【正文】 nternet\WAN出口，進(jìn)行集中監(jiān)控、管理。主要HA性能參數(shù)網(wǎng)絡(luò)故障收斂性能接入層設(shè)備主備倒換（S7506E）50毫秒接入層核心層鏈路故障/恢復(fù)1秒核心層設(shè)備主備倒換50毫秒核心層設(shè)備故障1秒鏈路單通故障2秒. 虛擬園區(qū)網(wǎng)設(shè)計(jì)一個(gè)煙廠企業(yè)園區(qū)，需要生產(chǎn)平臺(tái)、管理運(yùn)營(yíng)、銷售、安保監(jiān)控等業(yè)務(wù)隔離。. XX煙廠園區(qū)網(wǎng)絡(luò)詳細(xì)設(shè)計(jì). 局域網(wǎng)詳細(xì)設(shè)計(jì)XX煙廠數(shù)字化園區(qū)建議采用常用的二層接入、三層核心交換組網(wǎng)模型。網(wǎng)絡(luò)的整體規(guī)劃如下：在煙廠園區(qū)網(wǎng)絡(luò)整體設(shè)計(jì)中，采用層次化、模塊化的網(wǎng)絡(luò)設(shè)計(jì)結(jié)構(gòu)，并嚴(yán)格定義各層功能模型，不同層次關(guān)注不同的特性配置。主干帶寬擴(kuò)展 ：主干帶寬應(yīng)具備2~4倍甚至更高的帶寬擴(kuò)展能力，以適應(yīng)IP類業(yè)務(wù)急速膨脹的現(xiàn)實(shí)。當(dāng)用戶終端不提供業(yè)務(wù)分類信息時(shí)，網(wǎng)絡(luò)設(shè)備應(yīng)根據(jù)用戶所在網(wǎng)段、應(yīng)用類型、流量大小等自動(dòng)對(duì)業(yè)務(wù)進(jìn)行分類。n 模塊冗余 核心層設(shè)備和匯聚層設(shè)備的所有模塊和環(huán)境部件應(yīng)具備1+1或1：N熱備份的功能，核心層交換設(shè)備主備切換時(shí)間小于1秒。例如在存儲(chǔ)技術(shù)領(lǐng)域，傳統(tǒng)的FC技術(shù)存在兼容性和擴(kuò)展性等方面的問(wèn)題，基于IP的存儲(chǔ)能夠更好地實(shí)現(xiàn)平臺(tái)兼容性及業(yè)務(wù)擴(kuò)展性，并可實(shí)現(xiàn)更靈活的數(shù)據(jù)服務(wù)定制。國(guó)家煙草專賣局在《數(shù)字煙草發(fā)展綱要》中提出了“統(tǒng)一平臺(tái)、統(tǒng)一數(shù)據(jù)庫(kù)、統(tǒng)一網(wǎng)絡(luò)”的信息化建設(shè)綱要。隨著建設(shè)現(xiàn)代化煙草企業(yè)的序幕展開(kāi)，信息化技術(shù)的應(yīng)用和改革對(duì)卷煙工業(yè)企業(yè)的推動(dòng)啟到至關(guān)重要的作用。另一部分是管理的信息化，就是建立管理信息系統(tǒng)(MIS)、辦公自動(dòng)化系統(tǒng)(OA)以及決策支持系統(tǒng)(DSS)等。2. H3C IToIP煙廠數(shù)字化園區(qū)信息化解決方案架構(gòu)煙廠數(shù)字化園區(qū)內(nèi)部各個(gè)業(yè)務(wù)系統(tǒng)是在不同的年代建設(shè)的，其包括了各種各樣的標(biāo)準(zhǔn)和協(xié)議，如何對(duì)它們進(jìn)行高效的整合，實(shí)現(xiàn)信息資源的共享，是一個(gè)難題。煙廠數(shù)字化園區(qū)解決方案模型圖： 3. XXX煙廠園區(qū)統(tǒng)一高效IP網(wǎng)絡(luò)解決方案. IP網(wǎng)絡(luò)方案設(shè)計(jì)原則IP網(wǎng)絡(luò)是整個(gè)煙廠信息化的基礎(chǔ)承載體，因此，建設(shè)統(tǒng)一可靠高效IP網(wǎng)絡(luò)非常重要，整個(gè)基礎(chǔ)網(wǎng)絡(luò)設(shè)計(jì)遵循如下原則：n 鏈路冗余 在主干連接(主干設(shè)備之間及其與匯接設(shè)備之間的連接)具備可靠的線路冗余方式。