網(wǎng)絡(luò)改造方案建議書

網(wǎng)絡(luò)改造方案建議書網(wǎng)絡(luò)改造方案建議一、網(wǎng)絡(luò)升級背景隨著電力通訊網(wǎng)絡(luò)信息化的發(fā)展，通訊網(wǎng)絡(luò)正從傳統(tǒng)的、簡單的以數(shù)據(jù)共享、網(wǎng)頁瀏覽、電子郵件服務(wù)等數(shù)據(jù)處理為中心的數(shù)據(jù)承載網(wǎng)過渡到以多媒體流處理為中心的多業(yè)務(wù)應(yīng)用網(wǎng)絡(luò)。電力公司已經(jīng)完成了骨干網(wǎng)的改造，為數(shù)據(jù)集中和全縣應(yīng)用系統(tǒng)的穩(wěn)定運(yùn)行提供了良好的網(wǎng)絡(luò)基礎(chǔ)平臺，但網(wǎng)絡(luò)應(yīng)用環(huán)境和辦公網(wǎng)的業(yè)務(wù)處理能力已經(jīng)不能勝任和滿足現(xiàn)在的業(yè)務(wù)需求，網(wǎng)絡(luò)安全也開始日漸考驗網(wǎng)絡(luò)系統(tǒng)。隨著數(shù)據(jù)傳輸量的增加和應(yīng)用系統(tǒng)的快速增多，對網(wǎng)絡(luò)在總體架構(gòu)、可靠性、安全性、整體性能等方面都提出了更高的要求。因此，從網(wǎng)絡(luò)設(shè)備層解決安全問題，優(yōu)化辦公網(wǎng)絡(luò)環(huán)境，使網(wǎng)絡(luò)具有易擴(kuò)展的功能，并實現(xiàn)網(wǎng)絡(luò)的統(tǒng)一規(guī)劃和管理，成為電力公司通訊網(wǎng)絡(luò)的健全完善以及未來業(yè)務(wù)發(fā)展的最基本的要求。二、信息內(nèi)網(wǎng)現(xiàn)狀分析2.1概況公司信息內(nèi)網(wǎng)已割接到綜合數(shù)據(jù)網(wǎng)，使用雙光纖專用線路接入H3C6608邊界路由器，機(jī)房核心交換機(jī)為H3C5800S接至邊界路由器，公司現(xiàn)有高清視頻會議路由路1臺、樓層交換機(jī)5臺，服務(wù)器交換機(jī)1臺分別接入核心交換機(jī)H3C5800；各變電站、供電所目前均采用租用電信4M光纖，通過H3C9303路由器接入公司核心交換機(jī)為H3C5800S。網(wǎng)絡(luò)改造方案建議書全文共1頁，當(dāng)前為第1頁。網(wǎng)絡(luò)改造方案建議書全文共1頁，當(dāng)前為第1頁。2.2網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D2.3承載的業(yè)務(wù)介紹目前公司內(nèi)網(wǎng)承載的主要業(yè)務(wù)有SG186生產(chǎn)管理系統(tǒng)、營銷系統(tǒng)、OA辦公系統(tǒng)、高清視視會議系統(tǒng)、財務(wù)管控系統(tǒng)、資金計劃系等。2.4存在及需要解決的問題（1）、綜合數(shù)據(jù)網(wǎng)目前雖然是多光線接入有效的保障了鏈路通道，但公司核心網(wǎng)絡(luò)設(shè)備均采用單設(shè)備運(yùn)行，沒有任何應(yīng)急互補(bǔ)措施，一但公司核心設(shè)備出現(xiàn)故障，將造成公司內(nèi)外大面積癱瘓。（2）、公司目前除了幾臺重要的交換機(jī)還有6臺普通的交換機(jī)，功能就是進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)。