大型企业网络工程解决方案168.pdf

《大型企业网络工程解决方案168.pdf》由会员分享，可在线阅读，更多相关《大型企业网络工程解决方案168.pdf（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、大型企业网络工程解决方案 本方案是一个典型的实际工程可以根据需要和可能，参照此方案灵活应用。一、企业网络设计 （1)主干网设计 采用千兆以太网技术.千兆以太网技术特点是具有高速数据传输带宽,基本能满足高速交换及多媒体对服务质量的要求.易于网络升级、易于维护、易于管理,具有良好的价格比。传输介质 千兆传输距离0以内采用 50/125 多模光缆;千兆传输距离大于00m、小于 500时采用/25 单模光缆;百兆传输距离 20m 以内采用02多模光缆;百兆传输距离大于0m 采用 9/125 单模光缆.交换机。主干交换机的基本要求:机箱式结构,便于扩展;支持多种网络方式,如快速以太网、千兆以太网等；高性

2、能,高背板带宽及中心交换吞吐量；支持第二、第三交换,支持各种应用;高可靠性设计，如多电源/管理模块、热插拔;丰富的可管理能力等 中心机房配置企业级交换机作为网络中心交换机。为实现网络动态管理和虚拟局域网，在中心交换机上配置第三层交换模块和网络监控模块。主干各结点采用 1000Mbps 连接，服务器采用双网卡链路聚合 20Mbps 连接,客户采用交换式 10/100Mbp连接。）2(楼宇内局域网设计 要求采用支持 802 Q 的 10/100Mb工作组以太网交换机,交换机的数据依据用户端口数、可靠性及网管要求配置网络接入交换机，使 10100Mbps 流量接至桌面。(3）接入 Iternet 设

3、计 Iteet 接入系统由位于网络中心的非军事区（DMZ)交换机、WWW 服务、Emil服务、防火墙、路由器、Interet 光纤接入组成。(4）虚拟局域网 VLAN 设计 通过 VLAN 将相同业务的用户划分在一个逻辑子网内,既可以防止不同业务的用户非法监听保密信息、又可隔离广播风暴。不同子网的通信采用三层路由交换完成 各工作组交换机采用基于端口的 VLAN 划分策略，划分出多个不同的 VL组，分隔广播域.每个LAN 是一个子网,由子网中信息点的数量确定子网的大小。同样在千兆/百兆以太网上联端口上设置021Q 协议，设置通信干道（Trc)，将每个 VLAN 的数据流量添加标记，转发到主干交换

4、机上实现网络多层交换。）（虚拟专用网PN 设计 如果公司跨地区经营，自己铺设专线不划算,可以通过nterne采用PN 数据加密技术,构成企业内部虚拟专用网。(6）网络拓扑结构.这部分待续 二、网络安全性设计 网络系统的可靠与安全问题：a.物理信息安全,主要防止物理通路的损坏和对物理通路的攻击（干扰等)。链路层的网络安全需要保证通过网络链路传送的数据不被G。主要采用划分 VLA、加密通信等手段。c。网络层的安全需要保证网络只给授权的客户使用授权的服务,保证网络路由正确,避免被拦截或监听。d。操作系统安全要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计。e 应用平台的

5、安全要求保证应用软件服务,如数据库服务、电子邮件服务器、Wb 服务器、EP 服务器的安全）1(物理安全 机房要上锁,出入人员要严加限制。注意不可让人从天花板、窗户进入房间.机房电力要充足、制冷要合适,环境要清洁。从工作站到配线柜的配线应该布在偷听设备接触不到的地方配线不应该直接布在地板或天花板上，而应该隐藏在线槽或其他管道里.应该包括诸如火灾、水灾等自然灾害后的恢复流程.如美国 91世贸中心崩塌,大多数公司的数据得不到恢复。（)防火墙 防火墙应具管理简单、功能先进等特点,并且能够保证对所有系统实施“防弹”保护。一个优秀的防火墙具有内网保护、灵活的部署、非军事区（DZ)范围的保护、C状态提醒、包

