【正文】 風(fēng)公司綜合信息網(wǎng)主要服務(wù)企業(yè)內(nèi)撥號用戶，提供各種豐富的Internet應(yīng)用；企業(yè)內(nèi)部網(wǎng)主要為公司內(nèi)部生產(chǎn)、辦公提供高速、可靠的Intranet網(wǎng)絡(luò)服務(wù)。在設(shè)計(jì)東風(fēng)公司兩網(wǎng)合一方案時(shí)，我們針對現(xiàn)有網(wǎng)絡(luò)現(xiàn)狀以及發(fā)展需求，在充分考慮到網(wǎng)絡(luò)互連、網(wǎng)絡(luò)安全、網(wǎng)絡(luò)控制和管理以及網(wǎng)絡(luò)效率等綜合因素后，提出我公司的詳細(xì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)設(shè)計(jì)方案。詳細(xì)的網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)如下：根據(jù)以上兩網(wǎng)合一網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖所示，合并后的網(wǎng)絡(luò)由三大主要部分組成：原有193綜合信息網(wǎng)絡(luò)；改造后的企業(yè)內(nèi)部高速網(wǎng)絡(luò)；統(tǒng)一對外的Internet出口。l 原有193綜合信息網(wǎng)絡(luò)合并后的193綜合信息網(wǎng)與原有單獨(dú)的193信息網(wǎng)絡(luò)相比，變化不大，基本上保留在防火墻之后的網(wǎng)絡(luò)配置格局，193內(nèi)部網(wǎng)基本上以Bay Accelar 1250交換機(jī)為核心，分為用戶接入子網(wǎng)、計(jì)費(fèi)和管理子網(wǎng)、信息服務(wù)子網(wǎng)三個(gè)主要核心網(wǎng)絡(luò)部分，網(wǎng)絡(luò)和主機(jī)設(shè)備配置基本不變。l 改造后的企業(yè)高速內(nèi)部網(wǎng)公司內(nèi)部原有企業(yè)網(wǎng)絡(luò)是以FDDI為核心的環(huán)網(wǎng)結(jié)構(gòu)，配置相應(yīng)的撥號端口提供撥號接入工作模式。系統(tǒng)改造后，整個(gè)企業(yè)內(nèi)部網(wǎng)以全光纖互連為基礎(chǔ)，以千兆、百兆網(wǎng)為骨干，以千兆三層交換機(jī)為核心，通過強(qiáng)大的支持VLAN功能和三層交換構(gòu)造整個(gè)企業(yè)內(nèi)部網(wǎng)絡(luò)。企業(yè)網(wǎng)通過防火墻與現(xiàn)有193綜合信息網(wǎng)和Internet出口互聯(lián)，并針對企業(yè)網(wǎng)特點(diǎn)控制網(wǎng)絡(luò)的安全性。l 統(tǒng)一Internet出口兩網(wǎng)統(tǒng)一后，整個(gè)網(wǎng)絡(luò)共用一個(gè)高速的Internet出口，用于與Internet互聯(lián)互通。為了確保與Internet網(wǎng)絡(luò)互聯(lián)效率，提高網(wǎng)絡(luò)安全性，我們提供了最新的四層交換機(jī)+Internet高速緩存系統(tǒng)（Transparent Cache Server）技術(shù)，提供最好的網(wǎng)絡(luò)利用效率和網(wǎng)絡(luò)安全性保證。此外，根據(jù)兩網(wǎng)不同的特點(diǎn)，合理分配網(wǎng)絡(luò)帶寬和資源。. 網(wǎng)絡(luò)IP地址編址方案東風(fēng)公司現(xiàn)有兩個(gè)網(wǎng)絡(luò)系統(tǒng)分別使用各自ISP所分配的外部合法IP地址，內(nèi)部使用Internet標(biāo)準(zhǔn)的保留地址。