2024年2月18日发(作者：)
目录
网络设计方案 ................................................... 2
1.1. 政务网系统总体设计部分 ............................ 2
1.1.1. 政务网系统功能 .............................. 2
1.1.2. 总体结构 .................................... 2
1.1.3. 政务网总体网络结构 .......................... 4
1.2. 政务网需求分析 .................................... 5
1.2.1. 政务网项目背景 .............................. 5
1.2.2. XX市府政务网项目工程的主要内容 .............. 6
1.3. 政务网网络系统设计 ................................ 7
1.3.1. 政务网设计原则 .............................. 7
1.3.2. 网络体系结构的选型 .......................... 9
1.3.3. 网络系统总体设计图 ......................... 10
1.3.4. 冗余设计 ................................... 12
1.3.5. 路由设计 ................................... 12
1.3.6. QoS服务质量设计 ............................ 12
1.3.7. 网络安全设计 ............................... 14
1.4. 产品说明 ......................................... 24
网络设计方案
1.1. 政务网系统总体设计部分
1.1.1. 政务网系统功能
电子政务的传统定义是指政府机构应用现代信息和通信技术，将管理和服务通过网络技术进行集成，在互联网上实现政府组织结构和工作流程的优化重组，超越时间和空间及部门之间的分隔限制，向社会提供优质和全方位的、规范而透明的、符合国际水准的管理和服务。
随着现代化建设的进一步推进，我国的电子政务建设已经初显成效。上个世纪90年代以来，国务院有关部门相继建设了一批业务系统，金桥、金关、金税、金卡等十二金工程取得显著成效，政府上网工程也取得较大成绩。目前，中国电子政务发展的基本特征大体可以归纳为五个方面：一是电子政务建设的战略部署已经完成；二是电子政务建设的战略目标、战略任务越来越明确；三是电子政务建设的整体思路越来越清晰；四是对电子政务建设规律的认识越来越深刻；五是电子政务建设的实践成效也越来越突出。
作为一项支撑政府日常业务运行的有效工具，电子政务一直伴随着政府职能的转变而转变，并在转变中求得进一步发展和升华。近年来电子政务出现了明显的三大变化趋势：建设理念从以往的注重内部管理，转变为注重公众服务；建设热点从以往的“十二金”等纵向系统，转变为以城市信息化为代表的电子政务横向平台；考核标准从以往的前期建设过程，转变为建成后的应用效果。
1.1.2. 总体结构
1.1.2.1. 本项目建设信息化综合体系
通过本项目建设，构成市府院内的网络建设及服务器的基本骨架，满足各类业务的需要，为各类信息系统的运行提供支持。
1.1.2.2. 体系结构
网络中存在着很多种协议，每种网络协议都有自己的优点，但是只有TCP/IP允许与Internet完全的连接。TCP/IP是在60年代由麻省理工学院和一些商业组织为美国国防部开发的，即便遭到核攻击而破坏了大部分网络，TCP/IP仍然能够维持有效的通信。ARPANET就是由基于协议开发的，并发展成为作为科学家
和工程师交流媒体的Internet。
TCP/IP同时具备了可扩展性和可靠性的需求。不幸的是牺牲了速度和效率（可是：TCP/IP的开发受到了政府的资助）。
Internet公用化以后，人们开始发现全球网的强大功能。Internet的普遍性是TCP/IP至今仍然使用的原因。常常在没有意识到的情况下，用户就在自己的PC上安装了TCP/IP栈，从而使该网络协议在全球应用最广。
这是一个标准化的协议族，在Internet及其他大中小型网络中被广泛实施，有其不可比拟的兼容性和扩展性优势。所以我们决定网络互联协议采用TCP/IP。
计算机局域网内则可以用TCP/IP、IPX/SPX、NetBEUI、DECNet等协议。
NETBEUI
NETBEUI是为IBM开发的非路由协议，用于携带NETBIOS通信。NETBEUI缺乏路由和网络层寻址功能，既是其最大的优点，也是其最大的缺点。因为它不需要附加的网络地址和网络层头尾，所以很快并很有效且适用于只有单个网络或整个环境都桥接起来的小工作组环境。
