網(wǎng)絡設計原則
園區(qū)網(wǎng)通常是在有限的空間內聚集了大量的終端和用戶接入的高密度網(wǎng)絡。對于園區(qū)網(wǎng)而言，看重的是網(wǎng)絡的簡單可靠、易部署、易維護，需遵循如下原則：
l 條理化原則
將園區(qū)網(wǎng)絡劃分為核心層、接入層等分層架構，每層功能清晰，架構穩(wěn)固，易于擴展和維護。
l 模塊化原則
將園區(qū)網(wǎng)絡中的每個部門或者每個功能區(qū)劃分為一個模塊，模塊內部的調整涉及范圍小，易于進行題目定位。
l 可靠性原則
整套網(wǎng)絡體系的可靠性是第一位，應選用主流的并得到廣泛應用的著名設備品牌，在體系設計、設備選型、調試、安裝等環(huán)節(jié)嚴酷實行國家、行業(yè)的有關標準及公安機關有關安全技術提防的要求，貫徹質量條例，保證體系的可靠性。
l 安全性原則
網(wǎng)絡體系的設備必須知足安全性要求，設備選型不能選試驗產(chǎn)品，要選先輩的市場主流產(chǎn)品，要能保證體系不間斷運行。對關鍵的設備、數(shù)據(jù)和接口應采用冗余設計。網(wǎng)絡環(huán)境下信息傳輸和數(shù)據(jù)存儲要看重安全，保障體系網(wǎng)絡的安全可靠性。包括物理空間的安全控制及網(wǎng)絡的安全控制。必要有完備的安全策略控制系統(tǒng)來實現(xiàn)網(wǎng)絡的安全控制。
l 先輩性原則
體系的設計方法和技術路線應吻合當前網(wǎng)絡架構將來發(fā)展趨勢，須充分兼顧需求和技術的發(fā)展，須充分考慮與其他體系的連接，建設可擴展的、開放的平臺。重要設備須支撐升級演進，軟件的設計應先輩天真，便于升級以及與其它體系的互聯(lián)互控，同時應保證人機界面友愛，易于使用和操作，保證最終結果的優(yōu)秀。
l 可擴展性原則
隨著體系以后的擴展，用戶容量將會賡續(xù)擴大，新的營業(yè)功能的要求將會層出不窮。這要求體系具備優(yōu)秀的可擴展性，所以在體系建設的初期，首先立足于近期的應用需求進行體系配置，而以體系的可擴展性來保證往后十年內的發(fā)展需求。
網(wǎng)絡體系的各個組成部件選用標準的硬件和軟件，各個子體系的設計模塊化，軟、硬件能夠平滑升級或更新，網(wǎng)絡節(jié)點的增減對網(wǎng)絡性能的影響不大。
l 易維護管理
網(wǎng)絡可管理性是網(wǎng)絡成功運維的基礎，應提供簡單有用的網(wǎng)絡同一管理體系，對網(wǎng)絡所有網(wǎng)絡設備進行管理，包括網(wǎng)絡拓撲表現(xiàn)、網(wǎng)絡狀況監(jiān)控、故障事件實時預警和告警、網(wǎng)絡流量統(tǒng)計。
l 投資珍愛
園區(qū)網(wǎng)絡架構設計必須知足將來3-5年的使用需求，進步整網(wǎng)的行使率和擴展能力，使得可能的后續(xù)投資最小化。同時結合運維等方面的要求，獲得最佳總體擁有成本。
總體架構設計
智能園區(qū)網(wǎng)絡總體解決方案如下：
園區(qū)網(wǎng)絡架構設計
智能園區(qū)網(wǎng)絡分為辦公園區(qū)、生產(chǎn)IT網(wǎng)絡，生產(chǎn)OT網(wǎng)絡，安全隔離區(qū)，數(shù)據(jù)中間區(qū)等等，各重要區(qū)域的營業(yè)承載如下：
辦公園區(qū)：
? 通用辦公區(qū)（市場、財務、研發(fā)等）
