交換、防火墻網(wǎng)絡(luò)方案

某企業(yè)交換機(jī)防火墻網(wǎng)絡(luò)

安全建設(shè)

技術(shù)方案北京麥弗瑞科技有限公司目錄TOC\o"1-5"\h\z\o"CurrentDocument"綜述 3\o"CurrentDocument"網(wǎng)絡(luò)設(shè)計(jì)原則 3\o"CurrentDocument"企業(yè)網(wǎng)業(yè)務(wù)需求分析 4\o"CurrentDocument"網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì) 5\o"CurrentDocument"防火墻系統(tǒng)部署方案 5\o"CurrentDocument"交換機(jī)接入 6\o"CurrentDocument"Juniper的企業(yè)網(wǎng)結(jié)構(gòu)設(shè)計(jì) 7網(wǎng)絡(luò)拓?fù)鋱D 7\o"CurrentDocument"企業(yè)網(wǎng)選用設(shè)備 7JuniperEX系列交換機(jī) 7\o"CurrentDocument"防火墻SRX系列 9\o"CurrentDocument"J系列路由器 101綜述本方案是依據(jù)貴公司提出的建網(wǎng)要求，而出的技術(shù)實(shí)施方案。本方案將以貴公司要求為依據(jù)，結(jié)合市場(chǎng)需求和現(xiàn)有條件，并以高速、高帶寬、高可靠性、技術(shù)先進(jìn)、簡(jiǎn)單實(shí)用、節(jié)省投資為網(wǎng)絡(luò)的建設(shè)原則，建設(shè)一個(gè)先進(jìn)的、具有高可靠性的綜合業(yè)務(wù)數(shù)據(jù)網(wǎng)絡(luò)。1.1網(wǎng)絡(luò)設(shè)計(jì)原則交換網(wǎng)絡(luò)作為方正縣人民政府網(wǎng)絡(luò)重要組成部分，建設(shè)目標(biāo)應(yīng)該致力于能夠提供一個(gè)靈活、先進(jìn)和可靠的多業(yè)務(wù)平臺(tái)，為網(wǎng)絡(luò)進(jìn)一步承載更多業(yè)務(wù)，建立自動(dòng)化全網(wǎng)絡(luò)的業(yè)務(wù)，降低企業(yè)運(yùn)作成本。我們?cè)谶M(jìn)行網(wǎng)絡(luò)設(shè)計(jì)時(shí)，應(yīng)著重考慮如下幾點(diǎn)：1） 網(wǎng)絡(luò)的可靠性網(wǎng)絡(luò)的可靠性是網(wǎng)絡(luò)設(shè)計(jì)中需要考慮的一個(gè)主要原則。在網(wǎng)絡(luò)設(shè)計(jì)時(shí)，應(yīng)避免網(wǎng)絡(luò)中出現(xiàn)單故障點(diǎn)，并應(yīng)該考慮在出現(xiàn)故障時(shí)的網(wǎng)絡(luò)性能，通過網(wǎng)絡(luò)設(shè)計(jì)減少故障對(duì)網(wǎng)絡(luò)性能的影響。2） 流量的合理分配由于企業(yè)網(wǎng)絡(luò)的重要性，在網(wǎng)絡(luò)的各個(gè)層面需要部署冗余的設(shè)備和鏈路，在網(wǎng)絡(luò)中流量出入會(huì)存在多條可達(dá)的路徑，隨著企業(yè)網(wǎng)絡(luò)流量的不斷增長(zhǎng)，不合理的流量設(shè)計(jì)會(huì)造成網(wǎng)絡(luò)瓶頸的出現(xiàn)。