公司网络规划

公司网络规划 网络规划 企业网 便利 趋势 目录 第一章 概述 1.1 网络规划的基本概念与背景 企业网是具有一定规模的网络系统，它可以是单座建筑的局域网，也可以使覆盖一个园区的园区网，还可以是跨地区的广域网，其覆盖的范围可以是数公里/数百公里甚至更广。 企业网是针对企业的特殊需求而构造的高效而又经济的信息传输和失误处理系统，能满足企业高效运作的需求。企业网的建设目标是以信息技术为手段，把分布在不同地点的现有资源迅速结合成一种几乎没有时间和空间约束，靠电子手段练习的统一指挥的经营实体，从而达到企业生存和发展的高效性、稳定性和长期性。这样可以支撑企业信息系统的运作，共享各种资源，提高企业办公和集团生存效率，降低我也得总体运行费用。 为了适应业务的发展和国际化的需求，积极参与国家信息化进程，提高管理水平，发展全新的形象，公司准备建立一个现代化的机构内部网络，实现信息的共享、协作和通讯，并和属下各个部门互联，并在此基础上开发建设现代化的企业应用系统，实现智能型、信息化、快节奏、高效率的管理模式。 1.2 要求 这家企业的三个独立子公司分别位于一个城市的三个区，每个区之间相隔物理距离大于10公里，小于20公里。 网络和功能的要求: 1、每个子公司有500台~1000台主机，要求每个子公司自行形成一个子网，整个公司形成一个局域网。局域网内的所有主机之间可相互访问。 2、公司有一个网站，网站(WEB)服务器放在其中的一个子公司内。公司内部可访问WEB服务器上的内网部分。公司外部能访问WEB服务器上的外网部分。 3、公司内部有一个FTP站点，用来提供文件服务，只允许公司内部的主机访问。要求有权限控制，不同的用户组能访问其不同等级的内容。 4、公司的网络为每个办公人员分配内部电话，电话不需要专门布线，利用VoIP技术来实现。 第二章 需求分析 2.1 用户需求分析 1、每个子公司有500台~1000台主机，要求每个子公司自行形成一个子网，整个公司形成一个局域网。局域网内的所有主机之间可相互访问。 2、公司有一个网站，网站(WEB)服务器放在其中的一个子公司内。公司内部可访问WEB服务器上的内网部分。公司外部能访问WEB服务器上的外网部分。 3、公司内部有一个FTP站点，用来提供文件服务，只允许公司内部的主机访问。要求有权限控制，不同的用户组能访问其不同等级的内容。 4、公司的网络为每个办公人员分配内部电话，电话不需要专门布线，利用VoIP技术来实现。 2.2 建设目标 1)、构造一个既能覆盖本地又能与外界进行网络互通、共享信息、展示企业的计算机企业网。 2)、选用技术先进、具有容错能力的网络产品，在投资和条件允许的情况下也可采用结构容错的 3)、完全符合开放性规范，将业界优秀的产品集成于该综合网络平台之中; 4)、具有较好的可扩展性，为今后的网络扩容作好准备 5)、采用OA办公，做到集数据、图像、声音三位一体，提高企业管理效率、降低企业信息传递成本 6)、整个公司采用光纤接入到运营商提供的Internet。集团统一一个出口，便于控制网络安全 7)、设备选型上必须在技术上具有先进性，通用性，且必须便于管理，维护。应具备未来良好的可扩展性，可升级性，保护公司的投资。设备要在满足该项目的功能和性能上还具有良好的性价比。 2.3 设计原则 多业务网络系统方案以实现以上功能为基本要求，在设计上力求做到既要采用国际上先进的技术，又要保证系统的安全可靠性和实用性。具体来讲，其设计遵循以下原则: 2.3.1 先进性 系统的主机系统、网络平台、数据库系统、应用软件均应使用目前国际上较先进、较成熟的技术，符合国际和规范; 2.3.2 标准性 所采用技术的标准化，可以保证网络发展的一致性，增强网络的兼容性，以达到网络的互连与开放。