某公司网络规划方案方案

H集团股份公司

网络系统集成方案

2006.7.14

一、前言

1.1．集团综合信息系统建设目标 -----------------------------------------------------3

1.2. 用户具体需求----------------------------------------------------------------------------4

1.3．集团综合信息系统建设原则 ----------------------------------------------------4

1.3.1 先进性………………………………………………………………….5

1.3.2 标准性………………………………………………………………….5

1.3.3 兼容性………………………………………………………………….5

1.3.4 可升级和可扩展性…………………………………………………….5

1.3.5 安全性…………………………………………………………………..6

1.3.6 可靠性…………………………………………………………………..6

1.3.7 易操作性………………………….…………………………………….7

1.3.8 可管理性.. …………………………………………………………….7

二．综合布线方案-----------------------------------------------------------------------------8

2.1需求分析.......................................................................................................8

2.2 综合布线系统的结构..................................................................................9

2.3系统总体设计...............................................................................................10

2.4系统结构设计描述……................................................................................11

2.5在施工中注意事项……................................................................................12

三．网络设计方案---------------------------------------------------------------------------13

3.1 网络设计需求……………………………………………………………..13

3.2总体方案设计策略…………………………………………………………14

3.3H集团园区结构示意图…………………………………………………15

3.4网络设备选型………………………………………………………………15

3.4.1选型原则……………………………………………………………...15

3.4.2核心层交换机………………………………………………………...17

3.4.3汇聚层交换机………………………………………………………..18

3.4.4接入层交换机………………………………………………………..19

3.5主干网络技术选型…………………………………………………………20

3.6路由交换技术部分设计……………………………………………………25

3.7网络安全设计………………………………………………………………35

四．网络系统设计…………………………………………………………………37

4.1 系统设计总体需求………………………………………………………...37

4.2 系统设计原则……………………………………………………………..38

4.3 系统设计方案……………………………………………………………..39

4.3.1系统构架设计………………………………………………………..39

4.3.2 系统管理设计……………………………………………………….41

4.3.2 系统安全设计……………………………………………………….42

五 Windows服务器解决方案--------------------------------------------------------------45

5.1WEB服务器…………………………………………………………………45

5.2 FTP服务器角色：配置文件服务器………………………………………60

5.3 Exchange Server 2003 产品概述…………………………………………..71

六．工程实施与项目测试--------------------------------------------------------------------87

七．项目费用-----------------------------------------------------------------------------------86

八．技术支持服务-----------------------------------------------------------------------------88

8.1售后服务内容…………………………………………………………….88

8.2保证售后服务质量的措施…………………………………………… …89

一．前言

“功欲善其事，必先利其器”，H集团深刻认识到业务要发展、必须提高企业内部核心竞争力、而建立一个方便快捷安全的通信网络综合信息支撑系统，已迫在眉睫，旭日公司作为一个致力于企业信息化和系统集成的高科技公司非常荣幸参与H集团综合网络信息系统的建设，希望能尽自己的全力来施展我们的专长来实现H集团网络信息系统的建设。

1.1．集团综合信息系统建设目标

H集团信息系统主要建设一个企业信息系统，它以管理信息为主体，连接生产、销售、维护、运营子系统，是一个面向集团的日常业务、立足生产、面向社会，辅助领导决策的计算机信息网络系统。

本期项目的目标是建立如下系统：

1．构造一个既能覆盖本地又能与外界进行网络互通、共享信息、展示企业的计算机企业网。

2．选用技术先进、具有容错能力的网络产品，在投资和条件允许的情况下也可采用结构容错的方法

3．完全符合开放性规范，将业界优秀的产品集成于该综合网络平台之中；

4．具有较好的可扩展性，为今后的网络扩容作好准备

5．采用OA办公，做到集数据、图像、声音三位一体，提高企业管理效率、降低企业信息传递成本

6．整个公司计划采用10M光纤接入到运营商提供的Internet。集团统一一个出口，便于控制网络安全

7．设备选型上必须在技术上具有先进性，通用性，且必须便于管理，维护。应具备未来良好的可扩展性，可升级性，保护公司的投资。设备要在满足该项目的功能和性能上还具有良好的性价比。设备在选型上要是拥有足够实力和市场份额的主流产品，同时也要有好的售后服务

1.2具体用户需求：

1．网络设备配置

配备网络交换设备，实现楼宇间的千兆光纤连接，保证未来各应用系统的实施以及满足集团各种计算机应用系统的大信息量的传输。

2．网管系统设计

提供可以对整个网络系统进行管理的中文图形界面工具，使系统维护人员可以集中控制网络的所有设备。

3．内、外网隔离

过硬盘隔离卡及双布线系统、双网络设备实现办公内网与外网隔离。

1.3集团综合信息系统建设原则

多业务网络系统方案以实现以上功能为基本要求，在设计上力求做到既要采用国际上先进的技术，又要保证系统的安全可靠性和实用性。具体来讲，其设计遵循以下原则：

1.3.1先进性

系统的主机系统、网络平台、数据库系统、应用软件均应使用目前国际上较先进、较成熟的技术，符合国际标准和规范；

1.3.2标准性

所采用技术的标准化，可以保证网络发展的一致性，增强网络的兼容性，以达到网络的互连与开放。为确保将来不同厂家设备、不同应用、不同协议连接，整个网络从设计、技术和设备的选择，必须支持国际标准的网络接口和协议，以提供高度的开放性。

全面支持IEEE工业标准：802.1d，802.1p，802.1q，802.1x，802.3，802.3u，802.3z；支持路由协议：IP 的RIP V1/2，OSPF，BGP-4；信令标准：H.323,RTP/CRTP.

