锐捷酒店方案.docx

1、锐捷酒店方案黑鱼湖温泉酒店网络方案2013年5月第一章 引言1.1 概述随着中国经济的飞速发展以及国际地位的日益提升，奥运会、世博会、亚运会等诸多国际性会议和赛事在中国成功举行，中国旅游业和酒店业的发展迎来了新的契机，中国的酒店如雨后春笋般大量涌现。同时，国家政策的积极引导以及国际顶级酒店管理集团不断入驻中国，也使新增酒店的数量持续增加。众多酒店的同时出现，一方面促进了酒店业的发展与繁荣，另一方面也加剧了行业的竞争。在当前的信息化时代，客人对酒店的要求已经不仅仅是温馨舒适的居住环境、周到的人工服务了，他们更需要进行互动的娱乐和综合信息服务，如上网冲浪、在线游戏、影视点播、旅游信息、在线购物、风

2、土人情介绍等。而且客人经常在酒店举行商务活动，如举行会议、商务洽谈、商务联谊，需要酒店能够为商务活动提供便利的办公条件和通信条件，作为为各行业人士提供住宿服务的酒店宾馆，为宾客提供上网宽带已经是不可或缺的基础服务之一。面临日趋激烈的市场竞争和不断攀升的客户期望，酒店经营者必须不断扩大销售机会、改进服务质量、提升客户满意度，以增强酒店的核心竞争力。酒店是一个以服务为本的行业，需要依靠提升客人对各项服务的满意度来促进酒店的入住率和经营效益的改善。 在信息技术和网络应用高度发展的今天，信息化凭借其在提高效率、整合资源、降低成本、创新服务、运营管理等方面的优势，成为酒店行业未来的发展趋势，更成为中国酒

3、店业提高管理水平、获得新竞争优势的重要途径。 另外，酒店网络建设也有一定的特殊要求：1. 管理I. 带宽管理：P2P技术的普及使得在线看电影、下载东西占用大量带宽，如果没有合理的带宽管理机制的话，将会造成网络带宽分配不均匀，客户感觉上网速度慢。II. 办公、客房区管理：酒店的信息点的布置一般分为办公以及客房两大模块，办公的网络一般建议采取设置固定IP地址，这样方便根据实际的网络使用需求，配置相应的防火墙规则（如：屏蔽某些网站、软件、上网时间管制等），而客房内的网络，一般建议采取DHCP自动获取，这样可以大大方便客人使用网络。2. 安全I. 客户信息保密机制：客房内的信息点应该禁止局域网互访，防

4、止客人的电脑接入局域网后被局域网内其他的电脑入侵或者访问到其共享资源；II. 局域网安全防范机制：由于客房内的信息点终端流动性比较大，带来通过局域网传播的病毒的可能性也大大增加，因此应该建立一个完善的局域网安全机制，能够有效地防止DOS蠕虫攻击、ARP病毒攻击等常见的局域网网络攻击。3. 响应公安部的82号令，实现实时监控酒店客房上网情况。1.2 黑鱼湖温泉酒店特点 黑鱼湖温泉（酒店）是一家集吃、行、游、娱于一体的X星级商务型酒店，位于XX市XX路xx号。 XX酒店是XX省委省政府授予的 “文明单位”；是中央国家机关、省党政机关工作人员出差和会议招标定点接待单位。 黑鱼湖温泉（酒店）具体需求如

5、下： 整个酒店网络系统分成4个独立的网络，即酒店客房网、酒店办公网、酒店管理网、设备控制网。 网络出口路由器提供高性能转发，满足电信10M-100M光纤上网转发需要。同时能有效防止外网攻击和内网ARP病毒、DDOS攻击等，避免网络阻塞或瘫痪，保证网络安全稳定运行。 网络出口路由器具备日志功能，便于配合公安机关进行反向查询和定位安全事件。 客房网要满足10/100M高速接入网络，满足上网冲浪。流量控制到每台上网电脑，有效遏制网内P2P及BT的泛滥，有效防止网络资源的滥用、乱用，从而保证客人上网体验，提升酒店形象。 酒店办公区，作为酒店网络非常重要的区域，要求保证每一个接入点的安全接入，防止电脑中

