生物药厂网络建设方案.doc

生物药厂网络建设方案

43
2020年4月19日
文档仅供参考，不当之处，请联系改正。
“* *”生物药厂网络建设方案
第一部分、厂区光纤网络建设 2
一、针对该需求，我们做出如下设计： 3
二、综合布线系统： 5
三、安装工艺的设计 8
（1）、设备间 8
（2）、交接间 8
（3）、电缆 9
（4）工作区 9
( 5 ) 系统接地 9
四、室外光缆的架设： 9
五、综合布线产品的选择： 11
六、网络设备的选择： 11
七、防病毒方案 15
八、本期网络设备配置说明： 17
九、第二阶段配置（考虑）： 19
十、网络设计要点： 19
第二部分、财务服务器更新 20
一、服务器配置详细说明 20
二、主机设备介绍 20
三、双机系统（二阶段考虑） 21
第三部分、机房的装修和电源冗余 22
一、网络系统电力保障： 22
二、中心机房规划方案 23
第四部分、其它 25

第一部分、厂区光纤网络建设
当前“* *”生物药厂的网络使用仅局限于厂部办公大楼，分布于厂区的生产车间、库房、研发等部门均未联在网络内。因此，在厂区内敷设光纤，建设一个分布全厂区的交换网络系统是企业开展信息化建设的一个基本前提要求。
一、针对该需求，我们做出如下设计：

图：厂区光缆布线拓扑
1、从厂部办公楼敷设8芯光缆到制水楼，以制水楼为厂区网络的汇聚中心，再分别敷设4芯光缆到201厂房、202厂房、二车间、三车间；
2、从制水楼敷设8芯光缆到研发部，从研发部就近敷4芯光缆到质检部。另从厂部办公大楼就近放一根4芯光缆到成品库；
3、光缆在从厂部办公大楼出发的一段以穿地下管道的方式敷设。在厂区其它部分，以挂空的方式敷设，没有钢绞线的地方要新敷设钢绞线，用挂钩吊挂光缆；
4、所有光缆熔接在光纤接线盒里，并固定在ST型耦合器上；
5、交换网络方面：在制水楼配备一台全光纤口的交换机，用于与厂区其它建筑里的交换机的互联；
6、在制水楼、201厂房、202厂房、二车间、三车间、研发部、质检部分别配置一台带上联光纤口的交换机，所有交换机的光纤口与制水楼内的全光口交换机相连。
7、全光口交换机经过光纤收发器与厂部办公楼的交换机相连，实现全厂的网络互联。
此次厂区内光纤网络的建设涉及到光纤、室内双绞线（包括 个信息点）的敷设与端接。根据我们对“* *”生物药厂需求的现场了解和对平面图的研究，主要当前要解决的是建筑群子系统之间的主干光纤路由。室内布线节点待根据各子单位上报所需节点数再定。光纤分布和长度见下图：

厂区光纤及信息点分布图
“* *”生物药厂的主网络中心位于办公楼的三楼，在三层设置配线间，同时在厂房楼群中制水楼二楼设立副网络中心机房，经过单模光缆跟主网络中心的配线间相连。同时在主、副网络中心取近向周边相关单位建筑等地方用多模光缆作为主干连接，各单位建筑内的各职能管理部门经过五类双绞线连接到相应楼层配线间的二级交换设备上。
以下为本期项目所需施工涉及的大楼及生产车间：
光纤接入点位置
覆盖范围
长度
厂部办公楼、制水楼
网络中心至副网络中心距离（8芯单模）
700米
厂部办公楼、成品库
网络中心至成品库距离（4芯多模）
200米
制水楼、201
副网络中心至201距离（4芯多模）
450米
制水楼、202
副网络中心至202距离（4芯多模）
300米
制水楼、四车间
副网络中心至四车间距离（4芯多模）
400米
制水楼、三车间
副网络中心至三车间距离（4芯多模）
250米
制水楼、检验楼
副网络中心至检验楼距离（4芯多模）
350米
制水楼、研究所
副网络中心至研究所距离（8芯单模）
450米
总计

