一、需求分析：

1、连锁店间资源共享

为提高自身服务能力，许多连锁企业在保持自己的品牌优势的同时大力采用先进的信息技术搭建了各种企业内部信息平台（如配送系统等），实现企业总部、各服务网点、供货商、物流等方面的信息系统的同步操作，做到动态反映商品供求信息、实时畅通货源渠道、即时反馈顾客意见。因此管理人员需要能够随时地及时准确地获取所需要的数据，以便及时调整各项策略。这就要求各连锁店能够和总部实时共享传输数据。

2、数据传输安全

随着Internet技术的发展，病毒与网络攻击影响越来越严重，各类网络攻击、网络病毒大量泛滥，网络安全面临新的挑战。由于各连锁店间信息交互的频繁，重要的营业数据、财务数据等信息在网络中传输越来越多。网络传输环境的不安全，导致机密信息被窃取，会给公司造成极大的损失。因此各连锁店间信息的传输，需要安全稳定的内外部网络环境。

3、访问权限控制

公司内部有各式各样的部门，不同部门各施其职，同一部门权限也各有差异。这就需要对不同的人员设置不同的访问权限，并且合理分配带宽。例如有的部门能够上网，有的部门需要使用QQ,MSN等聊天工具。并且在连锁店间的专用网络建立起来后，还需要对不同人员设置访问总部资源的权限，保护重要信息安全。

4、上网行为管理

随着网络中各类应用的出现，不加管控的网络已经给公司带来了不少困扰，员工上网聊天、炒股、下载电影等网络活动，极大的影响了员工的工作效率，下载软件的乱用也极大的占用的有限的带宽资源，影响了关键数据的传输。在一些关键部门，还带来了不少的安全隐患。因此各连锁店之间在建设网络的时候，需要很好的控制员工上网行为。

5、管理维护简单，扩展性强

各公司，各部门都有专门的网络管理人员，如果网络结构过于复杂，会给管理人员带来不便，因此需要设备管理和维护简单方便。并且由于企业规模的扩大，各地连锁店的持续增加还需要架构的专用网络具有良好的可扩展性。

二、网络拓扑

三、方案特点

1、VPN互联，实现服务器共享和远程办公

总部和分支机构的路由器均支持IPSecVPN，仅需总部使用固定IP地址，分支可以使用动态变化的IP地址，即可实现VPN互联，实现总部服务器共享，提高企业沟通效率。

