某研发中心网络平台建设方案49824.docx

《某研发中心网络平台建设方案49824.docx》由会员分享，可在线阅读，更多相关《某研发中心网络平台建设方案49824.docx（15页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、某研发中心网络平台项目综述某研发中心是2009年10月23日正式揭牌启动运行的，研发中心占地面积为3.1万平方米，总建筑面积为4.5万平方米。研发中心分为南北两个相互对称的区域。研发中心以六大核心技术平台和六大支撑平台为技术支撑。构建了纵向从新药研发到联创研究，横向包含中药、化药、基因工程的全方位的研发体系。某研发中心网络平台主要向园区入驻企业提供高效、安全的用户接入服务，信息发布平台、资源共享和存储平台、园区内音视频服务。工程计划分期完成，一期工程只要是主干网络建设。主要完成网络接入服务。一、 建设原则实用性原则则以现有设备备为补充充，充分分考虑发发展的需需要来确确定系统统规模。安全性原则则

2、作为一个开开放的园园区网络络，对用用户的安安全以及及网络的的安全要要求较高高。成熟和先进进性原则则产品选型必必须是有有大量应应用的成成熟厂商商产品。该该品牌产产品需要要及时将将新技术术引用进进来，更更好的开开展业务务，同时时也要求求保证网网络与业业务的可可靠性。规范性原则则系统设计所所采用的的技术和和设备应应符合国国际标准准和国家家标准为为系统的的扩展升升级、与与其他系系统的互互联提供供良好的的基础。开放性和标标准化原原则在设计时，要要求提供供开放性性好、标标准化程程度高的的技术方方案；设设备的各各种接口口满足开开放和标标准化原原则。可扩充和扩扩展化原原则所有系统设设备不但但满足当当前需要要，

3、并在在扩充模模块后满满足可预预见将来来需求，如如带宽和和设备的的扩展，应应用的扩扩展和办办公地点点的扩展展等。保保证建设设完成后后的系统统在向新新的技术术升级时时，能保保护现有有的投资资。可管理性原原则整个系统的的设备应应易于管管理，易易于维护护，操作作简单，易易学，易易用，便便于进行行系统配配置，在在设备、安安全性、数数据流量量、性能能等方面面得到很很好的监监视和控控制，并并可以进进行远程程管理和和故障诊诊断。高可靠性原原则网络系统的的稳定可可靠是应应用系统统正常运运行的关关键保证证，在网网络设计计中特别别是关键键节点的的设计中中，选用用高可靠靠性网络络产品，实实现关键键节点冗冗余并完完成负

4、载载分担。避避免单点点故障。最最大限度度地保证证网络系系统的高高效运行行。二、 设计方案 主主干网络络设计如如下图所所示，系系统要求求为“核心-汇聚-接入”的三层层拓扑结结构。为为终端用用户提供供“千兆到到桌面”的高速速园区网网和多线线路接入入的innterrnett网络服服务。包包括北区区A1区区、B11区、CC1区及及南区AA2区、BB2区、CC2区的的网络主主干系统统建设。北区每每栋楼宇宇通过光光纤与核核心交换换机连接接。南区区采用借借助公共共网络采采用VNNP技术术和核心心交换机机连接。楼楼宇内采采用分楼楼层布置置接入交交换机的的方案。接接入交换换机通过过六类双双绞线或或更光纤纤与汇聚

5、聚交换机机相连。中心机房设A1楼6楼。以下简要描描述不同同层次所所执行的的功能：1. 核心层功能能核心层一般般是一个个高速的的交换主主干网，能能尽快地地交换数数据包。一一般不作作数据包包处理，例例如访问问控制和和过滤，这这些都可可能降低低数据包包的交换换速度。就目前园区的规划和发展前景，核心层网络设备应支持IPV6且数据交换能力应大于400Gbps。并且必须具备一定的业务扩展能力。考虑到园区网络是跨区域分区连接。核心层网络还应具备支持三层的MPLS VPN和二层的MPLS VPN，方便北区及南区的连接，考虑到后续的园区网络的发展，核心网络层设备还应提供丰富的无线业务扩展能力。2. 汇聚聚层功能

6、能其功能主要要包括地地址或区区域集合合、部门或或工作组组接入、广播和和多目广广播域定定义、VLAAN交换换、任何可可能的介介质传输输、安全。汇汇聚层交交换机要要你管考考虑到扩扩展性、可靠性性、分布性性的特点点，并具具有完备备的安全全控制策策略、丰丰富的QQOS策策略。3. 接入入层功能能功能组要包包括共享享带宽、交换带带宽、MACC层过滤滤。接入入层交换换机应具具备高效效的流控控管理功功能。根据某研发发中心网网络平台台千兆以以太网系系统需求求，分层结结构并不不一定要要有十分分清楚的的物理实实体区分分，有的的交换机机即可以以工作在在汇聚层，同同时也可可作为接接入层的的交换设设备。因因此我们们可以

