规划构建园区网案例

规划构建园区网案例第一章网络系统设计概述1.1项目背景随着网络的逐步普及，中小型企业的建设是企业向信息化发展的必然选择，企业网络系统是一个非常庞大而复杂的系统，它不仅为企业现代化、综合信息管理和办公自动化等一系列应用提供基本操作平台，而且能提供多种应用服务，使信息能及时、准确地传送给各个系统。而中小型企业工程建设中主要应用了网络技术中的重要分支局域网技术来建设与管理的，因此本次设计课题将主要以中小型局域网络建设过程可能用到的各种技术及实施方案为设计方向，为中小型企业的建设提供理论依据和实践指导。1.2总体目标能够提供基本的网络服务，如活动目录服务，DHCP、DNS、文件服务、打印服务、WEB服务、FTP、WSS服务和网络防毒服务等。网络能够实现INTERNET连接共享，或者与其他分支机构或总部通信，以便公司人员在外地能够访问公司网络内的各种数据；信息就是命脉，对局域网的安全性有一定的要求；构建的网络要拥有一定的扩展性，能够根据需要随时接入新的建筑物和客户端。第二章需求分析2.1用户需求调查①计算机数量少于300台，近两年内的计算机数量不会超过450台②构建的网络要拥有一定的扩展性，能够根据需要随时接入新的建筑物和客户端。③建筑物分布相对集中，从中心建筑物到周边任何一栋建筑物的距离不会超过2000M④无纸化办公、电子商务、信息共享与交换以及数据网络存储是网络的重点，网络中大量传输的是普通数据，而非音视频等多媒体数据。⑤能够提供基本的网络服务，如活动目录服务，DHCP、DNS、文件服务、打印服务、WEB服务、FTP、WSS服务和网络防毒服务等。⑥网络能够实现INTERNET连接共享，或者与其他分支机构或总部通信。⑦由于数据库、文件服务器和客户计算机中存储有较为敏感的销售、产品、客户和办公信息，对局域网的安全性有一定的要求。⑧经常有员工在外地出差，需要访问网络内的各种数据。2.2需求分析①建立公司自己的网站，可向外界发布信息，并进行网络上的业务。②要求供销部可以连接Internet，与各企业保持联络，接受订单及发布本公司产品信息。其他部门都不能连接Internet，但要求公司内部由网络连接。③公司内部网络实现资源共享，以提高工作效率。④建立网络时应注意网络的扩展性，以方便日后的网络升级和增加计算机。⑤在公司内部建立公司的数据库，如员工档案，业务计划，会议日程等。第三章网络拓扑设计及原则3.1拓扑设计局域网采用星型网络拓朴结构，星型拓朴结构为现在较为流行的一种网络结构，它是以一台中心处理机（通信设备）为主而构成的网络，其它入网机器仅与该中心处理机之间有直接的物理链路，中心处理机采用分时或轮询的方法为入网机器服务，所有的数据必须经过中心处理机。由于所有节点的往外传输都必须经过中央节点来处理，因此，对中央节点的要求比较高。优点是网络结构简单，易于维护，便于管理（集中式）；每台入网机均需物理线路与处理机互连，线路利用率低；处理机负载重（需处理所有的服务），因为任何两台入网机之间交换信息，都必须通过中心处理机；入网主机故障不影响整个网络的正常工作。对该网络支持的设备生产厂商有较好的技术支持。局域网内的所有工作节点通过双绞线与交换机相连形成一个星型网络。办公电脑建议采用品牌的商用机，商用机运行比较稳定，而且比较耐用，运算速度较快，较适于开发使用。3.2设计原则企业网络系统的建设在实用的前提下，应当在投资保护及长远性方面做适当考虑，在技术上、系统能力上要保持五年左右的先进性。并且从公司的利益出发，从技术上讲应该采用标准、开放、可扩充的、能与其它厂商产品配套使用的设计。根据企业网的总体需求，结合对应用系统的考虑，本次网络建设的设计目标是：冗余性、高性能、高可靠性、高稳定性、高安全性、易管理的万兆骨干网络平台。我们遵循以下的原则进行网络设计：3.2.1实用性和经济性网络建设应始终贯彻面向应用，注重实效的方针，坚持实用、经济的原则，建设的万兆骨干网络平台，保护用户的投资。