【文章內(nèi)容簡介】 實用性強的技術(shù)和產(chǎn)品，不盲目追求設(shè)備的高檔，技術(shù)的超前，以免造成不必要的資金浪費，從而使系統(tǒng)具有較強的經(jīng)濟性，采用性價比高的方案，盡可能降低造價，實現(xiàn)最優(yōu)的性能價格比。 標(biāo)準(zhǔn)性：滿足最新、最高的布線系統(tǒng)標(biāo)準(zhǔn)（如國家標(biāo)準(zhǔn)： CECS 72:97 和 CECS 89:9國際標(biāo)準(zhǔn)： ISO/IEC 1180歐洲標(biāo)準(zhǔn)： EN50173 等），本方案要求 可滿足目前最新的 6 類的技術(shù)標(biāo)準(zhǔn)（草案）的要求。 網(wǎng)絡(luò)建設(shè)需求 網(wǎng)絡(luò)在日常辦公環(huán)境中起著至關(guān)重要的作用，企業(yè)網(wǎng)的運作模式會帶來大量動態(tài)的 應(yīng)用數(shù)據(jù)傳輸，這就要求網(wǎng)絡(luò)有足夠的主干帶寬和擴展能力。同時，一些新的應(yīng)用類型，如網(wǎng)絡(luò)教學(xué)、視頻直播 /廣播、文件共享等，也對網(wǎng)絡(luò)提出了支持多點廣播和寬帶高速接入的要求。中心機房到匯聚層節(jié)點采用 4 兆光纖（多模）連接，匯聚層到接入層采用百兆的五類線（或者超五類）連接。有了硬件的強硬支持，軟件的穩(wěn)定可靠是網(wǎng)絡(luò)的靈魂。 硬件需求 華迪主樓包括教學(xué)區(qū)和辦公區(qū)，華迪 公司中心機房位于教學(xué)區(qū)一樓配線間，通過光纜與其他配線間相連。主干 1000M 帶寬，以 100M 接入到工作臺桌面；整個華迪信息公司大樓分為左右兩半部份，左右兩部份相距 150 米，采用光纖連接。學(xué)生公寓和華迪主樓通過光纖（ 500m）相連；中心采用三層交換機實現(xiàn)網(wǎng)絡(luò)交換路由，可采用千兆光模塊。 硬件是華迪總部所使用的設(shè)備，在能滿足所有系統(tǒng)的要求的前提下，采用先進、成熟、完善、實用性強的技術(shù)和產(chǎn)品，不盲目追求設(shè)備的高檔，以及技術(shù)的超前。選擇符合需求的服務(wù)器、交換機、路由器、防火墻等網(wǎng)絡(luò)設(shè)備，以及線纜、機柜、等綜合布線設(shè)備 ，必須符合系統(tǒng)設(shè)計原則。 蘭州理工大學(xué)畢業(yè)設(shè)計 6 軟件需求 主機系統(tǒng)應(yīng)采用國際上較新的主流技術(shù)，并具有良好的向后擴展能力。系統(tǒng)具有高的可靠性和有效性 ,能長時間連續(xù)工作，并有糾錯措施 .支持通用型數(shù)據(jù)庫，如 sql、 oracle 等 .具有廣泛的軟件支持 ,軟件兼容性好，并應(yīng)支持多種傳輸協(xié)議。能與 Inter 互聯(lián) ,可提供互聯(lián)網(wǎng)的應(yīng)用。如 WWW 瀏覽服務(wù) ,FTP 文件傳輸服務(wù)， E 電子郵件服務(wù)等服務(wù)。應(yīng)支持 SNMP 網(wǎng)絡(luò)管理協(xié)議 ,具有良好的可管理性和可維護性。 互聯(lián)網(wǎng)接入要求 互聯(lián)網(wǎng)接入是通過特定的信息采集與共享的傳輸 通道，利用電話線撥號接入（ PSTN）、ISDN、 xDSL、 光纖寬帶接入 等 接入傳輸技術(shù)完成用戶與 IP 廣域網(wǎng) 的高帶寬、高速度的物理連接。 