标准局域网组网技术建议书文档格式.docx
《标准局域网组网技术建议书文档格式.docx》由会员分享，可在线阅读，更多相关《标准局域网组网技术建议书文档格式.docx（30页珍藏版）》请在冰点文库上搜索。
3.3.3接入层设计-21-
3.4网络管理设计-26-
3.5网络出口防火墙设计-32-
3.6网络出口入侵抵御系统设计-35-
3.7xxxx内网方案特点-38-
第1章综述
1.1前言
xxxx准备建设一个千兆骨干，百兆到桌面的网络以适应现有及将来业务的需求，并为服饰广场业主提供更好的服务。
本技术建议书将从网络建设的可靠性，安全性等各方面加以阐述
1.2网络的可靠性
高可靠性网络对于某些关键性应用来讲是一项必不可少的特性。
随着多服务统一网络的涌现，支持数据、语音和图像的网络加速了对高可用性网络的需求。
在xxxx中，网络将成为日常办公、管理不可缺少的工具，网络的瘫痪是无法设想的。
多服务网络的高可用性的重要性已被认为是等价于网络互联，QoS，策略管理和目录服务的一个基本因素。
高可用性网络不仅应当解决单个网络设备的可靠性问题，还应考虑整个网络及相应服务的可靠性，因为作为一个网络通信平台来讲，它提供给使用的是一系列从硬件到软件的服务，任何一项得故障，都将会导致网络的不可用，所以高可靠性的网络，应该提供所有关键网络元素的可用性。
在xxxx网络系统的可靠性设计中，应结合多种方法，综合考虑网络设备的可靠性，网络拓扑的可靠性和相应服务可靠性三个方面，做到一个适合需求，节省资金的高可用性方案。
在方案的设计之中，有如下几点建议：
定义和度量有效性
研究一个组织到底需要多高的可靠性，应把可靠性设计和用户详细的预期值进行仔细的对比。
计算每一个网络故障对网络用户的影响范围，在1000人的网络中，影响10人的故障的网络设计肯定要比影响100人的设计要好。
故障管理和诊断
对故障的仔细诊断是提高网络可用性的先决条件，这可以避免相同的故障在网络中再次发生。
设备级硬件可靠性
相应设备的冗余配置，可以避免由于设备故障导致的可靠性降低的情况，设备冗余配置应和受影响的用户群相联系，这意味着在核心层与汇聚层配置冗余设备比在接入层配置更加有效。
网络级的冗余
配置网络冗余可以使得网络在各种硬件和硬件故障发生时继续工作，故障切换使得网络服务不会中断，这种切换对网络用户透明。
1.3网络的安全性
1.3.1网络安全概述
网络安全成为目前必须面对的一个实际问题。
网络上存在着各种类型的攻击方式，包括窃听报文、IP地址欺骗、源路由攻击、端口扫描、拒绝服务攻击应用层攻击等。
另外，网络本身的可靠性与线路安全也是值得关注的问题。
1.3.2对xxxx网络安全的具体建议
网络构建及组成中，网络设备仅完成网络级安全的防范。
针对以上提到的各种安全隐患，安全网络设备必须具有如下的安全特性：
可靠性与线路安全、身份认证、访问控制、信息隐藏、数据加密、攻击探测和防范、安全管理等方面的内容。
针对xxxx网络建设存在以上各种安全隐患，建议采取如下的网络级、应用级和系统级安全措施来保证整网的安全。
身份认证
只有网络管理员才有权访问xxxx的网络设备，所以对访问设备的用户需要进行身份认证。
用户访问路由器存在多种方式：
直接从console口登录进行配置；
telnet登录配置；
通过SNMP进行配置；
通过modem远程配置等等。
对于这些访问方式，都需要输入密码和口令，经过RADIUS服务器或相应的身份认证获得访问设备的权限。
访问控制
为了保护xxxx网络设备的配置，对设备的访问权限需要进行口令的分级保护。
只有持有网络管理员相应口令的特权用户才能对交换机进行配置；
一般用户只有查看普通信息的权力。
数据加密
