【正文】 STP） Cisco6509 系列以太網(wǎng)交換機支持 STP/RSTP/MSTP 生成樹協(xié)議。每一臺都連接所有的匯聚層交換機，但相互之間并不連接（提高網(wǎng)絡(luò)的故障收斂速度）。從目前的趨勢來看，采用千兆以太網(wǎng)技術(shù)是最適宜的。 下表列出了千兆以太網(wǎng)現(xiàn)在支持的距離標(biāo)準(zhǔn)。利用交換機或路由器可以與現(xiàn)有低速的以太網(wǎng)用戶和設(shè)備連接起來，因為千兆位以太網(wǎng)的幀格式和幀尺寸大小等都與所有以太網(wǎng)技術(shù)相同，不需要對網(wǎng)絡(luò)做 任何改變。千兆位以太網(wǎng)技術(shù)以自然的方法來升級現(xiàn)有的以太網(wǎng)絡(luò)、工作站、管理工具和管理人員的技能。交換以太網(wǎng)則利用網(wǎng)絡(luò)交換機在不同網(wǎng)段之間建立多個獨享連接(就像電話交換機可同時為眾多的用戶建立對話通道一樣 )，采用按目的地址的定向傳輸，為每個單獨的網(wǎng)段 提供專用的頻帶（即帶寬獨享），增大了網(wǎng)絡(luò)的傳輸吞吐量，第 22 頁 共 90 頁 提高了傳輸速率，其主干網(wǎng)上無碰撞問題。在這些技術(shù)中，千兆以太網(wǎng)以其在局域網(wǎng)領(lǐng)域中支持高帶寬、多傳輸介質(zhì)、多種服務(wù)、保證 QoS 等特點正逐漸占據(jù)主流位置。 Catalyst2950 系列是有款最廉價的 CISCO 交換機產(chǎn)品系 列，為中型網(wǎng)絡(luò)和城域接入應(yīng)用邊緣提供了智能服務(wù)，可以為局域網(wǎng)提供極佳的性能和功能。憑借內(nèi)置 CISCO 集群管理套件， Catalyst 3550 系列交換機可簡化網(wǎng)絡(luò)的部署。 此外， Cisco6509 交換機，在安裝千兆光纖模塊的同時，還可以安裝百兆光纖模塊，完全可以適應(yīng)現(xiàn)在或?qū)淼臉莾?nèi)光纖布線，靈活性很強。 符合 IP 發(fā)展趨勢的網(wǎng)絡(luò) 在當(dāng)前任何一個提供服務(wù)的網(wǎng)絡(luò)中，對IP 的支持服務(wù)是最普遍的，而 IP 技術(shù)本身又處在發(fā)展變化中，如IpV6， IP QoS， IP Over SONET 等等新興的技術(shù)不斷出現(xiàn)，旭日集團園區(qū)網(wǎng)網(wǎng)絡(luò)絡(luò)必須跟緊 IP 發(fā)展的步伐，也就是必須選擇處于 IP 發(fā)展領(lǐng)導(dǎo)地位的網(wǎng)絡(luò)廠商。 易擴展的網(wǎng)絡(luò) 系統(tǒng)要有可擴展性和可升級性，隨著業(yè)務(wù)的增長和應(yīng)用水平的提高，網(wǎng)絡(luò)中的數(shù)據(jù)和信息流將按指數(shù)增長，需要網(wǎng)絡(luò)有很好的可擴展性，并能隨著技術(shù)的發(fā)展不斷升級。 ? 降低各個子公司之間的網(wǎng)絡(luò)關(guān)聯(lián)度。 三 ．網(wǎng)絡(luò) 設(shè)計 方案 網(wǎng)絡(luò)設(shè)計需求 六個分公司有四個分公司在武漢旭日工業(yè)園內(nèi)各 的建筑物里面 ， 公司為 38 層的主樓，六個分公司都是 7 層樓。 第 13 頁 共 90 頁 ⑵ 建議在施工中應(yīng)滿足設(shè)計裕量。 為充分滿足集團公司內(nèi)部及對外高速高容量信息通信的需要，系第 11 頁 共 90 頁 統(tǒng)采用高速高容量的多模光纖作為園區(qū)的網(wǎng)絡(luò)主干。