華迪公司為了 構(gòu)建辦公網(wǎng)絡(luò)，合理控制辦公用戶互聯(lián)網(wǎng)接入與訪問，同時滿足費用實惠，傳輸性能可靠的需求，外網(wǎng)要求通過硬件防火墻接入，在成都這一區(qū)域 通過租用電信部門的 FR/DDN 專線接入，移動用戶通過虛擬專有網(wǎng)絡(luò) (VPN)接入華迪總公司辦公區(qū)。 服務(wù)器要求 一臺 OA 服務(wù)器，一 臺 FTP 服務(wù)器，一臺系統(tǒng)管理服務(wù)器（ DHCP/DNS/WINS），一臺外網(wǎng)WEB 服務(wù)器（可兼做外網(wǎng) VPN 訪問），兩臺 ERP 數(shù)據(jù)庫服務(wù)器（雙機熱備） 。 服務(wù)器可根據(jù)需要配置成性能好普通主機，以節(jié)約成本?？梢?7*24 小時不間斷為公司提供服務(wù)。 網(wǎng)絡(luò)管理與安全要求 網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的 硬件 、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行， 網(wǎng)絡(luò)服務(wù) 不中斷。網(wǎng)絡(luò)安全主要表現(xiàn)在以下幾個方面：網(wǎng)絡(luò)的物理安全、網(wǎng)絡(luò) 拓?fù)浣Y(jié)構(gòu) 安全、網(wǎng)絡(luò)系統(tǒng)安全、應(yīng)用系統(tǒng)安全和 網(wǎng)絡(luò)管理 的安全等。 華迪公司屬于園區(qū)網(wǎng)，安全需求有自己的獨特性和普遍性。先進的設(shè)備需要有管理及維 護的相關(guān)保障，才能為公司的穩(wěn)定、高效的運作，減少不必要的麻煩，提高辦公、教學(xué)和通信的效率，在選擇設(shè)備和產(chǎn)品時，本方案盡量選擇同一個且在同行中具 蘭州理工大學(xué)畢業(yè)設(shè)計 7 有較高影響力的廠家（ Cisco 公司產(chǎn)品），這樣即方便管理，又為以后的擴充及維護帶來便利，同時還具有較高的可靠性和安全性。 硬件實體的安全 網(wǎng)絡(luò)系統(tǒng)屬于 弱電工程 ，耐壓值很低。因此，在 網(wǎng)絡(luò)工程 的設(shè)計和施工中，必須優(yōu)先考慮保護人和 網(wǎng)絡(luò)設(shè)備 不受電、火災(zāi)和雷擊的侵害；考慮布線系統(tǒng)與照明電線、動力電線、通信線路 、暖氣管道及冷熱空氣管道之間的距離；考慮布線系統(tǒng)和絕緣線、裸體線以及接地與焊接的安全；必須建設(shè)防雷系統(tǒng)，防雷系統(tǒng)不僅考慮建筑物防雷，還必須考慮 計算機及其他 弱電 耐壓設(shè)備的防雷?？傮w來說物理安全的風(fēng)險主要有，地震、水災(zāi)、火災(zāi)等環(huán)境事故；電源故障；人為操作失誤或錯誤；設(shè)備被盜、被毀；電磁干擾；線路截獲；高 可用性 的 硬件 ；雙機多冗余的設(shè)計；機房環(huán)境及 報警系統(tǒng) 、 安全意識 等，因此要注意這些安全隱患，同時還要盡量避免網(wǎng)絡(luò)的物理安全風(fēng)險。 物理措施：例如，保護網(wǎng)絡(luò)關(guān)鍵設(shè)備 (如 交換機 、 大型計算機 等 )，制定嚴(yán)格的網(wǎng)絡(luò)安全規(guī)章制度，采取防輻射、防火以及安裝不間斷電源（ UPS）等措施。 應(yīng)用 系統(tǒng) 和操作平臺 的安全 訪問控制 ：對用戶訪問 網(wǎng)絡(luò)資源 的權(quán)限進行嚴(yán)格的認(rèn)證和控制。 例如， 在交換機路由器上 進行用戶身份認(rèn)證，對口令加密、更新和鑒別，設(shè)置用戶訪問目錄和文件的權(quán)限，控制網(wǎng)絡(luò)設(shè)備配置的權(quán)限等等。 