無法登陸交換機(jī)查看交換機(jī)狀態(tài)、無法查看網(wǎng)絡(luò)流量狀態(tài)、無法根據(jù)網(wǎng)絡(luò)的新需求進(jìn)行新的配置。（3）、公司所有電腦在分別在三個子網(wǎng)，但三個子網(wǎng)互通，所有的電腦、服務(wù)器、網(wǎng)絡(luò)設(shè)備在同一個網(wǎng)絡(luò)內(nèi)，并且綜合數(shù)網(wǎng)核心設(shè)備我公司無權(quán)限進(jìn)行配置，（比如IP地址與物理地址邦定）這意味著這些設(shè)備之間可以任意的互連互通，任意一臺電腦感染病毒或受黑客控制的時候，可以直接影響公司的所有IT設(shè)備（4）、應(yīng)用服務(wù)器缺乏基本保護(hù)，服務(wù)器與電腦設(shè)備在同一個網(wǎng)絡(luò)中，意味著電腦可以任意訪問服務(wù)器的所有端口，而不是根據(jù)應(yīng)用服務(wù)的需要去限制只可訪問需要的服務(wù)，這樣服務(wù)器的任何一個漏洞都可以被計算機(jī)利用來攻擊服務(wù)器。網(wǎng)絡(luò)改造方案建議書全文共2頁，當(dāng)前為第2頁。網(wǎng)絡(luò)改造方案建議書全文共2頁，當(dāng)前為第2頁。2.5、信息內(nèi)網(wǎng)絡(luò)設(shè)備資產(chǎn)統(tǒng)計序號設(shè)備名稱設(shè)備型號品牌業(yè)務(wù)用途投運(yùn)時間1防火墻B6-v6龍馬區(qū)站下行2路由器SP6608H3C內(nèi)網(wǎng)邊界路由2011.10.13路由器MSR30-20H3C高清視頻路由4路由器MSR30-20H3C各區(qū)站邊界路由20105交換機(jī)S5800H3C核心交換機(jī)6交換機(jī)S9303H3C各區(qū)匯聚7交換機(jī)S2300H3C服務(wù)器交換機(jī)8交換機(jī)S2000H3C服務(wù)器交換機(jī)9交換機(jī)S1016DLINK樓層交換機(jī)三、信息外網(wǎng)現(xiàn)狀分析3.1概況公司信息外網(wǎng)采用租用電信40M光纖接入H3CER5200路由器，H3C2300做匯聚分別接入5臺樓層交換機(jī)，公司各部們配置專用信息外網(wǎng)PC有線接入，路由器上做IP/MAC邦定。3.2網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D3.3承載的業(yè)務(wù)介紹網(wǎng)絡(luò)改造方案建議書全文共3頁，當(dāng)前為第3頁。網(wǎng)絡(luò)改造方案建議書全文共3頁，當(dāng)前為第3頁。3.4存在及需要解決的問題（1）公司信息內(nèi)網(wǎng)共6臺樓層交換機(jī)，均為普通交換機(jī)，功能就是進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)。無法登進(jìn)交換機(jī)查看交換機(jī)狀態(tài)、無法查看網(wǎng)絡(luò)流量狀態(tài)、無法根據(jù)網(wǎng)絡(luò)的新需求進(jìn)行新的配置。（2）上網(wǎng)行為存在安全因素訪問不安全網(wǎng)站，如暴力、黃色、賭博、股票等與業(yè)務(wù)無關(guān)網(wǎng)站，會導(dǎo)致病毒和木馬進(jìn)入公司內(nèi)部網(wǎng)站員工上班時間下載電影或是在線看視頻資料，會占用極大的帶寬資源，導(dǎo)致業(yè)務(wù)開展所需要的帶寬不夠，收發(fā)郵件變慢員工上班時間看新聞，軍事，足球，玩網(wǎng)絡(luò)游戲，炒股票等等會影響到員工的工作效率（3）有電腦在同一個子網(wǎng)所有的電腦、網(wǎng)絡(luò)設(shè)備在同一個網(wǎng)絡(luò)內(nèi)，這意味著這些設(shè)備之間可以任意的互連互通，任意一臺電腦感染病毒或受黑客控制的時候，可以直接影響公司的所有IT設(shè)備。