网络升级方案资料.docx

1、网络升级方案资料TCL空调器（武汉）有限公司办公网络改造方案建议湖北时代卓然科技有限公司二一五年十月二十六日一 公司简介.3二 网络状态分析.4三 网络建设目标.7四 网络改造总体设计.8五 设备选用介绍.11六 售后服务24一公司介绍湖北时代卓然科技发展有限公司是由IT技术、营销策划、企业管理等领域的精英组建的一家信息化科技公司，旨在为客户提供可信的商务渠道、专业的技术团队、系统的整合方案等优质服务。主营业务： 信息系统集成服务 信息技术咨询服务 数据的存储和备份 软件开发与销售 计算机和办公设备销售及维保湖北时代卓然科技发展有限公司整合全球知名信息产业资源，统筹客户需求以提供完美解决方案。

2、湖北时代卓然科技发展有限公司目前已与全球众多IT厂商合作，并且与多家国际顶级IT厂商（Cisco 、 Juniper、Radware 、F5、Polycom、IBM、Oracle等）保持长期合作伙伴关系。公司以信息化软硬件产品分销、系统集成、弱电集成和技术服务（IT基础设施系统集成服务、解决方案设计与实施服务及系统运维服务）为主要业务，并且为客户构建起一套适合其自身特点的IT服务链包括IT规划咨询服务、系统应用软件实和调试，等其他服务。力图使用户端信息化系统在兼容性、稳定性、维护性与扩展性等方面得到全面和快速的提升。公司多年来致力于计算机网络通讯安全及计算机应用软件服务等专业领域的研究及服务工

3、作，在网络和信息技术方面拥有大量的专业技术人员及丰富的实践经验，能够为用户提供广泛的网络与通讯方面的咨询服务和技术支持。公司与世界许多著名网络厂商有着良好的合作关系，与世界著名网络产品供应商、软件厂商签有协议，建立有长期业务伙伴关系，与这些公司合作为用户提供综合性的网络及智能大厦服务。公司的多位工程师是持有专业网络厂商资质证书的专业工程师，有多年的系统集成经验，可以为用户提供集成众多不同厂家的软硬件产品的最佳的系统解决方案。必要时我们还可以为用户取得设备厂商的直接技术支持和服务。二网络现状分析企业信息化与企业的生命力息息相关，现在企业的各种业务应用都是信息化的方式和手段去处理。公司日常业务的流

4、程审批、生产物料及产品的库存管理、人力资源管理等等都是通过各个信息化的应用系统来进行管理。每个系统都需要有计算机网络系统、服务器、磁盘整列等等来作为应用系统的基础硬件设备来做应用系统的载体。所以我们经常说一个公司的信息化建设的状况和一个公司能否在市场在占有一席之地息息相关的，而一个公司的网络建设情况是所有信息系统建设的基础，因此网络建设我们设计一个安全的、稳定的、且具有良好的可扩展性的网络。TCL空调器（武汉）有限公司网络状况如下：1) 公司信息点约200个。 2) 在公司大楼二楼东南角设有一间10平方米左右的房间作为公司的计算机机房，作为公司所有的信息设备的放置间。3) 公司现有一条DDN专

5、线用来和中山总部网络之间连接链路，另有一条ADSL做为公司的互联网出口，满足日常员工的上网需求。此链路上部署有防火墙和网络行为管理设备。4) 一条核心交换机下面连接着接入层的交换机，接入层的交换机连接着日常的终端的办公PC、笔记本等1.网络拓扑如下：2.目前存在的问题：1) 由于公司的网络布线建设时间较长，很多员工工位的信息点接口老化和松动，导致网络经常中断。2) 机房由于缺少专业人员维护和管理，机房内部线路连接混乱、标识缺失，故障时难于查询统计。原先配置的UPS设备未能正常使用，一旦发生意外造成设备损坏，会给企业造成无法估量的损失。3) 公司物流部门办公室距离中心机房直线距离约500米，之前

6、没有光纤敷设至此，导致部门内部上网速度慢，且不稳定。针对以上这些问题我们提出了一套整改方案。三网络建设目标根据实际考察和相互交流，本次网络设计的目标为：1) 网络建设为未来的发展提供良好的扩展接口是非常理智的选择。随着企业规模的扩大、业务的增长，网络的扩展和升级是不可避免的问题，因此对现有网络进行全面升级及其必要，所以我们将对老旧的基础网络设备进行全面更换。2) 之前公司各部门办公地点多由变更，且敷设网线信息点多由损坏，因此重新敷设新的网络线路以及更换新的信息节点已满足日益增多的办公需求。 3) 鉴于车间内部许多远离中心机房位置办公地点网速及办公效率，将重新敷设2条新的光纤线路。4) 在商品竞

