大型网络设计方案

网络方案

第一章概述

当今信息时代，科技迅猛发展，知识更新越来越快，随着技术的进步和经济的发展，人类社会总是在不断地发生着巨大的变化。我们正迈向一个崭新的信息时代。为了适应形势的发展和工作业务的需要，我国的各行各业都在积极地筹建或扩建各类信息网络系统，这标志着我国的信息化社会建设步入了一个新的时期和起点。这也是社会的发展对各行各业提出的新的要求和挑战。企业为适应新的业务发展需要，结合办公楼图纸，旨在实现办公楼信息管理系统现代化；网络化；综合性和多功能。

1）需求分析：

目前办公楼信息点由1层～6层组成。

目前的建网要求为：

1、网络节点数约为440个。

2、立安全、可靠、高效、稳定的计算机网络系统。

3、建立系统内部的INTRANET，以B/S方式实现信息的发布、查询、浏览。

4、建立系统内部电子邮件系统，实现电子公文的传递。

5、为系统内有关计算机提供INTERNET连接，建立互联网网站，做为对外窗口之一，宣

传工作。

6、提供教学、科研信息数据库支持。

7、提供网上办公。

2）网络建设目标：

充分利用计算机网络、INTERNET/INTRANET、多媒体、数据库、数字通信等先进技术构筑研究院的网络平台，实现绘图、管理设计生产的网络化；辅助领导掌握企业发展进行决策；建立先进的办公自动化管理系统。

采用统一的网络协议和接口标准：选用当前流行的TCP/IP协议。

第二章系统的基本设计思想和设计原则

组建一个完备的计算机网络并非易事。有诸多相关问题需要考虑。如所建立的网络能否满足当前业务应用需求；是否能满足今后业务增长需要；若新增硬件和软件是否能方便地接入网络；采用什么样的网络结构形式与网络技术；选择什么样的硬件服务平台和软件服务平台；选择什么样的数据库系统才能使网络系统运行稳定、可靠、安全、易于管理；网络建成后的生命周期有多长等等。当然还要考虑当前的有效投入；如何保护投资效益；尽量节省开支；如何充分发挥现有设备的作用与功能等等诸多方面的问题。

总之，正确的系统设计思想和设计原则必须来自于对现有组网条件和实际业务需求的理智分析和研究。

2.1本网络设计的基本思想目标

A、以先进的成熟的网络应用技术设计和规划省电建一公司网络系统；

B、从实际出发，正确地规划和设计的计算机网络。为企业实现数据共享、资源共享，提

供稳定的信息交换和网络系统服务平台。

2.2计算机网络系统的设计原则为：

选用的网络技术要具有先进性。但也要注意实用成熟和安全可靠。要防止出现网络刚刚建成技术就已落后的情况。同时也要注意防止由于技术过于先进，国内外还没有人用过或应用甚少，使得出现问题难以解决。网络结构、网络硬件平台、软件平台、开发工具、应用软件都应选择具有较长的生命周期，保护用户的投资效益。

1.网络安全性

由于企业网的特殊性，网络的安全性在本次网络建设中是比较重要的，整个网络必须保证万无一失的安全性，并对各个部门的信息要有严格分离保护的办法，防止网络黑客非法入侵。网络系统应配备全面的病毒防治和安全保护功能。

2.易管理易操作性

必须采用智能型网络管理系统，保证全网络设备（交换机、路由器）均可用一套统一的网管系统进行管理；网管软件要求界面为图形界面；所有站点重新分配网段、虚网的重新配置、所有网络设备的重新配置均可通过网管软件由网管站实现；网络布线的设计要求便于管

理和维护，当某条链路出现故障时，必须可以在主设备间或配线间内重新配置。

3.技术先进性

当今世界，通信和计算机技术的发展日新月异，我们的方案应该适应新技术发展的潮流，既要保证网络的先进性，同时又要确保各项技术的成熟性。

4.标准化

计算机管理信息系统就是要实现网络及设备资源的共享，把不同厂商的设备和计算机软件进行互连。在一个复杂的大型网络系统里，必然有多个厂商的硬件及软件，为了保证用户的计算机网络系统具有互操作性、可用性、可靠性、可扩充性、可管理性，需要建立一个开放式、遵循国际标准的网络系统。

5.可扩展性

由于用户业务的不断发展，网络系统必然随之不断扩大，为此，目前的网络设计必然为今后的扩充留有足够的余地，以保护用户的投资，并且不影响原有用户的工作。

6.可用性

由于本网络系统对于数据的时效性、可靠性要求较高，因此在设计时应重点考虑网络及设备的可用性。我们的方案要充分考虑用户的费用情况，不但理论上可行，更重要的是实际上可用，最好地适应用户的需要。

