【正文】 強(qiáng)、性價(jià)比高的特點(diǎn)。 具有良好的端點(diǎn)控制能力，支持豐富的 MAC、 IP 端口的靈活綁定。 VLAN 能力強(qiáng)，支持最高的 4096 個(gè) VLAN； 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)： 數(shù)據(jù)中心是本網(wǎng)絡(luò)最重要的部位，是信息化的神經(jīng)中樞，數(shù)據(jù)中心的設(shè)計(jì)應(yīng)具備最高的安全性，同時(shí)應(yīng)保證流暢的帶寬和一定的 可靠性。 對(duì)數(shù)據(jù)中心做如下部署： 核心防火墻： 防火墻可以部署在網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)中心的前面，實(shí)現(xiàn)對(duì)所有訪問(wèn)數(shù)據(jù)中心服務(wù)器的網(wǎng)絡(luò)流量進(jìn)行身份控制，提供對(duì)數(shù)據(jù)中心服務(wù)器的保護(hù)。 基于上述兩個(gè)的關(guān)鍵特性，我們進(jìn)行以下設(shè)備部署模式和配置策略： 設(shè)備部署模式： 我們?cè)趦膳_(tái)核心交換機(jī)上部署兩臺(tái)千兆防火墻，以雙鏈路方式和 1G的吞吐量保證可靠性和高性能。 核心入侵防御系統(tǒng)： 在服務(wù)器交換機(jī)和核心防火墻之間，部署兩臺(tái)入侵防御系統(tǒng)，和服務(wù)器交換機(jī)、防火墻設(shè)備采用雙鏈路連接，以阻擋防火墻設(shè)備不能抵御的系統(tǒng)漏洞攻擊、蠕蟲病毒、木馬程序、間諜軟件、 DOS/DDOS 攻擊等。 服務(wù)器交換機(jī)： 服務(wù)器交換機(jī)負(fù)責(zé)眾多數(shù)據(jù)庫(kù) 和應(yīng)用服務(wù)器的接入，在此我們采用一臺(tái)服務(wù)器交換機(jī)，其設(shè)備在本項(xiàng)目中有如下優(yōu)勢(shì)： 以高密度千兆接口的全面滿足服務(wù)器接入的要求 支持高的交換交換帶寬和轉(zhuǎn)發(fā)性能，為服務(wù)器的雙上行接入提供了更高的帶寬和可靠性 支持萬(wàn)兆接口，為未來(lái)的系統(tǒng)全面升級(jí)提前做好了準(zhǔn)備 配置冗余電源系統(tǒng)，進(jìn)一步提高設(shè)備可靠性。 雖然現(xiàn)在網(wǎng)絡(luò)上 80%的安全隱患都在內(nèi)網(wǎng)，但互聯(lián)網(wǎng)出口的安全問(wèn)題仍然是對(duì)企業(yè)網(wǎng)絡(luò)最具威脅的區(qū)域 ，黑客入侵、企業(yè)機(jī)密數(shù)據(jù)外泄、新病毒的導(dǎo)入都幾乎全部發(fā)生在這里，所以互聯(lián)網(wǎng)接入設(shè)計(jì)中，安全設(shè)計(jì)仍然放在首位。 路由器： 路由器是連接內(nèi)外網(wǎng)的紐帶，路由器的性能直接影響對(duì)于寶貴帶寬的使用率，此外對(duì)于大型園區(qū)網(wǎng)出口，由于內(nèi)部網(wǎng)絡(luò)用戶數(shù)量龐大，路由器應(yīng)該具備高性能的 NAT 轉(zhuǎn)發(fā)能力。 強(qiáng)大的 NAT 能力：具備 50 萬(wàn)并發(fā) NAT 連接的能力，且支持豐富的 NAT特性，提供 NAT 日志的輸出，可配合日志審計(jì)系統(tǒng)，做到對(duì)于對(duì)外訪問(wèn)的紀(jì)錄和跟蹤。配置策略偏重安全區(qū)劃分，安全抵御由入侵防御系統(tǒng)著重完成。重點(diǎn)配置對(duì)于黑客入侵、蠕蟲病毒、木馬程序的防范。產(chǎn)品不僅能夠獨(dú)立提供完整的網(wǎng)絡(luò)管理平臺(tái)，還能夠與 OpenView、SNMPc多種主流通用網(wǎng)管平臺(tái)靈活集成；不僅能夠管理配置的網(wǎng)絡(luò)設(shè)備，還能夠通過(guò)標(biāo)準(zhǔn) MIB管理各主流廠商的網(wǎng)絡(luò)設(shè)備。