6、毒或木马软件攻击系统，发送大量的垃圾数据，确保系统不因攻击或流量异常而瘫痪。第二章 黑鱼湖温泉酒店网络建设方案 根据黑鱼湖温泉酒店目前的接入点数量及应用系统的分布情况，按照安全区域划分的设计思想，各个区域物理隔离的技术手段，综合高性价比考虑，特设计如下方案。2.1全网拓扑设计黑鱼湖温泉酒店网络拓扑图：2.2方案说明设计总体采用“千兆主干，百兆到桌面”的设计思路。保证整个系统的高性能、高安全性、高可靠性和高稳定性。1) 客房网和办公网的出口路由器采用RG-EG1000S，通过RG-EG1000S进行防火墙报文过滤、攻击检测。此外非法URL过滤、公安要求的上网日志均可在RG-EG1000S中实现。

7、酒店的10M-100M光纤带宽可以通过RG-E1000S进行精确的流量控制，RG-EG1000S能够准确识别包括P2P应用、IM、炒股软件、流媒体、企业办公、网络游戏等在内的总共600多种协议，重要应用的网络带宽进行重点保证，提升酒店光纤的使用效率，也提升酒店员工和入住客人上网的满意度。2) 核心交换机部署锐捷RG-S5750-24GT/8SFP-E多层安全智能网管交换机（简称RG-S5750S），RG-S5750通过5类线/6类线与各楼层交换机相连。通过在RG-S5750上划分VLAN，隔离各个楼层交换机，保证高速、安全的需要。RG-S5750高达240Gbps 的背板带宽，66Mbps的包

8、转发率，完全满足酒店客房网和办公网的需要。3) 接入层采用锐捷RG-S2600-E/P系列。RG-S2600-E/P系列交换机包括RG-S2628G-E、RG-S2652G-E、RG-S2628G-P三款，可为各种类型网络接入提供完善的端到端服务质量保证（QoS）、灵活丰富的安全策略和基于策略的网络管理，是校园网、政务网、企业网等应用的理想接入设备，为用户提供高速、高效、安全、智能的全新接入方案。4) 无线AP层采用锐捷RG-AP110-W，RG-AP110-W是锐捷网络专门为酒店、办公室和小区楼房无线网络推出的新一代基于802.11n协议的迷你型胖瘦一体化的无线接入点（AP）。 RG-AP1

9、10-W的尺寸符合标准的86开关面板盒规格，而且还集成了以太网口和IP电话接口，整机设计简洁美观、部署便捷，可以在不破坏墙面装修的情况下安装在接线盒上，是酒店等环境无线网络建设的最佳选择。第三章 产品介绍3.1 EasyGate易网关产品介绍产品图片产品概述随着网络的发展，互联网应用已经渗透到社会生活的每一个角落，成为人们学习、工作、生活不可或缺的工具，成为企业运营的基础平台。互联网的开放性、交互性、延伸性为人们快速获取知识、即时沟通以及跨地域交流提供了极大的便利；与此同时，互联网的便利性与虚拟性也成为各种不和谐行为滋生的温床，诽谤中伤、网络恶搞、人肉搜索、工作时间“偷菜”、BT下载、色情网站

10、等问题，就像打开了潘多拉盒子，越来越对国家安定、社会和谐、企业效率、青少年成长等提出了严峻的挑战。EasyGate易网关（以下简称EG）是锐捷网络公司推出的一款解决当下网络出口难题的多业务综合网关产品。作为锐捷网络完全自主研发的综合网关，EG产品集成先进的软硬件体系构架，配以先进的DPI深入分析引擎、行为分析/管理引擎，能够在保证网络出口高效转发的基础上，提供专业的流控功能、出色的URL过滤以及本地化的日志存储/审计服务。此外，EG的多业务特性还体现在对WEB认证、SSL VPN等功能的支持上。EG易网关的高性能和七层多业务特性，将大大简化中小规模网络出口的部署难题。我们不再需要考虑应该使用防

