网络架构优化实施方案

网络架构优化实施方案（一）总述我作为公司IT运维部的负责人，做网络运维快六年了，这几年眼看着公司业务扩张，新部门不断新增，远程办公、视频会议、云业务系统这些新应用越来越多，原来七八年前搭建的老网络架构早就跟不上需求了。这两年来我每天都能接到七八个报修，说上网卡、业务系统刷不出来，甚至还出过两次核心交换机宕机、专线中断导致全公司断网两小时的事故，耽误了财务报税、客户订单处理，不光业务部门有意见，领导也多次要求我们尽快拿出彻底的解决方案。我们前后花了一个多月摸排全公司网络情况，测试了高峰时段的各项性能指标，梳理出了所有现存问题，最终制定了本次从架构层面彻底优化的实施方案，目标就是解决当前的卡顿、不稳定、不安全问题，同时给未来三到五年的业务发展预留足够的扩展空间，下面我把整个方案详细说明清楚。1项目背景与现状分析1.1项目发起背景我们公司当前的网络架构还是最早公司搬入现办公楼的时候搭建的，当时整个公司不到一百人，只有基础的办公上网需求，所以当时只做了简单的核心+接入两层架构，设备选型也都是入门级的。这些年下来，公司规模扩张了三倍，新增了三个业务中心，还上线了客户管理系统、财务共享系统、远程视频会议系统好几个核心业务应用，员工日常办公也都转到线上，网络的并发需求比原来翻了五六倍，老架构的短板越来越明显。我印象最深的就是上次全公司的年度培训，用线上视频会议开，不到十分钟一半的人卡成了PPT，声音画面完全不同步，最后不得不改期，那次之后领导批了专项预算，要求我们彻底优化网络架构，不能再出类似的问题。1.2当前网络架构存在的核心问题我们连续监测了两周的网络运行数据，总结出四个核心问题，每一个都是实打实影响使用的痛点。1.2.1核心层性能瓶颈突出原来的核心交换机是七八年前的入门款，整机吞吐量只有现在高峰需求的一半不到，我们测过，工作日上午九点到十一点、下午两点到四点的办公高峰，核心交换机的CPU使用率常年保持在85%以上，有时候甚至冲到98%，直接出现丢包，很多人开个内部网页都要刷半分钟，核心业务系统的响应延迟更是超过了正常标准的三倍，性能完全不够用。1.2.2网络区域划分混乱无隔离原来搭建网络的时候没有做清晰的区域划分，办公网、业务系统网、访客网、监控物联网网全都混在同一个大网段里，既没有VLAN隔离，也没有做访问控制。这就导致经常出问题，比如员工私接无线路由器，很容易造成IP冲突，一冲突整个楼层都上不了网；还有访客连了内部网，一不小心就把带的病毒传到内网，之前就出过一次访客带的木马串到业务网，差点把客户管理系统的数据搞坏，现在想想都后怕。1.2.3冗余机制完全缺失原来为了省成本，核心层只放了一台交换机，出口也只拉了一条运营商专线，完全没有冗余。之前运营商线路检修，提前打招呼说要断网两个小时，全公司都没法办公，很多业务都停了；还有一次核心交换机电源坏了，我们等备件等了三个小时，这三个小时全公司断网，那个压力真的太大了，吃过这么多次亏，我们知道冗余是必须做的。1.2.4带宽分配机制不合理原来所有用户共享出口带宽，没有做智能分流和限速，经常出现几个人用P2P下东西，就占了百分之八十以上的带宽，其他同事开个网页都卡。我们之前试过手动限流，但是做得很粗糙，要么限太严影响正常工作，要么限不住，根本解决不了问题，核心业务反而抢不到足够的带宽，视频会议经常掉帧就是这个原因。2优化总体目标与设计原则梳理完所有问题之后，我们结合公司的需求和预算，明确了本次优化的目标和原则，确保整个优化不偏方向，既能解决当前问题，也不会浪费预算。2.1总体优化目标本次优化不是简单换两台设备凑合用，而是从整体架构层面重构升级，最终要实现四个目标：第一是把核心性能提上来，高峰时段核心设备CPU使用率控制在50%以下，所有业务系统响应延迟降到正常范围，彻底解决卡顿问题；第二是实现不同区域的安全隔离，把风险控制在局部，不会一出问题影响全公司；第三是完善冗余机制，把断网的概率降到最低，就算单个设备或者线路出问题，也能自动切换，用户几乎感觉不到断网；第四是预留足够的扩展空间，未来三到五年公司再新增人员和业务，不需要再动整体架构，直接扩容就行。2.2设计原则我们整个优化方案严格遵循四个原则，兼顾专业、实用和成本：2.2.1稳定性优先原则网络是所有办公和业务的基础，所以我们一切设计都以稳定为前提，核心设备选口碑好、成熟稳定的型号，所有关键节点都做冗余，绝不因为省成本在关键环节打折扣。2.2.2安全隔离原则按照不同的用途和安全等级划分区域，不同区域之间做访问控制，只开放必要的权限，从架构层面提升内网安全性，避免风险扩散。2.2.3可扩展原则所有设备和地址规划都预留足够的余量，核心交换机的插槽、端口都留了一半以上的空余，IP地址段也预留了两倍以上的容量，未来新增业务直接加模块就行，不用重新改造整个架构。2.2.4性价比原则我们也不会盲目追求高端设备，能利旧的设备尽量利旧，比如接入层的交换机，只要性能没问题、没坏的，我们整理一下继续用在低需求的区域，只换性能不够的坏设备，把预算都花在核心层、安全这些关键地方，把钱花在刀刃上，不做不必要的浪费。