支持：IPsec、L2TP、GRE、MPLS-VPN规范。

支持多址广播协议：IGMP，DVMRP，PIM-DM，PIM-SM；

网络管理协议：SNMP，RMON，RMON2；

1.3.3兼容性

跟踪世界科技发展动态，网络规划与现有光纤传输网及将要改造的分配网有良好的兼容，在采用先进技术的前提下，最大可能地保护已有投资，并能在已有的网络上扩展多种业务。

1.3.4可升级和可扩展性

随着技术不断发展，新的标准和功能不断增加，网络设备必须可以通过网络进行升级，以提供更先进、更多的功能。在网络建成后，随着应用和用户的增加，核心骨干网络设备的交换能力和容量必须能作出线性的增长。设备应能提供高端口密度、模块化的设计以及多种类接口、技术的选择，以方便未来更灵活的扩展。

1.3.5安全性

网络的安全性对网络设计是非常重要的，合理的网络安全控制，可以使应用环境中的信息资源得到有效的保护可以有效的控制网络的访问，灵活的实施网络的安全控制策略。在企业园区网络中，关键应用服务器、核心网络设备，只有系统管理人员才有操作、控制的权力。应用客户端只有访问共享资源的权限，网络应该能够阻止任何的非法操作。在园区网络设备上应该可以进行基于协议、基于Mac地址、基于IP地址的包过滤控制功能。在大规模园区网络的设计上，划分虚拟子网，一方面可以有效的隔离子网内的大量广播，另一方面隔离网络子网间的通讯，控制了资源的访问权限，提高了网络的安全性。在设计园区网的原则上必须强调网络安全控制能力，使网络可以任意连接，又可以从第二层、第三层控制网络的访问。

可管理性

1.3.6可靠性

本系统是7x24小时连续运行系统，从硬件和软件两方面来保证系统的高可靠性。 硬件可靠性

系统的主要部件采用冗余结构，如：传输方式的备份，提供备份组网结构；主要的计算机设备（如数据库服务器），采用CLUSTER技术,支持双机或多机高可用结构；配备不间断电源等。

软件可靠性

充分考虑异常情况的处理，具有强的容错能力、错误恢复能力、错误记录及预警能力并给用户以提示；并具有进程监控管理功能，保证各进程的可靠运行数据库系统应。

网络结构稳定性

当增加/扩充应用子系统时，不影响网络的整体结构以及整体性能，对关键的网络连接采用主备方式，已保证数据的传输的可靠性。

本系统应具有较强的容灾容错能力，具有完善的系统恢复和安全机制；

1.3.7易操作性

提供中文方式的图形用户界面，简单易学，方便实用。

优良的性能价格比。

系统应着重考虑和满足以上的设计要求。

1.3.8 可管理性

络的可管理性要求：网络中的任何设备均可以通过网络管理平台进行控制，网络的设备状态，故障报警等都可以通过网管平台进行监控，通过网络管理平台简化管理工作，提高网络管理的效率。

在进行网络设计时，选择先进的网络管理软件是必不可少的。网络管理软件应用于网络的设备配置，网络拓扑结构表示，网络设备的状态显示，网络设备的故障事件报警，网络流量统计分析以及计费等。网管软件的应用可以提高网络管理的效率，减轻网络管理人员的负担。网络管理的目标是实现零管理，基于策略的管理方式，网络管理是通过制定统一的策略，由管理策略服务器进行全局控制的。基于Web的网管界面，是网管软件的发展趋势，灵活的操作方式简化了管理人员的工作。在设计园区网的设备选择上，要求网络设备支持标准的网络管理协议SNMP，同时支持RMON/RMONII协议，核心设备要求支持 RAP (远程分析端口) 协议，实施充分的网络管理功能。在设计园区网的原则上应该要求设备的可管理性，同时先进的网管软件可以支持网络维护、监控、配置等功能。

二.综合布线方案

2.1、需求分析

集团公司园区内包括集团总部办公楼和分部及分公司等七幢建筑，武汉总部和武汉分公司它们之间的距离已超过双绞线布线的技术要求，因此采用光纤进行布线。

由于涉及的建筑物较多，规模较大，应此将其定位为智能化园区综合布线系统。

园区的综合布线系统是一个高标准的布线系统，水平系统和工作区采用超五类元件，主干采用光纤，构成主干千兆以太网。不仅能满足现有数据、语音、图像等信息传输的要求，也为今后的发展奠定基础。整个园区一共有5000左右个信息点，即武汉总部有3200左右，每分公司各有300左右个。针对以上要求,对计算机内网综合布线系统提出自己的解决方案。

建筑群间的光缆采用上海的OT—T多模光纤系统，大楼内的布线采用AVAYA的超五类双绞线结构化布线系统。

2.2、综合布线系统的结构

综合布线系统部分结构如下图所示：

根据综合布线国际标准ISO 11801的定义，综合布线系统可由以下子系统组成： 工作区子系统(Work Area Subsystem)

工作区子系统由信息插座延伸至用户终端设备的布线组成，包括信息插座和相应的连接软线。用户能方便地把计算机、电话、传真等不同的终端设备接入大楼的通信网络系统。

水平布线子系统(Horizontal Subsystem)

水平布线子系统由楼层配线间延伸至信息插座的布线组成，通常可采用超五类双绞线，我们这里采用的是超五类双绞线，也可采用光缆以满足高传输带宽应用或长传输距离的要求。水平布线提供大楼网络通信系统到用户终端设备的信息传输。

建筑物主干子系统(Building Backbone Subsystem)

建筑物主干子系统由大楼配线间延伸至各楼层配线间的布线组成。该子系统亦包括各配线间的配线架，跳接线等。采用的线缆是超五类双绞线。大楼配线间和楼层配线间通常也用于放置网络设备和其他有源设备。建筑物主干子系统提供大楼内通信网络信息交换的主干通道。

建筑群布线子系统(Campus Cabling Subsystem)

建筑群布线子系统由建筑群配线间延伸至各大楼配线间的布线组成。采用的线缆为光纤，。建筑群配线间通常也用于放置电信接入设备和广域网连接设备。建筑群布线子系统提供了各建筑物间通信网络连接和信息交换的通道。

2.3系统总体设计

以上就是布线的国际标准，因此采用高速大容量光纤主干建设集团公司的园区网络主干 为了满足集团公司将来灵活组网的需要，在集团总部办公楼、分公司等建筑物内各设有配线间。整个园区设备间机房安置在总部大楼的10楼，各分公司的设备间机放安置在各分公司的一楼。

为充分满足集团公司内部及对外高速高容量信息通信的需要，系统采用高速高容量的多模光纤作为园区的网络主干。

建筑物内采用先进的超五类非屏蔽布线系统

根据技术规范，选用高性能UTP 非屏蔽系统，传输参数可达到200MHz，通道传输性能在200 MHz 时ACR>3dB, 250MHz 时ACR> 0 dB，通道传输性能不低于招标技术要求所附性能参数表的要求。因此，本方案建议采用AVAYA 超五类UTP 产品，其传输带宽可达200MHZ 以上，可靠支持新的千兆以太网、2.4Gbps ATM及高达550MHZ的宽带语音应用，为今后新的高速网络应用留有充足的性能余量。

