展览类场馆网络解决方案技术白皮书v0.9Word格式.doc
《展览类场馆网络解决方案技术白皮书v0.9Word格式.doc》由会员分享，可在线阅读，更多相关《展览类场馆网络解决方案技术白皮书v0.9Word格式.doc（48页珍藏版）》请在冰点文库上搜索。
3.2.1 业务隔离分析 16
3.2.2 组网架构分析 17
3.2.3 核心设备选型 17
3.2.4 核心设备安全技术 18
3.2.5 汇聚层设计 19
3.2.6 接入层设计 19
3.3 无线网络设计 20
3.3.1 场馆无线业务分析 20
3.3.2 无线网络初期设计 21
3.3.3 智能无线网络设计（升级改造规划） 22
3.3.4 无线部署区域 24
3.4 网络出口设计 25
3.4.1 场馆网络出口现状 25
3.4.2 当前场馆网出口面临的挑战 25
3.4.3 出口解决方案设计 26
3.5 数据中心设计 29
3.5.1 本地容灾解决方案 30
3.5.2 园区级高可用跨区容灾解决方案 31
3.5.3 数据中心容灾方案特点 31
4 网络安全系统设计 35
4.1 访问外网的安全身份鉴别 35
4.2 内网终端用户的安全防护 36
4.2.1 补丁及软件分发管理 37
4.2.2 非法外联及网络访问管理 37
4.2.3 病毒与攻击安全 37
4.2.4 用户安全准入 37
4.3 接入层次的其他安全措施 38
4.3.1 ARP欺骗的防护 38
4.3.2 DHCP安全 38
4.3.3 管理信息安全 38
4.4 数据中心区域的安全保护 38
4.4.1 DMZ区域的设计 38
4.4.2 WEB网站保护设计 39
5 网络管理设计 40
5.1 场馆类网络管理面临的挑战及需求分析 40
5.2 网络管理—流量管理方案设计 40
5.3 出口流量的应用控制与带宽优化 40
5.4 网络管理—设备WEB可视化管理 42
5.5 网络管理—设备配置文件管理 43
5.6 网络管理—一体化无线有线管理 44
6 方案整体特点总结 45
6.1 确保网络安全，业务稳定运行—“好”网络 45
6.2 充分信息共享，提高运营效率—“快”人一步 45
6.3 降低运营成本，保护已有投资—节“省” 46
6.4 方案特点总结 46
7 最佳方案实践 47
7.1 苏州博物馆新馆 47
7.2 扬州文化艺术中心 48
1展览类场馆市场背景
春风吹，战鼓擂，浪涛起，百家动，中国的展览类场馆行业建设正进行着自我的蜕变，以2010上海世博会为分界线，国内展览类场馆行业必将有一次洗礼性的成长。
国内的展览类场馆建设需求还将达到一个高度，为什么这么说呢？
第一、是数量的高度。
目前的中国还出于中等国家水准，全面素质普遍还不够高，随着经济的快速发展，国人素质的全面提升，国人对社会、历史、人文、科技产品等等各个方面信息的需求与渴望，必将对展览类场馆提出更多更高的需求。
第二、是质量的高度。
就目前的展览类场馆还远远不能满足日后高素质国民的参观需求，国民素质的提升，同样需求更高质量的展览类场馆，也将同时推动着展览类场馆建设的质量。
质量的高要求，不仅是建筑质量本身的要求，更离不开场馆信息化的高水平建设。
1.1展馆类场馆范围及定义
ü
展示类馆类：
包括博物馆、科技馆、艺术馆、美术馆、纪念馆、档案馆等，主要是利用展厅来展示物品和资料等；
会议展览中心：
包括会议中心、展览中心或综合会展中心。
主要为外界提供会议和展览场所；
文化中心：
包括传统文化馆和综合性文化艺术中心，满足日常民体活动等需要；
图书馆：
各省、地级市图书馆，主要为民众提供图书借阅、电子阅读等功能。
1.2展馆类场馆建设的市场状况
u从全国的市场环境来看：
截止2004年国有博物馆1617多家.