7、争日益激烈的今天，企业对网络的管理也日益重要，且在很多企业在局域网和广域网络中传递的数据都是相当重要的信息，因此要对员工的上网行为进行管理，避免不合理的操作带来安全性的威胁，因此在主网络中将增设一台上网行为管理设备。5) 因机房时间较久，且之前设计要求未满足足够的安全需要，因此将对机房进行部分装修，如桥架走线重新梳理，敷设静电地板等。6) 新的线路敷设完成后，将对所有新的线路进行标示，管理，方便后续维护7) 为适应新的移动办公理念，将对整个办公区域进行无线覆盖。四网络改造整体设计1）机房改造检查设备安装场地是否符合电气和环境标准。输入电压允许范围：100V240V AC 50/60Hz 或 4

8、0V-60V DC工作温度：0C40C储存温度：-30C60C相对湿度：595%配线架内外网段及接口标识清晰，线路整理顺畅。将服务器、交换机等设备合理放置到机柜上，便利操作；2）全网设计说明核心交换机选用LS-5800-32C-H3为全千兆3层设备，提供强大的网络交换功能，满足公司内部网络交换需求。基于提升网络试用效率的考虑，采用深信服公司的AC-1200上网行为管理设备，审核网络应用，优化网络带宽。可针对内网用户采用不同分组制定访问策略，包括对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析。同时丰富的日志报告功能，对于上网记录进行审核，利于发现网络的潜在威胁。3）核心路

9、由选择考虑到使网络拓扑更加合理、今后更好的拓展性、有利于查出问题故障症结 ，我们将核心路由选H3C MSR56204）核心交换机选择根据需求我们选用LS-7006交换机作为网络的核心设备。LS-7006交换机是一款部署于企业核心的高性能交换机，在核心网络中网络的性能、IP服务、冗余性和故障弹性十分重要。LS-7006交换机是H3C公司自主开发的用于骨干网络的高速三层交换机产品，具备丰富的业务特性，提供IPv6转发功能以及最多4个10GE扩展接口。通过H3C特有的集群管理功能，用户能够简化对网络的管理。LS-7006千兆以太网交换机定位为企业网和城域网的汇聚或接入，同时还可以用于数据中心服务器群

10、的连接。5）上网行为管理设备选择上网行为管理是一种约束和规范企业员工遵守工作纪律，提高工作效率的工具，是行政管理的电子化辅助手段。上网行为管理设备无疑对企业网络访问的制度化管理起到了良好的辅助作用。上网行为管理设备选用深信服公司的AC-1200设备，AC-1200设备是一款多功能的网络信息安全管理审计系统。可详细记录网内受控人员，各种常用网络应用的使用情况，传送或接收的信息内容。并可配合网络管理或公司策略，对常用网络应用的使用情况与内容，进行记录备案以及弹性的策略管控。同时提供了详尽的统计分析功能，透过图表分析，使管理者对各种应用的使用情况，及对网络所造成的影响，尽在掌握。 AC1200是全方

11、位的网络内容安全解决方案，具有应用层(LAYER 7)延伸服务的内容管理与使用分析，过滤分析技术能涵盖网络层到应用层，以提供网络内容安全的纵衡防御服务。 包含不当信息拦截防护、策略管理、统计报表、流量控管.等多种管理功能，是企业进行多通讯端口的安全防护，及内容资产管理的最佳工具。能协助企业进行网络有效管理，提升网络资源的使用效益！6）无线控制及信息覆盖本方案根据办公区域的实际无线网络覆盖需求，基于TCL整体化无线网络架构方案，按照网络架构进行模块化分层部署设计，在整体办公区域有多个隔断和领导办公室，以及会议室，如何保证信号覆盖到办公区域的每一个角落，是本方案无线部署的重要需求，根据实际情况AP

12、的部署分布如下：7）网络改造补充说明根据贵公司工程师所提出的网络改造关键点，对于网络的优化改造补充说明如下：A 网线的敷设及信息点的安装因公司内部旧的网络设计及使用已超十年，因公司内部许多部门位置的变化及线路老化等原因，导致现在许多办公位置及网络为后续明线敷设，不美观且不稳定，以及许多旧的信息点已损坏。因此重新规划了新的线路及信息点，以满足现有的办公环境B 光纤的敷设因工厂空间大，部门分布广，许多办公区域都远离中心机房超过200米甚至更远，为满足各部门办公效率，且最经济性考虑，计划敷设两条新的光纤线路。 C. 机房防静电地板的敷设考虑到未来时间企业信息数据量的增加，贵公司现有的机柜和服务器甚至

