小型企业网络建设方案
摘要：随着网络的逐步普及，中小型企业的建设是企业向信息化发展的必然选择，企业网络系统是一个非常庞大而复杂的系统，它不仅为企业现代化、综合信息管理和办公自动化等一系列应用提供基本操作平台，而且能提供多种应用服务，使信息能及时、准确地传送给各个系统。而中小型企业工程建设中主要应用了网络技术中的重要分支局域网技术来建设与管理的，因此本文主要以中小型局域网络建设过程可能用到的各种技术及实施方案为设计方向，为中小型企业的建设提供理论依据和实践指导。
关键词：网络设计 网络逻辑 安全
一、网络设计需求分析
公司共有两层楼，一楼主要为营销部、人事部、技术部和网络中心，二楼是会议室、总经理办公室、秘书部、企划部、科研部和财务部。要求企业内部主机和部分局域网用户能同时上INTERNET，并要求财务部和研发部只有总经理有权访问，其它部门可以相互访问，企划部和人事部上班时间不能访问外网，各部门均有流量限制，楼内有OA办公系统、财务管理系统、FTP服务器、DNS服务器、WEB服务器，故要有路由，防火墙，核心交换，二层交换，服务器等。为了方便用户接入和扩展，路由、三层、汇聚层设备都安置在网络中心，接入层设备安置在办公室。为了使网络通信时安全可以使用划分VLAN并在三层交换上做访问控制列表以使不同VLAN之间不能互相访问，为了做到上网时间的控制，在三层交换上会使用到访问控制列表。 网络需求：(1)信息的共享；
(2)公司管理；
(3)办公自动化；
(4)高速Internet 冲浪。 网络功能：
（1）建立公司自己的网站，可向外界发布信息，并进行网络上的业务。
（2）要求供销部可以连接Internet，与各企业保持联络，接受订单及发布本公司产品信息。其他部门都不能连接Internet，但要求公司内部由网络连接。
（3）公司内部网络实现资源共享，以提高工作效率。
（4）建立网络时应注意网络的扩展性，以方便日后的网络升级和增加计算机。
（5）在公司内部建立公司的数据库，如员工档案，业务计划，会议日程等。
二、网络逻辑设计
网络拓扑结构设计：对于用户即将建设的网络系统来说，想要建设成为一个覆盖范围广、网络性能优良、具有很强扩展能力和升级能力的网络，在起初的设计中就必须采用层次化的网络设计原则。采用这样的结构所建设的网络具有良好的扩充性、管理性，因为新的子网模块和新的网络技术能被更容易集成到整个系统中，而不破坏已存在的骨干网。大多数的网络都可以被层次性划分为三个逻辑服务单元：核心骨干网(Backbone)、汇聚网(Distribute)和接入网(Local－acce)，模块化网络设计方法的目标在于把一个大型的网络元素划分成一个个互连的网络层次。整个网络由核心层、汇聚层和接入层两大部分组成。核心层是由CISCO WS-C3560-48TS-S企业级核心路由交换机组成。汇聚层由CISCO WS-C3560-24TS-S路由交换机组成。接入层是由接入层楼层交换机CISCO WS-C2918-24TC-C组成。
以行政楼中心机房为中心，下属部门为接入点的星型连接方式。现阶段出于用户的应用和先进性考虑，通过千兆光纤连接。 各楼层的办公网是以星型的方式千兆直接连接到各汇聚机房的汇聚交换机上后，由汇聚交换机通过千兆接到核心交换机。我们可采用千兆路由交换机与各 LAN 网段的交换机（Switch）连接而组成星型网络，实现千兆核心网络到各楼层，百兆到桌面，满足各种应用的需要。 核心层交换机与服务器群的相连是以千兆以太网的方式。