在xxxx网络建设中，如需要对所传送的重要数据进行加密，可以通过华为3Com公司的路由器进行手工配置或自动协商密钥两种方式建立IPSEC，在传输或隧道模式下能够单独或组合应用AH（AuthenticationHeader，认证报头）和ESP（ExtendedServicesProcessor，扩展业务处理器）安全协议，可以实现对整个IP报文或数据载荷内容进行不同粒度级别的加密和认证，从而提供验证数据源、校验数据完整性和防止报文重放等（ESP还提供加密）功能，结合ACL访问控制列表共同确保数据信息在电子政务网络上传送的安全保密性。
1.4网络厂商选择
1.4.1厂商选择原则
因为每个厂商的网络解决方案均有所不同，所以网络厂商的选择也是一个十分复杂的问题，一旦需求确定，只要设备满足需求，都应该被列为选择对象。
对于xxxx网络系统来说，多个网络设备厂商都可进入选择，国外的如思科公司、北电公司，国内的如华为3Com公司，以及其他一些著名厂商。
这些厂家的产品都符合大多数网络应用的需求，但什么产品才是最符合本系统的需求呢，只有从需求入手来检查各种产品。
这些设备如何选择，应从以下几个方面进行讨论：
1.确定网络需求
应用需求
前述已经分析过xxxx网络系统的应用模型，可知在xxxx网络系统中主要应用为C/S和B/S应用数据，其内容包含范围非常广泛，网络流量不可预知，且在系统中还要预留多媒体数据的扩充能力，应保证其带宽要求和及时可靠传送。
上述可以看出这种要求对网络主干带宽和交换能力有一定需求。
网络设备要求
●交换性能
满足xxxx网络应用系统需求，并提供扩展能力。
●对CoS/QoS支持能力
带宽增加可以在一定程度上缓解提供不同服务保障的要求，但要从根本上解决必须要求网络提供CoS/QoS能力。
首先，网络对多媒体数据有要求，其次，在多种数据共存的网络中如何重要数据优先传送，都要通过网络设备CoS/QoS的保障能力。
●Vlan及第三层交换能力
就系统应用来讲，划分Vlan是必须的。
xxxx网络存在多个相对独立的系统，划分Vlan无论从逻辑上还是性能上将都是十分适合的。
另外，随着系统规模的扩大或出于某些安全考虑，划分Vlan是必须的，而针对日益普遍的Intranet应用第三层交换能力是非常重要的因素。
●设备的可靠性
对于xxxx网络系统可靠性是十分重要的，中心设备自身必须具备相应的可靠性设计，若设备不具备则相应要通过网络结构的设计来弥补。
●设备整体性能
设备第二层/第三层交换能力，丢包率，CoS/QoS能力，访问控制能力，可靠性，配置管理能力，扩展能力等等。
2.厂商规模及产品的延续性
网络厂商的规模在一定程度上反映了公司的实力，大厂商有雄厚的资金实力来投入产品的研制和开发，可以保证产品的延续性。
作为用户，应该考虑到产品在一段时间内的维护和支持，以及今后的扩展。
3.性能价格比
这一点对于用户十分重要，在投资有限的情况下，如何在性能和价格上求得一种平衡是十分重要的。
有限资金必须用在所需要的功能上，俗话说的好“好钢要用在刀刃上”。
4.维修及售后服务
选择一个厂商，必须要了解其在国内的维修及售后服务情况。
对于一个实用系统，维修及售后服务的滞后，必然带来MTTR时间的增加，系统可用性的下降。
针对以上对网络厂商选择依据的叙述，xxxx网络系统设备的选择可能最主要的取决于厂商提供的完善解决方案和产品性能的优劣。
在xxxx网络系统设计中，我们推荐采用国内网络设备厂商华为3Com公司的网络产品和解决方案。
这是因为：
●中国最大的网络设备制造商，实力雄厚，技术领先
●提供从全线路由器到全线交换机的完善产品系列
●提供完善的端到端的数据，语音和视频的三网合一解决方案
●优越的性能价格比，卓越的培训和售后服务
1.4.2华为3Com公司
