【正文】 ................................... 23 高級 QoS .................................................................................................. 24 管理 ......................................................................................................... 25 第一部分 前言 本項目建議書來自對于北京廣播電臺的不完全認識。根據(jù)現(xiàn)有掌握的資料來看，網(wǎng)絡大致分為以下幾個部分： 網(wǎng)絡接入層。 網(wǎng)絡核心層。核心交換使用 Cisco Catalyst 6509進行。接入交換機匯聚客戶流量，并在網(wǎng)絡二層防護方面發(fā)揮積極作用。在網(wǎng)絡設計中充分考慮設備對標準的支持，保證與多廠商的設備互連的能力。 ? 安全性可靠性 核心設備須具有強大的冗余和容錯功能，重要部件（如電源、核心交換引擎等）采用冗余備份設計。 ? 設備的先進性和成熟性 在網(wǎng)絡通訊技術和計 算機技術發(fā)展日新月異的今天，網(wǎng)絡的選擇既要遵循新技術的發(fā)展方向，采用最新科技水平，使項目具備國內(nèi)乃至國際領先的地位，又要兼顧技術上的成熟性，保證系統(tǒng)整體性能，使整體投資達到最佳。 方案一： 本方案著眼高性能和高可靠性，更換主鏈路設備，提升內(nèi)部設備安全水平和可控制水平。 安全總體設計 安裝兩臺攜帶 IPS 的 Cisco 5540 防火墻。通過鏈路檢查和狀態(tài)復制， ASA 可以保證在任何一臺設備實效的情況下仍能保證數(shù)據(jù)的正常轉(zhuǎn)發(fā)。 額外的，帶有多上下文環(huán)境的 ASA 還可以提供 ASR。通過不間斷的對數(shù)據(jù)包的監(jiān)視，設備就可以了解足夠多的線路狀態(tài)信息。為兩臺設備購置次級備份設備，以求在不顯著增加成本的前提下，大幅度提高網(wǎng)絡應對突發(fā)故障或者設備崩潰的能力。 FWSM 經(jīng)過小心的配置，可以更為有效的工作 在這種環(huán)境下。作為 Cisco 安全網(wǎng)絡不可或缺組成部分，應用在內(nèi)部網(wǎng)絡的 IDS 將會和 FWSM 一起，一次性永久解決內(nèi)部網(wǎng)絡訪問控制問題。單獨購買的無線局域網(wǎng)控制器擁有很好的部署靈活性。 逆向路徑結合 bogonACL 過濾技術可以大幅減少網(wǎng)絡欺騙攻擊的數(shù)量和效果，避免使用虛假地址的 TCP SYN 攻擊給服務器帶來的難以估量的壓力；相對的，復雜隊列技術可以保證關鍵業(yè)務可以首先通過 ，特別是在未來可能實現(xiàn)對外的流媒體服務器，或者是內(nèi)部進行的視頻會議等等，都可以直接從中得益，面對過量的攻擊壓力的時候，復雜隊列 技術是保證網(wǎng)絡正常工作的唯一途徑。 網(wǎng)絡管理使用 CiscoWorksLMS 群件。 MARS 是 Cisco 威脅聯(lián)動部件的核心設備。多業(yè)務設備選擇和針對安全的強化，將會使得網(wǎng)絡能夠更好的適應今后網(wǎng)絡的發(fā)現(xiàn)。因此，對于商用網(wǎng)絡核心業(yè)務的保護和對應用交付程序的控制，就成為網(wǎng)絡能長治久安和穩(wěn)定運行的基石。相應的，網(wǎng)絡的可擴展性將 會受到一定程度的制約，相對于前面一種方案而言，擴展性會有所降低。 為了能盡快地修正這些明顯的缺陷，應當進行設備的添置，但不涉及對于網(wǎng)絡結構的修改。同時，將 Cisco7609 的 FWSM和 NAM 模塊全部 安裝到 Cisco6509 上，直接連接的用戶 也全部轉(zhuǎn)移到 Cisco6509上，實現(xiàn)接入層和網(wǎng)絡路由決策層的分離，提高網(wǎng)絡控制層面的靈活性。為了避免由此產(chǎn)生的巨大的管理開銷，使用基于 Cisco ACS 服務器的 dot1x 質(zhì)詢認證，來識別用戶身份和設備。 為了更好的適應網(wǎng)絡統(tǒng)一化管理的目標，下屬接入交換機也視情況改為Cisco 制造的型號，以便于識別和管理。 CiscoWorks LMS 是廣泛的、低成本并且友好的解決方案，提供了強大的監(jiān)視和配置能力，也提供了網(wǎng)絡管理和簡單的網(wǎng)絡管理功能。 典型網(wǎng)絡的部署 今天來自商業(yè)用戶的挑戰(zhàn)就是保證網(wǎng)絡具有很高的可用時間和迅速的故障解決能力 。 CiscoWorksLMS 支持用戶監(jiān)控、管理和部署新的網(wǎng)絡設備并使它們在很短的時間運行起來，很多其他的針對網(wǎng)絡部署方面的特性 。 CiscoWorks LMS 提供了用戶跟蹤網(wǎng)絡設備配置修改的工具。用戶開始不需要使用很多彼此不相關的應用程序來管理他們的網(wǎng)絡了。從語音和數(shù)據(jù)服務到地點跟蹤， WLAN 控制器提供了必要的控制能力、可擴展性和可靠性，以便 IT 經(jīng)理能構建從分支機構到主園區(qū)的安全、企業(yè)級無線網(wǎng)絡。 