數(shù)據(jù)加密 ：加密是保護 數(shù)據(jù)安全 的重要手段。加密的作用是保障信息被人截獲后不能讀懂其含義。防止 計算機 網(wǎng)絡(luò)病毒 ，安裝網(wǎng)絡(luò)防病毒系統(tǒng)。 漏洞掃描 系統(tǒng) ： 采用最先進的 漏洞掃描 系統(tǒng)定期對 工作站 、服務(wù)器、交換機等進行安全檢查，并根據(jù)檢查結(jié)果向 系統(tǒng)管理員 提供詳細(xì)可靠的安全性分析報告，為提高網(wǎng)絡(luò)安全整體水平產(chǎn)生重要依據(jù)。 部署 IDS 入侵檢測系統(tǒng) ： 為 信息系統(tǒng) 提供安全體系管理、監(jiān)控，渠護 及緊急情況服務(wù)。 部署防火墻：在防火墻上設(shè)置 ACL（訪問控制列表）， 禁止存在安全 脆弱性 的服務(wù)進出網(wǎng)絡(luò)，并抗擊來自各種路線的攻擊 。 在 防火墻 上 可以很方便的監(jiān)視網(wǎng)絡(luò)的安全性，并產(chǎn)生報警 ， 網(wǎng)絡(luò)管理 員必須審計并 記錄所有通過 防火墻 的重要信息 。 網(wǎng)絡(luò)版殺毒產(chǎn)品部署 ：安裝市場主流的殺毒軟件，阻止病毒在網(wǎng)內(nèi)感染、傳播和發(fā)作。 網(wǎng)絡(luò)上網(wǎng)行為管理： 網(wǎng)絡(luò)安全最重要的還是要思想上高度重視，網(wǎng)站或局域網(wǎng)內(nèi)部的安全需要用完備的安全制度來保障。建立和實施嚴(yán)密的 計算機 網(wǎng)絡(luò)安全制度與策略是真正實現(xiàn)網(wǎng)絡(luò)安全的基礎(chǔ)。 蘭州理工大學(xué)畢業(yè)設(shè)計 8 QoS QoS（ Quality of Service）服務(wù)質(zhì)量，是網(wǎng)絡(luò)的一種安全機制， 是用來解決網(wǎng)絡(luò)延遲和阻塞等問題的一種技術(shù)。 在正常情況下，如果網(wǎng)絡(luò)只用于特定的無時間限制的應(yīng)用系統(tǒng)，并不需要 QoS，比如 Web 應(yīng)用，或 Email 設(shè)置等。但是對關(guān)鍵應(yīng)用和多媒體應(yīng)用就十分必要。當(dāng)網(wǎng)絡(luò)過載或擁塞時， QoS 能確保重要業(yè)務(wù)量不受延遲或丟棄，同時保證網(wǎng)絡(luò)的高效運行。 對 于網(wǎng)絡(luò)業(yè)務(wù)，服務(wù)質(zhì)量包括傳輸?shù)?帶寬 、傳送的時延、數(shù)據(jù)的 丟包率 等。在網(wǎng)絡(luò)中可以通過保證傳輸?shù)?帶寬 、降低傳送的時延、降低數(shù)據(jù)的 丟包率 以及 時延抖動 等措施來提高服務(wù)質(zhì)量。 華迪公司需要實時教學(xué)系統(tǒng)和視頻會議的穩(wěn)定傳輸，同時保證語音服務(wù)的通暢， 通過MPLS 流量工程得到 需要 QoS 的應(yīng)用 ，通過 流量約定（ SLA,Service Level Agreement 服務(wù)等級協(xié)議）給 數(shù)據(jù)流 設(shè)定優(yōu)先級，以此在網(wǎng)絡(luò) /協(xié)議層面上，根據(jù)相互商定的尺度，設(shè)定有保障的性能、通過量、 延遲等界限。一些特定形式的網(wǎng)絡(luò) 數(shù)據(jù)流 需要定義服務(wù)質(zhì)量，例如：多媒體流要求有保障的通過量 ， IP 電話需要嚴(yán)格的抖動和延遲限制 ， 性命攸關(guān)的應(yīng)用系統(tǒng)，例如 遠程電子操作。 