某市檔案局方案建議書

1、檔案館檔案信息化系統(tǒng)建設(shè)設(shè)計方案2013年7月目錄第 一 章 檔案局建設(shè)需求分析41.1 檔案局信息化建設(shè)現(xiàn)狀41.2 建設(shè)目標41.3 業(yè)務(wù)及需求分析51.4 系統(tǒng)設(shè)計原則7第 二 章 網(wǎng)絡(luò)平臺建設(shè)112.1 網(wǎng)絡(luò)建設(shè)原則11第 三 章 總體網(wǎng)絡(luò)建設(shè)方案133.1 方案設(shè)計思路133.2 網(wǎng)絡(luò)結(jié)構(gòu)拓撲設(shè)計243.3 網(wǎng)絡(luò)管理設(shè)計283.4 網(wǎng)絡(luò)安全設(shè)計40第 四 章 云計算中心建設(shè)494.1 建設(shè)云計算平臺的重要意義49第 五 章 中心機房建設(shè)方案585.1 機房裝飾工程585.2 機房供、配電系統(tǒng)635.3 防雷接地系統(tǒng)675.4 機房消防系統(tǒng)705.5 機房門禁系統(tǒng)725.6 機房通風系

2、統(tǒng)745.7 機柜系統(tǒng)785.8 UPS及環(huán)境監(jiān)控設(shè)計795.9 用戶需求及應(yīng)用狀況825.10 實際方案介紹825.11 單機配電原理圖825.12 輸入/輸出配電要求835.13 設(shè)備尺寸、重量及放置要求845.14 系統(tǒng)優(yōu)化建議方案855.15 產(chǎn)品介紹865.16 科士達蓄電池905.17 服務(wù)器機柜產(chǎn)品資料935.18 環(huán)境監(jiān)控系統(tǒng)100第 1 章 檔案局建設(shè)需求分析1.1 檔案局信息化建設(shè)現(xiàn)狀信息化是當今世界科技、經(jīng)濟與社會發(fā)展的大趨勢，是推進現(xiàn)代化建設(shè)的重大戰(zhàn)略舉措，也是衡量一個地區(qū)、一個城市現(xiàn)代化程度和綜合競爭力的重要標志。根據(jù)國家、省上、市上關(guān)于信息化建設(shè)的總體要求，XX市檔

3、案局政府信息化建設(shè)緊緊圍繞國民經(jīng)濟和社會發(fā)展目標，從全面建設(shè)小康社會、加快推進XX市檔案局現(xiàn)代化建設(shè)的要求出發(fā)，采取切實有效的措施，加快信息化建設(shè)步伐，努力促進XX市檔案局“國際化、市場化、人文化、生態(tài)化”建設(shè)的發(fā)展目標，推動經(jīng)濟社會全面協(xié)調(diào)可持續(xù)發(fā)展。1.2 建設(shè)目標XX市檔案局網(wǎng)絡(luò)主要承載政務(wù)園區(qū)的政務(wù)應(yīng)用，專用于政務(wù)園區(qū)政府網(wǎng)絡(luò)信息平臺，實現(xiàn)政務(wù)園區(qū)各入駐部門的網(wǎng)絡(luò)互聯(lián)，滿足各種業(yè)務(wù)系統(tǒng)的需要。規(guī)劃建設(shè)的主要目標是：根據(jù)全省、全市檔案館網(wǎng)絡(luò)統(tǒng)一規(guī)劃，多業(yè)務(wù)承載網(wǎng)絡(luò)，具備多業(yè)務(wù)融合承載能力，即在統(tǒng)一的網(wǎng)絡(luò)系統(tǒng)平臺上，利用IP網(wǎng)絡(luò)承載電子政務(wù)業(yè)務(wù)數(shù)據(jù)、流媒體等信息；高可靠、高帶寬，保證現(xiàn)有電

4、子政務(wù)各項業(yè)務(wù)應(yīng)用需求，兼顧將來發(fā)展，提供一個高帶寬、可根據(jù)需求靈活進行服務(wù)級別管理的網(wǎng)絡(luò)系統(tǒng)平臺；故障冗余能力，由于電子政務(wù)應(yīng)用的特殊性，網(wǎng)絡(luò)系統(tǒng)平臺應(yīng)具備良好的可用性，要求網(wǎng)絡(luò)規(guī)劃具有完善的故障自愈能力和故障冗余能力。業(yè)務(wù)智能化能力，電子政務(wù)平臺必須至少要在3到5年滿足黨政機關(guān)辦公需求，因此XX市檔案局基礎(chǔ)架構(gòu)需要能夠智能適應(yīng)黨政辦公的需求。基礎(chǔ)網(wǎng)絡(luò)架構(gòu)能夠智能適應(yīng)黨政機關(guān)業(yè)務(wù)能力的發(fā)展。1.3 業(yè)務(wù)及需求分析對整個新檔案館的信息化建設(shè)及檔案專用設(shè)施設(shè)計要求如下：（1）按新檔案館建設(shè)標準和規(guī)范設(shè)計；（2）所有硬件設(shè)施和軟件設(shè)施必需滿足現(xiàn)代檔案館可持續(xù)發(fā)展的需要；（3）檔案館的信息化系統(tǒng)的設(shè)

5、計按三網(wǎng)一庫的要求設(shè)計： 檔案館的三網(wǎng)要物理隔離開來； 三網(wǎng)一庫是內(nèi)部局域網(wǎng)（專網(wǎng)）、電子政務(wù)網(wǎng)（黨政網(wǎng)）、Internet網(wǎng)（外網(wǎng)），一庫是數(shù)字檔案基礎(chǔ)數(shù)據(jù)庫； 服務(wù)器機房的設(shè)備的安全保護，如：UPS電源系統(tǒng)、防雷系統(tǒng)、門禁系統(tǒng)；服務(wù)器機房的數(shù)據(jù)安全保護，如：防火墻、病毒入侵檢測等；（4）綜合智能控制系統(tǒng)采用自動檢測和智能控制，實現(xiàn)無人管理： 庫房溫濕度系統(tǒng)完全自動檢測溫度和濕度控制有效范圍之內(nèi)，出現(xiàn)超出值自動報警，控制值在有效范圍內(nèi)除濕機、空調(diào)都停止工作，達到節(jié)能； 視頻監(jiān)控系統(tǒng)在整個檔案館重點部位全方位監(jiān)控，使整個檔案館都監(jiān)控范圍，圖像的保存不少于半個月，并實現(xiàn)移動檢測報警同時有語音提示

6、和圖像聯(lián)動報警； 綜合智能控制系統(tǒng)有電子地圖、溫濕度曲線圖、視頻聯(lián)動報警、設(shè)備故障檢測、語音提示、手機短信、屏幕報警、相互聯(lián)動等功能；（5）檔案查詢要采用多種查詢手段來滿足公眾信息的查詢； 局館介紹、查詢指南、局務(wù)公開、目錄查詢、相關(guān)視頻資料（根據(jù)實際情況定點開發(fā)）；（6）報告廳要采用數(shù)字多媒體會議系統(tǒng)；（7）檔案專用設(shè)施設(shè)備的配置，如:低溫冷凍消毒殺蟲柜、智能光盤柜、掃描儀等；（8）檔案系統(tǒng)專業(yè)軟件必需滿足檔案館的數(shù)字加工、電子檔案管理，檔案利用、查詢等要求；信息化平臺建設(shè)需要考慮的問題：l 多業(yè)務(wù)虛擬化邏輯隔離- 為多部門提供靈活的虛擬專用網(wǎng)，實現(xiàn)不同職能部門之間靈活的業(yè)務(wù)訪問控制和隔離l

7、 多業(yè)務(wù)統(tǒng)一承載- 利用同一張物理承載網(wǎng)，實現(xiàn)數(shù)據(jù)、語音、視頻、監(jiān)控等不同業(yè)務(wù)數(shù)據(jù)的高效傳輸，實時保障不同業(yè)務(wù)的業(yè)務(wù)質(zhì)量l 安全性- 保證政府政務(wù)信息系統(tǒng)免受外來和內(nèi)部不安全系統(tǒng)所帶來的安全威脅，實現(xiàn)政務(wù)信息的高可靠性l 數(shù)據(jù)管理- 檔案館是政府電子化辦公的核心資產(chǎn)，要能有效管理和保護這些業(yè)務(wù)數(shù)據(jù)l 維護管理- 路由器、交換機、防火墻、入侵防御系統(tǒng)等各種網(wǎng)絡(luò)安全設(shè)備眾多，用戶終端資產(chǎn)，網(wǎng)絡(luò)業(yè)務(wù)多樣化等等，要能實現(xiàn)設(shè)備、用戶終端、網(wǎng)絡(luò)業(yè)務(wù)等多方面的高效管理l 網(wǎng)絡(luò)可持續(xù)發(fā)展、擴展- 隨著網(wǎng)絡(luò)信息化技術(shù)的高速發(fā)展步伐，當前建設(shè)的網(wǎng)絡(luò)平臺要能有效滿足今后5年的網(wǎng)絡(luò)使用需求，現(xiàn)有的網(wǎng)絡(luò)平臺是能夠進行低

