【正文】 內(nèi)網(wǎng)網(wǎng)絡(luò)建設(shè)項(xiàng)目設(shè)計(jì)方案第一章 用戶需求分析 網(wǎng)絡(luò)建設(shè)目標(biāo)根據(jù)**************的使用性質(zhì)，其計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)與建設(shè)應(yīng)當(dāng)符合當(dāng)前及今后一段時(shí)間的管理及運(yùn)行要求。根據(jù)當(dāng)前管理與應(yīng)用的需求，選擇性能價(jià)格比較高的設(shè)備。將**************計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)建設(shè)成實(shí)用、經(jīng)濟(jì)、先進(jìn)、開放、高效、安全、節(jié)能與管理融為一體的現(xiàn)代化辦公系統(tǒng)。 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)要求本工程計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)采用內(nèi)部局域網(wǎng)（以下簡(jiǎn)稱內(nèi)網(wǎng)）和外部局域網(wǎng)（以下簡(jiǎn)稱外網(wǎng)）物理隔離方式。要求采用二級(jí)星型拓?fù)浣Y(jié)構(gòu)，在辦公樓5層控制機(jī)房?jī)?nèi)設(shè)置萬兆位核心層網(wǎng)絡(luò)交換機(jī)，在各個(gè)單位的網(wǎng)絡(luò)機(jī)柜設(shè)置10/100/1000M接入層交換機(jī)，構(gòu)成千兆到各單位，百兆到用戶端點(diǎn)。中心機(jī)房設(shè)置光纖點(diǎn)，光纖采用千兆直接到中心機(jī)房。獨(dú)立采用1臺(tái)高性能路由交換機(jī)作為中心機(jī)房交換機(jī)。12臺(tái)接入層交換機(jī)分別連接到各個(gè)單位的網(wǎng)絡(luò)機(jī)柜。要求各個(gè)區(qū)域的網(wǎng)絡(luò)即可以單獨(dú)構(gòu)成獨(dú)立的網(wǎng)絡(luò)，也可以實(shí)現(xiàn)與核心交換機(jī)形成統(tǒng)一的網(wǎng)絡(luò)，共同接入互聯(lián)網(wǎng)。接入層內(nèi)外網(wǎng)需分開配置。本工程計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)采用內(nèi)部局域網(wǎng)將更換生產(chǎn)部、氨加工分廠庫(kù)房、動(dòng)力分廠辦公樓、新區(qū)總控、合成氨分廠、供應(yīng)部庫(kù)房、設(shè)按公司、儀表、供應(yīng)銷售處的多模光纜更換成單模光纜。把以前的生產(chǎn)部的二級(jí)機(jī)房取消，所有光纜由中心機(jī)房直接敷設(shè)至接入層交換機(jī)。無線擴(kuò)容：將來也可以在各層走廊設(shè)無線AP。網(wǎng)絡(luò)可提供大樓內(nèi)無線局域網(wǎng)功能及IP電話功能。IP電話用戶可根據(jù)需要通過網(wǎng)絡(luò)信息點(diǎn)靈活配置，網(wǎng)絡(luò)交換機(jī)自帶在線電源。本次設(shè)計(jì)用現(xiàn)有的防火墻及上網(wǎng)行為管理，不考慮系統(tǒng)應(yīng)從防火墻、入侵檢測(cè)、漏洞掃描、VPN、AAA、CA、安全審計(jì)、安全恢復(fù)和備份、防病毒、物理隔離等多個(gè)角度綜合全面考慮本工程的網(wǎng)絡(luò)安全設(shè)計(jì)。