企業(yè)網(wǎng)絡設計概述產(chǎn)品介紹

企業(yè)網(wǎng)絡設計概述&產(chǎn)品介紹前言IP網(wǎng)絡已經(jīng)成為人們生產(chǎn)和生活不可分割的一部分。如何根據(jù)企業(yè)的業(yè)務需求設計適合企業(yè)的IP網(wǎng)絡是一個重要的課題。本課程將介紹企業(yè)IP網(wǎng)絡的設計原則以及企業(yè)IP網(wǎng)絡設計的最佳實踐。目標學完本課程后，您將能夠:描述企業(yè)網(wǎng)絡設計基本原則描述企業(yè)網(wǎng)絡設計基本流程分析一般企業(yè)的網(wǎng)絡設計需求描述一般企業(yè)網(wǎng)設計的最佳實踐描述華為企業(yè)網(wǎng)絡產(chǎn)品類型設計一般的企業(yè)網(wǎng)絡目錄企業(yè)網(wǎng)絡設計原則企業(yè)網(wǎng)絡設計概述選擇合適的產(chǎn)品企業(yè)網(wǎng)絡設計案例分析企業(yè)網(wǎng)絡平臺辦公生產(chǎn)監(jiān)控呼叫中心網(wǎng)絡平臺網(wǎng)絡生命周期組織策略業(yè)務策略財務決策概要設計需求分析項目計劃設備選購詳細設計網(wǎng)絡設計在整個網(wǎng)絡生命周期中扮演著重要的角色貫穿準備階段和設計階段好的網(wǎng)絡設計是網(wǎng)絡順利實施和正常運營的前提網(wǎng)絡設計的基本原則網(wǎng)絡設計原則可靠性可擴展性可管理性可運營性統(tǒng)一的、標準的管理便于監(jiān)控易于維護設備本身的可靠性網(wǎng)絡拓撲的可靠性故障檢測和恢復設備的性能可升級能力IP地址冗余路由協(xié)議易擴展能夠支撐多種業(yè)務足夠健壯的安全機制關鍵業(yè)務的QoS保障企業(yè)網(wǎng)絡設計基本流程板卡規(guī)劃路由規(guī)劃QOS規(guī)劃路由策略網(wǎng)管規(guī)劃可運營可管理的安全網(wǎng)絡業(yè)務隔離及關鍵業(yè)務確保帶寬及流量控制IP連通物理連通拓撲規(guī)劃設備選型IP地址規(guī)劃MPLS/VPN規(guī)劃策略路由網(wǎng)絡安全部署WAN設計LAN設計需求分析網(wǎng)絡設計的方法與思路模塊化的設計方法層次化的設計方法自上而下的設計思路自下而上的設計思路網(wǎng)絡設計方法與思路模塊化的網(wǎng)絡設計InternetWANPSTN出差員工

合作伙伴/訪客DMZ數(shù)據(jù)中心/服務器群管理中心分支機構核心層匯聚層接入層部門…部門A部門X專用網(wǎng)絡園區(qū)出口WebDNSEmail