8、成本的平滑升級。1.4 系統(tǒng)設(shè)計原則系統(tǒng)建設(shè)的目的在于應(yīng)用。根據(jù)政府系統(tǒng)計算機工作的各種規(guī)范及各種業(yè)務(wù)的需求，結(jié)合政府部門的應(yīng)用經(jīng)驗和發(fā)展要求，在系統(tǒng)設(shè)計時，主要應(yīng)遵循以下原則：l 系統(tǒng)可靠性原則使用技術(shù)成熟的網(wǎng)絡(luò)設(shè)備和通信技術(shù)，選擇支持網(wǎng)絡(luò)管理功能的網(wǎng)絡(luò)產(chǎn)品及其相關(guān)的網(wǎng)絡(luò)管理軟件，為網(wǎng)絡(luò)管理和維護人員提供方便條件，系統(tǒng)建設(shè)應(yīng)保證一定的冗余性。l 系統(tǒng)實用性與可管理性的原則網(wǎng)絡(luò)建設(shè)要有一定的前瞻性。在網(wǎng)絡(luò)建成的五年之內(nèi)，業(yè)務(wù)量的增加不應(yīng)導致對網(wǎng)絡(luò)結(jié)構(gòu)及主干設(shè)備的重大調(diào)整。同時考慮實際的應(yīng)用水平，避免技術(shù)環(huán)境過于超前造成投資浪費。嚴格按國家安全保密標準及相關(guān)文件要求，采用多級安全保密措施。設(shè)備應(yīng)

9、有效防止信息的泄密、病毒的入侵、以及抵制外界對其的非法侵入。但網(wǎng)絡(luò)安全措施不應(yīng)嚴重影響網(wǎng)絡(luò)的易用性。網(wǎng)絡(luò)應(yīng)有良好的用戶界面、管理界面和開發(fā)界面。 l 系統(tǒng)可擴展性和開放性原則網(wǎng)絡(luò)應(yīng)采用開放式體系結(jié)構(gòu)，易于擴充，使相對獨立的分系統(tǒng)易于進行組合和調(diào)整。選用的通信協(xié)議要符合國際標準或工業(yè)標準，網(wǎng)絡(luò)的硬件環(huán)境，通信環(huán)境，軟件環(huán)境相互獨立，自成平臺，使相互間依賴減至最小，同時，要保證網(wǎng)絡(luò)的互聯(lián)。隨著應(yīng)用水平的提高，對網(wǎng)絡(luò)的要求也會不斷提高，網(wǎng)絡(luò)結(jié)構(gòu)應(yīng)具有良好的可擴充與可延展性。預(yù)先作好硬件、軟件和管理接口，使網(wǎng)絡(luò)能擴充新的節(jié)點和新的分支，其次網(wǎng)絡(luò)必須具有擴充升級能力，能夠適應(yīng)網(wǎng)絡(luò)科技發(fā)展的要求。系統(tǒng)具有

10、最高性能、最好的升級途徑、充分的帶寬、苛刻環(huán)境中不存在單點故障，再出現(xiàn)問題后提供快速恢復能力。l 保護用戶投資及效益性在XX市檔案局網(wǎng)絡(luò)架構(gòu)設(shè)計中，首先必須確保與全省、全市電子政務(wù)網(wǎng)絡(luò)技術(shù)架構(gòu)的一致性，全省、全市電子政務(wù)網(wǎng)絡(luò)是架構(gòu)在MPLS-VPN基礎(chǔ)上的可以承載多業(yè)務(wù)的先進網(wǎng)絡(luò)，因此，XX市檔案局的網(wǎng)絡(luò)也必須充分支持MPLS-VPN技術(shù)。l 設(shè)計依據(jù)主要依據(jù)的有關(guān)國標及文件如下： 中共中央保密委員會關(guān)于加強計算機信息網(wǎng)絡(luò)保密管理的通知 國家信息化領(lǐng)導小組關(guān)于我國電子政務(wù)建設(shè)指導意見中辦發(fā)(2002)17號 2006-2010年國家信息化發(fā)展戰(zhàn)略中辦發(fā)200611號 國家電子政務(wù)總體框架國信2

11、0062號 中華人民共和國政府信息公開條例國務(wù)院令2007492號 GB 50173-92電氣裝置安裝工程 35kV及以下架空電力線路施工及驗收規(guī)范 GB 50168-92電氣裝置安裝工程 電纜線路施工及驗收規(guī)范 GB 50169-92電氣裝置安裝工程 接地裝置施工及驗收規(guī)范 GB 50254-96電氣裝置安裝工程低壓電器施工及驗收規(guī)范 GBJ 149-90電氣裝置安裝工程母線裝置施工及驗收規(guī)范 GB 50171-92電氣裝置安裝工程盤、柜及二次回路結(jié)線施工及驗收規(guī)范 GB 50254-96 GB 50255-96GB 50256-96 GB 50257-96GB 50258-96 GB 50

12、259-96電氣裝置安裝工程施工及驗收規(guī)范（其中：GB 50258-96 、GB 50259-96應(yīng)執(zhí)行修訂后的國標GB 50303-2002） GB/T 5271.4-2000信息技術(shù) 詞匯 第4部分：數(shù)據(jù)的組織 GB/T 5271.6-2000信息技術(shù) 詞匯 第6部分：數(shù)據(jù)的準備與處理 GB/T 5271.8-2001信息技術(shù) 詞匯 第8部分：安全 GB/T 5271.9-2001信息技術(shù) 詞匯 第9部分：數(shù)據(jù)通信 GB/T5271.20-1994信息技術(shù) 詞匯 第20部分：系統(tǒng)開發(fā) GB/T5271.25-2000信息技術(shù) 詞匯 第25部分：局域網(wǎng) GB/T5271.27-2001信息技

13、術(shù) 詞匯 第27部分：辦公自動化 GB/T5271.28-2001信息技術(shù) 詞匯 第28部分：人工智能 基本概念與專家系統(tǒng) GB/T 14085-1993信息處理系統(tǒng) 計算機系統(tǒng)配置圖符號及約定 GB/Z 18729-2002基于網(wǎng)絡(luò)的企業(yè)信息集成規(guī)范 YD/T 1170-2001IP網(wǎng)絡(luò)技術(shù)要求網(wǎng)絡(luò)總體 YD/T 1171-2001IP網(wǎng)絡(luò)技術(shù)要求網(wǎng)絡(luò)性能參數(shù)與指標 GB 17859-1999計算機信息系統(tǒng) 安全保護等級劃分準則 GB/T 17965-2000信息技術(shù) 開放系統(tǒng)互連 高層安全模型 GB/T 17963-2000信息技術(shù) 開放系統(tǒng)互連 網(wǎng)絡(luò)層安全協(xié)議 GB/T.16681-19

14、96（2003版）信息技術(shù) 開放系統(tǒng)中文界面規(guī)范 GB/T18336.1-2001信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準則 第1部分 GB/T18336.2-2001信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準則 第2部分 GB/T18336.3-2001信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準則 第3部分 GB/T 18231-2000信息技術(shù) 低層安全模型 GB/T 18492-2001信息技術(shù) 系統(tǒng)及軟件完整性級別 GB 4943-2001信息技術(shù)設(shè)備的安全 GB 9254-1998信息技術(shù)設(shè)備的無線電騷擾限值和測量方法 YD 5059-1998通信設(shè)備安裝抗震設(shè)計規(guī)范 YD 5060-1

15、998通信設(shè)備安裝抗震設(shè)計圖集 GB/T 19486-2004電子政務(wù)主題詞表編制規(guī)則 GB/T 19487-2004電子政務(wù)業(yè)務(wù)流程設(shè)計方法 通用規(guī)范 GB/T 19488.1-2004電子政務(wù)數(shù)據(jù)元 第1部分：設(shè)計和管理規(guī)范 YD 5059-1998通信設(shè)備安裝抗震設(shè)計規(guī)范 YD 5060-1998通信設(shè)備安裝抗震設(shè)計圖集 EIATIA-568A、EIATIA-568B 商用建筑線纜標準 GB/T 18233-2000信息技術(shù) 用戶建筑群的通用布纜 GA 308-2001安全防范系統(tǒng)驗收規(guī)范 GA/T 75-1995安全防范工程程序與要求 GA/T 74-1994安全防范系統(tǒng)通用圖形符號

