網(wǎng)絡(luò)試驗(yàn)室建設(shè)項(xiàng)目方案

上海鵬越驚虹技術(shù)有限公司

網(wǎng)絡(luò)實(shí)驗(yàn)室項(xiàng)目

網(wǎng)絡(luò)實(shí)施方案Version1.0文檔屬性屬性內(nèi)容項(xiàng)目名稱：上海鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)實(shí)驗(yàn)室項(xiàng)目文檔標(biāo)題：上海鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)實(shí)驗(yàn)室項(xiàng)目網(wǎng)絡(luò)實(shí)施方案文檔版本號(hào)：Version1.0版本日期：2009-10-04文檔狀態(tài)：初稿作者：邵勇文檔變更過程版本修正日期修正人描述1.02009-10-02邵勇文檔初稿概述文檔目的撰寫此文的主要目的是為了保障“上海鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)實(shí)驗(yàn)室項(xiàng)目”的順利實(shí)施，根據(jù)上海鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)建設(shè)需求，制定出網(wǎng)絡(luò)實(shí)驗(yàn)室的實(shí)施規(guī)范和方法。在實(shí)際實(shí)施工作前，將所有實(shí)施步驟、方法和各方需完成的任務(wù)明確。文檔適用人員本文檔資料主要面向負(fù)責(zé)“上海鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)實(shí)驗(yàn)室項(xiàng)目”的設(shè)計(jì)和實(shí)施的上海鵬越驚虹技術(shù)有限公司的網(wǎng)絡(luò)技術(shù)人員，管理人員；以便通過參考本文檔資料順利完成上海鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)實(shí)驗(yàn)室項(xiàng)目。文檔內(nèi)容范圍本文檔內(nèi)容基于Cisco3825、Cisco3845、Cisco6506、Cisco3750、Cisco3560、NetscreenISG1000、NS208、F5等產(chǎn)品，涵蓋了此次上海鵬越驚虹網(wǎng)絡(luò)實(shí)驗(yàn)室（災(zāi)備）項(xiàng)目路由、交換安全、網(wǎng)管相關(guān)工程內(nèi)容的工程實(shí)施設(shè)計(jì)方案：實(shí)施原則?實(shí)施步驟的完整性，對(duì)于每一個(gè)實(shí)施步驟各方所需要執(zhí)行的動(dòng)作有明確的規(guī)定，有精確的時(shí)間順序安排，對(duì)每一個(gè)動(dòng)作有詳細(xì)的操作步驟，對(duì)每一個(gè)執(zhí)行的動(dòng)作都有相應(yīng)的檢查是否完成的步驟，達(dá)到任何一個(gè)只要具有實(shí)際實(shí)施經(jīng)驗(yàn)的工程師都能按實(shí)施方案完成執(zhí)行動(dòng)作。?詳細(xì)描述實(shí)施方案的風(fēng)險(xiǎn)和局限性，明確使用實(shí)施方案所應(yīng)承擔(dān)的風(fēng)險(xiǎn)和將導(dǎo)致的后果。?在實(shí)施前需要各參與單位和人員最終確認(rèn)實(shí)施方案的正確性、明確各方所執(zhí)行的動(dòng)作和擔(dān)負(fù)的責(zé)任。對(duì)于檢查實(shí)施方案的每一個(gè)階段是否達(dá)到方案要求，需要有每一階段的測(cè)試內(nèi)容，明確那些測(cè)試在指定時(shí)間點(diǎn)不能完成或完成后測(cè)試結(jié)果不正確的情況下需要采用網(wǎng)絡(luò)回退方案，不再執(zhí)行實(shí)施方案的下一個(gè)執(zhí)行動(dòng)作或不進(jìn)入下一個(gè)實(shí)施階段。