日报社网络规划建议书Word格式文档下载.doc
《日报社网络规划建议书Word格式文档下载.doc》由会员分享，可在线阅读，更多相关《日报社网络规划建议书Word格式文档下载.doc（47页珍藏版）》请在冰点文库上搜索。
4.1SSLVPN 13
第五章有线无线一体化设计 15
4.1FITAP和FATAP 15
4.2无线工程具体的建设目标：
18
4.3覆盖解决方案：
第六章方案建议配置清单 19
附件：
方案所用主要产品介绍 20
H3CS3100-52P 20
H3CS7500E系列高端多业务路由交换机 23
H3CSecPathF1000-S防火墙 29
H3CWX5002-64无线控制器 34
H3CWA2100-AG无线接入点 43
第一章概述
《南昌日报》是中共南昌市委机关报，是纵横南北的京九线上唯一的省会城市报纸，同时亦是江西报业中的旗舰，目前已拥有三报一刊。
在发行量、家庭订阅量、广告传播效果等方面具有明显优势，成为江西省内最具影响力的报纸之一。
南昌日报将于年内搬迁至新的办公大楼。
此系统搬迁之际，报社网络系统需要进行重设与更新，因此对网络建设需做出新的规划，这个网络规划应具有指导性、前瞻性、可操作性和分布实施的特点，以适应今后3-5年信息化建设的纲领性文件。
1.1用户需求
针对目前报社需求，业务系统主要是在充分利用报社现有办公场地和设备资源的基础上，提供给报社的记者、编辑部门使用，使记者、编辑、部主任、总编在网络上完成写稿、改稿、传稿、签发、组版、排版的全部过程，包括采编，OA，广告发行，财务，对外网站，图片系统等，使报社工作人员通过网络跨时间、跨地域协同工作，抛开纸与笔，进入网络化时代，减少工作环节，大大提高新闻稿件处理、新闻发布与出版的效率和质量
目前随着报社发展，将搬入新办公大楼，需要对新办公楼进行网络设计和规划。
1.2局域网设计概述
新报业大楼共二十六层，其中四楼和五楼信息点较多。
本次局域网将采用两台高端多业务路由交换机做核心，核心之间采用万兆光纤互联，最大限度保证高性能要求。
接入交换机采用VRRP技术，利用两根千兆光纤链路分别直接链接到两台核心交换，充分保证了业务的可靠性和连续性，数据交换速度和网络收敛速度都大大优于三层的网络体系结构。
1.3方案设计原则
在网络建设中，我们将坚持统一管理，统一技术体制和标准、灵活组网的指导思想，使网络达到和满足以下特性：
1、先进性和成熟性
网络建设采用成熟的、广泛应用的，符合当前国内、国际发展方向的，具有国际标准的先进网络技术。
2、高性能
总体设计确保系统具有足够的数据传输带宽，并为可预计的业务提供足够的系统容量和提供QoS、CoS服务品质
3、高可靠性和稳定性
在设计中将工程的可靠性、可用性和可维护性放在重要位置，从结构设计、设备选型、系统建设、网络管理上对整个网络运行系统必须具备的高可靠性、可用性、可维护性作出保证，以确保网络成为一个不间断的运行系统。
选用主流厂家的软硬件产品，采用可靠的技术，保证网络交换设备、网络线路及网络端口设备等有很强的可靠性；
网络的性能可靠、稳定，尽可能长的无故障运行期；
网络具有备份能力。
4、开放性
满足软件可移植性、不同厂家设备之间的互操作要求，系统在水平或垂直方向都是可延展的，最大限度的作好投资保护。
5、安全性
采取有效措施，防止未授权用户的入侵和授权用户自身使用不当对网络的无恶意破坏选。
择的设备应能提供系统级的、灵活的多种安全控制机制，以支持用户建立完善的安全管理体系。
6、扩展性
各设备都保留适当的扩展能力，满足现在及未来一段时期信息系统对网络平台的要求，使新增部门、设备方便快捷地按统一标准入网。
网络系统设计应具有良好的可扩展性和最大的灵活性，以适应网络的发展，保护现有投资。
根据用户的具体需求以及用户对本网络的要求，提出以下解决方案。
1.4方案整体构思
1.4.1网络核心技术的选用
为切实达到以上的网络设计原则，使南昌报业网络系统具有良好的扩展性和灵活的接入能力，并易于管理，易于维护，在网络设计及构建中应遵循如下方面技术策略及原则。
n统一标准、统一平台
网络的互联及互通关键是对相同标准的遵循，要实现网络业务能融合到一起，实现数据、语音、视频、存储、监控、安全业务的融合，就必须统一标准。
从开放性、发展性、成熟性等方面来看，只有IP技术才能成为统一平台网络构建的标准。
