【正文】 .. . . ..一、 項(xiàng)目概述 XX地鐵總公司的新辦公場所位于XX市中山五路與解放路交界處的中旅商業(yè)城第十六層，面積約為三千七百平方米，集中了地鐵總公司的財(cái)務(wù)部、企業(yè)管理總部、人力資源總部等行政管理部門，大約將有二百三十多名工作人員在此辦公。 XX地鐵總公司將在中旅商業(yè)城十六層建立計(jì)算機(jī)網(wǎng)絡(luò)，該網(wǎng)絡(luò)是XX地鐵總公司企業(yè)管理信息系統(tǒng)的平臺，他將提供以下的服務(wù)：l 各種數(shù)據(jù)庫管理系統(tǒng)，如財(cái)務(wù)管理系統(tǒng)、合同管理系統(tǒng)等； l 辦公自動化信息管理，如公文流轉(zhuǎn)、電子郵件系統(tǒng)等；l 國際互聯(lián)網(wǎng)Iternet接入；l 六間會議室有少量的多媒體信息傳輸；l 要求實(shí)現(xiàn)與公司其他總部——位于芳村西朗的運(yùn)營事業(yè)總部、位于北京路廣百大廈29層的資源開發(fā)總部、位于公園前地鐵控制中心的建設(shè)事業(yè)總部、位于環(huán)市西路204號的地鐵設(shè)計(jì)院網(wǎng)絡(luò)互聯(lián)，構(gòu)筑XX地鐵總公司城域網(wǎng)，實(shí)現(xiàn)全公司信息的共享；l 允許外出的工作人員通過撥號訪問地鐵總公司網(wǎng)絡(luò)、互換信息。二、 需求分析 網(wǎng)絡(luò)現(xiàn)狀分析l 布線工程已由XX地鐵總公司委托其他公司完成。該布線工程全部采用Lucent公司的超五類設(shè)備進(jìn)行施工，將達(dá)到Lucent公司十五年保用標(biāo)準(zhǔn)。l 共有三個(gè)設(shè)備間，其中一個(gè)與計(jì)算機(jī)房合在一起。三個(gè)設(shè)備間之間都有電纜直接連接，可形成環(huán)路。l 網(wǎng)絡(luò)布線端口數(shù)達(dá)到320個(gè)，每個(gè)設(shè)備間所聯(lián)信息點(diǎn)基本一樣，大約為110個(gè)。網(wǎng)絡(luò)操作系統(tǒng)將采用MS Windows 2000 Server。 網(wǎng)絡(luò)需求分析根據(jù)地鐵總公司的要求，這次網(wǎng)絡(luò)工程的主要內(nèi)容包括四部分：l 中旅商業(yè)城十六層XX地鐵總公司計(jì)算機(jī)局域網(wǎng)；l 中旅商業(yè)城十六層XX地鐵總公司計(jì)算機(jī)局域網(wǎng)防火墻及防病毒解決方案；l XX地鐵總公司城域網(wǎng)；l 中旅商業(yè)城十六層XX地鐵總公司計(jì)算機(jī)局域網(wǎng)國際互聯(lián)網(wǎng)接入。三、 總體設(shè)計(jì)方案 系統(tǒng)設(shè)計(jì)原則. 高可靠性 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)應(yīng)采用可靠性較高的產(chǎn)品和容錯(cuò)較強(qiáng)的網(wǎng)絡(luò)結(jié)構(gòu)，以使網(wǎng)絡(luò)具有高度的可靠性。應(yīng)采取多層次的冗余備份手段和技術(shù)，保證設(shè)備在發(fā)生故障時(shí)能在最短時(shí)間內(nèi)恢復(fù)，以最大程度地保證網(wǎng)絡(luò)的正常運(yùn)轉(zhuǎn)。. 高安全性 根據(jù)建行的管理制度和網(wǎng)絡(luò)策略制定一套完善的安全政策，采用合適的技術(shù)手段，充分保證網(wǎng)絡(luò)安全性。. 先進(jìn)性 在技術(shù)上要到達(dá)當(dāng)前的國際先進(jìn)水平。