【文章內(nèi)容簡介】 持部、財務部、市場部，員工約有 150 人。分部的部門與總部相同，兩個分部各有員工約50 人。 、 需求分析 由于安博公司正處于快速發(fā)展期，所以目前的網(wǎng)絡規(guī)模已不能滿足當前的發(fā)展需要。為了提高生產(chǎn)辦公的效率、加強管理、加強部門間配合，提高獲取知識的能力， 所以 需要升級 網(wǎng)絡，深化信息化應用 ， 建設一個實用和先進、高可靠、高性能、高靈活性和擴展性、操作管理簡單的信息化融合網(wǎng)絡 。 本項目的網(wǎng)絡可以劃分為北京總部、 昆山分部和大連分部。其中北京總部綜合項目招標，其性能，穩(wěn)定性，安全性，可靠性的要求一定要很高，尤其是核心區(qū)域。因此我們在設計時，需要考慮這些需要。而核心區(qū)的功能是高速可靠地交換數(shù)據(jù)，因此該部分的設計更應該考慮性能和可用性的平衡。并且冗余性也要考慮。我們還可以利用 ACL、防火墻來屏蔽一些網(wǎng)站的訪問。 當前的網(wǎng)絡管理范疇比較廣，包括設備管理，資源管理，故障管理，性能管理，安全管理等等。在網(wǎng)絡規(guī)模相對較大的時候，合適的網(wǎng)管系統(tǒng)可以幫助客戶方便管理網(wǎng)絡內(nèi)的 3 設備及運行情況，提高網(wǎng)絡的運行效率。 具體分析如下： 業(yè)務需 求 —— 需要實現(xiàn)總公司內(nèi)部的互相通信，同時也要和分公司之間也能互相訪問，需要郵件服務、 Web 服務、視頻服務。 管理需求 —— 要對網(wǎng)絡進行遠程管理 ,遠程管理可以幫助網(wǎng)絡管理員利用遠程控制軟件管理網(wǎng)絡設備 ,使網(wǎng)管工作更方便 ,更高效 ，更穩(wěn)定。 安全性需求 —— 因為公司的數(shù)據(jù)核心是非常重要的，為免被竊取要設置訪問權限；網(wǎng)絡可能被病毒攻擊和破壞，所以安裝殺毒軟件和防火墻。 通信量需求 —— 要滿足 FTP、 HTTP、 mail、文件共享、視頻 等 各種服務的帶寬要求。 性價比需求 —— 以盡量少的成本建成性能較好的網(wǎng)絡。 網(wǎng)絡擴展性需求分 析 —— 安博公司正處于高速發(fā)展時期，所以公司將會有新員工加入；有些設備可能被淘汰，有些主機的性能要提升，操作系統(tǒng)平臺的升級。 第 3章 網(wǎng)絡總體建設目標 、 網(wǎng)絡建設目標 安博公司綜合項目網(wǎng)絡建設的目標是：按照“高標準，高起點”的要求，采用三層網(wǎng)絡結構，按要求實現(xiàn)網(wǎng)絡安全的需求。充分利用計算機網(wǎng)絡、多媒體、 Inter/Intra、數(shù)據(jù)庫、數(shù)字通信等先進技術構筑研究院的網(wǎng)絡平臺，實現(xiàn)繪圖、管理設計生產(chǎn)的網(wǎng)絡化 ，輔助領導掌握企業(yè)發(fā)展進行決策 ， 建立先進的辦公自動化管理系統(tǒng)。 組建一個高效，可靠，穩(wěn)定，易管理，安 全的網(wǎng)絡。建立一個使集團數(shù)據(jù)、郵件、關鍵業(yè)務由總公司統(tǒng)一管理，并實現(xiàn)公司總部與分部的高效通信與資源共享的綜合信息網(wǎng)。 、 網(wǎng)絡及系統(tǒng)建設內(nèi)容及要求 根據(jù)安博公司的網(wǎng)絡情況，我們把整個網(wǎng)絡分為內(nèi)部交換網(wǎng)絡設計、網(wǎng)絡出口設計、網(wǎng)絡安全設計幾大方面。對于內(nèi)部交換網(wǎng)絡我們采用分層設計。內(nèi)部交換網(wǎng)絡分成核心層、匯聚層、接入層三大部分。 為了保證總部和分部網(wǎng)絡的高可用性和穩(wěn)定性，為了 能有效防止局部故障引起整個網(wǎng)絡系統(tǒng)的癱瘓，應在網(wǎng)絡設計中提供拓撲和設備的 冗余 和備份，使故障能在最短的時間內(nèi)進行恢復，讓網(wǎng)絡故障的發(fā)生和損失降 到最小。 