2.4系统结构设计描述

整个结构化布线系统由工作区子系统、水平干线子系统、管理子系统、主干子系统、设备间子系统及建筑群子系统等六个子系统构成，方案设计时充分考虑了高度的可靠性、先进性、灵活性、可扩充性、易管理性及性能价格比高等优点。

布线系统结构如下：

2.5、在施工中注意事项

⑴仔细查阅其它专业的施工图纸

在施工前，必须仔细查阅其他专业的施工图纸，尤其是土建结构施工图、水、电、通风施工图。因为水平路由的长短将会对设计的等级有一定的影响，而土建结构施工图、水、电、通风施工图对水平布线子系统管线路由的走向影响最大。在审图时，建议用比例尺在图纸上认真测量，为水平布线子系统找出最合理的路由走向，这样既节省水平线缆的长度，又避免与其他专业管路发生冲突，由于电气专业管线不可避免的要与其他各专业管路交叉重叠，发生矛盾的现象，给土建专业带来地面超高等问题。综合布线一般由专业公司负责安装调试，施工方仅做管路预埋、线缆敷设，如果在施工中敷衍了事，不遵循“管线路由最短”的原则，就会增加水平布线子系统管线的长度，不利于提高综合布线系统的通信能力、不利于通信系统的稳定性、不利于通信传输速率的提高。

⑵建议在施工中应满足设计裕量。

因为在实际施工中，不可能使水平线缆一直保持直线路由，所以实际安装中，需要的线缆总会比图纸上统计的量大的多，这就需要电气工程师考虑一定的裕量。裕量的计算方法是将一张平面图纸上离配线架最远的信息点的线缆图纸长度（图纸上用比例尺量出的长度），和最近的信息点的线缆图纸长度相加，除以2，得出得数值为信息点的平均图纸长度，取平均长度的30%作为裕量。否则就会造成不必要的材料浪费或不足。

⑶采用质量可靠的管路和线缆，以避免日后的麻烦

在大多数设计中，水平布线子系统是被设计在吊顶、墙体或底板内的，所以可以认为水平子系统是不可更改、永久的系统。在安装中，应尽量使用性能优良、质量可靠的管路和线缆，保证用户日后不破坏建筑结构。

⑷严格遵守综合布线系统规范

良好的安装质量，可以使水平布线子系统在其工作周期内，始终保证良好工作状态和稳定的工作性能，尤其对于高性能的通信线缆和光纤，安装质量的好坏对系统的开通影响尤其显著，因此在安装线缆中，要严格遵守EIA/TIA569规范标准。

⑸选材标准必须一致

综合布线系统所选用的线缆、信息插座、跳线、连接线等部件，必须与选择的类型一致，如选用超5类标准，则线缆、信息插座、跳线、连接线等部件必须为超5类；如系统采用屏蔽措施，则系统选用的所有部件均为屏蔽部件，只有这样才能保证系统屏蔽效果，达到整个系统的设计性能指标。

三．网络设计方案

3.1 网络设计需求

六个分公司有四个分公司在武汉旭日工业园内各的建筑物里面，公司为38层的主楼，六个分公司都是7层楼。第一分公司与主楼相距50米，第二分公司与主楼相距也是50米，第三分公司与主楼相距5公里，第四分公司与主楼相距8公里，另两个分公司在北京和上海各自有自己的办公楼。示意图见《园区结构示意图》）

各子公司部门结构：这六个分公司都有各自的微机室（10人），财务部（20人），行政部（20人），生产部（100人），研发部（30人），后勤部（10人），业务部（80人），人力资源部（10人）总公司行政划分也是如此， 人数比例大致类似六个分公司

3.2体方案设计策略

为了实现以上网络设计原则，使H集团园区网络具有良好的 扩展性能力和灵活的便于管理，易于维护，在网络设计上采用了一下策略。

¾ 因特网接入和园区网分离。

将因特网接入部分和园区网主体部分分离，每部分完成其自身的功能，可以

减少两者之间的相互影响。因特网接入的变化，只影响接入的变化，对园区

网络没有影响；而园区网络的变化对因特网接入部分影响较小。.这样可以增

强网络的扩展能力。保持网络层次结构清晰，便于管理和维护。

¾ 降低各个子公司之间的网络关联度。

将各个子公司之间的网络的关联度降低到最低的策略，可以最大限度的减少

各个子公司网络之间的相互影响，便于分别管理，或者在不同子公司扩展网

络的新应用。

¾ 统一标准，统一网络

统一的IP应用标准（IP地址，路由协议），安全标准， 接入标准和网络管理

平台，才能实现真正的统一管理，便于集团的管理和网络策略的实施。

3.3H集团园区结构示意图

3.4网络设备选型

3.4.1选型原则

我们在网络系统设计时考虑如下特点：

稳定可靠的网络 只有运行稳定的网络才是可靠的网络，而网络的可靠运行取决于诸多因素，如网络的设计，产品的可靠，而选择一个具有运营此类网络规模经验的网络合作厂商则更为重要。要求有物理层、数据链路层和网络层的备份技术。

高带宽 为了支持数据、话音、视像多媒体的传输能力，在技术上要到达当前的国际先进水平。要采用最先进的网络技术，以适应大量数据和多媒体信息的传输，既要满足目前的业务需求，又要充分考虑未来的发展。为此应选用高带宽的先进技术。

易扩展的网络 系统要有可扩展性和可升级性，随着业务的增长和应用水平的提高，网络中的数据和信息流将按指数增长，需要网络有很好的可扩展性，并能随着技术的发展不断升级。易扩展不仅仅指设备端口的扩展，还指网络结构的易扩展性：即只有在网络结构设计合理的情况下，新的网络节点才能方便地加入已有网络；网络协议的易扩展：无论是选择第三

层网络路由协议，还是规划第二层虚拟网的划分，都应注意其扩展能力。 QoS(英文全称为"Quality of Service"，中文名为"服务质量"。)QoS是网络的一种安全机制, 是用来解决网络延迟和阻塞等问题的一种技术。保证 随着网 络中多媒体的应用越来越多，这类应用对服务质量的要求较高，本网络系统应能保证QoS，以支持这类应用。

