網(wǎng)絡(luò)項目設(shè)計解決方案模板

安博實訓(xùn)平臺安博教育集團第14頁共3頁安博實訓(xùn)平臺資源網(wǎng)絡(luò)工程路由交換方向XX項目技術(shù)建議書安博教育集團2010年4月第一章網(wǎng)絡(luò)總體設(shè)計1.1網(wǎng)絡(luò)總體拓撲1.2網(wǎng)絡(luò)層次化設(shè)計對網(wǎng)絡(luò)進行層次化設(shè)計，既保證了網(wǎng)絡(luò)的安全，方便人們更好的地去管理網(wǎng)絡(luò)，也使得對網(wǎng)絡(luò)故障查找和排除的工作變得非常簡單。多層設(shè)計是模塊化的，網(wǎng)絡(luò)容量可隨著日后網(wǎng)絡(luò)節(jié)點的增加而不斷增大。多層網(wǎng)絡(luò)有很大的確定性，多層網(wǎng)絡(luò)系統(tǒng)設(shè)計最有效利用多種第三層業(yè)務(wù)，包括分段，負載分擔和故障恢復(fù)等。在分層網(wǎng)絡(luò)中運用智能第三層業(yè)務(wù)可以大大減少因配置不當或故障設(shè)備引起的一般問題。針對實際情況我們可以采用三層結(jié)構(gòu)模型。三層結(jié)構(gòu)模型劃分為三個層次，即核心層，分布層，接入層。每個層次完成不同的功能。核心層：核心層作為整個網(wǎng)絡(luò)的系統(tǒng)的核心，其主要功能是高速，可靠的進行數(shù)據(jù)交換。分布層：分布層主要進行接入層的數(shù)據(jù)流量匯聚，并對數(shù)據(jù)流量進行訪問控制。包括訪問控制列表，vlan路由等等。接入層：接入層主要提供最終用戶接入網(wǎng)絡(luò)的途徑。主要是進行vlan的劃分與分布層的連接等等。1.3核心層設(shè)計核心交換區(qū)的作用是盡快的提供所有的區(qū)域間的數(shù)據(jù)交換。在核心層我們采用兩臺CISCO2811-HSEC/K9系列路由器(單價1.64萬)，CISCO2811-HSEC/K9系列路由器"集成化安全解決方案采用了PIX、IDS傳感器和VPN集中器技術(shù)，將強大的CiscoIOS功能和業(yè)界領(lǐng)先的LAN/WAN連接與世界一流的安全功能匯集于一身?！袄矛F(xiàn)有設(shè)施”--利用現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)設(shè)施，在路由器上通過CiscoIOS支持全新安全特性，無需部署額外的硬件“在最需要的地方部署安全特性”--為在網(wǎng)絡(luò)任意地點采用防火墻、IPS和VPN等安全功能提供了靈活性,從而最大限度地發(fā)揮了安全優(yōu)勢“保護您的網(wǎng)關(guān)”--在網(wǎng)絡(luò)所有的入點部署最佳安全功能“節(jié)省時間和資金”--減少了設(shè)備數(shù)量，降低了培訓(xùn)和管理成本“保護您的基礎(chǔ)設(shè)施”--保護了路由器，可以防御直接針對網(wǎng)絡(luò)基礎(chǔ)設(shè)施的攻擊1.4會聚層設(shè)計在會聚層我們采用兩臺CISCOWS-C3750G-12S-S系列交換機（單價2.66萬），ISCOWS-C3750G-12S-S系列交換機是一個創(chuàng)新的產(chǎn)品系列，它結(jié)合業(yè)界領(lǐng)先的易用性和最高的冗余性，里程碑地提升了堆疊式交換機在局域網(wǎng)中的工作效率。這個產(chǎn)品系列采用了最新的思科StackWise智能堆疊技術(shù)，不但實現(xiàn)高達32Gbps的堆疊互聯(lián)，還從物理上到邏輯上使若干獨立交換機在堆疊時集成在一起，便于用戶建立一個統(tǒng)一、高度靈活的交換系統(tǒng)--就好像是一整臺交換機一樣。這代表了堆疊式交換機新的工業(yè)技術(shù)水平和標準。