使用生成樹協(xié)議（ STP）可以 實現(xiàn)交換機之間的冗余連接，避免網(wǎng)絡環(huán)路的出現(xiàn)，實現(xiàn)網(wǎng)絡的高可靠性，它實現(xiàn)在交換機之 4 間傳遞橋接，從而保證其穩(wěn)定性，還可以用 路由器備份協(xié)議（ HSRP）支持多臺路由器形成熱備份而消除單臺設備失效造成的網(wǎng)絡中斷。 我們建議在設計時，交換機采用 HSRP、 STP 等協(xié)議。借助 VLAN 技術，使得對于網(wǎng)絡內(nèi)有關 server 的訪問變得更加安全有效。在服務器操作系統(tǒng)選擇方面，我們采用較為安全的 Linux 操作系統(tǒng)。 對于邊界網(wǎng)絡接入網(wǎng)絡，網(wǎng)絡的安全性將是一個需要考慮的非常重要的因素。所以確保在網(wǎng) 絡的邊界處部署相應的安全策略以防止黑客和各種惡意代碼的攻擊至關重要。 在數(shù)據(jù)傳輸安全方面，總部和分部之間，我們架設 VPN 虛擬通道。 VPN 主要采用思想安全保證技術，分別是隧道技術、加解密技術、密鑰管理技術、和使用者與設備身份認證技術。在安全方面， VPN 直接構建在公用網(wǎng)上，實現(xiàn)簡單、方便、靈活，同時保證通過公用網(wǎng)絡平臺傳輸數(shù)據(jù)的專用性和安全性。 對于設備，我們采用性價比較高的設備。對于網(wǎng)絡帶寬，由于帶寬有限且租金昂貴，我們 建議用 QOS 技術進行 擁塞管理、擁塞避免、流量整形等策略對網(wǎng)絡上的流量進行管理 。 、 網(wǎng)絡設計 原則 先進性： 計算機網(wǎng)絡技術、軟件技術的發(fā)展迅速，網(wǎng)絡的設計要立足于較高的起點，保證系統(tǒng)有較長的生命力。保證滿足系統(tǒng)業(yè)務的同時，又要體現(xiàn)出網(wǎng)絡系統(tǒng)的先進性。在網(wǎng)絡設計中要把先進的技術與現(xiàn)有的成熟技術和標準結合起來，充分考慮到公司網(wǎng)絡應用的現(xiàn)狀和未來的發(fā)展趨勢。 可靠性： 網(wǎng)絡系統(tǒng)的穩(wěn)定可靠是應用系統(tǒng)正常運行的關鍵保證，在網(wǎng)絡設計中選用高可靠性的網(wǎng)絡產(chǎn)品，合理設計網(wǎng)絡架構，制定可靠的網(wǎng)絡備份策略，保證網(wǎng)絡具有故障治愈的能力，最大限度的支持各個系統(tǒng)的正常運行。 安全性： 在網(wǎng)絡設計中，應采用硬件技術與軟件技術相結合 的方式，全面系統(tǒng)的保護網(wǎng)絡的安全運行。系統(tǒng)應提供一套完整的安全防范措施，防止由于操作人員的誤操作以及系統(tǒng)中的某些故障而造成數(shù)據(jù)被破壞或系統(tǒng)的誤操作。 兼容和拓展性： 盡量采用成熟的技術，保證軟硬件的兼容性，同時需考慮設備的更新與升級的能力。 可管理性： 網(wǎng)絡中的任何設備均可以通過網(wǎng)絡管理平臺進行控制，網(wǎng)絡的設備狀態(tài)、故障報警等都可以通過網(wǎng)管平臺進行監(jiān)控，通過網(wǎng)絡管理平臺簡化管理工作，提高網(wǎng)絡管理的效率。 5 實用性： 網(wǎng)絡系統(tǒng)的設計以實用、滿足應用為主，不追求最高、最新。 經(jīng)濟性： 在滿足功能與性能的基礎上實現(xiàn)性能 /價 格比最優(yōu)。 第 4章 網(wǎng)絡總體設計 、 網(wǎng)絡總體拓撲圖 企業(yè)網(wǎng)絡拓撲結構圖 如上圖所示，安博公司整體網(wǎng)絡可以根據(jù)功能劃分為北京總部核心網(wǎng)絡，內(nèi)嵌接入包括品質(zhì)保障部網(wǎng)絡，教學支持部網(wǎng)絡，財務部和市場部。外聯(lián)單位接入大連分部網(wǎng)絡和昆山分布網(wǎng)絡。