安全性 网络系统应具有良好的安全性，由于网络连接园区内部所有用户，安全管理十分重要。应支持VLAN的划分，并能在VLAN之间进行第三层交换时进行有效的安全控制，以保证系统的安全性。

容易控制管理 因为上网用户很多，如何管理好他们的通信，做到既保证一定的用户通信质量，又合理的利用网络资源，是建好一个网络所面临的首要问题。

符合IP发展趋势的网络 在当前任何一个提供服务的网络中，对IP的支持服务是最普遍的，而IP技术本身又处在发展变化中，如IpV6，IP QoS，IP Over SONET等等新兴的技术不断出现，H集团园区网网络络必须跟紧IP发展的步伐，也就是必须选择处于IP发展领导地位的网络厂商。

3.4.2核心层设备

由于H集团园区网网络发展规模较大，未来需提供多媒体办公、办公自动化、图书资料检索、远程互联、视频会议等复杂的网络应用，为便于管理，我们建议选用的交换机作为网络组建交换设备。选用1台Cisco6509交换机作为主干交换机实现1000M做主干100M到桌面的需求。(具体产品介绍见附录二)

Cisco6509系列交换机支持堆叠技术，将来扩充端口极为灵活方便，不必改变原有网络的任何配置。通过增加堆叠交换机数量或做Port Trunking(端口干路)两种办法均可扩充网络规模；并且实现了本地化交换，改善了整个网络，使整个网络的性能发生了质的变化。选用千兆光纤模块，与主干上联，实现主干的千兆传输。Cisco6509系列交换机支持网管和堆叠，可以很容易地根据需要，通过堆叠扩充端口数量。另外，Cisco6509系列交换机建立在一个功能强大且绝对无阻塞的32G交换背板上，可以保证堆叠中的所有端口间实现无阻塞的线速交换。

此外，Cisco6509交换机，在安装千兆光纤模块的同时，还可以安装百兆光纤模块，完全可以适应现在或将来的楼内光纤布线，灵活性很强。

3.4.3汇聚层设备

考虑到集团要求没个子公司的网络自成体系，单个子公司的局域网广播数据流不能扩展到全网，单个子公司的网络故障不应该扩展到全网，汇聚层交换机也应该采用具有路由功能的多层交换机，以达到网络隔离和分段的目的。子公司的主交换机负责子公司内部的网络数据交换和H集团园区网的其他路由。

汇聚层设备选择CISCO公司的Catalyst3550系列的交换机，每个子公司的主交换机选择WS-C3550-48-EMI交换机。Catalyst3550交换机智能以太网交换机是一个新型的可堆叠的，多层次级交换机系列，可以提高水平的可用性，可扩展性，服务质量（QoS）,安全性和可改进网络运营的管理能力，从而提高网络的运行效率。

Catalyst 3550系列包括一系列快速以太网和千兆位以太网配置，可以用全套千兆位接口转换器（GBIC）设备提供强大的千兆位以太网连接；并将CISCO IOS软件中的一套第2-4层功能——IP路由、QoS、限速、访问控制列表（ACL）和多播服务扩展到边缘，堪称一款适用于企业和城域应用的强大选择。用户第一次可以在整个网络中部署智能化的服务，例如先进的服务质量、速度限制、CISCO安全访问控制列表、多播管理和高性能的IP路由，并与引同时保持了传统LAN交换的简便性。通过高性能的IP路由实现了网络的可扩展性，利用基于硬件的IP路由和增强型 多层软件镜像，Catalyst 3550系列交换机可以在所有端口上提供高达17Mpps的线速路由；基于CISCO快速转发（CEF）的路由架构有助于提高可扩展性和性能，该体系结构扶持极高速的搜索功能，并可确保必要的稳定性和可扩展性，以满足未来的需求。凭借内置CISCO集群管理套件，Catalyst 3550 系列交换机可简化网络的部署。

WS-C3550-48-EMI交换机，有48个10/100和2个基于GBIC的1000BaseX端口，通过使用多层软件镜像（EMI），可以提供路由和多层交换功能，满足三层交换需求。可以满足服务器群的高密度，高速率的接入需要，也可以满足因特网接入的需求。

3.4.4接入层交换机

接入层交换机放置于楼层的设备间，用于终端用户的接入。应该能够提供高密度的接入，对环境的适应能力强，运行稳定。

楼层接入设备选择CISCO公司的WS-C2950-48-EI智能以太网交换机。

WS-C2950-48-EI交换机属于Catalyst2950系列智能交换机。Catalyst2950系列是固定的配置，可堆叠的独立设备系列，提供了线速快速以太网和千兆位以太网连接。Catalyst2950系列是有款最廉价的CISCO交换机产品系列，为中型网络和城域接入应用边缘提供了智能服务，可以为局域网提供极佳的性能和功能。这些独立的。10/100自适应交换机能够提供增强的服务质量（QoS）和组播管理特性，所有的这些都由易用，基于WEB的CISCO集群管理套件（CMS），和集成CISCOIOS软件来进行管理。带有100BASE上行链路的Catalyst2950交换机，可为中等规模的公司和企业分支机构 办公室提供理想的解决方案，以使他们能够拥有更高性能的千兆以太网主干。

WS-C2950-48-E交换机，有48个10/100端口，2个基于千兆接口转换器（GBIC）的1000BaseX端口，能够为用户提供千兆的光纤骨干和高密度度的接入端口；具有高达13.6Gbps的背板带宽，能够提供10.1Mpps的转发速率；增强型的IOS，能够支持250个VLAN，提供安全，QoS，管理等各方面的智能交换服务。

3.5主干网络技术选型

在H集团园区网网络的建设中，主干网选择何种网络技术对网络建设的成功与否起着决定性的作用。选择适合H集团园区网网络需求特点的主流网络技术，不但能保证网络的高性能，还能保证网络的先进性和扩展性，能够在未来向更新技术平滑过渡，保护用户的投资。