由于接入方式、接入速率、應(yīng)用方式、數(shù)據(jù)性質(zhì)的豐富多樣，網(wǎng)絡(luò)的數(shù)據(jù)流量突發(fā)是不可避免的，因此，網(wǎng)絡(luò)對(duì)擁塞的控制和對(duì)不同性質(zhì)數(shù)據(jù)流的不同處理是十分重要的。n 網(wǎng)絡(luò)的擴(kuò)展能力網(wǎng)絡(luò)的擴(kuò)展能力包括設(shè)備交換容量的擴(kuò)展能力、端口密度的擴(kuò)展能力、主干帶寬的擴(kuò)展，以及網(wǎng)絡(luò)規(guī)模的擴(kuò)展能力。煙廠數(shù)字化園區(qū)一體化安全建設(shè)目標(biāo)：l 端到端信息系統(tǒng)安全，網(wǎng)絡(luò)邊緣和內(nèi)部終端安全；煙廠數(shù)字化園區(qū)融合通信建設(shè)目標(biāo)：l 實(shí)現(xiàn)視頻、監(jiān)控、語(yǔ)音有機(jī)融合；煙廠數(shù)字化園區(qū)一體化管理建設(shè)目標(biāo)：l 對(duì)網(wǎng)絡(luò)、安全、存儲(chǔ)和用戶進(jìn)行統(tǒng)一管理維護(hù),達(dá)到可管理、易管理。3) 核心層：網(wǎng)絡(luò)的骨干，必須能夠提供高速數(shù)據(jù)交換和路由快速收斂，要求具有較高的可靠性、穩(wěn)定性和易擴(kuò)展性等。在這個(gè)網(wǎng)絡(luò)中，通過(guò)合理規(guī)劃VRRP group master、生成樹(shù)實(shí)例和生成樹(shù)實(shí)例與VLAN映射的關(guān)系，可提高網(wǎng)絡(luò)鏈路利用率和可靠性。各部門用戶通過(guò)CE\MCE設(shè)備接入，通過(guò)二層VLAN或VRF進(jìn)行隔離。XX煙廠數(shù)字化園區(qū)生產(chǎn)網(wǎng)和辦公網(wǎng)共用一套物理網(wǎng)絡(luò)，邏輯隔離使用VRF+MPLS VPN技術(shù)。. IP地址規(guī)劃設(shè)計(jì)IP地址的合理設(shè)計(jì)是數(shù)據(jù)中心網(wǎng)絡(luò)設(shè)計(jì)中的重要一環(huán)，機(jī)場(chǎng)信息化網(wǎng)絡(luò)必須對(duì)IP地址進(jìn)行統(tǒng)一規(guī)劃。 因此，路由聚合又稱為子網(wǎng)的集結(jié)或超級(jí)子網(wǎng)，它可得到縮小路由表，降低路由器內(nèi)存的使用，并減少路由協(xié)議產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù)流量。3) 分類著色策略在各業(yè)務(wù)子網(wǎng)中，在匯聚交換機(jī)上著色，對(duì)業(yè)務(wù)流進(jìn)行分類：預(yù)留、語(yǔ)音（保證每路30K）、視頻（保證768K～2M）、加密公文（中等）、其他業(yè)務(wù)（最低保證）。在不同業(yè)務(wù)子網(wǎng)匯聚交換機(jī)上，運(yùn)用ACL 策略對(duì)視頻流進(jìn)行分流，把關(guān)鍵業(yè)務(wù)流同其他流量區(qū)分開(kāi)來(lái)，在交換機(jī)上用QOS CAR對(duì)視頻流進(jìn)行著色處理，使其IP precedence值設(shè)置為緊急隊(duì)列EF。在建設(shè)完成的數(shù)據(jù)中心網(wǎng)絡(luò)基礎(chǔ)之上分別將H3C WA2110AG無(wú)線AP以百兆速率連接至接入交換機(jī)（H3C S7506E），H3C WX5002無(wú)線控制器以千兆速率連接至核心交換機(jī)（H3C S9512）。