因为不支持路由，所以NETBEUI永远不会成为企业网络的主要协议。NETBEUI帧中唯一的地址是数据链路层媒体访问控制（MAC）地址，该地址标识了网卡但没有标识网络。路由器靠网络地址将帧转发到最终目的地，而NETBEUI帧完全缺乏该信息。
网桥负责按照数据链路层地址在网络之间转发通信，但是有很多缺点。因为所有的广播通信都必须转发到每个网络中，所以网桥的扩展性不好。NETBEUI特别包括了广播通信的记数并依赖它解决命名冲突。一般而言，桥接NETBEUI网络很少超过100台主机。
近年来依赖于第二层交换器的网络变得更为普遍。完全的转换环境降低了网络的利用率，尽管广播仍然转发到网络中的每台主机。事实上，联合使用100-BASE-T Ethernet,允许转换NetBIOS网络扩展到350台主机，才能避免广播通信成为严重的问题。
IPX/SPX
IPX是NOVELL用于NETWARE客户端/服务器的协议群组，避免了NETBEUI的弱点。但是，带来了新的不同弱点。
IPX具有完全的路由能力，可用于大型企业网。它包括32位网络地址，在单个环境中允许有许多路由网络。
IPX的可扩展性受到其高层广播通信和高开销的限制。服务广告协议（Service Advertising Protocol,SAP)将路由网络中的主机数限制为几千。尽管SAP的局限性已经被智能路由器和服务器配置所克服，但是，大规模IPX网络的管理员仍是非常困难的工作。
1.1.3. 政务网总体网络结构
根据XX市政务的网络应用需求，网络的安全和稳定和网络的快速传输由以下三层构成：
核心层 Core Layer
核心层为下两层提供优化的数据输运功能，它是一个高速的交换骨干，其作用是尽可能快地交换数据包而不应卷入到具体的数据包的运算中(ACL，过滤等)，否则会降低数据包的交换速度。
核心层的功能主要是实现骨干网络之间的优化传输,骨干层设计任务的重点通常是冗余能力、可靠性和高速的传输。网络的控制功能最好尽量少在骨干层上实施。核心层一直被认为是所有流量的最终承受者和汇聚者，所以对核心层的设计以及网络设备的要求十分严格。核心层设备将占投资的主要部分。一般接入交换机直接与核心互联，以更好的更快的转发数据。
汇聚层 Distribution Layer
分布层提供基于统一策略的互连性，它是核心层和访问层的分界点，定义了网络的边界，对数据包进行复杂的运算。在XX市府院里我们分别在服务器区,百兆接入区及千兆接入区做汇聚，汇聚层主要提供如下功能：
地址的聚集
部门和工作组的接入
广播域/多目传输域的定义
VLAN路由
任何介质的转换
安全控制
汇聚层设计为连接本地的逻辑中心，仍需要较高的性能和比较丰富的功能。
接入层 Access Layer
接入层的主要功能是为最终用户提供对政务网及市府内部的络访问的途径。本层也可以提供进一步的调整，如访问列表过滤等。在市府网络环境中，接入层主要提供如下功能：
带宽共享
交换带宽
端口限速
MAC 层过滤
IEEE 802.1X 访问控制
网段微分
我们在核心层和汇聚层的设计中主要考虑的是网络性能和功能性要高，那么我们在接入层设计上主张使用性能价格比高的设备。接入层是最终用户与网络的接口，它应该提供即插即用的特性，边缘的接入安全，端口的限速，同时应该非常易于使用和维护。当然我们也应该考虑端口密度的问题。
1.2. 政务网需求分析
1.2.1. 政务网项目背景
电子政务网建设的主要目标是：建立一个开放的、基于标准的电子政务统一网络平台，实现信息交换和资源共享，面向公众提供服务，增强各部门工作的透明度。分别支持数据、语音和视频业务，运行各部门的业务系统，实现各网间的信息交换和资源共享，同时建立完善的信息安全体系和相应的备份系统。
2006年6月12日在北京召开的全国电子政务工作座谈会，明确提出了“十一五”电子政务建设的主要目标：到2010年，基本建成覆盖全国的统一的电子政务网络，初步建立信息资源公开和共享机制。政府门户网站成为政府信息公开的重要渠道，50％以上的行政许可项目能够实现在线处理。电子政务要在提高公
共服务水平和监管能力、降低行政成本等方面发挥更大的作用。
1.2.1.1. 政务网的需求
XX地级市共计有市府院内共计30个单位，院外共计55个市直单位，下辖20个县区，目前电子政务外网骨干为租用的SDH网络，远程单位到政务网机房可保证10M的带宽。
要求建设共计30个基于IP的远程网关，要能够基于SDH城域网与上下级单位已经建成的政务网络互联，市府院内的局域网骨干由原来的1000M升级为10000M光纤互联，预留共200个1000M光纤接口用于机房服务器接入，约1500台PC其中约500台升级到1000M，其余沿用100M接口。
1.2.2. XX市府政务网项目工程的主要内容
通过上面建设的分析，随着网络技术的飞速发展和应用水平的逐步提高，用户的网络需求也不断的增加，主要表现为：
1. 用户数多，扩展速度快：网络规模会逐渐增大，用户数会越来越大；
2. 网络应用复杂，流量大；
