網(wǎng)絡(luò)建設(shè)方案模板

/網(wǎng)絡(luò)建設(shè)方案模板書目第1章 項(xiàng)目概述 31.1 概述 31.2 背景 31.3 需求分析 3第2章 項(xiàng)目建設(shè)原則 32.1 項(xiàng)目建設(shè)原則 32.2 建設(shè)目標(biāo) 3第3章 詳細(xì)設(shè)計(jì)方案 43.1 骨干層設(shè)計(jì) 53.2 接入層設(shè)計(jì) 63.3 鏈路設(shè)計(jì) 63.4 VLAN、IP地址和路由規(guī)劃 7 VLAN規(guī)劃 7 IP地址支配 7 路由規(guī)劃 83.5 接入互聯(lián)網(wǎng) 93.6 服務(wù)器接入方式： 93.7 網(wǎng)絡(luò)平安機(jī)制 93.8 終端主機(jī)防護(hù)設(shè)計(jì) 113.9 設(shè)備清單 123.10 主要產(chǎn)品選型 13項(xiàng)目概述概述背景需求分析組建辦公網(wǎng)絡(luò)，為辦公業(yè)務(wù)信息系統(tǒng)供應(yīng)統(tǒng)一網(wǎng)絡(luò)運(yùn)行平臺(tái)，實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)資源共享、整合，提高辦事效率。實(shí)現(xiàn)互聯(lián)網(wǎng)聯(lián)接，利用信息高速公路，通過互聯(lián)網(wǎng)進(jìn)行信息公開，實(shí)現(xiàn)內(nèi)部和外部信息的快速溝通，提高辦事效能。布署網(wǎng)絡(luò)平安機(jī)制，建立平安的網(wǎng)絡(luò)平臺(tái)，防止內(nèi)部網(wǎng)絡(luò)遭受惡意攻擊，切實(shí)愛惜網(wǎng)絡(luò)業(yè)務(wù)數(shù)據(jù)信息平安。項(xiàng)目建設(shè)原則項(xiàng)目建設(shè)原則建設(shè)目標(biāo)接受先進(jìn)的網(wǎng)絡(luò)骨干技術(shù)，保證網(wǎng)絡(luò)在相當(dāng)長(zhǎng)的一段時(shí)間內(nèi)滿足企業(yè)發(fā)展的須要；完善企業(yè)內(nèi)部網(wǎng)絡(luò)，供應(yīng)企業(yè)網(wǎng)（Intranet）的基本服務(wù)（WWW、E-mail、FTP、DNS等）；網(wǎng)絡(luò)在物理上保證連接性，用戶可以通過雙絞線、光纖等物理媒介接入。通過微波或DDN專線等手段連接Internet，便于和外界進(jìn)行信息溝通；進(jìn)行虛擬網(wǎng)絡(luò)劃分，限制網(wǎng)絡(luò)廣播風(fēng)暴，實(shí)現(xiàn)靈敏配置，限制不同級(jí)別用戶對(duì)網(wǎng)絡(luò)的訪問權(quán)限，檢測(cè)網(wǎng)絡(luò)中非法的、不正常的網(wǎng)絡(luò)流量，愛惜網(wǎng)絡(luò)不受來自企業(yè)外部和企業(yè)內(nèi)部的侵?jǐn)_，增加網(wǎng)絡(luò)平安性；對(duì)整個(gè)系統(tǒng)進(jìn)行完備的平安限制，在網(wǎng)絡(luò)系統(tǒng)各層次實(shí)行有效的平安限制策略；