因此，網(wǎng)絡(luò)流量的負(fù)載分擔(dān)問題成為網(wǎng)絡(luò)設(shè)計(jì)時(shí)需要考慮的一個(gè)主要因素，必須使網(wǎng)絡(luò)的流量能夠比較合理的分布在各個(gè)設(shè)備以及各條鏈路上。3） 網(wǎng)絡(luò)的性能企業(yè)網(wǎng)一般會(huì)成為承載多種業(yè)務(wù)的統(tǒng)一網(wǎng)絡(luò)平臺(tái)，其中必然有很多重要的業(yè)務(wù)，在強(qiáng)調(diào)帶寬和吞吐量的同時(shí)，應(yīng)該為重要程度不等的業(yè)務(wù)提供不同的服務(wù)質(zhì)量保證。因此，在網(wǎng)絡(luò)設(shè)計(jì)時(shí)應(yīng)該考慮網(wǎng)絡(luò)性能的因素，使網(wǎng)絡(luò)能夠滿足現(xiàn)有以及未來新業(yè)務(wù)對(duì)服務(wù)質(zhì)量的要求。4） 可擴(kuò)展性隨著IT技術(shù)的飛速發(fā)展，提升和改善企業(yè)業(yè)務(wù)運(yùn)行效率以及競(jìng)爭(zhēng)力的IT產(chǎn)品會(huì)不斷推陳出新，而體系會(huì)成為企業(yè)生存、發(fā)展和壯大的必然裝備，作為企業(yè)業(yè)務(wù)流量轉(zhuǎn)發(fā)的重要部分，設(shè)計(jì)時(shí)應(yīng)該充分考慮到網(wǎng)絡(luò)的可擴(kuò)展性以及對(duì)未來開展業(yè)務(wù)的支持。5）高性價(jià)比充分考慮網(wǎng)絡(luò)的容量，合理配置設(shè)備和鏈路，除了一次性投資考慮，還應(yīng)重點(diǎn)考慮設(shè)備后期運(yùn)行和維護(hù)的費(fèi)用。6）網(wǎng)絡(luò)管理的簡(jiǎn)易性企業(yè)交換網(wǎng)絡(luò)的覆蓋面廣，設(shè)備數(shù)量眾多，而且未來也有可能不斷擴(kuò)大規(guī)模。網(wǎng)絡(luò)管理的工作量是需要重點(diǎn)考慮的問題。因此，在網(wǎng)絡(luò)設(shè)計(jì)應(yīng)該考慮網(wǎng)絡(luò)管理的因素，盡量減少網(wǎng)絡(luò)管理的難度和復(fù)雜性。2企業(yè)網(wǎng)業(yè)務(wù)需求分析隨著網(wǎng)絡(luò)不斷的發(fā)展，企業(yè)網(wǎng)已從被動(dòng)的、背景式的角色逐步演變?yōu)橹鲃?dòng)式的、高可視化的核心組成部分。企業(yè)的日常運(yùn)行以及良好的市場(chǎng)競(jìng)爭(zhēng)力都依賴于企業(yè)網(wǎng)的正常高效運(yùn)行?，F(xiàn)在的企業(yè)網(wǎng)已成為需要在任何時(shí)間從任何地點(diǎn)都可以訪問的戰(zhàn)略設(shè)施，同時(shí)還要在所有節(jié)點(diǎn)上規(guī)模的提供快速、安全和可靠的服務(wù)。企業(yè)網(wǎng)承載的業(yè)務(wù)從傳統(tǒng)的客戶端/服務(wù)器數(shù)據(jù)流到端到端的數(shù)據(jù)流，同時(shí)需要容納快速增長(zhǎng)的服務(wù)和設(shè)備。