网络改造方案.docx

1、网络改造方案黄冈矿业网络改造方案内蒙古万德系统集成有限责任公司2011-10-111用户需求分析内蒙古黄岗矿业有限责任公司的前身是内蒙古赤峰黄岗铁矿，1993年筹建，1996年投产，是克旗人民政府下属的全民所有制企业。2000年3月23日，中共克旗委第66次会议决定，企业改制为有限责任公司。公司更名为“内蒙古黄岗矿业有限责任公司”，由集通公司以承债的方式购买企业的主要产权，控股经营企业。2000年4月20日各方签定关于设立内蒙古黄岗矿业有限责任公司协议书规定：注册资本总额为2400万元人民币。2003年9月15日，中共克旗委第38次常委会议决定，同意内蒙古黄岗矿业有限责任公司增资扩股，由包头钢

2、铁（集团）有责任公司控股。同时根据内蒙古黄岗矿业有限责任公司章程修整案的规定，增设包头钢铁（集团）有限责任公司为新任股东。增设股东后的内蒙古黄岗矿业有限责任公司股东为6个，注册资本金为8139万元，即包头钢铁（集团）有限责任公司出资人民币5000万元，占注册资本金的61.4%，内蒙古集通铁路有限责任公司出资人民币1679万元，占注册资本金的20.6%，克什克腾旗人民政府出资人民币660万元，占注册金的8.1%，内蒙古赤峰地质矿产勘察开发院出资人民币646万元，占注册资本金的7.9%，克旗农电局出资人民币65万元，占注册资本金的0.8%，自然人出资人民币89万元，占注册金的1.2%。2004年9

3、月22日，内蒙古黄岗矿业有限责任公司股东会2004年第一次临时会议同意克旗政府把自己拥有的公司6%的股份以600万元人民币的价格协议转让给莲池控股有限公司，克旗政府的股东比例由8.1%减至2.1%。其他股东的股权比例不变。2005年8月，在克旗旗委政府的协调下，由内蒙古黄岗矿业有限责任公司将仍在三区边缘地带采矿的“克旗黄岗矿业有限责任公司” 以1500万元的价格收购。从此，形成了黄岗一，二，三，四区由内蒙古黄岗矿业有限责任公司独家采选的局面。1.1项目改造内容本次项目针对现网存在的问题，提出改造及完善建议。尤其针对出口安全及内网互联作出详细描述。1.2项目设计原则1.2.1设计原则设计原则是系

4、统设计时必须要考虑的总体原则，它必须满足系统设计目标中的要求，遵循系统性整体性、先进性和可扩充性原则，建立经济合理、资源优化的系统设计方案。系统平台作为黄冈矿业的一项重要的基础设施，为用户总体规划和技术要求提供保障，以便为用户提供一个先进、灵活、可靠、基于标准的多业务、多应用平台，不仅能够满足目前各种业务和应用要求，同时可为今后的发展及其业务、应用提供良好的扩展支持能力。因此，我们在进行方案设计时，应遵循以下设计原则。1.2.1.1先进性与合理性相结合的原则在本项目方案设计中，应“立足现在，着眼未来”，在保证技术成熟及性能稳定的前提下，顺应主流技术的发展趋势，充分采用当今国内、国际上最先进的计

5、算机软硬件技术和设备，使本项目系统能够最大限度地适应今后技术发展和业务发展变化的需要。其中，采用的系统结构应当是先进的、开放的体系结构。1.2.1.2可靠性和稳定性相结合的原则为保证黄冈矿业各项业务和应用顺利进行，网络系统和IT基础平台必须具有较高的可靠性和稳定性，要对网络结构、网络设备、服务器设备、配套设备和环境设施等多个方面进行高可靠性、高稳定性的系统设计与配置。首先，在设备选型上要选择成熟、可靠、稳定的产品；其次，要在系统整体结构与连接方式上对可靠性和稳定性进行充分考虑，要采用切实有效的系统冗余备份方式，提供高效的自愈能力，并在采用硬件备份、设备冗余等可靠性、稳定性技术的基础上，采用相关

6、的软件技术提供较强的管理控制机制和事故监控手段，从而充分保障系统是持续可用的。1.2.1.3实用性和可管理性相结合的原则应采用成熟、实用的技术满足当前的应用需求，同时兼顾其它应用及系统发展的运行需求，尽可能延续原有的设备、并保证与原有系统兼容。同时，应使用先进且实用的技术以适应更高的数据、信息的传输、处理需要，使整个系统在一段时期内保持技术的先进性，并具有良好的发展潜力，以适应未来信息化的发展和技术升级的需要。1.2.1.4可扩展性和开放性相结合的原则为保证本项目系统符合当今技术飞速发展的趋势，并满足系统发展的需要，在方案设计中必须充分考虑网络和服务器系统将来的扩展能力。其中，网络必须能够根据