詳細(xì)設(shè)計(jì)方案企業(yè)網(wǎng)絡(luò)一般分成園區(qū)骨干層和接入層兩個(gè)基本網(wǎng)絡(luò)層次，同時(shí)結(jié)合廣域網(wǎng)、外聯(lián)網(wǎng)、數(shù)據(jù)中心組成完整的網(wǎng)絡(luò)解決方案。依據(jù)企業(yè)網(wǎng)絡(luò)設(shè)計(jì)標(biāo)準(zhǔn)：層次化網(wǎng)絡(luò)架構(gòu)體系，設(shè)計(jì)網(wǎng)絡(luò)時(shí)，我們將遵循業(yè)界設(shè)計(jì)標(biāo)準(zhǔn)、行業(yè)準(zhǔn)則。設(shè)計(jì)網(wǎng)絡(luò)時(shí)應(yīng)考慮接受層次化模型設(shè)計(jì)，即將困難的網(wǎng)絡(luò)設(shè)計(jì)分成幾個(gè)層次，每個(gè)層次著重于某些特定的功能，這樣就能夠使一個(gè)困難的大問題變成許多簡(jiǎn)潔的小問題。企業(yè)網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)的網(wǎng)絡(luò)層次及功能：骨干層實(shí)現(xiàn)網(wǎng)絡(luò)的高速交換主干、數(shù)據(jù)中心設(shè)備的接入及各分部交換機(jī)接入?yún)R聚；接入層負(fù)責(zé)將工作站接入網(wǎng)絡(luò)。骨干層接入層圖1層次化的網(wǎng)絡(luò)模型骨干層設(shè)計(jì)骨干層是網(wǎng)絡(luò)的高速交換主干，對(duì)整個(gè)網(wǎng)絡(luò)的連通起到至關(guān)重要的作用。骨干層應(yīng)當(dāng)具有如下幾個(gè)特性：牢靠性、高效性、冗余性、容錯(cuò)性、可管理性、適應(yīng)性、低延時(shí)性等。在骨干層中，應(yīng)當(dāng)接受高帶寬的千兆核心交換機(jī)，以增加網(wǎng)絡(luò)平臺(tái)數(shù)據(jù)業(yè)務(wù)的網(wǎng)絡(luò)轉(zhuǎn)發(fā)及吞吐實(shí)力，因?yàn)楣歉蓪邮蔷W(wǎng)絡(luò)的樞紐中心，重要性突出。在滿足業(yè)務(wù)需求的同時(shí)，為盡量節(jié)約投資，核心設(shè)備可考慮先部署一臺(tái)企業(yè)級(jí)核心交換機(jī)作為網(wǎng)絡(luò)核心交換機(jī)?？蛇x思科Catalyst6509、H3CLS-7506E及阿爾卡特OmniSwitch7800等高性能企業(yè)級(jí)核心交換機(jī)。這些核心交換機(jī)具備足夠的業(yè)務(wù)板及功能卡插槽，至少可配置4個(gè)業(yè)務(wù)接口板，整機(jī)交換容量達(dá)768GB以上、背板容量超過1.6Tbps、包轉(zhuǎn)發(fā)率達(dá)488Mbps以上。支持主控冗余、電源冗余等高牢靠性能。為內(nèi)部網(wǎng)絡(luò)業(yè)務(wù)流量數(shù)據(jù)高速交換供應(yīng)一個(gè)可行的、牢靠、可管理的數(shù)據(jù)高速核心交換平臺(tái)。核心交換機(jī)承載內(nèi)部全部業(yè)務(wù)數(shù)據(jù)高速轉(zhuǎn)發(fā)的同時(shí)，將負(fù)責(zé)內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)中心數(shù)據(jù)服務(wù)器的接入及各分部門接入交換機(jī)的接入?yún)R聚。該部份接入我們可充分利用核心交換機(jī)上足夠的業(yè)務(wù)插槽，通過增加千兆以太網(wǎng)電接口(RJ45)業(yè)務(wù)板為數(shù)據(jù)中心服務(wù)器供應(yīng)充裕的網(wǎng)絡(luò)接口和網(wǎng)絡(luò)帶寬，增加千兆/百兆以太網(wǎng)光接口業(yè)務(wù)模塊(SC)-(SFP,LC)為各分部門交換機(jī)供應(yīng)千兆光纖上連接口，實(shí)現(xiàn)骨干網(wǎng)絡(luò)的千兆接入，保證穩(wěn)定、牢靠的連接。