【正文】 是放置在公共場(chǎng)所，如果密鑰、SSID等安全信息在本地保存的話，一旦失竊對(duì)全網(wǎng)安全性造成威脅，H3C WA2110AG由于其零配置安裝，一旦掉電不會(huì)保存任何信息，避免入侵。而無(wú)線局域網(wǎng)管理軟件H3C WSM可以實(shí)現(xiàn)配置管理整個(gè)WLAN無(wú)線網(wǎng)絡(luò)，其具備以下特點(diǎn)：零配置安裝：接入點(diǎn)無(wú)需準(zhǔn)備預(yù)設(shè)置，AP從無(wú)線控制器繼承配置信息。，實(shí)驗(yàn)證明3載頻也可以實(shí)現(xiàn)蜂窩對(duì)需要覆蓋的區(qū)域進(jìn)行無(wú)縫覆蓋，并提供更高的服務(wù)帶寬提高服務(wù)質(zhì)量，和高帶寬業(yè)務(wù)的開展。由于其支持直序擴(kuò)頻技術(shù)造成相鄰頻點(diǎn)之間存在重疊。具體的邏輯組網(wǎng)圖如下圖所示：. 認(rèn)證方式及認(rèn)證點(diǎn)選擇，H3C WA2110AG無(wú)線AP與無(wú)線控制器H3C WX5002通過CAPWAP隧道協(xié)議（IETF標(biāo)準(zhǔn)草案，由H3C提出并已獲得通過）進(jìn)行通信，無(wú)線用戶的認(rèn)證點(diǎn)都是放置于WX5002無(wú)線控制器上，后臺(tái)的H3C iMC管理服務(wù)器作為用戶鑒權(quán)點(diǎn)。同樣的按照前述QOS的實(shí)施思路，通過分流、著色、應(yīng)用策略使此類業(yè)務(wù)進(jìn)入AF隊(duì)列，從而也能達(dá)到對(duì)特定的業(yè)務(wù)數(shù)據(jù)流的帶寬保證。三、同樣在業(yè)務(wù)網(wǎng)核心交換機(jī)上，可以設(shè)置同樣的策略，使DSCP匹配EF的關(guān)鍵業(yè)務(wù)流進(jìn)入各自的緊急優(yōu)先發(fā)送隊(duì)列，同時(shí)在各個(gè)流出口的接口上應(yīng)用該策略，關(guān)鍵業(yè)務(wù)流均能得到優(yōu)先發(fā)送。下面以視頻會(huì)議的QOS保障為例，來說明QOS在業(yè)務(wù)網(wǎng)上的應(yīng)用。4) 調(diào)度策略不同業(yè)務(wù)子網(wǎng)核心交換機(jī)上根據(jù)優(yōu)先級(jí)區(qū)分流，并配置基于流的加權(quán)公平隊(duì)列CBQ，并配置基于流的DifferServ。三、帶寬保障，對(duì)關(guān)鍵性的業(yè)務(wù)進(jìn)行帶寬分配。. QoS規(guī)劃設(shè)計(jì)1) QoS需求 針對(duì)網(wǎng)絡(luò)系統(tǒng)承載應(yīng)用的特點(diǎn)，對(duì)應(yīng)用進(jìn)行分類，以保證各自數(shù)據(jù)傳輸不受影響，對(duì)于敏感性的應(yīng)用應(yīng)能提供帶寬保證。 采用VLSM時(shí)應(yīng)注意下列三點(diǎn)： l 事先要有規(guī)劃，使子網(wǎng)以可疊合的塊進(jìn)行分配 l 可能會(huì)造成對(duì)已有網(wǎng)絡(luò)地址的重新設(shè)置 l 新的網(wǎng)絡(luò)必須仔細(xì)規(guī)劃地址分配 為縮減路由表的款項(xiàng)，提高路由的效率，路由聚合(Route Summarization 或 Route Aggregation) 是一個(gè)非常重要而有效的手段。IP地址采用RFC1918規(guī)定的地址段（不包括外聯(lián)區(qū)域IP地址）。 這里的CE的設(shè)備也可以是無(wú)線AP設(shè)備。 