乌兰察布化德电力有限责任公司网络改造技术协议

《乌兰察布化德电力有限责任公司网络改造技术协议》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、乌兰察布化德电力有限责任公司局域网升级改造技术协议书需方：乌兰察布化德电力有限责任公司供方：内蒙古卓风电子科技有限公司日期：2012年03月1项口概述42总体系统设计要求43网络现状54网络改造架构设计65供货范围91项目概述乌兰察布化徳电力公司随着办公信息化的逐步加强，原冇的网络结构和承载能力己经无法满足口益增长的业务需求，为了提高企业信息化水平，对现网进行升级改造。2总体系统设计要求1、安全性安全性是核心网络建设中的关键，它包括物理空间的安全控制及网络的安全控制。本方案分别在公网出口和核心业务区部署了新一代高性能防火墙。2、可维护、

2、可管理性网络可管理性是网络运维的基础。应提供低成本、简单有效的统一网管系统，对网络中所有网络设备进行管理，包括网络拓扑显示、网络状态监控、故障事件实时预警和告警、网络流量统计。3、可靠性高可靠性是核心网络稳定运行的关键，可靠性设计包括关键设备冗余，链路网络冗余合重要业务模块兀余。依据后期电力网络规模，综合考虑合理投资本次设计主要采用重耍业务模块的兀余方式来捉高网络的可靠性。4、充分利旧，保护前期投资在保证整改后网络的科学合理性、安全稳定性的前捉下。充分利旧在网运行设备避免而期投资的浪费。3网络现状化德电力网络组网图出口防火墻供电站HUB

3、3防火墻-丄河帧服务器」*酬服务耀-2备用服彌1、整个网络组网混乱，设备较多，线路复杂，容易引起环路；2、服务器侧无安全保障，容易遭受攻击；3、网络数据规划不合理，全公司在一个局域网内，易产生广播风暴和遭受病毒攻击，造成网络瘫痪；4、核心交换机在实际中只起到二层交换作用，没有发挥三层交换机应有的功能；5、内网中没有防止和控制病毒的专用设备，内网病毒需要重视；6、对于员工上网的行为无法得到有效控制和监控；7、外网侧两台路由器，増加了网络故障节点，而口影响速度，安全也无法保证，需增加一台防火墙有效防止外网攻击和减少故障节点；8、各服务器之间

4、应采取隔离办法，防止之间进行二层互通；9、服务器侧数据量比较大，应配置一台千兆交换机；10、机柜内服务器没有合理的配置显示器和鼠标，操作繁琐。4网络改造架构设计化德电力网络组网图改造后交换机可窗里和远程维护接入层交换机出口防火墙姬库服却；I备用服彌:S1048-2:S3100-3疋:大楼业务区;S1048-1图1网络架构如图所示，改造要求采用层次化的设计思路，按照接入层、汇聚层和核心层进行网络设备设计部署，核心交换机选用1台全千兆交换机来保证设备的安全和可靠，服务器侧新增一台二层汇聚千兆交换机，满足用户访问服务器日益增长的业务需求。一、

5、防火墙布署1、增加一台千兆高性能的防火墙，增设一台百兆防火墙，实现公私网地址转换、外网功击防范和保证服务器侧的安全；2、实现对DDOS功击进行控制，支持对SYNFLOOD、UDPFLOOD>ICMPFLOOD>DNSFLOOD>CC等多种DDoS攻击种类的准确识别和控制；3、NAT处理能力达到每秒新建连接数达到用户要求，满足用户上网的快速处理和转发;二、上网行为管理系统1、屏蔽员工对非法网站的访问；2、提供基于时间、用户、应用的精细管理控制策略，控制员工在上班时间玩网络游戏、炒股、观看在线视频，以及无节制地网络聊天，从而保障工作效率；3

6、、捉供对通过电子邮件、即时通讯、论坛发帖等途径的外发信息进行监控审计，避免企业机密信息泄露；4、此外，还提供应用层的带宽管理功能，有效阻止、限制P2P等严重消耗带宽的应用，确保核心业务带宽。三、防病毒服务器在网络中布置一台网络版病毒服务器，木次设计需要满足100客户端随吋登录服务器更新病毒库对计算机进行升级防护，防止内网计算机病毒在网络中传播，保证用户计算机的安全；四、LCD-KVM在服务器机柜内配置8口LCD-KVM,将现冇服务器及新增病毒服务器全部连接到此LCD-KVM,通过切换完成选择需要操作的服务器，简化对服务器操作过程，提高工

7、作效率。五、核心交换机1）防IP/MAC地址盗用DHCPSnooping技术是DHCP安全特性，通过建立和维护DHCPSnooping绑定表过滤不可信任的DHCP信息，这些信息是指來口不信任区域的DHCP信息。DHCPSnooping绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口等信息，DHCPSnooping绑定表可以基于DHCP过程动态生成，也可以通过静态配置生成，此时需预先准备用户的IP地址、MAC地址、用户所属VLANID、用户所属接口等信息。交换机开启DHCP-Snooping后，会对DHCP报文进

8、行侦听，并可以从接收到的DHCPRequest或DHCPAck报文中提取并记录IP地址和MAC地址信息。另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转