而在具体实施中，采用开放的技术及国际标准，如路由协议、安全标准、接入标准和网络管理平台等，才能保证实现网络的统一，并确保网络的可扩展性。
IP网络产品，还需要一个成熟的、特性丰富的软件平台。
平台要以IPv4/IPv6协议栈为基础，集成链路层协议、以太网交换技术、路由基础、MPLS技术、VPN技术、Qos技术、语音技术、安全技术等丰富的数据通信特性，并且需要具有良好的伸缩性和可移植性，以及开放的应用体系架构，让第三方能在其基础上进行针对性的开发。
1.4.2网络安全建设
在网络技术快速发展的今天，对网络安全的需求也越来越重视，是网络建设的一个重要的组成部分。
对于报社这样一个特殊的单位，对网络安全的需求也就更为重视和关切，一个好的安全解决方案，使网络内部不受外网的各种攻击和侵犯，保证内部数据的安全性及应用的正常工作。
在网络入口，需要采用具有增强型状态安全过滤、支持智能防范蠕虫病毒技术、支持应用层内容过滤且支持审计能力的安全产品。
1.4.3远程移动用户接入的设计
报社记者外出采访，怎样才能安全、有效、快捷的远程连入网络方便的使用内部资源，建议通过SSLVPN进行连接，这样外出记者可以在任一地点简单的通过WEB方式就能安全的接入到网络里，进行日常的工作。
第二章主网络设计
2.1组网技术
此次用户建设的网络平台是一个多功能综合性的网络系统，需要承载多种的数据业务系统包括采编、ＯＡ、广告发行，财务，对外网站、图片系统等。
由于原有骨干采用的线路已经不能满足要求，我们建议采用新宽带技术来建设用户的网络信息平台。
我们通过对各种主流的宽带技术的比较分析，在本系统选择千兆以太网作为用户核心网络组网技术是比较合适的，而接入层网络建议采用1000M以太网技术作为上连链路；
桌面采用10/100M以太网作为接入。
采用这种组网方式好处在于结构明朗，层次清晰，达到不同层次之间的负载平衡。
同时，千兆位以太网还继承了以太网的其它优点，如可靠性高，易于管理等，为统一管理带来方便。
2.2网络结构设计
我们把用户的网络工程结构分为以下两个层次：
l核心层：
核心层的主要目的在于完成分布于不同区域或逻辑组的路由最优化通信；
核心层位于网络中心，由核心交换机组成，核心交换机之间使用万兆通道以太网互联，以提高核心层的业务处理能力。
并且通过VRRP技术，实现核心双机冗余热备，保证核心设备不间断工作，使整个系统达到电信级可靠性。
l用户接入层：
。
主要用来支撑客户端机器对服务器的访问，每台设备通过两条千兆光纤分别连接到核心交换机，通过MSTP，实现网络骨干冗余备份，从而保证整个网络骨干达到电信级的可靠性，保证报社业务不间断运行。
在实际连接中，我们采用高灵活性的双归型星形网络拓扑，星型网络拓扑结构具有维护管理简单、扩展容易等优点，并且有利于构建合理的网络结构，同时也便于将来网络规模的扩展。
2.2.1网络总体方案拓扑图
核心交换机采用一台H3CS7506E和一台H3CS7503E多业务路由交换机组成，这种配置方式在提供高可靠性的同时也有效的减少了投资成本。
S7506E路由交换机有8个插槽位，其中5个为业务单板插槽，S7503E路由交换机有5个插槽位，其中3个为业务单板插槽。
H3CS7500E系列产品是杭州华三通信技术有限公司面向融合业务网络的高端多业务路由交换机，该产品基于H3C自主知识产权的ComwareV5操作系统，以第二代智能弹性架构（IRF,IntelligentResilientFramework）为系统基石的虚拟化软件系统，进一步融合MPLSVPN、IPv6、网络安全、无线、无源光网络等多种网络业务，提供不间断转发、不间断升级、优雅重启、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。
H3CS7500E符合“限制电子设备有害物质标准（RoHS），是绿色环保的路由交换机。
接入层设备为带千兆光口上联模块的H3CS3100-52P二层线速智能型可网管以太网交换机主机，48个10/100Base-T，4个千兆SFP上行口,交流供电。
根据各楼层信息点个数，配置不等的个数的S3100-52P负责各信息点的接入，通过2条千兆光纤分别上联到两台核心交换机，形成上行链路的冗余。
本方案的优势：
在本方案中核心设备采用H3C高端的S7500E系列路由交换机，不但对千兆LAN和万兆LAN都有很好的支持，而且对POS、ATM、RPR等WAN网也有很好的支持；