接入層設(shè)計(jì)接入層向本地網(wǎng)段供應(yīng)工作站接入。在接入層中，接受支持三層交換技術(shù)和VLAN的交換機(jī)，以達(dá)到網(wǎng)絡(luò)隔離和分段的目的，并能夠向工作組供應(yīng)高速帶寬。接受VLAN(虛擬局域網(wǎng))技術(shù)，為每個(gè)接入部門劃分一個(gè)單獨(dú)的VLAN，接入單位作為一個(gè)獨(dú)立的VLAN接入網(wǎng)絡(luò)平臺(tái)。通過VLAN技術(shù)把不同的單位之間的業(yè)務(wù)流量相隔離開，避開引起廣播風(fēng)暴等平安問題的出現(xiàn)。鏈路設(shè)計(jì)1、終端信息點(diǎn)的接入接受規(guī)范化綜合布線布暑，詳細(xì)綜合布線以部門為單位進(jìn)行規(guī)劃設(shè)計(jì)。綜合布線系統(tǒng)規(guī)劃要求及各模塊功能如下：管理區(qū)子系統(tǒng)管理子系統(tǒng)主要功能是實(shí)現(xiàn)配線管理及網(wǎng)絡(luò)的互連，管理點(diǎn)為連接其它子系統(tǒng)供應(yīng)連接手段。支配線間是各管理子系統(tǒng)的安裝場(chǎng)所，配線間用于安裝配線架和安裝計(jì)算機(jī)網(wǎng)絡(luò)通訊設(shè)備，通過綜合布線將各樓層電腦配線全部集中到該配線間機(jī)柜內(nèi)端接，通過機(jī)柜內(nèi)的跳線同網(wǎng)絡(luò)設(shè)備相連。水平區(qū)子系統(tǒng)水平區(qū)子系統(tǒng)主要功能是實(shí)現(xiàn)各辦公室信息插座和管理子系統(tǒng)（中間配線架ＩＤＦ）間的連接。依據(jù)項(xiàng)目的水平區(qū)子系統(tǒng)的數(shù)據(jù)傳輸要求及將來擴(kuò)展的要求，設(shè)備間和各辦公室之間的高速數(shù)據(jù)傳輸要用超五類非屏蔽雙絞線（UTP）電纜，依據(jù)水平布線距離應(yīng)不超過90M，信息孔到終端設(shè)備連接不超過10M的原則，各層信息點(diǎn)雙絞線從下一層橋架鋪設(shè)，并通過預(yù)留管道延長(zhǎng)至工作工區(qū)，另一端延長(zhǎng)至相應(yīng)配線架（IDF），配線間內(nèi)按線端子和信息模塊之間為點(diǎn)到點(diǎn)端接。工作區(qū)子系統(tǒng)信息出口的數(shù)量及位置按詳細(xì)狀況進(jìn)行設(shè)計(jì)。信息插座ＲＪ４５接受高品質(zhì)的信息模塊。辦公室內(nèi)可實(shí)行走明線的方式，改造線纜沿墻裙走線，盡量不破壞裝修格局，信息插座安裝于墻上；暗裝底盒安裝信息模塊及RJ45面板，信息插座的低邊沿線距板水平面30cm。2、各部門接入交換機(jī)到網(wǎng)絡(luò)核心交換機(jī)接受光纖連接，在各部門配線間安裝接入交換機(jī)，依據(jù)接入終端信息點(diǎn)數(shù)量，支配確定數(shù)量的接入交換機(jī)，各交換機(jī)通過級(jí)連口互聯(lián)，主接入交換機(jī)安裝光纖GBIC模塊，通過光纖接口向上接入核心交換機(jī)，實(shí)現(xiàn)千兆主干鏈路連入。VLAN、IP地址和路由規(guī)劃VLAN規(guī)劃IP/VLAN規(guī)劃是企業(yè)網(wǎng)設(shè)計(jì)實(shí)現(xiàn)的一項(xiàng)重要內(nèi)容，不合理的規(guī)劃會(huì)干脆影響日后的管理維護(hù)。所謂IP/VLAN規(guī)劃，就是為接入企業(yè)網(wǎng)的全部設(shè)備，包括交換機(jī)、路由器、防火墻、服務(wù)器、客戶機(jī)、打印服務(wù)器等，支配一個(gè)唯一的IP地址，并為其指定適當(dāng)?shù)腣LAN?？