APPSServersAPPSDB層次化的網(wǎng)絡設計核心層高速數(shù)據(jù)轉發(fā)可靠性要求高匯聚層路由匯聚流量收斂接入層終端接入訪問控制自上而下的設計思路應用層表示層會話層傳輸層網(wǎng)絡層數(shù)據(jù)鏈路層物理層應用設計網(wǎng)絡基礎架構設計基礎架構服務設計邏輯模塊邏輯模塊技術選擇拓撲設計地址規(guī)劃路由設計QoS設計組播設計安全設計模塊化/層次化OSI七層模型自上而下的網(wǎng)絡設計“自上而下”與“自下而上”設計思路優(yōu)點缺點應用場景自上而下從應用出發(fā)，能夠較好支持應用需求；從全局考慮，能夠滿足當前和未來的需求。網(wǎng)絡設計者投入的時間和精力更多。大規(guī)模新建網(wǎng)絡自下而上基于過往經(jīng)驗；能夠快速實施。未考慮整體需求；可能無法滿足長遠需求。小規(guī)模新建網(wǎng)絡網(wǎng)絡改造“自上而下”與“自下而上”的設計思路并不矛盾在不同的場合適用不同的思路在同一個網(wǎng)絡項目中，也可以綜合考慮目錄企業(yè)網(wǎng)絡設計原則企業(yè)網(wǎng)絡設計概述選擇合適的產(chǎn)品企業(yè)網(wǎng)絡設計案例分析目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃為什么需要分析用戶需求？企業(yè)的業(yè)務IT應用基礎服務網(wǎng)絡需求支撐如何分析用戶需求？識別網(wǎng)絡現(xiàn)狀定義技術限制定義組織限制定義組織目標定義技術目標技術考慮技術目標技術限制擴大網(wǎng)絡容量簡化網(wǎng)絡管理提升網(wǎng)絡安全增強網(wǎng)絡可靠性……當前的線纜不支持新技術線路帶寬不支持新應用設備的利舊兼容原有應用程序……TechnicalGoalsTechnicalConstraints目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃網(wǎng)絡拓撲設計的原則網(wǎng)絡拓撲設計原則高性能安全性可靠性層次化模塊化性價比常見的網(wǎng)絡拓撲星型拓撲雙星型拓撲網(wǎng)狀拓撲部分網(wǎng)狀拓撲案例學習：哪一種拓撲更好？VSCR1CR2DR1DR2ARCR1CR2DR1DR2AR方案1方案2目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃局域網(wǎng)與園區(qū)網(wǎng)園區(qū)網(wǎng)局域網(wǎng)（LAN，LocalAreaNetwork），從技術角度的定義：覆蓋局部區(qū)域的計算機網(wǎng)絡。園區(qū)網(wǎng)（CampusNetwork），從業(yè)務角度的定義：企業(yè)園區(qū)內部的計算機網(wǎng)絡。園區(qū)網(wǎng)也是一種局域網(wǎng)。層次化網(wǎng)絡中的技術應用三層路由交叉上聯(lián)鏈路聚合二層交換網(wǎng)絡VLAN生成樹/Smart-linkVRRP幾種常見的局域網(wǎng)樓宇局域網(wǎng)園區(qū)網(wǎng)數(shù)據(jù)中心局域網(wǎng)中型局域網(wǎng)小型局域網(wǎng)樓宇局域網(wǎng)大樓匯聚交換機樓層接入交換機企業(yè)核心交換機企業(yè)園區(qū)網(wǎng)ServersR&DMKTFinance數(shù)據(jù)中心局域網(wǎng)Servers中型局域網(wǎng)Servers服務器接入核心/匯聚PC接入PCs小型局域網(wǎng)RouterSwitchPCs靜態(tài)默認路由地址轉換（NAT）默認配置或簡單的VLAN劃分手工配置IP地址OSPFArea0案例學習：VRRP+STP組網(wǎng)L3網(wǎng)絡L2網(wǎng)絡Link-1VRRPMasterVRRPBackup問題：核心設備與匯聚設備之間是三層網(wǎng)絡，考慮成本因素，采用口字形互聯(lián)，運行OSPF協(xié)議，并通過引入路由的方式發(fā)布業(yè)務網(wǎng)段的路由。匯聚設備與接入設備之間是二層網(wǎng)絡，那么鏈路1是二層鏈路還是三層鏈路？如果鏈路1是三層鏈路，會出現(xiàn)什么問題？如果鏈路2是二層鏈路，會出現(xiàn)什么問題？有比較好的綜合方案嗎？AS1AS2AS3無線局域網(wǎng)WLANFATAP（胖AP）自治式架構又稱為FATAP架構。在該架構下，AP實現(xiàn)所有無線接入功能（稱為“胖AP”），不需要AC設備形態(tài)。非主流方案FITAP（瘦AP）集中式架構又稱為FITAP架構。在該架構下，通過AC集中管理和控制多個AP（稱為瘦AP）。主流方案目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃WAN設計要點WAN設計要點靈活性穩(wěn)定性技術復雜程度帶寬傳輸距離價格WAN技術回顧WAN技術帶寬穩(wěn)定性延遲技術復雜價格PSTN低低高中低ISDN低中中中低E1/T1中高低中中POS高高低中高MPLS高高低中高ATM高高低高高3G中低高高中DWDM高高低高高以太網(wǎng)高中低低低案例學習：以太網(wǎng)vscPOS+E1MSTP子接口子接口子接口子接口SDHcPOSE1E1E1VS通過以太網(wǎng)子接口劃分邏輯鏈路（通過VLAN區(qū)分）鏈路帶寬由運營商控制，可靈活分配（0~1000M）分支帶寬升級不需要調整線路技術簡單通過cPOS的E1通道劃分邏輯鏈路每條E1鏈路帶寬固定為2M大于2M需要部署多條E1線纜分支帶寬升級需要增加物理線路技術較復雜VPN作為WAN鏈路企業(yè)分支合作伙伴SOHO辦公企業(yè)總部員工出差WAN備份備份方式描述優(yōu)點缺點應用場景雙線備份使用兩條專線對分支進行備份線路相對穩(wěn)定，可實現(xiàn)負載分擔價格昂貴用于連接重要的分支撥號備份利用ISDN或無線3G網(wǎng)絡撥號與公司總部建立臨時鏈路可實現(xiàn)按需撥號，價格便宜線路穩(wěn)定性差適合數(shù)據(jù)量不大的分支臨時使用VPN備份利用Internet與公司總部建立VPN隧道可實現(xiàn)按需撥號，也可以實現(xiàn)負載分擔線路穩(wěn)定性相對差適合有Internet接入的分支更多的情況是：企業(yè)租用一條專線作為主鏈路，采用撥號或VPN的方式進行備份。