【正文】 使得將來增加信息點時，只需很少變動。采用的產(chǎn)品具有充分的可擴充性及升級能力，具有足夠的先進網(wǎng)絡(luò)技術(shù)過渡的能力。對安全性的要求較高，計算機系統(tǒng) 的安全性主要包括以下幾個方面 : 硬件平臺安全性：當計算機的元器件突然發(fā)生故障，或計算機系統(tǒng)工作環(huán)境設(shè)備突然發(fā)生故障時，計算機系統(tǒng)能繼續(xù)工作或迅速恢復(fù)。 操作系統(tǒng)安全性：操作系統(tǒng)安全性要達到 世界標準 ，即通過注冊、安全事件審計、資源隔離等方式使用戶的行為具有個體可查性，實施存取限制，保護數(shù)據(jù)防止被別的用戶讀取或破壞。 應(yīng)用軟件系統(tǒng)的安全性： 認同用戶和鑒別，確認用戶的真實身份，防止非法用戶進入系統(tǒng)。 審計，系統(tǒng)能記錄用戶所進行的操作及其相關(guān)數(shù)據(jù)，能記錄操作結(jié)果，能判斷違反安全的事件是否發(fā)生，如果發(fā)生則能記錄備查。 技術(shù)先進性 網(wǎng)絡(luò)系統(tǒng)不能夠一經(jīng)實現(xiàn)即落 后，應(yīng)當至少處于現(xiàn)今先進水平，只有這樣才能在計算機技術(shù)迅速發(fā)展的今天不落伍，不會在競爭激烈的今天，因計算機技術(shù)的不足而影響工作的進行開展。 實用性 網(wǎng)絡(luò)的建設(shè)要強調(diào)網(wǎng)絡(luò)系統(tǒng)與網(wǎng)絡(luò)應(yīng)用并重，以應(yīng)用推動建設(shè)，信息資源的開發(fā)、利用和效果。能充分滿足日常使用、科學決策、對外交流、以及信息自動化管理等各方面的需要。網(wǎng)絡(luò)設(shè)備必須選用已經(jīng)證實，并在實際應(yīng)用中得到普遍應(yīng)用的產(chǎn)品，只有這樣，才可能提供不間斷運行的能力。 網(wǎng)絡(luò)管理應(yīng)走向科學化，采用先進的網(wǎng)絡(luò)管理系統(tǒng)，實現(xiàn)“在網(wǎng)絡(luò)中心即能實時控制、監(jiān)測整個系統(tǒng)的運行狀況，能夠自動發(fā)現(xiàn)故障點”的目標，并具有良好的人 機操作界面。 網(wǎng) 絡(luò)解決方案 客戶需求分析： 網(wǎng)絡(luò)系統(tǒng)建設(shè)范圍包括今世緣酒業(yè)的局域網(wǎng)系統(tǒng)，服務(wù)器等功能。 系統(tǒng)采用了機架式核心三層交換機，與辦公樓 A、 B、 C 區(qū)每棟樓1 臺及國緣會所共 7 臺匯聚層交換機進行光纖連接；每棟樓的接入層交換機連接相應(yīng)匯聚層交換機； A 區(qū) 2 號樓采用接入層交換機直接連接主交換機進行連接；系統(tǒng)主干達到千兆，桌面連接全部實現(xiàn)百兆。主交換機上預(yù)留光纖接口與會議中心、餐廳公寓樓和專家樓、新包裝車間 等相關(guān)設(shè)備進行光纖連接。通過服務(wù)器上配置的 HBA 卡和 NAS 結(jié)構(gòu)連接存儲設(shè)備，提供了高性能的應(yīng)用運行和存儲平臺。故系統(tǒng)的安全性、可靠性、 Qos 支持是系統(tǒng)建設(shè)的重點和難點。 可靠性方面由物理層、鏈路層、網(wǎng)絡(luò)層等多個層次對核心交換機、主干鏈路、互聯(lián)網(wǎng)接入、服務(wù)器接入、服務(wù)器數(shù)據(jù)存儲等多方面均采 網(wǎng)絡(luò)實施方案 第 11 頁 用了冗余可靠設(shè)計。 無線接入設(shè)備，在新包裝車間的倉庫、成品倉庫和辦公樓的會議室系統(tǒng)配置無線接入設(shè)備，其中辦公樓配置 10 個點，新包裝中心 26個點，成品倉庫 8 個點，共計 44 個點，設(shè)備采用 54M 無線寬帶 路由器 。