2項(xiàng)目介紹項(xiàng)目簡(jiǎn)介上海鵬越驚虹技術(shù)有限公司將于近期完成網(wǎng)絡(luò)實(shí)驗(yàn)室的建設(shè)，為了公司目前及今后的各種業(yè)務(wù)應(yīng)用提供可靠、穩(wěn)定、先進(jìn)、高效的網(wǎng)絡(luò)測(cè)試環(huán)境。網(wǎng)絡(luò)實(shí)驗(yàn)室系統(tǒng)主要包括生產(chǎn)系統(tǒng)網(wǎng)絡(luò)、運(yùn)維管理網(wǎng)絡(luò)。目前，上海鵬越驚虹正在張江建設(shè)網(wǎng)絡(luò)實(shí)驗(yàn)室，作為以提供員工對(duì)于網(wǎng)絡(luò)測(cè)試的需求，在這樣的背景下，需要啟動(dòng)網(wǎng)絡(luò)系統(tǒng)的建設(shè)，以提供公司測(cè)試環(huán)境網(wǎng)絡(luò)。有鑒于此，本文將從公司的網(wǎng)絡(luò)系統(tǒng)業(yè)務(wù)需求分析和接入需求分析出發(fā)，橫向從生產(chǎn)系統(tǒng)網(wǎng)絡(luò)、運(yùn)維系統(tǒng)網(wǎng)絡(luò)，縱向從核心層、隔離層、接入層角度，集中考慮業(yè)務(wù)系統(tǒng)、接入系統(tǒng)對(duì)網(wǎng)絡(luò)的需求，從而形成張江網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)設(shè)計(jì)方案。3網(wǎng)絡(luò)設(shè)備命名在鵬越驚虹技術(shù)有限公司網(wǎng)絡(luò)實(shí)驗(yàn)室建設(shè)中，與網(wǎng)絡(luò)建設(shè)有關(guān)的設(shè)備主要有：Cisco路由器/交換機(jī)NetScreen防火墻F5負(fù)載均衡器Allot流量管理設(shè)備（不一定完全上）以上設(shè)備主機(jī)名按本章的定義規(guī)則進(jìn)行命名，命名規(guī)則所定義的約定需求能夠很容易標(biāo)識(shí)設(shè)備所屬區(qū)域、設(shè)備型號(hào)以及序號(hào)。方便網(wǎng)絡(luò)運(yùn)維人員、系統(tǒng)管理人員和資產(chǎn)管理人員的日后工作。生產(chǎn)網(wǎng)設(shè)備命名規(guī)范設(shè)備命名規(guī)則：字段1一字段2一字段3-（字段4）-n字段1標(biāo)識(shí)設(shè)備所屬區(qū)域，長(zhǎng)度1字符：Z：張江（只有一地的話，可以不寫）字段2標(biāo)識(shí)設(shè)備所屬區(qū)域核心層分為下面兩個(gè)區(qū)域：TG：主機(jī)連接核心層交換機(jī)接入層以A開頭，以位數(shù)字表示各子區(qū)域A1：互聯(lián)網(wǎng)接入A2：專線接入運(yùn)維網(wǎng)設(shè)備命名規(guī)范設(shè)備命名規(guī)則：字段1一字段2一字段3

字段1標(biāo)識(shí)設(shè)備所屬區(qū)域，長(zhǎng)度1字符：Z：張江（只有一地的話，可以不寫）字段2標(biāo)識(shí)設(shè)備所屬功能區(qū)域MBON：交換機(jī)YW：運(yùn)維字段3標(biāo)識(shí)設(shè)備類型網(wǎng)管區(qū)使用CORE表示網(wǎng)絡(luò)機(jī)房中的匯聚交換機(jī)，在服務(wù)器機(jī)房中的使用機(jī)柜編號(hào)作為標(biāo)識(shí)；其他區(qū)域的字段三采用下面的標(biāo)識(shí)FW：NetScreen防火墻R：Cisco路由器SW：Cisco交換機(jī)設(shè)備名稱一覽設(shè)備描述設(shè)備名稱核心層主機(jī)系統(tǒng)交換機(jī)1Z-TG-1主機(jī)系統(tǒng)交換機(jī)2Z-TG-2隔離層互聯(lián)網(wǎng)接入交換機(jī)Z-3750-front互聯(lián)網(wǎng)核心交換機(jī)1Z--CORE-1互聯(lián)網(wǎng)核心交換機(jī)2Z-CORE-2接入層互聯(lián)網(wǎng)出口路由器1Z-A1-R-1互聯(lián)網(wǎng)出口路由器2Z-A1-R-2