? 安防視頻監(jiān)控、樓宇智能網(wǎng)
生產(chǎn)園區(qū)（production-IT）
? 生產(chǎn)IT區(qū)域，有線、無線終端接入
? 生產(chǎn)IT區(qū)和辦公網(wǎng)存在營業(yè)流量，通過安全隔離區(qū)安全控制
? 倉儲、物流區(qū)域等場景
生產(chǎn)園區(qū)（production-OT）
? 工控網(wǎng)絡，機器人控制生產(chǎn)
? 生產(chǎn)數(shù)據(jù)采集，光學檢測
? 生產(chǎn)物流主動運輸
園區(qū)網(wǎng)絡的解決方案總體架構設計如下：
園區(qū)出口：
部署出口路由器，防火墻、IPS、DDOS、上網(wǎng)舉動管理等安全設備，作為園區(qū)的同一出口，同時要提防外部Internet網(wǎng)絡的攻擊。
辦公IT網(wǎng)絡：
辦公園區(qū)IT網(wǎng)絡，一張物理網(wǎng)絡同時承載有線辦公網(wǎng)、無線辦公網(wǎng)、安防網(wǎng)絡、樓宇網(wǎng)絡等等，基于Vxlan技術構建多個假造網(wǎng)絡，一網(wǎng)多用，邏輯安全隔離。
核心、匯聚等框式交換機雙機部署集群，接入交換機iStack堆疊，接入-匯聚，匯聚-核心雙鏈路，進步整網(wǎng)的可靠性。
無線接入層部署業(yè)界領先的Wi-Fi 6 AP，上行最高帶寬10Gbps，知足各種高帶寬營業(yè)應用。
生產(chǎn)IT網(wǎng)絡：
核心、匯聚等框式交換機雙機部署集群，接入交換機iStack堆疊，接入-匯聚，匯聚-核心雙鏈路，進步整網(wǎng)的可靠性。
無線接入層部署業(yè)界領先的Wi-Fi 6 AP，上行最高帶寬10Gbps，知足各種高帶寬、低時延營業(yè)應用。
安全隔離區(qū)：
安全隔離區(qū)作為生產(chǎn)IT網(wǎng)絡和辦公IT網(wǎng)絡的中心隔離區(qū)域，重要是對辦公區(qū)域訪問生產(chǎn)IT網(wǎng)絡的舉動進行安全控制，杜絕各種安全風險。部署防火墻、沙箱、漏掃、及安全探針等設備。
根據(jù)整網(wǎng)安全分析的必要，在辦公IT網(wǎng)絡，生產(chǎn)IT網(wǎng)絡，部署一部分安全探針，用于網(wǎng)絡流量的采集。同時辦公、生產(chǎn)的IT網(wǎng)絡的匯聚層交換機，基于Netstream技術采集網(wǎng)絡流量，用于整網(wǎng)安全風險的分析與預防。
網(wǎng)絡管理區(qū)：
網(wǎng)絡管理區(qū)用于部放SDN控制器，大數(shù)據(jù)智能運維平臺CampusInsight，安全分析平臺CIS，對整網(wǎng)進行管理，運維和安全防護；網(wǎng)絡管理園區(qū)旁掛在園區(qū)的總核心上。
VxLAN組網(wǎng)設計方案
辦公園區(qū)基于VxLAN等SDN技術，一張物理網(wǎng)絡同時承載辦公、安防、樓宇等多張營業(yè)網(wǎng)絡，營業(yè)網(wǎng)絡邏輯安全隔離。
? 各板塊匯聚與政務核心構建一個假造網(wǎng)絡Fabric實現(xiàn)假造化專網(wǎng)；承載多營業(yè)實現(xiàn)邏輯隔離
? 通過SDN控制器對辦公網(wǎng)VXLAN營業(yè)實現(xiàn)主動化部署
? 各板塊匯聚與接入之間二層互聯(lián)