3750系列最多可以將9個交換機堆疊在一起，構(gòu)成一個統(tǒng)一的邏輯單元，其中總共包含468個以太網(wǎng)10/100端口或者252個以太網(wǎng)10/100/1000端口。各個10/100和10/100/1000單元可以根據(jù)網(wǎng)絡(luò)的需要任意組合。

3750系列可以使用標準多層軟件鏡像（SMI）或者增強多層軟件鏡像（EMI）。SMI功能集包括先進的服務(wù)質(zhì)量（QoS）、速率限制、訪問控制列表（ACL）和基本的靜態(tài)和路由信息協(xié)議（RIP）路由功能。EMI可以提供一組更加豐富的企業(yè)級功能，包括先進的、基于硬件的IP單播和組播路由。1.5接入層設(shè)計在接入層我們采用3臺CISCOWS-C2960-24TC-L系列交換機（單價5800元）和3臺CISCOWS-C2960-48TT-L系列交換機（單價7600元）。CISCOWS-C2960-24TC-L系列交換機為多達24個端口提供完全15.4瓦功率的PoE配置在網(wǎng)絡(luò)邊緣提供高級訪問控制列表(ACL)和增強安全性等智能化特性支持千兆以太網(wǎng)上行鏈路靈活性的兩用上行鏈路，允許使用銅纜或光纖上行鏈路；其中每個兩用上行端口分別擁有一個10/100/1000以太網(wǎng)端口和一個基于小形可插拔(SFP)的千兆以太網(wǎng)端口，每次有一個端口處于激活狀態(tài)采用高級QoS、速率限制、ACL和組播服務(wù)，提供網(wǎng)絡(luò)控制和帶寬優(yōu)化根據(jù)用戶、端口和MAC地址，并通過多種不同的身份驗證方法、數(shù)據(jù)加密技術(shù)和NAC，提供網(wǎng)絡(luò)安全性采用CiscoNetworkAssistant軟件，輕松進行網(wǎng)絡(luò)配置、升級和故障排除采用Smartports對專業(yè)應(yīng)用進行自動配置1.6內(nèi)聯(lián)接入內(nèi)聯(lián)接入的作用是用于連接總部公司與分公司或者公司內(nèi)部其他部門，我們推薦使用一臺cisco2800系列路由器通過SDH/DDN線路完成此項功能。由于北京總部辦公網(wǎng)絡(luò)和分公司機房屬于ambow公司的內(nèi)部網(wǎng)絡(luò)的一部分，因此可信度很高，接入時主要作用是管理和監(jiān)控，不涉及交易。總結(jié)以上的原因，內(nèi)聯(lián)路由器與核心交換網(wǎng)絡(luò)間不需要配置額外的防火墻。第二章路由設(shè)計2.1路由協(xié)議選擇對于路由協(xié)議，目前較好的動態(tài)路由協(xié)議時ospf協(xié)議和EIGRP協(xié)議，但是EIGRP協(xié)議屬于cisco私有協(xié)議，其它廠商設(shè)備不支持，考慮到ambow公司網(wǎng)絡(luò)的擴展性，公開性，投資的保護等原因，我們設(shè)計采用ospf路由協(xié)議和靜態(tài)路由相結(jié)合的路由方式。OSPF協(xié)議中，首先每個路由發(fā)送HOLLO包，與其它路由器建立鄰居關(guān)系。然后每臺路由器進行LSA泛洪，并獲得相同版本的LSA形成形同的LSDB（鏈路狀態(tài)數(shù)據(jù)庫）。最后以自己為跟通過SPF算法計算出到達每一個目的地的最優(yōu)路徑，然后添加到路由表。2.2路由規(guī)劃拓撲圖Area02.2IP地址規(guī)劃IP地址的規(guī)劃在網(wǎng)絡(luò)設(shè)計中的作用舉足輕重，直接影響整個網(wǎng)絡(luò)運行的效果，IP地址的設(shè)計的總原則是簡單，易管理，易擴展。IP地址是TCP/IP協(xié)議族中的網(wǎng)絡(luò)層邏輯地址，它被用來唯一地標識網(wǎng)絡(luò)中的一個節(jié)點，IP地址空間的分配，要與網(wǎng)絡(luò)層次結(jié)構(gòu)相適應(yīng)，既要有效地利用地址空間，又要體現(xiàn)出網(wǎng)絡(luò)的可擴展性和靈活性，同時能滿足路由協(xié)議的要求，提高路由算法的效率，加快路由變化的收斂速度。