企业网络升级方案设计

企业网络改造规划方案

2023年8月

目录

第1章.项目概述................................................错误!未定义书签。

1.1.项目背景.................................................错误!未定义书签。

1.2.项目建设需求.............................................错误!未定义书签。

1.3.建设目的.................................................错误!未定义书签。

第2章.系统规划规定............................................错误!未定义书签。

2.1.高可靠规定................................................错误!未定义书签。

2.2.高性能规定................................................错误!未定义书签。

2.3,易管理性规定..............................................错误!未定义书签。

2.4.安全性规定................................................错误!未定义书签。

2.5.可扩展性规定..............................................错误!未定义书签。

2.6.实用性和先进性规定.......................................错误!未定义书签。

2.7.经济性规定................................................错误!未定义书签。

第3章.系统总体设计............................................错误!未定义书签。

第4章.基础平台详细规划.....................................错误!未定义书签。

4.1.网络系统..................................................错误!未定义书签。

4.1.1.系统设计目的..........................................错误!未定义书签。

4.1.2.系统设计原则..........................................错误!未定义书签。

4.1.3,整体网络规划..............................................错误!未定义书签。

4.14分区设计详解..............................................错误!未定义书签。

4.1.5.网络协议设计.............................................错误!未定义书签。

4.1.6.设备选型提议.............................................错误!未定义书签。

4.2.安全系统.................................................错误!未定义书签。

4.2.1.系统设计HR勺.错误!未定义书签。

4.2.2.系统设计原则.错误!未定义书签。

4.2.3.安全体系构造,错误!未定义书签。

4.2.4.于系统规划.错误!未定义书签。

4.2.5.设备选型提议.错误!未定义书签。

第1章.项目概述

1.1.项目背景

伴随**企业信息技术发展，作为信息载体的网络系统存在问题日益严重：网络

负载加大、网络带宽局限性、网络安全问题严重、应用系统的增长，多网融合的需

求迫切、网络终端不受控等。这就需要对既有网络系统进行改造，以满足**企业信

息技术发展口勺需求。

1.2.项目建设需求

在运用**企业既有网络资源日勺基础上加以改造，改造后日勺网络需要满足如下

需求：

1、根据顾客对业务系统日勺访问规定，将既有各个业务子网在网络关键层面进

行整合，以到达单个顾客可以访问不一样子网的资源，并通过一定的安全

方略，保证各个子网之间日勺数据和业务安全。

2、优化既有网络规模，设置网络汇聚节点，最终形成以销售部、自动化部自

动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的汇聚点，

覆盖全企业、部门、车间的生产区域。

3、实现整个企业网络架构分等级安全管理。

4、建立构造化网络安全系统，所有顾客通过认证方式接入企业网络，访问自

己对应的网络资源或系统。

5、实现网络终端受控，重要岗位终端行为管理，保证终端规范化操作。

6、实现服务涔及存储资源的有效运用，建立关键服务器区域的安全防护提高

运行能力。将既有重要服务塔，如产销系统、新老线MES系统、设备管理

系统、远程计量、人事、原料采购、调度、质量等服务器集中统一管理。

7、实现L2系统在网络中日勺隔离，保证L2系统安全稳定运行。

1.3.建设目的

本次网络改造规划方案重要包括：网络系统，安全系统口勺建设。

各个系统的功能概述如下：

1）网络系统：尽量运用既有的网络接入条件和机房环境条件，对既有网络

系统进行全面改造升级，实现生产网、宽带网、设备网之间的融合接入,

简化网络逻辑架构。

2）安全系统：根据网络总体架构和安全需求，设计布署安全防御体系（包

括网络层、系统层、应用层等各层次），各业务系统的安全防备和服务

体系，并实现集中日勺安全管理。

第2章.系统规划规定

系统规划规定如下:

2.1.高可靠规定

为保证业务系统不间断正常运行，整个系统应有足够的冗余，设备发生故障

时能以热备份、热切换和热插拔的方式在最短时间内加以修复。可靠性还应充足

考虑系统的性价比，使整个网络具有一定的容错能力，减少单点故障，网络关键

和重点单元设备支持双机备份。

2.2.高性能规定

关键网络提供可保证的服务质量和充足日勺带宽，以适应大量数据传播包括多

媒体信息的传播。整个系统在国内三到五年内保持领先的水平，并具有长足口勺发

展能力，以适应未来网络技术的发展。

2.3.易管理性规定

考虑到系统建设后期的维护和管理日勺需要，在方案设“中充足考虑各个设备

和系统日勺可管理性，并可以满足顾客个性化管理定制的需要。网站各系统易于管

理，易于维护，操作简朴，易学，易用，便于进行配置和发现故障。

2.4.安全性规定

对于内部网络以及外部访问日勺安全必须高度直视，设计布署可靠的系统安全

处理方案，防止安全隐患。设计采用防袭击、防篡改等技术措施。制定安全应急

预案。管理和技术并重，全方位构建整个安全保障体系。

2.5.可扩展性规定

对**信息化建设规划要长远考虑，不仅满足目前需要，并在扩充模块后满足

可预见需求，考虑本期系统应用和此后网络H勺发展，便于向更新技术的升级与衔

接。留有扩充余量，包括端口数和带宽升级能力。

2.6.实用性和先进性规定

系统建设首先要从系统口勺实用性角度出发，未来1肉信息传播都将依赖于数据

网络系统，因此系统设计必须具有很强的实用性，满足不一样顾客信息服务R勺实

际需要，具有很高的性能价格比，能为多种应用系统提供强有力的支持平台。

2.7.经济性规定

本次系统建设中，要充足考虑原有系统资源日勺有效运用，发挥原有设备资源

的价值。要本着以至少的建设成本，至少日勺改导致本，持续获得当期及未来建设

的最大利益。

第3章.系统总体设计

此方案设计将遵照先进性、实用性、可靠性、易管理性、安全性、扩展性、经

济性的原则，为实现**数据集中处理的方式，构建统一融合的网络系统，能支持全

企业范围内日勺高可靠实时网络连接。

根据**网络改造建设日勺需求，本次方案设计的网络平台系统日勺总体示意图如

下：

舞钢网络改造柘扑总图

Internet

DMZK1S

DNS一

MAIL一

防火MU防火场2

核心交换机1核心交I#机2

华为

S12808,华为S12808

息生产网

穰心交换机

华为S8512

轧物总建

$1的总M接入网

生产阿接人交援g

宽带网根入交R*

**网络改造总体拓扑图

注：图中橙色字体的设备为本次新增设备。

详细描述：

1.网络系统设计

1）整体网络构造成照不一样日勺安全级别，重要分为出口区域、DMZ区域、中心

服务器集群区域、关键互换区域、生产网接入区域、能源网接入区域、远

程计量网接入区域及其他网络接入区域。

2）作为整个网络日勺关键业务区域，采用两台高端关键互换机双机热备日勺方式，

保证关键业务时正常开展。同步，根据业务日勺重要程度对全厂网络进行分

区、并进行可靠安全隔离，防止重要程度较低日勺业务对重要程度高的关键

业务导致影响。

3）生产网接入区域，重要以既有日勺生产网接入设备为主、此外融合了宽带网和

设备网日勺接入设备。根据既有的网络构造及客户需求，设置新日勺网络汇聚

节点，形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一

轧、二轧等七个部位为主的汇聚点，覆盖全企业、部门、车间的生产区域。

4）上述七个汇聚节点重要下联既有的）生产网接入设备，同步，将原宽带网和设

备网的接入设备融入，构建统一的网络接入平台，不再反复建网。新口勺网

络平台融合了，生产网的数据访问和外网互联的需求，使用同一终端即可

实现内外网同步访问欧I功能。

5）规划统一的中心服务器集群区域，将既有生产网、设备管理系统、人事系统

中运行口勺服务器，划到同一逻辑区域。考虑到新时关键互换的高性能，将

所有的服务器直接接到关键互换，通过关键区域H勺安全设备来保证访问安

全。使全厂的所有客户终端都通过关键互换来对各个业务系统进行统一访

问。

6）设计新的互联网出口区域，设置出口防火墙、上网行为管理、负载均衡等安

全设备，保证全厂顾客的I上网安全。原有生活区顾客不再和办公区使用同

一出口上网，生活区顾客使用单独日勺出口设备连接互联网。

7）构建DMZ区域，将、DNS、MAIL等需要同步服务内外网顾客的服务港放

