搜索
企业网络改造规划方案2017年8月目录第1章.项目概述1.1.项目背景随着**公司信息技术发展，作为信息载体的网络系统存在问题日益严重：网络负载加大、网络带宽不足、网络安全问题严重、应用系统的增加，多网融合的需求迫切、网络终端不受控等。这就需要对现有网络系统进行改造，以满足**公司信息技术发展的需求。1.2.项目建设需求在利用**公司现有网络资源的基础上加以改造，改造后的网络需要满足以下需求：1、根据用户对业务系统的访问要求，将现有各个业务子网在网络核心层面进行整合，以达到单个用户可以访问不同子网的资源，并通过一定的安全策略，确保各个子网之间的数据和业务安全。2、优化现有网络规模，设立网络汇聚节点，最终形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的汇聚点，覆盖全公司、部门、车间的生产区域。3、实现整个公司网络架构分等级安全管理。4、建立结构化网络安全系统，所有用户通过认证方式接入公司网络，访问自己对应的网络资源或系统。5、实现网络终端受控，重要岗位终端行为管理，保证终端规范化操作。6、实现服务器及存储资源的有效利用，建立核心服务器区域的安全防护提高运行能力。将现有主要服务器，如产销系统、新老线MES系统、设备管理系统、远程计量、人事、原料采购、调度、质量等服务器集中统一管理。7、实现L2系统在网络中的隔离，保证L2系统安全稳定运行。1.3.建设目标此次网络改造规划方案主要包括：网络系统，安全系统的建设。各个系统的功能概述如下：1)网络系统：尽量利用现有的网络接入条件和机房环境条件，对现有网络系统进行全面改造升级，实现生产网、宽带网、设备网之间的融合接入，简化网络逻辑架构。2)安全系统：根据网络总体架构和安全需求，设计部署安全防御体系（包括网络层、系统层、应用层等各层次），各业务系统的安全防范和服务体系，并实现集中的安全管理。第2章.系统规划要求系统规划要求如下：2.1.高可靠要求为保证业务系统不间断正常运行，整个系统应有足够的冗余，设备发生故障时能以热备份、热切换和热插拔的方式在最短时间内加以修复。可靠性还应充分考虑系统的性价比，使整个网络具有一定的容错能力，减少单点故障，网络核心和重点单元设备支持双机备份。2.2.高性能要求核心网络提供可保证的服务质量和充足的带宽，以适应大量数据传输包括多媒体信息的传输。整个系统在国内三到五年内保持领先的水平，并具有长足的发展能力，以适应未来网络技术的发展。2.3.易管理性要求考虑到系统建设后期的维护和管理的需要，在方案设计中充分考虑各个设备和系统的可管理性，并可以满足用户个性化管理定制的需要。网站各系统易于管理，易于维护，操作简单，易学，易用，便于进行配置和发现故障。2.4.安全性要求对于内部网络以及外部访问的安全必须高度重视，设计部署可靠的系统安全解决方案，避免安全隐患。设计采取防攻击、防篡改等技术措施。制定安全应急预案。管理和技术并重，全方位构建整个安全保障体系。2.5.可扩展性要求对**信息化建设规划要长远考虑，不但满足当前需要，并在扩充模块后满足可预见需求，考虑本期系统应用和今后网络的发展，便于向更新技术的升级与衔接。留有扩充余量，包括端口数和带宽升级能力。2.6.实用性和先进性要求系统建设首先要从系统的实用性角度出发，未来的信息传输都将依赖于数据网络系统，所以系统设计必须具有很强的实用性，满足不同用户信息服务的实际需要，具有很高的性能价格比，能为多种应用系统提供强有力的支持平台。2.7.经济性要求本次系统建设中，要充分考虑原有系统资源的有效利用，发挥原有设备资源的价值。要本着以最少的建设成本，最少的改造成本，持续获得当期及未来建设的最大利益。第3章.系统总体设计此方案设计将遵循先进性、实用性、可靠性、易管理性、安全性、扩展性、经济性的原则，为实现**数据集中处理的方式，构建统一融合的网络系统，能支持全公司范围内的高可靠实时网络连接。