波鸿集团网络改造及安全整体解决方案1Word文档下载推荐.docx
《波鸿集团网络改造及安全整体解决方案1Word文档下载推荐.docx》由会员分享，可在线阅读，更多相关《波鸿集团网络改造及安全整体解决方案1Word文档下载推荐.docx（59页珍藏版）》请在冰豆网上搜索。
2、在整个企业集团内实现所有部门的办公自动化，提高工作效率和管理服务水平；
3、在整个企业集团内实现资源共享、产品信息共享、实时新闻发布；
4、在整个企业集团内实现财务电算化；
5、在整个企业集团内实现集中式的供应链管理系统和客户服务关系管理系统；
在一期的建设中，我们将实现全网在中心本部设置统一的Internet出口，提供一台路由器，同时提供一台企业级的防火墙，隔离波鸿集团中心网络和Internet，提供DMZ区完成对外信息的发布。
从核心设备到接入设备都采用H3C的交换设备，使用万兆连接，核心交换机配置万兆电口模块，通过双绞线同各个接入交换机相连，达到一个合理的带宽结构，避免产生任何瓶颈。
✓二期安全规划的主要建设内容：
完善小型服务器群安全防护体系，根据初期的业务系统规模进行单链路安全防护体系建设，初期主要针对于承载业务系统的服务器的安全做建设。
此时需要关注的就是WEB服务器操作系统本身的漏洞管理，大多数的安全事件99%都是因为操作系统本身的漏洞导致的，因此漏洞管理的建设至关重要。
WEB服务器群前段则需要有WEB应用防火墙来进行专业的WEB应用防护，通过事前预警、事中防护、事后补偿的防护体系来进行WEB应用层的安全防护建设。
如为了考虑承载业务系统的主机操作系统的安全，可进行IPS部署，以防范互联网过来的安全攻击事件。
随着业务发展也为了后期的扩容考虑，当服务器发展到中型服务器群，就要开始进行安全域划分建设。
当承载业务系统的服务器数量不断扩容到一定的数量级，业务系统需要进行安全域安分，这样能更好地根据业务系统的严重级别进行分类管理。
划分安全域后则需要根据每个域功能的不同进行安全防护设计。
每个域的安全边界防护，需要有防火墙来进行边界隔离，严格控制各区域的访问。
同时该业务系统区应有安全审计系统、流量分析系统、安全运维审计系统进行防护。
完成全建设后，此时面临的就是如何更好地对外提供业务支撑了。
为了保障业务系统的连续性，出口处需要部署抗拒绝服务系统，进行DDOS流量的防御。
此时业务系统已经比较庞大，需要对运维人员进行安全培训，加强安全意识。
同时光有防护设备和运维人员安全意识的加强还不够，需要通过第三方专业安全服务厂商提供专业的安全服务，如安全预警通告、紧急事件响应服务、高级安全运维服务等。
✓三期VPN规划的主要建设内容
由于波鸿集团分公司多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。
利用VPN特性可以在Internet上组建世界范围内的IntranetVPN。
利用Internet的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个IntranetVPN上安全传输。
IntranetVPN通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。
企业拥有与专用网络的相同政策，包括安全、服务质量（QoS）、可管理性和可靠性
第3章一期基础网络建设
3.1需求分析
为适应企业信息化的发展，满足日益增长的通讯需求和网络的稳定运行，今天的大型企业网络建设比传统企业网络建设提出更高的要求，主要表现在如下几个方面：
1）现代大型企业网络应具有更高的带宽，支持10GE或将来平滑过渡到10GE，更强大的性能，以满足用户日益增长的通讯需求；
随着计算机技术的高速发展，基于网络的各种应用日益增多，今天的企业网络已经发展成为一个多业务承载平台，它不仅要继续承载企业的办公自动化和WEB浏览等简单的数据业务，还要承载涉及企业生产运营的各种业务应用系统数据，以及带宽和时延都要求很高的IP电话、视频会议等多媒体业务，因此数据流量将大大增加，尤其是对核心网络的数据交换能力提出前所未有的要求。