能夠?qū)崟r(shí)監(jiān)視所有設(shè)備的運(yùn)行狀況，通過(guò)可視化的網(wǎng)絡(luò)拓?fù)浣缑鎺椭脩艏皶r(shí)了解網(wǎng)絡(luò)的變化。 支持告警快速定位到網(wǎng)絡(luò)拓?fù)洌? 支持多種告警通知方式，包括：告警聲光提示、告警轉(zhuǎn) Email和手機(jī)短信； 支持告警相關(guān)性分析，包括屏蔽重復(fù)告警、自動(dòng)確認(rèn)相關(guān)告警等。同時(shí)用戶可以根據(jù)實(shí)際的維護(hù)經(jīng)驗(yàn)，不斷完善豐富維護(hù)經(jīng)驗(yàn)庫(kù)。同時(shí)，豐富的歷史性能統(tǒng)計(jì)數(shù)據(jù)為用戶升級(jí)擴(kuò)容網(wǎng)絡(luò)提供了客觀準(zhǔn)確的參考。網(wǎng)絡(luò)管理員需要定期備份配置文件，跟蹤設(shè)備配置變化，以保證一旦發(fā)生網(wǎng)絡(luò)故障時(shí)，能夠利用歷史配置備份將網(wǎng)絡(luò)立刻恢復(fù)正常。 本科生畢業(yè)設(shè)計(jì)（論文） 19 通過(guò)面板圖標(biāo)直觀地反映設(shè)備的模塊、風(fēng)扇、 CPU、端口等關(guān)鍵部件的運(yùn)行狀 能夠 查看、設(shè)置設(shè)備端口狀態(tài)； 能夠查看路由、 VLAN 等配置信息；能夠查看端口流量、丟包率、錯(cuò)包率等關(guān)鍵統(tǒng)計(jì)數(shù)據(jù)；支持對(duì)堆疊的管理； 支持多廠商設(shè)備的統(tǒng)一管理。 自動(dòng)發(fā)現(xiàn)多廠商設(shè)備，展示多廠商設(shè)備組成的網(wǎng)絡(luò)拓?fù)洌? 監(jiān)視設(shè)備性能，包括接口的流量、錯(cuò)包率、丟包率等指標(biāo)； 接收和解析設(shè)備告警，提供告警分析和查詢功 能； 接入認(rèn)證系統(tǒng)設(shè)計(jì) 認(rèn)證系統(tǒng)應(yīng) 采用分布式 、 模塊化 、跨平臺(tái) 的 開放 體系結(jié)構(gòu)和基于 TCP/IP 的通信機(jī)制，可以平滑擴(kuò)容 、靈活擴(kuò)展、按需定制。 接入認(rèn)證系統(tǒng)的功能： 強(qiáng)大的用戶身份認(rèn)證 支持 、 PPPoE、 Portal、 VPN 接入、無(wú)線接入 等 多種 認(rèn)證 接入 方式 。 支持 用戶與設(shè)備 IP 地址 、 接入端口 、 VLAN、 用戶 IP 地址 和 MAC 地址等 硬件信息的 綁定認(rèn)證 ，增強(qiáng)用戶認(rèn)證的安全性，防止賬號(hào)盜用和非法接入。 支持多區(qū)域用戶漫游。 可以控制用戶的上網(wǎng)帶寬（ QoS； 認(rèn)證支持）、限制用戶的同時(shí)在線數(shù)、禁止用戶設(shè)置和使用代理服務(wù)器，有效防止個(gè)別用戶對(duì)網(wǎng)絡(luò)資源的過(guò)度占用。 可以限制用戶 IP 地址分配策略，防止 IP 地址盜用和沖突。 可以限制終端用戶使用多網(wǎng)卡和撥號(hào)網(wǎng)絡(luò)，防止內(nèi)部信息泄露。 本科生畢業(yè)設(shè)計(jì)（論文） 20 詳盡的用戶行為監(jiān)控 提供“黑名單”管理策略，可以將惡意猜測(cè)密碼的用戶加入黑名單，并可按MAC、 IP 地址跟蹤非法行為的來(lái)源。 支持消息下發(fā)，管理員可以通過(guò)向上網(wǎng)用戶發(fā)布通知消息，如“系統(tǒng)升級(jí)，網(wǎng)絡(luò)將在 10 分中后切斷”、“您的密碼遭惡意試探，請(qǐng)注意保護(hù)密碼安全”等。 