到该区域，设置VPN、负载均衡等设备保证服务安全。

8）能源网和远程计量网由于是独立运行的物理网络，不在本次网络改在日勺范

围。但本次我们新增日勺关键互换，在性能、稳定性、处理能力方面，均有

能力负载木米其他多种网络的融合。

2.安全系统设计

本次**网络改造项目建设将考虑怎样建设多层次、纵深防御系统。此外，

要加强安全管理工作和安全应急工作。

通过布署防火墙保证网络边界股I安全，保证网络层日勺安全：布署入侵检测

系统实现内网安全状态的实时监控；布署防病毒系统防止病毒入侵，保证主机

的安全；布署网络监控系统对网络进行监控；布署抗袭击系统抵御来自外界

InternetaJDoS/DDoS袭击；布署漏洞扫描系统对系统主机、网络设备的脆弱性

进行分析；布署时钟系统使系统日勺时钟同步；布署单点登录系统以便顾客在多

种系统间自由穿梭，不必反复输入顾客名和密码来确定身份；布署统一认证系

统对不一样的应用系统进行统一的顾客认证，通过统一日勺顾客认证平台提供一

种单一的顾客登陆入口；布署安全管理平台实现系统内安全事件的统一管理。

我们要通过对应的安全技术建设一套包括物理层、网络层、主机层、应用

层和管理层等多种方面的完整网络安全体系。

第4章.基础平台详细规划

4.1.网络系统

4.1.L系统设计目的

网络系统建设的总体目於J,是要建立统一融合於J、覆盖全企业范围内的、高速

高可靠的网络平台，以支持数据集中处理的运行模式。

4.1.2,系统设计原则

网络系统包括四大部分，一是出口区域，实现企业顾客的上网需求；二是服务

器区域，对**既有业务系统日勺主机存储进行统一管理；三是关键互换区域，实现全

企业所有功能区域的互联互通；四是二级接入区域，对整个网络现实状况进行重新

规划，形成新日勺汇聚节点，将生产网、宽带网、设备管理、人事系统统一融合到新

的管理网络中，实现单一终端对所有业务系统的统一访问。

网络系统有良好日勺扩展性，保证网络在建设发展过程中业务和系统规模可以不

停地扩大。

网络线路及关键、关键设备有冗余设计。关健设备和关键设备保证高性能、高

可靠性、大数据吞吐能力。

网络系统的设计充足考虑系统的安全性。

4.1.3.整体网络规划

按照构造化、模块化的设计原则，实现高可用、易扩展、易管理日勺建设目日勺。

网络整体拓扑如下图所示：

注：图中橙色字体的设备为本次新增设备。

按照“模块化”设计原则，需要对**整体网络构造进行分区设计。根据**企业

业务状况，各区域业务系统布署描述如下：

关键互换区：此区域用于实现各分区之间的数据交互，是数据中心网络平台的

关键枢纽。

出口区域：互联网出口，企业员上网，对外公布企业信息，承载电子商务等业

务系统。

中心服务器区：此区域布署关键业务服务器，包括MES、0A、人事、安全管理

等应用系统。

网络汇聚区：实现企业办公楼、各分厂等汇聚网络接入，二级单位可以通过该

接入区域实现对业务系统的访问。

接入互换区：全厂接入设备连接区域，该区域用于连接终端顾客和企业关键互

换网络，是网络中最广泛的网络设备。

4.L4.分区设计详解

4.1.4.1.关键互换区设计

本次网络改造，提议新增两台高性能H勺关键互换机作为**的网络关键。关键层

作为整个**网络的关键处理层，连接各分布层设备和**关键服务器区，关键层应采

用两台高性能H勺三层互换机采用互为冗余备份的方式实现网络关键的高速数据互换

机，同步，两台关键设备与分布层各设备连接，保证每台分布层设备分别与两台关

键层设备具有网络连接，通过链路口勺冗余和设备冗余的设计，保证整个关键层的高

可靠性。两台关键设备之间应至少保证2Gbps全双工H勺速率规定，并能平滑升级到

lOGbpSo

关键区是整个平台H勺枢纽°因此，可靠性是衡量关键互换区设计的关键指标°

否则，一旦关键模块出现异常而不能及时恢复的话，会导致整个平台业务的长时间

中断，影响巨大。

4.1.4.2.互联网出口区设计

**与外网日勺出口区域，目前是通过建立独立的宽带网，实现办公区和生活区通

过统一出口访问外网H勺。在本次网络改造中，我们计划把生活区上网与办公区上网

隔离开，通过不一样的出口访问外网。改造后的生活区网络拓扑成果如下图所示：

生

活

区

宽

带

网

如上图所示，本次生活区日勺网络改造会增长新的防火墙和负载均衡设备，作为

生活区日勺网络安全管理设备，通过单独日勺出口设备连接到互联网。

改在后日勺厂区互联网出口区域，如下图所示:

