【正文】 間子公司2互聯(lián)類全部地址空間子公司2應(yīng)用類全部地址空間子公司2因特網(wǎng)全部地址子公司1的應(yīng)用類1微機(jī)室工作人員全部地址空間..子公司2的應(yīng)用類1財(cái)務(wù)部工作人員全部地址空間子公司2的應(yīng)用類1行政部工作人員全部地址空間子公司2的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司2的應(yīng)用類1后勤部工作人員全部地址空間子公司2的應(yīng)用類1人力資源部工作人員全部地址空間子公司2的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司2的應(yīng)用類1生產(chǎn)部工作人員全部地址空間分部3子公司3全部地址空間子公司3網(wǎng)管類全部地址空間子公司3互聯(lián)類全部地址空間子公司3應(yīng)用類全部地址空間子公司3因特網(wǎng)全部地址子公司3的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司3的應(yīng)用類1財(cái)務(wù)部工作人員全部地址空間子公司3的應(yīng)用類1行政部工作人員全部地址空間子公司3的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司3的應(yīng)用類1后勤部工作人員全部地址空間子公司3的應(yīng)用類1人力資源部工作人員全部地址空間子公司3的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司3的應(yīng)用類1生產(chǎn)部工作人員全部地址空間分部4子公司4全部地址空間子公司4網(wǎng)管類全部地址空間子公司4互聯(lián)類全部地址空間子公司4應(yīng)用類全部地址空間子公司4因特網(wǎng)全部地址子公司4的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司4的應(yīng)用類1財(cái)務(wù)部工作人員全部地址空間子公司4的應(yīng)用類1行政部工作人員全部地址空間子公司4的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司4的應(yīng)用類1后勤部工作人員全部地址空間子公司4的應(yīng)用類1人力資源部工作人員全部地址空間子公司4的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司4的應(yīng)用類1生產(chǎn)部工作人員全部地址空間武漢分公司（5）子公司5全部地址空間子公司5網(wǎng)管類全部地址空間子公司5互聯(lián)類全部地址空間子公司5應(yīng)用類全部地址空間北京子公司因特網(wǎng)全部地址子公司5的應(yīng)用類1微機(jī)室工作人員全部地址空間子公司5的應(yīng)用類1財(cái)務(wù)部工作人員全部地址空間子公司5的應(yīng)用類1行政部工作人員全部地址空間子公司5的應(yīng)用類1研發(fā)部工作人員全部地址空間子公司5的應(yīng)用類1后勤部工作人員全部地址空間子公司5的應(yīng)用類1人力資源部工作人員全部地址空間子公司5的應(yīng)用類1業(yè)務(wù)部工作人員全部地址空間子公司5的應(yīng)用類1生產(chǎn)部工作人員全部地址空間其中，在項(xiàng)目實(shí)施的時(shí)候，接入層交換機(jī)的IP地址建議使用網(wǎng)管類地址空間10.*.，多層交換機(jī)的IP地址的LOOPBACK接口的IP地址建議使用網(wǎng)管類地址10.*.35.*/32；，相互備份的2臺(tái)匯聚層設(shè)備的IP地址建議使用互聯(lián)類地址空間10.*.。 園區(qū)總體結(jié)構(gòu)示意圖圖4–1總體結(jié)構(gòu)圖 路由交換模塊設(shè)計(jì)為了使企業(yè)園區(qū)網(wǎng)高效、穩(wěn)定的運(yùn)行，便于管理與維護(hù)，對(duì)局域網(wǎng)交換和路由技術(shù)的相關(guān)方面進(jìn)行了規(guī)范設(shè)計(jì)，包括VLAN、STP、ACL、HSRP、IPsec VPN等。