7、信息化的不断深入发展，方便地扩展覆盖范围、扩大网络容量和提高网络各层次节点的功能。本项目系统这种工程应具备与多种协议的计算机通信网络互连互通的能力，因此为确保本项目系统基础设施的作用可以充分发挥，在结构上必须真正实现开放，采用基于国际开放式的标准，包括各种广域网、局域网、计算机，坚持统一规划的原则，从而为未来的业务发展奠定基础。1.2.1.5安全性和保密性相结合的原则安全性是本项目系统运行的生命线，在本方案设计中应给予充分考虑。国家对信息安全问题十分重视，信息产业部、中办机要局、国家密码管理委员会等有关部门对网络的信息安全问题制定了许多相应法规、规定，如中华人民共和国保守国家秘密法、计算机信息

8、系统保密暂行规定、涉及国家秘密的通信办公自动化和计算机信息系统审批暂行办法等。本项目的安全性方案应严格按照信息安全主管部门的有关规定设计，使本项目系统成为一个安全的通信平台，并确保系统信息传输的安全。本项目安全体系方案设计的原则是：1、整个系统必须是一个严密的安全体系；2、采取的安全措施不能影响整个网络的运行效率；3、系统设计应具有完善的安全管理机制，以保证网络和数据的安全；4、保证各个环节的安全保密，统筹规划；5、安全方案的制订和实施应遵循国家系统安全的相关规定。1.2.2建设原则建设应遵循如下指导原则：统一领导，统一规划，统一标准。以应用带发展，以效益促应用，分步实施，逐步完善。网络结构稳

9、定，易于升级、扩展；应用系统灵活，易于共享、沟通。网络安全，信息保密，稳定可靠，高效运行。综合考虑整体性、实用性、先进性和经济性。利用现有资源满足业务急需，保持持续发展。管理运行体系与工程建设同步进行。1.3项目设计思想1、组建安全、可靠、快速的三层汇聚交换网络。2、采用先进、成熟的技术3、保证原有系统的完整性和业务不中断4、旧系统的搬迁和新旧系统的无缝融合，软硬件应平滑过渡和升级5、采用高可靠、可扩展的设备和架构2项目整体解决方案2.1网络现状2.1.1现网拓扑2.1.2网络存在问题1.防火墙承担安全策略及路由NAT功能，X86架构的CPU不能满足用户及出口带宽的增长，造成网速变慢甚至CPU

10、超负荷后断网。2.核心交换机未启用三层功能，网关在防火墙上，内网用户通信流量再次转嫁至防火墙。3.用户上网行为不能监控，员工带宽不能限制，造成资源浪费。4.矿区之间使用光电转换器的不可靠连接，增加了故障率。5.用户普遍使用TP-LINLK作为接入设备，不方便管理。6.安全策略、路由协议等较落后，不满足现网需求。2.2改造建议2.2.1改造拓扑及描述二区新增核心路由及核心交换机，新增上网行为管理设备。一区、三区、四区、尾矿新增汇聚交换机。原有接入交换机作为用户接入设备，原设备均利旧使用，不造成资源浪费。内网安全策略、路由协议均重新规划。2.2.2改造后优势1.新增路由器启用NAT功能、分担防火墙

11、压力，防火墙只做安全策略。2.新增核心交换机启用三层功能，划分VLAN，优化内网环境并提供光接口。3.替换所有光电转换器为光接入交换机，较少线路故障率。4.原设备均利旧使用，不造成资源浪费。5.新增用户行为及审计功能。6.合理化的带宽分配，不会因员工下载造成网速缓慢。7.重新调试的网络策略更适于现在使用情况。3网络系统3.1组网方案网络做为一个系统的传输平台，它为业务系统提供了可靠传输通道，是业务系统的支撑系统，是一个系统的路，是一个单位信息化的基础。3.1.1组网拓扑目前，组网的拓扑结构设计中通常采用三种结构：星型、网状和部分网状结构。拓朴结构星型结构（Star）：星型结构是指所有的外围设备

