分类： NetWork

摘要：
随着信息化的快速发展，云计算技术给基础设施、应用、数据和 I 运营等方面带来了很大的革新。但单位原有的机房规划没有考虑到上云后的相关网络安全，云部署后资源集中使云平台更容易成为黑客攻击的目标，云上的安全问题也更加突出。2020 年上半年，本人作为某市三甲医院的信息科负责人参与了本院新建云 + 业务运营模式的云网络安全保护的规划和设计，为了保证云网络安全项目切实符合需求，针对云数据中心的安全防护问题，通过网络设备的虚拟化，网络区域的划分和部署相关安全管理设备等方案来解决，最后确定了约 120 万左右的项目预算，项目具体实施时间为两个月。具体的方案和部署方案包括云安全网络边界的划分和防护、安全控制措施选择和部署、网络攻击安全防护、相关的安全管理制度四个方面。项目实施后，取得了良好的效果。

正文：
随着信息化的快速发展，云计算技术给传统的 IT 基础设施、应用、数据和 IT 运营等方面带来了很大的变化，对于安全管理来说，有挑战也有机遇。传统云平台安全架构仅能够对用户提供通用的安全策略，不能适用于所有用户。在 2020 年上半年，本人作为某某市三甲医院的信息科负责人参与了本院新建云 + 业务运营模式的云网络安全保护的规划和设计。为了保证云网络安全项目切实符合需求，我和信息科同事前期做了大量的调研工作，资源集中使云平台更容易成为黑客攻击的目标，云上的安全问题也更加突出。目前在云网络安全方面的问题主要是从网络安全部分、主机安全部分、虚拟机资源安全部分、数据安全和备份恢复等几个方面考虑。最终结合当前的技术、业务和设备，确定了约 120 万左右的项目预算，项目的实施时间为 2 个月左右，具体为云安全网络边界的划分和防护、安全控制措施选择和部署、安全防护和相关的安全管理制度四个方面。

一、云网络安全域的划分
安全域是由一组具有相同安全保护需求，并相互信任的系统组成的逻辑区域，在同一个安全域中的所有系统共享相同的安全策略。我们通过安全域的划分，把本院原有的整体的大规模复杂系统的安全问题，划分成更小区域的安全保护问题，这样能够实现大规模复杂信息系统的有效安全保护。按照安全域的思想，从保障云计算业务安全为出发的和立足点，把网络系统划分成不同的安全区域，并且进行纵深防护。根据本院数据中心的实际情况以及安全等级防护要求，安全域的划分如下所示：
核心交换区：由两台同样型号的支持虚拟交换的华为 S7706 高性能交换机组成，先将两台华为 S7706 交换机虚拟化，负责本院整体的云计算系统内部网络信息的整体的通信交换。
核心业务生产区：主要由本院四台同样型号的 IBM3650X 服务器组成，通过裸金属架构，并且通过多虚多的方式，将服务器池分成本院主 HIS 服务器，社区卫生服务中心 HIS 服务器、LIS 服务器，PACS 服务区和本院内部 OA 服务器。并且根据保护等级的不同，将其细分成三个保护子区。本院 HIS 主服务器和社区卫生服务中心 HIS 服务器的要求保护等级最高，将这两个虚拟化服务器规划为保护等级最高的一级保护子区中；LIS 服务器和 PACS 服务器的要求保护等级其次，将这两个虚拟化服务器规划为保护等级其次的二级保护子区中；OA 服务器的保护要求最低，将 OA 服务器放入到三级保护子区中。另外，为了保证这几个不同等级的生产子区域的通信交换，单独划分了一个负责信息交换的数据交换子区域。

互联网交换接入区：主要包括了由两台华为 S7705 交换机、两台带路由器功能的深信服防火墙组成。并且对两台华为 S7705 交换机做了虚拟化设置，提升了交换机的性能，增加了整体外部网络的通信可靠性。两台带路由器功能的防火墙也做了虚拟化，整体互联网交换性能和防护性能也得到了提升，保证了本院外部网络通信的安全。

存储接入区：本院的存储是由一台存储服务器和一个由 20 块 300G 的 SAS 硬盘存储的磁带库组成，为了提升数据的可靠性，我们对存储的磁盘阵列做了优化。对于本院的主要 his 服务器的存储，我们通过 raid10 的方式将 16 块硬盘组成磁盘阵列，在提升数据通信的性能的同时，也增加了其可靠性，另外对其配备了一块热备盘，在 raid10 组磁盘阵列出现问题时进行及时的替换。对于本院其他次要业务的存储，我们通过 raid5 的方式将三块硬盘组成磁盘阵列，在提升可靠性的同时，兼顾了性价比。

