文档供参考，可复制、编制，期待您的好评与关注！ 工业084 0810660404 寇旭平一1现状分析某卷烟厂拟实施CIMS（现代集成制作系统）规划，需建立企业网络系统，设计全场经营、政工、技改、财务、质量、生产、销售、后勤等部门，主要分布在办公楼和生产厂区、占地0.4 平方公里，厂外有少量销售点。办公楼为6层，需联网计算机96台。卷烟厂库区距厂区直线距离约2公里，有20台计算机。在全市范围内设有6个厂外销售部，每个销售部有1020台计算机不等。另外有遍及全市的销售点近百个，每个销售点有1台计算机。二、网络需求1) 网络系统连接的站点覆盖主厂区、库区及厂外销售部，远程通信遍及市内全部销售网点，并为今后同外单位及国际互联网的通信连接做好基础准备工作。各销售点可以考虑采用ISDN 拨入的方式。2) 支持分布式数据库应用，以实现全厂的MIS 和面向决策的综合信息查询系统和决策支持系统（在厂部和厂外销售部都有数据库），各销售点的计算机根据地域的划分分别与就近的销售部和厂部的数据库相连。3) 综合考虑系统可靠性、实用性、开放性、先进性和经济性。4) 以当前需求为主，兼顾发展的需要。5) 支持企业的Intranet 和与Internet 的连接。三、设计原则此次企业网设计应遵循如下原则:l 先进性世界上计算机技术的发展十分迅速，更新换代周期越来越短。所以，选购设备要充分注意先进性，选择硬件要预测到未来发展方向，选择软件要考虑开放性，工具性和软件集成优势。网络设计要考虑通信发展要求。l 实用性系统的设计既要在相当长的时间内保证其先进性，还应本着实用的原则，在实用的基础上追求先进性，使系统便于联网，实现信息资源共享。易于维护管理，具有广泛兼容性，同时为适应企业的内部需求，员工的工作特性等。l 安全性企业计算机网络都与外部网络互连互通日益增加，都直接或间接与国际互连网连接。企业的商业机密，员工资料，市场和销售信息等敏感信息关系到企业生存利害。因此，在系统方案设计需考虑到系统的可靠性、信息安全性和保密性的要求。l 可扩充性系统规模及档次要易于扩展，可以方便地进行设备扩充和适应工程的变化，以及灵活进行软件版本的更新和升级，保护用户的投资。为将来系统的升级、扩展打下良好的基础。l 灵活性采用结构化、模块化的设计形式，满足系统及用户各种不同的应用要求，适应业务调整。四、技术选型VPN OR 专线？企业信息系统需要将分布于各地的分支机构联成网络，并需要方便地与移动在外员工保持联系，最好还可以与其它合作公司、供应商、销售商等建立紧密的高效的联系。传统的组网方式是：专线WAN、拨号网络以及直接利用Internet构筑起本公司的Internet或Extranet。1）传统的解决方法l 专线WAN 通过专用线路（如DDN、FR或ATM连接）永久的保持多个站点的连接，通过路由器或交换器连接专用设备，无疑代价和复杂度都非常可观。专线WAN的优点是通信质量稳定可靠。l 拨号上网 通过PSTN或ISDN按需要建立与私有网络的连接，通常采用NAS（Network Access Servers）分布在一个或多个中心节点，用户拨号到NAS，由其进行Authentication, Authentication和Accounting（AAA），效率、速度等往往很难令人满意。l 直接利用Internet构筑起本公司的Intranet或ExtranetInternet迅速发展无所不在以及诱人的低价位，的确令众多厂商开始采用这种办法，但是直接利用Internet只能进行WEB、E-MAIL等有限的应用，并且Internet天生的开放性使安全性又成了问题，公司的机密数据一旦在Internet传输，若没有安全性保障，其后果可想而知。2）VPNVPN（虚拟专用网络），即是指在公众网络上所建立的企业网络，并且此企业网络拥有与专用网络相同的安全、管理及功能等特点，它替代了传统的拨号访问，利用 Internet 公网资源作为企业专网的延续，节省昂贵的长途费用。VPN 乃是原有专线式企业专用广域网络的替代方案，VPN 并非改变原有广域网络的一些特性，如多重协议的支持、高可靠性及高扩充性，而是在更为符合成本效益的基础上来达到这些特性。VPN的服务类型之一Intranet VPN，即企业的总部与分支机构间通过VPN虚拟网进行网络连接。随着企业的跨地区、国际化经营，这是绝大多数大、中型企业所必需的。如果要进行企业内部各分支机构的互联，使用Intranet VPN是很好的方式。这种VPN是通过公用因特网或者第三方专用网进行连接的，有条件的企业可以采用光纤作为传输介质。它的特点就是容易建立连接、连接速度快，最大特点就是它为各分支机构提供了整个网络的访问权限。越来越多的企业需要在全国乃至世界范围内建立各种办事机构、分公司、研究所等，各个分公司之间传统的网络连接方式一般是租用专线。显然，在分公司增多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。利用VPN特性可以在因特网上组建世界范围内的Intranet VPN。利用因特网的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个Intranet VPN上安全传输。Intranet VPN通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。网络系统如采用传统专线方式相比于VPN 组网方式有诸多不足，下表是VPN与专线的综合比较：VPN技术专线技术安全性非常高，保护数据传输的完整性、保密性、不可抵赖性；安全控制在用户手里比较高。