【正文】 vlan 10 100 200 300 400 port trunk pvid vlan 10 poe enableinterface GigabitEthernet1/0/6 port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 10 100 200 300 400 port trunk pvid vlan 10 poe enableinterface GigabitEthernet1/0/7 port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 10 100 200 300 400 port trunk pvid vlan 10 poe enableinterface GigabitEthernet1/0/8 port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 10 100 200 300 400 port trunk pvid vlan 10 poe enableinterface GigabitEthernet1/0/9 port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 10 100 200 300 400 port trunk pvid vlan 10 poe enableinterface GigabitEthernet1/0/10 port linktype trunk undo port tr。 完工后接口人檢查，二天內(nèi)反饋到北明接口人李沛或唐鵬（郵件主題注明分部門店名稱）；連通性檢測(cè)：ping 網(wǎng)關(guān)、防火墻外網(wǎng)口、運(yùn)營(yíng)商IP，百度 上網(wǎng)檢測(cè)：打開(kāi)XXX在線，京東，蘇寧，淘寶，微信，支付寶。配置完成后 ssh 確保ssh 服務(wù)可用。綜合布線和AP的吸頂安裝，采取外包給布線公司，則相應(yīng)的工具由其提供，他們提供測(cè)試通過(guò)的線路，并按要求貼標(biāo)簽。圖紙的使用及編制方法及要求如下：先收集需要實(shí)施的門店的平面CAD圖（一定要最新版的），由此可先大概測(cè)算出布線長(zhǎng)度、基本走線方式。如XXX布線公司價(jià)格過(guò)高，則聯(lián)系其他布線公司，說(shuō)明環(huán)境情況，預(yù)估價(jià)格是否合理？并確認(rèn)到場(chǎng)時(shí)間。對(duì)實(shí)施環(huán)境現(xiàn)場(chǎng)勘測(cè)，用于確認(rèn)后續(xù)機(jī)柜安裝、AP點(diǎn)位確認(rèn)及布線、網(wǎng)絡(luò)設(shè)備安裝等，具體步驟為：參考《：一期門店電話確認(rèn)記錄》中的信息，電話IT主管，報(bào)“無(wú)線項(xiàng)目實(shí)施”北明公司的項(xiàng)目實(shí)施人員及本人姓名，需要現(xiàn)場(chǎng)勘測(cè)為無(wú)線項(xiàng)目實(shí)施做準(zhǔn)備，預(yù)約到現(xiàn)場(chǎng)的時(shí)間，如IT經(jīng)理不到場(chǎng)，則他安排具體的IT人員協(xié)助陪同，請(qǐng)他提供姓名電話，聯(lián)系IT人員，預(yù)約到場(chǎng)時(shí)間；帶布線公司負(fù)責(zé)人一起（如有常合作的或者事先談好的），準(zhǔn)備好該門店的圖紙打印件、設(shè)備清單信息及到貨時(shí)間進(jìn)展，聯(lián)系IT人員，到門店現(xiàn)場(chǎng)；每個(gè)門店的設(shè)備配置參考《：100家門店無(wú)線設(shè)備配置》，如部分設(shè)備已經(jīng)到貨（如主機(jī)柜，不在配置表中）且未簽收，提醒店長(zhǎng)、IT人員：妥善保管，勘測(cè