【正文】 　　　　　　　　　　　 華為整體網(wǎng)絡(luò)解決方案 項(xiàng)目編號: 華為網(wǎng)絡(luò)整體解決方案目 錄1 概述 32 企業(yè)網(wǎng)絡(luò)建設(shè)設(shè)計原則 43 華為產(chǎn)品解決方案 6 整體架構(gòu)設(shè)計 6 總體網(wǎng)絡(luò)架構(gòu) 6 有線網(wǎng)絡(luò)解決方案 7 核心層網(wǎng)絡(luò)設(shè)計 7 匯聚層網(wǎng)絡(luò)設(shè)計 7 接入層網(wǎng)絡(luò)設(shè)計 8 數(shù)據(jù)中心解決方案 8 無線網(wǎng)絡(luò)解決方案 8 無線網(wǎng)絡(luò)的建設(shè)需求 9 無線網(wǎng)絡(luò)解決方案 11 高可靠性設(shè)計 14 網(wǎng)絡(luò)高可靠性設(shè)計 14 設(shè)備高可靠性設(shè)計 14 重要部件冗余 14 設(shè)備自身安全 15 安全方案設(shè)計 16 園區(qū)網(wǎng)安全方案總體設(shè)計 16 園區(qū)內(nèi)網(wǎng)安全設(shè)計 17 防IP/MAC地址盜用和ARP中間人攻擊 17 防IP/MAC地址掃描攻擊 18 廣播/組播報文抑制 20 園區(qū)網(wǎng)邊界防御 20 園區(qū)網(wǎng)出口安全 21 無線安全設(shè)計 22 無線局域網(wǎng)的安全威脅 23 華為無線網(wǎng)絡(luò)的安全策略 234 設(shè)備介紹 25 Quidway174。 S9300系列交換機(jī) 25 Quidway174。 S7700系列交換機(jī) 32 Quidway174。 S5700系列交換機(jī) 37 無線控制器WS6603 441 概述企業(yè)園區(qū)網(wǎng)絡(luò)承載企業(yè)所有IT基礎(chǔ)設(shè)施和企業(yè)所有上層軟件應(yīng)用，對一個企業(yè)的重要性不言而喻。而且隨著企業(yè)對于提高生產(chǎn)率、工作效率提升的重視，傳統(tǒng)的辦公方式也已存在諸多不便。無論是在辦公桌前、會議室中，還是在公司的咖啡廳、待客室，今天的用戶都需要方便地獲取各種網(wǎng)絡(luò)服務(wù)。一個典型的企業(yè)園區(qū)網(wǎng)絡(luò)通常由樓宇辦公網(wǎng)絡(luò)、數(shù)據(jù)中心、Internet出口、以將這四部分互聯(lián)起來的主干網(wǎng)絡(luò)組成，其中辦公網(wǎng)絡(luò)可分為有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)。在規(guī)劃與建設(shè)一個企業(yè)園區(qū)網(wǎng)絡(luò)的時候，這些部分都要充分考慮。 同時，企業(yè)園區(qū)網(wǎng)絡(luò)還面臨著新技術(shù)不斷涌現(xiàn)、企業(yè)應(yīng)用不斷增加的現(xiàn)實(shí)問題，如何構(gòu)建一個保障企業(yè)未來5~10年擴(kuò)展，同時兼顧設(shè)備的投資保護(hù)的企業(yè)園區(qū)網(wǎng)絡(luò)，困擾著每一位企業(yè)CIO。 華為企業(yè)園區(qū)網(wǎng)解決方案結(jié)合了高性能的路由、交換基礎(chǔ)設(shè)施和提升安全、可靠等特性，可協(xié)助企業(yè)構(gòu)建一個安全、可靠、易接入、易擴(kuò)展、易管理的企業(yè)園區(qū)網(wǎng)絡(luò)。 2 企業(yè)網(wǎng)絡(luò)建設(shè)設(shè)計原則在網(wǎng)絡(luò)建設(shè)項(xiàng)目中，我們應(yīng)該遵循以下設(shè)計原則：1) 合理性、整體性原則系統(tǒng)建設(shè)的功能必須充分滿足網(wǎng)絡(luò)安全性檢測與分析、網(wǎng)絡(luò)安全性監(jiān)測和電子數(shù)據(jù)鑒定的需求是系統(tǒng)建設(shè)的首要原則。