公司VPN部署設(shè)計(jì)方案

XXXXXXX有限企業(yè)VPN布署設(shè)計(jì)方案V1.009月10日項(xiàng)目名稱：XXXX企業(yè)VPN布署項(xiàng)目項(xiàng)目編號(hào)LINK1212文檔名稱實(shí)施方案文檔序號(hào)0910項(xiàng)目經(jīng)理編寫人XX完成日期.11.1文檔修訂說明：文檔編號(hào)修訂版本說明LINK0910V1.0方案未完善之處，待和甲方商榷之后再深入完善文檔修訂統(tǒng)計(jì)：日期修訂版本修訂內(nèi)容修訂人-09-10V1.0設(shè)計(jì)方案編寫目錄1 方案概述 41.1 文檔目標(biāo) 41.2 項(xiàng)目背景 41.3 方案制訂目標(biāo) 41.4 本文檔使用人員 42 網(wǎng)絡(luò)現(xiàn)實(shí)狀況 52.1 現(xiàn)網(wǎng)分析 52.2 處理方法 53 網(wǎng)絡(luò)規(guī)劃 63.1 總部網(wǎng)絡(luò)規(guī)劃 63.2 IPsecvpn規(guī)劃 73.3 出口鏈路規(guī)劃 83.4 SSLVPN規(guī)劃 93.5 交換網(wǎng)絡(luò)規(guī)劃 103.6 上網(wǎng)管理規(guī)劃 114 產(chǎn)品介紹 124.1 Catalyst4506E 124.2 Catalyst2960 144.3 Cisco3845-SEC/K9 154.4 ASA5520 164.5 Cisco2821 174.6 Cisco1841 184.7 F5-BIG-LTM-1600-4G-R 194.8 SINFORM4300-SG 205 深圳凌格服務(wù)介紹 215.1 售后服務(wù) 215.2 技術(shù)培訓(xùn)介紹 216 附錄 216.1 附錄一：現(xiàn)場(chǎng)勘查匯報(bào) 21方案概述文檔目標(biāo)《XX有限企業(yè)VPN布署設(shè)計(jì)方案》是我企業(yè)關(guān)于此次項(xiàng)現(xiàn)在期規(guī)劃設(shè)計(jì)方案，它包含我企業(yè)對(duì)XX企業(yè)網(wǎng)絡(luò)現(xiàn)實(shí)狀況分析、網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、產(chǎn)品性能介紹和售后服務(wù)介紹等。項(xiàng)目背景XX企業(yè)在全國各地有4個(gè)大型分企業(yè)、20個(gè)小型企業(yè)。因?yàn)檗k公業(yè)務(wù)系統(tǒng)對(duì)網(wǎng)絡(luò)依賴性很強(qiáng)，所以現(xiàn)在各地之間全部使用第三方線路連接，每個(gè)月在專線上費(fèi)用為6-7萬人民幣，但在網(wǎng)絡(luò)數(shù)據(jù)安全性上面卻不能得到確保。而且部分領(lǐng)導(dǎo)和員工在出差期間需要安全地經(jīng)過因特網(wǎng)遠(yuǎn)程訪問業(yè)務(wù)系統(tǒng)。方案制訂目標(biāo)鑒于現(xiàn)網(wǎng)存在維護(hù)成本高、安全性能低、網(wǎng)絡(luò)利用率低下等缺點(diǎn)，本方案在制訂過程中，將充分利用現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)絡(luò)設(shè)備，依照需求，合理設(shè)計(jì)網(wǎng)絡(luò)結(jié)構(gòu)，確保網(wǎng)絡(luò)可靠性、可用性與健壯性。在制訂過程中，充分考慮情況以下：完成虛擬專線升級(jí)，同時(shí)也對(duì)總部帶寬做總體升級(jí)和負(fù)載均衡；經(jīng)過成熟SSLVPN技術(shù)實(shí)現(xiàn)任何時(shí)候任何地點(diǎn)安全接入；對(duì)總部用戶上網(wǎng)行為進(jìn)行嚴(yán)格管理；本文檔使用人員本文檔主要為XX企業(yè)網(wǎng)絡(luò)整體規(guī)劃提供參考，為XX有限企業(yè)網(wǎng)絡(luò)維護(hù)工程師以及項(xiàng)目實(shí)施人員提供指導(dǎo)意見。網(wǎng)絡(luò)現(xiàn)實(shí)狀況現(xiàn)網(wǎng)分析XX企業(yè)現(xiàn)在網(wǎng)絡(luò)結(jié)構(gòu)以下列圖所表示：插入現(xiàn)網(wǎng)結(jié)構(gòu)圖關(guān)鍵交換機(jī)性能不足，無法滿足日益增加網(wǎng)絡(luò)帶寬需求；無法控制用戶上網(wǎng)行為，造成網(wǎng)絡(luò)擁塞、企業(yè)資料泄密、影響生產(chǎn)等；現(xiàn)在總部和各分支機(jī)構(gòu)采取專線方式互聯(lián)，成本昂貴；出差或者在家員工無法安全登錄內(nèi)部網(wǎng)絡(luò)進(jìn)行辦公；無法實(shí)現(xiàn)上網(wǎng)電信和網(wǎng)通出口鏈路負(fù)載均衡。