企业网络规划设计方案

企业网络规划设计方案项目背景本方案是为某公司办公楼的网络系统建设，主楼地上9层地下一层，裙楼3层。主楼作为办公实验楼，裙楼作为会堂及展厅。的安全连接，承载智能大厦的弱电系统各项数据信息的传输。本系统为一楼和二楼的展厅设置3个信息点，为三楼会堂设置了2个信息点，四楼至九楼共设置了7个信息点提供办公区和办公室使用。建立目标1）建立光纤骨干网，提供部高速、高效、安全的信息高速公路；2）网管中心形成具有信息转发、存储、共享、综合处理、查询服务等能力的核心交换系统；（3）充分考虑系统的安全性，提供系统数据备份等安全问题解决方案；4）充分考虑可扩充性，网络系统可以很方便的升级和扩充；5）建立以信息交换、信息发布和查询应用为主的网络应用基础环境，为企业的办理提供先进的撑持手段。全部网络系统手艺领先，平安实用，操作保护轻易；网络结构采用两层结构，分为中心层、接入层。1.31）高性能：设计原则结合全部实际应用和发展要求，在进行网络系统改造设计时，主要应遵循以下原则：网络要求具有数据、图像、语音等多媒体实时同步通讯能力。主干网提供可保证的服务质量和充足的带宽。采用最新科技，以适应大量数据传输以及多媒体信息的传输。整个系统在国五到十年保持领先的水平，并具有长足的发展能力，以适应未来网络技术的发展。如：具有三层及以上线速交换能力；支持灵活的跨网络交换机（主干、部门）的基于IP、端口、MAC地址的VLAN划分功能。2）高可靠性：网络系统是日常业务和各种应用系统的基础设施，应保证工作日和重点时期不间断运行。整个网络有足够的冗余，设备在发生故障时能以热插拔的方式在最短时间加以修复。同时，在核心层采用双机容灾设置，降低了由系统故障引起的停滞时间。可靠性还充分考虑网络系统的性价比，使整个网络具有一定的容错能力，减少单点故障。3）标准化：所有网络设备都符合有关国际标准以保证不同厂家网络设备之间的互操作性和网络系统的开放性。4）高可用度和冗余：核心交换机采用双机热备容灾式设计，主控、电源、端口卡、制冷设备等关键部位均有硬件冗余，单个部件的故障不影响网络的正常运行，可用度超过99.99%。关键部件具有热插拔功能，可保证在部件的更换或增加时不影响网络正常运行。5）可扩充性和可扩展性：所有网络设备不但满足当前需要，并在扩充模块后，满足可预见将来需求。网络设计要考虑当前应用和今后网络的发展便于向更新技术的升级与衔接。要留有扩充余量，包括端口数量和带宽的升级能力。6）易办理性：网络设备应易于办理，易于保护，操作简单，易学，易用便于进行网络配置，发现故障。7)三层交换与VLAN的结合：网络中，各个部门可根据实际情况灵活的进行VLAN的划分，在全部网络中使用假造手艺，以便提供网络的平安性和灵活性。中心设备和骨干设备能提供高速的VLAN路由和高性能的三层数据包处理。8)撑持多媒体：支持文本、语音、图形、图像及音频、视频等多种媒体信息的传输、查询服务，具有多种基于优先级队列的QoS保证多媒体应用对服务质量有很高的要求，如带宽，延迟的变化等需要网络对服务质量(QoS)有很好的支持。9)安全性：网络系统的数据和文件多数要求具有高度的安全性，因此网络系统本身要有较高的安全性，对使用的信息进行严格的权限管理，在技术上提供先进的、可靠的、全面的安全方案和应急措施，确保系统万无一失。同时符合国家关于网络安全标准和管理条例。(10)实用性：系统建设首先要从系统的实用性角度出发，未来XXX的信息传输都将依赖于计算机网络系统，所以系统设计必须具有很强的实用性，满足不同用户信息服务的实际需要，具有很高的性能价格比，能为多种应用系统提供强有力的支持平台；同时应很好地利用现有设备资源，保护用户的已有投资。二、设备选型本次方案计算机网络交换设备我公司选用国产XXX的产品。对于核心交换机我公司选用两台ERS8610系列交换机，ERS8610系列交换机支持广泛的接口类型和密度。接入层交换机我公司均选用ERS4500系列智能以太网交换机，该系列交换机是一个固定配置的独立设备系列，提供桌面快速以太网和千兆以太网连接，可提供增强LAN服务。LS-3100系列具有集成安全特性，包括网络准入控制(NAC)、高级服务质量(QoS)和永续性，可为网络边缘提供智能服务。