饭店有线网络及网络安全改造方案

    本篇论文目录导航：

【题目】饭店网项目改造中项目范围管理的运用探究 
【第一章】饭店计算机网络改造管理研究绪论  
【第二章】项目范围管理与计算机网络项目相关理论概述 
【3.1 - 3.3.1】饭店有线网络及网络安全改造方案 
【3.3.2】饭店无线网络建设方案 
【3.3.3  3.3.4】网络管理平台建设方案与达成效果
【第四章】范围管理下原改造设计中的问题与分析 
【第五章】基于范围管理在原改造方案设计中的改进实施 
【结论/参考文献】饭店网络项目改造中范围的控制结论与参考文献

　　第 3 章 JX 饭店计算机网络现状与原改造方案设计

　　3.1 JX 饭店计算机网络的现状与问题

　　3.1.1 JX 饭店计算机网络现状

　　在竞争激烈的当代，饭店需要满足不断提高的客户需求和饭店自身的发展需要，这样就强迫饭店管理者努力的要优化饭店服务质量，增加销售机会，降低运营成本，提高客户满意度，从而以此来增强饭店在行业的竞争力。在饭店行业目前电子信息化已经逐步渗入，让饭店可以提供的服务越来越丰富多样化，电子信息化已成为中国饭店业提高管理水平的重要方法。现代化的饭店已经是集住宿、餐饮、休闲、文化和其他商业活动于一体的消费场所，饭店自身体系庞大、服务内容众多，如果提供了现代化的信息管理和手段，就可以为饭店降低运营成本、提高服务质量和提升客户满意度提供非常大的帮助。

　　信息化服务一直是 JX 饭店管理层最为关心的问题之一，饭店希望信息化能够增强饭店的软实力，为宾客提供最优入住体验，提高内部管理效率、降低运营成本，满足未来业务发展与技术升级的需要。

　　但是 JX 饭店作为南昌市的老牌高星级饭店，基础设施建设较早，硬件和软件设施均已较为陈旧。客房硬件条件虽然已进行过改造更新，但信息化等软件条件仍需改善，目前已经开展的各类饭店信息化应用并不丰富。

　　目前 JX 饭店信息化系统拥有一套饭店管理系统，以及办公网和客房网（现拥有 301 间各种类型的客房）合一的百兆有线网络。具体应用目前主要包括有实现饭店的电子流程内部管理、提供官方网站及客房网络预定、提供有线的互联网浏览和各类信息查询等。

　　而在信息化体系中，计算机网络作为整个饭店业务运营的基础，不但承载着上述描述的饭店各核心业务，同时也为客户提供方便的网络服务，对饭店至关重要。所有的信息化业务都需要依托于这套基础网络来提供服务。而 JX 饭店的计算机网络系统因建设较早，设备较为陈旧，目前的数据转发能力和网络冗余性以及安全性已不足，以及现有网络规模和能力已不能满足未来饭店信息化各系统发展的配套需要。

　　3.1.2 JX 饭店计算机网络存在的问题

　　根据实际调研了解，JX 饭店目前整体的计算机网络程度在很多方面还有待加强：内网基础网络传输带宽较低，设备以及关键部件无冗余，网络稳定性无法得到保障；对内网计算机无安全防护，对服务器无安全防护；现存网络设备数量已不能满足后续各类应用（如 IP 监控，数字标牌，无线接入点等）的需要；现存网络设备基本均为 2006 年采购，设备陈旧，故障几率高，设备已过保并停产，厂家已无法提供用于更换的部件或设备；目前还没有可用于上网、办公、无线点餐、无线客房控制等应用的无线网络；饭店 IT 人员较少，网络维护能力有限，目前没有对整网基础网络设备进行集中统一管理以及快速故障定位的运维工具；现有网络扩展性能较差，对后续业务支持能力不足。