l 深入調(diào)研，全力做好網(wǎng)絡(luò)與信息系統(tǒng)安全檢測、監(jiān)測和認(rèn)證的需求分析，這是系統(tǒng)成敗的關(guān)鍵；l 充分考慮已有資源（軟硬件設(shè)備及人員）合理利用，避免出現(xiàn)不必要的浪費(fèi)；l 系統(tǒng)建設(shè)盡可能模擬國內(nèi)外最常用的幾種網(wǎng)絡(luò)應(yīng)用模式。l 系統(tǒng)建設(shè)要有一定的前瞻性。在網(wǎng)絡(luò)建成后的35年之內(nèi)，不會由于業(yè)務(wù)量的增加導(dǎo)致對網(wǎng)絡(luò)結(jié)構(gòu)及主要設(shè)備的重大調(diào)整。同時要考慮實(shí)際的應(yīng)用水平，避免技術(shù)環(huán)境過于超前造成投資浪費(fèi)。2) 標(biāo)準(zhǔn)化原則為了保證用戶的網(wǎng)絡(luò)系統(tǒng)具有互操作性、可用性、可靠性、可擴(kuò)充性、可管理性，應(yīng)建立一個開放的、遵循國際標(biāo)準(zhǔn)的網(wǎng)絡(luò)系統(tǒng)。l 建設(shè)的方案要科學(xué)、正確、嚴(yán)謹(jǐn)、且現(xiàn)實(shí)可行；l 采用的先進(jìn)技術(shù)應(yīng)是成熟的、經(jīng)過實(shí)踐證明是成功的技術(shù)；l 選用的軟硬件平臺應(yīng)采用目前因特網(wǎng)和局域網(wǎng)上最常使用的軟硬件廠商的產(chǎn)品3) 先進(jìn)性原則系統(tǒng)建設(shè)應(yīng)充分考慮網(wǎng)絡(luò)通信技術(shù)和互聯(lián)網(wǎng)技術(shù)的發(fā)展，建設(shè)是循序漸進(jìn)的，初期重點(diǎn)應(yīng)在網(wǎng)絡(luò)基礎(chǔ)環(huán)境和基本系統(tǒng)上：l 系統(tǒng)可根據(jù)實(shí)際工作中的業(yè)務(wù)需求靈活地結(jié)構(gòu)所需的網(wǎng)絡(luò)與系統(tǒng)環(huán)境；l 系統(tǒng)實(shí)現(xiàn)采用先進(jìn)的網(wǎng)絡(luò)技術(shù)、網(wǎng)絡(luò)安全檢測技術(shù)。4) 安全可靠性原則本系統(tǒng)具有特殊性，因此安全保密性非常復(fù)雜。系統(tǒng)要有極強(qiáng)的自我保護(hù)能力。l 選用具有C2安全級或B1安全級的系統(tǒng)軟件平臺；l 配置功能齊全、可視化程度高的網(wǎng)管系統(tǒng)，對網(wǎng)絡(luò)運(yùn)行情況進(jìn)行實(shí)時監(jiān)督和控制；l 采取訪問權(quán)限控制、設(shè)置密鑰、數(shù)據(jù)更新認(rèn)證等多種手段保證數(shù)據(jù)安全。5) 可管理性原則隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大和系統(tǒng)復(fù)雜程度的增加，網(wǎng)絡(luò)的管理、監(jiān)控和維護(hù)，以及網(wǎng)絡(luò)故障的診斷和排除變得越來越復(fù)雜。為了使網(wǎng)絡(luò)系統(tǒng)易于管理和維護(hù)，本方案將提供先進(jìn)而完善的網(wǎng)絡(luò)管理系統(tǒng)。這樣，即方便網(wǎng)絡(luò)管理員的工作，減輕了勞動強(qiáng)度，也提高了網(wǎng)絡(luò)系統(tǒng)的管理程度。6) 靈活、可伸縮性原則為適應(yīng)因特網(wǎng)和互聯(lián)網(wǎng)絡(luò)技術(shù)的發(fā)展，系統(tǒng)必須具有開放性和可擴(kuò)充性。除單個設(shè)備本身的擴(kuò)展能力之外，在網(wǎng)絡(luò)系統(tǒng)的設(shè)計過程中，還需要考慮整個網(wǎng)絡(luò)系統(tǒng)在未來幾年的擴(kuò)充能力和擴(kuò)充辦法。