企业网络改造项目规划方案.docx

《企业网络改造项目规划方案.docx》由会员分享，可在线阅读，更多相关《企业网络改造项目规划方案.docx（34页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、企业网络改造规划方案2021年8月目录第1章.工程概述21.1.工程背景21.2.工程建立需求21.3.建立目标3第2章.系统规划要求42.1.高可靠要求42.2.高性能要求42.3.易管理性要求42.4.平安性要求42.5.可扩展性要求52.6.实用性和先进性要求52.7.经济性要求5第3章.系统总体设计6第4章.根底平台详细规划94.1.网络系统94.1.1.系统设计目标94.1.2.系统设计原那么94.1.3.整体网络规划94.1.4.分区设计详解114.1.5.网络协议设计164.1.6.设备选型建议214.2.平安系统224.2.1.系统设计目标224.2.2.系统设计原那么224.

2、2.3.平安体系构造234.2.4.子系统规划254.2.5.设备选型建议29第1章. 工程概述1.1. 工程背景随着*公司信息技术开展，作为信息载体的网络系统存在问题日益严重：网络负载加大、网络带宽缺乏、网络平安问题严重、应用系统的增加，多网融合的需求迫切、网络终端不受控等。这就需要对现有网络系统进展改造，以满足*公司信息技术开展的需求。1.2. 工程建立需求 在利用*公司现有网络资源的根底上加以改造，改造后的网络需要满足以下需求：1、 根据用户对业务系统的访问要求，将现有各个业务子网在网络核心层面进展整合，以到达单个用户可以访问不同子网的资源，并通过一定的平安策略，确保各个子网之间的数据与

3、业务平安。2、 优化现有网络规模，设立网络会聚节点，最终形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的会聚点，覆盖全公司、部门、车间的生产区域。3、 实现整个公司网络架构分等级平安管理。4、 建立构造化网络平安系统，所有用户通过认证方式接入公司网络，访问自己对应的网络资源或系统。5、 实现网络终端受控，重要岗位终端行为管理，保证终端标准化操作。 6、 实现效劳器及存储资源的有效利用，建立核心效劳器区域的平安防护提高运行能力。将现有主要效劳器，如产销系统、新老线MES系统、设备管理系统、远程计量、人事、原料采购、调度、质量等效劳器集中统一管理。7、 实现L2系

4、统在网络中的隔离，保证L2系统平安稳定运行。1.3. 建立目标此次网络改造规划方案主要包括：网络系统，平安系统的建立。各个系统的功能概述如下：1) 网络系统：尽量利用现有的网络接入条件与机房环境条件，对现有网络系统进展全面改造升级，实现生产网、宽带网、设备网之间的融合接入，简化网络逻辑架构。2) 平安系统：根据网络总体架构与平安需求，设计部署平安防御体系包括网络层、系统层、应用层等各层次，各业务系统的平安防范与效劳体系，并实现集中的平安管理。第2章. 系统规划要求系统规划要求如下： 2.1. 高可靠要求为保证业务系统不连续正常运行，整个系统应有足够的冗余，设备发生故障时能以热备份、热切换与热插

5、拔的方式在最短时间内加以修复。可靠性还应充分考虑系统的性价比，使整个网络具有一定的容错能力，减少单点故障，网络核心与重点单元设备支持双机备份。2.2. 高性能要求核心网络提供可保证的效劳质量与充足的带宽，以适应大量数据传输包括多媒体信息的传输。整个系统在国内三到五年内保持领先的水平，并具有长足的开展能力，以适应未来网络技术的开展。2.3. 易管理性要求考虑到系统建立后期的维护与管理的需要，在方案设计中充分考虑各个设备与系统的可管理性，并可以满足用户个性化管理定制的需要。网站各系统易于管理，易于维护，操作简单，易学，易用，便于进展配置与发现故障。2.4. 平安性要求对于内部网络以及外部访问的平安

6、必须高度重视，设计部署可靠的系统平安解决方案，防止平安隐患。设计采取防攻击、防篡改等技术措施。制定平安应急预案。管理与技术并重，全方位构建整个平安保障体系。2.5. 可扩展性要求对*信息化建立规划要长远考虑，不但满足当前需要，并在扩大模块后满足可预见需求，考虑本期系统应用与今后网络的开展，便于向更新技术的升级及衔接。留有扩大余量，包括端口数与带宽升级能力。2.6. 实用性与先进性要求系统建立首先要从系统的实用性角度出发，未来的信息传输都将依赖于数据网络系统，所以系统设计必须具有很强的实用性，满足不同用户信息效劳的实际需要，具有很高的性能价格比，能为多种应用系统提供强有力的支持平台。2.7. 经