以及支持全面的MPLSVPN业务，包括：
L3MPLSVPN、VPLS、VLL、嵌套VPN、多角色主机、MCE、HoPE；
丰富的业务支持，也是对用户投资的最大保护。
整个网络体系采用两层网络结构，数据交换速度和网络收敛速度都大大优于三层的网络体系结构。
第三章网络安全
3.1安全系统概述
随着网络技术的普及，网络攻击行为出现得越来越频繁。
通过各种攻击软件，只要具有一般计算机常识的初学者也能完成对网络的攻击。
各种网络病毒的泛滥，也加剧了网络被攻击的危险。
目前，Internet网络上常见的安全威胁分为以下几类：
非法使用：
资源被未授权的用户（也可以称为非法用户）或以未授权方式（非法权限）使用。
例如，攻击者通过猜测帐号和密码的组合，从而进入计算机系统以非法使用资源。
拒绝服务：
服务器拒绝合法用户正常访问信息或资源的请求。
例如，攻击者短时间内使用大量数据包或畸形报文向服务器不断发起连接或请求回应，致使服务器负荷过重而不能处理合法任务。
信息盗窃：
攻击者并不直接入侵目标系统，而是通过窃听网络来获取重要数据或信息。
数据篡改：
攻击者对系统数据或消息流进行有选择的修改、删除、延误、重排序及插入虚假消息等操作，而使数据的一致性被破坏。
目前网络中主要使用防火墙来保证内部网路的安全。
防火墙类似于建筑大厦中用于防止火灾蔓延的隔断墙，Internet防火墙是一个或一组实施访问控制策略的系统，它监控可信任网络（相当于内部网络）和不可信任网络（相当于外部网络）之间的访问通道，以防止外部网络的危险蔓延到内部网络上。
防火墙作用于被保护区域的入口处，基于访问控制策略提供安全防护。
例如：
当防火墙位于内部网络和外部网络的连接处时，可以保护组织内的网络和数据免遭来自外部网络的非法访问（未授权或未验证的访问）或恶意攻击；
当防火墙位于组织内部相对开放的网段或比较敏感的网段（如保存敏感或专有数据的网络部分）的连接处时，可以根据需要过滤对敏感数据的访问（即使该访问是来自组织内部）。
防火墙技术经历了包过滤防火墙、代理防火墙、状态防火墙的技术演变，随着各种基于不安全应用的攻击增多、网络蠕虫病毒的泛滥以及各种P2P软件的使用，网络资源受到严重威胁，防火墙不但需要防护传统的基于网络层的协议攻击，而且需要处理更加高层的应用数据，对应用层的攻击进行防护。
对于互联网上的各种蠕虫病毒，必须能够判断出网络蠕虫病毒的特征，把网络蠕虫病毒造成的攻击阻挡在安全网络之外。
对各种P2P应用采取限流的控制措施，有效保护网络带宽。
从而对内部安全网络形成立体、全面的防护。
3.2安全性建议
安全系统项目实施应遵循英国标准BS7799或国际标准ISO17799，实施程序可参考“信息安全生命周期模型”，项目的实施应是一个不断发展与不断完善的过程。
下图是“信息安全生命周期模型”。
“信息安全生命周期模型”说明：
Ø
安全策略、标准、过程、度量的制定——这些要素为公司机构的信息安全方案提供了框架和衡量标准。
对信息系统中的主机系统及网络系统实施风险评估——风险评估是建立和维护有效企业安全管理的起点。
这一评估使公司能够识别信息系统和软件种类，根据关键性和敏感性将这些系统排序，评估威胁，识别可以控制的易攻击点。
为信息系统设计安全计划蓝图——制定安全计划蓝图时可以参考风险评估的结果。
一份良好的计划蓝图可以帮助公司机构决定预算、资源、设备供应商、产品选择和实施策略的优先顺序，为实施安全提供结构化的解决之道。
选择安全解决方案和产品，对安全系统进行实施——结构合理的解决方案选择和实施方案可以减少购置的产品变成“架子上的装饰物”的可能性并确保选购恰当的产品、服务和培训，以实现企业的安全计划和目标。
开展安全培训——安全意识和技术培训极大地提高了成功的可能性。
它们可以提供实施和维护安全计算环境所必须的知识。
对信息系统的安全状况进行控制——保证信息安全方案的有效性。
监控检测公司机构主机或网络环境中的异常或入侵情况。
及时响应各种安全事件，并在系统遭受破坏后能够迅速的实施系统恢复——有效的事件响应和恢复方案保证公司机构有效地对事件进行监测、响应、控制并恢复。
在网络出口中，防火墙不但要具有的防御功能，同时还做NAT、VPN等工作，保证内网用户上网和外网的内部用户访问网络的需求，其负载和可靠性都是要求很高的，因此在此次网络设计中拟采用一台H3CSecPatchF1000-S可扩展高性能千兆防火墙。