13、存储很有可能需要扩容。目前贵公司机房实际铺设防静电地板的面积，为可使用面积的一半左右。我们建议用户在本次机房线路整理的同时，可以考虑将现有的一半铺设防静电地板，为将来的扩容做好充分的准备。 五设备选用介绍1）核心路由器选用H3C MSR5620；模块化企业级路由器，2个USB 2.0接口，支持3G Modem扩展，整机交换容量440Gbps，转发性能9Mpps；最大功耗300W 特性及优点 先进的技术支撑采用H3C成熟的Comware网络操作系统，提供更智能的业务调度管理机制，支持业务模块化的松耦合，并能实现进程和补丁的动态加载卓越的高性能多核CPU处理器，极大提升多业务并发处理能力支持OAA

14、开放式应用架构，支持云业务平台CVK、VMWARE、广域网优化（WAN）、Lync协同办公、客户第三方的业务等开放式应用自主创新的智能链路引擎CUBE技术，不仅提升了SIC卡的总线带宽，还可以自动灵活分配接口资源 强大的安全功能业务安全：报文过滤功能，支持状态过滤、MAC地址过滤、IP和端口号过滤、时间段过滤等支持业务流量实时分析等网络安全：多样化的VPN技术，包括IPsec、L2TP、GRE、ADVPN、MPLS VPN，以及多种VPN技术的叠加使用ARP攻击防范，支持源MAC地址固定、ARP报文攻击防范、地址冲突检测和保护、ARP端口限速、ARP Detection、ARP源MAC地址一致

15、性检查、ARP源抑制、ARP主动确认机制等设备管理安全支持基于角色权限管理，能够基于角色进行资源分配、用户与角色的对应、权限二维分配方式；支持控制平面流量限制，支持基于协议类型、不同队列、已知协议报文、指定协议报文等进行流量控制和过滤；远程安全管理，支持SNMPv3、支持SSH、HTTPS远程管理等；管理行为控制审计，支持AAA服务器集中验证、执行命令行授权、操作记录实时上报等 精细化业务控制通过精细化识别和精细化控制，实现对应用层业务的限速、带宽保障、过滤等功能，并通过精细化统计指导网络优化支持等价链路负载分担（ECMP）和非等价链路负载分担（UCMP），UCMP支持根据链路带宽比例进行负载

16、分担；业务智能选路通过非对称链路负载分担、流量智能负载分担和多拓扑动态路由等技术，实现不同场景下充分利用网络链路，支持基于带宽比例的负载分担、基于用户和用户组的负载分担和基于业务和应用的负载分担支持基于多种方式下网络带宽的弹性共享，包括基于业务的弹性共享、基于用户和用户组的弹性共享、基于链路的弹性带宽共享和基于用户的带宽限制 智能化网管完善的网络管理方式，支持命令行、SNMP等方式；支持零配置部署，可实现零配置方式下的批量设备开局，通过无线短信实现设备的零开局，并且在误配置时可自动实现设备配置的回退；Comware内置的EAA功能，对系统软硬件部件的内部事件、状态进行监控，出现问题时收集现场信

17、息并尝试自动修复,并能将现场信息发送到指定的Email邮箱；支持U盘系统自动启动、U盘配置自动导入和USB Console接口 高可靠性独立硬件处理模块监控系统，可编程器件支持在线升级和自动加载，增强产品的可靠性；链路毫秒级快速故障侦测技术（BFD），可实现同静态路由、RIP/OSPF/BGP/ISIS动态路由、VRRP和接口备份的联动；网络业务质量智能检测技术（NQA），可实现同静态路由、VRRP和接口备份的联动；支持多设备的冗余备份和负载分担（VRRP/VRRPE）；支持快速重路由、GR/NSR等可靠性技术。 绿色环保完全满足RoHS标准先进的风道隔离设计，电源与系统风道隔离设计，独特的双

18、L形风道设计，电源风道与系统风道两个L型风道提高了空间利用率；风扇级冗余备份设计，多级风扇调速方案，系统会根据产品内部温度确定系统需要的风扇转速，最大可能的降低了风扇噪音与能耗；智能节电管理，灵活定义HMIM/主控板/转发板节电策略，最大限度地降低设备能耗。规格参数：属性MSR56-60转发性能12Mpps40MppsUSB2.02，支持3/4G Modem扩展固定GE接口3GE（Combo）+ 2SFP+ / 4GE（Combo） / 4GE（Combo）+ 1SFP+CON/AUX1CON(Mini-USB Type AB)/SIC槽位/DSIC槽位/HMIM插槽6DHMIM1VPM2最大

