【正文】 高，保障了業(yè)務(wù)的永續(xù)性。核心交換H3C S7506R采用機(jī)箱式模塊化設(shè)計(jì)，整機(jī)共8個(gè)槽位，6個(gè)業(yè)務(wù)槽和2個(gè)主控槽。為了更好的抵御來自Internet的威脅，在外網(wǎng)防火墻與Internet接口間部署IPS入侵防御系統(tǒng)，對(duì)所有流經(jīng)的流量進(jìn)行深度分析與檢測(cè)，從而具備了實(shí)時(shí)阻斷各種網(wǎng)絡(luò)攻擊的能力。（二） 外部局域網(wǎng)：外網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D如下：層次設(shè)計(jì)：考慮新化化肥廠內(nèi)網(wǎng)和外網(wǎng)物理結(jié)構(gòu)相同，因此外網(wǎng)也采用標(biāo)準(zhǔn)的三層結(jié)構(gòu)設(shè)計(jì)。并通過百兆連接增強(qiáng)型無線AP，提供樓層無線寬帶接入。網(wǎng)絡(luò)互聯(lián)出口分為Internet接入和新化化肥廠專網(wǎng)接入。網(wǎng)絡(luò)設(shè)備必須采用智能化，可管理的設(shè)備，同時(shí)采用先進(jìn)的網(wǎng)絡(luò)管理軟件，實(shí)現(xiàn)先進(jìn)的分布式管理。（五） 經(jīng)濟(jì)性和投資保護(hù)應(yīng)以較高的性能價(jià)格比構(gòu)建本計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)，使資金的產(chǎn)出投入比達(dá)到最大值。（三） 靈活性和可擴(kuò)展性計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)是一個(gè)不斷發(fā)展的系統(tǒng)，所以它必須具有良好的靈活性和可擴(kuò)展性，能夠根據(jù)合肥新化化肥廠不斷深入發(fā)展的需要，方便的擴(kuò)展網(wǎng)絡(luò)覆蓋范圍、擴(kuò)大網(wǎng)絡(luò)容量和提高網(wǎng)絡(luò)的各層次節(jié)點(diǎn)的功能。在設(shè)計(jì)網(wǎng)絡(luò)時(shí)，需要遵循以下原則：（一） 實(shí)用性和先進(jìn)性采用先進(jìn)成熟的技術(shù)滿足綜合智能化辦公業(yè)務(wù)需求，兼顧其他相關(guān)的管理需求，盡可能采用先進(jìn)的網(wǎng)絡(luò)技術(shù)以適應(yīng)更高的數(shù)據(jù)、語(yǔ)音、視頻（多媒體）的傳輸需要，使整個(gè)系統(tǒng)在相當(dāng)一段時(shí)期內(nèi)保持技術(shù)的先進(jìn)性，以適應(yīng)未來信息化的發(fā)展的需要。網(wǎng)絡(luò)可提供大樓內(nèi)無線局域網(wǎng)功能及IP電話功能。接入層內(nèi)外網(wǎng)需分開配置。中心機(jī)房設(shè)置光纖點(diǎn)，光纖采用千兆直接到中心機(jī)房。根據(jù)當(dāng)前管理與應(yīng)用的需求，選擇性能價(jià)格比較高的設(shè)備。將**************計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)建設(shè)成實(shí)用、經(jīng)濟(jì)、先進(jìn)、開放、高效、安全、節(jié)能與管理融為一體的現(xiàn)代化辦公系統(tǒng)。獨(dú)立采用1臺(tái)高性能路由交換機(jī)作為中心機(jī)房交換機(jī)。本工程計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)采用內(nèi)部局域網(wǎng)將更換生產(chǎn)部、氨加工分廠庫(kù)房、動(dòng)力分廠辦公樓、新區(qū)總控、合成氨分廠、供應(yīng)部庫(kù)房、設(shè)按公司、儀表、供應(yīng)銷售處的多模光纜更換成單模光纜。IP電話用戶可根據(jù)需要通過網(wǎng)絡(luò)信息點(diǎn)靈活配置，網(wǎng)絡(luò)交換機(jī)自帶在線電源。（二） 安全可靠性為保證各項(xiàng)業(yè)務(wù)應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性，盡量避免系統(tǒng)的單點(diǎn)故障。