【正文】 收斂和易于擴(kuò)展等特點(diǎn)，這一層還可作為接入設(shè)備的第一跳網(wǎng)關(guān)；對(duì)于企業(yè)園區(qū)網(wǎng)的匯聚層設(shè)備，應(yīng)該能夠承載企業(yè)園區(qū)的多種融合業(yè)務(wù)，如MPLS、IPv網(wǎng)絡(luò)安全、無(wú)線、無(wú)源光網(wǎng)絡(luò)等，并提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、環(huán)網(wǎng)保護(hù)等多種高可靠技術(shù)，滿足企業(yè)園區(qū)融合業(yè)務(wù)的需求。建議匯聚層交換機(jī)采用H3C S7506E，匯聚設(shè)備10GE雙上行與核心層H3C S9512相連，提供鏈路冗余，核心層設(shè)備通過(guò)VRRP協(xié)議進(jìn)行網(wǎng)關(guān)備份。它主要包括如下內(nèi)容：1) 用戶端點(diǎn)準(zhǔn)入控制對(duì)用戶的安全認(rèn)證和權(quán)限管理，使用我司的EAD解決方案（支持portal、VPN等認(rèn)證方式），在接入邊緣設(shè)備作認(rèn)證；把CAMS服務(wù)器\補(bǔ)丁服務(wù)器\病毒服務(wù)器等集中部署在數(shù)據(jù)中心內(nèi)部共享區(qū)，內(nèi)部所有用戶接入網(wǎng)絡(luò)都需要認(rèn)證，進(jìn)行集中的安全管理2) 業(yè)務(wù)邏輯隔離企業(yè)園區(qū)各部門(mén)共用一套物理網(wǎng)絡(luò)，邏輯隔離使用VRF+MPLS VPN技術(shù)。根據(jù)現(xiàn)有網(wǎng)絡(luò)應(yīng)用，XX煙廠園區(qū)仍然采用L3 MPLS VPN進(jìn)行業(yè)務(wù)隔離，并根據(jù)日后的可控網(wǎng)絡(luò)的發(fā)展要求，實(shí)現(xiàn)整個(gè)煙草網(wǎng)絡(luò)的虛擬化。不同業(yè)務(wù)部門(mén)的人員，通過(guò)有線或者無(wú)線方式進(jìn)行EAD端點(diǎn)準(zhǔn)入的認(rèn)證，認(rèn)證通過(guò)后則能夠自動(dòng)接入到相應(yīng)部門(mén)的不同VPN中，實(shí)現(xiàn)園區(qū)內(nèi)不同類業(yè)務(wù)的安全隔離。分子網(wǎng)是將網(wǎng)絡(luò)號(hào)向主機(jī)號(hào)部分?jǐn)U展、即網(wǎng)絡(luò)邊界向右移的過(guò)程，而路徑疊合則是劃分子網(wǎng)的逆過(guò)程，通過(guò)將子網(wǎng)的邊界向左移的過(guò)程，可用一個(gè)較大的子網(wǎng)來(lái)代表一組連續(xù)的子網(wǎng)。在核心交換機(jī)上設(shè)置相應(yīng)的業(yè)務(wù)隊(duì)列（EF、AFAF3以及AF2隊(duì)列）并為每個(gè)隊(duì)列設(shè)置相應(yīng)的帶寬保證。一、在匯聚交換機(jī)設(shè)備上對(duì)視頻流進(jìn)行分流和著色。. XX煙廠園區(qū)網(wǎng)無(wú)線網(wǎng)絡(luò)設(shè)計(jì). 方案邏輯組網(wǎng)圖XX煙廠數(shù)字化園區(qū)是有線基礎(chǔ)網(wǎng)絡(luò)上建設(shè)的一套無(wú)線網(wǎng)絡(luò)，H3C推薦采用雙星型冗余組網(wǎng)結(jié)構(gòu)。對(duì)于真正相互不重疊信道只有相隔5個(gè)信道的工作中心頻點(diǎn)。無(wú)線控制器內(nèi)嵌中心機(jī)房核心交換機(jī)中，H3C WA2110AG（AP）無(wú)需事先進(jìn)行任何配置，即通過(guò)H3C接入層交換機(jī)接入有線網(wǎng)絡(luò)，并自動(dòng)注冊(cè)到WX5002無(wú)線控制器上，獲得DHCP SERVER分配的IP地址，并自動(dòng)下載配置文件正常工作，在大規(guī)模AP的項(xiàng)目中大量節(jié)省安裝維護(hù)成本?