XX烟厂信息化解决方案技术建议书杭州华三通信技术有限公司2008.06目 录1.烟厂数字化园区信息化需求32.H3C IToIP烟厂数字化园区信息化解决方案架构43.XXX烟厂园区统一高效IP网络解决方案53.1.IP网络方案设计原则53.2.XX烟厂园区网络建设目标和整体规划：73.2.1.建设目标73.2.2.整体规划73.3.XX烟厂园区网络详细设计93.2.3.局域网详细设计93.2.4.虚拟园区网设计103.2.5.IP地址规划设计133.2.6.QoS规划设计143.4.XX烟厂园区网无线网络设计163.2.7.方案逻辑组网图163.2.8.认证方式及认证点选择173.2.9.整网安全183.2.10.频率规划与负载均衡193.2.11.网络管理193.2.12.供电问题213.2.13.无线覆盖解决方案214.XX烟厂园区数据中心存储解决方案224.1.CDP（持续数据保护）方案235.XX烟厂全局安全规划方案255.1.烟草工业园区网络安全现状255.2.全局安全概述255.3.EAD方案265.4.数据中心安全275.5.安全评估305.6.全网安全方案特点326.XX烟厂IP智能监控解决方案326.1.烟草工业企业园区的监控需求326.2.H3C IP智能监控解决方案概述346.3.H3C IP智能监控解决方案特点367.XXX烟厂综合信息管理解决方案387.1.基础资源管理397.2.身份与接入管理397.3.端点安全准入管理407.4.VPN管理407.5.网络智能分析401. 烟厂数字化园区信息化需求我国是世界上第一烟草大国，现阶段常年吸烟人口达3.1亿之多，年卷烟消费量约17000亿支，卷烟制造行业是关系到人民日常生活的重要消费品制造行业。随着建设现代化烟草企业的序幕展开，信息化技术的应用和改革对卷烟工业企业的推动启到至关重要的作用。卷烟工业企业信息化是指广泛利用电子信息技术，使企业的生产、管理实现自动化。当前，我国卷烟工业企业信息化建设已初具规模，由单机应用、局部系统应用发展到了网络化、集成化、数字化和智能化，管理信息系统在行业经济发展中已发挥了重要作用。 卷烟工业企业信息化建设主要包括两大部分：一部分是设计、生产过程的信息化，实际上是生产过程的自动化，属于工业控制范畴。用自动化生产、测量、显示、控制等工具，通过控制信息达到生产的自动化。另一部分是管理的信息化，就是建立管理信息系统(MIS)、办公自动化系统(OA)以及决策支持系统(DSS)等。卷烟工业企业信息化建设在工控方面将向计算机集成制造系统(CIMS)方向发展；在管理方面将向数字化、智能化发展。在企业内部将建立起全面的数据分析、决策支持系统，在企业外部将建立完善的电子商务(EC)环境，通过建立供应链管理(SCM)系统、客户关系管理(CRM)系统，提高整个企业的市场竞争能力。国家烟草专卖局在数字烟草发展纲要中提出了“统一平台、统一数据库、统一网络”的信息化建设纲要。统一网络是指通过建设一个整体的行业专网把总公司到各个省公司以及省工业公司（省烟草公司和各个省的工业公司）通过行业专网全部连接起来，形成一个统一的行业大网。统一平台和统一数据库则更有益于实现信息资源共享。纲要的宗旨是将信息化贯穿烟草行业生产经营管理的各个环节、各个流程，以及将复杂多变的烟草信息转变为可以量化的数据，通过数字分析，为各企业乃至整个产业的发展提供决策依据。结合XX烟厂生产业务系统、办公管理业务系统、本地局域网和广域网规划需求，数据存储需求，网络安全性需求，监控需求，管理需求，H3C提出一体化数字化烟厂园区解决方案。