如上图所示，工作区的网络改造同样会增长新的防火墙和负载均衡设备，以及

上网行为管理等安全设备，作为生活区的网络安全管理设备，通过单独的出口设备

之间连接到互联网。

出口区域除了网络出口设备外，还包括一种DMZ区域，用于将、DNS、MAIL

等，需要同步服务内、外网顾客口勺服务器放到该区域,

4.1.4.3.中心服务器区设计

规划统一口勺中心服务器集群区域，将既有生产网、设备管理系统、人事系统中

运行的服务器，划到同一逻辑区域。该区域物理上为一种区域接入到关键，而逻辑

上可以再划分为多种业务应用区，根据业务属性口勺不一样可以划分为生产服务器区

（如ERP等）、办公服务器区（如0A等）、管理服务器区（如TT运维、管理等系统）

等。

考虑到新口勺关键互换【付高性能，将所有的服务器直接接到关键互换，道过关键

区域的安全设备来保证访问安全。使全厂日勺所有客户终端都通过关键互换来对各个

业务系统进行统一访问。

中心服务器集群

*原料

人事采购OA

4

—-------------1/\

——\-----------------1-75___________L/>______________

~gLLgg7TT；斗JLI・

质量设备案全MES

管理管理

4.1.4.4.网络汇聚区设计

网络汇聚区域，根据既有日勺网络构造及客户需求，设置新H勺网络汇聚节点，

形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七

个部位为主日勺汇聚点，覆盖全企业、部门、车间H勺生产区域。该区域的网络设备

重要以既有H勺生产网汇聚设备为主、此外融合了宽带网和设备网H勺汇聚设备，同

步考虑既有汇聚设备性能不能满足需求的状况，新增高新能H勺汇聚设备。

汇聚层设备通过双链路的方式与关键层两台关键互换设备相连，同步，为保

障网络H勺强健性，以及便于各个分厂区之间数据交互，各个分厂区H勺汇聚互换机

之间也有线路直连。各汇聚节点与关键层的连接，应所有采用1000Mbps或

1000Mbps以上的连接方式，分布层设备实现本区域内日勺各Vian的路由处理和安

全限制。

核心交换机

华为S8512

4.1.4.5.接入层部分

网络汇聚节点重要下联既有H勺生产网接入设各，同步，将原宽带网和设备网

日勺接入设备融入，构建统一的网络接入平台，不再反复建网。新的网络平台融合

了，生产网日勺数据访问和外网互联的需求，使用同一终端即可实现内外网同步访

问的功能。

接入层设备与分布层设备通过1000M光纤或双绞线的方式连接，在顾客量较

少日勺分节点可以采用100M上联方式，与各终端顾客连接一般采用100M或者

1000M双绞线的方式。

生产网中其他办公楼及分厂区的网络接入，通过自动化车间和轧钢总降等汇

聚节点，接入到新的数据网络中。各个分厂区的网络接入状况如下图所示:

自动化车间

汇聚网络拓扑图

自动化车间

汇聚交换机

、S6324)

