【正文】 了先進的多核硬件架構，多線程并行處理，優(yōu)化了安全業(yè)務處理流程，特別是針對首包處理的優(yōu)化，使 USG5300 系列統(tǒng)一安全網(wǎng)關具備同檔產品業(yè)界第一的每秒新建連 網(wǎng)絡實施方案 第 22 頁 接數(shù)，足以應對各種大規(guī)模網(wǎng)絡流量的應用。 華為賽門鐵克科技有限公司長期致力于為用戶提供全面的網(wǎng)絡安全解決方案，擁有業(yè)界最強的網(wǎng)絡協(xié)議分析團隊以及最全的協(xié)議知識庫，針對各種網(wǎng)絡協(xié)議的安全威脅有著深入的分析和理解，可以為用戶提供應對各種網(wǎng)絡安全 威脅的技術支撐。 產品信息 Secospace USG5300 系列統(tǒng)一安全網(wǎng)關 網(wǎng)絡安全狀況不斷的惡化，越來越多基于各項應用和業(yè)務的深層 網(wǎng)絡實施方案 第 21 頁 次網(wǎng)絡安全問題困擾著用戶。 ? 規(guī)范性： IP 地址分配要按照縱向和橫向的分類有一定的規(guī)范性。 P 地址分配應遵循的原則 局域網(wǎng)絡是一個基于 TCP/IP 協(xié)議的 IP 寬帶網(wǎng)、包括多種應用 網(wǎng)絡系統(tǒng)，在分配 IP 地址時，必須充分考慮網(wǎng)絡運行和管理及 IP 地址分配簡單性和可擴充性。主機地址是由各個網(wǎng)絡的系統(tǒng)管理員分配。 IP 分組中的 IP 地址在網(wǎng)絡傳輸中是保持不變的。 IP 網(wǎng)絡是由通過路由設備互連起來的 IP 子網(wǎng)構成的，這些路由設備負責在 IP 子網(wǎng)間尋找路由，并將 IP 分組轉發(fā)到下一個 IP 子網(wǎng)。 網(wǎng)絡實施方案 第 19 頁 IP 地址規(guī)劃 IP 地址分配原理 基于 TCP/IP協(xié)議的 Inter已逐步發(fā)展成為當今世界上規(guī)模最大、擁有用戶和資源最多的一個超大型公務網(wǎng)信息系統(tǒng)， TCP/IP 協(xié)議也因此成為事實上的工業(yè)標準。 可以有效的抑制內部廣播包對平臺的影響。 三層接入的特點 采用三層結構具有以下幾個方面的 優(yōu)點： 可以對內部網(wǎng)絡進行有效的控制、屏蔽內部網(wǎng)絡信息。 防火墻的目的是 要在內部、外部兩個網(wǎng)絡之間建立一個安全控制點，通過允許、拒絕或重新定向經過防火墻的數(shù)據(jù)流，實現(xiàn)對進、出內部網(wǎng)絡的服務和訪問的審計和控制。 匯聚層：部署 7 臺 LSS5324TPSI 匯聚層交換機進行光纖連接； 網(wǎng)絡實施方案 第 18 頁 每棟樓的接入層交換機連接相應匯聚層交換機。根據(jù) 部門 網(wǎng)絡系統(tǒng)的理解，我們建議 核心層 :部署一臺 S9312，雙主控雙電源，達到冗余互備的效果。在交換設備選型方面 ，我們的原則是選擇成熟的、先進、具有較高市場份額的品牌。它具有如下特點：結構簡單，便于管理；控制簡單，便于建網(wǎng)；網(wǎng)絡延遲時間較小，傳輸誤差較低。 星型結構 : 星狀網(wǎng)絡拓撲結構圖 星型結構 是指各工作站以星型方式連接成網(wǎng)。 網(wǎng)絡拓撲結構 網(wǎng)絡的拓撲結構是拋開網(wǎng)絡物理連接來討論網(wǎng)絡系統(tǒng)的連接形式，網(wǎng)絡中各站點相互連接的方法和形式稱為網(wǎng)絡拓撲。 接入層：主要利用多種接入技術， 迅速覆蓋用戶，進行帶寬和業(yè)務分配，實現(xiàn)用戶的接入，接入節(jié)點設備完成多業(yè)務的復用和傳輸，并且利用光纖，雙絞線、同軸電纜等連接到用戶。匯接節(jié)點設備一般采用具備三層功能的多層交換 網(wǎng)絡實施方案 第 16 頁 機。一般采用背板交換帶寬比較高的網(wǎng)絡設備，提供高的交換能力。如圖所示： 一般情況下，骨干層和匯接層可合為一層稱為核心層，這樣有利于擴大接入層的服務范圍，降低網(wǎng)絡的建設成本。 