16、GB/T 2887-2000電子計算機場地通用規(guī)范 GB 50174-93電子計算機機房設(shè)計規(guī)范 GB 9361-88計算站場地安全要求 YD/T 754-1995通信機房靜電防護通則 GB/T 14715-93信息技術(shù)設(shè)備用不間斷電源系統(tǒng)通用技術(shù)條件 國家標準電子計算機機房設(shè)計規(guī)范（GB50174-93） 國家標準計算站場地技術(shù)要求（GB/T2887-2000） 國家公共安全和保密標準GGBB1-1999信息設(shè)備電磁泄漏發(fā)射限值 GB17859：計算機信息系統(tǒng)安全保護等級劃分準則ISO17799/BS7799：信息安全管理慣例第 2 章 網(wǎng)絡(luò)平臺建設(shè) 2.1 網(wǎng)絡(luò)建設(shè)原則2.1.1 高可靠性

17、網(wǎng)絡(luò)架構(gòu)和設(shè)備均支持業(yè)務(wù)系統(tǒng)對服務(wù)級別高可靠性的要求，在網(wǎng)絡(luò)分層部署的架構(gòu)和設(shè)備體系選擇以及相關(guān)配置上均充分按照高可用的系統(tǒng)設(shè)計；整個網(wǎng)絡(luò)系統(tǒng)應(yīng)具有很高的安全可靠性，必須滿足724365 小時連續(xù)運行的要求。在通信故障發(fā)生時，網(wǎng)絡(luò)設(shè)備可以快速自動地切換到備份鏈路或設(shè)備上；2.1.2 高安全性按照嚴格的安全體系進行設(shè)計，分布式部署，使網(wǎng)絡(luò)具有統(tǒng)一的安全防護能力，支持全網(wǎng)的安全聯(lián)動；網(wǎng)絡(luò)安全建設(shè)能有效防止網(wǎng)絡(luò)的非法訪問，保護關(guān)鍵數(shù)據(jù)不被非法竊取、篡改或泄漏，使數(shù)據(jù)具有極高的安全性；2.1.3 可擴展性作為承載業(yè)務(wù)數(shù)據(jù)通信的網(wǎng)絡(luò)平臺要具有面向未來的良好的伸縮性能，既能滿足當前的需求，又能支持未來業(yè)務(wù)

18、網(wǎng)點、業(yè)務(wù)量、業(yè)務(wù)種類的擴展和與其它機構(gòu)或部門的連接等對網(wǎng)絡(luò)的擴充性要求，能夠滿足不斷變化的應(yīng)用需求。2.1.4 可管理性整個網(wǎng)絡(luò)系統(tǒng)需要能夠進行高效的管理和維護，有使用方便、部署簡單的網(wǎng)絡(luò)管理系統(tǒng)，這將直接影響業(yè)務(wù)系統(tǒng)的運作。2.1.5 開放性網(wǎng)絡(luò)建設(shè)全面遵循業(yè)界標準，所推薦采用的設(shè)備、技術(shù)在互通性和互操作性上，可以支持本網(wǎng)絡(luò)系統(tǒng)的快速布署。2.1.6 效益性網(wǎng)絡(luò)的投資應(yīng)隨著網(wǎng)絡(luò)的伸縮能夠持續(xù)發(fā)揮作用，保護現(xiàn)有網(wǎng)絡(luò)的投資，充分發(fā)揮網(wǎng)絡(luò)投資的最大效益。2.1.7 完整性網(wǎng)絡(luò)系統(tǒng)應(yīng)實現(xiàn)端到端的、能整合數(shù)據(jù)、語音和圖像的多業(yè)務(wù)應(yīng)用，滿足全網(wǎng)范圍統(tǒng)一的實施安全策略、QoS 策略、流量管理策略和系統(tǒng)管

19、理策略的完整的一體化網(wǎng)絡(luò)。第 3 章 總體網(wǎng)絡(luò)建設(shè)方案根據(jù)國家檔案館的規(guī)范要求，本次檔案館分為電子政務(wù)外網(wǎng)、檔案館內(nèi)網(wǎng)、Internet網(wǎng)之間物理隔離，Int網(wǎng)絡(luò)主要以無線有線一體化方便到訪查閱人員上網(wǎng)，提高舒適度，實施立上網(wǎng)行為管理，其他網(wǎng)絡(luò)不涉及無線網(wǎng)絡(luò)。二樓為多媒體查閱利用閱覽室和辦公室，多媒體查閱利用閱覽室要求無線覆蓋。三樓為主要辦公室，包含主要領(lǐng)導辦公室，四樓五樓主要為辦公區(qū)，每層樓設(shè)7個辦公室，每個辦公室占時只有三個點，要求三套網(wǎng)絡(luò)接入。也就是現(xiàn)在每套網(wǎng)絡(luò)每層樓都要。設(shè)一臺24口交換機，未來辦公區(qū)可能會擴展，每套網(wǎng)絡(luò)在將來至少承載300個點。現(xiàn)有以及安裝的監(jiān)控點位52個將來要接到電

20、子政務(wù)外網(wǎng)中，需配置POE供電交換機。3.1 方案設(shè)計思路3.1.1 方案設(shè)計思路概述 總體思路千兆雙絞線到桌面、千兆光纖骨干為了實現(xiàn)檔案局網(wǎng)絡(luò)平臺承載網(wǎng)高速的接入和高效、穩(wěn)定的核心，網(wǎng)絡(luò)建設(shè)的總體思路采用“千兆雙絞線到桌面、千兆光纖到核心骨干” 核心層采用虛擬虛擬化技術(shù)-高效穩(wěn)定網(wǎng)絡(luò)分別把兩臺物理核心交換機，通過技術(shù)，虛擬化成一臺邏輯的設(shè)備，主要基于以下幾個方面的考慮： 性能翻番使用虛擬化技術(shù)后，核心設(shè)備是負載分擔的方式,兩臺設(shè)備當兩臺用,使用虛擬化技術(shù)后，匯聚到核心的雙鏈路上行都是負載分擔方式,兩條鏈路當兩條用 可靠性高：鏈路/節(jié)點故障200ms的故障自愈時間，MSTP+VRRP的方式為秒

21、級收斂時間； 網(wǎng)絡(luò)更簡單使用虛擬化技術(shù)后，二層不需要生成樹；三層不需要VRRP；多臺設(shè)備只需配置一次，讓網(wǎng)絡(luò)更簡單3.1.2 安全滲透網(wǎng)絡(luò) 用防火墻隔離各安全區(qū)域防火墻作為不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的出入口，能根據(jù)安全策略控制出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個分離器、限制器和分析器，可以有效監(jiān)不同安全網(wǎng)絡(luò)之間的任何活動。防火墻在網(wǎng)絡(luò)間實現(xiàn)訪問控制，比如一個是用戶的安全網(wǎng)絡(luò)，稱之為被信任應(yīng)受保護的網(wǎng)絡(luò)，另外一個是其它的非安全網(wǎng)絡(luò)稱為某個不被信任并且不需要保護的網(wǎng)絡(luò)。防火墻就位于一個受信任的網(wǎng)絡(luò)和一個不受信任的

22、網(wǎng)絡(luò)之間，通過一系列的安全手段來保護受信任網(wǎng)絡(luò)上的信息。 對關(guān)鍵路徑進行深入檢測防護雖然，網(wǎng)絡(luò)中已部署了防火墻等基礎(chǔ)網(wǎng)絡(luò)安全產(chǎn)品，但是，在網(wǎng)絡(luò)的運行維護中，IT部門仍然發(fā)現(xiàn)網(wǎng)絡(luò)的帶寬利用率居高不下、而應(yīng)用系統(tǒng)的響應(yīng)速度越來越慢。產(chǎn)生這個問題的原因并不是當初網(wǎng)絡(luò)設(shè)計不周，而是自2003年以來，蠕蟲、點到點，入侵技術(shù)日益滋長并演變到應(yīng)用層面（L7）的結(jié)果，而這些有害代碼總是偽裝成客戶正常業(yè)務(wù)進行傳播，目前部署的防火墻等安全產(chǎn)品其軟硬件設(shè)計當初僅按照其工作在L2-L4時的情況考慮，不具有對數(shù)據(jù)流進行綜合、深度監(jiān)測的能力，自然就無法有效識別偽裝成正常業(yè)務(wù)的非法流量，結(jié)果蠕蟲、攻擊、間諜軟件、點到點應(yīng)用