處理方法能夠使用CiscoCatalyst4506E代替原來關(guān)鍵交換機(jī)，處理關(guān)鍵交換帶寬不足問題；能夠使用SINFORM4300-SG來控制內(nèi)部用戶上網(wǎng)行為；能夠采取ADSL接入互聯(lián)網(wǎng)，各分支機(jī)構(gòu)經(jīng)過IPsecVPN和總部通信；能夠經(jīng)過布署SSLVPN，使員工隨時(shí)隨地登錄企業(yè)服務(wù)器進(jìn)行辦公；能夠經(jīng)過布署F5鏈路控制器實(shí)現(xiàn)出口鏈路負(fù)載均衡。網(wǎng)絡(luò)規(guī)劃總部網(wǎng)絡(luò)規(guī)劃總部網(wǎng)絡(luò)結(jié)構(gòu)規(guī)劃以下所表示：出口路由器采取cisco3845,提供高性能IPsecVPN以及路由轉(zhuǎn)發(fā)服務(wù)；出口鏈路控制器采取F5-BIG-LC-1600-4G-R,提供出口鏈路負(fù)載均衡等服務(wù)；防火墻采取高性能ASA5520提供強(qiáng)大SSLVPN服務(wù)；關(guān)鍵交換機(jī)采取CiscoCatalyst4506E，提供全千兆快速數(shù)據(jù)交換服務(wù)；接入層設(shè)備使用CiscoCatalyst2960交換機(jī)，與關(guān)鍵層交換機(jī)之間提議采取雙鏈路互聯(lián)，鏈路冗余；上網(wǎng)行為管理使用SINFORM4300-SG，采取旁路方式布署。IPsecvpn規(guī)劃規(guī)劃圖以下所表示：采取DMVPN方式布署IPsecVPN，分支與中心、分支與分支之間動(dòng)態(tài)建立IPsecVPN隧道；采取EIGRP動(dòng)態(tài)路由協(xié)議，提供路由保護(hù)，快速收斂。出口鏈路規(guī)劃出站連接。為了向企業(yè)用戶訪問互聯(lián)網(wǎng)資源時(shí)提供高可性，LC使用defaultgatewaypool和SNAT（安全網(wǎng)絡(luò)地址轉(zhuǎn)換）將流量動(dòng)態(tài)導(dǎo)向最好鏈路。Defaultgatewaypool包含了多個(gè)網(wǎng)關(guān)，F(xiàn)5LC將依照負(fù)載均衡算法選擇一個(gè)最優(yōu)網(wǎng)關(guān)，將當(dāng)前數(shù)據(jù)發(fā)送到該網(wǎng)關(guān)，從而發(fā)送到對(duì)應(yīng)ISP。入站連接。LC經(jīng)過智能DNS解析功效，動(dòng)態(tài)選擇最好鏈路，將外部用戶導(dǎo)向駐留在站點(diǎn)中資源。SSLVPN規(guī)劃ASA防火墻規(guī)劃圖以下：將ASA5520劃分為三個(gè)區(qū)域：DMA、INSIDE、OUTSIDE；在ASA5520上對(duì)DMZ區(qū)域相關(guān)服務(wù)器做SSLVPN。交換網(wǎng)絡(luò)規(guī)劃采取接入層、關(guān)鍵層交換網(wǎng)絡(luò)結(jié)構(gòu)。關(guān)鍵層網(wǎng)絡(luò)采取冗余結(jié)構(gòu)；使用Catalyst4506E交換機(jī)替換現(xiàn)網(wǎng)關(guān)鍵交換機(jī)；Catalyst4506E為模塊化交換機(jī)，可按需最大配置5個(gè)業(yè)務(wù)模塊，支持雙電源輸入；布署HSRP，提供冗余網(wǎng)關(guān)；PC接入層設(shè)備使用C2960交換機(jī)，每個(gè)C2960到C4506E線路配置為Trunnk，采取雙鏈路互聯(lián)，使用STP技術(shù)；署VLAN，隔離網(wǎng)絡(luò)廣播風(fēng)暴，實(shí)現(xiàn)安全訪問控制。上網(wǎng)管理規(guī)劃上網(wǎng)行為管理規(guī)劃以下列圖所表示：用旁路布署方式；設(shè)備采取SINFORM4300-SG，提供高效流量管控、URL過濾、網(wǎng)絡(luò)應(yīng)用控制、信息內(nèi)用審計(jì)、上網(wǎng)行為分析等功效。產(chǎn)品介紹Catalyst4506E

