网络升级技术方案目录1 .背景 (3)1.1概述 (3)1.2 网络现状 (3)1.3 建设目标 (4)2 .网络设计 (4)2.1 设计原则 (4)2.2 网络设计 (4)2.3 核心网络升级 (5)2.3.1 网络核心层 (5)2.3.2 网络接入层设计 (6)2.4 智能网络管理 (6)2.4.1 IMC网络设备管理 (6)2.4.2 IMC用户接入管理 (11)2.4.3 EAD端点准入控制 (14)2.5.7 VLAN分组设计 (19)3 .设备清单 (22)1 .背景1.1概述在企业的信息化建设中，基础是网络，离开了网络，我们的智能化建设只能纸上谈兵。
而网络的建设又与应用密不可分，网络必须结合应用的需求及特点，确保应用的顺利开展，为应用提供可靠的、安全的、智能化的传输通路。
根据企业的规划和设计规模，我们在设计该企业的网络信息系统时，将遵循“立足现在，着眼未来，重在实用，旨在效益”的总方针，按照企业行业的国际标准模式，结合中国的具体国情，同时吸收国际上流行的几家企业网络系统的精华，力争使所设计的网络系统具有技术先进、高效快捷、安全可靠、易于维护、方便升级等特点。
1.2 网络现状办事处现有网络已经建起一定规模；随着发展需要，现有的网络已经无法满足环境的需要。
企业化信息网络平台建设起步较早。
目前的现状总结为如下几个方面：⏹全网同处于一个广播域中，对全网的安全性存在很大的隐患。
⏹网络内的核心交换机为一台CISCO3550交换机，设备老化严重。
⏹全网无核心层，汇聚层，接入层之分，故障的排错存在很大的因难。
⏹全网没有做任何安全的措施，包括防ARP等病毒的设置⏹接入层的交换机是二层不可网管的交换机，不能划分VLAN，无法对接入用户进行管理。
⏹网内所有PC的IP地址均属于同一个网段，后期无法扩展。
1.3 建设目标通过建设一个高速、安全、可靠、可扩充的网络系统，实现企业信息的高度共享、传递，及管理信息化，领导能及时、全面、准确地掌握企业的科研、生产、管理、财务、人事等各方面情况，建立出口信道，实现与Internet互联，实现领导和职员远程VPN的安全接入，进行移动办公和资料查询。
2 .网络设计2.1 设计原则办公网建设应该遵循以下原则：——简单易用性：由于企业的人员组成复杂，员工素质差异较大，所以设计的方案必须简单，易于操作，使各种层次的员工都能逐步熟悉，在使用过程中再对各种功能进行完善。
——可扩展性：由于企业受市场的影响较大，会出现经常性的人员调整和机构调整，因此办公网必须易于修改和扩充。
但这个功能必须由网络管理员根据单位授权来完成。
——能有效解决移动办公：企业人员出差频繁，甚至一些部门常驻外地。
很多事情需要立即办理，办公网应该尽量保证每个人能够随时随地进行办公。
使用户可以通过互联网安全受控的进入办公网进行日常办公。
——友好的界面设置：现在的技术能够很好地实现界面设置。
能通过图形管理软件对系统进行管理和设置。
——关于系统的安全性：系统中必须采用鉴权技术，对使用者身份进行确认。
对用户进行分组，制定详尽的分组策略，做到那些资源允许那些组访问的明确，对超级用户比如领导的授权，对外来人员也就是我们常说的访客都要严格加于区别。
2.2 网络设计基于企业目前现状考虑，网络采用二层结构核心层、接入层，采用双核心交换机S75010E相互备份冗余、双网络主干链路冗余、服务器群防护、网络地址重新规划、网络设备与用户智能管理的方式，实施高可用性、高可扩展性和高可靠性、易管理的网络平台。
2.3 核心网络升级核心网络升级包括部署华为-3Com特有的IRF智能弹性架构，结合网络三层分层体系（核心层、汇聚层、接入层），实现双核心交换机冗余、核心交换机主部件冗余、网络主干链路冗余、服务器群防护、网络地址重新规划。
