1、2） 结构化综合布线系统3） 机房建设4） UPS电源系统5） 多媒体会议系统第二章 网络系统建设方案2.1总体设计*办公大楼新建的计算机网络系统共有126个办公信息点（见综合布线部分点位表）。同时计算机网络系统及各进驻单位都需各类数据服务器和应用服务器，因此需为服务器预留网络端口。现有设备包括：港湾Flexhammer5210-24（无SFP光纤模块）、光电转换器1个、1米机柜一个。拓扑设计：利用现有港湾Flexhammer5210-24三层交换机（具备路由功能）作为核心交换机，新置5台Hammer24E二层交换机作为接入交换机。Flexhammer5210-24的24个10/100M口用于
2、各类数据服务器和应用服务器，同时剩余端口作为办公信息点扩展预留用；5台Hammer24E共120个10/100M口用于办公大楼信息点的接入需求。从网络安全的角度考虑，任何接触到Internet的网络都会面临来自Internet的威胁，如：网络病毒、木马、黑客等。因此，我们建议*内网在接入的同时要考虑到网络安全，通过防火墙接入，同时在整网上安装网络版的防病毒软件。防火墙和可以使*内网和外网逻辑隔离，防病毒软件可以有效地防止和阻隔网络病毒的传播，有效地隔离来自Internet的安全威胁，保护内网网络安全。以下为网络结构拓扑图：2.2交换机选型2.2.1一级核心交换设备的选型要求需要提供一台核心交换
3、机，用于整个网络系统的数据交换与处理；同时可以设定*的网络出口路由。1功能要求 VLAN数量：4000 VLAN类型：基于端口, 基于IEEE 802.1Q和基于MAC Unicast：静态路由、RIP V1/V2 、OSPF V2、BGPV4、IS-IS等 MAC地址表：12K 限速：支持8K粒度的基于流和端口的速度限制2性能要求 包转发能力9.6Mpps 交换容量32G 千兆位端口数量：4个2.2.2二级接入设备的选型要求 需要提供多台接入交换机，用于将终端设备归并后接入汇接交换机或核心交换机。50 ACL规则/行数量：1014 （可以用于入口或出口） 第二层地址数量：8K基于流量的带宽策
4、略管理/限速：315个限速器池，可以用于任何分类的ACL流量（包括入口流量或出口流量），限速间隔：在10/100BASE-T端口上1 Mb/s。在1000BASE-T端口上8Mb/s 背板带宽12.8 Gb/s非阻塞 10/100端口数量：24个2个2.2.3产品选择综合以上产品性能要求，同时由于在原来建设中交换机产品采用的均为港湾公司的产品，使用相同品牌、同型号的产品不仅可以减少售后服务的麻烦，而且原有的备品、备件都可以通用；从设备维护角度来讲，同一品牌的产品可以减轻管理人员的维护负担，同时由于技术的延续性，系统管理员可以比较容易的对设备进行管理。因而，在产品的选择上，我们比较倾向于港湾公司
5、的产品，对于核心交换机我们选用华港湾公司Flexhammer5210-24智能三层交换机交换机。对于二级接入交换机我们选用港湾公司Hammer24E二层智能交换机。通过两种产品的组合，来完成*办公大楼网络系统的建设。a） Flexhammer5210交换机 FlexHammer5210智能多层交换机是为了满足高安全、多业务承载、高性能的网络环境所开发的智能多层交换机，具备传统三层交换机大容量、高性能等优点，同时还具有安全特性，适合作为关注业务、服务、关注网络安全的中小型城域网汇聚三层交换机、小区核心汇聚层交换机和企业级大客户接入层交换机。安全特性 针对目前网络面临着各种安全威胁，存在着各种类型
6、的机密泄漏和攻击方式，FlexHammer5210系列安全智能多层交换机具有领先的安全特性，完全能够保证网络的安全运行：支持完善的ACL访问控制策略，支持基于用户MAC地址、IP地址、IP协议（TCP/UDP）、TCP端口号、UDP端口号以及基于时间的ACL控制；可通过Port-IP-MAC的捆绑精确识别合法业务终端；支持用户接入控制协议802.1x，提供比传统接入控制方式更为有效的用户端口控制能力，端口MAC地址限定功能可以对端口接入的主机数目进行限制；支持PVLAN，在一个802.1QVLAN内部实现各个端口的严格隔离，在保障业务开展的同时实现高安全性；拥有专利的CPU保护技术，对发送到C
7、PU的数据进行检查，过滤，以避免对CPU的恶意攻击；对于RIP、OSPF、BGP等协议可以提供多种验证方式（明文验证、MD5验证），保证路由和网络拓扑的可控，具备更高级别的安全性；基于源IP地址的Telnet控制，通过配置禁止/允许Telnet用户的源IP地址可以增强设备的安全性，避免黑客恶意控制设备；支持网络管理服务NMS（Network Manage Service）,控制对设备的访问多级授权，防止非法用户对设备的控制；强大的基于端口的风暴抑制功能，用户可以设定单位时间的门限值，超出门限值时又可以采取不同的措施，比如丢弃超出部分，或者关闭物理端口；门限值的设定可以是基于包的数量的，也可以是