另外，随着千兆端口的成本持续下降，千兆到桌面的应用会在不久的将来成为企业网的主流。
从2005年全球交换机市场分析可以看到，增长最迅速的就是10G级别机箱式交换机，由此可见，万兆的大规模应用已经真正开始。
所以今天的企业网络已经不能再用百兆到桌面千兆骨干来作为建网的标准，它的核心层及骨干层必须具有万兆级带宽和处理性能，才能构筑一个畅通无阻的“高品质”大型企业网，从而适应网络规模扩大，业务量日益增长的需要。
2）现代大型企业网络应具有更全面的可靠性设计，以实现网络通讯的实时畅通，保障企业生产运营的正常进行；
随着企业各种业务应用逐渐转移到计算机网络上来，网络通讯的无中断运行已经成为保证企业正常的生产运营的关键。
现代大型企业网络在可靠性设计方面主要应从三方面考虑：
首先是设备级可靠性设计，这里不仅要考察网络设备是否实现了关键部件的冗余备份，还要从网络设备整体设计架构、处理引擎种类等多方面去考察；
其次是业务的可靠性设计，这里要注意网络设备在故障倒换过程中是否对业务的正常运行有影响；
再次是链路的可靠性设计，以太网的链路安全来自于它的多路径选择，所以在企业网络建设时要考虑网络设备是否能够提供有效的链路自愈手段和快速重路由协议的支持。
3）现代大型企业网络需要提供完善的端到端QOS保障，以满足企业网多业务承载的需求；
大型企业网络承载业务的不断增多，单纯的提高带宽并不能够有效的保障数据交换的畅通无阻，正如八车道的长安街也经常堵车一样，所以今天的大型企业网络建设必须要考虑到网络应能够智能的识别应用事件的紧急和重要程度，如视频、音频、数据流（MIS、ERP、OA、备份数据），同时能够调度网络中的资源，保证重要和紧急业务的带宽、时延、优先级和无阻塞的传送，实现对业务的合理调度才是一个大型企业网络提供“高品质”服务的保障。
4）现代大型企业网络应提供更完善的网络安全解决方案，以阻击病毒和黑客的攻击，减少企业的经济损失；
传统企业网络的安全措施主要是通过部署防火墙、IDS、杀毒软件以及配合交换机或路由器的ACL来实现对于病毒和黑客攻击的防御，但实践证明这些被动的防御措施并不能有效的解决企业网络的安全问题。
在企业网络已经成为公司生产运营的重要组成部分的今天，现代企业网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，才能有效的保证企业网络的稳定运行。
5）现代大型企业网络应具备更智能的网络管理解决方案，以适应网络规模日益扩大，维护工作更加复杂的需要；
当前的网络已经发展成为“以应用为中心”的信息基础平台，网络管理能力的要求已经上升到了业务层次，传统的网络设备的智能已经不能有效支持网络管理需求的发展。
比如，网络调试期间最消耗人力与物力的线缆故障定位工作，网络运行期间对不同用户灵活的服务策略部署、访问权限控制、以及网络日志审计和病毒控制能力等方面的管理工作，由于受网络设备功能本身的限制，都还属于费时、费力，有时甚至是不可能的任务，所以现代的大型企业网络迫切需要网络设备具备支撑“以应用为中心”的智能网络运营维护的能力，并能够有一套智能化的管理软件，将网络管理人员从繁重的工作中解脱出来。
3.1.1方案设计原则
本方案的设计将在追求性能优越、经济实用的前提下，本着严谨、慎重的态度，从系统结构、技术措施、设备选择、系统应用、技术服务和实施过程等方面综合进行系统的总体设计，力图使该系统真正成为符合该中学的网络系统。
从技术措施角度来讲，在网络的设计和实现中，本方案严格遵守了以下原则：
●实用性和集成性
系统的软硬件设计、还是集成，均以适用为第一宗旨，在系统充分适应企业信息化的需求的基础上进而再来考虑其他的性能。
该系统所包含的内容很多，必须能将各种先进的软硬件设备有效地集成在一起，使系统的各个组成部分能充分发挥作用，协调一致的进行高效工作。
●标准性和开往性
只有支持标准性和开放性的系统，才能支持与其它开放型系统一起协同工作，在网络中采用的硬件设备及软件产品应该支持国际工作标准或事实上的标准，以便能和不同厂家的开放性产品在同一网络中同时共存。
通信中应采用标准的通信协议以使不同的操作系统与不同的网络系统及不同的网络之间顺利进行通讯。
●先进性和安全性
系统所有的组成要素均应充分地考虑其先进性。