2. H3C IToIP烟厂数字化园区信息化解决方案架构烟厂数字化园区内部各个业务系统是在不同的年代建设的，其包括了各种各样的标准和协议，如何对它们进行高效的整合，实现信息资源的共享，是一个难题。众所周知，TCP/IP是迄今为止应用最广泛、最成熟、最为开放、标准化程度最高的技术体系，具有简单、开放、灵活扩展、管理和互操作等一系列优势，已经成为当今互联网、电信网、政务网、企业网的主要承载技术。IP协议弹性强，能更好地适应IT网络的各种变化。例如在存储技术领域，传统的FC技术存在兼容性和扩展性等方面的问题，基于IP的存储能够更好地实现平台兼容性及业务扩展性，并可实现更灵活的数据服务定制。基于这样的潮流，H3C推出了IT On IP(简称IToIP)的烟厂数字化园区信息化基础平台建设理念及整体解决方案。IToIP并不是各种产品的简单堆积，而是一种完全基于IP的融合IT解决方案。在整个信息的生命周期中，信息的产生、存储、传送、处理都是通过IP的方式进行，中间不用任何的转化，这样就能够对整个IT系统更好地管理，提升效率。通过对烟厂数字化园区需求的深入理解，H3C利用先进实用数据通讯技术与产品，提出了烟厂园区信息化解决方案。烟厂数字化园区解决方案模型图： 3. XXX烟厂园区统一高效IP网络解决方案3.1. IP网络方案设计原则IP网络是整个烟厂信息化的基础承载体，因此，建设统一可靠高效IP网络非常重要，整个基础网络设计遵循如下原则：n 链路冗余 在主干连接(主干设备之间及其与汇接设备之间的连接)具备可靠的线路冗余方式。建议采用负载均衡的冗余方式，即通常情况下两条连接均提供数据传输，并互为备份。主线路可实时、自动的切换到备份线路,而不影响业务应用。n 模块冗余 核心层设备和汇聚层设备的所有模块和环境部件应具备1+1或1：N热备份的功能，核心层交换设备主备切换时间小于1秒。所有模块具备热插拔的功能。系统具备99.999%以上的可用性。n 设备冗余 核心交换机采用两台或两台以上设备组成，当其中一个设备因故障停止工作时，另一台设备自动接替其工作，并且不引起其他节点的路由表重新计算，从而提高网络的稳定性，切换时间大于3秒。n 拥塞控制与服务质量保障拥塞控制和服务质量保障(QoS)是公众服务网的重要品质。由于接入方式、接入速率、应用方式、数据性质的丰富多样，网络的数据流量突发是不可避免的，因此，网络对拥塞的控制和对不同性质数据流的不同处理是十分重要的。网络支持标准DiffServ QoS机制。网络设备应支持68种业务分类(COS)。当用户终端不提供业务分类信息时，网络设备应根据用户所在网段、应用类型、流量大小等自动对业务进行分类。接入本网络的业务应遵守其接入速率承诺。超过承诺速率的数据将被丢弃或标以最低的优先级。当网络出现真正的拥塞时，瞬间大量的丢包会引起大量TCP数据同时重发，加剧网络拥塞的程度并引起网络的不稳定。网络设备应具备先进的技术，在网路出现拥塞前就自动采取适当的措施，进行先期拥塞控制，避免瞬间大量的丢包现象。n 网络的扩展能力网络的扩展能力包括设备交换容量的扩展能力、端口密度的扩展能力、主干带宽的扩展，以及网络规模的扩展能力。交换容量扩展 ：交换容量应具备在现有基础上继续扩充12倍容量的能力，以适应IP类业务急速膨胀的现实。端口密度扩展 ：设备的端口密度应能满足网络扩容时设备间互联的需要。主干带宽扩展 ：主干带宽应具备24倍甚至更高的带宽扩展能力，以适应IP类业务急速膨胀的现实。网络规模扩展 ：网络体系、路由协议的规划和设备的CPU/NP路由处理能力，在核心网络设备能适应将来达到2倍以上的规模扩展要求。