7、根根据投资资规模等等省略汇汇聚层设设备，整整个网络络采用星星网状的的网络构构造。 4.外网部部分 某某研发中中心网络络平台的的外网主主要作用用是提供供Intternnet连连接共享享，相比比内网，外外网无论论是速率率还是稳稳定性要要求都相相对较低低，但并并不意味味着不重重视。考考虑到网网络的高高效性及及高可靠靠性。外外网设备备应具备备线路负负载及冗冗余功能能、丰富富的安全全管控能能力。北北区借助助多业务务汇聚层层设备连连接外部部网络，省省去购买买外部网网络设备备费用，而而南区考考虑使用用安全产产品连接接到外部部网络。两两区域通通过VPPN协议议形成私私有网络络。三、 系统选型根据甲方要要求，

8、和网络络管理便便于管理理的需要要，园区区所有的的数据产产品均采采用H33C的产产品。产品设备的的选型不不仅要考考虑到目目前的情情况，还还应考虑虑到今后后的发展展。就目目前某的规划及及发展前前景。我我们选用用H3CC公司最最新产品品的多业业务高端端交换机机S75503EE作为核核心层设设备，SS56000-26CC 以太太网交换换机作为为汇聚层层设备。选选用S550000E系列列（含224E及及48EE）全千千兆安全全智能交交换机作作为接入入层设备备。各设备业务务性能介介绍如下下：S775033E： 丰丰富的业业务，适适应融合合业务网网络发展展趋势。基于IRRF2（第第二代智智能弹性性架构）技技

9、术的虚虚拟化架架构不仅仅成为数数据中心心交换设设备高性性能、虚虚拟化的的关键技技术，而而且对于于传统企企业网应应用，IIRF22所提供供的高可可靠性和和无缝升升级、扩扩展能力力。S75033E支持持Mullti-VRFF特性，可可以作为为MCEE设备使使用；支支持三层层的MPPLS VPNN和二层层的MPPLS VPNN（Marrtinni、Kommpellla）；支持MMPLSS OAAM特性性，方便便用户的的管理和和维护；与H33C MMPLSS VPPN MManaagerr配合，实实现图形形化的MMPLSS部署与与维护。 全面支持VPLS，VLL，支持1K VPLS实例，4K VLL，

10、还支持分层VPLS以及QINQ+VPLS接入方式，提供端到端2层VPN接入方案，支持MPLS/VPLS全线速转发，满足VPLS规模部署要求。满足项目南北区连接的需要，相对于传统的线路租赁业务来说VPN不但节省了费用并且提高了园区网络的安全性H3C SS75003E支支持IPPv4/IPvv6双协协议栈,支持多多种隧道道技术，支支持IPPv4/IPvv6的组组播技术术，为用用户提供供完善的的IPvv4/IIPv66解决方方案；HH3C S75500EE采用分分布式体体系架构构，实现现IPvv4/IIPv66业务的的线速无无阻塞转转发；是是成熟商商用的IIPv66产品。H3C SS75003E有有

11、线无线线一体化化，集成的的无线控控制模块块提供丰丰富的业业务能力力，包括括精细的的用户控控制管理理、完善善的RFF管理及及安全机机制、快快速漫游游、超强强的QooS和对对IPvv6的支支持等；无线控控制模块块通过与与安全策策略服务务器的联联动，实实现对无无线接入入用户的的端点准准入防御御，提高高了整网网的安全全性。H3C SS75003E提提供完善善的安全全防护机机制，可可从控制制、管理理、转发发三平面面全面保保障网络络的安全全：在控控制平面面，内置置协议报报文攻击击识别模模块，防防止TCCN、ARPP等协议议报文攻攻击，OOSPFF/BGGP/IIS-IIS路由由协议采采用MDD5验证证，防

12、止止非法路路由更新新报文导导致的网网络瘫痪痪；在管管理平面面，SNNMPvv3网管管协议，SSH V2，基于802.1x、AAA/Radius的用户身份认证以及分级的用户权限管理保证了设备管理的安全性；在转发平面，支持IP、VLAN 、MAC和端口等多种组合精细绑定；支持uRPF单播反向路径转发，防止非法流量访问网络，采用最长匹配逐包转发机制，有效抵御病毒的攻击。H3C S7500E还支持内置的高性能防火墙、异常流量清洗等模块，将专业的安全融入到交换机之中。 H3C S7503E支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备

