石油化工企业宽带小区解决方案

石油化工企业宽带小区解决方案随着人民生活水平的不断提高，信息化的不断普及，石油化工企业的职工对于信息化的需求也越来越多，大部分石油化工企业选择了自建宽带小区的方式，提高人们的生活质量，丰富广大职工的业余文化生活。目前石油化工企业普遍采用包月收取月租的方式，但由于传统宽带小区网络在安全性以及运营能力上的问题，使得宽带小区投资回收周期很长。主要表现在：无法防止非法用户接入，一个用户可用 HUB 或者代理的方式接入大量非法用户； 不能提供按时长、按带宽、按流量等灵活计费方式满足不同用户的需求，固定费用的包月方式将大量的低上网需求的用户屏蔽在外，减少了企业的应得收入。为解决石油、石化企业宽带小区问题，华为提出了“可管理、可运营、可增值”的宽带网络解决方案。宽带小区网络建设原则：可运营性：小区宽带网络需要向大量用户提供不同类型的服务，网络应提供良好的业务管理能力，支持对宽带用户的接入管理、身份认证、带宽许可、地址管理和服务质量（QOS）,并针对不同的业务提供灵活的计费方式，确保网络的可运营特性。可管理性：网络要能够实现统一的网管，接入交换机具备远程维护能力，可实现统一的网络业务调度和管理。开放性与可增值性：组网技术选择必须符合相关国际标准及国内标准，确保网络的开放性和互连互通，同时小区宽带要建设成完整统一、组网灵活、易扩充的弹性网络平台，能够随着需求变化，充分留有扩充余地，能针对不同的用户需求提供丰富的宽带增值业务，使网络可持续赢利。安全可靠性：设计应充分考虑整个网络的稳定性，支持网络节点的备份和线路保护，提供网络安全防范措施。宽带小区网络构建体系：网络的总体构建结构设计为星型分层次结构，采用核心层、汇聚层、接入层的三层网络结构。在核心层采用一台 QuidwayS80l6故为核心交换机，S8016的核心部件的冗余设计保证网络的可靠性，下行链路采用千兆光纤链路，在各个小区中心则采用 MA5200E 做为汇聚设备，各个小区内则根据楼栋的数量和各个单元的居民的数量和布线情况采用QuidwayS3026、 2026、 2403H、 2016、 200（8 以太网）和 MA5100ADSL、3026VVDSL （提供电话线接入方式组网，对于较为老的小区较为适用）实现小区居民的接入。b油空_1_企事彘沿小屋残心醒里的如 士为 共削崛心算由0快耳，岬领0E本尊的安备盘目漆力看足/用户从详计#iiHP范谷翅的需求r即针第品虢弓科琳设兼配介，qwwA式认3,天视农时黄.京里.芾克等爷 肿才药715t.艮冲AIM . VPEl v IAN-无”等筌和隹人方式的认if中心的Internet的出口则根据业务量的大小和实际的广域网线路选择 QuidwayNE05或 QuidwayR3680E对于网络的如 DHCP、DNS、 mail、视频VOD等服务器群则建议通过千兆的方式和核心交换机 进行互联，使得用户在使用网络时能够得到及时的业务响应；对 于整个网络设备的管理则在网络中心设置一台网管工作站，安装 华为的Quidview网管软件对全网的设备进行统一的管理，而对于 网络中用户的认证、授权和计费则可以通过华为的 CAMS综合访 问管理系统完成对小区用户的认证、授权和计费。方案特点：1 .高可靠性：做为宽带小区的核心，网络核心的可靠性对于整个网络的可用性和对用户的持续使用的重要性是不言而喻的，华为 的QuidwayS8016s备本身提供主控引擎的热备份，接口单元则提 供接口和单板的热插拔、电源系统采用 4+1的备份方式从供电上 保证了设备的动力无忧这些都从设备本身提供了可靠性的保证；2 .高性能的交换能力：做为宽带小区网络的核心，为小区内用户提供线速、无阻塞的交换机能力是保障小区用户能够得到良好业务服务的保障，华为的QuidwayS801睬用业界性能最优的网络处 理器，提供128G的背板带宽，96Mpps的包转发能力，同时该设 备提供基于包的硬件转发特性使得在满配置的情况下，可以实现所有端口无阻塞的线速交换， 更加适合宽带小区中流量20/80 现象以及流量流向不规则的情况。3 .完善的安全管理机制：提供ACL 功能，对用户的访问目的地址进行限制，保护网上重要的资源不被非法攻击。对用户进行二层的隔离和三层受控互访，充分保证网络的安全。防止 IP 地址盗用。