网络通信协议：以TCP/IP协议为主，设备商应提供服务营运级别的网络通信软件和网际通用操作系统，路由协议支持成熟标准并且广泛应用的OSPF路由协议。3.2. XX烟厂园区网络建设目标和整体规划：3.2.1. 建设目标烟厂数字化园区统一高效IP承载网的建设目标：l 网络统一规划，分层分域，采用层次化的建设模型和分区域的模块化结构，层次清晰，既有效隔离，又互相连通； l 带宽充分，保证各种新兴业务，如视频监控、视频会议等的高速传输。l 高可用性，承载实时生产业务和视频监控；烟厂数字化园区集中统一数据存储建设目标：l 可靠数据大集中存储、本地实时备份及远程容灾，生产、办公和监控数据不丢失。烟厂数字化园区一体化安全建设目标：l 端到端信息系统安全，网络边缘和内部终端安全；烟厂数字化园区融合通信建设目标：l 实现视频、监控、语音有机融合；烟厂数字化园区一体化管理建设目标：l 对网络、安全、存储和用户进行统一管理维护,达到可管理、易管理。总之，烟厂数字化园区信息化目标包括：以统一高效IP网络和数据为基础，以全面深入信息系统安全、智能安防和统一智能管理为保证，支撑起烟厂数字化园区整合化的应用系统，从而为烟厂数字化园区提供一个可靠高效的信息化平台。 3.2.2. 整体规划根据XX卷烟厂网络建设的目标和业务需求，在充分分析XX卷烟厂业务需求的基础上，构建XX烟厂数字化园区网络，XX烟厂网络是整个XX卷烟厂的应用的基础网，应能满足XX卷烟厂多业务、高带宽应用的需求，因此网络将建成一个承载多种业务台。网络的整体规划如下：在烟厂园区网络整体设计中，采用层次化、模块化的网络设计结构，并严格定义各层功能模型，不同层次关注不同的特性配置。典型的烟厂园区网络结构可以分成三层：接入层、汇聚层、核心层。1) 接入层：提供网络的第一级接入功能，完成简单的二、三层交换，安全、Qos和POE功能都位于这一层。根据以上要求，对于企业园区网的接入层设备，建议采用千兆接入的方式，应该具有线速三层交换、IRF智能弹性堆叠技术以及高级QoS策略等功能。2) 汇聚层：汇聚来自配线间的流量和执行策略，当路由协议应用于这一层时，具有负载均衡、快速收敛和易于扩展等特点，这一层还可作为接入设备的第一跳网关；对于企业园区网的汇聚层设备，应该能够承载企业园区的多种融合业务，如MPLS、IPv6、网络安全、无线、无源光网络等，并提供不间断转发、优雅重启、环网保护等多种高可靠技术，满足企业园区融合业务的需求。3) 核心层：网络的骨干，必须能够提供高速数据交换和路由快速收敛，要求具有较高的可靠性、稳定性和易扩展性等。对于企业园区网核心层，必须提供高性能、高可靠的网络结构，推荐采用高可靠的RPR环网结构或多设备冗余的星型结构。这样可以实现10ms的故障检测时间以及50ms的业务倒换时间，可以做到故障切换时完全不影响正在进行的音频业务，完全满足电信级可靠性的要求。3.3. XX烟厂园区网络详细设计3.2.3. 局域网详细设计XX烟厂数字化园区建议采用常用的二层接入、三层核心交换组网模型。通过VLAN隔离区域用户，同一VLAN内用户可方便互访。同时在核心层配置安全规则对内部网络各子网间的路由实现策略控制，接入层启用802.1x和防ARP欺骗等安全特性为用户提供保护。网络接入层到核心层间配置STP协议，核心层和广域网部分配置三层OSPF路由协议，OSPF路由协议和白沙物流数据中心采用相同的OSPF id，并将整个科研数据中心设置为Area 0。建议汇聚层交换机采用H3C S7506E，汇聚设备10GE双上行与核心层H3C S9512相连，提供链路冗余，核心层设备通过VRRP协议进行网关备份。在这个网络中，通过合理规划VRRP group mas