XXXX网络设计说明

XXXX网络设计说明

2020.03

一、园区网建设方案

1.1整体架构设计

规划网络拓扑设计如下：

园区网络采取层次化设计，将采购人网络划分为核心层、汇聚层、接入层。每一个区域和层次功能清晰，架构稳定，同时易于扩展和维护。关键设备均采用双节点冗余设计，关键链路采用Trunk方式冗余备份或者负载分担；关键设备的电源等关键部件冗余备份，提高了整个网络的可靠性。数据中心区域配置下一代防火墙增加网络出口安全、同时虚拟化服务器群及磁盘阵列上联链路均采取千兆光路进行Trunk方式冗余备份或者负载分担。

1.2物理组网规划

核心区域建议采用园区出口、核心层、汇聚层和接入层的架构模型，具有如下的优势：

层次化设计：核心层、汇聚层、接入层，每层功能清晰，架构稳定，易于扩展和维护。

模块化设计：每一个模块一个部门，部门内部调整涉及范围小，定位问题也容易。

冗余性设计：双节点冗余性设计，适当的冗余性提高可靠性，过度的冗余不便于运行维护。

对称性设计：网络的对称性便于业务部署，拓扑直观，便于设计和分析。

1.2.1园区出口设计规划

园区出口指企业接入广域网和Internet的出口，园区出口的主要功能是外部的互访，包括企业分支、出差员工、合作伙伴/访客的访问。

Internet网络链路是目前运用比较广泛的互联网出口链路。此次设计根据目前企业Internet链路的实际现状，利用原单链路出口，实现内网到互联网通信。

出口区域采用直连双链路部署防火墙及上网行为管理加强网络出口的安全性。同时在核心交换机双链路旁挂一台VPN设备，方便用户远程接入访问使用，增强远程网络访问的安全性。

1.2.2核心层设计规划

核心层部署园区的核心设备，连接的汇聚交换机，转发各个部门之间的流量。核心层对三个以上部门规模的企业来说是必须的，除了减少连线、路由之外，让扩展以及日常策略调整也变得简单。

此次设计时核心层采用全连接结构，保持核心层设备的配置尽量简单，并且和业务部门无关。链路上也使用千兆光纤上行加强链路的高可用性。

核心层设备需要具有高带宽、高转发性能，否则将无法支撑企业内外部的业务流量。

1.2.3汇聚层设计规划

汇聚层是部门的核心，转发部门用户间的“横向”流量。同时提供到核心层的“纵向”流量。对接入层隐藏核心层，作为园区网的配线架，将大量用户接入

到互联的网络中，扩展核心层设备接入用户的数量。

汇聚层此次设计双归接入到核心层。通常汇聚层承担着L2/L3边缘的角色，需要具有高带宽、高端口密度、高转发性能等特点，用于支撑该汇聚层下各业务部门之间的流量，保证网络及链路安全性。

1.2.4接入层设计规划

接入层是最靠近用户的网络，为用户提供各种接入方式，是终端接入网络的第一层。接入层除了部署丰富的二层特性外，还部署安全、可靠性等相关功能。此次在二层中配置防环路的STP、减少网络中的广播风暴，增强设备的数据转发效率。同时在对企业人员上网管理来说将在接入设备上按照部门或是小组的形式划分VLAN，减少不必要数据之间的互联互通，减少网络中跳转节点的产生。

1.2.5 数据中心规划设计

数据中心设计中为加强内部数据的高转发，高回传。部署一台较高性能交换机进行虚拟化服务器集群之间的互联互通和对外业务的输出，同时为保证业务传输之间的安全性、可靠性、及时性，在交换机与虚拟化服务器之间采用双千兆光链路配置Trunk技术进行链路捆绑部署使数据传输性能成倍高于单光纤链路及网线链路。

此次设计中虚拟化服务器与存储之间的互联也相应采取了双FC链路进行部署，单台服务器中配置2块HBA单口板卡，分别部署一条链路至存储设备。增强链路及设备互联板卡之间的冗余安全性。

1.3可靠性设计规划

从上述组网图可以看到，网络可靠性由链路冗余来保证。对于链路冗余的网络，在汇聚和核心层之间采用三层路由的方式，通过等价路径再辅助部署BFD （Bidirectional Forwarding Detection）快速检测故障，就能够保证链路故障、设备故障的快速切换，同时也能够充分利用冗余链路。

?收敛时间

传统的STP（Spanning Tree Protocol）技术收敛速度慢，在故障发生时，故障收敛时间>10秒；虽然采用RSTP进行优化，但收敛时间任是秒级，秒级的业务中断，会导致较差的用户体验。

?链路利用率低

如果同一机架内的服务器属于同一VLAN，则有一个上行链路的带宽无法利用。带宽利用率只有50%；虽然MSTP基于VLAN进行优化，但不能从根本上解决问题。

?配置维护复杂，网络故障率高

每个接入交换机和汇聚交换机都需要运行STP协议，随着接入交换机的增加，交换机需要处理的STP也越来越复杂，会导致可靠性问题。

我们推荐采用集群+堆叠的无环网络方案来解决上面的这些缺陷。核心、汇聚采用两台框式交换机集群。接入层采用盒式交换机，盒式交换机每两台堆叠。接入层交换机和核心/汇聚层交换机间的链路进行链路捆绑。