3.5信息內(nèi)網(wǎng)絡(luò)設(shè)備資產(chǎn)統(tǒng)計序號設(shè)備名稱設(shè)備型號品牌業(yè)務(wù)用途投運(yùn)時間1路由器ER5200H3C邊界路由2交換機(jī)S2300H3C樓層匯聚3交換機(jī)S1016RDLINK樓層交換機(jī)網(wǎng)絡(luò)建設(shè)目標(biāo)根據(jù)實際考察和相互交流，本次網(wǎng)絡(luò)設(shè)計的目標(biāo)為：盡量保留用戶現(xiàn)有網(wǎng)絡(luò)中的設(shè)備，在確保用戶正常業(yè)務(wù)使用的前提下減少用戶投資；企業(yè)各計算機(jī)等終端設(shè)備之間良好的連通性是需要滿足的基本條件，網(wǎng)絡(luò)環(huán)境就是提供需要通信的計算機(jī)設(shè)備之間互通的環(huán)境，以實現(xiàn)豐富多彩的網(wǎng)絡(luò)應(yīng)用；許多現(xiàn)有網(wǎng)絡(luò)在初始建設(shè)時不僅要考慮到如何實現(xiàn)數(shù)據(jù)傳輸，還要充分考慮網(wǎng)絡(luò)的冗余與可靠，否則一旦運(yùn)行過程網(wǎng)絡(luò)發(fā)生故障，系統(tǒng)又不能很快恢復(fù)工作，所帶來的后果便是企業(yè)的經(jīng)濟(jì)損失，影響企業(yè)的聲譽(yù)和形象；在商品競爭日益激烈的今天，企業(yè)對網(wǎng)絡(luò)的安全性有非常高的要求。在很多企業(yè)在局域網(wǎng)和廣域網(wǎng)絡(luò)中傳遞的數(shù)據(jù)都是相當(dāng)重要的信息，因此一定要保證數(shù)據(jù)安全保密，防止非法竊聽和惡意破壞，在網(wǎng)絡(luò)建設(shè)的開始就考慮采用嚴(yán)密的網(wǎng)絡(luò)安全措施；網(wǎng)絡(luò)改造方案建議書全文共4頁，當(dāng)前為第4頁。網(wǎng)絡(luò)改造方案建議書全文共4頁，當(dāng)前為第4頁。網(wǎng)絡(luò)建設(shè)為未來的發(fā)展提供良好的擴(kuò)展接口是非常理智的選擇。隨著企業(yè)規(guī)模的擴(kuò)大、業(yè)務(wù)的增長，網(wǎng)絡(luò)的擴(kuò)展和升級是不可避免的問題。思科通過模塊化的網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計和模塊化的網(wǎng)絡(luò)產(chǎn)品，能為用戶的網(wǎng)絡(luò)提供很強(qiáng)的擴(kuò)展和升級能力；五、網(wǎng)絡(luò)改造總體設(shè)計以雙核心技術(shù)為主要策略的網(wǎng)絡(luò)通訊系統(tǒng)，在設(shè)計中保障了網(wǎng)絡(luò)及設(shè)備的高吞吐能力和各種信息的高質(zhì)量傳輸，實現(xiàn)了網(wǎng)絡(luò)平滑擴(kuò)充和升級，而且揉和了其未來技術(shù)和業(yè)務(wù)的集中發(fā)展趨勢。