理論上只能進(jìn)行三信道的蜂窩規(guī)劃實(shí)現(xiàn)對(duì)需要規(guī)劃的熱點(diǎn)的無(wú)縫覆蓋。用戶也可以將AP配置為靜態(tài)地址便于設(shè)備管理。提供增強(qiáng)的安全性和無(wú)縫漫游：通過(guò)這項(xiàng)基于身份的組網(wǎng)功能，經(jīng)過(guò)改進(jìn)的用戶組認(rèn)證接入控制、始終強(qiáng)制的漫游策略以及對(duì)帶寬使用的監(jiān)視實(shí)現(xiàn)了無(wú)線局域網(wǎng)的增強(qiáng)的安全性，實(shí)現(xiàn)了無(wú)縫的用戶移動(dòng)性和自由性，從而可以進(jìn)行安全連接和漫游，一次認(rèn)證多次接入，免去在不同AP下切換的再次認(rèn)證。4. XX煙廠園區(qū)數(shù)據(jù)中心存儲(chǔ)解決方案目前大部分煙廠采用FCSAN架構(gòu)存儲(chǔ)，F(xiàn)CSAN架構(gòu)具有如下不足之處：l 基于服務(wù)器內(nèi)置硬盤的存儲(chǔ)方式的擴(kuò)展不便，而且性能不足l SCSI和FC接口磁盤柜的存儲(chǔ)方式，管理繁瑣，存在較多兼容性問(wèn)題，無(wú)法實(shí)現(xiàn)統(tǒng)一的管理l 數(shù)據(jù)保護(hù)方式以備份軟件+磁帶庫(kù)的方式為主，備份軟件只能滿足一般業(yè)務(wù)數(shù)據(jù)的保護(hù)要求，無(wú)法滿足生產(chǎn)管理秒級(jí)的保護(hù)頻率，以及分鐘級(jí)的恢復(fù)速度；而磁帶庫(kù)存在著機(jī)械部件故障率高、維護(hù)困難、讀寫(xiě)速度慢的缺點(diǎn)面對(duì)FC SAN存在的問(wèn)題以及IP技術(shù)的不斷成熟，以太網(wǎng)帶寬從10M發(fā)展到了10G，整整提升了1000倍，2003年，以IBM等公司共同發(fā)起的基于IP的iSCSI（Internet SCSI）協(xié)議，通過(guò)IETF組織的審議，公布為RFC標(biāo)準(zhǔn)。全I(xiàn)P數(shù)據(jù)存儲(chǔ)和保護(hù)方案采用H3C Neocean IX系列存儲(chǔ)設(shè)備搭建的IP SAN，實(shí)現(xiàn)了集中存儲(chǔ)。當(dāng)數(shù)據(jù)丟失的損失以分鐘（或更小的時(shí)間單位）來(lái)計(jì)算時(shí)，部署CDP方案就顯得十分必要。把IX1000放在本地機(jī)房，該系統(tǒng)就可以作為在線存儲(chǔ)的備份中心。但是整個(gè)卷煙廠的安全事故還是頻繁出現(xiàn)，安全威脅問(wèn)題依然存在。網(wǎng)絡(luò)安全從本質(zhì)上講是管理問(wèn)題。1）三重保護(hù)，多層防御數(shù)據(jù)中心三重安全保護(hù)以數(shù)據(jù)中心服務(wù)器資源為核心向外延伸有三重保護(hù)功能。2）分區(qū)規(guī)劃，分層部署在網(wǎng)絡(luò)中存在不同價(jià)值和易受攻擊程度不同的設(shè)備，按照這些設(shè)備的情況制定不同的安全策略和信任模型，將網(wǎng)絡(luò)劃分為不同區(qū)域，這就是所謂的分區(qū)思想。數(shù)據(jù)中心分層部署思想 . 安全評(píng)估信息安全的解決方式也有多種，可以請(qǐng)專業(yè)公司，也可以由自己公司的IT部門完成。