依据**网络改造建设的需求，本次方案设计的网络平台系统的总体示意图如下：**网络改造总体拓扑图注：图中橙色字体的设备为此次新增设备。具体描述：1．网络系统设计1)整体网络结构按照不同的安全级别，主要分为出口区域、DMZ区域、中心服务器集群区域、核心交换区域、生产网接入区域、能源网接入区域、远程计量网接入区域及其他网络接入区域。2)作为整个网络的核心业务区域，采用两台高端核心交换机双机热备的方式，保证核心业务的正常开展。同时，依据业务的重要程度对全厂网络进行分区、并进行可靠安全隔离，避免重要程度较低的业务对重要程度高的核心业务造成影响。3)生产网接入区域，主要以现有的生产网接入设备为主、另外融合了宽带网和设备网的接入设备。根据现有的网络结构及客户需求，设立新的网络汇聚节点，形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的汇聚点，覆盖全公司、部门、车间的生产区域。4)上述七个汇聚节点主要下联现有的生产网接入设备，同时，将原宽带网和设备网的接入设备融入，构建统一的网络接入平台，不再重复建网。新的网络平台融合了，生产网的数据访问和外网互联的需求，使用同一终端即可实现内外网同时访问的功能。5)规划统一的中心服务器集群区域，将现有生产网、设备管理系统、人事系统中运行的服务器，划到同一逻辑区域。考虑到新的核心交换的高性能，将所有的服务器直接接到核心交换，通过核心区域的安全设备来保证访问安全。使全厂的所有客户终端都通过核心交换来对各个业务系统进行统一访问。6)设计新的互联网出口区域，设置出口防火墙、上网行为管理、负载均衡等安全设备，保证全厂用户的上网安全。原有生活区用户不再和办公区使用同一出口上网，生活区用户使用单独的出口设备连接互联网。7)构建DMZ区域，将、DNS、MAIL等需要同时服务内外网用户的服务器放到该区域，设置VPN、负载均衡等设备保证服务安全。8)能源网和远程计量网由于是独立运行的物理网络，不在此次网络改在的范围。但此次我们新增的核心交换，在性能、稳定性、处理能力方面，均有能力负载未来其他多个网络的融合。2．安全系统设计本次**网络改造项目建设将考虑如何建设多层次、纵深防御系统。另外，要加强安全管理工作和安全应急工作。通过部署防火墙保证网络边界的安全，保证网络层的安全；部署入侵检测系统实现内网安全状态的实时监控；部署防病毒系统防止病毒入侵，保证主机的安全；部署网络监控系统对网络进行监控；部署抗攻击系统抵御来自外界Internet的DoS/DDoS攻击；部署漏洞扫描系统对系统主机、网络设备的脆弱性进行分析；部署时钟系统使系统的时钟同步；部署单点登录系统方便用户在多个系统间自由穿梭，不必重复输入用户名和密码来确定身份；部署统一认证系统对不同的应用系统进行统一的用户认证，通过统一的用户认证平台提供一个单一的用户登陆入口；部署安全管理平台实现系统内安全事件的统一管理。我们要通过相应的安全技术建设一套包含物理层、网络层、主机层、应用层和管理层等多个方面的完整网络安全体系。第4章.基础平台详细规划4.1.网络系统4.1.1.系统设计目标网络系统建设的总体目标，是要建立统一融合的、覆盖全公司范围内的、高速高可靠的网络平台，以支持数据集中处理的运行模式。4.1.2.系统设计原则网络系统包括四大部分，一是出口区域，实现公司用户的上网需求；二是服务器区域，对**现有业务系统的主机存储进行统一管理；三是核心交换区域，实现全公司所有功能区域的互联互通；四是二级接入区域，对整个网络现状进行重新规划，形成新的汇聚节点，将生产网、宽带网、设备管理、人事系统统一融合到新的管理网络中，实现单一终端对所有业务系统的统一访问。网络系统有良好的扩展性，保证网络在建设发展过程中业务和系统规模能够不断地扩大。网络线路及核心、关键设备有冗余设计。核心设备和关键设备保证高性能、高可靠性、大数据吞吐能力。网络系统的设计充分考虑系统的安全性。4.1.3.整体网络规划按照结构化、模块化的设计原则，实现高可用、易扩展、易管理的建设目标。