信息化專(zhuān)稿：淺談分支企業(yè)網(wǎng)絡(luò)規(guī)劃和維護(hù)
時(shí)間：2015-11-24 11:37 來(lái)源：博源集團(tuán) 進(jìn)入信息時(shí)代后，要求企業(yè)用信息技術(shù)來(lái)強(qiáng)化企業(yè)的管理、生產(chǎn)和經(jīng)營(yíng)，而企業(yè)要?jiǎng)?chuàng)造更多的經(jīng)濟(jì)效益就必須借助信息技術(shù)來(lái)提高企業(yè)的生產(chǎn)效率和管理水平，各自為戰(zhàn)的單機(jī)應(yīng)用逐步暴露出現(xiàn)有資源利用率低、信息冗余大等問(wèn)題。這對(duì)于在地域上分布較廣的企業(yè)來(lái)說(shuō)顯得更加重要。為了解決這些問(wèn)題公司總部建設(shè)一個(gè)滿足應(yīng)用需求的中心網(wǎng)絡(luò)系統(tǒng)來(lái)實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)、資源的共享。此時(shí)分支企業(yè)同樣需要一個(gè)網(wǎng)絡(luò)系統(tǒng)來(lái)與總部互連。
現(xiàn)在跟大家分享一些關(guān)于分支企業(yè)網(wǎng)絡(luò)規(guī)劃和維護(hù)的心得。
一、分支企業(yè)網(wǎng)絡(luò)的功能需求
1、Internet接入。這是最基本的需求。
接入internet讓我們可以訪問(wèn)全世界任何一個(gè)站點(diǎn)、網(wǎng)上交易、網(wǎng)上交流、收發(fā)郵件、獲取和發(fā)布信息等。目前internet的資訊無(wú)論從量還是更新速度上來(lái)說(shuō)都已經(jīng)遠(yuǎn)遠(yuǎn)超過(guò)任何一種媒體。
2、訪問(wèn)總部數(shù)據(jù)中心業(yè)務(wù)系統(tǒng)（如ERP、OA、WEB等）。這是核心需求。
目前，除那些大型的互聯(lián)網(wǎng)公司外大多數(shù)企業(yè)的核心業(yè)務(wù)系統(tǒng)都會(huì)放在總部數(shù)據(jù)中心，包括應(yīng)用程序以及后端的服務(wù)器、數(shù)據(jù)庫(kù)、存儲(chǔ)設(shè)備以及相應(yīng)的主干網(wǎng)。總部會(huì)將這些業(yè)務(wù)系統(tǒng)從內(nèi)網(wǎng)映射（NAT）到internet或者是通過(guò)私有專(zhuān)用網(wǎng)（如vpn或者是專(zhuān)線）開(kāi)放給分支企業(yè)。
3、傳輸視頻和語(yǔ)音。
近些年，視頻會(huì)議、生產(chǎn)監(jiān)控、ip電話等在地域上分布較廣的一類(lèi)企業(yè)應(yīng)用比較廣泛。通常多媒體服務(wù)器會(huì)放在總部，終端則放在各分支企業(yè)，二者通過(guò)網(wǎng)絡(luò)進(jìn)行連接。這些應(yīng)用使得溝通更加快捷和高效而且成本降低。
4、承載簡(jiǎn)單的內(nèi)部應(yīng)用。如企業(yè)網(wǎng)站、FTP server、DHCP server等應(yīng)用。
分支企業(yè)網(wǎng)絡(luò)的功能覺(jué)得了其特點(diǎn)：網(wǎng)絡(luò)架構(gòu)相對(duì)簡(jiǎn)單清晰，各節(jié)點(diǎn)一般為單一設(shè)備和線路，不做冗余；設(shè)備和線路的變更比較靈活，影響面可控；無(wú)復(fù)雜的應(yīng)用，一般不涉及服務(wù)器、數(shù)據(jù)庫(kù)、存儲(chǔ)等復(fù)雜技術(shù)。但是與總部中心網(wǎng)絡(luò)一樣分支企業(yè)網(wǎng)絡(luò)對(duì)于對(duì)連續(xù)性、穩(wěn)定性、安全性也有要求。
二、分支企業(yè)網(wǎng)絡(luò)的架構(gòu)
成員企業(yè)網(wǎng)絡(luò)的功能及特點(diǎn)決定了其架構(gòu)。典型的網(wǎng)絡(luò)架構(gòu)如圖所示。
1、網(wǎng)絡(luò)架構(gòu)。通常推薦采用二層式網(wǎng)絡(luò)架構(gòu)，即核心層和接入層架構(gòu)。層數(shù)越多，故障點(diǎn)越多，所以在不要求冗余的情況下，網(wǎng)絡(luò)架構(gòu)越簡(jiǎn)單越好。
2、線路冗余備份。通常分支企業(yè)無(wú)法做到設(shè)備的冗余，但是在線路上可進(jìn)行冗余，再通過(guò)配置命令將多條物理冗余線路虛擬成一條邏輯線路。如圖1中的接入層交換機(jī)1和核心交換機(jī)之間的線路可以由兩條物理線路形成冗余，然后在兩端設(shè)備啟用鏈路聚合（link-aggregation）等網(wǎng)絡(luò)協(xié)議將這兩條物理線路虛擬成一條線路。
