企业网络规划与设计方案
企业网络规划与设计
方案
姓名：唐容
学号：20133511
班级：计教201302
院系：信息工程学院
授课老师：宋勤
2016年6月14日星期二
1、项目概况 (3)
1.1工程项目概况 (3)
1.2 信息点分布 (4)
2需求分析 (5)
2.1 网络环境需求分析 (5)
2.2 公司子网需求 (5)
2.3 交换机路由器的配置以及VLAN的需求划分 (6)
2.4 安全性需求分析 (8)
2.5业务需求分析 (8)
3 设备要求 (9)
3.1 客户端计算机的需求分析和定位选购 (9)
3.2 交换机/路由器的需求分析和定位选购 (9)
3.3 服务器的需求分析和定位选购 (12)
4. 网络布局设计 (17)
4.1 网络拓扑结构介绍 (17)
4.2 布线逻辑方案 (17)
4.3 网络拓扑图 (19)
4.4 骨干核心层网络设计 (19)
4.4.1 骨干核心层网络设计 (19)
4.4.2 核心层网络设计 (20)
4.4.3 汇聚层网络设计 (20)
4.4.4 接入层网络设计 (20)
5项目费用 (21)
5.1设备费用 (21)
5.2项目费用 (24)
6总结 (25)
1、项目概况
1.1工程项目概况
XX集团为了加快信息化建设，新的集团网将建设一个以集团办公自动化、电子商务、业务综合管理、多媒体视频会议、远程通讯、信息发布及查询为核心，以现代网络技术为依托，技术先进、扩展性强，将集团的各种办公室、多媒体会议室、PC终端设备、应用系统通过网络连接起来，实现内、外沟通的现代化计算机网络系统。该网络系统是支持办公自动化、供应链管理、ERP以及各应用系统运行的基础设施，为了确保这些关键应用系统的正常运行、安全和发展，系统必须具备如下的特性：
1、采用先进的网络通信技术完成集团企业网的建设，实现各分公司的信息化；
2、在整个企业集团内实现所有部门的办公自动化，提高工作效率和管理服务水
平；
3、在整个企业集团内实现资源共享、产品信息共享、实时新闻发布；
4、在整个企业集团内实现财务电算化；
5、在整个企业集团内实现集中式的供应链管理系统和客户服务关系管理系统；公司组织结构图1如下：
如图所示是该公司的职能分布图，董事长，总经理，公司分为财务部，经理A，经理B和总监，人事部，经营系统。其中总经理以下职能部分只向总经理进行工作汇报，总经理只向董事长进行工作汇报。
1.2 信息点分布
该公司是通过职能部门进行不同的信息点分布，其中按照每个部门的需求，来决定分布的数量，其中有一部分属于备用点。还有各部门距离网络中心的距离。通过这个表格，我们可以清晰的分析整个公司的信息点还有各部门的距离计算预算。一下是对公司信息点的分析，如下表所示：
表1 公司信息点分析表
2需求分析
2.1 网络环境需求分析
随着企业各种业务应用逐渐转移到计算机网络上来，网络通讯的无中断运行已经成为保证企业正常的生产运营的关键。现代企业网络在可靠性设计方面主要应从三方面考虑：首先是设备的可靠性设计，这里不仅要考察网络设备是否实现了关键部件的冗余备份，还要从网络设备整体设计架构、处理引擎种类等多方面去考察；其次是业务的可靠性设计，这里要注意网络设备在故障倒换过程中是否对业务的正常运行有影响；再次是链路的可靠性设计，以太网的链路安全来自于它的多路径选择，所以在企业网络建设时要考虑网络设备是否能够提供有效的链路自愈手段和快速重路由协议的支持。
2.2 公司子网需求
为了提高IP地址的使用效率，引入了子网的概念。将一个网络划分为子网：采用借位的方式，从主机位最高位开始借位变为新的子网位，所剩余的部分则仍为主机位。这使得IP地址的结构分为三级地址结构：网络位、子网位和主机位。这种层次结构便于IP地址分配和管理。它的使用关键在于选择合适的层次结构--如何既能适应各种现实的物理网络规模，又能充分地利用IP地址空间。子网
的划分主要是根据子网掩码来区分的，掩码的作用就是用来告诉电脑把“大网”划分为多少个“小网”，以及每个子网中的主机数目。如表2所示，公司子网的划分。
表2公司子网的划分表
