计算机网络规划设计与实践

【摘 要】文章结合项目工作实际,重点介绍了公司总部园区网络的规划设计,以及总部与各地分公司的网络互联设计,并通过配置网络安全策略与部署网络管理系统等,实现了网络安全管理的可控、能控与在控.

【关 键 词 】网络规划设计,网络安全,网络管理,VPN

我在某集团公司总部的网络中心工作,原办公区网是2000年建成并投入使用的.随着公司经营生产的规模不断扩大,用户数量和应用量,都一直处于不断增长中,无论是网络规模、网络结构、设备档次,都无法满足现阶段的需求.在这个项目中,作为网络中心的负责人和技术骨干,我主要承担了网络整体规划与设计工作,并组织参与整个工程的招标、建设、监督、验收等工作.

在本次项目实施中,我们主要考虑以下几个关键因素：技术上可以平滑升级并具有一定的扩展性；公司核心网应具备稳定、高速、安全的特点；保护原有的投资、将原办公区网络设备降级使用,将其用到新网络的汇聚层和接入层,最大化现有投资的性价比.

一、结构化布线的方案

新办公区有三栋8层的办公大楼,分别是：主办公大楼、试验检测中心大楼、综合大楼.三栋大楼之间以8芯光缆实现互连.该网络工程要求办公楼内不涉密的每台计算机都能够访问Inter,同时要求总部网与16个分公司实现VPN网络互联.我们在大楼进行结构化布线工程,以利于今后信息点的扩展.中心机房设在主办公楼四楼,采用集中走线的方式,网络主干采用8芯多模光纤1Gbps带宽,分支使用超五类非屏蔽双绞线,100Mbps带宽,双绞线的最长长度控制在90米之内,符合布线要求.根据实际需求,每间办公室布有3～4个信息点.

二、网络的层次结构方案

基于对原公司网的管理、应用方面的认识,同是参考主流技术和公司的需求,我们规划采用标准三层网络架构,以千兆以太网技术构建新办公区网络的核心层和汇聚层,接入层则采用10Mbps/100Mbps自适应技术.千兆以太网（IEEE802.3z）技术可以保证和公司原有百兆以太网兼容,满足了现有网络应用的需求,并在技术上保持一定的先进性,并具备进一步发展的灵活性和扩展性.三层网络架构使得网络结构变得更加清晰,功能设计完备,同核心层提供充分的可达性和数据的高速交换；汇聚层可以隔离网络拓扑变化,隐藏核心层和接入层的细节,提供路由汇聚；接入层可以具体的实施相应的接入控制策略.

我们在内外网边界处放置一台Amaranten F1800千兆企业级防火墙,同它进行内外网访问控制及地址转换.内网核心层采用两台Cisco6509三层交换机,两台Cisco6509之间又用链路聚合技术实现负载均衡,并互为备用,构成一个具有强大交换能力和冗余备份的核心层网络.核心交换机置于办公主楼两中心机房,汇聚层交换机置于各楼宇设备间,采用Cisco C3750,核心层和汇聚层交接机形成路由环路,用OSPF协议实现各子网之间的路由计算.接入层则采用了Cisco2950可堆叠交换机,具有较高的端口密度和接入控制能力.

三、IP地址规划、VLAN分布、路由规划

IP地址的分配应能体现公司的组织机构情况,节约和有效利用IP地址.我公司网络用到时25个C类地址段,因为16个分公司的用户数都没超过200人,我们给每一个分公司分配一个C类的地址段,分公司再根据其内部具体情况可以进一步划分子网.公司总部用到9个C类地址段,IP地址分配按区域逐层分配,以汇聚层交换机可汇聚为原则.怎么写作器及网络管理等设备采用静态IP地址,其他办公人员的计算机采用动态IP地址方式,这样的IP分配方式便于管理,减少IP冲突,最大限度利用了IP地址.电信ISP给我公司分配了16个公网IP地址,这些地址用作内外网地址映射和对外的怎么写作器地址.

VLAN（虚拟局域网）的合理布局有利于抑制广播流量,提高网络安全性.将公司的财务部、人力部、工程部、经营部和其他部门分别划分到不同的VLAN,采用基于交换机端口方式的VLAN划分,并为怎么写作器组、网络管理、内部数据存储怎么写作划分门的VLAN.VLAN之间通过核心交换机Cisco 6509实现不同VLAN之间的通信.

路由的规划既要基于IP地址分配和网络的分层,又要实现稳定的核心和高速的交换.在良好的IP地址分配策略、VL和VLAN配置下,路由表中的条目可达到最少,路由稳定、高效.我们在内部网络采用OSPF协议,实现各子网互访,在边界处进行内部网络路由重分布.

四、远程VPN访问的接入设计

为了实现总部与分公司网络的VPN互联,我们采用Juniper SA4000企业级VPN设备,用来验证和接入外网用户.SA4000是SSL VPN,它使大中型企业能够通过任何标准Web浏览器提供经济高效的远程接入.SA4000产品无需更改用户基础设施,提供丰富的接入权限管理功能,实现用户透明接入和资源共享.

五、网络安全设计

处于全网内外边界处的Amaranten F1800千兆企业级防火墙负责NAT和内外网之间的安全策略实施.FTP文件传输怎么写作器、Mail怎么写作器、Web怎么写作器入DMZ区域中,公司内部数据存储怎么写作器放入内部网,保证各种级别数据的安全,并在核心交换机Cisco 6509上设置相关的过滤机制来加强计算机安全性.

内网的应用的安全技术包括：怎么写作器区访问控制、安全补丁怎么写作器、网络版病毒怎么写作器、主机系统安全、以及建立建全网络安全管理制度,并严格监督、执行.

六、网络管理

在网络管理方面,我们采用了基于HP OpenView IT管理方案, 以此为架构,并在它的基础上,对某些功能进行二次开发,形成的方案是包括网络、设备、计算机系统、数据库、应用程序等多个管理工具的统一监控平台,把网络系统平台由被动管理转向主动管理,被动处理故障变为主动故障预警,使得制度通过网络管理平台得以具体体现,管理平台使制度被来格执行.

新办公区的网络按照规划实施,建成后各项技术指标验收合格,自投入运行以来,工作状态良好,满足了日常工作各方面的需求.