【正文】 服務(wù)端口等的訪問控制；對(duì)常見的網(wǎng)絡(luò)攻擊，如拒絕服務(wù)攻擊、端口掃描、IP欺騙、IP盜用等進(jìn)行有效防護(hù)；并提供NAT地址轉(zhuǎn)換、流量限制、用戶認(rèn)證、IP與MAC綁定、智能蠕蟲防護(hù)等安全增強(qiáng)措施。另外，應(yīng)該能夠?qū)σ恍┏Ｒ姷母邔訁f(xié)議，提供細(xì)粒度的控制和過濾能力，比如支持WEB和EMAIL過濾，支持P2P識(shí)別并限流等能力。但由于計(jì)算機(jī)網(wǎng)絡(luò)具有聯(lián)結(jié)形式多樣性、網(wǎng)絡(luò)的開放性、互連性等特征，致使網(wǎng)絡(luò)易受黑客、病毒、惡意軟件和其他不軌的攻擊，所以網(wǎng)上信息的安全和保密是一個(gè)至關(guān)重要的問題。外部局域網(wǎng)層次結(jié)構(gòu)設(shè)計(jì)參見上述內(nèi)部局域網(wǎng)三層結(jié)構(gòu)設(shè)計(jì)，這里不再?gòu)?fù)述。u 豐富的QOS策略H3C S5600系列交換機(jī)支持基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、端口、協(xié)議的L2~L7復(fù)雜流分類；每端口支持100個(gè)流規(guī)則，整機(jī)支持3200/5600個(gè)流規(guī)則，充分保障了復(fù)雜網(wǎng)絡(luò)對(duì)于QoS規(guī)則的要求。支持VRRP虛擬路由冗余協(xié)議，與其他三層交換機(jī)構(gòu)建VRRP備份組?？煽啃裕ㄟ^專利的路由熱備份技術(shù)，在整個(gè)堆疊架構(gòu)內(nèi)實(shí)現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份和無(wú)間斷的三層轉(zhuǎn)發(fā)，極大的增強(qiáng)了堆疊架構(gòu)的可靠性和高性能，同時(shí)消除了單點(diǎn)故障，避免了業(yè)務(wù)中斷。H3C S5600系列交換機(jī)產(chǎn)品特性：u 大容量全線速的多層交換S5600系列交換機(jī)具有192G/240G的交換容量和66M/102Mpps的二/三層包轉(zhuǎn)發(fā)能力，支持所有端口線速轉(zhuǎn)發(fā)。實(shí)現(xiàn)內(nèi)網(wǎng)和專網(wǎng)對(duì)數(shù)據(jù)中心的高效訪問，同時(shí)通過防火墻和入侵防御系統(tǒng)的雙重保護(hù)，有效防御來(lái)自內(nèi)部局域網(wǎng)和新化化肥廠專網(wǎng)的威脅。還提供兩個(gè)MIM插槽，可支持4個(gè)百兆或千兆端口擴(kuò)展。采用交流/直流雙輸入設(shè)計(jì)，設(shè)備既可以采用交流電源輸入，也可以直流電源輸入，二者之間熱備份。接入層高可靠性設(shè)計(jì)：H3C S3600系列交換機(jī)除了支持高可靠性的IRF技術(shù)以外，還支持傳統(tǒng)的STP/RSTP/MSTP二層鏈路保護(hù)技術(shù)，極大提高了鏈路的冗余備份，提高容錯(cuò)能力，保證網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。同時(shí)對(duì)不符合綁定表項(xiàng)的非法報(bào)文（ARP欺騙報(bào)文、擅自修改IP地址的報(bào)文）直接丟棄，保證DHCP環(huán)境的真實(shí)性和一致性。分布性通過分布式鏈路聚合技術(shù)，實(shí)現(xiàn)多條上行鏈路的負(fù)載分擔(dān)和互為備份，從而提高整個(gè)網(wǎng)絡(luò)架構(gòu)的冗余性和鏈路資源的利用率。H3C S3600系列交換機(jī)主要有以下三個(gè)型號(hào)：l S360028P：24個(gè)10/100BaseT以太網(wǎng)端口，4個(gè)1000BaseX SFP千兆以太網(wǎng)端口；l S360028TP：24個(gè)10/100BaseT以太網(wǎng)端口，2個(gè)1000BaseX SFP千兆以太網(wǎng)端口， 2個(gè)10/100/1000BaseT以太網(wǎng)端口；l S360052P：48個(gè)10/100BaseT以太網(wǎng)端口，4個(gè)1000BaseX SFP千兆以太網(wǎng)端口；S360028P/ ，二/。 