【正文】 單個(gè)子公司的網(wǎng)絡(luò)故障不應(yīng)該擴(kuò)展到全網(wǎng)，匯聚層交換機(jī)也應(yīng)該采用具有路由功能的 多層交換機(jī)，以達(dá)到網(wǎng)絡(luò)隔離和分段的目的。 核心層設(shè)備 由于旭日集團(tuán)園區(qū)網(wǎng)網(wǎng)絡(luò)發(fā)展規(guī)模較大，未來需提供多媒體辦公、辦公自動(dòng)化、圖書資料檢索、遠(yuǎn)程互聯(lián)、視頻會(huì)議等復(fù)雜的網(wǎng)絡(luò)應(yīng)用，為便 于管理，我們建議選用的交換機(jī)作為網(wǎng)絡(luò)組建交換設(shè)備。易擴(kuò)展不僅僅指設(shè)備端口的擴(kuò)展，還指網(wǎng)絡(luò)結(jié)構(gòu)的易擴(kuò)展性：即只有在網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)合理的情況下，新的網(wǎng)絡(luò)節(jié)點(diǎn)才能方便地加入已有網(wǎng)絡(luò)；網(wǎng)絡(luò)協(xié)議的易擴(kuò)展：無論是選擇第三層網(wǎng)絡(luò)路由協(xié)議，還是規(guī)劃第二層虛擬網(wǎng)的劃分，都應(yīng)注意其擴(kuò)展能力。 將各個(gè)子公司之間的網(wǎng)絡(luò)的關(guān)聯(lián)度降低到最低的策略，可以最大限度的減少各個(gè)子公司網(wǎng)絡(luò)之間的相互影響，便于分別管理，或者在不同子公司擴(kuò)展網(wǎng)絡(luò)的新應(yīng)用。第一分公司與主樓相距 50 米，第二分公司與主樓相距也是 50 米，第三分公司與主樓相距 5 公里，第四分公司與主樓相距 8 公里，另兩個(gè)分公司在北京和上海各自有自己的辦公樓。 因?yàn)樵趯?shí)際施工中，不可能使水平線纜一直保持直線路由，所以實(shí)際安裝中，需要的線纜總會(huì)比圖紙上統(tǒng)計(jì)的量大的多，這就需要電氣工程師考慮一定的裕量。 建筑物內(nèi)采用先進(jìn)的超五類非屏蔽布線系統(tǒng) 根據(jù) 技術(shù)規(guī)范，選用高性能 UTP 非屏蔽系統(tǒng)，傳輸參數(shù)可達(dá)到200MHz，通道傳輸性能在 200 MHz 時(shí) ACR3dB, 250MHz 時(shí) ACR 0 dB，通道傳輸性能不低于招標(biāo)技術(shù)要求所附性能參數(shù)表的要求。建筑物主干子系統(tǒng)提供大樓內(nèi)通信網(wǎng)絡(luò)信息交換的主干通道。 、綜合布線系統(tǒng)的結(jié)構(gòu) 綜合布線系統(tǒng) 部分 結(jié)構(gòu)如下圖所示： 根據(jù)綜合布線國(guó)際標(biāo)準(zhǔn) ISO 11801 的定義，綜合布線系統(tǒng)可由以下子系統(tǒng)組成： ? 工作區(qū)子系統(tǒng) (Work Area Subsystem) 工作區(qū)子系統(tǒng)由信息插座延伸至用戶終端設(shè)備的布線組成，包括信息插座和相應(yīng)的連接軟線。在設(shè)計(jì)園區(qū)網(wǎng)的原則上應(yīng)該要求設(shè)備的可管理性，同時(shí)先進(jìn)的網(wǎng)管軟件可以支持網(wǎng)絡(luò)維護(hù)、監(jiān)控、配置等功能。 系統(tǒng)應(yīng)著重考慮和滿足以上的設(shè)計(jì)要求。在大規(guī)模園區(qū)網(wǎng)絡(luò)的設(shè)計(jì)上，劃分虛擬子網(wǎng)，一方面可以有效的隔離子網(wǎng)內(nèi)的大量廣播，另一方面隔離網(wǎng)絡(luò)子網(wǎng)間的通訊，控制了資源的訪問權(quán)限，提高了網(wǎng)絡(luò)的安全性。 