辦公網公網線路整改總結

1、辦公網公網線路整改總結1、整改原狀1.1 業(yè)務分散各業(yè)務部門公網光纖線路均采用單點接入，線路部署分散，故障發(fā)生需要較長時間進行故障節(jié)點判定，業(yè)務影響時間較長。1.2 無流量監(jiān)管現有公網光纖線路均采用2層設備接入，不具備流量監(jiān)控條件，不能對各部門業(yè)務流量進行分析處理，無法對后期網絡布局影響范圍、線路帶寬增減等提供依據1.3 缺乏安全管控目前所有線路均由公網直接接入局域網內部，所有訪問路徑未部署任何安全管控設備，服務端遭受外部惡意主機攻擊不僅影響該業(yè)務線路，對公司內網安全也有很大安全風險。2、整改方案2.1 改造方向l 對公網線路、內網連接重新部署，完成統一整合，形成完整且獨立的事業(yè)部公網網絡區(qū)域

2、l 實現公網線路的流量監(jiān)控和安全防護功能，對各業(yè)務流量進行分析，為后期線路增減提供依據并且實現內網外網的安全隔離l 整合后的網絡必須具備一定的可用性，由于接入線路比較集中，要盡量避免重要節(jié)點的單點故障造成的整體線路中斷2.2 網絡架構圖整體網絡架構圖如下：圖1-1 公網線路調整拓撲圖3、實施情況3.1 公網整改架構調整為了更好的達到公網整合后預期的效果，在實施方案形成后，經過不斷的商討和凝練，我們定義了新的網絡架構拓撲，如下圖：圖1-2 調整后拓撲由于后期，針對于公網公網網絡現狀的深入了解，發(fā)現有部分公網線路已經存在類似防火墻之類的網絡設備接入，從現有的設備中，我們即可觀察到線路利用情況，因此

3、對需要整改的公網線路進行精簡后，發(fā)現一臺防火墻足以承載相關流量，此次實際梳理的公網線路如下表：電信聯通移動備注262426434615830142696141263.2 公網物理線路整理由于整改前的公網線路，在上線實施使用前，并沒有經過周全的布線規(guī)劃，導致網絡線纜凌亂不堪，交織在一起，此次實施前，我們清理掉全部不在使用的光電轉換設備及其線纜，在實施中，我們針對全部線纜進行了統一梳理、部署及扎線貼標工作，使其看起來簡單有序，但由于歷史緣故，仍有部分其他設備

4、線路無法挪動，美中仍有不足。4、整改后效果4.1 流量監(jiān)控通過將公網流量透過防火墻的方式，實現對所有公網線路的監(jiān)控，在防火墻主頁中，可以實時監(jiān)控所有線路的總機帶寬及會話數。圖 4.1 監(jiān)控防火墻整機流量圖在首頁中，我們只能看到所有線路的總體流量情況趨勢圖，為了監(jiān)控到每一條線路每一個IP地址的流量情況，我們可以自定義根據公網IP地址來監(jiān)控其對應的流量，根據每條線路所擁有的IP地址段，定義一個監(jiān)控組，即可監(jiān)控這條線路的IP地址使用情況及該地址的流量使用情況，如下圖所示：圖4-2 自定義公網線路監(jiān)控1圖4-3 自定義公網線路監(jiān)控2如圖中所以，我們根據公網線路的作用定義了流量監(jiān)控組，在流量監(jiān)控組中可以

5、清晰的看到每一個在用IP地址的流量使用情況及歷史曲線圖，可以一目了然的看到每條線路的帶寬使用情況，然后評估該線路的利用率是否符合公司要求。4.2 安全管控將所有公網流量透過防火墻之后，防火墻即可對這些流量進行安全分析，進行安全監(jiān)測、安全過濾，保障內網服務器的安全。在監(jiān)控防火墻上，開啟二層安全防護后，可以針對流入防火墻的流量進行固定的安全防護，并針對不同的攻擊類型，做出相應響應，完成對內網服務器的安全防護，如下圖：圖4-4 開啟攻擊防護在開啟公網防護后，防火墻會針對外部不安全流量進行安全管控，根據默認的安全管控行為，做出相應措施，如下圖：圖4-5 攻擊防護措施如上圖所示，當有攻擊發(fā)生后，防火墻會

6、匹配防護措施，實現對外部不安全流量的管控功能，途中針對ICMP 泛洪攻擊，防火墻及時有效的drop掉疑似攻擊流量，完成對內網安全域防護功能。5、整改外公網線路監(jiān)控由于此次公網線路整改，并沒有涉及全部公網線路，因為部分公網線路已經存在4層以上設備，可做監(jiān)控使用，這部分線路梳理如下：公網線路監(jiān)控設備備注62166606:4430/30142通過上表，可以通過相關監(jiān)控設備對相應的公網線路進行流量監(jiān)控，舉例說明如下：圖5-1 深信服設備流量監(jiān)控6、實施總結在實施前，由于對實施工作及細節(jié)考慮的不充分，導致線路整改方案一改再改，實施時間一推再推，最終成型的方案，也就是我們實施的方案，最終全部實現了最初預期的暢想，完成了對公網線路的整理，對公網流量的監(jiān)控，對公網安全性進行了防護工作，使科大訊飛A1樓公網梳理成一個有機的整體，具體可觀性、可控性，使我們可以對每一條線路了然于目，知道其使用情況，帶寬利用率。在實施過程中，突發(fā)將所有線路整合到同一臺交換機后，所有