【正文】 ； 方案、標(biāo)準(zhǔn)、附件、模板等資料在試點(diǎn)后定稿，由培訓(xùn)部王宇峰組織負(fù)責(zé)各門店具體的實(shí)施人員集中培訓(xùn)，以及針對XXXIT經(jīng)理等關(guān)鍵參與人的視頻培訓(xùn)； 每個(gè)大區(qū)設(shè)1名項(xiàng)目負(fù)責(zé)人，負(fù)責(zé)本區(qū)域具體計(jì)劃制定安排，以及實(shí)施方案的執(zhí)行落地，具體包括：實(shí)施方案培訓(xùn)、勘測指導(dǎo)、布線談判、項(xiàng)目進(jìn)度與質(zhì)量管理、客戶協(xié)調(diào)、問題處理、文檔檢查等； 每23個(gè)門店設(shè)1名實(shí)施人員，同時(shí)準(zhǔn)備幾名經(jīng)驗(yàn)豐富的人員備用隨機(jī)調(diào)動(dòng)，實(shí)施人員按計(jì)劃開展實(shí)施，及時(shí)和大區(qū)項(xiàng)目負(fù)責(zé)人溝通，每天郵件反饋進(jìn)展和問題； 每23個(gè)大區(qū)設(shè)1名后臺(tái)商務(wù)人員，負(fù)責(zé)日報(bào)收集匯總、文檔資料進(jìn)行收集確認(rèn)； 指定23人負(fù)責(zé)勘測后機(jī)房、AP點(diǎn)位、布線的CAD圖紙制作。對于需要出入施工場地的人員，通常要遵守以下基本行為規(guī)范： 主動(dòng)了解并嚴(yán)格遵守甲方管理規(guī)章制度； 進(jìn)入施工場地提前聯(lián)系預(yù)約，征得甲方接口人同意； 進(jìn)入場地主動(dòng)報(bào)公司名稱并出示證件登記； 離開場地要與甲方接口人打招呼； 出入所帶物品應(yīng)登記，妥善保管； 安裝、插撥設(shè)備模塊電纜需帶防靜電手腕； 嚴(yán)禁在場地內(nèi)抽煙、喝水、吃東西、玩游戲、打鬧； 未經(jīng)甲方接口人批準(zhǔn)，嚴(yán)禁動(dòng)其它設(shè)備或線路； 未經(jīng)甲方接口人批準(zhǔn)，嚴(yán)禁對機(jī)房、設(shè)備等拍照錄像； 拆裝靜電地板、天花板，需要甲方接口人許可并在場；1 安裝后，清理現(xiàn)場，整理各種物品，保持場地的整潔；1 嚴(yán)禁攜帶與本次工程無關(guān)的人員進(jìn)入施工場地；1 完成實(shí)施后清掃現(xiàn)場，帶走多余的材料。 對項(xiàng)目成員進(jìn)行培訓(xùn)，講解施工標(biāo)準(zhǔn)、安裝步驟、項(xiàng)目管理方法、文檔要求。3設(shè)備組網(wǎng)以下為本項(xiàng)目的系統(tǒng)架構(gòu)圖，下一層支撐上一層的業(yè)務(wù)，項(xiàng)目實(shí)施可遵循分層先后開展，后期運(yùn)維/使用/管理可按層次由不同職能部門分工承擔(dān)。注：鵬博士提供的外網(wǎng)線路為BGP選擇路由，即同時(shí)具備多運(yùn)營商出口路由自動(dòng)選擇，由此，可解決門店采用不同運(yùn)營商線路接入到中心VPN需要上線線路匹配的難題，但中心端出口使用兩個(gè)公網(wǎng)線路仍有必要，主要為備份需要。 網(wǎng)絡(luò)門店以下為網(wǎng)絡(luò)門店網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)：圖5 網(wǎng)絡(luò)門店網(wǎng)絡(luò)拓?fù)渚W(wǎng)絡(luò)拓?fù)湔f明： 網(wǎng)絡(luò)門店部相對圖商門店，少了定位服務(wù)器，其他一樣 上網(wǎng)行為管理、緩存服務(wù)器，根據(jù)外部線路的帶寬，提供兩種性能設(shè)備 中小門店以下為一般門店網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)：圖6 