【正文】 系統(tǒng)接至各樓層的交換機(jī)，匯總到外網(wǎng)的主交換機(jī)后，接入到防火墻上，防火墻通過(guò) IP 地址轉(zhuǎn)換功能（NAT），將網(wǎng)絡(luò)用戶(即外網(wǎng)用戶)的私有 IP 地址轉(zhuǎn)換成Internet公網(wǎng) IP 地址，通過(guò)光電轉(zhuǎn)換器與電信相連的方式訪問(wèn)Internet，以使該企業(yè)網(wǎng)絡(luò)內(nèi)外網(wǎng)互相獨(dú)立，達(dá)到完全的物理隔離的目的。（3）VLAN 之間安全控制在用戶網(wǎng)絡(luò)系統(tǒng)中，由于在中心使用了三層核心交換機(jī)，因此所有的VLAN 之間的訪問(wèn)都需要通過(guò)三層核心交換機(jī)進(jìn)行，因此可以通過(guò)ACL（訪問(wèn)控制列表）控制VLAN之間的流量，這樣就可以允許高優(yōu)先級(jí)的VLAN段訪問(wèn)低優(yōu)先級(jí)的VLAN段，而低優(yōu)先級(jí)的VLAN 段不能訪問(wèn)或有限的訪問(wèn)高優(yōu)先級(jí) VLAN段。 為了減少傳輸沖突，提高系統(tǒng)整體性能和網(wǎng)絡(luò)處理能力，另外，還考慮到網(wǎng)絡(luò)良好的管理性，易于維護(hù)和安全策略的實(shí)施，針對(duì)用戶網(wǎng)絡(luò)系統(tǒng)的實(shí)際情況，可以把功能（應(yīng)用）相近的設(shè)備群組劃分到同一VLAN，不同部門(mén)的設(shè)備劃分到不同VLAN 中去，這樣就能夠通過(guò)訪問(wèn)控制列表技術(shù)實(shí)施安全策略。這樣做的好處是：可以減少?gòu)V播數(shù)據(jù)包對(duì)網(wǎng)絡(luò)主干的影響。（2）VLAN 劃分建議根據(jù)各個(gè)辦公室的地理位置來(lái)劃分VLAN， 如果同一棟樓內(nèi)包含很多部門(mén)，而這些部門(mén)的職能和工作內(nèi)容又有很大的區(qū)別，我們就可以在樓內(nèi)按照部門(mén)來(lái)劃分VLAN。我們可以通過(guò) VLAN 為網(wǎng)絡(luò)分段，各個(gè)網(wǎng)段可以共用同一套網(wǎng)絡(luò)設(shè)備，節(jié)約了網(wǎng)絡(luò)硬件的開(kāi)銷(xiāo)，同時(shí)在遷移中所需的工作量也大幅度降低了，從而降低了連網(wǎng)成本。 ，每種業(yè)務(wù)一個(gè)網(wǎng)段，所有的地市同一業(yè)務(wù)使用同一網(wǎng)段，這種方案適合業(yè)務(wù)之間互訪的控制。 ：既要考慮到 IP 地址的使用現(xiàn)狀，又要考慮到未來(lái)信息網(wǎng)絡(luò)的發(fā)展，為各單位分配合理的地址空間，在網(wǎng)絡(luò)上盡可能少地做 NAT，減少網(wǎng)絡(luò)設(shè)備 CPU 處理負(fù)擔(dān)和加快網(wǎng)絡(luò)訪問(wèn)速度。接入層樓層交換機(jī)CISCO WSC291824TCC的性能特性及技術(shù)指標(biāo)情況如下：? 交換機(jī)類：快速以太網(wǎng)交換機(jī)? 應(yīng)用層級(jí)：二層? 傳輸速率：10Mbps/100Mbps/1000M? 端口數(shù)量：24? 背板帶寬：16Gbps? VLAN支持：支持? 網(wǎng)管功能：Cisco IOS CLI, Web瀏覽器? 包轉(zhuǎn)發(fā)率：? MAC地址：8K? 網(wǎng)絡(luò)標(biāo)準(zhǔn)：IEEE ,IEEE 802? 端口結(jié)構(gòu)：非模塊化? 交換方式：存儲(chǔ)轉(zhuǎn)發(fā)? 產(chǎn)品內(nèi)存：64MB? 傳輸模式：支持全雙工? 網(wǎng)管支持：支持? 模塊化插：24．