2、全千兆有线网络，冗余备份，高速稳定

所有设备均支持全千兆线速转发，保证局域网数据无瓶颈的高速转发。

核心层、汇聚层交换机支持生成树功能，轻松实现线路冗余备份，保证核心网络高可靠性。

汇聚层和接入层支持端口汇聚，成本提高上联端口传输速率，解决上联端口传输瓶颈问题。

3、室内室外无线全覆盖

华为提供吸顶、壁挂、桌面、室外等各种AP，可实现办公室、园区、仓库等所有区域的无线全覆盖。

华为提供AC控制器，可管理企业所有的华为 AP，实现统一管理、统一配置、统一认证。

华为 AC-AP无线覆盖方案，可实现不同AP使用不同的SSID，SSID与VLAN绑定，保证无线有线网络权限统一划分。

4、三层路由、VLAN、DCHP中继等丰富网管功能，清晰划分部门权限

支持DHCP Sever，VLAN、L2-L4的ACL等功能，实现部门、VLAN、IP地址端一一对应，清晰电脑划分部分权限，简化管理。

5、支持三层静态路由，实现服务器资源共享。

支持DHCP中继，使不同网段的DHCP客户端能共享一个DHCP服务器，减少服务器数量。

支持ARP代理，使处于同一逻辑子网但不同交换机的设备的互访，实现同一个部门多地办公。

6、支持四元绑定、IEEE802.1X认证等多种网络防护措施，保护网络和服务器安全

支持IP-MAC-端口-VLAN四元绑定，有效防止ARP攻击和外来设备接入。

支持IEEE802.1X认证，只有经过认证的设备才允许接入到企业网络，防止外来设备接入企业网络，影响企业网络安全。

支持IP源防护、MAC地址泛洪攻击防火，木马、蠕虫等病毒抑制，保护服务器安全。

7、规范员工上网行为，提高办公效率

出口路由器具有上网行为管控功能，能够管控IM软件（如QQ、炒股软件（如同花顺/大智慧）、下载软件（如迅雷）等数十种常见网络应用。

可实现网址分类过滤、URL过滤及网页安全等功能，管控员工访问网站的权限及浏览网页的安全性。

华为提供上网行为审计软件，可实时记录企业员工的各类上网行为，并可上传至审计服务器，便于网管人员掌握网络使用情况，规范员工上网行为。

8、分支机构：

有线无线一体覆盖

采用无线VPN路由器系列，有线无线一起部署，无需额外部署无线网络。

VPN互联，远程访问总部服务器

出口路由器支持VPN，可与总部VPN设备互联，访问总部服务器。

员工行为规范

出口路由器支持上网行电脑为管理，可规范员工上网行为。

四、设备清单（以华为为例）

1、总部

类型

可选型号

特点

路由器

高性能企业VPN路由器系列

（以AR3260-S为例）

控制和转发分离，1:1冗余备份；

支持防火墙安全域，IPS特征库超过1000+，URL过滤功能可过滤指定域名的网站，提供EVPN，DSVPN，Smart VPN等多种创新的VPN技术；

支持无线控制器(AC)功能，可管理多个AP设备，实现有线无线一体化接入；

支持板卡热插拔技术，提供毫秒级故障检测以及链路备份技术；

提供OSP开放业务平台，快速集成与定制业务，满足用户个性化需求。

核心交换机

三层全网管交换机系列

（以S5700-28C-SI为例）

灵活组网: 支持STP/RSTP/MSTP生成树协议，SEP智能以太保护技术，SmartLink功能，轻松灵活组网；

轻松运维: Easy Operation简易运维方案实现设备Zero-Touch安装、免配置更换、批量远程升级；

智能堆叠: 支持iStack堆叠，将多台交换机虚拟为一台；提高设备可靠性，简化配置和管理；

多样的安全控制: 支持MAC、802.1x、Portal认证，实现用户策略（VLAN、QoS、ACL）的动态下发。支持完善的DoS类防攻击、用户类防攻击。

接入交换机

二层全千兆网管交换机

（以S5700S-28P-LI-AC为例）

绿色节能全千兆精简型二层千兆交换机

1、整机休眠

2、SEP

3、RPS

接入交换机

PoE交换机

（以S5700-28P-PWR-LI-AC为例）

新一代绿色节能的全千兆高性能二层以太交换机

电脑 1、整机休眠

2、iStack堆叠

3、G.8032

4、RPS

5、POE+

无线控制器

无线控制器系列

（AC6005-8为例）

高容量、高性能设计，拥有8个GE口，提供4Gbit/s的转发能力，可管理256个AP，接入2K无线终端；

灵活的数据转发方式，支持直接转发、隧道转发；

灵活的用户权限控制，提供基于用户和角色的访问控制策略控制能力；

丰富的网络运维方式，可通过网管eSight、WEB网管、命令行（CLI）进行维护。

无线AP

无线吸顶式AP系列

（AP3010DN-AGN为例）

高速可靠的无线接入服务，支持2×2 MIMO，双频速率最高可达600Mbps；

完善的用户接入控制能力，可根据用户组策略，基于用户实施访问控制；

高等级的网络安全性，支持WIDS和WIPS；

强大的网络特性，支持IPv4/IPv6双协议栈。

2、分支机构1

类型

型号

特点

路由器

高性能企业VPN路由器系列

（以AR1220F-S为例）

支持板卡热插拔技术；提供毫秒级故障检测以及链路备份技术；

支持防火墙安全域；支持802.1x认证、MAC认证、Portal认证等安全机制；提供EVPN，DSVPN，Smart VPN等多种创新的VPN技术；

内置PBX，SIP服务器，SIP接入网关等语音功能，提供语音会议、语音信箱等增值业务；

支持无线控制器(AC)功能，可管理多个AP设备，实现有线无线一体化接入；

支持多种3G制式，并可提供LTE高速接入方案；

支持Web配置方式，并提供U盘开局方案，设备即插即用

核心交换机

三层全网管交换机系列

（以S5700-28C-SI为例）

灵活组网: 支持STP/RSTP/MSTP生成树协议，SEP智能以太保护技术，SmartLink功能，轻松灵活组网；

轻松运维: Easy Operation简易运维方案实现设备Zero-Touch安装、免配置更换、批量远程升级；

智能堆叠: 支持iStack堆叠，将多台交换机虚拟为一台；提高设备可靠性，简化配置和管理；

多样的安全控制: 支持MAC、802.1x、Portal认证，实现用户策略（VLAN、QoS、ACL）的动态下发。支持完善的DoS类防攻击、用户类防攻击。

接入交换机

PoE交换机

（以S5700-28P-PWR-LI-AC为例）

新一代绿色节能的全千兆高性能二层以太交换机

1、整机休眠

2、iStack堆叠

3、G.8032

4、RPS

5、POE+

无线控制器

无线控制器系列

（AC6005-8为例）

高容量、高性能设计，拥有8个GE口，提供4Gbit/s的转发能力，可管理256个AP，接入2K无线终端；

灵活的数据转发方式，支持直接转发、隧道转发；

灵活的用户权限控制，提供基于用户和角色的访问控制策略控制能力；

丰富的网络运维方式，可通过网管eSight、WEB网管、命令行（CLI）进行维护。

无线AP

无线吸顶式AP系列

（AP3010DN-AGN为例）

高速可靠的无线接入服务，支持2×2 MIMO，双频速率最高可达600Mbps；

完善的用户接入控制能力，可根据用户组策略，基于用户实施访问控制；

高等级的网络安全性，支持WIDS和WIPS；

强大的网络特性，支持IPv4/IPv6双协议栈。

3、分支机构2

类型

型号

特点

路由器

无线企业VPN路由器系列

（以AR1220W-S为例）

全业务路由，有线无线一体化接入

支持板卡热插拔技术；提供毫秒级故障检测以及链路备份技术；

支持防火墙安全域；支持802.1x认证、MAC认证、Portal认证等安全机制；提供EVPN，DSVPN，Smart VPN等多种创新的VPN技术；

内置PBX，SIP服务器，SIP接入网关等语音功能，提供语音会议、语音信箱等增值业务；

支持无线控制器(AC)功能，可管理多个AP设备，实现有线无线一体化接入；

支持多种3G制式，并可提供LTE高速接入方案；

支持Web配置方式，并提供U盘开局方案，设备即插即用。

核心交换机

二层全千兆网管交换机

（以S5700S-28P-LI-AC为例）

绿色节能全千兆精简型二层千兆交换机

1、整机休眠

2、SEP

3、RPS