無線Wi-Fi覆蓋方案
Wi-Fi已成為當今世界無處不在的技術，為數(shù)十億設備提供連接，也是越來越多的用戶上網(wǎng)接入的首選體例，并且有漸漸庖代有線接入的趨勢。為適應新的營業(yè)應用和減小與有線網(wǎng)絡帶寬的差距，每一代802.11的標準都在大幅度的提拔其速率。
然而移動營業(yè)的快速發(fā)展和高密度接入對Wi-Fi網(wǎng)絡的帶寬提出了更高的要求，在2013年發(fā)布的802.11ac標準引入了更寬的射頻帶寬（提拔至160MHz）和更高階的調制技術（256-QAM），傳輸速度高達1.73Gbps，進一步提拔Wi-Fi網(wǎng)絡吞吐量。另外，在2015年發(fā)布了802.11ac wave2標準，將波束成形和MU-MIMO等功能推向主流，提拔了體系接入容量。但遺憾的是802.11ac僅支撐5GHz頻段的終端，減弱了2.4GHz頻段下的用戶體驗。
下一代Wi-Fi必要解決更多終端的接入導致整個Wi-Fi網(wǎng)絡服從降低的題目， 802.11ax(Wi-Fi 6)標準將引入上行MU-MIMO、OFDMA頻分復用、1024-QAM高階編碼等技術，將從頻譜資源行使、多用戶接入等方面解決網(wǎng)絡容量和傳輸服從題目。目標是在密集用戶環(huán)境中將用戶的平均吞吐量相比現(xiàn)在的Wi-Fi 5進步至少4倍，并發(fā)用戶數(shù)提拔3倍以上，因此，Wi-Fi 6(802.11ax)也被稱為高效無線（HEW）。
Wi-Fi 6是下一代802.11ax標準的簡稱。隨著Wi-Fi標準的演進，WFA為了便于Wi-Fi用戶和設備廠商輕松了解其設備連接或支撐的Wi-Fi 型號，選擇使用數(shù)字序號來對Wi-Fi重新命名。另一方面，選擇新一代命名方法也是為了更好地凸起 Wi-Fi 技術的龐大提高，它提供了大量新功能，包括增長的吞吐量和更快的速度、支撐更多的并發(fā)連接等。根據(jù)WFA的通知布告，如今的 Wi-Fi 命名分別對應如下 802.11技術標準：
發(fā)布年份 | 802.11標準 | 頻段 | 新命名 |
2009 | 802.11n | 2.4 GHz或5 GHz | Wi-Fi 4 |
2013 | 802.11ac wave1 | 5 GHz | Wi-Fi 5 |
2015 | 802.11ac wave2 | 5 GHz | |
2019 | 802.11ax | 2.4 GHz或5 GHz | Wi-Fi 6 |
和以往每次發(fā)布新的802.11標準一樣，802.11ax也將兼容之前的802.11ac/n/g/a/b標準，老的終端一樣可以無縫接入802.11ax網(wǎng)絡。
網(wǎng)絡安全方案
基于安全協(xié)防團體防護理念和設計原則，所構建的安全防護系統(tǒng)，實現(xiàn)快速相應，調查追溯，優(yōu)化安全策略，提拔防護水平。
為了將威脅控制在局部區(qū)域，同時考慮到對網(wǎng)絡攻擊舉動及時檢測和處置，建議所有關鍵區(qū)域邊界均應部署響應的安全防護措施，通過部署安全態(tài)勢感知體系、安全策略智能管理和網(wǎng)絡誘捕體系，“三位一體”構建自動防御系統(tǒng)，進步對未知威脅感知能力和相應能力。細致設計如下：
? 在安全隔離區(qū)與終端接入?yún)^(qū)邊界部署防火墻、IPS、網(wǎng)絡探針和誘捕體系實現(xiàn)該區(qū)域邊界珍愛；