华为3Com已经成为全球唯一能够提供全线的路由器和以太网交换机以及VoIP产品、视频会议和网络管理产品的两家厂商之一，从产品的提供上能够充分满足组网应用的需求。
从安全性考虑，华为3Com的网络产品包括全系列路由器和以太网交换机在国内多个安全性高的行业已得到规模应用，如：
中共中央组织部、中共中央宣传部、中共中央纪律检查委员会、全国人大常委会、国家财政部部、国家外经贸部、信息产业部、国家工商总局、国家安全信息中心、国家公安部、中国人民银行、深圳工行、深圳农行、广东建行、中国银行总行、和江西政务网等多个行业。
从可靠性考虑，华为3Com公司是国内最大的网络设备供应商，有多年从事网络运营行业的设备组网、实施经验，众所周知，而网络运营商对于可靠性的要求非常的高，要求设备具有99.999%的可靠性，而华为3Com在进行数据通信网络设备的研发、制造都是基于运营级的可靠性要求来进行的。
从市场应用来说，华为3Com公司目前是全球数据通讯领域具有重要影响力的厂商之一，公司持续稳定持续发展，在国内市场占有率位居国产厂商之冠。
其产品经受了网上大量应用的考验，并得到了客户的充分信任。
华为3Com公司系列网络产品均采用了业界先进的技术，具有高的性价比，如：
核心路由交换机9500/7500采用高性能ASIC，采用基于硬件的逐包转发方式，区别于基于流转发的业界的其它交换机，能够有效克服红色代码病毒带来的攻击，每块接口板上支持5k条规则，2k条队列，整机采用全分布式结构，安全可靠转发能力高，同时华为3Com的高端骨干设备均能够提供MPLSVPN，并且在国内已经有了大量的应用。
本次所选择设备满足对设备的技术参数的具体要求，并且许多性能指标如：
包转发率，背板容量等还要优于要求，具有极好的性价比。
华为3Com公司具备良好的服务和技术支持，产品售后服务好，健全的培训体制。
在全国建立了28个办事处，35个用服中心，结合华为3Com在各地的合作伙伴，无处不达和便捷的服务，是华为3Com产品得到用户信任的可靠保障。
同时华为3Com在每个本地网都有办事机构，可以快速响应客户需求。
为了满足不同客户不同层次的培训需求，华为3Com服务公司建立了规范、专业的用户培训体系，将总部培训与分部培训、集中培训与现场培训有机结合。
此外，技术支持网站、流动学校和网上认证系统，也是华为3Com培训的特色之处。
第2章xxxx网络整体设计方案
2.1xxxx网络总体设计原则
网络系统必须严格遵守各种相关的技术原则，遵循各种相关的技术标准和规范。
在设计中，网络系统必须符合下面的原则：
先进性和实用性
计算机技术发展日新月异，设备更新淘汰的周期越来越短。
为了确保系统具有较长的生命周期，保护投资，在系统软硬件配置上，综合考虑了实用化目标、投资、以及国际计算机技术发展的趋势，进行规划。
可持续发展和经济性
计算机网络技术是个发展很快的领域，系统建设必须考虑到系统以后的扩充和变化，因此必须保持系统的可扩展性。
采用成熟、稳定、性能价格比高、扩展能力强的产品，既要避免采用过高的性能配置，造成资源的浪费和投资的紧张，又要防止系统处理能力不足、扩展能力不够而无法适应未来发展的需要。
开放性和可扩展性
考虑到发展的需要，所使用的操作系统、网络通讯协议和接口都应该符合国际标准，符合技术发展的潮流，以保持系统具有较强的互联能力，保持一定的开放性和可扩展性。
可靠性和安全性
系统必须具有很高的可靠性和安全性。
在系统设计中，必须考虑这些因素，建立一个高可靠、高安全的网络系统。
2.2xxxx网络建设目标
xxxx本次网络建设的目标是：
建成一个千兆核心，百兆到桌面的高性能，高可靠，高安全的网络平台，为业务开展提供良好的支撑
第3章xxxx网络设计方案
3.1网络整体规划和建网技术选择
根据xxxx的建网要求，首先对xxxx的建网思路做一整体规划。