7、济性要求本次系统建立中，要充分考虑原有系统资源的有效利用，发挥原有设备资源的价值。要本着以最少的建立本钱，最少的改造本钱，持续获得当期及未来建立的最大利益。第3章. 系统总体设计此方案设计将遵循先进性、实用性、可靠性、易管理性、平安性、扩展性、经济性的原那么，为实现*数据集中处理的方式，构建统一融合的网络系统，能支持全公司范围内的高可靠实时网络连接。依据*网络改造建立的需求，本次方案设计的网络平台系统的总体示意图如下：*网络改造总体拓扑图注：图中橙色字体的设备为此次新增设备。具体描述：1 网络系统设计1) 整体网络构造按照不同的平安级别，主要分为出口区域、DMZ区域、中心效劳器集群区域、核心交

8、换区域、生产网接入区域、能源网接入区域、远程计量网接入区域及其他网络接入区域。2) 作为整个网络的核心业务区域，采用两台高端核心交换机双机热备的方式，保证核心业务的正常开展。同时，依据业务的重要程度对全厂网络进展分区、并进展可靠平安隔离，防止重要程度较低的业务对重要程度高的核心业务造成影响。3) 生产网接入区域，主要以现有的生产网接入设备为主、另外融合了宽带网与设备网的接入设备。根据现有的网络构造及客户需求，设立新的网络会聚节点，形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的会聚点，覆盖全公司、部门、车间的生产区域。4) 上述七个会聚节点主要下联现有的生产网

9、接入设备，同时，将原宽带网与设备网的接入设备融入，构建统一的网络接入平台，不再重复建网。新的网络平台融合了，生产网的数据访问与外网互联的需求，使用同一终端即可实现内外网同时访问的功能。5) 规划统一的中心效劳器集群区域，将现有生产网、设备管理系统、人事系统中运行的效劳器，划到同一逻辑区域。考虑到新的核心交换的高性能，将所有的效劳器直接接到核心交换，通过核心区域的平安设备来保证访问平安。使全厂的所有客户终端都通过核心交换来对各个业务系统进展统一访问。6) 设计新的互联网出口区域，设置出口防火墙、上网行为管理、负载均衡等平安设备，保证全厂用户的上网平安。原有生活区用户不再与办公区使用同一出口上网，

10、生活区用户使用单独的出口设备连接互联网。7) 构建DMZ 区域，将、MAIL等需要同时效劳内外网用户的效劳器放到该区域，设置VPN、负载均衡等设备保证效劳平安。8) 能源网与远程计量网由于是独立运行的物理网络，不在此次网络改在的范围。但此次我们新增的核心交换，在性能、稳定性、处理能力方面，均有能力负载未来其他多个网络的融合。2 平安系统设计本次*网络改造工程建立将考虑如何建立多层次、纵深防御系统。另外，要加强平安管理工作与平安应急工作。通过部署防火墙保证网络边界的平安，保证网络层的平安；部署入侵检测系统实现内网平安状态的实时监控；部署防病毒系统防止病毒入侵，保证主机的平安；部署网络监控系统对网

11、络进展监控；部署抗攻击系统抵御来自外界Internet的DoS/DDoS攻击；部署漏洞扫描系统对系统主机、网络设备的脆弱性进展分析；部署时钟系统使系统的时钟同步；部署单点登录系统方便用户在多个系统间自由穿梭，不必重复输入用户名与密码来确定身份；部署统一认证系统对不同的应用系统进展统一的用户认证，通过统一的用户认证平台提供一个单一的用户登陆入口；部署平安管理平台实现系统内平安事件的统一管理。我们要通过相应的平安技术建立一套包含物理层、网络层、主机层、应用层与管理层等多个方面的完整网络平安体系。第4章. 根底平台详细规划4.1. 网络系统4.1.1. 系统设计目标网络系统建立的总体目标，是要建立统