)后再發(fā)貨，設(shè)備到齊后簽收；對(duì)照?qǐng)D紙，對(duì)門店總體巡視，記錄主機(jī)房位置及空間、副機(jī)房位置及空間（可能用于遠(yuǎn)端區(qū)域的接入POE交換機(jī)安裝，以解決布線距離過(guò)長(zhǎng)的問(wèn)題，網(wǎng)線不超過(guò)100米），如無(wú)機(jī)房，請(qǐng)IT人員協(xié)調(diào)機(jī)柜安裝位置，并預(yù)留出空間；測(cè)量主機(jī)房的門尺寸及周圍過(guò)道空間，能否運(yùn)輸600*800*2000的機(jī)柜，如不能進(jìn)入，則和店長(zhǎng)溝通，請(qǐng)店長(zhǎng)安排裝修公司處理；記錄店面結(jié)構(gòu)、吊頂類型、機(jī)房情況、機(jī)柜空間、配電、外部線路、內(nèi)部管網(wǎng)等情況，確認(rèn)AP安裝的具體問(wèn)題，將勘測(cè)的情況，進(jìn)行拍照，并在圖紙上對(duì)應(yīng)標(biāo)識(shí)，整理到《：工程環(huán)境勘測(cè)記錄表》；在確認(rèn)到AP點(diǎn)位、機(jī)房位置后，圖紙點(diǎn)位確定，則拍照發(fā)給項(xiàng)目助理張瑞，由后者統(tǒng)一提交給設(shè)計(jì)人員出圖；以上勘測(cè)記錄和照片等資料，發(fā)鄭慶斌、張瑞，經(jīng)確認(rèn)后提交給總負(fù)責(zé)人。（3510搭配一個(gè)150W和說(shuō)明：每個(gè)到貨的XXX設(shè)備需填寫序列號(hào)；沒(méi)有的設(shè)備必須用“零”標(biāo)注；表中的無(wú)線控制器根據(jù)施工要求，9月1日全部開(kāi)通外網(wǎng)線路。項(xiàng)目組安排專人，對(duì)第一批要實(shí)施的100家門店，逐一電話聯(lián)系店長(zhǎng)等接口人，確認(rèn)：門店地址、收貨人、IT經(jīng)理的配合、布線工作配合等，參考《：一期門店電話確認(rèn)記錄》。本章節(jié)以下各項(xiàng)為門店實(shí)施的具體做法、標(biāo)準(zhǔn)。如果有更大的需求，需要改造，時(shí)間看改造量。以上標(biāo)準(zhǔn)具體實(shí)施參考《：門店機(jī)柜及網(wǎng)絡(luò)設(shè)備安裝標(biāo)準(zhǔn)》。如有超出這幾種的環(huán)境，依據(jù)實(shí)際情況，和IT經(jīng)理協(xié)商溝通，前提安全、美觀、不影響信號(hào)覆蓋、定位。明確門店內(nèi)的POE交換機(jī)、防火墻、AC、AP等硬件設(shè)備的安裝、接地、接電（門店負(fù)責(zé)提供機(jī)柜的插座，機(jī)柜自帶PDU）、接線、外觀、標(biāo)簽、信息記錄等要求。5實(shí)施標(biāo)準(zhǔn)本項(xiàng)目的標(biāo)簽標(biāo)準(zhǔn)如下：位置類型內(nèi)容貼法網(wǎng)線兩頭黃色旗型線纜標(biāo)簽該網(wǎng)線所接設(shè)備的名稱，參考“”靠近水晶頭35CM的地方，順一個(gè)方向粘貼防火墻交換機(jī)服務(wù)器黃色或白色長(zhǎng)條形標(biāo)簽該設(shè)備的命名粘貼在設(shè)備左上部分AP黃色或白色長(zhǎng)條形標(biāo)簽AP+序號(hào)，如AP12參考“”旗型標(biāo)簽的顯示內(nèi)容，可以通過(guò)打印模板設(shè)置后，用打印機(jī)打印，參考《：旗型標(biāo)簽工具與模板》。給出門店的各設(shè)備之間的硬件接口、連接方式的統(tǒng)一標(biāo)準(zhǔn)《：門店網(wǎng)絡(luò)設(shè)備接口》。 