截至2007年底，全国共有文化馆（群艺馆）3217个左右.
截止2009年底，全国有3400多家图书馆.
截止2009年底，全国有300多家科技馆、艺术馆、美术馆、纪念馆、档案馆等.
截止2009年底，全国有200多家包括会议中心、展览中心或综合会展中心.
截止2009年底，全国有200多座综合性文化艺术中心，以满足日常民体活动等需要；
……
u锐捷网络仅在2009年就参与了十多个大型展览类场馆的建设，如扬州文化艺术中心、邯郸文化艺术中心等涉及几十亿的总投资场馆建设，其中锐捷网络参与的信息化建设资金全年累计上千万。
锐捷网络已经成为场馆行业信息化建设的领先者。
2需求分析
展览型场馆类网络平台建设目标：
建设场馆类信息化网络平台，要能够承载场馆类的各类业务的稳定、可靠、高速的传输，并保证数据的安全性；
正确区分内外网，保证办公和业务的正常开展，支持公众安全管理、便捷的上网需求；
对于重要的业务系统和数据进行有效保护和存储；
具备简捷易用的网络管理平台。
2.1展览类场馆常见场景
展览类场馆的典型建筑平面（示意）图
重点区域实景图
场馆常用系统示例-自助导览系统
场馆常用系统示例-售票检票系统
场馆常用系统示例-建筑智能化系统
场馆信息点分布区域
2.2展览类场馆网络应用
u1、互联网访问
办公用户的互联网访问：
内部人员的互联网访问，获取外网资源
门户网站：
包括场馆介绍、会展计划、会展招商、网上展会等内容；
外来人员互联网访问：
像观众、会议参加者等，通过无线浏览互联网以便查询资源
u2、办公类业务
办公OA系统、视频学习或者视频会议系统
门禁系统：
方便对场馆进行控制
u3、场馆运营业务系统
场馆运营管理系统：
为管理者提供现代化的管理手段，及时准确的把握场馆的经营状况，提高场馆的经营效益；
自助导览系统：
为参观者提供自助的引导、介绍服务；
售票检票系统；
、手持PDA查询或者无线检票系统
u4、视频流类系统
场馆安保视频监控视频、图书馆电子阅览室、视频学习
u5、公共区域
会议厅：
可无线覆盖全会议厅，供参加会议的人员使用
展厅、馆前广场：
无线覆盖全展厅和广场，方便大家使用。
2.3展览类场馆网络建设需求
u高稳定
办公类业务的稳定可靠的办理各项工作；
场馆运营业务系统的网络拓扑快速收敛的需求，网络不中断运行；
视频流等业务网络不中断运行的需求，关键时间段的业务正常运行的需求；
u高性能
互联网访问点到点的高速数据转发的需求
办公类业务快速的传送电子公文
场馆运营业务系统流量的快速转发的需求，链路高带宽的需求
u安全可控
互联网访问系统的网络设备和用户接入的安全的需求
办公类业务：
内部办公网络的安全保障
场馆运营业务系统的安全准入
公共区域：
外来用户的身份准入或者行为审计，能够监控和管理接入用户，达到可控
u无线网络
场馆运营业务系统手持PDA或者无线查票系统
用户的随意接入网络访问，无线部署的稳定和后期的升级，保护投资
u易管理
互联网访问的流量精细化管理的需求
办公类业务随时对网络设备进行检测、管理
场馆运营业务系统异常流量跟踪、管理的需求
视频流等业务高精度QOS需求
能够监控和管理接入用户，达到可控
2.4场馆类业务架构
2.5建设内容
网络平台建设内容包括：
1.基础网络建设：
Ø
网络骨干-网络核心与各个业务系统之间的网络高速公路;
无线网络-提供灵活、移动的各种无线业务，随时随地的方便接入;
外网出口-提供Internet访问与外网访问安全控制保证;
数据中心建设-提供资源、业务和数据存储中心，为场馆提供稳定、可靠的业务支撑;
2.场馆网络安全规划：
外网用户身份鉴别；
内网终端的身份鉴别和终端安全；
WEB服务器的安全防御；
3.网络管理平台：
