網(wǎng)絡(luò)設(shè)計(jì)原則
園區(qū)網(wǎng)通常是在有限的空間內(nèi)聚集了大量的終端和用戶接入的高密度網(wǎng)絡(luò)。對(duì)于園區(qū)網(wǎng)而言，看重的是網(wǎng)絡(luò)的簡(jiǎn)單可靠、易部署、易維護(hù)，需遵循如下原則：
l 條理化原則
將園區(qū)網(wǎng)絡(luò)劃分為核心層、接入層等分層架構(gòu)，每層功能清晰，架構(gòu)穩(wěn)固，易于擴(kuò)展和維護(hù)。
l 模塊化原則
將園區(qū)網(wǎng)絡(luò)中的每個(gè)部門或者每個(gè)功能區(qū)劃分為一個(gè)模塊，模塊內(nèi)部的調(diào)整涉及范圍小，易于進(jìn)行題目定位。
l 可靠性原則
整套網(wǎng)絡(luò)體系的可靠性是第一位，應(yīng)選用主流的并得到廣泛應(yīng)用的著名設(shè)備品牌，在體系設(shè)計(jì)、設(shè)備選型、調(diào)試、安裝等環(huán)節(jié)嚴(yán)酷實(shí)行國(guó)家、行業(yè)的有關(guān)標(biāo)準(zhǔn)及公安機(jī)關(guān)有關(guān)安全技術(shù)提防的要求，貫徹質(zhì)量條例，保證體系的可靠性。
l 安全性原則
網(wǎng)絡(luò)體系的設(shè)備必須知足安全性要求，設(shè)備選型不能選試驗(yàn)產(chǎn)品，要選先輩的市場(chǎng)主流產(chǎn)品，要能保證體系不間斷運(yùn)行。對(duì)關(guān)鍵的設(shè)備、數(shù)據(jù)和接口應(yīng)采用冗余設(shè)計(jì)。網(wǎng)絡(luò)環(huán)境下信息傳輸和數(shù)據(jù)存儲(chǔ)要看重安全，保障體系網(wǎng)絡(luò)的安全可靠性。包括物理空間的安全控制及網(wǎng)絡(luò)的安全控制。必要有完備的安全策略控制系統(tǒng)來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)的安全控制。
l 先輩性原則
體系的設(shè)計(jì)方法和技術(shù)路線應(yīng)吻合當(dāng)前網(wǎng)絡(luò)架構(gòu)將來(lái)發(fā)展趨勢(shì)，須充分兼顧需求和技術(shù)的發(fā)展，須充分考慮與其他體系的連接，建設(shè)可擴(kuò)展的、開(kāi)放的平臺(tái)。重要設(shè)備須支撐升級(jí)演進(jìn)，軟件的設(shè)計(jì)應(yīng)先輩天真，便于升級(jí)以及與其它體系的互聯(lián)互控，同時(shí)應(yīng)保證人機(jī)界面友愛(ài)，易于使用和操作，保證最終結(jié)果的優(yōu)秀。
l 可擴(kuò)展性原則
隨著體系以后的擴(kuò)展，用戶容量將會(huì)賡續(xù)擴(kuò)大，新的營(yíng)業(yè)功能的要求將會(huì)層出不窮。這要求體系具備優(yōu)秀的可擴(kuò)展性，所以在體系建設(shè)的初期，首先立足于近期的應(yīng)用需求進(jìn)行體系配置，而以體系的可擴(kuò)展性來(lái)保證往后十年內(nèi)的發(fā)展需求。
網(wǎng)絡(luò)體系的各個(gè)組成部件選用標(biāo)準(zhǔn)的硬件和軟件，各個(gè)子體系的設(shè)計(jì)模塊化，軟、硬件能夠平滑升級(jí)或更新，網(wǎng)絡(luò)節(jié)點(diǎn)的增減對(duì)網(wǎng)絡(luò)性能的影響不大。
l 易維護(hù)管理