雙核心網(wǎng)絡(luò)改造，是在現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)上，建立一個穩(wěn)定、安全、可靠的通訊網(wǎng)絡(luò)，為電力公司的信息化建設(shè)提供一個優(yōu)秀的網(wǎng)絡(luò)基礎(chǔ)平臺。在核心層添加了兩臺基于十萬兆平臺的核心路由交換機(jī)，和原有的核心交換機(jī)組成雙核心網(wǎng)絡(luò)架構(gòu)，保證骨干網(wǎng)的高性能和高穩(wěn)定。雙核心改造，就是搭建一個安全可靠，穩(wěn)定成熟的網(wǎng)絡(luò)基礎(chǔ)平臺，為通訊信息化、辦公信息化提供服務(wù)。建設(shè)共考慮以下幾點：萬兆網(wǎng)絡(luò)核心、骨干網(wǎng)絡(luò)全千兆、信息點百兆接入、安全高性能的網(wǎng)絡(luò)出口、統(tǒng)一的網(wǎng)絡(luò)管理、最大限度保護(hù)公司投資，充分的考慮未來的擴(kuò)展要求。具體來說：5.1、骨干網(wǎng)絡(luò)更高性能、更高穩(wěn)定性；網(wǎng)絡(luò)骨干包括網(wǎng)絡(luò)的核心層和匯聚層，是整個網(wǎng)絡(luò)流量的承受者和匯聚者，為了提高設(shè)備的可靠性和穩(wěn)定性，可采用骨干網(wǎng)絡(luò)冗余設(shè)計，能夠?qū)崿F(xiàn)設(shè)備的熱備和失效自動切換。5.2、更高的網(wǎng)絡(luò)安全性；網(wǎng)絡(luò)安全包括網(wǎng)絡(luò)級、系統(tǒng)級、用戶級、應(yīng)用級的安全，在網(wǎng)絡(luò)級，需要利用防火墻的過濾與隔離功能，將信任網(wǎng)絡(luò)和不信任的網(wǎng)絡(luò)隔離開來，并利用防火墻或出口路由器的NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換)功能，對外屏蔽其他的網(wǎng)絡(luò)拓?fù)湫畔?，從而避免通訊網(wǎng)絡(luò)受到外來攻擊。在網(wǎng)絡(luò)內(nèi)部，根據(jù)用戶的網(wǎng)絡(luò)使用需求，將用戶和網(wǎng)絡(luò)資源劃分為不同的VLAN，在VLAN間根據(jù)需求啟用相應(yīng)的ACL(訪問控制列表)，從而保證用戶的物理隔離和資源訪問的安全。網(wǎng)絡(luò)改造方案建議書全文共5頁，當(dāng)前為第5頁。網(wǎng)絡(luò)改造方案建議書全文共5頁，當(dāng)前為第5頁。邊界出口是整個網(wǎng)絡(luò)通訊的咽喉部分，好的出口能夠大大提升網(wǎng)絡(luò)對外訪問以及外界對內(nèi)訪問的效率。為了分擔(dān)流量和提高訪問的響應(yīng)速度，可以同時使用雙光纖網(wǎng)絡(luò)出口?？蓪?nèi)部訪問外部資源的流量進(jìn)行負(fù)載分流和相互備份，負(fù)載分流和相互備份。5.4、更好的網(wǎng)絡(luò)擴(kuò)展性和兼容升級；網(wǎng)絡(luò)必須能夠擴(kuò)展以適應(yīng)用戶需求以及業(yè)務(wù)的發(fā)展，并保護(hù)公司的投資。5.5、更簡單易用的網(wǎng)絡(luò)管理；隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，網(wǎng)絡(luò)的管理越來越重要，管理的事務(wù)也越來越復(fù)雜。網(wǎng)絡(luò)管理應(yīng)該智能化、簡單化。六、網(wǎng)絡(luò)升級實施方案6.1、信息內(nèi)網(wǎng)升級方案辦公網(wǎng)絡(luò)的穩(wěn)定運(yùn)行和信息點的暢通連接需要一整套網(wǎng)絡(luò)優(yōu)化方案。