【正文】 ............................................. 9 解決方案 ................................................................................................. 10 IP 地址規(guī)劃原則 ....................................................................................... 19 VLAN 設(shè)計(jì) .............................................................................................. 21 地址翻譯 NAT ......................................................................................... 27 網(wǎng)絡(luò)管理的設(shè)計(jì) ................................................................................................ 28 第三章 網(wǎng)絡(luò)安全解決方案 ............................................................................................. 29 活動(dòng)目錄的設(shè)計(jì) ................................................................................................ 29 Windows Server 活動(dòng)目錄的優(yōu)點(diǎn) ............................................................... 30 活動(dòng)目錄組成結(jié)構(gòu) ................................................................................... 32 活動(dòng)目錄的優(yōu)勢(shì) ...................................................................................... 32 防火墻系統(tǒng)設(shè)計(jì) ................................................................................................ 34 設(shè)備選型設(shè)計(jì) .......................................................................................... 34 安全策略設(shè)計(jì) .......................................................................................... 37 入侵防御系統(tǒng)設(shè)計(jì) ............................................................................................ 37 IDS 與 IPS 的比較 .................................................................................... 37 入侵防御設(shè)備的選型 ............................................................................... 37 終端安全系統(tǒng)設(shè)計(jì) ............................................................................................ 37 補(bǔ)丁修補(bǔ)系統(tǒng)設(shè)計(jì) ............................................................................................ 37 第四章 機(jī)房搬遷計(jì)劃 .................................................................................................... 38 需求 ................................................................................................................. 38 總體要求 .......................................................................................................... 