支持多址廣播協(xié)議 ： IGMP， DVMRP， PIMDM， PIMSM； 網(wǎng)絡(luò)管理協(xié)議： SNMP， RMON， RMON2； 兼容性 跟蹤世界科技 發(fā)展動(dòng)態(tài)，網(wǎng)絡(luò)規(guī)劃與現(xiàn)有光纖傳輸網(wǎng)及將要改造的分配網(wǎng)有良好的兼容，在采用先進(jìn)技術(shù)的前提下，最大可能地保護(hù)已有投資，并能在已有的網(wǎng)絡(luò)上擴(kuò)展多種業(yè)務(wù)。設(shè)備要在滿足該項(xiàng)目的功能和性能上還具有良好的性價(jià)比。 ． 集團(tuán)綜合信息系統(tǒng) 建設(shè)目標(biāo) 旭日 集團(tuán)信息系統(tǒng)主要 建設(shè)一個(gè)企業(yè)信息系統(tǒng)，它以管理信息為主體，連接生產(chǎn)、銷售、維護(hù)、運(yùn)營(yíng)子系統(tǒng)，是一個(gè)面向集團(tuán)的日常業(yè)務(wù)、立足生產(chǎn)、面向社會(huì)，輔助領(lǐng)導(dǎo)決策的計(jì)算機(jī)信息網(wǎng)絡(luò)系統(tǒng)。 3．內(nèi)、外網(wǎng)隔離 過硬盤隔離卡及雙布線系統(tǒng)、雙網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)辦公內(nèi)網(wǎng)與外網(wǎng)隔離。設(shè)備應(yīng)能提供高端口密度、模塊化的設(shè)計(jì)以及多種類接口、技術(shù)的選擇，以方便未來更靈活的擴(kuò)展。 第 7 頁(yè) 共 90 頁(yè) 硬件可靠性 系統(tǒng)的主要部件采用冗余結(jié)構(gòu)，如：傳輸方式的備份，提供備份組網(wǎng)結(jié)構(gòu)；主要的計(jì)算機(jī)設(shè)備（如數(shù)據(jù)庫(kù)服務(wù)器），采用 CLUSTER技術(shù) ,支持雙機(jī)或多機(jī)高可用結(jié)構(gòu)；配備不間斷電源等。第 8 頁(yè) 共 90 頁(yè) 網(wǎng)絡(luò)管理軟件應(yīng)用于網(wǎng)絡(luò)的設(shè)備配置，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)表示，網(wǎng)絡(luò)設(shè)備的狀態(tài)顯示，網(wǎng)絡(luò)設(shè)備的故障事件報(bào)警，網(wǎng)絡(luò)流量統(tǒng)計(jì)分析以及計(jì)費(fèi)等。 園區(qū)的綜合布線系統(tǒng)是 一個(gè)高標(biāo)準(zhǔn)的布線系統(tǒng)，水平系統(tǒng)和工作區(qū)采用超五類元件，主干采用光纖，構(gòu)成主干千兆以太網(wǎng)。水平布線提供大樓網(wǎng)絡(luò)通信系統(tǒng)到用戶終 端設(shè)備的信息傳輸。建筑群配線間通常也用于放 置電信接入設(shè)備和廣域網(wǎng)連接設(shè)備。 布線系統(tǒng)結(jié)構(gòu)如下： 第 12 頁(yè) 共 90 頁(yè) 、 在施工中注意 事項(xiàng) ⑴ 仔細(xì)查閱其它專業(yè)的施工圖紙 在施工前，必須仔細(xì)查閱其他專業(yè)的施工圖紙，尤其是土建結(jié)構(gòu)施工圖、水、電、通風(fēng)施工圖。 ⑶ 采用質(zhì)量可靠的管路和線纜，以避免日后的麻煩 在大多數(shù)設(shè)計(jì)中，水 平布線子系統(tǒng)是被設(shè)計(jì)在吊頂、墻體或底板內(nèi)的，所以可以認(rèn)為水平子系統(tǒng)是不可更改、永久的系統(tǒng)。 將因特網(wǎng)接入部分和園區(qū)網(wǎng)主體部分分離，每部分完成其自身的功能， 可以減 少兩者之間的相互影響。要求有物理層、數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層的備份技術(shù)。保證 隨著網(wǎng) 絡(luò)中多媒體的應(yīng)用越來越多，這類應(yīng)用對(duì)服務(wù)質(zhì)量的要求較高，本網(wǎng)絡(luò)系統(tǒng)應(yīng)能保證 QoS，第 17 頁(yè) 共 90 頁(yè) 以支持這類應(yīng)用。