12、一融合的、覆盖全公司范围内的、高速高可靠的网络平台，以支持数据集中处理的运行模式。4.1.2. 系统设计原那么网络系统包括四大局部，一是出口区域，实现公司用户的上网需求；二是效劳器区域，对*现有业务系统的主机存储进展统一管理；三是核心交换区域，实现全公司所有功能区域的互联互通；四是二级接入区域，对整个网络现状进展重新规划，形成新的会聚节点，将生产网、宽带网、设备管理、人事系统统一融合到新的管理网络中，实现单一终端对所有业务系统的统一访问。网络系统有良好的扩展性，保证网络在建立开展过程中业务与系统规模能够不断地扩大。网络线路及核心、关键设备有冗余设计。核心设备与关键设备保证高性能、高可靠性、大数

13、据吞吐能力。网络系统的设计充分考虑系统的平安性。4.1.3. 整体网络规划按照构造化、模块化的设计原那么，实现高可用、易扩展、易管理的建立目标。网络整体拓扑如下列图所示：注：图中橙色字体的设备为此次新增设备。按照“模块化设计原那么，需要对*整体网络构造进展分区设计。根据*公司业务情况，各区域业务系统部署描述如下：核心交换区：此区域用于实现各分区之间的数据交互，是数据中心网络平台的核心枢纽。出口区域：互联网出口，公司员上网，对外发布公司信息，承载电子商务等业务系统。中心效劳器区：此区域部署核心业务效劳器，包括MES、OA、人事、平安管理等应用系统。网络会聚区：实现公司办公楼、各分厂等会聚网络接入

14、，二级单位可以通过该接入区域实现对业务系统的访问。接入交换区：全厂接入设备连接区域，该区域用于连接终端用户与公司核心交换网络，是网络中最广泛的网络设备。4.1.4. 分区设计详解4.1.4.1. 核心交换区设计此次网络改造，建议新增两台高性能的核心交换机作为*的网络核心。核心层作为整个*网络的核心处理层，连接各分布层设备与*核心效劳器区，核心层应采用两台高性能的三层交换机采用互为冗余备份的方式实现网络核心的高速数据交换机，同时，两台核心设备及分布层各设备连接，保证每台分布层设备分别及两台核心层设备具有网络连接，通过链路的冗余与设备冗余的设计，保证整个核心层的高可靠性。两台核心设备之间应至少保证

15、2Gbps全双工的速率要求，并能平滑升级到10Gbps。核心区是整个平台的枢纽。因此，可靠性是衡量核心交换区设计的关键指标。否那么，一旦核心模块出现异常而不能及时恢复的话，会造成整个平台业务的长时间中断，影响巨大。4.1.4.2. 互联网出口区设计*及外网的出口区域，目前是通过建立独立的宽带网，实现办公区与生活区通过统一出口访问外网的。在此次网络改造中，我们方案把生活区上网及办公区上网隔离开，通过不同的出口访问外网。改造后的生活区网络拓扑结果如下列图所示：如上图所示，此次生活区的网络改造会增加新的防火墙与负载均衡设备，作为生活区的网络平安管理设备，通过单独的出口设备连接到互联网。改在后的厂区互

16、联网出口区域，如下列图所示：如上图所示，工作区的网络改造同样会增加新的防火墙与负载均衡设备，以及上网行为管理等平安设备，作为生活区的网络平安管理设备，通过单独的出口设备之间连接到互联网。出口区域除了网络出口设备外，还包括一个DMZ区域，用于将、MAIL等，需要同时效劳内、外网用户的效劳器放到该区域，4.1.4.3. 中心效劳器区设计规划统一的中心效劳器集群区域，将现有生产网、设备管理系统、人事系统中运行的效劳器，划到同一逻辑区域。该区域物理上为一个区域接入到核心，而逻辑上可以再划分为多个业务应用区，根据业务属性的不同可以划分为生产效劳器区如ERP等、办公效劳器区如OA等、管理效劳器区如IT运维

17、、管理等系统等。考虑到新的核心交换的高性能，将所有的效劳器直接接到核心交换，通过核心区域的平安设备来保证访问平安。使全厂的所有客户终端都通过核心交换来对各个业务系统进展统一访问。4.1.4.4. 网络会聚区设计网络会聚区域，根据现有的网络构造及客户需求，设立新的网络会聚节点，形成以销售部、自动化部自动化车间、轧钢总降、一炼、二炼、一轧、二轧等七个部位为主的会聚点，覆盖全公司、部门、车间的生产区域。该区域的网络设备主要以现有的生产网会聚设备为主、另外融合了宽带网与设备网的会聚设备，同时考虑现有会聚设备性能不能满足需求的情况，新增高新能的会聚设备。会聚层设备通过双链路的方式及核心层两台核心交换设备