要采用最大先進(jìn)網(wǎng)絡(luò)技術(shù)，以適應(yīng)大量數(shù)據(jù)和多媒體信息的傳輸，既要滿足目前的業(yè)務(wù)需求，又要充分考慮未來的發(fā)展，保證網(wǎng)絡(luò)建成后35年不落后，選用符合國際標(biāo)準(zhǔn)的系統(tǒng)和產(chǎn)品，以保證系統(tǒng)具有較長的生命力和擴(kuò)展能力，滿足將來系統(tǒng)升級的要求。. 易管理、易維護(hù) 由于計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)規(guī)模龐大，需要網(wǎng)絡(luò)系統(tǒng)具有良好的可管理性，網(wǎng)管系統(tǒng)應(yīng)具有監(jiān)測、故障診斷、故障隔離、過濾設(shè)置等功能，以便于系統(tǒng)的管理和維護(hù)。同時(shí)應(yīng)盡可能選取集成度高、模塊化、可通用的產(chǎn)品，以便于管理和維護(hù)。. 可擴(kuò)展性 網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好可擴(kuò)展性，隨著業(yè)務(wù)的增長和應(yīng)用水平的提高，網(wǎng)絡(luò)應(yīng)可平滑地?cái)U(kuò)展的升級，而不需要對網(wǎng)絡(luò)結(jié)構(gòu)設(shè)備進(jìn)行大的改動。 系統(tǒng)設(shè)計(jì)概述 網(wǎng)絡(luò)體系結(jié)構(gòu)和邏輯結(jié)構(gòu)設(shè)計(jì)確定網(wǎng)絡(luò)體系結(jié)構(gòu)及相應(yīng)的通信協(xié)議，對于系統(tǒng)的改造是一個(gè)十分很重要的問題。由于網(wǎng)絡(luò)系統(tǒng)的改造涉及到許多部門，而這些部門有的在使用一些專用的系統(tǒng)，有的需要與其它專用系統(tǒng)相連。因此，要共享網(wǎng)絡(luò)的資源及在網(wǎng)絡(luò)中交換信息，就必須實(shí)現(xiàn)不同系統(tǒng)間的實(shí)體通信，這需要不同系統(tǒng)采用同一協(xié)議.。網(wǎng)絡(luò)體系結(jié)構(gòu)的確定：骨干網(wǎng)絡(luò)使用交換式快速以太網(wǎng)。本網(wǎng)絡(luò)大量采用以太網(wǎng)產(chǎn)品，因?yàn)橐蕴W(wǎng)發(fā)展最為迅速，目前擁有廣泛用戶和眾多的產(chǎn)品，容易得到支持。網(wǎng)絡(luò)的主干采用100Mb/S交換式以太網(wǎng)，原因如下：l 采用100Mb/s以太網(wǎng)交換技術(shù),可使網(wǎng)絡(luò)主干速率成倍增長；l 便于向千兆位以太網(wǎng)過渡；l 技術(shù)成熟；l 有大量的成功案例可查。 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)采用星型網(wǎng)絡(luò)交換技術(shù)。通過相應(yīng)的管理軟件，在不改變網(wǎng)絡(luò)節(jié)點(diǎn)物理位置的情況下，可以對網(wǎng)絡(luò)的邏輯結(jié)構(gòu)進(jìn)行合理的劃分，即建立虛擬網(wǎng)絡(luò)，來達(dá)到網(wǎng)絡(luò)信息流量的有效控制。 網(wǎng)絡(luò)管理系統(tǒng)的確定人們往往只重視網(wǎng)絡(luò)的靜態(tài)性能，而忽視了對網(wǎng)絡(luò)動態(tài)解決方案重要性的認(rèn)識。實(shí)際上，網(wǎng)絡(luò)管理有著極其重要的意義。