SSID規(guī)劃SSID的規(guī)劃依據(jù)：門店無(wú)線上網(wǎng)的用戶，每一類設(shè)置一個(gè)SSID；每個(gè)SSID，依據(jù)業(yè)務(wù)與其管理要求、認(rèn)證方式對(duì)應(yīng)；接入類型接入對(duì)象SSID名稱SSID可見(jiàn)性無(wú)線接入密碼上網(wǎng)認(rèn)證方式來(lái)賓上網(wǎng)來(lái)店客戶終端GOME可見(jiàn)無(wú)密碼PORTAL、短信認(rèn)證移動(dòng)辦公店內(nèi)員工或到店辦公人員的終端GOMEBYOD不可見(jiàn)，上網(wǎng)人手動(dòng)添加密碼認(rèn)證Portal +域認(rèn)證智能家電店內(nèi)展示用智能電視機(jī)、冰箱等GOMETV可見(jiàn)密碼Mac地址，賬號(hào)權(quán)限由各分部IT管理 蘋果專區(qū)蘋果專賣店的展示手機(jī)、PADGOMEAPPLE可見(jiàn)密碼PORTAL、賬號(hào)密碼*蘋果專區(qū)補(bǔ)充說(shuō)明：有蘋果的SSID，分配用戶名和密碼給旗艦店的蘋果樣機(jī)上網(wǎng)，不做限速，保證上網(wǎng)帶寬，可以在每個(gè)AP上都增加蘋果的SSID為匹配蘋果旗艦店的要求，通過(guò)網(wǎng)康上網(wǎng)行為管理，給予蘋果SSID不超過(guò)10M不低于4M的的優(yōu)先帶寬。另，需要考慮權(quán)限級(jí)別和被管理對(duì)象的范圍，將分組對(duì)應(yīng)的設(shè)備匹配。另，可以采用EIA自帶的TACACS認(rèn)證，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)設(shè)備的分權(quán)限控制（比如查看、修改配置等）。只要有足夠的license（用于網(wǎng)絡(luò)設(shè)備登陸AAA認(rèn)證時(shí)，針對(duì)的是管理員數(shù)量，不是被管理設(shè)備，被管理設(shè)備的數(shù)量許可是IMC平臺(tái)的license）。門店網(wǎng)絡(luò)設(shè)備預(yù)留AAA服務(wù)器的配置，同時(shí)保留本地認(rèn)證配置，以免AAA認(rèn)證不通時(shí)無(wú)法正常登陸。 大中型門店機(jī)柜設(shè)備部署每臺(tái)設(shè)備間隔2U，機(jī)柜從下至上定為142u；如店鋪沒(méi)有以下規(guī)劃設(shè)備（定位服務(wù)器僅29家大型門店部署），機(jī)柜空間預(yù)留；機(jī)柜U數(shù)（從下至上數(shù)）設(shè)備名稱第27U防火墻第24U行為管理設(shè)備第21U緩存服務(wù)器第117U定位服務(wù)器第13U無(wú)線控制器第10UPOE1第7UPOE2第4UPOE3　…　… 小型門店主機(jī)柜設(shè)備部署每臺(tái)設(shè)備間隔2U，機(jī)柜從下至上定為122u；如店鋪沒(méi)有以下規(guī)劃設(shè)備，機(jī)柜空間預(yù)留；機(jī)柜U數(shù)（從下至上數(shù)）設(shè)備名稱第16U防火墻第13U無(wú)線控制器（未來(lái)預(yù)留）第10UPOE1第7UPOE2 數(shù)據(jù)中心設(shè)備部署wifi數(shù)據(jù)中心租用于鵬博士IDC，三期共規(guī)劃使用10個(gè)機(jī)柜，其中服務(wù)器、存儲(chǔ)機(jī)柜6個(gè)，網(wǎng)絡(luò)機(jī)柜4個(gè)。如不再做NAT，則回傳的路由和無(wú)線備份的路由是同一條網(wǎng)段的路由，回傳會(huì)首先被送到無(wú)線核心交換機(jī)一側(cè)，而無(wú)法實(shí)現(xiàn)回傳。