3100米

二、综合布线系统：
“* *”生物药厂主干设计为千兆以太网，实现百兆到各终端信息点。在综合布线系统这个物理平台上使数据、语音、图象等的高速传输，实现网络信息共享，视频点播功能，满足日常办公工作的需要。
我们为“* *”生物药厂的综合布线系统设计6个部分：建筑群子系统、工作区部分、配线子系统、干线子系统、设备间（交接间）部分。下面分别对本工程综合布线系统的几个部分进行逐一描述：
整个企业的网络中心设置在办公楼的三楼，为主网络中心。网络中心设置数据总配线架和网络设备。网络交换设备提供接入到电信网宽带的端口，同时根据整个厂区建筑群子系统所需的光纤数量，提供相应的光端口数目，再经过光纤跳线，将网络设备的光端口与光纤配线架连接。主网络中心和副网络中心向其它部门建筑群敷设室外8芯单模以及室外4芯多模光缆，网络中心与副网络中心敷设室外8芯室外单模光缆，由此形成单模和多模混布的主干光缆路由。在各配线间区域内以及配线间之间，根据需要，分别从各配线间敷设五类双绞线。
厂区建筑群子系统干线采用室外光纤，设计时考虑到整个企业的面积很大，同时光纤路由较长，因此多模光纤选用50/125μm多模室外光纤，该光纤传输带宽为400MHz/Km，在550m范围内支持1000兆位以太网传输。如果光纤传输距离超过550m时，则采用单模室外光纤来保证主干支持1000兆位以太网传输。
厂区建筑群子系统路由的设计主要依据厂区的建筑总体规划和每个建筑物综合布线系统信息点的数量，同时我们在设计时充分考虑了与其它系统的综合利用，施工的方便、路由最短、造价最低、布线规范和扩充简便等几个方面，对整个企业进行了综合管网的设计，具体路由见综合管网平面图（中标后实地勘察后设计）。
主干管道为100mm塑料子管，分支到各具体楼房根据实际需要敷设，计算机网络中心到企业配线间根据距离远近采用单模/多模X芯室外光纤。

配线子系统由工作区的信息插座、信息插座至楼层配线设备的配线电缆或光缆、楼层配线设备（FD）和跳线等组成。以下我们分成三部分来进行详述：
（1）工作区的信息插座根据使用要求，采用两种设计：一种为普通型信息插座，具有防尘功能，并具有保护跳线功能，防止因碰撞而损坏。普通型信息插座设置在墙面和柱面；一种为地面插座，除具有一般信息插座的功能外，还有防水功能。两种信息插座都采用标准的超五类RJ45模块，支持100MHz带宽。
在设置架空地板的房间，如综合大楼的计算机网络中心、办公地可采用了隔断插座，在信息点不是很密集的小房间，设计采用普通型信息插座，安装在墙面。
（2）根据实际应用的需求，我们设计配线子系统中水平布线电缆时选用超五类UTP-4P，设计带宽为100MHz。
超五类非屏蔽双绞线技术成熟，满足百兆传输要求，具有很高的性价比。六类、七类布线产品，虽众多厂商推出各自产品，单无统一标准，且整个系统价格高。屏蔽线缆价格高，施工、维护难度高，根据应用环境无需采用。
设计水平布线的布线方式首先考虑到路由最短，对于长度比较大的建筑，采用了合理走向的方式进行设计。工程设计的水平布线最长的路由只有85m，完全符合规范中水平电缆不超过90m的规定。
设计水平布线的布线方式时还要兼顾施工的方便、造价最低、布线规范和扩充简便等几个方面。结合各个建筑的具体情况，在信息点较少同时又较分散的区域，我们主要采用了直接埋管敷设的方式；在信息点密集且又大面积分布的楼层，如果采用直接埋管布线方式，就会导致出现管路交叉过多，这样会给施工造成很大麻烦，因此采用在吊顶内设置吊装金属线槽，水平布线先走线槽，然后再由支管引出到信息插座。在设置吊装金属线槽的楼层，其上一层的水平布线还能够利用本层的金属线槽来走线。这样的布线方式既经济合理又方便施工。在信息点很密集的大开间房间里，水平布线最适合采用墙面线槽的布线方式。
配线间内的楼层配线设备采用标准的RJ45模块化配线架和标准RJ45跳线。水平布线线缆直接连接到该交接间的配线设备上，再经过跳线将水平布线线缆连接到网络交换设备。光纤配线架端接来自干线子系统的光纤，再经过光纤跳线与网络交换设备连接。
干线子系统由设备间的建筑物配线设备和跳线以及设备间至各楼层交接间的干线电缆组成。本次方案设计中，每个需连接的厂房只设一个配线间，没有楼层交接间。
以下对建筑物配线设备和干线电缆分别进行描述：
（1）建筑物配线设备和跳线设置在每个楼的设备间内，建筑物配线设备包括光纤配线架和RJ45模块化配线架；跳线包括语音跳线、光纤跳线（ST-SC）和标准RJ45跳线。
设备间的光纤配线架端接来自建筑群子系统的光纤，再经过光纤跳线与网络交换设备连接。
RJ45模块化配线架与数据双绞线干线电缆（或水平布线线缆）连接再经过标准RJ45跳线将水平布线线缆连接到网络交换设备。
（2）由于办公大楼楼层设2、5、8配间。数据电缆采用超五类双绞线，从每个楼房的设备间到每个房间的信息终端点。
设备间是在每一个建筑内的适当地点设置电信设备和计算机网络设备，以及建筑物配线设备，进行网络管理的场所。对于综合布线系统工程设计，设备间主要安装建筑物配线设备（BD）。针对功能不同，主要放置网络设备、数据配线架、语音配线架、有线电视放大器等设备。