23、等非法流量輕而易舉地通過防火墻開放的端口進出網(wǎng)絡(luò)。因此在關(guān)鍵路徑上部署獨立的具有深度檢測防御的IPS（入侵防御系統(tǒng)）就顯得非常重要。深度檢測防御是為了檢測計算機網(wǎng)絡(luò)中違反安全策略行為。一般認為違反安全策略的行為有：l 入侵非法用戶的違規(guī)行為；l 濫用用戶的違規(guī)行為；深度檢測防御識別出任何不希望有的活動，從而限制這些活動，以保護系統(tǒng)的安全。深度檢測防御的應(yīng)用目的是在入侵攻擊對系統(tǒng)發(fā)生危害前，檢測到入侵攻擊，并利用報警與防護系統(tǒng)驅(qū)逐入侵攻擊。在入侵攻擊過程中，能減少入侵攻擊所造成的損失。 對用戶非法上網(wǎng)行為進行識別和控制目前網(wǎng)絡(luò)各種應(yīng)用越來越豐富，但是對于一個網(wǎng)絡(luò)的管理員而言，非法的、未受控的應(yīng)用

24、，會擠占合法應(yīng)用帶寬，同時影響職員的整體生產(chǎn)率，這些應(yīng)用必須被識別并加以控制。比如在電子政務(wù)網(wǎng)中，P2P下載、娛樂類應(yīng)用占用了大量的帶寬，對這些機構(gòu)正常的業(yè)務(wù)影響極大；另一方面，政府職員，把工作或?qū)W習時間消耗在一些不必要甚至非法的網(wǎng)絡(luò)活動上，大大影響了工作效率。通過應(yīng)用識別技術(shù)，可把各種應(yīng)用及其行為置于明確的可管理的前提下，并通過阻斷、限流等手段實現(xiàn)應(yīng)用控制。 對全網(wǎng)設(shè)備進行統(tǒng)一安全管理并進行用戶行為審計日益嚴峻的安全威脅迫，不得不加強對網(wǎng)絡(luò)系統(tǒng)的安全防護，不斷追求多層次、立體化的安全防御體系，逐步引入了防病毒、防火墻、IPS/IDS、VPN等大量異構(gòu)的單點安全防御技術(shù)，再加上交換機、路由器等

25、網(wǎng)絡(luò)設(shè)備，網(wǎng)絡(luò)結(jié)構(gòu)日益復雜。然而，現(xiàn)有網(wǎng)絡(luò)安全防御體系還是以孤立的單點防御為主，彼此間缺乏有效的協(xié)作，不同的設(shè)備之間的信息也無法共享，從而形成了一個個安全的“信息孤島”。通過統(tǒng)一安全管理平臺安全管理中心，可以對網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器等進行統(tǒng)一管理，收集相關(guān)信息，進行關(guān)聯(lián)分析，形成安全事件報表輸出，并且針對用戶行為輸出審計報告，有效的幫助管理員了解網(wǎng)絡(luò)中的安全現(xiàn)狀與風險，提供相關(guān)解決辦法和建議。 終端準入安全控制在網(wǎng)絡(luò)中，任何一臺終端的安全狀態(tài)，都將直接影響到整個網(wǎng)絡(luò)的安全。非法用戶的侵入，肆意破壞和盜取內(nèi)部資源信息；不符合安全策略的終端（如防病毒庫版本低，補丁未升級），容易遭受攻擊

26、、感染病毒，如果某臺終端感染了病毒，它將不斷在網(wǎng)絡(luò)中試圖尋找下一個受害者，并使其感染；在一個沒有安全防護的網(wǎng)絡(luò)中，最終的結(jié)果可能是全網(wǎng)癱瘓，所有終端都無法正常工作。對終端準入安全我們需要關(guān)注的問題是： 病毒提前預(yù)防1. 用戶權(quán)限細分 2. 告警自動響應(yīng) 3. 安全統(tǒng)一管理 終端準入安全解決方案考慮到終端網(wǎng)絡(luò)安全的方方面面，針對上述主要問題都提出了具有針對性的方法，這些方法相互關(guān)聯(lián)、相互配合，形成完善的終端網(wǎng)絡(luò)安全解決方案 病毒預(yù)防 通過終端軟件對終端的補丁、病毒庫升級狀態(tài)進行檢查，確保每一個終端健康接入，預(yù)防病毒感染；防火墻進行安全域分割，最小化可能的病毒擴散范圍；防火墻/IPS對黨政網(wǎng)數(shù)據(jù)流

27、進行監(jiān)控，根據(jù)特征識別病毒，并且通過與網(wǎng)絡(luò)設(shè)備和終端軟件的聯(lián)動，直接控制病毒爆發(fā)點。 接入控制建設(shè)用戶接入控制： 1. 終端軟件進行身份認證，杜絕非法用戶接入。 2. 終端軟件收集終端用戶的安全狀態(tài)，上報給安全管理平臺，對用戶終端安全狀態(tài)進行檢查，拒絕不符合安全策略的用戶登陸。 3. 防火墻、IPS對數(shù)據(jù)流進行監(jiān)控，及時阻斷攻擊的同時，將安全事件上報安全管理平臺。 4. 安全管理中心收集、分析后，通知網(wǎng)絡(luò)管理系統(tǒng)。 5. 網(wǎng)絡(luò)管理系統(tǒng)向網(wǎng)絡(luò)、安全設(shè)備和終端軟件統(tǒng)一下發(fā)安全管理策略，精確控制攻擊源頭。l 威脅追根溯源 安全管理中心采集網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器的安全日志，結(jié)合終端安全防護客戶端上

28、報的用戶上網(wǎng)過程、安全狀態(tài)、病毒查殺事件，進行統(tǒng)一分析，實時輸出審計報告。當發(fā)生安全事故后，可以根據(jù)記錄的信息對用戶既往行為進行分析和追根朔源。同時，安全管理員可以按照法律法規(guī)（如SOX法案）和標準中的規(guī)定，定制相應(yīng)的審計報告。l 安全全面掌控 基于先進的深度挖掘及分析技術(shù)，管理中心能對上百個廠商的各種產(chǎn)品進行管理，通過對海量信息的采集、分析、關(guān)聯(lián)、匯聚和統(tǒng)一處理，協(xié)助管理員實時監(jiān)控網(wǎng)絡(luò)安全狀況，及時發(fā)現(xiàn)安全隱患。3.1.3 可靠性組網(wǎng)技術(shù)推薦3.1.3.1 可靠性概述網(wǎng)絡(luò)的可靠性是一個從端到端的全程概念，單純提高某一層面的可靠性并不能對網(wǎng)絡(luò)整體的可靠性有很大改善。網(wǎng)絡(luò)的可靠性最終要從設(shè)備級、

29、鏈路級、網(wǎng)絡(luò)級、業(yè)務(wù)級等各層次保證。本次檔案局電子政務(wù)網(wǎng)絡(luò)平臺檔案局電子政務(wù)網(wǎng)絡(luò)平臺網(wǎng)絡(luò)建設(shè)需要從這幾個方面全面考慮網(wǎng)絡(luò)的可靠性，以構(gòu)建高穩(wěn)定可靠的網(wǎng)絡(luò)平臺。設(shè)備級的可靠性：包括設(shè)備本身的健壯性及對周圍環(huán)境的適應(yīng)能力，可靠的設(shè)備應(yīng)該對關(guān)鍵部件（如主控板，交換網(wǎng)板，電源等）進行冗余備份，并且可以在惡劣的環(huán)境下長時間穩(wěn)定運行。設(shè)備級可靠性的另外一個重要方面就是設(shè)備在線升級能力及容錯能力，容錯能力體現(xiàn)在如設(shè)備發(fā)生故障時，可自動平滑的啟動備份部件，不對業(yè)務(wù)造成影響。鏈路級的可靠性：包括鏈路本身的可靠性，包括良好的線路質(zhì)量，及鏈路的備份技術(shù)，如采用一些物理線路捆綁技術(shù)提供線路的可靠性，也可以采用其它鏈路