內(nèi)網(wǎng)接入層設(shè)計(jì)內(nèi)網(wǎng)接入層設(shè)備分布于各樓層配線間。 匯聚層完善的網(wǎng)絡(luò)安全特性H3C S7500系列交換機(jī)遵從最小服務(wù)原則，所有可能遭受到攻擊的網(wǎng)絡(luò)服務(wù)在默認(rèn)情況下均關(guān)閉。整個(gè)綜合樓分三個(gè)區(qū)域匯聚，15層以上的樓層接入交換機(jī)集中連接到1臺(tái)S7502交換機(jī)；9至15樓層接入交換機(jī)集中連接到1臺(tái)S7502交換機(jī)；9層以下樓層接入交換機(jī)集中連接到1臺(tái)S7502交換機(jī)。例如查看Web、文件傳輸協(xié)議(FTP)、Telnet和其它著名的TCP/IP應(yīng)用所占通信資源的百分比，以及用戶利用網(wǎng)絡(luò)和應(yīng)用資源的詳細(xì)情況，進(jìn)而用于高效地規(guī)劃和分配資源，并保障網(wǎng)絡(luò)的安全運(yùn)營(yíng)。支持防網(wǎng)絡(luò)風(fēng)暴攻擊、防DOS/DDOS攻擊、防掃描窺探攻擊、防畸形報(bào)文攻擊、防網(wǎng)絡(luò)協(xié)議報(bào)文攻擊等安全技術(shù)。H3C S7506R系列交換機(jī)提供業(yè)界領(lǐng)先的交換能力，768Gbps路由交換引擎提供432Mpps的數(shù)據(jù)轉(zhuǎn)發(fā)能力，最大可以實(shí)現(xiàn)288個(gè)GE的線速轉(zhuǎn)發(fā)或24個(gè)10GE，適應(yīng)網(wǎng)絡(luò)業(yè)務(wù)不斷發(fā)展的需求，持續(xù)保護(hù)用戶投資。通過雙萬(wàn)兆捆綁多膜光纖鏈路連接匯聚層設(shè)備，構(gòu)成高速萬(wàn)兆骨干，保障核心網(wǎng)數(shù)據(jù)高速全線速交換。Internet連接：外網(wǎng)Internet出口配置高性能專業(yè)防火墻，外網(wǎng)核心交換機(jī)通過雙千兆鏈路連接外網(wǎng)防火墻，外網(wǎng)防火墻再通過100/1000M鏈路連接至運(yùn)營(yíng)商提供的Internet接口，實(shí)現(xiàn)外網(wǎng)的Internet接入。實(shí)現(xiàn)內(nèi)網(wǎng)和專網(wǎng)對(duì)數(shù)據(jù)中心的高效訪問，同時(shí)通過防火墻和入侵防御系統(tǒng)的雙重保護(hù)，保障數(shù)據(jù)中心內(nèi)網(wǎng)服務(wù)器的安全。核心層采用高端多業(yè)務(wù)路由交換機(jī)，通過雙萬(wàn)兆鏈路連接各匯聚層交換機(jī)；匯聚層采用全千兆三層交換機(jī)，通過雙千兆鏈路連接各接入層交換機(jī)；接入層采用三層智能交換機(jī)，通過智能彈性堆疊，提供高密度百兆到桌面，雙千兆上行。 總體組網(wǎng)方案概述根據(jù)**************計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的具體需求，經(jīng)過合理規(guī)劃，總體網(wǎng)絡(luò)設(shè)計(jì)分為內(nèi)部辦公局域網(wǎng)。所以在網(wǎng)絡(luò)設(shè)計(jì)中，必須建立一套全面的網(wǎng)絡(luò)管理解決方案。在結(jié)構(gòu)上真正實(shí)現(xiàn)開放，基于開放式標(biāo)準(zhǔn)，包括各種局域網(wǎng)、廣域網(wǎng)、計(jì)算機(jī)等，堅(jiān)持統(tǒng)一規(guī)范的原則，從而為未來(lái)的發(fā)展奠定基礎(chǔ)。在采用硬件備份、冗余等可靠性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強(qiáng)的管理機(jī)制、控制手段和事故監(jiān)控與網(wǎng)絡(luò)安全保密等技術(shù)措施提高整個(gè)網(wǎng)絡(luò)系統(tǒng)的安全可靠性。第二章 網(wǎng)絡(luò)整體設(shè)計(jì)概述 總體網(wǎng)絡(luò)設(shè)計(jì)原則計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)必須適應(yīng)當(dāng)前智能辦公系統(tǒng)的各項(xiàng)應(yīng)用，又可面向未來(lái)信息化發(fā)展的需要，因此必須是高質(zhì)量的。