3. 安全隐患大：目前网络攻击软件泛滥，来源方便，并对技术要求更低，成就好攻击的“危险群体”；同时网络病毒泛滥、新病种不断呈现，危害性更强；
根据目前以上提出的几个问题，我们建议XX市政府网络系统需要从下面几个方面来考虑网络建设时应注意的问题：
1. 设计高效，安全，稳定的网络
2. 选择高性能、高稳定的核心交换机
3. 合理的出口设计
4. 全网设备的高效、便捷管理
5. 万兆主干、部分千兆到桌面, 部分百兆到桌面的高性能设计思想
6. 智能的网络服务质量保证体系
7. 整个网络要具有良好的升级扩展性
下面我们就将根据本章的需求分析，进行本项目系统的设计。
1.3. 政务网网络系统设计
1.3.1. 政务网设计原则
先进性
先进性将保证系统具有较强的生命力，有较长期的使用价值，符合当前或将来的趋势。我们从用户需求的角度出发，所有主干设备的选择、所采用的技术方法及软件等各方面，来保证整个系统的先进性。
可靠性
网络系统的建设是为应用服务的，它的稳定可靠是应用系统运行的保证。一但网络系统崩溃，整个应用系统就会处于瘫痪状态，这可能会带来不可估计的损失。网络系统可靠性的实现，很大程度上是依靠设备冗余和线路冗余来保证的；与之密切相关的是项目投资额度和冗余设备利用率的大小。系统可靠性、投资额、设备使用率三者是互相影响、互相制约的因素，一个设计良好的网络方式，应该是三者的综合平衡。我们将综合考虑以上因素，采用各种可实现、可接受的技术，来保证网络系统的高可靠性，进而对最终可靠的应用系统提供保证。
本方案网络系统平台采用可靠的、成熟的技术，网络系统中通过网络管理软件实现网络诊断、测试和在线故障分析与恢复能力、容错能力。同时主干网络及关键设备也采用了热备份的方式，能够自动切换，保证网络系统的可靠性。
设备的高可靠性从硬件、软件、保护机制等几个方面体现：
1、采用分布式体系结构：
分布式体系结构是提高可靠性的基础，与集中式体系设备相比较，分布式体系设备除性能可以通过插入更多的接口处理板提高整体性能外，更为关键的是将管理、路由转发、接口处理等功能分配在不同的部件上，协同工作，分布式体系可以分散故障风险、隔离故障、提供冗余配置，提高系统的自动恢复能力；如管理部件故障，只需要更换这部分板件，不影响其他功能。而且，分布式体系结构可以提高组网的物理可靠性，每个骨干节点都有两条万兆接口与相邻的两个节点互联，从路由上提高了可靠性。但如果是集中式体系，则当节点设备出现故障时，这个节点两个万兆接口都会失效，造成节点所带网络的中断；而采用分布式结构时，可以将这两个接口分别配置到不同的接口板上，这样，无论这台设备的管理单元、交换转发单元，还是单一接口出现故障，都可以保证至少有一条路径是连
通的，该节点网络都不会中断。在本次工程中，核心层应采用分布式结构。
2、热插拔特性：
设备任意单板需要支持热插拔特性，保证系统出现故障需要维护，或系统需要升级扩展时，不需要停机处理，保证网络的7×24小时不间断运行，本次工程中的核心交换机应提供热插拔特性。
3、冗余电源支持：
冗余电源负载分担及备份供电可保障系统具有可靠的能量源，在本次工程中，核心交换机应可以提供冗余电源支持。
具备这些特性的网络设备是整个网络高可靠运行的基础。
安全性、稳定性
当前，网络信息系统对安全的要求越来越高，尤其自Internet /Intranet应用发展以来，信息系统的安全已经涉及到国家的安全等许多重大问题，特别是在政府部门。在网络系统的前期设备选择和后期的网络建设过程中，应该从安全架构、安全策略及安全机制等多方面充分地考虑安全问题。在网络设计中要对相关的网络设备、主机系统、应用数据库提供严密的保护，同时又不能影响到应用系统的功能和使用，对性能的影响也要尽量降到最小。网络系统的安全是网络第一要考虑的问题，因此我们整个系统的安全性放在首位。
组网结构上，整个核心层的两台骨干交换机之间与接入层的交换机之间通过双归属连接，使得任意一条连接出现故障时，可以通过另外一条连接提供服务，而不会导致服务暂停。充分保证了网络的可靠性。
设备配置上，核心层设备支持双引擎、双电源、双交换网实现冗余备份，故障时能够自动倒换，并支持热插拔和更换。倒换时不影响转发，同时这些网络设备都有在骨干网成功运行的案例，从而印证了在此次工程中所选择的网络设备的稳定性。支持双机热备份，以满足业务稳定性需求。
可扩展性
当前，应用对网络通信速率和主机系统处理能力的要求增长很快，系统技术也不断推陈出新，所以系统的设计应充分考虑将来若干年内的发展，要充分考虑升级、扩容、扩充的可行性。
考虑到此次项目用户覆盖面广、接入方式多等本身的特点。因此，网络系统的建设、应用的推广会是一个渐进的过程，所以，网络系统的扩展性在设计时需
要特别加以考虑。
标准化与开放性、兼容性
建设网络系统的最终目的是实现各种应用信息资源的共享。由于当前种类繁多的计算机软硬件平台与网络产品并存，在计算机系统的每一个应用领域内都有相应的标准存在；只有广泛采用遵循国际标准、开放性强的产品，才可以最大限度地保证各类计算机平台间、网络间的互连，以保证和现有系统的兼容性。
