【正文】 更靈活的擴(kuò)展。 全面支持 IEEE 工業(yè)標(biāo)準(zhǔn) ： ， ， ， ， ， ； 支持路由協(xié)議 ： IP 的 RIP V1/2， OSPF， BGP4；信令標(biāo)準(zhǔn) ： ,RTP/CRTP. 支持 ： IPsec、 L2TP、 GRE、 MPLSVPN 規(guī)范。 3．內(nèi)、外網(wǎng)隔離 過硬盤隔離卡及雙布線系統(tǒng)、雙網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)辦公內(nèi)網(wǎng)與外網(wǎng)隔離。應(yīng)具備未來良好的可擴(kuò)展性，可升級性，保護(hù)公司的投資。 ． 集團(tuán)綜合信息系統(tǒng)建設(shè)目標(biāo) 展訊通信 集團(tuán)信息系統(tǒng)主要建設(shè)一個企業(yè)信息系統(tǒng)，它以管理信息為主體，連接生產(chǎn)、銷售、維護(hù)、運(yùn)營子系統(tǒng)，是一個面向集團(tuán)的日常業(yè)務(wù)、立足生產(chǎn)、面向社會，輔助領(lǐng)導(dǎo)決策的計算機(jī)信息網(wǎng)絡(luò)系統(tǒng)。 本期項(xiàng)目的目標(biāo)是建立如下系 統(tǒng)： 1．構(gòu)造一個既能覆蓋本地又能與外界進(jìn)行網(wǎng)絡(luò)互通、共享信息、展示企業(yè)的計算機(jī)企業(yè)網(wǎng)。設(shè)備要在滿足該項(xiàng)目的功能和性能上還具有良好的性價比。 集團(tuán)綜合信息系統(tǒng)建設(shè)原則 多業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)方案以實(shí)現(xiàn)以上功能為基本要求，在設(shè)計上力求做到既要采用國際上先進(jìn)的技術(shù)，又要保證系統(tǒng)的安全可靠性和實(shí)用性。 支持多址廣播協(xié)議 ： IGMP， DVMRP， PIMDM， PIMSM； 網(wǎng)絡(luò)管理協(xié)議： SNMP， RMON， RMON2； 兼容性 跟蹤世界科技發(fā)展動態(tài)，網(wǎng)絡(luò)規(guī)劃與現(xiàn)有光纖傳輸網(wǎng)及將要改造的分配網(wǎng)有良好的兼容，在采用先進(jìn)技術(shù)的前提下，最大可能地保護(hù)已有投資，并能在已有的網(wǎng)絡(luò)上擴(kuò)展多種業(yè)務(wù)。 安全性 網(wǎng)絡(luò)的安全性對網(wǎng)絡(luò)設(shè)計是非常重要的，合理的網(wǎng)絡(luò)安全控制，可以使應(yīng)用環(huán)境中的信息資源得到有效的保護(hù)可以有效的控制網(wǎng)絡(luò)的訪問，靈活的實(shí)施網(wǎng)絡(luò)的安全控制策略。在大規(guī)模園區(qū)網(wǎng)絡(luò)的設(shè)計上，劃分虛擬子網(wǎng)，一方面可以有效的隔離子網(wǎng)內(nèi)的大量廣 播，另一方面隔離網(wǎng)絡(luò)子網(wǎng)間的通訊，控制了資源的訪問權(quán)限，提高了網(wǎng)絡(luò)的安全性。 軟件可靠性 充分考慮異常情況的處理，具有強(qiáng) 的容錯能力、錯誤恢復(fù)能力、錯誤記錄及預(yù)警能力并給用戶以提示；并具有進(jìn)程監(jiān)控管理功能，保證各進(jìn)程的可靠運(yùn)行數(shù)據(jù)庫系統(tǒng)應(yīng)。 系統(tǒng)應(yīng)著重考慮和滿足以上的設(shè)計要求。網(wǎng)管軟件的應(yīng)用可以提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)管理人員的負(fù)擔(dān)。