；谏矸莸慕M網(wǎng)：根據(jù)用戶名對(duì)用戶權(quán)限進(jìn)行區(qū)分，不同于傳統(tǒng)的WLAN網(wǎng)絡(luò)通過(guò)接入的有線交換機(jī)端口對(duì)用戶權(quán)限進(jìn)行劃分，并且可以對(duì)用戶的位置、帶寬以及漫游等歷史數(shù)據(jù)進(jìn)行記錄跟蹤。因此這樣的結(jié)構(gòu)適合在走廊中布置AP，來(lái)覆蓋側(cè)面的房間區(qū)域；根據(jù)實(shí)現(xiàn)工程勘測(cè)情況來(lái)看，室內(nèi)走廊部分都可以采用吸頂天線或掛墻的方式進(jìn)行操作。采用基于IP技術(shù)的存儲(chǔ)設(shè)備實(shí)現(xiàn)數(shù)據(jù)存儲(chǔ)，實(shí)現(xiàn)雙機(jī)集群和多路經(jīng)負(fù)載均衡；采用和業(yè)務(wù)特點(diǎn)相適應(yīng)的數(shù)據(jù)保護(hù)手段，實(shí)現(xiàn)業(yè)務(wù)連續(xù)性和數(shù)據(jù)安全。其最大的技術(shù)優(yōu)勢(shì)就在于可進(jìn)行任意時(shí)間點(diǎn)的數(shù)據(jù)恢復(fù)。近線備份中心建設(shè)：建議選用H3C公司的IX3000/IX1000做為近線備份中心或遠(yuǎn)程容災(zāi)中心的存儲(chǔ)系統(tǒng)?？梢蕴峁┍镜貍浞荨⑦B續(xù)數(shù)據(jù)保護(hù)、異地災(zāi)備等不同級(jí)別的數(shù)據(jù)保護(hù)手段4. 虛擬磁帶庫(kù)具備比物理磁帶庫(kù)更高的性能，更好的操作性和可管理性，能夠和備份軟件無(wú)縫集成5. 具備數(shù)據(jù)虛擬化技術(shù)：能夠管理異構(gòu)的存儲(chǔ)設(shè)備，實(shí)現(xiàn)各系統(tǒng)的統(tǒng)一配置和管理5. XX煙廠全局安全規(guī)劃方案. 煙草工業(yè)園區(qū)網(wǎng)絡(luò)安全現(xiàn)狀 大多數(shù)煙廠的網(wǎng)絡(luò)中都應(yīng)用了防火墻，大多數(shù)的桌面終端都安裝了相應(yīng)的防病毒軟件。保證用戶終端的安全、阻止威脅入侵網(wǎng)絡(luò)，對(duì)用戶的網(wǎng)絡(luò)訪問(wèn)行為進(jìn)行有效的控制，是保證企業(yè)網(wǎng)絡(luò)安全運(yùn)行的前提，也是目前企業(yè)急需解決的問(wèn)題。H3C數(shù)據(jù)中心安全解決方案的技術(shù)特色可用十二個(gè)字概括：三重保護(hù)、多層防御；分區(qū)規(guī)劃，分層部署。IPS可以針對(duì)應(yīng)用流量做深度分析與檢測(cè)能力，同時(shí)配合以精心研究的攻擊特征知識(shí)庫(kù)和用戶規(guī)則，即可以有效檢測(cè)并實(shí)時(shí)阻斷隱藏在海量網(wǎng)絡(luò)流量中的病毒、攻擊與濫用行為，也可以對(duì)分布在網(wǎng)絡(luò)中的各種流量進(jìn)行有效管理，從而達(dá)到對(duì)網(wǎng)絡(luò)應(yīng)用層的保護(hù)。按照功能分層打破了將所有功能都駐留在單一服務(wù)器時(shí)帶來(lái)的安全隱患，增強(qiáng)了擴(kuò)展性和高可用性。安全咨詢服務(wù)安全策略咨詢服務(wù)對(duì)用戶現(xiàn)有的信息安全策略文檔和策略執(zhí)行情況進(jìn)行評(píng)價(jià)，給出完整的信息安全策略框架，修訂或者制定相關(guān)的信息安全策略，并幫助用戶進(jìn)行策略的實(shí)施。