第二章 網(wǎng)絡(luò)整體設(shè)計(jì)概述 總體網(wǎng)絡(luò)設(shè)計(jì)原則計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)必須適應(yīng)當(dāng)前智能辦公系統(tǒng)的各項(xiàng)應(yīng)用，又可面向未來信息化發(fā)展的需要，因此必須是高質(zhì)量的。在設(shè)計(jì)網(wǎng)絡(luò)時(shí)，需要遵循以下原則：（一） 實(shí)用性和先進(jìn)性采用先進(jìn)成熟的技術(shù)滿足綜合智能化辦公業(yè)務(wù)需求，兼顧其他相關(guān)的管理需求，盡可能采用先進(jìn)的網(wǎng)絡(luò)技術(shù)以適應(yīng)更高的數(shù)據(jù)、語音、視頻（多媒體）的傳輸需要，使整個(gè)系統(tǒng)在相當(dāng)一段時(shí)期內(nèi)保持技術(shù)的先進(jìn)性，以適應(yīng)未來信息化的發(fā)展的需要。（二） 安全可靠性為保證各項(xiàng)業(yè)務(wù)應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性，盡量避免系統(tǒng)的單點(diǎn)故障。要對(duì)網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備等各個(gè)方面進(jìn)行高可靠性的設(shè)計(jì)和建設(shè)。在采用硬件備份、冗余等可靠性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強(qiáng)的管理機(jī)制、控制手段和事故監(jiān)控與網(wǎng)絡(luò)安全保密等技術(shù)措施提高整個(gè)網(wǎng)絡(luò)系統(tǒng)的安全可靠性。（三） 靈活性和可擴(kuò)展性計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)是一個(gè)不斷發(fā)展的系統(tǒng)，所以它必須具有良好的靈活性和可擴(kuò)展性，能夠根據(jù)合肥新化化肥廠不斷深入發(fā)展的需要，方便的擴(kuò)展網(wǎng)絡(luò)覆蓋范圍、擴(kuò)大網(wǎng)絡(luò)容量和提高網(wǎng)絡(luò)的各層次節(jié)點(diǎn)的功能。具備支持多種通信媒體、多種物理接口的能力，提供技術(shù)升級(jí)、設(shè)備更新的靈活性。（四） 開放性和互連性具備與多種協(xié)議計(jì)算機(jī)通信網(wǎng)絡(luò)互連互通的特性，確保本計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的基礎(chǔ)設(shè)施的作用可以充分的發(fā)揮。在結(jié)構(gòu)上真正實(shí)現(xiàn)開放，基于開放式標(biāo)準(zhǔn)，包括各種局域網(wǎng)、廣域網(wǎng)、計(jì)算機(jī)等，堅(jiān)持統(tǒng)一規(guī)范的原則，從而為未來的發(fā)展奠定基礎(chǔ)。（五） 經(jīng)濟(jì)性和投資保護(hù)應(yīng)以較高的性能價(jià)格比構(gòu)建本計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)，使資金的產(chǎn)出投入比達(dá)到最大值。能以較低的成本、較少的人員投入來維持系統(tǒng)運(yùn)轉(zhuǎn)，提供高效能與高效益。（六） 可管理性由于系統(tǒng)本身具有一定復(fù)雜性，隨著業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)管理的任務(wù)必定會(huì)日益繁重。所以在網(wǎng)絡(luò)設(shè)計(jì)中，必須建立一套全面的網(wǎng)絡(luò)管理解決方案。