**Планирование сети крупной организации. Общий план.**Эту часть хотелось начать со слов: "что-бы приготовить сеть крупной организации вам потребуются следующие ингридиенты" :)В крупных компаниях требования к безопасности и надежности сети гораздо выше. В целях безопасности рекомендуется выделиить в локальной сети как минимум 3 сегмента: пользовательская подсеть, серверная подсеть и DMZ. В некоторых случаях существует необходимость вынести принт-сервера (у которых отсутсвует контроль доступа) и тестовые системы в отдельный сегмент.Связь с филиалами осуществляется посредством шифрованного VPN-канала для обеспечения безопасного доступа филиалов во внутреннюю сеть организации. Всё возможное сетевое оборудование и сервера следует поместить в серверную (рекомендации по серверной будут описанны отдельно). Для начала рассмотрим общий (укрупненный) план, после чего пойдем по отдельным участкам сети. Оригинал (Visio, 685Kb)Начнем с локальной сети:UserNET (LAN)В пользовательской сети находятся все рабочие станции пользователей. Так-же туда следует поместить такие сервера общего доступа как файл сервер, прокси сервер, принт сервера и другие вспомогательные сервера, предполагающие большой траффик, для уменьшения нфагрузки на роутер.ServerNETВ серверной сети размещаются production-сервера баз данных и приложений, контроллер домена и некоторые вспомогательные сервера.Test/DevelopmentЕсли структура ИТ в компании предполагает разработку и отладку приложений, баз данных или других систем, то желательно их так-же выделить в отдельный изолированный сегмент.PrintNETВ случае если в компании экономят на принт-серверах и сетевых принтерах со встроенными функциями разграничениия доступа, имеет смысл спрятать их в другом сегменте и установить в пользовательской сети сервер, который будет предоставлять доступ к принтерам как к сетевым ресурсам.DMZВ DMZ, как обычно помещаем сервера, предоставляющие какие-либо сервисы всему миру (клиентам и пр.). В этот сегмент попадают web-сервера (в случае, если веб-сервера используют какие-либо сервера баз данных их тоже необходимо поместить сюда), DNS-сервера, ftp-сервера и VPN-роутеры.Firewall/RouterТут необходимо серъезное железо и обязательно с дублирующей системой. Количество сетевых интерфейсов по количеству сегментов сети. В случае, если Firewall/Router и центральный свитч поддерживают VLAN то можно обойтись и меньшим количеством интерфесов. В случае, если они поддерживают link-aggregation, можно объеденить несколько сетевых интерфейсов в один для увеличения пропускной способности.ФилиалыФилиалы, в принципе, представляют из себя малые офисы, за исключением того, что у них отсутствует DMZ сегмент, и Firewall/Proxy/VPN можно объеденить на одной системе. |
|