因特網(wǎng)接入的變化，只影響接入的變化，對(duì)園區(qū)網(wǎng)絡(luò)沒(méi)有影響；而園區(qū)網(wǎng)絡(luò)的變化對(duì)因特網(wǎng)接入部分影響較小。建筑物內(nèi)采用先進(jìn)的超五類非屏蔽布線系統(tǒng),根據(jù)技術(shù)規(guī)范，選用高性能UTP 非屏蔽系統(tǒng)，傳輸參數(shù)可達(dá)到200MHz，通道傳輸性能在200 MHz 時(shí)ACR3dB, 250MHz 時(shí)ACR 0 dB，通道傳輸性能不低于招標(biāo)技術(shù)要求所附性能參數(shù)表的要求。大樓配線間和樓層配線間通常也用于放置網(wǎng)絡(luò)設(shè)備和其他有源設(shè)備。 　綜合布線系統(tǒng)的結(jié)構(gòu)綜合布線系統(tǒng)部分結(jié)構(gòu)如下圖31所示：圖3–1 系統(tǒng)部分結(jié)構(gòu)規(guī)劃圖根據(jù)綜合布線國(guó)際標(biāo)準(zhǔn)ISO 11801的定義，綜合布線系統(tǒng)可由以下子系統(tǒng)組成。網(wǎng)絡(luò)的可管理性要求：網(wǎng)絡(luò)中的任何設(shè)備均可以通過(guò)網(wǎng)絡(luò)管理平臺(tái)進(jìn)行控制，網(wǎng)絡(luò)的設(shè)備狀態(tài)，故障報(bào)警等都可以通過(guò)網(wǎng)管平臺(tái)進(jìn)行監(jiān)控，通過(guò)網(wǎng)絡(luò)管理平臺(tái)簡(jiǎn)化管理工作，提高網(wǎng)絡(luò)管理的效率[8]。在設(shè)計(jì)園區(qū)網(wǎng)的原則上必須強(qiáng)調(diào)網(wǎng)絡(luò)安全控制能力，使網(wǎng)絡(luò)可以任意連接，又可以從第二層、第三層控制網(wǎng)絡(luò)的訪問(wèn)[7]。 可設(shè)計(jì)和擴(kuò)展性分析隨著技術(shù)不斷發(fā)展，新的標(biāo)準(zhǔn)和功能不斷增加，網(wǎng)絡(luò)設(shè)備必須可以通過(guò)網(wǎng)絡(luò)進(jìn)行升級(jí)，以提供更先進(jìn)、更多的功能。本系統(tǒng)基于思科的GNS3平臺(tái)，用思科命令開(kāi)發(fā)，使用各種相關(guān)技術(shù)，如IPSEC VPN ,HSRP等，實(shí)現(xiàn)各部門(mén)的功能，能夠運(yùn)用在實(shí)際開(kāi)發(fā)中，模擬平臺(tái)與實(shí)際基本無(wú)差別，所以說(shuō)在技術(shù)上是可行的[6]。針對(duì)以上要求,對(duì)計(jì)算機(jī)內(nèi)網(wǎng)綜合布線系統(tǒng)提出自己的解決方案。HSRP 協(xié)議提供了一種決定使用主動(dòng)路由器還是備份路由器的機(jī)制，并指定一個(gè)虛擬的 IP 地址作為網(wǎng)絡(luò)系統(tǒng)的缺省網(wǎng)關(guān)地址。與此相關(guān)的信息是當(dāng)時(shí)兩個(gè)VPN節(jié)點(diǎn)的IP地址，隧道名稱、雙方的密鑰[4]。IPSEC協(xié)議通過(guò)包封裝技術(shù)，能夠利用Internet可路由的地址，封裝內(nèi)部網(wǎng)絡(luò)的IP地址，實(shí)現(xiàn)異地網(wǎng)絡(luò)的互通。如果不深入探究IPSEC的過(guò)于詳細(xì)的內(nèi)容，我們對(duì)于IPSEC大致按照以下幾個(gè)方面理解。思科（CISCO）路由器新增加了一種基于時(shí)間的訪問(wèn)列表。電腦資料的可以備份，同時(shí)遇到事件通知，可以通過(guò)郵件輕松完成，及時(shí)高效準(zhǔn)確[2]。(7) 設(shè)備選型上必須在技術(shù)上具有先進(jìn)性，通用性，且必須便于管理，維護(hù)。這樣總體構(gòu)架之后確定項(xiàng)目建設(shè)目標(biāo)。在規(guī)劃好的企業(yè)拓?fù)渖希瑢?duì)設(shè)備進(jìn)行相關(guān)技術(shù)的運(yùn)用后，使企業(yè)實(shí)現(xiàn)了數(shù)據(jù)安全高效的傳輸以及流量的合理分配，達(dá)到企業(yè)優(yōu)化目的。