目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃常見網(wǎng)絡設備常見的網(wǎng)絡設備有路由器、交換機、HUB、防火墻等這里的設備選型不是指選擇具體的設備型號，而是指選擇設備的類型，如：路由器，L2交換機，L3交換機等路由器交換機HUB防火墻網(wǎng)絡設備對比設備描述價格應用場景路由器三層設備，采用CPU架構，基于路由查表轉發(fā)；支持豐富的接口類型高廣域網(wǎng)、局域網(wǎng)邊緣三層交換機二、三層設備，對于二層流量采用基于MAC表的轉發(fā)，對于三層流量“一次查表（路由表），多次轉發(fā)”；僅支持以太網(wǎng)中局域網(wǎng)匯聚層、核心層二層交換機二層設備，基于MAC表轉發(fā)；僅支持以太網(wǎng)低局域網(wǎng)接入層HUB一層設備，整個設備是一個沖突域低幾乎退出市場防火墻四層設備，基于會話表的轉發(fā)；可工作在二層或三層模式；一般僅支持以太網(wǎng)高網(wǎng)絡邊緣、網(wǎng)絡區(qū)域邊緣網(wǎng)絡設備形態(tài)設備描述應用場景舉例盒式設備設備接口類型、數(shù)量固定，一般外形較?。挥脩艨筛鶕?jù)實際需求選擇不同型號的設備一般網(wǎng)絡接入層小型網(wǎng)絡核心/匯聚層華為S3700系列交換機框式設備設備由機框和可選模塊組成，一般外形較大；用戶可根據(jù)實際需求靈活選擇模塊（接口類型、接口數(shù)量、支持功能由差異）一般網(wǎng)絡核心/匯聚層華為S7700系列交換機華為S3700系列交換機華為S7700系列交換機目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃IP地址規(guī)劃原則IP地址規(guī)劃唯一性連續(xù)性實意性擴展性對IP地址賦予一定的含義便于記憶和管理全網(wǎng)不能出現(xiàn)相同的IP地址不同VPN也不重疊連續(xù)的地址便于路由聚合也便于管理每一層次都要留有余量便于擴展幾類重要的地址規(guī)劃建議管理地址互聯(lián)地址業(yè)務地址使用32位掩碼越重要的設備，地址越小末位是奇數(shù)表示路由器，末尾是偶數(shù)表示交換機使用30位掩碼核心設備使用較小的地址使用連續(xù)的可聚合的地址預留足夠的地址網(wǎng)關統(tǒng)一使用相同的末尾數(shù)字即使不同的VPN也使用不同的地址段典型IP地址規(guī)劃建議公網(wǎng)地址與私網(wǎng)地址公網(wǎng)地址是越來越稀缺的資源可用的IPv4地址已經(jīng)分配完畢企業(yè)需要對管理機構支付費用才能使用公網(wǎng)地址私網(wǎng)地址在企業(yè)內部可以任意使用公網(wǎng)地址私網(wǎng)地址采用NATServer對外提供服務采用NATOutbound從內網(wǎng)訪問Internet設備命名對設備命名是為了方便網(wǎng)絡管理設備的命名包括以下幾個方面對設備進行命名（sysname）對邏輯接口、VLAN、ACL等的編號對接口、VLAN、ACL等進行描述（description）對設備進行命名對設備的命名并不影響設備的正常運行但企業(yè)應采用統(tǒng)一的規(guī)范對設備進行命名，以便于管理A-B-C-D-E，例如：HQ-CS-HW-S7706-1A：設備所在的地理位置，如HQ表示企業(yè)總部B：設備所在的網(wǎng)絡邏輯位置，如CS表示核心交換機C：設備的廠商，如HW表示華為D：設備的型號，如S7706E：設備編號，如1,2等對邏輯配置編號配置建議舉例以太網(wǎng)子接口子接口編號與VLANID一致使用描述Ethernet0/0/1.10綁定VLANID10MP接口前兩位固定為槽位和子卡號最后一位兩端設備一致使用描述N/AVLAN編號提前規(guī)劃，分段使用使用描述VLAN10~100用于網(wǎng)絡互連VLAN101~200用于生產(chǎn)業(yè)務ACL編號使用ACLname提前規(guī)劃，分段使用使用描述3000~3100用于路由策略3101~3200用于包過濾對配置添加描述配置建議舉例接口描述連接到對端的設備名及端口編號接口連接到公司總部的核心交換機1的GE1/0/1口：To_HQ-CS-HW-S7706-1_GE1/0/1VLAN編號描述該VLAN下的業(yè)務VLAN下接市場部辦公業(yè)務：MKT-OAVLANif用于設備三層互連（描述本地接口后對端設備接口）：GE0/0/1_to_HQ-CS-HW-S7706-1_GE1/0/1ACL編號描述該ACL的用途ACL用于路由策略”rp1”:For_RP_rp1目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃路由協(xié)議對比路由協(xié)議算法思想收斂速度部署難易應用場景直連路由由鏈路層協(xié)議產(chǎn)生N/AN/A默認靜態(tài)路由由管理員手工配置N/A容易小型網(wǎng)絡(<3臺路由器)作為動態(tài)路由協(xié)議的補充RIP距離矢量算法根據(jù)跳數(shù)度量路由開銷慢一般小型網(wǎng)絡(<16路由器)OSPF鏈路狀態(tài)算法根據(jù)帶寬度量路由開銷快一般大中型網(wǎng)絡(數(shù)百臺路由器)ISIS鏈路狀態(tài)算法根據(jù)帶寬、延遲等多種參數(shù)度量路由開銷快一般大中型網(wǎng)絡(數(shù)百臺路由器)BGP路徑向量算法根據(jù)多種路由屬性度量快一般超大型網(wǎng)絡(>1000臺路由器）BGPMPLS

