大型企业网络设计

课程设计报告（2015/2016学年第学期）题目：大型企业网络设计专业网络工程学生姓名李统宇班级学号B12070319指导教师鲍楠指导单位南京邮电大学物联网学院日期2016.1.4-2016.1.15评分细则评分项成绩遵守机房规章制度（5分）上机时的表现（5分）学习态度（5分）程序准备情况（5分）程序设计能力（10分）团队合作精神（5分）课题功能实现情况（10分）算法设计合理性（10分）用户界面设计（10分）报告书写认真程度（5分）内容详实程度（10分）文字表达熟练程度（10分）回答问题准确度（10分）简短评语教师签名：年月日评分等级备注评分等级有五种：优秀、良好、中等、及格、不及格大型企业网络设计一、课题内容和要求XX集团是一个以煤炭产品为主，兼营大型矿井建设、工业与民用建筑设计与施工、地基与基础处理、地质勘探、商业等行业的综合性集团公司。XX集团作为一个全国200强的集团公司，下辖生产矿、建井处、机械厂等二级单位40余家，各个相对独立的生产服务单位，如财务、运销、医疗卫生、远程教学、综合统计等，都必须实现网上信息传输。XX集团的网络建设于2005年1月左右，当时建设的网络为XX集团各项业务信息化立下了汗马功劳。随着近几年计算机网络技术的不断发展，计算机及网络的使用者水平不断提高，集团网络上需要承载的应用不断增多，网络中病毒流行、广播信息较多，各项关键业务网络安全得不到保障。XX集团充分认识到计算机网络作为信息化基石的巨大作用，决定改造XX集团网络系统。现在要求做出该集团的网络设计方案，在该方案中，用户有如下的需求：由于该网络为承载整个集团的基础骨干，面对日益突出的信息安全问题，要求网络系统集成的相应的安全特性。由于前期网络中使用的普通交换机、HUB无法进行安全规则设置，网络攻击常常影响网络正常业务以及用户正常上网，关键业务无法保障，因此新建的网络平台需要提供防止DOS攻击的能力。在多业务共同存在的网络设备之上，各业务属于不同的区域，要求实现内部网络按用户、功能进行VLAN、网段划分。针对不同的用户类型，制定相应的访问、控制权限。由于接入ISP提供的互联网出口提供1个公有IP，要求解决集团内部对外部网络的访问需求，且要实现发布对外的WEB、FTP服务。支持10GE或将来平滑过渡到10GE；集团内部各个建筑物都有1对8芯的单模光纤连接到主建筑物（即网络中心所在地），所有建筑物到主建筑物之间的距离在600M～～10000M之间；每个建筑物内部都有适当的内部布线，以实现所需连接。二、需求分析2.1案例分析Cisco公司已经成功地在中国实践了前述的教育网络设计思想，特别是河南省教育科研宽带IP骨干网络全部采用了先进的高速宽带光传输网络技术，已经成为这类新型教育网络的典范。河南省教育科研宽带IP网络全面采用Cisco公司的AVVID网络体系结构，一期工程总共采用了10台CiscoGSR12016和GSR12012，近20台CiscoOSR6509，其他各类交换机和路由器数百台。该网络集成了远程教学等多种多媒体应用，特别是采用了550部Cisco的新型7940IP电话和4套CallManager组建了我国第一个省级IPTelephony网络，并结合Cisco视频产品IPTV系列建立了许多新的教育模式。这一网络基于分层设计分为三层：骨干传输网、城域网、接入网，采用三级管理模式：省网络中心、地市网络中心、校园网，连接省内各大中专院校、各中小学校、各级教育主管部门和其他教育科研单位，未来更将延伸到每一个需要教育培训的公众面前。骨干网络由分布在17个地市的核心节点组成，与河南省广电合作利用其光纤资源，全省形成环网状冗余拓扑结构。在各个核心节点分别配置Cisco公司在国际上多次获奖的千兆位路由交换机GSR12000系列中的12016和12012作为核心传输设备，节点间使用裸光纤配合POS技术实现OC-482.48G链路互连并采用HSRP技术，以提供物理层、链路层及IP层的冗余连接能力。