　　3.2 JX 饭店计算机网络改造项目的需求分析

　　通过和 JX 饭店深入沟通了解到，由于目前在饭店业依托于信息化已能提供越来越优质的客户服务，JX 饭店已能感受到巨大的竞争压力，为了满足新一代数字化饭店的要求以及提高服务质量，规划在未来逐步发展无线的互联网浏览和各类信息查询、数字标牌信息发布、无线点餐、有线或无线的视频监控、无线的智能客房控制、IP 电话、IPTV、高清视频会议以及电子派单等新兴的信息化应用。那么此次 JX 饭店计划先进行计算机网络系统的改造工作，为后续其他各服务业务上线打好基础。

　　JX 饭店希望通过此次建设能够建立一套稳定、高速、安全、扩展性好的计算机网络。具体要求为：

　　有线网络：覆盖现有主楼和行政楼所有网络信息点，100M 带宽出口。结构层次化设计，同时满足饭店数据、视频各业务容量需求，并提供一定的扩展容量，千兆骨干网络，千兆到桌面，支持 POE 功能，方便无线部署。网络设计可靠性高，能保障饭店业务（上网，办公，无线）的运行稳定，满足平均无故障时间要求。办公网络与客房网络之间逻辑隔离，客房间网络相互隔离，不同业务配置不同服务质量 QOS 策略。确保饭店网络防外部病毒，对服务器区专门进行保护，防止非法客户端接入饭店内部网络。网络部署、运维简单，易于操作，整个网络设计满足低能耗和绿色节能要求。

　　无线网络：覆盖区域为主楼 1 至 4 层的餐厅和会议室（此次改造不涉及无线覆盖客房，但此次网络设计性能要求能够满足后续覆盖客房的无线接入）。合理进行网规网优，无线信号分布合理，保证用户流畅的无线上网体验。采用统一的有线无线一体化的整体网络运维管理。无线设备和天线不外露，信号覆盖良好。支持各类型无线客户端（笔记本、手机、平板等）接入网络，上网需要支持承载多媒体业务。支持无线漫游，保证在所有的无线覆盖区域内移动时无线网络应用的数据业务不中断。提供动态的自动的基于流量和用户数量的负载均衡功能，在餐厅、包房、会议室等区域，要满足多用户使用时不会产生网络瓶颈和网络性能的严重下降。根据实际情况在不同信号覆盖区域设定不同规则的接入控制。

　　另外，为未来如数字标牌、电子派单、数字监控、无线点餐、无线客控等业务实现提供扩展能力。

　　3.3 JX 饭店计算机网络改造项目的原方案设计

　　概述的是本人在进行实地调研后，未使用项目管理方法而是仅凭经验规划的原 JX 饭店计算机网络项目设计方案。

　　3.3.1 有线网络及网络安全改造方案

　　3.3.1.1 网络架构

　　饭店的有线网络作为整个饭店业务运营的网络基础对于饭店而言至关重要，不但承载着饭店的核心业务，同时也为客人提供便捷的网络服务。饭店有线网络一般由客房网，办公网（客房网和办公网可以为物理隔离也可逻辑隔离，此次方案设计为逻辑隔离）组成，客房网负责为客人提供稳定、安全的数据传送及互联网接入服务；办公网负责支撑饭店正常业务的运营，提供员工的信息化办公等。有线网络系统要求具备安全性与可靠性、可管理性以及可扩展性。

　　JX 饭店有线网络的需求为：饭店信息化改造分期来建设，另外随着后续饭店规模扩大，需要考虑网络的可扩展性。网络结构层次化设计，同时满足饭店数据、视频各业务容量需求，并提供一定的扩展容量，千兆骨干网络，千兆到桌面，支持 POE 功能，方便无线部署。网络设计高可靠，在关键部位采用冗余配置，确保饭店业务（上网，办公，无线接入）运行稳定，满足饭店平均无故障时间要求。办公网与客房网逻辑隔离，客房间网络逻辑隔离，针对不同业务配置不同服务质量和限速等策略。确保饭店网络防外部病毒，对服务器区专门进行保护，防止非法客户端接入饭店网络。整个网络设计和提供的网络产品满足饭店绿色节能要求。