無(wú)線擴(kuò)容：將來(lái)也可以在各層走廊設(shè)無(wú)線AP。要求各個(gè)區(qū)域的網(wǎng)絡(luò)即可以單獨(dú)構(gòu)成獨(dú)立的網(wǎng)絡(luò)，也可以實(shí)現(xiàn)與核心交換機(jī)形成統(tǒng)一的網(wǎng)絡(luò)，共同接入互聯(lián)網(wǎng)。要求采用二級(jí)星型拓?fù)浣Y(jié)構(gòu)，在辦公樓5層控制機(jī)房?jī)?nèi)設(shè)置萬(wàn)兆位核心層網(wǎng)絡(luò)交換機(jī)，在各個(gè)單位的網(wǎng)絡(luò)機(jī)柜設(shè)置10/100/1000M接入層交換機(jī)，構(gòu)成千兆到各單位，百兆到用戶端點(diǎn)。內(nèi)網(wǎng)網(wǎng)絡(luò)建設(shè)項(xiàng)目設(shè)計(jì)方案第一章 用戶需求分析 網(wǎng)絡(luò)建設(shè)目標(biāo)根據(jù)**************的使用性質(zhì)，其計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)與建設(shè)應(yīng)當(dāng)符合當(dāng)前及今后一段時(shí)間的管理及運(yùn)行要求。 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)要求本工程計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)采用內(nèi)部局域網(wǎng)（以下簡(jiǎn)稱內(nèi)網(wǎng)）和外部局域網(wǎng)（以下簡(jiǎn)稱外網(wǎng)）物理隔離方式。12臺(tái)接入層交換機(jī)分別連接到各個(gè)單位的網(wǎng)絡(luò)機(jī)柜。把以前的生產(chǎn)部的二級(jí)機(jī)房取消，所有光纜由中心機(jī)房直接敷設(shè)至接入層交換機(jī)。本次設(shè)計(jì)用現(xiàn)有的防火墻及上網(wǎng)行為管理，不考慮系統(tǒng)應(yīng)從防火墻、入侵檢測(cè)、漏洞掃描、VPN、AAA、CA、安全審計(jì)、安全恢復(fù)和備份、防病毒、物理隔離等多個(gè)角度綜合全面考慮本工程的網(wǎng)絡(luò)安全設(shè)計(jì)。要對(duì)網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備等各個(gè)方面進(jìn)行高可靠性的設(shè)計(jì)和建設(shè)。（四） 開放性和互連性具備與多種協(xié)議計(jì)算機(jī)通信網(wǎng)絡(luò)互連互通的特性，確保本計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的基礎(chǔ)設(shè)施的作用可以充分的發(fā)揮。（六） 可管理性由于系統(tǒng)本身具有一定復(fù)雜性，隨著業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)管理的任務(wù)必定會(huì)日益繁重。通過先進(jìn)的管理策略、管理工具提高網(wǎng)絡(luò)的運(yùn)行性能、可靠性，簡(jiǎn)化網(wǎng)絡(luò)的維護(hù)工作，從而為辦公、管理提供最有力的保障。（一） 內(nèi)部局域網(wǎng)：內(nèi)網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D如下：層次設(shè)計(jì)：內(nèi)部局域網(wǎng)采用標(biāo)準(zhǔn)的三層結(jié)構(gòu)設(shè)計(jì)。為保障內(nèi)網(wǎng)數(shù)據(jù)中心的高安全需求，在數(shù)據(jù)中心匯聚交換機(jī)與內(nèi)網(wǎng)防火墻間部署高性能IPS入侵防御系統(tǒng)。并通過百兆連接增強(qiáng)型無(wú)線AP，提供樓層無(wú)線寬帶接入。采用1臺(tái)H3C S7506R高端多業(yè)務(wù)路由交換機(jī)。核心層大容量高性能特性：H3C S7500系列交換機(jī)采用先進(jìn)的全分布式體系結(jié)構(gòu)設(shè)計(jì)，通過主引擎和分布式高速業(yè)務(wù)接口板上內(nèi)置的Crossbar交換網(wǎng)芯片實(shí)現(xiàn)板內(nèi)、板間二、三層流量的線速分布式轉(zhuǎn)發(fā)，通過分布式高速業(yè)務(wù)接口板上內(nèi)置的高性能CPU與位于主控引擎上的CPU協(xié)同工作，實(shí)現(xiàn)ACL、流分類、QOS、組播等業(yè)務(wù)的全分布式處理。