12、通过单一链路连接到处于网络中心的核心设备上。星型结构的优点是节约线路开支，网络结构简单，易于增容与维护；但对中心设备与连接链路有依赖性，容易出现单点故障，要求中心节点必须保证高可靠性。在网络络设计中，针对主干框架的选择应充分考虑网络性能、维护难易程度以及可靠性等因素，同时也要考虑系统的性价比，从而权衡利弊，作出最为符合实际情况的结构方案。3.1.2分层网络设计优良的拓扑结构是网络稳定、可靠运行的基础。一个大规模的局域网络系统往往被分为几个较小的部分，它们之间既相对独立又互相关联，这种化整为零的做法是分层进行的。通常网络拓扑的分层结构包括三个层次，即核心层、分布层和接入层。每一层都有其自身的规划

13、目标：核心层处理高速数据流，其主要任务是数据包的交换。分布层负责聚合路由路径，收敛数据流量。接入层将流量馈入网络，执行网络访问控制，并且提供相关边缘服务。网络大都是依照上面的分层原则设计的星型以太网，配合各种最新的技术如VLAN、TRUNK、Qos等，极大地提高了网络的性价。其逻辑结构如下图所示：3.1.3IP地址规划IP地址的合理规划是网络设计中的重要一环，大型计算机网络必须对地址进行统一规划并得到实施。IP地址规划的好坏，影响到网络路由协议算法的效率，影响到网络的性能，影响到网络的扩展，影响到网络的管理，也必将直接影响到网络应用的进一步发展。在网络设计中IP编址方案的设计非常重要，它将直接

14、影响网络的运行效率。为了使网络达到最高的运行效率，在设计IP编址方案时要遵从以下原则：1、IP地址分层设计IP地址分层设计是指在分配IP地址时参考物理网络设计的层次结构和网络应用的逻辑层次结构，按层次划分IP地址。在分层设计中将地址按层次化结构进行分配，可有效避免随机分配所带来的地址浪费的可能性，使IP地址资源得到最有效的利用。在网络设计中，我们都要尽可能使路由表保持简洁，由于使用分层地址设计，使得路由总结技术的使用成为可能，它意味着计算路由和查找路由表时占用路由器CPU时间的减少、路由内存需求的减少。2、使用变长子网掩码变长子网掩码（VLSM）是指一个网络可以分层次配置不同的掩码。把一个网分

15、成多个子网时，变长子网掩码解决了子网数和主机数的可能冲突，保证更大的灵活性。如果没有VLSM，一个子网掩码只能提供给所有子网，可能造成不必要的地址浪费。VLSM还带来另外的好处就是可以更好地使用路由总结，VLSM允许在地址分配中使用更多的层次，从而在路由表中更好地使用路由总结。3、路由总结在大型的、复杂的互联网络中，可能存在成百上千的网络地址；在这种环境下，通常路由表中不需要包括所有这些路由。路由总结是通过使用单一的总结性地址来表示一系列网络号从而减少路由器所必须包含的路由数目的方法。路由总结的使用可以降低路由器内存的占用和路由协议的网络流量占用率。使用路由总结的另外一个好处就是它可以隔离其它

16、分区域内的拓扑结构的变化，也就是说，如果网络中某一部分区域的拓扑结构发生变化，而它的总结地址没有改变，那么它的结构变化带来的路由信息的更新将不会传到网络的其他分区域，从而提高整个网络的可靠性。4、尽可能使用保留地址段内部网不需要与INTERNET网络直接连接，IANA预见到了这个问题，并预留了A、B和C的一些网络号，以提供给内部网使用。这些预留地址如下所示：Class A Class B 16个B类地址Class C 256个C类地址任何组织都可以在他们的内部网中使用这些地址，同时这些地址将不会出现在INTERNET中，这样这些组织如果需要连入INTERNET的话，他们可以通过出口路由器地址转

17、换功能与INTERNET上的主机通讯，而不需要重新设定内部网络地址。IP地址空间分配，要与网络拓扑层次结构相适应，既要有效地利用地址空间，又要体现出网络的可扩展性和灵活性，同时能满足路由协议的要求，以便于网络中的路由聚类，减少路由器中路由表的长度，减少对路由器CPU、内存的消耗，提高路由算法的效率，加快路由变化的收敛速度，同时还要考虑到网络地址的可管理性。具体分配时要遵循以下原则：唯一性：一个IP网络中不能有两个主机采用相同的IP地址；简单性：地址分配应简单易于管理，降低网络扩展的复杂性，简化路由表项连续性：连续地址在层次结构网络中易于进行路径叠合，大大缩减路由表，提高路由算法的效率可扩展性：