H3CSecPatch防火墙产品系列齐全，覆盖10M-40G性能需求，功能扩展能力强，具有SSLVPN、流量监控、防病毒等功能，全球10万多台成熟应用案例，在国内，被广泛应用于70%的中央部委、8个金字号工程国干网、中石油10000个点、平安保险4000个点。
第四章远程VPN接入
虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。
虚拟专用网是对企业内部网的扩展。
虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。
虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；
可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
4.1SSLVPN
SSLVPN是以HTTPS（SecureHTTP，安全的HTTP，即支持SSL的HTTP协议）为基础的VPN技术，工作在传输层和应用层之间。
SSLVPN充分利用了SSL协议提供的基于证书的身份认证、数据加密和消息完整性验证机制，可以为应用层之间的通信建立安全连接。
SSLVPN广泛应用于基于Web的远程安全接入，为用户远程访问公司内部网络提供了安全保证。
SSLVPN的典型组网架构如图1所示。
管理员在SSLVPN网关上创建企业网内服务器对应的资源；
远程接入用户访问企业网内的服务器时，首先与SSLVPN网关建立HTTPS连接，选择需要访问的资源，由SSLVPN网关将资源访问请求转发给企业网内的服务器。
SSLVPN通过在远程接入用户和SSLVPN网关之间建立SSL连接、SSLVPN网关对用户进行身份认证等机制，实现了对企业网内服务器的保护。
图1SSLVPN典型组网架构
SSLVPN的工作机制为：
（1）
管理员以HTTPS方式登录SSLVPN网关的Web管理界面，在SSLVPN网关上创建与服务器对应的资源。
（2）
远程接入用户与SSLVPN网关建立HTTPS连接。
通过SSL提供的基于证书的身份验证功能，SSLVPN网关和远程接入用户可以验证彼此的身份。
（3）
HTTPS连接建立成功后，用户登录到SSLVPN网关的Web页面，输入用户名、密码和认证方式（如RADIUS认证），SSLVPN网关验证用户的信息是否正确。
（4）
用户成功登录后，在Web页面上找到其可以访问的资源，通过SSL连接将访问请求发送给SSLVPN网关。
（5）
SSLVPN网关解析请求，与服务器交互后将应答发送给用户。
H3CSecPathF1000-S防火墙完善支持SSLVPN，无需特别培训，外出记者只需要打开浏览器，输入相应IP地址、用户名、密码，即可安全的使用局域网内部资源，方便简单。
第五章有线无线一体化设计
无线局域网（WLAN）技术于20世纪90年代逐步成熟并投入商用，既可以作传统有线网络的延伸，在某些环境也可以替代传统的有线网络。
无线局域网具有以下显著特点：
简易性：
WLAN网桥传输系统的安装快速简单，可极大的减少敷设管道及布线等繁琐工作；
灵活性：
无线技术使得WLAN设备可以灵活的进行安装并调整位置，使无线网络达到有线网络不易覆盖的区域；
综合成本较低：
一方面WLAN网络减少了布线的费用，另一方面在需要频繁移动和变化的动态环境中，无线局域网技术可以更好地保护已有投资。
同时，由于WLAN技术本身就是面向数据通信领域的IP传输技术，因此可直接通过百兆自适应网口和内部Intranet相连，从体系结构上节省了协议转换器等相关设备；
扩展能力强：
WLAN网桥系统支持多种拓扑结构及平滑扩容，可以十分容易地从小容量传输系统平滑扩展为中等容量传输系统；
随着WLAN技术的快速发展和不断成熟，国内各种规模的无线应用正迅速开展，向客户提供各种业务。
4.1FITAP和FATAP
传统的WLAN网络都是为企业或家庭内少量移动用户的接入而组建的，这类网络典型的组网方式是采用FATAP＋有线交换机的分布式WLAN组网模式，由AP来完成用户的无线接入、用户权限认证、用户安全策略实施，对WLAN网络设备的管理也是分布式的。