根据招用户要求，我们主干网络可选用千兆以太网技术

目前流行的局域网、城域网技术主要包括以太网、快速以太网、ATM（异步传输模

式）、FDDI、CDDI、千兆以太网等。在这些技术中，千兆以太网以其在局域网领域中支持高带宽、多传输介质、多种服务、保证QoS等特点正逐渐占据主流位置。

⑴ 现有网络技术介绍

以太网（Ethernet）

以太网是应用最为广泛的网络技术，它基于CSMA/CD（冲突检测媒体访问/载波侦听）机制，采用共享介质的方式实现计算机之间的通讯，带宽为100Mbps。

CSMA/CD技术采用总线控制技术及退避算法。当一个站点要发送时，首先需监听总线以决定介质上是否存在其它站的发送信号。如果介质是空闲的，则可以发送，如果介质是繁忙的，则隔一次间隔后重发，即采用某种退避算法。

早期的以太网由于它介质共享的特性，当网络中站点增加时，网络的性能会迅速下降，另外缺乏对多种服务和QoS的支持。随着网络技术的发展，现在的以太网技术已经从共享技术发展到交换技术，交换以太网的出现使传统的共享式以太网技术得到极大改进。共享式局域网上的所有节点（如主机、工作站）共同分享同一带宽，当网上两个任意节点交换数据时，其他节点只能等待。交换以太网则利用网络交换机在不同网段之间建立多个独享连接(就像电话交换机可同时为众多的用户建立对话通道一样)，采用按目的地址的定向传输，为每个单独的网段

提供专用的频带（即带宽独享），增大了网络的传输吞吐量，提高了传输速率，其主干网上无碰撞问题。虚拟网技术与交换技术相结合，有效地解决了广播问题，使网络设计更加灵活，网络的管理和维护更加方便。交换式以太网克服了共享式以太网的缺点，并借助于IP技术的新发展，如IP Multicast、IP QoS等技术的推出使得交换以太网可以支持多媒体技术等多种业务服务。

快速以太网(FastEthernet)

快速以太网技术仍然是以太网，也是总线或星型结构的网络，快速以太网仍支持共享模式，在共享模式下仍采用的是广播模式（CSMA/CD竞争方式访问，IEEE 802.3），所以在共享模式下的快速以太网继承了传统共享以太网的所有特点，但是带宽增大了10倍。

快速以太网的应用主要是基于它的交换模式。在交换模式下，快速以太网完全没有CSMA/CD这种机制的缺陷，除了上面谈到的交换以太网的优点以外，交换模式下的快速以太网可以工作在全双工的状态下，使得网络带宽可以达到200Mbps。因此快速以太网是一种在局域网技术中性能价格比非常好的网络技术，在支持多媒体技术的应用上可以提供很好的网络质量和服务。

千兆位以太网技术（Gigabit Ethernet）

千兆位以太网技术以简单的以太网技术为基础，为网络主干提供1Gbps的带宽。千兆位以太网技术以自然的方法来升级现有的以太网络、工作站、管理工具和管理人员的技能。千兆位以太网与其他速度相当的高速网络技术相比，价格低，同时比较简单，例如保留以太网的帧格式、管理工具和对网络概念上的认识。

千兆以太网是相当成功的10Mbps以太网和100Mbps快速以太网连接标准的扩展。现在千

兆位以太网成熟的标准为IEEE 802.3z，IEEE 802.3z的目标是：

使用IEEE 802.3帧格式；

可以使用全双工和半双工；

共享模式下仍使用CSMA/CD；

对安装介质的向后兼容；

传输速度比快速以太网提高十倍，比以太网提高一百倍。

千兆以太网通过载波扩展（Carrier Extension）、采用带中继、交换功能的网络设备以及多种激光器和光纤将连接距离扩展到从500米至3000米。如采用1300nm激光器和50um的多模光纤传输距离可以达到3km。现在，某些厂家的交换机上的千兆以太网接口还支持Long Haul(LH)的标准，采用光纤可以支持高达60Km的传输距离。

千兆位以太网能够提供更高的带宽，并且成为有强大伸缩性的以太网家族的第三个成员。利用交换机或路由器可以与现有低速的以太网用户和设备连接起来，因为千兆位以太网的帧格式和帧尺寸大小等都与所有以太网技术相同，不需要对网络做任何改变。这种升级方法使得千兆位以太网相对于其他高速网络技术而言，在经济和管理性能方面都是较好的选择。 千兆位以太网的设计非常灵活，几乎对网络结构没有限制，可以是交换式、共享式的或基于路由器的。现在正在应用的网络互连技术，例如，特定IP交换技术和第三层的交换技术，都与千兆位以太网完全兼容。千兆位以太网可以通过价格便宜的共享集线器、交换机或路由器来实现。千兆位以太网支持新的交换机之间或交换机－工作站之间全双工的连接模式，同时也支持半双工连接模式以便与基于CSMA/CD存取方式的共享集线器连接。

千兆位以太网使用的传输介质有光纤、5类非屏蔽双绞线(UTP)或同轴电缆。目前，千兆以太网支持多模光纤、多模光纤和同轴电缆，支持5类非屏蔽双绞线(UTP)的标准正在制定中。

下表列出了千兆以太网现在支持的距离标准。

标 准 名 称 媒 质 传 输 距 离

1000Base-SX波长850nm 62.5微米多模光纤50微米多模光纤 275米550米

1000Base-LX波长1300nm 62.5微米多模光纤50微米多模光纤9微米或10微米多模光纤 275米550米5公里

1000Base-CX 同轴电缆对 25米

1000Base-T 4对5类双绞线 100米

千兆位以太网的管理与以前使用和了解的以太网相同，使用千兆以太网，主干和各网段及桌面已实现了无缝结合，网络管理变得容易了。

千兆以太网技术的优点：

技术简单，例如保留以太网的帧格式、管理工具和对网络概念上的认识.便于升级，从现有的传统以太网和快速以太网可以平滑地过渡到千兆以太网，并不需要掌握新的配置、管理与排除故障技术；网络投资可以得到保护，无需对用户进行再培训，也无需为额外的网络协议进行投资；千兆以太网有良好的互操作性，并具有向后兼容性;端口价格相对较低；可以提供10倍于快速以太网的传输速度。

网络技术选型结论

综上所述，在选择H集团园区网网络技术时应该考虑如下：

⑴、长远来看如何保护现有投资。保护现有投资的有效途径就是在将来网络技术升级时还能使用现有的网络技术和产品。如同计算机的发展速度一样，网络技术的发展也是非常迅速的。如果在现有技术不能合理保证在将来网络升级后还能够使用，那么将会带来极大的资金浪费。从目前的趋势来看，采用千兆以太网技术是最适宜的。