网络整体拓扑如下图所示：注：图中橙色字体的设备为此次新增设备。按照“模块化”设计原则，需要对**整体网络结构进行分区设计。根据**公司业务情况，各区域业务系统部署描述如下：核心交换区：此区域用于实现各分区之间的数据交互，是数据中心网络平台的核心枢纽。出口区域：互联网出口，公司员上网，对外发布公司信息，承载电子商务等业务系统。中心服务器区：此区域部署核心业务服务器，包括MES、OA、人事、安全管理等应用系统。网络汇聚区：实现公司办公楼、各分厂等汇聚网络接入，二级单位可以通过该接入区域实现对业务系统的访问。接入交换区：全厂接入设备连接区域，该区域用于连接终端用户和公司核心交换网络，是网络中最广泛的网络设备。4.1.4.分区设计详解4.1.4.1.核心交换区设计此次网络改造，建议新增两台高性能的核心交换机作为**的网络核心。核心层作为整个**网络的核心处理层，连接各分布层设备和**核心服务器区，核心层应采用两台高性能的三层交换机采用互为冗余备份的方式实现网络核心的高速数据交换机，同时，两台核心设备与分布层各设备连接，保证每台分布层设备分别与两台核心层设备具有网络连接，通过链路的冗余和设备冗余的设计，保证整个核心层的高可靠性。两台核心设备之间应至少保证2Gbps全双工的速率要求，并能平滑升级到10Gbps。核心区是整个平台的枢纽。因此，可靠性是衡量核心交换区设计的关键指标。否则，一旦核心模块出现异常而不能及时恢复的话，会造成整个平台业务的长时间中断，影响巨大。4.1.4.2.互联网出口区设计**与外网的出口区域，目前是通过建立独立的宽带网，实现办公区和生活区通过统一出口访问外网的。在此次网络改造中，我们计划把生活区上网与办公区上网隔离开，通过不同的出口访问外网。改造后的生活区网络拓扑结果如下图所示：如上图所示，此次生活区的网络改造会增加新的防火墙和负载均衡设备，作为生活区的网络安全管理设备，通过单独的出口设备连接到互联网。改在后的厂区互联网出口区域，如下图所示：如上图所示，工作区的网络改造同样会增加新的防火墙和负载均衡设备，以及上网行为管理等安全设备，作为生活区的网络安全管理设备，通过单独的出口设备之间连接到互联网。出口区域除了网络出口设备外，还包括一个DMZ区域，用于将、DNS、MAIL等，需要同时服务内、外网用户的服务器放到该区域，4.1.4.3.中心服务器区设计规划统一的中心服务器集群区域，将现有生产网、设备管理系统、人事系统中运行的服务器，划到同一逻辑区域。该区域物理上为一个区域接入到核心，而逻辑上可以再划分为多个业务应用区，根据业务属性的不同可以划分为生产服务器区（如ERP等）、办公服务器区（如OA等）、管理服务器区（如IT运维、管理等系统）等。考虑到新的核心交换的高性能，将所有的服务器直接接到核心交换，通过核心区域的安全设备来保证访问安全。使全厂的所有客户终端都通过核心交换来对各个业务系统进行统一访问。4.1.4.4.网络汇聚区设计网络汇聚区域，根据现有的网络结构及客户需求，设立新的网络汇聚节点，形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的汇聚点，覆盖全公司、部门、车间的生产区域。该区域的网络设备主要以现有的生产网汇聚设备为主、另外融合了宽带网和设备网的汇聚设备，同时考虑现有汇聚设备性能不能满足需求的情况，新增高新能的汇聚设备。汇聚层设备通过双链路的方式与核心层两台核心交换设备相连，同时，为保障网络的健壮性，以及便于各个分厂区之间数据交互，各个分厂区的汇聚交换机之间也有线路直连。各汇聚节点与核心层的连接，应全部采用1000Mbps或1000Mbps以上的连接方式，分布层设备实现本区域内的各Vlan的路由处理和安全限制。一炼汇聚交换机S5624一轧汇聚交换机S5324二炼汇聚交换机S5624二轧汇聚交换机S5624销售部汇聚交换机S5324轧钢总降汇聚交换机S6506自动化车间汇聚交换机S6324一炼接入网一轧接入网二炼接入网二轧接入网自