网络的整体规划不仅关系到整个网络系统性能的好坏，还涉及到未来整个网络系统如何有效地与网络新技术接轨和网络平滑升级的问题。
对设计者来讲，xxxx网络的规划首先应立足满足于目前的需求，选择适合的有发展前途的网络技术，在3－5年能充分满足xxxx各项业务对数据通信网络的需求，并在5－8年内也能灵活升级保持不落后。
如何来构建xxxx内网的网络系统应考虑如下几个方面：
按照新一代网络来设计xxxx网络系统；
按照模块化、结构化的原则设计，便于扩充和升级；
考虑技术的先进性，但以实用性及技术的成熟性和简易性为主；
在网络建成后，提供全面的服务和应用，充分体现和发挥网络的价值与效益。
3.1.1网络整体规划
网络规划的关键是考察建网采用那种技术是否能够满足用户的需要，并且在一定阶段内是否有扩展能力。
当今，网络技术的选择多种多样，究竟什么技术能满足xxxx网络建设的需求，需要我们认真考虑。
在网络技术的选择中，根据前述用户需求和分析可以得出需要高速网络技术来满足应用的需要，整体规划体现在以下几点：
1.网络规模
此次网络建设数据点为676个左右，在本次网络的设备选择上还要考虑一定的预留空间，包括核心交换机预留一定的端口，接入交换机预留一定的端口
2.应用数据类型
在本次网络建设中，网络主要完成xxxx系统内部数据信息包的承载，但对视频、图像等多媒体信息包也有一定的考虑。
因此需要网络系统在桌面以及核心能够提供足够的网络带宽。
除了对带宽的要求之外，更为重要的是，网络必须提供对多媒体的支持，适应未来的发展，传统的“Best-Effort”网络体系显然不能满足日益增长的多媒体应用的需要。
3.应用发展趋势
现今技术不断变化的情况下，新应用对网络技术和网络带宽增长的推动越来越明显。
1）Intranet网络模式
毫无疑问，与xxxx内网一样，当今在网络中最重要的驱动就是Internet、Intranet和Extranet技术。
这反映在WEB技术爆炸性的增长，正在根本性地改变着传统的操作方式。
此外，还有大量的用户使用传统的应用来满足自己的需求（文件传输，MIS，网络备份等等），制造了稳定增长的网络流量。
其结果导致网络流量成几何状的增长并且导致了网络性质的永久改变。
已发生的一个最重要的变化是不可预知的网络流量模式，Intranet流量、越来越集中服务器群、组播应用的增加等等。
传统的80/20原则已经被丢弃。
浏览器的使用使得用户能够轻松确定和访问外部的任何信息。
流量模式不是决定于物理工作组的配置从而被圈定在一定范围之内，而是受命于哪些外部（内部）服务器有最有价值的页面。
这样，大量的流量穿过主干将会形成一条准则。
2）网络用户要求更高的带宽
网络用户的增长，更多的并发应用，更快的客户计算机以及更快的网络服务器要求局域网段有更高的容量和更快的响应时间。
3）流量模式向着“任意到任意”的通信模式发展
在网络流量模式改变中起作用的因素包括：
基于Web技术的应用，中央化服务器群以及组播技术的采用。
当基于Web的技术在城域中被采用来提高能力和信息共享时，流量模式朝着“任意到任意”方向改变，要求更高的网络层的性能。
中央化的服务器群提供网络管理者以简单的配置，控制和管理。
当服务器被集中后，所有的流量必须穿过主干到达服务器并且返回桌面。
这就要求主干网络层有更高的带宽。
组播应用基于谁需要信息并且加入一个组来产生网络流量。
成员可以来自城域中的任何地点。
当成员加入和离开一个工作组时，改变了多组成员的关系，组的流量将会动态的改变。
这一切都预示着网络主干应该提供更高或更容易扩展的带宽能力。
在xxxx内网中采用高速主干技术，是应用的需要，也是今后应用发展的需要，是必须的。
3.1.2内网建网技术选择
在对先进技术进行选择的同时，建议选择以下满足内网建设的技术：
●千兆级汇聚带宽