各區(qū)域相對獨立，通過核心網(wǎng)絡進行數(shù)據(jù)的交互。 、 網(wǎng)絡層次化設計 隨著通信技術和計算機技術的發(fā)展 ,網(wǎng)絡結構的選擇直接影響著網(wǎng)絡的運行效率、可靠性和網(wǎng)絡安全。 由此形成了一個新的，更適應現(xiàn)代的高速大型網(wǎng)絡的分層設計模型。這種方法被稱為“層次化網(wǎng)絡設計”。 層次化網(wǎng)絡設計有以下好 處： 網(wǎng)絡 簡單 ： 通過將網(wǎng)絡分成許多小單元 ， 降低了網(wǎng)絡的整體復雜性 ,使故障排除或擴展更容易 ， 能隔離廣播風暴的傳播、防止路由循環(huán)等潛在的問題。 網(wǎng)絡 設計靈活 ： 網(wǎng)絡容易升級到最新的技術 ， 升級任意層次的網(wǎng)絡不會對其他層次造成影響 ， 無須改變整個環(huán)境。 網(wǎng)絡 可管理 ： 層次結構降低了設備配置的復雜性 ,使 網(wǎng)絡 更容易管理。 針對于安博公司的內(nèi)部交換網(wǎng)絡，我們采用三層結構模型。將內(nèi)部交換網(wǎng)絡分成核心層、匯聚層、接入層三大部分。 6 三大部分的功能分別為： 核心層： 實現(xiàn)數(shù)據(jù)的高速通信與交換， 提供高可靠性，冗余鏈路，故障隔離，迅速升級， 提供較少的滯后和好的可管理性，避免由濾波器或其它處理引起的慢包操作，有有限和一致的直徑。 匯聚層： 提供策略，安全，部門或工作組級訪問，定義廣播 /多播域，虛擬 LAN 之間路由選擇，介質(zhì)翻譯，在路由選擇域之間重分布，靜態(tài)路由和動態(tài)路由選擇協(xié)議劃分。 接入層： 對匯聚層 的 訪問控制和策略進行支持，建立獨立沖突域，建立工作組與匯聚層的連接。 提供多種方式來讓用戶接入網(wǎng)絡，并做安全驗證。 、 核心層設計 核心層是網(wǎng)絡的高速交換主干，對整個網(wǎng)絡的連通起到至關重要的作用。 核心層的任務是為其他兩層提供優(yōu)化的數(shù)據(jù)傳輸功能。核心層由一個 高速的骨干網(wǎng)組成 ,其作用是盡可能快地交換數(shù)據(jù)包。 核心層的主干交換機一般采用最快速率的鏈路連接技術 ， 在與分布層骨干交換機相連時要考慮采用建立在生成樹基礎上的多鏈路冗余連接 ， 以保證與骨干交換機之間存在備份連接和負載均衡 ， 完成高帶寬、大容量網(wǎng)絡層路由交換功能。這樣當交換機之間的線路出現(xiàn)故障時 ， 傳輸?shù)臄?shù)據(jù)會快速自動切換到另外一條線路上進行傳輸 ， 不影響網(wǎng)絡系統(tǒng)的正常工作。 因此根據(jù)以上的原理，在核心層選用 Cisco4506 交換機。 、 分布層設計 分布層提供基于統(tǒng)一策略的互聯(lián)性 ,定義了網(wǎng)絡的邊界 ,可以對數(shù)據(jù)包進行復雜的 運算。分布層內(nèi)的千兆位交換機及主干鏈路均可采用千兆模塊進行生成樹冗余鏈路連接。局域網(wǎng)的分布層主要提供了地址的聚集、部門和工作組的接 入 、廣播域 /組播傳輸域的定義、VLAN 路由、安全控制等功能。 分布層交換機和接入層交換機之間可以利用全雙工技術和高傳輸率網(wǎng)絡互聯(lián) ,保證分支主干無帶寬瓶頸。分布層的設計要滿足 核心 層、分布層交換機和服務器集合環(huán)境對千兆端口密度、可擴展性、高可用性以及多層交換的不斷增長的需求 ,支持大用戶量、多媒體信息傳輸?shù)葢谩?所以選擇的設備配置比核心層稍低。可采用思科 Cisco3750 交換機。 、 接 入層設計 接人層的主要目標是為最終用戶提供對網(wǎng)絡訪問的途徑等功能。交換機的普通端口直接與用戶計算機相連 ,高速端口用于上連高速率的分布層網(wǎng)絡交換機 ,用以有效地緩解網(wǎng)絡骨干的瓶頸 。 根據(jù)分析，我們可以采用 cisco2960交換機。 