18、相连，同时，为保障网络的强健性，以及便于各个分厂区之间数据交互，各个分厂区的会聚交换机之间也有线路直连。各会聚节点及核心层的连接，应全部采用1000Mbps或1000Mbps以上的连接方式，分布层设备实现本区域内的各Vlan的路由处理与平安限制。4.1.4.5. 接入层局部网络会聚节点主要下联现有的生产网接入设备，同时，将原宽带网与设备网的接入设备融入，构建统一的网络接入平台，不再重复建网。新的网络平台融合了，生产网的数据访问与外网互联的需求，使用同一终端即可实现内外网同时访问的功能。接入层设备及分布层设备通过1000M光纤或双绞线的方式连接，在用户量较少的分节点可以采用100M上联方式，及各

19、终端用户连接一般采用100M或者1000M双绞线的方式。生产网中其他办公楼及分厂区的网络接入，通过自动化车间与轧钢总降等会聚节点，接入到新的数据网络中。各个分厂区的网络接入情况如下列图所示：自动化车间会聚网络拓扑图轧钢总降会聚网络拓扑图4.1.5. 网络协议设计4.1.5.1. IP地址与VLAN规划IP地址是网络设计工作中重要的一环，使用IP地址不当会造成路由表庞大、难以部署平安控制、地址重叠问题、地址空间耗尽等问题，会给网络运行带来很大麻烦。为了让*网络建立工程顺利进展，我们建议*网络采用以下IP地址规划原那么进展适当改良：1、 为公司各个二级单位、应用业务、数据中心采用统一规划，统一分配

20、，统一管理的地址设计原那么，防止重叠地址的出现。设定专门流程与人员对全公司网络地址进展记录与权限管理。2、 尽可能采用私有地址进展IP地址分配。私有地址就是我们熟知的三类网络地址，分别是A类网中的10.0.0.010.255.255.255范围，B类网中的172.16.0.0172.31.255.255范围，C类网中的192.168.0.0192.168.255.255范围。3、 整网地址规划思路可按照以下方法设计，如10.X.Y.Z，X为不同厂区进展标示，Y为该厂区内不同业务或应用进展标示，Z为主机地址位。4个网络可以会聚成10.254.128.0/22。在定义测试区平安策略时，不用将4个网

21、段同时定义成ACL，使用一条ACL就可以包括全部网络。4、 使用可变长掩码规划网络地址，根据IP地址使用对象的特点，部署不同长度子网掩码。例如，应用网段的IP地址，可以采用C类网地址，掩码为24位；区域设备之间的互连地址可以采用29位掩码。5、 不同主机实际网关IP地址及HSRP使用的IP地址应该在整个数据中心统一，使用一样的方式配置，例如：整个厂区均采用X.X.X.1作为主机实际网关IP地址，HSRP采用X.X.X.254为HSRP网关地址。6、 网络互连地址采用IP地址网段的头两个可用地址，核心侧设备接口配置奇数地址，边缘侧设备接口配置偶数地址。例如，设备A及设备B互连，采用10.254.

22、254.0/29网段为互连地址，该网段头两个可用地址为10.254.254.1与10.254.254.2，设备A为核心设备，配置奇数地址10.254.254.1，设备B为边缘设备，配置偶数地址10.254.254.2。7、 网络设备配置环回地址32位掩码地址，用于网络管理与日志管理。VLAN主要用于将局域网环境划分为多个逻辑网络，从而降低播送风带来的影响，也可提高网络可管理性与平安性。建议在此次网络建立中可按照以下原那么对新建VLAN及原有VLAN进展适当调整与修改。1、 VLAN ID的规划可按照应用业务、工作部门、厂区位置等方法定义，这里建议按照原有网络规划方法进展。2、 VLAN ID可

23、以是2-4096任意数字，为了方便标示与管理，建议ID及IP网段地址相关联。如10.18.10.0/24 VLAN10; 10.18.20.0/24VLAN20; 10.18.30.0/24VLAN30等。3、 VLAN规划防止重复，全网VLAN静态手动分配在根交换机，统一管理与记录。4.1.5.2. 动态路由协议对一个大网络来说，选择一个适宜的路由协议是非常重要的，不恰当的选择有时对网络是致命的，路由协议对网络的稳定高效运行、网络在拓朴变化时的快速收敛、网络带宽的充分有效利用、网络在故障时的快速恢复、网络的灵活扩展都有很重要的影响。目前存在的路由协议有：RIP(v1&v2)、OSPF、IGR