互聯(lián)網(wǎng)流量管理設(shè)備Z-A1-BM互聯(lián)網(wǎng)接入防火墻1Z-A1-FW-1互聯(lián)網(wǎng)接入防火墻2Z-A1-FW-2互聯(lián)網(wǎng)接入交換機(jī)Z-A1-SW互聯(lián)網(wǎng)鏈路均衡設(shè)備1Z-A1-LC-1互聯(lián)網(wǎng)鏈路均衡設(shè)備2Z-A1-LC-2互聯(lián)網(wǎng)接入?yún)R聚交換機(jī)Z-A1-SW-HJ專線路由器1Z-A2-R-1專線路由器2Z-A2-R-2專線接入交換機(jī)Z-A2-SW專線接入防火墻1Z-A2-FW-1專線接入防火墻2Z-A2-FW-2專線接入?yún)R聚交換機(jī)Z-A2-SW-HJ運(yùn)維網(wǎng)網(wǎng)管核心交換機(jī)Z-MOBN-CORE運(yùn)維網(wǎng)核心防火墻Z-MOBN-FW4IP地址和Vlan規(guī)劃為了使新中心的ip地址具有更好的可擴(kuò)展性，以及ip地址的層次清晰，新的數(shù)據(jù)網(wǎng)將啟用全新的ip地址。新分配的ip地址層次分明，將清晰的體現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)，便于日后的管理和維護(hù)。4.1生產(chǎn)網(wǎng)IP地址和Vlan規(guī)劃?核心層應(yīng)用系統(tǒng)IP地址和Vlan規(guī)劃此段地址可以是復(fù)用地址段，大家的核心內(nèi)網(wǎng)的地址可以使用一樣的。核心層區(qū)域IP地址段VlanID主機(jī)托管192.168.[1-10]/24自定?隔離層應(yīng)用系統(tǒng)IP地址和Vlan規(guī)劃隔離層區(qū)域IP地址段VlanID互聯(lián)網(wǎng)區(qū)域10.0.[VLAN].0/242-63?接入層應(yīng)用系統(tǒng)IP地址和Vlan規(guī)劃接入層區(qū)域IP地址段VlanID專線系統(tǒng)172.0.[0-254].0/24無4.2運(yùn)維網(wǎng)IP地址和Vlan規(guī)劃運(yùn)維網(wǎng)區(qū)域IP地址段VlanIDVPN接入部分/24無

MBON區(qū)/242985設(shè)備配置整體規(guī)范VTPprotocol生產(chǎn)網(wǎng)里，所有Cisco交換機(jī)的VTP模式設(shè)置為Transparent模式，在每臺(tái)啟用VLAN的交換機(jī)上手工建立VLAN信息。SpanningTree生成樹啟用協(xié)議：Pvst在隔離層中，匯聚交換機(jī)（6506和3750）作為網(wǎng)間網(wǎng)VLAN生成樹的根，其中編號(hào)是1的交換機(jī)作為PrimaryROOT，編號(hào)是2的交換機(jī)作為SecondaryROOT。啟用Pvst后，不連接交換機(jī)的端口的PortFast功能默認(rèn)打開。HSRP在隔離層的接入交換機(jī)上的接入VLAN端口和互聯(lián)網(wǎng)區(qū)的核心交換機(jī)上的網(wǎng)間網(wǎng)VLAN端口開啟HSRP功能。其中編號(hào)是1的交換機(jī)的默認(rèn)狀態(tài)為Active，優(yōu)先級(jí)為110；編號(hào)是2的交換機(jī)作為默認(rèn)狀態(tài)為Standby，優(yōu)先級(jí)為90。