2.3.1 网络核心层建议使用2台H3C S7510E高性能交换机采用VRRP协议构成双核心冗余，H3C S7500E系列产品是杭州华三通信技术有限公司（以下简称H3C公司）面向融合业务网络推出的新一代高端多业务路由交换机，该产品基于H3C自主知识产权的Comware V5操作系统，融合了MPLS、IPv6、网络安全、无线、无源光网络等多种业务，提供不间断转发、优雅重启、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。
H3C S7500E符合“限制电子设备有害物质标准（RoHS）”，是绿色环保的路由交换机。
S7510E基于H3C公司自适应安全网络的技术理念，在提供稳定、可靠、安全的高性能L2/L3层交换服务基础上，进一步提供了业务流分析、基于策略的QOS、可控组播等智能的业务优化手段，从而为企业IT系统构建面向业务的网络平台，实现通信整合，数据整合奠定了基础。
H3C S7500E系列交换机支持无源背板，支持双路电源供电，支持引擎、电源、风扇的冗余，支持单板热插拔，并可以支持STP/RSTP/MSTP/VRRP等协议实现链路冗余，实现可靠的核心服务；2台位于网络中心的核心交换机通过千兆链路分别与位于新老厂区办公楼配线间的接入交换机H3C S3600连接，构成网络千兆光纤主干双冗余，以消除主干单链路故障，从物理链路级别上实现千兆主干链路的冗余互备。
2.3.2 网络接入层设计接入层将采用新增加的H3C S3600交换机，实现全面的接入控制， H3C S3600交换机与IMC 组合实现接入认证，用户如果不进行认证，将无法接入网内受保护的资源，同时也无法实现网络资源共享以及数据传输。
2.4 智能网络管理H3C公司的IMC智能网络管理系统，采用组件化、模块化设计，随着业务、设备、用户的扩展，添加需要的组件，能很好适应集团对网络管理不断丰富需要。
iMC智能管理平台，是在统一了设备资源和用户资源管理的平台框架的基础上，实现的基础业务管理平台，包括iMC基本资源管理部分、iMC基础网络管理和iMC用户接入管理。
2.4.1 IMC网络设备管理iMC基础网络管理，涵盖了传统网管的主要功能，包括告警管理、性能管理、拓扑管理等。
丰富、实用的网络视图，多样化的网络拓扑，智能的告警显示、过滤和关联，直观的状态监控，性能管理，用户管理与网络拓扑管理相融合具备丰富的视图功能，使得管理员可以从多个角度观测和管理网络。
1)通过IP视图，用户可以观测网络的逻辑结构和物理结构。
2)设备视图，使得用户对网络中设备类型和数量一目了然。
3)自定义视图，使用户可以按照任何希望的方式构造客户化的网络拓扑。
并提供直观简便的预览功能，集中监控用户关心的重点设备和接口的状态。
多样化的网络拓扑拓扑更加美观清晰，能够实时显示当前视图的拓扑状态。
通过在拓扑上浮动显示设备、链路的基本信息和CPU、链路流量等性能信息，管理员可以在拓扑界面中方便的对网络中的设备以及相关链路进行监视，拓扑上提供了常用的Ping、telnet、TraceRT、打开设备Web网管和管理/不管理设备等常用操作和相关链接，拓扑可以作为管理员管理网络的唯一入口。
1）提供完整的IP拓扑、二层拓扑、邻居拓扑，能够显示接入设备上的接入情况。
2）用户可以根据实际组网情况，定义自己关注的网络拓扑。
3）在安装了其他组件的情况下，拓扑会增加相应的业务拓扑和操作链接，以满足不同业务的需求。
智能的告警显示、过滤和关联2）提供丰富的声光告警，还可以针对不同的告警定义不同操作提示以及维护参考等；3）汇总显示发生故障的设备，方便管理员日常维护工作展。
4）提供重复告警过滤、突发的大流量告警过滤、未知告警过滤和用户自定义规则过滤，可以有效压缩海量网络告警，使得管理员直接关注真正的网络故障。
5）在安装其他组件的情况下，还提供基本告警和业务告警的关联，6）在基本告警发生后，系统进行关联分析，自动产生业务告警。
管理员即可根据基本告警从而迅速定位问题，缩短平均修复时间。
又可根据业务告警，分析出受影响的业务，为网络的现状评估和优化提供数据基础。