中小門店網(wǎng)絡(luò)拓?fù)渚W(wǎng)絡(luò)拓?fù)湔f明： 一般門店未配無線控制器AC、上網(wǎng)行為管理、緩存服務(wù)器、定位服務(wù)器，出口防火墻內(nèi)置上網(wǎng)行為管理/審計(jì)功能 一般門店的AC由數(shù)據(jù)中心的AC承擔(dān) 出口防火墻承擔(dān)上網(wǎng)終端的DHCP服務(wù)器IDC數(shù)據(jù)中心對應(yīng)的網(wǎng)絡(luò)設(shè)備清單：設(shè)備品牌/型號(hào)數(shù)量核心防火墻XXX/ NSSecPath F5020，標(biāo)配4個(gè)萬兆多模光模塊、1只300W電源ACPSR30012A22臺(tái)核心交換機(jī)XXX/LS10512 交換機(jī)，每臺(tái)配： 2張LSUM1SUPB0主控引擎模塊 4張LSUM1FAB12D0交換網(wǎng)板D類 4只LSUM1AC2500交流電源模塊2500W 1張LSUM1TGS24EC0 24端口萬兆以太網(wǎng)光接口模塊(SFP+,LC)(EC)標(biāo)配24個(gè)萬兆多模光模塊 1張LSUM2GT48SE0 48端口千兆以太網(wǎng)電接口模塊(RJ45)2臺(tái)網(wǎng)管軟件XXX/網(wǎng)管軟件/授權(quán)： 2套iMC智能管理平臺(tái)標(biāo)準(zhǔn)版PFX 2套iMC智能管理平臺(tái)標(biāo)準(zhǔn)版 4套iMC智能管理平臺(tái)標(biāo)準(zhǔn)版100 License 2套iMC智能管理平臺(tái)標(biāo)準(zhǔn)版500 License 2套iMC智能管理平臺(tái)標(biāo)準(zhǔn)版50 License 2套iMC智能管理平臺(tái)標(biāo)準(zhǔn)版25 License 2套iMCWSM無線業(yè)務(wù)管理組件 2套iMCWSM無線業(yè)務(wù)管理組件50 License 6套iMCWSM無線業(yè)務(wù)管理組件1000 License1套無線控制設(shè)備XXX/WX5540HEWPXZ15540H無線控制器主機(jī)(12GE+12SFP+4SFP Plus)國內(nèi)海外合一版，每臺(tái)配300W AC 電源模塊2張，LISWX1024BE，H3C Access ControllerEWPXM1WCM1024增強(qiáng)型無線控制器license授權(quán)函管理1024AP企業(yè)網(wǎng)專用V7專用國內(nèi)海外合一版2張一期2臺(tái)二期7臺(tái)網(wǎng)管服務(wù)器網(wǎng)絡(luò)管理IMC服務(wù)器每臺(tái)配： 7根8GB PC3L12800R(DDR31600)內(nèi)存模塊(v2) 2塊1TB 3臺(tái)PORTAL認(rèn)證服務(wù)器待定圖商服務(wù)器待定計(jì)費(fèi)服務(wù)器待定廣告營運(yùn)管理平臺(tái)服務(wù)器待定BI數(shù)據(jù)分析服務(wù)器待定表1 數(shù)據(jù)中心設(shè)備配置一期項(xiàng)目門店及對應(yīng)的設(shè)備型號(hào)信息如下：類型數(shù)量設(shè)備品牌/型號(hào)數(shù)量圖商門店29防火墻XXX/H3C SecPath F1020，16個(gè)10/100/1000BASET,8個(gè)100/1000BASEX SFP，標(biāo)配2個(gè)千兆多模光模塊1圖商服務(wù)器待定/參考配置：R720 E52620V2*2 8G*4 500G SATA DVD H310495W1無線控制器ACXXX/WX2540E 6端口千兆(5GET+1SFP)或：EWPWX3510E 4端口千兆Combo1上網(wǎng)行為管理網(wǎng)康/IMS2050（帶寬60M的用IMS2030）1緩存服務(wù)器網(wǎng)康/NP6510（帶寬60M的用NP6505）1POE交換機(jī)XXX/S513028SPWREI