做为核心交换机，QuidwayS80l65提供了专用的NAT板，它最大支持并发会话数128k， NAT 板的数量可以按NAT 容量需求灵活配置；支持基本地址转换、网络地址端口号转换，支持普通TCP、 UDP 应用，支持FTP、 ICMP、 ALG 应用，支持如 OICQ 、RealPla泮流行的网上应用，满足网络访问Internet的安全需求。4灵活的计费方式：通过华为交换机和华为CAMS之间的配合，可以根据用户的业务级别实现业务优先级调度，实现业务的 QOS 功能。可以提供基于时段的流量统计或连接时间统计，提供灵活合理的用户计费方式，用户可在网上自主选择和更改计费方式。MA5200E是华为公司针对以太网商用化而设计的IP接入产品，该产品采用先进的网络处理技术和交换式总线技术，具有强大的硬件转发能力和灵活的协议处理能力。同时为适应运营、管理的要求， MA5200E 加强了用户管理、计费等方面的处理，使之既有以太网接入经济、成熟的特色，又有电信级的用户管理和运营能力，适用于宽带小区的网络建设。5 .不同业务的精细管理：对于不同业务的带宽需求不同，MA5200E可以对用户的业务流进行有效的流量识别和控制，同时还可以对每个端口下接入的用户数量进行控制，保证了对业务的有效区分的管理和使用网络者的控制。6 .支持多种用户认证方式：MA5200E除了提供802.1X之外，还 提供VLAN、VLAN +WEB和PPPoE多种接入方式，可以充分满 足固定用户和便携移动用户的需求。下面对VLAN、VLAN +WEB和PPPoE接入方式进行简要的介 绍。采用 PPPOE 虚拟拨号的用户接入方式： 用户需要在其客户端安装PPPOE软件，使用时从客户端（PC终端）发起PPP连接，PPP 连接通过以太网在MA5200E上进行解析后从PPP呼叫中提取相应 的用户信息 （用户名以及密码） ， 将用户信息传递给华为的 CAMS 服务器上对用户进行认证鉴权，并依据用户情况为用户动态分配合法的IP地址，实现INTERNET接入。同时CAMS服务器对用户实施计费，计费可采用时长、流量等多种计费方式，满足不同资费政策的需求。采用 PPPOE 方式解决以太网接入同样需要安装客户端软件， 会造成安装、维护难度增强的问题；同时采用 PPPOE 方式时，在客户端上IP数据会经过PPPOE、PPP层协议处理，增加了相应的协议开销，造成有效的通信流量的降低。 采用 VLAN 直接用户接入方式：采用这种接入方式时，每个用户分配一个VLAN 端口，MA5200E依据此VLAN再加上用户的IP地址以及MAC地址相捆绑，同时配合用户所需的业务制定的用户策略（用户带宽的需求、分配 IP 地址数目等）实现对用户实现用户的接入管理、带宽分配以及用户的计费等。这种接入认证方式的特点是最终用户“零客户端”，即用户终端不需进行任何操作，只要安装好网卡，插入网线即可使用；同时采用该接入方式，网络中传输的均为标准的以太网数据帧，避免了采用PPPOE方式时的网络传输效率下降等问题。采用 VLAN WEB 认证的用户接入方式：采用 VLAN 方式减少了客户端的安装、维护的工作量，同时提高了网络的传输效率，采用这种接入方式相对于 PPPOE接入方式而言，由于减少了用户名以及密码的验证过程，因此比较适合与终端相对固定的用户，如：政府机关、居民用户等，但对于流动性较多、较强的用户，VLAN 方式就显得捉襟见肘了。针对与这个问题，华为提出了 VLAN WEB 的认证方式有效地解决了用户帐号的流动问题， VLAN WEB 认证指的是通过VLAN接入的用户首先通过登录门户网站，输入用户名和密码进行身份认证后，从而获得用户访问权限的过程。当用户采用 VLAN 方式开机时， 先通过 DHCP 过程来获得IP 地址，得到IP地址后，MA5200E把用户的权限设为未认证用户，止匕时用户只能访问免费站点和门户网站。当用户想访问外部站点时，必须先访问门户网站，进行登录。用户在登录过程中，输入用户名和密码，用户信息被发送到CAMS认证服务器进行认证，认证通过后，MA5200E根据认证结果提供用户使用的权限，通知用户并开始计费。当用户结束访问时，需要在门户网站上点击注销按钮，发送注销消息。 MA5200E 根据注销消息改变用户权限，并停止计费。采用 VLAN WEB 的接入方式相对单纯的 VLAN 接入方式其主要特点：一个用户端口内， 不同用户拥有不同的权限： 采用 VLAN WEB的认证方式时，一个用户端口内（一个用户家中），不同的用户可以拥有不同的访问权限，例如：家中父母的访问权限较高，而子女的访问权限较低，避免了各类不良站点对用户侵蚀。