網(wǎng)絡實施方案 第 15 頁 網(wǎng)絡 系統(tǒng)設計方案 常用網(wǎng)絡分層及拓樸介紹 網(wǎng)絡分層 我們 采用分層的建網(wǎng)思路，這樣可使網(wǎng)絡結構明晰，各層功能實體之間的作用定位清楚，接口開放，標準。 ? 匯聚 層交換機： LSS5324TPSI， 7 臺匯聚層交換機進行光纖連接；每棟樓的接入層交換機連接相應匯聚層交換機。 ? 部署邊界安全：部署 USG5320 防火墻； ? 安全域劃分：防火墻與交換機 VLAN 特性配合，實現(xiàn)業(yè)務系統(tǒng)間可控訪問； ? 部署終端安全：個人防火墻、病毒防殺，桌面訪問控制 ? 安全管理：配合設備網(wǎng)絡管理系統(tǒng)使用 ? 核心 層交換機：一 臺 S9312， 雙主控雙電源， 達到冗余互備的效果。 IP 統(tǒng)一分配。 針對 不同 部門 具體情況，作為一個獨立的 分支 接入單位，建議采用三層交換技術，可有效的抑制廣播包和增強 部門 內部網(wǎng)絡的安全性。 交換與路由的選擇 如前所述，局域網(wǎng)交換機是工作在 OSI 第二層的，可以理解為一個多端口網(wǎng)橋，因此傳統(tǒng)上稱為第二層交換； 二層交換能夠有效的減少沖突域，提高網(wǎng)絡轉發(fā)的性能。 特別是在時間響應方面的優(yōu)點，使的局域網(wǎng)交換機倍受青睞。目前大多數(shù)交換式以太網(wǎng)都具有 100M 的端口，通過與之相對應的 100M 的網(wǎng)卡接入到服務器上，暫時解決了 10M 的瓶頸，成為網(wǎng)絡局域網(wǎng)升級時首選的方案。 交換式以太網(wǎng)技術的優(yōu)點 ： 交換式以太網(wǎng)不需要改變網(wǎng)絡其它硬件，包括電纜和用戶的網(wǎng)卡，僅需要 用交換式交換機改變共享式 HUB，節(jié)省用戶網(wǎng)絡升級的費用。以太網(wǎng)交換機又與電話交換機相似，除了提供存儲轉發(fā)（ STORE ANG FORWORD）方式外還提供了其它的橋接技術，如：直通方式（ CUT THROUGH）。 網(wǎng)絡技術的選擇 ： 交換式以太網(wǎng)技術 以太網(wǎng)交換技術（ SWITCH）是在多端口網(wǎng)橋的基礎上與九十年代初發(fā)展起來的，實現(xiàn) OSI 模型的下兩層協(xié)議，與網(wǎng)橋有著千絲萬縷的關系，甚至被業(yè)界人士稱為 許多聯(lián)系在一起的網(wǎng)橋 ，因此現(xiàn)在的交換式技術并不是什么新的標準，而是現(xiàn)有技術的新應用而已，是一種改進了的局域網(wǎng)橋，與傳統(tǒng)的網(wǎng)橋相比，它能提供更多的端口（ 4～88）、更好的性能、更強的管理功能以及更便宜的價格。 Qos 方面可考慮網(wǎng)絡邊界和網(wǎng)絡核心的整體 Qos 策略實施，提供端到端的服務質量，同時對重點區(qū)域，如高速局域網(wǎng)和低速廣域網(wǎng)的連接部采用了流控設備進行特殊的帶寬管理和流量整形。 安全性方面，網(wǎng)絡系統(tǒng)采用了防火墻、核心層、匯聚層和接入交換機等多層次的整體安全防御體系，同時對重點 區(qū)域采用了特殊安全手段。 今世緣酒業(yè)網(wǎng)絡承載的應用系統(tǒng)具有大數(shù)據(jù)流、類型復雜，安全敏感性極高的特點。 服務器和存儲方面主要有數(shù)據(jù)庫服務器、 ERP 服務器、外網(wǎng)服務器和磁盤陣列，其他應用采用現(xiàn)有服務器（兌獎服務器 3 臺，域控服務器 1 臺，金蝶 K3 服務器 1 臺、 OA 服務器 1 臺）。系統(tǒng)還配置了防火墻。其建設目標是成為適應互聯(lián)網(wǎng)要求的安全、可靠、高性能的綜合 網(wǎng)絡實施方案 第 10 頁 行政業(yè)務管理平臺和自動化生產平臺。 在網(wǎng)絡方案設計時充分考慮現(xiàn)有的硬件和軟件資源，盡量把各期投資和未來發(fā)展的兼容性容于系統(tǒng)方案中。網(wǎng)絡產品應具備在線熱更換的能力，當某一板卡出現(xiàn)故障時，應能帶電更換，而不需進行停機操作。 網(wǎng)絡可靠性 網(wǎng)絡可靠性需要從以下方面來 保證：設備的硬件制造品質與運行 網(wǎng)絡實施方案 第 9 頁 軟件的成熟性。 