計算機網(wǎng)絡(luò)技術(shù)專業(yè)畢業(yè)設(shè)計模板

1、計算機網(wǎng)絡(luò)技術(shù)專業(yè)畢業(yè)設(shè)計 模板網(wǎng)絡(luò)工程設(shè)計方案院 系：3第四章網(wǎng)絡(luò)安全及管理機制16前言 .4第一章網(wǎng)絡(luò)需求分析 .51.1工程項目概況.51.2信息點分布.61.3 .需求分析第二章方案設(shè)計原則 .7第三章網(wǎng)絡(luò)方案設(shè)計 .83.1網(wǎng)絡(luò)拓撲結(jié)構(gòu)介紹 .3.2網(wǎng)絡(luò)拓撲圖.83.3網(wǎng)絡(luò)設(shè)計.9第五章網(wǎng)絡(luò)設(shè)備選型 .184第六章方案的擴展性考慮 .19當今社會已步入信息社會，信息成為社會經(jīng)濟發(fā)展的核心因素，信息化已 成為當今世界潮流。而現(xiàn)在，信息化程度已成為衡量一個國家現(xiàn)代化水平和綜 合國力強弱的重要標志。隨著信息時代的到來，企業(yè)的生存和競爭環(huán)境發(fā)生了根本性的變化。對于 大型企業(yè)而言，信息化無論是

2、作為戰(zhàn)略手段還是戰(zhàn)術(shù)手段，在企業(yè)經(jīng)營中發(fā)揮 著舉足輕重的作用。信息技術(shù)作為新技術(shù)革命的核心不僅具有高增值性、成為最具經(jīng)濟活力的 經(jīng)濟增長點,而且具有高滲透性，以極強的親和力和擴散速度向經(jīng)濟各部門滲 透，使其結(jié)構(gòu)和效益發(fā)生根本性改變。信息化已成為當代經(jīng)濟發(fā)展與社會進步 的巨大推力，尤其是作為國民經(jīng)濟信息化基礎(chǔ)的企業(yè)信息化，當前更顯得尤為 重要，信息化建設(shè)已成為企業(yè)發(fā)展的必由之路。信息化是企業(yè)加快實現(xiàn)現(xiàn)代化 的必然選擇！隨著近年來企業(yè)信息化建設(shè)的深入，企業(yè)的運作越來越融入計算機網(wǎng)絡(luò)， 企業(yè)的溝通、應(yīng)用、財務(wù)、決策、會議等等數(shù)據(jù)流都在企業(yè)網(wǎng)絡(luò)上傳輸，構(gòu)建 一個“安全可靠、性能卓越、管理方便”的“高品

3、質(zhì)”大型企業(yè)網(wǎng)絡(luò)已經(jīng)成為 企業(yè)信息化建設(shè)成功的關(guān)鍵基石。6第一章網(wǎng)絡(luò)需求分析1-1工程項目概況XX集團為了加快信息化建設(shè)，新的集團企業(yè)網(wǎng)將建設(shè)一個以集團辦公自動 化、電子商務(wù)、業(yè)務(wù)綜合管理、多媒體視頻會議、遠程通訊、信息發(fā)布及査詢 為核心，以現(xiàn)代網(wǎng)絡(luò)技術(shù)為依托，技術(shù)先進、擴展性強，將集團的各種辦公室、 多媒體會議室、PC終端設(shè)備、應(yīng)用系統(tǒng)通過網(wǎng)絡(luò)連接起來，實現(xiàn)內(nèi)、外溝通的 現(xiàn)代化計算機網(wǎng)絡(luò)系統(tǒng)。該網(wǎng)絡(luò)系統(tǒng)是支持辦公自動化、供應(yīng)鏈管理、ERP以 及各應(yīng)用系統(tǒng)運行的基礎(chǔ)設(shè)施，為了確保這些關(guān)鍵應(yīng)用系統(tǒng)的正常運行、安全 和發(fā)展，系統(tǒng)必須具備如下的特性：1、采用先進的網(wǎng)絡(luò)通信技術(shù)完成集團企業(yè)網(wǎng)的建設(shè)，實

4、現(xiàn)各分公司的信息化;2、在整個企業(yè)集團內(nèi)實現(xiàn)所有部門的辦公自動化，提高工作效率和管理服務(wù) 水平；3、在整個企業(yè)集團內(nèi)實現(xiàn)資源共享、產(chǎn)品信息共享、實時新聞發(fā)布；4、在整個企業(yè)集團內(nèi)實現(xiàn)財務(wù)電算化；5、在整個企業(yè)集團內(nèi)實現(xiàn)集中式的供應(yīng)鏈管理系統(tǒng)和客戶服務(wù)關(guān)系管理系統(tǒng); 7具體要求： WWW服務(wù)E-maik FTP 服務(wù)網(wǎng)上多媒體教學(xué)，能提供視頻點播服務(wù)8集團內(nèi)行政管理撥號上網(wǎng)服務(wù)1-2信息點分布主要信息點集中在生產(chǎn)部.賬務(wù)部.網(wǎng)絡(luò)中心.職工宿舍等部門。詳細分 布如表1所示。地點信息點備注網(wǎng)絡(luò)中心40需保證速度、流量和可靠性生產(chǎn)部150需保證速度、流量和可靠性賬務(wù)部120需保證速度、流量和安全性職工