2.3 交换机路由器的配置以及VLAN的需求划分
1、交换机的配置
交换机支持Web浏览器的配置方式，设置交换机管理IP地址，设置用户及管理密码；
2、路由器的配置
路由器支持Web浏览器的配置方式，逐一设置接入WAN口设置、用户及管理密码、LAN口设置、安全设置、过滤规则、VPN配置、信息加密配置等等；
3、VLAN的划分
VLAN（Virtual Local Area Network）称为虚拟局域网，是指在逻辑上将物理的LAN分成不同小的逻辑子网，每一个逻辑子网就是一个单独的播域。简单地说，就是将一个大的物理的局域网（LAN）在交换机上通过软件划分成若干个
小的虚拟的局域网（VLAN）。因为交换机通信的原理就是要通过“广播”来发现通往的目的MAC地址，以便在交换机内部的MAC数据库建立MAC地址表，而广播不能跨越不同网段。
采用基于MAC地址的VLAN划分。这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都设置他属于哪个组。这种划分VLAN方法的最大好处就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新设置，所以，能认为这种根据MAC地址的划分方法是基于用户的VLAN。如表下所示，该公司内部网络Vlan的划分及IP的分配。
表3 公司vlan的划分及IP的分配表
另外，IP地址分为公网地址和私网地址两类，公有地址（Public address）由Inter NIC（Internet Network Information Center 因特网信息中心）负责。这些IP 地址分配给注册并向Inter NIC提出申请的组织机构。通过它直接访问因特网。ISP分配给公司的全局IP地址地址段为: 202.106.0.3 --202.106.0.200/24.,私有地址（Private address）属于非注册地址，专门为组织机构内部使用。以下列出留用的内部私有地址
C类192.168.0.0--192.168.255.255
2.4 安全性需求分析
传统企业网络的安全措施主要是通过部署防火墙、IDS、杀毒软件以及配合交换机或路由器的ACL来实现对于病毒和黑客攻击的防御，但实践证明这些被动的防御措施并不能有效的解决企业网络的安全问题。在企业网络已经成为公司生产运营的重要组成部分的今天，现代企业网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，才能有效的保证企业网络的稳定运行
2.5 业务需求分析
1）、地下BF1层作为停车场所，并包含变配电设备机房，将设置2个语音信息点和4个数据信息点用于值班中心的信息交换；
2）、1楼作为公司的大堂、演示中心、消防网络控制中心以及办公厅，将集中设置语音信息点和数据信息点，用于语音通讯、专项信号控制及视频点播、公用信息发布等应用；总配线间（DMDF/ VMDF）设在一层网络通讯机房，分接BF1、F1、F2层的线缆；
3）、2楼作为公司的远程服务厅、办公场所，经营系统的售前、售后、咨询、远程协助等都将运作在此楼层；
4）、3楼作为公司的人事系统办公场所，将包括董事长办公室、经理室、人力资源、行政和人事部门；
4）、4楼作为公司的网络中心和财务系统的办公场所，其安全性和保密性将要特别考虑；
5）、5楼作为公司产研系统所在地，其要求不低于4楼；
6）、交换设备置于4楼的网络通讯机房，管理各分配线间引来的所有光纤、数据主干。
3 设备要求
根据集团的网络功能需求和实际的布线系统情况，楼层接入设备需要选择同一型号的设备;子公司主交换机可以根据需要通过堆叠方式进行灵活的升级扩容;核心交换机需要具有升级到720Gbps可用背板带宽的能力。网络设备必须在技术上具有先进性、通用性，必须便于管理、维护，应该满足集团现有计算机设备的高速接入，应该具备良好的可扩展性、可升级性，保护用户的投资。网络设备在满足功能与性能的基础上必须具有良好的性价比。网络设备应该选择拥有足够实力和市场份额的厂商的主流产品，同时设备厂商必须要有良好的市场形象与售后技术支持。
