研發(fā)中心網(wǎng)絡(luò)平臺建設(shè)方案

1、某研發(fā)中心網(wǎng)絡(luò)平臺項目綜述某研發(fā)中心是 2009 年 10 月 23 日正式揭牌啟動運行的，研發(fā)中心占地面積為 3.1 萬平方米， 總建筑面積為 4.5 萬平方米。 研發(fā)中心分為南北兩個相互對稱的區(qū)域。 研發(fā)中心以六大核心技術(shù)平 臺和六大支撐平臺為技術(shù)支撐。構(gòu)建了縱向從新藥研發(fā)到聯(lián)創(chuàng)研究，橫向包含中藥、化藥、基因工 程的全方位的研發(fā)體系。 某研發(fā)中心網(wǎng)絡(luò)平臺主要向園區(qū)入駐企業(yè)提供高效、 安全的用戶接入服務(wù)， 信息發(fā)布平臺、資源共享和存儲平臺、園區(qū)內(nèi)音視頻服務(wù)。工程計劃分期完成，一期工程只要是主 干網(wǎng)絡(luò)建設(shè)。主要完成網(wǎng)絡(luò)接入服務(wù)。一、 建設(shè)原則實用性原則以現(xiàn)有設(shè)備為補充，充分考慮發(fā)展的需要來確定

2、系統(tǒng)規(guī)模。安全性原則作為一個開放的園區(qū)網(wǎng)絡(luò)，對用戶的安全以及網(wǎng)絡(luò)的安全要求較高。成熟和先進性原則產(chǎn)品選型必須是有大量應(yīng)用的成熟廠商產(chǎn)品。 該品牌產(chǎn)品需要及時將新技術(shù)引用進來， 更好的 開展業(yè)務(wù)，同時也要求保證網(wǎng)絡(luò)與業(yè)務(wù)的可靠性。規(guī)范性原則系統(tǒng)設(shè)計所采用的技術(shù)和設(shè)備應(yīng)符合國際標準和國家標準為系統(tǒng)的擴展升級、 與其他系統(tǒng)的互 聯(lián)提供良好的基礎(chǔ)。開放性和標準化原則在設(shè)計時， 要求提供開放性好、 標準化程度高的技術(shù)方案；設(shè)備的各種接口滿足開放和標準化 原則?？蓴U充和擴展化原則所有系統(tǒng)設(shè)備不但滿足當(dāng)前需要， 并在擴充模塊后滿足可預(yù)見將來需求， 如帶寬和設(shè)備的擴展， 應(yīng)用的擴展和辦公地點的擴展等。 保證建

3、設(shè)完成后的系統(tǒng)在向新的技術(shù)升級時， 能保護現(xiàn)有的投資?？晒芾硇栽瓌t整個系統(tǒng)的設(shè)備應(yīng)易于管理， 易于維護， 操作簡單， 易學(xué)， 易用， 便于進行系統(tǒng)配置， 在設(shè)備、 安全性、數(shù)據(jù)流量、性能等方面得到很好的監(jiān)視和控制，并可以進行遠程管理和故障診斷。高可靠性原則網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定可靠是應(yīng)用系統(tǒng)正常運行的關(guān)鍵保證，在網(wǎng)絡(luò)設(shè)計中特別是關(guān)鍵節(jié)點的設(shè)計 中，選用高可靠性網(wǎng)絡(luò)產(chǎn)品，實現(xiàn)關(guān)鍵節(jié)點冗余并完成負載分擔(dān)。避免單點故障。最大限度地保證 網(wǎng)絡(luò)系統(tǒng)的高效運行。二、 設(shè)計方案主干網(wǎng)絡(luò)設(shè)計如下圖所示，系統(tǒng)要求為“核心-匯聚 - 接入”的三層拓撲結(jié)構(gòu)。為終端用戶提供“千兆到桌面”的高速園區(qū)網(wǎng)和多線路接入的in ter