VPN靜態(tài)路由規(guī)劃靜態(tài)路由是企業(yè)組網(wǎng)不可或缺的路由方式靜態(tài)缺省路由多用于企業(yè)網(wǎng)絡出口用于不支持動態(tài)路由協(xié)議的設備用于不同網(wǎng)絡的簡單互聯(lián)靜態(tài)缺省路由合作企業(yè)二層交換機特定網(wǎng)段靜態(tài)路由特定網(wǎng)段靜態(tài)路由靜態(tài)缺省路由用于網(wǎng)管OSPFvsISIS相同點OSPF和ISIS都是基于鏈路狀態(tài)算法的協(xié)議OSPF和ISIS都能快速收斂OSPF和ISIS都是能夠適應大規(guī)模網(wǎng)絡的部署差異兩者對區(qū)域邊界的定義不同兩者對路徑開銷的度量不同企業(yè)網(wǎng)絡工程師往往更熟悉OSPF結論OSPF和ISIS都是同樣優(yōu)秀的IGP協(xié)議從部署和維護考慮，推薦使用OSPFBGP協(xié)議規(guī)劃概要企業(yè)什么時候建議采用BGP？網(wǎng)絡過于龐大，IGP無法勝任網(wǎng)絡中需要大量復雜的路由策略進行分流和過濾網(wǎng)絡需要部署MPLSVPN哪些設備適合部署B(yǎng)GP？BGP協(xié)議不生成路由，而是管理和發(fā)布路由BGP協(xié)議本身并不消耗大量設備資源只要規(guī)劃得當，任何設備都可以運行BGP目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃路由策略規(guī)劃案例路由策略對路由計算產(chǎn)生影響，從而改變路由表常見的路由策略是過濾部分路由不發(fā)布，調整路由的選擇參考不同的協(xié)議有不同的路由策略工具必須從全局考慮路由策略企業(yè)分支企業(yè)總部Link1Link2需求：因為Link1線路穩(wěn)定，分支到總部所有流量優(yōu)選經(jīng)過Link1到總部，只有當Link1故障時，流量才經(jīng)由Link2。R1R2R3策略路由規(guī)劃案例策略路由直接作用于設備轉發(fā)平面，但不影響正常的路由表常見的策略路由是改變數(shù)據(jù)轉發(fā)的下一跳根據(jù)不同的源地址根據(jù)其他條件企業(yè)分支企業(yè)總部Link1Link2需求：企業(yè)分支所有HTTP流量從經(jīng)過Link1到總部，其他流量通過Link2到總部；如果鏈路故障，可互為備份。R1R2R3路由引入策略路由引入要點引入路由時應添加路由策略控制，避免引入所有路由缺省路由無法引入，需要用特殊的方式發(fā)布不同動態(tài)路由協(xié)議相互引入，可能形成環(huán)路（雙點雙向引入）OSPFISIS缺省路由的使用缺省路由在網(wǎng)絡中扮演的重要的角色在網(wǎng)絡出口配置靜態(tài)缺省路由通過動態(tài)路由協(xié)議向內網(wǎng)發(fā)布不建議在內網(wǎng)配置靜態(tài)缺省路由（二層設備除外）靜態(tài)缺省路由指向Internet二層交換機靜態(tài)缺省路由指向上級三層設備用于網(wǎng)管向內網(wǎng)發(fā)布缺省路由目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃企業(yè)網(wǎng)絡與Internet幾乎所有的企業(yè)網(wǎng)絡都與Internet相連企業(yè)網(wǎng)用戶有訪問Internet的需求企業(yè)對外提供Internet服務(Web,Email等)企業(yè)分支利用Internet建立VPN與總部互聯(lián)企業(yè)分支企業(yè)總部VPN向內網(wǎng)發(fā)布缺省路由Internet出口設備企業(yè)Internet出口設備應該支持如下功能地址轉換（NAT）與地址轉換服務器（NAT-Server）路由功能（與ISP對接）安全功能（攻擊防御，VPN等）企業(yè)分支企業(yè)總部VPNInternet出口備份企業(yè)出口企業(yè)出口企業(yè)出口企業(yè)出口ISPAISPAISPAISPAISPBISPB1234多Internet出口多Internet出口需要考慮如下問題：內網(wǎng)用戶的上網(wǎng)的流量從哪個接口出去？外網(wǎng)用戶訪問內部服務器從哪個接口進來？企業(yè)出口ISPAISPB目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃QoS需求分析QoS的設計必須從應用需求出發(fā)，根據(jù)不同的應用需求，部署不同的QoS策略企業(yè)的應用千差萬別，但應用的數(shù)據(jù)類型可大致歸類如下：語音視頻數(shù)據(jù)網(wǎng)絡控制信息其他QoS的部署WAN在網(wǎng)絡邊緣對數(shù)據(jù)類型進行識別和標記在局域網(wǎng)內發(fā)生擁塞的情況較少，QoS策略可以較粗園區(qū)網(wǎng)廣域網(wǎng)帶寬小，價格貴，在應用部署時就應該慎重在進行QoS設計時，應充分考慮業(yè)務的優(yōu)先級WAN接口速率與WAN鏈路的實際帶寬可能不一致目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃網(wǎng)絡安全威脅網(wǎng)絡安全威脅線纜連接撥號進入冒名頂替?zhèn)陕犖锢硗{偷竊廢物搜尋間諜行為身份識別錯誤身份鑒別算法考慮不周隨意口令口令破解口令圈套編程病毒特洛依木馬更新或下載代碼炸彈系統(tǒng)漏洞不安全服務配置初始化乘虛而入安全能力根據(jù)以前掌握的系統(tǒng)的脆弱性和了解當前的犯罪趨勢，預測未來可能受到的攻擊和危害。采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和責任性檢查系統(tǒng)可能存在的脆弱性對危及安全的事件、行為、過程及時作出響應處理，杜絕危害的進一步蔓延擴大，力求系統(tǒng)尚能提供正常服務形成取證能力和打擊手段系統(tǒng)遭到破壞，盡快恢復系統(tǒng)功能，盡早提供正常的服務如何把握安全平衡點安全易用成本

