湖南省消防总队机关办公大楼网络升级改造方案.docx

1、湖南省消防总队机关办公大楼网络升级改造方案湖南省消防总队机关办公大楼网络升级改造方案湖南天大天财科技发展有限公司2014年1月第一章项目分析1.1 总队机关办公大楼现状介绍湖南省消防总队机关办公大楼网络系统组建于2002年。其网络系统设备使用已达到12年，远远超过了国家规定设备报废年限，且在一定程度上满足不了总队机关办公的需求。为了进一步完成部消防局部署的信息化建设任务，完善总队机关信息中心建设，湖南省消防总队拟于2014年对总队机关办公大楼进行网络系统升级改造，主要涉及5楼、8楼、11楼、13楼、16楼的cisco等品牌交换机、视频会议系统华为MCU8650服务器及UPS不间断供电电源。1.

2、2 应用需求分析总队机关办公大楼内部、外部能有效的传递相关信息，提高信息交流速度和范围，达到双向以及多向的畅通传递，再根据所有信息制定出正确的策略，高效有力的在内部执行或与外界交流，都将是再次提高总队机关的核心竞争力、执行力和工作协作效率的关键因素。在总队机关日常工作中，各种相关业务的交流日益广泛，这些相关业务正常运行都离不开高速安全稳定的内部网络环境，为了提高总队机关的执行力、工作效率，总队机关决定建设一套更安全、更高速、更稳定的办公网络系统。由于总队机关办公大楼2002年建设时，使用的是多模光纤网络，因此本次升级改造首先需要拆除原有的多模光纤网络环境，然后新建单模光纤网络，并重新制作光纤配

3、线架。原楼层配线间至各房间的网线保留继续使用。本次升级改造还需要拆除各楼层原有机柜、电源及UPS和电池组，并新建机柜、电源、UPS和电池组。网络交换机在满足各楼层使用的情况下，还需另外提供2台作为备品备件使用。其次本次建设中还需更换总队视频会议系统华为MCU 8650服务器，增加一台录播服务器，实现对电视电话会议和视频培训的录像功能。并同时对总队原有华为MCU 8650服务器进行系统版本升级和会议控制软件升级，升级后的原有设备将作为备机使用。本方案中将要介绍的H3C网络交换机系统完全可以替代原有cisco等品牌网络交换机系统；UPS不间断供电电源能满足对升级后的网络环境的供电需求；视频会议系统

4、升级改造也能实现总队的需求。第二章总队公安网及互联网网络改造设计方案1.概述1.1网络建设的发展方向网络的智能化、可靠性、广覆盖要求：原有各自独立的路由、交换、安全等功能，现在都开始向融合方向发展，在这个演进发展趋势中，通用性的网络设备如何实现个性化、行业化的定制，成为网络智能化发展的方向，同时带来了集成化后的设备配置和管理方面的易用性要求；对于网络可靠性的保障，尤其是对核心层架构和设备的可靠性要求；对于在不同的环境下的接入技术的要求；网络对于多业务承载，需要逻辑隔离，并且端到端保障用户权限的控制等。数据中心的整合：应用系统将深度融合，数据高度集中，在数据大集中的过程中，原有分散建设的各自独立

5、的异构系统需要进行整合，需要有一套标准化的技术和协议对整合后的平台进行规范，有利于后续业务的发展和扩张。在这样的数据大集中后，最大的挑战是随之带来的风险的大集中，如何保障集中后数据访问的可靠、数据访问的安全？这不仅仅只需考虑网络，还有数据的备份和恢复，访问的安全控制等。全网全方位的安全：当前的安全也已经从单一的对网络安全防护，扩展到全方位的安全规划，不仅原有的防火墙、防毒墙、IPS在融合，对员工的安全认证、管理也必须考虑，还要考虑环境的安全，供电、防潮、防灰层等，这样才能构建一个真正意义上的安全环境。统一管理：诸多的网络设备、诸多的业务系统、诸多的访问用户，管理面临的是完全分散的，相互隔离的管