紤]到日后的擴(kuò)展、維護(hù)等問題，企業(yè)網(wǎng)的IP/VLAN規(guī)劃不僅應(yīng)符合網(wǎng)絡(luò)設(shè)計(jì)規(guī)范，還要有規(guī)律、易記憶，能反映園區(qū)網(wǎng)的特點(diǎn)?；诒憷S護(hù)、管理和統(tǒng)一規(guī)劃的原則，企業(yè)網(wǎng)建設(shè)中接受每用戶(以每個(gè)接入分部門為單位)支配一個(gè)VLAN，服務(wù)器區(qū)域單獨(dú)占據(jù)一個(gè)VLAN設(shè)計(jì)。做到統(tǒng)一規(guī)劃、統(tǒng)一命名、統(tǒng)一部署。通過接受VLAN技術(shù)很好地對(duì)不同用戶的流量進(jìn)行了劃分和隔離，并且通過VLAN間訪問限制列表起到了相當(dāng)大的平安訪問作用。IP地址支配詳細(xì)的IP地址支配為：網(wǎng)絡(luò)設(shè)備（核心交換機(jī)、接入交換機(jī)、防火墻等）的設(shè)備互聯(lián)地址：互聯(lián)設(shè)備之間屬于點(diǎn)對(duì)點(diǎn)連接，接受30位子網(wǎng)掩碼的IP段支配兩個(gè)可用地址即可，并單獨(dú)支配一個(gè)VLAN網(wǎng)絡(luò)設(shè)備管理地址：劃分一個(gè)管理VLAN，并支配一段地址，為每臺(tái)設(shè)備支配一個(gè)IP地址，通過設(shè)備環(huán)回接口等進(jìn)行管理或遠(yuǎn)程連接維護(hù)。服務(wù)器區(qū)域地址：劃分單獨(dú)VLAN，依據(jù)服務(wù)器數(shù)量支配一段子網(wǎng)。接入終端地址：以部門為單位，劃分單獨(dú)VLAN，依據(jù)終端數(shù)量支配一段子網(wǎng)。路由規(guī)劃1、路由分區(qū)的規(guī)劃在網(wǎng)絡(luò)結(jié)構(gòu)規(guī)劃中，都應(yīng)依據(jù)路由器數(shù)量，網(wǎng)絡(luò)的基本拓?fù)?，路由器的?fù)載等來合理規(guī)劃路由區(qū)域,先擇合理的路由協(xié)議。OSPF作為國(guó)際公開的標(biāo)準(zhǔn)協(xié)議，作為目前全球網(wǎng)絡(luò)運(yùn)用最廣，最穩(wěn)定的IGP路由協(xié)議。接受OSPF協(xié)議的網(wǎng)絡(luò)核心其路由性能更具穩(wěn)定性、可擴(kuò)展性、可管理性和平安性。接受OSPF協(xié)議網(wǎng)絡(luò)的設(shè)計(jì)，建設(shè)中將核心設(shè)計(jì)為骨干路由區(qū)域，即AREA0,負(fù)責(zé)高速，穩(wěn)定的轉(zhuǎn)發(fā)數(shù)據(jù)包。對(duì)于各個(gè)匯接區(qū)，經(jīng)過合理規(guī)劃，將每個(gè)匯接區(qū)設(shè)計(jì)為一個(gè)單獨(dú)路由區(qū)域。匯接層路由器設(shè)計(jì)成區(qū)域邊界路由器。各個(gè)匯接區(qū)域內(nèi)接入路由器設(shè)計(jì)成域內(nèi)路由器，也運(yùn)行OSPF協(xié)議。2、IP地址規(guī)劃和路由匯總的應(yīng)用對(duì)于每個(gè)匯接區(qū)域內(nèi)的OSPF區(qū)域來說，由于邊界路由器負(fù)責(zé)向骨干區(qū)域內(nèi)注入?yún)^(qū)域內(nèi)的路由，許多路由將會(huì)是特殊零散的小路由，這樣，簡(jiǎn)潔造成AREA0內(nèi)的路由器路由表項(xiàng)過大，使路由器資源耗費(fèi)過大，路由收斂時(shí)間增大，影響網(wǎng)絡(luò)的穩(wěn)定性和健壯性。