基于HSRP熱備份，各部門(mén)間VLAN的劃分，STP生成樹(shù)協(xié)議的運(yùn)用，ACL訪問(wèn)控制列表的設(shè)置，OSPF動(dòng)態(tài)路由的加載及IP sec VPN的安全設(shè)置能夠有效解決這些問(wèn)題。企業(yè)信息系統(tǒng)主要建設(shè)一個(gè)企業(yè)信息系統(tǒng)，它以管理信息為主體，連接生產(chǎn)、銷售、維護(hù)、運(yùn)營(yíng)子系統(tǒng)，是一個(gè)面向企業(yè)的日常業(yè)務(wù)、立足生產(chǎn)、面向社會(huì)，輔助領(lǐng)導(dǎo)決策的計(jì)算機(jī)信息網(wǎng)絡(luò)系統(tǒng)。集團(tuán)統(tǒng)一一個(gè)出口，便于控制網(wǎng)絡(luò)安全。 提高工作效率計(jì)算機(jī)管理可大大提高業(yè)務(wù)運(yùn)作的速度和準(zhǔn)確性。作為外網(wǎng)進(jìn)入企業(yè)內(nèi)網(wǎng)的第一道關(guān)卡，路由器上的訪問(wèn)控制列表成為保護(hù)內(nèi)網(wǎng)安全的有效手段。 IP SEC VPN 簡(jiǎn)介IPSEC是一套比較完整成體系的VPN技術(shù)，它規(guī)定了一系列的協(xié)議標(biāo)準(zhǔn)。(3) 包封裝技術(shù)。兩個(gè)設(shè)備內(nèi)部的網(wǎng)絡(luò)，能夠通過(guò)這個(gè)虛擬的數(shù)據(jù)鏈路到達(dá)對(duì)方。一旦主動(dòng)路由器出現(xiàn)故障，HSRP 將激活備份路由器（Standby Routers）取代主動(dòng)路由器。整個(gè)園區(qū)一共有5000左右個(gè)信息點(diǎn)，即北京總部有3200左右，每分公司各有300左右個(gè)。 技術(shù)可行性分析技術(shù)可行性要考慮現(xiàn)有的技術(shù)條件是否能夠順利完成開(kāi)發(fā)工作，軟硬件配置是否滿足開(kāi)發(fā)的需求等。 兼容性分析跟蹤世界科技發(fā)展動(dòng)態(tài)，網(wǎng)絡(luò)規(guī)劃與現(xiàn)有光纖傳輸網(wǎng)及將要改造的分配網(wǎng)有良好的兼容，在采用先進(jìn)技術(shù)的前提下，最大可能地保護(hù)已有投資，并能在已有的網(wǎng)絡(luò)上擴(kuò)展多種業(yè)務(wù)。在大規(guī)模園區(qū)網(wǎng)絡(luò)的設(shè)計(jì)上，劃分虛擬子網(wǎng)，一方面可以有效的隔離子網(wǎng)內(nèi)的大量廣播，另一方面隔離網(wǎng)絡(luò)子網(wǎng)間的通訊，控制了資源的訪問(wèn)權(quán)限，提高了網(wǎng)絡(luò)的安全性。優(yōu)良的性能價(jià)格比，系統(tǒng)應(yīng)著重考慮和滿足以上的設(shè)計(jì)要求。在設(shè)計(jì)園區(qū)網(wǎng)的原則上應(yīng)該要求設(shè)備的可管理性，同時(shí)先進(jìn)的網(wǎng)管軟件可以支持網(wǎng)絡(luò)維護(hù)、監(jiān)控、配置等功能。采用的線纜是超五類雙絞線。為充分滿足集團(tuán)公司內(nèi)部及對(duì)外高速高容量信息通信的需要，系統(tǒng)采用高速高容量的多模光纖作為園區(qū)的網(wǎng)絡(luò)主干。 因特網(wǎng)接入和園區(qū)網(wǎng)分離將因特網(wǎng)接入部分和園區(qū)網(wǎng)主體部分分離，每部分完成其自身的功能，可以減少兩者之間的相互影響。這樣對(duì)于企業(yè)未來(lái)的發(fā)展是具有可行性的，對(duì)于內(nèi)外部用戶的訪問(wèn)控制在安全層面來(lái)講也是非常有效的，可以實(shí)現(xiàn)企業(yè)數(shù)據(jù)流的安全高效的傳輸。