二、安全控制措施选择和部署
在完成整体的云平台的安全区域划分后，我们根据安全区域的划分结果，设计和部署了相应的安全机制和措施进行有效防护。为了保障云平台数据中心以及其承载的业务安全，分别根据网络所承载的数据的类型，进行单独的组网。

管理网络：本院的主要物理设备是承载虚拟机的基础资源，所以对其应该进行严格的管理控制，所以我们安装了独立的监控管理系统来保障物理设备的安全性。同时对整体的物理设备进行可视化的管理，在中心机房入口处配置了整体的硬件系统的运行情况可视化屏幕，可以对所有中心机房的物理设备进行监控，如果物理设备出现问题将会在屏幕上进行可视化的报警提醒，并且会有报警信息通过短信的形式分别发送的本院信息中心负责人和分管信息化的院长的手机中，及时通知问题的存在。

存储网络：对于数据存储，我们采用了 NAS 的方式进行数据传输，并将存储网络独立出来，与其他网络进行隔离。

迁移网络：虚拟机可以在不同的云计算节点或者主机之间进行迁移，为了保障进行迁移时的可靠性，我们也将迁移网络独立出来。

三、安全防护
根据本院云数据中心的部署规划，医院业务的特殊性，应用和业务量非常大也非常的丰富，这样必然会各种各样对信息系统的攻击，如 DDOS、木马和病毒和内部人员窃取信息等攻击行为。根据以上问题，本院配备了虚拟机防火墙保护虚拟主机的安全，并且在数据中心安装了异常流量分析设备来分析是否有异常流量的产生，并对其进行及时的报警。在本院汇聚交换机和所有业务主机上安装了基于 vxlan 的安全防护软件，对所有的主机 mac 地址进行认证，防止非法主机的接入，对业务主机进行 usb 端口的全关闭，防止有人通过 USB 接口入侵本院的网络系统。并且安装了企业级的杀毒软件每天定时进行杀毒并定时进行病毒库的更新。

四、安全管理制度
整体的云网络安全目标的实现，仅仅靠技术是不够的，先进的技术还需完善管理制度的配合。为了避免人为操作导致的网络安全事件的发生，我们制定了《关于 XX 市 XX 医院安全管理制度和操作流程》来杜绝人为因素给网络安全带来的隐患。通过完善机房管理制度、设备管理制度和弱电间及线路管理制度来保证物理设备的安全；通过制定系统运维制度来保证系统的持续稳定安全运行，并且通过权限管理制度保证责权到人。并且我们还定期开展安全教育，使本院所有医务人员具有安全意识和责任意识，确保各项规章制度的顺利执行。

五、总结

通过两个月的全面细致的设计部署，总工期两个月的云网络安全项目部署顺利通过相关专家组的验收，实施至今能够有效的保护云数据中心网络的安全。通过网络设备虚拟化，网络安全区域的划分，安装虚拟防火墙和通过 vxlan 技术保护院区主机设备等方法，避免内部虚拟化环境和内部网络环境受到外部的攻击，取得了很好的正面效果，并且在时间、成本、质控方面也达到了预期的效果。因为资金原因，在整体的网络安全规划与设计中，没有加入堡垒机和蜜罐设备应对外部网络的攻击，但是在整体规划中我们留下了扩展的空间，在未来的云网络安全项目实施中，在资金充足的情况下，我们打算对其进行补充。

关于企业上云论文
描述点包括：云架构、云组件、云计算（存储、虚拟化、远程桌面、集群、负载均衡等）、云安全、云数据中心、云应用开发、云计算运维。

素材：云服务平台总体架构
针对目前企业信息化建设的现状，在尽可能的利用原有资源的前提下，对企业的信息化建设作出了整体的改造与升级规划。将整个企业信息化资源分成三个资源池来构成，资源池分别是提供计算功能的计算资源池、提供存储功能的存储资源池、提供互联互通的网络资源池。并在该资源池基础上来承载各业务系统，实现各业务系统身份认证的统一。

