Эксплуатация ИТ. Корпоративная сеть

«Кольцо» и сегментация
Функциональные сегменты распределяются внутри магистрали по VLAN, что обеспечивает изоляцию, приоритезацию и безопасность трафика от несанкционированного доступа различных по назначению подсетей.
Соединение объектов по схеме «кольцо» обеспечивает отказоустойчивость.

Корпоративная сеть (логика) и единая точка входа
Точкой входа в корпоративную сеть является центр безопасности.
Центр безопасности – отказоустойчивый узел из двух маршрутизаторов - обеспечивает подключение сетей к соответствующим VLAN, маршрутизацию, контроль доступа по требуемым критериям и т.д.

Все объекты на которых устанавливается каналообразующее оборудование, устройства и сети требующие доступ в корпоративную сеть, условно подразделены на два варианта:
Вариант 1 - для крупных узлов сбора и передачи информации, а так же для производственных отделений.
Вариант 2 – объекты на которых отсутствуют сервера, АРМ пользователей но установлены устройства требующие доступ в корпоративную сеть. Для снижения затрат не используются устройства маршрутизации.

Повышение надёжности доступа к устройствам, находящемуся на объектах и принадлежащему различным VLAN, и соответственно имеющему различное функциональное назначение, достигается
использованием 2 отдельных волокон, интерфейсы которых заведены на 2 коммутатора, объединённых в стек, и объединены в группу LACP, что удваивает пропускную способность и обеспечивает резервирование коммутаторов. Основные и резервные устройства подключаются к разным коммутаторам.

Доступ в корпоративную сеть на объектах вариант 1
Другие
VPN ЛВС
РЗА
Менеджмент
VoIP
АСКУЭ
ТЛМ
Мультисервисная сеть
ЛВС
АСКУЭ
Интернет
ТЛМ
РЗА
VoIP
Менеджмент
МРСК
Центр безопасности
Безопасный доступ
Доступ только в Интернет
Доступ с ограничениями по пользователю, MAC, IP источника и назначения и т.д.

Центр безопасности (Device HA)
Маршрутизаторы обеспечивают HA (High Availability), при которой один
из двух маршрутизаторов постоянно находится в горячем резерве.
В комплексе, данная схема обеспечивает работоспособность при
одновременном выходе из строя одного из маршрутизаторов и одного
из магистральных коммутаторов.

Другие
VPN ЛВС
РЗА
Менеджмент
VoIP
АСКУЭ
ТЛМ
Мультисервисная сеть
Объект
Доступ с ограничениями по пользователю, MAC, IP источника и назначения и т.д.
Устройство ТЛМ
Устройство АСКУЭ
Устройство VoIP
Устройство РЗА
На объектах, где отсутствуют серверы, АРМ и РМ пользователей ПК, подключение к корпоративной сети осуществляется через каналообразующее оборудование. Для подключения устройства (нескольких устройств) выделяется порт на коммутаторе. Для обеспечения безопасности, на выделяемом порту включается фильтрация MAC-адресов, IP фильтрация. Порт привязывается к определенному VLAN.

Схема для объекта вариант 1.

Схема для объекта вариант 2.

В глобальном плане, надёжность доступа к различным подсетям и сервисам через магистральные каналы, обеспечивается суммированием нескольких оптических волокон в один объединённый канал посредством LACP. Резервирование самих магистральных каналов обеспечивается их замыканием в физическое кольцо, и логическим разрывом связи на самом низкоскоростном участке (или на заданном вручную участке) посредством протокола RSTP.
В случае обрыва основного магистрального канала, отключённый участок автоматически включается в работу, прозрачно и практически незаметно (до одной секунды) для конечного оборудования.
Оборудование:
Коммутатры Eltex MES 3128 F;
Межсетевые экраны Zyxel ZyWAL USG1000, USG 300, 310.