5、宿舍1000需保證速度和流量銷售部100需要保證速度和可靠性綜合設(shè)計30需保證速度和流量表1主要信息點分布1-3需求分析為適應(yīng)企業(yè)信息化的發(fā)展，滿足日益增長的通訊需求和網(wǎng)絡(luò)的穩(wěn)定運行， 今天的大型企業(yè)網(wǎng)絡(luò)建設(shè)比傳統(tǒng)企業(yè)網(wǎng)絡(luò)建設(shè)提出更高的要求，主要表現(xiàn)在如 下幾個方面：1） ） 現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更高的帶寬，支持10GE或?qū)砥交^渡到10GE, 更強大的性能，以滿足用戶日益增長的通訊需求。隨著計算機技術(shù)的高速發(fā)展，基于網(wǎng)絡(luò)的各種應(yīng)用日益增多，尤其是對核 心網(wǎng)絡(luò)的數(shù)據(jù)交換能力提出前所未有的要求。另外，隨著千兆端口的成本持續(xù) 下降，千兆到桌面的應(yīng)用會在不久的將來成為企業(yè)網(wǎng)的主流。所以今天的企業(yè)

6、 網(wǎng)絡(luò)已經(jīng)不能再用百兆到桌面千兆骨干來作為建網(wǎng)的標準，它的核心層及骨干 層必須具有萬兆級帶寬和處理性能，才能構(gòu)筑一個暢通無阻的“高品質(zhì)”大型 企業(yè)網(wǎng)，從而適應(yīng)網(wǎng)絡(luò)規(guī)模擴大，業(yè)務(wù)量日益增長的需要。2） ） 現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更全面的可靠性設(shè)計，以實現(xiàn)網(wǎng)絡(luò)通訊的實時 暢通，保障企業(yè)生產(chǎn)運營的正常進行?，F(xiàn)代大型企業(yè)網(wǎng)絡(luò)在可靠性設(shè)計方面主要應(yīng)從三方面考慮：第一是設(shè)備級 可靠性設(shè)，這要求購買設(shè)備的時候不能一味的只追求價格因素而忽略可靠性； 其次是業(yè)務(wù)的可靠性設(shè)計，這里要注意網(wǎng)絡(luò)設(shè)備在故障倒換過程中是否對業(yè)務(wù) 的正常運行有影響；再次是鏈路的可靠性設(shè)計，以太網(wǎng)的鏈路安全來自于它的 多路徑選擇，所以在企業(yè)

7、網(wǎng)絡(luò)建設(shè)時要考慮網(wǎng)絡(luò)設(shè)備是否能夠提供有效的鏈路 自愈手段和快速重路由協(xié)議的支持。3） ） 現(xiàn)代大型企業(yè)網(wǎng)絡(luò)需要提供完善的端到端QOS保障，以滿足企業(yè)網(wǎng)多業(yè) 務(wù)承載的需求。大型企業(yè)網(wǎng)絡(luò)承載業(yè)務(wù)的不斷增多，單純的提高帶寬并不能夠有效的保障 9數(shù)據(jù)交換的暢通無阻，而必須要考慮到網(wǎng)絡(luò)應(yīng)能夠智能的識別應(yīng)用事件的緊急 和重要程度，如視頻、音頻、數(shù)據(jù)流（ （MIS、ERP、0A、備份數(shù)據(jù)），同時能夠調(diào) 度網(wǎng)絡(luò)中的資源，保證重要和緊急業(yè)務(wù)的帶寬、時延、優(yōu)先級和無阻塞的傳送, 實現(xiàn)對業(yè)務(wù)的合理調(diào)度才是一個大型企業(yè)網(wǎng)絡(luò)提供高品質(zhì)”服務(wù)的保障。4） ） 現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)提供更完善的網(wǎng)絡(luò)安全解決方案，以阻擊病毒和黑

8、 客的攻擊，減少企業(yè)的經(jīng)濟損失。傳統(tǒng)企業(yè)網(wǎng)絡(luò)的安全措施主要是通過部署防火墻、IDS、殺毒軟件以及配合 交換機或路由器的ACL來實現(xiàn)對于病毒和黑客攻擊的防御，但實踐證明這些被 動的防御措施并不能有效的解決企業(yè)網(wǎng)絡(luò)的安全問題。5） ） 現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具備更智能的網(wǎng)絡(luò)管理解決方案，以適應(yīng)網(wǎng)絡(luò)規(guī)模 日益擴大，維護工作更加復(fù)雜的需要。第二章方案設(shè)計原則本方案的設(shè)計將在追求性能優(yōu)越、經(jīng)濟實用的前提下，本著嚴謹、慎重的 態(tài)度，從系統(tǒng)結(jié)構(gòu)、技術(shù)措施、設(shè)備選擇、系統(tǒng)應(yīng)用、技術(shù)服務(wù)和實施過程等 方面綜合進行系統(tǒng)的總體設(shè)計，力圖使該系統(tǒng)真正成為符合該中學(xué)的網(wǎng)絡(luò)系統(tǒng)。從技術(shù)措施角度來講，在網(wǎng)絡(luò)的設(shè)計和實現(xiàn)中，本方