目前，TCP/IP在网络应用领域，已经成为绝对的主流。我们所选择的网络产品、技术对TCP/IP提供完全支持；为最大限度地保证与其它系统的互通，对其它通讯标准如IPX等也提供相应的支持能力。
1.3.2. 网络体系结构的选型
网络项目建设的关键是在遵循前文所述设计原则的前提下，选择具有开放性和标准化的网络体系结构，以支持异构型计算机网络互联和互操作的目标。
从世界计算机网络的现状和发展趋势着眼，可考虑选择的网络体系结构有OSI和TCP/IP两种方案。OSI标准是世界性的成果，它既反映了信息处理技术发展的现状，又反映了计算机网络的发展趋势。
另一个是已在全世界证明为最成功的、最为广泛和流行的TCP/IP网络体系结构。TCP/IP实际上的巨大影响力使其成为全球范围的事实上的工业标准。全世界最大的计算机网络 Internet，其体系结构即为TCP/IP，且由于它的成功和地位，这种体系结构正在进一步完善和发展。
同时，TCP/IP拥有很强的硬件和软件支持，大多数计算机厂商的产品支持TCP/IP，它提供了异构型计算机网络互联的优秀方案，使其成为实际可行的网络互联标准。
此外，TCP/IP拥有很强的硬件和软件支持，包括：
异种计算机的互联与通信
多种通信媒体支持
多种处理业务
API编程和高层服务
众所周知，UNIX体现了世界性的开放性和分布式计算环境，PC、工作站、小型机和大型机上所采用的UNIX都以TCP/IP作为其网络软件。局域网络操作系统如
Novell的 Netware，Microsoft的LAN Manager、Windows NT，Banyan的Vines和Apple Talk等都支持TCP/IP。众多大型软件商如Informix、Sybase、Oracle等也支持TCP/IP。最广泛的网络管理模式也基于TCP/IP。
虽然，ISO/OSI网络体系结构从标准化和功能服务角度来讲较为优越，但其产品仍未成熟，并未为大多数厂商所支持。而TCP/IP已是事实上的多机种、多厂商异构网互联的工业标准，其体系结构在规模上和地理范围上居世界之首。
1.3.3. 网络系统总体设计图
根据我们对客户的理解，整个XX市政府网络的拓扑结构图如下所示：
如上图所示，XX市政府网络结构可分为三个层次来设计，核心层,汇聚层和接入层。其中核心层要设计成为网络最稳定、最可靠的部分，核心交换机的各个端口的规则匹配及QoS处理要独立完成，互相之间没有任何影响，其内部应为超高速的转发设计，并且其管理、控制和数据转发功能可以相互独立地执行，这样才可保证核心的稳定、可靠，可减轻核心的三层交换压力，从而使核心更高效的工作，同时分布式的三层交换结构可提高整个网络的效率，同时也需要具有强大的安全控制功能，以保证网络中的不安全因素不会到达核心交换机。汇聚层在中间减少核心层压力,让一些策略转到汇聚层上,由于汇聚在接入上面,所以接入的
数据包上来直接在汇聚做处理,如果汇聚层没有处理的再由核心做转发.接入层交换机在网络的边缘对网络病毒及攻击进行防御和阻隔，以防止网络病毒进入网络。
核心层：采用双核心D-Link DES-8510万兆路由交换机。DES-8510是大容量、高密度、高性能、模块化核心路由交换机产品，其背板带宽高达3.2Tbps，包转发速率最大为952Mpps，具备二到四层线速交换能力。可提供10GE、GE、FE等各种丰富的接口模块，并全面支持IPv4、IPv6、MPLS、NAT、组播、QoS、带宽控制等业务功能。整个系统所具备的高可靠性、高扩展性、强大的业务能力等特点完全满足政务内网核心层的建设需求。
D-Link的网管和监控平台也直接连入核心交换机，实现对网络的管理和监控。
汇聚层：采用4台D-Link DGS-3627全千兆三层堆叠路由交换机。给每个分组部署一台,分别在服务器区,千兆接入区,百兆接入区.双机上行与核心通过万兆模块上连两台DES-8510的万兆接口,DGS-3627堆叠交换机具有高密度的千兆端口、支持SFP、可选配的10G上连，和先进的软件功能。其处理能力、灵活性、安全性、多层QoS、访问控制和冗余电源支持等特性对政务内网都是极佳的选择。
服务器: 采用8台D-Link DGS-3627G和1台DGS-3612G全千兆三层堆叠路由交换机。因服务器预留端口为200台千兆光口,DGS-3627堆叠交换机具有高密度的千兆端口、支持SFP、可选配的10G上连，和先进的软件功能。其处理能力、灵活性、安全性、多层QoS、访问控制和冗余电源支持等特性对政务内网都是极佳的选择。
接入层：接入层共有1500台PC,其中500台PC为1000M,所以现接500台PC千兆接入,1000用户百兆接入,在此我们分别采用10台D-Link DES-3100-48和1台DES-3100-24交换机作千兆接入。DES-3100系列交换机操作简便，易于管理，提供实用的虚拟堆叠、访问认证、多层QOS等功能，连接政务内网的各个电脑终端，可实现高效稳定的网络接入。 百兆接入我们采用20台DES-3852 和1台DES-3828交换机作接入.
