华为整体网络解决方案.docx

1、华为整体网络解决方案项目编号: 华为网络整体解决方案 1概述 (3) 2企业网络建设设计原则 (4) 3华为产品解决方案 (6) 3.1整体架构设计 (6) 3.1.1总体网络架构 (6) 3.1.2有线网络解决方案 (7) 3.1.2.1核心层网络设计 (7) 3.1.2.2汇聚层网络设计 (7) 3.1.2.3接入层网络设计 (8) 3.1.3数据中心解决方案 (8) 3.1.4无线网络解决方案 (8) 3.1.4.1无线网络的建设需求 (9) 3.1.4.2无线网络解决方案 (11) 3.2高可靠性设计 (14) 3.2.1网络高可靠性设计 (14) 3.2.2设备高可靠性设计 (14)

2、 3.2.2.1重要部件冗余 (14) 3.2.2.2设备自身安全 (15) 3.3安全方案设计 (16) 3.3.1园区网安全方案总体设计 (16) 3.3.2园区内网安全设计 (17) 3.3.2.1防IP/MAC地址盗用和ARP中间人攻击 (17) 3.3.2.2防IP/MAC地址扫描攻击 (18) 3.3.2.3广播/组播报文抑制 (20) 3.3.3园区网边界防御 (20) 3.3.4园区网出口安全 (21) 3.3.5无线安全设计 (22) 3.3.5.1无线局域网的安全威胁 (23) 3.3.5.2华为无线网络的安全策略 (23) 4设备介绍. 错误!未定义书签。 4.1Quid

3、way? S9300系列交换机. 错误!未定义书签。 4.2Quidway? S7700系列交换机. 错误!未定义书签。 4.3Quidway? S5700系列交换机 (25) 4.4无线控制器WS6603 (32) 1 概述 企业园区网络承载企业所有IT基础设施和企业所有上层软件应用,对一个企业的重要性不言而喻。而且随着企业对于提高生产率、工作效率提升的重视,传统的办公方式也已存在诸多不便。无论是在办公桌前、会议室中,还是在公司的咖啡厅、待客室,今天的用户都需要方便地获取各种网络服务。 一个典型的企业园区网络通常由楼宇办公网络、数据中心、Internet出口、以将这四部分互联起来的主干网络组

4、成,其中办公网络可分为有线网络和无线网络。在规划与建设一个企业园区网络的时候,这些部分都要充分考虑。 同时,企业园区网络还面临着新技术不断涌现、企业应用不断增加的现实问题,如何构建一个保障企业未来510年扩展,同时兼顾设备的投资保护的企业园区网络,困扰着每一位企业CIO。 华为企业园区网解决方案结合了高性能的路由、交换基础设施和提升安全、可靠等特性,可协助企业构建一个安全、可靠、易接入、易扩展、易管理的企业园区网络。 2 企业网络建设设计原则 在网络建设项目中,我们应该遵循以下设计原则: 1)合理性、整体性原则 系统建设的功能必须充分满足网络安全性检测与分析、网络安全性监测和电子数据鉴定的需求

5、是系统建设的首要原则。 深入调研,全力做好网络与信息系统安全检测、监测和认证的需求分析, 这是系统成败的关键; 充分考虑已有资源(软硬件设备及人员)合理利用,避免出现不必要的 浪费; 系统建设尽可能模拟国内外最常用的几种网络应用模式。 系统建设要有一定的前瞻性。在网络建成后的3-5年之内,不会由于业 务量的增加导致对网络结构及主要设备的重大调整。同时要考虑实际的 应用水平,避免技术环境过于超前造成投资浪费。 2)标准化原则 为了保证用户的网络系统具有互操作性、可用性、可靠性、可扩充性、可管理性,应建立一个开放的、遵循国际标准的网络系统。 建设的方案要科学、正确、严谨、且现实可行; 采用的先进技