有效的网络流量管理；
网络设备的统一管理；
网络管理的可视化；
有效的配置管理。
2.6建设原则
l实用性和经济性
系统建设应始终贯彻面向应用，注重实效的方针，坚持实用、经济的原则，建设场馆信息化建设的网络扩展系统，保护用户的投资。
l先进性和成熟性
系统设计既要采用先进的概念、技术和方法，又要注意结构、设备、工具的相对成熟。
不但能反映当今的先进水平，而且具有发展潜力，能保证在未来若干年内占主导地位，保证场馆网络建设的领先地位，并随时进行扩展和升级。
l可靠性和稳定性
在考虑技术先进性和开放性的同时，还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及维修能力等方面着手，确保系统运行的可靠性和稳定性，达到最大的平均无故障时间。
l安全性和保密性
在系统设计中，既考虑信息资源的充分共享，更要注意信息的保护和隔离，因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括防火墙隔离、上网审计、系统安全机制、数据存取的权限控制等，锐捷网络充分考虑安全性，针对场馆的各种应用，有多种的保护机制，如划分VLAN、MAC地址绑定、配合ACL、NAT、802.1x认证机制、上网日志记录等具体技术提升整个网络的安全性。
l可扩展性和可管理性
为了适应系统变化的要求，必须充分考虑以最简便的方法、最低的投资，实现系统的扩展和维护。
为了便于扩展，对于核心设备必须采用模块化高密度端口的设备，接入层设备最好采用堆叠的方式，便于将来升级和扩展。
另外全线采用基于SNMP标准的可网管产品，达到全程网管，降低了人力资源的费用，提高网络的易用性、可管理性，同时又具有很好的可扩充性。
3稳定、可靠、高性能的基础网络建设
3.1整体网络架构拓扑图
3.2网络骨干设计
3.2.1业务隔离分析
由于展览类场馆的业务特点，所以一般只建设一套物理的网络系统，但由于有多套有安全性隔离要求得业务系统，所以展览类场馆的网络拓扑结构一般为物理合一、逻辑隔离的网络拓扑结构，而各种不同的业务系统一般通过VLAN做业务隔离。
3.2.2组网架构分析
星型和环形都支持系统冗余，提供可靠性保证，但他们的应用流量模型是完全不一样的，星型结构适合于流量集中的局域网骨干，而环形适合的是分布式、分散流量访问的广域网模式（如Internet）。
正是由于星型网络的优点：
路由跳数最短、可靠性更高、路由表易于聚会、流向简单有序集中，所以展览类场馆的网络核心架构采取双星型结构组网。
3.2.3核心设备选型
对于展览场馆来说，网络核心是整个园区网高效能工作的重中之重，同时保证基本的连通性之外还必须保证业务的不间断运行，因此我们建议采用一定的冗余机制使园区网可以承载业务系统不间断的给整个园区网提供相应的应用业务。
同时，展览园区网这个平台必须满足下属部门的业务流量需求，还需要考虑到未来几年的业务发展，具有很强的性能和高可扩展性。
整体设计还必须考虑到展览馆部分的特殊应用性和业务数据的重要性，因此需要保障网络通讯安全和数据安全，防止因安全事件造成的数据泄密而导致的损失。
根据可靠性、稳定性、扩展性、性能上的分析，同时从保护投资角度考虑，网络核心建议选用两台基于十万兆平台的高性能的锐捷核心IPv6核心路由交换机RG-S8600互为容错备份，并在核心交换机中采用关键模块冗余设计（如双电源冗余等），核心、汇聚、接入层都采用双链路连接，构成一个环路架构。
。
RG-S8600系列交换机是锐捷网络推出的以业务为核心、面向下一代网络的十万兆骨干路由交换机，提供大容量、高密度、模块化体系架构，在提供稳定、可靠、安全的高性能L2/L3层交换服务基础上，具有强大组播功能、基于策略的QOS、有效的安全管理机制和电信级的高可靠设计，满足现代网络的多种业务承载融合和业务灵活分类、分流的组网需求。