办公楼其他

汇聚交换机交换《汇聚交换机

S5324上\S5324

办公楼质信部技改部堪造厂科技部人事、财务耳他

生产网接入生产网接入生产网接入生产网接入生产网接入生产网接入生产网接入

宽带网接入宽带网接入宽带网接入宽带网接入宽苗网接入宽带网接入窗带网接入

自动化车间汇聚网络拓扑图

轧钢总降汇聚网络拓扑图

轧钢总降

汇聚交换机

轧钢总降汇聚网络拓扑图

4.1.5.网络协议设计

4.1.5.1.IP地址和VLAN规划

IP地址是网络设计工作中重要的一环，使用IP地址不妥会导致路由表庞大、

难以布署安全控制、地址重叠问题、地址空间耗尽等问题，会给网络运行带来很大

麻烦。为了让**网络建设项目顺利进行，我们提议**网络采用如下TP地址规划原则

进行合适改善：

1、为企业各个一级单位、应用业务、数据中心采用统一规划，统一分派，统一

管理口勺地址设计原则，防止重叠地址【付出现。设定专门流程和人员对全企业

网络地址进行记录和权限管理

2、尽量采用私有地址进行IP地址分派。私有地址就是我们熟知的三类网络地

址，分别是A类网中H勺10.0.0.010.255.255.255范围，B类网中的

172.16.0.0^172.31.255.255范围,C类网中的192.168.0.0〜

192.168.255.255范围。

3、整网地址规划思绪可按照如下措施设计，如10.X.Y.Z,X为不一样厂区进行

标示，Y为该厂区内不一样业务或应用进行标示，Z为主机地址位。

4、

4个网络可以汇聚成10.254.128.0/22。在定义测试区安全方略时，不用将4

个网段同步定义成ACL,使用一条ACL就可以包括所有网络。

5、使用可变长掩码规划网络地址，根据IP地址使用对象的特点，布署不一样

长度子网掩码。例如，应用网段的HP地址，可以采用C类网地址，掩码为

24位；区域设备之间的I互连地址可以采用29位掩码。

6、不一样主机实际网关IP地址与HSRP使用日勺IP地址应当在整个数据中心统

一，使用相似的方式配置，例如：整个厂区均采用X.X.X.1作为主机实际网

关IP地址，HSRP采用X.X.X.254为HSRP网关地址。

7、网络互连地址采用IP地址网段的头两个可用地址，关键侧设备接口配置奇

数地址，边缘侧设备接口配置偶数地址。例如，设备A与设备B互连，采用

10.254.254.0/29网段为互连地址,该网段头两个可用地址为10.254.254.1

和10.254.254.2,设备A为关键设备，配置奇数地址10.254.254.1,设备B

为边缘设备,配置偶数地址10.254.254.2。

8、网络设备配置环回地址（32位掩码地址），用于网络管理和日志管理。

VLAN重要用于将局域网环境划分为多种逻辑网络，从而减少广播风带来欧|影响，

也可提高网络可管理性和安全性。提议在本次网络建设中可按照如下原则而新建

VLAN及原有VLAN进行合适调整和修改。

1、VLANID日勺规划可按照应用业务、工作部门、厂区位置等措施定义，这里提

议按照原有网络规划措施进行。

2、VLANID可以是2-4096任意数字，为了以便标示和管理，提议ID与IP网

段地址有关联。如10.18.10.0/24-VLAN10;10.18.20.0/24—VLAN20;