为确保将来不同厂家设备、不同应用、不同协议连接，整个网络从设计、技术和设备的选择，必须支持国际标准的网络接口和协议，以提供高度的开放性。 全面支持IEEE工业标准:802.1d，802.1p，802.1q，802.1x，802.3，802.3u，802.3z;支持路由协议:IP 的RIP V1/2，OSPF，BGP-4;信令标准:H.323,RTP/CRTP. 支持:IPsec、L2TP、GRE、MPLS-VPN规范。 支持多址广播协议:IGMP，DVMRP，PIM-DM，PIM-SM; 网络管理协议:SNMP，RMON，RMON2; 2.3.3 兼容性 跟踪世界科技发展动态，网络规划与现有光纤传输网及将要改造的分配网有良好的兼容，在采用先进技术的前提下，最大可能地保护已有投资，并能在已有的 网络上扩展多种业务。 2.3.4 可升级和可扩展性 随着技术不断发展，新的标准和功能不断增加，网络设备必须可以通过网络进行升级，以提供更先进、更多的功能。在网络建成后，随着应用和用户的增加，核心骨干网络设备的交换能力和容量必须能作出线性的增长。设备应能提供高端口密度、模块化的设计以及多种类接口、技术的选择，以方便未来更灵活的扩展。 2.3.5 安全性 网络的安全性对网络设计是非常重要的，合理的网络安全控制，可以使应用环境中的信息资源得到有效的保护可以有效的控制网络的访问，灵活的实施网络的安全控制策略。在企业园区网络中，关键应用服务器、核心网络设备，只有系统管理人员才有操作、控制的权力。应用客户端只有访问共享资源的权限，网络应该能够阻止任何的非法操作。在园区网络设备上应该可以进行基于协议、基于Mac地址、基于IP地址的包过滤控制功能。在大规模园区网络的设计上，划分虚拟子网，一方面可以有效的隔离子网内的大量广播，另一方面隔离网络子网间的通讯，控制了资源的访问权限，提高了网络的安全性。在设计园区网的原则上必须强调网络安全控制能力，使网络可以任意连接，又可以从第二层、第三层控制网络的访问。 2.3.6 可靠性 本系统是7x24小时连续运行系统，从硬件和软件两方面来保证系统的高可靠性。 硬件可靠性 系统的主要部件采用冗余结构，如:传输方式的备份，提供备份组网结构;主要的计算机设备(如数据库服务器)，采用CLUSTER技术,支持双机或多机高可用结构;配备不间断电源等。 软件可靠性 充分考虑异常情况的处理，具有强的容错能力、错误恢复能力、错误记录及预警能力并给用户以提示;并具有进程监控管理功能，保证各进程的可靠运行数据库系统应。 网络结构稳定性 当增加/扩充应用子系统时，不影响网络的整体结构以及整体性能，对关键的网络连接采用主备方式，已保证数据的传输的可靠性。 本系统应具有较强的容灾容错能力，具有完善的系统恢复和安全机制; 2.3.7 易操作性 提供中文方式的图形用户界面，简单易学，方便实用。优良的性能价格比。 系统应着重考虑和满足以上的设计要求。 2.3.8 可管理性 络的可管理性要求:网络中的任何设备均可以通过网络管理平台进行控制，网络的设备状态，故障报警等都可以通过网管平台进行监控，通过网络管理平台简化管理工作，提高网络管理的效率。 在进行网络设计时，选择先进的网络管理软件是必不可少的。网络管理软件应 用于网络的设备配置，网络拓扑结构表示，网络设备的状态显示，网络设备的故障事件报警，网络流量统计分析以及计费等。网管软件的应用可以提高网络管理的效率，减轻网络管理人员的负担。网络管理的目标是实现零管理，基于策略的管理方式，网络管理是通过制定统一的策略，由管理策略服务器进行全局控制的。基于Web的网管界面，是网管软件的发展趋势，灵活的操作方式简化了管理人员的工作。在设计园区网的设备选择上，要求网络设备支持标准的网络管理协议SNMP，同时支持RMON/RMONII协议，核心设备要求支持 RAP (远程分析端口) 协议，实施充分的网络管理功能。