1.3.4. 冗余设计
此次网络建设，在核心放置两台核心交换机，并配置双引擎，双电源，保证核心的稳定可靠；同时，核心层设备都采用双链路分别与接入层的交换机相连，保证任一链路出现问题的时候，不影响全网的数据交换。
网络平台作为基础设施，是一个要求高度可靠性的系统。由此我们进行了网络平台的冗余设计，保证网络平台数据传送的高度可靠性。冗余设计包括设备的冗余设计，交换结构的冗余设计。根据XX市政府的网络的特点，我们使用以下的方式提供网络平台的冗余性：
设备的冗余设计方面，我们建议使用设备关键部件的冗余，包括引擎冗余、风扇冗余、电源冗余以及端口冗余。
在交换结构冗余设计方面，我们建议使用链路聚合，双交换链路或堆叠的方式提供冗余，包括核心交换机。
1.3.5. 路由设计
根据XX市政府大楼网的特点和规模，我们建议全网运行OSPF路由协议。OSPF协议不仅收敛迅速、扩展性好，而且协议具有标准化的特点，经过多年的广泛应用，非常成熟和稳定。
在核心路由交换机和汇聚路由交换机上面运行OSPF进程。可根据规模大小划分区域。在本网络中，由于支持OSPF的设备不多，可全部划入核心区域（AREA 0）。另外做好防止路由泄漏和攻击的工作，在设备上面配置OSPF协议仅在核心网段上运行，通告信息不传输到其他网段。
1.3.6. QoS服务质量设计
为确保用户各种关键业务的正常开展，必须采取全面而系统的QOS设计(提供端到端QOS服务)，以保证重要的数据流在网络发生拥塞时获得有保证的吞吐量和最低的延时；为了保证端到端用户的服务质量，因此要求端到端数据流经的所有网络设备都支持实施的QOS策略，核心设备是多个服务器接入的设备，并且担负着全网数据的交换，QOS的能力影响着全网的服务质量保障能力。
网络设备应提供多种流分类技术和多种QOS技术，包括SP、PQ、WRR、WFQ、WRED、CAR、HOL等，为各种应用的带宽保障提供需要的支持技术。
流分类：硬件支持802.1P、端口优先级、IP TOS、二到七层流过滤等QoS策略，具备MAC流、IP流、应用流等多层流分类和流控制能力，实现带宽控制、转发优先级等多种流策略，提供对ICMP、ARP等各种网络攻击的防御能力。
数据标记：802.1p是二层协议，可以为数据提供8个级别的优先级标记；DSCP在三层的IP协议报文里进行优先级标记，可以提供64个级别的优先标记。
队列调度：严格优先级队列SP保证高优先级业务总是在低优先级业务之前处理；WRR是一种加权循环队列调度机制，首先处理高优先级，但在处理高优先级业务时，较低优先级的业务并没有被完全阻塞，而是按一定的比例同时进行。WFQ是加权公平队列，对所有的数据流进行排队，监控吞吐率，并根据发送的信息量分配权值。WFQ试图公平地为每个对话分配带宽，保证低带宽应用可以获得对接口的访问权，而不会被高带宽应用全部占用。
拥塞控制：WRED加权随机早期检测协议，可以设置各个数据流在拥塞发生之前自动丢失数据的阀值，避免较高优先级应用的拥塞丢失。HOL通过消除HOL阻塞确保最高可能的吞吐量；最大限度地减少包丢失，减少多路传输和广播流量拥塞。
承诺信息速率：CAR可以为重要的数据流设定固定的带宽，如果设定的带宽合理，满足该数据流的需求，就可以保证重要数据流的正常转发。
系统拥有完善的QoS策略
支持802.1P、端口优先级、IP TOS、二到七层流过滤等QoS策略，具备MAC流、IP流、应用流等多层流分类和流控制能力，实现带宽控制、转发优先级等多种流策略，支持网络根据不同的应用、以及不同应用所需要的服务质量特性，提供服务；
极灵活的带宽控制能力，可以基于交换机端口、MAC地址、IP地址、VLAN ID、协议、应用组合进行带宽限速，限速粒度精细：1Mbps（128KB）粒度/百兆端口、8Mbps（1024KB）粒度/千兆端口，可根据网络安全需求，设定不同业务应用的带宽流量，满足按需所用。
通过从核心到汇聚设备全程对QOS的良好支持，全部硬件提供二到四层数据流交换，实现应用感知的功能，给予多媒体办公应用提供透明的QoS保障，确保真正的QoS的实现。
1.3.7. 网络安全设计
1.3.7.1. 安全是风险管理
如何控制风险，就需要通过包括风险评估、风险控制和风险降低等三方面的风险管理来实现。网络信息安全要考虑投入和收益相匹配。网络信息安全的投入是相当大的，如果安全投入和实现安全之后所带来的收益不匹配，投入将毫无意义。
1.3.7.2. 安全是相对概念
信息系统安全不但与不断变化的需求联系紧密，同时也与不断发展的信息技术关系密切。
首先，XX市政府网络的新业务需求和业务新需求是不断在变化的，安全是相对于现有需求而言的。
互联网技术和信息技术是不断发展的，安全攻击方式和手段层出不穷，可利用并作为攻击的漏洞也不断被发现并公布。
安全包括技术的和非技术的因素。我们不能简单认为通过技术手段就可以保证安全。相对来说，非技术因素的考虑（安全管理）对于全面的信息安全建设是不可缺少的。
掌握最新的安全知识和技能，提高人员的安全意识和安全技能，才是构建网络信息系统全面安全的必要措施。
1.3.7.3. 安全是动态过程
计算机只要连入网络就会存在安全问题，我们认为安全是一个动态的过程，不是一成不变的。
新的系统、新的应用层出不穷。即使采购了安全产品、实施了安全管理、制定了安全策略也不能说系统在某些方面基本没有安全问题。因为协议、服务固有的问题、主机配置的复杂性、软件开发过程中产生的漏洞随时都有可能导致安全风险。因此，要不断地跟踪最新的安全信息，对系统进行评估，并不断地加固计算机系统。
安全产品除了拥有全面的特征库外，还需要制定合理的策略，策略需要根据安全技术的发展进行动态地调整。同时，要尽量保持产品的版本和特征库更新，管理上随着安全的发展灵活改进。