兩網(wǎng)合一后，外部網(wǎng)絡(luò)地址共用ISP所分配的合法IP地址，內(nèi)部網(wǎng)絡(luò)建議使用同一套保留地址，便于兩網(wǎng)互通互聯(lián)。企業(yè)內(nèi)部網(wǎng)絡(luò)今后需要將各個(gè)專業(yè)單位互聯(lián)，因此需要根據(jù)各個(gè)專業(yè)網(wǎng)絡(luò)功能和規(guī)模的不同選擇詳細(xì)合理的地址分配方式?；镜牡刂贩峙湓瓌t如下：l 支持最新標(biāo)準(zhǔn)的TCP/IP協(xié)議結(jié)構(gòu)，支持可變長子網(wǎng)掩碼技術(shù)（VLSM）l 每個(gè)不同功能網(wǎng)段劃分不同的IP地址段l 每段IP地址考慮到今后兩年內(nèi)的發(fā)展和變更，進(jìn)行適當(dāng)?shù)牡刂奉A(yù)留l 根據(jù)撥號服務(wù)器端口數(shù)量分配合適的IP撥號地址池l 對于專線用戶IP地址分配進(jìn)行詳細(xì)調(diào)查和分配，避免地址資源浪費(fèi)此外，在申請接入Internet時(shí)，應(yīng)盡可能根據(jù)需要要求上級ISP多分配給合法的IP地址資源。詳細(xì)的分配方案我們會在工程施工前根據(jù)用戶獲得的合法IP地址情況進(jìn)行詳細(xì)的設(shè)計(jì)。. 網(wǎng)絡(luò)域名服務(wù)方案域名管理系統(tǒng)(DNS)是一個(gè)分布式的系統(tǒng)，其管理控制也是分布式，各地名字服務(wù)器只負(fù)責(zé)管理本地區(qū)下屬的各主機(jī)和子域，并由高一級的名字服務(wù)器監(jiān)督管理。為保證域名系統(tǒng)正常和可靠運(yùn)行，一般一個(gè)域中需設(shè)置兩個(gè)以上的域名服務(wù)器，互為主備工作方式。用戶可申請COM 、NET下的二級域名。申請域名時(shí)需要上報(bào)用戶主備域名服務(wù)器的IP地址，因此需先得到合法的IP地址段再申請。在設(shè)計(jì)域名服務(wù)時(shí)，主要的設(shè)計(jì)方案如下：1) 各相關(guān)服務(wù)器分配相應(yīng)的約定域名，便于用戶訪問。，。2) 網(wǎng)絡(luò)設(shè)備根據(jù)其不同的端口設(shè)計(jì)不同的域名，如第1臺路由器的第2個(gè)串口可分配為：。3) 配置DNS服務(wù)器禁止用ls等全域域名顯示方式。4) 配置主備DNS服務(wù)器數(shù)據(jù)復(fù)制的驗(yàn)證功能，禁止未授權(quán)的服務(wù)器作為主域服務(wù)器的配份以獲取相關(guān)信息。5) 配置全域的MX郵件交換記錄指向郵件服務(wù)器，并適當(dāng)配置好郵件服務(wù)器設(shè)置，使全域郵件具有username@?，F(xiàn)在綜合信息網(wǎng)和企業(yè)網(wǎng)都分別申請了各自的獨(dú)立域名服務(wù)，并對外發(fā)布已久。兩網(wǎng)合并后，建議還是采用兩套域名服務(wù)模式，為各自網(wǎng)絡(luò)提供服務(wù)，或申請新的獨(dú)立域名提供統(tǒng)一域名服務(wù)。建議兩網(wǎng)的外部域名服務(wù)器共用同一的硬件平臺，內(nèi)部各自配置自己的獨(dú)立域名服務(wù)器，并可設(shè)置為互為主備工作模式。. 網(wǎng)絡(luò)路由設(shè)計(jì)網(wǎng)絡(luò)的路由設(shè)計(jì)是確保網(wǎng)絡(luò)正常、完整運(yùn)行的核心。