32
5) Обеспечение защиты от несанкционированного доступа трафика и
сети;
6) Обеспечение доступа к ресурсам сети сотрудникам на основании
внутренних политик предприятия;
7) Обеспечение приоритета голосового и видео трафика.
При проектировании новой сети «АО «Интауголь» будем исходить из
того, что от предыдущей сети у нас остается только СКС, старое оборудование
утилизировано, новое закуплено.
2.1.2 Расчёт пропускной способности сети и количества подключений
Заручившись поддержкой руководства предприятия, учтя его пожелания
о переходе на IP-телефонию, проанализировав собранную информацию о
количестве пользовательского и серверного оборудования, месторасположения
технических единиц, приступаем к бизнес-плану нашего проекта. Для этого
необходимо подчеркнуть главные аспекты в требованиях и дать для них
комментарии:
Централизованный доступ к сети «Интернет»;
Отказоустойчивость в работе сервисов и бесперебойный функционал
сети;
Организация сетевой безопасности.
Доступ к сети «Интернет» обеспечит приходящий в серверную комнату
оптический кабель от провайдера, под отказоустойчивостью подразумевается
резервирование кабельной и аппаратной структуры. Сетевая безопасность
осуществляется при помощи access-листов (ACL) и шифрованием трафика,
защита ресурсов (серверов) обеспечивается посредством межсетевого экрана.
Остальные моменты осуществляются по окончанию проектирования и
реализации сети, через конфигурацию сетевого оборудования.
Перед проектированием сети для подразделений необходимо провести
расчет количество портов с учётом их избыточности, а также учесть ip-
телефонию в будущем. Для расчетов принимаем условие, что аппаратные ip-
телефоны будут соответствовать количеству рабочих мест и не будут иметь
33
встроенного Ethernet-коммутатора, т.е. подключаться к отдельному порту
коммутатора уровня доступа. Расчет избыточности портов проведем по простой
формуле (1):
N (1)
Где:
– сумма задействованных в проекте подключений.
N – Количество подключений с учетом избыточности.
В результате расчета получаем следующие данные.
Шахта:
Сегмент уровня доступа:
155 рабочих мест – 155 портов;
159 телефонов – 159 портов;
21 принтер – 21 порт;
12 камер и 1 видеорегистратор – 13 портов;
= 155+159+21+13= 348
N = 348 •110% = 383
Серверная ферма:
10 серверов – 20 портов (по два на сетевых интерфейсах сервера).
N = 20•110% = 22
По аналогии проведем расчет количества портов (учитывая ip-телефонию
и избыточность) остальных технических единиц,
ГОФ: N = 63;
РМЗ: N = 87;
АТХ: N = 38;
Для расчета пропускной способности каждого сайта нужно учесть
количество подключенного оборудования и создаваемого им трафика. Только
после этого можно приступать к выбору сетевого оборудования, понимая
34
емкость каналов связи. Обычно это делается при помощи мониторинга сети и
анализаторов трафика. Но т.к. сеть у нас проектируется с нуля и мониторинг
невозможен, придется отталкиваться от усредненных значений.
Трафик, создаваемый телефонами, будет определяться в зависимости от
используемого кодека и составит 8 - 64 кбит/с, поэтому примем за среднее
значение в 32кбит/с. [29] За единицу размера трафика каждого пользователя в
сети возьмём 256кбит/с. В итоге выходит 288 кбит/с на одно рабочее место. IP-
камеры работают в режиме HD (1280*720), с использованием кодека H.264,
переменным битрейтом и частотой 25 к/c и создают трафик не более 5Мбит/c на
камеру. [27] Сам регистратор создает трафик как обычное рабочее место.
Принтеры работают локально без генерации внешнего трафика.
Рассчитаем среднее арифметическое исходящего трафика (будем считать,
что видеопоток локальный и не будет выходить за пределы сайта) для каждого
подразделения по формуле (2):
????
????
(2)
где:
– усредненное значение общего генерируемого трафика сети в
единицу времени;
− количество подключенных компьютеров;
− количество видеорегистраторов;
t – количество телефонов.
Получаем значения для удалённых сайтов,
ГОФ:
РМЗ:
АТХ:
Трафик от камер будет составлять:
Шахта:
ГОФ:
35
РМЗ:
АТХ:
Касаемо главной единицы – шахты, пользовательский трафик
ограничивается только пропускной способностью оборудования. Серверная
ферма будет подключена к ядру кампуса через коммутаторы гигабитными
портами, что обеспечит ей необходимую пропускную способность с
необходимым запасом. Согласно «best practices» (с англ. – передовой опыт,
лучшие практики) большинством вендоров и интеграторов рекомендуется
проводить расчет ёмкости канала в соотношении на 4 Гбит/с линка
(соединительная линия): 1 Гбит/c на Ядро.