素材：计算资源池的构建
对于此次企业改造与升级的系统资源利用 H3C CAS 平台来完成。在构建企业的计算资源池前，针对不同的业务需要来规划计算资源池，首先对企业原有的服务器与新增的服务器资源进行数量与品牌的统计，将同一品牌配置相同的服务器划分到同一个资源池中进行管理，使设备的资源可以相互备份与替代。对于规模大的资源池，意味着可以给企业的云计算平台提供更大的容灾性与灵活性，将企业更多的业务部署到该资源池上，但是也要考虑大的业务量也会带来更多的数据传输，给网络的吞吐量带来压力。因此，将企业的业务根据其重要性进行分级，对于重要的业务应用放到相对独立的资源池中，并配备高带宽的网络设备与高级别的存储设备，并由专人看守。而对于企业非核心的业务应用归属到大的资源池中来管理。同时，根据企业业务的重要性，将计算资源池中的虚拟机分配为三种不同优先级别，分别是高、中、低，通过这种方式来保证重要的业务应用优先使用资源池中的资源，同时，在主机上创建虚拟机时，预留三分之一的资源来保障虚拟机的正常运行。

素材：存储资源池的构建
对于企业存储资源池的构建，采用本地存储与共享存储的方式来完成。本地存储给服务器自身使用，而共享存储不一样，由于计算资源池中的服务器上运行的虚拟机是以磁盘文件的方式来存储的，当计算资源池中存在大量的虚拟机时，对存储的要求就比较高。针对上述情况，在企业的存储资源池中新增三台 H3C FlexServer R390 服务器，给虚拟服务器的虚拟机提供共享存储空间，由于这些虚拟机以文件的形式存储，把这些文件存储至提供共享存储的服务器上，不同服务器的虚拟机都可以对其进行访问，进而消除了单点故障。同时，共享存储采用集中式与零存储相结合的解决方案，针对企业以前采购的存储资源采用集中式的方式，新增的设备采用零存储的方式。集中式的存储方案存储容量价格高，对维护管理人员要求的知识水平也高。随着企业业务拓展的增多，数据的总量也会不断的加大，集中存储方案的读写速度已满足不了企业对存储的速度要求。而为解决该问题，一般采用的方法是扩容存储系统，扩容存储系统并不能使存储性能得到提升。因为当存储规模达到一定的极限时，影响存储性能的不光是磁盘的转速，存储控制器制将成为整个存储系统性能瓶颈。最后导致整个企业的业务应用运行缓慢，影响到整个企业业务的正常使用。而零存储方案使计算资源与存储资源得以融合，在其平台上不但可以提供计算资源，而且可以提供存储资源，不需要用户采购专用的存储服务器，零存储方案在有效提升服务器资源利用率的同时，使存储容量能根据需要按需扩展，提升了企业网络基础架构的弹性。

素材：网络资源池的构建
企业云计算数据中心的服务器虚拟化构建完成后，数据中心内虚拟机的迁移已成为必然。虚拟机想迁移正常化必须需要网络提供足够的带宽资源。传统网络采用将多个端口捆绑在一起来增加网络带宽，这种技术不支持跨网络设备，且实现复杂。因此，需要一种新的技术彻底解决企业网络带宽瓶颈的问题。针对上述问题，采用 IRF 技术来解决企业网络带宽的问题。IRF 技术是一种针对高端网络设备进行虚拟化的技术，将多台网络设备虚拟成一台后，虚拟化后的网络，给网络提供了跨设备级的备份，将网络设备虚拟化后，在此基础上再采用链路聚合技术，不但可以增加网络的带宽资源，而且有效的消除了网络中存在的环路，增强了网络的可靠性。通过对网络设备虚拟化，使得多台物理设备成为了一台逻辑设备，对外显示为单个网络节点，减少了整个网络的设备量，大大的简化了网络的规划，使网络的设计复杂度得到了降低。

素材：云统一身份认证平台的构建
针对企业各业务系统平台账号不统一的问题，通过 Portal 与轻量级目录管理服务协议构建系统实现对用户的统一身份认证，即接入用户在访门多系统和各受限资源时，只需要用户进行一次上网身份验证，并将用户的上网认证重新定向至用户的 LDAP 服务器，实现上网账号和应用系统账号的统一。统一身份认证把原本分散的用户集中管理及统一认证，并使用统一的权限系统管理用户权限。进而避免各应用系统分别需要进行身份验证。同时，用户也无需记忆众多的账号和口令，方便了用户的使用，同时给系统管理人员减轻了工作量。