7.兼容性

网络结构有良好的兼容性，能够实现与不同类型的子网的无缝连接。

8.可靠性

为使网络可靠地运行，我们方案中要选用高品质的产品，把故障率降到最小。

9.冗余性

在设计时应考虑为网络留有适当的冗余度，硬件设备应具备一定的冗余模块，以提高网络容错能力。

10.容错性

设备容错性：所选用设备必须具有全容错结构，一台设备中单个电源、单个风扇的故障不影响设备工作，单个模块的故障不影响其它模块的正常工作；设备应具有热修复能力，即当设备的某些部件发生故障时，可以带电更换而不影响设备其它部件工作，新更换部件可直接投入工作而不必重新引导整个设备。

网络结构容错：不能因某台设备的故障而影响到整个主干网络的正常运行；任意一条链路的中断不能使得主干网络的任何部分中断工作。

2.3网络技术选型（几种局域网络结构与技术介绍）

1、交换以太网技术

交换以太网是新近发展起来的先进网络技术。它在保证与以太网协议兼容的前提下，提高网络利用率，减少网络资源争夺造成的冲突，使网络性能大幅度提高，以满足各类数据信息传输的要求。

交换以太网从产生发展到今天在技术上分为两种：静态交换和动态交换。

静态交换：将网络划分为多个网段，网络管理员可以通过网管平台分配各个网段的负载，即网络管理员可以只利用鼠标就可将工作站从资源争夺紧张的网段移到其它冲突较少的网段上。

静态交换使得网络管理员不必到现场接插线路，而是在网管平台面前轻松地改变网络配置，以调整各网段间的负载。静态交换需要网络管理员的监测才能进行被动地调整，而且每个网段上、网段之间的介质访问机制没有改变，网络性能没有根本地提高。

动态交换：动态交换是在高速总线上支持多对传输的同时进行。它不需人工干预实时地将独占带宽分配给一对节点；而其它节点间也可同时进行数据传输。动态交换在总线内部改变了以太网的介质访问机制，使得网上的数据传输以独占的方式进行，就好象在两个有数据传输的节点之间有独立的传输电缆一样，使网络效率大大提高。

动态交换分为端口交换和网段交换两种。端口交换适用于高速节点如服务器、多媒体工作站的连接，它连接节点个数不多，每个节点都有很高的传输速率；网段交换适用于没有特别速率要求的工作站网段，交换的高性能体现在网段之间、网段与服务器之间的数据传输上。同时，随着网络技术的不断进步，动态交换被不断加进新的性能，如对虚网的支持和对数据优先级的支持等。

2、FDDI（光纤分布式数据接口技术）

FDDI网络技术是用光纤构成的反向旋转的双环形拓朴结构，用令牌传递的协议方式传递数据信息，网上速率达到100Mb/s。由于光纤介质具有高的传输性能和具有容错机制，适用于在较长距离（20公里）内工作。FDDI协议使用可变长度的数据包传递信息。由于较少受传输距离限制，所以它特别适用于园区网络或较长距离的局域主干网络。但FDDI进一步推广受到较高的价格的影响，另外目前受到新型的ATM技术的挑战。

3、快速以太网（Fast Ethernet）技术

快速以太网具有100Mb/s的数据通信速率。由于它与10base-T局域网结构的访问控制

机制和电缆联接分布结构相兼容。故而在需要提高局域网通讯速率应用的同时，则从技术上经济上都具有较强的吸引力。目前通常采用10/100的网络适配卡来适应网络传输速率10/100的自动转换。100base-T也使用载波侦听多重访问/碰撞检测技术（CSMA/CD）作为访问竞争算法。其特点是具有不确定的延时和其通过量依赖于有最少的网络碰撞和试图重发的有效的信道利用。但当遇到频繁的发送碰撞和重发的重负荷时，其通讯效率将会下降到理论设计速率50%以下。目前解决这种传输速率下降的技术措施，即向每个节点提供专用的快速网段，可以减轻采用算法引起的问题。但必须要增加快速以太网交换机各个交换端口的网络交换能力。把负担转移给交换机来完成。由于100base-T能够与10base-T网络基础设施的反向兼容性，以及在实际应用中体现方便性和建网费用较低，因而近期在局域网的设计规划中较为广泛地被采用。

快速以太网的另一种技术是100VG-Anylan（IEEE 802.12标准），它使用较为复杂的令牌传递算法。要求用100VG-Anylan适配卡来装备工作站，并需配备相应的驱动软件。其工作速率也达到100Mb/s。其通讯协议采用被称为按需优先级访问方法（DPAM）。在共享传输介质的局域网络中，传递话音或视频信息等对延时敏感的通讯时，显示出按需优先级访问算法优于载波侦听多重访问/碰撞检测的访问竞争算法。它能较好地利用带宽。在线路结构上需要四对线路同时被利用。这种技术是由HP公司开发和支持的网络技术。这种按需优先级访问算法是一种新的网络协议，目前应用较少，且缺少对其产品的诊断技术，性能价格比不及100base-T 技术。