2.1.3 Высокоуровневый дизайн сети
Для ознакомления заказчика с предположительной моделью сети
составляется т.н. высокоуровневая схема, по-другому «высокоуровневый
дизайн» («High-Level Design»). Слово «высокоуровневый» означает, что схема
представляется максимально упрощенной и описывает только высокоуровневое
взаимодействие, без детализации в коммутации и технологиях.
Для понимания сути функционала блоков сети ее можно сравнить с
человеческим организмом, где Campus Core является сердцем, гоняющим кровь
по всему телу, а Data Center – его мозг.
В центре нашей проектируемой сети находится Campus Core главного
здания – Mine. К Campus Core Mine будут подключены Data Center Core, Campus
Access GOF, Enterprise Edge (граница предприятия) и Access (пользовательский)
сегмент шахты. Таким образом, Campus Core Mine необходимо будет
транслировать весь сетевой трафик предприятия. Соответственно, для данных
задач важно подобрать подходящее сетевое оборудование. Проектируемая сеть
нашего предприятия небольшая, нагрузка незначительна, поэтому выделение
отдельного Distribution уровня не требует.
Campus Distribution RMZ предполагает обеспечение подключения
пользовательского сегмента РМЗ и АТХ, гарантируя пропускную способность
до Campus Core Mine. Высокоуровневое строение ядра аналогично шахтному.
36
Большая часть трафика от всех предприятий будет приходиться на Data
Center Core, за которым располагается серверная ферма, включающая в себя:
контроллеры домена, базы данных, сервер телефонии, сетевые диски, систему
хранения данных, прочие сервисы и ресурсы сети. Для этого необходимо
обеспечение пропускной способности и защита сетевого трафика.
На основании рассмотренных подключений составим HLD-модель сети
(рисунок 8).
Рисунок 8 – HLD-модель сети АО «Интауголь»
2.2 Выбор оборудования, его спецификация и расчет стоимости
Выбор оборудование – важнейшая часть в проектировании сети, т.к. все
предполагаемые к использованию технологии упираются в то, поддерживаются
они оборудованием или нет. При выборе оборудования желательно определиться
с одним вендором и избегать вариативности, т.к. в большинстве случаев
оборудование одного изготовителя имеет программную и аппаратную
совместимость с другими моделями от того же вендора. В этом случае
значительно упрощается конфигурирование ввиду идентичной оболочки и
синтаксиса.
Нам необходимо провести подбор оборудования для следующих сайтов:
1) Campus Core Mine – базовый уровень (ядро сети);
37
2) Campus Access Mine – пользовательский (физический) сегмент;
3) Data Center Core – ядро серверной фермы;
4) WAN & Internet Connectivity – модуль для подключения удалённых сайтов
и Интернет;
5) Enterprise Teleworkers – удаленные сотрудники, пользователи.
Campus Core шахты представляет собой пользовательское ядро, для
которого подойдет коммутатор третьего уровня (L3 switch), который справится
с сетевыми нагрузками и задачами уровня Distribution/Core. Порог
максимального сетевого трафика от Access Layer - 1 Гигабит/с (на основании
технической возможности коммутаторов пользовательского сегмента). Так же
будет необходимо обрабатывать трафик, приходящий от ГОФ, РМЗ и АТХ.
Младшей моделью в семействе современных коммутаторов данного уровня,
подходящей под данные требования, является Cisco Catalyst 3850 в
комплектации WS-C3850R-24T-L - это производительный бюджетный
коммутатор третьего уровня со слотом для платы расширения (4 SFP-порта
1Гбит/с, 2 порта-SFP+ 10 Гбит/с или 4 SFP-порта 1 Гбит/с), с контроллером
беспроводного доступа с поддержкой 50 точек доступа и 2000 беспроводных
клиентов, имеющим плату с 24 1G (гигабитными) портами. Также
предполагается обеспечить возможность подключения коммутаторов access-
уровня через оптический канал связи со скоростью 1G, для этого подойдёт плата
3850-NM-4-1G с 4 оптическими портами. [30] Таким образом нам необходимо
два таких коммутатора и две платы расширения. Стоимость оборудования
указана в «Таблица 3».