在设计园区网的原则上应该要求设备的可管理性，同时先进的网管软件可以支持网络维护、监控、配置等功能。 第三章 方案设计 3.1 总体设计(拓扑图+设计描述) 3.2网络结构分析 3.21骨干层 网络中心节点及其它核心节点作为企业网络系统的心脏，必须提供全线速的数据交换，当网络流量较大时，对关键业务的服务质量提供保障。另外作为整个网络的交换中心，在保证高性能、无阻塞交换的同时，还必须保证稳定可靠的运行。 因此在网络中心的设备选型和结构设计上必须考虑整体网络的高性能和高可靠性。具体来说核心节点的交换机有两个基本要求:1)高密度端口情况下，还能保持各端口的线速转发;2)关键模块必须冗余，如管理引擎、电源、风扇。 由于企业网建设最终必将采用万兆技术，因此需要考虑到核心设备对万兆的支持能力。 综上所述，主干核心交换机属于高端系列的产品，所以在本方案中，核心交换机建议采用多业务万兆核心路由交换机。可以根据用户的需求灵活配置，灵活构建弹性可扩展的网络。多业务万兆核心路由交换机高背板带宽和二/三层包转发速率可为用户提供高速无阻塞的交换，强大的交换路由功能、安全智能技术可为用户提供完整的端到端解决方案，是大型网络核心骨干交换机的理想选择。 RG-S68100E是锐捷网络推出的基于NP+ASIC构架的新一代多业务万兆核心路由交换机，RG-S6800E在保障高性能大容量的基础上提供强大的安全防护能力，并且拥有业务按需叠加扩展能力，达到业务和性能并重的设计需求。目前提供10竖插槽设计和6横插槽设计两种主机:RG-S6810E和RG-S6806E。 RG-S6800E系列多业务万兆核心路由交换机提供2.4T/1.2T背板带宽，并支持将来扩展到4.8T/2.4T的能力，高达857Mpps/428Mpps的二/三层包转发速率可为用户提供高速无阻塞的数据交换，强大的交换路由功能、安全智能技术可同 锐捷各系列交换机配合，为用户提供完整的端到端解决方案，是大型网络核心骨干和大流量节点交换机的理想选择。 RG-S6800E交换机通过先进的第三代高性能引擎可硬件支持策略路由、IPV6等协议，并可扩展支持MPLS、load balancing、NAT、VPN、Firewall、IDS、web cache redirect等丰富的业务功能，满足客户环境灵活而复杂的不同应用需求。 在此方案中，企业网络中心采用RG-S6810E多业务万兆核心路由交换机作为核心交换机。核心层交换机跟汇聚接入层交换机之间的千兆链路可以捆绑，从而实现带宽的灵活扩展。 3.22接入层 接入层网络由楼栋交换节点和楼层交换节点组成，接入层网络应该可以满足各种客户的接入需要，而且能够实现客户化的接入策略，业务QOS保证，用户接入访问控制等等。 楼层交换节点采用千兆智能堆叠交换机，提供智能的流分类和完善的QoS特征。为各类型网络提供完善的端到端的服务质量、丰富的安全设置和基于策略的网管，最大化满足高速、融合、安全的企业网新需求;本方案中各接入层交换机通过千兆链路上联到各汇聚层设备，对下联的桌面设备提供全双工的百兆连接，为各类用户提供无阻塞的交换性能。 3.23出口 因为企业网出口采用以太网，所以采用路由器 + 防火墙的方式，起到如下作用: 防火墙提供强有力的服务器、内网安全保护、提供IDS等安全特性;路由器提供出口路由功能，数据处理能力强，具有强大的NAT功能。 3.3 IP、VLAN地址规划 整体规划:IP地址规划、VLAN规划、各部分的功能规划与要求 3.31IP划分 3.32网络VLAN的设计 在企业网络的整个网络规划当中，VLAN 的划分是非常重要的部分，很好的利用VLAN技术的功能，能起到事半功倍的效果，对整个网络的性能也是事关重要的。主要突出为以下几点: 划分，可以避免广播风暴，在骨干网络中尤为突出，在多媒体、视频 点播等很容易引起广播信息;划分之后，VLAN 是广播只在子网中进行，不会做无意义的广播，消除了广播风暴产生的条件。 