快速以太网与传统的以太网技术相比，此外它还具备以下优点：

1. 快速以太网和普通以太网一样遵循CSMA/CD协议，现有的10BaseT网络设备可以相当简便

地升级到快速以太网，保护用户原有的投资，与其它新型网络技术相比，更方便地使现有的10Mbps LAN无缝连接到100MbpsLAN上。

2. 100BaseT集线器和网络接口卡，只需要比10BaseT同样的设备多花少量费用就可提供比普

通以太网高10倍的性能。因此，100BaseT具备较高的性能价格比。

3. 快速以太网(100BaseT)已得到IEEE任命标准为802.3u，并得到了所有的主流网络厂商的

支持。

4、千兆以太网技术

千兆以太网是相当成功的10Mbps以太网和100Mbps快速以太网连接标准的扩展。IEEE已批准千兆位以太网工程IEEE 802E TaskForce。

千兆位以太网和已充分建立的以太网与快速以太网的节点完全匹配。最初的以太网规范

由帧格式定义，且支持CSMD/CD协议、全双工、流控制和由IEEE802.3标准定义的管理项目，千兆位以太网将使用所有这些规范。

千兆位以太网使用和管理和快以太网相同，所不同的仅仅是比快速以太网快十倍与当前的高带宽需求应用程序相协调的额外特性，而且和日益增强的服务器和台式计算机的功能相匹配。

5、ATM（异步传输模式）技术

ATM是一种最新的快包技术。它采用短的固定长度（53个字节长度）的数据包，作为传输和交换信息的单元（称为信元cel），它适用于多种信息流的混合传递。ATM使用光纤作为传输介质，对于有效负荷信息在传输过程中不作纠错，所以可以用很高的速率传输。目前对于局域网ATM干线的应用，由配备的ATM接口卡的工作速率决定。一般使用155Mb/s，不久将会提高到622Mb/s。ATM除了具有高速传输性能以外，对同长度的短的信元传输，便于预测。对话音和视频等延时敏感的动态信息，便于作传输的优先级调度。因此，ATM特别适用于需要多媒体信息的传输。目前ATM的价格较高，且ATM的技术标准仍需进一步统一和完善，但ATM 是一种面向连接的技术，具有非常大的潜在优势。到目前为止，ATM是唯一的一种能够真正提供业务质量的网络技术。适用传输混合数据，视频和话音信息，具有能直接为桌面系统提供独占带宽等突出优点。

第三章系统设计

综合几种网络结构与技术，根据省电建一公司网络功能需求的具体情况。我们目前建议选用千兆交换以太网络技术和网络结构，其网络主交换设备选择具有1000Mb/s交换能力的千兆网络交换机，在所有主干端口同时提供畅通无阻的1000MBPS端口交换能力。为了减少信息传输和交换过程中的通道拥挤现象和碰撞问题，在分交换机的选择上，建议选择具有支持VLAN 划分的网络交换机。品牌和性能尽可能和主交换机相一致，以便于维护，便于统一。

3.1层次化网络结构(Network Structrue)模型设计

根据以往的经验，我们仍用下述层次结构建立计算机网络平台的概念模型：

* 核心层Core

核心层应该是一个高速的交换骨干网，其设计的首要目标是追求高速，其次才考虑那些系统开销较大的功能，如访问表、过滤器等。

* 分支层Distribution

分支层是核心层的边界，它将影响核心层高速的因素局限在一个较小的范围，处理工作组访问，定义广播/组播域，划分虚拟网等。

* 访问层Access

最终用户的网路接入点。它可以共享、独享或交换带宽的方式为用户提供入网的接口。

该模型将省电建一公司办公楼络系统平台分为三个层次：

主干(Core)层: 主干层提供局域网的高速主干通信传输服务；我们根据省电建一公司办公楼系统结构拓扑图和信息点的分布，建议把数据信息中心作为网络主干层。在网络主干层中建议采用成熟的千兆技术，为保证网络的先进性和保护用户的投资，在选择交换机时，使用支持千兆技术和Ethernet Channel技术的交换机，在将来数据量较大的情况下，可以平滑过度到N*1000M。

支干(Distribution)层：支干层提供各个楼之中的各个LANs之间的网络连接策略和服务；根据省电建一公司办公楼系统结构拓扑图和信息点的分布，建议通过多模光纤接入系统数据中心。该接入具有较高实时性、安全性。在连接过程中，建议使用数据加密技术和TCP包头压缩技术，提高数据传输的安全性和效率。

