【正文】 ，考慮信息的備份問題，避免單點(diǎn)故障的出現(xiàn)。大大增強(qiáng)了網(wǎng)絡(luò)的穩(wěn)定性和高速性。INTERNET用戶接入，需要考慮安全性和冗余性。在網(wǎng)絡(luò)規(guī)模相對(duì)較大的時(shí)候，合適的網(wǎng)絡(luò)系統(tǒng)可以幫助用戶方便管理網(wǎng)絡(luò)內(nèi)的設(shè)備及運(yùn)行情況，以提高網(wǎng)絡(luò)的運(yùn)行效率。同時(shí)要采取各種措施保證內(nèi)網(wǎng)和各臺(tái)服務(wù)器的安全。第3章 網(wǎng)絡(luò)總體建設(shè)目標(biāo)、 網(wǎng)絡(luò)建設(shè)目標(biāo)北京總部?jī)?nèi)有大型服務(wù)器提供服務(wù)，外接分支機(jī)網(wǎng)絡(luò)平臺(tái)要求這些分布用戶和總部之間能夠高速連接并且保證與總部通信的可靠性和可行性。保證內(nèi)網(wǎng)安全同時(shí)保證各臺(tái)服務(wù)器的安全。網(wǎng)絡(luò)設(shè)備主要以核心交換區(qū)設(shè)備為主。、 網(wǎng)絡(luò)及系統(tǒng)建設(shè)內(nèi)容及要求根據(jù)該公司中心機(jī)房的網(wǎng)絡(luò)情況，我們把整個(gè)網(wǎng)絡(luò)分為內(nèi)部網(wǎng)絡(luò)交換網(wǎng)絡(luò)設(shè)計(jì)、網(wǎng)絡(luò)出口設(shè)計(jì)、網(wǎng)絡(luò)安全設(shè)計(jì)三部分。北京總部數(shù)據(jù)中心網(wǎng)絡(luò)平臺(tái)承載著該公司所有的關(guān)鍵核心業(yè)務(wù)。而北京總部用FTP、MAIL等內(nèi)部服務(wù)器為員工提供總部?jī)?nèi)部信息。對(duì)于邊界網(wǎng)絡(luò)接入（Internet接入稱為邊界網(wǎng)絡(luò)），總部用Web服務(wù)器為用戶提供服務(wù)。因?yàn)榫W(wǎng)絡(luò)的安全性是一個(gè)非常重要的因素。由于公司業(yè)務(wù)不斷發(fā)展壯大，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)也會(huì)隨之發(fā)生變化，在采購(gòu)網(wǎng)絡(luò)設(shè)備時(shí)應(yīng)注意選擇擴(kuò)展性和兼容性強(qiáng)的設(shè)備，以便日后網(wǎng)絡(luò)拓?fù)涞淖儎?dòng)。我們始終堅(jiān)持“高標(biāo)準(zhǔn)，高性能”的原則。網(wǎng)絡(luò)安全性由于企業(yè)網(wǎng)的特殊性，網(wǎng)絡(luò)的安全性在本次網(wǎng)絡(luò)建設(shè)中是比較重要的，整個(gè)網(wǎng)絡(luò)必須保證萬(wàn)無(wú)一失的安全性，并對(duì)各個(gè)部門的信息要有嚴(yán)格分離保護(hù)的辦法，防止網(wǎng)絡(luò)黑客非法入侵。靈活性及可擴(kuò)展性根據(jù)未來(lái)業(yè)務(wù)的增長(zhǎng)和變化，網(wǎng)絡(luò)可以平滑地?cái)U(kuò)展和升級(jí)，最大限制地減少對(duì)網(wǎng)絡(luò)架構(gòu)和設(shè)備的調(diào)整。高性能承載網(wǎng)絡(luò)性能是網(wǎng)絡(luò)通訊系統(tǒng)良好運(yùn)行的基礎(chǔ)，設(shè)計(jì)中心必須保障網(wǎng)絡(luò)及設(shè)備的高吞吐能力，保證各種信息（數(shù)據(jù)，語(yǔ)音，圖像）的高質(zhì)量傳輸，才能使網(wǎng)絡(luò)不成為各項(xiàng)業(yè)務(wù)開展的瓶頸。在優(yōu)秀的網(wǎng)絡(luò)管理之下，將大大提高網(wǎng)絡(luò)的運(yùn)行速率，并可迅速簡(jiǎn)便地進(jìn)行網(wǎng)絡(luò)故障的診斷。