通過網(wǎng)管軟件可方便地確定網(wǎng)絡(luò)故障點(diǎn)，及時(shí)解決問題；也可對網(wǎng)絡(luò)的信息流量進(jìn)行有效的控制和分流。要管理網(wǎng)絡(luò)端口，需要網(wǎng)上每臺設(shè)備都支持SNMP。根據(jù)本網(wǎng)絡(luò)的特點(diǎn)，要求網(wǎng)管程序能夠跨越地域?qū)Ξ惖氐木W(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行管理。 連接Internet在與Internet 的連接方面，通過代理服務(wù)器，利用ADSL專線訪問服務(wù)器，實(shí)現(xiàn)與遠(yuǎn)程客戶的信息交流。同時(shí)，還設(shè)立了網(wǎng)管工作站，監(jiān)控網(wǎng)絡(luò)的運(yùn)行狀況，使網(wǎng)絡(luò)達(dá)到最大的利用效率。四、系統(tǒng)方案 局域網(wǎng)設(shè)計(jì)方案 基本網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì). 基本網(wǎng)絡(luò)物理結(jié)構(gòu) 采用1臺Cisco的帶第三層路由交換功能的千兆以太網(wǎng)交換機(jī) – Catalyst 2948GL3做中心交換機(jī)，采用7臺Cisco的Catalyst 3548 XL Enterprise Edition交換機(jī)（帶千兆網(wǎng)堆疊模塊）做桌面交換機(jī)，每2（3）臺堆疊成一組，通過一個(gè)千兆以太網(wǎng)模塊上聯(lián)至主干，下聯(lián)至300多個(gè)客戶工作站。各服務(wù)器、防火墻主機(jī)和路由器通過100兆快速以太網(wǎng)端口直接與中心交換機(jī)相聯(lián)。 1） 中心交換機(jī)的配置 千兆以太網(wǎng)交換機(jī)Catalyst 2948GL3置于主設(shè)備間。中心交換機(jī)配置1塊24Gbps千兆以太網(wǎng)交換引擎、1塊20端口10M/100M自適應(yīng)以太網(wǎng)交換模塊、1塊12端口10M/100M自適應(yīng)第三層交換模塊、8塊2端口1000BaseSX輸入輸出模塊和1塊2端口1000BaseLX輸出模塊。 2） 桌面交換機(jī)的配置 桌面交換機(jī)根據(jù)用戶的實(shí)際情況采用7臺Cisco的Catalyst 3548 XL Enterprise Edition交換機(jī)，每2（3）臺堆疊成一組，共3組，每組配置如下： l Catalyst 3548 XL帶48個(gè)10/100BaseT自適應(yīng)端口 l Catalyst 3548 XL堆疊模塊 l Catalyst 3548 XL千兆位上聯(lián)模塊 . 虛擬網(wǎng)（VLAN）的構(gòu)建VLAN是一個(gè)交換網(wǎng)絡(luò)，它可以按功能、部門或是應(yīng)用為基礎(chǔ)來加以邏輯上的劃分，而不是以實(shí)體或物理位置為基礎(chǔ)來劃分。VLAN的建立是為了提供更好的分段服務(wù)，每一個(gè)VLAN就是一個(gè)廣播域，也就等于WinNT網(wǎng)絡(luò)中的一個(gè)子網(wǎng)。這樣可以更有效的控制廣播，對于訪問控制以及日常的網(wǎng)絡(luò)管理也可以做到很好的控制。采用VLAN具有下述優(yōu)勢。1）控制網(wǎng)絡(luò)上的廣播風(fēng)暴 VLAN可以提供建立防火墻的機(jī)制,防止交換網(wǎng)絡(luò)的過量廣播風(fēng)暴,使用VLAN,可以將某個(gè)交換端口或用戶賦于某一個(gè)特定的VLAN組,該VLAN組可以在一個(gè)交換網(wǎng)中或跨接多個(gè)交換機(jī),在一個(gè)VLAN中的廣播風(fēng)暴不會送到VLAN之外,同樣,相鄰的端口不會收到其他VLAN產(chǎn)生的廣播風(fēng)暴。