划分，可以增加网络的安全性，在不同的VLAN之间不能随意通讯，只 限与本子网间通讯，不会对其他的子网产生干扰。要进行访问，需要通过三层交换，这样信息流就得到相当好的控制。 网络管理系统采用完全独立的IP子网和VLAN，实现更加安全的对所有网络设 备进行管理。建立VLAN 和IP 子网的对应关系。 提高管理效率，实现虚拟的工作组，减少站点的移动和改变的开销。 间的子网访问，可以在三层交换机上实现，子网间的通讯也可以在汇 聚设备上实行，分流核心交换机的三层交换，优化了组网。 根据以往网络管理经验和骨干网络网络建设的实际情况，方案建议在骨干网络VLAN划分规划以“灵活划分、方便管理”为基本原则，以不同的使用群体为VLAN范围划分。这样划分VLAN的好处有: 1、方便管理。为了更好的进行VLAN规划的实施，因此在网络实施前期，要对网络中不同区域的VLAN设置进行详细的规划，细化到接入层网络，这样在骨干网络这样大型的校园网络中如果以用户群体来划分VLAN的话，避免由于前期配置设备时复杂烦琐，而且由于相同的用户群体可能在不同的物理位置，导致造成整个企业网络中VLAN划分复杂，减轻管理和后期维护。所以方案建议骨干网络划分VLAN方式前进行详尽规划，这样既可以减少广播域，又达到划分VLAN，方便管理的效果，对于后期网络维护和升级具有十分现实的意义。 2、易于实施。按群体划分VLAN在工程实施中就十分的方便，不会造成VLAN划分复杂失误而使得网络出现不通的现象，便于工程快速实施和网络中心整体规划。 3、VLAN间路由采用三层交换设备进行VLAN路由。以便不同VLAN间进行访问，对于学校重要网络资源，需要进行权限访问的时候，建议采用专家级ACL(可同时基于VLAN号、以太网类型、MAC地址、IP地址、TCP/UDP端口号、时间灵活组合限定的硬件ACL)来进行访问权限设定，保障重要资料不被非法访问。 3.33网络安全设计 构建全程全网的访问控制体系是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。 1.接入安全 RG-S2924G是锐捷网络推出的全千兆安全智能接入交换机，在提供高性能、高带宽的同时，提供智能的流分类、完善的服务质量(QoS)和组播应用管理特性，并可以根据网络的实际使用环境，实施灵活多样的安全控制策略，有效防止和控制病毒传播和网络攻击，控制非法用户接入和使用网络，保证合法用户合理化使用网络资源，充分保障了网络高效安全、网络合理化使用和运营。 2.访问安全 锐捷RG-S6800E多业务万兆核心路由交换机支持802.1Q VLAN，可使用VLAN划分隔离用户访问。同时还支持VLAN 隧道技术，可实现跨校区的VLAN功能。并且锐捷RG-S6800E多业务万兆核心路由交换机支持完善的ACL，可以基于MAC、IP、TCP/UDP端口号进行流量控制，以有效的防范和控制网络蠕虫病毒(如冲击波)的传播和危害。 ACLs的全称为接入控制列表(Access Control Lists)，可以对数据流进行过滤可以限制网络中的通讯数据类型及限制网络的使用者或使用设备。在数据流通过交换机时对其进行分类过滤，并对从指定接口输入的数据流进行检查，根据匹配条件(conditions)决定是允许其通过(permit)还是丢弃(deny)。 锐捷RG-S6800E多业务万兆核心路由交换机支持以下几种类型的ACLs: 用于过滤IP报文，包括TCP和UDP。 