網(wǎng)絡(luò)可管理性是網(wǎng)絡(luò)成功運(yùn)維的基礎(chǔ)，應(yīng)提供簡(jiǎn)單有用的網(wǎng)絡(luò)同一管理體系，對(duì)網(wǎng)絡(luò)所有網(wǎng)絡(luò)設(shè)備進(jìn)行管理，包括網(wǎng)絡(luò)拓?fù)浔憩F(xiàn)、網(wǎng)絡(luò)狀況監(jiān)控、故障事件實(shí)時(shí)預(yù)警和告警、網(wǎng)絡(luò)流量統(tǒng)計(jì)。
l 投資珍愛(ài)
園區(qū)網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)必須知足將來(lái)3-5年的使用需求，進(jìn)步整網(wǎng)的行使率和擴(kuò)展能力，使得可能的后續(xù)投資最小化。同時(shí)結(jié)合運(yùn)維等方面的要求，獲得最佳總體擁有成本。
總體架構(gòu)設(shè)計(jì)
智能園區(qū)網(wǎng)絡(luò)總體解決方案如下：
園區(qū)網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)
智能園區(qū)網(wǎng)絡(luò)分為辦公園區(qū)、生產(chǎn)IT網(wǎng)絡(luò)，生產(chǎn)OT網(wǎng)絡(luò)，安全隔離區(qū)，數(shù)據(jù)中間區(qū)等等，各重要區(qū)域的營(yíng)業(yè)承載如下：
辦公園區(qū)：
? 通用辦公區(qū)（市場(chǎng)、財(cái)務(wù)、研發(fā)等）
? 安防視頻監(jiān)控、樓宇智能網(wǎng)
生產(chǎn)園區(qū)（production-IT）
? 生產(chǎn)IT區(qū)域，有線、無(wú)線終端接入
? 生產(chǎn)IT區(qū)和辦公網(wǎng)存在營(yíng)業(yè)流量，通過(guò)安全隔離區(qū)安全控制
? 倉(cāng)儲(chǔ)、物流區(qū)域等場(chǎng)景
生產(chǎn)園區(qū)（production-OT）
? 工控網(wǎng)絡(luò)，機(jī)器人控制生產(chǎn)
? 生產(chǎn)數(shù)據(jù)采集，光學(xué)檢測(cè)
? 生產(chǎn)物流主動(dòng)運(yùn)輸
園區(qū)網(wǎng)絡(luò)的解決方案總體架構(gòu)設(shè)計(jì)如下：
園區(qū)出口：
部署出口路由器，防火墻、IPS、DDOS、上網(wǎng)舉動(dòng)管理等安全設(shè)備，作為園區(qū)的同一出口，同時(shí)要提防外部Internet網(wǎng)絡(luò)的攻擊。
辦公IT網(wǎng)絡(luò)：
辦公園區(qū)IT網(wǎng)絡(luò)，一張物理網(wǎng)絡(luò)同時(shí)承載有線辦公網(wǎng)、無(wú)線辦公網(wǎng)、安防網(wǎng)絡(luò)、樓宇網(wǎng)絡(luò)等等，基于Vxlan技術(shù)構(gòu)建多個(gè)假造網(wǎng)絡(luò)，一網(wǎng)多用，邏輯安全隔離。
核心、匯聚等框式交換機(jī)雙機(jī)部署集群，接入交換機(jī)iStack堆疊，接入-匯聚，匯聚-核心雙鏈路，進(jìn)步整網(wǎng)的可靠性。
無(wú)線接入層部署業(yè)界領(lǐng)先的Wi-Fi 6 AP，上行最高帶寬10Gbps，知足各種高帶寬營(yíng)業(yè)應(yīng)用。
生產(chǎn)IT網(wǎng)絡(luò)：
核心、匯聚等框式交換機(jī)雙機(jī)部署集群，接入交換機(jī)iStack堆疊，接入-匯聚，匯聚-核心雙鏈路，進(jìn)步整網(wǎng)的可靠性。
無(wú)線接入層部署業(yè)界領(lǐng)先的Wi-Fi 6 AP，上行最高帶寬10Gbps，知足各種高帶寬、低時(shí)延營(yíng)業(yè)應(yīng)用。
安全隔離區(qū)：