但是，安全是建立在对电信部门相信的基础上，对电信运营商，无任何安全可言。可扩展性基于TCP/IP技术，接入方式灵活，只要网络可达，就可以方便扩展。依靠当地运营商的支持，扩展很不方便。投资成本设备一次性投入，不需要支出每月的运营费用，长期看来大幅度节省支出。专线费用很高，需要每月支付昂贵的专线租用费用，而且在初期要一次性投入路由器的费用对远程用户的支持能对internet上的内部移动用户安全接入，彻底消除地域差异。构造全球的虚拟专网。只能联通专线拉到的网络，不支持离开局域网的内部用户接入专网。带宽使用各种廉价的宽带介入方式，如：ADSL，Ethernet等，一般在1100M。由于价格昂贵，一般租用的带宽都比较窄（一般不超过2M）。升级依赖于设备的升级，非常方便。依赖于电信部门。由此可见，采用IntraNet VPN 方式组网具有投资成本低、高带宽、高可靠性、高安全性以及灵活的可扩展性的优点，采用 VPN 方式组网对XX卷烟厂来说是现实可行的，完全可以满足厂里的业务需要。五、网络方案设计51组网分析l 主厂区总部是信息存放、处理的中心，网络内部主机数量多，数据流量大，同时，为了保障网络安全，我们选择具备防火墙、VPN功能的深信服M5100-S防火墙，深信服M5100-S是一款整合多种安全防护功能的智能网络安全防火墙安全产品。它是深信服推出的二合一VPN/防火墙网关，同时适用于网间互连和无客户端的移动接入，局域网内用户数不限，IPSEC VPN吞吐量54M，SSL VPN吞吐量70M，防火墙吞吐量95M，AES加密/HARD CA证书认证及LDAP或第三方CA认证/支持动态IP，数据流压缩，集成企业级防火墙。l 库区和厂外销售部库区和厂外销售部利用ChinaNet和Internet网及数据加密技术构成企业的内部虚拟专用网。考虑到各分支节点经济及网络状况和VPN连接的稳定性，因此，可采取联想网御SJW44(60S)网关，网御VPN 硬件安全网关是独立的VPN 网关设备，由高可靠性的工控标准主板、硬件密码模块和电子盘等构成，内置专用嵌入式操作系统和VPN 软件模块。l 各销售点设计方案由于市内的销售点仅有一台计算机，所以采用Modem、ADSL或宽带的方式接入Internet，并在该终端上安装软件网关，从而达到和主厂区以及市内其他销售部的VPN通讯。l 移动用户的远程安全接入在外出差的移动用户可以通过安装在笔计本电脑上的“安全客户端”软件，随时通过当地的 ISP （如：拨号上网）接入 Internet 。再使用该软件和远端的安全网关建立加密隧道，安全接入总部和各个销售部，并在任何地方使用卷烟厂内部的 OA 系统。52拓朴结构XX卷烟厂的企业网Intranet是以主厂区的办公大楼为中心，通过帧中继及电信的VPN与市内的厂外销售部连接的企业广域网，其余市里的近百个小销售点则通过拨号上网或宽带上网与总部服务器连接，已经初步建立起一套信息交互的网络体系。总部网络通过电信的光纤接入互联网。在网络的接口处部署了防火墙提供内网访问Internet的路由并保证内部网络的安全。市内各销售点拨号或宽带上网连接Internet光纤Internet安全客户端软件网关VPN网络出差用户主厂区VPN网关厂外6个销售部卷烟厂库区VPN防火墙VPN网关53 IP地址规划规划原则：简单性： 地址的分配应该简单，避免在主干上采用复杂的掩码方式；连续性： 为同一个网络区域分配连续的网络地址，便于地址聚合，提高路由器的处理效率；可扩充性：为一个网络区域分配的网络地址应该具有一定的容量，便于主机数量增加时仍然能够保持地址的连续性；唯一性： 在整个网络环境中必须保持IP地址的唯一性；可管理性：地址的分配应该有层次，某个局部的变动不要影响上层、全局。安全性： 网络内应按工作内容划分成不同网段即子网以便进行管理。规划方案：采用内部地址172.16.0.0，掩码255.255.255.0来给每一部门分配地址区间部门VLAN号IP地址掩码财务部VLAN117216102552552550质量部VLAN217216202552552550政工部VLAN317216302552552550销售部VLAN417216402552552550后勤部VLAN517216502552552550生产部VLAN617216602552552550技改部VASAN71721670255255255054骨干网技术互联网的发展，经过了从窄带道宽带，从电缆道光纤的发展过程，目前为此，世界各国在构建宽带网络是，主要采用以下技术，它们也是较为成熟的骨干组网技术：1、千兆以太网技术(GE)最高传输速率为 1Gbps，与以太网技术、快速以太网技术向下兼容。GE 解决方案是指采用GE LAN 交换机（第二层或第三层）组网。2、异步转移模式(ATM技术)采用信元传输和交换技术，减少处理时延，保障服务质量，使其端口可以支持从E1(2Mbps)到STM-1(155 Mbps)、STM-4 (622Mbps)、STM-16 (2.4Gbps)、STM-64(10Gbps)的传输速率。3、SDH技术(或IP over SDH技术)采用高速光纤传输，以点对点方式提供从STM1到STM64甚至更高的传输速率。其中IP over SDH技术也简称为POS技术，也就是将IP包直接封装到SDH帧中，提高了传输的效率。4、动态IP光纤传输技术(DPT)定义了一种全新的传输方法IP优化的光学传输技术。这种技术提供了带宽使用的高效率、服