3、內(nèi)網(wǎng)網(wǎng)段規(guī)劃。用戶網(wǎng)段推薦按樓層或者部門(mén)劃分，其他網(wǎng)段（如視頻會(huì)議、專(zhuān)線、監(jiān)控）按功能不同各獨(dú)享一個(gè)網(wǎng)段。所有網(wǎng)段的網(wǎng)關(guān)位于核心層交換機(jī)上。接入層為純二層即可。用戶網(wǎng)段采用自動(dòng)獲取地址（DHCP）,其他功能網(wǎng)段和設(shè)備互連網(wǎng)段均為靜態(tài)地址。切忌將所有功能區(qū)域放在同一個(gè)網(wǎng)段內(nèi)，無(wú)法分割廣播域。
4、路由協(xié)議規(guī)劃。由于分支企業(yè)設(shè)備性能有局限，推薦全網(wǎng)采用靜態(tài)路由協(xié)議（STATIC），如果設(shè)備性能較好也可啟用OSPF，根據(jù)實(shí)際情況評(píng)估。
5、無(wú)線網(wǎng)規(guī)劃。通常采用無(wú)線控制器AC配合FIT AP來(lái)實(shí)現(xiàn)覆蓋。一些分支企業(yè)通過(guò)盒式無(wú)線路由器來(lái)提供無(wú)線網(wǎng)。但是存在幾個(gè)問(wèn)題。第一，增加了網(wǎng)絡(luò)層數(shù)，故障點(diǎn)增多；第二，無(wú)線路由器設(shè)置不當(dāng)，會(huì)形成偽DHCP影響核心層的DHCP server；第三，接入的無(wú)線路由器無(wú)法進(jìn)行統(tǒng)一管理，SSID（即wifi標(biāo)識(shí)）和SSID權(quán)限均無(wú)法管理。
6、網(wǎng)絡(luò)帶寬管理?？赏ㄟ^(guò)UTM（統(tǒng)一威脅管理，包含防火墻、IPS、病毒防護(hù)、vpn、流量管理功能）設(shè)備實(shí)現(xiàn)簡(jiǎn)單基于應(yīng)用的帶寬管理。通常網(wǎng)絡(luò)帶寬會(huì)被P2P/IM流量、普通HTTP流量、BIT流量、視頻傳輸這些非業(yè)務(wù)流量占用大部分，而業(yè)務(wù)可利用的帶寬很小。例如，百兆帶寬，多人開(kāi)啟迅雷下載速和視頻觀看，再訪問(wèn)業(yè)務(wù)系統(tǒng)時(shí)延時(shí)一定會(huì)增大。
一些企業(yè)通過(guò)在網(wǎng)絡(luò)設(shè)備上做QOS（服務(wù)質(zhì)量）來(lái)進(jìn)行帶寬控制，其實(shí)這種辦法不可取，因?yàn)榫W(wǎng)絡(luò)層面上的QOS是無(wú)法識(shí)別應(yīng)用類(lèi)別的，其結(jié)果是無(wú)論非業(yè)務(wù)流和業(yè)務(wù)流均被控制。正確的思路是控制非業(yè)務(wù)帶寬，為業(yè)務(wù)帶寬讓路，這可以通過(guò)UTM設(shè)備實(shí)現(xiàn)。
7、內(nèi)網(wǎng)安全?？赏ㄟ^(guò)UTM設(shè)備實(shí)現(xiàn)簡(jiǎn)單內(nèi)網(wǎng)安全防護(hù)。通常關(guān)注分支企業(yè)網(wǎng)絡(luò)出口區(qū)域和內(nèi)部應(yīng)用區(qū)域的安全。出口區(qū)域主要做防病毒、IPS防護(hù)；內(nèi)部應(yīng)用區(qū)域主要做防火墻、IPS防護(hù)。除了這兩個(gè)區(qū)域，很容易被忽略的是內(nèi)網(wǎng)的計(jì)算機(jī)，其實(shí)很大一部分病毒和木馬來(lái)自于我們自己使用的計(jì)算機(jī)，即使不連接到internet也會(huì)被傳播和傳播病毒木馬，所以安裝殺毒軟件很必要，當(dāng)然良好的上網(wǎng)習(xí)慣同樣重要。
構(gòu)建分支企業(yè)網(wǎng)絡(luò)我認(rèn)為可分為兩個(gè)階段。第一階段，理清網(wǎng)絡(luò)架構(gòu)，合理規(guī)劃內(nèi)網(wǎng)功能區(qū)域；第二階段，在清晰合理的網(wǎng)絡(luò)架構(gòu)之上才可以做一些管理控制和安全防護(hù)。脫離第一階段談第二階段無(wú)任何意義。
三、分支企業(yè)網(wǎng)絡(luò)的管理
1、全網(wǎng)設(shè)備配置管理ip，并開(kāi)啟telnet服務(wù)和可探測(cè)，以便在出現(xiàn)問(wèn)題時(shí)總部能夠及時(shí)遠(yuǎn)程登錄到各臺(tái)設(shè)備查看配置進(jìn)行維護(hù)。
2、設(shè)備的配置命令須加注釋?zhuān)绻芾韱T變更配置同樣需要加足夠信息量的注釋。線路須整理清楚并打上標(biāo)簽。根據(jù)以往經(jīng)驗(yàn)，不做注釋、不打標(biāo)簽會(huì)占用排錯(cuò)的很大一部分時(shí)間。
3、最好形成關(guān)于網(wǎng)絡(luò)維護(hù)的文檔，包括拓?fù)鋱D、接口信息、ip地址、用戶名/密碼。這個(gè)文檔對(duì)于維護(hù)和排錯(cuò)都及其重要。
4、如設(shè)備配置有變更及時(shí)備份配置文件。通過(guò)備份的配置文件恢復(fù)通常會(huì)比重新配置要更快的恢復(fù)網(wǎng)絡(luò)。
5、建議留有備機(jī)，出現(xiàn)故障后能根據(jù)備份的配置及時(shí)替換故障設(shè)備。
