网络中心深化设计方案3.24Word下载.doc
《网络中心深化设计方案3.24Word下载.doc》由会员分享，可在线阅读，更多相关《网络中心深化设计方案3.24Word下载.doc（20页珍藏版）》请在冰点文库上搜索。
2.3 原有设备的利旧 10
2.4 原有网络的割接 12
2.5 IP地址规划深化设计 13
2.5.1 IP深化设计 13
2.5.2 路由规划 14
2.6 时间同步设备的实施 14
2.6.1 交换设备以及计算机系统时间同步 14
2.6.2 时间同步方案示意图 15
3. 安全系统深化设计方案 15
3.1 安全系统需求分析 15
3.2 防火墙系统深化设计 17
3.3 网络入侵检测系统深化设计 18
3.4 网络漏洞扫描系统深化设计 18
3.5 网络防病毒系统深化设计 19
3.6 朝阳区教育信息网网络安全拓扑图 19
一.网络中心深化设计
1.业务网应用需求分析
根据朝阳区教育“校校通”工程建设的总体规划，建成后的朝阳区教育信息网是一个覆盖全区所有教育单位的，能够实现全区资源共享、互连互通的网络，该网络的基础是一个利用光纤搭建的基于SDH技术的多业务传送平台（MSTP），我们将其称之为底层传送网或者简称为传送网。
而业务网是承载于传送网基础之上的数据网络，因此业务网的建设与传送网的业务走向和网络结构有密切的关系。
在传送网的建设规划中，以教委信息中心为全部网络的业务发起和终结主节点，传送网的骨干层有五个核心节点，利用10G带宽的链路构建核心主干网络，全部的业务在教委信息中心落地。
所以在业务网的建设中网络中心就设置在教委的信息中心，这样教委的信息中心便要承担整个朝阳教育信息网的数据分析、业务处理和安全防护的重担。
兼具传送网的骨干层核心节点和业务网网络中心为一身的教委信息中心注定成为本次业务网建设中的重中之重。
1.1业务流量需求分析
我们根据以往校园网建设经验，并结合本工程的具体需求首先对朝阳教育信息网业务网的流量需求作如下分析。
朝阳教育信息网业务流量主要分为两个方面：
一方面为网络内部的FTP服务、VOD视频点播、视频会议、资源库调用、远程教学、内部监控、内部公文传递等业务应用，这是相对主要的业务流量。
另一方面，Internet互联网出口的浏览查询应用，与市教育信息网内网和区信息平台的公文传递、资源调用等应用，这是相对次要的业务流量。
1.1.1外网流量需求分析
针对上述需求，我们首先分析处于次要地位的互联网浏览、上传下载数据以及电子邮件等业务的流量。
建设Internet出口目的是为网络用户提供必要的互联网浏览和查询功能，出现大容量的数据上传、下载的机会相对较少，因此根据以往的经验，通过200M带宽的链路连接Internet就可以满足需要。
朝阳教委与区政府的公共信息平台之间的流量主要是些日常的公文传递，不会占用大量的带宽，所以在区公共信息平台出口上的流量也不会太大，而与市教育信息网内网的数据流量主要是些资源的调用，这部分流量的带宽由市教育信息网统一安排。
1.1.2内网流量需求分析
目前朝阳区教育信息网上的应用大致分为：
网站发布、社会教育、学校及学生家长沟通、FTP服务、系统内部的电子邮件、教育管理信息库CMIS、网络视频会议、网络视频教学系统、IP电话应用（VOIP）、视频点播、资源库调用等，我们对以上流量进行分析，将这些流量按照学校通过教委网络中心的流量、学校之间直接流量来分类。
现有的应用中，以一个标准学校为例，将每个应用的流量走向情况分析如下：
现有应用
通过教委的流量
学校之间流量
网站发布/社会教育
流量大
流量较小
教委FTP服务
无
系统内部的电子邮件
学校的FTP服务
教育管理信息库CMIS
网络视频会议系统
分校与主校之间交流
流量较大
视频点播系统
IP电话系统
学校的资源库应用系统
教委的资源库应用系统
从上表分析，我们可以看出在朝阳区教育信息网中，对于目前网络而言，大部分的数据流量都是由学校到教委之间的流量，学校与学校之间的流量相对较少，然而随着网络规模的扩大，各种应用的深入。