例如在聯(lián)合工房的制絲車(chē)間、卷包車(chē)間、動(dòng)力中心都會(huì)建設(shè)相關(guān)的生產(chǎn)監(jiān)控系統(tǒng)；為了保證整個(gè)園區(qū)的生產(chǎn)工作正常進(jìn)行，防止盜搶事件的發(fā)生，安保部門(mén)會(huì)建設(shè)相應(yīng)的安防保衛(wèi)監(jiān)控系統(tǒng)；對(duì)于煙廠的倉(cāng)庫(kù)、物流部門(mén)，針對(duì)火災(zāi)、溫度、安防等觸發(fā)式告警監(jiān)控系統(tǒng)也有著廣泛的應(yīng)用。與通常的視頻編碼器不同，EC系列監(jiān)控媒體終端同時(shí)具備視音頻接入及編碼、網(wǎng)絡(luò)接入和iSCSI存儲(chǔ)寫(xiě)入功能，可以完成監(jiān)控信號(hào)的視音頻輸入，把模擬的視頻、音頻信號(hào)（如攝像機(jī)、麥克風(fēng)等視音頻源信號(hào)）進(jìn)行數(shù)字化和壓縮編碼，形成IP 數(shù)據(jù)包，利用網(wǎng)絡(luò)傳送到指定的目的地址，既可以進(jìn)行實(shí)時(shí)查看，滿足實(shí)時(shí)監(jiān)控的需求，也可以直接基于iSCSI寫(xiě)入IP SAN存儲(chǔ)設(shè)備進(jìn)行信息保存。同時(shí)，IP領(lǐng)域的新技術(shù)層出不窮，所有這些技術(shù)，都可能推動(dòng)監(jiān)控技術(shù)的發(fā)展。此外，iVS方案還提供（VC，Video Client）客戶端軟件，該軟件可以通過(guò)VM視頻管理服務(wù)器對(duì)DC系列監(jiān)控媒體終端的輸出進(jìn)行靈活的控制，實(shí)現(xiàn)數(shù)字矩陣的功能。DM的功能包括協(xié)助EC系列監(jiān)控媒體終端建立與存儲(chǔ)資源的連接、制定每個(gè)EC設(shè)備的存儲(chǔ)計(jì)劃、檢索回放視頻數(shù)據(jù)、備份視頻數(shù)據(jù)、存儲(chǔ)資源狀態(tài)監(jiān)控等功能。尤其是iVS采用一次編碼、全網(wǎng)交換的方式，避免了傳統(tǒng)監(jiān)控系統(tǒng)因?yàn)榫仃嚩嗉?jí)級(jí)聯(lián)而造成的圖像質(zhì)量下降和時(shí)延增加的現(xiàn)象，在多級(jí)擴(kuò)展后仍可以保持最佳的高清晰圖像質(zhì)量和低時(shí)延。通過(guò)視頻管理服務(wù)器VM和數(shù)據(jù)管理服務(wù)器DM不僅可對(duì)前端設(shè)備進(jìn)行集中的管理和控制，還可對(duì)分布在各區(qū)域的存儲(chǔ)終端設(shè)備進(jìn)行遠(yuǎn)程的集中管理。煙草企業(yè)一體化管理應(yīng)該以業(yè)務(wù)融合和業(yè)務(wù)流為主旨思想，實(shí)現(xiàn)用戶、資源和業(yè)務(wù)三大網(wǎng)絡(luò)要素的融合管理，其應(yīng)該具備以下功能：. 基礎(chǔ)資源管理應(yīng)該可以基于全網(wǎng)的QoS、ACL、VLAN、QinQ等策略的統(tǒng)一部署、管理和調(diào)配；實(shí)現(xiàn)集群HGMP管理，IPv6設(shè)備管理，路由器、交換機(jī)、安全、語(yǔ)音、存儲(chǔ)、SOHO等公司全線產(chǎn)品的網(wǎng)元管理以及桌面和網(wǎng)絡(luò)資產(chǎn)的統(tǒng)一管理；為業(yè)務(wù)融合、資源調(diào)度和自動(dòng)化協(xié)同響應(yīng)提供必要手段。同時(shí)，應(yīng)該提供網(wǎng)絡(luò)日志審計(jì)系統(tǒng)，可完成用戶上網(wǎng)日志管理，實(shí)現(xiàn)網(wǎng)絡(luò)使用的可追溯性，保證網(wǎng)絡(luò)和用戶信息的安全，并可為合理的網(wǎng)絡(luò)規(guī)劃提供重要的參考。從端點(diǎn)接入上保證每一個(gè)接入網(wǎng)絡(luò)的終端的安全，從而保證網(wǎng)絡(luò)安全。 