10.18.30.0/24—VLAN30等。

3、VLAN规划防止反复，全网VLAN静态手动分派（在根互换机），统一管理和

记录。

4.1.5.2.动态路由协议

对一种大网络来说，选择一种合适的路由协议是非常重要日勺，不恰当日勺选择有

时对网络是致命的，路由协议对网络的稳定高效运行、网络在拓朴变化时的迅速收

敛、网络带宽口勺充足有效运用、网络在故障时的迅速恢复、网络的灵活扩展均有很

重要的影响。

目前存在H勺路由协议有：RIP(vl&v2),OSPF、IGRP、EIGRP、IS-IS、BGP等，

根据路由算法日勺性质，它们可分为两类：距离矢量(DistanceVectcr)协议

(RIP/IGRP/EIGRP)和连接状态(LinkState)协议(OSPF/IS-IS)0

可用于大规模的网络同步又基于原则的IGPH勺路由协议有OSPF和IS-ISo两种

路由协议均是基于链路状态计算的最短途径路由协议；采用同一种最短途径算法

(Dijkstra)o考虑到产品对0SPF和IS-IS的支持的成熟性以及0SPF和IS-IS工

程经验，提议采用0SPF做为**网络的主用动态路由协议。

作为链路状态协议，0SPF的特性如下：

•通过维护一种链路状态数据库，使用基于Dijkstra日勺SPF路由算法。

•使用Hello包来建立和维护路由器之间的邻接关系。

•使用域(area)来建立两个层次的I网络拓扑。

•具有域间路由聚合的能力。

•无类(classless)协议。

•通过选举指派路由器(DesignedRouter)来替代网络广播。

•具有认证日勺能力。

OSPF是一套链路状态路由协议，路由选择日勺变化基于网络中路由器物理连接的J

状态与速度，变化被立即广播到网络中的每一种路由器。每个路由器计算到网络的

每一目的的一条途径，创立以它为根的路由拓扑构造树，其中包括了形成路由表基

础的最短途径优先树（SPF树）。

下图是OSPF分Area的状态。OSPFArea的分界处在路由器上，如图所示，某

些接口在一种Area内，某些接口在其他Area内，当一种OSPF路由器口勺接口分布在

多种Area内时、这个路由器就被称为边界路由器（ABR）。每个路由器仅与它们自己

区域内H勺其他路由器互换LSA。ArcaO被作为主干区域，所有区域必须与Area。相邻

按。在ABR（区域边界路由器，AreaBorderRouter）上定义了两个区域之间的边

界。ABR与AreaO和另一种非主干区域至少分别有一种接口。

OSPF容许自治系统中日勺路由按照虚拟拓扑构造配置，而不需要按照物理互连构

造配置。不一样区域可以运用虚拟链路连接。

容许在无IP状况下，使用点到点链路，节省IP空间。

OSPF是一种高效而复杂日勺协议，路由器运行OSPF需要占用更多CPU资源。

下面从层次能力、稳定性、扩展性和可管理性四个方面对OSPF进行简介：

＞层次能力

通过areas支持层次化

边界在router内

链路状态数据库（LSDB）来自网络或路由器LSA尺寸一64KBto5000条

链路口勺限制稳定性

依托路由设计和实现

大型网络中使用展现增强的趋势

＞犷展性

使用扩展TLV编码方略

新扩展需开发时间

＞管理性

企业网中大范围使用

可借鉴经验较多

本次网络建设项目，我们提议在各个区域之间开始布署0SPF动态路由协议。由

于接入互换机多数为二层互换机，无法一次实现路由到顾客边界的改造，因此本次

仅将各个区域日勺关键互换启动路由进程，此后可逐渐实现全网日勺路由建设。各个区

域在本次设计中都布署高性能三层互换机，这些互换机需具有完整的路由支持功能。

区域间关键设备组建0SPF协议口勺骨干area,未来在大范围布署动态路由协议时，

可考虑将各个厂区划分为areal,arca2等等，可以充足做到基于area的路由汇总

和控制。

互联网区域可按照需要，合适采用静态路由H勺方式完毕园区网与外网日勺连通。

未来可逐渐增长路由的范I韦I，逐渐演变为路由到顾客边界的形式。

4.L6.设备选型提议

4.1.6.1.华为产品选型方案

产品类型选型提议配置描述数量备注

背板带宽：32Tbps：包转发率:9600Mpps；8个业务

华为S12808槽位;支持基于Layer2>Layer3>Layer4优先级等2

口勺组合流分类支：电源功率：<10800W：

关键互换机

背板带宽：6Tbps；包转发率：1152Mpps；扩展模块:生活区宽

华为S93066个业务槽位；支持基于Layer2协议；安全管理：1带网关键

802.lx认证互换机

24个GESFP/IOGESFP+端口，双电源槽位,含USB

华为S63242

接口,交流供电;转发性能：715M；互换容量:960G；

汇聚互换机20个10/100/1000Base-T,4个千兆Combo口分交流

华为S5324供电和直流供电两种机型，支持RPS12V冗余电源，14

支持USB口，互换容量48G

4.1.6.2.华三产品选型方案

产品类型选型提议配置描述数量备注

机箱，主控板，8端口万兆光口板，48端口千兆电

H3CS125082

口板，流量分析业务板，冗余电源

关键互换机生活区宽

机箱，主控引擎，48口千兆电口板，48口千兆光口

H3CS105081带网关键

板，4端口万兆光口板，防火墙业务板，冗余电源

互换机

机箱，双SalienceVI引擎，2*24口千兆电口板，

H3CS7506E2

12口千兆光口板，冗余电源

汇聚互换机

H3CS5500-52C-EI-以太网互换机主机(48GE+4SFP

H3CS550014

Combo+2Slots),4个单模SFP模块

4.2.安全系统

4.2.1.系统设计目的

本次**网络改造项目建设目的是通过建立完善的安全体系，在网络安全，主机