4、net 網(wǎng)絡(luò)服務(wù)。包括北區(qū) A1區(qū)、B1區(qū)、C1區(qū)及南區(qū)A2區(qū)、B2區(qū)、C2區(qū)的網(wǎng)絡(luò)主干系統(tǒng)建設(shè)。北區(qū)每棟樓宇通過光纖與核心交 換機連接。南區(qū)采用借助公共網(wǎng)絡(luò)采用VNP技術(shù)和核心交換機連接。 樓宇內(nèi)采用分樓層布置接入交換機的方案。接入交換機通過六類雙絞線或更光纖與匯聚交換機相連。中心機房設(shè)A1 樓6樓。以下簡要描述不同層次所執(zhí)行的功能：核心層功能核心層一般是一個高速的交換主干網(wǎng)，能盡快地交換數(shù)據(jù)包。一般不作數(shù)據(jù)包處理，例如訪問控制和過濾，這些都可能降低數(shù)據(jù)包的交換速度。就目前園區(qū)的規(guī)劃和發(fā)展前景，核心層網(wǎng)絡(luò)設(shè)備應(yīng)支持IPV6且數(shù)據(jù)交換能力應(yīng)大于 400Gbps。并且必須具備一定的業(yè)務(wù)擴展能力。

5、 考慮到園區(qū)網(wǎng)絡(luò)是跨區(qū)域分區(qū)連接。核心層網(wǎng)絡(luò)還應(yīng)具備支持三層的MPLS VPN和二層的MPLSvpn方便北區(qū)及南區(qū)的連接，考慮到后續(xù)的園區(qū)網(wǎng)絡(luò)的發(fā)展，核心網(wǎng)絡(luò)層設(shè)備還應(yīng)提供豐富 的無線業(yè)務(wù)擴展能力。匯聚層功能其功能主要包括地址或區(qū)域集合、部門或工作組接入、廣播和多目廣播域定義、VLAN交換、任何可能的介質(zhì)傳輸、安全。匯聚層交換機要你管考慮到擴展性、可靠性、分布性的特點，并具有 完備的安全控制策略、豐富的QOS策略。接入層功能功能組要包括共享帶寬、交換帶寬、MAC!過濾。接入層交換機應(yīng)具備高效的流控管理功能。根據(jù)某研發(fā)中心網(wǎng)絡(luò)平臺千兆以太網(wǎng)系統(tǒng)需求， 分層結(jié)構(gòu)并不一定要有十分清楚的物理實體區(qū) 分

6、，有的交換機即可以工作在匯聚層，同時也可作為接入層的交換設(shè)備。因此我們可以根據(jù)投資規(guī) 模等省略匯聚層設(shè)備，整個網(wǎng)絡(luò)采用星網(wǎng)狀的網(wǎng)絡(luò)構(gòu)造。外網(wǎng)部分某研發(fā)中心網(wǎng)絡(luò)平臺的外網(wǎng)主要作用是提供 Internet 連接共享，相比內(nèi)網(wǎng)，外網(wǎng)無論是 速率還是穩(wěn)定性要求都相對較低，但并不意味著不重視。 考慮到網(wǎng)絡(luò)的高效性及高可靠性。 外網(wǎng)設(shè) 備應(yīng)具備線路負載及冗余功能、豐富的安全管控能力。北區(qū)借助多業(yè)務(wù)匯聚層設(shè)備連接外部網(wǎng)絡(luò)， 省去購買外部網(wǎng)絡(luò)設(shè)備費用，而南區(qū)考慮使用安全產(chǎn)品連接到外部網(wǎng)絡(luò)。兩區(qū)域通過VPN協(xié)議形成私有網(wǎng)絡(luò)。三、系統(tǒng)選型根據(jù)甲方要求，和網(wǎng)絡(luò)管理便于管理的需要，園區(qū)所有的數(shù)據(jù)產(chǎn)品均采用H3C的產(chǎn)品

7、。產(chǎn)品設(shè)備的選型不僅要考慮到目前的情況，還應(yīng)考慮到今后的發(fā)展。就目前某的規(guī)劃及發(fā)展前景。我們選用H3C公司最新產(chǎn)品的多業(yè)務(wù)高端交換機S7503E作為核心層設(shè)備，S5600-26C以太網(wǎng)交換機作為匯聚層設(shè)備。選用 S5000E系列（含24E及48E）全千兆安全智能交換機作為接入層設(shè)備。 各設(shè)備業(yè)務(wù)性能介紹如下：S7503E：豐富的業(yè)務(wù)，適應(yīng)融合業(yè)務(wù)網(wǎng)絡(luò)發(fā)展趨勢?；贗RF2 （第二代智能彈性架構(gòu)）技術(shù)的虛擬化架構(gòu)不僅成為數(shù)據(jù)中心交換設(shè)備高性能、虛擬化的關(guān)鍵技術(shù)，而且對于傳統(tǒng)企業(yè)網(wǎng)應(yīng)用，IRF2 所提供的高可靠性和無縫升級、擴展能力。S7503E支持Multi-VRF 特性，可以作為MCE設(shè)備使用