現(xiàn)在某些局域網(wǎng)交換機也實現(xiàn)了 OSI 參考模型的第三層協(xié)議，實現(xiàn)簡單的路由選擇功能，目前很熱的第三層交換就是 指此。 網(wǎng)絡(luò)實施方案 第 12 頁 交換式以太網(wǎng)的工作原理 ： 以太網(wǎng)交換機的原理很簡單，它檢測從以太端口來的數(shù)據(jù)包的源和目的地的 MAC（介質(zhì)訪問層）地址，然后與系統(tǒng)內(nèi)部的動態(tài)查找表進行比較，若數(shù)據(jù)包的 MAC 層地址不在查找表中，則將該地址加入查找表中，并將數(shù)據(jù)包發(fā)送給相應(yīng)的目的端口。 可在高速與低速網(wǎng)絡(luò)間轉(zhuǎn)換，實現(xiàn)不同網(wǎng)絡(luò)的協(xié)同。 它同時提供多個通道，比傳統(tǒng)的共享式集線器提供更多的帶寬，傳統(tǒng)的共享式 10M/100M 以太網(wǎng)采用廣播式通信方式，每次只能在一對用戶間進行通信，如果發(fā)生碰撞還得重試，而交換式以太網(wǎng)允許不同用戶間進行傳送，比如，一個 16 端口的以太網(wǎng)交換機允許 16 個站點在 8 條鏈路間通信。它以比路由器低的成本卻提供了比路由器寬的帶寬、高的速度，除非有 網(wǎng)絡(luò)實施方案 第 13 頁 上廣域網(wǎng)（ WAN）的要求，否則，交換機有替代 路由器的趨勢。 目前，交換技術(shù)已經(jīng)延伸到 OSI 第三層的部分功能，既所謂第三層交換，第三層交換可以不將廣播封包擴散，直接利用動態(tài)建立的MAC 地址來通信，似乎 可以看懂第三層的信息，如 IP 地址、 ARP 等， 具有多路廣播和虛擬網(wǎng)間基于 IP、 IPX 等協(xié)議的路由功能，這方面功能的順利實現(xiàn)得力于專用集成電路（ ASIC）的加入，把傳統(tǒng)的由軟件處理的指令改為 ASIC 芯片的嵌入式指令，從而加速了對包的轉(zhuǎn)發(fā)和過濾，使得高速下的線性路由和服務(wù)質(zhì)量都有了可靠的保證 ，但其價格與二層交換相比，價格較高。 設(shè)計說明： 網(wǎng)絡(luò)設(shè)計遵循安全快速的原則，以科學可行的方案切實有效 的解決信息化要求，改變現(xiàn)有辦公模式，提高工作效率；根據(jù) 對 淮安今世 網(wǎng)絡(luò)實施方案 第 14 頁 緣酒廠 實地勘察 ，網(wǎng)絡(luò)采用樹型 結(jié)構(gòu)，即核心 防火墻 ＋匯聚層交換機＋接入層交換機 ； 總部 網(wǎng)絡(luò)上行為 1000 兆， 有防火墻與匯聚層交換機組成， 下面 接入層交換機。 網(wǎng)絡(luò)中所有數(shù)據(jù)通過防火墻訪問 inter，確保內(nèi)部網(wǎng)絡(luò)的安全性。 劃 分不同 VLAN，通過 防火墻后到 電信 網(wǎng)絡(luò)，訪問公網(wǎng)。 ? 接入層交換機： LS2326TPEI 分別放置在各個弱電井中，分別于匯聚成交換機互聯(lián) 。根據(jù)網(wǎng)絡(luò)不同的規(guī)模，可分為骨干層、匯接層和接入 層。 骨干層：主要完成的功能是給各業(yè)務(wù)匯接節(jié)點提供高帶寬的 IP業(yè)務(wù)承載和交換通道，完成和已有網(wǎng)絡(luò)（ ATM、 PSTN、 FR／ DDN 和 IP網(wǎng)）的互連互通。 匯接層：主要完成的功能是給各業(yè)務(wù)接入節(jié)點提供業(yè)務(wù)的匯聚、管理和分發(fā)處理。具有多種接入能力、訪問控制和路由能力。一般采用端口密集的低端具有簡單三層功能的交換機。拓撲圖給出網(wǎng)絡(luò)服務(wù)器、工作站的網(wǎng)絡(luò)配置和相互間的連接，它的結(jié)構(gòu)主要有星型結(jié)構(gòu)、環(huán)形結(jié)構(gòu)、總線結(jié)構(gòu)、樹型結(jié)構(gòu)等。