我們根據(jù)以下幾個原則來分配IP地址：、唯一性：一個IP網(wǎng)絡(luò)中不能有兩個主機采用相同的IP地址簡單性：地址分配應(yīng)簡單易于管理，降低網(wǎng)絡(luò)擴展的復(fù)雜性，簡化路由表的款項連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)中易于進行路由總結(jié)，大大縮減路由表，提高路由算法的效率可擴展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴展時能保證地址總結(jié)所需的連續(xù)性。靈活性：地址分配應(yīng)具有靈活性，可借助可變長子網(wǎng)掩碼技術(shù)，以滿足多種路由策略的優(yōu)化，充分利用地址空間。地址規(guī)劃：總部分部網(wǎng)段211.x.x.x192.168.x.x子網(wǎng)掩碼子網(wǎng)網(wǎng)段部門部門保留設(shè)備互聯(lián)/30-/30技術(shù)專用/32—/32第三章網(wǎng)絡(luò)安全解決方案3.1網(wǎng)絡(luò)邊界安全威脅分析網(wǎng)絡(luò)的邊界隔離者不同功能或地域的多個網(wǎng)絡(luò)區(qū)域，由于職責和功能不同，相連網(wǎng)絡(luò)的密級也不同。這樣的網(wǎng)絡(luò)直接相連，必然存在著安全風險，我們對ambow總部網(wǎng)絡(luò)邊界問題做脆弱性和風險的分析。Ambow總部網(wǎng)絡(luò)主要=存在的邊界安全風險包括：Ambow總部網(wǎng)絡(luò)與各級單位的連接，可能遭到來自各地的越權(quán)訪問，惡意攻擊和計算機病毒的入侵：例如一個不滿的內(nèi)部用戶，利用盜版軟件或從Internet下載的黑客程序惡意攻擊內(nèi)部站點，致使網(wǎng)絡(luò)局部或整體癱瘓。內(nèi)部的各個功能網(wǎng)絡(luò)通過骨干交換相互連接，這樣的話，重要的部門或者專網(wǎng)遭到來自其他部門的越權(quán)訪問。這些越權(quán)訪問可能包括惡意的攻擊，誤操作等等，但是它們的后果都將導(dǎo)致重要信息的泄露或者是網(wǎng)絡(luò)的癱瘓。3.2網(wǎng)絡(luò)內(nèi)部安全威脅分析Ambow總部網(wǎng)絡(luò)的風險分析主要針對ambow的整個內(nèi)網(wǎng)的安全風險，主要表現(xiàn)為以下幾個方面：內(nèi)部用戶的非授權(quán)訪問：ambow內(nèi)部的資源也不是對任何的員工都開放的，也需要有相應(yīng)的訪問權(quán)限。內(nèi)部用戶的非授權(quán)的訪問，更容易造成資源和重要信息的泄露。內(nèi)部用戶的誤操作:由于內(nèi)部用戶的計算機造成的水平參差不齊，對于應(yīng)用軟件的理解也各不相同，如果一部分軟件沒有相應(yīng)的對誤操作的防范措施，極容易給服務(wù)系統(tǒng)和其他主機造成危害。內(nèi)部用戶的惡意攻擊：就網(wǎng)絡(luò)安全來說，據(jù)統(tǒng)計約有70%左右的攻擊來自內(nèi)部用戶，相比外部攻擊來說，內(nèi)部用戶具有更得天獨厚的優(yōu)勢，因此，對內(nèi)部用戶攻擊的防范也很重要。設(shè)備的自身安全性也會直接關(guān)系到ambow網(wǎng)絡(luò)系統(tǒng)和各種網(wǎng)絡(luò)應(yīng)用的正常運行。例如：路由設(shè)備存在路由信息泄露，交換機和路由器設(shè)備配置風險等。重要服務(wù)器或操作系統(tǒng)自身存在安全的漏洞，如果管理員沒有及時發(fā)現(xiàn)并且進行修復(fù)，將會為網(wǎng)絡(luò)的安全帶來很多不安定的因素。