38 用戶配合條件 ................................................................................................... 38 搬遷工作的準(zhǔn)備 ...................................................................................... 38 系統(tǒng)評(píng)估要求 .......................................................................................... 38 總體遷移計(jì)劃 ................................................................................................... 38 域的遷移 .......................................................................................................... 38 第一步評(píng)估目 錄服務(wù)環(huán)境 ........................................................................ 38 第二步升級(jí) Windows NT 域 ............................................................... 38 第三步遷移后的工作 ............................................................................... 38 應(yīng) 急措施 .......................................................................................................... 38 系統(tǒng)網(wǎng)絡(luò)參數(shù)調(diào)整及性能優(yōu)化 ........................................................................... 38 華南資訊科技有限公司 報(bào)社 網(wǎng)絡(luò)改造 2 第一章 方案概述 項(xiàng)目背景 整合一年多的傳媒集團(tuán)及屬下各媒體，近期作出與高校合作、改版等一系列產(chǎn)業(yè)升級(jí)新 “動(dòng)作 ”。表示今年集團(tuán)將以品牌和版權(quán)為核心，積極實(shí)施相關(guān)多元化戰(zhàn)略，提升集團(tuán)的核心競爭力。 “百舸競發(fā)，列陣揚(yáng)帆 ”、 “乘風(fēng)而上 ”——這兩句高掛在昨日推介會(huì)現(xiàn)場(chǎng)的標(biāo)語，描述的正是 本市 傳媒集團(tuán)的發(fā)展?fàn)顟B(tài)和對(duì)未來的期待。原有的設(shè)備已經(jīng)不能滿足新辦公環(huán)境的需求，急待進(jìn)行網(wǎng)絡(luò)改造與升級(jí)，急需規(guī)劃網(wǎng)絡(luò)安全。 日?qǐng)?bào)社現(xiàn)在還在使用很老式的 3COM 網(wǎng)絡(luò)交換機(jī)，由一臺(tái) 3 層交換機(jī)來管理整個(gè)網(wǎng)絡(luò)，沒有規(guī)劃核心交換機(jī)。 （ 畫出新大樓的網(wǎng)絡(luò)規(guī)劃圖 需求： 該網(wǎng)絡(luò)規(guī)劃圖是以報(bào)社搬遷后的新大樓 為拓?fù)湟?guī)劃的中心，報(bào)社大部分部門都在新大樓辦公，新大樓是六層的大樓，有的樓層有多個(gè)部門，有的分布在不同樓層，但他們都在同一個(gè)局域網(wǎng)內(nèi)； 機(jī)房設(shè)在三樓的網(wǎng)絡(luò)部，里面存放著報(bào)社的服務(wù)器，包括兩臺(tái)外部服務(wù)器，四臺(tái)內(nèi)部服務(wù)器； 舊的報(bào)社大樓仍然使用，主要是廣告部門駐點(diǎn)，舊報(bào)社大樓用戶需方便快速地訪問報(bào)社的內(nèi)部服務(wù)器； 報(bào)社與印刷廠需高速冗余專線相連，保證每天日?qǐng)?bào)大樣能通過網(wǎng)絡(luò)傳送到印刷廠； 分布在其他區(qū)域的記者站和在外地工作的記者能通過 VPN 訪問新報(bào)社大樓內(nèi)的服務(wù)器； 傳媒集團(tuán)域新報(bào)社大樓亦可通過 VPN 訪問新報(bào)社大 樓內(nèi)的服務(wù)器。 （ 5）標(biāo)準(zhǔn)化與規(guī)范化原則 項(xiàng)目的整體設(shè)計(jì)要求基 于國際標(biāo)準(zhǔn)和國家頒布的有關(guān)標(biāo)準(zhǔn)，堅(jiān)持統(tǒng)一、標(biāo)準(zhǔn)、規(guī)范的原則，為未來業(yè)務(wù)發(fā)展及設(shè)備平滑增容奠定良好的基礎(chǔ)。