6、术应是成熟的、经过实践证明是成功的技术; 选用的软硬件平台应采用目前因特网和局域网上最常使用的软硬件厂商 的产品 3)先进性原则 系统建设应充分考虑网络通信技术和互联网技术的发展,建设是循序渐进的,初期重点应在网络基础环境和基本系统上: 系统可根据实际工作中的业务需求灵活地结构所需的网络与系统环境; 系统实现采用先进的网络技术、网络安全检测技术。 4)安全可靠性原则 本系统具有特殊性,因此安全保密性非常复杂。系统要有极强的自我保护能力。 选用具有C2安全级或B1安全级的系统软件平台; 配置功能齐全、可视化程度高的网管系统,对网络运行情况进行实时监 督和控制; 采取访问权限控制、设置密钥、数据更

7、新认证等多种手段保证数据安全。 5)可管理性原则 随着网络规模的扩大和系统复杂程度的增加,网络的管理、监控和维护,以及网络故障的诊断和排除变得越来越复杂。为了使网络系统易于管理和维护,本方案将提供先进而完善的网络管理系统。这样,即方便网络管理员的工作,减轻了劳动强度,也提高了网络系统的管理程度。 6)灵活、可伸缩性原则 为适应因特网和互联网络技术的发展,系统必须具有开放性和可扩充性。除单个设备本身的扩展能力之外,在网络系统的设计过程中,还需要考虑整个网络系统在未来几年的扩充能力和扩充办法。这样才能即照顾目前的应用需求,又能满足今后整个计算机系统的发展需要。 应用软件设计要采用结构化和模块设计方

8、法,使系统逻辑结构清晰、易 读,在功能的划分和设计时,使各模块尽可能相对独立、减少相关性以 易于扩充、维护和修改。 网络系统要具有异种设备的异种网络的互联互通能力,以达到保护已有 资源并能与其他信息系统交流信息的目的。 7)绿色节能原则 随着数据中心的不断壮大,数据中心的电费不断增长,目前,通信/IT设备节能是降低能耗的基础,采用底能耗的设备是节能减排最主要的途径。 3 华为产品解决方案 3.1整体架构设计 3.1.1 总体网络架构 整体网络解决方案总体设计以高性能、高可靠性、高安全性、有线无线一体化和统一的网管系统为原则,以及考虑到技术的先进性、成熟性,并采用模块化的设计方法,组网图如下所示

9、: 网络架构 整个网络的设计方案采用层次化、模块化的设计思路,按照接入层、汇聚层、核心层和出口层进行网络设备设计部署,通过模块化或者购买单独设备的方式提供WLAN AC控制器,在汇聚层交换机,提供防火墙、负载均衡器等增值业务功能,满足企业日益增长的业务需求。 整个网络的重要特征是不存在网络单点故障,交换机设备和链路都存在冗余备份,接入交换机与核心交换机通过双规或环网相连接,汇聚交换机双规接入核 心交换机,交换机之间采用TRUNK链路保证链路级可靠性。 3.1.2 有线网络解决方案 整个网络层次建议采用业界成熟的三层架构:接入、汇聚和核心,最后企业园区通过出口层网络设备(路由器或交换机)连接到外

10、网通过。 这种分层的网络架构,可以保证根据的业务需求,分别对不同层次进行扩容。 3.1.2.1核心层网络设计 核心层交换机部署在园区核心机房中,汇聚各楼宇/区域之间的用户流量,提供三层交换机功能,必须能够提供高速数据交换和路由快速收敛,要求具有较高的可靠性、稳定性和易扩展性等。对于园区网核心层,应该在提供大容量、高性能L2/L3交换服务基础上,能够进一步融合了硬件IPv6,可为园区构建融合业务的基础网络平台,进而帮助用户实现IT资源整合的需求。 所以建议核心层采用双机冗余备份的方式构造,消除单点故障,设备的关键部分采用冗余模式。从而实现整个骨干网络的高可靠性。骨干层建议采用10G 链路互联,达