為解決此問(wèn)題，在接入路由器接到WLAN區(qū)域的接口做NAT，10網(wǎng)段的生產(chǎn)PC轉(zhuǎn)換為WLAN區(qū)域的172地址后，通過(guò)VPN進(jìn)入WLAN核心再到生產(chǎn)核心，回程仍送到門店F1020再到接入路由器MSR2011，再去NAT回到生產(chǎn)PC； 此配置下，專線正常時(shí)，WLAN區(qū)域的無(wú)線移動(dòng)辦公，最好不走專線端上聯(lián)，原因：如無(wú)線區(qū)域移動(dòng)辦公走專線上聯(lián)并回傳，專線路由器采取點(diǎn)到點(diǎn)的方式與防火墻起的三層接口互聯(lián)，如專線斷掉，專線路由器內(nèi)部OA設(shè)備經(jīng)此路由器NAT（上端原有匯總路由到內(nèi)部OA，如走路由模式而非NAT方式上行，則無(wú)法實(shí)現(xiàn)回傳的路由）到無(wú)線的防火墻、經(jīng)過(guò)防火墻VPN到上端核心防火墻內(nèi)部，再到后臺(tái)業(yè)務(wù)中心，上端OA核心N7000配到無(wú)線核心交換機(jī)10510的路由，無(wú)線核心交換機(jī)配到下端的每個(gè)網(wǎng)店防火墻內(nèi)的明細(xì)路由（每個(gè)網(wǎng)點(diǎn)1條），則專線斷掉后、專線內(nèi)部OA等設(shè)備可通過(guò)無(wú)線側(cè)的VPN備份。主要設(shè)備的路由如下：序號(hào)設(shè)備類型默認(rèn)網(wǎng)關(guān)/靜態(tài)路由動(dòng)態(tài)路由1上網(wǎng)終端默認(rèn)網(wǎng)關(guān)指向防火墻內(nèi)網(wǎng)口無(wú)2圖商服務(wù)器、AC等網(wǎng)關(guān)指向防火墻內(nèi)網(wǎng)口，或后臺(tái)服務(wù)器網(wǎng)段作唯一靜態(tài)路由無(wú)3門店防火墻默認(rèn)網(wǎng)關(guān)指向外網(wǎng)出口，到后臺(tái)服務(wù)器區(qū)網(wǎng)段的靜態(tài)路由2條，優(yōu)先指向主VPN隧道其次備隧道無(wú)3核心防火墻默認(rèn)網(wǎng)關(guān)指向核心交換機(jī)的直連接口，同時(shí)，在網(wǎng)點(diǎn)防火墻與其建立VPN后，因反向路由注入增加到每個(gè)門店的防火墻VPN內(nèi)網(wǎng)段的靜態(tài)路由面向核心交換機(jī)的一側(cè)起OSPF動(dòng)態(tài)路由，將自身的反向路由注入增加的靜態(tài)路由發(fā)布到OSPF中4核心交換機(jī)無(wú)（默認(rèn)網(wǎng)關(guān)可以指向核心防火墻的內(nèi)部接口，但兩臺(tái)防火墻不同地址無(wú)法確定誰(shuí)更合適，且無(wú)實(shí)際作用）全部接口OSPF，同時(shí)接收來(lái)自核心防火墻的靜態(tài)路由分發(fā)，以及來(lái)自于生產(chǎn)區(qū)域的BGP分發(fā)5生產(chǎn)核心交換機(jī)增加到172網(wǎng)段的靜態(tài)路由，指向WLAN核心交換機(jī)的相連口未知。建議在WLAN和生產(chǎn)兩個(gè)核心區(qū)域之間增加IPS等安全設(shè)備。智能家電店內(nèi)展示用智能電視機(jī)、冰箱等不限時(shí)，不限內(nèi)容；Portal和純MAC手動(dòng)添加，智能家電可能收費(fèi)，如有申請(qǐng)，增加出口帶寬提供給此類收費(fèi)用戶專用，免監(jiān)控不受任何策略限制蘋果專區(qū)蘋果專區(qū)展示手機(jī)、PAD不限時(shí)，不限視頻，不限下載；帶寬4M10M移動(dòng)POS移動(dòng)刷卡機(jī)、收銀機(jī)不限時(shí)，不限速，高優(yōu)秀級(jí)，免監(jiān)控不受任何策略限制，保留1M管理數(shù)據(jù)AC、AP等被網(wǎng)管設(shè)備保留7M帶寬允許本地Consol口訪問(wèn)查看修改設(shè)備配置信息；不允許門店來(lái)賓上網(wǎng)網(wǎng)段、非總部防火墻外網(wǎng)口的互