安全隔離區(qū)作為生產(chǎn)IT網(wǎng)絡(luò)和辦公IT網(wǎng)絡(luò)的中心隔離區(qū)域，重要是對(duì)辦公區(qū)域訪問(wèn)生產(chǎn)IT網(wǎng)絡(luò)的舉動(dòng)進(jìn)行安全控制，杜絕各種安全風(fēng)險(xiǎn)。部署防火墻、沙箱、漏掃、及安全探針等設(shè)備。
根據(jù)整網(wǎng)安全分析的必要，在辦公IT網(wǎng)絡(luò)，生產(chǎn)IT網(wǎng)絡(luò)，部署一部分安全探針，用于網(wǎng)絡(luò)流量的采集。同時(shí)辦公、生產(chǎn)的IT網(wǎng)絡(luò)的匯聚層交換機(jī)，基于Netstream技術(shù)采集網(wǎng)絡(luò)流量，用于整網(wǎng)安全風(fēng)險(xiǎn)的分析與預(yù)防。
網(wǎng)絡(luò)管理區(qū)：
網(wǎng)絡(luò)管理區(qū)用于部放SDN控制器，大數(shù)據(jù)智能運(yùn)維平臺(tái)CampusInsight，安全分析平臺(tái)CIS，對(duì)整網(wǎng)進(jìn)行管理，運(yùn)維和安全防護(hù)；網(wǎng)絡(luò)管理園區(qū)旁掛在園區(qū)的總核心上。
VxLAN組網(wǎng)設(shè)計(jì)方案
辦公園區(qū)基于VxLAN等SDN技術(shù)，一張物理網(wǎng)絡(luò)同時(shí)承載辦公、安防、樓宇等多張營(yíng)業(yè)網(wǎng)絡(luò)，營(yíng)業(yè)網(wǎng)絡(luò)邏輯安全隔離。
? 各板塊匯聚與政務(wù)核心構(gòu)建一個(gè)假造網(wǎng)絡(luò)Fabric實(shí)現(xiàn)假造化專網(wǎng)；承載多營(yíng)業(yè)實(shí)現(xiàn)邏輯隔離
? 通過(guò)SDN控制器對(duì)辦公網(wǎng)VXLAN營(yíng)業(yè)實(shí)現(xiàn)主動(dòng)化部署
? 各板塊匯聚與接入之間二層互聯(lián)
無(wú)線Wi-Fi覆蓋方案
Wi-Fi已成為當(dāng)今世界無(wú)處不在的技術(shù)，為數(shù)十億設(shè)備提供連接，也是越來(lái)越多的用戶上網(wǎng)接入的首選體例，并且有漸漸庖代有線接入的趨勢(shì)。為適應(yīng)新的營(yíng)業(yè)應(yīng)用和減小與有線網(wǎng)絡(luò)帶寬的差距，每一代802.11的標(biāo)準(zhǔn)都在大幅度的提拔其速率。
然而移動(dòng)營(yíng)業(yè)的快速發(fā)展和高密度接入對(duì)Wi-Fi網(wǎng)絡(luò)的帶寬提出了更高的要求，在2013年發(fā)布的802.11ac標(biāo)準(zhǔn)引入了更寬的射頻帶寬（提拔至160MHz）和更高階的調(diào)制技術(shù)（256-QAM），傳輸速度高達(dá)1.73Gbps，進(jìn)一步提拔Wi-Fi網(wǎng)絡(luò)吞吐量。另外，在2015年發(fā)布了802.11ac wave2標(biāo)準(zhǔn)，將波束成形和MU-MIMO等功能推向主流，提拔了體系接入容量。但遺憾的是802.11ac僅支撐5GHz頻段的終端，減弱了2.4GHz頻段下的用戶體驗(yàn)。
下一代Wi-Fi必要解決更多終端的接入導(dǎo)致整個(gè)Wi-Fi網(wǎng)絡(luò)服從降低的題目， 802.11ax(Wi-Fi 6)標(biāo)準(zhǔn)將引入上行MU-MIMO、OFDMA頻分復(fù)用、1024-QAM高階編碼等技術(shù)，將從頻譜資源行使、多用戶接入等方面解決網(wǎng)絡(luò)容量和傳輸服從題目。目標(biāo)是在密集用戶環(huán)境中將用戶的平均吞吐量相比現(xiàn)在的Wi-Fi 5進(jìn)步至少4倍，并發(fā)用戶數(shù)提拔3倍以上，因此，Wi-Fi 6(802.11ax)也被稱為高效無(wú)線（HEW）。