3.1 客户端计算机的需求分析和定位选购
经过公司内各部门所提交的需求表的反馈，确认公司共需客户端计算机的PC数量是300套；根据业务的需求分析，从硬件划分为三种配置：1）普通办公PC：适用于财务部、人事、咨询等普通办公部门的应用，无显卡要求，标配主流的CPU、内存、硬盘、网卡、LCD显示器。总数量270台。
2）产研系统PC：适用于商业机密、设计、研发等办公部门的应用，考虑其业务要求，需选购比现主流标配的性能更优越的硬件性能，需配置2G显存以上的独立显卡。总数量50台。
3）后勤系统PC，适用于特殊、复杂环境的应用，无需独立显卡，需增强的散热系统，良好的工作环境适应能力，标配主流的CPU、内存、硬盘、网卡、显示器。总数量60台。
3.2 交换机/路由器的需求分析和定位选购
XX公司交换机需求如下：
1）主交换机支持三层交换技术，智能化，支持WEB可管理，高安全性、可靠性；
2）传输速率> 1000Mbps；
交换机选购需参考的数据如下：端口数量、端口速率、机架插槽数和扩展槽数、背板带宽、支持的网络类型、支持的物理地址数量、最大可堆叠数、可网管性、支持的协议和标准。
选购方案如下：
交换机华为Quidway S8512 网络报价为：18万
基本规格交换机类型万兆核心路由交换机
传输速率10/100/1000/10000
应用层级三层
交换方式存储-转发
背板带宽1800Gbps
包转发率XRCoreEngine I: 428Mpps, XRCoreEngine II: 857Mpps
VLAN功能支持
网络网络标准802.1P, IEEE 802.2, IEEE 802.3
网络协议STP/RSTP/MSTP
网管功能支持SNMPv3 网管
端口接口类型14个槽位, 12个业务单板槽位
模块化插槽数26个
其它其他功能支持三层MPLS VPN
支持二层MPLS VPN: VLL 和VPLS
支持PE 和P 功能
安全性用户分级管理和口令保护
支持IP+MAC+PORT 任意组合的绑定
支持IEEE 802.1X 认证
主干路由器思科12416/32 网络报价：35.5万
基本规格路由器类型高端企业级路由器
路由器处理器交换能力可达320Gbps
网络功能网络协议IPv4, MPLS, BGPv4, IS-IS, OSPFv2.0, RIPv2, IGMP, DVMRP, PIM DX/SX
VPN功能支持VPN
Qos功能支持
其他功能可靠性及可用性:
系统冗余:
结构卡冗余4:1时钟调度程序卡冗余1:1
电源冗余(DC 1:1, AC负载平衡)
通风组件冗余
路由处理器冗余1:1
报警卡冗余1:1
通过线路卡实现双归
支持APS
平均故障间隔时间(MTBF)
时钟调度程序卡＝240,078hr
交换结构卡=276,062hr
网络端口扩展插槽16个
其它标准/认证CSA-22.2 No.950-UL 1950
EN60950/IEC60950
EN60825/IEC60825
ACA TS001
AS/NZS 3260
电源电压200～240VAC/-40.5～75VDC
功耗4706W(AC)/2400W(DC)
3.3 服务器的需求分析和定位选购
XX公司服务器需求如下：
1）WEB服务、FTP、E-mail服务，智能化，高安全性、可靠性；
2）根据公司的应配备不同的服务器，主服务器负责内部机密数据，WEB服务器负责Internet服务，FTP/E-Mail服务放在一起，数据据服务器存放网络数据。
服务器选购需参考的数据如下：CPU、内存、I/O扩展、电源、冷却、操作系统。
选购方案如下：
主服务器曙光天阔A950r-F(Opteron 8378×8/16GB/2×146GB) 报价：27万
基本参数服务器级别企业级
服务器类型机架式
服务器结构5U
主要性能主板芯片组Nvidia nForce Pro 2200/2050
标配CPU个数8颗
最大CPU个数8颗
CPU类型AMD Opteron 8378 2.4GHz
处理器标称主频 2.4GHz
