一级分行局域网改造培训-技术方案v10.pptVIP

* 互联网汇聚交换机放到OSPF AREA 0. * * * * 防火墙上做双向的策略控制,T到U,U到T. * * * * * * * * * * * * 授权和审计,本次工程未涉及.建议通过统一AAA服务器来实现. * * 无需对所经过的流量进行控制区. * 边界的防火墙上安全策略进行配置 定义客户端. Juniper FW只针对IP地址空间,不支持反码.需要编写所有允许的IP地址段. 防火墙上线时:1允许所有的流量,再检查是否有遗漏的流量.并打开log.2知道特定地址后再修改成严格的控制策略. 策略需要细化到特定的IP地址或IP地址段,到特定的端口. 要求:防火墙上线,明确的策略需要做好.今后再根据详细的调查结果将最终的策略写上去. * 做到6509交换机上. 业务1和业务2互访，业务1和基础设施互访ACL精度为:地址.端口到地址,端口 业务2、管理类和基础设施能相互访问ACL精度为:地址到地址 网管安管和业务1互访，网管安管和业务2互访，网管安管和管理类互访ACL精度为仅限制目标IP地址和端口 * * * * * * 为了统一配置模板,6506 slot3 19-24口不用,仅用1-18口. * 安全规则,ACL通过硬件来处理,性能不用担心. 光口板采用从最后slot 3往后用. 电口板采用从最后slot往前用. * 网络设备互联尽量采用光口来连接,可靠性高. * * * * 地址段是指IP地址第三个段. 被管理设备包括分行二层交换机及相关loopback地址,汇聚层交换机. 网管主机: * * 192-207 :DMZ双数由总行定义,单数由分行自行分配. * * * 网关地址,除了*.*.40.*外,均改为254.254为VIP,250,251作为网关实地址,252,253作为网关保留. * * * 如果224有其它用途,需要前期调整. 服务器IP地址调整与SFB主机IP地址调整可以一起做. 30地址段需要作为调整出来,作为局域网核心交换机和汇聚交换机Loopback地址段使用 224地址段需要提前调整出来. * MCU,视频终端统一部署到客户端区. * * 建两个HSRP group. * * 数据流全部在SW1, 全部均采用主备策略. * 总行汇总路由成11.0.0.0/8 S1,S2看到的是汇总路由.网关到S1通过RA到总行,到S2就可通过RB到总行. * 数据分流采用通过目标网段,通过明细路由来到达. 二级骨干(OSPF,EIGRP,RIP),在局域网中单独启一个OSPF域. 这样有三个域:BGP,新OSPF域,原来二级骨干路由域. * 将客户端分配成area 10,全行统一. 同城网络规划到客户端区.办公地址不在同一大楼,可通过客户端连接进来或通过RTP来连接. 主要通过IP地址的标识来区分. 路由进程号由1+现有AS号组成. * S1主用,S2备用,通过明细路由来区分 * 总行下发的路由如果明细是通过LA进来就通过RA转发,明细是通过LB进来就通过RB转发. * 二级分行向一级分行分发路由,二级分行进行汇总路由调整.N.N.0.0/16汇总成/19或/17.汇总成类或业务,通过二级骨干链连带宽多少来确定 * RTP 交换机上来进行路由分发. 通过两个OSPF进程,由于管理向量一样,可能会有先收到谁先转发,可能会发生路由环路.因此通过TAG来控制. * 由于不同的路由协议,管理向量不同,因此不会有路由不稳定的问题发生. * 服务器区的网关地址全在三层汇聚交换机.静态路由到防火墙,防火墙采用AP模式,active/standby. 防火墙选拔三层连接方式. * 客户端区为ospf area 10域. 客户端内的COST由分行来确定,跟内部连接方式有关. * 谢谢！ * 先进数通,罗建斌. * * * * * * * * 服务器的分类与IP地址的类别标识对应,区分通过业务类别和业务维度. * * * 基础设施类应用是指没有客户端. * “口”字形连接. 从管理上来看,故障时排错比较快速. 可靠性上99.9%与full mesh连接可靠性相差不多. 安全性上,大行采用1Gbps的线速能力.但大行需要有4Gbps交换速率.采用多线路捆绑. * * * * 将原来的核心上的到互联网的default 路由迁移到互联网平台的接入核心上. * 首先需要将互联网平台从核心上迁移出来. * 调整比较少. * * * * * * * * Catalyst 6503-E 3-slot chassis, [7 inches / 4 rack units high] 11 chassis / 7ft rack For small wiring closets, integrated services ch