王海涛 刘新 傅鹏 孙晓莹

摘要：随着网络和信息技术的高速发展普及，各种网络应用需求的爆发式增长，促使企业建立一个设计规范、功能完备、性能优良、安全可靠、易于扩展、易于维护的内部网络系统平台，为企业信息化建设提供支撑。基于此，笔者从青州卷烟厂技术改造需求出发，根据建设原则、网络拓扑、业务需求等设计了整体网络架构，并给出了符合企业实际的网络建设方案。

关键词：网络架构;网络拓扑;网络安全

0引言

青州卷烟厂正处于技术改造稳步推进过程中，如何在当前数字化转型升级的关键时期抓住技改机遇夯实数字化基础，对于今后智能工厂建设尤为重要。而稳定、高效、泛在的网络，又是数字化转型升级基础中的关键一环。本文基于青州卷烟厂网络建设需求，提出了网络架构设计方案，同时针对网络安全性给出解决方案。

1青州卷烟厂网络需求分析及建设原则

1.1网络需求分析

企业信息网络承载从生产装备、集中控制、生产管控到企业管理的所有企业运营数据的传输，稳定、安全、高效、高容的企业信息网络，对于企业智能工厂建设极为重要。因此，生产制造企业网络建设首先要考虑的是通过设备和线路冗余确保稳定可靠，其次是数据传输的安全性保障，再次是保障数据及时性的低网络延时技术，最后是满足多样数据传输的高带宽和满足广连接的泛在网络。

1.2网络建设原则

为满足当前信息网络需求及未来智能工厂建设需求，青州卷烟厂网络架构设计应具备稳定、安全、先进、开放、高效、高容、便捷的技术特征。

（1）稳定性：采用成熟且先进的技术，关键设备冗余、双链路冗余。

（2）安全性：采用自主可控设备，配备相应的网络安全防护设备和软件，保障数据传输安全。

（3）先进性：采用业界先进技术和设备，能够满足青州卷烟厂未来5到10年的网络需求。

（4）开放性：采用标准协议，能够与其他网络无障碍的互联互通。

（5）高效性：采用成熟先进的传输技术，信息传递实时性强。

（6）高容性：带宽能够满足多样化数据的传输要求，并能够覆盖企业所有区域和所有可联网设备。

（7）便捷性：网络扩展运维简便，能够满足全厂网络的一体化运维要求。

2青州卷烟厂网络架构设计

2.1网络架构总体设计

青州卷烟厂网络总体采用星型网络架构设计，按照功能划分为管理网、工控网和安防网，如图所示。所有网络核心及接入交换机采用网络虚拟化技术实现冗余配置，所有光纤链路双线冗余，且所有交换机均支持SDN技术，为后续一体化网络管控建设提供技术支撑，满足企业未来网络扩展需求。

2.2网络架构详细设计

2.2.1管理网络

（1）有线网络。满足当前及未来快速增长的网络带宽需求，按照星型拓扑设计，建设主干网40G、接入层10G、千兆到终端的厂区有线网络。数据中心机房内部网络采用两层扁平化设计，实现核心层与接入层40G互连、10G光口到服务器设备，并与办公网、安防网实现40G互连。

（2）无线网络与无线定位。建设覆盖全厂的Wi-Fi6无线网络，根据应用划分不同的信道和频段，减少不同区域间信号的干扰，并通过用户账户和移动端MAC地址绑定，实现智能化无线网络管理。采用与无线AP结合的部署方式，与无线网络同步建设UWB（超宽带）定位系统。

2.2.2工控网络

工控网独立组网，采用工业以太网双环网架构和工业交换机，分为管理数据环网和控制数据环网。两个环网核心10G互联，并通过管理数据环网核心与园区核心10G相连。双环网骨干层10G互连，接入层千兆上连，10/100/1000M自适应到终端设备。

2.2.3安防网络

为满足安防数据传输大带宽和低延时的双重要求，安防网独立组网，与厂管理网络同步部署，实现核心层40G互连、接入层10G上连、千兆到终端。

2.2.4公共通信网絡

将厂区外的移动通信网、公共电话网、互联网、有线电视网等公共通讯经厂区弱电管网工程接入新建数据中心机房，实现向用户提供语音、数据、视频、多媒体等多种业务的综合接入服务。

2.3网络安全详细设计

按照《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）不低于第二级要求，设计建设覆盖全厂所有信息化设备和信息系统的国产一体化智能网络安全系统，实施有针对性的、多层次的网络安全防控措施。

2.3.1管理网安全防护

在管理网的互联网出口部署防火墙、抗DDos攻击、IPS、防病毒网关、上网行为管理设备，在管理网络核心旁路部署联网准入控制、流量分析杀毒、数据库及日志审计、双因子认证系统和VPN，实现全过程防护。

在新建数据中心机房核心网络边界部署防火墙，旁路部署运维审计系统，虚拟化集群中部署微隔离防护系统，生产管理服务器集群网络旁路部署日志审计、数据库审计，保障核心数据和应用的安全。

2.3.2工控系统安全防护

在各工控子网边界部署工业防火墙，旁路部署IDS、工业日志审计、工业数据库审计，工控各终端部署安全卫士软件，通过工控安全管理平台进行统一分析和风险预警。

2.3.3安防网安全防护

在安防网络边界部署防火墙，内部串接防涉密安全网关，并部署IPS、日志审计系统，对安防设备访问操作进行全过程日志记录，实现全事件追溯等。

2.3.4网络安全管理平台

建设一体化网络安全管理平台和网络安全态势感知系统，将各子网的安全设备数据统一汇总分析，结合态势感知系统结果进行安全态势实时展现、风险报警快速定位和设备联动处置，实现全维度、全过程、全方向的网络安全防护。

3总结

本文阐述青州卷烟厂网络架构设计目的，提出青州卷烟厂整体网络架构设计方案，介绍了每个子网的建设内容。通过分析得出：这种网络架构兼顾稳定、安全、先进、开放、高效、高容、便捷等原则，同时能够支持青州卷烟厂未来网络发展。此方案仍处于设计验证研究阶段，在具体实施需要结合青州卷烟厂发展实际，客观的进行完善。

参考文献

[1]安凯强，汤顺心，李潘月，祝雅卿，严展鹏.智能工厂的工业信息网络架构设计与实现.信息与电脑，2019年第5期.

[2]彭青梅，郑平辉.基于私有云的企业三层网络架构设计.网络安全技术与应用，2017年第2期.