網(wǎng)絡(luò)設(shè)備必須采用智能化，可管理的設(shè)備，同時(shí)采用先進(jìn)的網(wǎng)絡(luò)管理軟件，實(shí)現(xiàn)先進(jìn)的分布式管理。最終能夠?qū)崿F(xiàn)監(jiān)控、監(jiān)測(cè)整個(gè)網(wǎng)絡(luò)的運(yùn)行情況，合理分配網(wǎng)絡(luò)資源、動(dòng)態(tài)配置網(wǎng)絡(luò)負(fù)載、可以迅速確定網(wǎng)絡(luò)故障等。通過先進(jìn)的管理策略、管理工具提高網(wǎng)絡(luò)的運(yùn)行性能、可靠性，簡(jiǎn)化網(wǎng)絡(luò)的維護(hù)工作，從而為辦公、管理提供最有力的保障。 總體組網(wǎng)方案概述根據(jù)**************計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的具體需求，經(jīng)過合理規(guī)劃，總體網(wǎng)絡(luò)設(shè)計(jì)分為內(nèi)部辦公局域網(wǎng)。網(wǎng)絡(luò)互聯(lián)出口分為Internet接入和新化化肥廠專網(wǎng)接入。網(wǎng)絡(luò)建設(shè)目標(biāo)實(shí)現(xiàn)內(nèi)部局域網(wǎng)和Internet互聯(lián)互通，方便快捷的信息交換，同時(shí)健全安全保障體系，確保網(wǎng)絡(luò)與信息的安全。（一） 內(nèi)部局域網(wǎng)：內(nèi)網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D如下：層次設(shè)計(jì)：內(nèi)部局域網(wǎng)采用標(biāo)準(zhǔn)的三層結(jié)構(gòu)設(shè)計(jì)。核心層采用高端多業(yè)務(wù)路由交換機(jī)，通過雙萬兆鏈路連接各匯聚層交換機(jī)；匯聚層采用全千兆三層交換機(jī)，通過雙千兆鏈路連接各接入層交換機(jī)；接入層采用三層智能交換機(jī)，通過智能彈性堆疊，提供高密度百兆到桌面，雙千兆上行。并通過百兆連接增強(qiáng)型無線AP，提供樓層無線寬帶接入。數(shù)據(jù)中心（內(nèi)網(wǎng)服務(wù)器）：數(shù)據(jù)中心（內(nèi)網(wǎng)服務(wù)器）采用全千兆智能三層交換機(jī)作為匯聚，通過雙千兆捆綁高速鏈路連接至內(nèi)網(wǎng)防火墻DMZ區(qū)。為保障內(nèi)網(wǎng)數(shù)據(jù)中心的高安全需求，在數(shù)據(jù)中心匯聚交換機(jī)與內(nèi)網(wǎng)防火墻間部署高性能IPS入侵防御系統(tǒng)。實(shí)現(xiàn)內(nèi)網(wǎng)和專網(wǎng)對(duì)數(shù)據(jù)中心的高效訪問，同時(shí)通過防火墻和入侵防御系統(tǒng)的雙重保護(hù)，保障數(shù)據(jù)中心內(nèi)網(wǎng)服務(wù)器的安全。（二） 外部局域網(wǎng)：外網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D如下：層次設(shè)計(jì)：考慮新化化肥廠內(nèi)網(wǎng)和外網(wǎng)物理結(jié)構(gòu)相同，因此外網(wǎng)也采用標(biāo)準(zhǔn)的三層結(jié)構(gòu)設(shè)計(jì)。核心層采用高端多業(yè)務(wù)路由交換機(jī)，通過雙萬兆鏈路連接各匯聚層交換機(jī)；匯聚層采用全千兆三層以太網(wǎng)交換機(jī)，通過雙千兆鏈路連接各接入層交換機(jī)；接入層采用三層智能交換機(jī)，通過智能彈性堆疊，提供高密度百兆到桌面，雙千兆上行。