18、地址分配在每一层次上都要留有余量，在网络规模扩展时能保证地址叠合所需的连续性灵活性：地址分配应具有灵活性，以满足多种路由策略的优化，充分利用地址空间。主流的IP地址规划方案分为纯公网地址、纯私网地址和混合网络地址三种。3.1.4IPv4地址规划地址编码规范建议校园（城域）网的IP地址进行严格的编码，每位代表不同的含义。其编码规则（举例如下）为：通过地址标识可以清楚地区分出IP地址地来源，便于路由汇聚和访问控制。从上表中我们也可以看出，通过我们的规划，我们能从IP地址分析出IP地址的来源、用途等，这将为网络的维护带来方便。具体的IP地址定义将结合实际情况确定。IP地址使用可以采用静态或动态的方式

19、，可以开启网络设备或服务器DHCP协议，对于固定IP地址用户，需要针对标识符（MAC地址）设定保留IP地址。3.1.5IPv4路由规划整个骨干网络采用动态路由协议，动态协议在整个骨干网中不会引起路由回环，利于骨干网的健壮性，也可以根据准旗教育局采用动态路由加静态路由方式。在汇聚与核心之间采用动态路由的方式，动态路由的方式可以减少网络中心人员的维护量。动态只在核心骨干中进行运行这样大大减少了骨干节点之间动态协议的收敛周期，在实际的应用的过程当中可以提高稳定性。3.1.6Vlan设计随着网络的迅速发展，用户对于网络数据通信的安全性提出了更高的要求，诸如防范黑客攻击、控制病毒传播等，都要求保证网络用

20、户通信的相对安全性；传统的解决方法是给每个客户分配一个VLAN和相关的IP子网，通过使用VLAN，每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。在交换机上基于端口划分VLAN时，可以在同一交换机划分多个VLAN，也可跨主干划分同一个VLAN，网络中应尽量使用本地VLAN的划分方法，并通过Trunk链路实现多个VLAN的跨主干连接，最终通过中心/核心/汇聚交换机的路由功能实现VLAN之间的通信。对VLAN进行集中管理的技术中，可以使用GVRP协议。GVRP（GARPVLANRegistrationProtocol，GARPVLAN注册协议）是GARP的一种应用，它

21、基于GARP的工作机制，维护交换机中的VLAN动态注册信息，并传播该信息到其它的交换机中。所有支持GVRP特性的交换机能够接收来自其它交换机的VLAN注册信息，并动态更新本地的VLAN注册信息，包括当前的VLAN成员、这些VLAN成员可以通过哪个端口到达等。而且所有支持GVRP特性的交换机能够将本地的VLAN注册信息向其它交换机传播，以便使同一交换网内所有支持GVRP特性的设备的VLAN信息达成一致。GVRP传播的VLAN注册信息既包括本地手工配置的静态注册信息，也包括来自其它交换机的动态注册信息。GVRP在IEEE802.1Q标准文本中有详细的表述。GVRP的主要作用是在802.1QTrun

22、k口上实现提供802.1Q兼容的VLAN修剪与动态VLAN创建。使用GVRP，交换机可以和其它使用GVRP的交换机交换VLAN配置信息，在802.1QTrunk链路上修剪不需要的广播和未知的单播流量，动态创建和管理VLAN。VLAN在交换机上的实现方法，可以大致划分为4类:1）.基于端口划分的VLAN这种划分VLAN的方法是根据以太网交换机的端口来划分，比如交换机的14端口为VLAN10，517为VLAN20，1824为VLAN30，当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机1的16端口和交换机2的14端口为同一VLAN，即同一V

23、LAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最广泛的方法，IEEE 802.1Q规定了依据以太网交换机的端口来划分VLAN的国际标准。这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果VLANA的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。2）基于MAC地址划分VLAN这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组。这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这

24、种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停的配置。3）.基于网络层划分VLAN这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的IP地址，但

25、由于不是路由，所以，没有RIP，OSPF等路由协议，而是根据生成树算法进行桥交换，这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。4）根据IP组播划分VLANIP组播实际上也是一种VLAN的定义，即

26、认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。5）推荐的VLAN划分方式及逻辑图根据用户应用的实际情况和我们多年的系统集成经验推荐VLAN的划分方式可以是按照基于端口的划分。可以按照部门的不同划分不同的VLAN，比如财务部门VLAN，人事部门VLAN,存储网络VLAN等，推荐的逻辑示意图如下：3.2网络优化系统安装完毕后，随系统的运行，新业务数据流的增加、原有业务数据的调整，其要应用设备运行效率会有所变化。系统的运行效率与系统各部分的参数有很大的关系，系统性能调优是