網(wǎng)絡(luò)有中央節(jié)點，其他節(jié)點（工作站、服務(wù)器）都與中央節(jié)點直接相連，這種結(jié)構(gòu)以中央節(jié)點為中心，因此又稱為集中式網(wǎng)絡(luò)。 網(wǎng)絡(luò) 系統(tǒng)詳細設(shè)計方案 網(wǎng)絡(luò)拓撲圖： 網(wǎng)絡(luò)實施方案 第 17 頁 Sii n t e r n e t防 火 墻U S G 5 3 2 0核 心 交 換 機S 9 3 1 2匯 聚 交 換 機L S S 5 3 2 4 T P S I接 入 層 交 換 機L S 2 3 2 6 T P E I 網(wǎng)絡(luò)拓撲分析 根據(jù)對 淮安今世緣網(wǎng)絡(luò)的實際考察，建議在中心機房配置一 臺 高性能的 防火墻 USG5320,防火墻與交換機 VLAN 特性配合，實現(xiàn)業(yè)務(wù)系統(tǒng)間可控訪問 。華為公司的交換機產(chǎn)品技術(shù)先進，產(chǎn)品成熟，具有較完整的生產(chǎn)線，值得信賴。劃分不同 VLAN，通過防火墻后到電信網(wǎng)絡(luò)，訪問公網(wǎng)。 接入層：部署 29 臺 LS2326TPEI 分別放置在各個弱電井中，分別于匯聚成交換機互聯(lián)。具體地說，設(shè)置防火墻的目的是隔離內(nèi)部網(wǎng)和外部網(wǎng)，保護內(nèi)部網(wǎng)絡(luò)不受攻擊，實現(xiàn)以下基本功能： 禁止外部用戶進入內(nèi)部網(wǎng)絡(luò)，訪問內(nèi)部機器； 保證外部用戶可以且只能訪問到某些指定的公開信息； 限制內(nèi)部用戶只能訪問到某些特定的資源，如 WWW 服務(wù)、 FTP 服務(wù)、 TELNET 服務(wù)等； 過濾進網(wǎng)和出網(wǎng)的流量 我們建議用戶在防火墻上實施進網(wǎng)流量過濾措施，阻止非法的數(shù)據(jù)包進入網(wǎng)絡(luò)，同時阻止任何 偽造 IP 地址的數(shù)據(jù)包進入網(wǎng)絡(luò)。 VLAN 的增加、刪除、修改不影響到整個平臺。 可以配置安全策略，對內(nèi)部網(wǎng)絡(luò)進行適度的保護。 IP 網(wǎng)絡(luò)正逐步成為當代乃至未 來公務(wù)網(wǎng)信息系統(tǒng)的主流。 IP 地址是 IP 網(wǎng)絡(luò)中數(shù)據(jù)傳輸?shù)囊罁?jù)，它標識了 IP 網(wǎng)絡(luò)中的一個連接，一臺主機可以有多個 IP 地址。 網(wǎng)絡(luò)地址是由 Inter 權(quán)力機構(gòu) (InterNIC)統(tǒng)一分配的，目的是為了保證網(wǎng)絡(luò)地址的全球唯一性。因此，網(wǎng)絡(luò)地址的唯一性與網(wǎng)絡(luò)內(nèi)主機地址的唯一性確保了 IP 地址的全球唯一性。簡言之， IP 地址分配應(yīng)具備： ? 唯一性： 一個 IP 網(wǎng)絡(luò)中不能有兩個主機采用相同的 IP 地址； 網(wǎng)絡(luò)實施方案 第 20 頁 ? 簡單性： 地址分配應(yīng)簡單，易于管理，降低網(wǎng)絡(luò)擴展的復(fù)雜性； ? 連續(xù)性： 連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡(luò)中易于進行路徑疊合，縮減路由表，提高路由算法效率； ? 可擴展性： 地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴展是能保證地址疊合所需的連續(xù)性； ? 