因此，解決這個(gè)問題的最好方法是在邊界路由器上做匯接區(qū)域內(nèi)的路由匯總。使注入到零域內(nèi)的路由是一個(gè)個(gè)較整齊的匯總路由，大大削減了路由表數(shù)目。這就要求進(jìn)行網(wǎng)絡(luò)規(guī)劃時(shí)，合理規(guī)劃IP地址，為每個(gè)匯接區(qū)域支配連續(xù)的，大段的IP地址，這樣將更好利用OSPF的特性，使網(wǎng)絡(luò)的路由規(guī)劃更合理，使網(wǎng)絡(luò)更健壯。接入互聯(lián)網(wǎng)內(nèi)部網(wǎng)絡(luò)到國(guó)際互聯(lián)網(wǎng)的連接可跟據(jù)網(wǎng)絡(luò)帶寬需求，通過向網(wǎng)絡(luò)運(yùn)營(yíng)商并申請(qǐng)合法公網(wǎng)ＩＰ地址，租用10M或100M專線，實(shí)現(xiàn)到互聯(lián)網(wǎng)的連接，運(yùn)營(yíng)商線路接受協(xié)議轉(zhuǎn)換器供應(yīng)百兆R(shí)J45接口。內(nèi)部網(wǎng)絡(luò)到互聯(lián)網(wǎng)的連接接受百兆或千兆防火墻進(jìn)行平安網(wǎng)絡(luò)隔離，防火墻選型需依據(jù)內(nèi)部網(wǎng)絡(luò)規(guī)模、數(shù)據(jù)訪問量、帶寬需求、網(wǎng)絡(luò)連接數(shù)選擇百兆或千兆防火墻。防火墻劃分信任域、非信任域及DMZ區(qū)。供應(yīng)百兆ETHERＮＥＴ接口，非信任域做為網(wǎng)絡(luò)出口和網(wǎng)絡(luò)運(yùn)營(yíng)商線路對(duì)接。信任域連接網(wǎng)內(nèi)網(wǎng)絡(luò)核心交交換機(jī)電口模塊，接受ＮＡＴ方式，實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)訪問互聯(lián)網(wǎng)。服務(wù)器接入方式：服務(wù)器群為數(shù)據(jù)服務(wù)中心依據(jù)應(yīng)用接受兩種接入方式：供應(yīng)對(duì)外服務(wù)的服務(wù)器接入：WWW、E-mail、FTP、DNS等服務(wù)器置于防火墻DMZ區(qū)，通過布暑防火墻平安策略愛惜服務(wù)器數(shù)據(jù)平安，可依據(jù)服務(wù)器數(shù)量增加交換機(jī)擴(kuò)展接入端口。內(nèi)部服務(wù)器接入：辦公自動(dòng)化系統(tǒng)、視頻、語音、多媒體通信、視頻會(huì)議系統(tǒng)等業(yè)務(wù)系統(tǒng)服務(wù)器通過千兆網(wǎng)卡，連接核心交換機(jī)配置的千兆電口模塊，干脆接入網(wǎng)絡(luò)核心,通過核心交換機(jī)實(shí)現(xiàn)數(shù)據(jù)高速轉(zhuǎn)發(fā)。各種業(yè)務(wù)系統(tǒng)可依據(jù)業(yè)務(wù)負(fù)載狀況，接受雙機(jī)及網(wǎng)絡(luò)備份方式，確保業(yè)務(wù)系統(tǒng)的高速穩(wěn)定運(yùn)行，雙機(jī)互備軟件：lifekeeper，網(wǎng)絡(luò)備份軟件：veritasnetbackup。網(wǎng)絡(luò)平安機(jī)制為保障網(wǎng)絡(luò)平安、高效、牢靠的運(yùn)行，確保信息的機(jī)密性、完整性、可用性，避開各種潛在的威逼?？赏ㄟ^防火墻建立綜合防范機(jī)制，定制平安防護(hù)的平安策略，構(gòu)造多層防護(hù)措施。