為適應(yīng)企業(yè)更多重要業(yè)務(wù)的需求，企業(yè)網(wǎng)必須顛覆傳統(tǒng)的設(shè)計(jì)思路，圍繞企業(yè)網(wǎng)安全、連接性和性能進(jìn)行全面的考慮，在具備良好穩(wěn)定性、可靠性和高性能的同時(shí)具備簡(jiǎn)單和靈活，在適應(yīng)新的業(yè)務(wù)發(fā)展時(shí)不用重新設(shè)計(jì)網(wǎng)絡(luò)。企業(yè)網(wǎng)處在非常重要的地位，包含企業(yè)主要位置的一棟或者多棟相鄰的建筑，一般是公司的總部或者主要站點(diǎn)。企業(yè)大部分重要的服務(wù)和應(yīng)用都分布在各個(gè)建筑甚至是很多樓層里面，而這些應(yīng)用大部分都是需要在線運(yùn)行的，企業(yè)網(wǎng)任何downtime或者效率低下都會(huì)導(dǎo)致企業(yè)受到損失。Juniper的企業(yè)網(wǎng)交換解決方案旨在提供全面得安全、高性能、高可用的網(wǎng)絡(luò)，保障企業(yè)網(wǎng)所有組件一直正常在線服務(wù)，從而提高生產(chǎn)力和客戶滿意度。為了優(yōu)化高效的商業(yè)運(yùn)作，企業(yè)網(wǎng)必須提供如下高級(jí)別服務(wù)：X安全服務(wù)：安全是所有企業(yè)網(wǎng)服務(wù)的關(guān)鍵，對(duì)網(wǎng)絡(luò)和應(yīng)用的訪問是開放和普遍存在的，但是得保證牢固和可控制。xLAN連接服務(wù)：提供多種接入方式，包括計(jì)算機(jī)、語音電話、PDA、監(jiān)控?cái)z像頭、智能電話等等。-J-高性能服務(wù)：企業(yè)網(wǎng)在任何時(shí)間滿足所有應(yīng)用的傳送需求。-J-HA：拒絕企業(yè)網(wǎng)的Downtime，提供99.999%的可靠性。HA貫穿整個(gè)企業(yè)網(wǎng)，Juniper網(wǎng)絡(luò)設(shè)備和軟件提供成本高效的、特性豐富的和高可用的服務(wù)，并且提供集中化的管理服務(wù)以減少downtime和維護(hù)費(fèi)用。2.1網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)方案概述近年來，隨著企業(yè)信息化的深入進(jìn)行，企業(yè)網(wǎng)絡(luò)整體的快速發(fā)展，企業(yè)網(wǎng)已經(jīng)成為企業(yè)最重要的學(xué)習(xí)和生產(chǎn)設(shè)施，企業(yè)網(wǎng)絡(luò)面臨的挑戰(zhàn)變得日益突出。瞻博網(wǎng)絡(luò)企業(yè)網(wǎng)出口解決方案可以有效解決目前企業(yè)的問題以及CERNET和其它電信運(yùn)營商間互聯(lián)帶寬不足或者使用不充分，造成訪問速度緩慢不能滿足員工需求的供需矛盾；二是網(wǎng)絡(luò)應(yīng)用日益豐富，造成病毒泛濫，網(wǎng)絡(luò)安全提出的更高需求的矛盾。方案介紹針對(duì)企業(yè)網(wǎng)的上述特點(diǎn)建議部署一臺(tái)瞻博網(wǎng)絡(luò)高性能J2320路由器，J2320路由器對(duì)外接入CERNET，并提供高性能的路由功能，同時(shí)J2320路由器對(duì)內(nèi)通過GE鏈路接入到防火墻安全設(shè)備上。該方案的技術(shù)特點(diǎn)：高性能的路由轉(zhuǎn)發(fā)與良好的擴(kuò)展性通過在J2320路由器上進(jìn)行路由設(shè)置，將流量合理快速至出口鏈路，有效利用帶寬，提高訪問其他電信運(yùn)營商網(wǎng)內(nèi)資源的速度。