网络实验室建设项目方案Word文档下载推荐.docx
《网络实验室建设项目方案Word文档下载推荐.docx》由会员分享,可在线阅读,更多相关《网络实验室建设项目方案Word文档下载推荐.docx(13页珍藏版)》请在冰豆网上搜索。
2009-10-02
文档初稿
概述
1.1文档目的
撰写此文的主要目的是为了保障“上海鹏越惊虹技术有限公司网络实验室项目”的顺利实施,根据上海鹏越惊虹技术有限公司网络建设需求,制定出网络实验室的实施规范和方法。
在实际实施工作前,将所有实施步骤、方法和各方需完成的任务明确。
1.2文档适用人员
本文档资料主要面向负责“上海鹏越惊虹技术有限公司网络实验室项目”的设计和实施的上海鹏越惊虹技术有限公司的网络技术人员,管理人员;
以便通过参考本文档资料顺利完成上海鹏越惊虹技术有限公司网络实验室项目。
1.3文档内容范围
本文档内容基于Cisco3825、Cisco3845、Cisco6506、Cisco3750、Cisco3560、NetscreenISG1000、NS208F5等产品,涵盖了此次上海鹏越惊虹网络实验室(灾备)项目路由、交换安全、网管相关工程内容的工程实施设计方案:
1.3.1实施原则
实施步骤的完整性,对于每一个实施步骤各方所需要执行的动作有明确的规定,有精确的时间顺序安排,对每一个动作有详细的操作步骤,对每一个执行的动作都有相应的检查是否完成的步骤,达到任何一个只要具有实际实施经验的工程师都能按实施方案完成执行动作。
详细描述实施方案的风险和局限性,明确使用实施方案所应承担的风险和将导致的后果。
在实施前需要各参与单位和人员最终确认实施方案的正确性、明确各方所执行的动作和担负的责任。
对于检查实施方案的每一个阶段是否达到方案要求,需要有每一阶段的测试内容,明确那些测试在指定时间点不能完成或完成后测试结果不正确的情况下需要采用网络回退方案,不再执行实施方案的下一个执行动作或不进入下一个实施阶段。
2项目介绍
2.1项目简介
上海鹏越惊虹技术有限公司将于近期完成网络实验室的建设,为了公司目前及今后的各种业务应用提供可靠、稳定、先进、高效的网络测试环境。
网络实验室系统主要包括生产系统网络、运维管理网络。
目前,上海鹏越惊虹正在张江建设网络实验室,作为以提供员工对于网络测试的需求,在这样的背景下,需要启动网络系统的建设,以提供公司测试环境网络。
有鉴于此,本文将从公司的网络系统业务需求分析和接入需求分析出发,横向从生产系统网络、运维系统网络,纵向从核心层、隔离层、接入层角度,集中考虑业务系统、接入系统对网络的需求,从而形成张江网络
系统的网络设计方案。
3网络设备命名
在鹏越惊虹技术有限公司网络实验室建设中,与网络建设有关的设备
主要有:
Cisco路由器/交换机
NetScreen防火墙
F5负载均衡器
Allot流量管理设备(不一定完全上)
以上设备主机名按本章的定义规则进行命名,命名规则所定义的约定需求能够很容易标识设备所属区域、设备型号以及序号。
方便网络运维人员、系统管理人员和资产管理人员的日后工作。
3.1生产网设备命名规范
设备命名规则:
字段1—字段2—字段3-(字段4)-n
字段1
标识设备所属区域,长度1字符:
Z:
张江(只有地的话,可以不写)
字段2
标识设备所属区域
核心层分为下面两个区域:
TG主机连接核心层交换机
接入层以A幵头,以一位数字表示各子区域
A1:
互联网接入
A2:
专线接入
3.2运维网设备命名规范
字段1—字段2—字段3
标识设备所属功能区域
MBON交换机
YW运维
字段3
标识设备类型
网管区使用CORE表示网络机房中的汇聚交换机,在服务器机房
中的使用机柜编号作为标识;
其他区域的字段三米用下面的标识
FWNetScreen防火墙
R:
Cisco路由器
SWCisco交换机
3.3设备名称一览
设备描述
设备名称
核心层
主机系统交换机1
Z-TG-1
主机系统交换机2
Z-TG-2
隔离层
互联网接入交换机
Z-3750-front
互联网核心交换机1
Z--C0RE-1
互联网核心交换机2
Z-CORE-2
接入层
互联网出口路由器1
Z-A1-R-1
互联网出口路由器2
Z-A1-R-2
互联网流量管理设备
Z-A1-BM
互联网接入防火墙1
Z-A1-FW-1
互联网接入防火墙2
Z-A1-FW-2
Z-A1-SW
互联网链路均衡设备1
Z-A1-LC-1
互联网链路均衡设备2
Z-A1-LC-2
互联网接入汇聚交换机
Z-A1-SW-HJ
专线路由器1
Z-A2-R-1
专线路由器2
Z-A2-R-2
专线接入交换机
Z-A2-SW
专线接入防火墙1
Z-A2-FW-1
专线接入防火墙2
Z-A2-FW-2
专线接入汇聚交换机
Z-A2-SW-HJ
运维网
网管核心交换机
Z-MOBN-CORE
运维网核心防火墙
Z-MOBN-FW
4IP地址和Vian规划
为了使新中心的IP地址具有更好的可扩展性,以及IP地址的层次清晰,新的数据网将启用全新的IP地址。