一個(gè)良好設(shè)計(jì)的網(wǎng)絡(luò)路由可以提高網(wǎng)絡(luò)效率，增強(qiáng)網(wǎng)絡(luò)的冗余度，而設(shè)計(jì)不善的網(wǎng)絡(luò)路由往往會帶來效率、備份、安全問題，以及使用的不正常。和中公司具有在大型Internet上實(shí)施和維護(hù)網(wǎng)絡(luò)的經(jīng)驗(yàn)，通曉RIP、RIPIGRP、EIGRP、OSPF、ISIS以及BGP4等多種現(xiàn)代網(wǎng)絡(luò)路由技術(shù)，能根據(jù)用戶網(wǎng)絡(luò)情況選擇最優(yōu)的網(wǎng)絡(luò)路由算法和協(xié)議，提高用戶網(wǎng)絡(luò)安全性和使用效率。我們建議在外部網(wǎng)段即與上級Internet互聯(lián)網(wǎng)段采用靜態(tài)網(wǎng)絡(luò)路由，在企業(yè)內(nèi)部網(wǎng)段由選擇的使用OSPF動態(tài)路由協(xié)議。需要注意的是：在實(shí)施專線網(wǎng)絡(luò)互連時(shí)，盡量不要使用復(fù)雜的動態(tài)路由協(xié)議而使用靜態(tài)路由協(xié)議，以提高路由的安全性，同樣規(guī)則也適用于撥號接入網(wǎng)段上。OSPF(Open Shortest Path First)全稱為開放最短路徑優(yōu)選，建立在SPF算法基礎(chǔ)上，是一種基于鏈路狀態(tài)的路由選擇協(xié)議，是目前最流行、最有效的路由協(xié)議。OSPF路由協(xié)議是一種典型的鏈路狀態(tài)（Linkstate）的路由協(xié)議，一般用于一個(gè)通過統(tǒng)一的路由政策或路由協(xié)議互相交換路由信息的網(wǎng)絡(luò)內(nèi)。所有的OSPF路由器都維護(hù)一個(gè)相同的描述這個(gè)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的數(shù)據(jù)庫，該數(shù)據(jù)庫中存放的是路由域中相應(yīng)鏈路的狀態(tài)信息，OSPF路由器正是通過這個(gè)數(shù)據(jù)庫計(jì)算出其OSPF路由表的。和傳統(tǒng)的距離向量路由選擇協(xié)議相比，對于大型、復(fù)雜的網(wǎng)絡(luò)，OSPF具有極大的優(yōu)越性：1) OSPF不受跳數(shù)（hop）的的限制，比較應(yīng)用于大型網(wǎng)絡(luò)中。2) OSPF支持可變長子網(wǎng)掩碼（VLSM），可以充分利用有限的IP地址資源。3) OSPF路由協(xié)議路由收斂速度比較快，當(dāng)網(wǎng)絡(luò)比較穩(wěn)定時(shí)，網(wǎng)絡(luò)中的路由更新信息是比較少的，并且其廣播也不是周期性的，很快達(dá)到全網(wǎng)路由器OSPF鏈路數(shù)據(jù)庫的一致性。4) 只有當(dāng)路由連接產(chǎn)生變化時(shí)才傳送路由更新信息，而不是定期廣播整個(gè)路由表，從而減少了對帶寬的損耗。5) 在距離向量路由選擇協(xié)議中，網(wǎng)絡(luò)是一個(gè)平面的概念，并無區(qū)域及邊界等的定義。而在OSPF路由協(xié)議中，一個(gè)網(wǎng)絡(luò)，或者說是一個(gè)路由域可以劃分為很多個(gè)區(qū)域（area），每一個(gè)區(qū)域通過OSPF邊界路由器相連，區(qū)域間可以通過路由總結(jié)（Summary）來減少路由信息，減小路由表，提高路由器的運(yùn)算速度。6) OSPF路由協(xié)議支持路由驗(yàn)證，只有互相通過路由驗(yàn)證的路由器之間才能交換路由信息。并且OSPF可以對不同的區(qū)域定義不同的驗(yàn)證方式，提高網(wǎng)絡(luò)的安全性。