在設(shè)備上配置HSRP搶占。路由協(xié)議在目前已知的條件下，網(wǎng)絡(luò)實(shí)驗(yàn)室的專線接入?yún)^(qū)（八2）使用OSPF動(dòng)態(tài)路由協(xié)議，其他區(qū)域都使用靜態(tài)路由。設(shè)備安全配置設(shè)備訪問控制訪問超時(shí)linecon0exec-timeout50linevty04exec-timeout50訪問源限制ipaccess-liststandardTelnetAuthpermit55linevty04access-classTelnetAuthinSNMP為設(shè)備安全起見，SNMP被使用在只讀模式，不在設(shè)備上配置RW字串。并且配置ACL，限制訪問源。access-list99permit55snmp-servercommunitysfitRO995.5.2網(wǎng)絡(luò)設(shè)備服務(wù)關(guān)閉全局不需要的服務(wù)noservicefingernoservicepadnoserviceudp-small-serversnoservicetcp-small-serversnoipbootpservernoiphttpservernoipfingernoipsource-routenoipgratuitous-arpsnoipdomain-lookupnoiphttpsecure-server關(guān)閉接口不需要的服務(wù)noipredirectsnoipdirected-broadcastnoipproxy-arpnoipunreachables開啟提高設(shè)備安全性的服務(wù)servicepassword-encryption5.5.3設(shè)備端口安全配置?通用配置不使用的端口配置為Shutdown光纖端口上開啟UDLD?廣域網(wǎng)/互聯(lián)網(wǎng)接入路由器在連接外聯(lián)設(shè)備的接口上關(guān)閉cdp(nocdpenable)?服務(wù)器接入交換機(jī)連接服務(wù)器的端口配置為Access模式連接服務(wù)器的端口配置portfast和bpduguard、bpdufilter5.6設(shè)備互聯(lián)規(guī)范鵬越驚虹網(wǎng)絡(luò)實(shí)驗(yàn)室生產(chǎn)網(wǎng)中的冗余設(shè)備互聯(lián)分為主要有以下三種情況需要進(jìn)行說明。冗余3750交換機(jī)連接冗余6506交換機(jī)這種情況主要指隔離層的核心6506交換機(jī)連接隔離層接入3750交換機(jī)和接入層的匯聚3750交換機(jī)。如下圖所示。兩臺(tái)3750交換機(jī)使用堆疊方式組成邏輯上的一臺(tái)交換機(jī)；兩臺(tái)6506交換機(jī)使用引擎上的兩個(gè)光纖口組成EtherChannel進(jìn)行互聯(lián)。每臺(tái)3750交換機(jī)上各拿出一個(gè)端口，使用LACP協(xié)議組成EtherChannel連接到6506上。6506和3750之間使用虛擬網(wǎng)間網(wǎng)Vlan端口進(jìn)行互聯(lián)，并在6506的互聯(lián)端口上允許這些Vlan通過。這樣當(dāng)某一臺(tái)3750發(fā)生故障時(shí)，不會(huì)引起網(wǎng)間網(wǎng)Vlan的Spanning-Tree（生成樹）的狀態(tài)變化。在6506上的網(wǎng)間網(wǎng)Vlan端口（InterfaceVlan）開啟HSRP協(xié)議，3750的靜態(tài)路由的下一條地址就是HSRP的虛擬地址。冗余3750交換機(jī)連接非冗余NetScreen防火墻這種情況主要指接入層互聯(lián)網(wǎng)接入?yún)^(qū)的接入208防火墻連接3750交換機(jī)。如下圖所示。兩臺(tái)3750交換機(jī)使用堆疊方式組成邏輯上的一臺(tái)交換機(jī)。