8、；支持三層的 MPLSVPN和二層的 MPLSVPN （Martini、Kompella）；支持 MPLS OAM特性，方便用戶的管理和維護；與 H3C MPLS VPN Manager 配合，實現(xiàn)圖形化的 MPLS部署與維護。全面支持VPLS VLL，支持1K VPLS實例，4K VLL，還支持分層VPLS以及QINQ+VPLS接入方式，提供端到端 2層VPN接入方案，支持 MPLS/VPLS全線速轉(zhuǎn) 發(fā)，滿足VPLS規(guī)模部署要求。滿足項目南北區(qū)連接的需要，相對于傳統(tǒng)的線路租賃業(yè)務(wù)來說VPN不但節(jié)省了費用并且提高了園區(qū)網(wǎng)絡(luò)的安全性H3C S7503E支持IPv4/IPv6 雙協(xié)議棧，支持多種

9、隧道技術(shù)，支持 IPv4/IPv6的組播技術(shù)，為用 戶提供完善的IPv4/IPv6解決方案；H3C S7500E采用分布式體系架構(gòu)，實現(xiàn)IPv4/IPv6業(yè)務(wù)的線速無阻塞轉(zhuǎn)發(fā)；是成熟商用的 IPv6 產(chǎn)品。H3C S7503E有線無線一體化，集成的無線控制模塊提供豐富的業(yè)務(wù)能力，包括精細的用戶控制管 理、完善的RF管理及安全機制、快速漫游、超強的QoS和對IPv6的支持等；無線控制模塊通過與安全策略服務(wù)器的聯(lián)動，實現(xiàn)對無線接入用戶的端點準入防御，提高了整網(wǎng)的安全性。H3C S7503E 提供完善的安全防護機制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報文攻擊識別模塊，

10、防止TCN ARP等協(xié)議報文攻擊，OSPF/BGP/IS-IS路由協(xié)議采用MD5驗證，防止非法路由更新報文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面，SNMPv3網(wǎng)管協(xié)議，SSHV2,基于802.1x、AAA/Radius的用戶身份認證以及分級的用戶權(quán)限管理保證了設(shè)備管理的安全性； 在轉(zhuǎn)發(fā)平面，支持IP、VLAN、MA（和端口等多種組合精細綁定；支持uRPF單播反向路徑轉(zhuǎn)發(fā)，防止非法流量訪問網(wǎng)絡(luò)，采用最長匹配逐包轉(zhuǎn)發(fā)機制，有效抵御病毒的攻擊。H3C S7500E 還支持內(nèi)置的高性能防火墻、異常流量清洗等模塊，將專業(yè)的安全融入到交換機之中。H3C S7503E 支持不間斷轉(zhuǎn)發(fā)和優(yōu)雅重啟，提供毫秒級的切換時間；支

11、持等價路由，可幫助用戶建立多條等值路徑，實現(xiàn)流量的負載均衡及冗余備份；支持RRPP快速環(huán)網(wǎng)保護協(xié)議；支持Smart-Li nk 協(xié)議，保證雙上行網(wǎng)絡(luò)拓撲的業(yè)務(wù)毫秒級快速切換。通過上述技術(shù)，H3C S7500E可以在承載多業(yè)務(wù)的情況下不間斷運行，實現(xiàn)業(yè)務(wù)的永續(xù)。H3C S5600系列交換機H3C S5600系列全千兆智能彈性交換機是H3C公司為設(shè)計和構(gòu)建高彈性和高智能網(wǎng)絡(luò)需求而推出的新一代以太網(wǎng)交換機產(chǎn)品。系統(tǒng)采用H3C公司創(chuàng)新的IRF（ IntelligentResilient Framework，智能彈性架構(gòu)）技術(shù)，支持高達 96G的堆疊帶寬和高密度千兆端口，支持萬兆上行。S5600系列交換