学校与学校之间的业务流量将近一步增大，所以在业务网络的设计中在考虑网络中心设备的硬件性能和可靠性的同时必须兼顾今后网络的可扩展性需求。
2.业务网的深化设计
2.1网络设计方案概述
根据以上对业务需求的分析，我们提出将业务网（IP网）的结构进行简化，即以教委信息中心作为业务网的核心网络、其余接入单位统一划入接入网络的网络结构。
采取这样的网络拓扑结构主要基于如下考虑，
现有的朝阳区教育系统的主要业务流向和应用情况；
传送平台（mstp）将所有的业务全在教委信息中心落地这一实际情况。
这样一来所有接入学校通过底层传送网把数据汇聚到教委信息中心的核心交换机上，减少了各学校数据的传输环节，提高了传输效率和交换时间。
教委信息中心核心网络根据功能不同分为两个部分，一部分设备用来汇聚所有接入学校的数据，负责完成各学校之间的互联，以及对网络中心的访问。
实现高效的数据交换及路由分发，提供流量控制和用户管理等多项功能，同时有效的隔离了学校内部的网络风暴。
建议采用两台华为S8512高性能路由交换机，充分利用其高性能的二层和三层转发能力，来满足全网对高可靠性和高性能的要求。
另一部分设备负责信息中心各功能区块的相互连通，提供各接入学校到数据中心的访问，以及与外网之间的接口。
建议采用利旧的两台Cisco6506交换机，并对其进行必要的升级。
两部分核心设备之间采用双千兆链路交叉相连，以充足的带宽实现核心交换设备之间的数据交换。
两部分核心设备各司其责，分别承担了接入学校的数据汇聚和网络中心核心交换的工作，减少了网络单点故障，提高了网络整体可靠性，这种网络结构有利于对网络设备按照不同层次、不同权限以及不同的功能来进行管理与配置。
接入层就是指具体的接入学校，接入学校的交换机可根据校园网建设的实际情况绝大部分为三层交换机极少部分为二层交换机，对于有三层交换机的学校可以根据学校的应用情况启动三层路由功能，将网络风暴控制在学校内部，而通过静态路由的方式访问核心层，对于拥有二层交换机的学校，据我们调研学校并不多，可考虑更换三层设备作为接入交换机，或者每个学校作为一个VLAN通过默认网关访问核心层。
网络拓扑图如下：
2.2网络中心设计方案
网络中心的建设，分为出口网络、核心网络。
其中核心网络又包括：
主核心交换区块、关键应用服务器网络区块、大流量数据应用服务器区块、网管网络区块等。
2.2.1出口网络设计
出口网络：
根据用户需求，朝阳区教育信息网的出口设计为两部分，一部分指的是上连到北京市教育信息网（内网）和通过北京教育信息网上连到国际互联网（Internet），另一部分是指连接到朝阳区政府公用信息平台。
即朝阳区教育信息网有三个出口，分别为：
1、北京市教育信息网（内网）
2、通过北京教育信息网上连到国际互联网（Internet）
3、朝阳区政府公用信息平台
主要出口为北京市教育信息网（内网）和Internet，辅助和备份出口为朝阳区政府公用信息平台出口（即连接到朝阳区信息办的链路）。
三个出口均连接到出口网络中的利旧设备Cisco4003交换机上（网络割接之前可用性能相近交换机替代）。
具体出口连接建议说明如下：
一、北京市教育信息网出口（内网，Internet）
1、朝阳区教育信息网到北京市教育信息网的出口为两条千兆物理链路，市教委会放置两台设备在朝阳信息中心：
Cisco7609Sup720＋CiscoCatalyst4506SupV。
朝阳上连的设备为Cisco7609Sup720，具体端口1000Base-SX和1000Base-T都可以，有2个。
2、建议到北京市教育信息网内网的流量和Internet出口流量的线路分开连接，即：
一个端口为北京市教育信息网（内网）端口，另一个端口为Internet出口端口，Internet流量的质量根据朝阳教育信息网的需求，由市教委统一的带宽管理设备进行管理，从而保证朝阳区的Internet带宽需求。