7) OSPF路由協(xié)議對負(fù)載分擔(dān)的支持性能較好。OSPF路由協(xié)議支持多條Cost相同的鏈路上的負(fù)載分擔(dān)。鑒于OSPF的這些特性，特別是對線路帶寬的占用以及對負(fù)載分擔(dān)具有很好的支持性能，都有助于實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)系統(tǒng)的正常通訊。基于以上網(wǎng)絡(luò)路由設(shè)計(jì)思路，我們在設(shè)計(jì)東風(fēng)公司新的企業(yè)內(nèi)部網(wǎng)時(shí)，采用電信級的設(shè)計(jì)標(biāo)準(zhǔn)，確保網(wǎng)絡(luò)的可靠性、安全性，為東風(fēng)公司企業(yè)內(nèi)部網(wǎng)提供最優(yōu)的網(wǎng)絡(luò)解決方案。東風(fēng)公司企業(yè)內(nèi)部網(wǎng)絡(luò)OSPF路由設(shè)計(jì)圖根據(jù)上圖所示，我公司建議在企業(yè)網(wǎng)內(nèi)部構(gòu)造層次化的網(wǎng)絡(luò)路由邏輯結(jié)構(gòu)，以O(shè)SPF路由協(xié)議設(shè)計(jì)為基礎(chǔ)。其中以電信處、張灣、紅衛(wèi)、花果、茅箭構(gòu)成OSPF域骨干網(wǎng)Areo 0，這五個(gè)點(diǎn)之間通過物理線路構(gòu)成不完全網(wǎng)狀網(wǎng)（Not FULL Mesh）；電信處、經(jīng)理辦公大樓、總廠辦公大樓構(gòu)成OSPF 的Areo 1，這三個(gè)點(diǎn)構(gòu)成全連接結(jié)構(gòu)（FULL MESH）；張灣、紅衛(wèi)、花果、茅箭各自內(nèi)部網(wǎng)絡(luò)構(gòu)成OSPF Areo 5；各專業(yè)廠、子公司就近互聯(lián)到這五個(gè)核心的骨干點(diǎn)。. 企業(yè)內(nèi)部網(wǎng)絡(luò)升級改造設(shè)計(jì)東風(fēng)公司企業(yè)內(nèi)部網(wǎng)主干是在1994年建成的FDDI主干網(wǎng)絡(luò)，隨著網(wǎng)絡(luò)的逐漸發(fā)展和技術(shù)的更新，目前FDDI網(wǎng)絡(luò)已經(jīng)面臨逐漸被淘汰的局面，取而代之的是以千兆網(wǎng)、ATM為基礎(chǔ)，以三層交換為核心的高速新一代企業(yè)主干網(wǎng)絡(luò)。在本次兩網(wǎng)合一工程中，考慮到目前的網(wǎng)絡(luò)需求和今后網(wǎng)絡(luò)的發(fā)展，我們建議以千兆網(wǎng)為基礎(chǔ)構(gòu)建企業(yè)內(nèi)部主干網(wǎng)絡(luò)，采用最新的核心三層交換機(jī)、工作組三層交換機(jī)設(shè)備，以VLAN和OSPF路由技術(shù)為核心，構(gòu)件新的企業(yè)內(nèi)部主干網(wǎng)絡(luò)。在本次工程設(shè)計(jì)中，我們建議電信處核心交換機(jī)選用CISCO 公司最新的企業(yè)主干網(wǎng)絡(luò)交換機(jī)Catalyst 6509，配置千兆板、三層路由交換板和10/100兆以太網(wǎng)板；在總廠辦公大樓和經(jīng)理辦公大樓配置CISCO公司最新的工作組三層交換機(jī)Catalyst 2948GL3，配置48口以太網(wǎng)口和2口千兆網(wǎng)口。這三個(gè)點(diǎn)之間采用單模光纖以千兆帶寬互聯(lián)。公司原有的FDDI骨干網(wǎng)保留，并各自與新的主干節(jié)點(diǎn)互聯(lián)，作為核心網(wǎng)絡(luò)的備份。