不能一味地追求实用而忽略先进，只有将当今最先进的技术和我们的实际应用要求紧密结合，才能获得最大的系统性能和效益。
网络的安全是事关重要的，在某些情况下，宁可牺牲系统的部分功能也必须保证系统的安全。
●成熟性和高可靠性
作为信息系统基础的网络结构和网络设备的配置及带宽应能充分地满足网络通信的需要。
网络硬件体系结构在实际应用中能经过较长时间的考验，在运行速度和性能上都应是稳定可靠的、拥有完善的、实用的解决方案，并通到较多的第三方开发商和用户在全球的广泛支持和使用。
同时，应从长远的技术发展来选择具有很好前景的、较为先进的技术和产品，以适应系统未来的发展需要。
可靠性也是衡量一个计算机应用系统的重要标准之一。
在确保系统网络环境中单独设备稳定、可靠运行的前提下，还需要考虑网络整体的容错能力、安全性及稳定性，使系统出现问题和故障时能迅速地修复。
因此需要采取一定的预防措施，如对关键应用的主干设备考虑有适当的冗余。
应急处理信息系统能够全天候工作，达到每周7*24小时工作的要求。
一个高可用性的系统才能使用户的投资真正得到回报。
●可维护性和可管理性
整个信息网络系统中的互连设备，应是使用方便、操作简单易学，并便于维护。
对复杂和庞大的网络，要求有强有力的网络管理手段，以便合理的管理网络资源，监视网络状态及控制网络的运行，因此，网络所选的网络设备应支持多种协议，管理员能方便进行网络管理、维护甚至修复。
在设计和实现时，必须充分考虑整个系统的便于维护性，以使系统万一发生故障时能提供有效手段及时进行恢复，尽量减少损失。
●可扩充性和兼容性
网络的拓扑结构应具有可扩展性即网络联结必须在系统结构、系统容量与处理能力、物理接连、产品支持等方面具有扩充与升级换代的可能，采用的产品要遵循通用的工业标准，以便不同的设备能方便灵活地接连入网并满足系统规模扩充的要求。
为了使所实现系统能够在应用发生变化的情况下保护原有的开发投资，在设计系统时，应将系统按功能做成模块化的，可根据需要增加和删除功能模块
3.1.2网络方案设计
3.2网络拓扑结构介绍
在此次波鸿集团大型企业网的设计中，我们采用层次化模型来设计网络拓扑结构。
所谓“层次化”模型，就是将复杂的网络设计分成几个层次，每个层次着重于某些特定的功能，这样就能够使一个复杂的大问题变成许多简单的小问题。
层次模型既能够应用于局域网的设计，也能够应用于广域网的设计。
层次化模型的好处：
在大型企业网设计中，使用层次化模型有许多好处，列举如下：
1、节省成本
在采用层次模型之后，各层次各司其职，不再在同一个平台上考虑所有的事情。
层次模型模块化的特性使网络中的每一层都能够很好地利用带宽，减少了对系统资源的浪费。
2、易于理解
层次化设计使得网络结构清晰明了，可以在不同的层次实施不同难度的管理，降低了管理成本。
3、易于扩展
在网络设计中，模块化具有的特性使得网络增长时网络的复杂性能够限制在子网中，而不会蔓延到网络的其他地方。
而如果采用扁平化和网状设计，任何一个节点的变动都将对整个网络产生很大影响。
4、易于排错
层次化设计能够使网络拓扑结构分解为易于理解的子网，网络管理者能够轻易地确定网络故障的范围，从而简化了排错过程。
3.3网络拓扑图
3.4网络设计
3.4.1骨干核心层网络设计
大型企业生产办公网络的核心网主要完成整个企业集团内部不同地域企业之间的高速数据路由转发，以及维护全网路由的计算。
鉴于大型集团企业的用户数量众多，业务复杂，QOS要求较高的特点，在本方案中采用H3C高密度多业务核心路由交换机组建高性能的核心网络平台。
H3C交换机是具有运营商级容错能力的高性能大型网络核心交换机，可为高校和运营商提供基于领先技术的卓越性能和可靠性。
专为发挥万兆、千兆以太网潜在的强大交换能力而设计，超大容量的交换背板使得包括万兆端口在内的每个端口具备全线速交换能力，确保在巨大的网络通信负载下始终能够轻松实现线速的第二层和第三层交换，是城域网、数据中心、智能大厦及企业网络骨干级核心路由交换机的理想选择。
在骨干核心层中，我们采用H3C核心路由交换机组成一个环形多机热备份的核心交换机系统解决方案。