6、过滤技术、CP/I堆栈保护、网络地址翻译、VPN 等功能。）3(网络病毒 在网络中心主机安装一台网络病毒控制中心服务器,该服务器既要与 Inter相连,又要与企业内网相连。该服务器通过eret 每每更病毒代码及相关文件,企业内部网络中的服务器、客户时刻处于网络病毒控制中心服务的监控下，更新本机的病毒代码库及相文件,对计算机的所有文件和内存实施动态、实时、定时等多种病毒防杀策略，以确保网络系统安全。（4)网络容错 集群技术.一个服务器集群包含多台拥有共享数据存储空间的服务器，各服务器之间通过内部局域网进行相互通信。当其中一台服务器发生故障时，它所运行的应用程序将由其他的服务器自动接管在大多数情况

7、下,集群中所有的计算机都拥有一个共同的名称,集群系统内任意一台服务器都可被所有的网络用户所使用.（5)安全备份与灾难恢复 企业信息管理最重要的资产不是网络硬件,而是网络运行的数据.理想的备份系统是在软件备份的基础上增加硬件容错系统,使网络更加安全可靠。实际上,备份不仅仅是文件备份，而是整个网络的一套备份体系.备份应包括文件备份和恢复,数据库备份和恢复、系统灾难恢复和备份任务管理。)6(网络入侵检测、报警、审计技术 入侵检测系统(IDSItrun Detection ystem）执行的主要任务包括：监视、分析用户及系统活动；审计系统构造和弱点;识别、反映已知进攻的活动模式,向相关人士报警;统计分

8、析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统,识别用户违反安全策略的行为。常见的 IDS 产品有 IS 的ealScure、CA 公司的eTust、Symntec 的rowler、启明星辰公司的天阗、上海金诺的网安、东软的网眼等。(7）局域网信息的安全保护技术 密码采用 9 位以上,每周修改 1 次 采用多层交换网络的虚拟网划分技术，防止在内部网监听数据 采用 NS 磁盘分区加密技术，使网上邻居只能是信任用户 采用iow域控制技术,对网络资源实行统一管理 采用AN(Storage Are Nework 存储区域网络）与AS(etwr Attachd Sore 网络连接

9、存储)保护数据。A技术允许将独立的存储设备连接至一台或多台服务器，专用于服务器,而服务器则控制了网络其他部分对它的访问.NS 将存储设备直接连接至网络,使网络中的用户和网络服务器可以共享此设备，网络对存储设备的访问则由文件管理器这一类设备进行管理 利用 SAN 结合集群技术提高系统可靠性、可扩充性和抗灾难性;利用 NAS 文件服务统一存放管理全公司桌面系统数据。(8）网络代理 采用 Pry 对访问nterne实行统一监控.限制用户访问的时间、访问的内容、访问的网址、访问的协议等等，同时对用户的访问进行审计.)(邮件过滤技术。采用具有过滤技术邮件管理系统,一般是针对“主题词”、“关键字”、“地址

10、（IP、域名）等信息过滤，防止非法信息的侵入。(1）重视网络安全的教育，提高安全意识.三、综合布线与机房设计 。把服务器、P、防火墙、路由器及中心交换机放置在中心机房,把各子系统的配线柜设置在各子系统所在的楼层.2。楼宇间光缆敷设 采用 4 芯以上的单模或多模室外金属光缆架空或埋地敷设。3.楼宇内 UTP 布线 采用MP 超五类 UTP 电缆、P 超五类模块、M信息面板、配线架、A超五类 UTP跳线实现垂直系统、水平子系统、工作区的布线.4。机房装修)1(地板。铺设抗静电三防地板，规格 6007，板面标高0。m,地板应符合 GB65082计算机机房用活动地板技术条件 (）吊顶。轻钢龙骨铝合金架

