聯系我們本案適用于規模較大（用戶數可達5000左右）的商超場景。
用戶接入需求
為商超辦公員工提供有線和無線接入方式。
為店鋪員工、POS機終端和顧客提供無線接入方式。
商超網絡的接入用戶可以訪問Internet。
商超網絡與總部之間通過IPSec VPN互聯。針對商超辦公有線用戶，訪問總部的數據流需要通過IPSec VPN加密。
區分不同類型的用戶，訪問Internet時進行帶寬限制：POS機終端和有線辦公員
不做帶寬限制，商超辦公無線用戶、店鋪員工、普通顧客和VIP顧客分別限制帶寬為4Mbps、2Mbps、1Mbps和3Mbps。
接入認證需求
簡化認證，實現“一次認證，多次接入”服務。
無線漫游需求
無縫漫游，業務不中斷，用戶無需重新認證。安全性需求
防止非法設備、非法攻擊入侵網絡，配合認證系統，滿足安全合規要求。禁止外網用戶訪問內網。
商超辦公有線用戶能夠訪問Internet，但不能在Internet上玩游戲和觀看網絡視頻。
針對POS機無線終端的接入網絡，希望配置隱藏功能，提高安全性。
可靠性需求
需要提供備份功能，網絡中鏈路或設備出現故障時，保證網絡業務不中斷。
運維管理需求
要求對用戶的上網行為進行統一管理、簡化運維。
圖1 中大型商超場景組網圖
網絡設計分析
用戶接入需求
出口防火墻USG6650承擔外網出口業務，隔離內外網區域。為了使內網用戶訪問外網，在USG6650上配置NAT，實現私網地址和公網地址之間的轉換。
配置基于用戶組的帶寬策略，為不同用戶組提供不同帶寬。USG6650作為出口防火墻，通過配置IPSec VPN實現與總部互聯。核心交換機S7706，作為有線用戶和無線用戶的網關，通過DHCP方式為用戶終端分配IP地址。在S7706上對不同類型用戶區分不同網段，執行ACL策略，用于管理不同用戶群的網絡權限。VIP顧客與普通顧客部署在同一SSID中，通過AgileControllerCampus授權動態VLAN來區分權限。AC6605上配置WLAN基本業務，作為DHCP服務器為AP分配IP地址，管理全網AP上線。
接入認證需求
針對商超辦公有線用戶，在S7706上配置有線接入認證方式為MAC+Portal混合認證。
針對無線用戶，在AC6605上部署無線接入認證方式為MAC+Portal混合認證。
在Agile Controller-Campus上配置MAC優先認證，實現“一次認證，多次接入”服務。
無線漫游需求在AC6605上配置無線智能漫游功能，實現無縫漫游。
安全性需求
在USG6650上配置安全策略，對流量進行過濾，禁止外網用戶訪問內網，
商超辦公有線用戶能夠訪問Internet，但不能在Internet上玩游戲和觀看網絡視頻。開啟DDOS攻擊防范功能，防止非法設備、非法攻擊入侵網絡。部署上網行為審計，對用戶的上網行為記錄日志，供管理員后續進行審查和分析。
在S7706上配置防攻擊功能：用戶級限速、基于端口的防攻擊、攻擊溯源功能。在AC6605上分別配置多個SSID，將各種業務進行隔離，不同SSID綁定不同的業務VLAN，實現無線用戶隔離。
針對POS機專用SSID，配置隱藏功能，并部署終端省電狀態抑制功能。配置廣播泛洪檢測與抑制功能。在S5720-56C-PWR-EI-AC連接AP的接口上
配置端口隔離、無線組播報文抑制功能。在S5700-28P-PWR-LI-AC上配置DHCP Snooping，防止非法用戶接入。
可靠性需求
USG6650部署主備方式的雙機熱備，防火墻連接核心交換機和Internet分別采用VRRP部署，保證業務不中斷。核心交換機S7706部署集群，保證設備級可靠性。配置多主檢測，可以檢測并處理集群分裂時網絡中出現的多主沖突。匯聚交換機S5720-56C-PWR-EI-AC部署堆疊，保證設備級可靠性。S7706與USG6650、S7706與AC6605、S5720-56C-PWR-EI-AC與S7706之間分別采用Eth-Trunk互連，提高鏈路可靠性。AC6605旁掛式部署，配置1+1 VRRP備份，保證設備級可靠性。
運維管理需求
通過Agile Controller-Campus，實現策略的統一控制和用戶行為的統一管理。
通過eSight實現設備的統一管理。
方案涉及產品的軟件版本要求
上一篇： 高密400GE、ILOSSLESS AI算法實現零丟包，華為CLOUDENGINE 16800交換機 下一篇：沒有了
返回列表