主要性能指标参见主要设备技术指标。与内部网络毗连的平安网关，我们选用XXX的NS-SecPathF1000-S-AC,它能够提供业界领先的状态防火墙和IP平安(IPSec)假造公用网服务，具有更强的处理能力和集成化的、基于硬件的IPSec加快功能。中心配置2台中心交换机互为备份，接入层配15台48换机和3台24换机。表1主要设备选型表设备核心交换机型号ERS8610品牌H3C数量2台特点ERS8610系列交换机撑持遍及的接口类型和密度。接入层交换机ERS4500H3C15台48换机，3台24换机该系列交换机是一个固定配置的独立设备系列，提供桌面快速以太网和千兆以太网连接，可提供增强LAN服务。主要性能指标参见主要设备手艺指标。防火墙NS-XXXF1000-S-ACXXX它可以提供业界领先的状态防火墙和XXX全（IPSec）虚拟专用网服务，具有更强的处理能力和集成化的、基于硬件的IPSec加快功能。服务器电子服务器eWorld服务器M参数文件传输服务器eWorld宽带主机新一代全程服务的高可用性硬件服务器;嵌入式linux架构,稳定性极高。宽带主机主要功能:防火墙、VPN、上网行为管理。监控、病毒垃圾过滤、FTP、文件服务器、带宽管理、负载均衡等多种功能,企业信息化性价比极高整体解决方案光缆线缆类12芯多模光缆12芯多模光缆安普超五类非屏蔽双绞线6--4安普超五类非屏蔽双绞线6--4详细参数TCLXXX若干单段长度100米包装长度305米12芯室多模光缆12芯室单模光缆此类产品是本行业的高性能5e系统,满足综合布线系统设计要求的高速,高性能符合XXX认证要求，具有优异的传输性能。设备功能本次网络设备要现以下功能：1）顺应桌面计较机处理、I/O能力大幅度提高的现状，发挥桌面机的网络性能，提高桌面机的访问带宽；达到主干M，10M/100M自适应交换到桌面。2）适应连网规模大、总流量大的情况，合理分布流量，实现流量隔离和控制；3）提供对应用服务器的特别支持；4）适应部门多、层次复杂的特点，合理进行网络划分，实现有效的安全访问控制和运行办理。5）能够向未来的高速网络技术和不断出现的新应用过渡。6）保护已有投资，使原有的设备和网络能够平稳升级。7）实现网络互联，解决互联网络带来的安全问题和管理问题。8）顺应数据会合型应用的发展趋势，为客户/服务器的应用环境提供支撑。9）增加网络系统的运行可靠性，核心设备实现冗余，降低故障隐患，提高系统的可办理性。10）适应机构建制和工作流程，提供多层次的安全保障。设备环境要求事情温度要求：围在°C-45°C；事情湿度要求：围在10%-85%（非冷凝）；供电要求：保证每个设备间、配线间的供电功率在所属设备额定功率总和的1-1.5倍之间，并保持稳定；安装间距要求：设备安装间距保证在1M。.系统结构系统特点分析目前网络系统拓扑结构有四种分析一）星型拓扑结构二）总线拓扑结构三）环型拓扑结构四）树型拓扑结构表2系统结构特点分析表序结构分类优点1）控制简单。2）故障诊断和隔离容易。3）方便服务。1）总线结构所需要的电缆数量少。2总线拓扑结构2）总线结构简单，又是无源工作，有较高的可靠性。3）易于扩充，增加或减少用户比力方便。缺点1）电缆长度和安装工作量可观。2）中央节点的负担较重，形成瓶颈。3）各站点的分布处理能力较低。1）总线的传输距离有限，通信围受到限制。2）故障诊断和隔离较困难。3）分布式协议不能保证信息的及时传送，不具有实时功能1）节点的故障会引起全网故障。1）电缆长度短。3环型拓扑结构2）增加或减少事情站时，仅需简单的连接操作。3）可使用光纤。2）故障检测困难。3）环形拓扑结构的媒体访问控制协议都采用令牌传达室递的方式，在负载很轻时，信道利用率相对来说就比较低。4树型拓扑结构1）易于扩展。2）故障隔离较容易。各个节点对根的依赖性太大。备注1星型拓扑结构结构设计根据上表结构特点的对比和项目的实际环境需求，本次网络建设拓扑结构为分层的集中式结构或称星型分级拓扑。本系统根据实际情况，采用二级星型网络结构。星型结构便于集中控制，因为端用户之间的通信必须经过中心站。由于这一特点也带来了易于维护和安全等优点，端用户设备因为故障而停机时不会影响其它端用户间的通信。