这样一来对于朝阳教育信息网来说可以很好的区分到北京市教育信息网内网的流量和Internet（其他外网）的流量，从而更加便于对业务流量的分类和监管。
3、由于朝阳教育信息网所用的IP地址为市教育信息网分配的合法IP，所以朝阳教育信息网到北京市教育信息网（内网，Internet）的两条千兆链路不需要进行NAT。
但为保证朝阳教育信息网内部安全，建议在到北京市教育信息网（内网，Internet）的两条千兆出口链路上分别放置两台QuidwaySecpath1000F千兆防火墙，对朝阳教育信息网内网进行保护。
二、朝阳区政府公用信息平台
从朝阳信息中心的传输网设备OpCity8930上下业务，即传输网设备与出口交换机Cisco4003相连，为了安全保证，在传输设备与Cisco4003之间放置专用NAT（MA5200）设备及千兆防火墙。
2.2.2核心网络设计
核心网络包括：
核心交换区块、关键服务器区块、网管网络、大流量服务器区块等等。
核心交换区块分为两部分，一部分是面向接入学校的核心交换设备，由两台核心交换机S8512组成，两台核心交换机之间通过link-aggregation（端口聚合）技术绑定两条10G链路，从而构建了万兆带宽网络核心交换平台。
两台核心交换机分别以10条千兆链路与底层传送网设备OPCITY8930的业务网千兆接口相连，负责所有接入学校的数据交换和路由转发工作，为了保障接入学校访问大流量服务器的链路畅通，将大流量服务器直接与两台S8512相连。
同时为了保证这两台核心设备的安全可靠运行，我们将主要的路由交换板卡、电源模块均采用冗余备份的方式配置，以提高设备的可靠性。
接入学校的业务流量经由底层传送网汇聚成20条GE链路，分别连接到两台8512上。
华为S8512是一款高端的交换设备，交换容量720G，三层路由转发能力为428Mpps，支持vlan4K个，acl条目数4k条，在性能上可以满足实际需求。
另一部分是面向信息中心内部的核心交换设备，建议由两台利旧的Cisco6506组成，负责连接内网各功能区块以及与外部网络的连通，如网管网络、关键应用服务器区、内部办公网络和出口网络。
两台Cisco6506之间利用Chunnel（通道）技术绑定4条千兆链路连接，互为冗余备份。
每台Cisco6506通过双千兆绑定链路与另外两台核心交换机S8512交叉连接，四台核心交换机之间组成总带宽为8G的交换链路，以保障接入学校访问关键应用服务器区和外部网络有充足的带宽资源。
根据上述对设备的应用方式和性能需求分析，目前两台利旧设备Cisco6506采用的低速引擎已不能满足需要，建议对两台Cisco6506进行必要的升级。
关键应用服务器区块：
主要由SAN网络存储系统、备份系统和服务器集群系统组成，由利旧的原Cisco6509交换机充当该区块的主交换机，关键应用服务器区块通过本区块的主交换机利用两条千兆链路上连两台面向内网的核心交换Cisco6506，以起到链路冗余备份和负载分担的功能，提高网络的可靠性。
该区块的功能和配置将在服务器存储设备的实施章节有详细描述。
网管网络区块主要负责整个网络的管理和监护，它采用带外管理与带内管理混合的模式，通常带内管理组网比较简单、灵活，但却要占用承载业务流量的带宽。
带外管理不占用承载业务的带宽，网管网络和其他网络设备之间独立成网，该区块的主交换机由教委现有的CISCO4006担当，而主要网管软件采用华为3COM的iManagerQuidview网管系统进行网络管理，对于网络中心的其他网管子系统如：
传输设备管理、网络设备管理、时间同步网管理、入侵检测子系统、网络防病毒子系统、漏洞扫描子系统、时间同步子系统等，分别采用其各自的管理软件进行全网相应的管理。
非华为公司的设备如CISCO6509等设备可由CISCO自带的NETWORKS网管软件管理，对于整个业务网的状态监控、流量分析可采用一些不区分设备类型的基础网管软件，如Sniffer等来监控。