11、火墙、流量控制设备还是路由器，亦或者产品的相互结合。EG易网关一台设备满足出口部署的必须要求。产品特性高性能硬件平台采用MIPS多核处理器架构，多线程转发，保证多业务高性能。内置电信级宽频开关电源，具有防雷、防过压、防浪涌设计，适应电压不稳定场合。通过内置硬件Bypass，关键装置冗余，提高设备可靠性，保证设备掉电、重启等异常情况下转发不中断。业内领先的精准流控采用独家的三重流控引擎技术，能精准的识别P2P应用软件、网络游戏、即时通讯软件、炒股软件、流媒体、企业办公、网银等30几大类、1500多种应用特征，并实现基于用户IP、用户名、用户组、时间、协议和应用等参数进行灵活的限流、阻断与允许功能

12、。既能够优化带宽管理，防止P2P应用滥用带宽，保障关键业务使用流畅，又能管理网络应用，提高员工工作效率。智能的多出口选路针对目前多线路、多出口的网络存在的各种问题，锐捷制定了一套完善的智能选路方案，设备可根据IP、端口、时间、应用、运营商地址库等多种参考因素，智能的识别、判断，做出正确合理的选路。同时提供了链路负载保护和多链路负载均衡的功能机制，帮助客户解决多线路带宽利用率不佳、跨运营商访问网页速度慢等多个难题，让客户享受优质的上网体验。URL过滤净化上网环境基于锐捷自主研发的URL数据库，RG-EG系列能够识别41个类别，1300多万条URL地址，已经达到业界网页行为管理的领先水平。URL系

13、统全天候获取URL信息，定期自动更新URL库，确保设备URL过滤的实效性和准确性。防止用户浏览恶意或未授权网站，净化上网环境，保障内网安全。深层次日志、内容审计日志对于网络安全的分析和设备的安全管理非常重要，尤其在配合公安机关进行反向查询和定位安全事件的时候。RG-EG系列针对经过出口的数据流、设备和网络攻击进行相关日志信息的记录。为用户事后分析、审计提供重要信息（日志支持远程Web查看和检索）。同时，RG-EG系列还支持邮件、IM聊天软件、BBS论坛、搜索引擎的内容审计，防范网络泄密及网络违法行为的发生。丰富的安全特性具有强大的防火墙功能，支持快速包过滤、报文过滤、状态检测，根据安全策略对数

14、据流进行检查，让合法的流量通过，将非法的流量阻止，从而达到访问控制的目的。支持防攻击、防扫描，同时可记录攻击主机的地址信息，定位攻击源。RG-EG系列可防御目前几乎所有类型的攻击。硬件过滤攻击报文，不占用CPU资源。联动配置交换机支持与锐捷交换机智能联动，可在RG-EG系列的Web页面上直接对联动交换机进行简单配置，不需要输入命令行，简化操作。Web认证+页面推送支持本地Web认证，方便用户进行管理。Web认证页面自动适配移动终端，提供最适合终端尺寸的页面供用户登陆，免去多次拖动、放大屏幕、切换键盘的复杂操作。且可以实现在客户上网认证时推送广告、通知等信息。高性能、可视化VPN支持多种类型的V

15、PN，满足总分型企业VPN组网需求。VPN性能高且配置简单，无需配置晦涩难懂的命令，非专业人员也可以轻松掌握。RG-EG系列业内独家实现对VPN隧道内的流量进行识别，基于此功能又可以实现对VPN隧道内业务数据进行带宽保障，建立起可信赖的VPN办公网络。技术参数技术参数参数描述产品型号RG-EG1000CRG-EG1000SRG-EG1000MRG-EG1000ECPU处理器MIPS多核处理器在线用户规模150用户300用户500用户1000用户以上固化电口7GE6GE8GE8GE固化光口2GE1GE4GE4GE管理口1GE1GE1GE1GE内存（DDRII）512M2G4G4G内置硬盘无320