9、案嚴格遵守了以下原 則：、實用性和集成性系統(tǒng)的軟硬件設(shè)計、還是集成，均以適用為第一宗旨，在系統(tǒng)充分適應(yīng)企 業(yè)信息化的需求的基礎(chǔ)上進而再來考慮其他的性能。2、標準性和開往性只有支持標準性和開放性的系統(tǒng)，才能支持與其它開放型系統(tǒng)一起協(xié)同工 作，在網(wǎng)絡(luò)中采用的硬件設(shè)備及軟件產(chǎn)品應(yīng)該支持國際工作標準或事實上的標 準，以便能和不同廠家的開放性產(chǎn)品在同一網(wǎng)絡(luò)中同時共存。3、先進性和安全性系統(tǒng)所有的組成要素均應(yīng)充分地考慮其先進性。不能一味地追求實用而忽 略先進，只有將當今最先進的技術(shù)和我們的實際應(yīng)用要求緊密結(jié)合，才能獲得 最大的系統(tǒng)性能和效益。4、成熟性和高可靠性網(wǎng)絡(luò)硬件體系結(jié)構(gòu)在實際應(yīng)用中能經(jīng)過較長時間的

10、考驗，在運行速度和性 能上都應(yīng)是穩(wěn)定可靠的、擁有完善的、實用的解決方案，并通到較多的第三方 開發(fā)商和用戶在全球的廣泛支持和使用。同時，應(yīng)從長遠的技術(shù)發(fā)展來選擇具 10有很好前景的、較為先進的技術(shù)和產(chǎn)品，以適應(yīng)系統(tǒng)未來的發(fā)展需要。113.2網(wǎng)絡(luò)拓撲可靠性也是衡量一個計算機應(yīng)用系統(tǒng)的重要標準之一。5、可維護性和可管理性整個信息網(wǎng)絡(luò)系統(tǒng)中的互連設(shè)備，應(yīng)是使用方便、操作簡單易學(xué)，并便于 維護。管理員能方便進行網(wǎng)絡(luò)管理、維護甚至修復(fù)。在設(shè)計和實現(xiàn)時，必須充分考慮整個系統(tǒng)的便于維護性，以使系統(tǒng)萬一發(fā) 生故障時能提供有效手段及時進行恢復(fù)，盡量減少損失。6、可擴充性和兼容性網(wǎng)絡(luò)的拓撲結(jié)構(gòu)應(yīng)具有可擴展性即網(wǎng)絡(luò)聯(lián)

11、結(jié)必須在系統(tǒng)結(jié)構(gòu)、系統(tǒng)容量與 處理能力、物理接連、產(chǎn)品支持等方面具有擴充與升級換代的可能，釆用的產(chǎn) 品要遵循通用的工業(yè)標準，以便不同的設(shè)備能方便靈活地接連入網(wǎng)并滿足系統(tǒng) 規(guī)模擴充的要求。第三章網(wǎng)絡(luò)方案設(shè)計3.1網(wǎng)絡(luò)拓撲結(jié)構(gòu)介紹在此次xx集團大型企業(yè)網(wǎng)的設(shè)計中，我們采用層次化模型來設(shè)計網(wǎng)絡(luò)拓撲 結(jié)構(gòu)。所謂“層次化”模型，就是將復(fù)雜的網(wǎng)絡(luò)設(shè)計分成幾個層次，每個層次 著重于某些特定的功能，這樣就能夠使一個復(fù)雜的大問題變成許多簡單的小問 題。層次模型既能夠應(yīng)用于局域網(wǎng)的設(shè)計，也能夠應(yīng)用于廣域網(wǎng)的設(shè)計。網(wǎng)絡(luò)拓撲圖如圖1所示。12計H3c S1024HBc S7502EH3c S102-H3c S1024

12、H3c S75O6-ACH3cS7506-ACH3c S7S02E /I H3c S1024IOC，I0/?001I占&H3cS1024I凰IfiSII _H3c S1024H3cS1024H3 S1024載HIK含圖1網(wǎng)絡(luò)拓撲圖3.3網(wǎng)絡(luò)設(shè)計3.3.1骨干核心層網(wǎng)絡(luò)設(shè)計大型企業(yè)生產(chǎn)辦公網(wǎng)絡(luò)的核心網(wǎng)主要完成整個企業(yè)集團內(nèi)部不同地域企業(yè) 之間的高速數(shù)據(jù)路由轉(zhuǎn)發(fā)，以及維護全網(wǎng)路由的計算。鑒于大型集團企業(yè)的用 戶數(shù)量眾多，業(yè)務(wù)復(fù)雜，QOS要求校高的特點，在本方案中采用H3C S7506-AC 高密度多業(yè)務(wù)核心路由交換機組建高性能的核心網(wǎng)絡(luò)平臺。H3C S7506-AC系列交換機是具有運營商級容錯能力