11、到高带宽、高转发性能的效果。 本次建议采用华为的S9300高性能交换机构造核心层,实现高性能的骨干网络。华为S9300支持大容量、高转发性能,完全能够满足各网络的数据转发。3.1.2.2汇聚层网络设计 汇聚层交换机的重要性也是比较高的,一般部署在楼宇独立的网络汇聚机柜中,汇聚园区接入交换机的流量,一般提供三层交换机功能,汇聚层交换机作为园区网的网关,终结园区网用户的二层流量,进行三层转发。当路由协议应用于这一层时,具有负载均衡、快速收敛和易于扩展等特点,这一层还可作为接入设备的第一跳网关,能够承载校园园区融合业务的需求。 根据需要,可以在汇聚交换机上集成增值业务板卡(如防火墙,负载均衡器、WL

12、AN AC控制器)或者旁挂独立的增值业务设备(如WLAN 盒式AC等),为园区网用户提供增值业务。 汇聚层与核心层共同组建成骨干网络,所以汇聚设备的性能要求也是比较高的,建议采用10G的链路互联,达到万兆骨干网络。 汇聚交换机需要提供高密度的GE接口,汇聚接入交换机的流量,通过10GE 接口接到核心交换机,推荐使用S9300系列交换机作为园区汇聚层交换机。3.1.2.3接入层网络设计 接入层交换机一般部署在楼道的网络机柜中,接入园区网用户(PC机或服务器),提供二层交换机功能,也支持三层接入功能(接入交换机为三层交换机)。 提供网络的第一级接入功能,一般完成简单的二层交换,安全、Qos都位于这

13、一层。对于园区网的接入层设备,建议采用千兆二层接入的方式,应该具有线速二层交换、IRF智能弹性堆叠技术以及高级QoS策略等功能。 3.1.3 数据中心解决方案 数据中心的设计目标是实现高冗余、高带宽、高安全性、高可靠性等目的。数据中心内的网络设备主要是:核心交换机、核心防火墙、核心路由器、负载均衡设备。 核心交换机的主要功能是连接服务器,因此必须考虑企业未来的业务增长,核心交换机必须具有很好的扩展性,随着以后网络的扩展,必须具有多个插槽,以便以后网络扩展的时候能够增加网络模块。由于核心交换机在整个网络中具有十分重要的地位,因此核心交换机必须具有电信级的可靠性和稳定性,核心网络对数据的快速转发速

14、度要求很高,因此核心交换机需要具备高容量的交换带宽和包转发速率。我们建议采用华为的S7700系列高性能交换机,采用双机双电源。可实现万兆或者千兆接入,实现数据中心高转发性能的效果。并且可以通进扩展防火墙模块等方面,实现数据中心的安全。 3.1.4 无线网络解决方案 随着以太网的广泛应用,因特网的日益普及,以及移动终端的不断增加,人们对移动IP接入的需求迅速增长。无线局域网WLAN(Wireless Local Area Network )作为有线以太网的延伸,一定程度上满足了这种需求。 由于无线网络的部署灵活性高,所以受到很多用户的青睐,整个无线网络, WLAN 解决方案可以运行在现有的有线企

15、业网络的基础上,也可以采用一个独立的网络。它为园区提供了具有部署方便性、安全性、可扩展性的无线网络,让用户可以在园区中的任何可以收到无线信号的地方立即访问各种网络服务。 我们建议采用华为的无线解决方案,在核心网络中部署一套无线控制器,无线AP接入到接入层交换机上,各无线AP通过无线控制器统一管理。从而实现易维护、易管理。 3.1. 4.1无线网络的建设需求 在无线网络建设中,为了解决大规模部署情况下的统一配置、调整问题,以及射频的智能管理问题,现在无线网络建设普遍都采用了瘦AP建网模式。瘦AP的另一个好处是实现了三层漫游环境下避免重新认证,从而使漫游切换时间小于50ms。这对于企业的移动业务,

