连锁超市IT建设方案.docx

目 录1.概述12.现状分析13.方案设计33.1.网络架构33.2.备份容灾63.2.1.本地备份73.2.2.异地备份73.2.3.双机热备（可选）84.设备清单101. 概述连锁超市的门店都由总部统一进货，公司建立配送中心，进行统一配送。一般随着经营规模的越来越大，管理工作会变得越来越复杂。这时候就需要一套进销存管理系统，实现信息流在供应商、配送中心、门店之间流动，并且保证了数据传递的及时、准确，降低了订货成本和库存费用。而这样一套系统的应用必须建立在各环节可以通过网络互通的情况下。目前，解决网络互联的方式主要有以下两种：租用专用线路，此种方法只能保证配送中心和各门店的实时互联，但是费用过高；第二种方法是采用VPN技术，利用现在日益普及的宽带接入，搭建企业扩展虚拟专用网，解决总部、配送中心、门店之间信息流的安全快速传递。2. 现状分析目前超市网络暂时可以分为总部、各门店两部分，同时考虑到和供应商之间的信息交互，可以把供应商作为整个网络的外部扩展部分。因此，连锁超市计算机网络系统总体上是一个星型结构的局域网，从管理的分工上可以分为三个层次：第一层次：连锁超市对外服务器网络，包含Web和Mail服务器。该层次与外部Internet的联系最紧密，对外提供相应服务（如果存在）；第二层：连锁超市内部企业网络，包含各部门网络，以及内部的进销存管理服务器和数据库服务器。这个网络是整个连锁超市的网络核心，是整个办公和生产系统的网络应用平台，保存了整个企业的核心数据，是安全要求最高的区域，其中尤以数据库服务器为重；第三层：分支机构网络，即各下属超市。这部分用户需要通过Internet以一种安全的方式访问内部企业网。另外，可包含供应商接入这个扩展部分。目前客户的主要应用为进销存管理系统，后台采用SQL Server 2005数据库系统，而且进销存管理应用和数据库系统安装在同一台服务器上。3. 方案设计整个方案分为网络架构和备份容灾两个部分进行设计。3.1. 网络架构根据现有网络结构和应用情况，可能面对的安全风险有：当前出于政治目的和商业竞争目的的网络攻击日益增多。网络攻击和入侵对于获取其它商业目标机密信息是一种非常重要的手段。对于一个现代化企业，特别是企业的整个进销存系统都以计算机网络为依托，信息的安全尤为重要。具有优秀功能的防火墙也是网络安全防护体系的非常重要的一部分。由于入侵者不仅可以对企业内部网上进行攻击、窃取或其它破坏，而且完全有可能在传输线路上安装窃听装置，窃取网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改来破坏数据的完整性；以上种种不安全因素都对网络构成严重的安全威胁。因此，对于进销存管理系统这样带有重要信息传输的网络，数据在链路上传输必须加密，并通过数字签名及认证技术来保数据在网上传输的真实性、机密性、可靠性及完整性。鉴于当今的网络性质十分复杂，对于防止网络入侵、非法访问和防病毒来说，动态的防护体系是一个非常优秀的、安全系数最高的安全网路，所以，拥有入侵检测系统是使网络的安全性达到质的飞跃的必要手段。了解了攻击手段和安全隐患之后，结合现有的网络技术，设计了如下图所示的网络架构。通过这样的设计可以尽可能地阻止来自外部的攻击、监控和管理内部的访问，尽量杜绝现存的安全隐患，同时节约网络成本。VPN防火墙产品在这里起到以下几个作用：1. 利用防火墙自带的VPN功能，通过比较经济的宽带线路，构建扩展企业虚拟专用网系统，实现总部、门店、供应商的安全互联。虚拟专用网技术（VPN，Virtual Private Network）是指在公共网络中建立专用网络，数据通过安全的“加密通道”在公共网络中传播。企业只需要连接上Internet，就可以在各个企业间构建VPN网络，那么各地的机构就可以互相传递信息。使用VPN有节约成本、扩展性强、便于管理和实现全面控制等好处。在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的，是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。在总部部署VPN防火墙，在门店安装VPN客户端，实现远程访问虚拟网（Access VPN），整个构成一个安全的扩展企业虚拟专用网，保障业务信息在网络上的安全传输。VPN产品由于采用了先进的NP技术，可以实现对VPN数据包的过滤，保证了VPN用户只能访问内部网络的指定服务，从而更好地保障了企业内部网络的安全性。产品的VPN模块，采用先进的硬件加速技术，不会成为应用瓶颈。2. 