⑵ 性能价格比。以太网，快速以太网，千兆以太网和ATM网三者性能状况由低到高，但是价格也是由低到高的。在建设H集团园区网网络时要充分考虑到办公的资金有效使用，选择适用的网络技术是关键，因此选择华为网络产品实现是最佳选择。目前满眼看到的是国外的技术和产品，无形中增加了网络造价成本，这也给网络的普及带来一定障碍。

⑶ 售后服务：H集团园区网网络的使用，从以往经验来看，售后服务问题比较突出。有很大部分国内外产品目前无法实现良好的售前、售后服务的支持，换修时间一般在3个月到6个月。思科网络强大的售后服务体系可保证全国范围内72小时响应，武汉等一级城市可实现24小时响应；

在H集团园区网网络建设中，在主干以及接入层的交换设备选择上，我们采用思科支持千兆以太网技术的交换机充当

3.6路由交换部分的设计

为了使H集团园区网高效、稳定的运行，便于管理与维护，对局域网交换和路由技术的相关方面进行了规范设计，包括VTP、VLAN、STP、TRUNK、ETHERCHANNEL，HSRP，VPN等。每一台都连接所有的汇聚层交换机，但相互之间并不连接（提高网络的故障收敛速度）。作为二层的核心，只保证数据的高速转发。网络的可靠性由汇聚层的路由协议提供保证。

⑴．V LAN设计规范

H集团内的局域网进行VLAN划分,可以减少网络内的广播数据包,提高网络运行效率;可以区分不同的应用和用户,方便集团的管理与维护.

建议每栋建筑物内的局域网划分8个VLAN.应用类1指H集团的OA类应用.

VLAN用途如表1

VLAN划分用途表

VLAN

VLAN1

VLAN2

VLAN3

VLAN4

VLAN5

VLAN6 用途 应用类1的微机室工作人员 应用类1的财务部工作人员 应用类1的行政部工作人员 应用类1的研发部工作人员 应用类1的后勤部工作人员 应用类1的人力资源部工作人员

VLAN7

VLAN8

⑵．IP地址分配方案

IPv4的地址结构，各个位的使用规划如图： 应用类1的业务部工作人员 应用类1的生产部工作人员

19—31

预留 类别标

识 用户空间地址 集团标识 子公司标识

其中各个部分的取值如表： 位 取值 含义 备注

私有地址

主楼的用户标识

子公司1的用户标识

子公司2的的用户标识

子公司3的用户标识

子公司4的用户标识

子公司5的用户标识

子公司5的用户标识

交换机设备地址，路由器环回地址，网管工作站

地址

010

011

111

100-110

18--31 任意 互联类 应用类1 因特网类 保留 交换机，路由器等设备之间互相连接用 集团OA类用 集团的因特网连接，因特网应用。 用户地址 某某集团 8--11 0000 0001 0010 0011 0100 0101 0110 0111 1000-1111 12-13 00 00-11 14--17 000 001 保留 总部 子公司1 子公司2 子公司3 子公司4 子公司5 子公司6 保留 缺省 保留 保留 网管类

其中，16—18取值011的时候，对19—23位的使用进行了重新的定义。如图：

12--13

应用类 用户地址空间 22—31 集团标识 子公司标预留 VLAN标识

识

IP地址分配表： 1

根据以上的规定，具体的地址分配表如下图： 机构

地址空间 10.0.0.0/8

10.16.0.0/13

10.16.64.0/17

10.16.128.0/17

10.16.196.0/17

10.17.0.0/17

10.16.196.0 /21

10.16.200.0/21

10.16.204.0/21

10.16.208.0/21

10.16.212.0/21

10.16.216.0/21

10.16.220.0/21

10.16.224.0/21

子公司1

10.32.0.0/13 10.32.64.0/17

10.32.128.0/17

10.32.192.0/17

10.33.0.0/17

10.32.196.0/21

10.32.200.0/21

10.32.204.0/21

10.32.208.0/21

10.32.212.021

10.32.216.0/21 用途 集团全部地址空间 总部全部地址空间 总部网管类全部地址 总部互联类全部地址 总部应用类全部地址 总部因特网全部地址 总部应用类1微机室工作人员地址空间 总部应用类1财务部工作人员地址空间 总部应用类1行政部工作人员地址空间 总部应用类1研发部工作人员地址空间 总部应用类1后勤部工作人员地址空间 总部应用类1人力资源部工作人员地址空间 总部应用类1业务部工作人员地址空间 总部应用层1生产部工作人员地址空间 子公司1全部地址空间 子公司1网管类全部地址空间 子公司1互联类全部地址空间 子公司1应用类全部地址空间 子公司1因特网全部地址 子公司1的应用类1微机室工作人员全部地址空间子公司1的应用类1财务部工作人员全部地址空间子公司1的应用类1行政部工作人员全部地址空间子公司1的应用类1研发部工作人员全部地址空间子公司1的应用类1后勤部工作人员全部地址空间子公司1的应用类1人力资源部工作人员全部地址

空间

10.32.220.0/21

10.32.224.0/21

子公司2

10.48.0.0/13 10.48.64.0/17

10.48.128.0/17

10.48.192.0/17 子公司1的应用类1业务部工作人员全部地址空间子公司1的应用类1生产部工作人员全部地址空间子公司2全部地址空间 子公司2网管类全部地址空间 子公司2互联类全部地址空间 子公司2应用类全部地址空间

10.48..200.0/21

10.48.204.0/21

10.48.208.0/21

10.48.212.0/21

10.48.216.0/21 子公司1的应用类1微机室工作人员全部地址空间子公司2的应用类1财务部工作人员全部地址空间子公司2的应用类1行政部工作人员全部地址空间子公司2的应用类1研发部工作人员全部地址空间子公司2的应用类1后勤部工作人员全部地址空间子公司2的应用类1人力资源部工作人员全部地址

空间

10.48.220.0/21

10.48.224.0/21

子公司3

10.64.0.0/13 10.64.64.0/17

10.64.128.0/17

10.64.192.0/17

10.65.0.0/17

10.64.196.0/21

10.64.200.0/21

10.64.204.0/21

10.64.208.0/21

10.64.212.0/21

10.64.216.0/21 子公司2的应用类1业务部工作人员全部地址空间子公司2的应用类1生产部工作人员全部地址空间子公司3全部地址空间 子公司3网管类全部地址空间 子公司3互联类全部地址空间 子公司3应用类全部地址空间 子公司3因特网全部地址 子公司3的应用类1微机室工作人员全部地址空间子公司3的应用类1财务部工作人员全部地址空间子公司3的应用类1行政部工作人员全部地址空间子公司3的应用类1研发部工作人员全部地址空间子公司3的应用类1后勤部工作人员全部地址空间子公司3的应用类1人力资源部工作人员全部地址

