中型企业(100-200人）网络部署方案

适用范围

本方案适用于中型企业（100～200人），本方案可以将公司员工和外部访客的用户终端、公司监控摄像头等网络终端接入到网络中，实现办公自动化及办公安全。

业务需求

一般中型企业对网络的主要业务需求包括：

• 互联需求
• 企业多个分支之间需要实现互联，且要保证传输数据的安全性。
• 接入需求
• 提供有线和无线接入方式。
• 无线覆盖需要做到覆盖均匀、无盲区、高吞吐量、并发多用户处理能力强，且采用的AP部署便捷、外观美观时尚。
• 公司员工和外部访客均可通过无线接入网络。
• 有线接入能支持电脑及打印机、复印机、传真机、摄像头等哑终端的接入。
• 无线漫游需求
• 支持办公区域内、办公区域与会议室之间的终端移动，保持用户业务不中断。
• 安全性需求
• 外部访客不允许访问公司内网。
• 网络划分为Trust、DMZ和Untrust三个安全区域，将内网终端用户所在区域划分为Trust区域，服务器区域划分为DMZ区域，外网划分为Untrust区域，保护局域网络免受来自网络的攻击。
• 内部局域网划分为Trust和Untrust两个安全区域，将数据中心服务器所在的区域划分为Trust区域，内网中其它网络终端所在区域划分为Untrust区域，保护数据中心服务器免受其它终端的攻击。
• 认证计费需求
• 公司员工接入无线网络时需要输入预设的密码，外部访客可以无需验证直接接入无线网络，但两者的访问权限不同。公司员工可以访问Internet，还可以接入公司内网络；外部访客只能接入Internet。
• 有线接入无需认证能支持电脑及打印机、复印机、传真机、摄像头等哑终端的接入。
• 无计费需求。

组网图

中型企业组网方案如图2-1所示。

图2-1 中型企业组网图

 

网络设计分析

• 无线覆盖
• 无线网络覆盖主要为企业员工和外部访客提供网络接入Internet，企业员工采用预共享密码的方式接入网络，外部访客采用开放认证（Open）方式直接接入网络。
• 无线业务统一由AC6005管理，AP采用三层上线。S5720-32P-EI为无线终端分配IP地址。
• 有线接入
• 有线接入主要给员工办公和接入Internet，并提供给内网服务器的接入和摄像头、打印机等哑终端的接入。
• 有线终端的网关为S5720-32P-EI设备，同时S5720-32P-EI也是有线终端的DHCP Server，为有线终端分配IP地址。
• 接入交换机S5700-52P-LI和S5700-28P-PWR-LI部署二层转发业务，为用户终端提供网络接入功能。通过VLAN划分，为不同类型的用户隔离广播域，实现二层隔离。其中PoE款型S5700-28P-PWR-LI为AP和摄像头提供集中式供电功能。
• 有线用户不需要认证。
• 安全性需求
• 防火墙USG6350上配置NAT功能，用于公网私网地址转换；配置IPsec VPN功能，与其他分支互联；配置安全策略，保护局域网络免受来自网络的攻击（防火墙上网行为管理需要购买License）。
• 交换机S5720-32P-EI作为三层网关设备配置ACL，控制外部访客和员工之间的访问权限。
• NIP6320配置安全策略，配置入侵防御功能，保护数据中心服务器免受其它终端的攻击。

基础网络规划简单、用户接入自由、策略配置方便，运维简化。