安全和应用安全三个层面上，搭建一套立体的安全架构。这样可以实现抵御各个层

面日勺袭击，防止病毒入侵等功能。同步进行主机H勺风险评估和安全加固服务，提前

屏蔽漏洞风险。并通过安全管理平台实现安全审计功能，做到事件追踪。

4.2.2.系统设计原则

4.2.2.1.整体性原则

建设**安全系统时应充足考虑各个层面的原因，总体规划各个出入口网关口勺安

全方略。本次**网络改造项目充足考虑各个环节，包括设备、软件、数据等，它们

在网络安全设计中是非常重要『几只有从系统整体的角度去看待和分析才也许得到

有效，可行的措施。

4.2.2.2.适应性及灵活性原则

伴随互联网技术日勺高速发展，对网络安全方略的需求会不停变化，因此本次布

署日勺安全方略必须可以伴随网络等系统性能及安全需求日勺变化而变化，要做到轻易

适应、轻易修改。

4.2.2.3.一致性原则

一致性原则只要指安全方略的布署应与其他系统的实行工作同步进行，方案的

整体安全架构要与网络平台构造相结合。安全系统的设计思想应当贯穿在整个网络

平台设计中，体现整体平台的一致安全性。

4.2.2.4.需求、风险、代价平衡的原则

对网络要进行实际日勺研究（包括任务、性能、构造、可靠性、可维护性等），并

对网络面临的威胁及也许承担的风险以及付出日勺代价进行定性与定量相结合的分

析，然后制定规范和措施，确定系统的安全方略。

4.2.2.5.易操作性原则

安全措施需要人去完毕，假如措施过于复杂，对人H勺规定过高，自身就减少了

安全性；问步措施时采用不能影响系统的正常运行。

4.2.2.6.多重保护原则

本次**安全系统要建立一种多重保护系统，各层保护互相补充，当一层保护被

攻破时，其他层保护仍可保护信息的安全。

4.2.2.7.经济性原则

在满足**系统安全需求日勺前提下，选用经济实用日勺软硬件设备，以便节省投资,

即选用高性能价格比的设备；同步，应当充足挖掘既有系统软硬件设备的使用潜力,

尽量以最低成本来完毕安全系统建设。

4.2.3.安全体系构造

**网络系统安全区域划分示意图如下:

舞钢网络安全区域划分图

中心服务器集群

安全级别最高

火堵2

横心交换机1根次蝴2

华为S12808华为S12808

能源网、远程计量网/

**网络系统安全区域划分

如上图所示，**网络系统划分为多种安全区域，分别为：出口区域、DMZ区域、

管理网接入区域、中心服务器区域和关键互换区。其中，出口区域和DMZ区域设备

可访问Internet,部分设备也可由Internet访问，但均不可由公网直接路由到，

安全级别为中；管理网接入求负责企业二级接入网络同中心服务器及出口区域的数

据交互，安全级别为高；中心服务器区域设备为**关键数据，在公网不可以访问,

内网顾客只能经授权后访问特定服务，安全级别最高。

接入层安全级别示意图

接入层H勺安全级别如上图所示：管理网中，可以上外网的Internet接入终端时

安全级别低；只能访问管理网业务系统的接入终端，安全级别较高。

4.2.4.子系统规划

4.2.4.1.网络隔离系统

1.出口防火墙

通过布署两台千兆出口防火墙实现Internet与**内网日勺隔离。两台防火墙一主

一备，提高出口可靠性。

出口防火墙划分的内外网之间日勺访问方略为：内网到公网基本不做限制，重要

是考虑到内网H勺上网终端上网需求，另有些设备需要到公网升级；公网到备内网只

针对DMZ区域开放对应端口（如80）o布署在出口区域的设备如有和内网关键服务

器通讯日勺需求，在出口防火墙上对这些需求打开对应日勺IP和端口。

2.内网防火墙

通过内网防火墙实现关键内网区域之间的隔离。由于数据流较大，两台防火墙

采用双活方式工作，不一样业务的数据流分别通过不一样的I防火墙，实现数据流的

动态分担。实现安全的同步兼顾传播效率。

布署内网防火墙后，要针对业务的状况制定特定的访问方略，方略制定完毕后

只开放特定主机日勺IP与服务端口，其他访问一律严禁。

4.2.4.2.入侵检测系统

料网络系统需在网络H勺关键位置布署入侵防御系统(IPS)o提议在网络前端关

键设备布署两台IPS设备。可监控内网与公网之间的数据交互、公网对DMZ区域的

访问数据、监控接入/DMZ区域终端对关键内网的数据交互。

4.2.4.3.漏洞扫描系统

为了防止网站被黑客入侵，需要在网络系统中布署漏洞扫描系统，通过漏洞扫

瞄系统可以定期对网络系统进行安全性分析，发现并修正存在n勺弱点和漏洞。漏洞

扫瞄系统是管理员监控网络通信数据流、发现网络漏洞并处理问题的有力工具。

针对本系统的网络设计，我们将漏洞扫瞄系统布署在关键内网管理区域，使漏

洞扫描系统可以尽量不受限制的看待评估系统进行访问。

漏洞扫描系统布署后，将会对**口勺各个业务系统以及安全系统设备进行扫描，

根据扫描评估成果可以及时发现系统漏洞并及时采用措施。

4.2.4.4.安管平台系统

安全管理审计工作作为安全体系的重要构成部分，需要布署安全管理平台系统。

其中安全管理平台服务器布署在**关键内网管理区域，由防火墙提供保护，外网顾

客不容许访问该服务器。被管对象和安全管理平台服务器有数据传播，它们之间要

路由可达。

本次安全管理平台需要管理重要服务器和所有安全设备，搜集日志后并做出分

析，分出告警级别。也可以通过声光电或邮件、短信等方式报警，及时提醒管理员。

4.2.4.5.防病毒系统

防病毒系统的建设首先要根据本次系统设计的总体构造，从网络中'业务系统的

模式和重要也许感染病毒的系统和区域进行设计和考虑。

通过度析**网络系统的特点，可以总结病毒感染口勺途径如卜.：

•部分服务器如windows平台轻易受到病毒袭击；

•企业内部员工若有访问互联网的权限，则也许感染网络病毒，并通过、

FTP等流量把病毒和恶意的移动代码带入网站；

•通过U盘传播病毒；

•多种端虫病毒积极地通过网络传播.

