某紡織服裝有限公司內網及出口組網優化

李 凌

（中國聯通馬鞍山市分公司，安徽 馬鞍山 243000）

1 某紡織服裝有限公司現網組網拓撲

通過分析得出，內網拓撲如圖1所示，用戶內網出口為深信服防火墻，對電腦行為控制并進行NAT轉換，深信服防火墻通過100 M電口與中國聯通馬鞍山市分公司華為ONU互聯，出口為1條100 M DIA專線。內網3層交換機分配各網段地址，采購部和廠區另有1臺SOHO路由器接入。采購部辦公室未進行綜合布線，約12部臺式電腦通過無線網卡由WiFi接入SOHO路由器，綜合部和其他部門接入小交換機或直聯接入核心3層交換機。

2 某紡織服裝有限公司內網測試

在綜合部測試網速，可以達到80 M，綜合部經理反映有時網速慢，經查，個別電腦使用迅雷下載等造成了帶寬擁塞。

在采購部測試網速，發現至網關時延較大且有抖動，TRACERT發現SOHO小路由器網關平均時延137 ms，丟包率6%，辦公室無線環境較差，小路由器接入電腦較多，不堪重負。

3 某紡織服裝有限公司內網問題分析

綜合部現場測速在80 M以上，因總出口為100 M，深信服防火墻AF1180未對IP地址限速，造成個別電腦占用帶寬過多，影響其他用戶使用。

圖1 某紡織服裝有限公司現有接入拓撲

采購部未進行綜合布線，所有臺式機都是通過無線互聯，且到出口深信服防火墻AF1180路由跳數達3跳，為多級路由級聯造成，到無線第一跳平均時延137 ms，丟包率6%。

廠區互聯網流量和辦公區共用100 M出口。

4 某紡織服裝有限公司優化方案

4.1 網絡出口優化方案

如圖2所示，100 M出口不能滿足用戶需求，將華為ONU設備更換為H3C S5552P-EI-D-H3全千兆口3層交換機，通過雙路由接入城域網兩臺不同設備，運行OSPF協議，通過優先級設置主備出口，3層交換機通過千兆電口和深信服防火墻對接，開通200 M帶寬。配置cbs給予用戶突發流量彈性帶寬，實現雙路保護，提升出口帶寬，H3C S5552P配置SNMP簡單網絡管理協議對出口流量使用情況進行PRTG監控，對超流量進行預警。

圖2 優化后目標網絡

4.2 H3C S5552P路由配置說明

H3C S5552P路由配置[1]說明（為保護用戶隱私，IP地址部分用字母XY替代）如下：

router id 58.242.X.4 /OSPF路由標識/

ospf 1 /啟動OSPF路由進程/

import-route direct /引入直連路由/

area 0.0.0.0 /設置單區域0/

network 58.242.X.100 0.0.0.3 /雙路由出口網絡地址配置/

network 58.242.X.104 0.0.0.3

interface LoopBack1 /三層交換機環回地址/

ip address 58.242.X.4 255.255.255.255

interface Vlan-interface101 /深信服防火墻三層接口，VLAN101/

description ShenXinFuAF1180

ip address 58.242.Y.185 255.255.255.248

interface Vlan-interface2000 /備用出口，優先級100，VLAN2000/

ip address 58.242.X.102 255.255.255.252

ospf cost 100

interface Vlan-interface3000 /主用出口，優先級30，VLAN3000/

ip address 58.242.128.106 255.255.255.252

ospf cost 30

interface GigabitEthernet1/0/1 /深信服防火墻接入物理接口,VLAN101/

port access vlan 101

qos lr inbound cir 204800 cbs 12800000 /入200M速率，允許cbs突發流量/

qos lr outbound cir 204800 cbs 12800000/出200M速率，允許cbs突發流量/

interface GigabitEthernet1/0/24 /備用物理出口，VLAN2000/

port access vlan 2000

interface GigabitEthernet1/0/49 /主用物理接口，VLAN3000/

port access vlan 3000

speed 1000 /強制光口千兆全雙工/

duplex full

snmp-agent /簡單網絡管理協議配置/

snmp-agent community read X /讀團體字/

snmp-agent sys-info version v1 v3

acl number 2000 /訪問控制列表，只允許特定IP登錄設備，保障安全/

rule 0 permit source 58.242.X.0 0.0.0.255

rule 100 deny

local-user mascnc class manage /遠程登錄配置/

password hash service-type telnet

authorization-attribute user-role network-operator

4.3 內網優化方案

深信服防火墻對部分IP地址限速，避免迅雷下載占用較多出口帶寬，給予辦公區和廠區分配不同的帶寬，保證廠區帶寬充足。

采購部和廠區SOHO小路由器更換為2層交換機，避免路由器兩次NAT地址轉換和路由轉發造成效率降低。采購部無線接入臺式電腦改為有線接入，采購部和廠區新增2層交換機接核心匯聚3層交換機，降低路由跳數。調整后內網時延大幅下降，丟包率0%。

5 效益分析

通過以上優化，某紡織服裝有限公司內網質量得到了明顯改善，掉線現象得到消除，出口帶寬實現擴容，增加了雙路由接入，安全性大幅提高，間接提高了生產效率。