内部网络设计： 核心层主要功能是给下层各业务汇聚节点提供 IP 业务平面高速承载和交换通道，负责进行数据的高速转发，同时核心层是局域网的骨干，是局域网互连的关键。对核心骨干网络设备的部署应为能够提供高带宽、大容量的核心路由交换设备，同时应具备极高的可靠性，能够保证24小时全天候不间断运行，也就必须考虑设备及链路的冗余性、安全性，而且核心骨干设备同时还应拥有非常好的扩展能力，以便随着网络的发展而发展。 基于对核心层的功能及作用，根据用户的实际需求，本方案中对网络系统中核心层由CISCO系列的企业级核心交换机WS-C3560-48TS-S组成。其主要任务是提供高性能、高安全性的核心数据交换、QoS 和为接入层提供高密度的上联端口。为整个大楼宽带办公网提供交换和路由的核心，完成各个部分数据流的中央汇集和分流。同时为数据中心的服务器提供千兆高速连接。
VLAN的设计：根据各个办公室的地理位置来划分VLAN， 如果同一栋楼内包含很多部门，而这些部门的职能和工作内容又有很大的区别，我们就可以在楼内按照部门来划分VLAN。 另外，如果某个部门需要跨越很多建筑物，分布范围比较广，例如部门A 分布的很散，在很多交换机上都预留了部门 A 的信息点，我们则可以按照交换机的位置来设置 VLAN，这样，部门A就可能对应多个VLAN，如果部门A所对应的VLAN之间需要通信的话，我们可以通过VLAN间的路由来实现。这样做的好处是：可以减少广播数据包对网络主干的影响。因为如果将部门A 全部划分到一个 VLAN 中，而这些 VLAN 又跨越了网络主干，分布在众多不同的交换机上，这样如果有广播包时，这些广播包必然会在网络的主干上传输，然后到达相应的交换机上，也就占用了网络主干的带宽，容易造成其他业务的时延。 为了减少传输冲突，提高系统整体性能和网络处理能力，另外，还考虑到网络良好的管理性，易于维护和安全策略的实施，针对用户网络系统的实际情况，可以把功能（应用）相近的设备群组划分到同一VLAN，不同部门的设备划分到不同VLAN 中去，这样就能够通过访问控制列表技术实施安全策略。限制未授权的用户访问重要的服务器和数据库。
外部网络设计：该企业网络用户为对Internet进行访问，而且为了保证其安全性，要求能够访问Internet的用户与不能访问Internet的用户进行完全的物理隔离，则需要另建立一套网络系统(简称为外网)。网络用户(即外网用户) 通过外网布线系统接至各楼层的交换机，汇总到外网的主交换机后，接入到防火墙上，防火墙通过 IP 地址转换功能（NAT），将网络用户(即外网用户)的私有 IP 地址转换成Internet公网 IP 地址，通过光电转换器与电信相连的方式访问Internet，以使该企业网络内外网互相独立，达到完全的物理隔离的目的。
网管系统的设计：网络管理系统时对整个网络进行监视、控制和维护管理，以提高网络的有效性、利用率、安全性和可靠性。网络管理系统由网管中心、网管单元、管理信息库和网络管理协议四部分组成。 网管中心是网管人员和管理信息系统间的接口，它将网管人员的命令转换为对实际网元的监视和控制。网管单元在每个节点执行各项网络管理任务，采集网络资源信息，存储本地相关数据并响应网管人员命令。管理信息库(MIB)存放各种网络管理信息的特征参数和逻辑结构。网络管理协议按规约执行网管人员与网管单元和管理信息库之间的通信。 该企业网络系统设一个网管中心，该中心设在行政楼机房，负责对全网进行管理。
三、网络安全设计
外网安全设计：防火墙系统:采用防火墙系统实现对内部网和广域网进行隔离保护。对内部网络中服务器子网通过单独的防火墙设备进行保护。入侵检测系统:采用入侵检测设备，作为防火墙的功能互补，提供对监控网段的攻击的实时报警和积极响应。病毒防护系统:强化病毒防护系统的应用策略和管理策略，增强病毒防护有效性。
