【正文】 Backbone Subsystem) 建筑物主干子系統(tǒng)由大樓配線間延伸至各樓層配線間的布 線組成。網(wǎng)管軟件的應(yīng)用可以提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)管理人員的負(fù)擔(dān)。 安全性 網(wǎng)絡(luò)的安全性對(duì)網(wǎng)絡(luò)設(shè)計(jì)是非常重要的， 合理的網(wǎng)絡(luò)安全控制，可以使應(yīng)用環(huán)境中的信息資源得到有效的保護(hù)可以有效的控制網(wǎng)絡(luò)的訪問，靈活的實(shí)施網(wǎng)絡(luò)的安全控制策略。 本期項(xiàng)目的目標(biāo)是建立如下系統(tǒng)： 1． 構(gòu)造一個(gè)既能覆蓋本地又能與外界進(jìn)行網(wǎng)絡(luò)互通、共享信息、展示企業(yè)的計(jì)算機(jī)企業(yè)網(wǎng) 。 全面支持 IEEE 工業(yè)標(biāo)準(zhǔn) ： ， ， ， ， ， ； 支持路由協(xié)議 ： IP 的 RIP V1/2， OSPF， BGP4；信令標(biāo)準(zhǔn) ： ,RTP/CRTP. 支持 ： IPsec、 L2TP、 GRE、 MPLSVPN 規(guī)范。 優(yōu)良的性能價(jià)格比。 建筑群間的光纜采用上海的 OT— T 多模光纖系統(tǒng)，大樓內(nèi)的布線采用 AVAYA 的超五類雙絞線結(jié)構(gòu)化布線系統(tǒng)。 為充分滿足集團(tuán)公司內(nèi)部及對(duì)外高速高容量信息通信的需要，系第 11 頁(yè) 共 90 頁(yè) 統(tǒng)采用高速高容量的多模光纖作為園區(qū)的網(wǎng)絡(luò)主干。 三 ．網(wǎng)絡(luò) 設(shè)計(jì) 方案 網(wǎng)絡(luò)設(shè)計(jì)需求 六個(gè)分公司有四個(gè)分公司在武漢旭日工業(yè)園內(nèi)各 的建筑物里面 ， 公司為 38 層的主樓，六個(gè)分公司都是 7 層樓。 易擴(kuò)展的網(wǎng)絡(luò) 系統(tǒng)要有可擴(kuò)展性和可升級(jí)性，隨著業(yè)務(wù)的增長(zhǎng)和應(yīng)用水平的提高，網(wǎng)絡(luò)中的數(shù)據(jù)和信息流將按指數(shù)增長(zhǎng)，需要網(wǎng)絡(luò)有很好的可擴(kuò)展性，并能隨著技術(shù)的發(fā)展不斷升級(jí)。 此外， Cisco6509 交換機(jī)，在安裝千兆光纖模塊的同時(shí)，還可以安裝百兆光纖模塊，完全可以適應(yīng)現(xiàn)在或?qū)淼臉莾?nèi)光纖布線，靈活性很強(qiáng)。 Catalyst2950 系列是有款最廉價(jià)的 CISCO 交換機(jī)產(chǎn)品系 列，為中型網(wǎng)絡(luò)和城域接入應(yīng)用邊緣提供了智能服務(wù)，可以為局域網(wǎng)提供極佳的性能和功能。交換以太網(wǎng)則利用網(wǎng)絡(luò)交換機(jī)在不同網(wǎng)段之間建立多個(gè)獨(dú)享連接(就像電話交換機(jī)可同時(shí)為眾多的用戶建立對(duì)話通道一樣 )，采用按目的地址的定向傳輸，為每個(gè)單獨(dú)的網(wǎng)段 提供專用的頻帶（即帶寬獨(dú)享），增大了網(wǎng)絡(luò)的傳輸吞吐量，第 22 頁(yè) 共 90 頁(yè) 提高了傳輸速率，其主干網(wǎng)上無碰撞問題。利用交換機(jī)或路由器可以與現(xiàn)有低速的以太網(wǎng)用戶和設(shè)備連接起來，因?yàn)榍д孜灰蕴W(wǎng)的幀格式和幀尺寸大小等都與所有以太網(wǎng)技術(shù)相同，不需要對(duì)網(wǎng)絡(luò)做 任何改變。