19、功耗299W冗余电源内置(AC/DC/PoE)，N+0备份电源AC/POE:100V a.c.240V a.c.；50Hz/60HzDC:-48-60V机架高度（U高）4个机架高度（2RU）外形尺寸（WDH，mm）440480175.0环境温度045环境相对湿度595%（不结露）2）核心交换机选用H3C LS-7006H3C S7000系列产品是杭州华三通信技术有限公司（以下简称H3C公司）面向融合业务网络的高端多业务路由交换机，该产品基于H3C自主知识产权的Comware V5操作系统，进一步融合MPLS VPN、IPv6、等多种网络业务，提供不间断转发、不间断升级、优雅重启、环网保护等多种

20、高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。产品特点：IRF2（第二代智能弹性架构横向虚拟化）H3C S7006推出了IRF2为代表的软件虚拟化技术，提供2台主机的协同工作、统一管理和不间断维护功能；IRF2不仅成为数据中心交换设备高性能、虚拟化的关键技术，而且对于传统企业网应用，IRF2所提供的高可靠性和无缝升级、扩展能力，也成为H3C用户增值服务的重要组成部分之一。丰富的业务，适应融合业务网络发展趋势全面的业务能力H3C S7000产品均支持Multi-VRF特性，可以作为MCE设备使用； H3C S7000支持IPv4/IPv6

21、双协议栈,支持多种隧道技术，支持IPv4/IPv6的组播技术，为用户提供完善的IPv4/IPv6解决方案；H3C S7000采用分布式体系架构，实现IPv4/IPv6业务的线速无阻塞转发；H3C S7000已经通过了信息产业部的IPv6入网认证和IPv6 Ready第二阶段认证，是成熟商用的IPv6产品。全方位的安全保障，抵御多种网络安全威胁三平面安全保障机制H3C S7000提供完善的安全防护机制，可从控制、管理、转发三平面全面保障网络的安全：在控制平面，内置协议报文攻击识别模块，防止TCN、ARP等协议报文攻击，OSPF/BGP/IS-IS路由协议采用MD5验证，防止非法路由更新报文导致的

22、网络瘫痪；在管理平面，SNMPv3网管协议，SSH V2，基于802.1x、AAA/Radius的用户身份认证以及分级的用户权限管理保证了设备管理的安全性；在转发平面，支持IP、VLAN 、MAC和端口等多种组合精细绑定；支持uRPF单播反向路径转发，防止非法流量访问网络，采用最长匹配逐包转发机制，有效抵御病毒的攻击。电信级的高可靠性，保障用户业务长期稳定运行电信级高可靠性设计H3C S7000采用无单点故障设计，所有关键部件，如主控板、交换网、电源和风扇等采用冗余设计；无源背板避免了机箱出现单点故障；所有单板和电源模块支持热插拔功能；H3C S7000系列可以在恶劣的环境下长时间稳定运行，达

23、到99.999的电信级可靠性。多业务高可靠性运行H3C S7000支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备份；支持RRPP快速环网保护协议；支持Smart-Link协议，保证双上行网络拓扑的业务毫秒级快速切换。通过上述技术，H3C S7000可以在承载多业务的情况下不间断运行，实现业务的永续。基于IRF2架构的HAIRF2技术可以把多台S7000虚拟成一个“联合设备”，使用和配置都如同一台机器，而且扩展端口数量和交换能力，同时也通过多台设备之间的互相备份增强了设备的可靠性，提供毫秒级的链路收敛能力。简化了管理过程，降低

24、管理成本，并可根据实际需求平滑扩容网络容量。支持基于硬件的丰富的OAM故障检测机制，实现毫秒级链路故障检测。规格交换容量15.36Tbps/25.6TbpsIPv4包转发率2880Mpps/ 9600Mpps槽位数量8业务槽位数量6冗余设计电源、主控冗余系统管理支持设备在线状态监测机制，实现对包括主控引擎，背板，芯片和存储等关键元器件进行检测可靠性支持主控板1+1冗余备份支持电源1+1冗余备份采用无源背板设计所有单板支持热插拔支持热补丁环境要求温度范围：045相对湿度：10%95%（非凝结）安规和EMC认证通过了CE、FCC PART 15、TUV-GS、UL-CUL、ICES003和VCCI

25、的认证电源DC：48V60VAC： 100V240V外形尺寸（宽高深）(mm)436x 575 x 420满配重量(kg)77kg3）二层交换设备选用H3C LS5110-28P-SI产品特点全面的接入安全策略H3C S3100V2系列交换机支持EAD（终端准入控制）功能，配合后台系统可以将终端防病毒、补丁修复等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系，通过对网络接入终端的检查、隔离、修复、管理和监控，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中策略管理，提升了网络对病毒、蠕虫等新兴安全威胁的整体防御能力。H3C S3100V2系

