【正文】 實現(xiàn)各業(yè)務應用系 統(tǒng)的隔離，在核心部位及DMZ區(qū)域布置IPS(入侵檢測系統(tǒng)）確保核心數(shù)據(jù)的安全, 各部門既相互獨立又相互聯(lián)系，充分保證各部門之間信息的安全性，特別是核心區(qū)網(wǎng)絡部分要在邏輯上與辦公網(wǎng)絡進行隔離（通過交換機的VLAN及防火墻分區(qū)進行設(shè)置)，確保交易過程的安全。同時通過核心交換機與數(shù)據(jù)中心聯(lián)接，實現(xiàn)對核 心業(yè)務與核心數(shù)據(jù)的訪問。網(wǎng)絡拓撲圖如下所示： AP 1AP 2AP 3ASAAA serverSSID:WAPISSID:WAPISSID:SSID:IP networkACSTA 1WAPI為了方便辦公和交易，在中心辦公區(qū)和交易區(qū)域進行無線覆蓋（WLAN），、交易設(shè)備及管理設(shè)備服務，并為RFID（射頻識別）等設(shè)備的應用打下良好的基礎(chǔ)，*****公司W(wǎng)LAN網(wǎng)絡拓撲圖如下所示。AP 1AP 2AP 3ASAAA serverSSID:WAPISSID:WAPISSID:SSID:IP networkACSTA 1WAPI五、 分中心及會員企業(yè)局域網(wǎng)設(shè)計考慮到本次系統(tǒng)建設(shè)采用數(shù)據(jù)大集中方式，所有的數(shù)據(jù)及應用系統(tǒng)均集中在*****公司平臺數(shù)據(jù)中心，因此一般分中心、辦事處等均不需要提供核心數(shù)據(jù)服務，從節(jié)約成本角度考慮采用較為簡單的結(jié)構(gòu)，網(wǎng)絡拓撲圖如下圖所示。會員企業(yè)的網(wǎng)絡原則上由其自己建立，根據(jù)中心要求配置VPN接入方式即可， 對于沒有建立自己網(wǎng)絡的企業(yè)，建議參照一下方案：會員企業(yè)網(wǎng)絡建議拓撲六、*****公司同城O2O移動電子商務平臺廣域網(wǎng)設(shè)計*****公司同城O2O移動電子商務平臺廣域網(wǎng)釆用“雙星型雙節(jié)點結(jié)構(gòu)”，即雙核心路由、 雙接入、雙運營商線路的結(jié)構(gòu)，實現(xiàn)線路互為備份、路由設(shè)備互為備份。為了保證 安全，所有接入釆用VPN方式，并通過CA進行認證。網(wǎng)絡建設(shè)總體結(jié)構(gòu)如下圖所示：廣域網(wǎng)拓撲結(jié)構(gòu)圖七、IP地址規(guī)劃對于本項目這樣規(guī)模的網(wǎng)絡，必須對IP地址進行統(tǒng)一規(guī)劃并得到實施。IP地址 規(guī)劃的好壞，影響到網(wǎng)絡路由協(xié)議算法的效率，影響到網(wǎng)絡的性能，影響到網(wǎng)絡的擴展，影響到網(wǎng)絡的管理，也必將影響到網(wǎng)絡應用的進一步發(fā)展。IP地址空間分配，要與網(wǎng)絡拓撲層次結(jié)構(gòu)相適應，既要有效地利用地址空間， 又要體現(xiàn)網(wǎng)絡的可擴展性和靈活性，同時能滿足路由協(xié)議的要求，以便于網(wǎng)絡中的路由聚類，減少路由器中路由表路由數(shù)量，減少路由器中路由表的長度，減少對路由器CPU、內(nèi)存的消耗，降低網(wǎng)絡動蕩程度，隔離網(wǎng)絡故障，提高路由算法的效率， 加快路由變化的收斂速度，同時還要考慮到網(wǎng)絡地址的可管理性。IP地址的具體分 配時要遵循的原則：(1)唯一性：一個IP網(wǎng)絡中不能有兩個主機采用相同的IP地址。