三、安装工艺的设计
（1）、设备间
1、设备间室温应保持在10~30OC之间，相对湿度应保持20%~80%，并应有良好的通风；
2、设备间内应有足够的设备安装空间，其面积最低不小于10m2。
3、设备间应防止有害气体（如SO2、H2S、NH3、NO2等）侵入，并应有良好的防尘措施，尘埃含量限定值符合下表的规定。
尘埃限值
灰尘颗粒的最大直径（μm）
0.5
1
3
5
灰尘颗粒的最大浓度（粒子数/m3）
1.4*107
7*105
2.4*105
1.3*105
注：灰尘粒子应是不导电的，非铁磁性和非腐蚀性的。
4、设备安装要求：
1）、机架或机柜前面的净空不应小于800mm，后面的净空不应小于600mm；
2）、在设备间安装其它设备时，设备周围的净空要求，按该设备的相关规范执行。
5、设备间应提供不少于两个220V、10A的单相电源插座。
6、使用防火门，至少能耐火1小时的防火墙和阻燃漆。
7、垂直穿过设备间的干线电缆在穿越楼板处应作好密封。
8、设备间的安装工艺要求除上述规定外，应满足〈〈电信专用房屋设计规范〉〉YD5003—94中有关配线设备的规定，安装电信设备或其它应用设备时，应符合相应的设计规定。
（2）、交接间
1、交接间的面积不应小于5m2。
2、交接间的设备安装和电源要求，与设备间相同。
3、交接间应有良好的通风。安装有源设备时，室温宜保持在10~30OC，相对湿度宜保持在20%~80%。
（3）、电缆
管内穿放大对数电缆时，直线管路的管径利用率为50%~60%，弯管路的管径利用率为40%~50%。管内穿4对对绞电缆时，截面利用率为25%~30%，线槽的截面利用率不超过50%。
（4）工作区
1、安装在地面上的信息插座采用防水和抗压的接线盒；
2、安装在墙面或柱子上的信息插座底部离地面的高度为300mm；
3、工作区的电源要求：
1）、每1个工作区至少应配置1个220V交流电源插座；
2）、工作区的电源插座应选用带保护接地的单相电源插座，保护接地与零线应严格分开。
( 5 ) 系统接地
所有设备间、计算机房、网络中心及交接间，应提供接地端接箱，接地线由联合接地体上采用不小于16mm2的绝缘导线单独引上，接地电阻小于1欧姆。进出建筑物的保护钢管在进入建筑物处应接地。
四、室外光缆的架设：
由于8芯光缆和4芯光缆全部是室外敷设，需要考虑到其抗拉伸、抗破坏等因素，因此选择室外轻铠单模光缆，该光缆用于建筑物外安装的光传输介质，光缆具有褶皱的轧纹钢带及两根加强钢丝，为室外应用提供完善的保护。光缆外皮为黑色，由阻燃材料制成。见下图：

