【正文】 小 區(qū) 居 民 管 理 委 員 會(huì) 管理委員會(huì) 物業(yè)管理部門 居民委員會(huì) 公共設(shè)施 醫(yī) 院 學(xué) 校 酒 店 超 市 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 5 頁(yè) 故物業(yè)網(wǎng)絡(luò)應(yīng)有更強(qiáng)的安全性。 湯臣二品小區(qū)的網(wǎng)絡(luò)業(yè)務(wù) 網(wǎng)絡(luò)業(yè)務(wù)說明 小區(qū)的網(wǎng)絡(luò)業(yè)務(wù)主要為訪問 Inter ，其他 的一切業(yè)務(wù)均基于 Inter ，如電子郵件、聊天、網(wǎng)絡(luò)電視、上傳下載文件等。 針對(duì)居民的上網(wǎng)業(yè)務(wù)，為每個(gè)用戶提供 2 兆的流量來保證其正常的上網(wǎng)即可。 節(jié)點(diǎn)分布及流量估計(jì) 小區(qū)內(nèi)有住宅樓 26 棟，每棟容有 200 個(gè)住戶，每個(gè)住戶裝有 2 個(gè)信息點(diǎn)。則住宅區(qū)信息點(diǎn)總數(shù)為： 26*200*2=10400 個(gè) 每個(gè)信息點(diǎn)實(shí)現(xiàn) 2M 的流量，則住宅區(qū)的流量最大為 20800 Mbps。加之對(duì)公共區(qū)域的網(wǎng)絡(luò)的粗略統(tǒng)計(jì)為 1200 Mbps，則整個(gè)小區(qū)網(wǎng)絡(luò)的最大流量為 22020 Mbps。 湯臣二品小區(qū)網(wǎng)絡(luò)的安全和管理 要求 安全要求 在科技迅速發(fā)展今天，網(wǎng)絡(luò)安全技術(shù)不斷進(jìn)步的同時(shí)，黑客的技術(shù)也日漸長(zhǎng)進(jìn)。網(wǎng)絡(luò)中經(jīng)常有一些謀求私利以及一些損人不利己的黑客對(duì)網(wǎng)路實(shí)施攻擊，這使得通信十分不安全，所以當(dāng)今社會(huì)的網(wǎng)絡(luò)安全顯得尤為重要。 對(duì)于網(wǎng)絡(luò)的安全保證，主要包括以下幾點(diǎn)： 防止內(nèi)部的網(wǎng)絡(luò)攻擊； 防止網(wǎng)絡(luò)病毒在內(nèi)部網(wǎng)絡(luò)之間的擴(kuò)散； 防止非法用戶對(duì)小區(qū)內(nèi)網(wǎng)絡(luò)服務(wù)器的攻擊； 防止外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的攻擊； 對(duì)網(wǎng)絡(luò)設(shè)備的管理而言，需要只有特定的用戶才可以登錄設(shè)備進(jìn)行管理。 以上介紹了網(wǎng)絡(luò)安全的基本要求，具體技術(shù)將在 節(jié)中詳 細(xì)敘述。 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 6 頁(yè) 管理要求 小區(qū)的管理實(shí)行由物業(yè)統(tǒng)一管理制度，小區(qū)內(nèi)重要的服務(wù)器均由物業(yè)部門管理，小區(qū)網(wǎng)絡(luò)也有物業(yè)部門統(tǒng)一控制。 湯臣二品小區(qū)網(wǎng)絡(luò) 的 WAN 接入技術(shù) 小區(qū)網(wǎng)絡(luò)的 WAN 接入技術(shù)實(shí)行萬兆城域光線接入，通過光纖直接從服務(wù)商接到小區(qū)出口路由器。 湯臣二品小區(qū)網(wǎng)絡(luò) 設(shè)計(jì)的技術(shù)指標(biāo) 核心主干區(qū)域網(wǎng)絡(luò)設(shè)計(jì)的技術(shù)指標(biāo) （ 1）匯聚層以上的路由網(wǎng)絡(luò) 小區(qū)內(nèi)所有匯聚層交換機(jī)及其以上的核心設(shè)備實(shí)現(xiàn)全網(wǎng)路由，路由協(xié)議使用 OSPF，以此保證了全網(wǎng)的聯(lián)通，樓宇之間的通信通過核心交換機(jī)實(shí)現(xiàn)路由轉(zhuǎn)發(fā)，居民與 物業(yè)管理部門的通信也通過核心交換機(jī)實(shí)現(xiàn)路由轉(zhuǎn)發(fā)。 （ 2）訪問外網(wǎng)的實(shí)現(xiàn) 小區(qū)內(nèi)用戶若訪問外網(wǎng)必須要通過公有的 IP 地址，出于對(duì)上網(wǎng)費(fèi)用的考慮，決定通過動(dòng)態(tài) NAPT 技術(shù)實(shí)現(xiàn)網(wǎng)絡(luò)地址的轉(zhuǎn)換，這樣可以只向服務(wù)商申請(qǐng) 50 個(gè)百兆帶寬的公有 IP 地址即可帶動(dòng)小區(qū)內(nèi)最多 10000 多個(gè)用戶的 Inter 訪問服務(wù)。 （ 3）核心設(shè)備的安全管理 對(duì)于小區(qū)網(wǎng)絡(luò)而言，網(wǎng)絡(luò)設(shè)備的管理是網(wǎng)絡(luò)中非常重要的一個(gè)環(huán)節(jié)，因?yàn)橐坏┕粽叩卿浗粨Q機(jī)，那么交換機(jī)上的所有設(shè)備都將化為烏有，因此必須重視設(shè)備本身的安全管理。這里對(duì)交換機(jī)的 Tel 訪問 可以通過檢查來訪者的 IP 地址進(jìn)行更為細(xì)致的訪問控制?？梢詾門el 訪問方式配置一個(gè)或多個(gè)合法的訪問 IP，只有使用合法 IP 的用戶才能使用 Tel 方式訪問交換機(jī)，使用其他的 IP 地址訪問都將被交換機(jī)拒絕。 住宅區(qū)域網(wǎng)絡(luò)設(shè)計(jì)的技術(shù)指標(biāo) （ 1）匯聚層以下的交換網(wǎng)絡(luò) 小區(qū)內(nèi)實(shí)現(xiàn)每棟住宅樓內(nèi)的交換網(wǎng)絡(luò)，每棟住宅樓配有 1個(gè)匯聚層交換機(jī)（三層交換機(jī)），其下接有 20個(gè)接入層交換機(jī)供用戶上網(wǎng)接入。每棟住宅樓內(nèi)實(shí)現(xiàn)單獨(dú)的 DHCP 動(dòng)態(tài)地址分配，DHCP 接在匯聚層交換技上，為本棟樓內(nèi)所有用戶分配同一網(wǎng)段 IP 地址。 （ 2） 接入層的安全控制 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 7 頁(yè) 很多時(shí)候內(nèi)部的網(wǎng)絡(luò)用戶也可能對(duì)其所連的交換機(jī)進(jìn)行攻擊，使得其他的用戶無法上網(wǎng)，針對(duì)這樣的問題也應(yīng)實(shí)現(xiàn)相應(yīng)的安全控制，比如對(duì)本地 ARP 攻擊實(shí)施 ARP 檢查等。 （ 3）用戶的流量控制 由于小區(qū)內(nèi)所有用戶共用有限的公網(wǎng) IP 地址實(shí)現(xiàn)上網(wǎng)，因此對(duì)每個(gè)用戶的上網(wǎng)流量必須進(jìn)行相應(yīng)的控制，否則如果有的用戶使用迅雷、電驢等工具下載文件時(shí)，其他的用戶將會(huì)受到嚴(yán)重的影響。對(duì)此使用 QoS 技術(shù)來均衡網(wǎng)絡(luò)流量是不錯(cuò)的選擇。 （ 4）用戶的認(rèn)證 由于小區(qū)網(wǎng)絡(luò)的建設(shè)與運(yùn)行都是有成本的，所以網(wǎng)絡(luò)用戶要交相應(yīng)的費(fèi)用，因此對(duì)繳過費(fèi) 的用戶的認(rèn)證、授權(quán)以及計(jì)費(fèi)是一件非常重要的事。這里我們通過 Radius 認(rèn)證來實(shí)現(xiàn)對(duì)用戶的認(rèn)證、授權(quán)以及計(jì)費(fèi)。 公共設(shè)施區(qū)域網(wǎng)絡(luò)設(shè)計(jì)的技術(shù)指標(biāo) 由于負(fù)責(zé)此區(qū)域網(wǎng)絡(luò)的員工罷工，故不詳述其技術(shù)指標(biāo)。 其網(wǎng)絡(luò)應(yīng)用的技術(shù)大概可分為： （ 1） VLAN 的劃分； （ 2）組播的應(yīng)用； （ 3）訪問控制列表的實(shí)施等。 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 8 頁(yè) 3 總體設(shè)計(jì)和分工說明 總體設(shè)計(jì) 總體網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì) 網(wǎng)絡(luò)的總體設(shè)計(jì)采用雙核心、單出口的方式，匯聚層設(shè)備與核心之間采用雙線連接方式以保證鏈路的冗余?？傮w網(wǎng)絡(luò)設(shè)計(jì)拓?fù)鋱D如圖 31 所示 圖 31 總體網(wǎng)絡(luò)設(shè)計(jì)拓?fù)鋱D 核心區(qū)項(xiàng)目設(shè)計(jì) 小區(qū)網(wǎng)絡(luò)的核心區(qū)域設(shè)計(jì)采用雙核心方式，實(shí)現(xiàn)流量的負(fù)載分擔(dān)以及網(wǎng)絡(luò)設(shè)備的冗余，以保證所有網(wǎng)絡(luò)用戶能穩(wěn)定的上網(wǎng)。