13、份；支持RRPP快速环网保护协议；支持Smart-Link协议，保证双上行网络拓扑的业务毫秒级快速切换。通过上述技术，H3C S7500E可以在承载多业务的情况下不间断运行，实现业务的永续。H3C SS56000系列列交换机机 H33C SS56000系列列全千兆兆智能弹弹性交换换机是HH3C公公司为设设计和构构建高弹弹性和高高智能网网络需求求而推出出的新一一代以太太网交换换机产品品。系统统采用HH3C公公司创新新的IRRF（Inttellligeent Ressiliientt Frrameeworrk，智智能弹性性架构)技术，支支持高达达96GG的堆叠叠带宽和和高密度度千兆端端口，支支持万

14、兆兆上行。S5600系列交换机采用IRF技术组网后，能够在整个堆叠组内实现控制平面和数据平面所有信息的冗余备份，极大地增强了设备和网络的可靠性，消除了单点故障，避免了业务中断。同时H3C S5600系列交换机不仅支持STP/RSTP生成树协议，还提供了基于多VLAN的生成树MSTP，极大提高了链路的冗余备份，提高容错能力，保证网络的稳定运行。支持VRRP虚拟路由冗余协议，与其他三层交换机构建VRRP备份组。构建故障时的冗余路由拓扑结构，保持通讯的连续性和可靠性，有效保障网络稳定。支持等价路由实现上行路由的冗余备份和负载分担。采用交、直流双输入电源模块供电，也可以通过更换电源模块来支持PoE功能

15、。S5600系列交换机支持EAD（端点准入防御）功能，配合后台系统可以将终端防病毒、补丁修复等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系，通过对网络接入终端的检查、隔离、修复、管理和监控，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中策略管理，提升了网络对病毒、蠕虫等新兴安全威胁的整体防御能力。S5600系列交换机支持特有的ARP入侵检测功能，可有效防止黑客或攻击者通过ARP报文实施日趋盛行的“ARP欺骗攻击”，对不符合DHCP Snooping动态绑定表或手工配置的静态绑定表的非法ARP欺骗报文直接丢弃。同时支持IP Source

16、Check特性，防止包括MAC欺骗、IP欺骗、MAC/IP欺骗在内的非法地址仿冒，以及大流量地址仿冒带来的DoS攻击。支持集中式MAC地址认证和802.1x认证。在用户接入网络时完成必要的身份认证，还可以通过灵活的MAC、IP、VLAN、PORT任意组合绑定，有效的防止非法用户访问网络。支持DUD（Disconnect Unauthorised Device）认证，通过MAC地址学习数目限制和MAC地址与端口绑定实现。支持用户分级管理和口令保护，支持MAC地址学习数目限制、MAC地址与端口绑定、端口隔离、MAC地址黑洞；支持防止DoS攻击功能。支持QoS Profile功能。和802.1x认证

17、功能相结合，可以动态的为通过认证的用户提供预先配置的一套QoS功能。用户在经过802.1x认证后，交换机根据AAA服务器上配置的用户名和Profile的对应关系，将相应的Profile动态下发到用户登录的端口上，为该用户提供量身定做的服务质量保证。支持SSH特性。用户通过一个不能保证安全的网络环境远程登录到以太网交换机时，可以提供安全的信息保障和强大的认证功能，以保护以太网交换机不受诸如IP地址欺诈、明文密码截取等等攻击。 H3C S50000EE系列全全千兆安安全智能能交换机机H3C SS50000E所所有的端端口提供供二层千千兆线速速交换能能力，保保证所有有端口无无阻塞的的进行报报文转发发

18、。支持持8022.1xx认证，安安全专区区提供多多种丰富富的安全全功能，可可以实现现IP+MACC+端口口+VLLAN四四元素绑绑定，并并可通过过DHCCP-SSnooopinng或者者智能绑绑定自动动获取绑绑定列表表，有效效防御AARP攻攻击、DDOS攻攻击及蠕蠕虫攻击击，并可可以方便便的实现现安全配配置文件件的导入入和导出出。提供供LACCP、SSTP/RSTTP功能能，可有有效实现现链路扩扩展及备备可以通通过weeb可视视化的界界面，对对交换机机的各种种功能进进行简单单方便的的操作。SecPaath F1000-MM：SecPaath F1000-MM基于HH3C 先进的的OAAA开放应

19、应用架构构，SeecPaath防防火墙能能灵活扩扩展病毒毒防范、网网络流量量监控和和SSLL VPPN等硬硬件业务务模块，实实现2-7层的的全面安安全。能能防御DDoS/DDooS攻击击（如CCC、SSYN floood、DDNS Queery Floood、SSYN Floood、UUDP Floood等等）、AARP欺欺骗攻击击、TCCP报文文标志位位不合法法攻击、LLargge IICMPP报文攻攻击、地地址扫描描攻击和和端口扫扫描攻击击等多种种恶意攻攻击，同同时支持持黑名单单、MAAC绑定定、内容容过滤等等先进功功能。支支持基础础、扩展展和基于于接口的的状态检检测包过过滤技术术；支持持