●廠商成本

●用戶成本

●安全事故成本研發(fā)成本、產(chǎn)品開發(fā)周期都會增加前期投入和后期維護成本會增加，包括安全產(chǎn)品的投入維護（防火墻、ＶＰＮ、雙因素認證等）、業(yè)務軟件產(chǎn)品的開發(fā)維護（廠商成本轉嫁到用戶成本上）由于安全性得到增強，安全事故成本會減少，給用戶及我們（廠商）造成的經(jīng)濟、信譽損失會減少

●性能產(chǎn)品在安全上考慮的越多，那么就很可能導致其性能的下降

●用戶成本安全上考慮的越多，那么其安裝維護的復雜度會增加、操作使用的便利性會減少；例如以前用戶只需輸入簡單的口令，但現(xiàn)在要輸入復雜的口令

●可靠性產(chǎn)品在安全上考慮的越多，那么其可靠性往往會得到增加，一方面是減少了各類黑客攻擊，二是產(chǎn)品自身的可靠性保障會得到更多的考慮接入安全：終端安全接入控制（NAC）用戶隔離端口隔離網(wǎng)絡監(jiān)管：ACL流量控制DHCP服務器欺詐攻擊防范ARP欺騙攻擊防范IP地址欺騙攻擊防范ARP限速功能DHCP限速功能MAC地址表容量攻擊防護能力遠程安全：遠程接入控制IPSec/SSLVPN邊界防御：防火墻、IDS/IPS層次化端到端的園區(qū)網(wǎng)絡安全Page75核心層匯聚層接入層部門B部門A其他區(qū)域園區(qū)出口目錄企業(yè)網(wǎng)絡設計概述用戶需求分析拓撲設計局域網(wǎng)設計廣域網(wǎng)設計網(wǎng)絡設備選型IP地址規(guī)劃與設備命名路由設計策略路由與路由策略連接到InternetQoS設計網(wǎng)絡安全部署網(wǎng)絡管理規(guī)劃常用網(wǎng)絡管理方式方式描述應用CLI通過命令行對單臺設備進行管理缺乏對全網(wǎng)的管理管理員需要熟悉命令行CLI方式很高效，但不容易上手設備初次配置進行復雜的配置解決復雜的問題WEB通過WEB頁面對單臺設備進行管理缺乏對全網(wǎng)的管理WEB方式上手容易，適合處理簡單、重復的配置觀察設備狀態(tài)進行簡單的配置SNMP通過SNMP協(xié)對全網(wǎng)設備進行管理對全網(wǎng)設備、鏈路甚至業(yè)務進行管理圖形化界面，易學易用仍然不能解決一些復雜問題對全網(wǎng)設備、鏈路和業(yè)務進行管理結合CLI和WEB使用實際的網(wǎng)絡管理中會綜合采用多種方法。安全的網(wǎng)絡管理網(wǎng)絡管理的流量包含關鍵信息，對網(wǎng)絡來說至關重要傳統(tǒng)的網(wǎng)管協(xié)議缺乏安全機制TelnetHTTPSNMPv1/v2建議使用安全的網(wǎng)管協(xié)議SSHHTTPSSNMPv3NMS規(guī)劃確定被管理設備分級部署？帶內/帶外？服務器位置管理IPSNMP規(guī)劃NMS功能并非所有設備都需要被管理被管理設備必須支持SNMP協(xié)議被管理設備的數(shù)量與NMS服務器性能和License授權相關

僅當網(wǎng)絡規(guī)模過于龐大才考慮分級網(wǎng)管企業(yè)網(wǎng)一般采用帶內網(wǎng)管NMS服務器一般部署在服務器區(qū)或專屬的網(wǎng)管區(qū)網(wǎng)絡安全策略應允許SNMP協(xié)議通信三層設備采用Loopback地址，二層設備采用管理VLANIP關鍵參數(shù)：版本、團體字、Trap推薦使用V2C或V3，讀寫團體字分別設置，使用Loopback地址作為源地址發(fā)送Trap，使用ACL增加安全性

網(wǎng)管軟件功能多樣化，除基本的網(wǎng)管功能還具備多種增值功能NMS的功能網(wǎng)絡管理設備管理業(yè)務管理支持標準的SNMP協(xié)議支持標準MIB庫自動繪制拓撲支持日志分析輸出運維報表支持網(wǎng)絡業(yè)務管理VPN業(yè)務WLAN業(yè)務SLA管理支持主流廠商識別基本的設備類型監(jiān)控設備狀態(tài)能夠打開設備（虛擬）面板目錄企業(yè)網(wǎng)絡設計原則企業(yè)網(wǎng)絡設計概述選擇合適的產(chǎn)品如何選擇產(chǎn)品ARG3系列路由器介紹Sx7系列交換機介紹其他產(chǎn)品介紹企業(yè)網(wǎng)絡設計案例分析如何選擇產(chǎn)品？價格服務技術廠商具備技術實力產(chǎn)品滿足各項技術指標支持通用標準與主流產(chǎn)品兼容產(chǎn)品總體價格合理廠商能夠提供專業(yè)技術服務選購設備時應綜合考慮技術、價格、服務等多方面因素，選擇最合適的產(chǎn)品。設備選購目錄企業(yè)網(wǎng)絡設計原則企業(yè)網(wǎng)絡設計概述選擇合適的產(chǎn)品如何選擇產(chǎn)品ARG3系列路由器介紹Sx7系列交換機介紹其他產(chǎn)品介紹企業(yè)網(wǎng)絡設計案例分析華為VRP平臺Real-timeOSHardware-relatedEngineerInterfaceSystemServiceTransportProtocolsLayerNetworkForwardingEngine(unicastforwarding,multicastforwarding,MPLSexchange)RoutingPolicyManagementUnicastProtocolsMulticastProtocolsFileServiceWebServiceRemoteTerminalVPNTunnelConfigurationManagementVoice/VideoOtherService…CLISNMPWebMgmtFastForwardingSecurityandFWQoSMPLSVRPinsideVRP（VersatileRoutingPlatform）華為ARG3系列路由器AR2220AR3200seriesAR2200seriesAR1200seriesVRPinsideAR2240AR3260AR1220AR1220VAR1220W/1220VWAR150&200seriesAR151AR157AR201AR206AR207AR207VAR207V-PAR208ESOHObranch(3to10users)Small-sizedbranch(10to50users)Medium-sizedbranch(50to150users)Headquarters(150to500users)ARG3路由器產(chǎn)品定位部署位置企業(yè)網(wǎng)內部網(wǎng)絡與外部網(wǎng)絡的連接處綜合接入數(shù)據(jù)：支持FE/GE/EPON/GPON/三種3G制式語音：支持FXS，本地電話交換（IP-PBX）