大樓配線間和樓層配線間通常也用于放置網(wǎng)絡(luò)設(shè)備和其他有源設(shè)備。 建筑群間的光纜采用上海的 OT— T 多模光纖系統(tǒng)，大樓內(nèi)的布線采用 AVAYA 的超五類雙絞線結(jié)構(gòu)化布線系統(tǒng)。在設(shè)計園區(qū)網(wǎng)的設(shè)備選擇上，要求網(wǎng)絡(luò)設(shè)備支 持標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理協(xié)議 SNMP，同時支持 RMON/RMONII 協(xié)議，核心設(shè)備要求支持 RAP (遠(yuǎn)程分析端口 ) 協(xié)議，實施充分的網(wǎng)絡(luò)管理功能。 優(yōu)良的性能價格比。在園區(qū)網(wǎng)絡(luò)設(shè)備上應(yīng)該可以進(jìn)行基于協(xié)議、基于 Mac 地址、基于 IP 地址的包過濾控制功能。 全面支持 IEEE 工業(yè)標(biāo)準(zhǔn) ： ， ， ， ， ， ； 支持路由協(xié)議 ： IP 的 RIP V1/2， OSPF， BGP4；信令標(biāo)準(zhǔn) ： ,RTP/CRTP. 支持 ： IPsec、 L2TP、 GRE、 MPLSVPN 規(guī)范。應(yīng)具備未來良好的可擴展性，可升級性，保 護公司的投資。 本期項目的目標(biāo)是建立如下系統(tǒng)： 1． 構(gòu)造一個既能覆蓋本地又能與外界進(jìn)行網(wǎng)絡(luò)互通、共享信息、展示企業(yè)的計算機企業(yè)網(wǎng) 。 第 5 頁 共 90 頁 集團綜合信息系統(tǒng) 建設(shè)原則 多業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)方案以實現(xiàn)以上功能為基本要求，在設(shè)計上力求做到既要采用國際上先進(jìn)的技術(shù)，又要保證系統(tǒng)的安全可靠性和實用性。 安全性 網(wǎng)絡(luò)的安全性對網(wǎng)絡(luò)設(shè)計是非常重要的， 合理的網(wǎng)絡(luò)安全控制，可以使應(yīng)用環(huán)境中的信息資源得到有效的保護可以有效的控制網(wǎng)絡(luò)的訪問，靈活的實施網(wǎng)絡(luò)的安全控制策略。 軟件可靠性 充分考慮異常情況的處理，具有強的容錯能力、錯誤恢復(fù)能力、錯誤記錄及預(yù)警能力并給用戶以提示；并具有進(jìn)程監(jiān)控管理功能，保證各進(jìn)程的可靠運行數(shù)據(jù)庫系統(tǒng)應(yīng)。網(wǎng)管軟件的應(yīng)用可以提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)管理人員的負(fù)擔(dān)。不僅能滿足現(xiàn)有數(shù)據(jù)、語音、圖像等信息傳輸?shù)囊螅矠榻窈蟮陌l(fā)展奠定基礎(chǔ)。 ? 建筑物主干子系統(tǒng) (Building Backbone Subsystem) 建筑物主干子系統(tǒng)由大樓配線間延伸至各樓層配線間的布 線組成。建筑群布線子系統(tǒng)提供了各建筑物間通信網(wǎng)絡(luò)連接和信息交換的通道。因為水平路由的長短將會對設(shè)計的等級有一定的影響 ，而土建結(jié)構(gòu)施工圖、水、電、通風(fēng)施工圖對水平布線子系統(tǒng)管線路由的走向影響最大。