通過增加堆疊交換機(jī)數(shù)量或做Port Trunking(端口干路 )兩種辦法均可擴(kuò)充網(wǎng)絡(luò)規(guī)模；并且實(shí)現(xiàn)了本地化交換，改善了整個(gè)網(wǎng)絡(luò)，使整個(gè)網(wǎng)絡(luò)的性能發(fā)生了質(zhì)的變化。 Catalyst3550交換機(jī)智能以太網(wǎng)交換機(jī)是一個(gè)新型的可堆疊的，多層次級(jí)交換機(jī)系列，可以提高水平的可用性，可擴(kuò)展性，服務(wù)質(zhì)量（ QoS） ,安全性和可改進(jìn)網(wǎng)絡(luò)運(yùn)營(yíng)的管理能力，從而提高網(wǎng)絡(luò)的運(yùn)行效率。應(yīng)該能夠提供高密度的接入，對(duì)環(huán)境的適應(yīng)能力強(qiáng)，運(yùn)行穩(wěn)定。 WSC295048E 交換機(jī)，有 48 個(gè) 10/100 端口， 2 個(gè)基于千兆接口轉(zhuǎn) 換器（ GBIC）的 1000BaseX 端口，能夠?yàn)橛脩籼峁┣д椎墓饫w骨干和高密度度的接入端口；具有高達(dá) 的背板帶寬，能夠提供 的轉(zhuǎn)發(fā)速率；增強(qiáng)型的 IOS，能夠支持 250 個(gè) VLAN，提供安全， QoS，管理等各方面 的智能交換服務(wù)。如果介質(zhì)是空閑的，則可以發(fā)送，如果介質(zhì)是繁忙的，則隔一次間隔后重發(fā)，即采用某種退避算法。 快速以太網(wǎng)的應(yīng)用主要是基于它的交換模式。 千兆以太網(wǎng)通過載波擴(kuò)展（ Carrier Extension）、采用帶中繼、交換功能的網(wǎng)絡(luò)設(shè)備以及多種激光器和光纖將連接距離擴(kuò)展到從 500米至 3000 米。千兆位以太網(wǎng)可以通過價(jià)格便宜的共享集線器、交換機(jī)或路由器來實(shí)現(xiàn)。 網(wǎng)絡(luò)技術(shù)選型結(jié)論 綜上所述，在選擇 旭日集團(tuán)園區(qū) 網(wǎng)網(wǎng)絡(luò)技術(shù)時(shí)應(yīng)該考慮如下： ⑴ 、長(zhǎng)遠(yuǎn)來看如何保護(hù)現(xiàn)有投資。目前滿眼看到的是國(guó)外的技術(shù)和產(chǎn)品，無形中增加了網(wǎng)絡(luò)造價(jià)成本，這也給網(wǎng)絡(luò)的普及帶來一定障礙?？梢詤^(qū)分不同的應(yīng)用和用戶 ,方便集團(tuán)的管理與維護(hù) . 建議每棟建筑物內(nèi)的局域網(wǎng)劃分 8 個(gè) 1 指旭日集團(tuán)的OA 類應(yīng)用 . VLAN 用途如表 1 VLAN 劃分用途表 VLAN 用途 VLAN1 應(yīng)用類 1 的微機(jī)室工作人員 VLAN2 應(yīng)用類 1 的財(cái)務(wù)部工作人員 VLAN3 應(yīng)用類 1 的行政部工作人員 VLAN4 應(yīng)用類 1 的研發(fā)部工作人員 VLAN5 應(yīng)用類 1 的后勤部工作人員 VLAN6 應(yīng)用類 1 的人力資源部工作 人員 VLAN7 應(yīng)用類 1 的業(yè)務(wù)部工作人員 第 27 頁(yè) 共 90 頁(yè) VLAN8 應(yīng)用類 1 的生產(chǎn)部工作人員 ⑵． IP 地址分配方案 IPv4 的地址結(jié)構(gòu)，各個(gè)位的使用規(guī)劃如圖： 07 810 1115 1618 1931 集團(tuán)標(biāo)識(shí) 子公司標(biāo)識(shí) 預(yù)留 類別標(biāo)識(shí) 用戶空間地址 其中各個(gè)部分的取值如表： 位 取值 含義 備注 070 00001010 某某集團(tuán) 私有地址 811 0000 保留 0001 總部 主樓的用戶標(biāo)識(shí) 0010 子公司 1 子公司 1 的用戶標(biāo)識(shí) 0011 子公司 2 子公司 2 的的用戶標(biāo)識(shí) 0100 子公司 3 