iVS方案EPON接入示意圖6） 對(duì)新技術(shù)的包容同時(shí)，監(jiān)控所涉及的每個(gè)子領(lǐng)域的技術(shù)都處在快速的發(fā)展中，如監(jiān)控接入層中的各種無(wú)線技術(shù)，包括WLAN、GPRS、3G等；網(wǎng)絡(luò)承載層中的IPv高性能以太網(wǎng)等；控制層的模塊化軟件技術(shù)、中間件技術(shù)等；業(yè)務(wù)應(yīng)用層的IP SAN、圖像識(shí)別、人工智能等。4）靈活方便的管理模式系統(tǒng)針對(duì)不同的用戶可以采用域管理、用戶管理和云臺(tái)控制沖突管理等多種權(quán)限管理模式?？刂萍肮芾聿糠郑哼@部分完成對(duì)所有監(jiān)控設(shè)備、業(yè)務(wù)的管理及控制，包括了視頻管理服務(wù)器VM、數(shù)據(jù)管理服務(wù)器DM等組件。視頻音頻存儲(chǔ)部分包括H3C公司的EX1000 IPSAN存儲(chǔ)設(shè)備，主要功能是接收EC發(fā)送過(guò)來(lái)的基于TCP/IP iSCSI 存儲(chǔ)視頻數(shù)據(jù)流，并存儲(chǔ)起來(lái)；向PC客戶端（虛擬解碼器Virtual decoder）提供實(shí)際的VOD點(diǎn)播視頻流數(shù)據(jù)流和視頻數(shù)據(jù)下載服務(wù)；接受數(shù)據(jù)管理服務(wù)器DM的管理等。傳輸及交換部分包括H3C公司提供的路由器、接入交換機(jī)、核心交換機(jī)、EPON傳輸設(shè)備、信息安全產(chǎn)品等。 不少煙廠領(lǐng)導(dǎo)希望在辦公桌上調(diào)用監(jiān)控圖像，但傳統(tǒng)監(jiān)控技術(shù)實(shí)現(xiàn)困難。3) 管理覆蓋全面網(wǎng)上設(shè)備種類多、型號(hào)復(fù)雜是安全管理面臨的一大難題。H3C有非常專業(yè)的安全評(píng)估團(tuán)隊(duì)和有很好的安全評(píng)估方案，也具有信息安全類服務(wù)資質(zhì)證書(shū)。服務(wù)器資源是數(shù)據(jù)中心的核心，多層架構(gòu)把應(yīng)用服務(wù)器分解成可管理的、安全的層次。數(shù)據(jù)中心就像一個(gè)欣欣向榮的國(guó)家，來(lái)往的商客就像訪問(wèn)數(shù)據(jù)中心的報(bào)文；防火墻是駐守在國(guó)境線上的軍隊(duì)，一方面擔(dān)負(fù)著守衛(wèi)國(guó)土防御外族攻擊（DDOS）的重任，另一方面負(fù)責(zé)檢查來(lái)往商客的身份（訪問(wèn)控制）；IPS是國(guó)家的警察，隨時(shí)準(zhǔn)備捉拿雖然擁有合法身份，但仍在從事違法亂紀(jì)活動(dòng)的商客（蠕蟲(chóng)病毒），以保衛(wèi)社會(huì)秩序；具有各種安全特性的交換機(jī)就像商鋪雇傭的保安，提供最基本的安全監(jiān)管，時(shí)刻提防由內(nèi)部人員造成的破壞（STP 攻擊）?；A(chǔ)設(shè)施框架下多層應(yīng)用程序與硬件、網(wǎng)絡(luò)、操作系統(tǒng)的關(guān)系變得愈加復(fù)雜。. 全局安全概述H3C全局安全管理平臺(tái)旨在集中部署網(wǎng)絡(luò)安全防護(hù)策略，簡(jiǎn)化對(duì)安全部件的管理，確保網(wǎng)絡(luò)安全策略的統(tǒng)一；廣泛采集與分析來(lái)自于計(jì)算機(jī)、網(wǎng)絡(luò)、存儲(chǔ)、安全等設(shè)施的告警事件，通過(guò)關(guān)聯(lián)來(lái)自于不同地點(diǎn)、不同層次、不同類型的安全事件，發(fā)現(xiàn)真正的安全風(fēng)險(xiǎn)，提高安全報(bào)警的信噪比；準(zhǔn)確的、實(shí)時(shí)的評(píng)估當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢(shì)和風(fēng)險(xiǎn)，并根據(jù)預(yù)先制定的策略做出快速響應(yīng)。