今后要是多出口的情況下還可以，根據(jù)流量實(shí)際情況，可以詳細(xì)劃分各種應(yīng)用將其分布到不同的鏈路上。便捷的配置，設(shè)置企業(yè)網(wǎng)出口設(shè)備—J2320承擔(dān)了高效的路由轉(zhuǎn)發(fā)，出入企業(yè)網(wǎng)流量控制，這樣重任由出口路由器來承擔(dān)，從而使得路由器的選擇就非常的重要。2.2防火墻系統(tǒng)部署方案防火墻系統(tǒng)在網(wǎng)絡(luò)邊界設(shè)置進(jìn)出口控制，可以防御外來攻擊、監(jiān)控往來通訊流量，是企業(yè)網(wǎng)絡(luò)安全的第一道關(guān)卡，其重要性不言而喻。網(wǎng)絡(luò)防火墻系統(tǒng)從其設(shè)置的物理位置來說，最恰當(dāng)?shù)奈恢镁褪遣煌踩?jí)別的網(wǎng)絡(luò)物理邊界的出入口。所以可以說，網(wǎng)絡(luò)安全系統(tǒng)最為關(guān)鍵的組成部分實(shí)際上是利用上述的各種技術(shù)手段，通過對(duì)網(wǎng)絡(luò)出入口的控制實(shí)現(xiàn)安全服務(wù)的目的。目前所有廠商的高端防火墻系統(tǒng)本身都支持多物理端口，同時(shí)其物理端口還可進(jìn)一步支持802.1Q協(xié)議。因此，安全域的劃分既可通過網(wǎng)段的物理端口連接實(shí)現(xiàn)，也可以通過VLAN虛擬端口方式連接。我們可將安全等級(jí)不同的網(wǎng)絡(luò)劃分在不同物理網(wǎng)段或邏輯VLAN中，然后將物理網(wǎng)段直接與防火墻不同的物理端口相連或?qū)LAN指定為防火墻系統(tǒng)的某個(gè)接口的網(wǎng)邏輯子接口。這樣，防火墻系統(tǒng)就成為不同網(wǎng)段或VLAN之間相互訪問的唯一通道，所有跨網(wǎng)段或VLAN間的流量都要經(jīng)過防火墻模塊的檢測(cè)，實(shí)現(xiàn)安全域的劃分。2.3交換機(jī)接入交換機(jī)直接與防火墻相連接組成局域網(wǎng)，瞻博網(wǎng)絡(luò)EX2200系列固定配置以太網(wǎng)交換機(jī)，具備完整的第2層交換功能和基本的第3層交換功能，可滿足當(dāng)今高績(jī)效企業(yè)的分支辦事處和低密度配線室的連接需求。該產(chǎn)品提供四種平臺(tái)配置：24個(gè)和48個(gè)10/100/1000BASE-T端口，可按不同需求完全滿足企業(yè)的內(nèi)網(wǎng)需求。3Juniper的企業(yè)網(wǎng)結(jié)構(gòu)設(shè)計(jì)3.1網(wǎng)絡(luò)拓?fù)鋱D整體網(wǎng)絡(luò)拓?fù)鋱D 雙線線 光纖internet 雙線線 光纖internetwwh|uniQHrjuniper4企業(yè)網(wǎng)選用設(shè)備4.1JuniperEX系列交換機(jī)Juniper網(wǎng)絡(luò)EX系列以太網(wǎng)交換機(jī)