第4章 網(wǎng)絡(luò)總體設(shè)計(jì)、 網(wǎng)絡(luò)總體拓?fù)鋱D結(jié)合幾種網(wǎng)絡(luò)結(jié)構(gòu)與技術(shù)，根據(jù)該公司網(wǎng)絡(luò)功能需求的具體情況，我們選用兩臺(tái)Cisco Catalyst 3750做雙機(jī)熱備，用Cisco專有熱備份路由協(xié)議技術(shù)（HSRP），同時(shí)雙機(jī)還可以做負(fù)載均衡。品牌和性能盡可能和主交換機(jī)相一致，以便于維護(hù)，便于統(tǒng)一。各區(qū)域相對(duì)獨(dú)立，通過(guò)核心網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換。、 網(wǎng)絡(luò)層次化設(shè)計(jì)隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和網(wǎng)上應(yīng)用量的增長(zhǎng)，分布式的網(wǎng)絡(luò)服務(wù)和交換已經(jīng)移至用戶級(jí)，由此形成了一個(gè)新的，更適應(yīng)現(xiàn)代的高速大型網(wǎng)絡(luò)的分層設(shè)計(jì)模型。多層設(shè)計(jì)的好處：有很大的確定性，在運(yùn)行和擴(kuò)展過(guò)程中進(jìn)行故障查找和排除非常簡(jiǎn)單。減少路由器必須存儲(chǔ)和處理的數(shù)據(jù)量，提供良好的路由器聚合數(shù)據(jù)流收斂。升級(jí)靈活：網(wǎng)絡(luò)容易升級(jí)到最新的技術(shù)，升級(jí)任意層的網(wǎng)絡(luò)不會(huì)對(duì)其他層造成影響，無(wú)需改變整個(gè)網(wǎng)絡(luò)環(huán)境對(duì)于公司網(wǎng)絡(luò)的實(shí)際情況我們可以采用三層結(jié)構(gòu)模型。每個(gè)層次完成不同的功能。核心層的主要目的在于通過(guò)高速轉(zhuǎn)發(fā)通信，提供可靠的骨干傳輸結(jié)構(gòu)，因此核心層交換機(jī)應(yīng)擁有更高的可靠性，更快速率的鏈路連接技術(shù)，并且能快速適應(yīng)網(wǎng)絡(luò)的變化。因此，在核心層中，我們應(yīng)該采用高帶寬的千兆以上交換機(jī)。匯聚層交換層是多臺(tái)接入層交換機(jī)的匯聚點(diǎn)，它必須能夠處理來(lái)自接入層設(shè)備的所有通信量，并提供到核心層的上行鏈路，因此匯聚層交換機(jī)與接入層交換機(jī)比較，需要更高的性能、更少的接口和更高的交換速率。接入層：通常將網(wǎng)絡(luò)中直接面向用戶連接或訪問網(wǎng)絡(luò)的部分稱為接入層。接入層交換機(jī)具有低成本和高端口密度特點(diǎn)，考慮采用可網(wǎng)管、可堆疊的接入級(jí)交換機(jī)。、 核心層設(shè)計(jì)：核心層是網(wǎng)絡(luò)的樞紐中心，重要性突出。這兩臺(tái)交換機(jī)的可靠性、高效性、冗余性是我們考慮的主要因素，另外，在這個(gè)層面的設(shè)計(jì)時(shí)，我們還需要考慮冗余網(wǎng)絡(luò)的設(shè)計(jì)，本區(qū)域的安全性可以有邊界防火墻提供。Cisco WSC296048TTL系列通過(guò)提供配置靈活性、支持融合網(wǎng)絡(luò)模式及自動(dòng)進(jìn)行智能網(wǎng)絡(luò)服務(wù)配置，簡(jiǎn)化了融合應(yīng)用的部署，并可針對(duì)不斷變化的業(yè)務(wù)需求進(jìn)行調(diào)整。、接入層設(shè)計(jì)接入層交換機(jī)采用思科的思科WSC4506E交換機(jī)。從而形成千兆位骨干，百兆到桌面的以太網(wǎng)三層結(jié)構(gòu)。因此，內(nèi)部局域網(wǎng)采用三層結(jié)構(gòu)。第5章 路由、交換設(shè)計(jì)、 設(shè)備選擇、 設(shè)備命名規(guī)范表52 網(wǎng)絡(luò)設(shè)備命名、 VLAN、子網(wǎng)及IP地址規(guī)劃（）IP地址的規(guī)劃在網(wǎng)絡(luò)設(shè)計(jì)中的作用舉足輕重。