靈活性 ： 地址分配應(yīng)具有靈活性，以滿足多種路由策略的優(yōu)化，充分利用地址空間。 地址分配方式 我們先假設(shè)一段 IP地址，如利用一個 C類地址： ，進行 IP 地址規(guī)劃，本段 IP 地址的分配 作為 A 樓的 IP；，這段 IP 地址分配給 B 樓； ，這段IP 分配給 B； 這樣每幢樓在不同的網(wǎng)段，劃分不同的 VLAN，可以有效的防止廣播風暴， 即使一個 vlan 里的用戶由于廣播風暴不能正常運行，也不會影響 到其它用戶，保證了用戶的 安全 性 ，也方便用戶管理。惡意入侵、釣魚網(wǎng)站、木馬程序以及P2P 泛濫等網(wǎng)絡(luò)安全問題，導致企業(yè)網(wǎng)絡(luò)效率低下，業(yè)務(wù)安全受到嚴重威脅。 USG5300系列統(tǒng)一安全網(wǎng)關(guān)是華為賽門鐵克公司推出的新一代統(tǒng)一安全網(wǎng)關(guān)，能夠為用戶提供防火墻、 VPN、 IPS、反病毒、 URL 過濾等多項領(lǐng)先的安全功能，提供全方位的網(wǎng)絡(luò)系統(tǒng)安全防護，保障網(wǎng)絡(luò)系統(tǒng)高效運行。同時，將數(shù)據(jù)解封裝和深度檢測進行分離 ，實現(xiàn)多種深度檢測并行，大幅度提升設(shè)備在深度檢測狀態(tài)下的性能。 業(yè)界領(lǐng)先的產(chǎn)品性能 USG5300 系列統(tǒng)一安全網(wǎng)關(guān)采用多核并行處理技術(shù)，最大可支持數(shù)十條線程并行處理，產(chǎn)品在性能上有了質(zhì)的飛躍，三大主要性能指標在業(yè)界處于領(lǐng)先位置，為用戶帶來超高的性能體驗，尤其是作為防火墻最關(guān)鍵的性能指標“每秒新建連接數(shù)”，達到了驚人的每秒 15 萬條，在業(yè)界同類產(chǎn)品中處于絕對的領(lǐng)先，能在短時間內(nèi)為用戶的網(wǎng)絡(luò)訪問建立大量的連接，提供網(wǎng)絡(luò)的高速轉(zhuǎn)發(fā)和低延遲，同時，也可以有效的應(yīng)對網(wǎng)絡(luò)中產(chǎn)生的大量突發(fā)流量和網(wǎng)絡(luò)攻擊流量。 超大容量的 VPN 機構(gòu)業(yè)務(wù)的擴大，導致分支機構(gòu)及外出辦公人員增加，對加密數(shù)據(jù)傳輸?shù)男枨笤絹碓酱螅?USG5300 系列統(tǒng)一安全網(wǎng)關(guān)支持 L2TP、 GRE、IPSec VPN 功能，為用戶提供靈活的選擇和配置，憑借該系列產(chǎn)品領(lǐng)先的硬件架構(gòu)，可以為用戶提供超高的 VPN 性能和多達 15000 條的 網(wǎng)絡(luò)實施方案 第 23 頁 VPN 隧道數(shù)量，用戶不必在為數(shù)據(jù)加密傳輸?shù)男阅?而擔憂，各種不同的網(wǎng)絡(luò)應(yīng)用，包括視頻、語音等大流量的應(yīng)用，都能在加密隧道內(nèi)實現(xiàn)高速的傳輸，為用戶提供“ G”級的加密傳輸體驗。 強勁的 DDoS 防護 對關(guān)鍵網(wǎng)絡(luò)業(yè)務(wù)的 DDoS 防護，是機構(gòu)用戶面臨的重大安全問題之一， USG5300 系列統(tǒng)一安全網(wǎng)關(guān)憑借超高的每秒新建連接數(shù)，對于DDoS 攻擊的防護可以達到每秒數(shù)百萬包以上，為用戶的業(yè)務(wù)系統(tǒng)提供 DDoS 攻擊防護，強大的協(xié)議分析能力，可支持對 SYN FLOOD、 UDP FLOOD、 ICMP FLOOD、 DNS FLOOD、 CC 等多種 DDoS 攻擊種類的準確識別和控制，同時還能提供蠕蟲病毒流量的識別和防范能力，結(jié)合華為賽門鐵克公司專有 ICA 智能連接算法，保證在準