3.2.2先进性和成熟性网络建设设计既要采用先进的概念、技术和方法，又要注意结构、设备、工具的相对成熟。不但能反映当今的先进水平，而且具有发展潜力，能保证在未来若干年内占主导地位，保证贵公司网络建设的领先地位，采用万兆以太网技术来构建网络主干线路。3.2.3可靠性和稳定性在考虑技术先进性和开放性的同时，还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及保修能力等方面着手，确保系统运行的可靠性和稳定性，达到最大的平均无故障时间。为了保证骨干网络平台的健壮性和链路冗余性，建议网络实施时在公司启用千兆备份线路。在公司启用物理链路冗余机制，保证任何一条线路出现故障后骨干网络平台的可用性。3.2.4安全性和保密性在网络设计中，既考虑信息资源的充分共享，更要注意信息的保护和隔离，因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括端口隔离、路由过滤、防DDoS拒绝服务攻击、防IP扫描、系统安全机制、多种数据访问权限控制等，本网络充分考虑安全性，针对的各种应用，有多种的保护机制，如划分VLAN、IP/MAC地址绑定（过滤）、ACL、路由过滤、防DDoS拒绝服务攻击、防IP扫描、802.1x认证机制、SSH加密连接等具体技术提升整个网络的安全性。3.2.5可扩展性和可管理性由于信息技术和人们对于新技术的需求发展都非常迅速，为了避免不必要的重复投资，我们必须选择具有一定扩展能力的设备，能够保证在网络规模逐渐扩大的时候，不需要增加新的设备，而只需要增加一定数量的模块就行。最好能够做到在网络技术进一步发展，现有模块不支持新技术的情况下，只需要更换相应模块，而不需要更换整个设备。为了适应网络结构变化的要求，必须充分考虑以最简便的方法、最低的投资，实现系统的扩展和维护。为了便于扩展，对于核心设备必须采用模块化高密度端口的设备，便于将来升级和扩展。先进的设备必须配合先进的管理和维护方法，才能够发挥最大的作用。全线采用基于SNMP标准的可网管产品，达到全程网管，降低了人力资源的费用，提高网络的易用性、可管理性，同时又具有很好的可扩充性。第四章网络系统设计4.1网络技术设计方案主干网设计采用星、环型相结合的拓扑结构，主干网汇接各子网，形成中心交换，中心节点与各个二级节点分别通过光纤相连，各二级节点互联形成网络环构成公司网主干信息通道。中心节点选用高性能交换机，放置在网络中心内。流量按层次划分，跨越工作组网段的流量汇接到子网，跨越子网的流量汇接到主干；子网通过三层交换机连接到主干网，各个二级节点均为汇聚层交换机，分别置于人事行政部、销售部、市场部、财务部及技术支持部。中心节点与各个二级交换机采用单模室外光纤，通过电缆沟地埋走线进行连接，传输速率1000Mbps。同在一楼内各子网的工作组交换机通过5类UTP与本楼内的二级交换机连接，每个子网按部门划分成多个工作组网，桌面机连接到基层网段上，服务器、工作站连接到高层网段，主干网上不直接入用户网络，远程用户可通过VPN进入公司网。中心节点通过光纤与CERNET和Internet网络实现高速接入。网络中心建有各类服务器提供整个网络的服务，部分服务器通过光纤直接与中心节点的核心交换机连接实现高速服务响应和集中控制和管理。从而全面提供活动目录服务，DHCP、DNS、文件服务、打印服务、WEB服务、FTP、WSS服务和网络防毒服务等功能。在网络出口和关键子网可设立防火墙和入侵侦测，防止来自内部或外部的恶意攻击。对公司各办公室、各大楼实施结构化布线。楼宇之间主干采用室外光纤，水平布线采用五类双绞线UTP，而设备间选用理线架、光纤配线架及标准机柜。网络方案由骨干网方案和各楼或楼群网络方案组成,下面作一些简单地介绍。4.1.1结构骨干网经过反复论证,骨干网结构设计为星形结构.星形骨干网由1台交换机ciscoWS-C3560E-24PD-E组成,它提供12个GE接口。但为了实现冗余性，而采用了两个三层交换。