交換：FE/GE交換卡/MSTP/VLAN/靜態(tài)端口聚合MPLSVPN安全業(yè)務企業(yè)級防火墻綜合VPN接入：IPSec/GRE/MPLS第三代AR，引領多業(yè)務時代雙模網(wǎng)絡，靈活接入多業(yè)務合一，融合開放第三代架構，領先性能光纖與3G無縫融合，互聯(lián)更便捷PON接入，極速寬帶體驗24端口千兆以太板卡，路由交換一體化進入高密GE時代多核處理器，性能是業(yè)界兩倍160G交換容量，業(yè)務無阻塞運轉首款雙主控接入路由器，可靠永續(xù)。一體化辦公，支持統(tǒng)一通信/彩信網(wǎng)關/企業(yè)總機/防病毒OSP開放業(yè)務平臺，打造IT沃爾瑪超市統(tǒng)一的VRP軟件平臺，成熟穩(wěn)定213x2性能（KPPS）業(yè)界水平華為ARG3ARG3IP承載網(wǎng)防火墻語音PBXVPN網(wǎng)關無線AP交換機All-in-OneBoxAR2200系列產(chǎn)品外觀3GE(1GECombo)AR2220主機前視圖3GE(2GECombo)AR2240主機前視圖2個WSIC接口卡插槽4個SIC接口卡插槽AR2220主機后視圖4個SIC接口插槽2個XSIC接口插槽2個WSIC接口插槽AR2240主機后視圖AR2200系列產(chǎn)品規(guī)格規(guī)格AR2220AR2240轉發(fā)性能1Mpps/500Mbps(64byte)2Mpps/1333Mbps(64byte)帶業(yè)務轉發(fā)性能在100用戶NAT下，100條ACL，100QOS隊列(CBWFQ)，64BYTE報文0丟包）>75Mbps在200用戶NAT下，200條ACL，200QOS隊列(CBWFQ)，64BYTE報文0丟包）>150Mbps整機交換容量32Gbps80GbpsSIC槽位44WSIC槽位22XSIC槽位02自帶路由口3GE(1COMBO)3GE(2COMBO)DSP槽位13內存2G2GFLASH16M16MSD卡(缺省/最大)2G/4G2G/4GUSB口22外型尺寸（mm）(WxDxH)442mmx420mmx44.5mm442mmx470mmx88.2mmAR3200系列產(chǎn)品外觀SRU80高性能主控板，V2R3暫不支持雙主控AR3260主機前視圖AR3260主機后視圖固定4個SIC接口插槽2個WSIC接口插槽4個XSIC接口插槽AR3200系列產(chǎn)品規(guī)格規(guī)格AR3260轉發(fā)性能4Mpps（SRU80高性能主控板）/1800Mbps(64byte)帶業(yè)務轉發(fā)性能在500用戶NAT下，500條ACL，500QOS隊列(CBWFQ)，64BYTE報文0丟包）>1000Mbps整機交換容量160GbpsSIC槽位4WSIC槽位2XSIC槽位4自帶路由口3GE(2COMBO)DSP槽位3內存2GFLASH16MSD卡（缺省/最大）2G/4GUSB口2外型尺寸（mm）(WxDxH)442mmx470mmx130.5mmSRU40/SRU60/SRU80主控板SRU40/SRU60/SRU80SRU規(guī)格：當配置1塊SRU時，可以插在：AR2240機箱的槽位11AR3260機箱的槽位15單板名稱性能功能SRU40CPU采用600MHZ主頻，共有8個內核不支持TM（TrafficManagement，流量管理）功能SRU60CPU采用600MHZ主頻，共有8個內核不支持TM（TrafficManagement，流量管理）功能SRU80CPU采用750MHZ主頻，共有12個內核支持TM功能ARG3支持的板卡種類ARG3支持4種接口卡：SIC接口卡WSIC接口卡XSIC接口卡EXSIC接口卡2個SIC接口卡槽位可通過靈活拆分滑道拆除后可以變成1個雙寬的WSIC接口卡槽位2個WSIC接口卡槽位可通過靈活拆分滑道拆除后可以變成1個雙高的XSIC接口卡槽位每槽位交換容量:SIC和WSIC插槽2Gbps；XSIC和EXSIC插槽20GbpsSIC接口卡WSIC接口卡XSIC接口卡SIC接口卡WSIC接口卡ARG3板卡組合方式基于標準化設計，各種業(yè)務板卡靈活組合，充分利用槽位資源，保護投資。SIC:SmartInterfacecard，靈活接口卡WSIC:Double-WidthSIC，雙寬SIC卡XSIC:Double-HeightWSIC，雙高WSIC卡EXSIC:Double-WidthXSIC，雙寬XSIC卡2個SIC接口卡槽位可通過靈活拆分滑道拆除后可以變成1個雙寬的WSIC接口卡槽位2個XSIC接口卡槽位可通過靈活拆分滑道拆除后可以變成1個雙寬的EXSIC接口卡槽位2個WSIC接口卡槽位可以合并為1個雙高的XSIC接口卡槽位。ARG3WAN接口模塊（1）1/2端口通道化E1/T1/PRI/VE1多功能接口模塊完成E1的數(shù)據(jù)流的收發(fā)及處理，也可以配置為VE1完成語音、數(shù)據(jù)、傳真信號的處理1E1/T1-M2E1/T1-ME1SIC接口卡：2FE2端口10M/100M電口以太網(wǎng)WAN接口模塊1E1-F2E1-F1/2端口非通道化E1/T1多功能接口模塊以太SIC接口卡：1GEC1端口GECombo以太網(wǎng)WAN接口;同異步SIC接口卡：1SA1端口增強型同/異步串口接口模塊支持的協(xié)議包括：V.24、V.35、X.21、RS449、RS530ARG3WAN接口模塊（2）1端口ADSLoverPOTS接口模塊，支持ANNEXA/M1ADSL-A/M1ADSL-B/MADSL2+SIC接口卡：1PON4G.SHDSL1端口4線對G.SHDSL接口模塊PONSIC接口卡：1端口GPON/EPON雙模接口模塊4G.SHDSLSIC接口卡：1端口ADSLoverISDN接口模塊，支持ANNEXBCPOSSIC接口卡：1CPOS1端口155MCPOS接口模塊ARG3以太交換接口模塊以太交換WSIC接口卡：8FE/1GE8端口百兆(RJ45)+1端口千兆(RJ45)-L2/L3以太網(wǎng)電接口模塊。支持二層/三層數(shù)據(jù)線速傳輸，每個端口能實現(xiàn)自適應，有全雙工和半雙工兩種工作方式。以太交換XSIC接口卡：24GE24端口千兆(RJ45)-L2/L3以太網(wǎng)電接口卡。支持二層/三層數(shù)據(jù)傳輸，每個端口能實現(xiàn)自適應，有全雙工和半雙工兩種工作方式。AR2201-48FE&AR2202-48FEAR2201-48FE和AR2202-48FE自帶48個FE