网络结构和系统实现必须能够传送千兆级的数据流并且可以扩展来达到Intranet增长的需求。
●网络层的数据转发和路由必须以线速进行
数据在转发的时候交换机的每个端口均能达到线速进行数据处理
●网络应用服务必须以GB级速率进行
网络服务如安全、QoS、冗余链路、统计和策略实现必须以GB速率支持。
每个数据包或数据流被网络层的应用服务分析，这些过程要求分析、决策，并且这些服务应用要以高速、可靠来实现。
●监控和管理GB级系统
GB速率要求新的方法来监控、故障排除和管理。
●平滑和可扩展的迁移
高速主干的建立，要求平滑，稳定和分布的迁移。
所以，在xxxx网核心网络技术的选择上，使用千兆以太网技术有着更大的优势。
根据上述论述，我们认为在xxxx网络核心中采用千兆以太网技术是最符合用户“即满足需求又适度超前”的网络建设原则。
3.2网络层次设计
对于xxxx网络系统，良好的层次设计为网络的可靠性、网络性能和网络的可扩展性都提供了良好的保障。
目前，网络面临的是不断增长的对性能和可扩充性的需要。
除此之外，网络还必须保证提供一些关键特性，例如高可用性、可管理性和灵活性等。
随着各个厂家的新产品和新技术的推出，如何设计网络络和如何满足这些不断增长的需求，已经到了重新审视的时候了。
但是基本的设计原则和在第二层、第三层的交换能力并没有明显改变。
主要变化产生在网络设备和技术的选择范围更大，可以支持更多的网络应用，并且能够提升扩充性及可用性。
新增加的功能特性应包括QoS、多层服务、主干带宽的提升、增加千兆端口的密度、更强的交换能力等。
3.2.1一般的网络设计
xxxx要建设的是提供一个高性能的、具有扩充能力的，能为新兴应用提供基础环境的网络平台。
许多企业和机构的网络管理员已经采用模块化和可扩充的网络体系结构来解决网络络设计的方面的挑战。
多层网络络的设计提供了很多优点。
包括
先进的扩充能力；
容错能力：
部件更换，提供冗余网络服务；
可预测的流量模式：
包括各种条件下（正常工作与故障条件）网络的各种行为。
与设备的冗余能力结合，如热插拔部件，可以提供更大的灵活性和网络增长的潜力。
3.2.2xxxx内网层次划分
从逻辑上，大型网络可分为核心层、分布层和接入层，每层都有其特点。
如下图
核心层
核心层是网络的最高层次，通常应具有如下能力：
●核心设备之间应该具有最高速的链路
●比较粗的QoS控制粒度
●最高的路由前缀
●为网络其他模块提供互联
在局域网中，核心层为各个接入层设备提供互联
接入层
接入层由面向最终用户的设备组成，主要功能如下：
●提供高密度的用户端口
●提供许可控制，包括：
●安全访问控制
●QoS控制
●地址指派
采用扁平式网络的设计方法，必须依赖于利用网络的高弹性和扩充性。
所谓的弹性指的是对故障的容忍度和故障情况下的恢复能力；
所谓扩充性是指根据实际需要，可以在各个不同层次实现升级和扩充，实现对网络可控的、有序的优化。
在这种体系结构内，接入层为终端用户提供10/100M的自适应交换端口，并提供到核心层的千兆上联链路。
并在上行链路采用各种可用的技术，如Trunk,端口汇聚等实现负载均衡和冗余链路，使得一旦上行链路出现故障，可以有快速的恢复能力。
各个部门的终端设备如PC全部通过接入层进入网络系统，并在此建立必要的、有效的网络安全措施。
3.3网络具体设计
在xxxx方案中，核心互连技术选用千兆以太网络技术，所有的帧格式全部选用以太网格式。
根据上述总体设计中的思路，主要设计如下：
●局域网网络主干选用千兆以太网
●局域网网络按二层结构进行设计，包括核心层和接入层
●局域网通过802.1Q实现全网每端口的虚拟网络划分
3.3.1拓扑结构图
3.3.2核心层设计
根据需求，建议核心层采用一台华为3Com的S5012p核心路由交换机作为整个网络的核心.