试题五：机房规划设计
机房的规划设计流程：
机房公司勘察现场、确认选址是否合理。
电气专业计算出计算机设备用电量、空调用电量、辅助设备用电量，确定 UPS 的容量。由此得出机房整体用电负荷。
空调专业计算出空调制冷量，室外机摆放位置，新风用量，确定新排风方式。
弱电专业计算出机柜数量。
综合布线系统
防雷系统、消防系统、安防系统

素材：机房的供配电系统的建设
由大楼配电间提供一路电源给动力配电柜，动力配电柜分出一路市电作为维修插座、空调、新风系统、照明等的用电，配电柜向主机电源、外部设备、辅助设备、空调、照明、新风设备等提供相线、电压、频率及额定容量符合要求的交流电。另分出一路给 2 台 UPS 提供进线电源，机房机柜设备及管理用计算机等主要设备使用 UPS 电源，确保在停电情况下，主要设备依旧可以运行。UPS 采用 2 台互为备份的冗余模式，后挂 64 节蓄电池，保证在断电储况下一定的续航能力。为保证今后的检修和维护更换的方便性和散热通畅，降低地板承重要求，电池柜架采用开放式外观架式结构，合理布局。本机房所采用的线制为三相五线制，其三相额定电压为 380 伏，单相额定电压为 220 伏，供电频率为 50HZ。根据《电子计算机机房设计规范》动力配电柜与 UPS 均做防雷接地。

素材：机房环境建设
购买 2 台依米康的精密空调，2 台空调之间使用双机轮值功能。每 24 小时一个循环，双机轮值既起到了冗余功能，也减低了空调因长时间启动带来的故障率。空调采用下送风，上回风的方式，该方式符合冷空气在下，热空气在上的物理原理，能一定程度上的节能，同时送风在静电地板下，也能做到减少噪音。精密空调不仅有加热制冷功能，同时有加湿除湿功能，使机房温度长年保持 22° 左右，湿度为 40%-60%。安装新风系统，通过足够的新风引进，维持室内的正压，使灰尘不容易积累，排出室内不断产生的空气污染物，保证室内空气洁净，维持室内空气的健康品质，给工作人员营造一个健康舒适的工作环境。同时将新风的排风口靠近空调的回风口，产生一定的联动作用，更利于排出污浊空气。

素材：机房消防系统的建设
本项目采用一套柜式七氟丙烷气体灭火系统，根据机房的位置，在天花板布置 6 个烟感、温度收集装置，配置紧急制动按钮，可一键关闭喷器，将报警装置放置在本人办公室门口，方便管理，机房门口设置醒目标志，放气时提醒人员请勿靠近，同时该系统可使用手动、自动结合的灭火方式，该消防系统通过了我县消防大队的验收。

素材：机房装修及隐蔽工程
装饰及隐蔽工程按照国家标准进行建设，采用上走线桥架，布线清晰。墙体进行防潮处理，最外层采用彩钢板，有一定的屏蔽作用。因采用空调下送门模式，地面用保温棉覆盖，避免机房下方的办公室天花板出现冷凝水，地面 45 公分位置建设静电地板。同时堵死角落漏洞，防止虫鼠灾害。

素材：机房集中监控系统建设
以往用户对于机房管理的重点都集中在防黑客或非法入侵、电脑病毒、网络故障、数据备份等方面，往往忽略了机房的环境变化，可能导致产生不可预见的后果，如机房的温度、湿度过高、电力系统不稳定、机房安全措施不完善致使非核心工作人员进出机房操作，造成的隐患或者故障而引发的机房事故，导致不必要的经济损失。科学的管理计算机机房，才能保证机房内的网络和计算机等高级设备长期、可靠、稳定地运行。所以本项目将集中检控系统的重要性扩大，采用成熟稳定的集中检控平台，实现精密空调、UPS、电量、温湿度、漏水、消防监测等，做到实时报警。同时平台与管理人员的手机连动，出现问题通过短信与微信的方式进行通告。

无线网络的设计

描述角度：
无线网络的规划设计流程包括需求分析、现场勘查、干扰探测、覆盖规划、容量规划、频率规划、方案评审、安装施工、实地测试和调整优化等步骤。

素材：规划
合理的前期规划需要考虑网络架构、用户需求、覆盖范围、用户密度、建筑结构、用户业务、管理等各方面的需求。

首先是网络架构。目前无线局域网有胖 AP（FAT AP）和瘦 AP（FIT AP）两种方案，瘦 AP 架构，由无线控制器实现无线 AP 的管理和控制，无线 AP 实现无线信号的加密解密；这种组网方式具有组网灵活、业务开展能力强等特点，更适合规模部署：而胖 AP 在小规模部署的时候存在成本低，部署简单的优势。由于无线校园网 AP 总数一般都比较多，所以在无线校园网中，一般采用瘦 AP 架构。