在安裝中，應(yīng)盡量使用性能優(yōu)良、質(zhì)量可靠的管路和線纜，保證用戶日后不破壞建筑結(jié)構(gòu)。因特網(wǎng)接入的變化，只影響接入的變化，對園區(qū)網(wǎng)絡(luò)沒有影響；而園區(qū)網(wǎng)絡(luò)的變化對因特網(wǎng)接入部分影響較小。 高帶寬 為了支持?jǐn)?shù)據(jù)、話音、視像多媒體的傳輸能力，在技術(shù)上要到達(dá)當(dāng)前的國際先進(jìn)水平。 安全性 網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的安全性，由于網(wǎng)絡(luò)連接園區(qū)內(nèi)部所有用戶，安全管理十分重要。第 18 頁 共 90 頁 選用千兆光纖模塊，與主干上聯(lián)，實現(xiàn)主干的千兆傳輸。 Catalyst 3550 系列包括一系列快速以太網(wǎng)和千兆位以 太網(wǎng) 配置，可以用全套千兆位接口轉(zhuǎn)換器（ GBIC）設(shè)備提供強大的千兆位以太網(wǎng)連接；并將 CISCO IOS 軟件中的一套第 24 層功能 —— IP 路由、第 19 頁 共 90 頁 QoS、限速、訪問控制列表（ ACL）和多播服務(wù)擴展到邊緣，堪稱一款適用于企業(yè)和城域應(yīng)用的強大選擇。 樓層接入設(shè)備選擇 CISCO 公司的 WSC295048EI智能以太網(wǎng)交換機。 主干網(wǎng)絡(luò)技術(shù)選型 在 旭日集團園區(qū) 網(wǎng)網(wǎng)絡(luò)的建設(shè)中，主干網(wǎng)選擇何種網(wǎng)絡(luò)技術(shù)對網(wǎng)絡(luò)建設(shè)的成功與否起著決定性的作用。 早期的以太網(wǎng)由于它介質(zhì)共享的特性，當(dāng)網(wǎng)絡(luò)中站點增加時，網(wǎng)絡(luò)的性能會迅速下降，另外缺乏對多種服務(wù)和 QoS 的支持。在交換模式下，快速以太網(wǎng)完全沒有 CSMA/CD 這種機制的缺陷，除了上面談到的交換以太網(wǎng)的優(yōu)點以外，交換模式下 的快速以太網(wǎng)可以工作在全雙工的狀態(tài)下，使得網(wǎng)絡(luò)帶寬可以達(dá)到 200Mbps。如采用 1300nm 激光器和 50um 的多模光纖傳輸距離可以達(dá)到 3km。千兆位以太網(wǎng)支持新的交換機之間或交換機－工作站之間全雙工的連接模式，同時也支持半雙工連接模式以便與基于CSMA/CD 存取方式的共享集線器連接。保護現(xiàn)有投資的有效途徑就是在將來網(wǎng)絡(luò)技術(shù)升級時還能使用現(xiàn)有的網(wǎng)絡(luò)技術(shù)和產(chǎn)品。 ⑶ 售后服務(wù)： 旭日集團園區(qū) 網(wǎng)網(wǎng)絡(luò)的使用，從以往經(jīng)驗來看，售后服務(wù)問題比較突出。 100110 保留 1831 任意 用戶地址 其中， 16—18 取值 011 的時候，對 19—23 位的使用進(jìn)行了重新的定義。傳統(tǒng)生成樹倒換時間為 42s，從發(fā)現(xiàn)鏈路斷裂、數(shù)據(jù)中斷 到數(shù)據(jù)恢復(fù)至少需要三十多秒的時間，而快速生成樹協(xié)議只需 6～ 8秒的時間就可以將數(shù)據(jù)流切換到備份鏈路上。 在實際應(yīng)用中，進(jìn)行聚合處理的端口等同于一個端口，任何轉(zhuǎn)發(fā)到聚合的端口上的報文會通過對源、目的地址的邏輯運算來分布到聚合的不同端口上。