3.2网络拓扑(Topology)结构设计

3.2.1网络拓扑(Topology)设计

网络常见拓扑逻辑

●Scaled Switching

这种方式不用路由器，仅提供交换功能，适合较小的网路。其安装调试容易，近于“plug and play”，没有结构化地址的概念，整个网路是一个广播域，通过划分VLAN可以限制广播的范围，但VLAN间的通信如果没有路由器是不能实现的。网路的扩充能力差。

●Scaled Routing/Switching

这种方式在核心层采用路由器，分支层采用交换机，适合于局域网通过广域互联的要求。

●Route Server/Centralized Routing

这种方式可以在访问层采用交换局域网，在分支层采用交换局域网或ATM，FDDI、100Base-T和ATM是常见的技术。而在分支层采用ATM时，局域网仿真（LANE）又是目前必用的技术。

●Distributed Routing

这种方式在访问层采用交换局域网技术，在分支层采用路由技术，在核心层采用高速交换技术。这种方式目前由于技术原因，在工程上还不多见。

3.2.2网络设计技术要点

* 减少时延

本工程是要解决各个内部的局域网建设问题，其目的是要设计一个高速的交换局域网。从理论上将，数据包穿过路由器的时延要比穿过交换机的时延大得多，这是因为一个数据包穿过路由器时，路由器要对此数据包作第三层的处理，而数据包穿过交换机时，仅需第二层处理。故在设计本方案时，应尽量减少路由模块，采用Router Server/Centralized Routing技术方案为宜。

* 支持VLAN

有人说过，“网路交换技术的灵魂是VLAN”，因为VLAN能带来诸如广播控制、网路安全、性能提高、管理容易等优点。VLAN划分的技术通常有如下三种方式：

●Port Basis: 交换机或路由器的一个或多个端口划分在一个VLAN之中。这种技术又称为

Segment_based VLAN。

●Network Address Basis: 这种方式是以网络层的地址为划分VLAN的基础，由此可用不

同的网路协议划分不同的VLAN。

●User_Defined Basis: 这种方式更灵活，既可按网路协议划分VLAN，又可按MAC地址划

分VLAN。

目前，第一种（Port Basis）方式CAJUN、CISCO、3COM、BAY都支持，第三种方式MADGE 支持。

* 支持多媒体应用

点对点的应用除了对带宽的要求外，已不存在多大的问题，而一点对多点的

应用则需要多加考虑。网路设计和选型时应考虑设备应支持将交换机第二层的广播地址和第三层的D类IP广播地址建立映照关系的协议，以支持多媒体应用环境下的组播应用。Cisco 采用CGMP协议来实现多媒体组播应用。

* 负载均衡

与LAN相比，广域网带宽远小于LAN，为了充分有效地利用广域网和局域网的带宽，让数据流合理地分配到2条线路或两台设备上，是保证该网能成为高速数据传输网络的关键。

* 系统热备份

设备之间的冗余备份应该是自动进行的，不需要系统管理员的外界干预。在VLAN/ELAN 之内则采用Spanning Tree实现链路热备份；在ATM LANE上使用SSRP(Simple Server Redundancy Protocol)实现ATM局域网仿真服务的容错备份。

3.3网络主干层拓扑(Topology)结构设计

3.3.1主干层设计思想

上图是省电建一公司办公楼高速局域网络主干拓扑图，本人在设计时，根据客户要求考虑网络主干采用1000M Ethernet技术，主交换机与楼层交换机的连接都是采用1000BaseSx技术。

根据以上主干网络设计思想与设备的选型原则，本方案建议整个计算机网设备采用Cisco 公司的产品，其中，主网络管理中心采用Cisco Catalyst4507三层千兆交换机，该交换机配置一块8端口千兆模块，通过配置合适的GBIC模块支持最大10路1000M的下联服务。通过GBIC

模块连接10个二级交换机。为了增加该主系统的可靠性，我们建议如果采用一台主干交换机，主交换机配置双电源、双处理引擎。同时该交换机自身带有3层交换模块，支持VLAN之间的通讯。有关该设备的详细技术资料见设备介绍。

3.3.2二级局域接入网设计思想

本方案中，二级接入层采用企业桌面式局域网交换机，为各部门接入主干网提供所需要的网络接口。二级交换机采用Cisco Catalyst2950,另外，为满足不同二级配线间对信息点发展的需要，该交换机支持堆叠技术与集群技术。

在该二级接入网中，我们主要考虑的是VLAN的划分策略和，跨越主干的VLAN连接。针对可能出现的跨主干的部门及一个部门的信息点存在于两个甚至3个配线间的情况，我们将采用ISL技术以实现跨主干的VLAN通讯。