24、P、EIGRP、IS-IS、BGP等，根据路由算法的性质，它们可分为两类：距离矢量(DistanceVector)协议(RIP/IGRP/EIGRP)与连接状态(LinkState)协议(OSPF/IS-IS)。可用于大规模的网络同时又基于标准的IGP的路由协议有OSPF与IS-IS。两种路由协议均是基于链路状态计算的最短路径路由协议；采用同一种最短路径算法Dijkstra。 考虑到产品对OSPF与IS-IS的支持的成熟性以及OSPF与IS-IS工程经历，建议采用OSPF做为*网络的主用动态路由协议。作为链路状态协议，OSPF的特征如下：l 通过维护一个链路状态数据库，使用基于Dijkstra

25、的SPF路由算法。l 使用Hello包来建立与维护路由器之间的邻接关系。l 使用域area来建立两个层次的网络拓扑。l 具有域间路由聚合的能力。l 无类classless协议。l 通过选举指派路由器Designed Router来代替网络播送。l 具有认证的能力。OSPF是一套链路状态路由协议，路由选择的变化基于网络中路由器物理连接的状态及速度，变化被立即播送到网络中的每一个路由器。每个路由器计算到网络的每一目标的一条路径，创立以它为根的路由拓扑构造树，其中包含了形成路由表根底的最短路径优先树SPF树。下列图是OSPF分Area的状态。OSPF Area的分界处在路由器上，如下图，一些接口在一

26、个Area内，一些接口在其它Area内，当一个OSPF路由器的接口分布在多个Area内时，这个路由器就被称为边界路由器ABR。每个路由器仅及它们自己区域内的其它路由器交换LSA。Area0被作为主干区域，所有区域必须及Area0相邻接。在ABR区域边界路由器，Area Border Router上定义了两个区域之间的边界。ABR及Area0与另一个非主干区域至少分别有一个接口。OSPF允许自治系统中的路由按照虚拟拓扑构造配置，而不需要按照物理互连构造配置。不同区域可以利用虚拟链路连接。 允许在无IP情况下，使用点到点链路，节省IP空间。OSPF是一个高效而复杂的协议，路由器运行OSPF需要占用

27、更多CPU资源。下面从层次能力、稳定性、扩展性与可管理性四个方面对OSPF进展介绍： 层次能力通过 areas支持层次化边界在router 内链路状态数据库LSDB来自网络或路由器LSA 尺寸 64 KB to 5000 条链路的限制 稳定性依靠路由设计与实现大型网络中使用呈现增强的趋势 扩展性使用扩展 TLV 编码策略新扩展需开发时间 管理性企业网中大范围使用可借鉴经历较多此次网络建立工程，我们建议在各个区域之间开场部署OSPF动态路由协议。因为接入交换机多数为二层交换机，无法一次实现路由到用户边界的改造，所以此次仅将各个区域的核心交换开启路由进程，今后可逐步实现全网的路由建立。各个区域在本

28、次设计中都部署高性能三层交换机，这些交换机需具备完整的路由支持功能。区域间核心设备组建OSPF协议的骨干area，未来在大范围部署动态路由协议时，可考虑将各个厂区划分为area1，area2等等，可以充分做到基于area的路由汇总与控制。互联网区域可按照需要，适当采用静态路由的方式完成园区网及外网的连通。未来可逐渐增加路由的范围，逐步演变为路由到用户边界的形式。4.1.6. 设备选型建议4.1.6.1. 华为产品选型方案产品类型选型建议配置描述数量备注核心交换机华为 S12808背板带宽：32Tbps；包转发率：9600Mpps；8个业务槽位；支持基于Layer2、Layer3、Layer4优

29、先级等的组合流分类支；电源功率：10800W；2华为 S93061生活区宽带网核心交换机会聚交换机华为 S632424个GE SFP/10 GE SFP+端口,双电源槽位,含USB接口，交流供电；转发性能:715 M；交换容量:960 G；2华为 S532420个10/100/1000Base-T，4个千兆Combo口分交流供电与直流供电两种机型, 支持RPS 12V冗余电源，支持USB口,交换容量48G144.1.6.2. 华三产品选型方案产品类型选型建议配置描述数量备注核心交换机H3C S12508机箱，主控板，8端口万兆光口板，48端口千兆电口板，流量分析业务板，冗余电源2H3C S10