電力公司網(wǎng)絡(luò)升級后，新機(jī)房采用兩臺模塊化的核心路由設(shè)備，通過萬兆鏈路雙鏈路上聯(lián)至兩臺核心交換機(jī)，在樓宇采用支持萬兆擴(kuò)展的匯聚交換機(jī)，通過千兆光纖上聯(lián)至核心設(shè)備。區(qū)域接入層交換機(jī)分為兩種，使用之前部署的是6類線，可采用全千兆的接入交換機(jī)；或通過千兆雙絞線或千兆光纖上聯(lián)至各樓宇匯聚層交換機(jī)，實現(xiàn)千兆骨干，百兆到桌面的網(wǎng)拓?fù)浣Y(jié)構(gòu)。設(shè)計網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D所示網(wǎng)絡(luò)改造方案建議書全文共6頁，當(dāng)前為第6頁。網(wǎng)絡(luò)改造方案建議書全文共6頁，當(dāng)前為第6頁。信息內(nèi)網(wǎng)在原網(wǎng)絡(luò)基礎(chǔ)上新增加核心路由路、核心交換機(jī)各一臺，將原普通交換機(jī)更換為二層帶光口交換機(jī)共計6臺。所需設(shè)備清單如下：序號設(shè)備名稱設(shè)備型號品牌業(yè)務(wù)用途數(shù)量1路由器SP6608H3C邊界路由1臺2交換機(jī)S5800H3C樓層匯聚1臺3交換機(jī)S5048eH3C樓層交換機(jī)6臺4光模塊SFP-GE-SX-MM850-AH3C設(shè)備互鏈14個5光纜8芯1500米6光配8芯6個7服務(wù)器DELLR710DELL上網(wǎng)行為管理1臺8軟件上網(wǎng)行為管理系統(tǒng)軟件1套網(wǎng)絡(luò)升級后，采用雙核心技術(shù)，為機(jī)房網(wǎng)絡(luò)核心層配備2臺萬兆路由路和核心交換機(jī)，這樣就為系統(tǒng)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行提供了保障。運(yùn)用雙核心設(shè)計，分離辦公網(wǎng)和業(yè)務(wù)網(wǎng)，降低兩個網(wǎng)絡(luò)彼此之間的影響，使辦公網(wǎng)方面的問題不會影響電力核心業(yè)務(wù)的正常運(yùn)行，同時辦公網(wǎng)核心交換機(jī)對每個網(wǎng)段都啟用了VRRP協(xié)議，保證每個網(wǎng)段的客戶端都能夠從IP層上實現(xiàn)冗余備份。改建后的網(wǎng)絡(luò)系統(tǒng)中，當(dāng)其中一臺核心交換機(jī)出現(xiàn)停機(jī)等問題時，另一臺交換機(jī)就能夠承擔(dān)全部任務(wù)，以保障綜合業(yè)務(wù)和辦公業(yè)務(wù)7×24小時不間斷運(yùn)行。這種設(shè)計，又使網(wǎng)絡(luò)具備了更高的可擴(kuò)展性能。此外，全模塊化骨干路由器和核心交換機(jī)還擁有多個模塊可擴(kuò)展槽，以提供管理模塊的冗余，并擁有電源冗余能力，支持引擎、模塊帶電熱插拔和萬兆模塊，支持千兆和百兆模塊線速轉(zhuǎn)發(fā)，可根據(jù)需求靈活配置，還可構(gòu)建彈性可擴(kuò)展的現(xiàn)代化IP網(wǎng)絡(luò)。由于雙核心交換機(jī)端口線速轉(zhuǎn)發(fā)，具有更大的路由表、Mac地址表、ACL表等資源，網(wǎng)絡(luò)無論處于何種環(huán)境下，都不會出現(xiàn)瓶頸，并支持基于Vlan的策略路由和基于目標(biāo)地址的策略路由功能，可以使用多條路徑進(jìn)行負(fù)載均衡，充分利用了設(shè)備和鏈路帶寬，進(jìn)而從核心層就可以成倍地提升網(wǎng)絡(luò)性能。