具備支持多種通信媒體、多種物理接口的能力，提供技術(shù)升級(jí)、設(shè)備更新的靈活性。能以較低的成本、較少的人員投入來維持系統(tǒng)運(yùn)轉(zhuǎn)，提供高效能與高效益。最終能夠?qū)崿F(xiàn)監(jiān)控、監(jiān)測(cè)整個(gè)網(wǎng)絡(luò)的運(yùn)行情況，合理分配網(wǎng)絡(luò)資源、動(dòng)態(tài)配置網(wǎng)絡(luò)負(fù)載、可以迅速確定網(wǎng)絡(luò)故障等。網(wǎng)絡(luò)建設(shè)目標(biāo)實(shí)現(xiàn)內(nèi)部局域網(wǎng)和Internet互聯(lián)互通，方便快捷的信息交換，同時(shí)健全安全保障體系，確保網(wǎng)絡(luò)與信息的安全。數(shù)據(jù)中心（內(nèi)網(wǎng)服務(wù)器）：數(shù)據(jù)中心（內(nèi)網(wǎng)服務(wù)器）采用全千兆智能三層交換機(jī)作為匯聚，通過雙千兆捆綁高速鏈路連接至內(nèi)網(wǎng)防火墻DMZ區(qū)。核心層采用高端多業(yè)務(wù)路由交換機(jī)，通過雙萬兆鏈路連接各匯聚層交換機(jī)；匯聚層采用全千兆三層以太網(wǎng)交換機(jī)，通過雙千兆鏈路連接各接入層交換機(jī)；接入層采用三層智能交換機(jī)，通過智能彈性堆疊，提供高密度百兆到桌面，雙千兆上行。第三章 內(nèi)部局域網(wǎng)設(shè)計(jì) 內(nèi)網(wǎng)核心層設(shè)計(jì)核心層設(shè)備位于辦公樓五層中心機(jī)房。可靈活配置百兆、千兆、萬兆不同端口密度，不同接口方式的業(yè)務(wù)接口板，滿足用戶多樣化的需求。核心層網(wǎng)絡(luò)安全特性：H3C S7500系列交換機(jī)遵從最小服務(wù)原則，所有可能遭受到攻擊的網(wǎng)絡(luò)服務(wù)在默認(rèn)情況下均關(guān)閉?；?“ASIC+NP”的體系結(jié)構(gòu)，可以靈活的支持業(yè)務(wù)功能的不斷擴(kuò)展，通過多功能網(wǎng)絡(luò)處理器模塊，可以進(jìn)一步支持NAT、PBR等多種高級(jí)業(yè)務(wù)特性。采用3臺(tái)H3C S7502高端多業(yè)務(wù)路由交換機(jī)，上行通過雙萬兆捆綁光纖鏈路連接至核心交換，下行通過雙千兆捆綁光纖鏈路連接各接入層交換機(jī)。匯聚層強(qiáng)大的L2/L3轉(zhuǎn)發(fā)性能：H3C S7502交換機(jī)采用先進(jìn)的全分布式體系結(jié)構(gòu)設(shè)計(jì)，通過分布式高速業(yè)務(wù)接口板上內(nèi)置的Crossbar交換網(wǎng)芯片實(shí)現(xiàn)板內(nèi)、板間二、三層流量的線速分布式轉(zhuǎn)發(fā)，高達(dá)192Gbps的交換容量，提供144Mpps數(shù)據(jù)轉(zhuǎn)發(fā)能力，最大可以實(shí)現(xiàn)96個(gè)GE或8個(gè)10GE的線速轉(zhuǎn)發(fā)，保障了匯聚層網(wǎng)絡(luò)全面升級(jí)至萬兆平臺(tái)。支持防網(wǎng)絡(luò)風(fēng)暴攻擊、防DOS/DDOS攻擊、防掃描窺探攻擊、防畸形報(bào)文攻擊、防網(wǎng)絡(luò)協(xié)議報(bào)文攻擊等安全技術(shù)。接入層每個(gè)堆疊組通過雙千兆捆綁的光纖鏈路連接到匯聚層交換機(jī)。接入層彈性擴(kuò)展技術(shù)—IRF：H3C S3600系列交換機(jī)采用華為3COM公司創(chuàng)新的IRF（ Intelligent Resilient Framework）智能彈性技術(shù)，與傳統(tǒng)組網(wǎng)技術(shù)相比，在擴(kuò)展性、可靠性、整體架構(gòu)的性能方面具有強(qiáng)大的優(yōu)勢(shì)： 擴(kuò)展性—IRF技術(shù)允許交換機(jī)利用互聯(lián)電纜實(shí)現(xiàn)多臺(tái)設(shè)備的擴(kuò)展，最大擴(kuò)展至384個(gè)10/100M端口；具有即插即用、單一IP管理，同步升級(jí)的優(yōu)點(diǎn)，同時(shí)大大降低系統(tǒng)擴(kuò)展的成本。