各部門用戶通過CE設(shè)備接入，通過二層VLAN或VRF進(jìn)行隔離。H3C公司的EAD+MPLS VPN的網(wǎng)絡(luò)虛擬化方案在業(yè)界獨(dú)創(chuàng)性的實(shí)現(xiàn)了提供與企業(yè)各部門業(yè)務(wù)工作流完全匹配的從客戶側(cè)開始的安全控制的端到端的虛擬邏輯通道，使得各部門的業(yè)務(wù)數(shù)據(jù)能夠真正實(shí)現(xiàn)從端到端的安全虛擬通道中傳輸，起到了端到端有效的全程隔離作用，使得企業(yè)網(wǎng)絡(luò)和應(yīng)用實(shí)現(xiàn)無(wú)縫融合。企業(yè)園區(qū)網(wǎng)絡(luò)支持端到端的業(yè)務(wù)邏輯隔離，支持Qos。一般煙廠園區(qū)網(wǎng)虛擬化的需求主要如下：l 橫向不同部門/分類間業(yè)務(wù)的隔離，提高涉密業(yè)務(wù)的安全性，同時(shí)提供訪問控制策略，滿足不同部門間業(yè)務(wù)互訪的要求l 為園區(qū)內(nèi)各部門提供統(tǒng)一的Internet出口，供內(nèi)部用戶訪問Internet和為外部公眾提供應(yīng)用服務(wù)，進(jìn)行集中控制管理l 提供廣域網(wǎng)接口，實(shí)現(xiàn)相同部門/種類業(yè)務(wù)的縱向互通l 數(shù)據(jù)中心資源邏輯上分三部分：部門內(nèi)部數(shù)據(jù)區(qū)、共享數(shù)據(jù)區(qū)和對(duì)外服務(wù)數(shù)據(jù)區(qū)，分別為獨(dú)立部門內(nèi)部、業(yè)務(wù)交互部門和外部公眾提供服務(wù)l 為重要業(yè)務(wù)提供端到端的Qos保證為了滿足煙廠園區(qū)網(wǎng)虛擬化的需求，H3C公司提出了EAD＋MPLS VPN的解決方案，可以實(shí)現(xiàn)與企業(yè)各部門工作流相適應(yīng)的、從客戶側(cè)就開始安全控制的端到端的虛擬通道，實(shí)現(xiàn)和用戶上層應(yīng)用系統(tǒng)權(quán)限無(wú)縫匹配。一些安全特性的配合使用，更能增強(qiáng)網(wǎng)絡(luò)的健壯性：在網(wǎng)絡(luò)邊緣直接與用戶相連的端口可以配置邊緣端口和BPDU保護(hù)，防止從這些端口接收到BPDU報(bào)文引起網(wǎng)絡(luò)拓?fù)渥兓?；在匯聚網(wǎng)關(guān)上配置TC保護(hù)和根保護(hù)特性，防止攻擊造成拓?fù)漕l繁變化。網(wǎng)絡(luò)接入層到核心層間配置STP協(xié)議，核心層和廣域網(wǎng)部分配置三層OSPF路由協(xié)議，OSPF路由協(xié)議和白沙物流數(shù)據(jù)中心采用相同的OSPF id，并將整個(gè)科研數(shù)據(jù)中心設(shè)置為Area 0。這樣可以實(shí)現(xiàn)10ms的故障檢測(cè)時(shí)間以及50ms的業(yè)務(wù)倒換時(shí)間，可以做到故障切換時(shí)完全不影響正在進(jìn)行的音頻業(yè)務(wù)，完全滿足電信級(jí)可靠性的要求。根據(jù)以上要求，對(duì)于企業(yè)園區(qū)網(wǎng)的接入層設(shè)備，建議采用千兆接入的方式，應(yīng)該具有線速三層交換、IRF智能彈性堆疊技術(shù)以及高級(jí)QoS策略等功能。 . 整體規(guī)劃根據(jù)XX卷煙廠網(wǎng)絡(luò)建設(shè)的目標(biāo)和業(yè)務(wù)需求，在充分分析XX卷煙廠業(yè)務(wù)需求的基礎(chǔ)上，構(gòu)建XX煙廠數(shù)字化園區(qū)網(wǎng)絡(luò)，XX煙廠網(wǎng)絡(luò)是整個(gè)XX卷煙廠的應(yīng)用的基礎(chǔ)網(wǎng)，應(yīng)能滿足XX卷煙廠多業(yè)務(wù)、高帶寬應(yīng)用的需求，因此網(wǎng)絡(luò)將建成一個(gè)承載多種業(yè)務(wù)臺(tái)。. XX煙廠園區(qū)網(wǎng)絡(luò)建設(shè)目標(biāo)和整體規(guī)劃：. 