在設(shè)計園區(qū)網(wǎng)的原則上應(yīng)該要求設(shè)備的可管理性，同時先進(jìn)的網(wǎng)管軟件可以支持網(wǎng)絡(luò)維護(hù)、監(jiān)控、配置等功能。不僅能滿足現(xiàn)有數(shù)據(jù)、語音、圖像等信息傳輸?shù)囊?，也為今后的發(fā)展奠定基礎(chǔ)。 、綜合布 線系統(tǒng)的結(jié)構(gòu) 綜合布線系統(tǒng)部分結(jié)構(gòu)如下圖所示： 根據(jù)綜合布線國際標(biāo)準(zhǔn) ISO 11801 的定義，綜合布線系統(tǒng)可由以下子系統(tǒng)組成： ? 工作區(qū)子系統(tǒng) (Work Area Subsystem) 工作區(qū)子系統(tǒng)由信息插座延伸至用戶終端設(shè)備的布線組成，包括信息插座和相應(yīng)的連接軟線。 ? 建筑物主干子系統(tǒng) (Building Backbone Subsystem) 建筑物主干子系統(tǒng)由大樓配線間延伸至各樓層配線間的布線組成。建筑物主干子系統(tǒng)提供大樓內(nèi)通信網(wǎng)絡(luò)信息交換的主干通道。建筑群布線子系統(tǒng)提供了各建筑物間通信網(wǎng)絡(luò)連接和信息交換的通道。 建筑物內(nèi)采用先進(jìn)的超五類非屏蔽布線系統(tǒng) 根據(jù)技術(shù)規(guī)范，選用高性能 UTP 非屏蔽系統(tǒng)，傳輸參數(shù)可達(dá)到200MHz，通道傳輸性能在 200 MHz 時 ACR3dB, 250MHz 時 ACR 0 dB，通道傳輸性能不低于招標(biāo)技術(shù)要求所附性能參數(shù)表的要求。因?yàn)樗铰酚傻拈L短將會對設(shè)計的等級有一定的影響，而土建結(jié)構(gòu)施工圖、水、電、通風(fēng)施工圖對水平布線子系統(tǒng)管線路由的走向影響最大。 因?yàn)樵趯?shí)際施工中，不可能使水平線纜一直保持直線路由，所以實(shí)際安裝中，需要的線纜總會比圖紙上統(tǒng)計的量大的多，這就需要電氣工程師考慮一定的裕量。在安裝中，應(yīng)盡量使用性能優(yōu)良、質(zhì)量可靠的管路和線纜，保證用戶日后不破壞建筑結(jié)構(gòu)。第一分公司與主樓相距 50 米，第二分公司與主樓相距也是 50 米，第三分公司與主樓相距 5 公里，第四 分公司與主樓相距 8 公里，另兩個分公司在北京和天津 各自有自己的辦公樓。因特網(wǎng)接入的變化，只影響接入的變化，對園區(qū)網(wǎng)絡(luò)沒有影響；而園區(qū)網(wǎng)絡(luò)的變化對因特網(wǎng)接入部分影響較小。 將各個子公司之間的網(wǎng)絡(luò)的關(guān)聯(lián)度降低到最低的策略，可以最大限度的減少各個子公司網(wǎng)絡(luò)之間的相互影響，便于分別管理，或者在不同子公司擴(kuò)展網(wǎng)絡(luò)的新應(yīng)用。 高帶寬 為了支持?jǐn)?shù)據(jù)、話音、視像多媒體的傳 輸能力，在技術(shù)上要到達(dá)當(dāng)前的國際先進(jìn)水平。易擴(kuò)展不僅僅指設(shè)備端口的擴(kuò)展，還指網(wǎng)絡(luò)結(jié)構(gòu)的易擴(kuò)展性：即只有在網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計合理的情況下，新的網(wǎng)絡(luò)節(jié)點(diǎn)才能方便地加入已有網(wǎng)絡(luò)；網(wǎng)絡(luò)協(xié)議的易擴(kuò)展：無論是選擇第三層網(wǎng)絡(luò)路 由協(xié)議，還是規(guī)劃第二層虛擬網(wǎng)的劃分，都應(yīng)注意其擴(kuò)展能力。 安全性 網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的安全性，由于網(wǎng)絡(luò)連接園區(qū)內(nèi)部所有用戶，安全管理十分重要。 