图：室外光缆
在厂区建筑之间进行室外光缆敷设，一般采用两种方法，即地下管道敷设和架空敷设。
采用地下管道敷设光缆时会遇到三种情况：小孔—小孔，即光缆从地上经过一个建筑物的小孔进入地下管道，再从另一个建筑物处的小孔出来；人孔—人孔，即光缆经人孔进入管道，由此牵到另一个人孔，光缆在其中走直线；在有一个或多个转弯的管道中牵引光缆。在上面这些情况中，能够使用人力或机器来牵引，需要注意光缆安装弯曲半径、安装应力等规范。在选择管道时需要保证和电力管道必须至少有8CM混凝土或30CM的压实土层隔开，且掩埋深度起码要低于地面0.5M，或应符合厂区有关规定的深度。
架空敷设光缆时，可选用72.2毫米的镀锌钢绞线作悬挂光缆的吊线。吊线与光缆要良好接地，要有防雷、防电措施，并有防震、防风的机械性能。架空吊线与电力线的水平与垂直距离要2米以上，离地面最小高度为5米，离房顶最小距离为1.5米。架空光缆的挂式有：吊挂式与自承式。自承式不用钢绞吊线，光缆下垂，承受风荷力较差，因此常见吊挂式。
当厂区内的建筑物之间有电线杆时，能够在建筑物与电线杆之间架设钢丝绳，将光缆系在钢丝绳上；如果建筑物之间没有电线杆，但两建筑物间的距离在50米左右时，亦可直接在建筑物之间经过钢索架设光缆。架空光缆在进入建筑物时要穿入建筑物外墙上的U形钢保护套，然后向下或向上延伸，电缆入口的孔径一般为5CM。
光纤再进行熔接时，应该尽量选用同一批次的光纤，提高熔接工艺度，来降低光纤熔接损耗，一般要求控制在0.04dB以下，超过此值要重新熔接。按照要求，所有光缆熔接在光纤接线盒里，并固定在ST型耦合器上。
五、综合布线产品的选择：
布线产品的好坏关系到整个系统的运行状况，经过我们对国内外众多厂商产品的综合比较，室内外光纤选用JOFC的国产品牌，双绞线、模块、配线架选用NORDX/CDT公司 IBDN 系列布线产品。
NORDX/CDT公司总部位于加拿大魁北克省的蒙特利尔。公司在全球12个国家设有35家办事机构，并在加拿大、墨西哥和欧洲各建有一家制造机构。公司的产品行销到全球的以下地区：北美、欧洲、非洲、亚太地区以及拉丁美洲与加勒比海地区。NORDX/CDT公司生产和销售超过 多种产品，并将这些产品推向了全世界，满足了国际商用通讯场的需求。公司以其遍布全球的认证系统厂商网络为荣，并与它们携手合作向用户提供其智能、可靠的结构化布线解决方案的安装服务。NORDX/CDT公司的全部产品都是由公司自行设计与生产的。具备了这一条件，公司便能够将其各种产品作为一个完整的系统来进行测试，从而保证端到端的信道性能。
凭借着在布线行业中超过百年的经验，NORDX/CDT继续在向用户提供物美价廉的网络布线解决方案方面发挥着领导作用。实际上，今天所沿用许多规范与标准在NORDX/CDT公司早先的IBDN设计指南中都能够找到。
NORDX/CDT公司的4对线铜质填充式电缆具有独特的双绝缘设计。所有的线缆都是在不同尺寸的线轴上生产出来的。全部线缆都在出厂前接受过检测。每100米线缆要接受高频与低频电压的检验以确定线缆是否满足了5类、Anixter L5、1200系列或2400系列的要求。

六、网络设备的选择：
“* *”生物药厂网络当前已经具有一个企业办公网络，但没有核心交换设备，仅有4台D-LINK 1226G的二层100M交换机，主中心机房和各个生产车间没有网络连接，当前用机有100台左右，将来估计有150多台计算机的应用。
当前服务器仅有财务使用的一台，整个网络结构是以100M混合型网络，没有划分VLAN和很好的做好网络线缆的标记。内部计算机没有统一管理，管理混乱，内部没有网络行为管理设备，上网速度比较慢，影响正常的公司业务。
“* *”生物药厂经过这次的网络设备改造，要求能够达到：
1． 更换现有的交换机为可网管，可防ARP病毒的交换机，以消除局域网内ARP病毒可能造成的影响。
2． 添置安全流量控制网关设备，对不同种应用进行带宽流量管理，同时限制部分应用的上网时间，以实现对核心应用的带宽保证，消除非许可的上网应用对员工工作效率的影响。