重要服務(wù)器的當機或者重要數(shù)據(jù)的丟失，都將會造成ambow公司內(nèi)部的業(yè)務(wù)無法正常運行。安全管理的困難，對于眾多的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)安全設(shè)備，安全策略的配置和安全事件管理的難度很大。3.3安全產(chǎn)品選型原則Ambow網(wǎng)絡(luò)屬于一個行業(yè)的專用網(wǎng)絡(luò)，因此在安全產(chǎn)品的選型上，必須慎重，選型的原則包括：安全保密產(chǎn)品的接入應(yīng)不明顯影響系統(tǒng)運行效率，并且滿足工作要求，不影響正常的業(yè)務(wù)。安全保密產(chǎn)品必須滿足上面提出的安全需求，保證整個ambow網(wǎng)絡(luò)的安全性。安全保密產(chǎn)品必須通過國家主管部門指定的測評機構(gòu)的檢測；安全保密產(chǎn)品必須具備自我保護能力；安全保密產(chǎn)品必須符合國家和國際上的相關(guān)標準；安全產(chǎn)品必須操作簡單易用，便于簡單部署和集中管理。3.4網(wǎng)絡(luò)常用技術(shù)介紹Vlan技術(shù)（VirtuallocalAreaNetwork）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的新興技術(shù)。IEEE于1999年頒布了用標準化Vlan實現(xiàn)方案的802.1Q協(xié)議標準草案。VLAN技術(shù)允許網(wǎng)絡(luò)管理者將一個物理地LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個VLAN都包括一組有著相同需求的計算機工作站，與物理上形成的LAN有著相同的屬性。但由于它是邏輯地而不是物理地劃分，所以同一個VLAN內(nèi)的各個工作站無須被放置在同一個物理空間里，即這些工作站不一定屬于同一個物理LAN網(wǎng)段。一個VLAN內(nèi)部的廣播域個單播流量都不會轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量，減少設(shè)備投資，簡化網(wǎng)絡(luò)管理，提高網(wǎng)絡(luò)的安全性。Trunk技術(shù)一般的交換機端口只能屬于一個VLAN，對于對個VLAN需要跨過多臺交換機，就需要用到Trunk技術(shù)。Trunk是指交換機之間或交換機與路由器之間VLAN之間的連接，VLAN信息通過Trunk在交換機之間或路由器之間傳遞，從而可以將VLAN跨越整個網(wǎng)絡(luò)，而不僅僅是局限在一臺交換機上。Cisco支持802.1Q，ISL技術(shù)得到了Inrel等廠商的大力支持，TagSwitching被3Com及LucentCajun支持。對于CISCO交換機的Trunk端口，既可以指定它的封裝協(xié)議為802.1Q或TSL，也可以通過DTP協(xié)議自動協(xié)商。DTP協(xié)議主要用于處理Trunk端口的802.1Q和ISL封裝協(xié)議的自動協(xié)商，對于不同廠家的交換機互連時很有幫助。對Trunk的定義只能在快速以太網(wǎng)端口和千兆以太端口上進行，它既可以是單個的快速以太端口或千兆以太網(wǎng)端口，也可以是快速以太網(wǎng)通道（FEC）或千兆以太網(wǎng)通道（GEC）。雖然我們采用的是思科交換機，但是最為一個標準，開放。先進的網(wǎng)絡(luò)系統(tǒng)，我們推薦的是用IEEE802.1Q標準協(xié)議。Spanning-Tree協(xié)議在局域網(wǎng)中是不允許出現(xiàn)環(huán)路的，而為了實現(xiàn)冗余和負載的均衡，通常會有多條鏈路的鏈接，這樣就會引入環(huán)路。為了解決這個矛盾，推出了STP協(xié)議。