1.1 项目背景

潍坊顺福昌橡塑-9170金沙登录入口·最新下载App Store位于著名的中国蔬菜之乡——山东省寿光市，公司始建于1994年，经过多年的发展，现已发展成为一个集橡塑机械，汽车钢圈轮胎，化工等行业于一体的多元化企业。公司占地面积120万平方米，厂房及办公等建筑面积60万平方米，设备、模具等1600多台套，职工3600余人，总资产20多亿元。

公司主导产品有全钢载重子午线轮胎，半钢子午线轿车轮胎，拖拉机轮胎、收割机轮胎，载重汽车、轻卡汽车钢圈，拖拉机钢圈、收割机钢圈，汽车和拖拉机收割机使用的三元乙丙密封胶条，各种汽车和拖拉机、收割机用各种橡胶杂件等。

在充满希望与挑战的未来之路上，顺福昌将弘扬“和谐、创新、超越”的企业精神，通过强化规模优势，依靠科学、严密的管理，实现企业发展的新突破，力争与国际一流企业并驾齐驱。

公司纳税额、出口额、国内销售额、市场占有率等主要经济指标，稳居国内同行业之首，是中国最大的全钢载重子午线轮胎生产供应基地。目前全球化竞争日益激烈，要实现高附加值的最重要途径就是创新，信息化是企业管理创新的重要组成部分，随着公司规模的扩大，因此公司借助厂区的网络规划建设实现企业全面信息化业务。

1.2 客户需求分析

接入点分布

通过与公司领导及相关负责人的沟通得知，本项目涉及到的数据点共500个，分别分布在各个公司建筑。为使公司信息化建设在得到高速的网络通道，提高工作效率，每个接入点建议都为千兆接入。

带宽性能需求

公司办公的数据传输中，大多为重要办公文件，跟据公司的情况，办公数据需要与数据机房做高频率的数据交换，对网络带宽的要求较高，随着公司的不断发展，办公内部数据的传输及互联网络的访问也日益增加，为了使公司网络更加快速健壮的适应高速发展的步伐，高带宽的需求的重要性不言而喻的，核心层必须具备更高带宽级别和极高处理性能，才能构筑一个畅通无阻的"高品质"企业网。

稳定可靠性需求

随着公司各种业务应用逐渐转移到计算机网络上来，网络通信的无中断运行已经成为保证公司正常运作关键。企业网络在可靠性需求方面可以主要从以下3个方面考虑：

设备的可靠性：主要考虑网络设备能实现关键部件的冗余备份，当然还要从网络设备整体设计架构、处理引擎等多方面去考虑冗余。

业务的可靠性：网络设备在故障倒换过程中，其业务能够正常运行。

链路的可靠性：以太网的链路安全来自于多路径选择，所以在网络建设时，要考虑网络设备能够提供有效的链路自愈手段，以及快速收敛的支持。

服务质量需求

企业网络需要提供完善的端到端QoS保障，以满足企业网络多业务承载的需求。随着以后网络承载的业务不断增多，单纯的提高带宽并不能够有效地保障数据交换的畅通无阻，所以网络建设必须要考虑到网络应能够智能识别应用事件的紧急和重要程度，如视频、音频、数据流。同时能够调度网络中的资源，保证重要和紧急业务的带宽、时延、优先级和无阻塞的传送，以实现对业务的合理调度，好的QoS是为网络提供"高品质"服务的保障。

公司安全防护需求

网络为公司提供了极大的便利。但由于目前TCP/IP协议本身缺乏安全性，网络安全成为必须面对的一个实际问题。网络上存在着各种类型的攻击方式，包括：

窃听报文 -- 攻击者使用报文获取设备，从传输的数据流中获取数据并进行分析，以获取用户名/口令或者是敏感的数据信息。通过Internet的数据传输，存在时间上的延迟，更存在地理位置上的跨越，要避免数据不受窃听，基本是不可能的。

IP地址欺骗 -- 攻击者通过改变自己的IP地址来伪装成内部网用户或可信任的外部网络用户，发送特定的报文以扰乱正常的网络数据传输，或者是伪造一些可接受的路由报文（如发送ICMP的特定报文）来更改路由信息，以窃取信息。

源路由攻击 -- 报文发送方通过在IP报文的Option域中指定该报文的路由，使报文有可能被发往一些受保护的网络。

端口扫描 - 通过探测防火墙在侦听的端口，来发现系统的漏洞；或者事先知道路由器软件的某个版本存在漏洞，通过查询特定端口，判断是否存在该漏洞。然后利用这些漏洞对路由器进行攻击，使得路由器整个DOWN掉或无法正常运行。

拒绝服务攻击 -- 攻击者的目的是阻止合法用户对资源的访问。比如通过发送大量报文使得网络带宽资源被消耗。Mellisa宏病毒所达到的效果就是拒绝服务攻击。最近拒绝服务攻击又有了新的发展，出现了分布式拒绝服务攻击，Distributed Denial Of Service，简称DDOS。许多大型网站都曾被黑客用DDOS方式攻击而造成很大的损失。

应用层攻击 -- 有多种形式，包括探测应用软件的漏洞、"特洛依木马"等。

另外，网络本身的可靠性与线路安全也是值得关注的问题。

随着网络应用的日益普及，尤其是在一些特别场合的应用，网络安全成为日益迫切的需求。网络安全包括两层含义：其一是内部局域网的安全，其二是外部数据交换的安全。交换机作为内部局域网中网络设备之间通讯的关键设备，有必要提供充分的安全保护功能。核心交换机支持基于用户安全策略的MAC + IP + VLAN + Port绑定、DHCP Snooping、802.1X认证等安全策略可以防网络风暴攻击、防畸形报文攻击、防网络协议报文攻击等安全技术，为内部网络及外部数据提供了有力的安全保护。防火墙做为内部网络及外部网络的中间设备，具有举足轻重的作用，防火墙的防护能力及性能直接决定整个公司网络健康发展方向，本次设计的防火墙需要一机多能，集传统防火墙、VPN、入侵防御、防病毒、数据防泄漏、带宽管理、上网行为管理等功能于一身，简化管理。精细化带宽管理，可基于应用、网站分类制定QoS优先级，确保关键业务带宽并优先转发。联动沙箱，高效发现未知威胁，有效防范零日攻击。