LAN口自帶2個GEWAN口（其中一個是Combo口）AR2202-48FE還自帶一個SA口和一個E1-F口AR2201-48FE&AR2202-48FE正面AR2201-48FE背面AR2202-48FE背面ARG3語音接口模塊模擬語音SIC接口卡：4路FXS和1路FXO接口的接入模塊，實現(xiàn)語音信號在數(shù)據(jù)通信網(wǎng)絡上的傳輸。4FXS1FXOISDNS/T語音SIC接口卡：1BST2BST1端口ISDN數(shù)據(jù)接入模塊，實現(xiàn)ISDN數(shù)據(jù)流的收發(fā)及處理2端口ISDN語音接入模塊，實現(xiàn)ISDN語音信號在數(shù)據(jù)通信網(wǎng)絡上的接入、壓縮和解壓縮。

ARG3路由器：以太電口以太電口接口形式：RJ45線纜：UTP/STP速率：10M/100M/1G鏈路協(xié)議：以太網(wǎng)典型板卡：8FE1GE24GE2FEARG3路由器：以太光口以太光口接口形式：LC/PC線纜：單模/多模速率：100M/1G鏈路協(xié)議：以太網(wǎng)典型板卡：主控板1GEC單模光纖多模光纖LC/PC頭SFP光接口模塊ARG3路由器：E1/T1接口E1/T1接口接口形式：DB9線纜：中繼電纜速率：2.048M/1.544M鏈路協(xié)議：PPP/HDLC典型板卡：1E1T1-M2E1T1-ME175歐姆非平衡同軸電纜E1120歐姆和T1100歐姆平衡雙絞線電纜ARG3路由器：xDSL接口xDSL接口接口形式：RJ11/RJ45(4G.SHDSL)線纜：普通電話線速率：5.696M/8M/12M/24M鏈路協(xié)議：模擬調制解調典型板卡：ADSL-A/MADSL-B4G.SHDSL4G.SHDSL電纜ARG3路由器：同異步串口同異步串口接口形式：DB28線纜：DCE/DTE速率：64k~2.048M鏈路協(xié)議：Protocal/Flow典型板卡：1SAV.35DTE電纜V.35DCE電纜企業(yè)寬帶接入路由器場景作為企業(yè)出口路由器，廣域網(wǎng)接入E1、以太網(wǎng)、xDSL、3G、WLAN等多種接入需求IEEE802.3af和802.3at標準的PoE功能ADSL2+/G.SHDSL/Ethernet廣域網(wǎng)企業(yè)總部AR3200AR1200AR1200AR12003G專線WLANPoEAR1200企業(yè)分支接入路由交換一體化AR2200/3200系列提供8FE1GE以及24GE以太接口卡，能實現(xiàn)跨板卡的VLAN交換/鏡像/生成樹/鏈路捆綁，以及二三層數(shù)據(jù)交換。企業(yè)分支1AR2202-48FE企業(yè)分支2AR3200廣域網(wǎng)24GE高密以太接口卡FEFEGEGE部門局域網(wǎng)接入服務器文件服務器企業(yè)總部AR3200部門局域網(wǎng)部門局域網(wǎng)接入服務器文件服務器部門局域網(wǎng)企業(yè)VoIP內置PBX，提供企業(yè)總機、IVR語言導航、話單查詢等語音通信業(yè)務支持智能路由撥號功能，使用PSTN作為呼叫備份鏈路。內置本地SIP服務器，保證企業(yè)語音業(yè)務的可靠性。AR1200企業(yè)總部AR3200（PBX&SIP服務器）廣域網(wǎng)PSTN中型分支AR2200遠程小分支本地SIP服務器企業(yè)VPN網(wǎng)關場景提供GREVPN、IPSECVPN安全隧道，實現(xiàn)數(shù)據(jù)的安全訪問與傳輸，支持分支機構側隧道的快速部署，隧道認證等功能。可作為MPLS網(wǎng)絡的PE設備被部署在各分支機構，不同業(yè)務之間通過MPLSL3VPN隔離，實現(xiàn)企業(yè)業(yè)務的虛擬化運營。大型分支總部AR2200（PE）AR1200通過MPLS網(wǎng)絡構建VPN遠程分支通過Internet網(wǎng)絡構建VPN大中型分支AR2200（PE）AR3200（PE）MPLSVPNAR2200（PE）LL/FR/X25外部VPN企業(yè)分支AR3200AR2200GREVPN合作伙伴企業(yè)總部IPSECVPNAR22003G無線接入場景支持CDMA2000EV-DO、WCDMA、TD-SCDMA的全系列3G標準采用3GUSB數(shù)據(jù)卡接入方式，不占用設備的業(yè)務槽位3G數(shù)據(jù)鏈路可以作為有線鏈路的備份鏈路，對上行鏈路提供保護NQA技術還可以實時監(jiān)控3G鏈路質量，有效保證用戶的SLA企業(yè)分支2企業(yè)分支1總部AR1200AR1200AR3200有線鏈路NQAInternet運營商網(wǎng)絡目錄企業(yè)網(wǎng)絡設計原則企業(yè)網(wǎng)絡設計概述選擇合適的產(chǎn)品如何選擇產(chǎn)品ARG3系列路由器介紹Sx7系列交換機介紹其他產(chǎn)品介紹企業(yè)網(wǎng)絡設計案例分析華為Sx7系列交換機VRPinsideS5700LI/SI/EI/HIS5700S6700S9300S5700LI/SI/EI/HIS6700S7700S9300S1700S2700SI/EIS3700LI/SI/EI/HIS5700LI/SI/EI/HIDCCampusAGG&CoreCampusAccessS9700S9700S3700系列S3700-28TP-EI-24S-ACS3700-28TP-PWR-EI交流電源模塊風扇模塊電源模塊插槽10/100BASE-FX,24FE2*GESFP1U