13、的高性能大型網(wǎng)絡(luò)核心 交換機，可為高校和運營商提供基于領(lǐng)先技術(shù)的卓越性能和可靠性。H3C S7506-AC系列交換機專為發(fā)揮萬兆、千兆以太網(wǎng)潛在的強大交換能力而設(shè)計， 超大容量的交換背板使得包括萬兆端口在內(nèi)的每個端口具備全線速交換能力， 確保在巨大的網(wǎng)絡(luò)通信負載下始終能夠輕松實現(xiàn)線速的第二層和第三層交換， 是城域網(wǎng)、數(shù)據(jù)中心、智能大廈及企業(yè)網(wǎng)絡(luò)骨干級核心路由交換機的理想選擇。該系列交換機的所有管理模塊、交換模塊以及電源模塊都可互換使用，而 且管理模塊、電源模塊、風(fēng)扇等還可實現(xiàn)冗余備份，溫度傳感器可以隨時監(jiān)控 各個部件的工作溫度，從而提供運營商級的可靠性。H3C S7506-AC交換機的一 大特

14、色是管理模塊均帶有業(yè)務(wù)接口，使得所有的插槽均為有效的業(yè)務(wù)插槽，從 而大大提髙了端口密度和插槽利用率。在骨干核心層中，我們采用三臺H3C S7506-AC核心路由交換機組成一個環(huán) 形多機熱備份的核心交換機系統(tǒng)解決方案。為提高核心網(wǎng)絡(luò)的健壯性，實現(xiàn)鏈 路的安全保障，本方案骨干核心層環(huán)網(wǎng)中可以采用VRRP（虛擬路由器冗余協(xié)議）。 對于各個業(yè)務(wù)VLAN可以指向這個虛擬的IP地址作為網(wǎng)關(guān)，因此應(yīng)用VRRP技術(shù) H3C Secpdth U200- CSAC為核心交換機提供一個可靠的網(wǎng)關(guān)地址，以實現(xiàn)在核心層核心交換機之間進行14夠加靈活的部署在網(wǎng)絡(luò)邊緣的各個位置。能設(shè)備的硬件冗余，一主兩備，共用一個虛擬的I

15、P地址和MAC地址，通過內(nèi)部的 協(xié)議傳輸機制可以自動進行工作角色的切換。進而雙引擎、雙電源的設(shè)計為網(wǎng) 絡(luò)高效處理大集中數(shù)據(jù)提供了可靠的保障。3 3.2核心層網(wǎng)絡(luò)設(shè)大型企業(yè)生產(chǎn)辦公網(wǎng)絡(luò)的核心層網(wǎng)絡(luò)主要完成園區(qū)內(nèi)各匯聚層設(shè)備之間的 數(shù)據(jù)交換和與骨干核心層網(wǎng)絡(luò)之間的路由轉(zhuǎn)發(fā)。傳統(tǒng)解決方案一般采用骨干路 由器+核心交換機來組建，但這種方式受限于交換機的性能，在提供MPLS VPN 的業(yè)務(wù)能力方面較弱，不適合大型企業(yè)網(wǎng)絡(luò)的建設(shè)需求，同時現(xiàn)在的大型企業(yè) 辦公網(wǎng)絡(luò)具有城域網(wǎng)的特點，網(wǎng)絡(luò)發(fā)展具有網(wǎng)絡(luò)扁平化的發(fā)展方向，因此本方 案骨干層網(wǎng)絡(luò)設(shè)備釆用H3C S7506-AC核心路由交換機作為大型企業(yè)生產(chǎn)辦公網(wǎng) 絡(luò)

16、的園區(qū)核心路由交換設(shè)備，H3C S7506-AC具有強大的業(yè)務(wù)和路由處交換理能 力，能提供如 MPLS VPN、QOS、策略路由、NAT、PPPoE/Web/802.lx/L2TP 認證等豐富業(yè)務(wù)能力，并可通過內(nèi)置防火墻模塊實現(xiàn)各種強大的網(wǎng)絡(luò)安全策略, 可以充分滿足大型企業(yè)不同園區(qū)網(wǎng)絡(luò)的高速數(shù)據(jù)交換和支持多業(yè)務(wù)功能的要 求，并能夠提供完善的安全防御策略，保障企業(yè)園區(qū)網(wǎng)絡(luò)的穩(wěn)定運行。3.3.3匯聚層網(wǎng)絡(luò)設(shè)計匯聚層網(wǎng)絡(luò)主要完成企業(yè)各園區(qū)內(nèi)辦公樓宇和相關(guān)單位的內(nèi)接入交換機的匯聚及數(shù)據(jù)交 換和VLAN終結(jié)，在本方案中釆用H3C S7502E交換機多層交換機作為匯聚層面的交換機。H3C S7502E交換