　　所以基于上述需求，对于 JX 饭店的有线网络架构此次设计采用层次化的网络架构，每层功能清晰，架构稳定，易于扩展和维护。有线网络组网设计采用如下架构（说明：其中含文字底纹部分为此次有线网络改造设备；另外为了更好理解未来的网络结构，图中也把后续即将陆续上线的数字监控、信息发布（数字标牌）、无线点餐、无线客控系统也一并列出）：

　　3.3.1.2 设备选型

　　饭店网络出口是饭店内网到外部网络的接口，饭店网络的内部用户通过网络出口连接到外部网络，在外部的用户（包括客人、分支机构、外出办公员工等）可以通过网络出口接入到饭店网络。饭店网络出口部署防火墙用于在提供高性能的互联网接入服务的同时实现对内网的安全防护，此次配置的饭店互联网网络出口设备是华为面向大中型企业数据中心的统一安全网关 USG5120 进行内网安全防护，设备放置在主楼核心机房，下连核心交换机。

　　此次配置数量为 1 台，通过电信运营商线路上连互联网，通过千兆电口下连核心交换机。设备提供防火墙功能，对内外网之间数据传输及交互进行访问控制。设备提供防病毒功能，对于隐藏在网络流量中的病毒，进行精准的查杀。

　　设备提供上网行为管理，可以对常见的应用和程序进行访问控制。设备提供多种 VPN 模式，便于分支机构和外出员工安全访问内网。

　　饭店各个系统间通过核心层互联。核心层用作网络骨干，部署在饭店核心机房，负责饭店网络的高速互联。核心层汇聚内部服务器、互联网接入流量、办公网络、客房网络等业务。

　　JX 饭店有线网络核心目前采用的 2006 年采购的华为二层百兆交换机S3026,鉴于当前信息化各类应用的井喷式爆发，以及设备使用年限过久可能导致的出现故障几率较大，所以现有设备已不能满足高带宽以及高可靠性的需求，故此次特进行核心设备的改造替换。

　　此次配置的核心层设备是华为高端智能路由交换机 S7706,该设备广泛适用于各行各业的园区网络、数据中心核心，构建交换路由一体化的端到端网络。

　　设备部署在主楼核心机房，配置的数量为 1 台，配置了双主控和双电源，提供了从单板到电源的冗余备份，很好的保障了核心网络的稳定性。作为数据传输的核心节点，设备通过千兆双绞线下连位于各楼宇的接入交换机，进行快速数据交换；通过服务器区防火墙连接服务器区的各类型应用服务器；千兆电口上连出口防火墙。

　　提供了目前业界高端的处理性能，6T 的背板带宽，2Tbps 的交换容量，1152Mpps 的包转发率；提供了 6 个业务板卡槽位，为后续大量的业务扩展提供平台。设备软硬件平台均支持 IPv6,支持能效以太网节能标准，支持在低流量状态下保持低功耗。

　　接入层交换机设备需要面对各种各样的终端设备，部署在主楼以及行政楼楼道弱电井，通过千兆电口汇聚到饭店核心交换机。

　　JX 饭店有线网络接入层交换机目前采用的 2006 年采购的华为二层百兆交换机 S2403,鉴于当前饭店千兆接入已成趋势，以及设备使用年限过久可能导致的出现故障几率较大，所以现有设备已不能满足高带宽以及高可靠性的需求，故此次特进行接入设备的改造替换。

　　此次配置的接入层设备是华为 24 口全千兆以太网交换机 S5700-28P-LI,数量为 19 台（主楼共 5 层配置 17 台，行政楼共 3 层配置 2 台），各楼宇各楼层设备千兆下连各楼层信息点，上连通过千兆电口连接位于主楼的核心交换机。

　　设备提供丰富的业务特性，支持 EEE 节能，支持整机休眠功能，支持 DoS 类防攻击等多种安全保护功能。

　　服务器区防火墙设备部署在主楼核心机房，此次配置的是华为高性能中低端统一安全网关 USG2210.数量为 1 台，通过下连一台 S5700-28P-LI 全千兆交换机连接所有服务器（包括饭店已有服务器、无线控制器、网络管理系统、以后后续上线的客控系统以及信息发布平台等），通过千兆电口上连核心交换机。