二级缓存2MB
多核运算四核
内存内存容量16GB
内存描述ECC DDR2
内存扩展128GB
存储标配硬盘容量146GB
标配硬盘类型SAS
存储控制支持SAS控制
RAID阵列模式256M SASRAID卡
存储扩展位8个热插拔硬盘
光驱DVD
网络网络控制器集成三个千兆网卡
电源电源类型冗余电源
散热系统每处理器独立风扇;机箱中部3个风扇;电源模块独立风扇其他PCI扩展槽2个PCI-E x16扩展插槽
2个PCI-E x16扩展插槽(x4速率)
1个PCI 32bit 33MHz扩展插槽
I/O接口1个后部串口
1个后部VGA接口
2个后部USB2.0接口
2个前置USB2.0接口
3个后置RJ45网口
1个后置标准PS/2鼠标/键盘接口
显示芯片XGI GX20图形控制器(16MB显存)
机身尺寸220×425×680mm
应用服务器IBM System x3650 M3(7945I75) 报价：64000
基本参数服务器级别企业级
服务器类型机架式
服务器结构2U
主要性能标配CPU个数1颗
最大CPU个数2颗
CPU类型Intel Xeon X5670
处理器标称主频 2.93GHz
智能加速主频 3.333GHz
二级缓存6×256KB
三级缓存12MB
总线规格 6.4GT/s
多核运算六核心十二线程
内存内存容量8GB(2×4GB)
内存描述PC3-10600 DDR3 RDIMM
内存扩展最高192GB
内存插槽18个DDR3插槽
存储标配硬盘类型无标配
存储控制ServeRAID-M5015
RAID阵列模式支持RAID 0, 1, 5, 10
存储扩展位标配:
16×SFF托架
网络网络控制器2×千兆接口
电源电源功率675W
电源数量1
电源类型热插拔电源
其他PCI扩展槽标配:
4×PCI-E
保修服务三年部件
三年人力
三年现场
外网防火墙华为赛门铁克USG9120 报价：37.5万
基本规格防火墙类型企业级防火墙
网络吞吐量120Gbps
并发连接数48000000
VPN支持支持
主要功能随着" 三网合一", "WEB2.0", "P2P视频"、"高清宽带"等理念的推出, 网络带宽的需求成几何级别增长, "千兆到桌面、万兆做骨干"已经不是概念, 很多交换机和路由器都拥有多万兆大容量端口, 并且金融、教育等大型企事业单位需要提供更多的业务与服务, 传统防火墙不可避免地成为网络瓶颈, 无法真正适用于高速网络中
华为赛门铁克公司凭借丰富的硬件设计经验, 结合专用的多核处理芯片以及分布式硬件平台, 打造出了"多核+ATCA+分布式" 的万兆高端Secospace USG9100系列安全网关
Secospace USG9100提供业界最高的防火墙/VPN性能, 在确保用户对高可靠性和高性能要求的同时, 以较低的投资成本就能满足金融, 大型数据中心、大型WEB网站、大型企业纵向网络等高端应用的安全防护要求
安全性人数限制无用户数限制
端口参数其他端口12对插槽, 可配置业务板和接口板
以太网接口: 8×GE、1×10G LAN、1×10G WAN等
POS接口: 4×2.5G、1×10G等
内部防火墙华为赛门铁克USG2210 报价：3.5万
基本规格防火墙类型企业级防火墙
CPU 多核处理器
VPN支持支持
主要功能USG2210统一安全网关除了提供2个固定千兆光电互斥WAN接口，还提供了4个MIC扩展插槽和2个FIC扩展插槽，FIC插槽可也以选配1*GE、2*E1/CE1接口卡，整机最大接口可达4GE+10FE，可以适应不同的网络环境，便于用户灵活组网
网络网络管理Web和命令行
端口类型2*Combo GE WAN,10*10/100M LAN，扩展：4MIC+2FIC
安全性人数限制无用户数限制
入侵检测Dos,DDoS
安全标准FCC,CE
认证标准FCC,CE
端口参数控制端口Console口
电气规格电源电压AC: 90 V to 264 V; 47/63 Hz
电源功率<35
外观参数产品重量7kg
长度(mm) 420