产品特点：
3.3.3接入层设计
3.4网络管理设计
对于本网络的管理，可选用配套的Quidview网络管理软件对全网设备进行统一管理
Quidview网络管理软件是华为公司对全线数据通信设备进行统一管理和维护的网管产品，位于网络解决方案的管理层，能够实现网元管理、网络管理的功能。
Quidview与华为公司的数据通信设备产品一起为用户提供全网解决方案。
Quidview网络管理软件基于灵活的组件化结构，包括网络管理框架、设备管理系统、网络配置中心、分支网点智能管理系统等，用户可以根据自己的管理需要和网络情况灵活选择自己需要的组件，真正实现“按需建构”。
此外，Quidview网络管理软件能够集成到SNMPc、HPOpenview等一些通用的网管平台，给用户提供整合的统一网管解决方案。
产品特点
Quidview网络管理软件采用组件化结构设计，通过安装不同的业务组件实现了设备管理、VPN监视与部署、软件升级管理、配置文件管理、告警和性能管理等功能。
支持多种操作系统平台，并能够与多种通用网管平台集成，实现从设备级到网络级全方位的网络管理。
网络集中监视
Quidview网络管理软件提供统一拓扑发现功能，实现全网监控，可以实时监控所有设备的运行状况，并根据网络运行环境变化提供合适的方式对网络参数进行配置修改，保证网络以最优性能正常运行。
•全网设备的统一拓扑视图；
•拓扑自动发现，拓扑结构动态刷新；
•可视化操作方式：
拓扑视图节点直接点击进入设备操作面板；
•在网络、设备状态改变时，改变节点颜色，提示用户；
•对网络设备进行定时（轮询间隔时间可配置）的轮循监视和状态刷新并表现在网络视图上；
•支持拓扑过滤，让用户关注所关心的网络设备情况；
•支持快速查找拓扑对象，并在导航树和拓扑视图中定位该拓扑对象；
故障管理
故障管理主要功能是对全网设备的告警信息和运行信息进行实时监控，查询和统计设备的告警信息。
•告警实时监视，提供告警声光提示；
•支持告警转到Email、手机短信；
•支持告警过滤，让用户关注重要的告警，查询结果可生成报表；
•支持告警级别重新定义，支持告警转存，保证系统的运行效率和稳定性；
•支持告警拓扑定位，将显示的焦点定位到产生选定告警的拓扑对象；
•支持告警相关性分析，包括屏蔽重复告警、屏蔽闪断告警等。
性能监控
Quidview网管系统提供丰富的性能管理功能，同时以直观的方式显示给用户。
通过性能任务的配置，可自动获得网络的各种当前性能数据，并支持设置性能的门限，当性能超过门限时，可以以告警的方式通知网管系统。
通过统计不同线路、不同资源的利用情况，为优化或扩充网络提供依据。
管理多厂商设备
Quidview可管理所有支持标准SNMP网管协议的网络设备，为多厂商设备共存的网络提供了统一的管理方式。
•拓扑图自动发现多厂商设备；
•可以对设备进行性能监视，包括接口的流量监视，利用率监视等；
•可以接收设备告警，并进行告警信息显示。
服务器监视管理
服务器是企业IP架构中的重要组成部分，通过Quidview，可实现服务器与设备设备的统
升级会员 