(2)簡單性：地址分配應簡單易于管理，降低網(wǎng)絡擴展的復雜性，簡化路由表 的表項。 (3)連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡中易于進行路徑疊合，大大縮減路由表， 提高路由算法的效率。(4)可擴展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡規(guī)模擴展時能保證地址疊合所需的連續(xù)性。(5)靈活性：地址分配應具有靈活性，以滿足多種路由策略的優(yōu)化，充分利用 地址空間。IP地址規(guī)劃主要涉及到網(wǎng)絡資源的利用的方便有效的管理網(wǎng)絡的問題，Internet IP地址相對緊張的情況下，合理有效的利用IP地址成為IP地址規(guī)劃的主要問題， 合理的IP地址規(guī)劃是有利于網(wǎng)絡管理的。IP地址的合理分配是保證網(wǎng)絡順利運行和 網(wǎng)絡資源有效利用的關(guān)鍵。充分考慮到地址空間的合理使用，保證實現(xiàn)最佳的網(wǎng)絡 內(nèi)地址分配及業(yè)務流量的均勻分布。在本項目中，采用靜態(tài)分配和動態(tài)分配相結(jié)合的方式分配IP地址：(1)設(shè)備互聯(lián)地址，設(shè)備Loopback地址等釆用固定IP地址。(2)各級局域網(wǎng)中，服務器釆用固定地址。一般而言，對于開機率比較低的區(qū)域，或主機位置及人員變動相對比較頻繁的 區(qū)域，如辦公區(qū)，開發(fā)中心等，釆用動態(tài)地址分配，辦公區(qū)的主機開機時通過DHCP 請求獲得一個，用戶的網(wǎng)絡通信使用該地址，關(guān)機后系統(tǒng)回收該IP地址。這樣既可 以節(jié)約IP,也使得網(wǎng)絡用戶便于管理。對于合法IP地址的申請，根據(jù)我國互聯(lián)網(wǎng)地址的申請程序，擬向CNNIC提出 申請。鑒于合法IP地址申請困難，因此在地址分配時，要節(jié)約使用。八、路由協(xié)議規(guī)劃對一個大型網(wǎng)絡來說，選擇一個合適的路由協(xié)議是非常重要的。不恰當?shù)倪x擇 有時對網(wǎng)絡是致命的，路由協(xié)議對網(wǎng)絡的穩(wěn)定高效運行、網(wǎng)絡在拓撲變化時的快速 收斂、網(wǎng)絡帶寬的充分有效利用、網(wǎng)絡在故障時的快速恢復、網(wǎng)絡的靈活擴展都有 很重要的影響；還有對于網(wǎng)絡承載的業(yè)務的控制方面的復雜和靈活方面具有很重要的影響。本項目系統(tǒng)網(wǎng)絡規(guī)模大，結(jié)構(gòu)復雜，業(yè)務流程控制嚴格等。需要的路由協(xié)議是 適合大型網(wǎng)絡，收斂時間快，路由策略豐富，并且是標準化容易擴展。選擇適當?shù)穆酚蓞f(xié)議需要考慮以下因素：(1)路由協(xié)議的開放性。開放性的路由協(xié)議保證了不同廠商都能對本路由協(xié)議 進行支持，這不僅保證了目前網(wǎng)絡的互通性，而且保證了將來網(wǎng)絡發(fā)展的擴充能力和選擇空間。(2)網(wǎng)絡的拓撲結(jié)構(gòu)。網(wǎng)絡拓撲結(jié)構(gòu)直接影響協(xié)議的選擇。例如RIP這樣比較簡單的路由協(xié)議不支持分層次的路由信息計算，對復雜網(wǎng)絡的適應能力較弱。路由協(xié)議還必須支持網(wǎng)絡拓撲的變化，在拓撲發(fā)生變化時，無論是對網(wǎng)絡中的路由本身， 還是網(wǎng)絡設(shè)備的管理都要使影響最小。(3)網(wǎng)絡節(jié)點數(shù)量。