为提高核心网络的健壮性，实现链路的安全保障，本方案骨干核心层环网中可以采用VRRP（虚拟路由器冗余协议）。
对于各个业务VLAN可以指向这个虚拟的IP地址作为网关，因此应用VRRP技术为核心交换机提供一个可靠的网关地址，以实现在核心层核心交换机之间进行设备的硬件冗余，一主两备，共用一个虚拟的IP地址和MAC地址，通过内部的协议传输机制可以自动进行工作角色的切换。
进而双引擎、双电源的设计为网络高效处理大集中数据提供了可靠的保障。
3.4.2核心层网络设计
大型企业生产办公网络的核心层网络主要完成园区内各汇聚层设备之间的数据交换和与骨干核心层网络之间的路由转发。
传统解决方案一般采用骨干路由器＋核心交换机来组建，但这种方式受限于交换机的性能，在提供MPLSVPN的业务能力方面较弱，不适合大型企业网络的建设需求，同时现在的大型企业办公网络具有城域网的特点，网络发展具有网络扁平化的发展方向，因此本方案骨干层网络设备采用H3C核心路由交换机作为大型企业生产办公网络的园区核心路由交换设备，H3C交换机具有强大的业务和路由处交换理能力，能提供如MPLSVPN、QoS、策略路由、NAT、PPPoE/Web/802.1x/L2TP认证等丰富业务能力，并可通过内置防火墙模块实现各种强大的网络安全策略，可以充分满足大型企业不同园区网络的高速数据交换和支持多业务功能的要求，并能够提供完善的安全防御策略，保障企业园区网络的稳定运行。
3.4.3汇聚层网络设计
汇聚层网络主要完成企业各园区内办公楼宇和相关单位的内接入交换机的汇聚及数据交换和VLAN终结，在本方案中采用H3C交换机多层交换机作为汇聚层面的交换机。
H3C交换机在提供高密度千兆端口接入的同时还能够满足汇聚层智能高速处理的需要,并能够加灵活的部署在网络边缘的各个位置。
能够同时提供多个高速专用堆叠端口和百兆、千兆光口/电口。
这些交换机都具备较强的多业务提供能力，可支持包括智能的CCL、MPLS、组播在内的各种业务。
为用户提供丰富、高性价比的组网选择。
3.4.4接入层网络设计
以往传统企业网络接入层的建设中并不关注于安全控制和QOS提供能力，而将网络的安全防御措施和QOS保障依赖于网络的汇聚层或骨干层设备，这给汇聚层和骨干层设备带来了巨大的压力，往往内网病毒泛滥成灾后导致骨干层设备瘫机，使网络没有QOS服务质量保障。
H3C智能宽带接入交换机是能满足高安全、多业务承载、高性能的网络环境智能交换机，具备传统二层交换机大容量、高性能等优点，同时还具有领先的安全特性，进一步加强了企业网络对边缘接入层面的安全控制能力。
用户可以根据需要来订制自身的安全策略并部署在此交换机上。
该产品具备的端口带宽限制、端口镜像、QoS、端口安全、广播风暴抑制等功能可以很好的协助用户实现网络的管理和维护。
除此之外，此交换机还具备多个专用堆叠接口，可以满足楼层，楼宇内多个交换机高性能汇聚的需要。
3.4.5广域网互联设计
针对于大型企业需要良好的出口网关设备，我们建议用户选用H3C防火墙。
该防火墙专为千兆位流量的网络服务运营商，大型数据中心等骨干网络而设计,采用2U专用千兆安全平台，完全模块化可扩展结构，具有热插拔特性的冗余部件为您提供最大的不间断运行时间。
3.4.6冗余/负载均衡设计
冗余设计是网络设计的重要部分，是保证网络整体可靠性能的重要手段。
但是投资也将增加。
部分企业园区网在早期的建设中由于成本的原因并未在设计中考虑冗余问题，而在优化工作中则需从网络链路和网络设备两方面着手。
冗余设计可以贯穿整个层次化结构，每个冗余设计都有针对性，可以选择其中一部分或几部分应用到网络中以针对重要的应用。
万一网络中某条路径失效时，冗余链路可以提供另一条物理路径。
可采用GEC链路聚合（IEEE802.3ad）实现端口级冗余，以克服某个端口或线路引起的故障。
也可采用生成树协议（IEEE802.1d）提供设备级的冗余连接。
此外，我们在设计中提供不同物理方向的双归属、双路由保护。
3.4.7网络设备冗余/负载均衡设计
当前，无论在企业网、园区网还是在广域网如Internet上，业务量的发展都超出了过去最乐观的估计，上网热潮风起云涌，新的应用层出不穷，即使按照当时最优配置建设的网络，也很快会感到吃不消。