Wi-Fi 6是下一代802.11ax標(biāo)準(zhǔn)的簡(jiǎn)稱。隨著Wi-Fi標(biāo)準(zhǔn)的演進(jìn)，WFA為了便于Wi-Fi用戶和設(shè)備廠商輕松了解其設(shè)備連接或支撐的Wi-Fi 型號(hào)，選擇使用數(shù)字序號(hào)來(lái)對(duì)Wi-Fi重新命名。另一方面，選擇新一代命名方法也是為了更好地凸起 Wi-Fi 技術(shù)的龐大提高，它提供了大量新功能，包括增長(zhǎng)的吞吐量和更快的速度、支撐更多的并發(fā)連接等。根據(jù)WFA的通知布告，如今的 Wi-Fi 命名分別對(duì)應(yīng)如下 802.11技術(shù)標(biāo)準(zhǔn)：
發(fā)布年份 | 802.11標(biāo)準(zhǔn) | 頻段 | 新命名 |
2009 | 802.11n | 2.4 GHz或5 GHz | Wi-Fi 4 |
2013 | 802.11ac wave1 | 5 GHz | Wi-Fi 5 |
2015 | 802.11ac wave2 | 5 GHz | |
2019 | 802.11ax | 2.4 GHz或5 GHz | Wi-Fi 6 |
和以往每次發(fā)布新的802.11標(biāo)準(zhǔn)一樣，802.11ax也將兼容之前的802.11ac/n/g/a/b標(biāo)準(zhǔn)，老的終端一樣可以無(wú)縫接入802.11ax網(wǎng)絡(luò)。
網(wǎng)絡(luò)安全方案
基于安全協(xié)防團(tuán)體防護(hù)理念和設(shè)計(jì)原則，所構(gòu)建的安全防護(hù)系統(tǒng)，實(shí)現(xiàn)快速相應(yīng)，調(diào)查追溯，優(yōu)化安全策略，提拔防護(hù)水平。
為了將威脅控制在局部區(qū)域，同時(shí)考慮到對(duì)網(wǎng)絡(luò)攻擊舉動(dòng)及時(shí)檢測(cè)和處置，建議所有關(guān)鍵區(qū)域邊界均應(yīng)部署響應(yīng)的安全防護(hù)措施，通過(guò)部署安全態(tài)勢(shì)感知體系、安全策略智能管理和網(wǎng)絡(luò)誘捕體系，“三位一體”構(gòu)建自動(dòng)防御系統(tǒng)，進(jìn)步對(duì)未知威脅感知能力和相應(yīng)能力。細(xì)致設(shè)計(jì)如下：
? 在安全隔離區(qū)與終端接入?yún)^(qū)邊界部署防火墻、IPS、網(wǎng)絡(luò)探針和誘捕體系實(shí)現(xiàn)該區(qū)域邊界珍愛(ài)；
? 在安全隔離區(qū)與生產(chǎn)區(qū)邊界部署防火墻、IDS、網(wǎng)絡(luò)探針和誘捕體系實(shí)現(xiàn)該區(qū)域邊界珍愛(ài)；
? 在生產(chǎn)區(qū)與IT網(wǎng)絡(luò)邊界部署防火墻、IPS、網(wǎng)絡(luò)探針和誘捕體系實(shí)現(xiàn)該區(qū)域邊界珍愛(ài)；
? 在生產(chǎn)區(qū)內(nèi)部不同廠房車間FAB區(qū)邊界部署防火墻、IDS、網(wǎng)絡(luò)探針和誘捕體系實(shí)現(xiàn)該區(qū)域邊界珍愛(ài)；
? 在與合作伙伴外部網(wǎng)絡(luò)互聯(lián)的邊界部署防火墻、IPS、網(wǎng)絡(luò)探針和誘捕體系實(shí)現(xiàn)該區(qū)域邊界珍愛(ài)；
? 原則上禁止在生產(chǎn)網(wǎng)絡(luò)的體系中安裝TeamViewer等長(zhǎng)途控制軟件，避免繞過(guò)邊界安全防護(hù)措施，帶來(lái)安全風(fēng)險(xiǎn)；