8、基于流量；支持港湾的ERRP（Ethernet Ring Redundancy Protocol）以太网环冗余协议，提供具备毫秒级环倒换时间的链路保护机制； QoS保障 FlexHammer5210系列安全智能多层交换机具有QoS保障能力，通过以下技术保证语音、视频等多种实时多媒体业务的高服务质量需求：基于IEEE802.1P标记信息和五元组流分类服务的优先级；支持基于流的多层CoS、ToS，满足实时多媒体业务如会议电视等应用的需求；自定义的多层流分类规则，整机支持1024条流规则；每端口支持8个优先级队列，支持拥塞避免和流量整形；支持8K粒度的基于流和端口的速度限制。路由技术支持 FlexH
9、ammer5210系列安全智能多层交换机支持丰富的路由技术，基本覆盖了目前的路由技术：支持的单播路由协议有：RIP V1、RIP V2、OSPF、BGP、静态路由等；支持的组播路由协议有：IGMP-SNOOPING、IGMP、PIM等；其它路由协议：策略路由、QoS路由、ECMP、WCMP等价路由等。802.1Q VLAN控制能力 支持基于端口的VLAN；支持基于协议的VLAN；支持基于Subnet的VLAN；支持PVLAN；支持Q in Q；最多可配置的VLAN数目为4094个。可靠性 FlexHammer5210系列安全智能多层交换机支持STP/RSTP/MSTP协议，能实现链路冗余备份，
10、提高容错，保证网络的稳定性；支持VRRP虚拟路由，与其它三层交换机一起构成VRRP组，形成冗余路由备份，极大的提高了网络可靠性；支持RPS外置冗余电源系统，可为设备提供电源的冗余，大大提高了FlexHammer 5210的容错和可持续运行能力。维护管理功能 随着网络规模的增大，设备的可维护特性成为降低用户维护成本的关键，FlexHammer5210系列安全智能多层交换机具有便捷的管理功能和强大的可维护特性：支持远程/本地的端口环回测试，可以方便检测端到端链路的连通性；支持独具创新的TPS技术，可以直接在交换机上远程、无干扰的对线路进行维护，能测量出线路上的各种故障，比如断路、短路，测量精度在1
11、米之内，极大的的方便了网络链路问题的定位，降低维护成本；通过一台命令交换机可管理多达64台Hammer交换机集群，大大降低网管管理成本，简化管理操作，提高了管理效率；对于运营网络来说，还大大节省IP地址开销；支持SNMP、CLI、RMON、TELNET、WEB网络管理方式；支持BOOTP、FTP，提供了完备、快捷的软件升级功能。我们选用FlexHammer5210系列中的FlexHammer5210-24安全智能多层交换机。FlexHammer5210-24：24电口全线速安全智能多层交换机。24个百兆电口、4个千兆SFP扩展插槽。特性指标详细描述产品名称FlexHammer5210-24端口
12、数量24个10/100M电口4个1000MSFP接口交换容量32G包转发能力9.6Mpps功 耗55W基本性能MAC地址表Buffer容量共享32M转发模式存储转发模式（store-and-forward）网络和流量控制PVLAN支持VLAN802.1Q 4kQoS每端口支持8个优先级队列；支持流量整形和丰富的调度策略队列调度方式支持WRR、SP、WRR+SP端口汇聚支持FE端口聚合、支持GE端口聚合；最多32组，每组最多8个端口超长帧支持，9Kbyte路由协议UnicastMulticastMulticast IGMP-SNOOPING、IGMP、PIM等策略路由等价路由支持ECMP、WCM
13、PQoS routes路由接口数512安全特性802.1XSTP/RSTP/MSTP均支持ACL1KMAC地址限制广播风暴抑制CPU保护限速粒度8K粒度管理特性集群管理最多可支持64台SNMPSNMP 支持RMON1、2、3、9HTTPCLI物理尺寸（长 X 宽 X 高）440mm360mm43.8mm （5210-24G的尺寸为440mm66.8mm）工作环境-545 5%95%,无凝结重 量5Kgb） Hammer24E交换机Hammer24E系列交换机，是港湾网络推出的性能卓越、功能完善可网管的增强型二层以太网交换机，提供无阻塞的线速交换能力、增强的PORT/VLAN/QoS 特性、以及