可行性分析 通過對該企業(yè)主樓的現(xiàn)場調(diào)查和需求分析后，對其可行性進行分析。 技術(shù)上可行：該系統(tǒng)所需硬件設(shè)備，市場上銷售且價格較低，操作系統(tǒng)采用 linux、Windows 系列操作系統(tǒng)，數(shù)據(jù)庫采用 mysql，這些軟件已被大量應(yīng)用，技術(shù)上都比較 成熟。因此在技術(shù)上是可行的。 經(jīng)濟上可行：網(wǎng)絡(luò)企業(yè)主要的是實現(xiàn)辦公自動化和信息化。網(wǎng)絡(luò)是網(wǎng)絡(luò)企業(yè)發(fā)展的命脈和根本，沒有網(wǎng)絡(luò)該類型企業(yè)無法發(fā)展。因此，這項投入是企業(yè)必須的。因此經(jīng)濟上沒有問題。 管理上可行：整個公司的辦公資料是通過辦公服務(wù)器集中存儲處理的，整個網(wǎng)絡(luò)設(shè)備都是集中的機房并且具有專人進行維護。因此可以達到了集中管理。管理上是可行的。 綜上所述，設(shè)計建設(shè)該網(wǎng)絡(luò)項目在技術(shù)上、經(jīng)濟上、管理上都是可行的。 蘭州理工大學(xué)畢業(yè)設(shè)計 9 第三章 總體方案設(shè)計 根據(jù)華迪的地理位置圖設(shè)計總體方案， 四川華迪信息技術(shù)有限公司新建大樓包括教學(xué)區(qū)，辦公區(qū)、 學(xué)生公寓，另洛陽分公司和重慶公公司（辦事處）通過電信專線連入成都總部。本次設(shè)計主要建設(shè)成都華迪的網(wǎng)絡(luò)，根據(jù)第二章的需求，華迪的主體網(wǎng)絡(luò)分布情況如下圖： 圖 華迪總體網(wǎng)絡(luò)覆蓋圖 網(wǎng)絡(luò)邏輯方案設(shè)計 下圖 是成都華迪的網(wǎng)絡(luò)拓?fù)溥壿嫹桨冈O(shè)計： Inter 防火墻 核心交換機 服務(wù)器組 教學(xué)區(qū)匯聚交換機 辦公區(qū)匯聚交換機 公寓樓匯聚交換機 教學(xué)區(qū)接入交換機 辦公區(qū)接入交換機 公寓樓接入交換機 蘭州理工大學(xué)畢業(yè)設(shè)計 10 圖 邏輯方案設(shè)計圖 華迪公司新辦公大樓網(wǎng)絡(luò)設(shè)計遵循分層設(shè)計的原則，網(wǎng)絡(luò)從核心層、匯聚層、接入層星形分布，以先進的成熟的網(wǎng)絡(luò)應(yīng)用技術(shù)設(shè)計和規(guī)劃該公司網(wǎng)絡(luò)系統(tǒng)，從實際出發(fā)，正確的規(guī)劃和設(shè)計計算機網(wǎng)絡(luò)，為企業(yè)實現(xiàn)數(shù)據(jù)共享、資源共享，提供 穩(wěn)定的信息交換和網(wǎng)絡(luò)系統(tǒng)服務(wù)。整個局域網(wǎng)絡(luò)采用多層數(shù)據(jù)交換原則設(shè)計，這樣的設(shè)計方案使得整個局域網(wǎng)的運維管理，以及網(wǎng)絡(luò)故障排除變的更加簡單，減少了網(wǎng)絡(luò)管理員的工作負(fù)責(zé)性，并且使未來的升級變的更簡單且迅速。 關(guān)鍵技術(shù)構(gòu)思設(shè)計 雙核心熱冗余備份設(shè)計 為保障網(wǎng)絡(luò)具有 %的電信級高可靠性，實施時采用雙核心、雙鏈路的設(shè)計方案。該方式的好處在于，任意一臺核心交換機的故障，或者任意一條上行鏈路的故障，均不會影響網(wǎng)絡(luò)的穩(wěn)定運行，備用交換機或備用線路會智能地啟用起來。 圖 熱冗余備份示意圖 要實現(xiàn)這樣的熱冗余備份機制，需要在核心交換機上啟用 VRRP（虛擬熱冗余備份協(xié)議）和 MSTP（多生成樹協(xié)議）。 