計算機網(wǎng)絡(luò)系統(tǒng)設(shè)計方案

1、第九章 計算機網(wǎng) 絡(luò) 系 統(tǒng)本方案將涉及以下范圍：系統(tǒng)需求概述網(wǎng)絡(luò)設(shè)計原則網(wǎng)絡(luò)系統(tǒng)設(shè)計網(wǎng)絡(luò)設(shè)備選型網(wǎng)絡(luò)的安全性9.1 系 統(tǒng) 需求 概述隨著網(wǎng)絡(luò)技術(shù)，信息通信領(lǐng)域的長足發(fā)展，網(wǎng)絡(luò)經(jīng)濟，知識經(jīng)濟再不是等 高科技行業(yè)的專利， 企業(yè)正利用其行業(yè)特點， 汲取網(wǎng)絡(luò)技術(shù)精華， 努力創(chuàng)造著制 造業(yè)的又一個春天。 未來是美好的， 但現(xiàn)實不可回避。 大多數(shù)企業(yè)對電子商務(wù)的 一般認識是電子商務(wù)能幫助企業(yè)進行網(wǎng)上購物、 網(wǎng)上交易，僅是一種新興的企業(yè) 運作模式，比較適用于商業(yè)型企業(yè)、貿(mào)易公司、批發(fā)配送公司，孰不知電子商務(wù) 已對傳統(tǒng)的制造業(yè)形成了巨大沖擊。在這種形式下，面對企業(yè)規(guī)模的擴大，新廠區(qū)的啟用，為了加強生產(chǎn)經(jīng)營

2、 管理，提高企業(yè)生產(chǎn)水平和管理水平， 使之成為領(lǐng)導市場的現(xiàn)代化企業(yè)， 并為浙 江生迪光電有限公司的長遠發(fā)展提供更好的條件提出了網(wǎng)絡(luò)系統(tǒng)建設(shè)方案。對于景興公司網(wǎng)絡(luò)系統(tǒng)建設(shè)這樣一個復雜的系統(tǒng)工程，在硬件、軟件、網(wǎng) 絡(luò)等方面都提出了非常高的要求。 作為系統(tǒng)運行的支撐平臺， 更是重中之重。 計 算機網(wǎng)絡(luò)系統(tǒng)、 網(wǎng)絡(luò)整體安全系統(tǒng)以及整個系統(tǒng)集成建設(shè)是否成功， 變得尤其重 要。根據(jù)對企業(yè)的弱電設(shè)計以及與企業(yè)有關(guān)部門的深入溝通，結(jié)合我公司以往 對企業(yè)系統(tǒng)實施的經(jīng)驗積累， 我們認為， 本次關(guān)于景興限公司計算機網(wǎng)絡(luò)核心系 統(tǒng)的總體需求可以概括為：1、實現(xiàn)企業(yè)的信息化管理，提高經(jīng)濟管理水平和服務(wù)質(zhì)量，實現(xiàn)企業(yè)的經(jīng)

3、 濟效益與社會效益的同步增長。在此基礎(chǔ)上發(fā)展企業(yè)的決策支持輔助信息系統(tǒng)， 因此我們計算機網(wǎng)絡(luò)核心系統(tǒng)也將緊緊圍繞著這些應(yīng)用展開。2、建設(shè)機房與相應(yīng)的網(wǎng)絡(luò)系統(tǒng)。3、建立比較完備的安全防護體系，實現(xiàn)信息系統(tǒng)的安全保障。4、系統(tǒng)必須保持一定的先進性、可擴展性、高可用性、高穩(wěn)定性、易維護 性。9.2 網(wǎng) 絡(luò) 設(shè)計 原則（ 1）先 進性 與 成熟性 相結(jié)合近年來信息技術(shù)飛速發(fā)展，用戶在構(gòu)建信息系統(tǒng)時有了很大的選擇余地， 但也使用戶在構(gòu)建系統(tǒng)時絞盡腦汁地在技術(shù)的先進性與成熟性之間尋求平衡。 先 進而不成熟的技術(shù)不敢用， 而太成熟的技術(shù)又意味著過時和淘汰。 本方案充分考 慮了先進性與成熟性相結(jié)合。（ 2）合