12、機采用 IRF 技術(shù)組網(wǎng)后， 能夠在整個堆疊組內(nèi)實現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份，極大地增強了設(shè)備和網(wǎng)絡(luò)的可靠性，消除了單點故障，避免了業(yè)務(wù)中斷。同時H3CS5600系列交換機不僅支持STP/RSTP生成樹協(xié)議，還提供了基于多VLAN的生成樹MSTP極大提高了鏈路的冗余備份，提高容錯能力，保證網(wǎng)絡(luò)的穩(wěn)定運行。支持VRRP虛擬路由冗余協(xié)議，與其他三層交換機構(gòu)建VRRP備份組。構(gòu)建故障時的冗余路由拓撲結(jié)構(gòu)，保持通訊的連續(xù)性和可靠性，有效保障網(wǎng)絡(luò)穩(wěn)定。 支持等價路由實現(xiàn)上行路由的冗余備份和負載分擔(dān)。采用交、直流雙輸入電源模塊供電，也可以通過更換電源模塊來支持 PoE功能。S5600系列交換機

13、支持 EAD（端點準入防御）功能，配合后臺系 統(tǒng)可以將終端防病毒、 補丁修復(fù)等終端安全措施與網(wǎng)絡(luò)接入控制、 訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整 合為一個聯(lián)動的安全體系，通過對網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個網(wǎng)絡(luò)變 被動防御為主動防御、變單點防御為全面防御、變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對病毒、 蠕蟲等新興安全威脅的整體防御能力。S5600系列交換機支持特有的 ARP入侵檢測功能，可有效防止黑客或攻擊者通過 ARP報文實施日趨盛行的“ ARP欺騙攻擊”，對不符合 DHCP Snooping動態(tài)綁 定表或手工配置的靜態(tài)綁定表的非法ARP欺騙報文直接丟棄。同時支持IP Source

14、 Check特性，防止包括MAC欺騙、IP欺騙、MAC/IP欺騙在內(nèi)的非法地址仿冒，以及大流量地址仿冒帶來的DoS攻擊。支持集中式 MAC地址認證和802.1X認證。在用戶接入網(wǎng)絡(luò)時完成必要的身份認證，還可以通 過靈活的MAC IP、VLAN PORT任意組合綁定，有效的防止非法用戶訪問網(wǎng)絡(luò)。支持DU（ DisconnectUn authorised Device ）認證，通過 MAC地址學(xué)習(xí)數(shù)目限制和 MAC地址與端口綁定實現(xiàn)。支持用戶 分級管理和口令保護，支持MAC地址學(xué)習(xí)數(shù)目限制、MAC地址與端口綁定、端口隔離、MAC地址黑洞；支持防止 DoS攻擊功能。支持 QoS Profile 功能

15、。和802.1x認證功能相結(jié)合，可以動態(tài)的為 通過認證的用戶提供預(yù)先配置的一套QoS功能。用戶在經(jīng)過 802.1X認證后，交換機根據(jù) AAA服務(wù)器上配置的用戶名和 Profile 的對應(yīng)關(guān)系， 將相應(yīng)的 Profile 動態(tài)下發(fā)到用戶登錄的端口上， 為該用戶提供量身定做的服務(wù)質(zhì)量保證。支持SSH特性。用戶通過一個不能保證安全的網(wǎng)絡(luò)環(huán)境遠程登 錄到以太網(wǎng)交換機時， 可以提供安全的信息保障和強大的認證功能， 以保護以太網(wǎng)交換機不受諸如IP 地址欺詐、明文密碼截取等等攻擊。H3C S5000E系列全千兆安全智能交換機H3C S5000E 所有的端口提供二層千兆線速交換能力，保證所有端口無阻塞的進行報

16、文轉(zhuǎn)發(fā)。支持802.1X認證，安全專區(qū)提供多種豐富的安全功能，可以實現(xiàn)IP+MAC瑞口 +VLAN四元素綁定，并可通過DHCP-Snooping或者智能綁定自動獲取綁定列表，有效防御 ARP攻擊、DOS攻擊及蠕蟲攻 擊，并可以方便的實現(xiàn)安全配置文件的導(dǎo)入和導(dǎo)出。提供LACP STP/RSTP功能，可有效實現(xiàn)鏈路擴展及備可以通過 web可視化的界面，對交換機的各種功能進行簡單方便的操作。SecPath F100-M ：SecPath F100-M基于H3C先進的OAA開放應(yīng)用架構(gòu)，SecPath防火墻能靈活擴展病毒防范、網(wǎng)絡(luò)流量監(jiān)控和 SSL VPN等硬件業(yè)務(wù)模塊，實現(xiàn) 2-7層的全面安全。能防