17、機在提供高密度千兆端口接入的同時還能夠滿足匯聚層智能高速處理的需要，并能夠同時提供多個高速專用堆疊端口和百兆、千兆光口/電口。這些交換機都具備較強的多業(yè)務(wù)提 供能力，可支持包括智能的CCL、MPLS、等業(yè) 務(wù)。3.3.4接入層網(wǎng)絡(luò)設(shè)計以往傳統(tǒng)金業(yè)網(wǎng)絡(luò)接入層的建設(shè)中并不關(guān)注于安全控制和QOS提供能力， 而將網(wǎng)絡(luò)的安全防御措施和QOS保障依賴于網(wǎng)絡(luò)的匯聚層或骨干層設(shè)備，這給 匯聚層和骨干層設(shè)備帶來了巨大的壓力，往往內(nèi)網(wǎng)病毒泛濫成災(zāi)后導(dǎo)致骨干層 設(shè)備癱機，使網(wǎng)絡(luò)沒有QOS服務(wù)質(zhì)量保障。H3C S1024智能寬帶接入交換機是能滿足高安全、多業(yè)務(wù)承載、高性能的 網(wǎng)絡(luò)環(huán)境智能交換機，具備傳統(tǒng)二層交換機大容

18、量、高性能等優(yōu)點，同時還具 有領(lǐng)先的安全特性，進一步加強了企業(yè)網(wǎng)絡(luò)對邊緣接入層面的安全控制能力。 用戶可以根據(jù)需要來訂制自身的安全策略并部署在此交換機上。該產(chǎn)品具備的 端口帶寬限制、端口鏡像、QOS、端口安全、廣播風(fēng)暴抑制等功能可以很好的 協(xié)助用戶實現(xiàn)網(wǎng)絡(luò)的管理和維護。除此之外，此交換機還具備多個專用堆疊接 口，可以滿足樓層，樓宇內(nèi)多個交換機高性能匯聚的需要。3.3.5廣域網(wǎng)互聯(lián)設(shè)計針對于大型企業(yè)需要良好的出口網(wǎng)關(guān)設(shè)備，我們建議用戶選用H3C SecPath U200-CS-ACo H3C SecPath U200-CS-AC 防火墻專為千兆位流量的 網(wǎng)絡(luò)服務(wù)運營商,大型數(shù)據(jù)中心等骨干網(wǎng)絡(luò)而設(shè)

19、計，采用2U專用千兆安全平臺, 完全模塊化可擴展結(jié)構(gòu)，具有熱插拔特性的冗余部件為您提供最大的不間斷運 行時間。H3C SecPath U200-CS-AC防火墻內(nèi)置1個10/100/1000M自適應(yīng)以 太網(wǎng)電口，具備6個SFP擴展插槽，接口模塊類型支持單模、多模光纖，千兆 電口，充分滿足您的定制需最多可擴展至8個千兆接口。3.3.6冗余/負載均衡設(shè)計冗余設(shè)計是網(wǎng)絡(luò)設(shè)計的重要部分，是保證網(wǎng)絡(luò)整體可靠性能的重要手段。 但是投資也將增加。部分企業(yè)園區(qū)網(wǎng)在早期的建設(shè)中由于成本的原因并未在設(shè) 計中考慮冗余問題，而在優(yōu)化工作中則需從網(wǎng)絡(luò)鏈路和網(wǎng)絡(luò)設(shè)備兩方面著手。 冗余設(shè)計可以貫穿整個層次化結(jié)構(gòu)，每個冗余設(shè)

20、計都有針對性，可以選擇其中 一部分或幾部分應(yīng)用到網(wǎng)絡(luò)中以針對重要的應(yīng)用。萬一網(wǎng)絡(luò)中某條路徑失效時, 冗余鏈路可以提供另一條物理路徑?？刹捎肎EC鏈路聚合(IEEE802.3ad)實 現(xiàn)端口級冗余，以克服某個端口或線路引起的故障。也可釆用生成樹協(xié)議 (IEEE802.1d)提供設(shè)備級的冗余連接。此外，我們在設(shè)計中提供不同物理方 向的雙歸屬、雙路由保護。33.7線路冗余在企業(yè)網(wǎng)骨干核心層，企業(yè)網(wǎng)絡(luò)邊界拓撲結(jié)構(gòu)由于采用了環(huán)形多機熱備份 的核心交換機系統(tǒng)解決方案，所以在線路冗余方面的要求較高，對于線路的冗 余要求，我們采用10GE線路對三臺企業(yè)網(wǎng)骨干核心層設(shè)備進行環(huán)行雙向備份, 并使用業(yè)界領(lǐng)先的VRR