H3C S3600支持跨交換機(jī)的遠(yuǎn)程端口鏡像功能（RSPAN），可以將接入端口的流量鏡像到核心交換機(jī)（例如S9500/7500）上，在核心上啟動(dòng)網(wǎng)流分析（Netstream）功能，配合XLOG系統(tǒng)對(duì)監(jiān)控端口的業(yè)務(wù)和流量進(jìn)行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控。接入層多業(yè)務(wù)融合能力：H3C S3600系列交換機(jī)提供豐富的QOS功能，能為數(shù)據(jù)、語(yǔ)音、視頻、多媒體等不同的業(yè)務(wù)提供服務(wù)質(zhì)量保證。構(gòu)建故障時(shí)的冗余路由拓?fù)浣Y(jié)構(gòu)，保持通訊的連續(xù)性和可靠性，有效保障網(wǎng)絡(luò)穩(wěn)定。內(nèi)網(wǎng)核心交換機(jī)通過雙千兆捆綁高速鏈路連接內(nèi)網(wǎng)防火墻，內(nèi)網(wǎng)防火墻再通過100/1000M鏈路連接至新化化肥廠專網(wǎng)路由器，實(shí)現(xiàn)內(nèi)部局域網(wǎng)到新化化肥廠專網(wǎng)的互聯(lián)，同時(shí)內(nèi)網(wǎng)防火墻有效的防御來自新化化肥廠專網(wǎng)對(duì)內(nèi)部局域網(wǎng)和數(shù)據(jù)中心的威脅。 數(shù)據(jù)中心（內(nèi)網(wǎng)服務(wù)器）數(shù)據(jù)中心（內(nèi)網(wǎng)服務(wù)器）采用1臺(tái)H3C S5600全千兆智能三層交換機(jī)作為匯聚，通過高密度千兆以太網(wǎng)接口連接內(nèi)網(wǎng)各功能服務(wù)器，通過雙千兆捆綁高速鏈路連接至內(nèi)網(wǎng)防火墻DMZ區(qū)。TippingPoint 6OOE IPS可提供8個(gè)10/100/1000M以太網(wǎng)接口，光接口和電接口可靈活選擇，可同時(shí)保護(hù)4個(gè)網(wǎng)段；高達(dá)400Mbps數(shù)據(jù)檢測(cè)吞吐量，200萬并發(fā)連接。設(shè)備具備強(qiáng)大的IRF堆疊擴(kuò)展能力，極大的節(jié)省了用戶對(duì)設(shè)備的投資。u 高可靠性S5600系列交換機(jī)采用IRF技術(shù)組網(wǎng)后，能夠在整個(gè)堆疊組內(nèi)實(shí)現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份，極大地增強(qiáng)了設(shè)備和網(wǎng)絡(luò)的可靠性，消除了單點(diǎn)故障，避免了業(yè)務(wù)中斷。支持在設(shè)備上配置多條等價(jià)路由的方式實(shí)現(xiàn)上行路由的冗余備份，當(dāng)主上行路由發(fā)生故障時(shí)自動(dòng)切換到下一條備份路由，實(shí)現(xiàn)上行路由的多級(jí)備份。支持CAR（Committed Access Rate）功能，可以實(shí)現(xiàn)基于端口和基于流的速率限制，限制的粒度可以精確至64Kbps，為網(wǎng)絡(luò)帶寬的精細(xì)化管理提供了手段。 數(shù)據(jù)中心（外網(wǎng)服務(wù)器）數(shù)據(jù)中心（外網(wǎng)服務(wù)器）采用1臺(tái)H3C S5600全千兆智能三層交換機(jī)作為匯聚，通過雙千兆高速鏈路連接至外網(wǎng)防火墻DMZ區(qū)，實(shí)現(xiàn)外部局域網(wǎng)和Internet對(duì)外網(wǎng)服務(wù)器的高效訪問，同時(shí)外網(wǎng)防火墻有效的防御來自Internet外部局域網(wǎng)和外部服務(wù)器的威脅。攻擊防范能力：由于TCP/IP協(xié)議的開放特性，缺少足夠的安全特性的考慮，帶來了很大的安全風(fēng)險(xiǎn)，常見的IP地址竊取、IP地址假冒、網(wǎng)絡(luò)端口掃描以及危害非常大的拒絕服務(wù)攻擊（DoS/DDoS）等，必須能夠提供有效的檢測(cè)和防范措施。 H3C網(wǎng)絡(luò)安全解決方案概述H3C根據(jù)在網(wǎng)絡(luò)安全領(lǐng)域內(nèi)多年的知識(shí)和經(jīng)驗(yàn)積累，提出以下的安全分區(qū)設(shè)計(jì)模型，主要包括內(nèi)網(wǎng)辦公區(qū)、數(shù)據(jù)中心區(qū)、外聯(lián)數(shù)據(jù)區(qū)、互聯(lián)網(wǎng)連接區(qū)、對(duì)外連接區(qū)、網(wǎng)絡(luò)管理區(qū)、廣域網(wǎng)連接區(qū)等區(qū)域。