?運(yùn)營商級(jí)可靠性?安全風(fēng)險(xiǎn)管理?網(wǎng)絡(luò)虛擬化?應(yīng)用控制?降低TCO?運(yùn)營商公認(rèn)的硬件和軟件?威脅牽制和統(tǒng)一接入控制?虛擬路由和GRE隧道穿越?JUNOS和統(tǒng)一管理?應(yīng)用可視性和服務(wù)質(zhì)量根據(jù)公司實(shí)際情況推薦交換機(jī)型號(hào)為EX2200交換機(jī)Juniper網(wǎng)絡(luò)EX2200系列以太網(wǎng)交換機(jī)展示了五種關(guān)鍵特性，結(jié)合在一起構(gòu)成了真正的企業(yè)級(jí)交換解決方案：運(yùn)營商級(jí)可靠性、安全風(fēng)險(xiǎn)管理、網(wǎng)絡(luò)虛擬化、應(yīng)用控制、降低總體擁有成本(TCO)。?運(yùn)營商級(jí)可靠性：一順百順，一通百通。因此，Juniper網(wǎng)絡(luò)EX系列以太網(wǎng)交換機(jī)使用被全球最大規(guī)模電信運(yùn)營商網(wǎng)絡(luò)所部署的、經(jīng)過實(shí)踐驗(yàn)證的相同技術(shù)一一包括應(yīng)用特定的高性能集群電路(ASIC)、系統(tǒng)架構(gòu)和JUNOS 軟件，從而構(gòu)成了強(qiáng)韌的、經(jīng)久耐用的、高度可靠的網(wǎng)絡(luò)基礎(chǔ)設(shè)施解決方案來為高績(jī)效企業(yè)服務(wù)。?安全風(fēng)險(xiǎn)管理：Juniper網(wǎng)絡(luò)EX系列以太網(wǎng)交換機(jī)完全兼容Juniper網(wǎng)絡(luò)統(tǒng)一接入控制(UAC)解決方案，能夠提供另一層安全保護(hù)。產(chǎn)品首先實(shí)施用戶和病毒檢查，然后才執(zhí)行端到端的、精準(zhǔn)的安全策略，用于決定誰有權(quán)訪問哪些網(wǎng)絡(luò)資源，并通過實(shí)施服務(wù)質(zhì)量(QoS)策略來確保業(yè)務(wù)流程的交付?；诋惓５募和{檢測(cè)功能能夠識(shí)別出并阻斷分布式拒絕服務(wù)(DDoS)攻擊，從而提供更深入的保護(hù)。?網(wǎng)絡(luò)虛擬化：EX系列交換機(jī)采用Juniper網(wǎng)絡(luò)集群交換技術(shù)，最多允許10個(gè)EX4200交換機(jī)互連在一起，并作為單一系統(tǒng)發(fā)揮作用。通過集群交換技術(shù)，用戶能夠在一個(gè)經(jīng)濟(jì)高效的小巧平臺(tái)中獲得機(jī)箱式系統(tǒng)的可靠性、可用性和高端口密度，從而實(shí)現(xiàn)機(jī)箱式和可堆疊交換機(jī)的雙重優(yōu)勢(shì)。EX系列交換機(jī)還支持通用路由封裝(GRE)隧道穿越技術(shù)，用于從遠(yuǎn)程位置向網(wǎng)絡(luò)運(yùn)行中心的監(jiān)控產(chǎn)品發(fā)送鏡像流量，以便集中分析、排除故障或構(gòu)建相互隔離的重疊網(wǎng)絡(luò)，因此不會(huì)遇到與生成樹相關(guān)的問題。?應(yīng)用控制：成功管理網(wǎng)絡(luò)需要您了解網(wǎng)絡(luò)的使用情況，以便優(yōu)化應(yīng)用交付，并最大限度地提高運(yùn)行效率。Juniper網(wǎng)絡(luò)機(jī)箱式EX8200系列以太網(wǎng)交換機(jī)使用集群的高性能ASIC，允許您以線速查看150多個(gè)應(yīng)用，從而針對(duì)用戶如何使用系統(tǒng)獲得前所未有的洞察力。為了便于區(qū)分，Juniper網(wǎng)絡(luò)EX系列以太網(wǎng)交換機(jī)將應(yīng)用分為業(yè)務(wù)、P2P、消息傳遞或游戲等多個(gè)類別，并提供主要會(huì)話雙方、各應(yīng)用的帶寬消耗、各位置的流量分配等具體信息，以便您深入了解網(wǎng)絡(luò)中的應(yīng)用行為。