1. Standard IP access lists (标准IP接入控制列表)使用源IP地址作为匹配的条件 2. Extended IP access lists(扩展IP接入控制列表)使用源IP地址、目的IP地址及可选的协议类型信息作为匹配的条件 用于过滤二层数据流: 1. MAC Extended access lists(MAC扩展控制列表)使用源MAC地址、目的 MAC地址及可选的以太网类型作为匹配的条件 用于过滤二层和三层、二层和四层、二层和三层、四层数 据流: Expert Extended access lists(专家扩展控制列表)使用源MAC地址、目的MAC地址、以太网类型、源IP、目的IP、及可选的协议类型信息作为匹配的条件。 对于不同访问权限的区域采用ACL访问控制来对不同访问资源进行权限控制。 应用ACL可以有效的防范“冲击波”等蠕虫病毒;支持802.1X技术，满足6元素绑定接入限制;支持IGMP源端口检查及源IP检查，可有效控制非法组播源，提高网络安全;IGMP V3支持通告主机希望接收的多播源的地址，避免非法的组播数据流占用网络带宽; 通过PVLAN(保护端口)隔离用户之间信息互通，不必占用VLAN资源;提供SSH的加密登陆和管理功能，避免管理信息明文传输引发的潜在威胁; Telnet/Web登录的源IP限制功能，避免非法人员对网络设备的管理; SNMPV3提供加密和鉴别功能:确保数据从合法的数据源发出(引擎ID);确保数据在传输过程中不被篡改(采用MD5和SHA认证协议);加密报文，确保数据的机密性(采用DES56加密协议)。 3.病毒防御 锐捷网络设备，能够提供病毒防御功能，使得某些特定病毒不能任意传播。主要提供以下几个功能:1)预防PC感染类似“冲击波、震荡波”的病毒;2)如果某台机器感染病毒，能够实现中毒机器隔离，限制同一网段中病毒的传播。 3)支持防止DDoS攻击，防止IP段恶意扫描等抗攻击特性。 第四章 设备选型 4.1路由器的选择 锐捷RSR-08路由器是高性能、通用的骨干汇聚路由器，具有高背板带宽、高包转发率、结构紧凑、端口密度高等特点，并能提供全范围的光纤和铜缆接口。RSR-08路由器具有强大的业务能力，可以满足目前所有的城域汇聚和接入需求，提供多协议标准交换 (MPLS)第2或3层隧道技术、动态带宽控制和面向连接的数据收集体系。作为多协议标记(MPLS)PE路由器，他们使提供商的基于MPLS的业务具有高度的可扩展性和可靠性。通过使用VPLS，可以利用原有网络和以太网基础设施提供VOIP、互联网接入、视频以及多点虚拟专用网(VPN)等融合业务。 锐捷RSR-08路由器支持包括TDM、POS、ATM和千兆位以太网，速率高达OC- 48。部署在各种应用中，RSR-08路由器可用于搭建骨干汇聚路由器和核心层网络，为用户提供综合的、高性能、功能强大的服务, 并提供高可用性网络所需的冗余支持。 4.2交换机的选择 RG-S6800E是锐捷网络推出的基于NP+ASIC构架的新一代多业务万兆核心路由交换机，RG-S6800E在保障高性能大容量的基础上提供强大的安全防护能力，并且拥有业务按需叠加扩展能力，达到业务和性能并重的设计需求。目前提供10竖插槽设计和6横插槽设计两种主机:RG-S6810E和RG-S6806E。 RG-S6800E系列多业务万兆核心路由交换机提供2.4T/1.2T背板带宽，并支持将来扩展到4.8T/2.4T的能力，高达857Mpps/428Mpps的二/三层包转发速率可为用户提供高速无阻塞的数据交换，强大的交换路由功能、安全智能技术可同锐捷各系列交换机配合，为用户提供完整的端到端解决方案，是大型网络核心骨干和大流量节点交换机的理想选择。 RG-S6800E交换机通过先进的第三代高性能引擎可硬件支持策略路由、IPV6等协议，并可扩展支持MPLS、load balancing、NAT、VPN、Firewall、IDS、web cache redirect等丰富的业务功能，满足客户环境灵活而复杂的不同应用需求。 