子公司 3 的用戶標(biāo)識(shí) 0101 子公司 4 子公司 4 的用戶標(biāo)識(shí) 0110 子公司 5 子公司 5 的用戶標(biāo)識(shí) 0111 子公司 6 子公司 5 的用戶標(biāo)識(shí) 10001111 保留 1213 00 缺省 0011 保留 1417 000 保留 001 網(wǎng)管類 交換機(jī)設(shè)備地址，路由器環(huán)回地址，網(wǎng)管工作站地址 010 互聯(lián)類 交換機(jī)，路由器等設(shè)備之間 互相連接用 011 應(yīng)用類 1 集團(tuán) OA 類用 111 因特網(wǎng)類 集團(tuán)的因特網(wǎng)連接，因特網(wǎng)應(yīng)用。快速生成樹協(xié)議是生成樹協(xié)議的改進(jìn)，在原有功能的基礎(chǔ)上提高了網(wǎng)絡(luò)保護(hù)的性能。在作了鏈路聚合的端口之間可以做冗余備份和負(fù)載分擔(dān)。通過使用熱備份路由份協(xié)議（ HSRP），可使網(wǎng)絡(luò)對(duì)最終用戶的可用性得到充分的保證。并且主用的匯聚層交換機(jī)配置占先權(quán)。通過數(shù)據(jù)流的目的 IP 地址和源 IP 地址進(jìn)行計(jì)算， Cisco6509 系列以太網(wǎng)路 由交換機(jī)可以保證同一個(gè) IP 轉(zhuǎn)發(fā)流都從同一個(gè)路由路徑被轉(zhuǎn)發(fā)出去，從而保證了整個(gè)端到端網(wǎng)絡(luò)的路由報(bào)文轉(zhuǎn)發(fā)的有序性，避免了 TCP 全局同步等問題的發(fā)生。 網(wǎng)絡(luò)安全設(shè)計(jì) 旭日集團(tuán)園區(qū)網(wǎng)有 5000 用戶，網(wǎng)絡(luò)規(guī)模比較大，并且和因特網(wǎng)存在連接。通過將設(shè)備安置在獨(dú)立的設(shè)備間中，并增加門 禁系統(tǒng)，確保只有授權(quán)的管理和維護(hù)人員才能接觸到物理設(shè)備。保證了局域網(wǎng)的運(yùn)行安全，可以避免因?yàn)?VLAN 被錯(cuò)誤或者惡意的增加。同時(shí)需要建立 WEB 服務(wù)器，用于 在互聯(lián)網(wǎng)上發(fā)布企業(yè)信息?？偛抗芾韱T對(duì)集團(tuán)所有系統(tǒng)有管理權(quán)限。即使域中的一臺(tái)域控制器發(fā)生故障，仍然能保障系統(tǒng)的正常運(yùn)行。用戶帳戶在所屬的部門的 OU 中創(chuàng)建。集團(tuán)中所有的客戶端做為 ISA 的客戶端，所有的互聯(lián)網(wǎng)的訪問均通過ISA 服務(wù)器轉(zhuǎn)發(fā)，這樣，就可以在 ISA 服務(wù)器上對(duì)所有網(wǎng)絡(luò)流 量進(jìn)行監(jiān)控并對(duì)實(shí)現(xiàn)網(wǎng)絡(luò)訪問的過濾。 IIS 同樣增強(qiáng)了網(wǎng)絡(luò)應(yīng)用的開發(fā)與國(guó)際性支持。 服務(wù)器合并 IIS 是一個(gè)具有高伸縮性的 Web 服務(wù)器，它為 Web 服務(wù)器的合并提供了新的機(jī)遇。 IIS 還提供了更多更強(qiáng)大的管理功能，改善了對(duì) XML 元 數(shù) 據(jù) 庫(kù) （ metabase） 的 管 理 ， 并 且 提供了新的命令行工具。 自動(dòng)進(jìn)程回收 IIS 可以根據(jù)一組靈活的標(biāo)準(zhǔn)和條件 ——例如 CPU 利用率和內(nèi)存占用情況，自動(dòng)停止和重新啟動(dòng)發(fā)生故障的 Web 站點(diǎn)和應(yīng)用程序，同時(shí)將請(qǐng)求放入隊(duì)列。 功能特性 描述 容錯(cuò)進(jìn)程架構(gòu) IIS 的容錯(cuò)式進(jìn)程架構(gòu)將 Web 站點(diǎn)和應(yīng)用程序隔離到一個(gè)自包含的單元之中（又稱應(yīng)用程序池）。