軟件選擇名稱：數(shù)據(jù)庫(kù) 品牌：Oracle 8i 型號(hào)規(guī)格：Oracle 8i for solaris 8標(biāo)準(zhǔn)版 (5用戶)名稱：Email服務(wù)器 品牌：EYOU 型號(hào)規(guī)格：5000用戶 美國(guó)億郵公司專業(yè)郵件系統(tǒng) 名稱：服務(wù)器操作系統(tǒng) 品牌：微軟 型號(hào)規(guī)格：Windwos 2000教育中文標(biāo)準(zhǔn)版(5客戶) 名稱：服務(wù)器操作系統(tǒng) 品牌：RedHat 型號(hào)規(guī)格：RedHat Linux Server版 名稱：MS SQL 2000 品牌：微軟 型號(hào)規(guī)格：SQL SERVER2000教育中文標(biāo)準(zhǔn)版(5客戶)5．IP地址的設(shè)計(jì)（1）IP地址規(guī)劃和分配原則1）根據(jù)目前網(wǎng)絡(luò)結(jié)構(gòu)和以后擴(kuò)展，遵循以下原則進(jìn)行IP 地址分配。 根據(jù)接入層處在網(wǎng)絡(luò)系統(tǒng)中所起的作用以及用戶的實(shí)際需求，本方案中接入層部分由CISCO公司的WSC291824TCC交換機(jī)構(gòu)成。 根據(jù)我們所借鑒的項(xiàng)目設(shè)計(jì)經(jīng)驗(yàn)，匯聚層節(jié)點(diǎn)與接入層節(jié)點(diǎn)可考慮采用星形連接，每個(gè)接入層節(jié)點(diǎn)與兩個(gè)匯聚層節(jié)點(diǎn)連接。它利用多種接入技術(shù)，迅速覆蓋至用戶節(jié)點(diǎn)，將不同地理分布的用戶快速有效地接入到信息網(wǎng)的匯聚。該交換機(jī)支持各種高級(jí)路由協(xié)議，如 BGPRIPVRIPvVRRP、OSPF、IP 組播、IPX 路由。 根據(jù)匯聚層在整個(gè)網(wǎng)絡(luò)中的作用以及用戶的實(shí)際需求，本方案中匯聚層共設(shè)計(jì)了3個(gè)節(jié)點(diǎn)，即：行政樓、生產(chǎn)車(chē)間和運(yùn)輸樓（工段辦）。 因此對(duì)匯聚層的交換機(jī)部署時(shí)必須考慮交換機(jī)必須具有足夠的可靠性和冗余度，防止網(wǎng)絡(luò)中部分接入層變成孤島；還必須具有高處理能力，以便完成網(wǎng)絡(luò)數(shù)據(jù)會(huì)聚、轉(zhuǎn)發(fā)處理；具有靈活、優(yōu)化的網(wǎng)絡(luò)路由處理能力，實(shí)現(xiàn)網(wǎng)絡(luò)匯聚的優(yōu)化。企業(yè)級(jí)核心交換機(jī)WSC375024TSS完全滿足上述的各項(xiàng)要求。 核心交換機(jī)作為信息網(wǎng)絡(luò)的核心設(shè)備，性能的優(yōu)劣直接影響到整個(gè)網(wǎng)絡(luò)運(yùn)行。同時(shí)提供了各個(gè)服務(wù)器的可靠接入。核心節(jié)點(diǎn)由2臺(tái)同檔次的網(wǎng)絡(luò)核心設(shè)備構(gòu)成，它們互為備份且流量負(fù)載均衡。同時(shí)為數(shù)據(jù)中心的服務(wù)器提供千兆高速連接。其主要任務(wù)是提供高性能、高安全性的核心數(shù)據(jù)交換、QoS 和為接入層提供高密度的上聯(lián)端口。對(duì)核心骨干網(wǎng)絡(luò)設(shè)備的部署應(yīng)為能夠提供高帶寬、大容量的核心路由交換設(shè)備，同時(shí)應(yīng)具備極高的可靠性，能夠保證24小時(shí)全天候不間斷運(yùn)行，也就必須考慮設(shè)備及鏈路的冗余性、安全性，而且核心骨干設(shè)備同時(shí)還應(yīng)擁有非常好的擴(kuò)展能力，以便隨著網(wǎng)絡(luò)的發(fā)展而發(fā)展。 核心層交換機(jī)與服務(wù)器群的相連是以千兆以太網(wǎng)的方式。 各樓層的辦公網(wǎng)是以星型的方式千兆直接連接到各匯聚機(jī)房的匯聚交換機(jī)上后，由匯聚交換機(jī)通過(guò)千兆接到核心交換機(jī)。 主要網(wǎng)絡(luò)設(shè)備列表： 拓?fù)浣Y(jié)構(gòu)設(shè)備型號(hào)數(shù)量（臺(tái)）核心層路由交換機(jī)CISCO WSC375024TSS2匯聚層路由交換機(jī)CISCO WSC356024TSS3接入層樓層交換機(jī)CISCO WSC291824TCC26以行政樓中心機(jī)房為中心，下屬部門(mén)為接入點(diǎn)的星型連接方式。匯聚層是由CISCO WSC356024TSS路由交換機(jī)組成。