非技术因素带来的安全问题，比如人员流动、技术操作不规范、责任不明确等，也会对网络信息系统的安全构成极大的风险。
1.3.7.4. 安全是保障体系
信息安全的技术在不断发展，从早期的通信保密，发展到关注信息安全的保密、完整、可用、可控和不可否认的信息安全，今天发展到信息保障。单纯的保密和静态的保护已经不能适应今天的需要了。信息保障技术框架提出保障信息安全必须考虑保护、检测、反应和恢复四个动态反馈的环节。保障体系采用深度防御方式，目的是使能够攻破一层或一类保护的攻击行为无法破坏整个信息基础设施。
1.3.7.5. 信息安全建设的预期收益
XX市政府网络信息安全建设的基础是风险控制和风险管理建设，重点是建立可靠、高效、安全的网络和应用安全环境。由此带来的预期收益是：
总体考虑。XX市政府网络提出信息系统安全本身是信息系统建设规划的一个重要组成部分，信息安全的规划和实施对于整个信息系统的建设规划是至关重要的。信息安全的建设对于整个信息系统的建设提供安全保障。
风险管理和控制：XX市政府网络系统能够通过信息安全建设有效防范依托计算机、互联网技术的网络安全风险；
系统安全增强：通过对系统状况的熟悉，提高系统平台，包括设备、系统、网络、数据库、中间件、应用的安全。信息安全建设依托产品和技术，以服务形式全面提高系统的安全级别。
提高业务安全：通过对业务的分析，减低或消除业务系统的风险。提高业务系统的安全。
提高人员素质：通过系统安全建设提高操作、运行和管理人员的安全意识和安全素质，为整体信息系统的建设提供智力支持和保障。
管理和服务：通过信息安全建设能够有效地提高系统的管理水平。有效的审计、监控是管理和服务需要考虑的内容；
1.3.7.6. 网络的安全分析
1.3.7.6.1. 物理安全分析
网络的物理安全是整个网络系统安全的前提。在网络工程项目建设中，由于网络系统属于弱电工程，耐压值很低。因此，在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及报警系统、安全意识等，因此要尽量避免网络的物理安全风险。
1.3.7.6.2. 网络结构的安全分析
网络拓扑结构设计也直接影响到网络系统的安全性。假如在外部和内部网络进行通信时，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其他系统。透过网络传播，还会影响到连上Internet/Intrant的其他的网络；影响所及，还可能涉及法律、金融等安全敏感领域。因此，我们在设计时有必要将公开服务器（WEB、DNS、EMAIL等）和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。
1.3.7.6.3. 系统的安全分析
所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。目前恐怕没有绝对安全的操作系统可以选择，无论是Microsfot 的Windows
NT或者其它任何商用UNIX操作系统，其开发厂商必然有其Back-Door。因此，我们可以得出如下结论：没有完全安全的操作系统。不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。
1.3.7.6.4. 网络系统的安全分析
网络病毒
目前病毒不仅局限于单机的文件病毒，更为猖狂的是像红色代码（codered）、冲击波（MS Blaster）等网络病毒。
红色代码
红色代码病毒－－蠕虫、特洛伊木马、黑客结合的双特征病毒恶意IP地址扫描，病毒向按一定算法生成的IP网段的IP地址的80端口发送HTTP GET请求，请求连接成功，就会发送包含缓冲溢出的代码，导致一些没有打补丁的IIS服务器缓冲溢出，此主机遭受感染；
遭受病毒感染的服务器在后台开辟600个线程用于扫描，占用了大量系统资源，并再次感染其它主机，并对其WEB服务器80端口发起长度为66字节的SYN请求包的DoS攻击；
症状：
病毒大量扫描和DoS攻击导致网络路由器和三层交换机过载，表现为用户上网速度变慢，网络阻塞。性能不高的路由器和三层交换机最有可能过载；
危害：
红色代码及其变种利用微软IIS远程缓存溢出的漏洞获得系统权限，并在这个感染的Web服务器上拷贝一个后门程序，在IIS上设置完全共享的虚拟目录，给黑客完全的访问权限，从而可以全面控制被攻击网络的全部资源，对网络的安全构成极高的威胁。
冲击波
冲击波病毒－－蠕虫病毒；针对Microsoft Windows远程缓冲区溢出漏洞的蠕虫。因为该漏洞影响所有没有安装MS03-026补丁的Windows2000、Windows XP、
Windows 2003系统，不仅是服务器，也包括个人计算机在内，所以危害极大。
蠕虫感染系统后首先检测是否有名为“BILLY”的互斥体存在，如果检测到该互斥体，蠕虫就会退出，如果没有，就创建一个。然后蠕虫会在注册表中添加以下键值：“windows auto update”=“”以保证每次用户登录的时候蠕虫都会自动运行。
蠕虫在本地的UDP/69端口上建立一个tftp服务器，用来向其他受侵害的系统上传送蠕虫的二进制程序。
蠕虫选择目标IP地址的时候会首先选择受感染系统所在子网的IP，然后再按照一定算法随机在互连网上用ICMP 扫描的方法选择目标攻击，即发送大量的ICMP报文（Ping包）。
一旦连接建立，蠕虫会向目标的TCP/135端口发送攻击数据。
如果攻击成功，会监听目标系统的TCP/4444端口作为后门，并绑定。
然后蠕虫会连接到这个端口，发送tftp命令，回连到发起进攻的主机，将传到目标系统上，然后运行它。
症状：