日志審計(jì)軟件主要功能包括兩大部分： 安全事件管理 用戶行為審計(jì) 在本次項(xiàng)目中我們采用的用戶行為審計(jì)模塊，具有如下功能： 1) 全面的日志采集 用戶行為審計(jì)系統(tǒng)可支持多種網(wǎng)絡(luò)日志的采集（包括 、 、NetStream V5），對(duì)于不支持 上述日志的設(shè)備，可以通過(guò)設(shè)備的鏡像端口或 TAP 分流器采集網(wǎng)絡(luò)流量生成 格式的日志。 2) 強(qiáng)大的日志審計(jì)功能 用戶行為審計(jì) 系統(tǒng)可根據(jù)用戶需要， 通過(guò) 各種條件 的組合 對(duì)網(wǎng)絡(luò)日志進(jìn)行快速分析。 日志：包括源 IP、目的 IP、源端口、目的端口、流起始時(shí)間、結(jié)束時(shí)間等關(guān)鍵信息。 日志包含兩種格式日志， 和 。兩種格式的 日志在采集器進(jìn)行日志采集時(shí)同時(shí)生成。 本科生畢業(yè)設(shè)計(jì)（論文） 21 日志記錄包含以下內(nèi)容：開始時(shí)間、結(jié)束時(shí)間、源 IP 地址、目的IP 地址、源端口號(hào)、目的端口號(hào)、協(xié)議類型（目前區(qū)分 TCP、 UDP 和 ICMP 三種協(xié)議）、輸入包個(gè)數(shù)、輸出包個(gè)數(shù)、輸入字節(jié)數(shù)、輸出字節(jié)數(shù)； 日志記錄包含以下內(nèi)容：開始時(shí)間、結(jié)束時(shí)間、源 IP 地址、目的IP 地址、目的端口號(hào)、摘要信息（目前支持 HTTP 協(xié)議、 FTP 協(xié)議、 SMTP 協(xié)議報(bào)文）。通過(guò) NetStream 日志的分析，可以使網(wǎng)絡(luò)管理員深入地了解當(dāng)前數(shù)據(jù)網(wǎng)絡(luò)中的報(bào)文所包含的各種有價(jià)值的信息，可以實(shí)現(xiàn)網(wǎng)絡(luò)監(jiān)控、應(yīng)用監(jiān)控、用戶監(jiān)控等功能，并為網(wǎng)絡(luò)規(guī)劃提供重要參考。終端用戶何時(shí)訪問(wèn)了某網(wǎng)站、何時(shí)訪問(wèn)了某網(wǎng)頁(yè)、發(fā)送了哪些 Email、向外發(fā)送了哪些文件等信息均可通過(guò)日志審計(jì)得出結(jié)果。 IP 地址規(guī)劃的原則 ? 唯一性：保持整個(gè)網(wǎng)絡(luò)中 IP 地址的唯一性 ? 簡(jiǎn)單性：盡量避免采用復(fù)雜的掩碼方式 ? 連續(xù)性：為同一網(wǎng)絡(luò)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地址，便于縮減路由表項(xiàng)，提高路由器的處理效率 ? 可擴(kuò)充性：為一個(gè)網(wǎng)絡(luò)區(qū)域分配的網(wǎng)絡(luò)地址應(yīng)該具有一定的容量，便于主機(jī)節(jié)點(diǎn)增加時(shí)仍然能夠保持地址的連續(xù)性 ? 可管理 性：地址的分配應(yīng)該有層次性，某個(gè)局部的變動(dòng)不影響網(wǎng)絡(luò)的其他部分 ? 地域性：盡量考慮 IP 的地域特性，以便于統(tǒng)一管理和規(guī)劃 ? 全面性：統(tǒng)一規(guī)劃局域網(wǎng)和廣域網(wǎng) IP 地址，保證網(wǎng)絡(luò)有效連通和管理 IP 地址規(guī)劃策略 對(duì)太重信息化系統(tǒng) IP 地址規(guī)劃可以采用以下兩種方式： 采用 Inter 網(wǎng)合法地址 本科生畢業(yè)設(shè)計(jì)（論文） 22 由于要實(shí)現(xiàn)與 Inter 的連接，對(duì)外發(fā)布信息；在 DMZ 區(qū)中的服務(wù)器建議采用合法的由電信服務(wù)商分配的地址。 IP 地址規(guī)劃 IP 地址的規(guī)劃應(yīng)在遵循方便管理、易于擴(kuò)展的原則下，統(tǒng)一規(guī)劃、統(tǒng)一分配。