可以根据用户的需求灵活配置，构建弹性可扩展的现代IP网络。
3.2.4核心设备安全技术
网络设备（特别是网络核心设备）的安全稳定直接关系到整个网络是否可以稳定、可靠的运行，因此，针对目前网络上核心设备所面临的安全问题，锐捷网络有针对性的开发设计了一系列技术，以保证设备自身的安全，抵抗外来攻击，确保整个网络安全稳定的运行。
如NFPP模块联合CPP模块，在安全防护设备的同时隔绝了非法源头，防止不安全数据的扩散。
同时通过SPOH技术，保证设备在配置大量安全策略的同时依然稳定可靠。
稳定可靠网络核心-GR
50ms无丢包快速倒换-RERP
CPP抗攻击保护策略
3.2.5汇聚层设计
汇聚层对于场馆类用户来说非常重要，主要是场馆类用户的信息点一般都比较分散，有大量的接入设备需要汇聚；
同时，场馆类用户还有业务隔离的要求，需要部署各种隔离的安全策略。
而根据经典的网络设计理念，核心设备只做数据的高速转发功能，其他安全控制等功能都规划在汇聚层设备上实现，防止因为接入层的数据风暴或二层攻击直接攻击核心设备，引起整网的动荡，所以必须采用核心、汇聚和接入的三层网络架构。
考虑到将来可能的万兆线路扩展和产品性价比，同时为了便于对全网进行OSPF路由部署，所以建议在汇聚层使用锐捷万兆智能多层光汇聚交换机S5750-24GT/12SFP。
S5750通过两条千兆线路各自上联主/备两台核心交换机，保证网络核心的稳定可靠，并可支持最大12个千兆光接口，很方便的实现网络扩容。
汇聚交换机部署在不同的楼宇和工作区，其内置安全机制，不仅阻断了IP扫描和DoS攻击，保证了网络骨干是健全的，还保护了核心层设备的安全。
3.2.6接入层设计
场馆类网络系统中比较容易出的几类内部安全分别是：
ARP欺骗；
DHCP仿冒；
身份认证；
线路环路与线缆故障等
针对这些问题，在网络设计时，都加以了设计考虑，采用了安全的接入交换机RG-S2600，可以有效的解决上述问题。
S2600的多生成树协议MSTP可以有效的阻断线路环路，避免因为环路故障，造成的整网震荡；
智能的单向链路检测，检测并关闭物理和逻辑单向连接，并阻止其他协议（如：
STP协议）的失效，防止业务中断；
线缆检测：
利用时域反射原理自动检测端口直连线缆状态，可自动检测出故障线缆的位置。
方便网络管理者轻松判断网络断路故障点，有效降低故障处理时间。
S2600交换机可以支持DAI和DHCPSnooping功能，可有抵御ARP欺骗/攻击与DHCP仿冒问题，从而根本上解决地址冒用的问题。
S2600交换机通全面支持基于802.1X和WEB准入的认证方式：
1、使用浏览器即可认证，不改变用户使用习惯，不需要安装客户端。
2、兼容所有自带浏览器的操作系统。
WIN98、苹果等用户也可正常认证。
3、提供第三方接口，可与门户等平台对接，实现单点登录、信息整合等功能。
4、支持在不同的区域开启不同的登录方式。
5、无论用户在何处，用何种终端，认证方式都是认证系统按照其身份授权的。
简单便捷的实现用户的身份认证，无须安全客户端。
3.3无线网络设计
3.3.1场馆无线业务分析
展览类场馆的无线数据业务从应用上主要分为无线办公上网、公共区域上网、无线业务（例如无线视频会议/无线检票系统等）和语音类业务VoWLAN这四大类。
由于这四类不同的业务接入的终端不同，数据之间也基本没有共享要求，且不同业务之间要求隔离。
出于技术和成本的考虑，场馆是不可能建设多套无线网络系统的，只可能建设一套无线系统，而为了保证数据安全，业务又必须相互隔离，那么就必须要划分无线网络的虚拟服务，即为不同的业务开启不同的SSID。