16、G企业级硬盘USB接口固化1个USB2.0接口SD卡接口无1个SD卡接口扩展槽无无1个扩展槽（支持3G上网卡、802.11n无线AP、1口万兆卡扩展、2GE/4GE扩展卡）硬件BYPASSN/A支持电口/光口BYPASS部署方式路由模式/桥接模式/旁路模式/窥探模式指示灯每端口：Link/Active状态指示（连接/工作）每设备：Power、系统状态（饱和/繁忙/正常/空闲）、USB/SD状态、硬盘指示灯网络协议 支持TCP/IP 协议簇，实现了IP、ICMP、IGMP、TCP和UDP等协议 支持多种路由协议：静态路由、RIP(V1/V2)、OSPF 支持DHCP Relay 、DHCP Se

17、rver 支持PPPoE 支持NAT，支持多种NAT ALG，包括FTP、H.323、DNS等 支持Ping、Tracert故障检测 支持QoS（PQ、CQ、FIFO、WFQ、CBWFQ等）管理协议中文WEB配置管理和监控支持SNMPv1/v2CLI(Telnet/Console)TFTP升级和配置文件管理支持异步文件传输协议X-MODEM 升级方式 网络安全 彻底ARP 防攻击 防机器狗病毒 防内网攻击/外网攻击 支持安全地址绑定 防止WAN 口Ping 防端口扫描攻击 防止分片报文攻击 防止ICMP flood攻击 防止TearDrop攻击 防止Ping of Death 防止Land 攻

18、击 防止Smurf/Fraggled攻击 防止Syn Flood应用识别 支持自主研发的17类/600种应用；可自定义协议识别； P2P应用：包括Bittorrent、电驴、迅雷、EDONKEY、XX下吧、天网MAZE、超级旋风、KUGOO、VAGAA、FLashGet、等几十种常用P2P应用 流媒体软件：包括QQlive、PPSTREAM、PPLIVE、飞速土豆、酷我、新浪直播等几十种常用的流媒体软件 聊天软件：包括MSN、QQ、YAHOO、阿里旺旺、新浪UC等十多种聊天软件 常用的游戏软件：包括联众游戏、QQ堂、QQ游戏、浩方对战平台、地下城与勇士 、穿越火线、魔兽世界、传奇、大话西游等

19、企业内部典型应用：包括HTTP、FPT、SMTP、POP3、IMAP、Telnet、LOTUS-NOTES、SQL Server、Oracle、Mysql、HTTPS等流量控制 基于应用/用户/时段的流量控制； 基于应用/用户/时段的阻断URL过滤URL日志 支持41类/600万个URL规则库； 支持自定义URL； 支持远程HTPP自动升级URL库； 本地化日志存储（NAT日志、流日志、URL日志等）内容审计 支持邮件内容审计：邮件客户端方式，如foxmail、outlook等；webmail方式，如新浪、163、雅虎等； 支持聊天内容审计：QQ、MSN等； 支持BBS论坛内容审计：天涯社区、

20、猫扑、动网官方网站、PHPWIN官方网站等 支持加密内容审计、UDP内容审计；其他特性 支持WEB认证 支持IPSec VPN、SSL VPN 支持智能DNS 支持多链路负载均衡 支持HTTP在线远程升级特征库、主机软件版本等规格1U2U输入电压AC: 100240V 5060Hz3.2 RG-S6000系列安全智能万兆多层交换机产品图片产品概述RG-S6000系列交换机是锐捷网络推出的全千兆数据中心接入交换机。提供丰富的接口形态和扩展方式，最高支持48个千兆端口与8个万兆端口,让您更加方便和灵活的组建数据中心接入网络。RG-S6000系列交换机通过业界最先进的虚拟化技术可以大幅提高网络设备的

21、可靠性，最大程度上简化部署和运维。同时，丰富的云计算数据中心特性，使RG-S6000系列交换机充分满足各类虚拟化服务器的接入需求。RG-S6000系列交换机提供二到七层的智能的业务流分类、完善的服务质量（QoS）保证和组播应用管理特性。在提供高性能、多智能的同时，其内在的安全防御机制和用户接入管理能力，更可有效防止和控制病毒传播和网络攻击，控制非法用户接入网络，保证合法用户合理地使用网络资源，并可以根据网络实际使用环境，实施灵活多样的安全控制策略，充分保障了网络安全、网络合理化使用和运营。RG-S6000系列交换机以极高的性价比为大型网络汇聚、中型网络核心、数据中心服务器接入提供了高性能、完善