聯(lián)網(wǎng)地址登錄訪問(wèn)網(wǎng)絡(luò)設(shè)備，只允許AC同一網(wǎng)段的內(nèi)網(wǎng)網(wǎng)段（telenet方式）、總部防火墻外網(wǎng)地址（SSH方式，配置用電腦到被管理設(shè)備之間加密）、總部數(shù)據(jù)中心內(nèi)網(wǎng)網(wǎng)段（SSH方式）登錄設(shè)備；門店防火墻預(yù)留維護(hù)VPN，分配給分部IT經(jīng)理；總部防火墻預(yù)留VPN，分配給總部IT經(jīng)理；可以在緊急情況下?lián)苋刖W(wǎng)絡(luò)進(jìn)行故障處理或網(wǎng)絡(luò)維護(hù)。上網(wǎng)行為管理對(duì)AP接的上網(wǎng)設(shè)備進(jìn)行流量限速、下載、視頻等控制，以下針對(duì)50M及以上的出口帶寬的大型門店的限制標(biāo)準(zhǔn)：接入?yún)^(qū)域接入對(duì)象限制標(biāo)準(zhǔn)【網(wǎng)康+PORTAL設(shè)置】來(lái)賓上網(wǎng)來(lái)店客戶終端單次認(rèn)證限時(shí)2小時(shí)，來(lái)賓上網(wǎng)總帶寬不超過(guò)出口帶寬的90%，P2P和在線視頻不超過(guò)總帶寬的5%移動(dòng)辦公款臺(tái)人員的電腦不限速，不限時(shí)，不限內(nèi)容；可上互聯(lián)網(wǎng)。防火墻防攻擊：防火墻關(guān)閉掉不使用的端口，并提供入侵防護(hù)功能，支持入侵防御、防攻擊。管理數(shù)據(jù)流通道：網(wǎng)點(diǎn)到數(shù)據(jù)中心走IPsecVPN，為網(wǎng)絡(luò)管理數(shù)據(jù)流量提供數(shù)據(jù)通道，保障管理數(shù)據(jù)流的安全；中心的廣告等數(shù)據(jù)通過(guò)此VPN通道推送。數(shù)據(jù)中心部署策略：數(shù)據(jù)中心VPN設(shè)備同時(shí)是防火墻的方式部署。如下表：源IP目標(biāo)IP通信端口號(hào)上網(wǎng)終端正常業(yè)務(wù)80、8080AP中心端ACTCP 57777UDP 57776/57778/57779中心端ACAP防火墻IMC/PortalUDP 1812//認(rèn)證UDP 1813//計(jì)費(fèi)TCP 8443//AAS WEBTCP 9443//Portal WEBUDP 2000//Portal 設(shè)備注冊(cè)防火墻集中網(wǎng)管UDP 514//審計(jì)日志TCP 443888600060006//源和目的都要放行，網(wǎng)管內(nèi)部通信端口TCP 80//WEB管理TCP 220//FTP網(wǎng)康IMS和NPS網(wǎng)康升級(jí)服務(wù)器TCP 43//管理頁(yè)面與升級(jí)服務(wù)器通訊TCP 22//下載升級(jí)包TCP 1812//用于啟用網(wǎng)管后的IMC用戶同步廣告推送服務(wù)器軟件廠商確定定位服務(wù)器軟件廠商確定認(rèn)證計(jì)費(fèi)軟件廠商確定大數(shù)據(jù)分析軟件廠商確定不同子網(wǎng)/業(yè)務(wù)的接入/訪問(wèn)控制規(guī)則如下：無(wú)線客戶端安全訪問(wèn)WLAN數(shù)據(jù)中心：門店防火墻同數(shù)據(jù)中心防火墻建立IPSecVPN加密隧道，只允許源自防火墻、AP、AC的管理協(xié)議和數(shù)據(jù)流。數(shù)據(jù)中心的地址規(guī)劃詳見(jiàn)《：數(shù)據(jù)中心IP地址規(guī)劃分配表》。第614位地址，作為其他POE交換機(jī)的管理地址；第20個(gè)地址作為與生產(chǎn)網(wǎng)路由器互連；第1520作為生產(chǎn)網(wǎng)備份時(shí)NAT的地址池；