從目前的趨勢(shì)來看，采用千兆以太網(wǎng)技術(shù)是最適宜的。 ⑷ 生成樹（ STP/RSTP/MSTP） Cisco6509 系列以太網(wǎng)交換機(jī)支持 STP/RSTP/MSTP 生成樹協(xié)議。如果新地址是在聚合的端口上時(shí)，根據(jù)二層和三層的不同，使用 MAC 地址或 IP 地址進(jìn)行邏輯計(jì)算，根據(jù)邏輯的結(jié)果選擇相應(yīng)端口為轉(zhuǎn)發(fā)端口，發(fā)往該目的地址的幀將按照計(jì)算負(fù)載均衡后的結(jié)果進(jìn)行轉(zhuǎn)發(fā)，實(shí)現(xiàn)端口之間負(fù)載均衡和冗余保護(hù)，保證數(shù)據(jù)流不出現(xiàn)亂序現(xiàn)象。以前部分路由交換機(jī)雖然也宣稱支持等價(jià)路由，但實(shí)際上只是從軟件上支持，對(duì)軟件轉(zhuǎn)發(fā)的報(bào)文可以使用等價(jià)路由，但對(duì)于由硬件直接轉(zhuǎn)發(fā)的報(bào)文，則只能從一條固定路徑轉(zhuǎn) 發(fā)。其次，必須具有一定的技術(shù)手段來保障網(wǎng)絡(luò)的安全。只有用戶使用申請(qǐng)通過批準(zhǔn)之后 網(wǎng)絡(luò)管理員才能將端口激活。本方案采用 Windows 系統(tǒng)提供的域模式來組織和管理全部系統(tǒng)資源，采用域的模式，不僅可以集中存儲(chǔ)網(wǎng)絡(luò)對(duì)象，并且管理簡(jiǎn)單，即實(shí)現(xiàn)了集中管理，又可以滿足不 同公司自身的安全需求。 如圖所示： 系統(tǒng)的安全 設(shè)計(jì) 在設(shè)計(jì)方案中，安全的設(shè)計(jì)主要分 2 個(gè)部分，首先是 ISA Server的應(yīng)用，通過 ISA Server 的配置，建立軟件防火墻，保護(hù)集團(tuán)內(nèi)部網(wǎng)絡(luò)不受外部用戶的攻擊，同時(shí)利用 ISA Server 提供的網(wǎng)站 過濾功能和服務(wù)器發(fā)布功能，對(duì)企業(yè)內(nèi)部用戶的上網(wǎng)行為進(jìn)行規(guī)范，并能保障服務(wù)器的安全使用。 更 安 全 、 易于管理 IIS 在安全與管理方面做出了重大的改進(jìn) 。 功能特性 描述 容錯(cuò)進(jìn)程架構(gòu) IIS 的容錯(cuò)式進(jìn)程架構(gòu)將 Web 站點(diǎn)和應(yīng)用程序隔離到一個(gè)自包含的單元之中（又稱應(yīng)用程序池）。 IIS 還提供了更多更強(qiáng)大的管理功能，改善了對(duì) XML 元 數(shù) 據(jù) 庫(kù) （ metabase） 的 管 理 ， 并 且 提供了新的命令行工具。 IIS 同樣增強(qiáng)了網(wǎng)絡(luò)應(yīng)用的開發(fā)與國(guó)際性支持。用戶帳戶在所屬的部門的 OU 中創(chuàng)建?？偛抗芾韱T對(duì)集團(tuán)所有系統(tǒng)有管理權(quán)限。保證了局域網(wǎng)的運(yùn)行安全，可以避免因?yàn)?VLAN 被錯(cuò)誤或者惡意的增加。 網(wǎng)絡(luò)安全設(shè)計(jì) 旭日集團(tuán)園區(qū)網(wǎng)有 5000 用戶，網(wǎng)絡(luò)規(guī)模比較大，并且和因特網(wǎng)存在連接。并且主用的匯聚層交換機(jī)配置占先權(quán)。在作了鏈路聚合的端口之間可以做冗余備份和負(fù)載分擔(dān)?？梢詤^(qū)分不同的應(yīng)用和用戶 ,方便集團(tuán)的管理與維護(hù) . 