广域接入网络设计

在该方案中，中心路由器采用Cisco3640系列，该路由器配置2个广域串口，用于与CNC提供的专线连接。

综合上面所述，总体网络拓扑如图所示：

主干交换机采用冗余设计，提供10个1000M端口连接楼层交换机Catalyst2950，配置接入路由器Cisco3640。

第四章网络设备选性

本方案中所用CISCO产品介绍

4.1 Cisco Catalyst 2950 产品介绍

Cisco Catalyst 2950系列智能以太网交换机技术指标如下：

特性和关键优点

优异的性能

各个端口包括千兆位端口的线速、无阻塞性能。

8.8Gbps交换结构和最大660万包/秒的传输速率，能够保证最大的吞吐量--即使对最高性能需求的应用而言也是如此。

12-或24个10BaseT/100BaseTX自适应端口，每个可为单个用户、服务器、工作组提供最大200Mbps的带宽，完全可以支持对带宽需求苛刻的应用。

Catalyst 2950T-24有两个内置的千兆位以太网（100BaseT）端口，可利用现有的5类电缆结构为千兆位以太网主干、千兆位以太网服务器或交换机之间，提供最大4Gbps的汇集带宽和最远100米的距离。

Catalyst 2950-24交换机有两个多模（100BaseFX）光纤上行链路，在最远2公里的距离上可提供高达200Mbps的带宽。

8MB共享内存结构由于使用了消除包头阻塞以及最大可能减少包丢失的设计，所以可以在组播和广播流量很大的情况下，提供更佳的整体性能，同时保证最大可能的吞吐量。

16MB的DRAM和8MB的板上闪存可以为未来升级提供便利，做到最大限度地保护用户投资。

利用快速以太通道和千兆位以太通道技术的带宽汇集可提高容错性能，并在交换机、路由器和各服务器之间提供最大4Gbps的汇集带宽。

每个端口使用基于802.1Q标准的VLAN主干；每个交换机带有64个VLAN，附有64个生成树（PVST+）的实例。

支持硬件IGMP侦听的超级组播管理能力。

支持VMPS功能（计划将来使用）的动态VLAN。

VTP修剪（计划将来使用）。

QoS

支持基于802.1p CoS值或网络管理员为每个端口指定的缺省CoS值来对数据帧进行重新

分类。

在硬件上，每个输出端口支持四个队列。

WRR队列算法确保低优先级端口不会被忽视。

严格的优先权安排配置保证诸如语音等时间敏感的应用能够在交换结构中一直使用快速路径。

易于使用和易于安装

Cisco CMS允许网络管理员通过一个单独的IP地址，使用任何标准的Web浏览器管理最多16个互连的Catalyst 2950、3550-12T、3500 XL、2900 XL和1900交换机，不论它们位于什么地方。也就是说，交换机不用位于同一个配线间内。

全面的后向兼容性保证所有Catalyst 3500 XL、Catalyst 2900 XL或Catalyst 1900交换机可以利用Cisco CMS同Catalyst 2950一起进行管理。

集群软件升级特性可使用户在一组Catalyst 3550-12T、Catalyst 2950、Catalyst 3500 XL和Catalyst 2900 XL交换机上自动升级系统软件。

每个端口的自适应功能检测连接设备的速度并自动对端口进行配置，选择10-、100-或1000-Mbps速率工作，这样，在10-、100-、1000-BaseT的混合环境中可很方便地进行交换机的配置。

协调所有端口工作，自动选择半双工或全双工的传输模式以优化带宽分配。

闪存中的缺省配置可以保证交换机快速连通网络，从而在用户最小干预的情况下传输数据流量。

集成的Cisco IOS交换解决方案

通过快速以太通道和千兆以太通道技术实现的带宽汇集，可以增强了容错能力并可提供最大4Gbps的带宽。

每个端口的广播风暴控制能力可预防故障终端工作站利用广播风暴降低系统的总体性能。

支持命令行界面（CLI），可为用户提供Catalyst 交换机和Cisco路由器通用的界面和命令集。

Cisco发现协议（CDP）可使CiscoWorks网络管理工作站在网络拓朴中自动发现交换机。

超级管理能力

Cisco CMS允许网络管理员通过单个的IP地址和任何标准的浏览器，管理最多可达16个互连的Catalyst 2950、3550-12T、3500 XL、2900 XL和1900交换机，不论它们位于什么地方。也就是说，交换机不用放置在同一配线间内。