6、理资源，如何简单的做到整体资源的统一管理，只有通过面向业务的管理方式，统一资源、业务、人贯穿到整个业务平台。1.2湖南省消防总队网络现状分析省消防总队局域网络于2002年左右建设完成，至今已运行超过10年，现有网络的设备性能及组网架构已不能满足正常办公的应用需求，随着业务需求不断发展以及信息化技术的不断进步，越来越多的企事业单位通过信息化来完成其业务的部署，体验到了信息化带来的效率的极大提升。随着业务量的不断提高，如何通过信息化技术来提高办事效率的核心竞争力，是现所有网络管理人员重点关注的问题。本方案对湖南省消防总队的网络改造进行详细说明。省消防总队公安网及互联网主要存在如下问题：1.网络功能

7、分区不清晰，日常维护成本较高。目前的网络没有明确的接入层、汇聚层及核心层，也没有规划单独的数据中心区域，日常维护过程中，对单设备的操作容易引起整网的震荡。2.核心采用1台CISCO设备，运行时间超过10年，产品功能受限。同时现网络设备采用单设备组网，没有冗余设计，作为核心设备风险较大。3.核心设备不与楼层接入交换机互联的网络是通过光纤链路与核心交换机互联的，互联之间是采用单链路，稳定可靠性较差。4.安全方面：最近几年，陆续的进行过改造，数据中心及网络边界安全状况较好，但在网络接入层存在ARP病毒攻击，环路等现象时有产生，导致网络访问速率较低，或网络访问不稳定等情况。5.整个网络管理都是通过人工

8、方式对点对排除，效率较低，此外无法有效的预知网络存在的风险，隐患较大。6.接入设备前期全部采用24端口百兆接入交换机，没有任何冗余，信息点增加时， 只能通过增加交换机与设备进行串联，导致网络架构混，引起网络风暴，甚至网络出现环路，以至于网络访问缓慢，或不能访问。2.改造原则及设计标准2.1总队机关办公大楼网络改造原则根据现有网络的实际需求，在系统改造设计原则应以满足本阶段和总体项目的应用需求为基础，并具有良好的扩充能力，从实际应用和网络技术发展趋势来看，解决方案的选购应参考以下原则： 标准化计算机网络系统就是要实现网络信息及设备资源的共享，实现方便的信息交流，完成不同厂商的设备和计算机软件的互

9、连。在一个复杂的大型网络系统里，必然有多个厂商的硬件及软件，为了保证用户的网络系统具有互操作性、可用性、可靠性、可扩充性、可管理性，应建立一个开放式，遵循国际标准的网络系统。以避免造成用户在网络使用上的局限性。可扩展性由于用户业务的不断扩展，网络系统必然随之不断扩大。因此，目前的网络设计必须为今后的扩充留有足够的余地，以保护投资，使设计的计算机系统可以在一定的时间内满足不断增长的应用需求。先进性当今世界，通信和计算机技术的发展日新月异。我们的方案要适应新技术发展的潮流，满足用户对新应用的需求，并保证网络系统在若干年内不落伍，适应飞速发展的科学技术。有效性和可靠性方案要充分考虑用户的具体情况，不

10、仅理论上可行，更重要的是实际上可用和高效。最好地适应用户需求。为了使网络能可靠地运行，在方案中一方面要选用高品质的产品，把故障率降降到最低；另一方面，要使用系统容错技术，从而使停机损失率降到最低。可管理性随着网络规模和复杂程度的增加，管理和故障排除就越来越困难。现在的工作越来越多地依靠计算机系统，计算机将成为必不可少的办公设备，计算机系统的故障给我们带来的损失将越来越大。为了减少损失，必须尽快排除故障，使用的网络设备具备网管的能力，并且拥有一套良好的网络管理软件也就显得越来越重要。它可以减少故障排除时间，优化网络性能，节省开支，创造效益。我们的方案将提供先进而完善的网络管理。同时保证网络易于管