网管系统中的网络设备管理子系统将实时监控整个网络中心的设备以及网络状况，可在第一时间检测到故障。
并发出报警讯息，便于网管人员快速准确的排除故障。
大流量应用服务器负责提供应用教学资源，包括一些如视频点播服务器、视频会议服务器等等对带宽资源要求较高应用服务，为了保障接入学校访问这些应用服务器的联络畅通，我们设计将这些服务器分别通过两条千兆光纤或者电口链路直接与核心交换机S8512相连。
以满足链路冗余备份和提高网络的性能的需求。
2.2.3网络拓扑结构图
（注：
本网络拓扑图仅为网络结构示意图，具体设备和连接方式以实场际情况为准。
）
2.3原有设备的利旧
根据客户要求对原有设备进行利旧，我们在网络中心业务网的深化设计方案中已经对利旧设备的用途做了详细描述，现就这些设备的现状和需要升级或者添加的功能模块做一下说明。
朝阳区现有可利旧的设备包括一台思科6509，两台思科6506和一些思科4000系列的三层交换机。
下表是主要可利旧设备的清单
目前主要可利旧设备清单
型号
描述
数量
信息中心核心节点交换机
WS-C6509-1300AC=
Catalyst6509Chassisw/1300WACPowerSupply
1
WS-X6K-S2
Catalyst6500SupervisorEngine-2,2GE
WS-X6408A-GBIC
Catalyst60008-portGE,EnhancedQoS（Req.GBICs）
2
WS-G5486
1000BASE-LX/LH"
longhaul"
GBIC（singlemodeormultimode）
6
WS-G5484=
1000BASE-SX
朝阳教委核心节点交换机
WS-C6506-1000AC=
Catalyst6506Chassisw/1000WACPowerSupply
WS-G5487
1000Base-ZXextendedreachGBIC（singlemode）
7
广播局核心节点交换机
在深化设计方案中思科6509用来连接关键服务器区的20台应用服务器，至少需要20个GE端口，而目前6509只有16个GE端口，所以需要增加一块8个GE端口的板卡。
两台6506担当面向内部网络的核心层交换机，分别连接各功能区块和出口网络交换机，同时采用两条双千兆链路与另两台核心交换机相连。
两台6506之间还将绑定4条千兆链路，目前的千兆端口已经不能满足需要，因此须增加一块8GE端口的板卡以扩充千兆端口的密度。
另外一个需要注意的问题是三台思科设备的引擎都是低速的引擎，已经不能满足目前的需要。
因此建议将三台Cisco65设备的交换引擎升级，增加交换矩阵模块，该交换矩阵模块将使65系列的交换能力达到256G，可以满足高速数据交换的要求。
下面是需要升级和增加的模块一览表：
需升级和增加的模块清单
WS-X6500-SFM2
Catalyst6500SwitchFabricModule2
12
MEM-MSFC2-128MB
Catalyst6000MSFC-2Mem,128MBDRAMOption
WS-C3512-XL-EN
Catalyst3512XLEnterpriseEdition
16
2.4原有网络的割接
教委信息中心正在负责30余所学校的Internet接入工作，在本次工程的施工过程中要求这30余所学校的网络不得中断，因此负责该30余所学校网络连通的设备如CISCO6509等交换机不能另做他用，只有当工程竣工以后，网络试运行正常时，才能将原有的网络割接到现有网络中。
在这个过程中只有通过借用或者租用其他同档次的交换机替代的方式来解决问题。
在本次工程中这些学校都是区域网络中的一个节点，所以在施工过程中对这些学校按原计划铺设光纤配置传输设备，不会影响到学校网络的正常连通。
待割接完毕后将空闲下来的交换设备按设计方案应用到业务网络中去。
这样即保证原有的网络不会中断，又最大限度的保护了前期投资节约了成本。