簡(jiǎn)要說(shuō)明如下：整個(gè)網(wǎng)絡(luò)由核心層、匯聚層和接入層兩大部分組成。內(nèi)部網(wǎng)絡(luò)拓?fù)鋱D：圖二網(wǎng)絡(luò)邏輯拓?fù)浣Y(jié)構(gòu)如圖二所示。層次性結(jié)構(gòu)如下圖一所示。采用這樣的結(jié)構(gòu)所建設(shè)的網(wǎng)絡(luò)具有良好的擴(kuò)充性、管理性，因?yàn)樾碌淖泳W(wǎng)模塊和新的網(wǎng)絡(luò)技術(shù)能被更容易集成到整個(gè)系統(tǒng)中，而不破壞已存在的骨干網(wǎng)。（五）網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)設(shè)計(jì)在用戶的網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)中，我們建議采用層次化的結(jié)構(gòu)設(shè)計(jì)。同時(shí)，也考慮局部子網(wǎng)對(duì)硬件和信息流量的要求，必須能夠提供專用的高速帶寬，以處理日常數(shù)據(jù)信息和峰值操作，并能夠支持各種新技術(shù)和新增用戶。 CISCO設(shè)備提供了可伸縮的結(jié)構(gòu)和高性能的設(shè)備，能夠高速傳輸數(shù)據(jù)，同時(shí)通過(guò)它們Secure技術(shù)保證了安全地接入Internet和一體化的網(wǎng)絡(luò)解決方案。在主干網(wǎng)建設(shè)時(shí)，選擇CISCO系統(tǒng)產(chǎn)品，它能夠以極具競(jìng)爭(zhēng)力的價(jià)格提供所有技術(shù)，為我們提供一個(gè)集成化、高性能、靈活、可伸縮、安全和高性能價(jià)格比的解決方案的標(biāo)準(zhǔn)。（四）設(shè)備分析根據(jù)對(duì)網(wǎng)絡(luò)需求的考察，根據(jù)合理性、實(shí)用性和節(jié)約費(fèi)用等原則進(jìn)行設(shè)備選擇：基于路由器和交換機(jī)的局部網(wǎng)間的互聯(lián)是最好的解決方案。開(kāi)放性：采用國(guó)際標(biāo)準(zhǔn)通信協(xié)議、標(biāo)準(zhǔn)操作系統(tǒng)、標(biāo)準(zhǔn)網(wǎng)管軟件、采用符合標(biāo)準(zhǔn)的設(shè)備，保證整個(gè)系統(tǒng)具有開(kāi)放特點(diǎn)，增強(qiáng)與異機(jī)種、異構(gòu)網(wǎng)的互聯(lián)能力。經(jīng)濟(jì)性：要求價(jià)格適中，設(shè)備及耗材要求采用質(zhì)量過(guò)硬，物美價(jià)廉，投資預(yù)算不超過(guò)20萬(wàn)。適度先進(jìn)性：規(guī)劃局域網(wǎng)，不但要滿足用戶當(dāng)前的需要，還應(yīng)該有一定技術(shù)前瞻性和用戶需求預(yù)見(jiàn)性，考慮到能夠滿足未來(lái)幾年內(nèi)用戶對(duì)網(wǎng)絡(luò)功能和帶寬的需要。（三）設(shè)計(jì)要求實(shí)用性：網(wǎng)絡(luò)建設(shè)從應(yīng)用實(shí)際需求出發(fā)，堅(jiān)持為領(lǐng)導(dǎo)決策服務(wù)，為經(jīng)營(yíng)管理服務(wù)，為生產(chǎn)建設(shè)服務(wù)。重要網(wǎng)絡(luò)設(shè)備應(yīng)有適當(dāng)?shù)娜哂鄠浞荨? 采用通用的國(guó)際標(biāo)準(zhǔn)和協(xié)議，不采用有礙網(wǎng)絡(luò)互通的廠家特有性能。 優(yōu)化網(wǎng)絡(luò)和系統(tǒng)結(jié)構(gòu)，并在各個(gè)層面考慮冗余和備份，使系統(tǒng)具有較高的容錯(cuò)能力和應(yīng)變能力，以保證系統(tǒng)的可靠和有效運(yùn)作。（二）設(shè)計(jì)原則遵循《中國(guó)公眾多媒體通信網(wǎng)技術(shù)體制》、《中國(guó)公眾多媒體通信網(wǎng)工程實(shí)施技術(shù)要求》以及其它國(guó)家相關(guān)標(biāo)準(zhǔn)和技術(shù)體制。主干網(wǎng)絡(luò)應(yīng)該采用成熟的、可靠的千兆以太網(wǎng)技術(shù)作為網(wǎng)絡(luò)系統(tǒng)主干。