但中心系统必须具有极高的可靠性，因为一旦它损坏，整个系统便趋于瘫痪。二级星型结构如下：图1二级星型结构网络系统设计如下：1）主干网汇接各子网，形成中心交换；2）子网通过高速交换链路连接到主干网；3）实行全网围的集中VLANs划分与管理；4）中心网络采用双机热备容灾体式格局；5）在网络中心进行会合控制和办理；6）桌面机毗连到基层网段上，服务器、事情站毗连到高层网络；7）流量划分层次，跨越基层网段的流量汇接到工作组子网，跨越工作组子网的流量汇接到主干；8）在完善的网络基础之上，服务。本项目计较机网络总体上分为两个层次的结构：中心层，接入层。中心层：中心层主要为网络系统提供一条高带宽、高容量高可靠性的高速信息公路，为监控数据查看与存储提供高速的数据交换通路。该层由两台中心交换机互为热备组成，提供若干个千兆以太网络光纤端口以及第三层路由交换功能。接入层：接入层提供了连接各信息点的汇集功能，通过本层将各信息点汇总连接到核心层，由核心层实现信息交换。接入层由各楼层的交换机构成，各楼层交换机与核心交换机之间以双千兆光纤连接，每一台接入交换机分别两台核心交换机，以保证网络链路的高可靠性。系统结构示意图如下：接入层交换机礼堂1-3层接入层交换机展厅接入层交换机各楼层B1-9核心交换机-双机热备核心交换机-双机热备服务器服务器服务器图2系统结构表示图冗余性设计随着企业的发展，企业的网络规模也在日益壮大。在一个小型网络像型网络转变的过程中，主要的一个变化就是企业对于网络的稳定性要求更高。但是与之相反，随着网络的复杂程度提高，其可用性是在逐渐下降的。冗余设计是提高设备可靠性的最常用的有效措施之一，利用冗余设计，就可以再单个组件或系统发生失效时而不影响系统的整体可靠性。所以我公司也采用了冗余设计。核心层采用两台核心交换机热备容灾的方式，实现网络主干的冗余。下面就对实现网络主干冗余的技术进行介绍。采用HSRP热备份协议技术HSRP即热备份路由器协议，实现HSRP的条件是系统中有至少两台路由设备，它们组成一个“热备份组”，这个组形成一个虚拟路由器。在任一时刻，一个组只有一个路由器是活动的，并由它来转发数据包，如果活动路由器发生了故障，将选择一个备份路由器来替代活动路由器，但是在本网络的主机看来，虚拟路由器没有改变。所以主机仍然保持连接，没有受到故障的影响，这样就较好地解决了路由器切换的问题。在使用HSRP时，一组路由器的工作将一致的表现为局域网上通往主机的一个虚拟路由器的工作。这组路由器就称为一个HSRP组，或备份组。这个组中将选出一个路由器来负责转发由主机发给虚拟路由器的数据包。这个路由器就是所谓的活路由器。另一台路由器将被选为备份路由器。在活路由器失效的情况下，备份路由器将承担活路由器的包的转发功能。即使你可以任意制定运行HSRP的路由器的数量，但只有活路由器才能转发发送给虚拟路由器的数据包。在某个局域网里，多个热备组可以共存和重叠。每个备份组都仿效一个虚拟路由器。对于每个备份组来说都有一个为别人所知的MAC地址，以及一个IP地址。而这个IP地址应该是这个局域网中第一个子网中的地址，但必须不同于设置在所有路由器端口上的地址和局域网中主机的地址，甚至包括为其他HSRP组设的地址。HSRP工作原理HSRP利用一个优先级方案来决定哪个配置了HSRP的路由设备成为默认的主动路由设备。如果一个路由设备的优先级设置的比所有其他路由设备的优先级高，则该路由设备成为主动路由设备。路由设备的缺省优先级是100，所以如果只设置一个路由设备的优先级高于100，则该路由设备将成为主动路由设备。系统的可靠性由于本方案的路由模块之间采用HSRP（热备份冗余协议）协议，保证了两台路由模块中的任意一台出现故障，或路由模块的广域网口出现故障，都会迅速切换到另外一台自动接替其事情，并且不引起其他节点的路由表重新计较，从而提高网络的稳定性。负载均衡因为每个接入层交换机都划分和两台中心交换机相联，我们能够在两台中心交换机上的交换备板上划分出各自的VLAN，某个子网VLAN在左侧路由模块上的HSRP的优先级较高，这个VLAN使用左边交换机的交换机备板交换数据；某个子网VLAN在右侧路由器上的HSRP的优先级较高，这个VLAN使用左边交换机的交换机备板交换数据。