用户的帐号可以流动，提高了服务的满意度：用户的帐号可以在同一个 WEB 服务器的管辖范围内中的任意端口进行上网， 大大方便了用户的使用。对于上述两套方案来说，同样都面临这网络的管理的问题，从整个网络的管理上来说，整个小区的管理面临着下述的问题：?设备覆盖范围扩大:宽带小区的建设使得部分设备不能放在机房，而是放在的小区中的居民楼中，使得网络的维护范围从原来的机房扩大为网络覆盖的所有小区；?设备数量多，而且分布的点多、面广，使得设备维护量急剧增加；为了解决上述管理问题，在整个网络的管理上，华为提供了华为集群管理协议 HGMP (HuaweiGroupManagementProtocOl 对整个网络进行统一的管理，即通过一个公有的 IP 地址就可以实现对汇聚层、接入层交换机进行集群管理，有效的节省 IP 地址资源。通过华为的 QuidviewLANManager中提供的 QuidviewStackmanagerHGMPManager可以实现对网络的配置、管理、维护，即在中心就可以完成对各层次设备的包括端口、协议等的配置，通过网管对端口进行开放或关闭，通过网管提供的交换机端口的环回测试对交换机进行远程的维护，做到了网管员不出门便可完成对网络的管理、维护。同时华为提供的网管 Quidview、安全管理及计费系统CAMS都提供中文化的管理界面和手册，便于网管员进行学习和操作。管理功能是可运营 IP 网络的重要组成部分。能否支持完善、有效可靠的用户管理，将是这个网络能否有效运营的关键。华为MA5200E支持完善的管理功能，除了提供传统的网络设备的管理之外，还提供包括安全管理以及用户业务管理。实例 2在一个规模较大的企业中， 其下属有多个二级单位， 在各单位的孤立网络进行互连时， 出于对不同职能部门的管理、 安全和整体网络的稳定运行，我们进行了 VLAN 的划分。第一步 子网分析该网络系统由三部分组成：公司、二级单位 1、二级单位2，初始为三部分各自独立， 未形成统一的网络环境， 故各网络系统的运行采用的是以交换技术为主的方式。三网主干均采用的是千兆以太网技术， 起点的高定位为企业的信息应用带来了高速、稳定、符合国际标准的网络平台。公司中心交换机采用的是Cisco的Catalyst 6506带有三层路由的引擎使得企业网具有将来升级的能力；同时各二级单位的中心交换机采用的亦是Cisco 的Catalyst 4006;各二级、三级交换机则采用的是Cisco的Catalyst 3500系列，主要因为Catalyst 3500系列交换机的高性能和可堆叠能力。现三部分应公司的要求联网， 网络的互连仍采用千兆带宽， 但因三网均采用了千兆以太网技术， 为了不在主干形成瓶颈， 因此各子网的互连采用Trunk技术，即双千兆技术，使网络带宽达到4G,如此既增加了带宽，又提供了链路的冗余，提高了整体网络的高速、稳定、安全运行性能。但亦由于网络规模的扩大化， 信息流量的加大， 人员的复杂化等原因，为企业网络的安全性、稳定性、高效率运行带来了新的隐患。由此引发了VLAN 的划分。对于VLAN 的划分，应公司的需求，我们对各VLAN 的 IP 地址分配为：经理办子网：192.168.1.0192.168.2.0/22 网关：192.168.1.；1财务子网：192.168.3.0192.168.5.0/22网关：192.168.3.1；供销子网：192.168.6.0192.168.8.0/22网关：192.168.6.1；信息中心子网： 192.168.7.0/24 网关：192.168.7.1；服务器子网：192.168.100.0/24网关：192.168.100.1其余子网：192.168.8.0192.168.9.0/22网关：192.168.8.1；第二步 系统分析对于 Cisco 的产品划分， VLAN 主要是基于两种标准协议： ISL 和802.1Q。在我们这里，因为所采用的均是Cisco的网络设备，故在进 行VLAN间的互连时采用ISL的协议封装，该协议针对Cisco网络设 备的硬件平台在信息流的处理、多媒体应用的优化进行了合理有效的 优化。对于不同产品的VLAN互连，我们在后面会提到。