11、顶棚、顶部矿棉吸声板饰面。（3)墙面涂刮防防瓷、墙壁面刷乳胶漆。)(窗户。加装塑钢推拉窗、木制窗帘盒、亚麻竖百叶窗帘。(5）出入门。安装铝合金玻璃隔断推拉门。)6(照明。采用高效格栅双管日光灯嵌入安装。)7（配电。机房配电采用三相五线制，多种电源（动力三相 30V、普通 2和 US 输出 20V)配电箱为 UPS、空调机、照明等供电。配电箱设有空气开关，线路全部用铜芯穿 PVC 管。)8（接地.根据要求设计接地系统,其直流接地电阻小于、工作保护地和防雷地接地电阻小于 4。为保证优良的接地性能，采用 JD-型接地和化学降阻剂,此外，考虑机房抗静电的需求，对抗静电活动地板进行可靠的接地处理，以保证

12、设备和工作人员的安全要求 （9)空调。主机房P 柜机；分机房5 壁挂式空调机。5.UP后备电源.采用分散保护,集中管理电源的策略,考虑 APC 公司提供的电源解决方案。四、企业网应用系统 1.应用服务器。IBM 服务器首选,当然，也可以采用高档 PC 机，C 机的优点是便于更新换代。.软件平台采用 Widow 2003（主要使用 Dmain 域控制器,集成 DS服务),Rdat。0,laris。0（在 unix/linux 上运行 Oale 数据库,SR3 系统，基于 Lou DomnoNte的 OA 系统)3 数据库系统.采用 Oracle大型数据库,或 SQ Srver2000 数据库。4

13、.OA 办公系统.基于ts Dmin/Noes 的A 系统,Lus Dmi集成 EmailHTT等服务.。5 企业管理综合软件R。采用 SAP/R3 系统，一步解决未来企业国际化问题;或是用友 ERU系统。6。网络存储系统。五、网络系统管理。1 交换机、路由器管理。设备均是 Ciso 产品，使用 Csco Works 2000。2网络综合管理。H OpenVi集成网络管理和系统管理。pnView 实现了网络运作从被动无序到主动控制的过渡,使 IT 部门及时了解整个网络当前的真实状况，实现主动控制。Openiew 系统产品包括了统一管理平台、全面的服务和资产管理、网络安全、服务质量保障、故障自动

14、监测和处理、设备搜索、网络存储、智能代理、Iternt 环境的开放式服务等丰富的功能特性。3 桌面系统管理。LnDesk 工作站配置和管理工具，利用它的远程控制、远程软件分发和软件计量功能可以节省大量的时间。本方案是一个典型的大型企业网络工程解决方案，实际工程可以根据需要和可能,参照此方案灵活应用。一、企业网络设计）1(主干网设计 采用千兆以太网技术。千兆以太网技术特点是具有高速数据传输带宽,基本能满足高速交换及多媒体对服务质量的要求易于网络升级、易于维护、易于管理，具有良好的价格比.传输介质。千兆传输距离 500m 以内采用 50/15 多模光缆;千兆传输距离大于 500m、小于5000m

15、时采用 9/12单模光缆;百兆传输距离 2000m 以内采用 50/2多模光缆;百兆传输距离大于00m 采用 9/125 单模光缆。交换机。主干交换机的基本要求:机箱式结构,便于扩展;支持多种网络方式,如快速以太网、千兆以太网等;高性能,高背板带宽及中心交换吞吐量;支持第二、第三交换，支持各种P 应用;高可靠性设计，如多电源/管理模块、热插拔；丰富的可管理能力等。中心机房配置企业级交换机作为网络中心交换机.为实现网络动态管理和虚拟局域网,在中心交换机上配置第三层交换模块和网络监控模块。主干各结点采用 100Mbs 连接，服务器采用双网卡链路聚合 20bs 连接,客户采用交换式 10/100Mb

16、ps 连接。(2)楼宇内局域网设计 要求采用支持 82.1Q 的 10/0Mbps 工作组以太网交换机，交换机的数据依据用户端口数、可靠性及网管要求配置网络接入交换机，使 10/00Mps 流量接至桌面。（3)接入 Intne设计 Ieet 接入系统由位于网络中心的非军事区(DMZ)交换机、WW服务、Email 服务、防火墙、路由器、Internet 光纤接入组成。()虚拟局域网N 设计 通过LAN 将相同业务的用户划分在一个逻辑子网内，既可以防止不同业务的用户非法监听保密信息、又可隔离广播风暴。不同子网的通信采用三层路由交换完成.各工作组交换机采用基于端口的 VAN 划分策略,划分出多个不同