11、理和维护也是网络安全运行、可靠有效的重要因素。易用性任何一项高端的科学技术（包括计算机网络）开发的目的是更好的服务于人类，提高人们的办事效率，降低工作强度，提高工作质量。这就要求计算机网络的开发具有良好的易用性，真正成为工作的得力助手。安全性 安全性设计是网络设计中最重要的方面之一，每个单位都有秘密数据资源需要保护。最基本的安全性要求是保护资源以防止其无法使用、被盗用、被修改或被破坏。资源包括网络主机、服务器、用户系统、网络设备、数据。同时要考虑来自外部和内部的威胁，最重要的是制定一套严密的安全策略。2.2网络改造设计参考标准GB/T50314-2000 智能建筑设计标准JGJ/T16-92

12、民用建筑电气设计规范ISQ/IEC11801-95 信息技术互联国际标准ISO/IEC 9126:1991 GB/T 16260-1996 信息技术软件产品质量特性及使用指南ISO 9000-3:1997 质量管理和质量保证标准 第三部分ISO 9001-1994 在计算机软件开发、供应、安装和维护中的应用指南ISO/IEC 12207-1995 信息技术 软件生存周期过程GB 9386-1988 计算机软件测试文件编制规范GB/T 12504-1990 计算机软件质量保证计划规范YD/T 1800-2008 信息安全运行管理系统总体架构GB/T 21050-2007 网络交换机安全技术要求I

13、SO 7498 OSI 七层参考模型IEEE 802.3 快速以太网标准规范IEEE 802.3 千兆位以太网标准规范IEEE 802.10 虚拟网络标准规范3.湖南省消防总队网络改造设计详细说明3.1消防总队公安网总体设计本次湖南省消防总队公安网网络整体设计中，采用层次化、模块化的网络设计结构，并严格定义各层功能模型，不同层次关注不同的特性配置。总队机关办公大楼网络结构分成二层：即核心层与接入层。具体如下，核心层：设计新增两台高性能的万兆核心交换机，未来可升级支持40G/100G平台，2台设备之间通过双万兆链路进行互联，组网虚拟冗余系统，以提升网络的整体性能及可靠性。接入层：直接与用户终端连

14、接，上行通过双千兆光纤与网络核心设备互联。设计采用48端口全千兆交换机。数据中心区域：设计独立的服务器接入交换机，采用扁平化设计，上行直接与核心交换机连接。改造后整体网络拓扑图如下：3.1.1 公安网网络设备选型接入层：提供网络的第一级接入功能，完成简单的二、三层交换，安全、QoS都位于这一层。本方案设计拟对现有楼层全部接入交换机进行替换升级。接入层的设计目标如下：管理接入网络的终端设备。由于接入层是用户进入网络的入口，所以也是黑客入侵的门户。接入层通常用VLAN、包过滤等提供基本的安全性，保护局域网段免受网络内外的攻击。因此设计接入层设备时，应参考如下条例：1.支持VLAN的数量。同样为48

15、口交换机，但是支持的VLAN数量差别很多，有的支持64个，有的可高达256个。显然，这个数字也是越大越好，可以划分更多的VLAN。2. 链路聚合可以让交换机之间的链路带宽有非常好的伸缩性，使链路的带宽成倍增长。链路聚合技术可以实现不同端口的负载均衡，同时也能够互为备份，保证链路的冗余性。3. QoS功能。现在的局域网中不仅仅是数据，还有IP语音、视频等的传输，这些数据会有轻重缓急之分，如何优先保障关键数据的正常转发，这些都需要交换机QOS特性来实现。一个有QoS功能的接入层交换机就能够解决这种情况。4. Web管理界面。Web界面配置和管理起来非常方便，易于操作，对网管来说大大减轻了配置的工作

16、量。现在的交换机基本上都是Web管理界面了。WEB管理界面只是网管的一部分内容，目前大型网络都是由统一的智能管理软件进行统一的管理。5. 安全性也是需要考虑的一个因素，交换机应该可以根据端口、MAC地址/IP地址等指标，用来拒绝或限制14层的网络访问，还应对组播、广播和泛洪控制等常见的安全威胁有一定的处理能力。通过上述分析，本次方案设计在楼层接入交换机部署H3C S5120S-52P-EI，可以很好满足上述特性要求，在物理连接方面，设计采用双链路与核心交换机互联。通过链路聚合技术，不但可以保障网络链路的可靠性，同时可以提升上行链路带宽。核心层：网络的骨干，必须能够提供高速数据交换和路由快速收敛