21、P (虛擬路由器冗余協(xié)議)來對其作為冗余線路的協(xié)議 保障。以GEC作為N*1000M主干鏈路，通過這個鏈路連接骨干網(wǎng)交換機，具 備萬兆擴展能力；接入交換機采用10/100M自適應(yīng)端口連接桌面系統(tǒng)，多千兆 鏈路連接至0匯聚層。GEC路具有鏈路聚合和冗余保證兩大特性，下面我們將對它們依次進行介紹。 鏈路聚合：可使用一條物理鏈路在不同品牌交換機之間、交換機和服務(wù)器間提供聚合 的高速通道，在不增加投資的情況下，擴大交換帶寬，使關(guān)鍵連接的傳輸效率 更高 冗余保證：鏈路聚合中，成員互相動態(tài)備份。當某一鏈路中斷時，其它成員能夠迅速 接替其工作。與生成樹協(xié)議不同，鏈路聚合啟用備份的過程對聚合之外是不可 見的，

22、而且啟用備份過程只在聚合鏈路內(nèi)，與其它鏈路無關(guān)，切換可在數(shù)毫秒 內(nèi)完成。綜合分析以上各主流方案的優(yōu)缺點，從性能與成本及拓展性等方面的綜合 16考慮出發(fā)，我們決定釆用GEC骨干核心網(wǎng)絡(luò)10GE拓展的方式作為其鏈路選擇 及備份選擇。在企業(yè)網(wǎng)匯聚層及接入層出于成本及性價比的考慮，我們決定采用千兆匯 聚，萬兆拓展；百兆到桌面的鏈路選擇。3.3.8網(wǎng)絡(luò)設(shè)備冗余/負載均衡設(shè)計負載均衡建立在現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)之上，它提供了一種廉價有效的方法擴展服 務(wù)器帶寬和增加吞吐量，加強網(wǎng)絡(luò)數(shù)據(jù)處理能力，提高網(wǎng)絡(luò)的靈活性和可用性。 它主要完成以下任務(wù):解決網(wǎng)絡(luò)擁塞問題，服務(wù)就近提供，實現(xiàn)地理位置無關(guān)性； 為用戶提供更好的訪問質(zhì)

23、量;提高服務(wù)器響應(yīng)速度;提高服務(wù)器及其他資源的利 用效率;避免了網(wǎng)絡(luò)關(guān)鍵部位出現(xiàn)單點失效。在此方案中，在網(wǎng)絡(luò)的每個關(guān)鍵結(jié)點，我們在設(shè)計時都做到了對其有效的冗余 備份和負載均衡。在網(wǎng)絡(luò)的骨干核心層上。我們采用了三臺銳捷網(wǎng)絡(luò)的 RG-S8610高密度多業(yè)務(wù)IPV6核心路由交換機組建高性能的核心網(wǎng)絡(luò)平臺，在 對骨干核心層提供足夠的網(wǎng)絡(luò)接點和接入需求的同時最大限度的為網(wǎng)絡(luò)提供了 有效的冗余保障和負載均衡。在核心層的每個區(qū)塊，我們都采用了兩臺銳捷網(wǎng) 絡(luò)的RG-S8606度多業(yè)務(wù)IPV6核心路由交換機做到冗余與負載均衡。在匯聚層 的每個區(qū)塊，我釆用了兩臺銳捷網(wǎng)絡(luò)的RG-S5750交換機多層交換機做到冗余

24、與負載均衡。在本方案的設(shè)計中，出現(xiàn)了兩個以上的交換區(qū)塊和需要提供冗余連接的時 候，我們采用了雙核心配置。如下圖，我們給出了從接入層到匯聚層再到核心 層的雙核心配置。雙核心拓撲結(jié)構(gòu)提供了兩條等代價路徑和雙倍的帶寬。每個核心交換機連 接著數(shù)目相同的子網(wǎng)到第三層匯聚設(shè)備上。每個交換區(qū)塊都有冗余的連接到核 心交換機上，因此形成兩條不同的，但是等代價的連接。如果一條核心設(shè)備發(fā) 生故障，還是能夠收斂，因為匯聚層設(shè)備的路由選擇表中還有另一條到核心設(shè) 備的路由。第3層路由選擇協(xié)議在核心中起鏈路選擇的作用，VRRP提供快速 錯誤恢復(fù)。核心層不需要STP,因為在核心交換機間沒有冗余的第2層連接。 3.3.9服務(wù)器

25、冗余設(shè)計企業(yè)網(wǎng)中服務(wù)器、大型機，如網(wǎng)絡(luò)存儲服務(wù)器，SQL Server服務(wù)器，其存 儲的數(shù)據(jù)對于企業(yè)來說致關(guān)重要，一些核心數(shù)據(jù)被視為企業(yè)的生命。一方面它 對企業(yè)的企業(yè)的重要性毋庸質(zhì)疑，另一方面，由于這些數(shù)據(jù)的性質(zhì)決定了其較 大的被訪問量，這個對服務(wù)器提出了穩(wěn)定和快速的要求。如果宕機，后果是技術(shù) 是保障計算機系統(tǒng)的可靠性是重中之重。為此，我們采用的是雙機熱備技術(shù)， 交撫洽塊1按入層交換區(qū)塊217此技術(shù)能夠有效的滿足核心服務(wù)器高效，穩(wěn)定的高要求。而且相對于其它成本 技術(shù)來說，這是比較有經(jīng)濟價成效的技術(shù)。Server 1Server 2服務(wù)器雙機熱備技術(shù)具體技術(shù)實現(xiàn)：每個核心服務(wù)器均具有兩個以太網(wǎng)接