30、/線路保護技術(shù)，如環(huán)網(wǎng)技術(shù)、虛擬化技術(shù)網(wǎng)絡(luò)級的可靠性：設(shè)計合適的拓撲，如避免采用單星型結(jié)構(gòu)以避免單點故障；網(wǎng)絡(luò)設(shè)計模塊化，各功能區(qū)域相獨立，任一區(qū)域的故障不會擴散到其它區(qū)域；設(shè)備間的備份，如采用進行備份，當主用設(shè)備發(fā)生故障時，流量自動切換到備份設(shè)備上，該過程對業(yè)務(wù)透明；路由可靠性：首先根據(jù)網(wǎng)絡(luò)特點選擇合理的路由協(xié)議，避免路由環(huán)路，減少路由振蕩，并且保護某個網(wǎng)絡(luò)節(jié)點失效后網(wǎng)絡(luò)快速自愈。業(yè)務(wù)的可靠性：網(wǎng)絡(luò)只是業(yè)務(wù)的承載平臺，設(shè)備，鏈路及網(wǎng)絡(luò)的可靠性設(shè)計歸根到底都是為了保證業(yè)務(wù)的可靠性，從網(wǎng)絡(luò)角度考慮業(yè)務(wù)可靠性，主要是通過各種網(wǎng)絡(luò)技術(shù)時業(yè)務(wù)數(shù)據(jù)流滿足業(yè)務(wù)的要去，如流量分布是不均衡的，特別是突發(fā)流量會

31、引起網(wǎng)絡(luò)的擁塞，導致業(yè)務(wù)的中斷，需流量管理的引入能夠使網(wǎng)絡(luò)流量均衡，提高網(wǎng)絡(luò)的利用率，進而對控制網(wǎng)絡(luò)擁塞情況的發(fā)生。網(wǎng)絡(luò)的可靠性設(shè)計并不是一個孤立的問題，受到網(wǎng)絡(luò)的地理分布，規(guī)模，可用線路等多方面原因限制，但作為核心承載基礎(chǔ)平臺，應(yīng)具備以下可靠性設(shè)計特點：l 業(yè)務(wù)網(wǎng)絡(luò)與后臺管理層網(wǎng)絡(luò)的分離l 網(wǎng)絡(luò)關(guān)鍵設(shè)備之間互相備份l 網(wǎng)絡(luò)關(guān)鍵設(shè)備重要部件備份l 業(yè)務(wù)網(wǎng)絡(luò)的關(guān)鍵層次設(shè)備之間的冗余連接l 后臺管理層的雙平面網(wǎng)絡(luò)設(shè)計l 網(wǎng)絡(luò)結(jié)構(gòu)模塊化l 優(yōu)化后的動態(tài)路由保護l 防火墻的冗余設(shè)計l 二層流量范圍的控制3.1.3.2 設(shè)備級可靠性設(shè)計本次檔案局電子政務(wù)網(wǎng)絡(luò)平臺網(wǎng)絡(luò)的設(shè)備級可靠性主要從設(shè)備自身可靠性，設(shè)

32、備間熱備份兩個方面考慮。作為網(wǎng)絡(luò)核心、分布層、高密度與關(guān)鍵業(yè)務(wù)接入層的關(guān)鍵設(shè)備必須具有電信級可靠性：l 可靠性指標必須達到99.999%；l 所有關(guān)鍵器件，如設(shè)備、電源等都采用冗余設(shè)計，業(yè)務(wù)模塊支持熱插拔；l 網(wǎng)絡(luò)核心設(shè)備支持不間斷轉(zhuǎn)發(fā)，主控板熱備份。主備倒換過程不影響業(yè)務(wù)轉(zhuǎn)發(fā)，不丟包。l 網(wǎng)絡(luò)核心設(shè)備支持軟件在線升級，升級過程中業(yè)務(wù)不中斷。l 網(wǎng)絡(luò)核心設(shè)備支持軟件熱補丁，打補丁過程中主控板和接口板都不需要重啟動，業(yè)務(wù)不中斷。 引擎對高可靠性的支持必須是完備的，系統(tǒng)的。既要對硬件部件的備份，也需要對數(shù)據(jù)和系統(tǒng)的中間狀態(tài)信息備份。硬件的備份技術(shù)是由硬件邏輯或者底層軟件控制的，系統(tǒng)需要實時檢測硬件

33、的狀態(tài)，如果發(fā)現(xiàn)異常，則啟動倒換過程，將備用硬件升級為主用，而原主用部件相應(yīng)的轉(zhuǎn)換為備用，同時嘗試對硬件部件復位，并給系統(tǒng)發(fā)出告警。為了將網(wǎng)絡(luò)中斷時間減少至最短時間，甚至做到業(yè)務(wù)不中斷，要求系統(tǒng)運行時的動態(tài)數(shù)據(jù)或進程狀態(tài)進行熱備份，這時備用板處于一個特殊的運行態(tài)，只接收和儲存由主用板發(fā)送來的數(shù)據(jù)和狀態(tài)，當主用板發(fā)生故障時，系統(tǒng)平滑的切換到備用板，切換過程對網(wǎng)絡(luò)用戶透明，業(yè)務(wù)不會因為網(wǎng)絡(luò)的切換而中斷。當系統(tǒng)的備用板啟動之后，主用板和備用板之間的狀態(tài)差異可以非常大，這時需要將主用系統(tǒng)的數(shù)據(jù)批量的備份到備用板上，這個過程就是批量備份。當批量備份結(jié)束后，隨著系統(tǒng)的運行，主用系統(tǒng)的數(shù)據(jù)會發(fā)生變化，這些變

34、化需要定時的備份到備用系統(tǒng)中。一旦主用系統(tǒng)出現(xiàn)故障，備用系統(tǒng)和主用系統(tǒng)的角色需要交換，將備用系統(tǒng)升格為主用系統(tǒng)。備用系統(tǒng)升級為主用系統(tǒng)后，一些狀態(tài)信息沒有從原主用系統(tǒng)得到，或數(shù)據(jù)失效，新的主用系統(tǒng)需要與接口板對硬件狀態(tài)、鏈路層狀態(tài)和配置數(shù)據(jù)上確認這些數(shù)據(jù)。熱備份保證主備系統(tǒng)板之間的數(shù)據(jù)和狀態(tài)始終一致，因而，業(yè)務(wù)板也感覺不到系統(tǒng)板發(fā)生倒換，再加上協(xié)議狀態(tài)的一致，因此可以保證業(yè)務(wù)不會丟失。主備倒換發(fā)生時，業(yè)務(wù)板不發(fā)生變化，允許保文繼續(xù)轉(zhuǎn)發(fā)，從而保證業(yè)務(wù)不損失。本次項目建設(shè)中，要求網(wǎng)絡(luò)的核心層、匯聚層等中高端機框式網(wǎng)絡(luò)設(shè)備都采用冗余引擎。每臺核心層設(shè)備均采用HA特性實現(xiàn)系統(tǒng)的高可靠性，可以在主控板發(fā)

35、生故障時，快速、準確恢復系統(tǒng)的正常運行，從而增強系統(tǒng)的MTBF（Mean Time Between Failure），即平均故障間隔時間。 電源電源是電子設(shè)備正常運行的動力所在，為了有效增加網(wǎng)絡(luò)設(shè)備運行的電源可靠性，要求本次檔案局電子政務(wù)網(wǎng)絡(luò)平臺網(wǎng)絡(luò)建設(shè)使用的核心網(wǎng)絡(luò)設(shè)備必需支持冗余電源。以實現(xiàn)了電源模塊的1+1冗余備份。 模塊和端口模塊和端口設(shè)計通用原則如下：l 區(qū)分上連、互連和下連鏈路，盡量保證彼此模塊相對獨立；l 同一機箱優(yōu)先使用高編號槽位；l 同一模塊優(yōu)先使用高編號端口； 系統(tǒng)軟件考慮到所有的軟件系統(tǒng)均無盡善盡美，那么軟件的補丁技術(shù)可靠性也是本次網(wǎng)絡(luò)建設(shè)設(shè)備級可靠性設(shè)計考慮的重要環(huán)節(jié)。

36、補丁技術(shù)主要目的是修正已經(jīng)發(fā)現(xiàn)并解決的BUG，防止相同的問題在不同的網(wǎng)絡(luò)上發(fā)生。冷補丁技術(shù)的主要是使用更新的軟件版本替換有問題的版本，在這個過程中，如果是在無備份的機制下，會中斷轉(zhuǎn)發(fā)業(yè)務(wù)；在有備份板的情況下，打補丁操作需要在備板中進行，通過手動倒換操作，能實現(xiàn)無業(yè)務(wù)損失的升級工作，但在接口處理板上的補丁操作會影響業(yè)務(wù)的正常運行。冷補丁的軟件升級技術(shù)是傳統(tǒng)數(shù)據(jù)通信產(chǎn)品的主要方式，冷補丁技術(shù)能夠不中斷業(yè)務(wù)的轉(zhuǎn)發(fā)，但對設(shè)備的正常運行有一定影響。熱補丁技術(shù)需要有操作系統(tǒng)和相應(yīng)的編譯工具的支持，它的是將所需要升級的那部分代碼編譯后形成一個補丁文件，在打補丁過程中，將這個補丁文件加載到系統(tǒng)的補丁區(qū)域，并修