STP算發(fā)會將網(wǎng)絡(luò)網(wǎng)絡(luò)中的連接生成一個樹，通過特定的算法自動將優(yōu)先權(quán)高的鏈路激活，將優(yōu)先權(quán)低的鏈路阻塞，保證在網(wǎng)絡(luò)中任何時候都不會出現(xiàn)環(huán)路。如果網(wǎng)絡(luò)的連接狀況發(fā)生了變化，STP算法會造成網(wǎng)絡(luò)的暫時的不穩(wěn)定狀態(tài)，該轉(zhuǎn)換時間在30秒之內(nèi)，亦即在30秒之內(nèi)會重新恢復(fù)到穩(wěn)定狀態(tài)。STP對于終端是透明的，終端感覺不到STP的操作過程。在交換機上可以通過修改端口的優(yōu)先級來改變連接的優(yōu)先權(quán)，使得STP算法將高優(yōu)先權(quán)的連接作為活動的連接。Cisco交換機的一個非常有用的特征就是可以對每個VLAN設(shè)置Spanning-tree，而不是對整個網(wǎng)絡(luò)只能屬于一個Spanning-tree。這個特征是很多廠商的設(shè)備所不具有的。在交換機上對端口的優(yōu)先權(quán)的設(shè)置可以基于VLAN進行，每個端口對于不同的VLAN設(shè)置不同的優(yōu)先權(quán)。對于指定的VLAN，具有該VLAN最高優(yōu)先權(quán)的端口轉(zhuǎn)發(fā)該VLAN的信息，其它VLAN的信息阻塞。通過這種方法，在具有冗余連接的交換機端口上分別針對不同的VLAN設(shè)置不同的優(yōu)先權(quán)，既可以實現(xiàn)鏈路的冗余，又可以實現(xiàn)負載的均衡。Cisco交換機端口支持每VLAN的生成樹協(xié)議，每個端口都可設(shè)置基于VLAN的cost或priority參數(shù)，從而實現(xiàn)在多條路徑上的負載均衡能力。目前多數(shù)廠商都支持STP協(xié)議，但是不允許多個STP域。采用多個STP域顯然可以獲得比單個域高的網(wǎng)絡(luò)可靠性。第四章產(chǎn)品簡介CISCO2811-HSEC/K9路由器CISCO2811-HSEC/K9系列路由器"集成化安全解決方案采用了PIX、IDS傳感器和VPN集中器技術(shù)，將強大的CiscoIOS功能和業(yè)界領(lǐng)先的LAN/WAN連接與世界一流的安全功能匯集于一身?！袄矛F(xiàn)有設(shè)施”--利用現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)設(shè)施，在路由器上通過CiscoIOS支持全新安全特性，無需部署額外的硬件“在最需要的地方部署安全特性”--為在網(wǎng)絡(luò)任意地點采用防火墻、IPS和VPN等安全功能提供了靈活性,從而最大限度地發(fā)揮了安全優(yōu)勢“保護您的網(wǎng)關(guān)”--在網(wǎng)絡(luò)所有的入點部署最佳安全功能“節(jié)省時間和資金”--減少了設(shè)備數(shù)量，降低了培訓(xùn)和管理成本“保護您的基礎(chǔ)設(shè)施”--保護了路由器，可以防御直接針對網(wǎng)絡(luò)基礎(chǔ)設(shè)施的攻擊CISCOWS-C3750G-12S-S交換機ISCOWS-C3750G-12S-S系列交換機是一個創(chuàng)新的產(chǎn)品系列，它結(jié)合業(yè)界領(lǐng)先的易用性和最高的冗余性，里程碑地提升了堆疊式交換機在局域網(wǎng)中的工作效率。這個產(chǎn)品系列采用了最新的思科StackWise智能堆疊技術(shù)，不但實現(xiàn)高達32Gbps的堆疊互聯(lián)，還從物理上到邏輯上使若干獨立交換機在堆疊時集成在一起，便于用戶建立一個統(tǒng)一、高度靈活的交換系統(tǒng)--就好像是一整臺交換機一樣。這代表了堆疊式交換機新的工業(yè)技術(shù)水平和標準。