Затраты на оборудование в Campus Core Mine
Таблица 3
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C3850-
24T-L
Коммутатор Cisco Catalyst C3850 24
x GE (POE+)
2
165200
330400
C3850-NM-4-
1G
Модуль расширения Cisco C3850-
NM-4-1G Catalyst 3850 4 x 1GE
Network Module для коммутаторов
серии 3850
2
14120
28240
Итого:
179320
38
Campus Access представляет собой пользовательский сегмент, для
которого необходимым оборудованием являются коммутаторы доступа.
Необходимо учитывать наличие технологии PoE (Power over Ethernet), которая
обеспечивает питание через сеть Ethernet. PoE потребуется для питания камер
видеонаблюдения, беспроводных точек доступа, IP-телефонов, чтобы не
подключать их с помощью блоков питания. Для данных целей подойдут
коммутаторы младшей серии Cisco Catalyst 2960 Plus LAN Lite Switch, в
комплектации WS-C2960-24PC-S. Данный коммутатор имеет 24 порта доступа по
витой паре, поддерживающих скорость до 100 Мбит/ и два комбинированных
порта (медный или оптический) со скоростью до 1 Гбит/с. Учитывая размещение
пользователей и особенности структуры зданий, нам потребуется семнадцать 24-
портовых коммутатора для подключения кампуса шахты. Стоимость затрат на
приобретение оборудования указана в «Таблица 4».
Затраты на оборудование в Campus Access Mine
Таблица 4
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C2960-
24PC-S
Catalyst 2960 24 x 10/100 (PoE) + 2
x combo Gigabit SFP LAN Lite Image
17
70450
1197650
Итого:
1197650
Так же можно прилично сэкономить, если приобрести коммутаторы с
частичной поддержкой PoE или вовсе без них. Например, если подключать к
портам PoE только видеокамеры или все полностью перевести на внешние блоки
питания. Это позволит сократить стоимость затрат на Access-сегмент шахты в 2
и более раз. Варианты расчета представлены в «Таблице 5» и «Таблица 6».
Вариант 2 (16 PoE). Затраты на оборудование в Campus Access Mine
Таблица 5
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C2960-
24LC-S
Catalyst 2960 24 x 10/100 (8 PoE) +
2 x combo Gigabit SFP LAN Lite Image
2
43000
86000
WS-C2960-
24TC-S
Catalyst 2960 24 x 10/100 + 2 x
combo Gigabit SFP LAN Lite Image
15
28450
426750
Итого:
512750
39
Вариант 3. Затраты на оборудование в Campus Access Mine
Таблица 6
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C2960-
24TC-S
Catalyst 2960 24 x 10/100 + 2 x
combo Gigabit SFP LAN Lite Image
17
28450
483650
Итого:
483650
Для Data Center Core (Ядро Дата Центра (Банка данных)) при его
предполагаемых нагрузках достаточно будет использования коммутаторов
Catalyst 2960L в комплектации WS-2960L-24TS-LL. При размере нашего
предприятия количества и скорости портов будет достаточно для подключения
и роста серверной фермы. Затраты на закупку оборудования указаны в «Таблица
7».
Затраты на оборудование в Data Center Core Mine
Таблица 7
Артикул
Номенклатура
К-во
Цена
Сумма
WS-2960L-
24TS-LL
Cisco WS-C2960L-24TS-LL Catalyst
2960L 24 port GigE, 4 x 1G SFP, LAN
Lite
2
35590
71180
Итого:
156990
Изначально данное оборудование серверной фермы планировалось для
создания Data Center Distribution – сегмента, а в Data Center Core поставить
коммутаторы L3, уровня используемых в Campus Core Mine, и аппаратный
межсетевой экран типа ASA5505/ASA5506. Но при пересмотре спецификации
оборудования выяснилось, что проект Data Center был бы значительно дороже с
переплатой за неиспользуемые мощности, даже с учётом роста серверной
фермы, а необходимую безопасность извне вполне обеспечат маршрутизатор со
встроенным файрволом и программные комплексы с сертификацией ФСТЭК.
WAN & Internet Connectivity – модули, которые отвечают за
централизованный доступ к сети «Интернет», а так же доступ удалённых
подразделений и удаленных пользователей к корпоративной сети. Для наших
задач не требуется мощный маршрутизатор, т.к. интернет-трафик не
предполагает большие нагрузки. К маршрутизаторам, подходящим под наши
нужды, относятся маршрутизаторы Cisco C880 Series Integrated Services Router,
а именно Cisco C881G-4G-GA-K9 со встроенным 3G/4G-модулем в качестве
40
резервного интернет-канала. [31] Безопасный доступ в интернет и защиту от
несанкционированного доступа будет обеспечивать встроенный межсетевой
экран. Канал связи между сетями предполагается обеспечить посредством
сетевого моста. Для этих целей подойдут наружные двухдиапазонные точки
доступа серии Cisco Airnet 1530, а конкретно Air-AP1532E-UXK9. Затраты на
закупку указаны в «Таблица 8».