37、改原有軟件的Bug 區(qū)域，將新的特性跳轉(zhuǎn)到補丁區(qū)域執(zhí)行，整個過程不需要中斷業(yè)務(wù)，可以在主用板執(zhí)行，因此業(yè)務(wù)沒有絲毫損失。另外熱補丁技術(shù)并沒有修改原有軟件，因此在需要時可以回退，這也為補丁的更新提供了更便利的條件。熱補丁技術(shù)則是現(xiàn)有電信網(wǎng)絡(luò)設(shè)備的常用方式，在執(zhí)行過程中業(yè)務(wù)處理流程可以正常進行，對設(shè)備沒有任何影響。本次網(wǎng)絡(luò)建設(shè)要求所使用的高端網(wǎng)絡(luò)設(shè)備需要支持兩種補丁方式。3.1.3.3 鏈路級可靠性設(shè)計鏈路級可靠性設(shè)計主要考慮在網(wǎng)絡(luò)的關(guān)鍵處采用鏈路冗余備份設(shè)計，可適當采用交叉連接方式、跨設(shè)備鏈路捆綁技術(shù)等。檔案局網(wǎng)絡(luò)平臺的網(wǎng)絡(luò)核心、匯聚層之間都需要有冗余連接；而重要服務(wù)器的接入建議采用AFT模式。

38、這種模式提供服務(wù)器冗余備份的功能。網(wǎng)卡組中的所有網(wǎng)卡使用相同的IP和MAC地址，整個網(wǎng)卡組在外界看來作為一塊虛擬網(wǎng)卡存在。備份組中的網(wǎng)卡有運行和備份兩種狀態(tài)。處于運行態(tài)的網(wǎng)卡（只有一塊）負責報文的收發(fā)。當運行態(tài)的網(wǎng)卡出現(xiàn)故障后，處于備份狀態(tài)的一塊網(wǎng)卡會自動切換到運行態(tài)接管所有業(yè)務(wù)。一般來說，一個網(wǎng)卡組可以通過如下方式來檢測運行態(tài)的網(wǎng)卡的當前狀況，用以決策是否需要切換： 處于運行態(tài)的網(wǎng)卡的鏈路狀況 處于運行態(tài)的網(wǎng)卡是否發(fā)生硬件故障 軟件檢測機制這種模式其功能完全不依賴交換機提供支持，其穩(wěn)定性是相對最高的。這種模式比較適合在對可靠性要求很高的場合中使用。3.1.3.4 網(wǎng)絡(luò)可靠性設(shè)計合適的拓撲，如

39、避免采用星型結(jié)構(gòu)以避免單點故障；網(wǎng)絡(luò)設(shè)計模塊化，各功能區(qū)域相獨立，任一區(qū)域的故障不會擴散到其它區(qū)域；設(shè)備間的備份，如采用虛擬化進行備份，當主用設(shè)備發(fā)生故障時，流量毫秒級自動切換到備份設(shè)備上，該過程對業(yè)務(wù)透明；路由可靠性：首先根據(jù)網(wǎng)絡(luò)特點選擇合理的路由協(xié)議，避免路由環(huán)路，減少路由振蕩，并且保護某個網(wǎng)絡(luò)節(jié)點失效后網(wǎng)絡(luò)快速自愈。3.1.3.5 業(yè)務(wù)可靠性網(wǎng)絡(luò)只是業(yè)務(wù)的承載平臺，設(shè)備，鏈路及網(wǎng)絡(luò)的可靠性設(shè)計歸根到底都是為了保證業(yè)務(wù)的可靠性，從網(wǎng)絡(luò)角度考慮業(yè)務(wù)可靠性，主要是通過各種網(wǎng)絡(luò)技術(shù)時業(yè)務(wù)數(shù)據(jù)流滿足業(yè)務(wù)的要去，如流量分布是不均衡的，特別是突發(fā)流量會引起網(wǎng)絡(luò)的擁塞，導致業(yè)務(wù)的中斷，需流量管理的引入能

40、夠使網(wǎng)絡(luò)流量均衡，提高網(wǎng)絡(luò)的利用率，進而對控制網(wǎng)絡(luò)擁塞情況的發(fā)生；本次網(wǎng)絡(luò)平臺的建設(shè)完成后，將傳輸多種業(yè)務(wù)、多種應(yīng)用，這些業(yè)務(wù)對可靠性、時延、時延抖動等服務(wù)質(zhì)量有不同需求。為了保證檔案局電子政務(wù)網(wǎng)絡(luò)平臺的關(guān)鍵業(yè)務(wù)能高效應(yīng)用，需要在網(wǎng)絡(luò)中實施QOS技術(shù)以保證關(guān)鍵業(yè)務(wù)在網(wǎng)絡(luò)上傳輸?shù)膸捄蜁r延。3.1.3.6 IRF2虛擬化本次設(shè)計方案網(wǎng)絡(luò)核心采用兩臺75E系列交換機，兩臺交換機通過萬兆端口互聯(lián)，利用IRF2技術(shù)，將兩臺物理設(shè)備虛擬成一臺，實現(xiàn)性能翻倍、單一管理等特性。IRF2虛擬化功能模擬出虛擬的設(shè)備，設(shè)備管理同時管理IRF2的虛擬設(shè)備與真實的物理設(shè)備，屏蔽其差異。而對于運行在此系統(tǒng)上的上層應(yīng)用軟

41、件來說，通過設(shè)備管理層的屏蔽，已經(jīng)消除了IRF2系統(tǒng)中不同設(shè)備物理上的差異，因此，對于單一運行的物理設(shè)備或IRF2虛擬出來的設(shè)備，上層軟件都不需要做任何的修改，并且對于上層軟件系統(tǒng)新增的功能，可同步應(yīng)用于所有硬件設(shè)備。IRF2虛擬化模塊：自動進行IRF2系統(tǒng)的拓撲收集、角色選舉，并將設(shè)備組虛擬成單一的邏輯設(shè)備，上層軟件所見只是一臺設(shè)備；硬件系統(tǒng)：IRF2組內(nèi)的硬件設(shè)備及組件；設(shè)備管理層：提供對線卡、接口等各種設(shè)備資源的管理。這里的設(shè)備包括對硬件的抽象，也包括通過IRF2虛擬化發(fā)現(xiàn)的邏輯設(shè)備；系統(tǒng)管理與上層應(yīng)用模塊：運行在IRF2系統(tǒng)上的所有管理、控制程序，包括各種路由協(xié)議模塊、鏈路層協(xié)議模塊等

42、。3.2 網(wǎng)絡(luò)結(jié)構(gòu)拓撲設(shè)計3.2.1 電子政務(wù)外網(wǎng)和互聯(lián)網(wǎng) 圖2拓撲圖3.2.2 方案具體說明網(wǎng)絡(luò)采用分層次，分區(qū)域設(shè)計，采用扁平化二層組網(wǎng)，分為核心層、接入層，“千兆光纖骨干，千兆雙絞線到桌面”由于核心交換機充當著網(wǎng)絡(luò)樞紐節(jié)點，建議核心交換機均采用數(shù)據(jù)中心級交換機產(chǎn)品,核心交換機建議采用基于采用垂直豎插槽高端多業(yè)務(wù)路由交換機，前后通風，有利于設(shè)備散熱，提高設(shè)備和網(wǎng)絡(luò)的穩(wěn)定性和可靠性。為保證高可靠性，推薦核心交換機采用虛擬化技術(shù)，把兩臺物理的交換機設(shè)備虛擬成一臺邏輯設(shè)備，達到性能翻翻，管理方便，易于擴展，統(tǒng)一路由表轉(zhuǎn)發(fā)表，以滿足行政集中辦公區(qū)網(wǎng)絡(luò)高穩(wěn)定、高帶寬、高并發(fā)、易管理、毫秒級故障恢復時