3750系列最多可以將9個交換機堆疊在一起，構(gòu)成一個統(tǒng)一的邏輯單元，其中總共包含468個以太網(wǎng)10/100端口或者252個以太網(wǎng)10/100/1000端口。各個10/100和10/100/1000單元可以根據(jù)網(wǎng)絡(luò)的需要任意組合。

3750系列可以使用標準多層軟件鏡像（SMI）或者增強多層軟件鏡像（EMI）。SMI功能集包括先進的服務(wù)質(zhì)量（QoS）、速率限制、訪問控制列表（ACL）和基本的靜態(tài)和路由信息協(xié)議（RIP）路由功能。EMI可以提供一組更加豐富的企業(yè)級功能，包括先進的、基于硬件的IP單播和組播路由。CISCOWS-C2960-24TC-L交換機WS-C2960-24TC-L系列交換機為多達24個端口提供完全15.4瓦功率的PoE配置在網(wǎng)絡(luò)邊緣提供高級訪問控制列表(ACL)和增強安全性等智能化特性支持千兆以太網(wǎng)上行鏈路靈活性的兩用上行鏈路，允許使用銅纜或光纖上行鏈路；其中每個兩用上行端口分別擁有一個10/100/1000以太網(wǎng)端口和一個基于小形可插拔(SFP)的千兆以太網(wǎng)端口，每次有一個端口處于激活狀態(tài)采用高級QoS、速率限制、ACL和組播服務(wù)，提供網(wǎng)絡(luò)控制和帶寬優(yōu)化根據(jù)用戶、端口和MAC地址，并通過多種不同的身份驗證方法、數(shù)據(jù)加密技術(shù)和NAC，提供網(wǎng)絡(luò)安全性采用CiscoNetworkAssistant軟件，輕松進行網(wǎng)絡(luò)配置、升級和故障排除采用Smartports對專業(yè)應(yīng)用進行自動配置CISCOWS-C2960-48TT-L交換機

CiscoCatalyst2960系列交換機資料產(chǎn)品概述Cisco?Catalyst?2960系列智能以太網(wǎng)交換機是一個全新的、固定配置的獨立設(shè)備系列，提供桌面快速以太網(wǎng)和千兆以太網(wǎng)連接，可為入門級企業(yè)、中型市場和分支機構(gòu)網(wǎng)絡(luò)提供增強LAN服務(wù)。Catalyst2960系列具有集成安全特性，包括網(wǎng)絡(luò)準入控制(NAC)、高級服務(wù)質(zhì)量(QoS)和永續(xù)性，可為網(wǎng)絡(luò)邊緣提供智能服務(wù)。

CiscoCatalyst2960系列提供：

為網(wǎng)絡(luò)邊緣提供了智能特性，如先進的訪問控制列表(ACL)和增強安全特性雙介質(zhì)上行鏈路端口提供了千兆以太網(wǎng)上行鏈路靈活性，可以使用銅纜或光纖上行鏈路端口—每個介質(zhì)上行鏈路端口都有一個10/100/1000以太網(wǎng)端口和一個小型可插拔(SFP)千兆以太網(wǎng)端口，在使用時其中一個端口激活，但不能同時使用這兩個端口通過高級QoS、精確速率限制、ACL和組播服務(wù)，實現(xiàn)了網(wǎng)絡(luò)控制和帶寬優(yōu)化通過多種驗證方法、數(shù)據(jù)加密技術(shù)和基于用戶、端口和MAC地址的網(wǎng)絡(luò)準入控制，實現(xiàn)了網(wǎng)絡(luò)安全性通過思科網(wǎng)絡(luò)助理，簡化了網(wǎng)絡(luò)配置、升級和故障診斷使用Smartports自動配置特定應(yīng)用CiscoCatalyst2960系列軟件鏡像提供了一系列豐富的智能服務(wù)，包括高級QoS、速率限制和ACL。SFP千兆以太網(wǎng)端口可安裝多種SFP收發(fā)器，包括Cisco1000BASE-SX、1000BASE-LX、1000BASE-BX、1000BASE-ZX、100BASE-FX、100BASE-LX10、100BASE-BX和粗波分多路復(fù)用(CWDM)SFP收發(fā)器。

千兆以太