网络安全文档

1、云计算数据中心整体网络架构规划设计网络的整体设计不仅关系到整个网络系统的性能， 还涉及到未来 网络系统如何有效地与新技术接轨以及系统的平滑升级等问题。本系统立足于满足数据的接入、转发、存储等需求，同时选择适合的有发 展前途的网络技术，充分满足未来五年业务的需求。与计算数据中心网络总体设计设计思路网络的建网思路需要做一个整体规划，应考虑如下几个方面：采用新一代、主流网络技术来设计云计算中心网络， 新一代网络 技术往往能提供更高的性能，而且有更长的产品生命周期，便于维护。网络结构设计数据中心网络系统主要作用是接入各类应用业务资源，为中心管理平台的各项应用提供基础保障，能够更好的服务于各类用户。数据

2、中心网络结构核心层核心层主要设备是核心交换机，作为整个网络的大脑，核心交换 机的配置性能较高。目前核心交换机一般都具备双电源、双引擎，考 虑到超融合平台对于核心交换机的背板带宽及处理能力要求较高。故数据中心网络新购两台模块化核心交换机， 其具有更大的灵活性和可 扩充性，可以根据实际或者未来的需求选择不同数量、 不同速率和不 同接口类型的模块，以满足云计算数据中心日益增长的网络业务需求。汇聚层超融合平台汇聚层新购两台高性能万兆交换机， 满足超融合平台 业务流量及存储流量。管理交换考虑到与数据中心原机房利旧服务器以及超融合平台的管理业 务流量分离情况，新采购两台 24电口交换机，用于超融合平台管理

3、 和利旧服务器网络接入。办公网汇聚交换根据集团总部东南西北楼分布，数据中心需要一台办公网汇聚交 换机，用于总部办公用户接入交换机与数据中心核心交换的连接。办公网楼层交换根据现有情况，南楼需要三台接入交换机，用于本楼办公用户办 公网的接入。网管系统为了提供快速部署、快速呈现、快速定位、快速预警等一系列快 速运维服务，新购一套网管软件对集团总部网络进行全方位的监控管 理，保障业务正常运行，通过直观、易用的管理界面，提供有线无线 一体化快速运维方案，提高集团网络管理效率，有效降低集团网络运 维成本。网络详细设计VLANB 划VLAN就是虚拟局域网，随着集团业务网中用户和终端设备大规 模接入，网络广播

4、的流量呈几何级数量增多，通过 VLANK术，把一定规模的用户和终端归纳到一个广播域当中，从而限制专网的广播流 量，提高带宽利用率。每一个VLANB数据转发时，可以二层和三层方式实现数据转发 ， 二层VLANK术能将一组用户归纳到一个广播域当中，从而限制广播 流量，提高带宽利用率。三层 VLANM基于IP协议，一组用户归纳到 一个网段内，通过网关与别的组进行交换。在网络用户VLANB划方面，一般可根据设备管理网络、设备互 联网络，办公网络，以及具体的网络应用权限来划分。在具体 VLAN 规划中，应合理规划每一个VLAN实际应用业务数量。一般规划VLAN&源参考如下几个做法：VLAN1在所有设备上

5、不启用三层接口地址，不使用 VLAN便载实 际业务或者作为网管VLAN全网每台设备的网管 VLANK以使用同一个，方便设备预配置与 日常管理。我们一般建议按照每个区域进行 VLANK源的划分，超融合平台 网络使用的VLAN匀遵从所属业务的VLAN划。网络IP地址规划IP地址的合理分配是保证网络顺利运行和网络资源有效利用的 关键，要充分考虑到地址空间的合理使用， 保证实现最佳的网络地址 分配及业务流量的均匀分布。IP地址空间的分配与合理使用与网络拓扑结构、网络组织及路 由有非常密切的关系，将对网络的可用性、可靠性与有效性产生显著影响。因此在对网络IP地址进行规划建设的同时，应充分考虑本地 网对I