思科無線局域網(wǎng)控制器使企業(yè)能為支持關鍵業(yè)務應用的端到端無線局域網(wǎng)系統(tǒng)，創(chuàng)建和實施策略。 Cisco 4400 系列無線局域網(wǎng)控制器適用于大中型機構，有兩個型號 — 帶 2 個千兆以太網(wǎng)端口，其配置可支持 1 25 和 50 個接入點的 4402，以及帶 4 個千兆以太網(wǎng)端口，支持 100 個接入點的 4404。思科WLAN 系統(tǒng)使用即將榮獲專利的無線資源管理 (RRM)算法，來實時發(fā)現(xiàn)空 中無線資源使用的變化并作出調(diào)整。 ? 負載均衡 — 此系統(tǒng)對多個接入點提供了自動的用戶負載均衡，即使負載量很大，也能獲得最優(yōu)網(wǎng)絡性能。 在思科無線局域網(wǎng)架構中，接入點可作為無線監(jiān)控器，向無線局域網(wǎng)控制器通報有關無線域的實時信息。思科 無線局域網(wǎng)系統(tǒng)最初可作為獨立無線入侵防御系統(tǒng)部署，再在稍后重新配置，添加無線局域網(wǎng)數(shù)據(jù)服務。 基于身份的聯(lián)網(wǎng) — IT 人員必須在保護無線局域網(wǎng)的同時支持大量不同的用戶訪問權限、設備格式和應用要求。這包括隨用戶移動而移動的VPN，無需重新建立安全隧道。 Cisco 7204 產(chǎn)品簡介 擁有出色性價比的 Cisco 7200 系列路由器可以提供很多網(wǎng)絡服務加速解決方案，如通過網(wǎng)關連接到 WAN 和 Inter 的地區(qū)和分支辦公室、企業(yè)和服務供應商的遠地集中（多個分散地點通過一個中央地點實現(xiàn)互連）、要求 IBM 數(shù)據(jù)中心連接的地點、要求能夠?qū)⒁陨纤泄δ芙Y合起來實現(xiàn)多服務語音、視頻和數(shù)據(jù)的多功能能力的地點。端口適配器覆蓋了多種 LAN 和 WAN 連接，端口總數(shù)最高可以達到 48 個，并提供單電源或雙電源。 ? 服務質(zhì)量 7200 系列擁有廣泛的網(wǎng)絡服務和接口選項，對于在您的網(wǎng)絡中實現(xiàn)服務質(zhì)量的需要來說， 7200 系列是領先的邊緣選件。 ? 多服務 7200 系列在一個多服務平臺上實現(xiàn)了最高的性能和 DS1 密度 使客戶能夠集成自己的語音和數(shù)據(jù)網(wǎng)絡，以簡化這兩個并行網(wǎng)絡的維護并減少其運行成本。當引入新服務時，只需通過簡單的軟件升級就可以將其合并到您 的擁有 PXF 功能的網(wǎng)絡之中。企業(yè)能擴大其 IPSec 和 SSL VPN 容量，以支持更多的移動員工、遠程地點和業(yè)務合作伙伴。利用 Cisco ASA 5550 自適應安全設備的可選安全環(huán)境功能 , 企業(yè)可在一個設備中部署多達50 個虛擬防火墻，實現(xiàn)部門級或每用戶安全策略分區(qū)控制，同時降低管理和支持總成本。 Catalyst174。 SFP 千兆以太網(wǎng)端口可安裝多種 SFP 收發(fā)器，包括 Cisco 1000BASESX 、 1000BASELX 、 1000BASEBX 、 1000BASEZX 、 100BASEFX 、100BASELX 100BASEBX 和粗波分多路復用 (CWDM) SFP 收發(fā)器。同時，后臺開始了一個多 GB 的系統(tǒng)備份，并向客戶端提供最新防病毒軟件的升級。通過為 LAN 接入添加思科智能功能，客戶現(xiàn)可部署遍布整個網(wǎng)絡的智能服務，從而一致地滿足從桌面到核心再到 WAN 的要求。 思科基于身份的網(wǎng)絡服務 (IBNS)解決方案提供了身份驗證、訪問控制和安全策略管理，可保護網(wǎng)絡連接和資源。此設置使 IT 部門能在不影響用戶移動性的情況下，以最低管理開銷實施強大的安全策略。它也可用于限制插入一個交換機端口的總設備數(shù)目，因此可使交換機免遭 MAC 泛洪攻擊，降低了惡意無線接入點或集線器接入的風險。 SSHv2 和 SNMPv3 對管理和網(wǎng)絡管理信息加密，保護網(wǎng)絡免遭干擾或竊聽。 高級 QoS Cisco Catalyst 2960 提供了出色的多層 QoS 特性，確保網(wǎng)絡流量 進行了分類和優(yōu)先級劃分，并以最好的方式避免了擁塞。分組分類使網(wǎng)絡元素可區(qū)分不同流量，并根據(jù)第二層和第三層 QoS 實施策略。所有端口上都支持控制平面和數(shù)據(jù)平面 ACL，確保每個分組得到正確的處理。 Catalyst 2960 系列交換機支持整形循環(huán)（ SRR）和嚴格優(yōu)先級隊列。通過確保語音流量在網(wǎng)絡中得到正確分類和優(yōu)先級劃分，可避免此情況。帶寬的分配根據(jù)若干標準進行，包括 MAC 源地址、 MAC 目的地地址、 IP 源地址、 IP 目的地地址和 TCP/UDP端口號?？焖僭O置允許沒有豐富技術知識的人員簡單、快速地設置交換機，從而降低了部署成本。通過一個便于使用的 GUI，用戶可以配置和管理多種交換機功 能，啟動思科路由器和思科無線接入點的設備管理器。思科網(wǎng)絡助理可從思科網(wǎng)站上免費下載。 。通過 CiscoWorks，可配置和管理 Cisco Catalyst 交換機，提供端到端的設備、 VLAN、流量