服务新群C4006千兆#楼经理办 千兆单模 埠 百兆TX C4OOT回劳 姥理力 供第经理女一供销眼能供第一网络拓扑图由于本案例中关于VLAN的划分扩展了各个交换机，所以交换机之 间的连接都必须采用Trunk的方式。经理办和供销子网代表了 VLAN划分中的两种问题一一扩展交换机 VLAN的划分和端口 VLAN的划 分：在经理办虚网中，对于一个交换机扩展多个VLAN 的时候，前面提到了该交换机与其上层交换机间必须采用 Trunk 方式连接， 但在供销的虚网划分中，在二级单位1 中的供销独立于一个LAN 交换机Catalyst3548 所以在这里，Catalyst3548f二级中心交换机 Catalyst4006只需采用正常的交换式连接即可，对于此部分供销 VLAN 的划分，只要在Catalyst4006t针又t与Catalyst35481接的端口进行划分即可。也就是前面提到的基于端口的 VLAN 的划分。第三步 路由列表做完了 VLAN之间的连接后，因为两个 Catalyst4006W主中心交换机Catalyst6506间采用的是双光纤通道式连接，屏蔽了 Catalyst406与Catalyst6506间的线路故障的产生，所以要对整体网络的路由进行基于Catalyst6506勺集中式管理。我们在主中心交换机 Catalyst65061设置了 VLAN 路由：经理办虚网：192.168.1.1/22；财务虚网：192.168.3.1/22；供销虚网：192.168.6.1/22；信息中心虚网：192.168.7.1/24；其余虚网：192.168.8.1/22；接下来，在中心交换机上设置路由协议RIP或OSPF,并指定网段192.168.0.。在全局配置模式下执行如下命令：0router ripnetwork 192.168.0.0注意事项1. 在这里需要注意的是：因为整个公司的网络系统的 VLAN 的划分是作为一个整体结构来设计的，所以为了保持VLAN 列表的一致性，例如当二级单位1 的 VLAN 有所变化时， VLAN 列表也会有所变化，这时就需要该Catalyst 4006对整体网络的其他部分进行广播，以达到VLAN 的列表的一致性。 所以在设置VTP( VLAN Trunk Protocol )时要注意，要将VTP 的域作为一个整体，即：VTP 类型分别为 Server和 Client。2. 有些企业建网较早，所选用的网络设备为其他的厂商的产品，而后期的产品又不能与前期统一，这样在 VLAN的划分中就会遇到些 问题。例如：在Cisco产品与3Com产品的混合网络结构中划分 VLAN ,对 于Cisco网络设备的Trunk的封装协议则必须采用802.1Q,以达到与 3Com的通讯。虽然两者之间可以建立 VLAN的正常划分，和正常的 应用，但由于交换机都具有自学习的能力，以致两者之间的协调配合较差。当两者之间的连接发生变化时，必须在 Cisco交换机上使用命 令（clear counter进行清除，方可达到两者的重新协调工作。经典实例三,情叁中切i遛邕某公司有100台计算机左右，主要使用网络的部门有：生产部（20）、财务部（15、人事部（8）和信息中心（12）四大部分，如图所示。所连的用户主要分布于四个部分，即：生产部、财务部、信息中心和人事部。主要对这四个部分用户单独划分 VLAN ,以确保相应部门网络资源不被盗用或破坏OVLAN 的配置过程其实非常简单， 只需两步：（ 1） 为各 VLAN 组命名；（ 2）把相应的VLAN 对应到相应的交换机端口。现为了公司相应部分网络资源的安全性需要， 特别是对于像财务部、 人事部这样的敏感部门， 其网络上的信息不想让太多人可以随便进出，于是公司采用了 VLAN 的方法来解决以上问题。通过VLAN的划分，可以把公司主要网络划分为：生产部、财务部、人事部和信息中心四个主要部分， 对应的 VLAN 组名为：Prod、 Fina、 Huma、 Info ，各 VLAN 组所对应的网段如下表所示。VLAN 号 VLAN 名端口号2prodswitch1 2-213finaswitch2 2-164humaswitch3 2-95infoswitch3 10-21事业无须惊天动地，有成就行; 爱情无须死去活来，温馨就行; 友谊无须两肋插刀，尽责就行; 金钱无须取之不尽，够用就行; 身体无须长命百岁，健康就行; 老婆无须闭月羞花，象样就行。