43、間等需求。3.2.3 詳細設(shè)計思路 總體思路千兆雙絞線到桌面、千兆光纖骨干為了實現(xiàn)檔案局電子政務(wù)網(wǎng)絡(luò)平臺承載網(wǎng)高速的接入和高效、穩(wěn)定的核心，網(wǎng)絡(luò)建設(shè)的總體思路采用“千兆到桌面、萬兆核心骨干”。 核心層采用虛擬虛擬化技術(shù)-高效穩(wěn)定網(wǎng)絡(luò)分別把兩臺物理核心交換機，通過技術(shù)，虛擬化成一臺邏輯的設(shè)備，主要基于以下幾個方面的考慮： 性能翻番使用虛擬化技術(shù)后，核心設(shè)備是負載分擔的方式,兩臺設(shè)備當兩臺用,使用虛擬化技術(shù)后，匯聚到核心的雙鏈路上行都是負載分擔方式,兩條鏈路當兩條用 可靠性高：鏈路/節(jié)點故障200ms的故障自愈時間，MSTP+VRRP的方式為秒級收斂時間； 網(wǎng)絡(luò)更簡單使用虛擬化技術(shù)后，二層不需要生

44、成樹；三層不需要VRRP；多臺設(shè)備只需配置一次，讓網(wǎng)絡(luò)更簡單 支持網(wǎng)絡(luò)安全一體化 可靠性高支持把安全板卡整合在核心交換機上，即插即用，熱插拔，當一個模塊出故障后，通過背板可以將故障插卡屏蔽，數(shù)據(jù)自動跳過，保障業(yè)務(wù)正常開展，不會出現(xiàn)盒式獨立安全設(shè)備那樣的單點故障。安全策略部署靈活。 擴展性高需要增加安全性能時，只需要增加安全板卡數(shù)量即可，并且性能會隨之壘加，已買設(shè)備不會因為性能不夠而被淘汰。 性能高與核心交換機萬兆背板無縫互聯(lián)，達到快速數(shù)據(jù)處理和交換。3.3 網(wǎng)絡(luò)管理設(shè)計網(wǎng)絡(luò)管理系統(tǒng)是網(wǎng)絡(luò)日常維護、監(jiān)控的重要工具，是網(wǎng)絡(luò)管理人員與網(wǎng)絡(luò)設(shè)備間的重要界面。網(wǎng)絡(luò)管理系統(tǒng)需要滿足以下基本功能需求：n 網(wǎng)

45、管平臺需要對全網(wǎng)進行管理，需要有拓撲發(fā)現(xiàn)、設(shè)備管理等功能，力求能全面地覆蓋IT業(yè)務(wù)的各個方面；n 要求具有非常好的開放性，對業(yè)界主流廠商的設(shè)備都能夠一定程度的識別和管理，能夠?qū)崿F(xiàn)對網(wǎng)絡(luò)設(shè)備的故障管理、配置管理和性能管理、故障管理等。n 對于復雜業(yè)務(wù)，如MPLS VPN和QOS 管理、無線管理等業(yè)務(wù)，網(wǎng)管平臺需要能夠很好地支持，能最大限度地減小網(wǎng)管人員在進行網(wǎng)絡(luò)多業(yè)務(wù)管理時的工作量。n 要求網(wǎng)絡(luò)管理系統(tǒng)采用組件化設(shè)計思想，可以按需裝配的所需的組件，方便網(wǎng)絡(luò)管理系統(tǒng)的功能模塊升級。可提供業(yè)務(wù)、資源和用戶的融合管理解決方案，實現(xiàn)業(yè)務(wù)的端到端管理。通過網(wǎng)絡(luò)管理系統(tǒng)能夠靈活組織功能組件，可以形成直接面向

46、業(yè)務(wù)流解決方案，從根本上解決網(wǎng)絡(luò)管理的復雜性問題。n 網(wǎng)絡(luò)管理系統(tǒng)主要功能需要包括以下幾個方面3.3.1 系統(tǒng)安全管理系統(tǒng)安全管理功能主要有包括：操作日志管理、操作員管理、分組分級與權(quán)限管理、操作員登錄管理等。所包含的主要功能有：操作員登錄管理管理員通過制定登錄安全策略約束操作員的登錄鑒權(quán)，實現(xiàn)操作員登錄的安全性，通過訪問控制模板約束操作員可以登錄的終端機器的IP地址范圍，避免惡意嘗試另人密碼進行登錄的行為存在，通過密碼控制策略，約束操作員密碼組成要求，包括密碼長度、密碼復雜性要求、密碼有效期等，以約束操作員定期修改密碼，并對密碼復雜性按要求設(shè)置。操作員密碼管理管理員為操作員制定密碼控制策略，

47、操作員僅能按照指定的策略定期修改密碼，以保證訪問網(wǎng)絡(luò)管理系統(tǒng)系統(tǒng)的安全性。分組分級權(quán)限管理管理員通過設(shè)備分組、用戶分組的設(shè)置，可以為操作員指定可以管理的指定設(shè)備分組和用戶分組，并指定其管理權(quán)限和角色，包括管理員、維護員和查看員，實現(xiàn)按角色、分權(quán)限、分資源（設(shè)備和用戶）的多層權(quán)限控制；同時通過設(shè)置下級網(wǎng)絡(luò)管理權(quán)限，可以通過限制登錄下級網(wǎng)絡(luò)管理系統(tǒng)的操作員和密碼，保證訪問下級網(wǎng)絡(luò)管理系統(tǒng)的安全性。操作日志管理對于操作員的所有操作，包括登錄、注銷的時間、登錄IP地址以及登錄期間進行的任何可能修改系統(tǒng)數(shù)據(jù)的操作，都會記錄詳細的日志。提供豐富的查詢條件，管理員可以審計任何操作員的歷史操作記錄，界定網(wǎng)絡(luò)操

48、作錯誤的責任范圍。操作員在線監(jiān)控和管理：系統(tǒng)管理員通過“在線操作員”可以實時監(jiān)控當前在線聯(lián)機登錄的操作員信息，包括登錄的主機IP地址、登錄時間等，同時，系統(tǒng)管理員可以將在線操作員強制注銷、禁用/取消禁用當前IP地址等控制操作。3.3.2 資源管理網(wǎng)絡(luò)管理系統(tǒng)資源管理與拓撲管理作為整體共同為用戶提供網(wǎng)絡(luò)資源的管理。本節(jié)講解網(wǎng)絡(luò)管理系統(tǒng)的資源管理，下節(jié)講解網(wǎng)絡(luò)管理系統(tǒng)的拓撲管理。通過網(wǎng)絡(luò)管理系統(tǒng)資源管理，可以完成：網(wǎng)絡(luò)自動發(fā)現(xiàn)可以通過設(shè)置種子的簡易方式、路由方式、ARP方式、IPSec VPN、網(wǎng)段方式等五種自動發(fā)現(xiàn)方式自學習網(wǎng)絡(luò)資源及網(wǎng)絡(luò)拓撲，自動識別包括：路由器、交換機、安全網(wǎng)關(guān)、存儲設(shè)備、監(jiān)

49、控設(shè)備、無線設(shè)備、語音設(shè)備、打印機、UPS、服務(wù)器、PC在內(nèi)的多種類型網(wǎng)絡(luò)設(shè)備；網(wǎng)絡(luò)手工管理可以手工添加、刪除網(wǎng)絡(luò)設(shè)備，可以批量導入、導出網(wǎng)絡(luò)設(shè)備，批量配置Telnet、SNMP參數(shù)，以及批量校驗Telnet參數(shù)等輔助功能；網(wǎng)絡(luò)視圖管理支持IP視圖、設(shè)備視圖、自定義視圖、下級網(wǎng)絡(luò)管理視圖等多種管理視圖，用戶可以從不同角度實現(xiàn)整個網(wǎng)絡(luò)的管理；網(wǎng)絡(luò)設(shè)備的管理從任何一種網(wǎng)絡(luò)視圖入口，都可以實現(xiàn)對網(wǎng)絡(luò)設(shè)備的管理，包括：支持對設(shè)備的管理/去管理、接口的管理/去管理、設(shè)備的詳細信息顯示和接口詳細信息顯示、設(shè)備和接口實時告警狀態(tài)、設(shè)備和接口的實時性能狀態(tài)、實時檢測存在故障的設(shè)備等，用戶可以方便的實現(xiàn)所有設(shè)備