建議每棟建筑物內(nèi)的局域網(wǎng)劃分 8 個(gè) 1 指旭日集團(tuán)的OA 類應(yīng)用 . VLAN 用途如表 1 VLAN 劃分用途表 VLAN 用途 VLAN1 應(yīng)用類 1 的微機(jī)室工作人員 VLAN2 應(yīng)用類 1 的財(cái)務(wù)部工作人員 VLAN3 應(yīng)用類 1 的行政部工作人員 VLAN4 應(yīng)用類 1 的研發(fā)部工作人員 VLAN5 應(yīng)用類 1 的后勤部工作人員 VLAN6 應(yīng)用類 1 的人力資源部工作 人員 VLAN7 應(yīng)用類 1 的業(yè)務(wù)部工作人員 第 27 頁(yè) 共 90 頁(yè) VLAN8 應(yīng)用類 1 的生產(chǎn)部工作人員 ⑵． IP 地址分配方案 IPv4 的地址結(jié)構(gòu)，各個(gè)位的使用規(guī)劃如圖： 07 810 1115 1618 1931 集團(tuán)標(biāo)識(shí) 子公司標(biāo)識(shí) 預(yù)留 類別標(biāo)識(shí) 用戶空間地址 其中各個(gè)部分的取值如表： 位 取值 含義 備注 070 00001010 某某集團(tuán) 私有地址 811 0000 保留 0001 總部 主樓的用戶標(biāo)識(shí) 0010 子公司 1 子公司 1 的用戶標(biāo)識(shí) 0011 子公司 2 子公司 2 的的用戶標(biāo)識(shí) 0100 子公司 3 子公司 3 的用戶標(biāo)識(shí) 0101 子公司 4 子公司 4 的用戶標(biāo)識(shí) 0110 子公司 5 子公司 5 的用戶標(biāo)識(shí) 0111 子公司 6 子公司 5 的用戶標(biāo)識(shí) 10001111 保留 1213 00 缺省 0011 保留 1417 000 保留 001 網(wǎng)管類 交換機(jī)設(shè)備地址，路由器環(huán)回地址，網(wǎng)管工作站地址 010 互聯(lián)類 交換機(jī)，路由器等設(shè)備之間 互相連接用 011 應(yīng)用類 1 集團(tuán) OA 類用 111 因特網(wǎng)類 集團(tuán)的因特網(wǎng)連接，因特網(wǎng)應(yīng)用。 網(wǎng)絡(luò)技術(shù)選型結(jié)論 綜上所述，在選擇 旭日集團(tuán)園區(qū) 網(wǎng)網(wǎng)絡(luò)技術(shù)時(shí)應(yīng)該考慮如下： ⑴ 、長(zhǎng)遠(yuǎn)來看如何保護(hù)現(xiàn)有投資。 千兆以太網(wǎng)通過載波擴(kuò)展（ Carrier Extension）、采用帶中繼、交換功能的網(wǎng)絡(luò)設(shè)備以及多種激光器和光纖將連接距離擴(kuò)展到從 500米至 3000 米。如果介質(zhì)是空閑的，則可以發(fā)送，如果介質(zhì)是繁忙的，則隔一次間隔后重發(fā)，即采用某種退避算法。應(yīng)該能夠提供高密度的接入，對(duì)環(huán)境的適應(yīng)能力強(qiáng)，運(yùn)行穩(wěn)定。通過增加堆疊交換機(jī)數(shù)量或做Port Trunking(端口干路 )兩種辦法均可擴(kuò)充網(wǎng)絡(luò)規(guī)模；并且實(shí)現(xiàn)了本地化交換，改善了整個(gè)網(wǎng)絡(luò)，使整個(gè)網(wǎng)絡(luò)的性能發(fā)生了質(zhì)的變化。要求有物理層、數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層的備份技術(shù)。 ⑶ 采用質(zhì)量可靠的管路和線纜，以避免日后的麻煩 在大多數(shù)設(shè)計(jì)中，水 平布線子系統(tǒng)是被設(shè)計(jì)在吊頂、墻體或底板內(nèi)的，所以可以認(rèn)為水平子系統(tǒng)是不可更改、永久的系統(tǒng)。建筑群配線間通常也用于放 置電信接入設(shè)備和廣域網(wǎng)連接設(shè)備。 