這樣,可以減少廣播流量,釋放帶寬給用戶應(yīng)用,減少廣播風(fēng)暴的產(chǎn)生。2）增加網(wǎng)絡(luò)的安全性使用共享式LAN,安全性很難保證,VLAN提供了安全性防火墻,限制了個(gè)別用戶的訪問,控制組的大小及位置等。交換端口可以基于應(yīng)用類型和訪問特權(quán)來進(jìn)行分組,被限制的應(yīng)用程序和資源一般置于安全性VLAN中。3）集中化的管理控制 通過集中化的VLAN管理程序,網(wǎng)絡(luò)管理員可以確定VLAN組,分配特定用戶和交換端口給這些VLAN組,設(shè)置安全性等級,限制廣播域的大小,通過冗余鏈路負(fù)載分擔(dān)網(wǎng)絡(luò)流量,跨越交換機(jī)配置VLAN通信,監(jiān)控交通流量和VLAN使用的網(wǎng)絡(luò)帶寬。這些能力有效的提高了網(wǎng)絡(luò)管理程序的可控性,靈活性和監(jiān)視功能,減少了管理的費(fèi)用, 增加了集中管理的功能。本網(wǎng)絡(luò)系統(tǒng)分成多個(gè)邏輯子網(wǎng)，一個(gè)邏輯子網(wǎng)是由交換機(jī)設(shè)置的VLAN。不同VLAN之間在數(shù)據(jù)鏈路層(第二層)是互不連通的，當(dāng)他們需要互相訪問時(shí)，必須通過路由器或具有路由能力的交換機(jī)（第三層交換機(jī)）使它們在網(wǎng)絡(luò)層(第三層)連接起來。本系統(tǒng)種所采用的Catalyst 2948GL3具有第三層路由模塊，不需要附加路由器，VLAN之間的通信在Catalyst 2948GL3交換機(jī)內(nèi)部即可解決，能夠建立跨過多臺交換機(jī)而在整個(gè)網(wǎng)絡(luò)中起作用的VLAN。Catalyst 2948GL3和Catalyst 3548 XL Enterprise Edition都支持VLAN劃分，也就能實(shí)現(xiàn)VLAN功能，網(wǎng)絡(luò)中所有交換機(jī)就可以采用相同的VLAN設(shè)置。服務(wù)器可以直接連接到交換機(jī)，最高速度可以達(dá)到800M。Cisco公司IOS操作系統(tǒng)和Cisco Works網(wǎng)管軟件的統(tǒng)一應(yīng)用，以統(tǒng)一的軟件平臺把各種不同的硬件連接起來，構(gòu)成有效、無縫的信息系統(tǒng)，更有利于新應(yīng)用的部署，同時(shí)提高了網(wǎng)絡(luò)的整體性能。根據(jù)端口劃分 本網(wǎng)絡(luò)系統(tǒng)利用交換機(jī)的端口來劃分VLAN成員，通過虛擬網(wǎng)管理應(yīng)用程序, 中心交換機(jī)的端口被定義為虛擬網(wǎng)A、B、C三，分配到一個(gè)VLAN的各個(gè)LAN網(wǎng)段上的所有站點(diǎn)都在同一個(gè)廣播域中,它們相互可以直接通信，并允許共享型網(wǎng)絡(luò)的升級。 通過交換機(jī)端口來劃分網(wǎng)絡(luò)成員，其配置過程簡單明了，采用這種方法還便于直接監(jiān)控,可以對端口進(jìn)行安全控制。與之相比，基于物理地址的劃分方案管理起來不方便，網(wǎng)絡(luò)管理員經(jīng)常要進(jìn)行大量改動；而基于協(xié)議的劃分方案又沒有什么必要，因?yàn)榫W(wǎng)絡(luò)本身基于TCP/IP協(xié)議。因此，迄今為止端口劃分是最常用的一種方式。. 