如许能够充裕利用了带宽资本，而且实现了负载均衡。系统的高平安性由于各假造网之间不克不及直接进行通讯，而必须通过路由器转发，为高级的平安控制提供了可能，增强了网络的平安性。在大规模的网络中，它们之间的数据是的，相互之间只能提供接口数据，其它数据是的。能够通过划分假造局域网对不同部门进行隔离。系统扩容方案在网络组建初期，网络端口和模块配置相应较少，随着业务量的不断增加，对网络的需求量会越来越大，因此要求网络交换设备具有较强的端口扩展性和冗余度。核心交换机的冗余与扩容本系统采用的核心交换机为模块化智能交换机，目前端口配置为1路万兆光口，15路千兆光口，24路千兆电口，光口冗余度达到15%。并且在日后网络系统容量需要增加时，只要增加相应接口卡即可轻松进行系统扩容。接入交换机的冗余与扩容当网络需求量超出目前配置的端口量时，只需要增加接入交换机和相关的光模块即可实现接入层的扩容，根据目前的网络配置情况，接入层可允许的扩容数量为18台，如仍需增加接入交换机，则需要增加相应的中心交换机板卡。综上所述，我公司结合网络规划设计运用的星型分级拓扑加两层的结构规划，末了运用到冗余设计，成功设计出此次网络规划设计方案的网络规划计划的拓扑图。网络规划设计拓扑图如下：图3网络规划设计拓扑图.VLAN的划分及IP地址分配VLAN的设计方案VLAN的实现体式格局有两种：静态和静态。静态实现是网络办理员将交换机端口分配给某一个VLAN，这是一种最经常使用的配置体式格局，容易实现和监视，而且比力平安。静态实现体式格局中，办理员必须先建立一个较复杂的数据库，比方输入要毗连的网络设备的MAC地址及相应的VLAN号，如许当网络设备接到交换机端口时交换机自动把这个网络设备所毗连的端口分配给相应的VLAN。静态VLAN的配置能够基于网络设备的MAC地址、IP地址、应用或者所使用的协议。实现静态VLAN时候普通情况下使用办理软件来进行办理。在CISCO交换机上能够使用VLAN办理策略服务器（VMPS）实现基于MAC地址的静态VLAN配置。VMPS是MAC地址与VLAN的映射表。这种配置的优点是网络办理员保护办理相应的数据库，而不用关心用户使用哪一个端口，但是每次新用户加入时需要做较复杂的手工配置。基于IP地址的静态配置中，交换机通过查阅网络层的地址自动将用户分配到不同的假造局域网。这次VLAN的划分考虑到，动态VLAN维护非常复杂、许多安全策略不能很好地得到应用，所以我们建议这次VLAN的划分采用静态的方式。通过改变掩码的设置，把原有的IP地址，以部门为单位划分成不同的网段。在交换机上分别建立各个VLAN的网关，在接入层交换机上把端口分别划入各自的VLAN中，通过在交换机上建立访问控制列表，控制VLAN之间是否可以通讯，通过在接入层的端口上实施安全策略，来提高网络的安全性。把每个专业的本地服务器，都划分到一个VLAN中，然后通过实施应用层的安全策略，来控制有哪些员工可以访问不同专业的本地服务器。这样可以安全的实施资源分配，减少网管人员的日常工作量。3.4.2.IP地址原则IP地址是TCP/IP协议族中的网络层逻辑地址，它被用来唯一地标识网络中的一个节点。通常用于IP地址分配的手艺有：可变宗子网掩码手艺和路径叠合手艺。IP地址的分配遵循以下几个原则：唯一性：一个IP网络中不能有两个主机采用相同的IP地址。简单性：地址分配应简单易于管理，降低网络扩展的复杂性，简化路由表的项。连续性：连续地址在层次结构网络中易于进行路径叠合，缩减路由表，提高路由算法的效率。可扩展性：地址分配在每一层次上都要留有余量，在网络规模扩展时能保证地址叠合所需的连续性。灵活性：地址分配应具有灵活性，以满足多种路由策略的优化，充分利用地址空间。