網(wǎng)絡(luò)系統(tǒng)應(yīng)實(shí)現(xiàn)虛擬局域網(wǎng)（VLAN）的功能，以保證全網(wǎng)的良好性能及網(wǎng)絡(luò)安全性。（五）網(wǎng)絡(luò)安全需求網(wǎng)絡(luò)安全主要解決訪問(wèn)互聯(lián)網(wǎng)及中心服務(wù)器的安全問(wèn)題，考慮以下因素：公司網(wǎng)與Internet網(wǎng)相連后具有“防火墻”過(guò)濾功能，以防止網(wǎng)絡(luò)黑客入侵網(wǎng)絡(luò)系統(tǒng)；良好的認(rèn)證體系可防止假冒合法用戶的攻擊；良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時(shí)，幫助系統(tǒng)盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)；多層防御，攻擊者在突破第一道防線后，應(yīng)有多層防御可以延緩或阻斷其到達(dá)攻擊目標(biāo)；通過(guò)NAT地址轉(zhuǎn)換功能隱藏內(nèi)部信息，這樣可以使攻擊者不能了解系統(tǒng)內(nèi)的基本情況；設(shè)立安全監(jiān)控中心為信息系統(tǒng)提供安全體系管理、監(jiān)控、保護(hù)及緊急情況服務(wù)。采用國(guó)際標(biāo)準(zhǔn)TCP/IP協(xié)議。網(wǎng)絡(luò)骨干設(shè)備具有較高的可靠性；核心設(shè)備支持熱插拔，具有容錯(cuò)設(shè)計(jì)。具有良好便捷網(wǎng)絡(luò)管理平臺(tái)。系統(tǒng)各層網(wǎng)絡(luò)之間良好互聯(lián)。（三）網(wǎng)絡(luò)技術(shù)需求主干網(wǎng)絡(luò)采用速率為1000Mbps的交換技術(shù)。構(gòu)建起企業(yè)運(yùn)行基于網(wǎng)絡(luò)設(shè)計(jì)的Client/Server(客戶機(jī)/服務(wù)器)或Browser/Server(瀏覽器/服務(wù)器)結(jié)構(gòu)的辦公自動(dòng)化系統(tǒng)、各種信息管理系統(tǒng)的網(wǎng)絡(luò)硬件平臺(tái)和系統(tǒng)運(yùn)行平臺(tái)。建立WWW服務(wù)器，實(shí)現(xiàn)企業(yè)在Internet和Intranet上的信息發(fā)布，使公司內(nèi)外的人員能夠即使了解公司的最新信息。（二）網(wǎng)絡(luò)應(yīng)用需求實(shí)現(xiàn)企業(yè)局域網(wǎng)與其他各網(wǎng)絡(luò)之間的安全、高速數(shù)據(jù)訪問(wèn)交換。遼東學(xué)院企業(yè)網(wǎng)絡(luò)工程設(shè)計(jì)方案一、需求分析（一）網(wǎng)絡(luò)構(gòu)建背景需求為了適應(yīng)業(yè)務(wù)的發(fā)展和國(guó)際化的需要，積極參與國(guó)家信息化進(jìn)程，提高管理水平，展現(xiàn)全新的形象，某廠準(zhǔn)備建立一個(gè)現(xiàn)代化的機(jī)構(gòu)內(nèi)部網(wǎng)，實(shí)現(xiàn)信息的共享、協(xié)作和通訊，并和下屬各個(gè)部門(mén)互連，并在此基礎(chǔ)上開(kāi)發(fā)建設(shè)現(xiàn)代化的企業(yè)應(yīng)用系統(tǒng)，實(shí)現(xiàn)智能型、信息化、快節(jié)奏、高效率的管理模式?？傮w目標(biāo)是建立該企業(yè)的辦公業(yè)務(wù)信息網(wǎng)絡(luò)交換平臺(tái)，集成下屬各部門(mén)信息網(wǎng)絡(luò)系統(tǒng)，功能齊全、技術(shù)先進(jìn)、集成化的網(wǎng)絡(luò)系統(tǒng)。采用Internet代理服務(wù)，實(shí)現(xiàn)企業(yè)所有站點(diǎn)通過(guò)電腦網(wǎng)絡(luò)高速訪問(wèn)Internet。建立郵件服務(wù)器，實(shí)現(xiàn)企業(yè)工作人員與上級(jí)機(jī)構(gòu)、分支機(jī)構(gòu)等的電子信息的傳遞。公司Internet應(yīng)