50、的管理；設(shè)備及業(yè)務(wù)管理系統(tǒng)的集成管理支持對CISCO、華三、華為、中興等主要廠家設(shè)備的管理，支持手工添加設(shè)備廠商、設(shè)備系列及設(shè)備型號；支持設(shè)備面板管理的動態(tài)注冊機制，實現(xiàn)與各廠家設(shè)備管理系統(tǒng)的有效集成；支持拓撲定位、ACL、VLAN、QoS等業(yè)務(wù)管理系統(tǒng)的集成，實現(xiàn)設(shè)備資源的統(tǒng)一管理；設(shè)備分組權(quán)限管理支持設(shè)備分組功能，通過對設(shè)備資源進行分組管理，系統(tǒng)管理員方便的分配其他管理員的管理權(quán)限，便于職責分離；3.3.3 拓撲管理網(wǎng)絡(luò)管理系統(tǒng)拓撲管理從網(wǎng)絡(luò)拓撲的解決直觀的提供給用戶對整個網(wǎng)絡(luò)及網(wǎng)絡(luò)設(shè)備資源的管理。拓撲管理包括：拓撲自動發(fā)現(xiàn)網(wǎng)絡(luò)管理系統(tǒng)可以自動發(fā)現(xiàn)網(wǎng)絡(luò)拓撲結(jié)構(gòu)，支持全網(wǎng)設(shè)備的統(tǒng)一拓撲視圖，

51、通過視圖導航樹提供視圖間的快速導航。通過自動發(fā)現(xiàn)可以發(fā)現(xiàn)網(wǎng)絡(luò)中的所有設(shè)備及網(wǎng)絡(luò)結(jié)構(gòu)，并且可以將非SNMP設(shè)備發(fā)現(xiàn)出來，只要設(shè)備可以ping通即可。這樣就可以將所有網(wǎng)絡(luò)設(shè)備都列入其管理范圍（只要設(shè)備IP可達）。同時支持自動的拓撲圖呈現(xiàn)和自定義拓撲。自動拓撲可以自動將網(wǎng)絡(luò)中的邏輯連接關(guān)系顯示出來，同時可以保存為自定義拓撲圖并可根據(jù)具體情況進行修改以便于網(wǎng)管員對整個網(wǎng)絡(luò)設(shè)備的監(jiān)控。支持對全網(wǎng)設(shè)備和連接定時輪詢和狀態(tài)刷新，實時了解整個網(wǎng)絡(luò)的運行情況，并且刷新周期是可定制（刷新周期：607200秒），同時也支持對多個設(shè)備的刷新周期進行批量配置的功能。支持自定義拓撲傳統(tǒng)的網(wǎng)絡(luò)管理軟件大多支持自動發(fā)現(xiàn)網(wǎng)絡(luò)拓

52、撲的功能，但是自動發(fā)現(xiàn)后的網(wǎng)絡(luò)拓撲往往是很多設(shè)備圖標的簡單排放，不能突出重點設(shè)備和網(wǎng)絡(luò)層次，使網(wǎng)絡(luò)管理人員感覺無從下手。針對這種情況， 網(wǎng)絡(luò)管理系統(tǒng)的拓撲功能支持靈活的自定義功能，管理人員可以根據(jù)網(wǎng)絡(luò)的實際組網(wǎng)情況和設(shè)備重要性的不同靈活定制網(wǎng)絡(luò)拓撲，可對拓撲圖進行增、刪、改等編輯操作，使網(wǎng)絡(luò)拓撲能夠清晰地呈現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)以及IT資源分布。 網(wǎng)絡(luò)管理系統(tǒng)支持靈活定制拓撲圖，使網(wǎng)絡(luò)拓撲更有重點和層次感。管理員可以按照關(guān)注設(shè)備不同，管理角度不同定義多種拓撲，并可以針對拓撲不同選擇不同的背景圖；管理員可以根據(jù)網(wǎng)絡(luò)設(shè)備的重要性不同，鏈路速率不同采用合適的圖標顯示。自動識別各種網(wǎng)絡(luò)設(shè)備和主機的類型 網(wǎng)絡(luò)管理系

53、統(tǒng)可以自動識別CISCO、華三、華為、中興等主流廠商的設(shè)備、Windows、Solaris的PC和工作站、其他SNMP設(shè)備和ping設(shè)備，并且以樹形方式組織，以不同的圖標顯示區(qū)分。在拓撲圖上更可進一步對設(shè)備的類型進行區(qū)分，如區(qū)分路由器、交換機、安全網(wǎng)關(guān)、存儲設(shè)備、監(jiān)控設(shè)備、無線設(shè)備、語音設(shè)備、打印機、UPS、服務(wù)器、PC等等。設(shè)備狀態(tài)、連接狀態(tài)、告警狀態(tài)等信息在拓撲圖上的直觀顯示 網(wǎng)絡(luò)管理系統(tǒng)的拓撲功能與故障管理和性能管理緊密融合，使拓撲圖能夠清晰地看到 IT資源的狀態(tài)，包括運行是否正常、網(wǎng)絡(luò)帶寬、接口連通、配置變化都能一目了然。多種顏色區(qū)分不同級別故障，根據(jù)節(jié)點圖標顏色反映設(shè)備狀態(tài)。拓撲能提

54、供設(shè)備管理便捷入口 網(wǎng)絡(luò)管理系統(tǒng)拓撲能夠提供對設(shè)備管理的便捷入口，管理員只需通過右鍵點擊拓撲圖中的設(shè)備圖標即可啟動設(shè)備管理各項功能，實現(xiàn)對設(shè)備的面板管理等各項功能配置。3.3.4 故障（告警/事件）管理故障管理，即告警/事件管理，是 網(wǎng)絡(luò)管理系統(tǒng)的核心模塊，是網(wǎng)絡(luò)管理系統(tǒng)及其他業(yè)務(wù)組件統(tǒng)一的告警中心。告警發(fā)現(xiàn)和上報l 網(wǎng)絡(luò)管理系統(tǒng)告警中心可以按收各種告警源的告警事件，包括設(shè)備告警、本級網(wǎng)管站及下級網(wǎng)管站告警、網(wǎng)絡(luò)性能監(jiān)視告警、網(wǎng)絡(luò)配置監(jiān)視告警、網(wǎng)絡(luò)流量異常監(jiān)視告警、終端安全異常告警等；同時通過支持對設(shè)備定時輪詢，實現(xiàn)通斷告警、響應(yīng)時間告警等以告警事件的方式上報給網(wǎng)絡(luò)管理系統(tǒng)告警中心；l 設(shè)備告

55、警包括電源電壓、設(shè)備溫度、風扇等告警事件，設(shè)備冷啟動、熱啟動、接口linkdown等重要告警事件，路由信息事件（OSPF，BGP）變化，熱備份路由（HSRP）狀態(tài)變化等告警事件，支持對、CISCO、等多廠商設(shè)備告警的識別和解析；l 網(wǎng)管站告警是指包括本級網(wǎng)絡(luò)管理系統(tǒng)系統(tǒng)，集群服務(wù)器的異常告警，包括CPU利用率、內(nèi)存使用率、網(wǎng)絡(luò)管理系統(tǒng)服務(wù)程序運行狀態(tài)等以及下級網(wǎng)絡(luò)管理系統(tǒng)系統(tǒng)上報的告警事件；l 網(wǎng)絡(luò)性能監(jiān)視包括CPU利用率，內(nèi)存使用率，以及RMON告警的故障管理。l 網(wǎng)絡(luò)配置監(jiān)視告警包括設(shè)備軟件版本、配置信息變更等告警事件；l 網(wǎng)絡(luò)流量異常監(jiān)視告警通過網(wǎng)絡(luò)管理系統(tǒng)網(wǎng)絡(luò)流量分析實現(xiàn)網(wǎng)絡(luò)中異常流量

56、告警，包括對設(shè)備及接口異常流量、主機IP地址異常流量和應(yīng)用異常流量的告警，支持二級閾值告警定義；l 終端安全異常告警通過網(wǎng)絡(luò)管理系統(tǒng)內(nèi)網(wǎng)安全防護實現(xiàn)對終端用戶安全異常的告警，包括ARP攻擊告警、終端異常流量告警及其他終端不安全告警；l 網(wǎng)絡(luò)管理系統(tǒng)定期輪詢告警指通過網(wǎng)絡(luò)管理系統(tǒng)的資源管理模塊對設(shè)備接口信息定時進行輪循，并及時上報通斷告警、響應(yīng)時間告警等告警事件。3.3.5 告警深度關(guān)聯(lián)分析與統(tǒng)計網(wǎng)絡(luò)管理系統(tǒng)告警中心根據(jù)告警腳本中的告警事件定義，接收并解析上報的告警事件；網(wǎng)絡(luò)管理系統(tǒng)對接收到的告警事件進行深度關(guān)聯(lián)分析，系統(tǒng)缺省支持重復事件閾值告警、閃斷事件閾值告警、未知事件閾值告警、未管理設(shè)備告警閾值告警，并能在故障恢復時自動確認相關(guān)告警；同時用戶可以根據(jù)自己的需要確定事件的告警規(guī)則，以適應(yīng)網(wǎng)絡(luò)管理需要。l 重復事件閾值告警：屏蔽重復接收到的相同事件，并可