數(shù)據(jù)中心和各級(jí)單位和相關(guān)部門 IP 地址分配如下表： 表 省 /市 地址空間 網(wǎng)段 數(shù)據(jù)中心 1 個(gè) C 服務(wù)器區(qū) 1 個(gè) C 網(wǎng)絡(luò)設(shè)備區(qū) 1 個(gè) C 重工 8 個(gè) C 起重機(jī)公司 8 個(gè) C 輪軸公司 8 個(gè) C 油膜輪軸公司 8 個(gè) C 路由協(xié)議 在設(shè)計(jì)大中型網(wǎng)絡(luò)時(shí)，由于靜態(tài)路由協(xié)議設(shè)置麻煩、對(duì)網(wǎng)絡(luò)的變化適應(yīng)性差，一般不予采用，而今作為路由設(shè)計(jì)的補(bǔ)充。 RIPv1 不支持 VLSM（ Variable Length Sub Mask），不可能有效地利用 IP 地址。路由收斂較慢，此算法將經(jīng)歷 Holddown(180S)的周期。 RIP 網(wǎng)絡(luò)適用于平面結(jié)構(gòu)的網(wǎng)絡(luò)。一般網(wǎng)絡(luò)的路由器數(shù)目少于 20 個(gè)。有以下特點(diǎn)： 僅用于 IP 網(wǎng)絡(luò)，無(wú) hop count 的限制，適于大型網(wǎng)絡(luò)，支持 VLSM，用 hello通知其他路由器本路由器工作正常。 路由收斂較快，在路徑的選擇中， metric 主要考慮鏈路的延遲，支持相同 cost的多條 鏈路路由，較好地實(shí)現(xiàn)負(fù)載均衡。通過(guò)劃分區(qū)域更好的規(guī)劃網(wǎng)絡(luò)，減少路由更新信息。 3. IGRP IGRP 是 Distance Vector 路由協(xié)議，由 CISCO 開發(fā)，用于大型 IP 及 OSI 網(wǎng)絡(luò)，有以下特點(diǎn)： 不支持 VLSM（ Variable Length Sub Mask)，不可能有效地利用 IP 地址。在路徑的選擇上采用組合的 metrics 包括：延遲、帶寬、可靠性 、 MTU 和負(fù)載。 4. EIGRP EIGRP 是 intradomain，先進(jìn)的 Distance Vector 路由協(xié)議，由 CISCO 開發(fā)和支持： 結(jié)合了距離向量 (DV)協(xié)議和連接狀態(tài) (LS)協(xié)議的優(yōu)點(diǎn)，采用了 DUAL 算法達(dá)到網(wǎng)絡(luò)的快速收斂。 采用五維參數(shù)來(lái)決定最佳路徑：帶寬、 時(shí)延、可靠性、線路負(fù)載和最大數(shù)據(jù)包尺寸。它采用模塊化軟件支持 IP、 IPX 和 AT 協(xié)議。 EIGRP 本身的設(shè)計(jì)定位是取代 IGRP 的，所以 IGRP 也逐漸淡出。但 EIGRP 屬于 Cisco 公司專有的路由協(xié)議，兼容性較差。故建議采用 OSPF 協(xié)議作為設(shè)計(jì)廣域網(wǎng) 的路由協(xié)議。同時(shí)配合國(guó)家數(shù)據(jù)及主控中心、各省及控制中心啟動(dòng) OSPF動(dòng)態(tài)路由協(xié)議，并做好相應(yīng)的路由協(xié)議參數(shù)配置，從而實(shí)現(xiàn)全網(wǎng)統(tǒng)一的大的 OSPF動(dòng)態(tài)路由網(wǎng)絡(luò)。這將最大限度的利用 OSPF 的分區(qū)管理優(yōu)勢(shì)。通過(guò)對(duì) OSPF 的適當(dāng)配置，可以對(duì)省內(nèi)的路由信息進(jìn)行匯總。 OSPF 在路徑的選擇中， metric 主要考慮鏈路的延遲。如果不同的路徑的也 cost不同，那么 OSPF 會(huì)有先啟動(dòng) cost 值?。?cost 值越小，則鏈路的延遲越?。┑哪菞l路徑，如果該路徑失效 ，則 OSPF 會(huì)啟動(dòng) cost 大的其他路徑。 