核心層設(shè)備 由于 展訊通信 集團(tuán)園區(qū)網(wǎng)網(wǎng)絡(luò) 發(fā)展規(guī)模較大，未來需提供多媒體辦公、辦公自動化、圖書資料檢索、遠(yuǎn)程互聯(lián)、視頻會議等復(fù)雜的網(wǎng)絡(luò)應(yīng)用，為便于管理，我們建議選用的交換機(jī)作為網(wǎng)絡(luò)組建交換設(shè)備。選用千兆光纖模塊，與主干上聯(lián)，實(shí)現(xiàn)主干的千兆傳輸。 匯聚層設(shè)備 考慮到集團(tuán)要求沒個子公司的網(wǎng)絡(luò)自成體系，單個子公司的局域網(wǎng)廣播數(shù)據(jù)流不能擴(kuò)展到全網(wǎng)，單個子公司的網(wǎng)絡(luò)故障不應(yīng)該擴(kuò)展到全網(wǎng)，匯聚層交換機(jī)也應(yīng)該采用具有路由功能的多層交換機(jī)，以達(dá)到網(wǎng)絡(luò)隔離和分段的目的。 Catalyst 3550 系列包括一系列快速以太網(wǎng)和千兆位以太網(wǎng)配置，可以用全套千兆位接口轉(zhuǎn)換器（ GBIC）設(shè)備提供強(qiáng)大的千兆位以太網(wǎng)連接；并將 CISCO IOS 軟件中的一套第 24 層功能 —— IP 路由、QoS、限速、訪問控制列表（ ACL）和多播服務(wù)擴(kuò)展到邊緣，堪稱一款適用于企業(yè)和城域應(yīng)用的強(qiáng)大選擇。 WSC355048EMI交換機(jī)，有 48 個 10/100 和 2 個基于 GBIC 的1000BaseX 端口，通過使用多層軟件鏡像（ EMI），可以提供路由和多層交換功能，滿足三層交換需求。 樓層接入設(shè)備選擇 CISCO 公司的 WSC295048EI智能以太網(wǎng)交換機(jī)。這些獨(dú)立的。 主干網(wǎng)絡(luò)技術(shù)選型 在 展訊通信 集團(tuán)園區(qū) 網(wǎng)網(wǎng)絡(luò)的建設(shè)中，主干網(wǎng)選擇何種網(wǎng)絡(luò)技術(shù)對網(wǎng)絡(luò)建設(shè)的成功與否起著決定性的作用。 ⑴ 現(xiàn)有網(wǎng)絡(luò)技術(shù)介紹 以太網(wǎng)（ Ether） 以太網(wǎng)是應(yīng)用最為廣泛的網(wǎng)絡(luò) 技術(shù)，它基于 CSMA/CD（沖突檢測媒體訪問 /載波偵聽）機(jī)制，采用共享介質(zhì)的方式實(shí)現(xiàn)計算機(jī)之間的通訊，帶寬為 100Mbps。 早期的以太網(wǎng)由于它介質(zhì)共享的特性，當(dāng)網(wǎng)絡(luò)中站點(diǎn)增加時，網(wǎng)絡(luò)的性能會迅速下降，另外缺乏對多種服務(wù)和 QoS 的支持。虛擬網(wǎng)技術(shù)與交換技術(shù)相結(jié)合，有效地解決了廣播問題，使網(wǎng)絡(luò)設(shè)計更加靈活，網(wǎng)絡(luò)的管理和維護(hù)更 加方便。在交換模式下，快速以太網(wǎng)完全沒有 CSMA/CD 這種機(jī)制的缺陷，除了上面談到的交換以太網(wǎng)的優(yōu)點(diǎn)以外，交換模式下的快速以太網(wǎng)可以工作在全雙工的狀態(tài)下，使得網(wǎng)絡(luò)帶寬可以達(dá)到 200Mbps。千兆位以太網(wǎng)與其他速度相當(dāng)?shù)母咚倬W(wǎng)絡(luò)技術(shù)相比，價格低，同時比較簡單，例如保留以太網(wǎng)的幀格式、管理工具和對網(wǎng)絡(luò)概念上的認(rèn)識。如采用 1300nm 激光器和 50um 的多模光纖傳輸距離可以達(dá)到 3km。這種升級方法使得千兆位以太網(wǎng)相對于其他高速網(wǎng)絡(luò)技術(shù)而言，在經(jīng)濟(jì)和管理性能方面都是較好的選擇。