16、尤其是对切换时间要求最苛刻的语音业务意义重大。 然而,随着无线网络的发展,一些新的需求也逐渐变得越来越强烈。主要有以下几个方面: 稳定问题: 由于WLAN网络的组网设计包含无线控制器、接入交换机、无线接入点等大量设备,在大部分情况下,还需要通过以太网解决供电问题,所有这些环节都会影响校园无线网络的稳定性;同时由于无线信号的传播深受环境影响,多径等问题导致无线信号在不同方向上存在非常复杂的衰减现象,实际的信号覆盖和理想的信号衰减模型往往存在一定差异。所以如何实时根据环境动态调整无线接入点的信道、发射功率等也是经常困扰无线校园管理人员的难题。 安全问题: 由于无线网络的特殊性,园区无线用户的安全问

17、题就更加突出。对无线网络的用户来说,所有有线网络存在的安全威胁和隐患都同样存在。同时,任何不可信的无线设备可以在信号覆盖范围内进行网络接入的尝试,一定程度上也加剧了无线用户所面临的安全隐患。 无线网络的安全问题已经不再是单一的物理层安全,也包括了用户接入安全、网络层安全、设备安全、安全管理等多个层面上,如何能使企业无线用户在使用网络时能够像使用有线网络一样安全、可靠,正逐渐成为无线企业网络建设所关注的核心。 管理问题: 相对于FAT AP来说,虽然FIT AP解决方案帮助网区管理人员实现了无线网络的灵活安装与应用,但管理无线网络却仍然是一项非常耗时且麻烦的事情。在无线园区网络环境中尤为如此。

18、传统的FIT AP解决方案由无线控制器(AC)及无线接入点(FIT AP)构成,虽然整个无线网络具有一些设备管理、安全管理功能和用户管理功能,但是与有线网络难于统一,无法在整个企业范围内实现用户管理及认证、服务质量控制和安全策略实施等。因此,通常引入无线网络会降低安全性,整个网络管理起来比较复杂,并且维护成本也比预期高。把网络作为一个整体,整合有线和无线网络,实现统一的网络控制和管理,对于企业来说具有重要的意义。 扩展问题: WLAN 技术的发展日新月异,新技术、新标准层出不穷,除了呼之欲出的802.11n ,在教育行业一个重要的门槛技术是IPv6。所有的无线产品和解决方案都要为未来的升级和应

19、用做好准备。 应用问题: 随着WLAN 技术的逐步成熟,市场上各种各样的WLAN 终端如笔记本电脑、PDA 、双模手机、支持Wi-Fi 的游戏机、即拍即传的数码相机如雨后春笋般涌现出来,同时价格越来越低,普及程度越来越高,使得无线新业务在园区网中的丰富应用成为可能。如何在无线网络这个开放的平台上开展丰富的业务是建设者必须要考虑的问题。例如V oWiFi 、无线监控等业务,解决了园区内部和各园区之间通讯费用高、无线监控和无线多媒体教学的问题,让无线接入变得更有价值。 3.1. 4.2 无线网络解决方案 华为无线网络解决方案有效实现了有线和无线网络的融合,通过统一的硬件平台、统一的网络管理、统一的

20、用户管理、统一的应用安全,为园区用户提供安全的无线接入。根据用户需求, 通过在华为系列交换机中加入无线控制器插卡或无线管理中心 无线交换机 运营管理中心 办公楼 职工公寓无线业务应用移动数据业务Wi-Fi 语音漫游 者使用单独的无线控制器,就可为原有的有线网络提供无线支持,还可以像扩展和管理传统有线网络一样,对无线网络进行扩展和管理。 可以收到无线信号的地方立即访问各种网络服务。 安全性、高QoS保障 华为园区网络WLAN解决方案从用户接入安全、网络安全、设备安全等多个方面保障无线网络的安全,使园区用户安全可靠的使用WLAN网络。 用户接入安全:华为园区WLAN解决方案提供了多样化的用户接入认