这样，就可以在同一套网络中传输不同的业务而不会造成安全泄密问题了。
同时，场馆无线项目的用户数一般并不多，而无线业务的应用会随着场馆类不断开展而持续增加。
出于整体考虑，无线网络初期不建议铺的过大，造成投资浪费，所以应稳健的先建立部分无线应用的试点，等业务成熟后在规模应用。
3.3.2无线网络初期设计
展览类场馆项目初期建设时，由于许多业务系统没有建设完成，对于如何建设无线网络是有些顾虑的（比如是交给运营商承建还是自建）。
可是类似公共区域上网等少数区域又急着要上马无线应用，那么初期无线建设就必须要采用自治型无线系统（FATAP）结构，不配置无线控制器，只保证小范围的无线用户上网需求，有效节省投资；
可是传统的自治型无线接入点架构，每个无线接入点都是一个独立的管理与工作单元，无线接入点之间无法进行任何沟通，不适用于全网设备进行统一管理，考虑到后期可能采用集中管理的FITAP结构，为了避免投资浪费，所选用的接入节点必须要能支持胖、瘦AP前换能力，便于后期无线网络建设时可以直接适用。
建议在展览场馆的无线网络建设初期采用锐捷网络的室内增强型无线接入节点RG-AP220系列设备，为场馆用户搭建简便高效的无线网络，采用该设备优势如下：
业界最灵活的工作模式
RG-AP220-E产品可支持Fat（胖）和Fit（瘦）两种工作模式，可以根据不同行业客户的组网需要，无需进行复杂的复位操作，随时灵活的进行切换，立即生效。
当客户的无线信息点较少时，RG-AP220-E可工作在Fat（胖）模式，可自行独立组网使用；
当客户的无线信息点达到一定规模时，RG-AP220-E可工作在Fit（瘦）模式，并配合锐捷网络WS系列无线控制器产品使用，由无线控制器产品集中控制，达到全网一体化的控管、安全、流量管理、QoS、IP管理等全面控制。
通过两种模式的自然过渡，充分的保护客户的投资。
更强的信号覆盖
AP产品凭借业界最先进的3X3MIMO天线架构，可使用户获得更大的覆盖范围。
双路架构可确保11n客户的高速接入
RG-WS无线控制器产品专为IEEE802.11n设计，配合锐捷网络802.11n系列无线接入点产品，可提供传输带宽高达单路300Mbps、双路600Mbps的无线网络。
同时，利用先进的本地转发技术，避免了无线控制器的流量转发瓶颈，可快速实现802.11n无线网络部署与传输。
对AP来说，在传统的802.11n模式下，往往由于802.11n可分别在2.4或5GHz的频段分别向下兼容802.11b/g或802.11a协议，而实际客观存在大量的802.11b/g网卡用户，这样802.11b/g用户也能接入到11n的AP上，这将导致AP为了向下协商适应较低协议速率的用户，而牺牲802.11n网卡客户的速度性能，造成802.11n网卡客户的速度大幅下降，11n的300Mbps的优势无法得到发挥。
AP采用双路双频硬件架构，可支持同时工作在802.11a/n和802.11b/g/n模式，革命性地解决了这一难题。
通过两路都提供用户接入，可将一路工作在5GHz的射频配置为only11n模式，专门为802.11n网卡客户提供高速接入体验；
另一路工作在2.4GHz的射频配置为混合兼容模式，以确保传统的802.11g客户的正常接入，圆满地为不同用户分别提供最佳适应性的上网体验。
3.3.3智能无线网络设计（升级改造规划）
根据无线网络的设计原则，锐捷网络建议采用先进的智能无线交换网络架构作为场馆类整体无线网络解决方案技术的核心思想，采用支持智能转发功能的无线局域网交换机，配合部署在各楼栋接入层的智能管理型无线接入点产品，以及无线网络集中管理平台，完成整个无线网络。