直观的状态监控与传统的网管告警和拓扑状态互相分离做法不同，使用显著的颜色把故障状态直观的反映在拓扑中的设备和链路图标上，用户仅需要查看拓扑，即可知道网络的整体运行状态。
性能管理1)提供了对系统所管理的各种设备性能参数的公共监视功能，比如内存利用率、CPU利用率、设备不可达率、设备响应时间和接口性能数据等。
2)可对每一个性能指标设置二级阈值，发送不同级别的告警。
用户可以根据告警信息直接了解到设备某指标的性能情况，有助于用户随时了解网络的运行状态，预防网络故障，预测网络发展趋势，合理优化网络。
3)通过历史监控报表和TopN报表管理员可以快速得到网络中需要关注的设备的详细信息，通过报表的导出和打印功能，管理员能够迅速将网络状况汇总数据上报给各级领导，为网络的决策提供有利的支撑。
用户管理与网络拓扑管理相融合在拓扑上可以直观的操作接入设备、接入终端相关的用户管理功能。
比如查看用户信息、强制用户下线、执行安全检查等。
使终端用户的管理更加直观清晰。
用户管理与网络设备管理相融合，用户管理操作更加简单1）接入设备列表中可以直接看到用户相关信息，在使得操作简单方便的基础上，又提高了操作员日常维护的效率：2）可针对选定的接入设备进行用户操作，比如，针对某个接入设备，将其所挂的用户全部下线处理等；3）可以在在线用户列表中通过点击接入设备，直接查看当前在线用户所对应的接入设备的详细信息，比如，对应的基本信息、告警、性能状况等。
该功能使得操作更友好，全面提升操作员的操作体验；2.4.2 IMC用户接入管理iMC基本接入管理，主要管理用户的接入准入和控制。
支持多种接入及认证方式，严格的权限控制手段，详尽的用户监控，集中方便的用户管理，为接入设备提供查询设备明细信息的链接，接入设备管理与拓扑管理的融合支持多种接入及认证方式，适合多种接入组网场景及应用场景：1）支持802.1x、无线接入等多种认证接入方式；2）支持用户与设备IP地址、接入端口、VLAN、用户IP地址和MAC地址等硬件信息的绑定认证，增强用户认证的安全性，防止账号盗用和非法接入；3）支持与Windows域管理器、第三方邮件系统（必须支持LDAP协议）的统一认证，避免用户记忆多个用户名和密码。
4）支持端点准入防御（EAD）解决方案，确保所有接入网络的用户终端符合企业的安全策略。
•严格的权限控制手段，强化用户接入控制管理：1）用户权限控制策略，可以为不同用户定制不同网络访问权限；2）禁止用户设置和使用代理服务器，有效防止个别用户对网络资源的过度占用；3）可限制用户IP地址分配策略，防止IP地址盗用和冲突；4）可以限制用户的接入时段和接入区域，用户只能在允许的时间和地点上网；5）可以限制终端用户使用多网卡和拨号网络，防止内部信息泄露；6）可以限制用户必须使用专用安全客户端，并强制自动升级，确保认证客户端的安全性；•详尽的用户监控，强化对终端用户的监视控制：1）接入业务组件提供强大的“黑名单”管理，可以将恶意猜测密码的用户加入黑名单，并可按MAC、IP地址跟踪非法行为的来源；2）管理员可以实时监控在线用户，强制非法用户下线；3）支持消息下发，管理员可以向上网用户发布通知消息，如“系统升级，网络将在10分中后切断”、“您的密码遭恶意试探，请注意保护密码安全”等；4）iMC接入业务组件记录认证失败日志，便于方便定位用户无法认证通过的原因；•集中方便的接入业务用户管理，简化管理员维护操作1）基于服务的用户分类管理，用户的认证绑定策略、安全策略、访问权限均封装于服务中，简化管理员的操作，保证网络管理模式的统一；2）接入用户相关的管理动作集中化，界面对操作员来说更友好、更美观易用：•为接入设备提供查询设备明细信息的链接，操作简便：可以通过简单的鼠标点击即可看到接入设备的详细信息，比如，对应的基本信息、告警、性能状况等；•接入设备管理与拓扑管理的融合，使得设备管理更简单，管理更方便：1）拓扑中可以清晰的显示出接入设备，并能查看接入设备相关信息，并可以通过很简单的鼠标点击方式，将此接入设备设置为非接入设备。