30、508机箱，主控引擎，48口千兆电口板，48口千兆光口板，4端口万兆光口板，防火墙业务板，冗余电源1生活区宽带网核心交换机会聚交换机H3C S7506E机箱，双Salience VI引擎，2*24口千兆电口板，12口千兆光口板，冗余电源2H3C S5500H3C S5500-52C-EI-以太网交换机主机(48GE+4SFP Combo+2Slots)，4个单模SFP模块144.2. 平安系统4.2.1. 系统设计目标本次*网络改造工程建立目标是通过建立完善的平安体系，在网络平安，主机平安与应用平安三个层面上，搭建一套立体的平安架构。这样可以实现抵御各个层面的攻击，防止病毒入侵等功能。同时进展

31、主机的风险评估与平安加固效劳，提前屏蔽漏洞风险。并通过平安管理平台实现平安审计功能，做到事件追踪。4.2.2. 系统设计原那么4.2.2.1. 整体性原那么建立*平安系统时应充分考虑各个层面的因素，总体规划各个出入口网关的平安策略。本次*网络改造工程充分考虑各个环节，包括设备、软件、数据等，它们在网络平安设计中是非常重要的。只有从系统整体的角度去对待与分析才可能得到有效，可行的措施。4.2.2.2. 适应性及灵活性原那么随着互联网技术的高速开展，对网络平安策略的需求会不断变化，所以本次部署的平安策略必须能够随着网络等系统性能及平安需求的变化而变化，要做到容易适应、容易修改。4.2.2.3. 一

32、致性原那么一致性原那么只要指平安策略的部署应及其他系统的实施工作同时进展，方案的整体平安架构要及网络平台构造相结合。平安系统的设计思想应该贯穿在整个网络平台设计中，表达整体平台的一致平安性。4.2.2.4. 需求、风险、代价平衡的原那么对网络要进展实际的研究包括任务、性能、构造、可靠性、可维护性等，并对网络面临的威胁及可能承当的风险以及付出的代价进展定性及定量相结合的分析，然后制定标准与措施，确定系统的平安策略。4.2.2.5. 易操作性原那么平安措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了平安性；同时措施的采用不能影响系统的正常运行。4.2.2.6. 多重保护原那么本次*

33、平安系统要建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的平安。4.2.2.7. 经济性原那么在满足*系统平安需求的前提下，选用经济实用的软硬件设备，以便节省投资，即选用高性能价格比的设备；同时，应该充分挖掘现有系统软硬件设备的使用潜力，尽可能以最低本钱来完成平安系统建立。4.2.3. 平安体系构造*网络系统平安区域划分示意图如下：*网络系统平安区域划分如上图所示，*网络系统划分为多个平安区域，分别为：出口区域、DMZ区域、管理网接入区域、中心效劳器区域与核心交换区。其中，出口区域与DMZ区域设备可访问Internet，局部设备也可由Internet访问，但

34、均不可由公网直接路由到，平安级别为中；管理网接入求负责公司二级接入网络同中心效劳器及出口区域的数据交互，平安级别为高；中心效劳器区域设备为*核心数据，在公网不可以访问，内网用户只能经授权后访问特定效劳，平安级别最高。接入层的平安级别如上图所示：管理网中，可以上外网的Internet接入终端的平安级别低；只能访问管理网业务系统的接入终端，平安级别较高。4.2.4. 子系统规划4.2.4.1. 网络隔离系统1. 出口防火墙通过部署两台千兆出口防火墙实现Internet及*内网的隔离。两台防火墙一主一备，提高出口可靠性。出口防火墙划分的内外网之间的访问策略为：内网到公网根本不做限制，主要是考虑到内网

35、的上网终端上网需求，另有些设备需要到公网升级；公网到备内网只针对DMZ区域开放相应端口如80。部署在出口区域的设备如有与内网核心效劳器通讯的需求，在出口防火墙上对这些需求翻开相应的IP与端口。2. 内网防火墙通过内网防火墙实现核心内网区域之间的隔离。由于数据流较大，两台防火墙采用双活方式工作，不同业务的数据流分别通过不同的防火墙，实现数据流的动态分担。实现平安的同时兼顾传输效率。部署内网防火墙后，要针对业务的情况制订特定的访问策略，策略制定完成后只开放特定主机的IP及效劳端口，其他访问一律制止。4.2.4.2. 入侵检测系统*网络系统需在网络的关键位置部署入侵防御系统IPS。建议在网络前端核心