交换机集群软件升级可使网络管理员通过简单易用的Cisco CMS界面或一个单独的CLI命令，升级最多可达16个交换机的系统软件。

简单网络管理协议（SNMP）和Telnet界面可提供综合的带内管理能力，同时，基于CLI 的管理控制台可提供详尽的带外管理能力。

以每个端口和每个交换机为基础的CiscoWorks Windows网络管理软件能够提供有效的管理能力，可为Cisco路由器、交换机和集线器提供通用的管理界面。

内置远程监视（RMON）软件代理程序支持四种RMON组（历史、统计、告警、事件），增强了流量管理、监视和分析能力。

交换机端口分析（SPAN）端口利用一个网络分析仪或RMON探测器监视单个端口的流量自动配置通过使用一个网络根服务器对网络中的多个交换机进行自动安装配置，从而简化了交换机的配置工作。

域名服务（DNS）利用用户定义的设备名称进行IP地址解析。

小文件传输协议（TFTP）减少了管理软件的成本，这些软件可由一个集中的位置进行下载升级。

网络定时协议（NTP）为intranet内的所有交换机提供了一个精确和稳定的时间标准。

生成树根保护（STRG）可预防边缘设备脱离网络管理员的控制，成为一个STP根结点。

每个端口配备的状态、全双工/半双工、10BaseT/100BaseTX/1000BaseT多功能LED指示，同系统、RPS和带宽使用LED一起，组成了综合和方便的可视化管理系统。

安全性和冗余性

支持IEEE 802.1x（计划将来使用）。

Cisco快速上行链路技术保证快速的故障恢复（典型值小于3秒），使网络的综合性能更加稳定和可靠。

专用VLAN边缘为交换机的端口间提供安全性和隔离性，同时保证语音流量从进入点通过虚拟通道直接传输到汇集设备，而不会被定位到其它无关端口。

基于MAC的端口级安全性可以防止未授权的工作站访问交换机。

用户选择的地址学习模式简化了配置，增强了安全性。

IEEE 802.1D STP对冗余主干连接和无环路网络的支持简化了网络配置过程，提高了容错能力。

支持Cisco冗余电源系统300（RPS300），配有最多可达6个单元的内置备份电源，提高了容错能力和网络正常工作时间。

控制台访问的多级安全性可以防止未授权的用户修改交换机配置。

支持TACACS+验证对交换机的集中控制，防止未授权的用户更改配置。

技术规范

性能

8.8Gbps交换结构

基于64字节数据包的传输速率

Catalyst 2950-12：1.8Mpps线速传输速率

Catalyst 2950-24：3.6Mpps线速传输速率

Catalyst 2950T-24：6.6Mpps线速传输速率

Catalyst 2950C-24：3.9Mpps线速传输速率

最大传输带宽4.4Gbps

所有端口共享8MB数据包缓存内存结构

16MB DRAM和8MB闪存

8000个MAC地址

管理

SNMP管理信息库（MIB）Ⅱ、SNMP MIB扩展、桥接MIB（RFC 1493）

标准

支持IEEE 802.1x（计划将来使用）

支持10BaseT、100BaseTX、1000BaseT端口上的IEEE 802.3x全双工操作IEEE 802.1D生成树协议

IEEE 802.1p CoS

IEEE 802.1Q VLAN

IEEE 802.3ab 1000BaseTX规范

IEEE 802.3u 100BaseTx规范

IEEE 802.3 10BaseTx规范

Y2K

解决了Y2K问题

连接器和电缆

10BaseT端口：RJ-45连接器，两对3、4或5类非屏蔽双绞线（UTP）100BaseTX端口：RF-45连接器；两对5类UTP双绞线

1000BaseT端口：RJ-45连接器；两对5类UTP双绞线

100BaseFX端口：MT-RJ连接器，10/125或62.5/125微米多模光纤

管理控制台端口：8针RJ-45连接器，RJ-45到RJ-45延长电缆，带连接到PC机的RJ-45到DB9适配器。对于终端连接，使用RJ-45到DB25阴头DTE适配器（可以从Cisco单独定货。产品编号：ACS-DSBUSYN=）