通過在Catalyst 6509上增配相應(yīng)的千兆、百兆網(wǎng)板，提供張灣、紅衛(wèi)、花果和茅箭等地的專業(yè)廠和子公司通過將要建成的光傳輸網(wǎng)絡(luò)互聯(lián)。. 企業(yè)內(nèi)部網(wǎng)Internet出口管理與控制東風(fēng)公司企業(yè)內(nèi)部網(wǎng)目前通過一條128K的DDN專線連接到163上，內(nèi)部用戶通過軟件代理服務(wù)器訪問外部網(wǎng)絡(luò)，這種工作模式比較適用于小型企業(yè)網(wǎng)絡(luò)的Internet應(yīng)用。針對東風(fēng)公司這種大型企業(yè)網(wǎng)，必須采用防火墻、Internet高速緩存系統(tǒng)的配合來達(dá)到嚴(yán)格的安全控制和性能優(yōu)化。我們推薦在企業(yè)網(wǎng)與Internet出口之間采用高性能的硬件防火墻產(chǎn)品，用于保護(hù)內(nèi)部網(wǎng)絡(luò)安全，并對內(nèi)部網(wǎng)絡(luò)用戶進(jìn)行管理和控制。防火墻產(chǎn)品建議采用CISCO公司的高性能硬件防火墻產(chǎn)品PIX Firewall 520，配置3塊以太網(wǎng)卡，分別與企業(yè)內(nèi)部網(wǎng)、Internet以及193網(wǎng)互聯(lián)，相互設(shè)立嚴(yán)格的安全控制和管理策略。通過采用CISCO PIX Firewall產(chǎn)品，可以嚴(yán)格的控制內(nèi)外網(wǎng)絡(luò)的安全策略，保護(hù)內(nèi)部網(wǎng)絡(luò)的安全使用。為了為網(wǎng)絡(luò)管理提供更準(zhǔn)確的網(wǎng)絡(luò)管理手段，和中公司針對CISCO PIX等防火墻產(chǎn)品專門開發(fā)了一套完善的Intranet網(wǎng)絡(luò)管理系統(tǒng)，通過配合使用這套軟件，可以對企業(yè)內(nèi)部網(wǎng)用戶的上網(wǎng)進(jìn)行嚴(yán)格的管理和控制。武漢和中公司針對Intranet網(wǎng)絡(luò)管理需求，提出了一套完善的開放平臺解決方案。Orizone Intranet Management Platform 以LDAP和數(shù)據(jù)庫為核心，包含RADIUS、TACAS、SNMP各種通用網(wǎng)絡(luò)驗(yàn)證、管理協(xié)議，統(tǒng)一支持對Firewall、Cache Server、Proxy Server、WWW、Email、Billing等各種網(wǎng)絡(luò)軟硬件服務(wù)。通過使用Orizone Intranet Management Paltform，可以在同一管理平臺下支持唯一用戶的驗(yàn)證、授權(quán)和管理，可以方便的擴(kuò)展對網(wǎng)內(nèi)新增各種網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)應(yīng)用的統(tǒng)一管理。. Internet網(wǎng)絡(luò)加速系統(tǒng)設(shè)計(jì)現(xiàn)有Internet網(wǎng)絡(luò)發(fā)展神速，各種新的技術(shù)和產(chǎn)品層出不窮。為了解決早期單純的網(wǎng)絡(luò)Proxy系統(tǒng)的不足，現(xiàn)在市場上已經(jīng)有了多種廣泛使用的Cache 加速器。