不同的協(xié)議對于網(wǎng)絡規(guī)模的支持能力有所不同，需要按需求適當選擇，有時還需要釆用一些特殊技術(shù)解決適應網(wǎng)絡規(guī)模方面的擴展性問題。(4)與其他網(wǎng)絡的互連要求。通過劃分成相對獨立管理的網(wǎng)絡區(qū)域，可以減少網(wǎng)絡間的相關(guān)性，有利于網(wǎng)絡的擴展，路由協(xié)議要能支持減少網(wǎng)絡間的相關(guān)性，是通常劃分為一個自治系統(tǒng)（AS )，在AS之間需要采用適當?shù)膮^(qū)域間路由協(xié)議。必要 時還要考慮路由信息安全因素和對路由交換的限制管理。 (5)管理和安全上的要求。通常要求在可以滿足功能需求的情況下盡可能簡化管理。但有時為了實現(xiàn)比較完善的管理功能或為了滿足安全的需要，例如對路由的傳播和選用提出一些人為的要求，就需要路由協(xié)議對策略的支持。根據(jù)網(wǎng)絡的優(yōu)化設(shè)計策略，在選擇及規(guī)劃路由協(xié)議時需要按照這些因素進行考 慮和設(shè)計。目前常用的路由協(xié)議有多種，如RIP、OSPF、ISIS, BGP等等。一般來說分為：內(nèi)部網(wǎng)關(guān)路由協(xié)議和外部網(wǎng)關(guān)路由協(xié)議。其中內(nèi)部網(wǎng)關(guān)路由協(xié)議又可以分 為：距離矢量路由協(xié)議（RIP、IGRP和EIGRP)。鏈路狀態(tài)路由協(xié)議（OSPF和ISIS 等）。外部網(wǎng)關(guān)路由協(xié)議主要指的是BGP路由協(xié)議。在IGP路由協(xié)議的選擇上，距離矢量路由協(xié)議（RIP)主要特點是適合于小型 網(wǎng)絡，路由收斂較慢，可能會形成路由環(huán)路，鏈路帶寬消耗較大等。IGRP、EIGRP 是廠商私有的路由協(xié)議，所以盡量不要釆用擴展性差的（RIP)和廠家的私有路由議（IGRP 和 EIGRP),盡量釆用OSPF 或 ISIS。對于OSPF和ISIS的選擇依據(jù)為：(1)基本原理相同（基于鏈路狀態(tài)算法），OSPF用于IP,ISIS用于ISO的 CLNP,也支持 IP (“集成 ISIS” )。(2)ISIS結(jié)構(gòu)嚴謹，OSPF更加靈活，OSPF協(xié)議是基于接口的，而ISIS路由器只能屬于一個Area,并且不支持NBMA網(wǎng)絡。(3)ISIS占用網(wǎng)絡資源相對較少，支持網(wǎng)絡規(guī)模大于OSPF，在網(wǎng)絡相當龐 大時能體現(xiàn)出優(yōu)勢。一個IGP域運行的三層交換機及路由器的數(shù)量一般不會超過200臺，因此從實際情況來看，運行OSPF和ISIS對城域網(wǎng)/承載網(wǎng)的建設(shè)不會差異；對于網(wǎng)絡的穩(wěn)定性、可擴充性，兩種協(xié)議都能很好地支持；在大型ISP上， ISIS與OSPF二者均獲得普遍應用。(4)從目前很多廠商的設(shè)備來看，存在這樣一個問題，不少廠商的中低端路由器及三層交換機不支持ISIS，從這個角度講OSPF比ISIS有優(yōu)勢，所有的主流路由器及三層交換機都支持OSPF。(5) BGP ( Border Gateway Protocol，即邊界網(wǎng)關(guān)協(xié)議）是一種自治系統(tǒng)間的 動態(tài)路由發(fā)現(xiàn)協(xié)議，它的基本功能是在自治系統(tǒng)間自動交換無環(huán)路的路由信息。目前BGP的標準是RFC1771/RFC1772 (版本4)。BGP的路由策略特別豐富，易于控制業(yè)務和路由流程。