27、一个重要的工作，及时地为用户做系统性能调整，是一项必要的服务。我公司会对黄冈矿业网络系统在定期或不定期的巡检的同时进行系统性能的调化，也可以是在用户提出性能优化的要求时，我公司派出相应的工程师进行系统的优化。3.2.1上网行为管理何谓上网行为管理？帮助互联网用户控制和管理对互联网的使用，包括对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析。3.2.1.1为什么要管理上网行为“随着互联网的发展，它已经到了必须控制和管理的时代，因为网上充满了错误的信息、虚假的信息，和非民主的力量。”-蒂姆伯纳斯李（互联网之父）水能载舟亦能覆舟!互联网一方面能够帮助企业提高生产力、促进企业发展

28、；另一方面也在企业管理、工作效率、信息安全、法律遵从、IT投资等方面给企业提出了严峻的问题与挑战。网速为什么越来越慢？在办公室里经常会听到有人抱怨“网速为什么这么慢？”，几乎所有的企业都存在这样的问题。那么企业花钱租用的10M甚至100M带宽都被用在哪里了？为什么带宽不断扩充，而网速并没有明显改善？真相：带宽资源也许正被滥用!根据联通公司发布的一份调查显示：以迅雷、BT、eDonkey、KaZaA等为代表的P2P应用，消耗了40%以上的有效网络带宽。而在企业租用的有限带宽里，充斥着大量P2P下载、网络电视等应用流量，导致大量带宽被非工作应用所占用。而且，由于P2P的应用特征，使得企业高额投资的

29、带宽成了互联网公共服务。谁？在什么时间？可以拥有多少带宽资源？可以使用哪些网络应用？问题2：网络安全事故为什么防不胜防？“堵漏洞、砌高墙、防外攻、防内贼，防不胜防”，防火墙越“砌”越“高”，入侵检测越做越复杂，病毒库越来越庞大，身份系统层层设保，却依然无法应对层出不穷网络安全威胁，难道那么多安全产品都是摆设？真相：安全隐患来自内部员工!无论如何豪华的防线，一个漏洞就可以毁灭所有一切。Meta Group发布研究报告称：“持续增长的安全威胁源自您的员工”。内部人员通过互联网与外部通讯时，可能会引入含有恶意的或者攻击性的内容，如若未能得到监测和控制，这将成为企业的一大隐患。并且充满诱惑的网络资源往

30、往是风险的发源地。谁？在什么时间？是否可以上网？是否阻止访问可能含有安全风险的网络内容？问题3：办公室为成了免费网吧!据一项调查显示，普通企业员工每天的互联网访问活中40与工作无关，对色情等非法网站的访问量70都发生在工作时间。上班时间“上网休闲”已经成为普遍现象，聊天、游戏、炒股、购物、BBS、电影、博客等无时无刻不在抢占正常的工作时间，办公室因此沦为不需要花钱的“网吧”。谁？在什么时间？可以用什么应用？不可以访问什么网站？约束员工在互联网上的行为，其实是在帮助员工匡正工作行为，丢弃不好的习惯，成为一个专业、敬业的职业人，这对员工自身的职业发展也是大有裨益的。问题4：企业要为员工的网络行为背

31、黑锅吗？目前，大部分企业内部员工上网并不受限制，但是他们在网上做了什么？对外发了什么信息？企业完全不知情，也无记录可查询，这就给企业埋下了巨大的法律风险。某企业被当地公安局网络监察处执行严厉处罚，原因是查出该企业内有员工在网上发布了违反法律的信息，但是无法查出是哪位员工所为，最后企业只得为这名“幕后英雄”背黑锅。那么在这种情况下，企业必须为员工的个人网络行为负责吗？谁？在什么时间？以何种方式？对外发了什么信息？发给了谁？问题5：发现内部网络问题后不能快速的找到根源？当出口拥塞，网络访问异常时，只能通过网络层面的的设备分析原因，简单的插拔网线，复位设备，以希图问题解决。但本质，内在的源头无法定位

32、。IT系统追求的的是性价比，一位的迁就会隐藏更大的隐患，我们需要专业的洞悉网络问题应用源头的能力，能够分析问题的普遍性，严重性，共通性。利用上网行为管理产品能够做到：哪些人群的应用异常？哪些行为在单位内最普遍？哪些部门隐患最突出？3.2.1.2上网行为管理的实施步骤洞悉管控驾驭step1:企业要做好上网行为管理，必须先洞悉企业内使用互联网的过程中存在哪些问题？因为不同企业面临的问题不同，需要先了解到底有哪些问题？step2:然后分析问题的根源，再制定有针对性的策略管控问题；上网行为管理策略必须是有针对性的、个性化的，这样才能符合不同企业本身的管理制度、企业文化等的要求和需求；step3:最后通过审计报表了解问题解决的程度和效果，