為確保為應(yīng)用流量合理地分配優(yōu)先級(jí)，EX系列以太網(wǎng)交換機(jī)在每個(gè)端口支持強(qiáng)韌的8個(gè)QoS隊(duì)列一一足以為控制層、語音、視頻和多個(gè)級(jí)別的數(shù)據(jù)流量提供獨(dú)立隊(duì)列，并為融合樓宇自動(dòng)化和安全監(jiān)控?cái)z像機(jī)等其他網(wǎng)絡(luò)留有空間。?降低TCO:高可擴(kuò)展的“按需購買，漸進(jìn)擴(kuò)展”架構(gòu)，低功耗、低占地空間和低冷卻要求的網(wǎng)絡(luò)設(shè)計(jì)，通用操作系統(tǒng)，適用于所有Juniper網(wǎng)絡(luò)產(chǎn)品的統(tǒng)一管理工具，所有這些優(yōu)勢(shì)結(jié)合在一起，能夠幫助EX系列以太網(wǎng)交換機(jī)客戶同時(shí)降低前期購置和后期運(yùn)行成本。高性能的高密度平臺(tái)允許用戶從小規(guī)模起步，然后循序漸進(jìn)地實(shí)施增長(zhǎng)，從而為擁擠的配線間和數(shù)據(jù)中心節(jié)省了寶貴空間，同時(shí)降低了能耗和冷卻等循環(huán)成本。利用整個(gè)交換機(jī)系列中統(tǒng)一部署的通用JUNOSTM軟件版本，EX系列以太網(wǎng)交換機(jī)可確保在整個(gè)基礎(chǔ)設(shè)施中的一致實(shí)施并縮短學(xué)習(xí)過程。統(tǒng)一管理工具則能夠合并系統(tǒng)監(jiān)控和維護(hù)工作，既省時(shí)又省錢。4.2防火墻SRX系列JuniperSRX210H防火墻網(wǎng)絡(luò)安全根據(jù)公司實(shí)際情況推薦防火墻型號(hào)為SRX210H防火墻瞻博網(wǎng)絡(luò)SRX210系列分支辦事處業(yè)務(wù)網(wǎng)關(guān)與瞻博網(wǎng)絡(luò)的SRX系列高端產(chǎn)品、EX系列以太網(wǎng)交換機(jī)、M系列多業(yè)務(wù)邊緣路由器、MX系列3D通用邊緣路由器以及T系列核心路由器一起，共同形成了規(guī)?？涨?、基于瞻博網(wǎng)絡(luò)Junos單一操作系統(tǒng)的產(chǎn)品線。采用Junos操作系統(tǒng)，企業(yè)和電信運(yùn)營商能夠在其整個(gè)分布式員工隊(duì)伍中降低部署和運(yùn)營成本。-SRX系列分支辦事處網(wǎng)關(guān)采用成熟的Junos操作系統(tǒng)，該操作系統(tǒng)在全球100強(qiáng)電信運(yùn)營商的核心互聯(lián)網(wǎng)路由器中被普遍采用。在過去15年的全球推廣應(yīng)用中，其經(jīng)過嚴(yán)格測(cè)試的電信運(yùn)營商級(jí)IPv4/IPv6、OSPF、BGP和多播路由特性已得到驗(yàn)證。-SRX系列分支辦事處業(yè)務(wù)網(wǎng)關(guān)提供邊界安全、內(nèi)容安全、接入控制以及在整個(gè)網(wǎng)絡(luò)范圍對(duì)威脅的可視性和控制能力。通過運(yùn)用分區(qū)和策略，即使是沒有經(jīng)驗(yàn)的網(wǎng)絡(luò)管理員也能夠快速安全地為分支辦事處部署和配置SRX系列網(wǎng)關(guān)。此外，SRX系列現(xiàn)在還為防火墻、IPsecVPN、NAT和初始設(shè)置提供向?qū)?，以?/p>