BGP通過在路由信息中增加自治區(qū)域（AS)路徑的屬性，來構(gòu)造自治區(qū)域的拓撲圖，從而消除路由環(huán)路并實施用戶配置的策略。另外，BGP支持無類型的區(qū)域間路由CIDR( Classless Inter domain Routing )，可以有效的減少曰益增大的路由表?；趯τ诒卷椖肯到y(tǒng)網(wǎng)絡和路由協(xié)議分析，使用OSPF+BGP4 +靜態(tài)路由的方式 進行路由規(guī)劃。這個組合非常適于大型網(wǎng)絡的組網(wǎng)，也是當今網(wǎng)絡規(guī)劃中被廣泛使用的設(shè)計方法。九、網(wǎng)絡高可靠性設(shè)計網(wǎng)絡的可靠性是一個端到端的全程概念，單純提高某一層面的可靠性并不能對 網(wǎng)絡整體的可靠性有很大改善。網(wǎng)絡的可靠性最終要從設(shè)備級，鏈路級，網(wǎng)絡級，應用等各層次保證。(1)設(shè)備級的可靠性。包括設(shè)備本身的健壯性及對周圍環(huán)境的適應能力，可靠的設(shè)備應該對關(guān)鍵部件（如主控板，交換網(wǎng)板，電源等）進行冗余備份，并且可以在惡劣的環(huán)境下長時間穩(wěn)定運行。設(shè)備級可靠性的另外一個重要方面就是設(shè)備在線升級能力及容錯能力，容錯能力體現(xiàn)在如設(shè)備發(fā)生故障時，可自動平滑的啟動備份部件，不對業(yè)務造成影響，設(shè)備級可靠性的另外一個重要內(nèi)容就是設(shè)備間的備份，如采用VRRP或HSRP進行設(shè)備備份，當主用設(shè)備發(fā)生故障時，流量自動切換到備 份設(shè)備上，該過程對業(yè)務透明。(2)鏈路級的可靠性。包括鏈路本身的可靠性，包括良好的線路質(zhì)量，及鏈路 備份技術(shù)，如采用一些物理線路捆綁技術(shù)提供線路的可靠性，也可以采用其它鏈路/線路保護技術(shù)，如環(huán)網(wǎng)技術(shù)。(3)網(wǎng)絡級的可靠性。網(wǎng)絡設(shè)計模塊化，各功能區(qū)域相對獨立，任一區(qū)域的故障不會擴散到其它區(qū)域；路由可靠性：首先根據(jù)網(wǎng)絡特點選擇合理的路由協(xié)議，避免路由環(huán)路，減少路由振蕩，并且保護某個網(wǎng)絡節(jié)點失效后網(wǎng)絡快速自愈。(4)應用級的可靠性。主要是指通過各種Qos技術(shù)，充分保證關(guān)鍵業(yè)務的帶寬、廷時等。網(wǎng)絡的可靠性設(shè)計并不是一個孤立的問題，受到網(wǎng)絡的地理分布，規(guī)模，可用線路等多方面原因限制，下面從各層次描述工程可靠性設(shè)計。設(shè)備可靠性包含兩個方面的內(nèi)容，一是設(shè)備自身的可靠性，通過為關(guān)鍵核心設(shè)備配置冗余部件來實現(xiàn)設(shè)備自身的可靠性。二是設(shè)備之間的冗余備份，配置主備網(wǎng)關(guān)鍵網(wǎng)絡設(shè)備。網(wǎng)絡中的關(guān)鍵設(shè)備，如各核心交換機，骨干路由器等，應該具備電信級可靠性：(1)%。(2)網(wǎng)絡核心設(shè)備采用全分布式體系結(jié)構(gòu)，路由與轉(zhuǎn)發(fā)分離。(3)所有關(guān)鍵器件，如主控板、交換網(wǎng)、電源等都采用冗余設(shè)計，業(yè)務模塊支 持熱插拔。(4)網(wǎng)絡核心設(shè)備無源背板，釆用無源器件的背板，可靠性更高。(5)網(wǎng)絡核心設(shè)備支持不間斷轉(zhuǎn)發(fā)，主控板熱備份。主備倒換過程不影響業(yè)務轉(zhuǎn)發(fā)，不丟包。