17、，要求具有较高的可靠性、稳定性和易扩展性等。对网络的核心层，必须提供高性能、高可靠的网络结构，本次建议分别在公安网及互联网增加2台高端的万兆核心交换机S10508作为整个消防总队的核心交换系统。H3C S10500是杭州华三通信技术有限公司面向数据中心设计的核心交换产品，采用先进的CLOS多级多平面交换架构，提供业界最高的交换性能和最丰富的软件特性。S10500是目前业界性能最高的总队机关办公大楼网核心交换设备，单机可以提供864个线速万兆端口或者384个线速40G端口，提供超高密度万兆和高密40G、100G能力；为了满足网络虚拟化的要求，10500首次提出了IRF2（第二代智能弹性架构）、M

18、DC（多租户设备环境）和VCF（纵向融合架构）三种技术的融合，真正实现网络设备资源池化，给用户提供最灵活的选择；同时支持独立的控制引擎、检测引擎、维护引擎，为系统提供强大的控制能力和50ms的高可靠保障。3.1.2 公安网核心交换机设计核心层是网络的重中之重，本章节对核心网络设计进行详细说明。核心交换区的主要功能是完成各服务器功能分区、办公局域网、外联网之间数据流量的高速交换，是广域/局域纵向流量与服务功能分区间横向流量的交汇点。核心交换区必须具备高速转发的能力，同时还需要有很强的扩展能力，以便应对未来业务的快速增长。核心模块是整个网络平台的枢纽。因此，可靠性是衡量核心交换区设计的关键指标。否

19、则，一旦核心模块出现异常而不能及时恢复的话，会造成整个平台业务的长时间中断，影响巨大。核心交换机的建设需要如下：1. 高可靠网络架构层面，采用双核心设计，两台设备进行冗余，并通过虚拟化技术进行横向整合，将两台物理设备虚拟化为一台逻辑设备，并实现跨设备的链路捆绑，所各分区的交换机IRF相配合，实现端到端IRF部署。两台设备工作在双活模式，缩短链路故障与设备故障的倒换时间(毫秒级)，保证出现单点故障时不中断业务。2. 高速传输本次网络设计容量应保证未来10年内的业务扩展，S10508 支持10G，100G交换能力，可平滑升级，保障网络的高速传输。3. 易于扩展按照“核心边缘架构”的设计原则，核心模

20、块应避免部署访问控制策略（如ACL、路由过滤等），保证核心模块业务的单纯性与松耦合，便于下联功能模块扩展时，不影响核心业务，同时可以提高核心模块的稳定性。核心交换机的选型是按如下标准考虑的：高可靠设计传统单点设计，一旦一个部件出现问题，整个核心将瘫痪，给整网带来不可挽回的损失，其可靠性无法得到保障。本次建设采用得2台S10508核心交换机全部配置1+1冗余电源使用，提高网络的可靠性。虚拟化技术交换机虚拟化技术是当前网络中比较先进的网络技术，通过虚拟化技术的引入，简化原有网络核心的配置和结构，并且能够提高网络的可靠性，网络利用率和链路带宽等。H3C的S10508系列交换机支持业界先进的虚拟化技术

21、IRF2（第二代智能弹性架构），本次方案采用的2台核心交换机可以通过IRF2技术将2台设备虚拟化为1台。IRF2可以带来以下好处：让网络更简单：网络简化需要解决网络结构的简化，网络业务的简化，以及管理维护的简化这三方面的问题。通过在从核心到接入的整网部署IRF2技术，多台物理设备虚拟成一台统一的逻辑设备，不但网络结构简单清晰，原先需要每台设备逐一配置，现在只需配置一次即可，大大简化了设备的管理维护。此外，相比传统网络生成树+VRRP的部署方式，启用IRF2以后，二层不再需要配置生成树，也不再需要复杂的生成树多实例的规划，三层不再需要配置VRRP，不再需要复杂的路由规划和大量的IP地址消耗，从而