6、P地址的需求，以满足未来业务发展对 IP地址的需求。IP地址规划原则：唯一性：一个IP网络中不能有两个主机采用相同的IP地址；这 就需要选择一个足够大的IP地址范围，不但能够满足现有的需要， 同时能够满足未来网络的扩展。两个不同网络互联时应避免使用同一 网段IP地址，以免造成IP地址冲突。简单性：地址分配应简单易于管理，降低网络扩展的复杂性，简 化路由表项。连续性：连续地址在层次结构网络中易于进行路径叠合，大大缩减路由表，提高路由算法的效率；IP地址分配既要考虑到扩充，又 要能做到连续。可扩展性：地址分配在每一层次上都要留有余量， 在网络规模扩 展时能保证地址叠合所需的连续性。灵活性：地址分配

7、应具有灵活性，以满足多种路由策略的优化， 充分利用地址空间。路由总体规划路由分为静态路由和动态路由，根据项目实际情况进行选择。静态路由是在路由器中设置的固定的路由表。 除非网络管理员干 预，否则静态路由不会发生变化。由于静态路由不能对网络的改变作 出反应，一般用于网络规模不大、拓扑结构固定的网络中。静态路由 的优点是简单、高效、可靠。在所有的路由中，静态路由优先级最高。当动态路由与静态路由发生冲突时，以静态路由为准。动态路由是网络中的路由器之间相互通信，传递路由信息，利用收到的路由信息更新路由器表的过程。它能实时地适应网络结构的变 化。动态路由适用于网络规模大、网络拓扑复杂的网络。其中最常用

8、的动态路由是 OSPF （Open Shortest Path First开放式最短路径优先）协议。网络传输带宽要求云计算数据中心核心层交换机到业务交换机的网络采用万兆光模块互联，骨干网络带宽达到万兆，保证主干业务网络高带宽、高性 能实现数据交换高速转发。网络安全性设计网络安全性方面是保护网络系统中的软件、硬件及数据信息资源,使之免受偶然或恶意的破坏、篡改和泄露，保证网络系统的正常运行、 网络服务的不中断。网络安全性设计主要有结构安全、访问控制、安 全审计、边界完整性检查、入侵防范和网络设备防护这几方面的内容。网络管理规划网络管理主要是从网络监控管理、应急操作管理和日常维护管理 三个方面对网络

9、管理规划进行简要说明：网络监控管理网络系统监控主要是通过网管系统统一进行信息采集和事件呈 现，配合网络系统进行实施应急操作管理应急操作管理主要是通过固定的操作流程，通过对故障设备进行 主备切换、旁路等方式快速恢复网络系统的连通性。日常维护管理日常维护管理主要包括故障诊断、配置和设备操作等内容，指导 网络运维人员的日常维护管理工作。网络可靠性、可用性、可维护性、可扩展性的设计网络的可靠性设计网络的可靠性是为了保证网络数据交换过程中， 重要环节在出现 设备损坏或失败时，还能够保证正常传输。网络可靠性主要可从传输 链路可靠性、网络设备可靠性两个方面进行设计。传输链路可靠性传输链路的可靠性一般通过链路

10、聚合技术来进行保障。链路聚合 设计增加了网络的复杂性，但是提高了网络的可靠性，使关键线路上 实现了冗余功能。除此之外，链路聚合还可以实现负载均衡。网络设备可靠性网络设备的可靠性主要通过关键部件冗余备份、设备冗余备份、 传输告警抑制和快速链路故障检测来进行保障。关键部件冗余备份是指网络设备提供主控、电源等关键部件的1+1冗余备份；另外系统各单板及电源、风扇模块均具有热插拔功能。 这些设计使得设备或网络出现严重异常时，系统能够快速地恢复和作 出反应，从而提高系统的平均无故障运行时间， 尽可能地降低不可靠 因素对正常业务的影响。设备冗余备份是指通过双机虚拟化或网络冗余协议等方式实现网络设备的冗余备份。一旦出现设备不可用的情况，