建設(shè)目標(biāo)煙廠數(shù)字化園區(qū)統(tǒng)一高效IP承載網(wǎng)的建設(shè)目標(biāo)：l 網(wǎng)絡(luò)統(tǒng)一規(guī)劃，分層分域，采用層次化的建設(shè)模型和分區(qū)域的模塊化結(jié)構(gòu)，層次清晰，既有效隔離，又互相連通； l 帶寬充分，保證各種新興業(yè)務(wù)，如視頻監(jiān)控、視頻會(huì)議等的高速傳輸。端口密度擴(kuò)展 ：設(shè)備的端口密度應(yīng)能滿足網(wǎng)絡(luò)擴(kuò)容時(shí)設(shè)備間互聯(lián)的需要。當(dāng)網(wǎng)絡(luò)出現(xiàn)真正的擁塞時(shí)，瞬間大量的丟包會(huì)引起大量TCP數(shù)據(jù)同時(shí)重發(fā)，加劇網(wǎng)絡(luò)擁塞的程度并引起網(wǎng)絡(luò)的不穩(wěn)定。網(wǎng)絡(luò)設(shè)備應(yīng)支持6~8種業(yè)務(wù)分類(COS)。n 設(shè)備冗余 核心交換機(jī)采用兩臺(tái)或兩臺(tái)以上設(shè)備組成，當(dāng)其中一個(gè)設(shè)備因故障停止工作時(shí)，另一臺(tái)設(shè)備自動(dòng)接替其工作，并且不引起其他節(jié)點(diǎn)的路由表重新計(jì)算，從而提高網(wǎng)絡(luò)的穩(wěn)定性，切換時(shí)間大于3秒。主線路可實(shí)時(shí)、自動(dòng)的切換到備份線路,而不影響業(yè)務(wù)應(yīng)用。在整個(gè)信息的生命周期中，信息的產(chǎn)生、存儲(chǔ)、傳送、處理都是通過IP的方式進(jìn)行，中間不用任何的轉(zhuǎn)化，這樣就能夠?qū)φ麄€(gè)IT系統(tǒng)更好地管理，提升效率。IP協(xié)議彈性強(qiáng)，能更好地適應(yīng)IT網(wǎng)絡(luò)的各種變化。綱要的宗旨是將信息化貫穿煙草行業(yè)生產(chǎn)經(jīng)營(yíng)管理的各個(gè)環(huán)節(jié)、各個(gè)流程，以及將復(fù)雜多變的煙草信息轉(zhuǎn)變?yōu)榭梢粤炕臄?shù)據(jù)，通過數(shù)字分析，為各企業(yè)乃至整個(gè)產(chǎn)業(yè)的發(fā)展提供決策依據(jù)。在企業(yè)內(nèi)部將建立起全面的數(shù)據(jù)分析、決策支持系統(tǒng)，在企業(yè)外部將建立完善的電子商務(wù)(EC)環(huán)境，通過建立供應(yīng)鏈管理(SCM)系統(tǒng)、客戶關(guān)系管理(CRM)系統(tǒng)，提高整個(gè)企業(yè)的市場(chǎng)競(jìng)爭(zhēng)能力。 卷煙工業(yè)企業(yè)信息化建設(shè)主要包括兩大部分：一部分是設(shè)計(jì)、生產(chǎn)過程的信息化，實(shí)際上是生產(chǎn)過程的自動(dòng)化，屬于工業(yè)控制范疇。XX煙廠信息化解決方案技術(shù)建議書杭州華三通信技術(shù)有限公司目 錄1. 煙廠數(shù)字化園區(qū)信息化需求 32. H3C IToIP煙廠數(shù)字化園區(qū)信息化解決方案架構(gòu) 43. XXX煙廠園區(qū)統(tǒng)一高效IP網(wǎng)絡(luò)解決方案 5. IP網(wǎng)絡(luò)方案設(shè)計(jì)原則 5. XX煙廠園區(qū)網(wǎng)絡(luò)建設(shè)目標(biāo)和整體規(guī)劃： 7. 