尤其是各个网络的核心部分，其数据流量和计算强度之大，使得单一设备根本无法承担。
负载均衡建立在现有网络结构之上，它提供了一种廉价有效的方法扩展服务器带宽和增加吞吐量，加强网络数据处理能力，提高网络的灵活性和可用性。
它主要完成以下任务:
解决网络拥塞问题，服务就近提供，实现地理位置无关性;
为用户提供更好的访问质量;
提高服务器响应速度;
提高服务器及其他资源的利用效率;
避免了网络关键部位出现单点失效。
在此方案中，在网络的每个关键结点，我们在设计时都做到了对其有效的冗余备份和负载均衡。
3.4.8服务器冗余设计
企业网中服务器、大型机，如网络存储服务器，SQLServer服务器，其存储的数据对于企业来说致关重要，一些核心数据被视为企业的生命。
一方面它对企业的企业的重要性毋庸质疑，另一方面，由于这些数据的性质决定了其较大的被访问量，这个对服务器提出了稳定和快速的要求。
如果宕机,后果是技术是保障计算机系统的可靠性是重中之重。
为此，我们采用的是双机热备技术，此技术能够有效的满足核心服务器高效，稳定的高要求。
而且相对于其它成本技术来说，这是比较有经济价成效的技术。
3.4.9IP地址规划原则
IP地址构成了整个Internet的基础，IP地址资源是整个Internet的基本核心资源，IP地址资源的合理分配和有效利用是整个Internet发展过程中持续有效的一个极具分量的研究课题。
我们在对企业园区网IP地址编址设计和分配利用时，遵循了以下几个原则：
1）、自治：
整个网络被划分成几个大的自治区域，每个大自治区域中又被划分成几个小的自治区域。
2）、有序：
我们按照自治原则将网络进行逻辑划分后，就根据地域、设备分布及区域内用户数量来进行子网规划。
同时，我们将IP地址规划和网络层次规划、路由协议规划、流量规划等结合起来考虑。
在进行地址分配时，为了提高地址分配效率和地址利用率，我们在编址设计时按照了一定的顺序进行。
选择的顺序是自上而下的顺序，即采用了业界领先的自顶向下网络设计（Top-DownNetworkDesign）方法。
3）、可持续性：
考虑到园区内网络用户数将持续高速增长，网络所要承载的业务量和业务种类越来越多，这使得网络需要频频进行技术升级、改造和扩容。
所以，在进行地址分配时本方案充分考虑到了这些因素，为网络的每个部分留有部分地址冗余，这样保证网络的可持续发展。
4）、可聚合：
互联网日新月异的发展和日益庞大的规模令当初设计互联网络的专家始料不及，在路由表急剧膨胀情况下，可聚合原则是网络地址分配时所必须遵守的最高原则，可聚合原则要求在进行地址规划时，应提供足够的路由冗余功能。
5）、尽量节约IPv4地址：
由于IPv4地址越来越少，所以对于IPv4地址的使用需要格外节约。
IPv4地址的节约可以通过动态编址技术和NAT技术等来实现。
6）、闲置IP地址回收利用：
对于已分配出去的静态IP地址进行定期追踪管理，对长时间闲置的IP地址可经过确认后回收重复利用。
VLSM是可变长子网掩码的英文缩写，它提供了一个主类（A类、B类、C类）网络内包含多个子网掩码的能力，可以对一个子网再进行子网划分。
VLSM的优点
·
对IP地址更为有效的使用
应用路由归纳的能力更强
所以我们采取vlsm对网络进行编址，以达到节约ip地址，能够使用路由汇总的目的。
首先采用一个A类网址对园区网主体结构进行编址，至上而下的设计思路有利于设计的最后成型和网络的健壮性。
其次，在语音电话系统中，每一个ip电话需要一个ip地址以及诸如子网掩码、默认网关等的相关信息。
事实上，这意味着一个组织需要指派两倍于ip电话的ip地址给当前所有的pc用户，这个由DHCP提供。
我们使用私有遍址的IP电话作为语音电话遍址方案。
私有遍址IP电话：
10.2.8.3172.16.8.5IP电话使用172.16.0.0网络
—————
——————
IP电话+PC在同一交换机端口上/
/
————－
最后经过我们的计算，将各部门ip地址分配如下表：
IP地址网段
VLAN编号
默认网关
服务器功能区
192.168.10.0/24
10
192.168.0.254/24
监控功
升级会员 