這樣才能即照顧目前的應(yīng)用需求，又能滿足今后整個計算機(jī)系統(tǒng)的發(fā)展需要。l 應(yīng)用軟件設(shè)計要采用結(jié)構(gòu)化和模塊設(shè)計方法，使系統(tǒng)邏輯結(jié)構(gòu)清晰、易讀，在功能的劃分和設(shè)計時，使各模塊盡可能相對獨(dú)立、減少相關(guān)性以易于擴(kuò)充、維護(hù)和修改。l 網(wǎng)絡(luò)系統(tǒng)要具有異種設(shè)備的異種網(wǎng)絡(luò)的互聯(lián)互通能力，以達(dá)到保護(hù)已有資源并能與其他信息系統(tǒng)交流信息的目的。7) 綠色節(jié)能原則隨著數(shù)據(jù)中心的不斷壯大，數(shù)據(jù)中心的電費(fèi)不斷增長，目前，通信/IT設(shè)備節(jié)能是降低能耗的基礎(chǔ)，采用底能耗的設(shè)備是節(jié)能減排最主要的途徑。3 華為產(chǎn)品解決方案 整體架構(gòu)設(shè)計 總體網(wǎng)絡(luò)架構(gòu)整體網(wǎng)絡(luò)解決方案總體設(shè)計以高性能、高可靠性、高安全性、有線無線一體化和統(tǒng)一的網(wǎng)管系統(tǒng)為原則，以及考慮到技術(shù)的先進(jìn)性、成熟性，并采用模塊化的設(shè)計方法，組網(wǎng)圖如下所示：網(wǎng)絡(luò)架構(gòu)整個網(wǎng)絡(luò)的設(shè)計方案采用層次化、模塊化的設(shè)計思路，按照接入層、匯聚層、核心層和出口層進(jìn)行網(wǎng)絡(luò)設(shè)備設(shè)計部署，通過模塊化或者購買單獨(dú)設(shè)備的方式提供WLAN AC控制器，在匯聚層交換機(jī)，提供防火墻、負(fù)載均衡器等增值業(yè)務(wù)功能，滿足企業(yè)日益增長的業(yè)務(wù)需求。整個網(wǎng)絡(luò)的重要特征是不存在網(wǎng)絡(luò)單點(diǎn)故障，交換機(jī)設(shè)備和鏈路都存在冗余備份，接入交換機(jī)與核心交換機(jī)通過雙規(guī)或環(huán)網(wǎng)相連接，匯聚交換機(jī)雙規(guī)接入核心交換機(jī)，交換機(jī)之間采用TRUNK鏈路保證鏈路級可靠性。 有線網(wǎng)絡(luò)解決方案整個網(wǎng)絡(luò)層次建議采用業(yè)界成熟的三層架構(gòu)：接入、匯聚和核心，最后企業(yè)園區(qū)通過出口層網(wǎng)絡(luò)設(shè)備（路由器或交換機(jī)）連接到外網(wǎng)通過。這種分層的網(wǎng)絡(luò)架構(gòu)，可以保證根據(jù)的業(yè)務(wù)需求，分別對不同層次進(jìn)行擴(kuò)容。 核心層網(wǎng)絡(luò)設(shè)計核心層交換機(jī)部署在園區(qū)核心機(jī)房中，匯聚各樓宇/區(qū)域之間的用戶流量，提供三層交換機(jī)功能，必須能夠提供高速數(shù)據(jù)交換和路由快速收斂，要求具有較高的可靠性、穩(wěn)定性和易擴(kuò)展性等。對于園區(qū)網(wǎng)核心層，應(yīng)該在提供大容量、高性能L2/L3交換服務(wù)基礎(chǔ)上，能夠進(jìn)一步融合了硬件IPv6，可為園區(qū)構(gòu)建融合業(yè)務(wù)的基礎(chǔ)網(wǎng)絡(luò)平臺，進(jìn)而幫助用戶實(shí)現(xiàn)IT資源整合的需求。所以建議核心層采用雙機(jī)冗余備份的方式構(gòu)造，消除單點(diǎn)故障，設(shè)備的關(guān)鍵部分采用冗余模式。從而實(shí)現(xiàn)整個骨干網(wǎng)絡(luò)的高可靠性。骨干層建議采用10G鏈路互聯(lián)，達(dá)到高帶寬、高轉(zhuǎn)發(fā)性能的效果。本次建議采用華為的S9300高性能交換機(jī)構(gòu)造核心層，實(shí)現(xiàn)高性能的骨干網(wǎng)絡(luò)。