建設(shè)目標(biāo) 7. 整體規(guī)劃 7. XX煙廠園區(qū)網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 9. 局域網(wǎng)詳細(xì)設(shè)計(jì) 9. 虛擬園區(qū)網(wǎng)設(shè)計(jì) 10. IP地址規(guī)劃設(shè)計(jì) 13. QoS規(guī)劃設(shè)計(jì) 14. XX煙廠園區(qū)網(wǎng)無(wú)線網(wǎng)絡(luò)設(shè)計(jì) 16. 方案邏輯組網(wǎng)圖 16. 認(rèn)證方式及認(rèn)證點(diǎn)選擇 17. 整網(wǎng)安全 18. 頻率規(guī)劃與負(fù)載均衡 19. 網(wǎng)絡(luò)管理 19. 供電問題 21. 無(wú)線覆蓋解決方案 214. XX煙廠園區(qū)數(shù)據(jù)中心存儲(chǔ)解決方案 22. CDP（持續(xù)數(shù)據(jù)保護(hù)）方案 235. XX煙廠全局安全規(guī)劃方案 25. 煙草工業(yè)園區(qū)網(wǎng)絡(luò)安全現(xiàn)狀 25. 全局安全概述 25. EAD方案 26. 數(shù)據(jù)中心安全 27. 安全評(píng)估 30. 全網(wǎng)安全方案特點(diǎn) 326. XX煙廠IP智能監(jiān)控解決方案 32. 煙草工業(yè)企業(yè)園區(qū)的監(jiān)控需求 32. H3C IP智能監(jiān)控解決方案概述 34. H3C IP智能監(jiān)控解決方案特點(diǎn) 367. XXX煙廠綜合信息管理解決方案 38. 基礎(chǔ)資源管理 39. 身份與接入管理 39. 端點(diǎn)安全準(zhǔn)入管理 40. VPN管理 40. 網(wǎng)絡(luò)智能分析 401. 煙廠數(shù)字化園區(qū)信息化需求我國(guó)是世界上第一煙草大國(guó)，年卷煙消費(fèi)量約17000億支，卷煙制造行業(yè)是關(guān)系到人民日常生活的重要消費(fèi)品制造行業(yè)。當(dāng)前，我國(guó)卷煙工業(yè)企業(yè)信息化建設(shè)已初具規(guī)模，由單機(jī)應(yīng)用、局部系統(tǒng)應(yīng)用發(fā)展到了網(wǎng)絡(luò)化、集成化、數(shù)字化和智能化，管理信息系統(tǒng)在行業(yè)經(jīng)濟(jì)發(fā)展中已發(fā)揮了重要作用。卷煙工業(yè)企業(yè)信息化建設(shè)在工控方面將向計(jì)算機(jī)集成制造系統(tǒng)(CIMS)方向發(fā)展；在管理方面將向數(shù)字化、智能化發(fā)展。統(tǒng)一平臺(tái)和統(tǒng)一數(shù)據(jù)庫(kù)則更有益于實(shí)現(xiàn)信息資源共享。眾所周知，TCP/IP是迄今為止應(yīng)用最廣泛、最成熟、最為開放、標(biāo)準(zhǔn)化程度最高的技術(shù)體系，具有簡(jiǎn)單、開放、靈活擴(kuò)展、管理和互操作等一系列優(yōu)勢(shì)，已經(jīng)成為當(dāng)今互聯(lián)網(wǎng)、電信網(wǎng)、政務(wù)網(wǎng)、企業(yè)網(wǎng)的主要承載技術(shù)。IToIP并不是各種產(chǎn)品的簡(jiǎn)單堆積，而是一種完全基于IP的融合IT解決方案。建議采用負(fù)載均衡的冗余方式，即通常情況下兩條連接均提供數(shù)據(jù)傳輸，并互為備份。%以上的可用性。