并通過百兆連接增強(qiáng)型無線AP，提供樓層無線寬帶接入。Internet連接：外網(wǎng)Internet出口配置高性能專業(yè)防火墻，外網(wǎng)核心交換機(jī)通過雙千兆鏈路連接外網(wǎng)防火墻，外網(wǎng)防火墻再通過100/1000M鏈路連接至運(yùn)營(yíng)商提供的Internet接口，實(shí)現(xiàn)外網(wǎng)的Internet接入。為了更好的抵御來自Internet的威脅，在外網(wǎng)防火墻與Internet接口間部署IPS入侵防御系統(tǒng)，對(duì)所有流經(jīng)的流量進(jìn)行深度分析與檢測(cè)，從而具備了實(shí)時(shí)阻斷各種網(wǎng)絡(luò)攻擊的能力。第三章 內(nèi)部局域網(wǎng)設(shè)計(jì) 內(nèi)網(wǎng)核心層設(shè)計(jì)核心層設(shè)備位于辦公樓五層中心機(jī)房。采用1臺(tái)H3C S7506R高端多業(yè)務(wù)路由交換機(jī)。通過雙萬兆捆綁多膜光纖鏈路連接匯聚層設(shè)備，構(gòu)成高速萬兆骨干，保障核心網(wǎng)數(shù)據(jù)高速全線速交換。核心交換H3C S7506R采用機(jī)箱式模塊化設(shè)計(jì)，整機(jī)共8個(gè)槽位，6個(gè)業(yè)務(wù)槽和2個(gè)主控槽?？伸`活配置百兆、千兆、萬兆不同端口密度，不同接口方式的業(yè)務(wù)接口板，滿足用戶多樣化的需求。核心層大容量高性能特性：H3C S7500系列交換機(jī)采用先進(jìn)的全分布式體系結(jié)構(gòu)設(shè)計(jì)，通過主引擎和分布式高速業(yè)務(wù)接口板上內(nèi)置的Crossbar交換網(wǎng)芯片實(shí)現(xiàn)板內(nèi)、板間二、三層流量的線速分布式轉(zhuǎn)發(fā)，通過分布式高速業(yè)務(wù)接口板上內(nèi)置的高性能CPU與位于主控引擎上的CPU協(xié)同工作，實(shí)現(xiàn)ACL、流分類、QOS、組播等業(yè)務(wù)的全分布式處理。H3C S7506R系列交換機(jī)提供業(yè)界領(lǐng)先的交換能力，768Gbps路由交換引擎提供432Mpps的數(shù)據(jù)轉(zhuǎn)發(fā)能力，最大可以實(shí)現(xiàn)288個(gè)GE的線速轉(zhuǎn)發(fā)或24個(gè)10GE，適應(yīng)網(wǎng)絡(luò)業(yè)務(wù)不斷發(fā)展的需求，持續(xù)保護(hù)用戶投資。核心層可靠性：H3C S7500系列交換機(jī)采用電信級(jí)、自適應(yīng)的可靠性設(shè)計(jì)，支持無源背板，支持雙路電源供電，支持引擎、電源、風(fēng)扇的冗余，支持單板熱插拔，并可以支持STP/RSTP/MSTP/VRRP等協(xié)議實(shí)現(xiàn)鏈路冗余，同時(shí)S7500系列交換機(jī)具有專利的RRPP彈性環(huán)網(wǎng)保護(hù)技術(shù)，可以提供50ms級(jí)別的鏈路故障業(yè)務(wù)快速恢復(fù)手段，這些使得以S7500系列交換機(jī)為核心的骨干網(wǎng)絡(luò)可靠性大大提高，保障了業(yè)務(wù)的永續(xù)性。核心層網(wǎng)絡(luò)安全特性：H3C S7500系列交換機(jī)遵從最小服務(wù)原則，所有可能遭受到攻擊的網(wǎng)絡(luò)服務(wù)在默認(rèn)情況下均關(guān)閉。支持安全的SSH登陸、基于用戶安全策略的SNMP VMAC+IP+VLAN綁定、。支持防網(wǎng)絡(luò)風(fēng)暴攻擊、防DOS/DDOS攻擊、防掃描窺探攻擊、防畸形報(bào)文攻擊、防網(wǎng)絡(luò)協(xié)議報(bào)文攻擊等安全技術(shù)。