IP地址設(shè)計(jì)的總原則是簡(jiǎn)單，易管理，易擴(kuò)展。IP地址空間的分配，要與網(wǎng)絡(luò)層次結(jié)構(gòu)相適應(yīng)，既要有效地利用地址空間，又要體現(xiàn)出網(wǎng)絡(luò)的可擴(kuò)展性和靈活性，同時(shí)能滿足路由協(xié)議的要求，提高路由算法的效果，加快路由變化的收斂速度。 (2) 可記錄性已分配出去的地址塊必須記錄在數(shù)據(jù)庫(kù)中，為定位網(wǎng)絡(luò)故障提供依據(jù)。同時(shí)，對(duì)地址的分配要盡量避免地址碎片出現(xiàn)。同時(shí)，應(yīng)該避免閑置被分配出去的地址。 (6) 可擴(kuò)展性考慮到網(wǎng)絡(luò)的高速增長(zhǎng)，必須在一段時(shí)間內(nèi)留給地址申請(qǐng)者足夠的地址增長(zhǎng)空間，而不需要它頻繁地向上一級(jí)組織申請(qǐng)新的地址。(1)公司總部IP地址分配表如下：公司總部有九個(gè)部門，有1000個(gè)用戶網(wǎng)絡(luò)單元子網(wǎng)段地址范圍廣播地址網(wǎng)關(guān)上網(wǎng)方式獲取方式財(cái)務(wù)部162NATDHCP行政部65126NATDHCP外連部1~126NATDHCP技術(shù)部129190NATDHCP信息辦193254NATDHCP信息科162NATDHCP品保部129254NATDHCP人力資源部65126NATDHCP企業(yè)文化部129190NATDHCP安全環(huán)保部1126NATDHCP制造技術(shù)部129254NATDHCP采供部1254NATDHCP項(xiàng)目經(jīng)理部 130NATDHCP倉(cāng)儲(chǔ)中心162NATDHCP教培中心3362NATDHCP生產(chǎn)部12541254NATDHCP與路由器相連鏈路上1~62NATDHCP65~126NATDHCP服務(wù)器集群1~8NATDHCP(2)公司總部VLAN劃分表如下：地點(diǎn)VLANVLAN名稱VLAN內(nèi)容北京總公司Vlan2BJxs財(cái)務(wù)部Vlan3BJjx行政部Vlan4BJpz外連部Vlan5BJcw技術(shù)部………………Vlan16BJsc生產(chǎn)部 (3)各個(gè)分公司IP地址分配表如下：網(wǎng)絡(luò)單元地址段地址范圍默認(rèn)網(wǎng)關(guān)上網(wǎng)方式Ip地址數(shù)Vlan廣州分公司nat126Vlan 2浙江分公司Nat126Vlan 2西安分公司Nat126Vlan 2天津分公司Nat126Vlan 2上海分公司nat126Vlan 路由協(xié)議在本次網(wǎng)絡(luò)項(xiàng)目中，北京總部的路由器BJR001和交換機(jī)BJS BJS2 、BJS03及 BJS4等，我們均采用OSPF協(xié)議，分部也同樣使用。OSPF協(xié)議標(biāo)準(zhǔn)化強(qiáng)，支持多種廠家，受到廣泛的應(yīng)用。OSPF支持各種不同鑒別機(jī)制（如簡(jiǎn)單口令驗(yàn)證。安博總部規(guī)劃為area 0，其內(nèi)部網(wǎng)絡(luò)也都規(guī)劃為area 0。、 交換技術(shù)對(duì)于本次項(xiàng)目的核心層交換機(jī)Cisco 4506，我們將采用建立在生成樹基礎(chǔ)上的多鏈路冗余連接。這樣當(dāng)交換機(jī)之間的線路出現(xiàn)故障時(shí)，傳輸?shù)臄?shù)據(jù)會(huì)快速自動(dòng)切換到另外一條線路上進(jìn)行傳輸，不影響網(wǎng)絡(luò)系統(tǒng)的正常工作。使用VTP協(xié)議，可以把一臺(tái)交換機(jī)配置成VTP Server, 其余交換機(jī)配置成VTP Client,這樣他們可以自動(dòng)學(xué)習(xí)到server上的VLAN 信息。而VLAN 技術(shù)，則可以限制廣播范圍，并能夠形成虛擬工作組，動(dòng)態(tài)管理網(wǎng)絡(luò)。HSRP 是熱備份路由協(xié)議。