MT-RJ维修电缆（电缆种类、Cisco产品编号）

1米，MT-RJ到SC多模电缆，CAB-MTRJ-SC-MM-1M

3米，MT-RJ到SC多模电缆，CAB-MTRJ-SC-MM-3M

5米，MT-RJ到SC多模电缆，CAB-MTRJ-SC-MM-5M

1米，MT-RJ到ST多模电缆，CAB-MTRJ-ST-MM-1M

3米，MT-RJ到ST多模电缆，CAB-MTRJ-ST-MM-3M

5米，MT-RJ到ST多模电缆，CAB-MTRJ-ST-MM-5M

电源连接器

你可以让交换机使用内置电源或Cisco RPS300电源。连接器位于交换机的后面。

内部电源连接器

内部电源是一个电压自动调整电源。

支持100到240VAC的输入电源电压。

使用随机提供的AC电源线将交流电源连接器与交流电源插座连接。

Cisco RPS连接器

Cisco RPS 300为可选设备，它使用交流输入，将直流输出到交换机。

300瓦冗余电源系统，可支持6个外部网络设备，并同时为一个故障设备供电。

自动检测所连接设备的内部电源是否发生故障，并及时为之供电，以防止网络信息丢失。

安装或更换内部电源后，RPS 300将自动停止为此设备供电。

只有Cisco RPS 300（PWR300-AC-RPS-N1）才可连接到RPS插座上。

指示灯

各端口的状态指示LED：连接成功、失败、活动、速度和全双工指示

系统状态LED：系统、RPS、带宽使用指示

规格和重量（H×W×D）

规格：1.72×17.5×9.52英寸（4.36×44.45×24.18 厘米）

1个机柜单元（RU）高度（1.72英寸 /4.36 厘米）

重量：6.5磅（3.0公斤）

管理机构的认证

安全认证

UL/CSA G0950 第三版

CSA 22.2 No.950

EN 60950

IEC 950

AS/NZS 3260，TS001

CE标志

电磁辐射认证

FCC Part 15 Class A

EN 55022 Class A （CISPR 22 Class A）

VCCI Class A

AS/NZS 3548 Class A

CE标志

CLEI Code

BSMI Class A 4.2

4.2 Cisco Catalyst 4507产品介绍

Cisco Catalyst 4500系列为企业LAN接入、小型骨干网、第三层分布点和集成化SMB及分支机构部署提供了先进的高性能解决方案。其优势包括：

性能—Cisco Catalyst 4500系列提供了带宽可随端口的添加而扩展的高级交换解决方案，采用了领先的特定应用集成电路(ASIC) 技术，提供线速第二到三层10/100或千兆位交换。第二层交换以全面的线卡兼容性提供了模块化交换管理引擎灵活性，可扩展到136 Gbps、 102 mpps。第三到四层交换基于思科快速转发，也可扩展到136 Gbps、 102 mpps。

端口密度—Cisco Catalyst 4500系列可达到一个机箱中384个铜或光纤以太网端口的网络组件连接要求。Catalyst 4500系列支持业界最高密度的10/100/1000自动检测，自动协商从网络边缘直接到桌面计算机的千兆位以太网连接。可选万兆位以太网上行链路端口有助于实施高密度千兆位以太网到桌面部署和交换机间应用。

交换管理引擎冗余性—Cisco Catalyst 4507R和Catalyst 4510R交换机支持1+1交换管

理引擎冗余，实现集成永续性。冗余交换管理引擎可缩短网络停运时间，实现业务连续性和提高员工效率。在状态化切换（SSO）的支持下，第二个交换管理引擎作为备用，可在主交换管理引擎发生故障时，在不到一秒的时间内接管一切。此外，也支持Cisco IOS 软件中的不间断转发（NSF）感知特性，可与支持NSF的设备互操作，在因交换管理引擎切换而更新路由信息时，可继续转发分组。

以太网电源 (PoE)—Cisco Catalyst 4500系列支持802.3af标准和思科预标准电源，以便在10/100或10/100/1000端口上提供PoE，使客户可支持电话、无线基站、摄像机和其他设备。此外， PoE允许企业在单一电源系统上隔离关键设备—所以整个系统可由备用的不间断电源（UPS）支持。所有新Cisco Catalyst PoE线卡可同时在每个端口上支持15.4 W。这些卡与所有Cisco Catalyst 4500系列机箱和交换管理引擎兼容。

高级安全特性—Cisco Catalyst 4500系列上支持802.1x、访问控制列表(ACL)、Secure Shell(SSH)协议、动态ARP检测(DAI)、源IP防护和专用虚拟LAN(PVLAN)等安全特性，可增强网络中的控制能力和灵活性。通过有选择地或全部实施上述特性，网络管理员可防止对于服务器或应用的未授权访问，允许不同的人能以不同的许可权来使用同一PC。

Cisco IOS软件网络服务—Cisco Catalyst 4500系列交换机提供能增强公司网络的成熟的第二到三层特性。这些特性可满足大中型企业的先进的联网要求，因为它们已根据多年来客户的反馈意见进行了改进。

投资保护—Cisco Catalyst 4500系列灵活的模块化架构为LAN接入层或分支机构网络提供了经济有效的接口升级。已部署了采用较早交换管理引擎版本的Cisco Catalyst 4503和Catalyst 4506交换机、现在需要更高性能和增强特性的客户，可方便地升级到Cisco Catalyst 4500系列Supervisor Engine II-Plus、Catalyst 4500系列Supervisor Engine V-10GE、Catalyst 4500 Supervisor Engine IV或Catalyst 4500 Supervisor Engine V。Catalyst 4500系列各成员间的备件可兼容，Catalyst 4003和Catalyst 4006机箱提供了电源和交换线卡通用性，降低了整体部署、移植和支持成本。