36、设备部署两台IPS设备。可监控内网及公网之间的数据交互、公网对DMZ区域的访问数据、监控接入/DMZ区域终端对核心内网的数据交互。4.2.4.3. 漏洞扫描系统为了防止网站被黑客入侵，需要在网络系统中部署漏洞扫描系统，通过漏洞扫瞄系统可以定期对网络系统进展平安性分析，发现并修正存在的弱点与漏洞。漏洞扫瞄系统是管理员监控网络通信数据流、发现网络漏洞并解决问题的有力工具。针对本系统的网络设计，我们将漏洞扫瞄系统部署在核心内网管理区域，使漏洞扫描系统能够尽量不受限制的对待评估系统进展访问。漏洞扫描系统部署后，将会对*的各个业务系统以及平安系统设备进展扫描，根据扫描评估结果可以及时发现系统漏洞并及时采

37、取措施。4.2.4.4. 安管平台系统平安管理审计工作作为平安体系的重要组成局部，需要部署平安管理平台系统。其中平安管理平台效劳器部署在*核心内网管理区域，由防火墙提供保护，外网用户不允许访问该效劳器。被管对象与平安管理平台效劳器有数据传输，它们之间要路由可达。本次平安管理平台需要管理重要效劳器与所有平安设备，收集日志后并做出分析，分出告警级别。也可以通过声光电或邮件、短信等方式报警，及时提醒管理员。4.2.4.5. 防病毒系统防病毒系统的建立首先要依据本次系统设计的总体构造，从网络中业务系统的模式与主要可能感染病毒的系统与区域进展设计与考虑。通过分析*网络系统的特点，可以总结病毒感染的途径如

38、下：l 局部效劳器如windows平台容易受到病毒攻击；l 公司内部员工假设有访问互联网的权限，那么可能感染网络病毒，并通过HTTP、FTP等流量把病毒与恶意的移动代码带入网站；l 通过U盘传播病毒；l 各种蠕虫病毒主动地通过网络传播。从以上的分析入手，本系统的病毒防范工作必须从病毒防护的主体着手，根据他们之间的访问关系施加防护及病毒监控。本次方案防病毒系统采用防病毒网关及网络防病毒系统相互结合的方式，建立完整的防病毒体系。其中防病毒网关效劳可集成在出口防火墙上，在内网部署网络防病毒系统，实现对系统中的关键效劳器以及内部终端进展病毒防护，严防病毒感染关键效劳器以及终端后造成业务系统受病毒影响。

39、4.2.4.6. 统一用户/身份管理用户是IT系统中各类活动的实体，如人、组织、虚拟团队等。用户管理是指在IT系统中对用户与权限的控制，包括了身份管理、用户授权、用户认证等，身份管理是根底，用户授权与认证是之上的效劳。身份是一个实体区别于其它实体的特性，IT系统中的身份通常指一个人在信息系统中的抽象，也可以是硬件、组织等实体的抽象，是属于一个特定的实体的属性的集合。身份属性具有一些特点：往往是较短的数据元素如名称、邮件、 、照片、数字证书等。身份管理就是产生与维护身份属性的过程，也是管理不同实体之间关系的能力。身份管理Identity Management是用户管理(User Administ

40、ration)的一局部。统一用户管理UUM就是对不同的应用系统进展统一的用户认证，通过统一的用户认证平台提供一个单一的用户登陆入口。用户在操作系统域登陆时经过统一用户管理平台认证，就具备了使用相关应用的权利。同时统一用户管理平台还提供对长时间无应用操作的超时重认证功能，更加可靠的保证平安。统一用户管理为用户提供多种登陆手段，包括传统的口令登陆以及平安性能更高的CA、USB Key等，使用户在使用统一身份认证平台上有更灵活的选择。在认证手段上，统一用户管理提供支持LDAP/AD协议的认证中心管理，支持多种认证中心认证，保证用户信息的平安、可靠。4.2.4.7. 单点登录单点登录SSO，Singl