VLAN用途如表：表4–1 VLAN劃分用途表 VLAN用途VLAN1應(yīng)用類1的微機(jī)室工作人員VLAN2應(yīng)用類1的財(cái)務(wù)部工作人員VLAN3應(yīng)用類1的行政部工作人員VLAN4應(yīng)用類1的研發(fā)部工作人員VLAN5應(yīng)用類1的后勤部工作人員VLAN6應(yīng)用類1的人力資源部工作人員VLAN7應(yīng)用類1的業(yè)務(wù)部工作人員VLAN8應(yīng)用類1的生產(chǎn)部工作人員 IP地址分配方案表4–1 IPv4地址結(jié)構(gòu)表 07810111516181931集團(tuán)標(biāo)識(shí)子公司標(biāo)識(shí)預(yù)留類別標(biāo)識(shí)用戶空間地址表4–2 各部門(mén)地址分部表位取值含義備注0700001010某某企業(yè)私有地址8110000保留0001總部主樓的用戶標(biāo)識(shí)0010分部1分部1的用戶標(biāo)識(shí)0011分部2分部2的的用戶標(biāo)識(shí)0100分部3分部3的用戶標(biāo)識(shí)0101分部4分部4的用戶標(biāo)識(shí)0110分部5分部5的用戶標(biāo)識(shí)0111分部6分部5的用戶標(biāo)識(shí)10001111保留121300缺省0011保留1417000保留001網(wǎng)管類交換機(jī)設(shè)備地址，路由器環(huán)回地址，網(wǎng)管工作站地址010互聯(lián)類交換機(jī)，路由器等設(shè)備之間互相連接用011應(yīng)用類1企業(yè)OA類用111因特網(wǎng)類企業(yè)的因特網(wǎng)連接，因特網(wǎng)應(yīng)用。企業(yè)園區(qū)網(wǎng)的IP地址規(guī)范中規(guī)定：網(wǎng)關(guān)的地址統(tǒng)一使用子網(wǎng)的最后一個(gè)可用地址。實(shí)現(xiàn)與分公司在互聯(lián)網(wǎng)上的安全高效傳輸，具體拓?fù)鋱D如下所示。作為外網(wǎng)進(jìn)入企業(yè)內(nèi)網(wǎng)的第一道關(guān)卡，路由器上的訪問(wèn)控制列表成為保護(hù)內(nèi)網(wǎng)安全的有效手段[12]。這就大大減少了網(wǎng)絡(luò)開(kāi)銷，并增加了網(wǎng)絡(luò)的穩(wěn)定性。一般通過(guò)內(nèi)部的vpn節(jié)點(diǎn)發(fā)起一個(gè)udp連接，再封裝一次ipsec，送到對(duì)方，因?yàn)閡dp可以通過(guò)防火墻進(jìn)行記憶，因此通過(guò)udp再封裝的ipsec 包，可以通過(guò)防火墻來(lái)回傳遞。 Ipsec VPN配置圖如410所示：圖4–10 Ipsec VPN配置圖5 系統(tǒng)設(shè)計(jì)方案 系統(tǒng)設(shè)計(jì)總體需求本項(xiàng)目的實(shí)施目的是在企業(yè)內(nèi)部建立穩(wěn)定，高效的辦公自動(dòng)化網(wǎng)絡(luò)，通過(guò)項(xiàng)目的實(shí)施，為所有員工配桌面PC，使所有員工能夠通過(guò)總部網(wǎng)絡(luò)進(jìn)入internet，從而提高所有員工的工作效率和加快企業(yè)內(nèi)部信息的傳遞。 系統(tǒng)管理設(shè)計(jì)在系統(tǒng)設(shè)計(jì)時(shí)包括三個(gè)部分，分別是OU，用戶及組的設(shè)計(jì)，為了更好的滿足企業(yè)的需要，便于系統(tǒng)管理員方便管理企業(yè)中的所有用戶，系統(tǒng)管理結(jié)構(gòu)與集團(tuán)的管理結(jié)構(gòu)相匹配，方案中采用了如下所述的設(shè)計(jì)。 系統(tǒng)的安全性設(shè)計(jì)在設(shè)計(jì)方案中，安全的設(shè)計(jì)主要分2個(gè)部分，首先是ISA Server的應(yīng)用，通過(guò)ISA Server的配置，建立軟件防火墻，保護(hù)集團(tuán)內(nèi)部網(wǎng)絡(luò)不受外部用戶的攻擊，同時(shí)利用ISA Server提供的網(wǎng)站過(guò)濾功能和服務(wù)器發(fā)布功能，對(duì)企業(yè)內(nèi)部用戶的上網(wǎng)行為進(jìn)行規(guī)范，并能保障服務(wù)器的安全使用?？蛻舳耍涸谒杏脩粲?jì)算機(jī)上安裝ISA客戶端軟件，并配置瀏覽器使用ISA Server作為代理服務(wù)器上網(wǎng)[17]。實(shí)現(xiàn)VLAN間隔離，同時(shí)如果需要可以對(duì)交換機(jī)進(jìn)行相關(guān)配置，實(shí)現(xiàn)部門(mén)間通信，配置動(dòng)態(tài)路由可以自動(dòng)更新企業(yè)網(wǎng)間路由變化，增強(qiáng)企業(yè)可擴(kuò)展性，兼容性，易操作性