大型酒店网络工程方案.doc

一、网络建设概述 随着我国互联网络的高速发展，互联网络对人们的影响，不仅体现在人们的工作与学习方面，而且越来越多地体现于人们生活的各个方面。互联网络将改变人类整个生活的理念已经深入人心 1、建设背景： 随着经济的蓬勃发展，为宾馆酒店业的发展提供了良好的机遇，丰厚的利润和巨大的市场也吸引了众多的竞争者，酒店行业靠什么赢得竞争优势？ 酒店在做好现有业务种类，不断提高服务水平的同时，如何把握客户的需求，用最经济的办法获得最大的客户满意度，提高企业自身的档次和知名度，同时拓展新的业务增长点，成为最根本的竞争所在，这使得酒店行业对信息化的需求非常迫切。有调查表明，酒店的信息服务水平在很大程度上影响着客人的入住愿望。无法提供高速互联网接入服务的酒店，对于客户来说，无疑是一场商业灾难。 1、网络拓扑图如下： 2、技术实施 2.1、IP地址分配 动态地址分配：在ER 5200上面开启DHCP分配功能。 如下图： 2.2、防止ARP地址欺骗 ER5200通过定时发送免费ARP，更新网络主机上被攻击篡改了的网关MAC地址，保证主机与网关之间的通信。 ER5200通过授权ARP，只容许静态ARP和DHCP分配的ARP表相中的IP地址通过，从而防止PC机IP与MAC的欺骗。 2.3、IDS防范 为了防止客房网攻击，通常会使用路由器+防火墙的组网。 ER5200上内置了防攻击的功能，可以省掉防火墙了 2.4、报文源认证 2.5、设置异常流量防护 网络中的主机会由于出现中毒或网卡异常等原因，向Internet 发送大量的异常报文，阻塞网络，大量消耗设备的资源。启用本功能后，设备会对各个主机的流量进行检查，发现有异常流量时会进行指定的处理，以保证设备受到此类异常流量攻击仍能正常工作 2.6、设置IP流量限制 某些应用（比如：P2P下载等）在给用户带来方便的同时，同时，也占用了大量的网络带宽。一个网络的总带宽是有限的，如果这些应用过度占用网络带宽，必将会影响其他用户正常使用网络。 为了保证局域网内所有用户都能正常使用网络资源，您可以通过IP流量限制功能对局域网内指定主机的流量进行限制。 2.7、设置网络连接限数 网内的主机遭受NAT攻击时，主机的网络连接数可能会超过几万个，从而会严重影响业务的正常运行或出现网络掉线现象。此时，您可对指定主机的最大网络连接数进行限制，保证网络资源的有效利用 四、组网设备介绍 1.路由器（H3C ER5200） 产品概述：ER5200是H3C公司推出的一款高性能千兆下行路由器，它主要定位于以太网/光纤/ADSL接入的SMB市场和政府、企业机构、网吧等网络环境，如需要高速Internet带宽的网吧、企业、学校和酒店等。 ER5200采用专业的64位双核网络处理器，主频高达500MHz，并且支持丰富的软件特性，如IP-MAC地址绑定，ARP防攻击，流量限速，双WAN负载均衡，策略路由，源地址路由等功能。它是H3C ER系列路由器中的中高端产品，大型网吧用户和大型企业用户的理想选择。 图1 H3C ER5200企业级路由器 产品特点： 双WAN口负载均衡（仅ER3200、ER3260、ER5200支持） 负载均衡可以让用户根据线路实际带宽分配网络流量，达到充分利用带宽的目的。 策略路由 实现按照用户制定的策略选择路由，如出接口的选择等。 高性能防火墙 内置高性能防火墙，通过设置出站和入站通信策略来快速地实现访问控制， 防攻击 支持对来至因特网和内网的常见攻击进行防护。同时，内置内网异常流量防护模块，对局域网内各台主机的流量进行检查，并根据您所选择的防护等级（支持高、中、低三种）进行相应的处理，确保网络在遭受此类异常攻击时仍能正常工作。 ARP双重防护 通过静态ARP绑定功能，固化了网关的ARP表项；另外，对于DHCP分配的IP地址，则采用DHCP授权ARP技术，自动绑定分配的IP地址/MAC地址信息，从而可以有效地防止ARP欺骗引起的内网通讯中断问题；同时，提供毫秒级的免费ARP定时发送机制，可以有效地避免局域网内主机中毒后引发的ARP攻击。 VLAN 支持多局域网功能，您可以方便的划分局域网为多个网段，降低广播域和ARP病毒的影响。针对每个局域网可以配置单独的DHCP Server和防火墙规则。 业务控制 QQ/MSN等即时通讯软件的大量普及，可能会引起员工办公效率低下，无法集中精力。路由器独有的应用控制功能，可以方便地限制内网用户对QQ/MSN等应用的使用；同时还支持对大智慧/分析家/同花顺/广发至强/光大证券/国元证券等金融软件的应用控制功能。另外，您还可以通过对特权用户组的设置保证关键用户的使用不受影响。 IPSec VPN 通过VPN安全连接，最多支持10路IPSec连接到办公网络。 网络流量监控 提供流量