21、证以及加密解决方案。无线接入认证主要支持基于MAC地址认证、802.1x认证、Portal 认证等保证用户安全合法的接入,支持WEP/TRIP/CCMP等加密措施防范无线接入用户数据被盗。同时可以通过部署VLAN隔离、端口隔离等业务隔离技术避免用户间相互影响。 网络安全:通过接入点对RF 环境的不间断扫描和监控,防止企业受到XX的不安全的WLAN 接入点或恶意接入点的影响。 设备安全:无线接入点AP提供“零配置”功能,无需在设备保存业务配置,仅启动的时候自动从无线控制器加载业务配置,这样可以避免设备丢失造成配置泄漏而形成对无线网络的安全威胁。 园区WLAN解决方案可以通过虚拟AP&VLAN构建

22、一个单独的访客网络为客户、供应商等访客人士提供互联网服务访问权限。 对于不同SSID承载的用户业务,由于无线空口资源有限,若某个SSID流量过大,比如访客访问Internet,则可能造成园区用户的不能正常访问无线网络开展业务。因此基于SSID的限速,可以避免其中一种业务流量过大对其他业务造成影响。 另外,基于快速漫游技术可以实现园区无线用户一次认证移动接入。用户移动到新的接入点时,如果用户之前已经认证过,则用户此时无需再次通过安全认证,直接接入,保证用户业务的连续性。 部署方便、扩展灵活 WLAN网络部署简化,安装便捷。WLAN的安装工作简单,它无需施工许可证,不需要布线或开沟挖槽。设备的零配

23、置部署功能可以在无线改造现有网络的基础上轻松部署WLAN。 无线控制器能轻松的管理数个到数十个甚至上千个的无线接入点。随着无线网络的扩展,新添加的无线接入点能自动检测到无线控制器,并下载相应的配置信息以及策略信息,无需任何手动操作。 统一的网络管理、智能运维 统一的网络管理设备可以实现有线无线网络的统一化管理,简易网络管理操作,结合智能化的网络运维提升了网络管理效率。 无线接入点能够监控环境温度变化,当环境温度低于零下10时,启动加热板,确保低温时的正常工作。而且无线接入点检测到电压将要无法供应的情况下(复位或故障),上报该告警,描述最后的工作状态,方便故障定位。 稳定性 华为 WLAN稳定性

24、解决方案从无线控制器的可靠性,接入交换机供电的可靠性、无线信号的可靠性这几方面入手,极大的提高了WLAN网络的可靠性;在实际的使用情况来看,启用这些措施之后,WLAN的可靠性能够得到明显的提升。 全面的PoE解决方案 PoE设备的原理是通过非屏蔽双绞线中四对线中的两对线来传输电源,传输数据的同时传输直流电。因为AP往往要求使用不间断电源(UPS)供应电力,采用PoE设备,AP端仅仅通过一根RJ-45网线与网络连接即可以同时传输数据和电力,因此在使用PoE设备的情况下,所有的AP都使用一个UPS在PoE设备端进行保护。如果不使用PoE设备,就需要给每个AP配一个UPS,而且还需要在AP附近安装电

25、源插座,增加了成本。因此使用PoE设备将大大降低设备成本和管理成本。 PoE具有非常明显的优势,具体如下: 简化安装,降低成本,不需为每个网络设备单独提供数据和电力线缆。 灵活性提高,网络装置可被安装在任何位置,而不需靠近一个已存在的电源输出口。 可靠性增强,有SNMP能力的PoE装置,可实施远程检测和控制,能有效地处理或修理装置的耗电量和(或)失效故障。 3.2高可靠性设计 3.2.1 网络高可靠性设计 针对二层接入(接入交换机是二层交换机、汇聚交换机作为用户网关)典型园区网架构,从接入层、汇聚层、核心层来分层考虑网络可靠性设计。 接入层网络是二层网络,接入交换机与汇聚交换机之间通过Smar

26、t Link/STP/RSTP/MSTP/RRPP保证网络可靠性,同时解决二层网络环路问题;汇聚层交换机之间通过VRRP(BFD for VRRP)协议确定用户的主备网关,交换机互联通过TRUNK链路,保证链路级可靠性,汇聚交换机与接入交换机之间可通过DLDP协议检测光纤单向故障(单通故障)。 园区网接入/汇聚/核心交换机通过虚拟化技术进行集群(或堆叠),将两台/多台交换机虚拟化成一台交换机,降低网络拓扑复杂度的同时,提高网络可靠性,是未来高可靠性园区网的发展趋势。 3.2.2 设备高可靠性设计 3.2.2.1重要部件冗余 设备本身要具有电信级5个9的可靠性,需要网络设备支持: 主控1:1备份