華為S9300支持大容量、高轉(zhuǎn)發(fā)性能，完全能夠滿足各網(wǎng)絡(luò)的數(shù)據(jù)轉(zhuǎn)發(fā)。 匯聚層網(wǎng)絡(luò)設(shè)計匯聚層交換機(jī)的重要性也是比較高的，一般部署在樓宇獨(dú)立的網(wǎng)絡(luò)匯聚機(jī)柜中，匯聚園區(qū)接入交換機(jī)的流量，一般提供三層交換機(jī)功能，匯聚層交換機(jī)作為園區(qū)網(wǎng)的網(wǎng)關(guān)，終結(jié)園區(qū)網(wǎng)用戶的二層流量，進(jìn)行三層轉(zhuǎn)發(fā)。當(dāng)路由協(xié)議應(yīng)用于這一層時，具有負(fù)載均衡、快速收斂和易于擴(kuò)展等特點(diǎn)，這一層還可作為接入設(shè)備的第一跳網(wǎng)關(guān)，能夠承載校園園區(qū)融合業(yè)務(wù)的需求。根據(jù)需要，可以在匯聚交換機(jī)上集成增值業(yè)務(wù)板卡（如防火墻，負(fù)載均衡器、WLAN AC控制器）或者旁掛獨(dú)立的增值業(yè)務(wù)設(shè)備（如WLAN 盒式AC等），為園區(qū)網(wǎng)用戶提供增值業(yè)務(wù)。匯聚層與核心層共同組建成骨干網(wǎng)絡(luò)，所以匯聚設(shè)備的性能要求也是比較高的，建議采用10G的鏈路互聯(lián)，達(dá)到萬兆骨干網(wǎng)絡(luò)。匯聚交換機(jī)需要提供高密度的GE接口，匯聚接入交換機(jī)的流量，通過10GE接口接到核心交換機(jī)，推薦使用S9300系列交換機(jī)作為園區(qū)匯聚層交換機(jī)。 接入層網(wǎng)絡(luò)設(shè)計接入層交換機(jī)一般部署在樓道的網(wǎng)絡(luò)機(jī)柜中，接入園區(qū)網(wǎng)用戶（PC機(jī)或服務(wù)器），提供二層交換機(jī)功能，也支持三層接入功能（接入交換機(jī)為三層交換機(jī)）。提供網(wǎng)絡(luò)的第一級接入功能，一般完成簡單的二層交換，安全、Qos都位于這一層。對于園區(qū)網(wǎng)的接入層設(shè)備，建議采用千兆二層接入的方式，應(yīng)該具有線速二層交換、IRF智能彈性堆疊技術(shù)以及高級QoS策略等功能。 數(shù)據(jù)中心解決方案數(shù)據(jù)中心的設(shè)計目標(biāo)是實(shí)現(xiàn)高冗余、高帶寬、高安全性、高可靠性等目的。數(shù)據(jù)中心內(nèi)的網(wǎng)絡(luò)設(shè)備主要是：核心交換機(jī)、核心防火墻、核心路由器、負(fù)載均衡設(shè)備。核心交換機(jī)的主要功能是連接服務(wù)器，因此必須考慮企業(yè)未來的業(yè)務(wù)增長，核心交換機(jī)必須具有很好的擴(kuò)展性，隨著以后網(wǎng)絡(luò)的擴(kuò)展，必須具有多個插槽，以便以后網(wǎng)絡(luò)擴(kuò)展的時候能夠增加網(wǎng)絡(luò)模塊。由于核心交換機(jī)在整個網(wǎng)絡(luò)中具有十分重要的地位，因此核心交換機(jī)必須具有電信級的可靠性和穩(wěn)定性，核心網(wǎng)絡(luò)對數(shù)據(jù)的快速轉(zhuǎn)發(fā)速度要求很高，因此核心交換機(jī)需要具備高容量的交換帶寬和包轉(zhuǎn)發(fā)速率。我們建議采用華為的S7700系列高性能交換機(jī)，采用雙機(jī)雙電源?？蓪?shí)現(xiàn)萬兆或者千兆接入，實(shí)現(xiàn)數(shù)據(jù)中心高轉(zhuǎn)發(fā)性能的效果。并且可以通進(jìn)擴(kuò)展防火墻模塊等方面，實(shí)現(xiàn)數(shù)據(jù)中心的安全。 無線網(wǎng)絡(luò)解決方案隨著以太網(wǎng)的廣泛應(yīng)用，因特網(wǎng)的日益普及，以及移動終端的不斷增加，人們對移動IP接入的需求迅速增長。無線局域網(wǎng)WLAN(Wireless Local Area Network )作為有線以太網(wǎng)的延伸，一定程度上滿足了這種需求。 由于無