Console口2*GE混合口交流電源S3700系列22個10/100Base-TX，2個千兆Combo口（10/100/1000Base-T或100/1000Base-X），上行接口卡可選2端口千兆光口卡雙電源，可插拔，可選直流或者交流供電包轉發(fā)率：9.3Mpps交換容量：64G24個10/100Base-TX，2個1000Base-XSFP，2個千兆Combo口（10/100/1000Base-T或100/1000Base-X）分交流供電和直流供電兩種機型包轉發(fā)率：9.6Mpps交換容量：64G 24個10/100Base-TX，2個1000Base-XSFP，2個千兆Combo口（10/100/1000Base-T或100/1000Base-X）交流供電包轉發(fā)率：9.6Mpps交換容量：64GS3700系列24個10/100Base-TX，2個1000Base-XSFP，2個千兆Combo口（10/100/1000Base-T或100/1000Base-X）交流供電支持POE+包轉發(fā)率：9.6Mpps交換容量：64G24個100Base-FXSFP，2個1000Base-XSFP，2個千兆Combo口（10/100/1000Base-T或100/1000Base-X）交流供電包轉發(fā)率：9.6Mpps交換容量：64G48個10/100Base-TX，2個100/1000Base-XSFP，2個1000Base-XSFP分交流供電和直流供電兩種機型，其中SI無直流機型包轉發(fā)率：13.2Mpps交換容量：64GS3700系列48個10/100Base-TX，2個100/1000Base-XSFP，2個1000Base-XSFP分交流供電和直流供電兩種機型，其中SI無直流機型包轉發(fā)率：13.2Mpps交換容量：64G48個10/100Base-TX，2個100/1000Base-XSFP，2個1000Base-XSFP交流供電支持POE+包轉發(fā)率：13.2Mpps交換容量：64G48個100Base-FXSFP，2個100/1000Base-XSFP，2個1000Base-XSFP分交流供電和直流供電兩種機型包轉發(fā)率：13.2Mpps交換容量：64GS5700系列S5700-24TP-SI-ACS5700-48TP-PWR-SI交流電源模塊風扇模塊電源模塊插槽S5700系列20個10/100/1000Base-T，4個100/1000Base-X千兆Combo口提供交流供電和直流供電兩種機型，支持RPS12V冗余電源支持USB口包轉發(fā)率：36Mpps交換容量：256G20個10/100/1000Base-T，4個100/1000Base-X千兆Combo口可插拔雙電源，交流供電支持POE+支持USB口包轉發(fā)率：36Mpps交換容量：256G 44個10/100/1000Base-T，4個100/1000Base-X千兆Combo口分交流供電和直流供電兩種機型，支持RPS12V冗余電源支持USB口包轉發(fā)率：72Mpps交換容量：256GS5700系列44個10/100/1000Base-T，4個100/1000Base-X千兆Combo口交流供電支持POE+支持USB口包轉發(fā)率：72Mpps交換容量：256G20個10/100/1000Base-T，4個100/1000Base-X千兆Combo口，上行支持4個1000Base-XSFP、2個10GESFP+、4個10GESFP+插卡雙電源，可插拔支持USB口包轉發(fā)率：96Mpps交換容量：256G24個10/100/1000Base-T，上行支持4個1000Base-XSFP、2個10GESFP+、4個10GESFP+插卡雙電源，可插拔包轉發(fā)率：96Mpps交換容量：256GS5700系列20個100/1000Base-X，4個10/100/1000Base-T千兆Combo口，上行支持4個1000Base-XSFP、2個10GESFP+、4個10GESFP+插卡雙電源，可插拔包轉發(fā)率：96Mpps交換容量：256G24個10/100/1000Base-T，上行支持4個1000Base-XSFP、2個10GESFP+、4個10GESFP+插卡可插拔雙電源，交流供電支持POE+包轉發(fā)率：96Mpps交換容量：256G48個10/100/1000Base-T，上行支持4個1000Base-XSFP、2個10GESFP+、4個10GESFP+插卡雙電源，可插拔支持USB口包轉發(fā)率：132Mpps交換容量：256GS3700系列支持的插卡插卡分類簡稱支持設備形態(tài)前插卡G2S-2端口GESFP光接口前插卡S3700-26C-HIS5700系列支持的插卡E4GF/E4GFA－4端口GE光接口X4SA－4端口GESFP/10GSFP+光接口E2XX－2端口10GEXFP光接口E2XY－2端口10GESFP+光接口E4XY－4端口10GESFP+光接口目錄企業(yè)網(wǎng)絡設計原則企業(yè)網(wǎng)絡設計概述選擇合適的產(chǎn)品如何選擇產(chǎn)品ARG3系列路由器介紹Sx7系列交換機介紹其他產(chǎn)品介紹企業(yè)網(wǎng)絡設計案例分析華為NE系列路由器VRPinside400GPlatformMulti-ChassisCluster100G-400GPlatformNE40E-X3NE40E-X8NE40E-X161G-2.5GPlatformNE20E-X6NE5000E-X16NE5000ESeriesNE40ESeriesNE20ESeriesNE5000E-X16Multi-chassis華為CE系列數(shù)據(jù)中心交換機VRPinsideCE6850-48S4Q-EICore/

AggregationLayerAccess

Layer

(ToR)CE6850-48T4Q-EICE12804CE12808CE12812CE5850-48T4S2Q-EIWLAN無線接入控制器WLAN802.11n無線接入點華為WLAN產(chǎn)品AP6010SN-GN

(I室內單頻AP)AP6010DN-AGN

(I室內雙頻AP)AP7110DN-AGN(室內

3x3MIMO

雙頻AP,

450Mbit/s

×2)AP6310SN