核心交换机：
在交换网络设备的选择上，我们选用了ZYXEL公司的GS-3012F AC作为核心交换处理中心的交换机。

图：GS-3012F AC
在厂部办公楼主网络中心放置一台GS-3012F核心交换机，交换机的上行千兆/百兆自适应的电（光）口经过防火墙设备连接到电信运营商的宽带网络中。
在制水楼副网络中心也同样放置一台GS-3012F核心交换机，经过单模光纤连接到厂部办公楼主网络中心的GS-3012F核心交换机上，主、副网络中心的这两台核心交换机互为备份同时实现负载均衡。
主、副网络中心的两台GS-3012F核心交换机下行各自提供提供12个千兆光（电）口连接到厂部办公楼以及厂区其它部门建筑的接入层交换机，为厂区各相关部门提供网络服务。
GS-3012F是ZyXEL推出的一款全千兆网管型交换机。该产品端口排列紧凑、类型丰富，能够实现多种千兆线路混接，具有非常广泛的适用性。该产品具有12个SFP端口，每个SFP端口能够根据需要选择相应SFP模块，连接不同种类的线路，最多能够连接多达12条千兆光纤网络，非常适合大数据量的核心数据交换。
GS-3012F支持802.1w RSTP，保证备份链路能在主链路失效时快速启动，对网络故障恢复的延时之短使用户几乎无法察觉，保证了用户的可用性。高达34万小时的平均无故障时间和内部冗余电源更保证产品具有了极大的稳定性。
GS-3012F高达24Gbps的背板带宽将提供所有端口的无阻塞交换。如果进行千兆交换机对联，该产品能够兼容IEEE 802.3ad，支持LACP、静态和动态链接汇聚; 提供8条千兆线路捆绑，为用户提供高达16Gbps的高速互联，完全满足企业核心级交换互联的需求。WFQ（Weighted Fair Queue）技术的应用将保证高优先级数据包的顺利经过，为企业QoS实施提供强有力保障。
另外，GS-3012F交换机还支持各端口MAC绑定/数量限制/过滤、IP/TCP/UDP过滤、支持巨帧、端口捆绑、802.1x、端口镜像、端口限速、快速生成树协议、VLAN(Port/802.1Q)、优先级队列、IGMP侦听、广播风暴控制、Web/telnet/Console/带外管理、支持ZyXEL的丛管理（iStacking）、提供冗余电源。其具备丰富的第二层和第三层功能和极高的性能而且提供丰富的网络管理特性，以满足“* *”生物药厂网骨干的各种复杂要求。

厂部办公楼：
在厂部办公大楼有118个信息点，对此我们采用了五台ZYXEL公司的ES-2024A可网管二层快速以太网络交换机为这118个信息点提供接入服务。

图：ES-2024 A
由于这118个信息点分布在同一栋楼内，我们可采用五类双绞线将这五台ES-2024A交换机上联到厂部办公楼主网络中心的GS-3012F核心交换机中。
ZyXEL ES-2024A可网管二层快速以太网络交换机基于无阻塞的8.8Gbps以太网络架构，提供24 Port 10/100Mbps的二层交换能力，在线速上超过了现有的CAT-5到桌面计算机的应用。它的双属性Port (RJ-45或者SFP) 能够高速循环往复的传送信息，并更高效率的利用频宽。
合勤ES-2024A的特点之一是扩展了安全功能，能够阻止未经授权的数据经过。它所支持的802.1x验证限制了未经授权的用户使用频宽，同时合法的用户亦可管理其流量。经过与其它功能的同时运作，其它的网络控制能够在检查用户名和密码之后被执行，它能够为有线的和无线的用户提供集中的认证服务。
除了认证保护，ZyXEL ES-2024A支持的硬件机制（包括MAC 过滤，MAC冻结和特定MAC地址转发）允许网络管理人员根据设备的MAC设置安全策略。ES-2024A是为提高网络网关安全策略所设计，能够提供综合安全功能的设备。
同GS-3012F一样，ES-2024A也支持802.1w RSTP协议，使其能够快速修复断开的链路，而且能够帮助形成有弹性的网络，这些网络能够大大的提高运行时间和网络利用率。
GS-3012F和ES-2024A 这两款交换机均提供iStacking SNMP / Web / Telnet和RS-232的支持，使对于交换机的网络管理变得很容易。相对于传统的有限制的网络管理，ZyXEL经过先进的管理性能证明了自己的强大功能，例如ZyXEL独有的iStacking丛集管理技术能够使管理员经过单一的IP地址管理高达24台交换机，值得注意的是这个巧妙的功能降低了操作费用，同时增加了管理多种ZyXEL交换机的弹性。IT人员能够为操作的便利选择Web，命令列接口 (CLI) 或者基于文字的设定文件，甚至能够用SSHv1/v2 和SSL对指令进行加密。由于这些久经考验的功能性，IT人员有能力花最低的代价建造高度安全和有效的公司网络。
考虑到厂部办公楼为厂内的主要信息处理集中分布区域，网络的稳定和信息安全因此显得尤为重要。当前，因为ARP而导致企业网络瘫痪的例子举不胜举，很多企业面对这些攻击束手无策，ARP攻击已经对各行各业网络造成了巨大威胁，但一直没有得到有效的解决。
ZYXEL公司的GS-3012F和ES-2024A这两款交换机均能够经过ARP入侵检测功能，识别并读取ARP报文内容，然后根据报文内容判断是否存在欺骗攻击行为，对于ARP欺骗报文进行丢弃处理，从而有效的防御ARP攻击。
首先，交换机启用DHCP Snooping对DHCP报文进行监测。DHCP Snooping经过监测DHCP报文记录了用户的IP/MAC/VLAN/PORT等信息，并形成一个DHCP Snooping绑定表。交换机端口接收到的ARP报文后，经过查找DHCP Snooping建立的绑定关系表，来判断ARP应答报文的发送者源IP、源MAC是否合法。若ARP报文中的发送者源MAC、IP匹配绑定表中的内容，则认为是合法的报文，允许经过;否则认为是欺骗攻击报文，就进行丢弃。
经过ARP入侵检测，能够防止接入终端发起任何ARP欺骗攻击，可有效解决ARP欺骗攻击问题，消除局域网内ARP病毒可能造成的影响。