宽度(mm) 442
4. 网络布局设计
4.1 网络拓扑结构介绍
在此次系统设计中，我们采用分层设计方法，将网络的逻辑结构化整为零，分层讨论设计与实现的细节问题。将网络拓扑结构划分为3个层次，即核心层、汇聚层和接入层。
采用分层设计方法的好处：
1、节约成本
流量从接入层流向核心层时，被收敛在高速的链接上；流量从核心层流向接入层时，被发散到低速链接上，因此接入层路由器可以采用较小的设备。在采用分层设计方法之后，各层次负责不同的数据传送，不再需要同时考虑同一个问题。层次模型模块化的特性使网络中的每一层都能够很好地利用带宽，减少了对系统资源的浪费。
2、易于理解
采用分成设计方法设计出来的网络拓扑结构层次结构清楚，结晰，可以在不同层次上实施不同难度的管理，降低了管理的成本。
3、易于扩展
分层设计方法设计出来的层次模块化更有利于系统的扩展。
4、易于排错
层次模块化能够使网络拓扑结构分解成易于理解的子网结构，管理者能够更方便的确定网络故障的范围，从而更快的排出网络故障。
4.2 布线逻辑方案
布线只要采取外线进入公司机房然后星形对外布线，如下图4.9所示：
图2 布线逻辑分布方案图
图2示，是公司布线逻辑分布图，电信网络通过防火墙，进入通过公司路由设备，然后由主交换机，分配到各服务器，各领导办公室，无线路由设备，办公区交换机1，办公区交换机2，然后通过办公区交换机1分配到各办公区1，办公区交换机2分配到各办公区2，由此来实现整个公司网络井然有序的工作。
4.3 网络拓扑图
图3 网络拓扑图
4.4 骨干核心层网络设计
4.4.1 骨干核心层网络设计
网络核心层的主要工作是交换数据包，核心层的设计应该注意以下两点:
1)不要在核心层执行网络策略：所谓策略就是一些设备支持的标准或系统管理员定制的规划。
牢记核心层的任务是交换数据包，应尽量避免增加核心层路由器配置的复杂程度，因为一旦核心层执行策略出错将导致整个网络瘫痪。
2）核心层的所有设备应具有充分的可到大性：可到达性是指核心层设备具有足够的路由信息来智能地交换发往网络中任意目的地的数据包。
在具体设计中，当网络很小时，通常核心层只包含一个路由器，该路由器与汇聚层上所有的路由器相连。
在骨干核心层中，我们采用数台BROCADE SilkWorm 300E核心光纤通道交换机组成一个环形多机热备份的核心交换机系统解决方案。为提高核心网络的
健壮性，实现链路的安全保障，本方案骨干核心层环网中可以采用VRRP（虚拟路由器冗余协议）。对于各个业务VLAN可以指向这个虚拟的IP地址作为网关，因此应用VRRP技术为核心交换机提供一个可靠的网关地址，以实现在核心层核心交换机之间进行设备的硬件冗余，一主两备，共用一个虚拟的IP地址和MAC 地址，通过内部的协议传输机制可以自动进行工作角色的切换。进而双引擎、双电源的设计为网络高效处理大集中数据提供了可靠的保障。
4.4.2 核心层网络设计
大型企业生产办公网络的核心层网络主要完成园区内各汇聚层设备之间的数据交换和与骨干核心层网络之间的路由转发。BROCADE SilkWorm 300E具有强大的业务和路由处交换理能力，可以充分满足大型企业不同园区网络的高速数据交换和支持多业务功能的要求，并能够提供完善的安全防御策略，保障企业园区网络的稳定运行。
核心层是网络互联的最高层次，应具有如下能力：核心设备之间应该具有最高速的链路；比较粗的QoS控制粒度；最高的路由前缀；为网络其他模块提供互联。在联合公司自动化系统中，核心层为各区域配线间汇聚层交换机以及服务器汇聚交换机之间提供互联。
4.4.3 汇聚层网络设计
汇聚层网络主要完成企业各园区内办公楼宇和相关单位的内接入交换机的汇聚及数据交换和VLAN终结，汇聚层是核心层和接入层的连接模块，主要功能如下：细到粗QoS粒度的转换；提供到核心的路由合并；提供到访问层的路由过滤。联合公司自动化系统的汇聚层，主要是为各个配线间以及服务器群的中心网络设备提供接入层设备的集中和核心层链路的接入。
4.4.4 接入层网络设计
接入层是面向最终用户的设备，主要功能如下：提供高密度的用户端口；提