41、e Sign-on是一种方便用户访问多个系统的技术，用户只需在登录时进展一次注册，就可以在多个系统间自由穿梭，不必重复输入用户名与密码来确定身份。单点登录的实质就是平安上下文Security Context或凭证Credential在多个应用系统之间的传递或共享。当用户登录系统时，客户端软件根据用户的凭证例如用户名与密码为用户建立一个平安上下文，平安上下文包含用于验证用户的平安信息，系统用这个平安上下文与平安策略来判断用户是否具有访问系统资源的权限。目前业界已有很多产品支持SSO，但各家SSO产品的实现方式也不尽一样。如通过Cookie记录认证信息，通过Session共享认证信息。Cookie

42、是一种客户端机制，它存储的内容主要包括：名字、值、过期时间、路径与域，路径及域合在一起就构成了Cookie的作用范围，因此用Cookie方式可实现SSO，但域名必须一样；Session是一种效劳器端机制，当客户端访问效劳器时，效劳器为客户端创立一个惟一的SessionID，以使在整个交互过程中始终保持状态，而交互的信息那么可由应用自行指定，因此用Session方式实现SSO，不能在多个浏览器之间实现单点登录，但却可以跨域。4.2.4.8. 上网行为管理系统针对内部上网的人员，一方面从平安角度考虑，需对网站资源进展筛选过滤，对非授权人员访问互联网，以及内部人员访问恶意站点等行为进展阻断；另一方面

43、从管理角度考虑，需对内部人员上网方式进展管理，使上网访问资源可控。针对这种需求，我们建议将上网行为管理设备部署在互联网出口处。对所有上网终端进展平安防护，实现对内网用户的上网行为进展管理、过滤与审计，可通过用户身份认证、上网时间管理、网页访问控制、IM管理、邮件管理、论坛管理、P2P管理、游戏管理等方式对上网行为进展限制与审计。4.2.4.9. 终端平安管理系统由于目前互联网平安问题突出，针对内部上网终端只有防病毒系统是远远不够的。需要对终端平安情况进展统一管理，包括硬件资产管理、补丁管理、软件管理、进程管理、平安软件管理等。对终端的平安情况进展加固前方允许接入网络，否那么不允许接入。提高整个

44、内部局域网的平安准入能力。4.2.4.10. 时钟系统由于对数据库的访问需要各业务系统保证时钟的统一，因此建议在网络中部署一台时钟效劳器，网络中其它设备通过NTP协议将自己的时钟及该效劳器上的时间信息进展同步，从而统一内网效劳器的时间。在为信息系统时钟系统进展设计时，充分考虑到时钟系统的可靠性及准确性，保证内网的时间是准确与稳定的。4.2.5. 设备选型建议产品选型信息如下表所示：序号产品名称选型建议配置描述数量1防火墙网御Power V-3220UTM或启明星辰2021D标准2U机箱，冗余电源，配4个10/100/1000MBase-T接口,可选配IPS、VPN与防病毒模块62入侵防御设备天

45、清入侵防御系统NIPS3060D包括NIPS3060D硬件平台一台，NIPS3060D千兆检测引擎软件一套，天清入侵防御系统NIPS数据中心软件一套，带一年的入侵防御特征库升级授权23链路负载均衡设备Array-3520-NAPV3520 NetVelocity Edition 链路负载均衡,12千兆电口+4千兆光口(SFP，LC，多模)，冗余电源44应用负载均衡设备般固BG-ADC-2000-L8个10/100/1000Mbps端口，4个可选千兆光纤端口，1个 Core 2 Duo 处理器，4GB内存，220V AC 冗余电源25时钟系统DNTS-82-OGGPS,双网口10/100M内置恒

46、温晶振,高精度保持,LCD,RS232/485,1pps,本地告警,机架式16漏洞扫描系统绿盟NSFOCUS RSAS X绿盟NSFOCUS RSAS X远程平安评估系统，硬件产品，支持256个IP扫描，三年效劳17统一认证与单点登录系统统一认证系统统一认证系统含50用户USBKey18安管平台系统启明星辰平安管理中心软件启明星辰平安管理中心软件，包含事件收集、事件监控、域及资产管理、风险管理、告警与预警、报表管理等模块，支持20台平安设备管理19防病毒系统瑞星企业专用版防病毒系统瑞星企业专用版防病毒系统，5个效劳器端，1个管理中心，25个客户端110上网行为管理系统深信服上网优化网关SG-6500-L包括上网加速、带宽管理、上网平安、上网认证、上网代理、访问控制、外发管理、审计、监控、报表211终端平安管理系统北信源或BTA终端平安管理系统终端平安管理软件，3000客户端1第 33 页