網(wǎng)絡(luò)支持標(biāo)準(zhǔn)DiffServ QoS機(jī)制。超過承諾速率的數(shù)據(jù)將被丟棄或標(biāo)以最低的優(yōu)先級(jí)。交換容量擴(kuò)展 ：交換容量應(yīng)具備在現(xiàn)有基礎(chǔ)上繼續(xù)擴(kuò)充1~2倍容量的能力，以適應(yīng)IP類業(yè)務(wù)急速膨脹的現(xiàn)實(shí)。網(wǎng)絡(luò)通信協(xié)議：以TCP/IP協(xié)議為主，設(shè)備商應(yīng)提供服務(wù)營(yíng)運(yùn)級(jí)別的網(wǎng)絡(luò)通信軟件和網(wǎng)際通用操作系統(tǒng)，路由協(xié)議支持成熟標(biāo)準(zhǔn)并且廣泛應(yīng)用的OSPF路由協(xié)議。總之，煙廠數(shù)字化園區(qū)信息化目標(biāo)包括：以統(tǒng)一高效IP網(wǎng)絡(luò)和數(shù)據(jù)為基礎(chǔ)，以全面深入信息系統(tǒng)安全、智能安防和統(tǒng)一智能管理為保證，支撐起煙廠數(shù)字化園區(qū)整合化的應(yīng)用系統(tǒng)，從而為煙廠數(shù)字化園區(qū)提供一個(gè)可靠高效的信息化平臺(tái)。1) 接入層：提供網(wǎng)絡(luò)的第一級(jí)接入功能，完成簡(jiǎn)單的二、三層交換，安全、Qos和POE功能都位于這一層。對(duì)于企業(yè)園區(qū)網(wǎng)核心層，必須提供高性能、高可靠的網(wǎng)絡(luò)結(jié)構(gòu)，推薦采用高可靠的RPR環(huán)網(wǎng)結(jié)構(gòu)或多設(shè)備冗余的星型結(jié)構(gòu)。同時(shí)在核心層配置安全規(guī)則對(duì)內(nèi)部網(wǎng)絡(luò)各子網(wǎng)間的路由實(shí)現(xiàn)策略控制。在分布層配置多個(gè)VRRP組，組master和backup角色均勻分布在兩臺(tái)核心路由交換機(jī)上，使兩臺(tái)網(wǎng)關(guān)設(shè)備同時(shí)完成備份和負(fù)載分擔(dān)功能；通過多生成樹實(shí)例規(guī)劃，使接入設(shè)備不同VLAN業(yè)務(wù)負(fù)載分擔(dān)在兩條上行鏈路，并且到達(dá)的匯聚設(shè)備為第一跳網(wǎng)關(guān)master；實(shí)例root與生成樹實(shí)例映射VLAN的三層網(wǎng)關(guān)master在同一臺(tái)匯聚設(shè)備上，使STP協(xié)議能夠通過計(jì)算合理阻塞鏈路，并且縮小鏈路故障引起的網(wǎng)絡(luò)震蕩范圍；若接入設(shè)備上有VLAN重疊，匯聚設(shè)備設(shè)置為二層TRUNK鏈路。相對(duì)于物理隔離，邏輯隔離（網(wǎng)絡(luò)虛擬化）具有無(wú)需重復(fù)建設(shè)、能提供統(tǒng)一的安全、管理、HA策略等優(yōu)點(diǎn)，并且能夠更好地提供面向應(yīng)用的服務(wù)。核心層用MPLS標(biāo)簽轉(zhuǎn)發(fā)，控制PE設(shè)備VPN路由引入，建立專用的VPN轉(zhuǎn)發(fā)通道，為數(shù)據(jù)中心提供PE或MCE接口，兼容數(shù)據(jù)中心內(nèi)部業(yè)務(wù)邏輯隔離和物理隔離。各種管理\策略服務(wù)器、應(yīng)用服務(wù)器、存儲(chǔ)設(shè)備等統(tǒng)一部署在數(shù)據(jù)中心，為全網(wǎng)提供統(tǒng)一的應(yīng)用和策略服務(wù)。按照業(yè)務(wù)劃分，煙廠園區(qū)的VPN可以劃分辦公業(yè)務(wù)、