从以上的分析入手，本系统的病毒防备工作必须从病毒防护的主体着手，根据

他们之间的访问关系施加防护及病毒监控。

本次方案防病毒系统采用防病毒网关与网络防病毒系统互相结合的方式，建立

完整的防病毒体系。其中防病毒网关服务可集成在出口防火墙上，在内网布署网络

防病毒系统，实现对系统中日勺关键服务器以及内部终端进行病毒防护，严防病毒感

染关键服务器以及终端后导致业务系统受病毒影响。

4.2.4.6.统一顾客/身份管理

顾客是IT系统中各类活动的实体，如人、组织、虚拟团体等。顾客管理是指在

IT系统中对顾客和权限的控制，包括了身份管理、顾客授权、顾客认证等，身份管

理是基础，顾客授权和认证是之上的服务。身份是一种实体区别于其他实体的特性,

IT系统中的身份一般指一种人在信息系统中欧I抽象，也可以是硬件、组织等实体的

抽象，是属于一种特定的实体的属性的集合。身份属性具有某些特点；往往是较短

的数据元素如名称、邮件、、照片、数字证书等。

身份管理就是产生和维护身份属性的过程，也是管理不一样实体之间关系日勺能

力。身份管理(IdentityManagement)是顾客管理(UserAdministration)Btl一部

分。

统一顾客管理(UUM)就是对不一样日勺应用系统进行统一日勺顾客认证，通过统一

的顾客认证平台提供一种单一的顾客登陆入口。顾客在操作系统域登陆时通过统一

顾客管理平台认证，就具有了使用有关应用欧J权利。同步统一顾客管理平台还提供

对长时间无应用操作日勺超时重认证功能，愈加可靠的保证安全。

统一顾客管理为顾客提供多种登陆手段，包括老式的口令登陆以及安全性能更

高日勺CA、USBKey等，使顾客在使用统一身份认证平台上有更灵活的选择。在认证

手段上，统一顾客管理提供支持LDAP/AD协议日勺认证中心管理，支持多种认证中心

认证，保证顾客信息日勺安全、可靠。

4.2.4.7.单点登录

单点登录(SSO,SingleSign-on)是一种以便顾客访问多种系统H勺技术，顾客

只需在登录时进行一次注册，就可以在多种系统司自由穿梭，不必反复输入顾客名

和密码来确定身份。单点登录口勺实质就是安全上下文(SecurityContext)或凭证

(Credential)在多种应用系统之间的传递或共享。当顾客登录系统时，客户端软

件根据顾客的凭证(例如顾客名和密码)为顾客建立一种安全上下文，安全上下文

包括用于验证顾客的安全信息，系统用这个安全上下文和安全方略来判断顾客与否

具有访问系统资源的权限。

1.客户端向应用服务器请求访问某资源。

2.应用服务器重定向到SSO眼务器请求

断言。

3.如果用户未登录SSO安全域，SS0服

务器将请求重定向到身份认证服务。

4,用户通过身份认证后，SS0服务器为其

生成身份标识，并签发身份断言。

5.SS0服务器重定向到应用服务器，应用

服务器验证断言有效性，从断言中获得

用户身份信息。本次访问结束。

SSO服务器

目前业界已经有诸多产品支持SSO,但各家SSO产品日勺实现方式也不尽相似。

如通过Cookie记录认证信息，通过Session共享认证信息。Cookie是一种客户端

机制，它存储日勺内容重要包括：名字、值、过期时间、途径和域，途径与域合在一

起就构成了Cookie的作用范围，因此用Cookie方式可实现SSO,但域名必须相似;

Session是一种服务器端机制，当客户端访问服务器时，服务器为客户端创立一种

惟一的SessionlD,以使在整个交互过程中一直保持状态，而交互日勺信息则可由应

用自行指定，因此用Session方式实现SSO,不能在多种浏览器之间实现单点登录,

但却可以跨域。

4.2.4.8.上网行为管理系统

针对内部上网的人员，首先从安全角度考虑，需对网站资源进行筛选过滤，对

非授权人员访问互联网，以及内部人员访问恶意站点等行为进行阻断；另首先从管

理角度考虑，需对内部人员上网方式进行管理，使上网访问资源可控。

针对这种需求，我们提议将上网行为管理设备布署在互联网出口处。对所有上

网终端进行安全防护，实现对内网顾客的上网行为进行管理、过滤和审计，可通过

顾客身份认证、上网时间管理、网页访问控制、IM管理、邮件管理、论坛管理、P2P

管理、游戏管理等方式对上网行为进行限制和审计。

4.2.4.9.终端安全管理系统

由于目前互联网安全问题突出，针对内部上网终端只有防病毒系统是远远不够

的。需要对终端安全状况进行统一管理，包括硬件资产管理、补丁管理、软件管理、

进程管理.、安全软件管理等。对终端的安全状况进行加固后方容许接入网络，否则

不容许接入。提高整个内部局域网的安全准入能力。

4.2.4.10.时钟系统

由于对数据库日勺访问需要各业务系统保证时钟的统一，因此提议在网络中布署

一台时钟服务器，网络中其他设备通过NTP协议将自己的时钟与该服务器上的时间

信息进行同步，从而统一内网服务器欧I时间。在为信息系统时钟系统进行设计时,

充足考虑届时钟系统H勺可靠性与精确性，保证内网的时间是精确和稳定欧I。

4