各楼分布层交换机CISCOSRW224G4P则至少有1个CISCOSRW224G4P10000BASE-SX模块，分别连接到核心交换机的GE端口上；网络中心配置一台CISCOSRW224G4P交换机连接4.1.2网络管理公司内网络设备管理选用TranscendforWindows,运行在Windows2000Server平台上。它使用国际浒的HPOpenView网管平台。同时，由于网络设备采用cisco一家的产品，它能够完成几乎所有的LAN网络管理任务，如配置报警、监控等。4.2网络拓扑图Vlan2Internet目录服务器文件服务器打印服务器Web服务器FTP服务器数据库服务器财务部销售部经理室员工机房VPNVPN出差人员Internet主移动联通备用4.3网络设备配备方案名称品牌单位数量备注1路由器个22三层交换机CiscoWS-C3560E-24PD-E个23二层交换机CISCOSRW224G4P个64硬件防火墙个45六芯单模光纤箱46超五类UTP双绞线箱107光纤模块个88镀锌线槽钩个1892M原装跳线条10103M原装跳线条101186型标准底盒个101224口网络配线架个613施工辅料套14.4IP规划表网络地址：172.18.100.0/23部门IP网段分配的IP地址服务器172.18.100.1~172.18.100.2020财务部172.18.100.21~172.18.100.4020销售部172.18.100.41~172.18.100.6020管理人员办公室172.18.100.61~172.18.100.8020员工机房1172.18.100.81~172.18.100.190110员工机房2172.18.101.1~172.18.101.1111104.5网络拓展首先是网络设备扩展方面：每个核心、汇集设备都应该考虑端口的可扩展性，本方案对每个设备都有预留端口，以适应将来网络可能发生的变化；其次是网路接入的可扩展性：路由器支持VPN并且考虑到校区会更大地扩展，选择支持VPN的路由器。IP地址的预留：方案在每个工作部门都有剩余的IP地址，以供应将来增多的主机的需求，还有公有的IP地址段。4.6网络安全分析构建全程全网的访问控制体系是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。4.6.1接入安全RG-S2924G是锐捷网络推出的全千兆安全智能接入交换机，在提供高性能、高带宽的同时，提供智能的流分类、完善的服务质量（QOS）和组播应用管理特性，并可以根据网络的实际使用环境，实施灵活多样的安全控制策略，有效防止和控制病毒传播和网络攻击，控制非法用户接入和使用网络，保证合法用户合理化使用网络资源，充分保障了网络高效安全、网络合理化使用和运营。4.6.2访问安全锐捷RG-S6800E多业务万兆核心路由交换机支持802.1QVLAN，可使用VLAN划分隔离用户访问。同时还支持VLAN隧道技术，可实现跨区域的VLAN功能。并且锐捷RG-S6800E多业务万兆核心路由交换机支持完善的ACL，可以基于MAC、IP、TCP/UDP端口号进行流量控制，以有效的防范和控制网络蠕虫病毒（如冲击波）的传播和危害。ACL的全称为访问控制列表(AccessControlLists)，可以对数据流进行过滤可以限制网络中的通讯数据类型及限制网络的使用者或使用设备。在数据流通过交换机时对其进行分类过滤，并对从指定接口输入的数据流进行检查，根据匹配条件(conditions)决定是允许其通过(permit)还是丢弃(deny)。锐捷RG-S6800E多业务万兆核心路由交换机支持以下几种类型的ACL：IPACL用于过滤IP报文，包括TCP和UDP。1.StandardIPaccesslists(标准IP接入控制列表)使用源IP地址作为匹配的条件。2.ExtendedIPaccesslists(扩展IP接入控制列表)使用源IP地址、目的IP地址及可选的协议类型信息作为匹配的条件。Ethern