企业网络改造方案，这六个升级瞬间让甲方满意

企业网络如何建设？很多企业在初期因为人员较少，所以配置比较低，但随着企业人员的增加，应用的增加，无论是宽带、出口、安全、管理等已不能满足当前的需求，所以很多的企业网络发展到一定的阶段就需要改造了，在我们弱电VIP技术群中也有不少的项目经理在做相关的改造项目。

本期我们来通过实例来看下企业网络改造的一些建议。

一、企业网络改造的六个方向

一、网络出口安全问题

公司现有的网络出口设备配备1台企业级路由器，该产品主要用于集团公司上网用户的IP地址转换，外网光纤链路为电信50M，由于路由器未提供安全功能模块，集团公司的网络安全受到很大危险，同时集团公司的销售人员在出差时需远程访问公司内网业务系统，现有设备没有防火墙、入侵检测、VPN等功能，某些功能需要购买软件授权才可以实现。急需对全集团公司网络安全进行改造。

企业网络改造

解决方案：

新购一台网络安全网关UTM或高性能防火墙，具备高级功能，同时提供VPN、AV、IDP等多种功能，UTM区别于传统防火墙，能分析网络3-4层数据报文，自带的规则库能识别90%的病毒，阻止非法的网络攻击，如非法扫描，漏洞探测，僵尸网络，拒绝垃圾邮件、暴力破解等。

通过配置SSL VPN可以实现远程用户以安全的虚拟通道连接到集团公司内网访问业务系统，SSL VPN支持在手机、电脑终端任意访问，不再限制用户的访问终端类型。公司领导可以在家、出差，上下班路上，轻松连接到内网进行相关工作流程的签发，实现了智能终端设备的安全移动办公。

二、网络带宽管理问题

公司网络基础平台在2013年左右建设完成，互联网接入电信带宽只有50M，现阶段对用户上网的行为，上网的带宽，访问的应用没有任何安全控制，

如：员工上网在论坛发帖，评论、转发，浏览网页、非法言论，因公司没有相应的管控设备，无法定位和查看是发送者身份，将会给公司造成很大负面影响。公安部82号令，要求能够记录终端用户访问网站的日志，对外发的内容可以进行审计以及关键字过滤。

解决方案：

新采购一台上网行为管理设备，部署在机房，可以实现对公司网络带宽管理、网络行为管理，通过该设备可以配置相应的流量管理策略，可基于用户角色或者时间段来分配带宽管理策略。

网络带宽管理

控制下载、在线应用，通过部署了上网行为管理设备，可以灵活、有效的控制和解决陕西核工业集团公司网络带宽及用户访问行为，提升网络安全，实现网络可视化管理。上网行为管理设备有如下四大主要功能特点：

1、内容过滤；

2、应用控制；

3、带宽管理；

4、内容审计；

三、网络架构问题

公司基础网络建设处于起步阶段，ip地址与区域网络未进行合理规划，网络框架混乱，经常出现大范围网速慢，掉线。

解决方案：

新购置一台千兆三层的核心交换机，新购的核心交换机配置为用户终端网关设备，进行划分vlan，按照楼层的办公区域划分不同的VLAN，不同的VLAN之间不能直接访问，通过三层交换机的路由实现了不同VLAN的互访。

配置了VLAN之后，即使有终端机器感染网络病毒产生的广播报文只在本部门VLAN内广播，不会影响其他部门VLAN，这样大大降低了病毒对网络影响的范围，保护了内网的安全性。核心交换机的强大的背板带宽和包转发率能保证用户的数据请求无阻塞的完成转发，没有网络瓶颈。

四、无线网络覆盖问题

公司办公楼共6层，几乎每个办公室都需要无线接入的需求，公司员工的笔记本、手机都有访问无线用于移动办公，访客室、会议室都要求接入无线。

因为前期没有规划网络，很多无线接入是员工通过购买了家用无线路由器产品来实现的。购买的无线路由器需要逐个安装调试，办公楼出现了非常多的家用型无线设备。

目前的问题有：无线信号不稳定、频繁掉线、相互之间干扰严重、无法集中统一管理所有无线设备、无线网络安全无法控制，非法设备抢占空口资源，管理员经常奔波于每个办公室处理无线连接问题。