4、 理、 靈 活的體 系結(jié)構(gòu)“結(jié)構(gòu)先行” 是構(gòu)建任何系統(tǒng)的先例， 信息系統(tǒng)也不例不斷變化的情況下， 調(diào)整適應(yīng) , 從長遠角度來看，也可以提供很好的投資保護。（ 3）系 統(tǒng)的 開 放性系統(tǒng)的開放性體現(xiàn)在信息系統(tǒng)的可互連及工業(yè)標準的相容。我們采用國際 互連網(wǎng)信息協(xié)議來實施網(wǎng)絡(luò)連接， 保證現(xiàn)在和將來與其他系統(tǒng)的可連通性。 我們 采用工業(yè)標準的硬件設(shè)備，以保證獲得大多數(shù)廠商的長期技術(shù)支持。（ 4）系 統(tǒng)的 高 可靠性設(shè)計方案不但要保證理論上可行， 更重要的是實際上可用 , 要充分考慮具體 情況，充分滿足網(wǎng)絡(luò)需求。為了使網(wǎng)絡(luò)可靠地運行，本方案選用了高品質(zhì)、高性能價格比的產(chǎn)品，把 故障率降低到最低。（ 5）

5、一 體化 的 網(wǎng)絡(luò)管 理隨著網(wǎng)絡(luò)規(guī)模的擴大和系統(tǒng)復雜程度的增加，網(wǎng)絡(luò)管理和故障排除變得越 來越困難 , 本方案將提供先進而完善的網(wǎng)絡(luò)管理工具。6）系統(tǒng)可擴充性所有的系統(tǒng)主機及信息設(shè)備均可支持更高速度的處理和信息要求。我們選 擇了合適本網(wǎng)絡(luò)系統(tǒng)要求的配置， 并設(shè)置了滿足更高性能要求時的接口 （光纖專 線），以便通過增加網(wǎng)絡(luò)設(shè)備的內(nèi)部模塊的擴充方式來實現(xiàn)系統(tǒng)升級，保證原有 投資。（ 7）系 統(tǒng)安 全 性 系統(tǒng)安全性包括保障網(wǎng)絡(luò)服務(wù)的可用性和網(wǎng)絡(luò)信息的完整性。（ 8）系 統(tǒng)易 維 護性 充分考慮公司網(wǎng)絡(luò)系統(tǒng)的實際情況，在系統(tǒng)總體設(shè)計時選用熟悉的操作系 統(tǒng)平臺，注意系統(tǒng)的可維護性。（ 9）充 分考 慮

6、 性價比 作為系統(tǒng)集成商，我們一貫的原則是在盡可能節(jié)省用戶投資的前提下，提 供最優(yōu)的集成方案書和產(chǎn)品選型，本方案充分考慮到這一點。（ 10）完善 的 本地 支持 服務(wù) 構(gòu)建一個系統(tǒng)最重要的還要考慮到系統(tǒng)能按時保質(zhì)地開通， 并能保持它的連 續(xù)正常地運行。 集成商及其設(shè)備廠家提供的服務(wù)， 特別是本地支持服務(wù)的及時響 應(yīng)和質(zhì)量是系統(tǒng)能否成功的關(guān)鍵因素之一。 我公司為美國網(wǎng)思科嘉興地區(qū)的認證 代理商及本公司完善的服務(wù)中心是本方案書履行及系統(tǒng)持續(xù)正常運行的可靠保 證。主要技術(shù)要求1. 采用成熟、先進的計算機和網(wǎng)絡(luò)技術(shù)；2. 統(tǒng)一技術(shù)規(guī)范、標準和方案，統(tǒng)組織實施；3. 以標準化為基礎(chǔ)實現(xiàn)系統(tǒng)的開發(fā)性、可擴

7、展性、異構(gòu)網(wǎng)絡(luò)的互聯(lián)能力；4. 注意避免網(wǎng)絡(luò)設(shè)計上出現(xiàn)信息流傳輸?shù)钠款i效應(yīng)，信息的安全性以保證 網(wǎng)絡(luò)每天可靠地運行；5. 通信和數(shù)據(jù)的安全，建立完善的網(wǎng)絡(luò)安全管理機制；6. 采用可靠、先進、高效、功能豐富的網(wǎng)絡(luò)管理設(shè)備和建立完善、合理的 規(guī)章制度。9.3 網(wǎng) 絡(luò) 系統(tǒng) 設(shè)計9.3.1 網(wǎng)絡(luò)設(shè)計總體考慮當今網(wǎng)絡(luò)的發(fā)展正遠遠超出了單純追求基本連通的歷史階段。 我們在網(wǎng)絡(luò)連 通基礎(chǔ)上需要更高要求的網(wǎng)絡(luò)服務(wù)內(nèi)容， 包括網(wǎng)絡(luò)服務(wù)質(zhì)量， 安全性服務(wù)， 高可 靠性，可擴展性等增值服務(wù)。在此基礎(chǔ)上， 多層次的網(wǎng)絡(luò)管理也是網(wǎng)絡(luò)成功與否的一個關(guān)鍵所在。 統(tǒng)計數(shù) 據(jù)表明，網(wǎng)絡(luò)的建設(shè)成本在總成本的三分之一。 網(wǎng)絡(luò)的運