支持安全的SSH登陸、基于用戶安全策略的SNMP VMAC+IP+VLAN綁定、。特色的網(wǎng)絡(luò)流量分析功能：H3C S7500系列交換機(jī)可以支持NetStream（網(wǎng)流分析）功能，通過NetStream與華為3COM XLOG網(wǎng)絡(luò)分析器相互配合，可幫助網(wǎng)絡(luò)管理員輕松的獲得詳細(xì)的網(wǎng)絡(luò)應(yīng)用信息，使網(wǎng)絡(luò)系統(tǒng)變得透明、可見。提供大容量、全線速的數(shù)據(jù)匯聚轉(zhuǎn)發(fā)。 匯聚層電信級(jí)可靠性設(shè)計(jì)：H3C S7500系列交換機(jī)支持無(wú)源背板，支持雙路電源供電，支持引擎、電源、風(fēng)扇的冗余，支持單板熱插拔，并可以支持STP/RSTP/MSTP/VRRP等協(xié)議實(shí)現(xiàn)鏈路冗余。匯聚層豐富的多業(yè)務(wù)支持H3C S7500系列交換機(jī)支持強(qiáng)大的組播功能、靈活QinQ、內(nèi)置DHCPSERVER、NAT、PBR、POE、EPON等多種業(yè)務(wù)特性，這些業(yè)務(wù)特性極大的提高了網(wǎng)絡(luò)業(yè)務(wù)部署的簡(jiǎn)便性和靈活性，同時(shí)增強(qiáng)了對(duì)IP語(yǔ)音、視頻、WLAN的支持能力，為企業(yè)IT系統(tǒng)實(shí)現(xiàn)通信整合提供了便利。另外每臺(tái)S3600還提供4個(gè)千兆SFP端口，可實(shí)現(xiàn)多千兆捆綁增加上行帶寬，還可以實(shí)現(xiàn)少量千兆到桌面的接入?？煽啃浴ㄟ^專利的路由熱備份技術(shù)，在整個(gè)堆疊架構(gòu)內(nèi)實(shí)現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份和無(wú)間斷三層轉(zhuǎn)發(fā)，極大的增強(qiáng)了堆疊架構(gòu)的可靠性和性能，同時(shí)消除了單點(diǎn)故障，避免了業(yè)務(wù)中斷。H3C S3600系列交換機(jī)提供DHCP Snooping(偵聽)功能，通過建立和維護(hù)DHCP Snooping綁定表實(shí)現(xiàn)偵聽接入用戶的MAC地址、IP地址、租用期、VLANID 接口等信息，解決了 DHCP用戶的IP和端口跟蹤定位問題。H3C S3600系列交換機(jī)通過支持Voice VLAN技術(shù)和智能POE技術(shù)很好的解決了該類設(shè)備的智能檢測(cè)、供電和優(yōu)先級(jí)的調(diào)整問題。支持ECMP（等價(jià)路由），通過配置多條等值路徑實(shí)現(xiàn)上行路由的冗余備份和負(fù)載分擔(dān)。H3C SecPath F1000S防火墻提供四個(gè)千兆以太網(wǎng)接口，其中兩個(gè)千兆電口，兩個(gè)千兆光電復(fù)用接口。為保障內(nèi)網(wǎng)數(shù)據(jù)中心的高安全需求，在數(shù)據(jù)中心匯聚交換機(jī)與內(nèi)網(wǎng)防火墻間部署1臺(tái)TippingPoint 6OOE IPS高性能入侵防御系統(tǒng)。很好的解決了數(shù)據(jù)中心高安全性要求和高帶寬保障的矛盾，在保障數(shù)據(jù)中心高度安全的情況下，并不降低數(shù)據(jù)中心的訪問效率，不會(huì)讓安全設(shè)備成為數(shù)據(jù)中心的帶寬瓶頸。u IRF智能彈性架構(gòu)技術(shù) S5600系列交換機(jī)采用創(chuàng)新的IRF智能彈性技術(shù)，與傳統(tǒng)組網(wǎng)技術(shù)相比，在擴(kuò)展性、可靠性、整體架構(gòu)的性能方面具有強(qiáng)大的優(yōu)勢(shì)，主要體現(xiàn)在三個(gè)方面；擴(kuò)展性－IRF技術(shù)允許交換機(jī)利用互聯(lián)電纜實(shí)現(xiàn)多臺(tái)設(shè)備的擴(kuò)展，最大實(shí)現(xiàn)8臺(tái)設(shè)備的彈性擴(kuò)展；具有即插即用、單一IP管理，同步升級(jí)的優(yōu)點(diǎn)，同時(shí)大大降低系統(tǒng)擴(kuò)展的成本