L2以太網(wǎng)交換機(jī)主機(jī),支持24個(gè)10/100/1000BASET端口,4個(gè)1G/10G1~6無線APXXX/WA4320ACN內(nèi)置天線雙頻2條流6~93機(jī)柜600*800*2000的機(jī)柜1小機(jī)柜600*400*350的可壁掛、落地小機(jī)柜1~4網(wǎng)絡(luò)門店71防火墻XXX/H3C SecPath F1020，16個(gè)10/100/1000BASET,8個(gè)100/1000BASEX SFP，標(biāo)配2個(gè)千兆多模光模塊1無線控制器ACXXX/WX2540E 6端口千兆(5GET+1SFP)或：EWPWX3510E 4端口千兆Combo1上網(wǎng)行為管理網(wǎng)康/IMS2050（帶寬60M的用IMS2030）1緩存服務(wù)器網(wǎng)康/NP6510（帶寬60M的用NP6505）1POE交換機(jī)XXX/S513028SPWREI L2以太網(wǎng)交換機(jī)主機(jī),支持24個(gè)10/100/1000BASET端口,4個(gè)1G/10G1~6無線APXXX/WA4320ACN內(nèi)置天線雙頻2條流 6~93機(jī)柜600*800*2000的機(jī)柜1小機(jī)柜600*400*350的可壁掛、落地小機(jī)柜1~4表2 一期門店設(shè)備配置依據(jù)門店的信息，結(jié)合上述設(shè)備配置的標(biāo)準(zhǔn)，確認(rèn)每個(gè)門店的設(shè)備清單《：門店產(chǎn)品配置表100家【計(jì)劃】》。為方便進(jìn)行網(wǎng)絡(luò)設(shè)備的維護(hù)識(shí)別、網(wǎng)絡(luò)管理、資產(chǎn)管理，建立統(tǒng)一的命名規(guī)則對設(shè)備進(jìn)行命名：用英文編碼對網(wǎng)絡(luò)設(shè)備命名，包含防火墻、交換機(jī)、AC、AP等全部網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備名稱為：一級(jí)分部編碼下屬門店編碼樓層編碼設(shè)備編碼（多臺(tái)同型號(hào)加序號(hào)），分部和門店的編碼參考《：分部及一期門店命名表》具體到設(shè)備，編碼規(guī)則示例如下表:一級(jí)分部名稱門店名樓層號(hào)設(shè)備/序號(hào)分部名稱縮寫代碼加分部類型縮寫（XXX、大中、永樂）代碼去掉門店類型/級(jí)別、店或分店后，編碼縮寫根據(jù)信息表中的樓層命名以設(shè)備類型命名，如有多臺(tái)同類設(shè)備，依次增加序號(hào)，單臺(tái)設(shè)備不加序號(hào)例：的編碼為CDGM，北京大中分部的編碼為BJDZ例：旗艦店編碼為CDCRL如FFBB2例：門店交換機(jī)=POE門店防火墻=FW、門店=AP1例如，根據(jù)以上規(guī)則，則安裝在B2層的成都成仁路旗艦店的12號(hào)AP的最終編碼為：CDGMCDCRLB2AP12，安裝在B1層的2號(hào)交換機(jī)為：CDGMCDCRLB1POE2。4技術(shù)方案 門店地址WLAN網(wǎng)絡(luò)的IP地址的規(guī)劃原則： 防火墻作為門店總出口； 結(jié)合分區(qū)域管理的組織結(jié)構(gòu)分段并且確保預(yù)留數(shù)量。