核心交換機(jī)使用銳捷的 RGS7606 高性能核心交換機(jī)，其背板帶寬為 ，交換容量為 864G，包轉(zhuǎn)發(fā)率可達(dá) 322Mbps，支持多種網(wǎng)路協(xié)議，完全可以滿足小區(qū)內(nèi)部的網(wǎng)絡(luò)負(fù)擔(dān)并實(shí)現(xiàn)高速轉(zhuǎn)發(fā)。出口路由器使用銳捷的 RGRSR7708 萬兆核心分布式路由器，其交換容量可達(dá) 960G,轉(zhuǎn)發(fā)速率可達(dá) 480Mbps，完全可以負(fù)擔(dān)整個(gè)網(wǎng)絡(luò)的流量組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 9 頁(yè) 出入以及內(nèi)部的流量轉(zhuǎn) 發(fā)。 核心主干區(qū)域采用全網(wǎng)路由方式實(shí)現(xiàn)連通，路由協(xié)議使用 OSPF 路由協(xié)議。出口路由器配置動(dòng)態(tài) NAPT 使內(nèi)部網(wǎng)絡(luò)共用少數(shù)的公有 IP 地址訪問外網(wǎng)，這樣可以大大的節(jié)省網(wǎng)絡(luò)成本，且能保證小區(qū)內(nèi)用戶高速穩(wěn)定的訪問因特網(wǎng)。 核心主干區(qū)域的網(wǎng)絡(luò)拓?fù)鋱D如圖 32 所所示 圖 32 核心主干區(qū)域網(wǎng)絡(luò)拓?fù)鋱D 住宅區(qū)項(xiàng)目設(shè)計(jì) 小區(qū)內(nèi)網(wǎng)絡(luò)布線采用的是網(wǎng)絡(luò)星型拓?fù)浣Y(jié)構(gòu)，采用這種結(jié)構(gòu)的優(yōu)點(diǎn)是從根本上保證了小區(qū)現(xiàn)在及未來的信息化需求，保證了小區(qū)的投資和業(yè)主的利益，但它 的缺點(diǎn)是網(wǎng)絡(luò)布線系統(tǒng)和網(wǎng)絡(luò)組網(wǎng)的費(fèi)用較貴，開發(fā)商的投入較高。 住宅樓布線方案如圖 33 所示 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 10 頁(yè) 圖 小區(qū)網(wǎng)絡(luò)布線方案圖 公共設(shè)施區(qū)項(xiàng)目設(shè)計(jì) （未如期完成） 地址規(guī)劃 地址說明及規(guī)劃原則 注冊(cè)地址說明 本小區(qū)網(wǎng)絡(luò)采用集中出口的方式，即內(nèi)部網(wǎng)絡(luò)的所有用戶共用少量的公網(wǎng) IP 地址來訪問外網(wǎng)。小區(qū)一共向服務(wù)商申請(qǐng) 50 個(gè)公網(wǎng) IP 地址，其具體地址為： —— 地址規(guī)劃 注冊(cè)地址的分配 小區(qū)內(nèi)公有 50 個(gè)注冊(cè)地址，全部作為 動(dòng)態(tài) NAPT 地址池供內(nèi)部用戶訪問 Inter 使用。 私有地址的總體規(guī)劃 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 11 頁(yè) 小區(qū)內(nèi)部所有網(wǎng)絡(luò)節(jié)點(diǎn)均使用私有 IP 地址。 核心主干區(qū)域節(jié)點(diǎn)使用 。 小區(qū)住宅區(qū)域節(jié)點(diǎn)使用 。 居民區(qū)私有地址的具體分配如表 31 所示 表 31 居民區(qū)私有地址分配表 住宅區(qū) IP 地址范圍 1 —— 2 —— 3 —— 4—— 23 —— 24 —— 25 —— 26 —— 核心主干區(qū)私有地址的具體分配如表 32 所示 表 32 核心主干區(qū)私有地址 分配表 設(shè)備 接口 IP RGRSR7708 F 1/0 F1/1 RGS76061 F0/50 F0/1 F0/2 F0/3 ...... F0/24 F0/25 F0/26 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 12 頁(yè) 續(xù)表 32 核心主干區(qū)私有地址分配表 RGS76062 F0/50 F0/1 F0/2 F0/3 ...... F0/24 F0/25 F0/26 RGS3760 (126 臺(tái) ) F0/1 (126 臺(tái) ) ...... F0/2 (126 臺(tái) ) ...... 