17、的 VLAN 组,分隔广播域。每个LAN 是一个子网,由子网中信息点的数量确定子网的大小。同样在千兆/百兆以太网上联端口上设置 802.1Q 协议，设置通信干道(Truc),将每个 VLAN 的数据流量添加标记,转发到主干交换机上实现网络多层交换。(5）虚拟专用网 VPN 设计 如果公司跨地区经营,自己铺设专线不划算,可以通过 Internt 采用 VPN 数据加密技术,构成企业内部虚拟专用网。（6)网络拓扑结构.这部分待续 二、网络安全性设计 网络系统的可靠与安全问题：a.物理信息安全,主要防止物理通路的损坏和对物理通路的攻击（干扰等)。b。链路层的网络安全需要保证通过网络链路传送的数据不被

18、 GG。主要采用划分 VLN、加密通信等手段。c。网络层的安全需要保证网络只给授权的客户使用授权的服务,保证网络路由正确,避免被拦截或监听。d.操作系统安全要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计.e.应用平台的安全要求保证应用软件服务，如数据库服务、电子邮件服务器、Web 服务器、EP 服务器的安全。)1(物理安全 机房要上锁,出入人员要严加限制。注意不可让人从天花板、窗户进入房间.机房电力要充足、制冷要合适,环境要清洁。从工作站到配线柜的配线应该布在偷听设备接触不到的地方配线不应该直接布在地板或天花板上，而应该隐藏在线槽或其他管道里。应该包括诸如火灾、

19、水灾等自然灾害后的恢复流程。如美国 91世贸中心崩塌，大多数公司的数据得不到恢复。)(防火墙 防火墙应具管理简单、功能先进等特点，并且能够保证对所有系统实施“防弹”保护。一个优秀的防火墙具有内网保护、灵活的部署、非军事区（DMZ)范围的保护、CP 状态提醒、包过滤技术、TCP/IP 堆栈保护、网络地址翻译、PN 等功能。(3)网络病毒 在网络中心主机安装一台网络病毒控制中心服务器，该服务器既要与nernet 相连,又要与企业内网相连.该服务器通过 Intrn每每更病毒代码及相关文件，企业内部网络中的服务器、客户时刻处于网络病毒控制中心服务的监控下,更新本机的病毒代码库及相文件，对计算机的所有文

20、件和内存实施动态、实时、定时等多种病毒防杀策略，以确保网络系统安全。)(网络容错 集群技术。一个服务器集群包含多台拥有共享数据存储空间的服务器,各服务器之间通过内部局域网进行相互通信.当其中一台服务器发生故障时,它所运行的应用程序将由其他的服务器自动接管.在大多数情况下,集群中所有的计算机都拥有一个共同的名称，集群系统内任意一台服务器都可被所有的网络用户所使用.（5)安全备份与灾难恢复 企业信息管理最重要的资产不是网络硬件，而是网络运行的数据。理想的备份系统是在软件备份的基础上增加硬件容错系统，使网络更加安全可靠。实际上，备份不仅仅是文件备份，而是整个网络的一套备份体系。备份应包括文件备份和恢

21、复,数据库备份和恢复、系统灾难恢复和备份任务管理。(6)网络入侵检测、报警、审计技术 入侵检测系统（IDS-Itsin Detection Sste）执行的主要任务包括:监视、分析用户及系统活动;审计系统构造和弱点;识别、反映已知进攻的活动模式,向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性;审计、跟踪管理操作系统,识别用户违反安全策略的行为。常见的 IS 产品有 IS的 ReaSecure、A 公司的 eTust、Symantec 的 NetPower、启明星辰公司的天阗、上海金诺的网安、东软的网眼等.（)局域网信息的安全保护技术 密码采用位以上,每周修改 1 次 采用