22、的端到端的服务质量、灵活丰富的安全设置和基于策略的网管，最大化满足高速、安全、智能的企业网需求。适用场合: 大型网络的汇聚层、中小型网络的核心、服务器群的接入、大型企业或园区办公楼栋的全千兆三层接入 通过简单地增加万兆模块即可以平滑地升级为万兆上链骨干网，保护用户投资 需要能灵活多样的千兆端口形式和千兆端口数的场合，提供高性能数据处理 需要高性能的多层交换解决方案 丰富的安全管理机制，提供网络安全防御、高安全接入控制和有效网络访问控制 完善的管理策略应用，帮助管理带宽、保证语音、组播音视频服务及视频点播等关键任务的应用产品特性构建无阻塞数据中心网络RG-S6000系列面向下一代数据中心与云计算

23、交换机均为线速产品，最大支持48个千兆接口和8个万兆接口，所有端口均可全线速转发，符合数据中心流量“东西走向”的发展趋势，适用于大流量的下一代数据中心无阻塞组网需求。数据中心虚拟化特性支持VSU（Virtual Switch Unit）虚拟交换单元技术，将多台物理设备虚拟化为一台逻辑设备，统一运行管理，减少网络节点，增加网络可靠性。可实现50200ms链路故障快速切换，保障关键业务不中断传输。支持跨设备链路聚合，方便接入服务器/交换机实现双活链路上联。支持VRF虚拟化特性，实现数据中心网络一变多，保障多业务安全隔离。支持VEPA（虚拟以太网端口聚合，IEEE标准），能够将虚拟机产生的数据流牵引

24、到物理网络设备上进行“硬交换”，让虚拟机交换功能重新回归到网络设备，既解决了虚拟机流量监管、访问控制策略统一部署等问题，又消除传统“软交换”对服务器资源的占用，使下一代数据中心网络解决方案更好适应虚拟化计算环境。支持虚拟机感知及安全策略自动迁移，有效实现大规模服务器虚拟化应用环境中虚拟机流量的安全控制策略统一部署，并通过数据中心网络管理平台配合数据中心交换机、虚拟机管理控制平台，实现虚拟主机全网范围内自由迁移时对应安全控制策略的同步迁移，消除服务器虚拟化环境中网络安全漏洞，减少网络维护工作量。电信级可靠性保护RG-S6000系列支持双电源冗余，使用模块化电源供电，电源及接口板均支持热插拔，并采

25、用过流保护、过压保护和过热保护技术，具备设备级可靠性保障。除了设备级可靠性以外，该系列还支持丰富的链路可靠性技术，比如锐捷网络独有的RERP快速环网保护机制，REUP链路快速切换机制、RLDP快速链路故障检测机制，以及VRRP虚拟路由器冗余协议、STP/RSTP/MSTP生成树协议、GR完美重启、BFD快速转发检测等国际通用标准。当网络上承载多业务、大流量的时候也不影响网络的收敛时间，保证业务的正常开展。IPv4/IPv6双栈协议多层交换硬件支持IPv4/IPv6双协议栈多层线速交换，硬件区分和处理IPv4、IPv6协议报文，支持多种Tunnel隧道技术（如手工配置隧道和 ISATAP隧道等等

26、），可根据IPv6网络的需求规划和网络现状，提供灵活的IPv6网络间通信方案。支持丰富的IPv4路由协议，包括静态路由、RIP、OSPF、BGP4等，满足不同网络环境中用户选择合适的路由协议灵活组建网络。支持丰富的IPv6路由协议，包括静态路由、RIPng、OSPFv3、BGP4+等，不论是在升级现有网络至IPv6网络，还是新建IPv6网络，都可灵活选择合适的路由协议组建网络。灵活完备的安全策略支持多种内在保护机制，可以有效防范和控制病毒传播和黑客攻击，如预防DoS攻击、防黑客IP扫描机制、端口ARP报文的合法性检查、多种硬件ACL策略等，还网络一片绿色。支持基于硬件的IPv6 ACL，即使在