? 在安全隔離區(qū)與生產(chǎn)區(qū)邊界部署防火墻、IDS、網(wǎng)絡探針和誘捕體系實現(xiàn)該區(qū)域邊界珍愛；
? 在生產(chǎn)區(qū)與IT網(wǎng)絡邊界部署防火墻、IPS、網(wǎng)絡探針和誘捕體系實現(xiàn)該區(qū)域邊界珍愛；
? 在生產(chǎn)區(qū)內部不同廠房車間FAB區(qū)邊界部署防火墻、IDS、網(wǎng)絡探針和誘捕體系實現(xiàn)該區(qū)域邊界珍愛；
? 在與合作伙伴外部網(wǎng)絡互聯(lián)的邊界部署防火墻、IPS、網(wǎng)絡探針和誘捕體系實現(xiàn)該區(qū)域邊界珍愛；
? 原則上禁止在生產(chǎn)網(wǎng)絡的體系中安裝TeamViewer等長途控制軟件，避免繞過邊界安全防護措施，帶來安全風險；
? 如需長途運維，建議采用VPN接入安全隔離區(qū)，通過登錄堡壘機對網(wǎng)內設備進行運維操作。
智能運維管理方案
隨著網(wǎng)絡規(guī)模的賡續(xù)增加、網(wǎng)絡應用的賡續(xù)推廣、營業(yè)越來越多樣化，大量路由器、交換機、WLAN 等被廣泛的應用于網(wǎng)絡，IT維護人員面對網(wǎng)絡管理和運維中碰到的題目和挑釁，必要一套高效、同一的控制器進行支持，遵循ITIL規(guī)范，提供融合、開放的運維平臺，實現(xiàn)對有線無線網(wǎng)絡以及用戶的同一管理。
管理方案設計
? 全網(wǎng)有線、無線網(wǎng)絡同一、可視化管理，包括同一拓撲、同一告警、性能、同一報表等基本功能，知足網(wǎng)絡的基本運維需求。
? 可分權分域，基于每個區(qū)域給予管理權限控制，確保網(wǎng)絡的管理分工與安全。
? 分級網(wǎng)絡管理，實現(xiàn)運維安全和大規(guī)模網(wǎng)絡管理的能力。可以實現(xiàn)跨地區(qū)上下分層式管理，基于分層管理訴求，聚焦分層網(wǎng)絡運維職能，上下分級各司其職，實現(xiàn)同一的拓撲管理、同一的資源管理、分層式的告警管理、全網(wǎng)匯聚Portal、同一的用戶認證管理。
? 零配置部署管理，支撐拓撲開局和設備標識開局，從網(wǎng)絡規(guī)劃、離線配置文件制作、設備布線上電、網(wǎng)絡規(guī)劃調整、開局以及故障設備替代等，提供了端到端設備運維能力，進步了運維人員服從。
? WLAN全生命周期的管理，可視規(guī)劃、三步開通營業(yè)、360°監(jiān)控到基于搜索的一鍵式故障診斷的WLAN全生命周期管理，幫助用戶高效部署和管理無線網(wǎng)絡。
? 移動化運維管理，用戶可以在移動終端上進行無線網(wǎng)絡管理，包括360監(jiān)控、故障診斷等功能。
大數(shù)據(jù)智能運維管理方案
平臺設計基于大數(shù)據(jù)分析平臺構建，采用Telemetry 技術方案接收設備上報的數(shù)據(jù)，通過智能算法對網(wǎng)絡數(shù)據(jù)進行分析、呈現(xiàn)。
網(wǎng)絡智能分析器采用微服務架構，各個營業(yè)服務采用多實例部署，外部 HTTP 請求由新聞總線進行分發(fā)到各個節(jié)點實例處理，并可通過擴充實例節(jié)點實現(xiàn)服務容量動態(tài)擴容，具備高可靠性和伸縮性。
下一條：沒有了