其次是无线覆盖方案规划。WLAN 覆盖规划需要考虑建筑结构、用户密度等因素，一般有软件模拟、现场实测、现场人工勘察几种方式。

目前有很多 WLAN 网络规划软件，只需要输入目标区域的图片或者 CAD 图，加上各种材质的衰减等必要的参数，即可模拟出部署 AP 之后的覆盖效果，但这种方式只是理论上的计算，与实际效果可能存在比较大的差距。加上很多旧楼根本没有电子版的图纸，所以采用软件模拟的规划方式只能作为参考，更进一步的规划需要实际测试和现场工堪相配合。比较好的网络规划一般采用软件模拟 + 设备实测 + 现场工勘的方式完成。这种方案既简化现场勘测工作量，又结合用户实际情况，避免普通网络规划软件考虑不周造成方案失真。

第一步，根据用户提供的平面图或者 CAD 图，使用专业的 WLAN 网络规划软件，模拟目标区域覆盖的效果；
第二步，典型区域现场测试；对于比较有典型性同时又可能出问题的区域，需要带设备进行实测，根据测试结果，调整覆盖方案；
第三步，对于条件受限不能进行实测的区域，由专业的 WIAN 规划团队进行现场勘测，结合现场测试和规划软件结果，制定最终的 WLAN 规划方案。

素材：部署
WLAN 的部署需要根据目标区域的不同制定最佳的 WLAN 覆盖方案，根据覆盖区域和用户要求的不同，可以采用室内直接覆盖、室内分布式覆盖、室外覆盖、室外覆盖室内等多种覆盖方案。

室内直接覆盖方案
适用于用户密度高，信号衰减小如图书馆、学术厅、教室的区域。这种情况下，AP 可以采用壁挂或者吸顶安装。此时优先考虑的因素是用户数量而不是信号质量。通常，每个 AP 支持用户数量的合理值在 15 – 20 个，根据用户总数和使用无线局域网的比例来合理规划每个区域部署 AP 的位置和数量。

室内分布式覆盖方案
适用于用户密度不高，信号衰减大的区域如办公楼、学生宿含等。每个 AP 通过室内分布式天馈系统带多个天线来达到扩大覆盖区域，提高信号质量的目的。此时 AP 一般部署于楼道天花板上或者弱电间中，天线则部署于楼道内。在使用室内分布式覆盖的情况下，AP 的数量主要在施工难度和信号质量之间取平衡。

室外覆盖方案
适合于操场、广场，迎新大道等室外开阔区域；在这种区域中，需要覆盖的区域范围广，并且通常会有比较多的树木等影响无线信号；同时设备部署到室外，必须考虑防水、防尘、防雷、防高温、防低温等因素，因此室外覆盖方案对无线设备要求非常高，一般必须使用专业室外型产品，在距离超过以太网作用范围的情况下，要求 AP 必须支持光纤接口。室外覆盖方案首要考虑是信号质量，一般情况下，普通 100mw 的室外型产品能够覆盖 100 – 200 米，大功率室外型 AP 可以覆盖超过 300 米。

室外覆盖室内方案
适合学生宿舍、家属楼等区域的补点方案。AP 部署在目标区域的两侧，在两侧安装室外型 AP 加定向天线的方式完成对目标区域的覆盖。这种情况下，每个 AP 能够覆盖的区域很广，信号通过窗户进入房间，因此窗口附近的信号质量高，远离出口的区域信号质量稍差。对于家属楼，如果要求不高，可以只覆盖书房所在的一面，而对于学生宿舍楼，必须采用双面覆盖。室外覆盖室内的方案只能解决信号覆盖问题，如果使用无线网络的用户比例增加，上网速度则会下降。这种情况下，建议更换为室内覆盖方案。

素材：安全
无线局域网由于其物理介质的开放性，会面临更多的安全性问题。WLAN 安全解决方案，涵盖从链路层到应用层，能够发现和防护常用的无线攻击，确保无线信号传输过程中的安全性。