網(wǎng)絡(luò)改造方案建議書全文共7頁，當(dāng)前為第7頁。網(wǎng)絡(luò)改造方案建議書全文共7頁，當(dāng)前為第7頁。同時，在整個網(wǎng)絡(luò)接入層，接入交換機(jī)業(yè)務(wù)可劃分為辦公VLAN和業(yè)務(wù)VLAN，當(dāng)辦公數(shù)據(jù)流通過鏈入右邊的同核心互連鏈路傳輸?shù)胶诵臅r，左邊的鏈路作為備份；當(dāng)綜合業(yè)務(wù)的數(shù)據(jù)流都通過左邊的同核心互連鏈路傳輸?shù)胶诵臅r，右邊的鏈路作為備份。在與骨干網(wǎng)的互連中，在2臺萬兆路由器與2臺骨干網(wǎng)核心交換機(jī)之間采用了OSPF動態(tài)路由協(xié)議或靜態(tài)路由協(xié)議，公司局域網(wǎng)作為骨干核心的接入模塊，以三層方式接入骨干傳輸核心，并實現(xiàn)數(shù)據(jù)流在骨干網(wǎng)核心交換機(jī)上進(jìn)行路由的重分發(fā)。因此，整個辦公網(wǎng)絡(luò)通過上述協(xié)議的運(yùn)作保證了所建辦公網(wǎng)絡(luò)與綜合業(yè)務(wù)網(wǎng)絡(luò)、外聯(lián)機(jī)構(gòu)的其它網(wǎng)絡(luò)之間的平滑連接與互通，同時也可以看到網(wǎng)絡(luò)擴(kuò)展的未來。在網(wǎng)絡(luò)建設(shè)中，從網(wǎng)絡(luò)的接入層到核心層的交換設(shè)備都嵌有病毒和攻擊防護(hù)能力如MAC、DHCP、STP、ARP攻擊、IP/MAC欺騙攻擊、DoS/DDoS攻擊、IP掃描攻擊等，也會被網(wǎng)絡(luò)設(shè)備隔絕在網(wǎng)絡(luò)之外，不會造成網(wǎng)絡(luò)癱瘓和其它計算機(jī)感染。在辦公局域網(wǎng)的交換機(jī)上，可針對不同安全區(qū)域設(shè)置網(wǎng)段，每個網(wǎng)段只為屬于這一類的主機(jī)和終端提供接口，而不同網(wǎng)段之間則采用VLAN、訪問控制列表等安全措施，以保證不同安全區(qū)域之間的可控互通，并將安全策略部署在交換核心，以便控制和策略的調(diào)整。同時，為杜絕人為亂改IP地址，在辦公網(wǎng)核心交換機(jī)上啟用IP地址和Mac地址的綁定功能，防止私自更改IP地址，甚至可以對任何特定的計算機(jī)只有使用固定分配出的IP地址才能正常接入網(wǎng)絡(luò)，所有這些措施的實施進(jìn)一步增強(qiáng)了對IP地址的有效管理。加上上網(wǎng)行為管理軟件策略部署（如禁于非法外網(wǎng)、移動存儲注冊等），大大加強(qiáng)信息內(nèi)網(wǎng)高速、可靠、安全的運(yùn)行。6.2、信息外網(wǎng)升級方案網(wǎng)絡(luò)改造方案建議書全文共8頁，當(dāng)前為第8頁。網(wǎng)絡(luò)改造方案建議書全文共8頁，當(dāng)前為第8頁。信息外網(wǎng)結(jié)構(gòu)圖：信息外網(wǎng)設(shè)備選擇如下：序號設(shè)備名稱設(shè)備型號品牌業(yè)務(wù)用途數(shù)量1交換機(jī)LS-S2352P-EI-ACH3C樓層匯聚5臺網(wǎng)絡(luò)改造方案建議書網(wǎng)絡(luò)改造方案建議書全文共9頁，當(dāng)前為第9頁。序號設(shè)備名稱設(shè)備型號品牌業(yè)