网络系统设计方案
- 格式:doc
- 大小:3.21 MB
- 文档页数:15
1.系统需求
项目的弱电系统总体设计要求是“理念先进、技术一流、经济实用和今后良好的扩展性”,满足用户的特殊要求,达到国家建设部智能化建筑的甲级标准并通过验收。项目中的计算机网络系统将为建筑内信息系统提供稳定、可靠、安全的信息流通环境。网络系统是xxxxx工程中的重要系统,它将作为多种应用系统的系统沟通平台,包括管理系统,业务系统等,因此网络系统应定位于提供高性能,高可靠的系统设计。
2.设计原则
●可靠性
xxxxx工程的信息应用系统具有较高的可靠性要求,这决定了作为信息传输平台的网络系统也具有高度的可靠性。
●高性能
网络中可能存在复杂多元的应用系统,如多媒体应用,办公自动化,专业应用等,对网络的负载能力要较高要求。
●可扩展性和可升级性
目前xxxxx工程处于一期建设中,将来还将建设二级工程,网络系统将逐步扩大,同时随着应用系统的逐步完善,网络系统也将进行相应的扩展和升级,因此网络应具有良好的可升级扩展性。
●易管理、易维护
xxxxx工程中网络系统分布于多个建筑物中,同时网络系统中承载的应用系统重要性较高,因此网络系统需具有良好的可管理性,降低维护成本,放患于未然,保障业务系统的正常运行。
●安全性
根据xxxxx工程业主的特殊定位,网络要求有极高的安全性要求。
3.总体设计
3.1主干技术选型
选择合理的网络主干技术对一个大型网络来说十分重要,它关系到网络的服务品质和可持续发展的特性。网络主干包括主干网设备之间及其与汇聚点核心设备之间的连接。
对于xxxxx工程,我们选择采用千兆以太网GE技术、相对于其他宽带主干技术,它和以太网,快速以太网有更好的兼容性,在园区网规模或中小型城域网中具有最高的性能价格比。
3.2局域网结构
采取何种网络结构和建筑分布,应用需求均有较大的关系。通常在大型网络的设计中,网络结构分为三层,即核心、分布和接入层。核心层提供网络的核心路由交换功能,分布层负责将接入层设备汇聚进入核心层,接入层提供提供终端用户的接入网络。每个层次的
网络专注于其功能要求,使网络设计模块化,便于管理和扩展。
对于xxxxx工程,相对于园区网,网络分布在较大范围内,包括信息中心/办公区,科研办公区,对外接待区,服务中心,生活设施区,辅助用房,休闲中心及将来得二期建筑。根据布线结构,科研办公区为一点数较大的单体建筑,将再设立两级配线间,简化了线缆结构,相应网络结构为二层结构和三层结构相结合的方式,即对于科研办公区,通过核心交换机,分布层交换机,接入交换机三级结构,而对于其他分配线间则通过核心交换机,接入交换机的二级结构(见后图)。
根据xxxxx工程需求,网络中包含内网和外网,通常内网中运行业务系统,办公自动化系统及专网应用等,外网运行互联网应用。业务系统具有较高的可靠性要求,因此网络结构上,内网网络主干需要更高的可靠性,内网网络核心采用了两台骨干交换机,分别和分布层交换机通过千兆光纤连接,从而形成了一个全网无单点故障的骨干网络。而外网出于应用需求和成本的考虑,可采用单骨干交换机的架构,如下图:
3.3广域网连接
广域网方面通常包括互联网接入和专网接入。
互联网接入提供对互联网访问,目前互联网宽带接入的方式有ADSL、CableModem、ATM、宽带城域网等,ADSL和CableModem通常用作个人用户或小型公司的宽带接入,ATM需要专用接入设备,成本太高。而宽带城域网是通过光纤由ISP处引入,通过转换器转为以太网口接入用户设备,该种接入方式的接入带宽可由运营商端进行准确而灵活的限速,符合了xxxxx工程随着应用的发展逐步增加互联网接入带宽的需求,在接入设备上也无需专用广域网接入设备,可通过防火墙直接接入即可。
专网连接用于和相关单位或企业的网络连接,即Extranet。根据我方的工程经验和对专网互联技术的了解,专网连接通常有DDN/FR(帧中继)/ATM的专线连接、远程拨号连接以及构建在公网上的VPN专网等多种方式,ATM方式价格较高;远程拨号连接由于速率较低,通常作为备份方式;而VPN通过公网传输,存在一定的风险性。因此综合考虑,如租用运营商线路,出于安全性的考虑,可采用通过DDN/FR电信专线的方式,或直接通过自建的内部城域光缆网连接。
由于连接了公网和外部专网,安全性是必须考虑的,为此需配置防火墙设备,防火墙提供了较普通网络设备具有更完善的安全手段,提供了对内外网隔离和防外部攻击等特性。如网络存在一些提供外部访问的应用,如专网业务应用等,这些网段的安全性级别高于外网,但低于内网,我们可将这些网段通过防火墙的第三个或第四个等网口接入,该区域被称为DMZ区(非军事区),DMZ区介于内外网之间,可作为缓冲地带,DMZ区的安全问题不会直接威胁到内网。广域网连接示意图如下:
3.4网络管理
根据xxxxx工程的特点,我们认为网络管理系统应具有以下特点:
●以应用系统为导向,在最大程度上保证应用系统运行的高稳定性。
●开放易用,在采用先进技术同时不会增加业务运行的人工维护成本。
●提供丰富的管理特性,满足复杂网络环境中的多方面管理需求。
●所提供的管理功能模块尽量相互集成。
网络中的所有网络资源,如交换机的设备工作状态、网络性能、通讯延时等应均可通过直观的人机介面进行监控、管理。使网络管理员不但可以改正出现的问题,还可以发现潜在问题。因此我们认为网管系统的主要功能应包括拓扑管理,故障管理,配置管理和性
能管理等功能。
3.5信息安全管理
根据xxxxx工程的安全定位,信息安全管理是xxxxx工程中一个较重要的网络应用,它关系到网络中各种重要数据,应用的安全性,直接影响xxxxx工程的正常运作。对于xxxxx 工程,安全管理可以从以下几方面考虑:
●网络设备自身的安全性
提供对网络设备配置访问的安全性,应采用严格的用户认证访问,安全的Telnet
和SNMP机制等措施,保证网络设备被安全访问。
●网络交换设备的安全策略
根据应用系统,用户终端的分类和安全需求,通过划分虚网,设置访问控制权限,以及限制路由等策略,提供底层数据访问的安全性。
●专用安全设备和系统
除了网络设备本身可以提供的安全性,还应配置安全设备以提供专门的安全策略。
1)防火墙防护
主要提供不同网段间的访问控制,应用控制,实时防攻击等能力,防火墙采用状
态检测技术,可动态判断流经数据包的合法性,大大提高了访问安全性。
2)入侵检测
作为一种被动式安全防范,安全威胁可以来自内部和外部,防火墙只能控制其他
网段对安全网段的访问,但对于内部或少量通过了防火墙的攻击访问就无法控制,