千兆位以太網(wǎng)支持新的交換機(jī)之間或交換 機(jī)－工作站之間全雙工的連接模式，同時也支持半雙工連接模式以便與基于CSMA/CD 存取方式的共享集線器連接。 標(biāo) 準(zhǔn) 名 稱 媒 質(zhì) 傳 輸 距 離 1000BaseSX波長 850nm 50微米多模光纖 275米550 米 1000BaseLX 波長 1300nm 微米多模光纖 50 微米多模光纖 9 微米或 10 微米多模光纖 275 米 550 米 5 公里 1000BaseCX 同軸電纜對 25 米 1000BaseT 4 對 5 類雙絞線 100 米 千兆位以太網(wǎng)的管理與以前使用和了解的以太網(wǎng)相同，使用千兆以太網(wǎng)，主干和各網(wǎng)段及桌面已實(shí)現(xiàn)了無縫結(jié)合，網(wǎng)絡(luò)管理變得容易了。保護(hù)現(xiàn)有投資的有效途徑就是在將來網(wǎng)絡(luò)技術(shù)升級時還能使用現(xiàn)有的網(wǎng)絡(luò)技術(shù)和產(chǎn)品。 ⑵ 性能價格比。 ⑶ 售后服務(wù)： 展訊通信 集團(tuán)園區(qū) 網(wǎng)網(wǎng)絡(luò)的使用，從以往經(jīng)驗(yàn)來看，售后服務(wù)問題比較突出。作為二層的核心，只保證數(shù)據(jù)的高速轉(zhuǎn)發(fā)。 100110 保留 1831 任意 用戶地址 其中， 16—18 取值 011 的時候，對 19—23 位的使用進(jìn)行了重新的定義。 生成樹協(xié)議主要用來建立和維護(hù)局域網(wǎng)的拓?fù)?，消除循環(huán)連接導(dǎo)致的網(wǎng)絡(luò)廣播風(fēng)暴，并且提供網(wǎng)絡(luò)的拓?fù)涞娜哂鄠浞莨δ?，平時作為備份的路徑被阻塞，當(dāng)主用路徑網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時，能夠及時調(diào)整端口狀態(tài)，調(diào)整網(wǎng)絡(luò)拓?fù)洹鹘y(tǒng)生成樹倒換時間為 42s，從發(fā)現(xiàn)鏈路斷裂、數(shù)據(jù)中斷到數(shù)據(jù)恢復(fù)至少需要三十多秒的時間，而快速生成樹協(xié)議只需 6～ 8秒的時間就可以將數(shù)據(jù)流切換到備份鏈路上。 Cisco6509 系列以太網(wǎng)交換機(jī)最大可以支持 17 個或者 33個 STP實(shí)例。 在實(shí)際應(yīng)用中，進(jìn)行聚合處理的端口等同于一個端口，任何轉(zhuǎn)發(fā)到聚合的端口上的報文會通過對源、目的地址的邏 輯運(yùn)算來分布到聚合的不同端口上。 ⑹ HSRP HSRP 是 CISCO 公司是所特有的。另外，通過多個熱備份組，路由器可以提供冗余備份，并在不同的 IP 子網(wǎng)上實(shí)現(xiàn)負(fù)載分擔(dān)。 2．熱備份組號：熱備份組號與接口的 VLAN 號相同。 ⑺ 等價路由（ ECMP） 除了從設(shè)備級支持三層轉(zhuǎn)發(fā)容錯協(xié)議 VRRP 之外， Cisco6509 系列以太網(wǎng)路由交換機(jī)還支持等價路由（ ECMP）。而 Cisco6509 系列以太網(wǎng)路由交換機(jī)從硬件上也實(shí)現(xiàn)了等價路由的支持，真正實(shí)現(xiàn)了硬件三層轉(zhuǎn)發(fā)流量的負(fù)載分擔(dān)與路由冗余備份。 ⑻ 策略路由（ PBR） Cisco6509 系列以太網(wǎng)路由交換機(jī)支持高性能的策略路由。 Cisco6509 系列以太網(wǎng)路由交換機(jī)可以很好地支持策略路由功能，并且可以將路由下一跳重定向到某個物 理端口，或者某個下一跳 IP 地址。