豐富的多業(yè)務(wù)支持：H3C S7500系列交換機(jī)支持強(qiáng)大的組播功能、靈活QinQ、內(nèi)置DHCPSERVER、NAT、PBR、POE、EPON等多種業(yè)務(wù)特性，這些業(yè)務(wù)特性極大的提高了企業(yè)網(wǎng)絡(luò)業(yè)務(wù)部署的簡(jiǎn)便性和靈活性，同時(shí)增強(qiáng)了對(duì)IP語音、視頻、WLAN的支持能力，為企業(yè)IT系統(tǒng)實(shí)現(xiàn)通信整合提供了便利?；?“ASIC+NP”的體系結(jié)構(gòu)，可以靈活的支持業(yè)務(wù)功能的不斷擴(kuò)展，通過多功能網(wǎng)絡(luò)處理器模塊，可以進(jìn)一步支持NAT、PBR等多種高級(jí)業(yè)務(wù)特性。特色的網(wǎng)絡(luò)流量分析功能：H3C S7500系列交換機(jī)可以支持NetStream（網(wǎng)流分析）功能，通過NetStream與華為3COM XLOG網(wǎng)絡(luò)分析器相互配合，可幫助網(wǎng)絡(luò)管理員輕松的獲得詳細(xì)的網(wǎng)絡(luò)應(yīng)用信息，使網(wǎng)絡(luò)系統(tǒng)變得透明、可見。例如查看Web、文件傳輸協(xié)議(FTP)、Telnet和其它著名的TCP/IP應(yīng)用所占通信資源的百分比，以及用戶利用網(wǎng)絡(luò)和應(yīng)用資源的詳細(xì)情況，進(jìn)而用于高效地規(guī)劃和分配資源，并保障網(wǎng)絡(luò)的安全運(yùn)營(yíng)。 內(nèi)網(wǎng)匯聚層設(shè)計(jì)匯聚層設(shè)備位于10層中心機(jī)房。采用3臺(tái)H3C S7502高端多業(yè)務(wù)路由交換機(jī)，上行通過雙萬兆捆綁光纖鏈路連接至核心交換，下行通過雙千兆捆綁光纖鏈路連接各接入層交換機(jī)。提供大容量、全線速的數(shù)據(jù)匯聚轉(zhuǎn)發(fā)。整個(gè)綜合樓分三個(gè)區(qū)域匯聚，15層以上的樓層接入交換機(jī)集中連接到1臺(tái)S7502交換機(jī)；9至15樓層接入交換機(jī)集中連接到1臺(tái)S7502交換機(jī)；9層以下樓層接入交換機(jī)集中連接到1臺(tái)S7502交換機(jī)。3臺(tái)S7502交換機(jī)通過雙萬兆匯聚到核心交換上。匯聚層強(qiáng)大的L2/L3轉(zhuǎn)發(fā)性能：H3C S7502交換機(jī)采用先進(jìn)的全分布式體系結(jié)構(gòu)設(shè)計(jì)，通過分布式高速業(yè)務(wù)接口板上內(nèi)置的Crossbar交換網(wǎng)芯片實(shí)現(xiàn)板內(nèi)、板間二、三層流量的線速分布式轉(zhuǎn)發(fā)，高達(dá)192Gbps的交換容量，提供144Mpps數(shù)據(jù)轉(zhuǎn)發(fā)能力，最大可以實(shí)現(xiàn)96個(gè)GE或8個(gè)10GE的線速轉(zhuǎn)發(fā)，保障了匯聚層網(wǎng)絡(luò)全面升級(jí)至萬兆平臺(tái)。 匯聚層電信級(jí)可靠性設(shè)計(jì)：H3C S7500系列交換機(jī)支持無源背板，支持雙路電源供電，支持引擎、電源、風(fēng)扇的冗余，支持單板熱插拔，并可以支持STP/RSTP/MSTP/VRRP等協(xié)議實(shí)現(xiàn)鏈路冗余。 匯聚層完善的網(wǎng)絡(luò)安全特性H3C S7500系列交換機(jī)遵從最小服務(wù)原則，所有可能遭受到攻擊的網(wǎng)絡(luò)服務(wù)在默認(rèn)情況下均關(guān)閉。支持安全的SSH登陸、基于用戶安全策略的SNMP VMAC+IP+VLAN綁定、。支持防網(wǎng)絡(luò)風(fēng)暴攻擊