22、简化了网络业务。让网络更可靠：IRF的高可靠性体现在链路级、协议级和设备级三个方面。链路级：成员设备之间的物理端口支持聚合功能，IRF系统和上、下层设备之间的物理连接也支持聚合功能，这样，通过多链路备份提高了链路的可靠性。协议级：IRF系统提供实时的协议热备份功能，负责将协议的配置信息备份到其他所有的成员设备，从而实现1：N的协议可靠性。设备级：IRF系统由多台成员设备组成，Master设备负责系统的运行、管理和维护，Slave设备在作为备份的同时也可以处理业务。一旦Master设备故障，系统会迅速自动选举新的Master，以保证通过系统的业务不中断，从而实现了设备级的1：N备份。相比传统的二

23、层生成树技术和三层的VRRP技术，其收敛时间从N秒级缩短到毫秒级。让网络更高效：对高端交换机而言，性能和端口密度的提升会受到其硬件结构的限制，而IRF系统的性能和端口密度是IRF内部所有设备性能和端口数量的总和。因此，IRF技术能够轻易的将设备的核心交换能力、用户端口的密度扩大数倍，从而大幅度提高单台设备的性能。此外传统的生成树等技术为了避免环路的发生，会采用阻断一条链路的方式，而IRF2可以通过跨设备聚合等特性，让原本“Active-standby”的工作模式，转变成为负载分担的模式，从而提高整网的运行效率。同时，从设备本身的稳定可靠性来分析，目前高端设备设计时，主流的架构是CLOS架构。S

24、10508交换机采用CLOS架构设计。CLOS架构与传统的crossbar 架构的主要区别如下：Crossbar+共享缓存CLOS多级交换结构1，单平面交换；2，交换矩阵和控制统一，即引擎承担了交换和控制双重功能；1，多块交换网板共同完成流量交换2，控制和交换硬件分离转发能力受限于交换网片的交换能力和PCB单板制造工艺，单引擎达到1TB以上就很难提升。多块交换网板同时分担业务流量，相当于N倍于单级交换的能力，可实现510TB交换容量可靠性引擎倒换会丢包控制平面与转发平面硬件物理分离，引擎切换时不影响转发，可实现零丢包冗余能力引擎11冗余，双引擎负载分担式无冗余引擎11冗余，交换网板N+1冗余最

25、先进的CLOS架构，传统的高端交换机一般采用“Crossbar+共享缓存”的交换架构，引擎板即承担控制平面的工作，同时也承担数据转发平面的工作，跨槽位的流量转发报文需要经背板到引擎板的Crossbar芯片进行转发。这种架构限制了设备的可靠性和性能。可靠性限制：引擎需要承接数据转发平面的工作，因此在引擎出现主备倒换时必然会出现丢包。此外引擎11冗余，也使得Crossbar交换网只能是11的冗余，冗余能力无法做的更高。性能限制：受制于业界当前Crossbar芯片的工艺以及引擎PCB板卡布线等制造工艺，将Crossbar交换网与CPU主控单元集中在一块引擎板上的结构，一般单块引擎的交换容量不可能做的

26、太高（一般约1TB左右）。通过上述分析，湖南省消防总队公安网核心层设计部署2台核心交换机S10508,2台设备之间部署IRF2 虚拟冗余系统。3.1.3 公安网接入交换机设计湖南省消防总队公安网目前接入交换机是CISCO29 系列低端百兆交换机，全部为24口接入交换机。其软件特性及产品性能都不能满足业务的应用。按照设备选型标准，本方案设计在消防总队公安网接入层部署H3C S5120S-EI 全千兆接入交换机。H3C S5120S-EI支持丰富的ARP防御功能，实现用户合法性检查功能和ARP报文有效性检查功能，ARP限速，避免大量ARP报文对CPU进行冲击等。同时H3C S5120S-EI 支持

27、单端口多认证的统一部署方式，使得用户可以选择任何一种适合的认证机制来进行认证，且只需要通过一种方式的认证即可实现接入。客户端提供Guest Vlan功能，使得为被授权的访问端只能接入访问特定的资源，并且会采取相应的策略。支持L2（Layer 2）L4（Layer 4）包过滤功能，提供基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、TCP/UDP端口号、协议类型、VLAN的流分类。提供灵活的对列调度算法，可以同时基于端口和队列进行设置。本次消防总队公安网络接入层设计采用H3C s5120S-52P-EI 48口全千兆接入交换机，通过双光纤链路与核心交换机互联。3.1.4 网络管理软件