用戶地址：不需要訪問IDC或生產(chǎn)網(wǎng)地址本地有效；每個(gè)門店分配8個(gè)C作為無線用戶上網(wǎng)使用； 512個(gè)地址,，不與其他網(wǎng)絡(luò)互通；蘋果專區(qū)：1個(gè)C 256個(gè)地址，不與其他網(wǎng)絡(luò)互通；來賓上網(wǎng)：4個(gè)C設(shè)備管理地址：可能需要和IDC的網(wǎng)管軟件、portal服務(wù)器或備用ac等直接通信；啟用XXX未使用新網(wǎng)段，與已使用的IP地址有足夠的間隔，；根據(jù)門店AP數(shù)量使用64(50個(gè)AP)或128（=50個(gè)AP）個(gè)設(shè)備管理地址；每個(gè)C類地址段可分配個(gè)4個(gè)門店，根據(jù)各分部目前的門店數(shù)，分別分配132個(gè)C，可容納6128個(gè)門；普通門店（50個(gè)AP，目前最多5個(gè)交換機(jī)）DHCP保留前12個(gè)地址不分配，僅分配余下的49個(gè)地址；大型門店（50個(gè)AP，目前最多10個(gè)交換機(jī)）DHCP保留前20個(gè)地址不分配，僅分配余下的104個(gè)地址； 中心地址，以便未來與XXX當(dāng)前內(nèi)部網(wǎng)絡(luò)可實(shí)現(xiàn)實(shí)地址的互聯(lián)互通。根據(jù)運(yùn)維和網(wǎng)管需要在防火墻開通相關(guān)策略（包括遠(yuǎn)程管理、syslog、snmp等），允許特定的端口訪問數(shù)據(jù)中心服務(wù)器區(qū)域。無線客戶端同門店AP、防火墻邏輯隔離：管理網(wǎng)段、來賓上網(wǎng)等不同的業(yè)務(wù)網(wǎng)段采用不同的VLAN，防火墻業(yè)務(wù)網(wǎng)段網(wǎng)關(guān)接口禁止管理訪問。IPSec VPN區(qū)域的流量在VPN網(wǎng)關(guān)解封裝之后還需經(jīng)過防火墻的過濾才能到達(dá)內(nèi)網(wǎng)服務(wù)器。來賓上網(wǎng)無線客戶端禁止互訪：配置策略禁止無線客戶端互訪，提高網(wǎng)絡(luò)安全性。上網(wǎng)行為管理屏蔽非法訪問【網(wǎng)康：給出安全管理策略，先按通常策略做】。最大4M總帶寬，搶占。為安全起見，在門店的防火墻做兩條策略，只允許移動(dòng)辦公和備份線路切換產(chǎn)生的數(shù)據(jù)訪問生產(chǎn)服務(wù)器區(qū)。無線網(wǎng)絡(luò)區(qū)域的路由及數(shù)據(jù)流如下：關(guān)鍵數(shù)據(jù)的路徑如下：① 移動(dòng)終端上網(wǎng)：默認(rèn)網(wǎng)關(guān)為防火墻F1020內(nèi)網(wǎng)口地址，到防火墻后，送到互聯(lián)網(wǎng)② 認(rèn)證和定位等數(shù)據(jù)與后臺(tái)服務(wù)器的交互訪問：默認(rèn)網(wǎng)關(guān)指向防火墻F1020內(nèi)網(wǎng)口，到防火墻后，走VPN隧道，到核心防火墻F5020，到核心交換機(jī)，送到服務(wù)器。WLAN網(wǎng)絡(luò)為生產(chǎn)網(wǎng)做線路備份，在門店生產(chǎn)網(wǎng)絡(luò)專線（當(dāng)前門店大部分為一條專線上行），路由走向如下圖（參考《：WLAN網(wǎng)做生產(chǎn)網(wǎng)線路備份》），紅色虛線為上行，綠色虛線為下行路由：網(wǎng)點(diǎn)線路備份的說明： 門店生產(chǎn)網(wǎng)PC默認(rèn)路由指向接入路由器，接入路由器默認(rèn)路由（有可能是動(dòng)態(tài)）指向匯聚路由器，接入路由器增加備份路由到WLAN區(qū)域的防火墻F1020，則門店生產(chǎn)網(wǎng)絡(luò)專線斷掉，門店生產(chǎn)PC（10網(wǎng)段，訪問對象為生產(chǎn)服務(wù)器區(qū)10網(wǎng)段）可通過接入路由器（XXXMSR2011）到F1020，再通過VPN隧道上聯(lián)到WLAN核心區(qū)域，再到生產(chǎn)中心端并回傳，由于生產(chǎn)區(qū)域的核心做過路由匯總，沒有門店網(wǎng)段的具體路由，則回程路由仍被送到生產(chǎn)區(qū)域的接入?yún)^(qū)域?qū)＞€斷掉后此路由消失，如為靜態(tài)路由則不通）而無法回程。