在链路层，需要考虑结合 802.1x 认证，防范针对 802.11 报文的 Flood、Null Data 等常见攻击；在安全标准方面，802.11i 安全机制被广泛使用，能满足无线校园网对数据传输安全性的要求。此外，瘦 AP 架构能够很好的发现和防范非法 AP，确保用户不会连接到非法 AP 上而导致泄密。

很多校园网 ARP 病毒泛滥，无线局域网由于共享带宽机制，更易受到 ARP 病毒影响，因此，必须在应用层提供解决方案能够全面防护 ARP 攻击，避免 ARP 病毒爆发而导致无线网络不可用。有条件的情况下，无线网络上提供安全准入功能，这样能够更有效的减少病毒或者系统漏洞对网络可用性带来的影响。另外无线控制器集成 IPS 功能很好的防御高层攻击已成为一种趋势。

素材：运营和优化
WLAN 的运营，既有 WLAN 自身的特点，又需要和现有的有线网络尽可能保持一致，因此需要全面统一考虑。

认证方面：重要的认证技术包括 802.1x、Web Portal 和 PPPoE 认证。但对于无线校园网来说，由于用户的终端类型多种多样，802.1x 认证的终端兼容性问题很难解决，所以在无线校园网中不推荐使用 802.1x 认证，而推荐使用 WebPortal 方式认证。在和运营商联合建设的情况下，可以使用 PPPoE 认证。

计费方面，大多数学校的有线网络都是采用校园网包月、外网按流量计费的模式。此模式包括两个认证过程：第一个过程是用户接入无线网络时检查用户是否存在以及是否缴纳包月费用；第二个过程是用户访问外网时出发启动流量计费认证。由于用户需要输入两次同样的用户名密码，很不方便，因此无线校园网在计费策略和有线网络保持一致的情况下，可以通过实现一次认证，简化用户认证流程。

对于网络优化来说，是一个持续的过程。无线局域网容易受到外界干扰，对于短期的干扰，无线控制器自动信道调整和自动功率控制能够把干扰的影响降到最低；而对于长期的干扰，必须根据用户长期使用效果进行人工调节或者调整。

素材：网络管理
目前很多已建成的无线校园网都是有线设备一套管理系统，无线设备一套管理系统。很多时候，无线网络出现问题后必须有线网管系统配合才能最终找到问题的原因，给系统维护带来极大的工作量。因此无线校园网的管理系统必须能够实现对无线校园网建设所需的所有设备，包括 AC、FIT AP、FAT AP、PoE 交换机、汇聚交换机、核心交换机在内的有线和无线设备的统一管理；使无线校园网能够作为一个完整的系统，实现单独的管理和运营。

用户的管理：传统的有线网络可以通过 IP、MAC、端口等多维度的绑定来实现对用户的管理。而对于无线网络，用户的 IP、MAC 都有可能变化，端口更是随着用户的漫游在变化，因此必须有一种更加切实可行的方式来增强对用户的管理。

对于无线校园网来说，无线管理系统必须能够实现对用户 IP、MAC 地址、用户名、所在 AP、安全策略等动态的管理，能够在系统中实时查询到每个用户的相关信息并记录成日志，以备审计，实现对用户的良好管理。

逻辑网络设计是网络规划与设计中的关键阶段。逻辑网络设计和规划的目标包括合理的网络结构、成熟而稳定的技术选型、合适的运营成本以及使逻辑网络具备可扩充、易用、可管理和安全等性能。请围绕 “大中型网络的逻辑网络设计” 论题，依次对以下三个方面进行论述。

1. 简要叙述你参与设计和实施的大中型网络项目以及你所担任的主要工作。
2. 针对大中型网络中逻辑网络设计的主要工作内容论述你是如何进行逻辑网络设计的。
3. 简要介绍你在大中型网络的逻辑网络设计中遇到的棘手问题及其解决办法。