28、设计一套智能化的网络管理软件是网络必然存在的一部分，不但可以随时随地通过图形化的界面掌握网络运行的状态，也可通过图形化的界面对网络进行统一的维护。基于此，H3C 研究开发出IMC智能管理平台，基于多年的积累和对用户网络的深入理解，H3C智能管理中心（intelligence Management Center，iMC）平台为用户提供了实用、易用的网络管理功能，在网络资源的集中管理基础上，实现拓扑、故障、性能、配置、安全等管理功能，不仅提供功能，更通过流程向导的方式告诉用户如何使用功能满足业务需求，为用户提供了网络精细化管理最佳的工具软件，IMC的告警等信息可通短信、邮件等方式及时发送到网络管理

29、员，以便及时的处理网络中的问题。本次网络改造设计，推荐部署一套智能网络管理软件。H3C iMC智能管理平台实现网络资源、用户和业务的融合管理，提供基本的网络资源管理、拓扑管理、故障管理、性能管理、用户管理及系统安全管理，基于B/S架构，可以与H3C iMC 其他业务组件有效集成，形成多种解决方案。H3C iMC智能管理平台不仅可以实现H3C全线数据通信产品的管理，也可通过标准mib实现对Cisco、3com等各主流厂商的数据通信设备管理。系统安全管理功能主要有包括：操作日志管理、操作员管理、分组分级与权限管理、操作员登录管理等。所包含的主要功能有：操作员登录管理管理员通过制定登录安全策略约束操

30、作员的登录鉴权，实现操作员登录的安全性，通过访问控制模板约束操作员可以登录的终端机器的IP地址范围，避免恶意尝试另人密码进行登录的行为存在，通过密码控制策略，约束操作员密码组成要求，包括密码长度、密码复杂性要求、密码有效期等，以约束操作员定期修改密码，并对密码复杂性按要求设置。操作员密码管理管理员为操作员制定密码控制策略，操作员仅能按照指定的策略定期修改密码，以保证访问iMC系统的安全性。分组分级权限管理管理员通过设备分组、用户分组的设置，可以为操作员指定可以管理的指定设备分组和用户分组，并指定其管理权限和角色，包括管理员、维护员和查看员，实现按角色、分权限、分资源（设备和用户）的多层权限控制

31、；同时通过设置下级网络管理权限，可以通过限制登录下级网络管理系统的操作员和密码，保证访问下级网络管理系统的安全性。操作日志管理对于操作员的所有操作，包括登录、注销的时间、登录IP地址以及登录期间进行的任何可能修改系统数据的操作，都会记录详细的日志。提供丰富的查询条件，管理员可以审计任何操作员的历史操作记录，界定网络操作错误的责任范围。操作员在线监控和管理系统管理员通过“在线操作员”可以实时监控当前在线联机登录的操作员信息，包括登录的主机IP地址、登录时间等，同时，系统管理员可以将在线操作员强制注销、禁用/取消禁用当前IP地址等控制操作。iMC资源管理与拓扑管理作为整体共同为用户提供网络资源的管

32、理。本节讲解iMC的资源管理，下节讲解iMC的拓扑管理。网络自动发现可以通过设置种子的简易方式、路由方式、ARP方式、IPSec VPN、网段方式等五种自动发现方式自学习网络资源及网络拓扑，自动识别包括：路由器、交换机、安全网关、存储设备、监控设备、无线设备、语音设备、打印机、UPS、服务器、PC在内的多种类型网络设备；多种自动发现方式自动识别多种设备类型网络手工管理可以手工添加、删除网络设备，可以批量导入、导出网络设备，批量配置Telnet、SNMP参数，以及批量校验Telnet参数等辅助功能；网络视图管理支持IP视图、设备视图、自定义视图、下级网络管理视图等多种管理视图，用户可以从不同角度实现整个网络的管理；网络设备的管理从任何一种网络视图入口，都可以实现对网