近線連續(xù)數(shù)據(jù)保護(hù)CDP解決方案特點(diǎn)：l 通過(guò)CDP連續(xù)數(shù)據(jù)保護(hù)方案徹底解決傳統(tǒng)備份方式的弊端，節(jié)省備份投資l 快速恢復(fù)，10分鐘內(nèi)可以恢復(fù)。采用2臺(tái)H3C公司的IV5000虛擬化數(shù)據(jù)管理平臺(tái)將IX3000納入統(tǒng)一管理，兩臺(tái)IV5000通過(guò)active－active方式運(yùn)行，保證系統(tǒng)的高可用性。而針對(duì)卷煙生產(chǎn)調(diào)度等核心系統(tǒng)，采用H3C連續(xù)數(shù)據(jù)保護(hù)技術(shù)，使得應(yīng)用系統(tǒng)具備更高級(jí)別的數(shù)據(jù)保護(hù)和恢復(fù)能力，如：秒級(jí)數(shù)據(jù)備份精度和分鐘級(jí)快速恢復(fù)。H3C公司與國(guó)際一流的存儲(chǔ)軟硬件供應(yīng)商合作，共同開(kāi)發(fā)推出了Neocean自適應(yīng)網(wǎng)絡(luò)存儲(chǔ)系列產(chǎn)品。. 供電問(wèn)題由于本次無(wú)線網(wǎng)中AP設(shè)備數(shù)量較多，AP布放位置根據(jù)實(shí)際覆蓋效果而調(diào)整，在已建設(shè)完成的建筑物上較難進(jìn)行本地供電。支持靈活的拓?fù)浣Y(jié)構(gòu)：AP允許多種部署，從而能夠直接或間接連接到管理它的無(wú)線局域網(wǎng)控制器。`頻率規(guī)劃原理圖頻率規(guī)劃需要配合使用的功能包括：I. AP支持13個(gè)信道設(shè)置；II. AP支持100mW最大射頻功率以及多級(jí)功率控制；III. AP支持外置天線以及定向天線；. 網(wǎng)絡(luò)管理基于標(biāo)準(zhǔn)的SNMP協(xié)議實(shí)現(xiàn)對(duì)設(shè)備的管理，iMC中專門(mén)的無(wú)線局域網(wǎng)管理軟件WSM組件可實(shí)現(xiàn)對(duì)WLAN所有網(wǎng)元的管理。當(dāng)用戶在AP內(nèi)進(jìn)行切換時(shí)，此時(shí)的主要工作由無(wú)線交換機(jī)進(jìn)行統(tǒng)一調(diào)度，當(dāng)用戶在網(wǎng)絡(luò)內(nèi)不同的端口下的不同AP的覆蓋范圍時(shí)，此時(shí)用戶不會(huì)再次觸發(fā)認(rèn)證，無(wú)線用戶在不同AP之間的漫游切換速度小于50毫秒，滿足無(wú)線用戶的業(yè)務(wù)使用質(zhì)量。四、通過(guò)在全網(wǎng)配置的策略一致，保障了關(guān)鍵業(yè)務(wù)流在各級(jí)交換機(jī)的優(yōu)先發(fā)送級(jí)別，從而在全網(wǎng)范圍內(nèi)保障視頻的低延時(shí)、低抖動(dòng)，實(shí)現(xiàn)對(duì)關(guān)鍵業(yè)務(wù)流在整網(wǎng)的端到端的QOS保障。CBQ以及Differserv根據(jù)報(bào)文的流分類報(bào)文提供不同的轉(zhuǎn)發(fā)策略，對(duì)于EF類業(yè)務(wù)將分別保證帶寬和時(shí)延，對(duì)于AF類業(yè)務(wù)將保證業(yè)務(wù)帶寬，其它類業(yè)務(wù)將只保證可達(dá)性。如語(yǔ)音通訊、視頻通訊等。根據(jù)選擇的IP地址段和數(shù)據(jù)中心的業(yè)務(wù)功能模塊進(jìn)行映射。核心層用MPLS標(biāo)簽轉(zhuǎn)發(fā)，PE設(shè)備控制VPN路由引入，建立專用的VPN轉(zhuǎn)發(fā)通道，為數(shù)據(jù)中心提供PE接口，兼容數(shù)據(jù)中心內(nèi)部業(yè)務(wù)邏輯隔離和物理隔離。3) 集中服務(wù)管理為園區(qū)內(nèi)用戶提供統(tǒng)一的I