插槽6冗余控制引擎選項(xiàng)沒有SFP/GBIC密度24410GbEX2端口密度3210/100/1000密度24010/100密度240100BASE-FX、LX-10、BX-D密度240背板容量280GbpsPOE（以太網(wǎng)供電）支持每端口POE最高20W1+1電源保護(hù)有熱拔插電源有電源模式支持交流和直流WS-X45-SUP6L-E增強(qiáng)第三層特征有總帶寬（Gbps）280每秒分組數(shù)（Mpps）225CPUMhz800板載內(nèi)存（MB）512板載閃存（MB）64,128小型閃存支持支持交換容量（Gbps）和吞吐率（Mpps）280225多層交換增強(qiáng)第二/三/四層服務(wù)和路由支持路由協(xié)議RIP、EIGRP、OSPF、ISIS、BGPQOS4Q/端口、監(jiān)管、整形、擁塞防止ACL有MAC地址55K單播；16K組播無阻塞控制引擎端口2x10GECatalyst2960WS-C2960-48TC-L產(chǎn)品特征參數(shù)轉(zhuǎn)發(fā)帶寬（Gbps）WS-C2960-48TC-L：32每秒分組數(shù)（Mpps）WS-C2960-48TC-L：10.1支持MAC地址數(shù)WS-C2960-48TC-L：8000板載內(nèi)存(MB)WS-C2960-48TC-L：64SFP/GBIC密度WS-C2960-48TC-L：210/100/1000密度WS-C2960-48TC-L：210/100密度WS-C2960-48TC-L：48MaxVLANs255VLANIDs4000流量控制能以小至1Mbps步幅確保帶寬廣播控制抑制廣播風(fēng)暴，達(dá)成臨界點(diǎn)停頓發(fā)送高級(jí)QOSHeadOfLine預(yù)防擁塞機(jī)制，每端口4個(gè)發(fā)送隊(duì)列映射802.1p8個(gè)優(yōu)先級(jí)，WRED，WFQ，SP和FIFO隊(duì)列調(diào)度算法，盡力而為服務(wù)，區(qū)分式服務(wù)，嚴(yán)格優(yōu)先級(jí)輪轉(zhuǎn)算法，加權(quán)優(yōu)先級(jí)輪轉(zhuǎn)算法，先到先服務(wù)算法。生成樹IEEE802.1DSTP，IEEE802.1wRSTP，PVST/PVST+網(wǎng)絡(luò)管理SNMPv1/v2，Telnet方式，CLI界面，支持BroadDrictor通用網(wǎng)管軟件。Cisco3845-SEC/K9網(wǎng)絡(luò)模塊插槽4AIM插槽2HWIC插槽410/100/1000GE端口2SFP端口1PVDM插槽4內(nèi)存256M缺省1+1電源保護(hù)有電源模式支持交流和直流ASA5520用戶數(shù)：無限制內(nèi)存：512M防火墻吞吐率：最高450MbpsVPN吞吐率：225MbpsIPSecVPN設(shè)備對(duì)：750SSLVPN設(shè)備對(duì)：750接口：4個(gè)10//100/1000,1個(gè)FE擴(kuò)展插槽：1，SSM虛擬接口：150HA：主用/主用，主用/備用并發(fā)連接：280000新連接/秒1Cisco2821網(wǎng)絡(luò)模塊插槽1，支持NM,NME,NME-XUSB2接口卡插槽4，支持HWIC,WIC,VIC,VWIC板載AIM插槽210/100FE端口2PVDM插槽3電源模式支持交流和直流Cisco1841模塊化插槽2內(nèi)存128M缺省ADSL端口經(jīng)過廣域網(wǎng)接口卡提供ADSLoverPOTS/ISDNUSB110/100FE端口2ISDN端口經(jīng)過廣域網(wǎng)接口卡提供板載AIM插槽1板載硬件加密功效有IPsec隧道使用板載加密時(shí)，100個(gè)；使用VPNAIM加密時(shí)，800個(gè)IPsecVPN性能40MbpsIOS防火墻性能100Mbps路由協(xié)議BGP，EIGRP，OSPF，RIPv1，RIPv2QOS協(xié)議加權(quán)公平隊(duì)列（WFQ），基于類別WFQ（CBWFQ），加權(quán)隨機(jī)早期檢測(cè)（WRED），承諾接入速率（CAR），資源預(yù)留協(xié)議（RSVP），基于網(wǎng)絡(luò)應(yīng)用識(shí)別電源模式支持交流F5-BIG-LTM-1600-4G-RTrafficThroughput:1GbpsHardwareSSL:Included:500TPSMaximum:5,000TPS,1GbpsbulkencryptionSoftwareCompression:Included:50MbpsMaximum:1GbpsProcessor:DualcoreCPUMemory:4GBHardDrive:320GBGigabitEthernetCUPorts:4GigabitFiberPorts(SFP):2optionalLX,SX,orcopperPowerSupply:One300Wincluded,dualpoweroptionSINFORM4300-SG穩(wěn)定性多主模式：支持多主機(jī)運(yùn)行模式，完美支持VRRP環(huán)境，將風(fēng)險(xiǎn)降到最低為用戶提供可信、可靠管理，保障網(wǎng)絡(luò)穩(wěn)定性性能2G性能：支持2GInternet線路，性能為本，滿足大流量用戶管理需求，