HSRP 實(shí)現(xiàn)容錯(cuò)備份功能，可以有效解決網(wǎng)絡(luò)不暢問題，保證了網(wǎng)絡(luò)的可靠性。IPV6以其靈活的IP報(bào)文頭部格式，不僅取代了IPV4中可變長(zhǎng)度的選項(xiàng)字段，而且也使路由器可以簡(jiǎn)單路過(guò)選項(xiàng)而不做任何處理，加快了報(bào)文處理速度，提高了吞吐量。支持更多的服務(wù)類型，允許協(xié)議繼續(xù)演變，增加新的功能，使之適應(yīng)未來(lái)技術(shù)的發(fā)展。在本次項(xiàng)目中，除了DC服務(wù)器采用windows 2003操作系統(tǒng)，其它的服務(wù)器，我們將使用Linux操作系統(tǒng)。因?yàn)榛顒?dòng)目錄服務(wù)是Windows操作系統(tǒng)平臺(tái)的中心組件之一。工作站普遍使用Windows操作系統(tǒng)，服務(wù)器與客戶端兼容性更好。、 DNS、DHCP、FTP、Mail、Web—Apache服務(wù)器針對(duì)于各種服務(wù)的不同需求，我們推薦使用戴爾PowerEdge T410服務(wù)器。浪潮英信NF5220 產(chǎn)品價(jià)格：產(chǎn)品簡(jiǎn)介：基本參數(shù)：服務(wù)器級(jí)別 企業(yè)級(jí) 服務(wù)器類型 機(jī)架式 服務(wù)器結(jié)構(gòu) 2U 主要性能 主板芯片組 Intel 5500 標(biāo)配CPU個(gè)數(shù) 1顆 最大CPU個(gè)數(shù) 2顆 CPU類型 Intel Xeon E5506 處理器 標(biāo)稱主頻 二級(jí)緩存 4256KB 三級(jí)緩存 4MB 總線規(guī)格 多核運(yùn)算 四核心四線程 內(nèi)存容量 2GB 內(nèi)存描述 DDR3內(nèi)存擴(kuò)展 最高64GB 內(nèi)存插槽 8個(gè)DDR3插槽存儲(chǔ) 標(biāo)配硬盤容量 146GB 標(biāo)配硬盤類型 SAS, SFF 標(biāo)配硬盤描述 146GB SAS RAID陣列模式 支持RAID 0, 1 存儲(chǔ)擴(kuò)展位 標(biāo)配:12SFF托架 光驅(qū) DVD光驅(qū) 網(wǎng)絡(luò) 網(wǎng)絡(luò)控制器 2千兆接口 電源 電源功率 480W 電源數(shù)量 2 電源類型 熱插拔電源 采用英特爾174。處理器 5500、5600系列處理器，48MB的三級(jí)高速緩存支持64位擴(kuò)展、I/O加速、Turbo、超線程技術(shù)，；采用最新的INTEL 5500+ICH10R,，相比上一代整體功耗降低512%，噪音降低45分貝，支持DPNM電源管理技術(shù)，節(jié)能環(huán)保；采用DDR III內(nèi)存，8個(gè)內(nèi)存插槽，支持DDR3 800/1066/1333MHz內(nèi)存，最大可擴(kuò)展64GB內(nèi)存，支持三通道讀取，滿足用戶性能需求更加節(jié)能；”SAS/SATA/SSD硬盤，從而使得對(duì)熱插拔存儲(chǔ)設(shè)備的支持更加靈活可選；標(biāo)配集成BMC智能控制芯片，在異地全面管理服務(wù)器，支持遠(yuǎn)程操作、管理、部署操作系統(tǒng)與應(yīng)用系統(tǒng)，并監(jiān)控服務(wù)器的運(yùn)轉(zhuǎn)狀態(tài)；浪潮英信服務(wù)器睿捷管理套件包含三部分內(nèi)容：睿捷服務(wù)器管理軟件 、睿捷系統(tǒng)智能安裝軟件、睿捷系統(tǒng)備份還原軟件。 最大支持6塊熱插拔SAS/SATA硬盤 ”SAS/SATA/SSD硬盤，滿足不同應(yīng)用的數(shù)據(jù)存儲(chǔ)需求，也為未來(lái)業(yè)務(wù)的擴(kuò)展提供了強(qiáng)大的數(shù)據(jù)存儲(chǔ)空間。該公司的網(wǎng)絡(luò)主要存在的邊界安全風(fēng)險(xiǎn)包括：北京內(nèi)部網(wǎng)絡(luò)接入外部網(wǎng)絡(luò)，可能會(huì)遭到來(lái)自各地的越權(quán)訪問，惡意攻擊和計(jì)算機(jī)病毒的入侵，例如：一個(gè)不滿的內(nèi)部用戶，利用盜版軟件或從Internet下載的黑客程序惡意攻擊內(nèi)部站點(diǎn)，致使網(wǎng)絡(luò)局部或整體癱瘓。