如專線正常，則無線OA，先到專線路由器，通過專線路由器走另一個(gè)NAT到N7000再后臺(tái)業(yè)務(wù)中心，回傳路由可借原有的核心區(qū)域的N7000往下。由于此方式在專線路由器端有兩個(gè)NAT，非常復(fù)雜，且容易導(dǎo)致路由混亂，不建議采用。第一期網(wǎng)絡(luò)機(jī)柜設(shè)備部署情況如下：此網(wǎng)絡(luò)中設(shè)備數(shù)量多，采取分級(jí)操作權(quán)限（網(wǎng)絡(luò)設(shè)備）、分區(qū)管理（根據(jù)用戶名下發(fā)允許登陸的設(shè)備）模式，管理思路如下：網(wǎng)管設(shè)備權(quán)限網(wǎng)管權(quán)限權(quán)限維護(hù)方式分部IT經(jīng)理IT人員本分部內(nèi)設(shè)備分配：登錄用戶名密碼可登陸網(wǎng)絡(luò)設(shè)備，查看基本狀態(tài)特權(quán)模式密碼，可進(jìn)入設(shè)備特權(quán)模式，修改設(shè)備配置分部內(nèi)防火墻提供VPN撥入，用于IT人員遠(yuǎn)程維護(hù)設(shè)備（需AAA認(rèn)證）本分部內(nèi)的AC配置/策略集中下發(fā)的權(quán)限本分部內(nèi)的設(shè)備，分配網(wǎng)管平臺(tái)的只讀權(quán)限的賬號(hào)負(fù)責(zé)分部內(nèi)門店發(fā)生如變化，網(wǎng)管平臺(tái)權(quán)限相應(yīng)修改設(shè)備用戶名密碼采取電子表格登記，總部集中保管網(wǎng)管用戶名密碼采取電子表格登記，總部集中保管總部IT經(jīng)理提供所有設(shè)備：登錄用戶名密碼可登陸網(wǎng)絡(luò)設(shè)備，查看基本狀態(tài)特權(quán)模式密碼，可修改設(shè)備配置核心防火墻提供VPN撥入，用于遠(yuǎn)程網(wǎng)絡(luò)管理分配網(wǎng)管平臺(tái)所有全國設(shè)備的讀寫權(quán)限的賬號(hào)可修改、注銷、新增其他分部IT經(jīng)理的權(quán)限設(shè)備用戶名密碼采取電子表格登記，專人集中保管網(wǎng)管用戶名密碼采取電子表格登記，專人集中保管補(bǔ)充說明：因網(wǎng)絡(luò)設(shè)備較多，采用手工分配并管理用戶名密碼工作量大，且不易于管理，可以使用XXXEIA做終端準(zhǔn)入控制，將登陸網(wǎng)絡(luò)設(shè)備的權(quán)限在后臺(tái)服務(wù)器做統(tǒng)一認(rèn)證管理。 登錄授權(quán)以XXX為主的網(wǎng)絡(luò)設(shè)備的網(wǎng)管，IMC平臺(tái)EIA模塊提供無線上網(wǎng)終端的認(rèn)證，也可以用于后續(xù)網(wǎng)絡(luò)設(shè)備AAA認(rèn)證。門店防火墻允許VPN撥入，用于網(wǎng)絡(luò)管理員遠(yuǎn)程管理設(shè)備，對撥入的VPN用戶分配固定IP，只允許此IP訪問門店的防火墻、POE交換機(jī)、AC等網(wǎng)絡(luò)設(shè)備。TACACS服務(wù)器在總部，可以對用戶分組，設(shè)置不同的權(quán)限。同時(shí)，針對COSOL口的登錄做本地認(rèn)證。采用“帶寬搶占”方式保障蘋果專區(qū)的上網(wǎng)效果?！揪W(wǎng)康緩存和上網(wǎng)行為管理，均使用帶外管理，占用匯聚交換機(jī)兩個(gè)接口】愛逛提供由定位軟件等運(yùn)營在網(wǎng)絡(luò)上的相關(guān)方對網(wǎng)絡(luò)提出技術(shù)要求，暫無。XXX對于門店綜合布線的標(biāo)準(zhǔn)為《：（含無線網(wǎng)）》，通過XXX安排合作布線公司實(shí)施6家試點(diǎn)門店，建