机系统的可靠性是重中之重。为此，我们采用的是双机热备技术，此技术能够有效的满足核心服务器高效，稳定的高规定。并且相对于其它成本技术来说，这是比较有经济价成效的技术。Server1Server2服务器双机热备技术具体技术实现：每个核心服务器均含有两个以太网接口（能够通过安装双网卡实现），在此基础上，以上图为例，DB服务器A与DB服务器B先分别运用自己的一种以太网接口实现两个服务器之间的直连，每个服务器另外的一种接口则与服务器区的网络实现互连，以达成双机热备的目的。因此增加服务器的稳定性与高效性。本网络中应含有多台服务器设备，涉及DBSERVER数据库服务器，WEB,CATALOG等应用服务器，NEWS,MAIL等通讯服务器及多媒体服务器等。3.310IP地址规划原则IP地址构成了整个Internet的基础，IP地址资源是整个Internet的基本核心资源，IP地址资源的合理分派和有效运用是整个Internet发展过程中持续有效的一种极具分量的研究课题。我们在对公司园区网IP地址编址设计和分派运用时，遵照了下列几个原则：1）、自治：整个园区网络网络被划分成几个大的自治区域，每个大自治区域中又被划分成几个小的自治区域。2）、有序：我们按照自治原则将网络进行逻辑划分后，就根据地区、设备分布及区域内顾客数量来进行子网规划。同时，我们将IP地址规划和网络层次规划、路由合同规划、流量规划等结合起来考虑。在进行地址分派时，为了提高地址分派效率和地址运用率，我们在编址设计时按照了一定的次序进行。选择的次序是自上而下的次序，即采用了业界领先的自顶向下网络设计（Top-DownNetworkDesign）办法。3）、可持续性：考虑到园区内网络顾客数将持续高速增加，网络所要承载的业务量和业务种类越来越多，这使得网络需要屡屡进行技术升级、改造和扩容。4）、可聚合：在路由表急剧膨胀状况下，可聚合原则是网络地址分派时所必须恪守的最高原则，可聚合原则规定在进行地址规划时，应提供足够的路由冗余功效。5）、尽量节省IPv4地址：由于IPv4地址越来越少，因此对于IPv4地址的使用需要格外节省。IPv4地址的节省能够通过动态编址技术和NAT技术等来实现。6）、闲置IP地址回收运用：对于已分派出去的静态IP地址进行定时追踪管理，对长时间闲置的IP地址可通过确认后回收重复运用。本次方案的设计，我们决定采用一种内部私有A类地址（）对公司园区的网络设备编址。由于从方案本身的网络拓扑图采用了典型的层次化设计，因此对IP地址的编址设计也应采用层次化的设计来完毕，并采用VLSM来拓展有限的IP地址。网段描述所需的IP地址数骨干核心层链路5（2个用于拓展备份）集团总部1000生产部500客户部500机械厂1000大型机/服务器群500公司VOIP语音系统VLSM是可变长子网掩码的英文缩写，它提供了一种主类（A类、B类、C类）网络内包含多个子网掩码的能力，能够对一种子网再进行子网划分。VLSM的优点1、对IP地址更为有效的使用2、应用路由归纳的能力更强因此我们采用VLSM对网络进行编址，以达成节省IP地址，能够使用路由汇总的目的。首先采用一种A类网址对园区网主体构造进行编址，至上而下的设计思路有助于设计的最后成型和网络的强健性。另首先，在语音电话系统中，每一种IP电话需要一种IP地址以及诸如子网掩码、默认网关等的有关信息。事实上，这意味着一种组织需要指派两倍于IP电话的IP地址给现在全部的pc顾客，这个由DHCP提供。我们使用私有遍址的IP电话作为语音电话遍址方案。私有遍址IP电话：IP电话使用网络———————————IP电话+PC在同一交换机端口上—————————－最后通过我的计算，将各部门IP地址分派以下表：IP地址网段VLAN编号默认网关财务部/241054/24生产部/242054/24销售部/243054/24行政部/244054/24顾客地址与VLAN划分Web服务器IP地址：/24FTP服务器IP地址：/24路由器出口IP地址：/24第四章网络安全及管理机制4.1 完善的安全机制公司楼宇交换机通过内在的多个安全机制可有效避免和控制病毒传输和网络流量攻击，控制非法顾客使用网络，确保正当顾客合理化使用网络，如端口安全、端口隔离、ACL、端口ARP报文正当性检查、基于数据流的带宽限速、六元素绑定等等，满足公司网加强对访问者进行控制、限制非授权顾客通信的需求；在汇聚、核心交换设备设立由硬件实现ACL，对病毒进行过滤，我们选用的汇聚、核心交换设备都支持SPOH，因此在使用ACL时将不会影响整个交换机的性能。1．硬件实现端口与MAC地址和顾客IP地址的绑定，严格限定端口上顾客接入。2．通过PrivateVLAN能够在交换机的同一VLAN中提供端口之间的通讯或安全隔离，确保数据流进入有效端口，而不会被发送到其它端口，即解决了因传统802.1QVLAN造成全网VID资源不够的问题，同时又无需运用安全规则资源即能达成隔离不同顾客以及不同组顾客之间通讯的功效，充足保护顾客隐私。3．可实现顾客账号、MAC地址、IP地址、交换机IP、交换机端口等六大元素之间的灵活任意绑定，有效确认顾客正当性和唯一性。4．支持业界特有的IGMP源端口检查，有效杜绝非法组播源播放和大量占用大量网络带宽，提高网络安全性。5．提供极为有效的PortBlocking功效，避免端口受到其它端口发送的广播包、多播包等报文的干扰，有效减轻端口负载负担，提高端口带宽，保护顾客PC更高效安全地运行。6．基于源IP地址控制的Telnet和Web设备访问控制，增强了设备网管的安全性，避免黑客恶意攻击和控制设备。7．提供加密传输SecureShell（SSH），确保管理设备信息的安全性，避免黑客攻击和控制设备。8．可灵活控制2-7层数据报文，使得任何一种顾客PC上的任何一种应用报文通过网络都能得到有效控制，充足保障了网络的安全和合理化使用。4.2 解决安全威胁在公司网络已经成为公司生产运行的重要构成部分的今天，当代公司网络必须要有一整套从顾客接入控制，病毒报文识别到主动克制的一系列安全控制手段，才干有效的确保公司网络的稳定运行。1.防冲击波病毒随着蠕虫病毒等的攻击手段呈多元化发展，单一的防护方法已经无能为力保卫校园网络安全。IDS只能根据预先定义的方略进行检测，对新的攻击方式无能为力，或者当IDS侦测到某终端顾客感染病毒后，只能将有关信息形成报告告知网管人员，等待解