新的Cache加速器主要用于ISP骨干網(wǎng)和企業(yè)級的Internet出口上，可跟四層交換機(jī)或策略路由器一起配合使用，用于透明方式的Cache服務(wù)，即用戶訪問WWW時(shí)并不需要任何客戶端設(shè)置，但當(dāng)用戶上網(wǎng)訪問時(shí)，由網(wǎng)絡(luò)決定自動通過Cache服務(wù)器訪問外部網(wǎng)絡(luò)的內(nèi)容，這種工作方式非常方便靈活，配置和管理也不影響現(xiàn)有網(wǎng)絡(luò)的正常運(yùn)行，現(xiàn)有的ISP都采用這種方便的工作模式；另外一種工作模式是取代現(xiàn)有的Proxy服務(wù)器，已經(jīng)設(shè)置的用戶參數(shù)不需要任何改動，并能有效的提供對多媒體內(nèi)容的訪問。采用Cache服務(wù)器與現(xiàn)有基于Proxy的代理服務(wù)器相比，有如下優(yōu)點(diǎn)： 處理效率大大提高新型的Cache服務(wù)器一般都采用高速的硬件產(chǎn)品，利用硬件的處理能力來極大的提高網(wǎng)絡(luò)處理效率，而普通的軟件代理服務(wù)器必須大量的消耗操作系統(tǒng)、CPU、內(nèi)存的資源，并且要頻繁讀寫硬盤上的信息，導(dǎo)致處理效率大大降低； 能同時(shí)服務(wù)的用戶數(shù)大大增多根據(jù)權(quán)威評測結(jié)果表明，一般基于軟件的代理服務(wù)器如果硬件配置較為高檔，可以最多承受100150個(gè)并發(fā)用戶請求，而一般的硬件Cache服務(wù)器可以輕松的承受上千的并發(fā)用戶請求，能夠提供更好的用戶服務(wù) 能提供更快的用戶響應(yīng)時(shí)間一般的proxy服務(wù)器采用被動的用戶請求方式來更新緩存信息，這樣反而增加了一個(gè)多余的中間環(huán)節(jié)，導(dǎo)致網(wǎng)絡(luò)響應(yīng)時(shí)間不佳；而專用的Cache服務(wù)器采用各種動態(tài)更新，并發(fā)下載的新技術(shù)保證了最短的網(wǎng)絡(luò)響應(yīng)時(shí)間，一般來說，可以提高5倍的網(wǎng)絡(luò)響應(yīng)時(shí)間； 能提供靈活的組網(wǎng)方式采用cache服務(wù)器即可用于透明方式工作，也可用于常規(guī)的Proxy工作模式下；而傳統(tǒng)的Proxy服務(wù)器只能應(yīng)用于傳統(tǒng)的proxy工作模式下； 能采用群集方式平滑升級采用Cache服務(wù)器來提供網(wǎng)絡(luò)緩存服務(wù)時(shí)，當(dāng)一臺服務(wù)器的處理能力不能滿足要求時(shí)，可以和四層交換機(jī)配合，采用多臺cache服務(wù)器來并發(fā)處理網(wǎng)絡(luò)請求，不會因?yàn)閱闻_服務(wù)器的瓶頸導(dǎo)致網(wǎng)絡(luò)效率降低，可使系統(tǒng)平滑升級； 能更好的提供眾多的多媒體服務(wù)新型的Cache服務(wù)器提供了對Realplay、microsoft mediaplay、Quicktime等多種方式的加速應(yīng)用，并提供了socket代理方式為IP Phone等服務(wù)提供了使用通道； 能提供完善的用戶管理和控制方式新型的Cache服務(wù)器能夠提供非常全面的控制和管理功能，能有效的過濾網(wǎng)絡(luò)地址，控制用戶訪問列表，并能與Radius和LDAP服務(wù)相結(jié)合，控制用戶的使用；而普通的proxy 服務(wù)器不能提供以上全面的用戶管理功能。本期工程實(shí)施方案簡介：，Internet網(wǎng)絡(luò)加速系統(tǒng)是由四層交換機(jī)和Internet高速緩存系統(tǒng)共同組成的。其中四層交換機(jī)選用的是2臺Foundry公司的8端口ServerIron 8四層交換機(jī)，Internet高速緩存系統(tǒng)選用的是1臺Cacheflow公司的525i。CacheFlow 525i Cache Server 配置有三個(gè)10/100兆以太網(wǎng)口，分別與兩臺Serv