為了保障網(wǎng)絡(luò)系統(tǒng)的運(yùn)行安全 ，保護(hù)集團(tuán)的信息安全，必須進(jìn)行網(wǎng)絡(luò)安全方面的規(guī)劃和實(shí)施。技術(shù)和管理手段相結(jié)合實(shí)施，才能夠產(chǎn)生良好的效果。 ⑵ 配置設(shè)備的口令 配置設(shè)備的口令，是防止非授權(quán)的人員更改網(wǎng)絡(luò)系統(tǒng)的配置的重要手段。 ⑶ 進(jìn)行 VTP 域的認(rèn)證 進(jìn)行 VTP 域的認(rèn)證，能夠保證局域網(wǎng)的 VLAN 等的安全。刪除造成的運(yùn)行事故。 ⑸ 應(yīng)用系統(tǒng)的訪問限制 可以 根據(jù) 展訊通信 集團(tuán)的應(yīng)用需求，在匯聚層的多層交換機(jī)上實(shí)施訪問控制，限制園區(qū)網(wǎng)用戶對特定應(yīng)用系統(tǒng)的訪問，或者只允許特定的用戶訪問某些資源。在總部和子公司均設(shè)立專用發(fā)服務(wù)器，使集團(tuán)內(nèi)所有員工能夠利用服務(wù)器方便的訪問公共文件資源，并能夠完成企業(yè)內(nèi)部郵件的收發(fā)?？偛抗芾韱T有權(quán)管理各個子公司的系統(tǒng) ? 便于管理：整個系統(tǒng)設(shè)計要便于網(wǎng)絡(luò)管理員的管理， 在系統(tǒng)中提供便于管理員管理的各種有效方式。 ? 簡單的設(shè)計：在保障滿足需求的前提下，設(shè)計方案應(yīng)簡單為佳，避免由于復(fù)雜的設(shè)計增加工程實(shí)施難度和增加集團(tuán)系統(tǒng)管理的復(fù)雜性。方案中將集團(tuán)按公司單位劃分不同的模塊，集團(tuán)總部作為域林的根，每個子公司為一個獨(dú)立的域或者域樹，形成一個完整的樹狀結(jié)構(gòu)。并且提高了用戶身份驗(yàn)證的速度。 ? OU 的設(shè)計 集團(tuán)的 OU 設(shè) 計目的是為了使用用戶管理更有效率，結(jié)構(gòu)更加清晰，并能夠使系統(tǒng)的管理結(jié)構(gòu)與集團(tuán)的商業(yè)模型相匹配。 ? 組的管理 為了滿足集團(tuán)用戶管理的需求，更好的在網(wǎng)絡(luò)中管理用戶權(quán)限的分配，使系統(tǒng)的管理得到最大的簡化，方案中采用AGDLP 策略及 AGUDLP 策略。其次，在方案設(shè)計中，充分應(yīng)用 Window 系統(tǒng)提供的組策略功能，利用組策略，可以在每個公司的域中設(shè)計安全策略。具體部署如圖： ? 防火墻功能： ISA 服務(wù)器位于企業(yè)網(wǎng)絡(luò)和外網(wǎng)之間，采用三網(wǎng)卡分別連接內(nèi)網(wǎng)和外網(wǎng)和 DZM 區(qū)，充分利用防火墻的角色，并利用網(wǎng)站和內(nèi)容規(guī)則來限制用戶能夠訪問的網(wǎng)站 ? 服務(wù)器發(fā)布：利用 ISA 服務(wù)器將企業(yè)中的郵件和 WEB 服務(wù)器發(fā)布到互聯(lián)網(wǎng)上， 保證外部用戶可以訪問公司的 WEB 服務(wù)器，并將公司用戶可以與外部客戶利用郵件交換信息。在本方案中，根據(jù)集團(tuán)的目前的需求，建立了基本的組策略 ⑴ 密碼長度最小值為 7 ⑵ 密碼最長存留期為 30 天 ⑶ 密碼過期期限為 50 天 ⑷ 帳戶鎖定閥值為 5 次無效登陸 ⑸ 啟動密碼必須符合復(fù)雜性需求策略 五、 Windows 服務(wù)器解決方案 . WEB 服務(wù)器 微軟 Windows Server 2020 中的 IIS 為用戶提供了集成的、可靠的、可擴(kuò)展的、安全的及可管理的內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)和互聯(lián)網(wǎng)Web 服務(wù)器解決方 案。 IIS 和