其它接入点：
对于厂区内其它部门建筑的网络接入，我们采用了ZYXEL GS-1124 A系列交换机作为二级接入，该交换机作为ZYXEL桌面型交换机，具有千兆可扩充性和100M线速交换到桌面的能力。

图：GS-1124 A

网络防火墙：
网络防火墙采用ZyWALL USG-300，新一代统一威胁管理安全网关，在单一设备融合IPSec VPN和SSL VPN技术，满足企业各种VPN应用需求，实现随时随地安全接入。用户能够根据实际应用环境选择IPSec VPN或者SSL VPN技术，配合用户控制，防病毒，入侵检测等安全功能，便捷安全地访问企业内部资源。
ZyWALL USG 300采用世界病毒应对速度最快的卡巴斯基防病毒引擎，在网关处构筑第一道安全防线，保证企业网络不受病毒/蠕虫及各种恶意软件的破坏。内置SecuASIC硬件加速引擎，打破传统网络瓶颈，在实际环境下，提供稳定高速的吞吐量。
同时，入侵检测功能对经过网络的各种流量实时分析，鉴别非法有害的网络行为。经过L2~L7的深层检测，ZyWALL USG 300能够有效检测出异常协议及报文，利用不断更新的特征码抵御层出不穷的网络威胁。
ZyWALL USG 300具备全面的IM/P2P应用管理功能，经过应用层监控，杜绝因为IM/P2P滥用引起的法律纠纷，病毒/木马入侵等安全隐患，更有效地提高员工工作效率，优化网络带宽使用。
越来越多的即时通讯工具被用作商业用途，成为工作不可或缺的一部分，但同时也成为恶意攻击的对象。ZyWALL USG 300具备IM/P2P粒度控制功能及详细的日志系统，对流行的IM/P2P进行控制，如BT, ICQ, MSN和QQ。
ZyWALL USG 300支持三层的虚拟技术（VLAN、虚拟接口/接口别名）。用户能够根据需要为不同的的物理端口设置VLAN或虚拟接口，经过自由组织VLAN、虚拟接口，组成相互独立的不同安全区设置配置相应的安全策略。
经过虚拟接口和区域概念，ZyWALL USG 300能够很容易在大型复杂网络环境中实现快速部署和量身打造的安全管理策略。
除基于ACL的访问控制外，ZyWALL USG 300具备全新的智能用户的策略引擎，在决定是否允许数据包经过时，能够基于多种因素（如：用户ID、用户组、访问时间、网络带宽限制等）。还能够应用这些策略在其它的安全特性上，如：VPN、内容过滤、应用控制等。
我们之因此选择ZYXEL产品是以下原因：ZYXEL不论从技术上、服务上、均为网络产商中的佼佼者，产品性能稳定，扩展灵活，产品场占有率很高。
七、防病毒方案
由于“* *”生物药厂网络的使用涉及到外网和办公网络，很难保证内部某些站点不被病毒感染，而网络各部分的联系又相对紧密，病毒将不可避免的从单一桌面迅速传播开来，甚至威胁到整个网络的安全。因此，需要一个功能强大的，多层次的反病毒解决方案来对付这种情况，确保网络的软件系统能够正常、可靠的运行。我方在进行方案设计时，采用趋势科技总体防病毒解决方案，它能够有效而又无阻塞的实现病毒检验，坚不可摧的防护可保护数据和阻止病毒扩散。
ServerProtect 服务器防毒软件：ServerProtect 有效地捍卫文件服务器和网域内的信息安全，免于计算机病毒的攻击，而且能利用新一代的防毒软件(TVCS)特色，让管理者从单一的主控台来安装而且管理ServerProtect。
特性列表
ServerProtect
功能描述
病毒查杀
实时或定期对Windows NT/ 和NetWare服务器文件进行扫描，并清除病毒；
软件更新
自动更新病毒码、扫描引擎及新版程序；
无需重新启动服务器系统；
可用性
兼容性
采用三层结构方式，监控台、防毒服务器、信息服务器三者均可分离安装。经过安装在本地的监控台，可从单点对所有本地和远程的ServerProtect服务进行控制和管理；
可设置非扫描区域、文件或文件类型，增加系统效率。
可管理性
单点集中管理方式；
采用任务设置（Task-oriented）模式，管理员只需将各项任务分派给各服务器让其执行，增加可管理性；
可经过Trend Micro的TVCS服务器进行集中管理；
提供各类病毒报警机制，让管理员随时了解系统的安全情况；
完整而灵活的活动日志记录和查询；