安全管理咨詢服務(wù)基于ISO17799 / BS7799風(fēng)險(xiǎn)管理理論，指導(dǎo)并協(xié)助用戶建立信息安全管理體系，使用戶建立起體系化的科學(xué)的動(dòng)態(tài)風(fēng)險(xiǎn)控制體系，保護(hù)用戶關(guān)鍵信息資產(chǎn)，保護(hù)用戶的安全投資，將信息風(fēng)險(xiǎn)控制在可接受的水平，保證信息的保密性、完整性和可用性，保障用戶業(yè)務(wù)運(yùn)行的連續(xù)性。煙草工業(yè)園區(qū)監(jiān)控系統(tǒng)存在的問(wèn)題和需求： 生產(chǎn)監(jiān)控、安防監(jiān)控、物流監(jiān)控是分離的不同監(jiān)控網(wǎng)絡(luò)，一方面弱電布線成本高，另一方面也不利于監(jiān)控?cái)?shù)據(jù)的集中處理。此外EC還具備豐富的網(wǎng)絡(luò)接口，除支持標(biāo)準(zhǔn)電口外，還支持SFP光纖接口和EPON無(wú)源光網(wǎng)絡(luò)接口等。存儲(chǔ)部分：完成視頻數(shù)據(jù)的存儲(chǔ)功能。同時(shí)內(nèi)置軟件解碼工具，支持多路視音頻信號(hào)的軟解碼，使得用戶可以直接在PC上對(duì)監(jiān)控內(nèi)容進(jìn)行實(shí)時(shí)查看或歷史回放查看。. H3C IP智能監(jiān)控解決方案特點(diǎn)1） 先進(jìn)的體系架構(gòu)iVS方案充分整合了IP網(wǎng)絡(luò)、視頻、存儲(chǔ)、信令等領(lǐng)域的技術(shù)，采用開(kāi)放的架構(gòu)，標(biāo)準(zhǔn)的技術(shù)實(shí)現(xiàn)。3） 專業(yè)可靠的IP SAN存儲(chǔ)iVS采用了IP SAN作為監(jiān)控?cái)?shù)據(jù)存儲(chǔ)設(shè)備，可以在分布式部署的同時(shí)實(shí)現(xiàn)集中管理、跨域共享、平滑擴(kuò)容、兼容互通等，此外，在可靠性方面也有很多獨(dú)特的優(yōu)勢(shì)，如支持RAID、支持硬盤在線熱插拔、支持硬盤電源短路保護(hù)、支持可選冗余熱插拔電源、支持電源自動(dòng)故障切換等。用戶只需要在一臺(tái)客戶端上就可以對(duì)整網(wǎng)設(shè)備進(jìn)行批量配置下發(fā)、遠(yuǎn)程升級(jí)、遠(yuǎn)程操作、業(yè)務(wù)實(shí)現(xiàn)等操作。并為用戶提供了靈活的組件化結(jié)構(gòu)，用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇需要的組件，真正實(shí)現(xiàn)“按需建構(gòu)”。42 / 42。. 端點(diǎn)安全準(zhǔn)入管理在身份接入基礎(chǔ)上，應(yīng)該支持終端安全準(zhǔn)入控制，支持安全狀態(tài)評(píng)估、網(wǎng)絡(luò)中安全威脅定位、安全事件感知及保護(hù)措施執(zhí)行等，預(yù)防因未打補(bǔ)丁、病毒泛濫、ARP攻擊、異常流量、非法軟件安裝和運(yùn)行等因素可能帶來(lái)的安全威脅，并可根據(jù)終端的安全狀態(tài)實(shí)現(xiàn)終端下線、隔離、提醒、監(jiān)控等多種控制策略。同時(shí)其無(wú)源特性大大提高了網(wǎng)絡(luò)的安全性和可靠性。同時(shí)由于端到端的IP SAN存儲(chǔ)是基于數(shù)據(jù)塊的存儲(chǔ)模式，克服了傳統(tǒng)監(jiān)控模式中文件存儲(chǔ)容易損壞文件和無(wú)法查詢最近圖像的弊端，提高系統(tǒng)可靠性同時(shí)大大縮短了系統(tǒng)的圖像回放響應(yīng)時(shí)間，為緊急情況處置爭(zhēng)取了時(shí)間。系統(tǒng)中音視頻流并不在VM上集中處理，而是通過(guò)網(wǎng)絡(luò)的處理交換以分布式的形式分發(fā)出去，避免了由于媒體流處理的性能壓力而造成的瓶頸問(wèn)題，從而可以實(shí)現(xiàn)監(jiān)控規(guī)模的無(wú)限制擴(kuò)展。