3.4.3.IP地址和Vlan具体划分1）设备IP/VLAN/DHCP区间划分表3设备IP/VLAN/DHCP区间表位置核心交换机地下一楼管理IP00私网IP空间〜网关地址VLAN号99说明已改为99,100不能用(B1)楼(L1)054〜54〜54〜54〜54〜54〜54〜54〜54〜54〜54〜54〜54〜54101楼(L2)172.16.10..10.102.1102楼(L3)172.16.10..10.103.1103楼(L4)172.16.10..10.104.1104楼(L5)172.16.10..10.105.1105楼(L6)172.16.10..10.106.1106楼 (L7)172.16.10..10.107.1107 层8楼(L8)172.16.10..10.108.11089楼(L9)172.16.10..10.109.1109展厅172.16.10..10.200.1200礼堂1楼172.16.10..10.201.1201礼堂2楼172.16.10..10.202.1102礼堂3楼172.16.10..10.203.120.网络安全方案网络平安概述网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的性、完整性、可用性、可控性和可审查性的相关手艺和理论都属于网络平安围。网络安全包括五个基本要素：性、完整性、可用性、可控性与可审查性。性：确保信息不暴露给未授权的实体或进程。完整性：只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改。可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的事情。可控性：可以控制授权围的信息流向及行为方式。可审查性：对出现的网络平安题目提供查询拜访的根据和手段。通过对网络的全面了解，按照安全策略的要求及风险分析的结果，整个网络措施应按系统体系建立。具体的安全控制系统由以下两个方面组成：物理安全、网络安全。(1)物理安全保证计较机信息系统各种设备的物理平安是全部计较机信息系统平安的前提。物理平安是保护计较机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误和各种计算机犯罪行为导致的破坏过程。2）网络安全表4网络平安表系统（主机、服务器）安全网络安全网络运行安全局域网、子网安全备份与恢复访问控制（防火墙）应急、灾难恢复网络安全检测反病毒系统安全检测入侵检测审计分析（1.）外网隔离及访问控制系统防火墙是一种网络平安保障手段,是网络通信时执行的一种访问控制标准,其主要目标就是通过控制入、出一个网络的权限,并迫使所有的毗连都经过如许的检查,防止一个需要保护的网络遭外界身分的干扰和破坏。在逻辑上，防火墙是一个星散器，一个限定器，也是一个分析器，之间地任何举动，保证了部网络地平安；在物理实现上，防火墙是位于内部网与中心交换机之间硬件设备，起到对进出信息分析过滤的作用。防火墙系统能增强机构部网络的平安性，它决定了哪些部服务能够被外界访问；外界的哪些人能够访问部的哪些服务，以及哪些内部服务能够被部人员访问。要使一个防火墙有效，的信息都必须经过防火墙，接受防火墙的检查，只允许授权的数据通过在部网与内部网之间，设置防火墙（包括分组过滤与应用署理）实现外网的隔离与访问控制是保护部网平安的最主要、同时也是最有效、最经济的措施之一。防火墙主要通过火组过滤、应用署理两种手艺作为防手段。1） 分组过滤（Packetfiltering）:用在网络层和传输层，它根据分组源地址，目的地址和端口号、协议类型等标志确定是否允许数据包通过只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。2） 应用署理（nProxy）：也叫应用网关（nGateway），它作用在应用层，特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的署理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。2.）网络反病毒由于在网络环境下，计较机病毒有不可估计的威胁性和破坏力，一次计较机病毒的防是网络平安性建设中重要的一环。网络反病毒手艺包括预防病毒、检测病毒和消毒三种手艺：1）预防病毒手艺：它通过本身常驻系统存，优先获得系统的控制权，监视和判别系统中是否有病毒存在，进而阻止计算机病毒进入计算机系统和对系统进行破坏。这类手艺有，加密可执行程序、引导区保护、系统监控与读写