每臺(tái)NetScreen208防火墻使用兩個(gè)端口分別連接到兩臺(tái) 3750交換機(jī)上，通過使用特有的Redundant特性，兩個(gè)端口綁定在同一個(gè)冗余組里互相備份。默認(rèn)情況下，所有的數(shù)據(jù)應(yīng)當(dāng)通過左側(cè)的交換機(jī)，當(dāng)端口或線路發(fā)生故障時(shí)，備用端口將自動(dòng)進(jìn)行切換，數(shù)據(jù)流向右側(cè)的交換機(jī)。冗余3750交換機(jī)連接冗余防火墻這種情況主要指接入層專線接入?yún)^(qū)（A2）中的NetScreenISG1000防火墻連接內(nèi)外兩側(cè)的3750交換機(jī)。兩臺(tái)3750交換機(jī)使用堆疊方式組成邏輯上的一臺(tái)交換機(jī)。每臺(tái)NetScreen208防火墻使用兩個(gè)端口分別連接到同一臺(tái)3750交換機(jī)上，通過使用特有的Redundant特性，兩個(gè)端口綁定在同一個(gè)冗余組里互相備份；只有在交換機(jī)發(fā)生故障或交換機(jī)與防火墻之間的兩根線都斷開時(shí)，防火墻才進(jìn)行切換。6生產(chǎn)系統(tǒng)網(wǎng)絡(luò)設(shè)計(jì)生產(chǎn)網(wǎng)絡(luò)設(shè)計(jì)及區(qū)域劃分網(wǎng)絡(luò)整體設(shè)計(jì)的主要思路采用核心、隔離、接入的垂直分層的網(wǎng)絡(luò)架構(gòu)，模塊化的設(shè)計(jì)原則，使得整體網(wǎng)絡(luò)按照業(yè)務(wù)的不同，可以實(shí)現(xiàn)模塊化建設(shè)和模塊化管理。各區(qū)域網(wǎng)絡(luò)描述及作用如下。核心層生產(chǎn)網(wǎng)絡(luò)的核心層包括托管系統(tǒng)的服務(wù)器和內(nèi)部總線，按照不同業(yè)務(wù)的又可以分為主機(jī)系統(tǒng)隔離層隔離層由服務(wù)器接入交換機(jī)和匯聚交換機(jī)組成，上端連接系統(tǒng)各業(yè)務(wù)的前置服務(wù)器，下端與各類接入線路鏈接。在隔離層上還需要考慮不同系統(tǒng)的不同業(yè)務(wù)之間的隔離。接入層接入層用于外部線路的接入以及安全上的防護(hù)，主要可以分為互聯(lián)網(wǎng)接入、專線接入。Vlan和IP地址分配?主機(jī)系統(tǒng)ip地址分配應(yīng)用系統(tǒng)Vlan和IP?主機(jī)系統(tǒng)ip地址分配IP地址

隔離層交易區(qū)（Al）IP地址和Vlan分配主機(jī)系統(tǒng)每個(gè)用戶分配一段C類地址其余設(shè)備之間的互聯(lián)Vlan和IP地址的分配如下:設(shè)備名稱端口IP地址對(duì)端設(shè)備端口IP地址3750-frontvlan100Z-CORE-1Z-CORE-2Vlan100Z-CORE-1Z-CORE-2vlan200HZ-A1-SW-HJVlan200Z-A1-SW-HJVlan210Z-A1-LC-1Z-A1-LC-22.1Vip:Z-A1-LC-1Z-A1-LC-21.1VZ-A1-FW-1redundant113/24Z-A1-LC-1Z-A1-LC-21.2VZ-A1-FW-2redundant1Z-CORE-1Z-CORE-2Vlan300VZ-A2-SW-HJVlan300Z-A2-SW-HJVlan310Z-A2-FW-1Z-A2-FW-2redundant1Z-A2-FW-1Z-A2-FW-2redundant2Z-A2-SWVlan320Z-A2-SWVlan330Z-A2-R-1Z-A2-R-2G0/0G0/0Z-A2-SWVlan340Z-A2-R-1Z-A2-R-2G0/1G0/1專線廣域網(wǎng)和局域網(wǎng)IP地址分配?廣域網(wǎng)間網(wǎng)IP地址分配每條專線的廣域網(wǎng)間網(wǎng)從/24分配一段30位掩碼的地址。?