27、IPv4网络内有IPv6用户，也可轻松在网络边缘实现对IPv6用户的访问控制，既可允许网络内IPv4/IPv6用户并存，也可以对IPv6用户的访问权限进行控制，比如限制对网络敏感资源的访问等。业界领先的硬件CPU保护机制：特有的CPU保护策略（CPP技术），对发往CPU的数据流，进行流区分和优先级队列分级处理，并根据需要实施带宽限速，充分保护CPU不被非法流量占用、恶意攻击和资源消耗，保障了CPU安全，充分保护了交换机的安全。硬件实现端口或交换机整机与用户IP地址和MAC地址的灵活绑定，严格限定端口上的用户接入或交换机整机上的用户接入问题。支持DHCP snooping，可只允许信任端口的DH

28、CP响应，防止私设DHCP Server的欺骗；并在DHCP监听的基础上，通过动态监测ARP和检查用户的IP，直接丢弃不符合绑定表项的非法报文，有效防范ARP欺骗和用户源IP地址的欺骗问题。基于源IP地址控制的Telnet访问控制，避免非法人员和黑客恶意攻击和控制设备，增强了设备网管的安全性。SSH（Secure Shell）和SNMPv3可以通过在Telnet和SNMP进程中加密管理信息，保证管理设备信息的安全性，防止黑客攻击和控制设备。控制非法用户使用网络，保证合法用户合理化使用网络，如多元素绑定、端口安全、时间ACL、基于数据流的带宽限速等，满足企业网、校园网加强对访问者进行控制、限制非

29、授权用户通信的需求。完善的管理性支持丰富的管理接口，例如Console、带外网口，支持SNMPv1/v2/v3，支持通用网管平台以及BMC等业务管理软件。支持CLI命令行，Web网管，TELNET，集群管理，使设备管理更方便，并且支持SSH2.0、SSL等加密方式，使得管理更加安全。支持SPAN/RSPAN镜像和多个镜像观察端口，可以对网络流量进行分析以采取相应管理维护措施，使原本不可见的网络业务应用流量变得一目了然，可以为用户提供多种网流分析报表，帮助用户及时优化网络结构，调整资源部署。技术参数技术参数产品型号RG-S6000-24GT/8SFPRG-S6000-48GT/4SFP固定端口2

30、4端口10/100/1000M自适应端口，8个复用的SFP接口，2个扩展槽48端口10/100/1000M自适应端口，4个复用的SFP接口，2个扩展槽可用模块Mini-GBIC-SX：单口1000BASE-SX mini GBIC转换模块（LC接口）；Mini-GBIC-LX：单口1000BASE-LX mini GBIC转换模块（LC接口），10Km，1310nm；Mini-GBIC-LH40：单口1000BASE-LH mini GBIC转换模块（LC接口），40Km，1310nm；Mini-GBIC-ZX50：单口1000BASE-ZX mini GBIC转换模块（LC接口），50km，

31、1550nm；Mini-GBIC-ZX80：单口1000BASE-ZX mini GBIC转换模块（LC接口），80km，1550nm；1端口XENPAK接口万兆转接板1端口XFP接口万兆转接万兆堆叠模块万兆光纤接口模块（300米），配合M5700-01XENPAK转接板使用万兆光纤LR接口模块（10公里），配合M5700-01XENPAK转接板使用万兆光纤ER接口模块（40公里），配合M5700-01XENPAK转接板使用万兆光纤SR接口模块（300米），配合M5700-01XFP转接板使用万兆光纤LR接口模块（10公里），配合M5700-01XFP转接板使用万兆光纤ER接口模块（40公里），配合M5700-01XFP转接板使用背板容量376Gbps包转发速率L2：线速（185Mpps）L3：线速（185Mpps）L2：线速（221Mpps）L3：线速（221Mpps）VLAN