8、營管理成本都要消耗總 成本的三分之二左右。因此有效的網(wǎng)絡(luò)管理可以大大節(jié)省網(wǎng)絡(luò)的運營管理開銷， 是網(wǎng)絡(luò)的重要組成部分之一。9.3.2 網(wǎng)絡(luò)總體設(shè)計在現(xiàn)在的計算機網(wǎng)絡(luò)通信應(yīng)用中， 信息流已不再是單純的數(shù)據(jù)， 同時還有聲 音、圖像和視頻等多媒體信息。 系統(tǒng)設(shè)計和管理人員的一個很自然的選擇就是盡 可能向用戶提供財力允許的最大帶寬。 。根據(jù)有限公司的需要，我們推薦景興公司采用 1001000M 以太網(wǎng)，既適用于 目前數(shù)據(jù)交換又能滿足于多媒體傳輸 , 1001000M 以太網(wǎng)在先進、成熟、實用、 升級擴展、開放性與互連方便等方面都具有明顯的特點：1) 高可靠性()2) 高性能 ()3) 高可擴展性 ()4

9、) 高品質(zhì)的網(wǎng)絡(luò)服務(wù)質(zhì)量()景興公司網(wǎng)絡(luò)系統(tǒng)采用集中分布式二層網(wǎng)絡(luò)結(jié)構(gòu)， 建成主干為1000M光纜連 接，100M網(wǎng)線到桌面的新廠區(qū)網(wǎng)絡(luò)系統(tǒng)。9.4網(wǎng)絡(luò)拓撲及說明晟興新辦公人樓網(wǎng)絡(luò)拓撲eWSML'SWO < 尸.I IB V，F(xiàn) r! B岫ywfld!I辦公樓機房新增核心交換機4507R1臺配置最新的第六代萬兆引擎2塊保證 技術(shù)的先進性，同時引擎320G的交換容量保證網(wǎng)絡(luò)數(shù)據(jù)的線速轉(zhuǎn)發(fā)，萬兆接口 預留以后萬兆接入，2塊引擎互為冗余；另配置冗余電源；配置48 口 10/100/1000M 電口板1塊提供服務(wù)器群、及辦公樓內(nèi)重要信息點接入；配置 24 口光口板2塊 通過單模光纖模塊連

10、接各接入交換機； 核心交換機共7個插槽，預留2個插槽為 將來擴容。辦公樓機房各樓層新增48 口或者24 口 10/100M接入交換機負責本樓層內(nèi)各 信息點接入網(wǎng)絡(luò)，交換機通過雙路單模光纖模塊捆綁（提供雙向 4G速率，保證 網(wǎng)路的冗余）接入核心交換機。9.5網(wǎng)絡(luò)設(shè)備選型景興公司網(wǎng)絡(luò)系統(tǒng)中，主干核心交換機是肩負所有設(shè)備互連、交換處理的重要設(shè)備，并具有可靠性高，交換處理能力強、擴展性能好等特點。一.核心交換機4507R:景興公司網(wǎng)絡(luò)系統(tǒng)中，核心三層交換機采用美國思科4507R交換機, 交換機采用了優(yōu)化的體系架構(gòu)，可以實現(xiàn)高性能的全線速的第二層和第三層 交換，滿足網(wǎng)絡(luò)骨干大流量、多應(yīng)用、高可靠的需求。

11、并提供一流的性能、 可管理性和靈活性以及無與倫比的投資保護。.樓層交換機采用思科二層網(wǎng)管10/100M可以交換機2918三.公司網(wǎng)絡(luò)地址的規(guī)劃與的劃分如下：A：由于有限公司的數(shù)據(jù)信息點有公司多個，現(xiàn)將地址規(guī)劃為C類網(wǎng)段,具體如下：地點計算機地址網(wǎng)段上網(wǎng)192.168.10.1-192.168.10.254公司領(lǐng)導192.168.20.1-192.168.20.254網(wǎng)絡(luò)192.168.30.1-192.168.30.254財務(wù)192.168.40.1-192.168.40.254服務(wù)器192.168.50.1-192.168.50.254無線192.168.60.1-192.168.60.25