VRRP 協(xié)議主要用于兩臺核心設(shè)備面向接入用戶虛擬出一個實時可用的 IP 地址，實現(xiàn)核心設(shè)備間的智能熱備份； MSTP 協(xié)議則主要用于避免 VLAN內(nèi)部出現(xiàn)環(huán)路，配合 VRRP 協(xié)議實現(xiàn)線路的智能熱備份。核心交換機與出口路由器之間啟用動態(tài)路由協(xié)議，實現(xiàn)與 VRRP/MSTP 的配合切換。 蘭州理工大學(xué)畢業(yè)設(shè)計 11 鏈路匯聚技術(shù) 鏈路聚合（ Link Aggregation）又稱 Trunk，是指將多個物理端口捆綁在一起，成為一個邏輯端口， 以實現(xiàn)出 / 入流量在各成員端口中的負(fù)荷分擔(dān)，交換機根據(jù)用戶配置的端口負(fù)荷分擔(dān)策略決定報文從哪一個成員端口發(fā)送到對端的交換機。當(dāng)交換機檢測到其中一個成員端口的鏈路發(fā)生故障時，就停止在此端口上發(fā)送報文，并根據(jù)負(fù)荷分擔(dān)策略在剩下鏈路中重新計算報文發(fā)送的端口，故障端口恢復(fù)后再次重新計算報文發(fā)送端口。鏈路聚合在增加鏈路帶寬、實現(xiàn)鏈路傳輸彈性和冗余等方面是一項很重要的技術(shù) 。 邏輯鏈路的 帶寬 增加了大約 (n1)倍，這里 ， n 為聚合的路數(shù)。另外，聚合后，可靠性大大提高，因為， n 條鏈路中只要有一條可以正常工作，則這個鏈路就可以工作。除此之外， 鏈路聚合 可以實現(xiàn) 負(fù)載均衡 。因為，通過 鏈路聚合 連接在一起的兩個（或多個）交 換機（或其他 網(wǎng)絡(luò)設(shè)備 ），通過內(nèi)部控制，也可以合理地將 數(shù)據(jù)分配 在被聚合連接的設(shè)備上，實現(xiàn)負(fù)載分擔(dān)。 捆綁接口必須屬于同一 vlan。如果是 truck，捆綁端口必須屬于 truck 模式；具有相同的 nativevlan ID；每個接口都必須有相同的速度和雙工模式 ； 生成樹 設(shè)置必須一致。 圖 鏈路聚合示意圖 鏈路聚合在接入層面可以增加帶寬和線路冗余，起到負(fù)載均衡的效果，同時同一 VLAN和部門的成員訪問更加迅速。 劃分技術(shù) VLAN（ Virtual Local Area Network）稱為虛擬局域網(wǎng)，是指在邏輯上將物理的 LAN 分成不同小的邏輯子網(wǎng)，每一個邏輯子網(wǎng)就是一個單獨的播域。簡單地說，就是將一個大的物理的局域網(wǎng)（ LAN）在交換機上通過軟件劃分成若 干個小的虛擬的局域網(wǎng)（ VLAN）。因 蘭州理工大學(xué)畢業(yè)設(shè)計 12 為交換機通信的原理就是要通過“廣播”來發(fā)現(xiàn)通往的目的 MAC 地址，以便在交換機內(nèi)部的 MAC 數(shù)據(jù)庫建立 MAC 地址表，而廣播不能跨越不同網(wǎng)段。 VLAN 技術(shù)的出現(xiàn)，使得管理員根據(jù)實際應(yīng)用需求，把同一物理局域網(wǎng)內(nèi)的不同用戶邏 輯地劃分成不同的廣播域，每一個 VLAN 都包含一組有著相同需求的計算機工作站，與物理 上形成的 LAN 有著相同的屬性。由于它是從邏輯上劃分，而不是從物理上劃分，所以同一個 VLAN 內(nèi)的各個工作站沒有限制在同一個物理范圍中，即這些工作站可以在不同物理 LAN 網(wǎng)段 。 由 VLAN 的特點可知，一個 VLAN 內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他 VLA