【精品】化德电力有限责任公司网络改造技术建议书.doc

《【精品】化德电力有限责任公司网络改造技术建议书.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、乌兰察布化德电力有限责任公司网络改造技术建议书内蒙古卓风电子科技有限公司2011年8月目录1项目概述32总体系统设计原则32.1安全性32.2可维护、可管理性33、网络现状44、网络改造架构设计55、项目预算95售后服务101项目概述化德电力公司随着办公信息化的逐步加强，现有的网络结构和承载能力已经无法满足日益增长的业务需求，为了提高企业信息化水平，急需对现网进行升级改造。2总体系统设计原则2.1安全性安全性是核心网络建设屮的关键，它包括物理空间的安全控制及网络的安全控制。本方案分别在公网出口和核心业务区部署了新一代高性能防火墙。2.2可维护、可管理性网络可管理

2、性是网络运维的基础。应提供低成本、简单有效的统一网管系统，对网络屮所有网络设备进行管理，包括网络拓扑显示、网络状态监控、故障事件实时预警和告警、网络流量统计。3、网络现状化德电力网络组网图供电站HUB3备用服却丄号应W务舉-2出口防火墙防火墙S31001、整个网络规划混乱，设备较多，线路复杂，容易引起环路；2、服务器侧无安全保障，容易遭受攻击；3、网络数据规划不合理，全公司在一个局域网内，易产生广播风暴和遭受病毒攻击，造成网络瘫痪；4、核心层交换机依然采用百兆级别的交换机，而且是二层交换机，成为网络核心业务的瓶颈；5、内网屮没有防止和控制病毒的专用设备，内网病毒

3、需要重视；6、对于员工上网的行为无法得到有效控制和监控；7、为前网络的完整性、安全性、灵活性、可扩展性、先进性等方而还存在诸多问题；久各服务器之间应采取隔离办法，防止之间进行二层互通；9、服务器侧数据量比较大，应配置一台千兆交换机和千兆防火墙进行防护，提升内网用户的访问速度；10、机柜内服务器没有合理的配置显示器和鼠标，操作繁琐。4、网络改造架构设计化德电力网络组网图联通；S1048-1;S1048-2:S3100-3:大楼业务区核心三层丸服务如防火墙汇杀等服务丢;-注$飯服林一1:三丄费删服务群2[I-也丫嫌库股却;I■匚9备用服务器;出口防火墙改造后交换机可

4、窗里和远程维护图1网络架构如图所示，本方案采用层次化的设计思路，按照接入层、汇聚层和核心层进行网络设备设计部署，核心交换机选用1台全千兆交换机来保证设备的安全和可靠，服务器侧新增一台二层汇聚千兆交换机和一台千兆防火墙，满足用户访问服务器FI益增长的业务需求。本方案屮把出口防火墙和服务器侧防火墙替换为华三高性能防火墙，被替换的防火墙由于性能不高、配置繁琐、可靠性差、网管管理不到、影响网络运行速度不能被利旧。网络屮汇聚业务的2台二层华三交换机S1048由于不可管理和配置，在网络屮只是起到HUB作用，需在二期改造屮和下边的变电诂和所一同替换。一、防火墙布署1、服务器侧

5、增加一台千兆高性能的防火墙，提高内网访问速度。外网侧增加百兆防火墙一台，实现公私网地址转换、外网功击防范和保证服务器侧的安全；2、实现对DDOS功击进行控制，支持对SYNFLOOD、UDPFLOOD.ICMPFLOOD.DNSFLOOD>CC等多种DDoS攻击种类的准确识别和控制；3、NAT处理能力达到每秒新建连接数达到用户要求，满足用户上网的快速处理和转发；二、上网行为管理系统1、屏蔽员工对非法网站的访问；2、提供基于时间、用户、应用的精细管理控制策略，控制员工在上班时间玩网络游戏、炒股、观看在线视频，以及无节制地网络聊天，从而保障工作效率；3、提供对通过屯子

6、邮件、即吋通讯、论坛发帖等途径的外发信息进行监控审计，避免企业机密信息泄露；4、此外，还提供应用层的带宽管理功能，有效阻止、限制P2P等严重消耗带宽的应用，确保核心业务带宽。三、防病毒服务器本方案在网络屮布置了一台网络版病毒服务器，本次设计可以满足130客户端随吋登录服务器更新病毒库对计算机进行升级防护，防止内网计算机病毒在网络屮传播，保证了用户计算机的安全；111LCD-KVM在服务器机柜内配置16口LCD-KVM,将现有服务器及新增病毒服务器全部连接到此LCD-KVM,通过切换完成选择需要操作的服务器，简化对服务器操作过程，提高工作效率。五、核心交换机在网络

7、核心层增加一台千兆三层交换机，保障核心层传输速度，实现公司内部网络的快速交换，多网段的互通和隔离。1）防IP/MAC地址盗用DHCPSnooping技术是DHCP安全特性，通过建立和维护DHCPSnooping绑定表过滤不可信任的DHCP信息，这些信息是指来自不信任区域的DHCP信息。DHCPSnooping绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口等信息，DHCPSnooping绑定表可以基于DHCP过程动态生成，也可以通过静态配置生成，此时需预先准备用户的IP地址、MAC地址、用户所属VLANID、用户所属接口等信息。交换机开

8、启DHCP-Snoopi