随着WLAN技术的成熟和应用的普及，越来越多的企业开始大规模部署WLAN网络，接入的用户数和无线设备的规模都在成倍增长，网络维护人员在建设和维护WLAN网络时发现采用传统的WLAN组网和管理模式已经很难适应现有的WLAN网络规模。
目前在中大型WLAN网络的建设和维护中遇到的主要问题有：
a）
WLAN建网时需要对成百上千的AP进行逐一配置：
网管IP地址、SSID和加密认证方式等无线业务参数、信道和发射功率等射频参数、ACL和QOS等服务策略，很容易因误配置而造成配置不一致。
b）
为了管理AP，需要维护大量AP的IP地址和设备的映射关系，每新增加一批AP设备都需要进行地址关系维护。
c）
接入AP的边缘网络需要更改VLAN、ACL等配置以适应无线用户的接入，为了能够支持用户的无缝漫游，需要在边缘网络上配置所有无线用户可能使用的VLAN和ACL。
d）
察看网络运行状况和用户统计时需要逐一登录到AP设备才能完成察看。
在线更改服务策略和安全策略设定时也需要逐一登录到AP设备才能完成设定。
e）
升级AP软件无法自动完成，维护人员需要手动逐一对设备进行软件升级，费时费力
f）
AP设备的丢失意味着网络配置的丢失，在发现设备丢失前，网络存在入侵隐患，在发现设备丢失后又需要全网重配置。
随着建网、组网问题的不断出现，一种全新的WLAN网络架构——无线控制器＋FITAP集中式WLAN管理模式应运而生。
无线控制器＋FITAP控制架构对设备的功能进行了重新划分，其中无线控制器负责无线网络的接入控制，转发和统计、AP的配置监控、漫游管理、AP的网管代理、安全控制；
FITAP负责802.11报文的加解密、802.11的PHY功能、接受无线控制器的管理、RF空口的统计等简单功能。
H3C公司在支持这种新的网络架构时将一些新的智能功能集成进FITAP和无线控制器中，以便于给用户呈现统一的网络管理接口：
1、
FITAP的配置保存在无线控制器中，FITAP启动时会自动从无线控制器下载合适的设备配置信息。
2、
FITAP需要能够自动获取IP地址，同时FITAP需要能够自动发现可接入的无线控制器，并对无线控制器和FITAP之间的网络拓扑不敏感。
3、
无线控制器支持FITAP的配置代理和查询代理，能够将用户对FITAP的配置顺利传达到指定的FITAP设备，同时可以实时察看FITAP的状态和统计信息。
4、
无线控制器保存FITAP的最新软件，并负责FITAP软件的自动更新。
H3C公司通过这一全新的网络管理接口可以很好的解决目前中大型WLAN网络组网中存在的管理问题：
用户只需要建立业务参数模板和设备参数模板，并设定指定的AP引用这些模板，当FITAP启动时无线控制器会根据预先的配置引用信息给FITAP下发配置，用户的配置工作量大大减少。
用户对FITAP的管理是通过无线控制器来代理完成，网管不再关心FITAP的IP地址，FITAP和无线控制器之间的关联是自动完成，不再需用户对AP进行的配置干预。
无线用户的数据报文被FITAP封装在AP和AC间的数据隧道中，接入AP的边缘网络不需要再为无线用户的接入而更改VLAN和ACL等配置。
无线控制器保存了所管理的FITAP的运行状况和在线用户统计信息，维护人员只需登录到指定的无线控制器就可以完成信息察看。
用户对FITAP的管理是通过无线控制器来代理完成，因此在线更改服务策略设定和安全策略设定也不再需要逐一登录到AP设备，而只需要登录到指定的无线控制器就可以完成设置，无线控制器会自动把新的配置下发到指定的FITAP。
5、
用户不再需要手动逐一对AP设备进行软件升级，AP在每次重新启动时会自动比较当前运行的版本和无线控制器上保存的版本，如果无线控制器上保存的版本更新，FITAP会自动更新本地的软件影像。
6、
AP本地不再保存配置信息，即使设备丢失也不存在因配置丢失而出现的安全隐患。
侧重实际应用，覆盖报业大楼全部区域，提供切实可用的有线无线一体化网络环境；
采取通行的网络协议标准：
目前无线局域网普遍采用802.11系列标准，因此校园无线局域网将主要支持802.11g（54M带宽）标准以提供可供实际应用的相对稳定的网络通讯服务；
全面的无线网络支撑系统（包括无线网管、无线安全，无线计费等），以避免无线设备及软件之间的不兼容性或网络管理的混乱而导致的问题；
保证网络访问的安全性；
采用瘦AP加无线控制器方式集中管理；
产品能力要求：
I.产品支持AES、WEP加密等安全标准；
II
升级会员 