在总部网络出口处安装防火墙。防火墙在这里首先起到网络隔离、划分不同安全域，进行访问控制的功能。通过防火墙的多网口结构设计，控制授权合法用户可以访问到授权服务，而限制非授权的访问。同时防火墙自带的认证功能，可以实现内部用户认证，同时可以结合用户原有的域用户认证或者radius认证，实现用户级的访问控制。同时VPN防火墙功能，可以实现状态检测的包过滤功能，抵御来自网络的入侵。3. 防火墙自带的入侵检测功能采用了基于模式匹配的入侵检测系统，超越了传统防火墙中的基于统计异常的入侵检测功能，实现了可扩展的攻击检测库，真正实现了抵御目前已知的各种攻击方法，并通过升级入侵检测库的方法，不断抵御新的攻击方法。防火墙的入侵检测模块，可以自动检测网络数据流中潜在的入侵、攻击和滥用方式，并与防火墙模块实现联动，自动调整控制规则，为整个网络提供动态的网络保护。4. 利用防火墙的URL过滤功能，限制内部用户访问一些不良站点，或者限制内部用户滥用网络资源，下载大量与工作无关的数据，可以对常见的色情、暴力、政治、游戏、证券类的网页进行阻挡，降低网络滥用的风险。本方案的特点在于：根据连锁超市的实际需要，结合其网络应用，利用宽带技术，实现经济安全的VPN互联。并且充分利用了防火墙的各功能模块，实现了各功能模块（防火墙模块、VPN模块、入侵检测模块）的协同工作，在保证网络互通的情况下，以比较经济实惠的方式，充分实现了对整个网络的动态防护。3.2. 备份容灾随着超市业务的不断发展，进销存管理系统的存储信息量不断增长，数据备份变的越来越重要。因而，如何保护好进销存管理系统里存储的数据，是系统建设中最重要的问题之一。3.2.1. 本地备份SQL Server数据库系统本身提供了完全备份、差异备份、事务日志备份以及文件和文件组备份等几种备份方式，在实际生产环境中，我们建议采用数据库完整备份与差异备份相结合的方式，利用SQL Server的维护计划来设置备份计划，做到整个备份过程的全自动化。具体规划如下：星期日星期一至星期六备份类型完整差异+事务日志备份时间0:000:00备份内容当天的整个数据库最后一次完整备份后的差异备份及事务日志备份备份地点本地硬盘或移动硬盘或U盘3.2.2. 异地备份仅有本地备份是不够的，为了保证数据的安全性，需要在异地构建一台服务器，用于数据备份，因为进销存管理系统采用的是SQL Server数据库，我们可以用数据库的事务日志复制功能对整个数据库进行远程复制。如上图所示，在异地安装一台与进销存管理系统里版本完全一致的SQL Server服务器，通过VPN网络连接至总部内部局域网，在进销存管理服务器上启用SQL数据库的事务日志复制功能，将整个数据库通过网络远程复制到备份服务器上。当总部服务器出现故障时，可以将备份服务器上的数据库恢复到本地使用。3.2.3. 双机热备（可选）为了保证进销存管理系统的高可用性，我们建议采用两台服务器和一台共享存储构建双机热备系统。所谓双机热备份就是一台主机为工作机(Primary Server)，另一台主机为备份机(Standby Server),在系统正常情况下，工作机为信息系统提供支持，备份机监视工作机的运行情况(工作机也同时监视备份机是否正常，有时备份机因某种原因出现异常，工作机可尽早通知系统管理工作人员解决,确保下一次切换的可靠性)。当工作机出现异常，不能支持信息系统运营时，备份机主动接管(Take Over)工作机的工作，继续支持信息的运营，从而保证信息系统能够不间断地运行(Non-Stop)。当工作机经过维修恢复正常后，它会将其先前的工作自动抓回，恢复以前正常时的工作状态。如上图所示，两台服务器通过FC HBA卡及FC光纤与磁盘阵列连接，进行数据传输；两台服务器通过专用网络接口连接，用于系统进行“心跳侦测”；两台服务器通过网卡及网线与网络连接，进行数据传输与故障服务器的切换；服务器本地硬盘上安装相应的操作系统及相应的应用，用户数据放在共享磁盘阵列上。整个系统由两台服务器和一台磁盘阵列构成双机热备份模式，双台服务器互为备份，当一台服务器出现问题停机时，另一台服务器能实时接管中断的工作，保证业务系统的正常运行。磁盘阵列具有热插拔功能，具可以灵活组成RAID 模式，当一块硬盘损坏，数据可以恢复，保证数据不丢失。4. 设备清单序号名称型号数量备注1管理主服务器ThinkServer RD64012管理从服务器ThinkServer RD64013HBA卡NS8GOLC0024磁盘阵列S2200T15异地备份服务器另定，可以低端点16VPN防火墙200用户 VPN安全网关17千兆交换机S5700-28P-LI-AC18其它