3具体优化实施内容明确了目标和原则之后，我们制定了具体的优化实施内容，从架构重构到细节配置一步步落地。3.1三层架构重构，梳理分层职责我们把原来简单的两层架构改成标准的核心层、汇聚层、接入层三层架构，每一层分工明确，减轻核心层的压力，提升整体稳定性。3.1.1核心层优化升级核心层我们换成两台同型号的高性能核心交换机，做虚拟化堆叠，实现一主一备，自动故障切换，任何一台出问题，另一台秒接，不会断网。出口换成两条不同运营商的专线，做负载均衡加冗余备份，平时两条线路一起分担流量，任何一条出故障，十秒之内就能自动切到另一条，用户几乎感觉不到断网，之前吃过单线路的亏，这次说什么也要把这个冗余做足。3.1.2汇聚层按区域划分我们按照用途划分成四个汇聚区域，分别是办公区汇聚、业务系统汇聚、访客物联网汇聚、公共区域汇聚，每个区域单独配置汇聚交换机，负责本区域的VLAN路由转发和访问控制，把原来都压在核心层的转发工作分担开，大大降低核心层的压力，也方便做区域隔离。3.1.3接入层梳理改造我们把全公司所有接入交换机都排查一遍，坏的、性能不够的直接换掉，性能没问题的整理干净，重新编号规划，每个接入端口都绑定对应位置的MAC地址和VLAN，防止员工私接路由器乱改IP，从接入层就把规则理清楚。3.2逻辑隔离与带宽管控优化架构搭好之后，我们再做逻辑层面的优化，解决隔离和带宽分配的问题。3.2.1重新规划网段与VLAN隔离我们重新规划了整个内网的IP地址段，按照区域和部门划分VLAN，办公网每个部门一个VLAN，业务系统单独一个大VLAN，访客网单独一个VLAN，监控、门禁这些物联网设备也单独划出来，不同VLAN之间默认不能互相访问，只有经过授权的访问才能通。比如访客连网之后，只能访问互联网，根本碰不到内部的办公网和业务系统，大大提升了安全性，也不会因为访客的设备影响内部网络。3.2.2部署智能带宽管控我们会上一条智能带宽管理设备，按照应用和部门分配带宽优先级，核心业务比如财务系统、客户管理系统、视频会议给最高优先级，不管什么情况都预留足够的带宽，保证这些核心应用不会卡。上班时间自动限制P2P下载、视频网站这些非工作应用的带宽，下班之后再放开，既不影响大家工作，也不会让少数人占用太多带宽，从根本上解决了“少数人占带宽，所有人卡”的问题。3.3完善冗余与备份机制除了核心和线路的冗余，我们还完善了配置备份机制，所有网络设备的配置都会每天自动备份，备份文件存在本地和异地两个不同的存储位置，真要是出了设备故障，换完设备直接导入配置就能用，不用像之前那样熬夜重新配配置，那个熬夜赶配置的罪我真不想再受第二次了。3.4网络安全升级我们把原来性能不够的老防火墙换成新一代的下一代防火墙，不光能做基础的访问控制，还能做入侵检测、病毒防护，把外部的攻击、病毒都挡在入口处。同时我们在所有交换机上开启ARP防欺骗功能，防止内网病毒攻击，就算一个VLAN出了问题，也不会影响其他VLAN，把风险控制在最小范围。4实施步骤与风险管控为了尽量不影响大家正常办公，我们分步骤错峰实施，同时做好风险管控，避免出大问题。4.1实施步骤安排整个项目分四个阶段推进：第一是前期准备阶段，我们已经完成了全公司网络的摸排，所有现有设备、线路、端口都登记清楚，接下来会完成设备采购，提前在新设备上做好基础配置，提前一周给各个部门发通知，告诉大家施工的时间，让大家提前做好工作安排。第二是试点测试阶段，我们先拿IT部门所在的楼层做试点，把新架构搭起来，连续测试三天，测试性能、稳定性、各个功能是不是正常，发现问题及时调整，没问题再铺开。第三是分批实施阶段，我们按楼层分批次施工，都安排在下班之后或者周末，每个楼层施工最多三个小时，施工完当场测试，没问题就给大家开通，尽量不影响正常上班，整个分批实施阶段大概两周就能完成。第四是整体调试验收，全部施工完成之后，我们连续监测一周的运行数据，找各个部门的代表测试不同的应用，确认所有功能都正常之后，组织公司相关部门验收，之后给大家发简单的使用说明，有问题随时找我们IT部门。4.2风险管控措施施工肯定会有风险，我们提前做好了应对方案：第一，我们会把原来的老设备全部保留，做好配置备份，要是新设备调试出问题，半个小时就能切回原来的老网络，不会长时间断网；第二，所有新配置都有两个人交叉核对，避免出现配置错误，提前做了三次模拟测试，把能想到的问题都提前解决；第三，施工期间IT部门全员在岗，任何问题都能半小时内赶到现场处理，验收之后的一个月我们也安排专人每天巡检，有问题马上解决，不会让大家用着不舒服。（二）总结总的来说，本次网络架构优化方案完全是从我们公司实际存在的痛点出发，一步步梳理出来的，所有调整都是针对我们实际遇到的问题来的，既解决当前的卡顿、不稳定、不安全的问题，也给未来的发展预留了足够的空间，预算也控制在公司批准的范围之