17、御 DoS/DDoS攻擊（如CCSYN flood、DNS Query Flood、SYN Flood、UDP Flood 等）、ARP欺騙攻擊、TCP報文標志位不合 法攻擊、 Large ICMP 報文攻擊、地址掃描攻擊和瑞口掃描攻擊等多種惡意攻擊，同時支持黑名單、MAC綁定、內(nèi)容過濾等先進功能。支持基礎(chǔ)、擴展和基于接口的狀態(tài)檢測包過濾技術(shù)；支持H3C特有ASPF應(yīng)用層報文過濾協(xié)議，支持對每一個連接狀態(tài)信息的維護監(jiān)測并動態(tài)地過濾數(shù)據(jù)包，支持對應(yīng)用層協(xié)議的狀態(tài)監(jiān)控。集成IPSec、L2TP、GRE和SSL等多種成熟VPN接入技術(shù)，保證移動用戶、合作伙伴和分支機構(gòu)安全、便捷的接入?？梢杂行У淖R別

18、網(wǎng)絡(luò)中各種P2P模式的應(yīng)用，并且對這些應(yīng)用采取限流的控制措施，有效保護網(wǎng)絡(luò)帶寬；支持郵件過濾，提供SMTP郵件地址、標題、附件和內(nèi)容過濾；支持網(wǎng)頁過濾，提供HTTP URL和內(nèi)容過濾。提供多對一、多對多、靜態(tài)網(wǎng)段、雙向轉(zhuǎn)換、Easy IP和DNS映射等NAT應(yīng)用方式；支持多種應(yīng)用協(xié)議正確穿越 NAT,提供DNS FTP H.323、NBT等 NAT ALG功能。四、具體方案設(shè)計從網(wǎng)絡(luò)應(yīng)用功能和整體定位出發(fā)，整體網(wǎng)絡(luò)方案將基于層次化的設(shè)計，即采用三層結(jié)構(gòu)：即核心層，匯聚層及接入層。 核心層通過千兆鏈路連接匯聚層， 匯聚層通過千兆鏈路連接接入層交換機， 接入層交換機提供千兆連接到用戶桌面的系統(tǒng)結(jié)構(gòu)

19、。 設(shè)計初期充分考慮到某研發(fā)中心的發(fā)展規(guī)劃和 未來的前景， 在核心層和匯聚層間設(shè)備采用模塊化設(shè)計， 為園區(qū)的后續(xù)發(fā)展預(yù)留萬兆網(wǎng)絡(luò)提升空間。 在北區(qū)核心層為未來的無線園區(qū)網(wǎng)絡(luò)提供擴展接口和未來高效安全的園區(qū)網(wǎng)絡(luò)提供深層安全防護 接口。根據(jù)南北兩大園區(qū)的地理規(guī)劃，網(wǎng)絡(luò)設(shè)計如下：計算機網(wǎng)絡(luò)的核心節(jié)點設(shè)置在位于北區(qū)的A1公共技術(shù)服務(wù)平臺的六樓信息中心主機房，該節(jié)點將配置1臺核心交換機S7503E,核心交換機通過光纖線與B1區(qū)生物技術(shù)及生物藥研發(fā)平臺的一臺S5600-26C、C1區(qū)國家重大新藥創(chuàng)新平臺的一臺S5600-26C連接；核心交換機在 A1區(qū)也同時擔(dān)當(dāng)匯聚層功能，直接與本樓的接入層交換機一臺 S5048E和一臺S5024E連接。B1區(qū)及C1區(qū)匯聚層交換機 S5600-26C分別連接接入交換機（分別為 一臺S5048E和一臺S5024E ）。南區(qū)網(wǎng)絡(luò)考慮到前期企業(yè)入駐和業(yè)務(wù)開展等問題，A2區(qū)的一臺S5600-26C與B2區(qū)、C2區(qū)的二臺S5600-26C接入。讓A2區(qū)的S5600-26C既做匯聚層交換機也做南 區(qū)核心層交換機。同時B2區(qū)、C2區(qū)的二臺S5600-26C分別連接一臺 S5048E接入交換機。A2區(qū)的S56