園區(qū)的綜合布線系統(tǒng)是 一個(gè)高標(biāo)準(zhǔn)的布線系統(tǒng)，水平系統(tǒng)和工作區(qū)采用超五類元件，主干采用光纖，構(gòu)成主干千兆以太網(wǎng)。 第 7 頁(yè) 共 90 頁(yè) 硬件可靠性 系統(tǒng)的主要部件采用冗余結(jié)構(gòu)，如：傳輸方式的備份，提供備份組網(wǎng)結(jié)構(gòu)；主要的計(jì)算機(jī)設(shè)備（如數(shù)據(jù)庫(kù)服務(wù)器），采用 CLUSTER技術(shù) ,支持雙機(jī)或多機(jī)高可用結(jié)構(gòu)；配備不間斷電源等。 3．內(nèi)、外網(wǎng)隔離 過硬盤隔離卡及雙布線系統(tǒng)、雙網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)辦公內(nèi)網(wǎng)與外網(wǎng)隔離。設(shè)備要在滿足該項(xiàng)目的功能和性能上還具有良好的性價(jià)比。在大規(guī)模園區(qū)網(wǎng)絡(luò)的設(shè)計(jì)上，劃分虛擬子網(wǎng)，一方面可以有效的隔離子網(wǎng)內(nèi)的大量廣播，另一方面隔離網(wǎng)絡(luò)子網(wǎng)間的通訊，控制了資源的訪問權(quán)限，提高了網(wǎng)絡(luò)的安全性。在設(shè)計(jì)園區(qū)網(wǎng)的原則上應(yīng)該要求設(shè)備的可管理性，同時(shí)先進(jìn)的網(wǎng)管軟件可以支持網(wǎng)絡(luò)維護(hù)、監(jiān)控、配置等功能。建筑物主干子系統(tǒng)提供大樓內(nèi)通信網(wǎng)絡(luò)信息交換的主干通道。 因?yàn)樵趯?shí)際施工中，不可能使水平線纜一直保持直線路由，所以實(shí)際安裝中，需要的線纜總會(huì)比圖紙上統(tǒng)計(jì)的量大的多，這就需要電氣工程師考慮一定的裕量。 將各個(gè)子公司之間的網(wǎng)絡(luò)的關(guān)聯(lián)度降低到最低的策略，可以最大限度的減少各個(gè)子公司網(wǎng)絡(luò)之間的相互影響，便于分別管理，或者在不同子公司擴(kuò)展網(wǎng)絡(luò)的新應(yīng)用。 核心層設(shè)備 由于旭日集團(tuán)園區(qū)網(wǎng)網(wǎng)絡(luò)發(fā)展規(guī)模較大，未來需提供多媒體辦公、辦公自動(dòng)化、圖書資料檢索、遠(yuǎn)程互聯(lián)、視頻會(huì)議等復(fù)雜的網(wǎng)絡(luò)應(yīng)用，為便 于管理，我們建議選用的交換機(jī)作為網(wǎng)絡(luò)組建交換設(shè)備。 WSC355048EMI交換機(jī)， 有 48 個(gè) 10/100 和 2 個(gè)基于 GBIC 的1000BaseX 端口，通過使用多層軟件鏡像（ EMI），可以提供路由和多層交換功能，滿足三層交換需求。 ⑴ 現(xiàn)有網(wǎng)絡(luò)技術(shù)介紹 以太網(wǎng)（ Ether） 以太網(wǎng)是應(yīng)用最為廣泛的網(wǎng)絡(luò)技術(shù)，它基于 CSMA/CD（沖突檢測(cè)媒體訪問 /載波偵聽）機(jī)制，采用共享介質(zhì)的方式實(shí)現(xiàn)計(jì)算機(jī)之間的通訊，帶寬為 100Mbps。千兆位以太網(wǎng)與其他速度相當(dāng)?shù)母咚倬W(wǎng)絡(luò)技術(shù)相比，價(jià)格低，同時(shí)比較簡(jiǎn)單，例如保留以太網(wǎng)第 23 頁(yè) 共 90 頁(yè) 的幀格式、 管理工具和對(duì)網(wǎng)絡(luò)概念上的認(rèn)識(shí)。 