逻辑网络设计包括：网络结构的设计、物理层技术选择、局域网、广域网技术选择、地址和命名模型设计、交换和路由协议的选择、网络安全策略设计、网络管理策略设计。

从论文结构来说，可以从设备选型和网络结构设计、IP 地址和路由方案、网络安全方案、存储和数据灾备方案几个点去描述项目。

素材 1（网络结构调整）
对原有出口的教育网带宽不变，联通升级为 1G，同时新增一条电信 1G 出口。核心区域更换两台华三 S5700 交换机组成双核心热备模式，只做高速转发，不再做策略路由，多出口的路径选择交给专用负载均衡设备 radware linkproof1000，智能分析自动分配网络流量流入相应的出口，减轻了各链路承担的负载，保证网络的高效畅通和可靠性。出口至核心拓扑为 3 条分别接在三台华为 7703 上，每台 7703 分别连接两台 radware，radware 连接 paloAlot PA-4060 防火墙，防火墙连接校内两台核心交换机，相同设备两两连接，并开启 vrrp（虚拟冗余网关协议），选用性能较高的设备作为主设备，启用端口跟踪，发现链路中断时可直接切换到备用设备，保证设备或链路的冗余，防止单点失效。对原有替换下的两台 6509 下放到各校区中心机房保证人员密集校区（本部、西青校区）都有 2 台汇聚交换机，保证汇聚交换机与核心交换机之间采用全互联模式。

素材 2：无线网络结构的构建
无线核心使用两台 H3C S7508 交换机与核心交换机互联，运行 OSPF 协议，Area20，分别与各校区汇聚交换机相连。汇聚交换机直接连接各设备间的接入交换机，接入交换机全部支持 POE。接入交换机为无线 AP 供电，一般选用 802.3af 交换机。办公区、宿舍区使用支持 8 – 16 人的墙插式 AP；教学区、服务器区、食堂区使用支持 128 人的吸顶式 AP，离广场、操场近的楼宇屋顶架设室外 AP。所有 AP 均为 FIT AP 由 AC 控制器统一管理，下发用户地址段，使用 FIT AP 当用户在频点切换时，可实现不断网的无缝漫游，稳定性强不易受干扰，多用户连接同一 AP 设备时，可自动转到其他 AP 上，达到负载均衡，提高网络的可用性，此外，AC 可调整 AP 的发射功率，AP 故障时，可扩大其他 AP 发射功率覆盖信号盲点，防止单点故障。
另外，为了保证现有普通 WIFI 终端的平滑接入，对于协议标准 IEEE802.11b，IEEE802.11g，IEEE802.11n，IEEE802.11ac 的选取，同时要有扩展性，最终采用了 IEEE802.11ac，兼容了 2.4G 和 5G 两个频点。

素材 3：IP 地址的重新规划
由于前期规划不足，内网只有 10.1.0.0/16 一段，随着师生人数增多，且分配杂乱无章，没有形成统一的规划和分配方案，即影响了网络的拓展，又不利于路由汇总，也不方便管理。因此趁这次网络大规模升级改造机会对地址重新规划，同时启用 OSPF 路由协议。主要方案如下：本部校区为 ospf 骨干区域，分配的地址为 10.1.0.0/16，区域设置为 area0，内部以 10.1.X.0/24 地址形式分别分配给本部的服务器区、教学区、办公区、宿舍区、食堂区；西青校区为 ospf 区域 2，分配的地址为 10.2.0.0/16，区域设置为 area1，内部区域以 10.2.X.0/24 地址形式细分；滨海校区为 ospf 区域 3，分配地址为 10.3.0.0/16，区域设置为 area3，内部区域以 10.3.X.0/24 地址形式细分。通过重新规划后的 IP 地址清晰明了，具有层次性，对于今后该大学新增校区，可按照分配 IP 地址 10.N.0.0/16，区域分配 ospf area N 的规则来规划，便于网络的扩展，以及网络的管理维护。

素材 4：安全保护和访问控制
在现有所有的网络出口处部署防火墙外，在服务器区前端新部署一台启明星辰 IPS，对访问服务器区的数据流进行主动、实时的逐字节检测，收集相关的信息记录系统日志，深度分析，对攻击性流量可自动拦截，从而弥补了防火墙的不足，加强了对服务器区域的保护。此外，升级网络病毒防护系统，更换一台 symantec 的防病毒服务器，每天从 symantec 官方网站实时下载最新的病毒库和相应信息，保证最新的防病毒信息，为教学区、办公区、宿舍区和食堂区提供在线升级，提供终端计算机的桌面安全保护。对于无线网络的用户接入验证，采用 portal 协议的网页认证。通过在接入层设备上启动 portal 认证后，用户发出去的报文都会通过接入设备重定向到 portal 服务器，portal 服务器要求用户输入用户名和密码来进行认证，用户输入身份验证后，portal 服务器将接入用户的验证结果通过接入设备转发给用户，通过验证的用户才能访问网络中的资源，以保证合法用户的正常接入。