空间

10.64.220.0/21

10.64.224.0/21

子公司4

10.80.0.0/13 10.80.64.0/17

10.80.128.0/17

10.80.196.0/17

10.81.0.0/17

10.80.196.0/21

10.80.200.0/21

10.80.204.0/21

10.80.208.0/21

10.80.212.0/21

10.80.216.0/21 子公司3的应用类1业务部工作人员全部地址空间子公司3的应用类1生产部工作人员全部地址空间子公司4全部地址空间 子公司4网管类全部地址空间 子公司4互联类全部地址空间 子公司4应用类全部地址空间 子公司4因特网全部地址 子公司4的应用类1微机室工作人员全部地址空间子公司4的应用类1财务部工作人员全部地址空间子公司4的应用类1行政部工作人员全部地址空间子公司4的应用类1研发部工作人员全部地址空间子公司4的应用类1后勤部工作人员全部地址空间子公司4的应用类1人力资源部工作人员全部地址

空间

北京分公司

（5）

10.96.64.0/17

10.96.128.0/17

10.96.192.0/17

10.97.0.0/17

10.96.196.0/21

10.96.200.0/21

10.96.204.0/21

10.96.208.0/21

10.96.212.0/21

10.96.216.0/21 10.96.0.0/13 子公司4的应用类1生产部工作人员全部地址空间子公司5全部地址空间 子公司5网管类全部地址空间 子公司5互联类全部地址空间 子公司5应用类全部地址空间 北京子公司因特网全部地址 子公司5的应用类1微机室工作人员全部地址空间子公司5的应用类1财务部工作人员全部地址空间子公司5的应用类1行政部工作人员全部地址空间子公司5的应用类1研发部工作人员全部地址空间子公司5的应用类1后勤部工作人员全部地址空间子公司5的应用类1人力资源部工作人员全部地址

空间

10.96.220.0/21

10.96.224.0/21

上海分公司

（6） 10.112.0.0/13 子公司5的应用类1业务部工作人员全部地址空间子公司5的应用类1生产部工作人员全部地址空间子公司6全部地址空间

子公司6网管类全部地址空间

子公司6互联类全部地址空间

子公司6应用类全部地址空间

上海子公司因特网全部地址

子公司6的应用类1微机室工作人员全部地址空间子公司6的应用类1财务部工作人员全部地址空间子公司6的应用类1行政部工作人员全部地址空间子公司6的应用类1研发部工作人员全部地址空间子公司6的应用类1后勤部工作人员全部地址空间子公司6的应用类1人力资源部工作人员全部地址

空间

子公司6的应用类1业务部工作人员全部地址空间子公司6的应用类1生产部工作人员全部地址空间其中，在项目实施的时候，接入层交换机的IP地址建议使用网管类地址空间10.*.34.0/24，多层交换机的IP地址的LOOPBACK接口的IP地址建议使用网管类地址10.*.35.*/32；所有汇聚层设备互联IP地址使建议使用互联类空间10.16.65.0/27和10.16.65.32/27，相互备份的2台汇聚层设备的IP地址建议使用互联类地址空间10.*.65.248/29。

⑶ 冗余电源

Cisco6509系列以太网交换机提供了RPS电源备份接口，可以对设备提供一对一的电源备份和保护，也可以以一路直流电源对多台支持RPS接口的设备进行备份和保护。 ⑷ 生成树（STP/RSTP/MSTP）

Cisco6509系列以太网交换机支持STP/RSTP/MSTP生成树协议。

生成树协议主要用来建立和维护局域网的拓扑，消除循环连接导致的网络广播风暴，并且提供网络的拓扑的冗余备份功能，平时作为备份的路径被阻塞，当主用路径网络设备出现故障时，能够及时调整端口状态，调整网络拓扑。

生成树协议的工作原理：网络中的桥接设备根据设定的优先值和MAC地址，确定最优先的设备为网络的根桥，根桥向外定时发送Config BPDU报文，每个收到该报文的交换机将报文内容根据自身的配置和所掌握的网络拓扑结构进行更新下发到其他端口，当一个交换机从两个或两个以上端口接收到Config BPDU的时候就表明网络中存在循环，保留其中一个端口为转发状态，设置其余端口为阻塞状态。

除了支持传统的生成树协议外，Cisco6509系列以太网交换机还支持IEEE 802.1w快速生成树协议(RSTP)，以及802.1s多生成树协议（MSTP）。快速生成树协议是生成树协议的改进，在原有功能的基础上提高了网络保护的性能。传统生成树倒换时间为42s，从发现链路断裂、数据中断到数据恢复至少需要三十多秒的时间，而快速生成树协议只需6～8秒的时间就可以将数据流切换到备份链路上。

802.1s多生成树协议（MSTP）可以通过支持一个网络内的多个生成树，这使管理员可以把VLAN流量分配给唯一的通路。网络管理员只要为VLAN分配独立的生成树拓扑，就可以确保两个VLAN都能在网上顺畅传输。这就可以起到均衡网络流量，提高可靠性的作用。Cisco6509系列以太网交换机最大可以支持17个或者33个STP实例。 ⑸ 链路聚合（Link Aggregation ）

为了在以太网上获得更高的数据传输带宽，Cisco6509系列以太网交换机提供了二层的端口链路聚合功能（基于标准IEEE 802.3ad）。这样在生成树协议（STP）和其他二层协议上看，作了链路聚合的所有物理端口被视为同一个端口。在作了链路聚合的端口之间可以做冗余备份和负载分担。

在实际应用中，进行聚合处理的端口等同于一个端口，任何转发到聚合的端口上的报文会通过对源、目的地址的逻辑运算来分布到聚合的不同端口上。即使是多播和广播报文也不会被复制多份，也要通过对地址的逻辑计算，将流量平衡分配到不同的端口上。Cisco6509系列以太网交换机系统在二层和三层对硬件查表未命中的新地址进行监控。如果新地址是在聚合的端口上时，根据二层和三层的不同，使用MAC地址或IP地址进行逻辑计算，根据逻辑的结果选择相应端口为转发端口，发往该目的地址的帧将按照计算负载均衡后的结果进行转发，实现端口之间负载均衡和冗余保护，保证数据流不出现乱序现象。