7 、 總部與分部內(nèi)聯(lián)接入 內(nèi)聯(lián)接入的作用是用于連接北京總部和昆山分布及大連分布的網(wǎng)絡。我們推薦使用Cisco 2800 系列的路由器完成此功能。 北京及昆山、大連內(nèi)部使用 VLAN 的劃分， 北京總部與大連、昆山分布之間使用 ipsec vpn 實現(xiàn)互相通信，漫游用戶通過 easy vpn 來實現(xiàn)對公司的 訪問 。 第 5章 路由、交換設計 、 設備選擇 網(wǎng)絡設備清單 設備型號 數(shù)量（臺） 單價（元） 總價（元） Cisco 2811 3 5200 15600 Cisco WSC4506 2 220xx 44000 Cisco WSC375024TSS 6 9000 54000 Cisco WSC296024TTL 9 3600 32400 Cisco WSC296048TCL 3 7500 22500 總計： 168500 、 設備命名規(guī)范 網(wǎng)絡設備命名 設備型號 北京 大連 昆山 Cisco 2811 BJR001 DLR001 KSR001 Cisco WSC4506 BJS01 BJS02 Cisco WSC375024TSS BJS03 BJS04 DLS01 DLS02 KSS01 KSS02 Cisco WSC296024TTL BJS05 DLS03 DLS04 DLS05 DLS06 KSS03 KSS04 KSS05 KSS06 8 Cisco WSC296048TCL BJS06 BJS07 BJS08 、 VLAN、子網(wǎng)及 IP 地址規(guī)劃（ ） IP 地址的規(guī)劃在網(wǎng)絡設計中舉足輕重。直接影響網(wǎng)絡運行的效率。 IP 地址設計的總原則是簡單、易管理、易擴展。 我們配 IP 地址按以下原則： 唯一性：一個 IP 網(wǎng)絡中不可能有兩個主機采用相同的 IP 地址。 簡單性：地址分配應簡單易于管理，降低網(wǎng)絡擴展的復雜性，簡化路由表的款項。 連續(xù)性：連續(xù)地址在此結構網(wǎng)絡中易于進行路由總結（ Route Summarization） ,大大縮減路由 表，提高路由算法效率。 可擴展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡規(guī)模擴展時能保證地址總結所需的連續(xù)性。 靈活性：地址分配應具有靈活性，可借助可變長子網(wǎng)掩碼技術，以滿足多種路由策略的優(yōu)化，充分利用地址空間。 北京總部 IP 地址劃分 部門名稱 人數(shù) VLAN ID 網(wǎng)絡號 可分配 IP 地址 品質(zhì)保障部 47 VLAN 10 (BJPZ) 教學支持部 47 VLAN 20 (BJJX) 財務部 8 VLAN 30 (BJCW) 市場部 48 VLAN 40 (BJSC) 服務器 大連分部 IP 地址劃分 部門名稱 人數(shù) VLAN ID 網(wǎng)絡號 可分配 IP 地址 品質(zhì)保障部 13 VLAN 10 (DLPZ) 教學支持部 18 VLAN 20 (DLJX) 9 財務部 3 VLAN 30 (DLCW) 市場部 16 VLAN 40 (DLSC) 服務器 昆山分部 IP 地址劃分 部門名稱 人數(shù) VLAN ID 網(wǎng)絡號 可分配 IP 地址 品質(zhì)保障部 14 VLAN 10 (KSPZ) 教學支持部 19 VLAN 20 (KSJX) 財務部 4 VLAN 30 (KSCW) 市場部 13 VLAN 40 (KSSC) 服務器 、 路由協(xié)議 在本次網(wǎng)絡項目中，北京總部的路由器 BJR001 和交換機 BJS0 BJS02 、BJS03 及 BJS04，我們均采用 OSPF 協(xié)議，分部也同樣使用。使用 OSPF 協(xié)議可以使