Затраты на Enterprise Edge
Таблица 8
Артикул
Номенклатура
К-во
Цена
Сумма
C881G-4G-GA-
K9
Cisco C881G-4G-GA-K9 w/3G/4G 4 x
LAN FE, WAN 1 x GE, MDM9215
1
95070
95070
Air-AP1532E-
UXK9
Внешняя универсальная точка
доступа Cisco 1532 с внешними
антеннами и поддержкой 802.11n
Low-Profile
2
62630
125260
Итого:
244230
Для удалённых сайтов (ГОФ, РМЗ и АТХ) потребуются коммутаторы для
подключения рабочих мест пользователей и один маршрутизатор для передачи
маршрутов на WAN модуль. Cisco Catalyst 2960 LAN Lite Switch в комплектации
WS-C2960-24PC-S подойдёт в качестве коммутатора уровня доступа (в
зависимости от количества требуемых портов PoE конфигурация будет
меняться). В качестве уровня распределения удаленного сайта будет выступать
коммутатор серии Cisco Catalyst 2960L Lan Lite Switch в конфигурации WS-
C2960L-8PS-LL с восьмью 1Гбит/с портами по витой паре, поддержкой PoE и
двумя 1 Гбит/с SFP-портами. С задачами маршрутизации справится более
бюджетный роутер Cisco C881-K9.
Итого, потребуются 1 маршрутизатор и 10 коммутаторов для
подключения всех удалённых точек. Затраты на закупку оборудования в
вариантах «все PoE», «PoE для видео» и «без PoE» указаны в «Таблица 9»,
«Таблица 10» и «Таблица 11».
41
Затраты на Remote Sites
Таблица 9
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C2960-
48PST-S
Catalyst 2960 48 10/100 PoE + 2 x
1G +2 SFP LAN Lite Image
1
100740
100740
WS-C2960-
24PC-S
Catalyst 2960 24 x 10/100 (PoE) + 2
x combo Gigabit SFP LAN Lite Image
7
70450
493150
WS-C2960L-
8PS-LL
Cisco Catalyst 2960L, 8 x 1G PoE, 2 x
1G SFP
2
28300
28300
C881-K9
C881-K9 WAN 1 x FE, LAN 4 x FE, 20
IPSec VPN
1
23900
23900
Итого:
674390
Вариант 2. Затраты на Remote Sites
Таблица 10
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C2960-
48TC-S
Catalyst 2960 48 10/100 + 2 1Gbt +2
SFP LAN Lite Image
1
48800
48800
WS-C2960-
24LC-S
Catalyst 2960 24 x 10/100 (8 PoE) +
2 x combo Gigabit SFP LAN Lite Image
6
43000
258000
WS-C2960-
24TC-S
Catalyst 2960 24 x 10/100 + 2 x
combo Gigabit SFP LAN Lite Image
1
28450
28450
WS-C2960L-
8PS-LL
Cisco Catalyst 2960L, 8 x 1G PoE, 2 x
1G SFP
2
28300
28300
C881-K9
C881-K9 WAN 1 x FE, LAN 4 x FE, 20
IPSec VPN
1
23900
23900
Итого:
415750
Вариант 3. Затраты на Remote Sites
Таблица 11
Артикул
Номенклатура
К-во
Цена
Сумма
WS-C2960-
48TC-S
Catalyst 2960 48 10/100 + 2 1Gbt +2
SFP LAN Lite Image
1
48800
48800
WS-C2960-
24TC-S
Catalyst 2960 24 x 10/100 + 2 x
combo Gigabit SFP LAN Lite Image
7
28450
199150
WS-C2960L-
8PS-LL
Cisco Catalyst 2960L, 8 x 1G PoE, 2 x
1G SFP
2
28300
28300
C881-K9
C881-K9 WAN 1 x FE, LAN 4 x FE, 20
IPSec VPN
1
23900
23900
Итого:
328450
Проанализировав цены в вариантах, мы убедились, что «золотой
серединой» на данный момент будет являться вариант с «частичным PoE», т.к.
это поможет неплохо сэкономить на закупке оборудования и закрыть текущие
потребности в обеспечении питанием систем видеонаблюдения, в то время как
ip-телефония намечается лишь в перспективе.