⑹HSRP

HSRP是CISCO公司是所特有的。HSRP向主机提供了缺省网关的冗余性，减少了主机

维护路由表的任务。当网络边缘设备或接入电路出现故障时，HSRP提供了一个较好的解决方案，它能够确保用户通信迅速并透明地恢复，以此为IP网络提供冗余性、容错和增强的路由选择功能。通过使用热备份路由份协议（HSRP），可使网络对最终用户的可用性得到充分的保证。另外，通过多个热备份组，路由器可以提供冗余备份，并在不同的IP子网上实现负载分担。

H集团园区网的IP地址规范中规定：网关的地址统一使用子网的最后一个可用地

址。启用HSRP协议之后，这个地址就是HSRP的虚拟地址。

在成对的两台汇聚层多层交换机上，具体的HSRP配置规范如下：

1． 接口的IP地址：在第一台多层交换机上，某个VLAN虚拟接口的IP地址是子网的最后第三个可用地址，在第二台多层交换机上，某个VLAN虚拟接口的IP地址是子网的最后第二个可用地址。

2．热备份组号：热备份组号与接口的VLAN号相同。

3．热备份地址：热备份地址是子网的最后一个可用地址。

4．热备份优先级：在主用的多层交换机了，某个VLAN虚拟接口的热备份优先级

是120。并且主用的汇聚层交换机配置占先权。

⑺ 等价路由（ECMP）

除了从设备级支持三层转发容错协议VRRP之外，Cisco6509系列以太网路由交换机还支持等价路由（ECMP）。等价路由即为到达同一个目的IP或者目的网段存在多条Cost值相等的不同路由路径，当设备支持等价路由时，发往该目的IP或者目的网段的三层转发流量就可以通过不同的路径分担，实现网络的负载均衡，并在其中某些路径出现故障时，由其它路径代替完成转发处理，实现路由冗余备份功能。

不仅从软件上，而且从硬件上也支持等价路由是Cisco6509系列以太网路由交换机与业界类似产品相比显著的优点。以前部分路由交换机虽然也宣称支持等价路由，但实际上只是从软件上支持，对软件转发的报文可以使用等价路由，但对于由硬件直接转发的报文，则只能从一条固定路径转发。而Cisco6509系列以太网路由交换机从硬件上也实现了等价路由的支持，真正实现了硬件三层转发流量的负载分担与路由冗余备份。

Cisco6509系列以太网路由交换机最大支持4条等价路由，并且不论RIP、OSPF等路由协议产生的路由，还是静态配置路由，不论是网段路由还是主机路由，甚至缺省路由，都可以支持等价路由。

Cisco6509系列以太网路由交换机在支持等价路由、实现负载均衡的同时，还能很好地保证报文的有序性。通过数据流的目的IP地址和源IP地址进行计算，Cisco6509系列以太网路由交换机可以保证同一个IP转发流都从同一个路由路径被转发出去，从而保证了整个端到端网络的路由报文转发的有序性，避免了TCP全局同步等问题的发生。

⑻ 策略路由（PBR）

Cisco6509系列以太网路由交换机支持高性能的策略路由。策略路由（Policy-Based Routing，简称PBR）是目前越来越多的路由器或三层交换机设备正在支持的一项路由扩展功能，支持策略路由的设备不仅能以报文的目的IP地址为依据来进行路由选择，还可以以

报文的源IP地址、源MAC地址、报文大小、报文进入的端口、报文类型、报文的VLAN属性等等其它扩展条件来选择路由。通过合理的路由策略设计，可以实现网络流量的负载均衡，充分利用路由设备，并实现路由、交换设备之间的冗余备份功能，同时提供各种可以区分的服务等级，为不同用户提供不同的QoS服务。策略路由是设置在接收报文接口而不是发送接口。Cisco6509系列以太网路由交换机可以很好地支持策略路由功能，并且可以将路由下一跳重定向到某个物理端口，或者某个下一跳IP地址。

⑼ VPN

Cisco6509系列以太网路由交换机支持VPN,VPN（虚拟专网）是利用公共网络资源(如公用电信网)为客户组建专用网的一种技术，它通过对网络数据进行封包和加密传输，在公网上传输私有数据，达到私有网络的安全级别，从而利用公网构筑专网（即VPN）。它是一种逻辑上的专用网络，向用户提供专用网络所具有的功能，但本身却不是一个独立的物理网络。

3.7网络安全设计

H集团园区网有5000用户，网络规模比较大，并且和因特网存在连接。为了保障网络系统的运行安全，保护集团的信息安全，必须进行网络安全方面的规划和实施。

一个网络的安全，首先要有严格和有效执行的管理制度。建议H集团制定严格的网络安全管理策略，并有效的执行。其次，必须具有一定的技术手段来保障网络的安全。技术和管理手段相结合实施，才能够产生良好的效果。

通过以下几个技术方面的实施，可以在一定程度上保障网络的安全：

¾ 提高设备的物理安全性

¾ 配置设备的口令

¾ 进行VTP域的认证

¾ 园区网用户的接入控制

¾ 应用系统的访问控制

¾ 因特网的接入安全控制

⑴ 提高设备的物理安全性

设备的物理安全性是指运行中的设备，未经授权的人员不能直接接触到。提高设备的物理安全性，是最基本的要求。通过将设备安置在独立的设备间中，并增加门禁系统，确保只有授权的管理和维护人员才能接触到物理设备。

⑵ 配置设备的口令

配置设备的口令，是防止非授权的人员更改网络系统的配置的重要手段。

要为所有的设备设置口令。要为每一台设备配置CONSOLE口令，AUX口令，VTY口令，特权口令等

在口令方面，需要制定管理制度并严格执行。口令管理制度包括口令的设置，保管，更改，口令的强度等内容。

⑶ 进行VTP域的认证

进行VTP域的认证，能够保证局域网的VLAN等的安全。

设置了口令之后，除非交换机设置了正确的口令，否则。新交换机不能自动加入到已

本文来源：https://www.bwwdw.com/article/sm21.html