根据各地市的具体情况，可以建设城域教育网络也可以在核心节点配置汇接设备直接解决接入网络的接入问题，汇接设备可选用Cisco12012或6509，采用POS、DPT或千兆以太技术，传输速率可达1～2.48Gbps，具体设计可以非常灵活。基于CiscoIOS的多功能网络平台：网络中采用的网络设备均采用CiscoIOS(InternetworkingOperationSystem互联网络操作系统)为核心功能软件。CiscoIOS集成了路由技术，局域网交换技术，ATM交换技术，各种移动远程访问接入技术，广域网互连技术等超过15,000个网络互连功能，已经成为网络互连的标准。CiscoIOS系统支持今天的绝大多数网络应用系统，同时CiscoIOS系统可提供从数据链路层到应用层的多种网络服务，如：L2/L3VPN(虚拟专网)，VPDN(虚拟拨号专网)，以及对MPLS技术的支持允许提供各种网络增值服务。丰富的网络安全机制：网络设计是按照标准ISP(国际互联网络服务商)方式设计的IP交换网络平台。整个网络与国际互联网络平滑连接，因此网络的安全性尤其重要。方案中采用CiscoIOS多种安全策略：1)网络路由信息交换安全策略：包含路由器的认证，路由信息过滤，多种动态路由协议信息交换控制等。2)网络服务安全控制：包含标准访问控制列表(ACL)，扩展的访问控制列表(ExtendACL)，动态访问控制列表(RefliexACL)，按数据流的访问统计和监控(Netflow)，网络资源访问用户认证/授权和记帐(lock&key)。3)基于网络层的加密：网络设备可提供基于标准的网络层加密技术：IPSec，可以提供高可靠的网络访问安全机制。4)网络攻击防范：CiscoIOS可通过对网络访问连接的监控和分析，发现可能出现的网络攻击，如SyncAttack等，并采取相应的的控制手段保护网络资源。5)网络系统告警(Syslog)：网络中采用的设备可对监控到的网络攻击和各种非正常访问发出告警，提醒网络管理人员及时发现问题并采取相应安全策略。设备安全：网络的各种安全策略的实现均基于网络设备的安全设置，这使得网络设备本身的安全控制显得尤其重要。网络设备本身具有多种访问控制安全策略：1)多级访问控制密码：网络中各设备访问控制可通过15级不同的访问权限，网管人员可设置不同的访问权限。如：普通操作员只能监视设备运行，不可进行其他操作；高级的管理员可做故障诊断，不可修改设备配置文件；系统管理员可具有所有功能权限等。2)网络管理系统的安全控制：由于本网络中网络管理系统采用标准的SNMP网络管理技术，因此网络设备的网管可能出现漏洞。本网络中的网络设备可提供多种保护手段，如：特别的网管访问密码；由设备指定特别的网络管理工作站系统等。易管理维护的网络：由于采用了IP骨干技术、DHCP技术和MPLS技术，使得网络的管理简单化。这可以使网络管理人员大为精简，节约运行开销。网络管理人员只需在规划好的网络结构内提供各个接入网络的接入控制即能实行各种网络服务。网络系统的管理工作重点变为对于骨干网络的运行实施系统监控。由于采用的网络设备自身已具备较为完善的网络管理、监控和维护功能，因此采用建立一个管理工具齐全的集中的网络管理中心即可实现全网络的系统管理和监控[11]。2.2大型企业网络分析为适应企业信息化的发展，满足日益增长的通信需求和网络的稳定运行，今天的企业网络建设比传统企业网络建设有更高的要求，本文将通过对如下几个方面的需求分析来规划出一套最适用于目标网络的拓扑结构。2.2.1宽带性能需求现代大型企业网络应具有更高的带宽，更强大的性能，以满足用户日益增长的通信需求。随着计算机技术的高速发展，基于网络的各种应用日益增多，今天的企业网络已经发展成为一个多业务承载平台。不仅要继续承载企业的办公自动化，Web浏览等简单的数据业务，还要承载涉及企业生产运营的各种业务应用系统数据，以及带宽和时延都要求很高的IP电话、视频会议等多媒体业务。