VC同時(shí)也是監(jiān)控管理的客戶端軟件。如何進(jìn)行海量存儲(chǔ)？如何實(shí)現(xiàn)這些海量信息的共享？IP SAN存儲(chǔ)技術(shù)無(wú)疑是最好的選擇。由于iVS方案基于IP構(gòu)建，IP網(wǎng)絡(luò)可同時(shí)具備傳輸和交換的功能。 對(duì)于車輛識(shí)別、人臉識(shí)別、告警聯(lián)動(dòng)等智能監(jiān)控業(yè)務(wù)的支撐度不高，無(wú)法直接進(jìn)行平滑升級(jí)。2) 管理、分析、響應(yīng)一體化當(dāng)安全事件發(fā)生時(shí)，H3C安全管理中心能夠迅速察覺(jué)、準(zhǔn)確定位，更重要的是能夠及時(shí)制定合理的、一致的、完備的安全策略，在現(xiàn)有安全設(shè)施的基礎(chǔ)上形成了一個(gè)智能的安全防御體系，大幅度提高了企業(yè)網(wǎng)絡(luò)的整體安全防御能力。由于信息安全是個(gè)動(dòng)態(tài)的過(guò)程，不可能一步到位，基于成本和技術(shù)先進(jìn)性考慮，使用專業(yè)信息安全服務(wù)團(tuán)體提供的服務(wù)成為企事業(yè)單位達(dá)成信息安全目標(biāo)的最佳途徑。數(shù)據(jù)中心分區(qū)規(guī)劃思想所謂多層思想（nTier）不僅體現(xiàn)在傳統(tǒng)的網(wǎng)絡(luò)三層部署（接入－匯聚－核心）上，更應(yīng)該關(guān)注數(shù)據(jù)中心服務(wù)器區(qū)（Server Farm）的設(shè)計(jì)部署上。用一個(gè)形象的比喻來(lái)說(shuō)明數(shù)據(jù)的三重保護(hù)。. 數(shù)據(jù)中心安全做為網(wǎng)絡(luò)中數(shù)據(jù)交換最頻繁、資源最密集的地方，任何防護(hù)上的疏漏必將會(huì)導(dǎo)致不可估量的損失，因此構(gòu)筑一道安全地防御體系將是這座數(shù)字城堡首先面對(duì)的問(wèn)題。 網(wǎng)絡(luò)中的異常流量沒(méi)有辦法進(jìn)行實(shí)時(shí)監(jiān)測(cè)，出了安全攻擊事件無(wú)法溯源； 數(shù)據(jù)中心的服務(wù)器經(jīng)常受到DDOS攻擊的困擾，服務(wù)器雖然配置了冗余，但是訪問(wèn)速度提升依然不明顯。建議選擇H3C的TimeMark功能選項(xiàng)，對(duì)從在線存儲(chǔ)復(fù)制過(guò)來(lái)的重要數(shù)據(jù)進(jìn)行持續(xù)數(shù)據(jù)保護(hù)。根據(jù)XX煙草企業(yè)目前的業(yè)務(wù)需求和未來(lái)的發(fā)展需要，我們建議XX企業(yè)存儲(chǔ)系統(tǒng)采用的整體規(guī)劃如下：數(shù)據(jù)中心在線存儲(chǔ)系統(tǒng)建設(shè)：集團(tuán)和各礦區(qū)都建立再現(xiàn)存儲(chǔ)系統(tǒng)，建議集團(tuán)和各礦區(qū)都選用1臺(tái)H3C IX3000高端磁盤陣列做集團(tuán)和各礦區(qū)的在線存儲(chǔ)。通過(guò)備份軟件和虛擬磁帶庫(kù)DL1000的配合，既能夠滿足大多數(shù)應(yīng)用系統(tǒng)的數(shù)據(jù)保護(hù)需求，還能夠解決物理磁帶庫(kù)讀寫(xiě)速度慢等問(wèn)題。由于將SCSI數(shù)據(jù)傳輸?shù)幕A(chǔ)從封閉昂貴的FC協(xié)議轉(zhuǎn)移到IP之上，使存儲(chǔ)系統(tǒng)突破了長(zhǎng)期困擾的兼容性、成本和管理性桎梏