另外，通過多個熱備份組，路由器可以提供冗余備份，并在不同的 IP 子網(wǎng)上實現(xiàn)負(fù)載分擔(dān)。 ⑺ 等價路由（ ECMP） 除了從設(shè)備級支持三層轉(zhuǎn)發(fā)容錯協(xié)議 VRRP 之外， Cisco6509 系列以太網(wǎng)路由交換機還支持等價路由（ ECMP）。 ⑻ 策略路由（ PBR） Cisco6509 系列以太網(wǎng)路由交換機支持高性能的策略路由。為了保障網(wǎng)絡(luò)系統(tǒng)的運行安全，保護集團的信息安全，必須進(jìn)行網(wǎng)絡(luò)安全方面的規(guī)劃和實施。 ⑵ 配置設(shè)備的口令 配置設(shè)備的口令，是防止非授權(quán)的人員更改網(wǎng)絡(luò)系統(tǒng)的配置的重要手段。刪除造成的運行事故。在總部和子公司均設(shè)立專用發(fā)服務(wù)器，使集團內(nèi)所第 38 頁 共 90 頁 有員工能夠利用服務(wù)器方便的訪問公共文件資源，并能夠完成企業(yè)內(nèi)部郵件的收發(fā) 。 ? 簡單的設(shè)計：在保障滿足需求的前提下，設(shè)計方案應(yīng)簡單為第 39 頁 共 90 頁 佳，避免由于復(fù)雜的設(shè)計增加工程實施難度和增加集團系統(tǒng)管理的復(fù)雜性。并且提高了用戶身份驗證的速度。 ? 組的管理 為了滿足集團用戶管理的需求，更好的在網(wǎng)絡(luò)中管理用戶權(quán)限的分配，使系統(tǒng)的管理得到最大的簡化，方案中采用第 42 頁 共 90 頁 AGDLP 策略及 AGUDLP 策略。 具體部署如圖： 第 44 頁 共 90 頁 ? 防火墻功能： ISA 服務(wù)器位于企業(yè)網(wǎng)絡(luò)和外網(wǎng)之間，采用三網(wǎng)卡分別連接內(nèi)網(wǎng)和外網(wǎng)和 DZM 區(qū)，充分利用防火墻的角色，并利用網(wǎng)站和內(nèi)容規(guī)則來限制用戶能夠訪問的網(wǎng)站 ? 服務(wù)器發(fā)布：利用 ISA 服務(wù)器將企業(yè)中的郵件和 WEB 服務(wù)器發(fā)布到互聯(lián)網(wǎng)上，保證外部用戶可以訪問公司的 WEB 服務(wù)器，并將公司用戶可以與外部客戶利用郵件交換信息。 IIS 第 46 頁 共 90 頁 和 Windows Server 2020 提供了最可靠的、高效的、連接的、完整的網(wǎng)絡(luò)服務(wù)器解決方案。通過將可靠的體系結(jié)構(gòu)和內(nèi)核模式驅(qū)動程序完美結(jié)合在一起， IIS 允許您在單臺服 務(wù)器上托管更多的應(yīng)用程序。 IIS 在降低系統(tǒng)管理成本的同時，大大提高了信息系統(tǒng)的安全性。 IIS 還可以在回收一個工作進(jìn)程時對客戶機的 TCP/IP 連。新的容錯進(jìn)程架構(gòu)和其它功能特性可以幫助用戶減少不必要的停機時間，并提高應(yīng)用程序的可用性。 增強的開發(fā)與國際化支持 通過 Windows Server 2020 與 I I S 6 . 0 支持的先進(jìn)功能如內(nèi)核模式緩存，應(yīng)用程序開發(fā)人員將從 Windows Server 2020 與 I I S 6 . 0 單一的、完整的應(yīng)用平臺環(huán)境中受益。其可靠的性能提高了網(wǎng)絡(luò)服務(wù)的可用性并且節(jié)省了管理員用于重新啟動網(wǎng)絡(luò)服務(wù)所花費的時間， IIS 將提供最佳的擴展性和強大的性能從而充分發(fā)揮每一臺 W eb 服務(wù)器的最大功效。 ? 安全策略：在 Windows 系統(tǒng)中的域模式下，安全策略是保護系統(tǒng)及用戶在工作環(huán)境不被破壞的重要工具，在本方案中 森森 林林 樹樹 ISA Client ISA Client ISA Server 第 45 頁 共 90 頁 采用了組策略這個工具對全部系統(tǒng)提供安全保護，由于集團各個子公司采用獨立的管理模式，所以在每個域中單獨設(shè)置組策略，并使組策略應(yīng)用到每個域中的用戶和計算機。在本域內(nèi)的權(quán)限的分配，可以使用 AGDLP 策略，在域間的權(quán)限分配，使得 AGDLP 策略，依次將用戶加入全局組，將全局組加入通用組，在將通用組加入域本地組，最后可以根據(jù)需要將權(quán)限授予指定的域本地組，采用這樣的方式，不僅可以使用戶的組織和權(quán)限分配簡單，也可以減少域間的復(fù)制流量，從而提高系統(tǒng)的性能。其中前面 2 種在林范圍內(nèi)起作用，后面 3 種在域范圍內(nèi)起作用，為了使用所有的操作主機更好的工作，保障正常的工作并且不產(chǎn)生大的復(fù)制流量，方案采用了 Windows 系統(tǒng)默認(rèn)的設(shè)置，根 域中第一臺DC 承擔(dān)了五種操作主機的角色，每個子域中的 第一臺 DC 承擔(dān)了域DC DC DC 根域 : 集團總 部 北京分公司 : 上海分公 司 : 子公司 1: 子公司 2:tw 子公司 3: 子公司 4: 同一個站點 森林 第 41 頁 共 90 頁 范圍內(nèi)的三種操作主機角色。 系統(tǒng)設(shè)計方案 系統(tǒng)的構(gòu)價 ⑴ 根據(jù)集團的管理結(jié)構(gòu)。 系統(tǒng)設(shè)計原則 隨著集團 近年來的高速發(fā)展，集團的業(yè)務(wù)已經(jīng)涉及到各個商業(yè)領(lǐng)域，集團及公司內(nèi)部的組織結(jié)構(gòu)也日益復(fù)雜，在本項目的設(shè)計實施過程中，要求工程實施方案在規(guī)劃系統(tǒng)設(shè)計時充分考慮到企業(yè)管理的需求，設(shè)計合理的系統(tǒng)管理結(jié)構(gòu)，能夠很大程度的降 低集團在系統(tǒng)管理上的成本，并能滿足各種商務(wù)工作的需求，具體設(shè)計應(yīng)依據(jù)以下原則： ? 清晰的邏輯結(jié)構(gòu)：要求集團 范圍內(nèi)的系統(tǒng)管理結(jié)構(gòu)清晰，層次分明，能夠充分的與集團的管理結(jié)構(gòu)相吻合。 園區(qū)網(wǎng)系統(tǒng)建設(shè)驗收完畢之后，確保交換機的所有用戶端口處于關(guān)閉狀態(tài)。要為每一臺設(shè)備配置 CONSOLE口令， AUX 口令， VTY 口令，特權(quán)口令等 在口令方面，需要制定管理制度并嚴(yán)格執(zhí)行。建議旭日集團制定嚴(yán)格的網(wǎng) 絡(luò)安全管理策略，并有效的執(zhí)行。通過合理的路第 35 頁 共 90 頁 由策略設(shè)計，可以實現(xiàn)網(wǎng)絡(luò)流量的負(fù)載均衡，充分利用路由設(shè)備，并實現(xiàn)路由、交換設(shè)備之間的冗余備份功能，同時提供各種可以區(qū)分的服務(wù)等級，為不同用戶提供不同的 QoS 服務(wù)。 不僅從軟件上，而且從硬件上也支持等價路由是 Cisco6509 系列以第 34 頁