基于 IIS 第 47 頁(yè) 共 90 頁(yè) ， Windows Server 2020 為開發(fā)者提供高標(biāo)準(zhǔn) 的 附 加 功 能 ， 包 括 快 速 應(yīng) 用 程 序 開 發(fā) 以 及 廣泛 的 語(yǔ) 言 選 擇 ， 同 時(shí) 也 提 供 了 國(guó) 際 化 支 持 和 支持最新的 Web 標(biāo)準(zhǔn)。 更 安 全 、 易于管理 IIS 在安全與管理方面做出了重大的改進(jìn) 。各個(gè)子公司的系統(tǒng)管理員可以獨(dú)立的管理子公司的域，并可以在以后修改和編輯組策略，以適應(yīng)公司未來的需求。 如圖所示： 系統(tǒng)的安全 設(shè)計(jì) 在設(shè)計(jì)方案中，安全的設(shè)計(jì)主要分 2 個(gè)部分，首先是 ISA Server的應(yīng)用，通過 ISA Server 的配置，建立軟件防火墻，保護(hù)集團(tuán)內(nèi)部網(wǎng)絡(luò)不受外部用戶的攻擊，同時(shí)利用 ISA Server 提供的網(wǎng)站 過濾功能和服務(wù)器發(fā)布功能，對(duì)企業(yè)內(nèi)部用戶的上網(wǎng)行為進(jìn)行規(guī)范，并能保障服務(wù)器的安全使用。 系統(tǒng)管理設(shè)計(jì) 在系統(tǒng)設(shè)計(jì)時(shí)包括三個(gè)部分，分別是 OU，用戶及組的設(shè)計(jì)，為了更好的滿足集團(tuán)的需要，便于系統(tǒng)管理員方便管理企業(yè)中的所有用戶，系統(tǒng)管理結(jié)構(gòu)與集團(tuán)的管理結(jié)構(gòu)相匹配，方案中采用了如下所述的設(shè)計(jì)。本方案采用 Windows 系統(tǒng)提供的域模式來組織和管理全部系統(tǒng)資源，采用域的模式，不僅可以集中存儲(chǔ)網(wǎng)絡(luò)對(duì)象，并且管理簡(jiǎn)單，即實(shí)現(xiàn)了集中管理，又可以滿足不 同公司自身的安全需求。集團(tuán)總部和各個(gè)分公司應(yīng)是相互獨(dú)立的管理單元，各個(gè)單位在自己公司范圍內(nèi)實(shí)現(xiàn)用戶賬戶及網(wǎng)絡(luò)安全的管理。只有用戶使用申請(qǐng)通過批準(zhǔn)之后 網(wǎng)絡(luò)管理員才能將端口激活?？诹罟芾碇贫劝诹畹脑O(shè)置，保管，更改，口令的強(qiáng)度等內(nèi)容。其次，必須具有一定的技術(shù)手段來保障網(wǎng)絡(luò)的安全。策略路由是設(shè)置在接收?qǐng)?bào)文接口而不是發(fā)送接口。以前部分路由交換機(jī)雖然也宣稱支持等價(jià)路由，但實(shí)際上只是從軟件上支持，對(duì)軟件轉(zhuǎn)發(fā)的報(bào)文可以使用等價(jià)路由，但對(duì)于由硬件直接轉(zhuǎn)發(fā)的報(bào)文，則只能從一條固定路徑轉(zhuǎn) 發(fā)。 在成對(duì)的兩臺(tái)匯聚層多層交換機(jī)上，具體的 HSRP 配置規(guī)范如下： 1． 接口的 IP地址：在第一臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第三個(gè)可用地址，在第二臺(tái)多層交換機(jī)上，某個(gè) VLAN 虛擬接口的 IP 地址是子網(wǎng)的最后第二個(gè)可用地址。如果新地址是在聚合的端口上時(shí)，根據(jù)二層和三層的不同，使用 MAC 地址或 IP 地址進(jìn)行邏輯計(jì)算，根據(jù)邏輯的結(jié)果選擇相應(yīng)端口為轉(zhuǎn)發(fā)端口，發(fā)往該目的地址的幀將按照計(jì)算負(fù)載均衡后的結(jié)果進(jìn)行轉(zhuǎn)發(fā)，實(shí)現(xiàn)端口之間負(fù)載均衡和冗余保護(hù)，保證數(shù)據(jù)流不出現(xiàn)亂序現(xiàn)象。這就可以起到均衡網(wǎng)絡(luò)流量，提高可靠性的作用。 ⑷ 生成樹（ STP/RSTP/M