解决方案：

1.简单高效的AC+AP网络架构

针对集团公司需要对网络设备实行统一管理的要求，采用了AC+AP网络架构，并结合华为eSight无线网管功能，不仅可以做到AP的统一配置和集中管理，从无线网络配置、故障定位和快速恢复等方面，全面提升无线网络的运维管理效率，让公司网络管理方既省心又省力；另一方面，使用AC射频管理调优功能，实现无线覆盖的快速调整和优化，保证无线网络性能。

2、内外网统一的无线访问

通过VAP/SSID，设置内外网为一张物理网络，并且安全隔离出内网、外网，极大的简化了布线成本和对施工的要求；并且易于维护，支撑未来的业务扩展。

3、稳定可靠的无线连接

通过双频、自动信道选择调整、高可靠的无线网络设计，保障集团公司网络干扰小，信号稳定，单设备故障不影响业务等，实现稳定的无线办公环境。

五、桌面运维管理问题

当前企业在对人员的管理主要是基于传统的桌面进行管理，主要采用微软组策略或者第三方的管理软件或硬件对终端桌面进行控制，例如：

1、禁止USB口，防止用户利用USB设备拷贝数据

2、禁止蓝牙和红外设备，防止用户通过蓝牙和红外设备传输数据

3、对数据进行加密，防止文件外泄造成信息外流

但是这些手段并不能很好地解决当前问题，对于有技术的开发人员，都不是难事，仍然存在一些风险。

解决方案：

使用虚拟桌面解决方案可以很好地解决上述问题：

1、由于虚拟桌面是基于服务器计算的模式，所有的计算都是发生在服务器上，即运行在服务器上的虚拟操作系统（Linux、windows ），所有数据都在服务器上产生，所以可以从根本上控制数据的访问和使用，即通过策略限制将产生的数据存储在本地磁盘，USB设备上。

2、利用远程访问协议高效性，以及对数据的安全访问机制，开发团队可以通过网络包括vpn网络远程进行开发，而无需在企业规定的开发场地，占用大量的资源。

3、通过提供虚拟桌面，企业无需为开发方的团队提供设备，或者对这些设备进行全面管理和支持，可以让开发方使用自己的设备，只需要网络进行管理，访问受控的、安全的、开发虚拟桌面。开发环境被分为可控的虚拟开发环境与物理的自有环境，在满足开发人员的特殊需求同时，能够管控开发环境，减少企业IT人员的管理复杂性。

4、由于在工作过程中，虚拟桌面也是需要连接到网络进行工作的，所以虚拟桌面本身并不能解决数据通过网络传输外泄的风险，但是由于只有这一条潜在外泄通道，企业IT管理人员可以通过网络工具和设备来对网络进行管理，解决这一问题。

5、从整体对比来看，虚拟桌面解决方案从数据安全的角度，相对于传统本地桌面，从成本，管理，安全和环保层面，都有很大优势，而且已经成为了未来趋势。

六、服务器数据安全问题

公司现应配备服务器1台，用于支撑公司财务系统运行，财务数据保存在服务器本地硬盘。财务报表等数据是集团公司最机密的信息，一旦服务器系统损坏或者硬盘故障，将面临集团公司无法访问财务系统，严重情况下将会导致数据丢失。同时现有服务器只承载了一个业务系统，服务器的CPU，内存等物理资源长期利用率在3%以下，造成资源了极大浪费，但因为现有的服务器建设架构无法提高服务器硬件资源利用率，需改变现在服务器部署模式来改善这些问题。

解决方案：

为了提升服务器硬件资源利用率，保护财务系统数据安全性，即使服务器系统及硬件出现故障仍能保持业务连续性，我们建议客户采用服务器虚拟化的解决方案来改善集团公司业务的部署模式

。新购3台服务器及一套统一存储，新购的两台服务器和现有一台服务器，用于构建一套资源池，通过虚拟化软件实现CPU、内存、硬盘、网络等资源的池化，可以针对某个应用按需分配资源，实现服务器高可用，保护数据安全可高，服务器只用来承载业务系统，业务系统产生的生产数据通过高速光纤链路传送到存储上。