新分配的IP地址层次分明,将清晰的体现网络结构,便于日后的管理和维护。
4.1生产网IP地址和Vian规划
核心层应用系统IP地址和Vian规划
此段地址可以是复用地址段,大家的核心内网的地址可以使用一样的
核心层区域
IP地址段
VianID
主机托管
192.168.[1-10]/24
自定
隔离层应用系统IP地址和Vian规划
隔离层区域
互联网区域
10.0.[VLAN].0/24
2-63
接入层应用系统IP地址和Vian规划
接入层区域
专线系统
172.0.[0-254].0/24
无
4.2运维网IP地址和Vian规划
运维网区域
VPN接入部分
172.1.100.0/24
MBO区
172.1.1.0/24
298
5设备配置整体规范
5.1VTPprotocol
生产网里,所有Cisco交换机的VTP模式设置为Transparent模式,在每台启用VLAN的交换机上手工建立VLAN言息。
5.2SpanningTree
生成树启用协议:
Pvst
在隔离层中,汇聚交换机(6506和3750)作为网间网VLAN生成树的根,其中编号是1的交换机作为PrimaryROOT,编号是2的交换机作为SecondaryROOT。
启用Pvst后,不连接交换机的端口的PortFast功能默认打开。
5.3HSRP
在隔离层的接入交换机上的接入VLAN端口和互联网区的核心交换机
上的网间网VLAN端口幵启HSRP功能。
其中编号是1的交换机的默认状态为Active,优先级为110;
编号是2的交换机作为默认状态为Standby,优先级为90。
在设备上配置HSRP抢占。
5.4路由协议
在目前已知的条件下,网络实验室的专线接入区(A2)使用OSPF动
态路由协议,其他区域都使用静态路由
5.5设备安全配置
5.5.1设备访问控制
访问超时
linecon0
exec-timeout50
linevty04
访问源限制
ipaccess-liststandardTelnetAuth
permit172.1.1.00.0.0.255
access-classTelnetAuthin
RW字串
SNMP
为设备安全起见,SNMF被使用在只读模式,不在设备上配置
并且配置ACL限制访问源。
snmp-servercommunitysfitRO99
5.5.2网络设备服务
关闭全局不需要的服务
noservicefinger
noservicepad
noserviceudp-small-servers
noservicetcp-small-servers
noipbootpserver
noiphttpserver
noipfinger
noipsource-route
noipgratuitous-arps
noipdomain-lookupnoiphttpsecure-server
关闭接口不需要的服务
noipredirects
noipdirected-broadcast
noipproxy-arp
noipunreachables
幵启提高设备安全性的服务
servicepassword-encryption
5.5.3设备端口安全配置
通用配置
1.不使用的端口配置为Shutdown
2.光纤端口上幵启UDLD
广域网/互联网接入路由器
在连接外联设备的接口上关闭cdp(nocdpenable)
服务器接入交换机
1.连接服务器的端口配置为Access模式
2.连接服务器的端口配置portfast和bpduguard、bpdufilter
5.6设备互联规范
鹏越惊虹网络实验室生产网中的冗余设备互联分为主要有以下三种情况需要进行说明。
5.6.1冗余3750交换机连接冗余6506交换机
这种情况主要指隔离层的核心6506交换机连接隔离层接入3750交换机和接入层的汇聚3750交换机。
如下图所示。
两台3750交换机使用堆叠方式组成逻辑上的一台交换机;
两台6506交换机使用引擎上的两个光纤口组成EtherChannel进行互联。
每台3750交换机上各拿出一个端口,使用LACP协议组成EtherChannel连接到6506上。
6506和3750之间使用虚拟网间网Vlan端口进行互联,并在6506的互联端口上允许这些Vlan通过。
这样当某一台3750发生故障时,不会引起网间网Vlan的Spanning-Tree(生成树)的状态变化。
在6506上的网间网Vian端口(InterfaceVian)幵启HSRP协议,3750的静态路由的下一条地址就是HSRP勺虚拟地址。
5.6.2冗余3750交换机连接非冗余NetScreen防火墙
这种情况主要指接入层互联网接入区的接入208防火墙连接3750交换机。
两台3750交换机使用堆叠方式组成逻辑上的一台交换机。
每台
NetScreen208防火墙使用两个端口分别连接到两台3750交换机上,通过使用特有的Redundant特性,两个端口绑定在同一个冗余组里互相备份。
默认情况下,所有的数据应当通过左侧的交换机,当端口或线