27、 交换网1+1/1:1两种方式 DC电源1+1备份;AC电源1+1/2+2备份 模块化的风扇设计,高端配置支持单风扇失效 无源背板,高可靠性 独立的设备监控单元,和主控解耦 所有模块热插拔 完善的各种告警功能 设备管理1:1备份 3.2.2.2设备自身安全 如下图所示,随着黑客工具的泛滥和使用的方便,使的网络攻击的成本越来越来,但危害越来越大。 这就要求具有强大灵活的自身防护功能,以不变应万变的方法,才能抵挡日益泛滥的网络攻击。 华为公司全系列园区网交换机(S9300/S7700/S5700/S3700/S2700)提供攻击防范功能,能够检测出多种类型的网络攻击,并能采取相应的措施保护设备自身

28、及其所连接的内部网络免受恶意攻击,保证内部网络及设备的正常运行。 华为全系列交换机支持的攻击防范功能包括防DDOS攻击、IP欺骗攻击、Land攻击、Ping of Death攻击、Teardrop攻击、ICMP Flood攻击、SYN FLOOD 攻击等。 另外,以太网交换机的MAC地址表作为二层报文转发的核心,在受到攻击的时候,直接导致交换机无法正常工作。发生MAC地址攻击的时候,攻击者通过不停的发送MAC地址来刷新,填充交换机的MAC地址表,由于MAC地址 表的规格有限,导致正常流量由于没有正确的转发表项而无法正常转发。ARP 攻击与此类似,通过攻击报文来更改MAC与IP地址的绑定,从而重

29、新定向流量。 华为全系列交换机可以通过MAC地址与端口的绑定以及限制端口/VLAN/VSI下MAC地址的最大学习个数可防止MAC扫描,并通过VLAN、IP、MAC之间的任意绑定可防范ARP攻击(SAI/DAI功能)。 华为全系列交换机支持黑洞MAC功能,园区交换机收到报文时比较报文目的MAC地址,若与黑洞MAC表项相同则丢弃该报文。当用户察觉到某MAC 地址的报文具有一定攻击性,则可以在园区交换机上配置黑洞MAC,从而将具有该MAC地址的报文过滤掉,避免遭受攻击。 3.3安全方案设计 3.3.1 园区网安全方案总体设计 从园区内网安全、边界防御、园区出口传输安全等多纬度、多层次进行安全设计和安

30、全防御,对企业内部进行安全区域划分、隔离和权限控制,对企业外部 用户访问进行安全控制、数据加密,防止恶意攻击。园区网全方位的安全设计方案保证内部、外部用户访问园区网资源的安全性。 3.3.2 园区内网安全设计 3.3.2.1防IP/MAC地址盗用和ARP中间人攻击 1)防IP/MAC地址盗用 DHCP Snooping技术是DHCP安全特性,通过建立和维护DHCP Snooping 绑定表过滤不可信任的DHCP信息,这些信息是指来自不信任区域的DHCP信息。DHCP Snooping绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID 接口等信息,DHCP Snooping绑

31、定表可以基于DHCP过程动态生成,也可以通过静态配置生成,此时需预先准备用户的IP 地址、MAC地址、用户所属VLAN ID、用户所属接口等信息。 园区交换机开启DHCP-Snooping后,会对DHCP报文进行侦听,并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。另外,DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文,而不信任端口会将接收到的DHCP Offer报文丢弃。这样,可以完成交换机对假冒DHCP Server的屏蔽作用,确保客户端从合法的DHCP Server获取IP地址。 2)防ARP中间人攻击 Dynamic ARP Inspection (DAI)在交换机上基于DHCP Snooping