為了保證網(wǎng)絡(luò)上的工作站和服務(wù)器的最大可用性，在核心交換機(jī)上對(duì)不同的VLAN 分別使用 HSRP 熱備份路由協(xié)議，虛擬出一個(gè)缺省網(wǎng)關(guān)，在一臺(tái)核心交換機(jī)失效時(shí)，仍可以保證工作站和服務(wù)器的正常運(yùn)行。 與原有設(shè)備互聯(lián) 利用原來(lái)的網(wǎng)絡(luò)設(shè)備華為 S5000 作為 DMZ 區(qū)交換機(jī)，利用原來(lái)的 Cisco 3550交換機(jī)作為數(shù)據(jù)中心接入交換機(jī)使用。 服務(wù)器整體結(jié)構(gòu) 本科生畢業(yè)設(shè)計(jì)（論文） 25 圖 服務(wù)器功能分配 服務(wù)器的功能主要分為： 表 序號(hào) 項(xiàng)目名稱 服務(wù)器名稱 數(shù)量 備注 1 生產(chǎn)環(huán)境 數(shù)據(jù)庫(kù)服務(wù)器 1 2 生產(chǎn)環(huán)境 應(yīng)用服務(wù)器 1 3 測(cè)試、開發(fā)環(huán)境 測(cè)試、開發(fā)服務(wù)器 1 4 培訓(xùn)環(huán)境 培訓(xùn)服務(wù)器 1 5 管理服務(wù)器 網(wǎng)絡(luò)管理、接入認(rèn)證、日志審計(jì) 3 服務(wù)器選型 服務(wù)器從硬件性能上，可分為：小型機(jī)、 PC 服務(wù)器 。 針對(duì)太重 ERP 軟件，軟件本身對(duì)硬件要求比較高，內(nèi)部并發(fā)用戶量大。 為了保證系統(tǒng)的連續(xù)性、測(cè)試；選用兩臺(tái)低端的小型機(jī)作為測(cè)試、開發(fā)和培訓(xùn)環(huán)境服務(wù)器。 服務(wù)器操作系統(tǒng)的選擇 本科生畢業(yè)設(shè)計(jì)（論文） 26 目前市場(chǎng)主流操作系統(tǒng)軟件包括以下幾類： UNIX（主要有 IBM AIX, HP UNIX, SUN Solaris 等） Linux（主要有 Redhat Linux, Turbo Linux, 紅旗 Linux 等） Windows 根據(jù)應(yīng)用需求，小型機(jī)上采用高可靠性的 UNIX 操作系統(tǒng)。 本科生畢業(yè)設(shè)計(jì)（論文） 27 第 5章 IBM 主機(jī)存儲(chǔ)建設(shè)方案 IBM 服務(wù)器建設(shè)方案 核心數(shù)據(jù)庫(kù) /應(yīng)用服務(wù)器布署在整個(gè)網(wǎng)絡(luò)系統(tǒng)的核心區(qū)域，邏輯上位于整個(gè)應(yīng)用系統(tǒng)的數(shù)據(jù)核心層，可靠問(wèn)題是十分重要的，所以在系統(tǒng)設(shè)計(jì)上，中心主機(jī)采用兩臺(tái)小型機(jī)、共享 SAN 磁盤陣列的架構(gòu)方式，運(yùn)行數(shù)據(jù)庫(kù)應(yīng)用。配置千兆網(wǎng)卡和光纖通道卡實(shí)現(xiàn)與網(wǎng)絡(luò)和存儲(chǔ)區(qū)域網(wǎng)的高速連接。 2 臺(tái) IBM P5 560Q 小型機(jī)和 2 臺(tái) P52A 服務(wù)器接入到存儲(chǔ)區(qū)域網(wǎng)中。 采用光纖磁盤陣列存儲(chǔ)系統(tǒng)，接入 SAN，實(shí)現(xiàn)基于 SAN 的集中存儲(chǔ)。采用 LTO 3582 磁帶庫(kù) 采用 IBM TSM 備份管理軟件，實(shí)現(xiàn)自動(dòng)化備份管理。 為了保證設(shè)備的可靠性，交換機(jī)應(yīng)具有冗余電源風(fēng)扇等組件。 光纖交換機(jī)支持集中的管理。 支持統(tǒng)一界面的集中管理。 本科生畢業(yè)設(shè)計(jì)（論文） 29 軟件組成 為了保證存儲(chǔ)系統(tǒng)的可靠性、可用性，保證 7*24 小時(shí)的業(yè)務(wù)連續(xù)性，需要自動(dòng)備份恢復(fù)。 備份管理軟件設(shè)計(jì) 我們建議集中部署系統(tǒng)管理軟件： 建議搭建一套備份系統(tǒng)