20、H3CC特有AASPFF应用层层报文过过滤协议议，支持持对每一一个连接接状态信信息的维维护监测测并动态态地过滤滤数据包包，支持持对应用用层协议议的状态态监控。集集成IPPSecc、L22TP、GGRE和和SSLL等多种种成熟VVPN接接入技术术，保证证移动用用户、合合作伙伴伴和分支支机构安安全、便便捷的接接入。可可以有效效的识别别网络中中各种PP2P模模式的应应用，并并且对这这些应用用采取限限流的控控制措施施，有效效保护网网络带宽宽；支持持邮件过过滤，提提供SMMTP邮邮件地址址、标题题、附件件和内容容过滤；支持网网页过滤滤，提供供HTTTP UURL和和内容过过滤。提提供多对对一、多多对多、

21、静静态网段段、双向向转换 、Eaasy IP和和DNSS映射等等NATT应用方方式；支支持多种种应用协协议正确确穿越NNAT，提提供DNNS、FFTP、HH.3223、NNBT等等NATT ALLG功能能。四、 具体方案设设计从网络应用用功能和和整体定定位出发发，整体体网络方方案将基基于层次次化的设设计，即即采用三三层结构构：即核核心层，汇聚层及接入层。核心层通过千兆链路连接汇聚层，汇聚层通过千兆链路连接接入层交换机，接入层交换机提供千兆连接到用户桌面的系统结构。设计初期充分考虑到某研发中心的发展规划和未来的前景，在核心层和汇聚层间设备采用模块化设计，为园区的后续发展预留万兆网络提升空间。在北

22、区核心层为未来的无线园区网络提供扩展接口和未来高效安全的园区网络提供深层安全防护接口。根据南北两两大园区区的地理理规划，网网络设计计如下：计算机机网络的的核心节节点设置置在位于于北区的A1公公共技术术服务平平台的六六楼信息息中心主主机房，该该节点将将配置11台核心心交换机机S75503EE，核心心交换机机通过光光纤线与与B1区区生物技技术及生生物药研研发平台台的一台台S56600-26CC、C11区国家家重大新新药创新新平台的的一台SS56000-226C连连接；核心交交换机在在A1区区也同时时担当汇汇聚层功功能，直直接与本本楼的接接入层交交换机一一台S550488E和一一台S550244E连

23、接接。B11区及CC1区汇汇聚层交交换机SS56000-226C分分别连接接接入交交换机（分分别为一一台S550488E和一一台S550244E ）。南南区网络络考虑到到前期企企业入驻驻和业务务开展等等问题，AA2区的的一台SS56000-226C与与B2区区、C22区的二二台S556000-266C接入入。让AA2区的的S56600-26CC既做汇汇聚层交交换机也也做南区区核心层层交换机机。同时时B2区区、C22区的二二台S556000-266C分别别连接一一台S550488E接入入交换机机。A22区的SS56000-226C同同时连接接一台SS50224E接接入交换换机。外网部分连连接为：

24、北区外外网通过过S75503EE的换路路由引擎擎模板直直接接入入intternnet，而而南区考考虑目前前业务的的开展情情况，用用一台HH3C SeccPatth FF1000-M直直接接入入intternnet，南南北两区区分别独独立接入入intternnet。通通过S775033E与FF1000-M的的VPNN功能组组件园区区自己的的私有虚虚拟网。前前期接入入为南北北园区均均采用网网通和电电信双线线路1000M接接入，并并在S775033E与FF1000-M上上做动态态负载均均衡。从从而构建建分区域域千兆园园区网，区区域间的的百兆安安全私有有网络。五、 网络拓扑结结构六、 设备报价清清单

25、单价价：元序号设备名称数量单位单价合计1H3C SS75003E以以太网交交换机主主机1台1870001870002H3C SS75000E 交流电电源模块块,14400WW1块952095203H3C SS75000E Salliennce VI-Turrbo交交换路由由引擎1块3360003360004H3C SS75000E 12端端口增强强型千兆兆以太网网光接口口模块(SFPP,LCC)1块4140004140005S56000-266C5台1350006750006S50488E6台53803228007S50244E4台28301132008H3C SSecPPathh F1100-M 主主机-交交流电源源1台9549.00 9549.009H3C SSecPPathh F1100-M 22端口110/1100BBaseeT模块块1块7410741010光模块-SSFP-GE-多模模模块36个125045000011网络管理服服务器DDELLLR 77101台448000448000七、八、九、十、