12、4來賓192.168.1.1-192.168.1.2549.6可靠性與安全保密性9.6.1局域網(wǎng)在網(wǎng)絡(luò)層中不安全的地方1）不安全的地方由于局域網(wǎng)中采用廣播方式，因此，若在某個廣播域中可以偵聽到所有 的信息包，黑客就對可以對信息包進行分析，那么本廣播域的信息傳遞都會 暴露在黑客面前。2）網(wǎng)絡(luò)分段網(wǎng)絡(luò)分段是保證安全的一項重要措施，同時也是一項基本措施，其指導 思想在于將非法用戶與網(wǎng)絡(luò)資源相互隔離， 從而達到限制用戶非法訪問的目 的。網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式：物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層（/模型中的第一層和第二層）上分為若干同段，各同段相互之間無法進行直接通訊。目前，許

13、多 交換機都有一定的訪問控制能力，可實現(xiàn)對網(wǎng)絡(luò)的物理分段。邏輯分段則是 指將整個系統(tǒng)在網(wǎng)絡(luò)層（/模型中的第三層）上進行分段。例如，對于/網(wǎng) 絡(luò)，可把網(wǎng)絡(luò)分成若干子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機、網(wǎng)關(guān) 或防火墻等設(shè)備進行連接，利用這些中間設(shè)備（含軟件、硬件）的安全機制 來控制各子網(wǎng)間的訪問。在實際應(yīng)用過程中。通常采取物理分段與邏輯分段 相結(jié)合的方法來實現(xiàn)對網(wǎng)絡(luò)系統(tǒng)的安全性控制。3）的實現(xiàn)虛擬網(wǎng)技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)（和以太網(wǎng)交換） 。交 換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。 因此，網(wǎng)管 系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。以太網(wǎng)從本

14、質(zhì)上基于廣播機制， 但應(yīng)用了交換器和技術(shù)后， 實際上轉(zhuǎn)變 為點到點通訊，除非設(shè)置了監(jiān)聽口，信息交換也不會存在監(jiān)聽和 插入（改 變）問題。由以上運行機制帶來的網(wǎng)絡(luò)安全的好處是顯而易見的： 信息只到達應(yīng)該到達的地點。 因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入 侵手段。通過虛擬網(wǎng)設(shè)置的訪問控制， 使在虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點不能直接訪問 虛擬網(wǎng)內(nèi)節(jié)點。但是，虛擬網(wǎng)技術(shù)也帶來了新的安全問題： 執(zhí)行虛擬網(wǎng)交換的設(shè)備越來越復雜， 從而成為被攻擊的對象。 基于網(wǎng)絡(luò) 廣播原理的入侵監(jiān)控技術(shù)在高速交換網(wǎng)絡(luò)內(nèi)需要特殊的設(shè)置。 基于的不能防 止欺騙攻擊。采用基于的劃分將面臨假冒地址的攻擊。 因此，的劃分最好基于交換機 端口。但

15、這要求整個網(wǎng)絡(luò)桌面使用交換端口或每個交換端口所在的網(wǎng)段機器 均屬于相同的。4）之間的安全劃分原則的劃分方式的目的是保證系統(tǒng)的安全性。 因此，可以按照系統(tǒng)的安全性 來劃分，可以將總部中的服務(wù)器系統(tǒng)單獨劃作一個， 如數(shù)據(jù)庫服務(wù)器、 電子 郵件服務(wù)器等。 也可以按照機構(gòu)的設(shè)置來劃分， 如將領(lǐng)導所在的網(wǎng)絡(luò)單獨作 為一個 （），其他部門（或下級機構(gòu)）分別作為一個，并且控制與其他之間 的單向信息流向， 即允許查看其他的相關(guān)信息， 其他不能訪問的信息。 之內(nèi) 的連接采用交換實現(xiàn)， 與之間采用路由實現(xiàn)。 由于路由控制的能力有限， 不 能實現(xiàn)與其他之間的單向信息流動， 需要在與其他之間設(shè)置一個防火墻作為 安全隔