运行平台和最小系统需求
Normal Server:
Microsoft Windows Professional/Server+SP1, Microsoft Windows NT 4.0+SP3 or above.
Novell NetWare 3.12/4.x/5.x
64MB of RAM or more is recommended, 50MB of free disk space
An Intel Pentium 166MHz processor or faster (or equivalent)
Network Protocols and Services
Information Server:
Microsoft Windows Professional/Server+client32+SP1, Microsoft Windows NT 4.0+SP3 or above
64MB of RAM or moreis recommended, 50MB of free disk space
An Intel Pentium 166MHz processor or faster (or equivalent)
Network Protocols and Services: TCP/IP, Microsoft Network,Gateway Service and RPC services for NetWare and RPC services. The above must be running on the installed machine.
Management Console:
Microsoft Windows Professional/Server, Windows 95/98, Windows NT 4.0 with SP3 or above
A monitor with 800 x 600 or higher resolution
Network Protocols and Services: TCP/IP, Microsoft Network and RPC services must be running on the installed server
对于服务器，采用该服务器版的防病毒软件。
OfficeScan 企业版客户端防毒软件：针对企业机构使用所设计的计算机工作站的防毒软件。单一集中式的病毒记录报告、自动更新软件和基于标准Web界面的远程管理功能，能够让管理者轻松地来监控、设定客户端的计算机工作站并能统一更新最新的防毒组件。
特性列表
OfficeScan
功能描述
病毒查杀
OfficeScan客户端软件为网络内的Windows用户提供实时的反病毒保护；
即使是移动用户与公司网络断开时，仍能够得到实时的防护；
软件更新
自动更新病毒码、扫描引擎及新版程序；并可自动分发给连入网络的客户端；
移动用户经过连入Internet可同样获得软件自动更新服务；
无需重新启动服务器及客户端系统；
可用性
兼容性
可设置非扫描区域、文件或文件类型，增加系统效率。
可管理性
单点集中管理方式；可对单机、一组客户机或所有客户机进行统一设置。
集中控管各个计算机工作站的扫描、清除和报告等功能；将客户端防毒软件的维护工作从一般使用者移转到管理者身上；
管理者可集中设定是否让用户获得关闭客户端软件、关闭实时保护功能等设置；
可经过Trend Micro的TVCS服务器进行集中管理；
提供各类病毒报警机制，让管理员随时了解系统的安全情况；
完整而灵活的活动日志记录和查询；
运行平台和最小系统需求
Servers: Windows NT (minimum required: 4.0 w/SP3), Windows , NetWare (minimum required: 3.12, 4.x, 5.x)
Desktops: Windows 95/98/Me, Windows NT (minimum required: 4.0 w/SP3), Windows Professional
对于各工作站，采取OFFICESCAN进行安装客户端病毒防护和杀毒。
八、本期网络设备配置说明：