26、口（可以通過安裝雙 網(wǎng)卡實現(xiàn)），在此基礎(chǔ)上，以上圖為例，DB服務(wù)器A與DB服務(wù)器B先分別利 用自己的一個以太網(wǎng)接口實現(xiàn)兩個服務(wù)器之間的直連，每個服務(wù)器另外的一個 接口則與服務(wù)器區(qū)的網(wǎng)絡(luò)實現(xiàn)互連，以達到雙機熱備的目的。因此增加服務(wù)器 的穩(wěn)定性與高效性。本網(wǎng)絡(luò)中應(yīng)具有多臺服務(wù)器設(shè)備，包括DB SERVER數(shù)據(jù)庫服務(wù)器， WEB,CATALOG等應(yīng)用服務(wù)器，NEWS,MAIL等通訊服務(wù)器及多媒體服務(wù)器 等。3.310 IP地址規(guī)劃原則IP地址構(gòu)成了整個Internet的基礎(chǔ)，IP地址資源是整個Internet的基本核 心資源，IP地址資源的合理分配和有效利用是整個Internet發(fā)展過程中持續(xù)有 效

27、的一個極具分量的研究課題。我們在對企業(yè)園區(qū)網(wǎng)IP地址編址設(shè)計和分配利用時，遵循了以下幾個原則:1） ） 、自治：整個園區(qū)網(wǎng)絡(luò)網(wǎng)絡(luò)被劃分成幾個大的自治區(qū)域，每個大自治區(qū) 域中又被劃分成幾個小的自治區(qū)域。2） ） 、有序：我們按照自治原則將網(wǎng)絡(luò)進行邏輯劃分后，就根據(jù)地域、設(shè)備 分布及區(qū)域內(nèi)用戶數(shù)量來進行子網(wǎng)規(guī)劃。同時，我們將IP地址規(guī)劃和網(wǎng)絡(luò)層次 規(guī)劃、路由協(xié)議規(guī)劃、流量規(guī)劃等結(jié)合起來考慮。在進行地址分配時，為了提 高地址分配效率和地址利用率，我們在編址設(shè)計時按照了一定的順序進行。選 擇的順序是自上而下的順序，即采用了業(yè)界領(lǐng)先的自頂向下網(wǎng)絡(luò)設(shè)計（ （Top-Down Network Design）

28、 ）方法。3） ） 、可持續(xù)性：考慮到園區(qū)內(nèi)網(wǎng)絡(luò)用戶數(shù)將持續(xù)高速增長，網(wǎng)絡(luò)所要承載 的業(yè)務(wù)量和業(yè)務(wù)種類越來越多，這使得網(wǎng)絡(luò)需要頻頻進行技術(shù)升級、改造和擴 容。 4） ）、可聚合：在路由表急劇膨脹情況下，可聚合原則是網(wǎng)絡(luò)地址分配時所 必須遵守的最高原則，可聚合原則要求在進行地址規(guī)劃時，應(yīng)提供足夠的路由18冗余功能。5） ） 、盡量節(jié)約IPv4地址：由于IPv4地址越來越少，所以對于IPv4地址的 使用需要格外節(jié)約。IPv4地址的節(jié)約可以通過動態(tài)編址技術(shù)和NAT技術(shù)等來實 現(xiàn)。6） ） 、閑置IP地址回收利用：對于已分配出去的靜態(tài)IP地址進行定期追蹤 管理，對長時間閑置的IP地址可經(jīng)過確認后回收重

29、復(fù)利用。此次方案的設(shè)計，我們決定采用一個內(nèi)部私有A類地址（） ）對企業(yè) 園區(qū)的網(wǎng)絡(luò)設(shè)備編址。由于從方案本身的網(wǎng)絡(luò)拓撲圖采用了典型的層次化設(shè)計, 所以對IP地址的編址設(shè)計也應(yīng)釆取層次化的設(shè)計來完成,并釆用VLSM來拓展 有限的IP地址。網(wǎng)段描述所需的IP地址數(shù)骨干核心層鏈路5 （ （2個用于拓展備份）集團總部1000生產(chǎn)部500客戶部500機械廠1000大型機/服務(wù)器群500企業(yè)VOIP語音系統(tǒng)2000VLSM是可變長子網(wǎng)掩碼的英文縮寫，它提供了一個主類（A類、B類、C 類）網(wǎng)絡(luò)內(nèi)包含多個子網(wǎng)掩碼的能力，可以對一個子網(wǎng)再進行子網(wǎng)劃分。 VLSM的優(yōu)點：1、 對IP地址更為有效的使

