信息化專稿：淺談分支企業網絡規劃和維護
時間：2015-11-24 11:37 來源：博源集團 進入信息時代后，要求企業用信息技術來強化企業的管理、生產和經營，而企業要創造更多的經濟效益就必須借助信息技術來提高企業的生產效率和管理水平，各自為戰的單機應用逐步暴露出現有資源利用率低、信息冗余大等問題。這對于在地域上分布較廣的企業來說顯得更加重要。為了解決這些問題公司總部建設一個滿足應用需求的中心網絡系統來實現業務系統、資源的共享。此時分支企業同樣需要一個網絡系統來與總部互連。
現在跟大家分享一些關于分支企業網絡規劃和維護的心得。
一、分支企業網絡的功能需求
1、Internet接入。這是最基本的需求。
接入internet讓我們可以訪問全世界任何一個站點、網上交易、網上交流、收發郵件、獲取和發布信息等。目前internet的資訊無論從量還是更新速度上來說都已經遠遠超過任何一種媒體。
2、訪問總部數據中心業務系統（如ERP、OA、WEB等）。這是核心需求。
目前，除那些大型的互聯網公司外大多數企業的核心業務系統都會放在總部數據中心，包括應用程序以及后端的服務器、數據庫、存儲設備以及相應的主干網?？偛繒⑦@些業務系統從內網映射（NAT）到internet或者是通過私有專用網（如vpn或者是專線）開放給分支企業。
3、傳輸視頻和語音。
近些年，視頻會議、生產監控、ip電話等在地域上分布較廣的一類企業應用比較廣泛。通常多媒體服務器會放在總部，終端則放在各分支企業，二者通過網絡進行連接。這些應用使得溝通更加快捷和高效而且成本降低。
4、承載簡單的內部應用。如企業網站、FTP server、DHCP server等應用。
分支企業網絡的功能覺得了其特點：網絡架構相對簡單清晰，各節點一般為單一設備和線路，不做冗余；設備和線路的變更比較靈活，影響面可控；無復雜的應用，一般不涉及服務器、數據庫、存儲等復雜技術。但是與總部中心網絡一樣分支企業網絡對于對連續性、穩定性、安全性也有要求。
二、分支企業網絡的架構
成員企業網絡的功能及特點決定了其架構。典型的網絡架構如圖所示。
1、網絡架構。通常推薦采用二層式網絡架構，即核心層和接入層架構。層數越多，故障點越多，所以在不要求冗余的情況下，網絡架構越簡單越好。
2、線路冗余備份。通常分支企業無法做到設備的冗余，但是在線路上可進行冗余，再通過配置命令將多條物理冗余線路虛擬成一條邏輯線路。如圖1中的接入層交換機1和核心交換機之間的線路可以由兩條物理線路形成冗余，然后在兩端設備啟用鏈路聚合（link-aggregation）等網絡協議將這兩條物理線路虛擬成一條線路。
3、內網網段規劃。用戶網段推薦按樓層或者部門劃分，其他網段（如視頻會議、專線、監控）按功能不同各獨享一個網段。所有網段的網關位于核心層交換機上。接入層為純二層即可。用戶網段采用自動獲取地址（DHCP）,其他功能網段和設備互連網段均為靜態地址。切忌將所有功能區域放在同一個網段內，無法分割廣播域。
4、路由協議規劃。由于分支企業設備性能有局限，推薦全網采用靜態路由協議（STATIC），如果設備性能較好也可啟用OSPF，根據實際情況評估。
5、無線網規劃。通常采用無線控制器AC配合FIT AP來實現覆蓋。一些分支企業通過盒式無線路由器來提供無線網。但是存在幾個問題。第一，增加了網絡層數，故障點增多；第二，無線路由器設置不當，會形成偽DHCP影響核心層的DHCP server；第三，接入的無線路由器無法進行統一管理，SSID（即wifi標識）和SSID權限均無法管理。
6、網絡帶寬管理。可通過UTM（統一威脅管理，包含防火墻、IPS、病毒防護、vpn、流量管理功能）設備實現簡單基于應用的帶寬管理。通常網絡帶寬會被P2P/IM流量、普通HTTP流量、BIT流量、視頻傳輸這些非業務流量占用大部分，而業務可利用的帶寬很小。例如，百兆帶寬，多人開啟迅雷下載速和視頻觀看，再訪問業務系統時延時一定會增大。
一些企業通過在網絡設備上做QOS（服務質量）來進行帶寬控制，其實這種辦法不可取，因為網絡層面上的QOS是無法識別應用類別的，其結果是無論非業務流和業務流均被控制。正確的思路是控制非業務帶寬，為業務帶寬讓路，這可以通過UTM設備實現。
7、內網安全?？赏ㄟ^UTM設備實現簡單內網安全防護。通常關注分支企業網絡出口區域和內部應用區域的安全。出口區域主要做防病毒、IPS防護；內部應用區域主要做防火墻、IPS防護。除了這兩個區域，很容易被忽略的是內網的計算機，其實很大一部分病毒和木馬來自于我們自己使用的計算機，即使不連接到internet也會被傳播和傳播病毒木馬，所以安裝殺毒軟件很必要，當然良好的上網習慣同樣重要。
構建分支企業網絡我認為可分為兩個階段。第一階段，理清網絡架構，合理規劃內網功能區域；第二階段，在清晰合理的網絡架構之上才可以做一些管理控制和安全防護。脫離第一階段談第二階段無任何意義。
三、分支企業網絡的管理
1、全網設備配置管理ip，并開啟telnet服務和可探測，以便在出現問題時總部能夠及時遠程登錄到各臺設備查看配置進行維護。
2、設備的配置命令須加注釋，如管理員變更配置同樣需要加足夠信息量的注釋。線路須整理清楚并打上標簽。根據以往經驗，不做注釋、不打標簽會占用排錯的很大一部分時間。
3、最好形成關于網絡維護的文檔，包括拓撲圖、接口信息、ip地址、用戶名/密碼。這個文檔對于維護和排錯都及其重要。
4、如設備配置有變更及時備份配置文件。通過備份的配置文件恢復通常會比重新配置要更快的恢復網絡。
5、建議留有備機，出現故障后能根據備份的配置及時替換故障設備。