局域網(wǎng)地址每套系統(tǒng)的客戶端從172.0.[0-254].0/24中分配一段C類地址。核心層設(shè)計(jì)主機(jī)系統(tǒng)核心設(shè)計(jì)主機(jī)系統(tǒng)的服務(wù)器通過單獨(dú)的網(wǎng)卡連接到一組組冗余交換機(jī)上，組成主機(jī)系統(tǒng)的內(nèi)部總線。系統(tǒng)可以通過專線接入路由器直接接入內(nèi)部總線，對(duì)系統(tǒng)進(jìn)行管理和維護(hù)。隔離層設(shè)計(jì)隔離層就是互聯(lián)網(wǎng)區(qū)（八1）。接入交換機(jī)擺放在服務(wù)器機(jī)房的排頭柜里，負(fù)責(zé)連接本排機(jī)柜里的交易系統(tǒng)前置交換機(jī)，前置交換機(jī)的網(wǎng)關(guān)都部署在接入交換機(jī)上。匯聚交換機(jī)擺放在網(wǎng)絡(luò)機(jī)房?jī)?nèi)，一側(cè)連接排頭柜的隔離層接入交換機(jī)，另一側(cè)連接接入層的匯聚交換機(jī)?；ヂ?lián)網(wǎng)區(qū)（A1）設(shè)計(jì)互聯(lián)網(wǎng)區(qū)一側(cè)連接主機(jī)系統(tǒng)，另一側(cè)連接接入層互聯(lián)網(wǎng)接入?yún)^(qū)（A1）和專線接入?yún)^(qū)（八2）?；ヂ?lián)網(wǎng)區(qū)前置服務(wù)器的網(wǎng)關(guān)都部署在接入交換機(jī)上。對(duì)于主機(jī)系統(tǒng)，每套系統(tǒng)分配一段C類地址。在互聯(lián)網(wǎng)區(qū)3750-front的接入交換機(jī)上配置訪問控制列表（ACL），阻止不同系統(tǒng)之間的通訊，避免各套系統(tǒng)之間的相互訪問所可能產(chǎn)生的安全隱患。以主機(jī)系統(tǒng)1為例，其交易前置機(jī)的網(wǎng)段為/24,VlanID是8。在InterfaceVlan8上配置一個(gè)方向?yàn)镮n的ACL，ACL一共有三個(gè)條目：permitip10.010.0denyip10.010.0permitip10.0接入層設(shè)計(jì)接入層分為2個(gè)區(qū)域：互聯(lián)網(wǎng)接入?yún)^(qū)（A1）、專線接入?yún)^(qū)（A2）?；ヂ?lián)網(wǎng)接入?yún)^(qū)（A1）設(shè)計(jì)一臺(tái)AllotNetEnforcerAC-804帶寬管理設(shè)備。AC-804共有4個(gè)千兆以太網(wǎng)電口，可以同時(shí)管理兩條互聯(lián)網(wǎng)線路上的流量，定制并生成相應(yīng)的報(bào)表。由于采用的外置的旁路（bypass）模塊，因此在設(shè)備發(fā)生故障時(shí)也不對(duì)網(wǎng)絡(luò)產(chǎn)生影響。Allot內(nèi)側(cè)是兩臺(tái)NetScreen208防火墻，每臺(tái)防火墻連接一條互聯(lián)網(wǎng)線路，負(fù)責(zé)互聯(lián)網(wǎng)線路上的訪問控制和IP地址轉(zhuǎn)換。在NetScreen208防火墻內(nèi)側(cè)是由兩臺(tái)Cisco3750堆疊而成的一組交換機(jī)。通過NetScreen特有的RedundantGroup特性，將每臺(tái)NetScreen208分別連接到兩臺(tái)Cisco3750交換機(jī)上，避免了單點(diǎn)故障的發(fā)生。兩臺(tái)F5Bip-IP3400LinkController鏈路負(fù)載均衡設(shè)備的主要功能是實(shí)現(xiàn)Inbound方向的數(shù)據(jù)流的原進(jìn)原出。另外，在F5上配置目標(biāo)地址為所有地址、類型為PerformanceLayer4的VS（虛擬服務(wù)器），P