30、用2、應(yīng)用路由歸納的能力更強所以我們采取VLSM對網(wǎng)絡(luò)進行編址，以達到節(jié)約IP地址，能夠使用路由 匯總的目的。首先采用一個A類網(wǎng)址對園區(qū)網(wǎng)主體結(jié)構(gòu)進行編址，至上而下的設(shè)計思路 有利于設(shè)計的最后成型和網(wǎng)絡(luò)的健壯性。其次，在語音電話系統(tǒng)中，每一個IP電話需要一個IP地址以及諸如子網(wǎng) 掩碼、默認網(wǎng)關(guān)等的相關(guān)信息。事實上，這意味著一個組織需要指派兩倍于IP 電話的IP地址給當前所有的pc用戶，這個由DHCP提供。我們使用私有遍址 的IP電話作為語音電話遍址方案。私有遍址IP電話：172.16.&5IP 電話使用 網(wǎng)絡(luò)IP電話+PC在同一交換機端口上19最后經(jīng)過我的

31、計算，將各部門IP地址分配如下表:IP地址網(wǎng)段VLAN編號默認網(wǎng)關(guān)財務(wù)部/241054/24生產(chǎn)部/242054/24銷售部/243054/24行政部/244054/24用戶地址與VLAN劃分Web 服務(wù)器 IP 地址： 192.16&100.1/24FTP 服務(wù)器 IP 地址：/24路由器出口 IP地址：/2420第四章網(wǎng)絡(luò)安全及管理機制4.1完善的安全機制企業(yè)樓

32、宇交換機通過內(nèi)在的多種安全機制可有效防止和控制病毒傳播和網(wǎng) 絡(luò)流量攻擊，控制非法用戶使用網(wǎng)絡(luò)，保證合法用戶合理化使用網(wǎng)絡(luò)，如端口 安全、端口隔離、ACL、端口 ARP報文合法性檢查、基于數(shù)據(jù)流的帶寬限速、 六元素綁定等等，滿足企業(yè)網(wǎng)加強對訪問者進行控制、限制非授權(quán)用戶通信的 需求；在匯聚、核心交換設(shè)備設(shè)置由硬件實現(xiàn)ACL,對病毒進行過濾，我們 選用的匯聚、核心交換設(shè)備都支持SPOH,所以在使用ACL時將不會影響整 個交換機的性能。1. 硬件實現(xiàn)端口與MAC地址和用戶IP地址的綁定，嚴格限定端口上 用戶接入。2. 通過Private VLAN可以在交換機的同一 VLAN中提供端口之間的通 訊或安

33、全隔離，確保數(shù)據(jù)流進入有效端口，而不會被發(fā)送到其它端口，即解決 了因傳統(tǒng)802.1QVLAN 造成 全網(wǎng)VID資源不夠的問題，同時又無需 利用安全規(guī)則資源即能達到隔離不同用戶以及不同組用戶之間通訊的功能， 充分保護用戶隱私03. 可實現(xiàn)用戶賬號、MAC地址、IP地址、交換機IP、交換機端口等六 大元素之間的靈活任意綁定，有效確認用戶合法性和唯一性。4. 支持業(yè)界特有的IGMP源端口檢査，有效杜絕非法組播源播放和大量 占用大量網(wǎng)絡(luò)帶寬，提高網(wǎng)絡(luò)安全性。5. 提供極為有效的Port Blocking功能，避免端口受到其它端口發(fā)送的廣 播包、多播包等報文的干擾，有效減輕端口負載負擔(dān)，提高端口帶寬，保

34、護用 戶PC更高效安全地運行。6. 基于源IP地址控制的Telnet和Web設(shè)備訪問控制，增強了設(shè)備網(wǎng) 管的安全性，避免黑客惡意攻擊和控制設(shè)備。7. 提供加密傳輸Secure Shell (SSH),保證管理設(shè)備信息的安全性，防 止黑客攻擊和控制設(shè)備。8 可靈活控制2-7層數(shù)據(jù)報文，使得任何一個用戶PC上的任何一種應(yīng) 用報文通過網(wǎng)絡(luò)都能得到有效控制，充分保障了網(wǎng)絡(luò)的安全和合理化使用。4.2解決安全威脅在企業(yè)網(wǎng)絡(luò)已經(jīng)成為公司生產(chǎn)運營的重要組成部分的今天，現(xiàn)代企業(yè)網(wǎng)絡(luò) 必須要有一整套從用戶接入控制，病毒報文識別到主動抑制的一系列安全控制 手段，才能有效的保證企業(yè)網(wǎng)絡(luò)的穩(wěn)定運行。1防沖擊波病毒21隨著蠕蟲病毒等的攻擊手段呈多元化發(fā)展，單一的防護措施已經(jīng)無能為力 保衛(wèi)校園網(wǎng)絡(luò)安全。IDS只能根據(jù)預(yù)先定義的策略進行檢測，對新的攻擊方式 無能為力，或者當IDS偵測到某終端用戶感染病毒后，只能將相關(guān)信息形成 報告通知網(wǎng)管人員，等待處理。然而，此時受感染的用戶可能已經(jīng)通過網(wǎng)絡(luò)散