设计为数据集中模式，网络结构为拓扑结构、“* *”生物药厂中心机房管理所有网络节点和主干网络的出口。
基于“* *”生物药厂网络要稳定，安全及高效地工作，整个厂区网络采用星型结构和树型结构相结合的方案，这样不但有效地利用了厂区现有的布线管道，也防止了整个网络出现环路和短路，提高了整个网络的效率。
主中心机房在三楼，网络主干核心交换机选用ZyXEL GS-3012F的多元核心交换机，该设备拥有12个光纤插槽，能够根据用户需要灵活配置光纤模块和双绞线模块，提供单模，多模，长距以及6类线端口等多种接入方式。本次方案中预配备了4个SFP-SX模块，用于下接厂房及办公楼的各楼层交换机。三楼的信息中心以及办公区由4台GS-1124A 24口千兆自适应接入交换机担当，并用50/125的多模光纤和核心交换机连接。
二楼办公区的由1台GS-1124A 24口千兆自适应接入交换机承担，由一条千兆多模光纤和核心的GS-3012F相连；一楼的办公区用1台GS-1124A 24口千兆自适应接入交换机来解决端口密度问题，同样由一条千兆多模光纤和核心的GS-3012F相连。
厂房的信息点由于比较分散，由一条单模光缆联接主，副核心交换机，用1台GS-3012F 交换机来承担副机房的核心交换任务。其中冰库1，冰库2，一车间，四车间，五车间，仓库，材料库，销售科，检验楼和研究所10个厂区分别由一台GS-1124A交换机覆盖， 每台交换机分别经过50/125的多模光纤和副核心交换机相连。
防火墙的连接：厂区的外网经过一台合勤科技的ZYWALL USG 300 7个10/100/1000M以太网端口，支持VPN的防火墙来连接，该机器能够轻松的实现VPN的建立，在实现外网NAT转换的同时还能够有效阻止恶意攻击和内容过滤，而且能够对内网上网行为进行有效的管理。
九、第二阶段配置（考虑）：
第二期主要考虑服务器双机应用，将考虑增加同配置的一台数据库服务器，增加大容量存储设备，高速磁盘阵列柜，同时采用ROSE双机容错软件，实现双机共享磁盘阵列，双机容错。同时将扩充需要连接网络的二级交换机，达到满配。
远程拨号访问解决（二阶段）：
暂不考虑，将来可经过VPN+宽带或MPLS技术实现移动访问和移动办公。
磁带机备份系统 （二阶段）：
为了更好的保护数据的安全，在ERP服务器上采用磁带机备份数据的方案，将来可选用IBM公司的内置磁带机IBMDDS-4的方案，经过选择备份方式：差异备份、增量备份进行数据的备份。
十、网络设计要点：
1、集中和分层设计相结合
本次“* *”生物药厂网络总体规划，分阶段实施，在整个综合大楼的办公区域采取集中和分层控制，既方便了管理，又节约了和保护了原有投资。
2、中心交换机满足将来“* *”生物药厂的平滑升级
“* *”生物药厂这么大一个网络必须进行虚拟网划分才能防止广播风暴，而虚拟网之间灵活的通信需要靠交换机的路由功能，许多厂商的网络产品只有中心交换机才有路由的功能，那么许多本地的虚网之间路由也要经过中心交换机，造成网络主干压力的增加。
ZYXEL的中心交换机GS-3012F AC支持VLAN划分，这样能够根据各大楼的连接位置划分VLAN，能够有效的保证机密性的计算机不被她方访问，另能够减少网络中的广播风暴。同时将原有的D-LINK1226G 100M交换机使用在数据点比较少的地方，经过百兆光纤进行连接。

第二部分、财务服务器更新
当前，在服务器的选型方面主要有基于Intel的Pentium 处理器的PC服务器、基于其它处理器的小型机。当前“* *”生物药厂一般采用Windows系统构建操作环境，应用程序也多是基于Windows环境开发的，再加上Windows系列的易用性和WindowsNT的高功能，我们决定用IBM公司的X系列服务器 + WindowsNT解决方案来构建内部网络主机系统和办公应用的平台支撑系统。
一、服务器配置详细说明
数据库服务器：
“* *”生物药厂网络规模为中型，其中财务系统数据非常重要，我们采用1台高档的IBM X3610服务器作为财务系统的数据库服务器，该机器配置为Intel® Xeon® 双核/2G内存/ 146G*2 SAS/1000M*2/600W*2电源。同时配置Windows Server 中文版操作系统作为内网的系统软件平台。
二、主机设备介绍
IBM X3610 技术性能一览表
型号
X3610
外形/高度
机架式/2U
处理器（最大）
Intel® Xeon® 双核或四核
处理器数量（标配/最多）
1/2
缓存（最大）
6MB（双核），2x6MB（四核）
内存（最大）
最大 2GB 标配内存/最大 16GB DDR II 667MHz 内存（经过 6个 DIMM 插槽）
扩展插槽
2个 PCI-Express （x8），2个 PCI
磁盘托架（总计/热插拔）
多达六个 3.5英