系統(tǒng)的特點(diǎn)1）高性能核心交換機(jī)具有先進(jìn)高速第三層交換功能,所有端口均可進(jìn)行線速路由、根據(jù)各部門的節(jié)點(diǎn)數(shù)和對帶寬的需求，主干連接分別采用100Mb/s、100Mb/s Trunk和千兆以太網(wǎng)，使網(wǎng)絡(luò)的性能價(jià)格比達(dá)到最佳點(diǎn)。2） 先進(jìn)的子網(wǎng)劃分方案VLAN是一個(gè)交換網(wǎng)絡(luò)，它可以按功能、部門或是應(yīng)用為基礎(chǔ)來加以邏輯上的劃分，而不是以實(shí)體或物理位置為基礎(chǔ)來劃分。VLAN的建立是為了提供更好的分段服務(wù)，每一個(gè)VLAN就是一個(gè)廣播域，也就等于Win95網(wǎng)絡(luò)中的一個(gè)子網(wǎng)。這樣可以更有效的控制廣播，對于訪問控制以及日常的網(wǎng)絡(luò)管理也可以做到很好的控制。3） 充分利用CISCO產(chǎn)品的技術(shù)優(yōu)勢 綜上所述，本網(wǎng)絡(luò)系統(tǒng)的先進(jìn)性、安全性等特性是顯而易見的，但更重要的是它的網(wǎng)絡(luò)整體性能好，符合用戶的需要。. 網(wǎng)絡(luò)服務(wù). 網(wǎng)絡(luò)操作系統(tǒng) Windows 2000 Advanced Server是為服務(wù)器開發(fā)的多用途網(wǎng)絡(luò)操作系統(tǒng)，它支持范圍廣泛的重要商業(yè)應(yīng)用程序和一系列豐富的開發(fā)工具，可為企業(yè)用戶提供文件打印、軟件應(yīng)用、Web功能和通信等各種服務(wù)，是一個(gè)性能好、工作穩(wěn)定、容易管理的平臺。Windows 2000 Advanced Server 采用模塊化設(shè)計(jì),能使現(xiàn)有系統(tǒng)和未來優(yōu)秀的技術(shù)相結(jié)合,因而可以在保持現(xiàn)有投資的基礎(chǔ)上進(jìn)一步采用新技術(shù)。Windows 2000 Advanced Server具有以下特點(diǎn): 1） 平臺無關(guān)性 Windows 2000 Advanced Server是一個(gè)與硬件平臺無關(guān)的,可伸縮的服務(wù)器操作系統(tǒng)。它可運(yùn)行在Intel x86系統(tǒng)、精簡指令集計(jì)算機(jī)(RISC)和DEC Alpha處理機(jī)上,從而在選擇計(jì)算機(jī)系統(tǒng)時(shí)有多的自由。2）可擴(kuò)展性 它可以擴(kuò)展到對稱多處理器上,使得需要高性能處理器時(shí)還可以加上額外的處理器，支持?jǐn)?shù)達(dá)到8路。Windows 2000 Advanced Server在Alpha平臺上支持最多32G的物理內(nèi)存，在Intel平臺上支持最多8G的內(nèi)存。3）兼容性 Windows 2000支持Windows應(yīng)用程序,以及NTFS、FAT和FAT32文件系統(tǒng)。4） 安全性 Windows 2000已將安全性內(nèi)嵌入操作系統(tǒng),有選擇的訪問控制使你能對單個(gè)文件賦予權(quán)限。強(qiáng)有力的集中式安全管理,即統(tǒng)一帳號、集中驗(yàn)證、安全備份管理。Windows 2000支持的安全模板由安全屬性的文件（.inf）組成，它將所有現(xiàn)有的安全屬性組織到一個(gè)位置以簡化安全性管理，包含帳戶策略、本地策略、時(shí)間日志、受限組、文件系統(tǒng)、注冊表、系統(tǒng)服務(wù)七類安全性信息，也可以用作安全分析。Windows 2000用Kerberos驗(yàn)證，提供