14、丰富的管理方式，并且还在用户标识、业务控制、防雷等运营特性上有了很大的增强，适用于运营商宽带城域网小区的接入和汇聚，以及大型企业网络的接入或中小型企业网络的二层汇聚。无阻塞全线速交换Hammer/24E系列增强型以太网交换机具有12.8G的交换容量，无阻塞交换结构保证所有端口可线速工作在全双工状态；每个端口独占10M/100M带宽。超强的VLAN支持能力支持4K个可同时激活802.1Q VLAN；支持PVLAN，实现同一802.1Q VLAN内部的端口隔离；支持SVLAN（Stack VLAN），即Q in Q，解决运营商用VLAN ID标识用户与业务时遇到的VLAN ID不足的问题，最大可支
15、持到4K*4K=16M个VLAN；也可在中小城域网通过SVLAN组建企业VPN，最大可支持到4K*4K=16M个企业VPN；支持GVRP（GARP VLAN Registration Protocol），可以动态的配置VLAN；贴近运营的QoS特性支持64K的端口限速粒度，可以灵活控制最终用户的带宽，使网络运营更加精细化，并可以限制P2P业务对上行带宽的不合理抢占；每端口可同时支持两条入口限速策略和一条出口限速策略；可以基于端口、单播、组播或广播实现限速；支持FIFO、PQ、WRR队列调度方式；支持基于端口、MAC地址、802.1P、DSCP到优先级的映射；低功耗静音设计Hammer2000E
16、系列增强型以太网交换机，全部采用低功耗设计，设备发热量低，无需风扇散热，彻底免除噪音；完善的安全特性增强的防雷击设计，所有端口都能承受4000V的高压，适合运营商小区接入与汇聚；支持网络管理服务NMS（Network Manage Service）,可以通过配置禁止或允许TELNET、WEB、SNMP、ICMP的源IP地址，来增强设备的安全性，避免黑客恶意控制设备；支持MACLIMIT功能，可以限制端口上连接的主机数量，并且能定义超过限制时的惩罚措施，可以简单有效的防止用户私接网吧或HUB；支持MAC地址与端口的绑定，还可以指定对源或目的MAC的数据报文进行丢弃；支持基于端口和MAC的802.
17、1x接入认证功能，可以支持在认证前获取IP地址、访问部分网络资源，支持window XP的802.1x客户端；支持端口下行环路检测，发现有环路可自动关闭相应端口，并可以在用户配置的恢复时间后自动重新打开端口，既确保了无环路，又可大大减少网管人员的维护工作量；可以限定广播报文占端口带宽的百分比，从而实现对广播风暴的有效抑制；支持STP、RSTP、MSTP；支持SSH（Secure Shell），可以通过SSH对传输的数据进行加密，建立起安全的管理通道；可运营的组播支持支持二层组播IGMP-SNOOPING；整机支持256个组播组；支持IGMP-Filter，可以更好的满足运营商IP TV的布署；
18、增强的端口特性Hammer2008E/2016E/2024E/24E快速以太网交换机分别具有固定配置的9、16、24、24个10/100Base-TX端口。其中Hammer 2016E/Hammer 2024E/Hammer 24E还采用灵活的模块化结构设计，除提供固定的10/100BaseTx端口外，还提供1/2/2个扩展槽,可以配置不同的百兆光、电模块，Hammer 24E还支持千兆光、电模块，用户可根据实际需要灵活选配。所有固定电口都支持端口自适应，具有MDI/MDIX自校准功能，对于直连线和交叉线均可直接使用；支持端口电缆故障诊断功能，适应于所有固定电口，可以识别线路的断路、短路，精度
19、在1米之内，极大的方便了网络链路问题的定位，降低运维成本；端口镜象功能，支持一对一或多对一的镜象，并且还能精确的对出或入的流量单独做镜象，提升网络监控和诊断效率；支持FE和GE的端口汇聚，流量均衡的模式可以是基于源MAC、目的MAC或源和目的MAC；丰富的管理方式支持SNMP V1/V2/V3，支持港湾网络的HammerView/EasyTouch以及Open View等通用网管平台的管理、配置与维护；可对于冷/热启动、链路状态变化、STP状态变化、SNMP认证错误、修改配置等发SNMP trap，便于网络管理者随时监控网络变化；支持WEB、CLI、TELNET等管理方式；支持港湾网络自主研发
20、的H.Link集群管理功能，可以实现通过单一IP地址对多达32台Hammer1000系列交换机的管理，大大减少了网管系统中的网元数量，提升网管效率；Hammer24E固定端口24个10/100M以太网口 1个Console扩展插槽2个HC扩展插槽，可以支持百兆、千兆单/多模光口模块以及百兆千兆电口模块外形尺寸（宽深高）442mm270mm44mm12.8G交换能力线速（6.6Mpps）功耗30W输入电压AC：85-264VDC：-40.5 -72 V支持PORT BASE VLAN；支持4k个802.1Q VLAN；支持Private vlan（Protected Port/isolated