26、列交换机支持特有的ARP入侵检测功能，可有效防止黑客或攻击者通过ARP报文实施日趋盛行的“ARP欺骗攻击”，对不符合DHCP Snooping动态绑定表或手工配置的静态绑定表的非法ARP欺骗报文直接丢弃。同时支持IP Source Guard特性，防止包括MAC欺骗、IP欺骗、MAC/IP欺骗在内的非法地址仿冒，以及大流量地址仿冒带来的DoS攻击。另外，利用DHCP Snooping的信任端口特性还可以有效杜绝私设DHCP服务器，保证DHCP环境的真实性和一致性。H3C S3100V2系列交换机支持端口安全特性族，可以有效防范基于MAC地址的攻击。可以实现基于MAC地址允许/限制流量，或者设定

27、每个端口允许的MAC地址的最大数量，使得某个特定端口上的MAC地址可以由管理员静态配置，或者由交换机动态学习。H3C S3100V2系列交换机有强大硬件ACL能力，能深度识别报文，支持L2L4包过滤功能，提供基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、IP协议类型、TCP/UDP端口、TCP/UDP端口范围、VLAN、VLAN范围等定义ACL，以便交换机进行后续的处理。并且支持基于端口、VLAN、全局定义和下发ACL策略。H3C S3100V2系列交换机支持集中式MAC地址认证和802.1x认证，支持用户帐号、IP、MAC、VLAN、端口等用户标识元素的动态或静态绑定，同时实现

28、用户策略（VLAN、QoS、ACL）的动态下发；支持配合H3C公司的iMC系统对在线用户进行实时的管理，及时的诊断和瓦解网络非法行为。支持对Proxy进行有效的管理。同时S3100V2-EI系列支持portal认证、Triple认证，在客户端多样的网络环境中，通过单端口多认证的方式，满足客户端可以通过适合的认证方式接入网络，实现业务的灵活部署增强的网络管理和维护的易用性H3C S3100V2系列交换机支持通过FTP、TFTP实现设备的远程升级，支持SNMP v1/v2/v3，可支持Open View等通用网管平台，以及iMC智能管理中心。支持CLI命令行，Web网管，Telnet，HGMP集群

29、管理，使设备管理更方便：H3C S3100V2系列交换机支持跨交换机的远程端口镜像RSPAN，可以将接入端口的流量镜像到核心交换机上，可以对全网业务和流量进行监控、优化部署和恶意攻击监控，满足园区网精细化管理的需要。H3C S3100V2系列交换机支持VCT（Virtual Cable Test）电缆检测功能，便于快速定位网络故障点；并支持DLDP（Device Link Detection Protocol）单向链路检测协议，可以有效的防止网络中单通故障的发生，大幅提高网络维护效率，切实将设备的易用性带给用户。高性能与灵活扩展能力H3C S3100V2系列交换机支持所有端口线速转发，满足了用

30、户对高带宽的需求。设备支持2个GE上行，采用2个固定10/100/1000兆自适应电口和2个复用的通用SFP端口，并且SFP端口既可以支持百兆光模块，也可以支持千兆光模块，在降低用户成本的同时，更好的考虑了用户后续升级的实际需求。H3C S3100V2系列交换机采用专利技术，允许交换机利用专用互联电缆实现多达16台设备的堆叠，最大扩展至384个10/100M端口，支持不同端口设备的混合堆叠。具有即插即用、单一IP管理。同时大大降低系统扩展的成本，保护了用户投资。丰富的业务支持能力H3C S3100V2系列交换机支持PoE（Power over Ethernet）技术，通过以太网对所连接的设备（

31、如IP Phone, Wireless AP等）进行远程供电，从而使得不必在使用现场为设备部署单独的电源系统，能够极大地减少部署终端设备的布线和管理成本。H3C S3100V2系列交换机支持端口限速功能，防止恶意侵占网络带宽，也为网络带宽的精细化管理提供了手段。H3C S3100V2系列交换机支持SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR三种队列调度算法，支持每个端口4个输出队列，可以以不同的优先级将报文放入端口的输出队列。H3C S3100V2系列交换机支持丰富的IPv6管理功能，包括IPv6单播地址配置，ICMPv6，IPv6邻居发现协议（ND），IPv6-TCP，IPv6-TFTP，IPv6-TRACERT管理特性。此外，S3100V2-EI还支持丰富的IPV6业务特性，包括IPv6 ACL，QoS，组播等。规格：