實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)部信息的屏蔽和愛惜。從物理、網(wǎng)絡(luò)、系統(tǒng)、信息和管理等方面保證整體平安；愛惜數(shù)據(jù)中心以及互聯(lián)網(wǎng)出口的平安問題，防火墻是指設(shè)置在不同網(wǎng)絡(luò)或同一網(wǎng)絡(luò)不同平安域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)平安域之間信息的唯一出入口，能依據(jù)企業(yè)組織的平安政策限制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊實(shí)力。它是供應(yīng)信息平安服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息平安的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個(gè)分別器，一個(gè)限制器，也是一個(gè)分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的平安。防火墻是網(wǎng)絡(luò)平安的屏障，可以強(qiáng)化網(wǎng)絡(luò)平安策略，對(duì)網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計(jì)。通過部署防火墻，可以解決以下問題：1、對(duì)進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流進(jìn)行限制，阻擋惡意數(shù)據(jù)包進(jìn)入網(wǎng)絡(luò)。2、對(duì)訪問行為進(jìn)行審計(jì)，供管理人員進(jìn)行分析。3、防止未授權(quán)的惡意訪問。4、對(duì)外封掉某些擔(dān)憂全的服務(wù)，避開被黑客利用。防火墻的特點(diǎn)：靈敏組網(wǎng)，可按需擴(kuò)展具有強(qiáng)大的處理實(shí)力豐富路由協(xié)議，實(shí)現(xiàn)平安和網(wǎng)絡(luò)融合支持P2P流量檢測(cè)和應(yīng)用層過濾全面阻擋惡意攻擊Dos/DDos攻擊、ARP欺瞞攻擊、ICMP報(bào)文攻擊、Java、ActivexBloking、SQL注入攻擊等，能夠?qū)崿F(xiàn)郵件、網(wǎng)頁過濾支持多種VPN接入方式能夠抗拒包括Land、Smurf、Fraggle、WinNuke、PingofDeath、TearDrop、IPSpoofing、ARPSpoofing、ARPFlooding、地址掃描、端口掃描等攻擊方式在內(nèi)的攻擊,實(shí)現(xiàn)3-7層平安防護(hù)。供應(yīng)Bypass功能，在防火墻失效時(shí)，全部數(shù)據(jù)可以干脆轉(zhuǎn)發(fā)不經(jīng)過防火墻，避開業(yè)務(wù)中斷；供應(yīng)郵件告警、攻擊日志、流日志和網(wǎng)絡(luò)管理監(jiān)控等功能。終端主機(jī)防護(hù)設(shè)計(jì)為避開內(nèi)部網(wǎng)絡(luò)因受病毒侵?jǐn)_，而影響網(wǎng)絡(luò)正常運(yùn)行，確保構(gòu)建于網(wǎng)絡(luò)上的業(yè)務(wù)的有效運(yùn)行，必需建立一套完整的網(wǎng)絡(luò)病毒防護(hù)系統(tǒng)。詳細(xì)目標(biāo)如下：在服務(wù)器上部署服務(wù)器防毒系統(tǒng)，確保服務(wù)器系統(tǒng)的高牢靠