(6)網(wǎng)絡核心設(shè)備支持軟件在線升級，升級過程中業(yè)務不中斷。(7)網(wǎng)絡核心設(shè)備支持軟件熱補丁，打補丁過程中主控板和接口板都不需要重啟動，業(yè)務不中斷。本期由于投資成本的考慮，廣域網(wǎng)鏈路沒有釆用雙鏈路進行路由備份，但對于局域網(wǎng)及廣域網(wǎng)出口的設(shè)計，則考慮了線路的可靠性。鏈路冗佘設(shè)計主要體現(xiàn)在以下幾個方面：(1)具有雙出口路由器的節(jié)點，局域網(wǎng)核心交換機通過兩條GE鏈路上行到局 域網(wǎng)的出口路由器，待條件成熟后出口路由器到運營商傳輸設(shè)備可以通過兩條鏈路連接，兩條鏈路互為備份。平時兩條鏈路都處于工作狀態(tài)，當其中一條鏈路出現(xiàn)故障，流量將自動切換到另外鏈路上。(2)路的可靠性還體現(xiàn)在釆用鏈路捆綁技術(shù)，主要體現(xiàn)在以下幾個方面：a)廣域網(wǎng)線路。省中心使用的是POS線路，運行PPP鏈路層協(xié)議，當需要更高的帶寬時，可以考慮釆用MP( Multiple PPP)技術(shù)，即將多個POS線路進行捆綁,但是使用同一個IP邏輯接口。這樣，一方面可以利用擴大聯(lián)接的帶寬，另一方面由于捆綁，不同的E1線路間也可以用于快速的冗余備份。b)局域網(wǎng)線路。局域網(wǎng)中，在關(guān)鍵鏈路上釆用Ethernet Trunk技術(shù)，即將多個 Ethernet Link捆綁為一條Trunk鏈路，該Trunk鏈路在設(shè)備上對應為一個邏輯接口， 在路由表中只有一項；其下一跳是這個邏輯接口，當報文需要經(jīng)這個邏輯接口轉(zhuǎn)發(fā)時，路由表信息指示這個接口是邏輯接口，轉(zhuǎn)發(fā)部件選擇一個實際物理出接口，因此當TRUNK中的某一鏈路故障時，只需要更新TRUNK表，而不影響需要更新秒 級收斂的路由表，大大提高了故障恢復的能力。c)在局域網(wǎng)中還可以通過MSTP來保障網(wǎng)絡的可靠性，可以采用MSTP技術(shù)，在雙骨干鏈路上實現(xiàn)負載均衡和冗余備份，從而充分利用兩條光纖骨干。多生成樹協(xié)議MSTP (Multiple Spanning Tree Protocol)是 IEEE 中定義的一種新型生成樹協(xié)議，區(qū)別于當前使用廣泛的STP/RSTP, MSTP具有很好的VLAN認知能力和 負載均衡能力，而且還能很好的向下兼容STP/RSTP,通過MSTP裁減保證無環(huán)，任何一條鏈路出現(xiàn)問題，MSTP能夠迅速收斂，備份鏈路接替業(yè)務。合理規(guī)劃路由協(xié)議和策略，充分考慮路由收斂的性能：本項目網(wǎng)絡采用OSPF + BGP +靜態(tài)的路由策略，一方面這種路由方式有很好的靈活性，可以利用BGP豐富的屬性控制不同業(yè)務流的走向，另一方面這種路由策略有很強的可靠性。充分利用帶寬和設(shè)備資源的同時，所有關(guān)鍵路徑均有備份路由：在IP網(wǎng)絡中，為了均衡網(wǎng)絡負載，為一個目的地址配置多個下一跳的負載分擔（Load Balancing) 技術(shù)已經(jīng)在路由器中開始應用。多個下一跳可通過運行某些支持等值路由的路由協(xié)議獲得（如OSPF),也可以由路由器通過其它策略來配置（如通過配置靜態(tài)路由）。在報文轉(zhuǎn)發(fā)過程中，如果查找到的轉(zhuǎn)發(fā)表項中含有多個下一跳，則可通過某種策略 (如使用Round Robin方式或?qū)笪牡刂愤M行HASH使每條流對應一個固定的下一 跳）決定使用