一汽集团企业网络介绍.pptx

一汽集团网络介绍 集团服务部 2011年3月7日 集团网络总体拓扑 集团网络总体介绍 一汽集团网 办公网 生产网 互联网 电信 联通 移动 下联单位 光纤网络互联约为80个单位 城域网专线互联约为14个单位 办公网络用户数约为2w人 互联网 电信 联通 移动 服务器区 A/B机房服务器区 D机房服务器区 服务器约为560台 独立系统：财务公司、TDS系统、国际物流 核心骨干网络介绍 Cisco Nexus 7000 Cisco 6509 switch 集团光纤骨干网建设： 定位：构建光纤骨干网，高速承载网 核心骨干网络 办公网络核心 生产网络核心 汇聚交换机6509 汇聚交换机6509 服务器区防火墙 2.4、企业网方案分解说明 核心交换机N7K采用VDC技术划分出生产核心交换机和办公核心交换机。 通过路由选择协议来对访问生产和访问办公网络的流量进行分离。 汇聚交换机csico6509均分别与办公核心和生产核心进行互联。 汇聚6509均分别与办公核心和生产核心运行ospf 10和ospf20，ospf10用来运行办公网络路由，ospf20用来运行生产网络路由。 汇聚6509与下联分厂接入交换机运行rip协议，下联分厂接入交换机通过6509的ospf和静态向rip的重分布学习企业网路由。6509通过指静态路由来让企业网明确下联分厂路由。 汇聚6509通过调整重分布metric值来实现汇聚层的流量分离。 方案拓扑图 集团互联网建设： 定位：集团对外窗口，安全，可控，稳定 服务器区互联网专线 集团用户访问互联网专线 互联网 两套互联网出口，分别为办公互联网出口和生产互联网出口，可以实现办公和生产互联网流量分离。 互联网路由器cisco7606路由器采用vrf技术区分ISP流量，避免单点ISP路由器故障。 两套出口主用链路负载均衡设备均为LPODS2，备用设备均为LP 3000,切换方式手动切换。 Cisco7606路由器采用冷备方式，切换方式为手动切换。 两套出口防火墙采用NSRP方式进行冗余 ,切换方式为自动切换。 方案拓扑图 集团广域网建设： 定位：厂区外光缆无法敷设到的区域 DMVPN 1、全国网DMVPN，架构模式HUB-SPOKE 2、包括电信和联通两条链路 3、实施一共约有130家 DMVPN实现方式 tunnel：GRE (支持路由协议）+ IPSEC（加密）=加密tunnel 缺点：建立tunnle，必须知道VPN两端的IP地址 解决：NHRP——解决spoke端动态活的地址的情况 NHRP:只需要固定HUB端的公网IP地址，spoke端活的IP地址后 会通过NHRP协议向spoke端注册自己的ISP地址。 动态路由协议水平分割问题： RIP：no split horizon EIGRP：no ip next?hop?self eigrp OSPF：不存在水平分割的问题，但是要把HUB设置为DR 我们使用的动态路由协议是EIGRP Radius 服务器认证 SSLVPN 登录域名： 认证方式：密码认证、RSA认证、AD单点登录 访问形式：web、SAM、Network connect 城域网 链路类型：专线 城域网设备：HUAWEI NE16 接入单位：专用车厂、一汽客车、底配厂、富奥公司总部、车轮厂、富奥德尔塔、装备公司、医保专线等(见拓扑图） 安全控制：防火墙 后期准备 可以使用联通提供“城际互联”专线用户，均从NE16路由器移至cisco7609路由器上。电信专线接入至cisco7609-1路由器，联通专线接入至cisco7609-2路由器。 Cisco7609-1与cisco7609-2分别接入至办公核心和生产核心，运行两套OSPF，相当于企业网汇聚层交换机，使专线用户和DMVPN用户既能够访问办公网络也能够访问生产网络。 Cisco7609-1和cisco7609-2通过HSRP协议互为冗余。 两台juniper sslvpn设备，SA4500为收费用户提供服务，SA3000为非收费用户提供服务。 Cisco7609-1和cisco7609-2上面分别配置cisco防火墙板卡，对DMVPN以及专线接入企业网做访问控制及攻击防护。 因为cisco7609没有CPOS板卡，所以目前使用cpos连接的城域网还保留在NE16上。 使用NE05（原网通路由器）作为NE16备份设备。 城域网