1、用户上网变慢，ping网管丢包严重
2、莫名其妙地死机或重新启动计算机；
3、IE浏览器不能正常地打开链接；
4、不能复制粘贴；有时出现应用程序，比如Word异常；
危害：
攻击者成功利用此漏洞可以以本地系统权限执行任意指令，攻击者可以在系统上执行任意操作，如安装程序、查看或修改、删除数据或建立系统管理员权限的账户。
黑客攻击
ARP攻击
短时间内向所有子网内主机以及选择的互联网目标发起大量的ARP解析报文
目前网络中的一般的二层或三层交换机，路由器，BAS 设备等对接收到的广播ARP报文都要做解析处理，因此在短时间内会设备会转发或处理大量ARP报文，以致无法进行正常数据报文的处理和转发，造成部分网络设备崩溃或部分网络设备失效
ICMP 攻击和网络流量攻击
短时间内会有成千上万个ICMP 报文涌入连接网络设备端口，占据网络设备端口的大量带宽
短时间内就会和网络中被攻击的主机间建立连接，然后通过TFTP 大量拷贝攻击程序，并占据大量带宽
这种攻击的特点：时间短、暂用带宽大，对网络造成很大的流量攻击
SYN Flood攻击
利用TCP协议缺陷，发送了大量伪造的TCP连接请求，使得被攻击方资源耗尽，无法及时回应或处理正常的服务请求；
如果大量的SYN包发到服务器端后没有应答，就会使服务器端的TCP资源迅速耗尽，导致正常的连接不能进入，甚至会导致服务器的系统崩溃。
被DDoS攻击时的现象
- 被攻击主机上有大量等待的TCP连接
- 网络中充斥着大量的无用的数据包，源地址为假
- 制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯
- 利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常客户端请求
- 严重时会造成系统死机
- 网络严重瘫痪
到目前为止，主机进行DDoS攻击的防御还是比较困难的。首先，这种攻击的特点是它利用了TCP/IP协议的漏洞，除非你不用TCP/IP，才有可能完全抵御住DDoS攻击。
1.3.7.6.5. 应用系统的安全分析
应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。
——应用系统的安全是动态的、不断变化的。
应用的安全涉及方面很多，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有sendmail、Netscape Messaging Server、
、Lotus Notes、Exchange Server、SUN CIMS等不下二十多种。其
安全手段涉及LDAP、DES、RSA等各种方式。应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。
——应用的安全性涉及到信息、数据的安全性。
信息的安全性涉及到机密信息泄露、未经授权的访问、 破坏信息完整性、假冒、破坏系统的可用性等。在某些网络系统中，涉及到很多机密信息，如果一些重要信息遭到窃取或破坏，它的经济、社会影响和政治影响将是很严重的。因此，对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。采用多层次的访问控制与权限控制手段，实现对数据的安全保护；采用加密技术，保证网上传输的信息（包括管理员口令与帐户、上传信息等）的机密性与完整性。
⑤ 管理的安全风险分析
管理是网络中安全最最重要的部分。责权不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的。因此，网络的安全建设是XX市政府网建设过程中重要的一环。
1.3.7.7. 网络的安全措施
物理措施：例如，保护网络关键设备(如交换机、大型计算机等)，制定严格的网络安全规章制度，采取防辐射、防火以及安装不间断电源（UPS）等措施。
访问控制：对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限，等等。
数据加密：加密是保护数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。
防止计算机网络病毒，安装网络防病毒系统。
其他措施：其他措施包括信息过滤、容错、数据镜像、数据备份和审计等。
近年来，围绕网络安全问题提出了许多解决办法，例如数据加密技术和防火墙技术等。数据加密是对网络中传输的数据进行加密，到达目的地后再解密还原为原始数据，目的是防止非法用户截获后盗用信息。防火墙技术是通过对网络的隔离和限制访问等方法来控制网络的访问权限，从而保护网络资源。其他安全技术包括密钥管理、数字签名、认证技术、智能卡技术和访问控制等等。
1.3.7.7.1. 用户验证
用户验证是实现用户安全防护的基础功能。对用户进行识别和区分，不仅能保护接入的用户不受网络攻击，而且能阻止接入用户攻击其他用户和网络。经过验证的用户可以享受服务，而未经验证的用户则被拒绝。
访问网络设备存在多种方式：直接从console口登录进行配置；telnet登录配置；通过SNMP进行配置；通过modem远程配置等等。对于这些访问方式，都需要有相应的用户身份验证。 验证时可以选择采用交换机本身维护的用户数据库，还可以采用RADIUS服务器所维护的用户数据库对用户进行验证。 远程用户验证主要包括：PPP验证、WEB验证和端口验证、CA/PKI证书验证。
1.3.7.7.2. 防地址假冒
为了有效的防止假冒IP地址和假冒MAC地址，我们在网络设计上应考虑对设备使用了地址绑定技术严格控制用户的接入。例如，绑定用户接入的端口与MAC地址、IP地址。
1.3.7.7.3. 身份认证