1.3 解决方案

1.3.1 分析定型

通过与公司领导及技术工程师的沟通，了解到公司整体网络的需求，将企业网进行统一的整合，在良好网络的基础之上可以提高企业网络质量及信息传递成本。

连通：核心汇聚之间可通过光缆及超五类网线进行连通，实现数据的高速传输，再者方便以后的统一管理及策略的下发。各个接入交换机也可采用光纤连接，保障数据的传输质量。

安全：网络出口采用华为USG防火墙，在有效防护外网攻击威胁的同时，还可对内网数据进行病毒检测、上网行为管控，做到多功能于一身，避免后期重复投资。

覆盖：厂区内都采用无线覆盖的方式，由于厂区内设备及墙体对信号有一定的屏蔽性，对AP性能要求较高。仓库及车间中无线接入设备比较稀疏，主要特点是需要有较厂的覆盖范围及需要适应恶劣环境，其他办公及厂区采用有线网络传输。

1.3.2 技术采用

1、高可用性：机房核心机内部关键组件做冗余设计，如主控，风扇，电源等，由此建立高可靠性网络核心，避免单节点故障，并使用成熟的MSTP技术，使避免单点故障，每台汇聚接入交换与核心间都采用双链路连接，避免单线路故障。

2、经济性：方案设计考虑投资性价比，在满足用户网络要求的前提下，降低每台网络设备的节能能耗比，降低客户的IT管理成本；

3、可维护性：系统架构设计需基于网络结构层次化思想，有利于网络统一管理，再加上华为的网络管理软件，可以更方便的对公司网络统一管理维护；

4、安全性：网络系统采用华为高性能USG防火墙做为网络出口，可保障内网安全稳定使用，保障服务器数据的安全。每个厂区都采用VPN隧道链路，保证数据安全，交换机上采用合理的VLAN划分，可使公司网络健康快速的数据传输；

5、畅通性：提高带宽的利用率，通过使用QOS功能对语音、视频、数据等进行合理的分流处理，保证局域网内重要数据的畅通。

1.3.3 方案拓扑图

1.3.4 总体网络架构呈现

整个网络采用网络三层次架构设计，三个层次的网络设备各司其职又相互协同工作，从而有效保证了整个网络的高可靠性、高性能、高安全性和灵活的扩展性，对整个公司进行统一规划，针对区域、职责任务和上网需求的不同，可对其进行前期VLAN的划分，使其公司各业务人各司其责，互不干扰，以达到网络的健康，快速的实现网络数据转发。

整个网络核心也采取层次化结构设计，防火墙，核心交换机各相互独立工作，上下又紧密相连。

该核心交换机支持统一用户管理功能，屏蔽了接入层设备能力和接入方式的差异，支持PPPoE/802.1X/MAC/Portal等多种认证方式，支持对用户进行分组/分域/分时的管理，用户、业务可视可控，实现了从“以设备管理为中心”到“以用户管理为中心”的飞跃。

SVF超级虚拟交换网，创新实现不仅将盒式交换机纵向虚拟为框式交换机板卡，而且将AP纵向虚拟为框式交换机的端口，使得原来“核心/汇聚+接入交换机+AP”的网络架构，虚拟化为一台设备进行管理，提供业界最简化网络管理方案。

iPCA网络包守恒算法，改变了传统利用模拟流量做故障定位的检测模型，可对任意业务流随时随地逐点检测网络质量，无需额外开销；提供秒级的故障检测，检测直接精准到故障端口，实现从“粗放式运维”到“精准化运维”的大转变。

业务编排（Service Chain），对网络增值业务处理能力( 如防火墙F W ) 进行虚拟化，从而网络可以无差别地利用这些能力，而不受物理位置的约束

安全网关防火墙作为整个公司网络的总出口，为公司网络的安全防护门，在保障网络安全的同时又需要保证数据的畅通性，选用华为的USG防火墙设备足以实现安全与畅通并存的性能，安全网关防火墙对内网划分高等级的TRUST区域，网外划分为底等级的UNTRUST区域，UNTRUST区域中的数据进入等高的TRUST区域时，进行数据拆包分析，安全可行的数据进行放行，非法数据被阻当在外，保障数据安全。该防火墙做为服务器逻辑的出口，同样的为安全划分不同等级的区域，服务器中的DMZ区域安全性在UNTRUST与TRUST 安全性之间，防火墙在保证共享服务器安全的同时，又同时保证共享服务器对TRUST区域访问的安全

安全网关防火墙设备足以提供完善的防火墙功能在提供安全区域划分保障服务器内的数据安全的同时还可实时的进行病毒防护，采用赛门铁克公司国际一流的防病毒技术，病毒检出率达到99%，从而迅速、准确查杀网络流量中的病毒等恶意代码。精准的入侵防御，基于赛门铁克基于特征的入侵检测技术，实现零误报，精确识别并实时防范各种网络攻击和滥用行为。丰富的VPN特性，支持IPSec VPN、L2TP VPN、SSL VPN、 MPLS VPN及GRE VPN等远程安全接入方式，同时CPU集成硬件加密引擎，提供超群的VPN处理性能。