内网安全设计：访问控制，通过密码、口令（不定期修改、定期保存密码与口令）等禁止非授权用户对服务器的访问，以及对办公自动化平台、的访问和管理、用户身份真实性的验证、内部用户访问权限设置、ARP病毒的防御、数据完整、审计记录、防病毒入侵。网络管理软件系统:使网管人员对网络中的实时数据流量情况能够清晰了解。掌握整个网络使用流量的平均标准，定位网络流量的基线，及时发现网络是否出现异常流量并控制带宽。
内外网安全之间设计：VPN系统:对远程办公人员及分支机构提供方便的IPSec VPN接入，保护数据传输过程中的安全，实现用户对服务器系统的受控访问。移动用户管理系统:对内部笔记本电脑在外出后，接入内部网进行安全控制，确保笔记本设备的安全性。有效防止病毒或黑客程序被携带进内网。内部办公自动化网络根据不同用户安全级别或者根据不同部门的安全访问需求，可以利用三层交换机来划分虚拟子网(VLAN)。同时通过在不同VLAN间做限制来实现不同资源的访问控制。通过虚拟子网的划分，既方便局域网络的互联，又能够实现访问控制。
四、网络备份设计
1、拨号路由备份
使用路由器AUX备份端口建立一条拨号线路，防止专线故障时业务中断。
2、热备份路由协议（HSRP）
如果主路由器发生故障，它就不会广播Hello报文，HSRP一直在监听这个报文，一旦它在Hold Time内未收到Hello报文，就认为主路由器发生故障，将虚拟路由器接收到的数据包交给备份路由器，发生主备份路由器切换。但如果主路由器恢复正常后，它就会重新广播Hello报文，由于它发送的Hello报文具有最高优先级，所以HSRP仍然选择它来完成路由工作，再次发生主备份路由器之间的切换。
五、布线设计
企业综合布线系统由工作区子系统、水平布线子系统、垂直干线子系统、管理子系统和建筑群子系统组成。它的设计原则如下：
（1）开放性
严格按照IEEE80
2、EIA/TIA 568等工业及建筑布线标准和中国建筑电气设计/工业企业通信设计规范。
（2）实用性
适应企业现在和将来发展的需要，具备数据通信、语音通信和图像通信的功能。
（3）灵活性
布线系统中任一信息点能够很方便地与多种类型设备（如电话、计算机、检测器件以及传真等）进行连接。
（4）可扩展性
布线系统具有较强的可扩展性，在将来需要时可以很容易地将所扩充的设备连接到系统中来，实现各种网络服务与应用。
（5）经济性
综合布线系统是一种既具有良好的初期投资特性，即在今后若干年中不增加新的投资情况下仍能保持建筑物的先进性，又是具有极高的性能价格比的高科技产品。通常情况下，综合布线系统的使用寿命为15年。
（6）可靠性
综合布线系统采用高品质的材料和组合压接的方式构成一套高标准的信息通道。每条通道都采用专用仪器校核线路衰减、串音、信噪比，以保证其电气性能不会造成交叉干扰。所以，北方公司应采用综合布线系统，才能更好的发挥千兆局域网的威力。
六、网络系统管理与维护
（1）更新
WEB页面的版面、样式、内容的更新；公司共享资料的更新；网络教室、软件下载内容的更新；聊天室及电子论坛的维护等工作由管理员进行。各种报表、数据库更新，信息发布由各部门管理员从本地登录服务器进行。
（2）备份
由于考虑最低投资，未采用磁带机备份，而使用磁盘镜像技术容错，这样不但得到完整的数据备份，而且还提高了系统的性能。
（3）诊断
INTRANET采用TCP/IP协议,在网络的调试中主要采用了以下几个诊断程序: Ping;Ipconfig;Nbtstat;Netstat;Hostname
（4）磁盘整理
虽然Windows系统自身包括磁盘碎片整理程序,建议采用第三方的程序Diskeeper定期整理磁盘碎片。