路由器和交换机、语音等设备的身份认证主要包括以下几个部分：
1、 访问设备时的身份认证。访问设备时存在多种方式：直接从console口登录进行配置；telnet登录配置；通过SNMP进行配置；通过modem远程配置等等。对于这些访问方式，都需要有相应的身份认证。
2、 对端设备的身份认证：对端设备不仅仅指物理上的直接以串口线相连的路由器，同时还包括端到端相连以及虚拟的点对点（如通过隧道协议）相连的路
由器。在对端路由器与本端建立连接之前，需要进行身份认证。
3、 路由信息的身份认证：路由器依据路由信息表来发送报文，路由信息对于路由器来说是至关重要的。收到虚假的路由信息，有可能使得路由器将数据报文发往不正确的目的地。这些报文可以被用于分析其中的数据内容，严重的情况下，造成正常的通信中断。所以，在接受任何路由变化的信息之前，有必要对此信息的发送方进行验证，以保证收到的路由信息是合法。
1.3.7.7.4. 访问控制
访问控制分为以下几种情况：
1、对于设备的访问控制。对设备的访问权限需要进行口令的分级保护。只有持有相应口令的特权用户才能对设备进行配置；一般用户只有查看普通信息的权力。
2、基于IP地址的访问控制。一般情况下，用户（包括网内用户和分支机构、合作伙伴等网外用户）是通过IP地址来区分的，不同的用户具有不同的权限。通过包过滤实现基于IP地址的访问控制，可以实现对重要资源的保护。
3、基于用户的访问控制。路由器、以太网交换机提供接入服务功能。对于以接入方式的用户来说，他们之间的权限也有可能是不一样的。通过对用户设置特定的过滤属性，可实现对接入用户的访问控制。
4、基于流基于状态连接的访问控制。网络设备应该可以提供报文的多元组包过滤或者连接的状态检测分析，以实现对于非法流量非法连接的防护，并可起到防DOS、流量攻击的功能，可对网络和业务提供不同安全层次的防护服务。
5、基于Vlan的访问控制。对XX市政府网内以VLan方式划分成不同部门，各个部门的访问权限有可能是不一样的。通过实现基于Vlan的访问控制，可以实现对部门的访问控制。
1.3.7.7.5. 信息隐藏
与对端通信时，不一定需要用真实身份进行通信。通过地址转换，可以做到隐藏网内地址、只以公共地址的方式访问外部网络。除了由内部网络首先发起的连接，网外用户不能通过地址转换直接访问网内资源，可以做到隐藏内部网络结构，避免外部攻击和扫描。
在公网上传输数据不能保证数据不被窃听。为了避免因为数据窃听而造成的
信息泄漏，有必要对所传输的信息进行加密，只有与之通信的对端才能对此密文进行解密。通过对路由器所发送的报文进行加密，即使在Internet上进行传输，也能保证数据的私有性、完整性以及报文内容的真实性。
1.3.7.7.6. 攻击探测和防范
必须要做到保护内部网络和服务的安全，能够提供对整个内部网络的攻击探测和防范，以弥补开放式网络架构所导致的网络服务的不安全性。
对于已知病毒和攻击，根据其传播方式和途径，以及病毒特征，来实施相应措施：
红色代码（CodeRed）病毒 －－恶意IP地址扫描，网络严重阻塞
利用ACL关闭网段内所有普通主机的被扫描端口80(这样，造成的后果无非是普通上网人员无法提供WEB服务了)，这样可以杜绝大面积病毒传播。对于要提供WEB服务的服务器，安装杀病毒软件和启用病毒防护。由于服务器比较少，而且有专人管理，因此这些工作还是比较简单方便的。
益处：抑制蠕虫攻击，提供充足的时间让网络中的客户进行杀毒、修复等，等攻击隐患消除后，再开启对应的服务端口（需要提供Web服务的服务器）
冲击波（MS Blaster）病毒－－蠕虫病毒，大量ICMP扫描，导致网络阻塞
利用ACL关闭ICMP服务，以及相应端口
阻止感染病毒的PC向其它正常PC的135端口发布攻击代码
限制目标主机通过tftp下载病毒。
阻断感染病毒的PC向外发送大量的ICMP报文，防止其堵塞网络。
然后将其应用在相应网口，例如fa0/1
这样即可阻断Blaster蠕虫病毒的传播。
益处：抑制蠕虫攻击，控制蠕虫蔓延，保证网络带宽
ARP攻击
控制ARP流量每秒最多1M bps/每百兆端口，杜绝ARP报文(在接入层就能进行控制了)
保护端口隔离用户
益处：控制住整个网络中的ARP风暴，同时保证网络设备本身正常运转
ICMP攻击和网络流量攻击
可以采用QoS控制ICMP的每秒最多1M bps/每百兆端口，这样ICMP攻击也不会造成网络带宽浪费。或者可以关闭ICMP服务
益处：抑止了蠕虫的攻击速度，同时保证非感染用户的正常上网
DDOS－Syn flood攻击
绑定IP地址和MAC地址，攻击主机一旦修改其源IP地址其报文就会被丢弃，不对网络造成影响。
益处：丢弃了大量的非法攻击报文，基本消除了DDOS对网络的攻击
1.3.7.7.7. 安全管理
内部网络与外部网络之间的每一个数据报文都会通过路由器和路由器，在路由器和路由器上进行报文的审计可以提供网络运行的必要信息，有助于分析网络的运行情况。
另一方面，设备的安全运行牵涉到越来越多的安全策略，为了达到这些安全策略的有效利用，进行安全策略管理是必需的。
访问列表控制连接。为了增强路由器本身的安全特性，减少不必要的接入连接，应该认真有效配置访问列表。
1.3.7.8. 方案特点
1. 双冗余、双核心交换，增加系统稳定性
2. VPN路由，满足移动办公需要
3. 主动入侵检测防御防火墙，有效保护服务器数据安全
4. 全千兆汇聚，支持万兆上连
5. 二层交换支持2-4层的QOS和ACL，实现接入层对业务的分流和服务
6. D-Vision全中文网管系统全面管理，提高网络性能
1.4. 产品说明
DES-8510
DES-3627
DES-3100
DES-3800
发布评论