16、離設(shè)備，控制與之間的信息交流。9.6.2 網(wǎng)絡(luò)安全的措施防火墻防火墻并非萬能，但對于網(wǎng)絡(luò)安全來說還是必不可少的。它是位于兩個網(wǎng) 絡(luò)之間的屏障，一個是內(nèi)部網(wǎng)絡(luò)（可信賴的網(wǎng)絡(luò)） ，另一個是外部網(wǎng)絡(luò)（不可信 賴的網(wǎng)絡(luò)），防火墻按照系統(tǒng)管理員預先定義好的規(guī)則來控制數(shù)據(jù)包的進出。大部分防火墻都采用了以下三種工作方式中的一種或多種； 使用一個過濾器 來檢查數(shù)據(jù)包的來源和目的地， 根據(jù)管理員的規(guī)定接收或拒絕數(shù)據(jù)包； 掃描數(shù)據(jù) 包，查找與應(yīng)用相關(guān)的數(shù)據(jù)； 在網(wǎng)絡(luò)層對數(shù)據(jù)包進行模式檢查， 看是否符合已知 “友好”數(shù)據(jù)包的位 （） 模式。9.6.3 網(wǎng)絡(luò)系統(tǒng)實現(xiàn)的安全管理措施1為確保網(wǎng)絡(luò)系統(tǒng)的安全運行和數(shù)據(jù)可靠共

17、享，局域網(wǎng)系統(tǒng)網(wǎng)站所實現(xiàn) 的安全措施包括：通信對方鑒別參與通信的一方可以檢驗對方的身份，鑒別其真?zhèn)魏驮L問權(quán)限?？刹捎谩皢畏借b別”和“互相鑒別”兩種方式；數(shù)據(jù)發(fā)方鑒別在無連接的通信中，接收方鑒別發(fā)送數(shù)據(jù)方身份后方才接收數(shù)據(jù)，以防止欺騙數(shù)據(jù)的侵入；訪問控制只有授權(quán)用戶才能進入特定的局域網(wǎng)，使用網(wǎng)絡(luò)資源；數(shù)據(jù)保護保證專用數(shù)據(jù)不被無權(quán)用戶獲取， 這是通過控制訪問或數(shù)據(jù)加密實現(xiàn)的； 業(yè)務(wù)流分析防護網(wǎng)絡(luò)中某些特定的業(yè)務(wù)流出現(xiàn)的頻度， 長度和信息來源等等， 也具有一定 的保密意義。 本措施即是對特定的業(yè)務(wù)信息流進行必要的屏蔽， 以避免無權(quán) 用戶通過分析這些業(yè)務(wù)流而獲取有用信息；數(shù)據(jù)完整性保護發(fā)方和收方確認2

18、數(shù)據(jù)安全措施和保密性數(shù)據(jù)的安全性表現(xiàn)在以下幾個方面：1) 防止因硬件故障造成的數(shù)據(jù)破壞 我們通過采用優(yōu)質(zhì)、 高性能的設(shè)備和采用切實可行的系統(tǒng)容錯技術(shù)可以 完全保證因硬件故障造成的數(shù)據(jù)破壞。2) 保證數(shù)據(jù)不被竊取和破壞建立相應(yīng)的安全管理機制和在用戶中樹立安全意識， 防止泄密事件發(fā)生， 以保證數(shù)據(jù)不被竊取。3) 防止病毒破壞 一方面，要求網(wǎng)上的用戶不要隨意拷貝外來磁盤和下載網(wǎng)上文件， 不要隨 意使用盜版光盤， 防止病毒進入網(wǎng)絡(luò)； 另一方面使用殺毒軟件對工作站進行 病毒清理，在網(wǎng)上安裝防病毒軟件， 也是一種防止網(wǎng)上病毒侵蝕的有效途徑。4) 防止人為破壞和“黑客”攻擊采用防火墻技術(shù)， 在和連接的通道上設(shè)立防火墻， 屏蔽本系統(tǒng)的地址， 對 出入的數(shù)據(jù)包進行過濾，防止“黑客”通過攻擊本系統(tǒng)。同時網(wǎng)絡(luò)之間也需 進行數(shù)據(jù)包的過濾， 防止有人通過系統(tǒng)破壞網(wǎng)絡(luò)。 保證整個系統(tǒng)的安全。 在 系統(tǒng)內(nèi)部建立一整套嚴密的帳戶和口令管理機制， 可以有效的防止人為破壞。 3. 硬件設(shè)備的安全選擇優(yōu)質(zhì)的硬件設(shè)備是保證系統(tǒng)安全可靠的前提條件 即全系統(tǒng)的硬件設(shè)備：包括服務(wù)器、核心交換機、路由器、工作站等 等的安全性。硬件設(shè)備的安全性主要由設(shè)備本身的性能和系統(tǒng)采用容錯技術(shù)來保證。 最主要的是決定于設(shè)備本身的性能， 所以我們選擇了世界著名網(wǎng)絡(luò)設(shè)備生產(chǎn) 廠商美國思科公司的 防火墻 產(chǎn)品。