22、多层交换网络的虚拟网划分技术,防止在内部网监听数据 采用 NFS 磁盘分区加密技术，使网上邻居只能是信任用户 采用 Winows 域控制技术，对网络资源实行统一管理 采用AN（Storage rea etwor存储区域网络）与 NAS（Netor Atached tora网络连接存储)保护数据。N 技术允许将独立的存储设备连接至一台或多台服务器，专用于服务器，而服务器则控制了网络其他部分对它的访问。NAS 将存储设备直接连接至网络，使网络中的用户和网络服务器可以共享此设备，网络对存储设备的访问则由文件管理器这一类设备进行管理.利用结合集群技术提高系统可靠性、可扩充性和抗灾难性;利用 NA文件服

23、务统一存放管理全公司桌面系统数据 (8)网络代理 采用 Poxy 对访问ntret 实行统一监控。限制用户访问的时间、访问的内容、访问的网址、访问的协议等等，同时对用户的访问进行审计。（9）邮件过滤技术。采用具有过滤技术邮件管理系统,一般是针对“主题词”、“关键字”、“地址（IP、域名)等信息过滤，防止非法信息的侵入。（0)重视网络安全的教育，提高安全意识。三、综合布线与机房设计 1。把服务器、UPS、防火墙、路由器及中心交换机放置在中心机房,把各子系统的配线柜设置在各子系统所在的楼层。.楼宇间光缆敷设 采用 4 芯以上的单模或多模室外金属光缆架空或埋地敷设.楼宇内 UTP 布线 采用 AMP

24、 超五类T电缆、M超五类模块、AMP 信息面板、配线架、AP 超五类T跳线实现垂直系统、水平子系统、工作区的布线。机房装修 (1）地板。铺设抗静电三防地板，规格 600*0*,板面标高。0m,地板应符合B66502 计算机机房用活动地板技术条件 ）2（吊顶.轻钢龙骨铝合金架顶棚、顶部矿棉吸声板饰面。()墙面。涂刮防防瓷、墙壁面刷乳胶漆。）4（窗户。加装塑钢推拉窗、木制窗帘盒、亚麻竖百叶窗帘。（5)出入门。安装铝合金玻璃隔断推拉门.（6)照明。采用高效格栅双管日光灯嵌入安装.（）配电。机房配电采用三相五线制,多种电源（动力三相 380V、普通 220V 和P输出 220V)配电箱。为 UPS、空

25、调机、照明等供电。配电箱设有空气开关，线路全部用铜芯穿PC 管。)（接地根据要求设计接地系统,其直流接地电阻小于 1、工作保护地和防雷地接地电阻小于.为保证优良的接地性能，采用D1 型接地和化学降阻剂,此外，考虑机房抗静电的需求，对抗静电活动地板进行可靠的接地处理，以保证设备和工作人员的安全要求)(空调.主机房 3柜机；分机房 1。5 壁挂式空调机。5 US 后备电源。采用分散保护，集中管理电源的策略，考虑APC公司提供的电源解决方案。四、企业网应用系统。1 应用服务器.BM 服务器首选，当然，也可以采用高档C 机，P机的优点是便于更新换代。.软件平台.采用indows 2003（主要使用 D

26、oma域控制器，集成S 服务），Rt 9。，Solri 90(在 uni/inx 上运行 Oracl数据库,SP/R3 系统，基于 Lots oino/Nos 的 OA 系统）3.数据库系统。采用racle 大型数据库，或 SQL Seer200 数据库.4。O办公系统。基于 Lots oino/Ntes 的 OA 系统，Lotu Dmno 集成Emil/HTTP 等服务。企业管理综合软件 ERP.采用 SAR3 系统,一步解决未来企业国际化问题；或是用友RU8 系统。6 网络存储系统。五、网络系统管理 .交换机、路由器管理。设备均是isco 产品，使用 Ciso orks 200。网络综合管理。OpenView 集成网络管理和系统管理。peniew 实现了网络运作从被动无序到主动控制的过渡，使 IT 部门及时了解整个网络当前的真实状况,实现主动控制.OnVew 系统产品包括了统一管理平台、全面的服务和资产管理、网络安全、服务质量保障、故障自动监测和处理、设备搜索、网络存储、智能代理、Itene环境的开放式服务等丰富的功能特性。桌面系统管理.Lnsk 工作站配置和管理工具,利用它的远程控制、远程软件分发和软件计量功能可以节省大量的时间。