這些越權(quán)訪問可能包括惡意的攻擊，誤操作等等。安裝防火墻后外部網(wǎng)絡(luò)不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題。內(nèi)部用戶非授權(quán)訪問；安博內(nèi)部網(wǎng)絡(luò)的資源也不是對(duì)任何的員工開放的，也需要相應(yīng)的訪問權(quán)限。 內(nèi)部用戶的誤操作；由于內(nèi)部用戶的計(jì)算機(jī)操作水平不齊，對(duì)于應(yīng)用軟件的理解也各不相同，如果一部分軟件沒有相應(yīng)的對(duì)誤操作防范措施，極容易服務(wù)系統(tǒng)和其他主機(jī)造成無(wú)害。 設(shè)備的自身安全性也會(huì)直接關(guān)系到安博綜合網(wǎng)絡(luò)體系和各種網(wǎng)路應(yīng)用的正常運(yùn)轉(zhuǎn)。 重要服務(wù)器或操作系統(tǒng)自身存在安全的漏洞，如果管理員沒有及時(shí)的發(fā)現(xiàn)并且進(jìn)行修復(fù)，將會(huì)給網(wǎng)絡(luò)帶來(lái)很大不穩(wěn)定性的因素。安全管理困難，對(duì)于眾多的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)安全設(shè)備，安全策略的配置和安全事件管理的難度很大。、 病毒防護(hù)技術(shù)(1)阻止病毒的傳播在防火墻、SMTP服務(wù)器、網(wǎng)絡(luò)服務(wù)器上安裝病毒過(guò)濾軟件。 (2)檢查和清除病毒使用防病毒軟件檢查和清除病毒。 (4)在防火墻及PC上安裝控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。Password認(rèn)證　　該種認(rèn)證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、telnet等，但由于此種認(rèn)證方式過(guò)程不加密，即password容易被監(jiān)聽和解密。該種方法安全程度較高，綜合采用了摘要算法、不對(duì)稱加密、對(duì)稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來(lái)。第8章 關(guān)鍵技術(shù)介紹、 HSRP我們使用HSRP來(lái)實(shí)現(xiàn)故障路由器的接管。比且確保了當(dāng)網(wǎng)絡(luò)邊緣或接入鏈路出現(xiàn)故障時(shí)，用戶通信能迅速并透明的恢復(fù)，并為此IP網(wǎng)絡(luò)提供了冗余性。這樣就很好的解決了路由器切換的問題。一般情況下PVST要求在交換機(jī)之間的中繼鏈路上運(yùn)行Cisco的ISL．使用此技術(shù)減小了生成樹拓?fù)涞目偡秶Ｊ苟丝卺槍?duì)不同的根橋?qū)嵤┳枞?。? VLANVLAN（虛擬局域網(wǎng)）是對(duì)連接到的第二層交換機(jī)端口的網(wǎng)絡(luò)用戶的邏輯分段，不受網(wǎng)絡(luò)用戶的物理位置限制而根據(jù)用戶需求進(jìn)行網(wǎng)絡(luò)分段。VLAN可以根據(jù)網(wǎng)絡(luò)用戶的位置、作用、部門或者根據(jù)網(wǎng)絡(luò)用戶所使用的應(yīng)用程序和協(xié)議來(lái)進(jìn)行分組。VLAN技術(shù)的出現(xiàn)，使得管理員根據(jù)實(shí)際應(yīng)用需求，把同一物理局域網(wǎng)內(nèi)的不同用戶邏輯地劃分成不同的廣播域，每一個(gè)VLAN都包含一組有著相同需求的計(jì)算機(jī)工作站，與物理上形成的LAN有著相同的屬性。由VLAN的特點(diǎn)可知，一個(gè)VLAN內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備