自治型无线接入点的缺乏全面管理的缺陷，一些厂商开始推出新的无线网络架构，即“无线局域网交换机＋远程轻型无线接入点”结构，可以满足所有的无线接入点全部受到无线局域网交换机的统一控管，这种组网架构和相应产品的出现，使得无线网络的整体管理能力、安全防御能力得到完全的改善，使得无线网络的组网变得轻松、易管理。
到了这一阶段，可以说无线网络的解决方案已经上升到了一个新的台阶。
虽然这种组网架构完全解决了对无线网络的管理和控制的问题，但是依然存在缺陷。
这种缺陷在无线网络规模较小的时候并不会构成隐患，但是随着无线网络的逐渐普及，尤其是各行业内越来越多的组建大规模的无线网络时（100台无线接入点以上），在这种解决方案架构中，全部的无线接入点设备所吞吐的数据流量（用户数据、设备管理数据）都要通过加密隧道，集中的流经无线局域网交换机承载与处理，再通过其转发给相应的有线网络送达目的地，这必然会导致无线局域网交换机成为大流量数据汇聚的中心。
而无线局域网交换机均采用“X86＋ASIC”的类服务器硬件架构，对外提供千兆端口连接，也就是说其最大的数据处理与吞吐能力不会超过2Gbps，按照每台无线接入点的真实包吞吐能力在15～20Mbps计算，实际上每台无线局域网交换机最大128台无线接入点的数据集中转发，如果超过这个规模，无线局域网交换机就会成为流量瓶颈，必须再增加无线局域网交换机设备才能扩充解决。
特别是随着802.11n传输协议的到来，单个无线接入点的连接速率将提高到1000Mbps（转发效率在150M）以上，无线控制器架构将不再适合承担所有流量的集中处理，同时对于延迟敏感的语音传输等也无法适应。
因此，针对这一现状，锐捷网络推出了满足中、大型场馆类无线接入需求的RG-WS5302千兆无线控制器和RG-WS5708万兆无线控制器。
可提供强大的处理能力和多业务扩展，可突破三层网络保持与AP的通信，部署在任何2层或3层网络结构中，无需改动任何网络架构，从而提供无缝的安全的无线网络控制。
灵活的配置方式从16个无线节点到最大可支持768个无线接入点的管理，全面满足用户各种规模的无线应用。
RG-WS无线控制器可针对无线网络实施强大的集中式可视化的管理和控制，显著简化原本实施困难、部署复杂的无线网络。
通过与锐捷网络有线无线统一集中管理平台RG-SNC以及无线接入点的配合，灵活地控制无线接入点的配置，优化射频覆盖效果和性能，同时还可实现集群化管理，将大型网络中的设备部署工作量将至最低。
高性能高可靠的组网方式
集中/分布式一体化的智能交换
RG-WS无线控制器可部署于二层或三层网络中，且无需改动原有网络架构，与无线AP组成整体交换架构，方便控制和处理所有AP上的数据交换。
业界领先的本地转发技术，彻底突破了无线控制器的流量瓶颈限制。
RG-WS无线控制器通过本地转发技术，可灵活配置AP的数据转发模式。
即根据网络的SSID和用户VLAN的规划，决定数据是否需要全部经过RG-WS转发，或直接进入有线网络进行本地交换。
本地转发技术将延迟敏感、传输要求实时性高的数据通过有线网络转发，在802.11n的大流量吞吐下，可以大大缓解RG-WS交换机的流量压力，更好的适应未来无线网络更高流量传输的要求，诸如高清视频点播、VoWLAN传输等。
灵活的WDS组网模式
AP产品支持WDS（无线分布式系统）技术，可提供AP覆盖、点对点/点对多点无线网桥、无线中继模式，分别满足了大范围无线覆盖、远距离高速无线互联的网络需求，彻底解决了大规模无线部署的传统问题，同时为无线与有线网络的无缝结合提供了条件，可保证无线信号被传递到较远的区域进行无线覆盖或连接有线网络。
完美实现用户漫游访问
通过
升级会员 