因此，数据流量将大大增加，尤其是对核心网络的数据交换能力提出了前所未有的要求。另外，随着千兆位端口成本的持续下降，千兆位到桌面的应用会在不久的将来成为企业网的主流。从2004年全球交换机市场分析可以看到，增长最迅速的就是10Gbps级别机箱式交换机，可见，万兆位的大规模应用已经真正开始。所以，今天的企业网络已经不能再用百兆位到桌面千兆位骨干来作为建网的标准，核心层及骨干层必须具有万兆位级带宽和处理性能，才能构筑一个畅通无阻的高品质大型企业网，从而适应网络规模扩大，业务量日益增长的需要[7]。2.2.2稳定可靠需求现代大型企业的网络应具有更全面的可靠性设计，以实现网络通信的实时畅通，保障企业生产运营的正常进行。随着企业各种业务应用逐渐转移到计算机网络上来，网络通信的无中断运行已经成为保证企业正常生产运营的关键。现代大型企业网络在可靠性设计方面主要应从以下3个方面考虑。设备的可靠性设计：不仅要考察网络设备是否实现了关键部件的冗余备份，还要从网络设备整体设计架构、处理引擎种类等多方面去考察。业务的可靠性设计：网络设备在故障倒换过程中，是否对业务的正常运行有影响。链路的可靠性设计：以太网的链路安全来自于多路径选择，所以在企业网络建设时，要考虑网络设备是否能够提供有效的链路自愈手段，以及快速重路由协议的支持[7]。2.2.3服务质量需求现代大型企业网络需要提供完善的端到端QoS保障，以满足企业网多业务承载的需求。大型企业网络承载的业务不断增多，单纯的提高带宽并不能够有效地保障数据交换的畅通无阻，所以今天的大型企业网络建设必须要考虑到网络应能够智能识别应用事件的紧急和重要程度，如视频、音频、数据流（MIS、ERP、OA、备份数据）。同时能够调度网络中的资源，保证重要和紧急业务的带宽、时延、优先级和无阻塞的传送，实现对业务的合理调度才是一个大型企业网络提供高品质服务的保障[7]。2.2.4网络安全需求现代大型企业网络应提供更完善的网络安全解决方案，以阻击病毒和黑客的攻击，减少企业的经济损失。传统企业网络的安全措施主要是通过部署防火墙、IDS、杀毒软件，以及配合交换机或路由器的ACL来实现对病毒和黑客攻击的防御，但实践证明这些被动的防御措施并不能有效地解决企业网络的安全问题。在企业网络已经成为公司生产运营的重要组成部分的今天，现代企业网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，这样才能有效地保证企业网络的稳定运行[7]。2.2.5应用服务需求现代大型企业网络应具备更智能的网络管理解决方案，以适应网络规模日益扩大，维护工作更加复杂的需要。当前的网络已经发展成为以应用为中心的信息基础平台，网络管理能力的要求已经上升到了业务层次，传统的网络设备的智能已经不能有效支持网络管理需求的发展。比如，网络调试期间最消耗人力与物力的线缆故障定位工作，网络运行期间对不同用户灵活的服务策略部署、访问权限控制、以及网络日志审计和病毒控制能力等方面的管理工作，由于受网络设备功能本身的限制，都还属于费时、费力的任务。所以现代的大型企业网络迫切需要网络设备具备支撑以应用为中心的智能网络运营维护的能力，并能够有一套智能化的管理软件，将网络管理人员从繁重的工作中解脱出来[7]。2.3本课题系统需求分析该企业位于北京市海淀区中关村，网络联接的建筑物有三个：两个办公楼和一个行政楼。管理部、财务部和网络部在行政楼中；市场部在办公楼A；销售部和人力资源部在办公楼B。所以我们已建筑物的中心也就是行政楼的三层为网络的中心，用光纤连接办公楼A、B，构成电子商务公司网络光纤主干。办公楼2个，行政楼1个1．划分VLAN（见表1）2．VTP动态学习VLAN3．PVST(选根，二层冗余)4．SVI（VLAN间路由）5．HSRP（三层冗余）6．DHCP7．根防护8．3个FAST9．静态路由10．SITE-TO-SITEVPN（连接分公司，固定IP）11．AAA12．PBR（20M专线）13．网管控制三、概要设计3.1大型企