　　设备提供防火墙功能，对内外网与服务器之间数据传输及访问进行控制。

　　设备通过 RoHS 绿色环保认证，可以降低设备日常运维成本。

　　3.3.1.3 功能实现

　　客房网与办公网逻辑隔离：根据网络业务的最终流向，这里把饭店业务分为互联网业务和饭店内部服务业务两个大类。为了给饭店住客提供即插即用的上网服务，此次设计客房网的上网业务 VLAN 终结于互联网出口网关，并由该网关来分配 DHCP 地址。同时为减少不必要的其它业务流量冲击该出口网关，此次设计内网业务的 VLAN 终结于核心交换机，并由核心交换机分配 DHCP地址，不同业务之间的互相访问由核心交换机通过三层路由来实现。

　　基于业务的带宽控制：JX 饭店网络除了承载传统的客人互联网上网需求（WWW、E-Mail、FTP 等数据业务），还承载着视频、语音等业务。网络需要提供端到端的带宽控制（QoS）服务，才能更好保证实时业务如语音和视频数据传输的稳定性。饭店网络部署 QoS 用于防止 BT 等非正常业务流量对饭店关键业务以及关键客人流量形成冲击。饭店内网络结构中在每一层对 QoS 承担不同的角色，主要分为接入层业务识别、核心层 DiffServ 部署、出口路由器带宽控制三个方面。

　　多重饭店网络安全防护：当前 JX 饭店网络面临着多方面的安全威胁，如客人 PC 携带病毒进入客房网络、外部网络攻击、内部网络攻击、机密数据安全保障等，本次设计从网络监管、边界防御、接入安全等方面入手，保障饭店运营管理和客户的住店体验。客房网络的隐私保护――为保障客人个人电脑上的隐私信息不被窃取，此次设计对每个客房的数据流进行单独隔离；此次采用华为的 Super VLAN 技术，Super VLAN 用来防止连接到某些接口或者接口组的组网设备之间的相互通信，但却允许与默认网关进行通信。饭店内部网络安全保障――内部服务器区承载着饭店的核心业务，如饭店管理系统等，内网的安全稳定至关重要；为了避免网络内部潜在如 MAC 地址泛滥攻击，ARP 欺骗，DHCP 欺骗等威胁，此次将通过交换机的丰富的安全手段（DHCP Snooping 技术、中间人攻击与 IP/MAC Spoofing 攻击防护、IP Source Guard 技术等）来确保内网的安全，并通过服务器区防火墙对内外网与服务器之间数据传输及访问进行控制。上网行为管理――此次配置的出口防火墙提供了强大的上网行为管控功能，有效控制饭店员工访问未经许可网站以及使用非工作性质的网络应用等。互联网出口安全――饭店网络出口容易受到外部网络的攻击，此次配置的出口防火墙提供了丰富的 DoS 防御手段以及强大的防病毒能力。

　　创新的节能技术：能耗管理作为饭店关注的内容之一，如何降低整体能耗，需要各子系统的配合。此次配置的交换机系列产品提供了丰富节能技术，包括SSS-Energy 精细化节能技术、能效以太网 IEEE 802.3az、按流量动态调整功率、模糊风扇调速精细温度控制等，帮助饭店实现绿色网络。

　　3.3.1.4 产品清单

　　主楼接入交换机产品清单：根据 JX 饭店主楼现有接入交换机的数量，统计出改造后所需要的接入交换机的数量。

　　行政楼接入交换机清单：

　　为数字标牌终端接入预留接入交换机清单：

　　数据中心设备清单：根据目前信息点数量，饭店的主楼有 300 多间客房再加上 3 层的行政楼的办公室信息点，以及考虑到无线接入用户和后续信息点的预留情况，此次配置的饭店出口防火墙为适用规模在 600 至 800 用户规模的设备，核心交换机配置的为中大型网络规模的设备。