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 13 頁(yè) 分工說明 項(xiàng)目組的分工說明 本項(xiàng)目負(fù)責(zé)人為組長(zhǎng) 333，項(xiàng)目整體分工情況如表 33 所示 表 33 項(xiàng)目分工表 姓 名 工 作 333 小區(qū)核心主干的網(wǎng)絡(luò)設(shè)計(jì)與實(shí)施 333 小區(qū)住宅區(qū)域的網(wǎng)絡(luò)設(shè)計(jì)與實(shí)施 2 小區(qū)公共設(shè)施的網(wǎng)絡(luò)設(shè)計(jì)與實(shí)施 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 14 頁(yè) 4 核心區(qū)網(wǎng)絡(luò)項(xiàng)目的設(shè)計(jì)方案（負(fù)責(zé)人： 333） 核心區(qū) 網(wǎng)絡(luò)設(shè)計(jì) 方案 核心區(qū)網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì) 核心區(qū)網(wǎng)絡(luò)設(shè)計(jì)說明 核心主干區(qū)域采用匯聚層及以上設(shè)備全網(wǎng)路由，訪問外網(wǎng)則通過出口路由器集中出口，主干區(qū)域所有三層設(shè)備運(yùn)行 OSPF 路由協(xié)議實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)連通，出口路由器上配置動(dòng)態(tài) NAPT,實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)共用少量公有 IP 地址訪問外網(wǎng)。 核心區(qū)網(wǎng)絡(luò)拓?fù)淙鐖D 41 所示 圖 41 核心區(qū)網(wǎng)絡(luò)拓?fù)鋱D 網(wǎng)絡(luò)設(shè)備選型 小區(qū)網(wǎng)絡(luò)的核心為整個(gè)小區(qū)網(wǎng)絡(luò)的心臟部分，所以此區(qū)域的設(shè)備選型一定要合理，絕對(duì)不能讓核心設(shè)備成為小區(qū)網(wǎng)絡(luò)的瓶頸，但是考慮到經(jīng)濟(jì)開銷又不 宜選太好的設(shè)備，所以綜合考慮來看小區(qū)核心網(wǎng)絡(luò)設(shè)備選擇一下設(shè)備，如表 41 所示 組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 15 頁(yè) 表 41 網(wǎng)絡(luò)設(shè)備情況表 設(shè)備名 設(shè)備型號(hào) 設(shè)備描述 設(shè)備報(bào) 價(jià)（元） 數(shù)量（臺(tái)） 總價(jià)（元） 出口路由器 RGRSR7708 交換容量： 320Gbps/960 Gbps 轉(zhuǎn)發(fā)性能： 240Mpps/480Mpps 支持 NAT/NAPT , OSPF 380000 1 380000 核心交換機(jī) RGS7606 背板： 交換容量： 864Gbps 支持 OSPF 116800 2 233600 匯聚交換機(jī) RGS376024 24 口 10/100M 自適應(yīng)端口， 2個(gè) SFP/GT 光電復(fù)用口（ SFP 為千兆 /百兆口）， 1 個(gè)擴(kuò)展槽，交流電源 背板： 48G 交換容量： 支持 OSPF 28800 30 864000 總計(jì)（元） 1477600 應(yīng)用技術(shù)說明 核心區(qū)域使用的技術(shù)主要有 OSPF 路由技術(shù)，動(dòng)態(tài) NAPT 技術(shù)，交換機(jī)登錄 IP 過濾技術(shù)。 OSPF 路由 小區(qū)網(wǎng)絡(luò)核心主干區(qū)域所有三層設(shè)備做 OSPF 路由，以實(shí)現(xiàn)穩(wěn)定的網(wǎng)絡(luò)連通，匯聚層交換機(jī)與核心之間使用雙線連接，這樣既可以保證核心交換機(jī)的負(fù)載分擔(dān)，也 可以保證匯聚層交換機(jī)與核心交換機(jī)之間的鏈路冗余，以實(shí)現(xiàn)網(wǎng)絡(luò)連通的穩(wěn)定。 動(dòng)態(tài) NAPT 由于小區(qū)內(nèi)網(wǎng)絡(luò)用戶巨大，如都使用公有 IP 地址，則會(huì)浪費(fèi)大量的公有 IP 地址，最終會(huì)導(dǎo)致整個(gè)網(wǎng)絡(luò)中的公有 IP 地址不夠用。而從經(jīng)濟(jì)方面，使用大量公有 IP 地址的也會(huì)很高，所以這里使用 NAPT 技術(shù)解決了此問題。小區(qū)只向服務(wù)商申請(qǐng) 50 個(gè)公有 IP 地址，這 50 個(gè)公組網(wǎng)實(shí)驗(yàn)周設(shè)計(jì)說明書 第 16 頁(yè) 有 IP 地