防火墻作為一個(gè)網(wǎng)絡(luò)層的安全設(shè)備，不能充分地分析應(yīng)用層協(xié)議數(shù)據(jù)中的攻擊信號(hào)，而IDS也不能阻擋檢測(cè)到的攻擊。通過在線部署，檢測(cè)并直接阻斷惡意流量。新化化肥廠專網(wǎng)相對(duì)于公共的Internet的環(huán)境要安全很多，但也不能排除安全威脅的存在，因此內(nèi)部局域網(wǎng)與新化化肥廠專網(wǎng)互聯(lián)采用一臺(tái)H3C SecPath F1000S高性能防火墻，隔離來自專網(wǎng)的網(wǎng)絡(luò)攻擊和非法數(shù)據(jù)流，避免專網(wǎng)和內(nèi)網(wǎng)的安全威脅相互擴(kuò)散。H3C SecPath F1000S是華為3Com公司面向大中型企業(yè)用戶開發(fā)的新一代專業(yè)防火墻設(shè)備。市場(chǎng)領(lǐng)先的安全防護(hù)功能l 增強(qiáng)型狀態(tài)安全過濾：支持基礎(chǔ)、擴(kuò)展和基于接口的狀態(tài)檢測(cè)包過濾技術(shù)，支持按照時(shí)間段進(jìn)行過濾；支持華為3Com特有ASPF應(yīng)用層報(bào)文過濾（Application Specific Packet Filter）協(xié)議，支持對(duì)每一個(gè)連接狀態(tài)信息的維護(hù)監(jiān)測(cè)并動(dòng)態(tài)地過濾數(shù)據(jù)包，支持對(duì)FTP、HTTP、SMTP、RTSP、（， RTP/RTCP等）應(yīng)用層協(xié)議的狀態(tài)監(jiān)控，支持TCP/UDP應(yīng)用的狀態(tài)監(jiān)控。l 集中管理與審計(jì)：提供各種日志功能、流量統(tǒng)計(jì)和分析功能、各種事件監(jiān)控和統(tǒng)計(jì)功能、郵件告警功能。利用TippingPoint提供的數(shù)字疫苗174。應(yīng)用保護(hù)能力針對(duì)來自內(nèi)部和外部的攻擊提供快速、精準(zhǔn)、可靠的防護(hù)?；谄涓咚俸涂蓴U(kuò)展的硬件平臺(tái)，TippingPoint IPS不斷優(yōu)化檢測(cè)性能，使其能夠達(dá)到與交換機(jī)同等級(jí)別的高吞吐量和低延時(shí)，同時(shí)可以對(duì)所有主要網(wǎng)絡(luò)應(yīng)用進(jìn)行分析，精確鑒別和阻斷攻擊。采用流水線與大規(guī)模并行處理融合技術(shù)的TSE可以對(duì)一個(gè)報(bào)文同時(shí)進(jìn)行幾千種檢測(cè)，從而將整體的處理性能提高到最佳水平。u 安全保障無處不在TippingPoint IPS在跟蹤流狀態(tài)的基礎(chǔ)上，對(duì)報(bào)文進(jìn)行2層到7層信息的深度檢測(cè)，可以在蠕蟲、病毒、木馬、DoS/DDoS、后門、Walkin蠕蟲、連接劫持、帶寬濫用等威脅發(fā)生前成功地檢測(cè)并阻斷，而且，TippingPoint IPS也能夠有效防御針對(duì)路由器、交換機(jī)、DNS服務(wù)器等網(wǎng)絡(luò)重要基礎(chǔ)設(shè)施的攻擊。該團(tuán)隊(duì)是安全威脅快訊SANS Risk的主要撰稿人，SANS Risk每周定期向其全球范圍內(nèi)30萬專業(yè)訂閱者摘要披露最新安全威脅的公告，內(nèi)容包含最新發(fā)現(xiàn)的漏洞、漏洞所帶來的影響、表現(xiàn)形式，而且指導(dǎo)用戶如何采取防范措施。TippingPoint還與全球著名的系統(tǒng)軟件廠商，如Microsoft、Oracle等，保持了良好的合作關(guān)系。從邏輯上來看，TippingPoint IPS就好像一根智能的線，這根智能的線卻從根本上解決了困擾網(wǎng)絡(luò)的安全問題。u 多重高可靠性（MLHA，MultiLayer High Availability）多重高可靠（MLHA，MultiLayer High Availability）是TippingPoint為保證網(wǎng)絡(luò)與業(yè)務(wù)的永續(xù)性而開發(fā)的專利技術(shù)，該