產品應選擇主流產品，并且具有成熟、穩(wěn)定、實用的特點。采用先進而成熟的網(wǎng)絡技術和產品，適應大量數(shù)據(jù)和多媒體信息傳輸、處理、交換的需要，使網(wǎng)絡系統(tǒng)具有較強的生命力。 保障數(shù)據(jù)完整性，對數(shù)據(jù)庫操作保證數(shù)據(jù)的一致性和數(shù)據(jù)的完整性。 存取控制，當用戶已注冊登錄后，核對用戶權限，根據(jù)用戶對該 網(wǎng)絡實施方案 第 8 頁 項資源被授予的權限對其進行存取控制。 數(shù)據(jù)庫安全性：數(shù)據(jù)庫要有以下安全機制：磁盤鏡 像、數(shù)據(jù)備份、恢復機制、事務日志、內部一致性檢查、鎖機制以及審計機制等安全保障體制，確保數(shù)據(jù)庫的安全。 網(wǎng)絡通迅系統(tǒng)安全性：網(wǎng)絡的安全性主要包括采取以下安全措施：認證措施，包括網(wǎng)點認證和人員認證；數(shù)據(jù)保密措施如傳輸加密；存取控制措施如防止非法操作。 安全性 安全性是指可靠性、保密性和數(shù)據(jù)一致性。如當網(wǎng)絡設備增加、通信網(wǎng)絡升級時，所有設備要保證仍能 網(wǎng)絡實施方案 第 7 頁 繼續(xù)使用，而不能以棄掉已有設備為升級的代價。因此，設計時一定得考慮將來的發(fā)展，除了當前設計得有一定的超前外，還需要考慮系統(tǒng)的可擴充性，易于系統(tǒng)以后的發(fā)展。 簡潔性 對于網(wǎng)絡系統(tǒng)，在設計過程中要考慮系統(tǒng)的能夠適應不斷的新的發(fā)展需要，并使系統(tǒng)能適應多種硬件平臺和多種網(wǎng)絡結構，而且網(wǎng)絡拓撲結構簡潔，硬件和軟件按需要能進行靈活的配置。 OSE 包括了多種功能，它能在不同廠家的網(wǎng)絡上實現(xiàn)計算機應用的互操作性、可移植性和集成性。 網(wǎng)絡互聯(lián)技術成熟，推動了分布式運算環(huán)境的建立，如 TCP/IP的迅速發(fā)展，已成為異種機型互聯(lián)的標準。網(wǎng)絡系統(tǒng)設計必須滿足其應用的要求，網(wǎng)絡總體設計、建設的原則如下： 開放性： 當前計算機技術的發(fā)展日新月異，各種硬件和軟件產品層出不窮。建立網(wǎng)絡系統(tǒng)主要是完成將所有網(wǎng)絡設備連網(wǎng)工作，即通過網(wǎng)絡設備將信息點與中心網(wǎng)絡系統(tǒng)可靠地連接起來，為當前的各種應用環(huán)境系統(tǒng)和應用軟件系統(tǒng)提供運行環(huán)境支持。 ◆為調控、科學決策提供有力的支持 。 ◆提供 Web 發(fā)布信息等 Inter 的信息服務 。 ◆ 提供公用信息交換平臺 。即實現(xiàn)業(yè)務 系統(tǒng)處理、 日常辦公、領導決策計算機化、信息交流國際化的先進系統(tǒng) 。為了 保證能夠安全地接入 Inter，所以我們選擇了 USG5320， USG5320防火墻 /VPN是業(yè)界功能最全面、擴展性最好的防火墻 /VPN 產品，集成防火墻、 VPN 和豐富的網(wǎng)絡特性，為用戶提供安全防護、安全遠程接入等功能。 S2300EI 系列智能接入交換機作為骨干網(wǎng)基礎設施的基礎，因為它提供了可伸縮的結構和高性能的處理能力 ，能夠高速傳輸數(shù)據(jù)，同時通過它們 交換技術保證了安全地接入Inter 和一體化的網(wǎng)絡解決方案。為我們提供一個集成化、高性能、靈活、可伸縮、安全和高性能價格比的解決方案的標準。 在主干網(wǎng)建設時，我們選擇 Quidway174。由于使用 IP 作為標準傳輸協(xié)議，在以后對網(wǎng)絡進行擴充以與其它的網(wǎng)絡互連時，可以跨越多個平臺自然而然地提供互操作能力和無縫連接功能。 基于路由器和交換機的局部網(wǎng)間的互聯(lián)是最好的解決方案。 S5300 系列全千兆運營級交換機 ......................................................... 32