这个方案有四大优势：

?简化管理和配置

首先，集群和堆叠技术将需要管理的设备节点减少一半以上。

其次，组网变得简洁不需要配置复杂的协议，如：STP/SmartLink/VRRP等。?快速的故障收敛

链路故障收敛时间可以控制在<10ms，大大降低了网络链路/节点的故障对业务的影响。

?带宽利用率高

采用链路Trunk的方式，带宽利用率可以达到100%。

?扩容方便、保护投资

随着业务的增加，当用户进行网络升级时，只需要增加新设备，而不需要更改网络配置。平滑扩容，很好的保护了投资。

该方案极大提高了可靠性，以单链路故障率为1小时/1千小时为例，增加到两条链路，就可以将故障率降低到3.6秒/1千小时，可靠性从3个9提高到6个9。

1.4安全性设计规划

通过在数据中心出口边界及网络总出口部署一系列安全产品，为内网提供二到七层的全面安全防护体系，为内网数据中心打造最安全的区域隔离和访问控制机制，有效防止内外部不法分子针对核心业务发起的恶意扫描、非法入侵、勒索病毒、信息窃取等各种安全威胁攻击，满足核心业务系统进行等级保护建设的要求。

上网行为管理主要具有以下几种功能：

用户认证---用户认证是上网行为管理前置条件，只有识别出了用户的身份，才能给不同的用户划分不同权限管理，并且追溯到人。

网页过滤---封堵功能主要包括网页过滤和应用控制两方面，其中，网页过滤是通过对各种类型网页进行封堵达到避免法律风险、提高工作效率、保障上网安全的目的

应用控制---封堵IM聊天、炒股、游戏、下载、在线视频等应用，规范化上网行为，提高员工工作效率；

流量管理---根据业务类型进行带宽限制或保障，保证核心业务畅通运行； l 灵活分配带宽资源，实现动态调整，提高带宽利用率；

行为审计---记录内网用户的上网行为，一旦发生网络违法违规事件可作为追查证据；统计用户的上网时间、应用流量、应用分布等，为企业决策提供依据；记录内网安全事件，帮助管理员发现安全威胁。

防火墙此次部署两台分别为数据中心出口一台，主要作用是进行业务办公网络和数据中心网络隔离作用的，同时也起到对数据中心进行简单的安全防护作用。网络总出口防火墙配置完善的安全功能模块，全面防护内网安全。

在内网出口的边界部署深信服下一代防火墙，根据内外部不同访问需求实现各类用户权限的区分，下一代防火墙在传统五元组的维度上增加应用、用户、时间等维度，实现一体化的权限管控。通过对内网用户进行多维度精细化访问控制，不仅实现边界的安全隔离，同时保障网络受控有序的运行，避免业务数据资源被内部用户、第三方机构用户越权访问和非法访问等情况发生，降低不安全因素的扩散。

下一代防火墙可对HTTP、SMTP、POP3、FTP等多种协议类型的近百万种病毒进行查杀，包括木马、蠕虫、宏病毒、脚本病毒等，同时可对多线程并发、深层次压缩文件等进行有效控制和查杀，可针对各类WEB应用系统的提供恶意代码检测防护。某些病毒在医院网络中传播，在没有感染到数据中心服务器之前，已经对网络造成危害，比如蠕虫病毒自动扩散。而下一代防火墙针对这些病毒产生扫描数据包，采取“空中抓毒”的安全机制，在边界处过滤了危害性的数据包，避免来自内部和第三方的病毒扩散，从而为网络创造一个安全的使用环境。

由于近两年勒索病毒事件层出不穷，如WannaCry和GlobeImposter，勒索病毒已使医疗行业用户谈之色变。勒索病毒最大的特点是家族变种跟新速度快，为了有效应对勒索病毒的攻击，深信下一代防火墙引入轻量级人工智能检测引擎SAVE。SAVE检测引擎是由深信服创新研究院的博士团队联合EDR产品的安全专家，共同打造的恶意文件检测引擎，该引擎使用了创新的人工智能无特征技术，能够进行算法的自我优化、特性的自动提取，相比传统使用固定算法、人工提取特征的传统检测引擎来讲更具优势，其能够对勒索病毒变种及其他未知病毒进行准确检测。

1.5敏捷特性设计规划

敏捷特性包括业务随行、业务编排、质量感知iPCA和零配置部署四大特性，这四特性既可以相互独立部署，也可以同时部署。其中，

●业务随行需要考虑接入认证点和执行点，需要全网规划安全组和安全策略，

即需要根据安全要求，将用户、资源或设备划分为不同的安全组以及组间访问控制策略；同时需要明确相关设备（认证设备和执行设备）的部署位置。

●全网安全协防，包括业务编排和安全联动两个小特性。业务编排需要规划业

务流和流量路径。安全联动动需要根据设备和安全要求明确部署的用例、设备类型以及响应策略。同时注意尽量避免这两个小特性同时部署。

●质量感知iPCA规划需要明确监测范围（设备、区域、业务流）、类型（设

备级、网络级）以及业务流。

●零配置部署规划需要明确采用的设备类型以及部署位置，同时明确预部署阶

段设计的业务特性及配置规划。