关于朝阳教委新址的网络接入问题，为了保证在施工过程中朝阳教委所带的网络不致中断，待朝阳教委移至新址后，优先铺设一条光纤连接到教委信息中心的核心交换机上，当工程完工后朝阳教委所带的10于所学校通过传送网的透传直接连到信息中心，而朝阳教委到信息中心的光纤则予以保留。
2.5IP地址规划深化设计
2.5.1IP深化设计
朝阳教育信息网所使用的IP地址由北京市教育信息网统一进行分配，根据目前确定的分配给朝阳教育信息网的IP地址，我们在深化设计中给出如下设计：
北京市教育信息网分配给朝阳教育信息网的IP地址全部为合法IP，共1个半的B类地址。
在此种情况下，朝阳教育信息网内的所有单位均使用真实IP。
包括朝阳教育信息中心，朝阳教委新办公网及所有接入学校，每台上网的设备均使用真实IP，使得所有的连网设备都具有可溯性。
在此种情况，我们设计IP地址的使用情况大致如下：
1、接入学校约为240所，每个学校根据信息点数和电脑数量的不同分别可分配1-3个C类的地址。
点数少的学校可把一个C类地址分成多个子网给多个学校，点数及上网电脑多的学校可分配多个C类地址，这样平均下来，我们预计绝大多数学校使用一个C类地址（254个可用地址）即够用。
2、根据用户需求，建议分配给每个学校的地址段中拿出2-5个地址作为学校可对外发布的地址（大校前5个可用IP地址，普通学校前2个可用IP地址）。
学校的发布地址由中心统一管理，学校在需要的时候上报信息中心开通。
学校的其他IP地址由中心作策略一律不允许对外发布。
3、信息中心预留10个C类地址（包括办公及各类服务器，所有的服务器均使用真实IP，无须再做NAT）。
4、朝阳教委预留4个C类地址（局机关办公网络）。
以上的IP地址分配方式大致只用了1个完整的B类地址，还有半个B类地址可用，可以根据实际情况再进行分配。
有关“合法IP地址的问题”市教委信息中心会召开会议或者通知方式进行说明。
现在可以确定的是，经过合理的IP地址规划，即保证每台接入网络的计算机都有合法IP地址，又保证IP地址的使用有效性，不闲置不浪费。
朝阳区教育信息网到市教育信息网络（内网，Internet）的出口不需要进行NAT，但到朝阳区政府公用信息平台（朝阳区信息办）需要NAT转换。
2.5.2路由规划
建成后的朝阳教育信息网的业务流量包括学校间的流量和从学校到信息中心的流量，业务流量将在信息中心落地和进行路由交换。
鉴于这一典型的业务集中式网络，每个接入单位（学校）都有三层交换设备，因此可以将广播域控制在接入单位内部，为每个接入单位分配连续的地址网段，以静态路由的方式指向网络中心路由交换设备。
信息中心的核心交换设备之间启用OSPF动态路由协议，构成核心区域area0，负责所有的路由转发工作，这样既可保证学校IP地址的相对固定和信息中心IP地址使用的灵活性又可实现路由的快速收敛。
网络中心三个出口的路由可采用缺省静态路由指向，或根据对端接入要求采用动态路由协议。
2.6时间同步设备的实施
2.6.1交换设备以及计算机系统时间同步
华为的SYNLOCKV3BITS设备提供时间输出接口，该接口为标准的以太网接口，因此我们将其作为此次时间同步方案的一级时间服务器。
网管网络中设置一台服务器，作为网络中心的二级时间服务器，该服务器配置两块网卡，通过两条链路分别连接一级时间服务器SYNLOCKV3的时间输出接口，和网管网络交换机CISCO4006，为该二级时间服务器设定相应的IP地址，网络中心的核心核心交换机S8512和其他利旧的思科交换机都支持时间同步协议NTP，因此利用以太网络，只要可以访问二级时间服务器的IP地址，即可以得到时间同步信息，并将其传输到其他网络设备和计算机系统中。
网络中心内所有的工作站、服务器等计算机系统可以大致按操作系统分为UNIX、LINUX操作系统，WINDOWS操作系统，对于UNIX和LINUX操作系统本身支持NTP协议，可以直接通过IP地址访问时间服务器获得时间同步，而对于WINDOWS系统尤其是WINDOWS2000和WINDOWSXP操作系统不提供NTP服务，因此
升级会员 