RG-S6506是锐捷网络推出的万兆骨干路由交换机，拥有6个模块扩展槽，提供管理模块冗余，支持万兆、千兆和百兆模块线速转发，可以根据用户的需求灵活配置，构建弹性可扩展的现代IP网络。” RG-S6506交换机高达768G的背板带宽和286Mpps的二/三层包转发速率可为用户提供高速无阻塞的线速交换，强大的交换路由功能、安全智能技术可同锐捷各系列交换机配合，为用户提供完整的端到端解决方案，是小型网络核心和大型网络骨干交换机的理想选择。 RG-S2924G是锐捷网络推出的全千兆安全智能接入交换机，在提供高性能、高带宽的同时，提供智能的流分类、完善的服务质量(QoS)和组播应用管理特性，并可以根据网络的实际使用环境，实施灵活多样的安全控制策略，有效防止和控制病毒传播和网络攻击，控制非法用户接入和使用网络，保证合法用户合理化使用网络资源，充分保障了网络高效安全、网络合理化使用和运营。 RG-S2924G特有的CPU保护控制机制，对发送到CPU的数据进行带宽控制，以避免非法者对CPU的恶意攻击，充分保障了交换机的安全。 RG-S2924G为方便不同管理员的使用习惯，提供了多种形式的管理工具，如SNMP、Telnet、Web和Console口等。 RG-S2924G以极高的性价比为各类型网络提供完善的端到端的QoS服务质量、灵活丰富的安全策略管理和基于策略的网管，最大化满足高速、高效、安全、智能的企业网新需求。 支持生成树协议802.1D、802.1w、802.1s，完全保证快速收敛，提高容错能力，保证网络的稳定运行和链路的负载均衡，合理使用网络通道，提供冗余链路利用率。 4.3防火墙 为了以后扩展的需要，所以采用了RG-WALL1000。RG-WALL1000采用锐捷网络独创的分类算法(Classification Algorithm)设计的新一代安全产品——第三类防火墙，支持扩展的状态检测(Stateful Inspection)技术，具备高性能的网络传输功能;同时在启用动态端口应用程序(如VoIP, H323等)时，可提供强有力的安全信道。 采用锐捷独创的分类算法使得RG-WALL产品的高速性能不受策略数和会话数多少的影响，产品安装前后丝毫不会影响网络速度;同时，RG-WALL在内核层处理所有数据包的接收、分类、转发工作，因此不会成为网络流量的瓶颈。另外，RG-WALL具有入侵监测功能，可判断攻击并且提供解决措施，且入侵监测功能不会影响防火墙的性能。RG-WALL的主要功能包括:扩展的状态检测功能、防范入侵及其它(如URL过滤、HTTP透明代理、SMTP代理、分离DNS、NAT功能和审计/报告等)附加功能。 4.4服务器 天阔I650(r)-E服务器是曙光天阔服务器系列产品中，面向行业市场中等网络规模用户开发的一款部门级服务器产品。此款服务器支持双路Intel Xeon64bit处理器，主频可达3.6GHz 以上，系统前端总线频率为800MHz，系统内存由原来I650(r)-N的DDR配置升级为DDRII配置，最大支持16GB DDRII400内存，为用户带来“海量处理”的应用体验。 天阔I650(r)-E服务器以处理能力、可用性及可管理性等方面的强大优势，为电信、ISP/ICP/ASP 等行业用户提供了一款系统性能、可用性最佳的部门级服务器精品。天阔I650(r)-E 服务器完全兼容Windows 2000/2003 、RedHat Linux、SUN Solaris、SCO Openserver/Unixware、Novell Netware等多种操作系统平台，用户可以根据自己的需求在各种平台上构筑自己的网络及应用。 天阔I650(r)-E 服务器提供了塔式天阔I650-E 服务器及机架式天阔I650r-E服务器两种机型，灵活满足不同用户环境下对部门级服务器的应用需求。 致谢 参考文献