層次性結(jié)構(gòu)如下圖所示。在過去的25 年間，以太網(wǎng)已經(jīng)成為被廣泛應(yīng)用的企業(yè)級(jí)局域網(wǎng)技術(shù)， 90%以上的數(shù)據(jù)流量華南資訊科技有限公司 報(bào)社 網(wǎng)絡(luò)改造 9 的發(fā)送和接收是通過以太網(wǎng)端口實(shí)現(xiàn)的。通常情況下，在某些非常重要的核心節(jié)點(diǎn)間采用雙鏈路的方式進(jìn)行互連，但是由于采用雙鏈路會(huì)導(dǎo)致物理鏈路的資費(fèi)增加，因此需要根據(jù)網(wǎng)絡(luò)情況綜合考慮。從而提高了設(shè)備的工作彈性 ，但是由于網(wǎng)絡(luò)設(shè)備的關(guān)鍵部件采用了冗余的設(shè)計(jì)，因此會(huì)導(dǎo)致網(wǎng)絡(luò)設(shè)備的硬件成本大大增加了，從而提高了網(wǎng)絡(luò)設(shè)備的采購價(jià)。 華南資訊科技有限公司 報(bào)社 網(wǎng)絡(luò)改造 13 核心交換機(jī)和匯聚交換機(jī)支持 MSTP 協(xié)議， MSTP 和 VRRP 配合使用， MSTP可以實(shí)現(xiàn) 基于 VLAN 的 STP； 由于兩臺(tái)核心交換機(jī)中間鏈路顯得尤為重要，因此核心交換機(jī)之間采用多GE 端口捆綁；核心交換機(jī)之間采用 TRUNK 方式連接； 由于每臺(tái)核心交換機(jī)需要利用多模光纖分別連接共 6 臺(tái)接入層交換機(jī)、舊報(bào)社大樓和印刷廠， 考慮到今后網(wǎng)絡(luò)擴(kuò)展的需要， 建議配備 20 口 SPF 多模光纖接口模塊一塊；考慮到兩核心交換機(jī)相連、普通服務(wù)器和其他設(shè)備直接連入核心交換機(jī)的需要，建議配備 20 口 1000M RJ45 模塊一塊。 每 層樓的匯聚層 交換機(jī) 通過 多模光纖分別連接 兩臺(tái)核心層 交換機(jī) ，因此每層的匯聚層交換機(jī)需要兩個(gè)多模光纖模塊；同 一層樓的匯聚層交換機(jī)也同時(shí)充當(dāng)接華南資訊科技有限公司 報(bào)社 網(wǎng)絡(luò)改造 16 入層的功能，同一層樓的多臺(tái)交換機(jī)之間通過堆疊模塊連接起來 。 ? 高效性： IP 地址的分配必須采用 VLSM 技術(shù) ，充分合理利用已申請(qǐng)的地址空間，保證 IP 地址的利用效率，采用 CIDR 技術(shù)， 減小路由器路由表的大小，加快路由器路由的收斂速度，也可以減小網(wǎng)絡(luò)中廣播的路由信息的大小。 4) 局域網(wǎng)地址按照主機(jī)接入數(shù)量和設(shè)備數(shù)量來分配子網(wǎng)空間。這樣一來，用戶可以管理 16 個(gè)下屬節(jié)點(diǎn)，每個(gè)節(jié)點(diǎn)可以使用 256 個(gè) IP 地址。如同 “ 實(shí)際連接 ” 在一個(gè)財(cái)務(wù)子網(wǎng)上工作一樣。此外， VLAN 可以對(duì)分散在不同地理位置的網(wǎng)絡(luò)設(shè)備進(jìn)行華南資訊科技有限公司 報(bào)社 網(wǎng)絡(luò)改造 22 集中的管理和配置，使大型網(wǎng)絡(luò)更加易于管理和維護(hù)。 為了減少傳輸沖突，提高系統(tǒng)整體性能和網(wǎng)絡(luò)處理能力，另外，還 考慮到網(wǎng)絡(luò)良好的管理性，易于維護(hù)和安全策略的實(shí)施 ，針對(duì) 用戶 網(wǎng)絡(luò)系統(tǒng)的實(shí)際情況，可以把功能（應(yīng)用）相近的設(shè)備群組劃分到同一 VLAN，不同部門的設(shè)備劃分到不同 VLAN 中去，這樣就能夠通過訪問控制列表技術(shù)實(shí)施安全策略。 下圖為兩路虛擬的 VLAN 通過兩個(gè)不同的端口（即每個(gè) VLAN 占用單獨(dú)的交換機(jī)端口在 兩臺(tái) 2750 之間 ）之間通過。充分了保護(hù)了投資和利用了設(shè)備和技術(shù)，充分體現(xiàn)了可靠、可用、高效和安全的網(wǎng)絡(luò)解決方案的特點(diǎn)。 NAT 路由器或 Web 交換機(jī)放置在域的邊界上，在向 INTERENT 網(wǎng)上發(fā)送數(shù)據(jù)包之前，它把私有地址轉(zhuǎn)換為 INTERNET 上的公網(wǎng)地址。降低了管理的復(fù)雜度 ， 也方便了用戶的使用。這使得運(yùn)行在 TCP/IP 網(wǎng)絡(luò)上的計(jì)算機(jī)可以識(shí)別和連接另一臺(tái)計(jì)算機(jī)。例如，可以向用戶對(duì)象添加購買機(jī)構(gòu)屬性，然后可以將用戶的購買機(jī)構(gòu)范圍做為用戶帳號(hào)的一部分進(jìn)行存儲(chǔ)。在應(yīng)用系統(tǒng)登錄時(shí)從 AD 中獲得相關(guān)信息進(jìn)行登錄。為獲得良好的效果，全局目錄允許用戶根據(jù)選定的屬性進(jìn)行搜索，以便輕而易舉地發(fā)現(xiàn)要找的對(duì)象，而無須考慮該對(duì) 象處于目錄結(jié)構(gòu)的什么位置。 開放的應(yīng)用程序接口： 通過 LDAP、