標(biāo) 準(zhǔn) 名 稱 媒 質(zhì) 傳 輸 距 離 1000BaseSX波長(zhǎng) 850nm 50微米多模光纖 275米550 米 1000BaseLX 波長(zhǎng) 1300nm 微米多模光纖 50 微米多模光纖 9 微米或 10 微米多模光纖 275 米 550 米 5 公里 1000BaseCX 同 軸電纜對(duì) 25 米 1000BaseT 4 對(duì) 5 類雙絞線 100 米 千兆位以太網(wǎng)的管理與以前使用和了解的以太網(wǎng)相同，使用千兆以太網(wǎng)，主干和各網(wǎng)段及桌面已實(shí)現(xiàn)了無縫結(jié)合，網(wǎng)絡(luò)管理變得容易了。作為二層的核心，只保證數(shù)據(jù)的高速轉(zhuǎn)發(fā)。 Cisco6509 系列以太網(wǎng)交換機(jī)最大可以支持 17 個(gè)或者 33個(gè) STP實(shí)例。 2．熱備份組號(hào)：熱備份組號(hào)與接口的 VLAN 號(hào)相同。 Cisco6509 系列以太網(wǎng)路由交換機(jī)可以很好地支持策略路由功能，并且可以將路由下一跳重定向到某個(gè)物理端口，或者某個(gè)下一跳 IP 地址。 ⑶ 進(jìn)行 VTP 域的認(rèn)證 進(jìn)行 VTP 域的認(rèn)證，能夠保證局域網(wǎng)的 VLAN 等的安全?？偛抗芾韱T有權(quán)管理各個(gè)子公司的系統(tǒng) ? 便于管理：整個(gè)系統(tǒng)設(shè)計(jì)要便于網(wǎng)絡(luò)管理員的管理，在系統(tǒng)中提供便于管理員管理的各種有效方式。 ? OU 的設(shè)計(jì) 集團(tuán)的 OU 設(shè)計(jì)目的是為了使用用戶管理更有效率，結(jié)構(gòu)更加清晰，并能夠使系統(tǒng)的管理結(jié)構(gòu)與集團(tuán)的商業(yè)模型相匹配。在本方案中，根據(jù)集團(tuán)的目前的需求，建立了基本的組策略 ⑴ 密碼長(zhǎng)度最小值為 7 ⑵ 密碼最長(zhǎng)存留 期為 30 天 ⑶ 密碼過期期限為 50 天 ⑷ 帳戶鎖定閥值為 5 次無效登陸 ⑸ 啟動(dòng)密碼必須符合復(fù)雜性 需求策略 五 、 Windows 服務(wù)器解決方案 . WEB 服務(wù)器 微軟 Windows Server 2020 中的 IIS 為用戶提供了集成的、可靠的、可擴(kuò)展的、安全的及可管理的內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)和互聯(lián)網(wǎng)Web 服務(wù)器解決方案。 更高的安全性 IIS 6 . 0 顯著改進(jìn)了 Web 服務(wù)器的安全性。通過自動(dòng)禁用在短時(shí)間內(nèi)頻繁發(fā)生故障的 Web 站點(diǎn)和應(yīng)用程序， IIS 可以保護(hù)服務(wù)器和其它應(yīng)用程序的安全。 IIS 的默認(rèn)安裝是被全面鎖定的，這意味著默認(rèn)系統(tǒng)的安全系數(shù)就被設(shè)為最大，它提供的增強(qiáng)的管理性能改善了 XML metabase的管理及新的命令行工具。具體的設(shè)計(jì)方案如下： ? ISA Server： ISA Server 是微軟公司出品的軟件防火墻代理服用戶 全局組 用戶 通用組 域本地組 分配權(quán)限 全局組 通用組 第 43 頁(yè) 共 90 頁(yè) 務(wù)器產(chǎn)品，它不僅可以起到代理 服務(wù)器的緩存作用，也能實(shí)現(xiàn)防火墻的功能，通過軟件防火墻上設(shè)置過濾規(guī)則，可以控制內(nèi)部用戶對(duì)網(wǎng)站的訪問，同時(shí)利用其提供的服務(wù)器發(fā)布功能，也可以將企業(yè)內(nèi)部的服務(wù)器發(fā)布到 Inter 上，提供互