大型制造企业网络及安全系统的设计.docVIP

大型制造企业网络及安全系统的设计 　　[摘 要]本文对大型制造企业网络及安全系统的架构设计进行了初步的探讨，探索制造企业网络平台建设架构需求，进而利用先进的网络及安全设备设计高速可靠的网络平台，并为企业网络平台提供完整可靠的安全解决方案。 　　[关键词]网络架构 路由设计 　　中图分类号：TP393.18 文献标识码：A 文章编号：1009-914X（2016）14-0283-02 　　1、前言 　　大型制造企业的主干网络及安全系统，作为支撑制造企业各种应用（如：ERP、MES、OA等）的基础平台，设计和实施的重要性不言而喻。 　　2、主干网络及安全系统的总体架构 　　2.1网络安全系统的整体架构 　　主干网络架构总体上分为四大区域 ：互联网接入区、管理网、生产网、L2/L3系统互联专网区域。互联网接入区主要实现和互联网或分支机构的连接，公司办公楼为管理网的中心，生产管控中心大楼为生产网和L2/L3系统互联的中心。 　　主干网络安全系统架构的特点： 　　主干网络划分为管理网和生产网。 　　在每一个网络区域之间用防火墙系统实现隔离，定义相应的安全策略和防火墙系统的安全认证，保护企业内部网络系统的安全。 　　安装在防火墙系统内侧的病毒防火墙及入侵检测与防护系统，可以有效地防治来自外部网络系统的病毒攻击以及对网络及主机的黑客攻击。 　　通过防火墙系统实现生产网、管理网、互联网之间的访问。对于需要对外提供Web、Mail服务的计算机系统，部署在相应的防火墙DMZ区域之内，保证上述系统安全、可靠地对外提供服务。 　　L2系统对实时性和稳定性的要求非常高，同时对L2系统的安全防护尤其需要重视。L2/L3系统通信互联专用网络系统通过防火墙实现与生产主干网络隔离，专门为L2过程控制机提供可靠的网络接入，实现与应用系统的通信。 　　2.2 互联网接入区网络结构 　　2.3 管理网网络架构 　　管理网主要用于提供位于非生产功能区域的企业管理职能信息系统的联网，并作为信息安全缓冲区域，为互联网或分支结构的接入提供安全保障。 　　管理网采用双星型网络拓扑结构，中心节点采用两台互为备份的核心交换机。各单元的办公楼配置分布层/接入层交换机，并以双路上联到两台核心交换机。 　　2.4生产网网络架构 　　生产网按生产区域划分为几个区，其中以生产管控中心大楼作为生产网的中心节点。生产主干网采用星环层次结构，在各生产区域的主干网节点各部署二台互为备份的网络核心设备。 　　2.5 L2/L3系统通信互联 　　L2网络系统采用按生产单元区域集中的方式进行规划设计， 在生产管控中心设立L2网络系统互联中心节点，各生产单元区域设立一个分中心节点（L2汇聚节点）。中心节点与分中心节点互连，网络设备做到双机热备份功能。（注：L2系统：过程控制机，基本上都是跟踪，有接受上位机的管理信息，并回馈传递生产数据。 L3系统：区域管理机，区域管理基本上按照生产制造单元分，接受L4生产管理信息，并上传实绩。） 　　3、IP地址总体分配方案 　　主干网络使用C类私有IP地址：192.168.0.0-192.168.255.255。L2网络使用B类私有IP地址：172.16.0.0-172.16.255.255，与主干网系统地址分开，供生产控制信息系统使用。 　　主干网络全部开通组播路由功能，使用D类私有IP地址：239.1.0.0，供视频信号等使用。 　　3.1 主干网IP地址范围 　　主干网络IP地址范围为：192.168.0.0-192.168.255.255。这些IP地址主要分配用途如下：主干网络设备路由接口IP地址、生产网络IP地址、管理网络IP地址、服务器专用IP地址等。 　　3.1.1 管理网IP地址范围 　　管理网的IP范围为192.168.1.0/24-192.168.63.0/24子网内，子网掩码为255.255.255.0，具体安排如下： 　　192.168.1.0/24-192.168.47.0/24供管理网的终端用户使用； 　　192.168.58.0/24为管理网服务器区专用子网，供服务器专用； 　　192.168.60.0-192.168.61.255按29位掩码分，作为管理网节点路由互联链路专用地址段； 　　其他子网：192.168.48.0/24-192.168.57.0/24，192.168.59.0/24，192.168.62.0/24，192.168.63.0/24预留。 　　用户子网的1-200分配给用户，201-254为网络设备保留地址，网关地址为254。 　　3.1.2 生产网IP地址范围 　　生产网的IP范围为：192.168.64.0/24-192.168.25