? 如需長(zhǎng)途運(yùn)維，建議采用VPN接入安全隔離區(qū)，通過(guò)登錄堡壘機(jī)對(duì)網(wǎng)內(nèi)設(shè)備進(jìn)行運(yùn)維操作。
智能運(yùn)維管理方案
隨著網(wǎng)絡(luò)規(guī)模的賡續(xù)增加、網(wǎng)絡(luò)應(yīng)用的賡續(xù)推廣、營(yíng)業(yè)越來(lái)越多樣化，大量路由器、交換機(jī)、WLAN 等被廣泛的應(yīng)用于網(wǎng)絡(luò)，IT維護(hù)人員面對(duì)網(wǎng)絡(luò)管理和運(yùn)維中碰到的題目和挑釁，必要一套高效、同一的控制器進(jìn)行支持，遵循ITIL規(guī)范，提供融合、開(kāi)放的運(yùn)維平臺(tái)，實(shí)現(xiàn)對(duì)有線無(wú)線網(wǎng)絡(luò)以及用戶的同一管理。
管理方案設(shè)計(jì)
? 全網(wǎng)有線、無(wú)線網(wǎng)絡(luò)同一、可視化管理，包括同一拓?fù)?、同一告警、性能、同一?bào)表等基本功能，知足網(wǎng)絡(luò)的基本運(yùn)維需求。
? 可分權(quán)分域，基于每個(gè)區(qū)域給予管理權(quán)限控制，確保網(wǎng)絡(luò)的管理分工與安全。
? 分級(jí)網(wǎng)絡(luò)管理，實(shí)現(xiàn)運(yùn)維安全和大規(guī)模網(wǎng)絡(luò)管理的能力?？梢詫?shí)現(xiàn)跨地區(qū)上下分層式管理，基于分層管理訴求，聚焦分層網(wǎng)絡(luò)運(yùn)維職能，上下分級(jí)各司其職，實(shí)現(xiàn)同一的拓?fù)涔芾?、同一的資源管理、分層式的告警管理、全網(wǎng)匯聚Portal、同一的用戶認(rèn)證管理。
? 零配置部署管理，支撐拓?fù)溟_(kāi)局和設(shè)備標(biāo)識(shí)開(kāi)局，從網(wǎng)絡(luò)規(guī)劃、離線配置文件制作、設(shè)備布線上電、網(wǎng)絡(luò)規(guī)劃調(diào)整、開(kāi)局以及故障設(shè)備替代等，提供了端到端設(shè)備運(yùn)維能力，進(jìn)步了運(yùn)維人員服從。
? WLAN全生命周期的管理，可視規(guī)劃、三步開(kāi)通營(yíng)業(yè)、360°監(jiān)控到基于搜索的一鍵式故障診斷的WLAN全生命周期管理，幫助用戶高效部署和管理無(wú)線網(wǎng)絡(luò)。
? 移動(dòng)化運(yùn)維管理，用戶可以在移動(dòng)終端上進(jìn)行無(wú)線網(wǎng)絡(luò)管理，包括360監(jiān)控、故障診斷等功能。
大數(shù)據(jù)智能運(yùn)維管理方案
平臺(tái)設(shè)計(jì)基于大數(shù)據(jù)分析平臺(tái)構(gòu)建，采用Telemetry 技術(shù)方案接收設(shè)備上報(bào)的數(shù)據(jù)，通過(guò)智能算法對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析、呈現(xiàn)。
網(wǎng)絡(luò)智能分析器采用微服務(wù)架構(gòu)，各個(gè)營(yíng)業(yè)服務(wù)采用多實(shí)例部署，外部 HTTP 請(qǐng)求由新聞總線進(jìn)行分發(fā)到各個(gè)節(jié)點(diǎn)實(shí)例處理，并可通過(guò)擴(kuò)充實(shí)例節(jié)點(diǎn)實(shí)現(xiàn)服務(wù)容量動(dòng)態(tài)擴(kuò)容，具備高可靠性和伸縮性。
下一條：沒(méi)有了