功能透明的线卡—Cisco Catalyst 4500系列系统只需添加一个新的交换管理引擎，如Cisco Catalyst 4500系列supervisor engines II-Plus、IV、V或V-10GE，即可轻松地将所有系统端口升级到更高层的交换功能。无需更换现有线卡和布线，就可以实现更高层的功能增强。

到桌面的千兆位连接—Cisco Catalyst 4500系列已提供众多的1000-Mbps桌面和服务器交换解决方案。其千兆位解决方案的范围可通过用于Catalyst 4500系列的48和24端口三速

自动检测和自动协商10/100/1000BASE-T线卡，方便地扩展到桌面。采用自动检测技术的三速48和24端口模块，无需更换线卡即可将快速以太网桌面在将来移植到千兆位以太网，提供了LAN投资保护。Catalyst 4500系列Supervisor Engine V-10GE提供了两条为10/100/1000BASE-T到桌面汇聚而优化的线速万兆位以太网上行链路。

基于硬件的组播—协议独立型组播(PIM)、密集和疏松模式、互联网小组管理协议(IGMP)和思科群组管理协议支持基于标准和经思科技术增强的高效多媒体联网，且对性能无影响。

Cisco NetFlow服务—用于Supervisor Engine IV和V的Cisco NetFlow服务卡支持硬件中的统计数据获取，用于基于流量和基于VLAN的统计监控。

针对关键任务应用的带宽保护—当部署Cisco Catalyst 4500系列Supervisor Engines II-Plus、IV、V或V-10GE时，在实施QoS或安全特性时不会降低转发性能；Catalyst 4500系列平台继续以全线速转发分组。

到桌面的光纤连接—Cisco Catalyst 4500系列24和48端口100BASE-FX线卡提供了光纤电缆设施的安全性和永续性，使之极适于有距离限制、入侵漏洞或RF干扰的网络。处理保密信息或提供电子商务的企业客户或政府机构将受益于这些线卡的安全优势。

第五章网络安全设计

5.1 网络安全系统（防火墙系统）设计

INTERNET的安全技术，首先是采用防火墙（Firewall）。防火墙是近年发展起来的重要安全技术，其主要作用是在网络入口点检查网络通讯，根据客户设定的安全规则，在保护内部网络安全的前提下，提供内外网络通讯。

考虑到工作的特殊性，在外网防火墙选型上我们将选择CISCO PIX525防火墙。

1、PIX Firewall功能：

存取控制 ----指定IP地址、用户认证控制

拒绝攻击 ----检测SYN攻击、检测Tear Drop攻击、检测Ping of Death攻击、检测IP Spoofing攻击、默认数据包拒绝、过滤源路由IP、动态过滤访问、支持Web、Radius及SecureID 用户认证

网络地址转换NAT(Network Address Translation)

隐藏内部地址，节约IP资源

网络隔离DMZ(Demilitarized Zone)

物理上隔开内外网段，更安全，更独立

负载平衡(Load Balancing)

按规则合理分担流量至相应服务器，适用于ISP

虚拟专网VPN(Virtual Private Network)

符合IPsec标准，节省专线费用。VPNclient适应国际趋势

流量控制及实时监控(Traffic Control)

用户带宽最大量限制，用户带宽最小量保障，八级用户优先级设置，合理分配带宽资源2、PIX Firewall特点：

PIX防火墙独有的设计,彻底解决了困扰高速宽带网络的性能瓶颈问题

PIX硬件防火墙专用的系统平台,保证了自身体系结构的可靠性,消除了软件类防火墙由于操作系统平台本身引起的安全问题。

5.2 防病毒方案设计

我们利用美国NAI公司的McAfee软件（TVD）来为网络提供防病毒设计方案。

McAfee Total Virus Defense (TVD) NAI是全球反病毒解决方案的领导者，McAfee TVD在一个集中控制的软件包里为您提供从桌面到服务器到Internet网关的一整套防病毒安全解决方案，使企业范围的防病毒管理成现实。

桌面防病毒产品VirusScan和WebScanX；

服务器防病毒产品Netshield和GroupShield；

网关防病毒产品Webshield；

防病毒系统网管ME(Management Edition)；

Internet上升级数据推送产品SecureCast；

TVD及其组件已通过VSUM、Virus Bulletin、Secure Computing、NCSA等多所独立测试机构的重复检测，并且已经通过国内公安部的检测，许可在国内销售。

1、桌面保护产品

TVD中的VirusScan为所有的桌面计算机提供所能获得的、最为全面的跨平台病毒保护。VirusScan还集成了一些功能强大的辅助技术，可以自动地保护系统免于崩溃和数据的意外丢失。