21、port）；支持SVLAN，即QinQ，最大报文长度1532byte；支持GVRP；支持基于端口的优先级；支持基于MAC地址的优先级；支持基于DSCP（Differentiated Services Codepoint Priority）优先级；支持基于802.1p的优先级；支持端口出方向和入方向报文的双向端口限速；支持64K的带宽限速粒度；基于端口或基于单播、多播或广播的限速；支持支持FIFO、PQ以及WRR队列调度算法；组播支持IGMP SNOOPING；支持IGMP Filter；最大256个组播组；支持2组FE和1组GE的汇聚，每组最多8个端口；端口镜象支持，1对1或多对1的镜象，被镜
22、象端口的数量没有限制；支持基于端口/MAC的802.1x；支持端口与MAC的绑定；支持MAC地址限制；支持PVLAN，VLAN内部的端口隔离；支持网络管理服务NMS（Network Manage Service）；支持端口下行环路检测；支持基于带宽百分比的广播风暴抑制；支持SSH；支持STP/RSTP/MSTP；管理维护特性支持SNMP V1 /V2/V3；支持RMON 1、2、3、9；支持WEB；支持CLI；支持H.Link Server，可以管理H.Link Client产品；支持精确的线缆故障定位；安规EN 60950、UL 60950、CAN/CSA-C22.2 NO. 60950、G
23、B 4943、IEC 60950、AS/NZS 60950电磁兼容静电放电（ESD） IEC 61000-4-2辐射抗扰度（RS） IEC 61000-4-3电快速瞬变脉冲群（EFT/B） IEC 61000-4-4浪涌（Surge） IEC 61000-4-5传导抗扰度（CS） IEC 61000-4-6工频磁场抗扰度（PMS）IEC 61000-4-8电压跌落/短时中断（DIP） IEC61000-4-11辐射发射（RE） CISPR 22，EN55022传导发射（CE） CISPR 22，EN55022交流电源谐波 IEC 61000-3-2交流电源闪烁 IEC 61000-3-3温度：
24、工作温度：-10+50；存储温度：-15+70湿度：非工作状态 5-95，无凝结；工作状态 10-85，非冷凝；工作：0.35Grms2，3500Hz非工作：1.0Grms，35002.3防火墙选型我们推荐使用华堂HT-2200防火墙。HT-2200防火墙采用专业的硬件，针对局级单位设计，提供多达4个10/100M以太网接口，并发用户说多达60万。HT2200采用华堂专用安全内核，可提供防火墙、基本IDS、安全事件审计、负载均衡、虚拟专用网以及安全管理等功能。该系统主要采用的技术和实现的功能有：安全可靠的硬件设计HT-2200的硬件采用针对HT-2200特点自行设计的系统板。理论和经验表明，系
25、统集成度越高，可靠性也就越高。为了提高硬件系统的可靠性，该系统板几乎取消了所有的接插件和与网络产品无关的功能。该系统板上集成了三个10/100M 自适应的网络控制器和128M的随机存储器以及一个可以扩展的非易失性存储设备和最新的低功耗CPU。这一CPU 系统使用代码融合技术，可以使用与X86 兼容的指令集，同时具有快速和低功耗的特点，非常适合于网络产品应用。自主版权的网络安全系统HT-2200防火墙操作系统使用开放源代码的嵌入式Linux 系统，使用开放源代码系统是为了保证没有系统后门。同时，为了适合于网络安全产品的使用，我们对系统作了以下处理： 安全加固（Security-Enhancing
26、）增强了系统存取控制策略，保证防火墙系统程序不会受其他错误或恶意程序的破坏（如Buffer Overflow）保证了Linux 的核心的一致性和完整性，使系统免于错误或恶意的程序的破坏去除不安全的系统调用（如setuid）而代之以经过安全检查的系统调用。 系统裁减（System Trim）更改了系统的启动方式；去除了所有无关的服务和应用；使用更小的、高效的C 链接库；程序代码压缩储存，初始化时解压缩到内存，节约存储空间提高运行效率；采用模块化结构，可根据用户需求，只装载必要的功能模块，进一步提高了系统效率。 多种工作模式由于工作在IP 层，从本质上看，防火墙设备属于路由设备。在已有的网络环境中添加一台防火墙设备，将需要重新规划网络结构，这需要作大量的工作，在某些环境中，网络结构不允许更动。为了适应各种复杂的网络环境和需求。HT-2200提供了透明网桥模式，在该模式下
