159_____A集团信息系统技术方案建议书(64页).doc

a 集团综合网络信息系统技术方案集团综合网络信息系统技术方案 建议书建议书 （硬件集成部分）（硬件集成部分） 2019 年年 7 月月 it 售前论坛售前论坛 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 1 页 第一章第一章 总则总则.4 1.1 关于本方案建议书4 1.2a 集团综合信息系统现状4 1.3a 集团综合信息系统建设目标.4 第二章第二章 建设原则建设原则.5 2.1 先进性.5 2.2 标准性.5 2.3 兼容性.6 2.4 可升级和可扩展性6 2.5 安全性.6 2.6 可靠性.6 2.7 易操作性.6 第三章第三章 网络系统方案网络系统方案7 3.1 广域网设计7 3.1.1需求分析.7 3.1.2广域网规划.8 3.1.3网络互连设计9 3.1.2.1 带宽分配9 3.1.2.2 qos 设计.10 3.1.2.3 网络设备选型12 3.1.2.4 网络部署12 3.1.2.5vpn 设计14 3.1.2.6 网络管理15 第四章第四章 网络安全方案网络安全方案16 4.1 安全设计.16 4.1.1防火墙技术.17 4.2.1.1 防火墙选型.17 4.2.1.2 技术细节17 4.2.1.3 防火墙部署.24 4.2.2入侵检测.24 4.2.2.1 入侵检测技术.25 4.2.3防病毒设计.27 4.2.4.1 产品选型30 4.2.4.2 防病毒部署.32 第五章第五章 主机方案主机方案36 5.1 主机选型原则36 5.2 小型机选型与设计37 5.2.1ibm p650介绍37 5.3 双机热备.43 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 2 页 5.3.1系统故障分析44 5.3.2 hacmp 功能及双机原理44 5.4pc 服务器选型.47 第六章第六章 工程管理与实施工程管理与实施47 6.1 工程督导.47 6.1.1 工作目标47 6.1.2内容.48 6.1.2.1 详细工程计划48 6.1.2.2 基于工程计划协调工程进展.48 6.1.2.3 工程管理.48 6.1.2.4 人力资源和设备资源的统一管理48 6.1.2.5 统一协调.49 6.1.3工程管理计划49 6.1.4工程协调会.49 6.2 工程实施进度一览表50 6.3 每一个具体工程阶段的详细描述.51 6.3.1开箱验收51 6.3.2安装环境验收51 6.3.3设备的现场安装51 6.3.3.1 硬件安装.51 6.3.3.2 软件安装.52 6.3.3.3 参数配置.52 6.3.3.4 现场故障维修52 6.3.3.5 网络升级的技术支持52 6.3.4单节点测试与验收.52 6.3.5系统初验和系统试运行53 6.3.6系统终验53 6.3.7在合同设备保修期内的技术支持54 6.3.7.1 技术支持概念54 6.3.7.2 技术人员的培养54 6.3.7.3 技术支持的构架54 6.3.7.4 灵活有效的技术支持通信环境55 6.3.7.5 有效的技术支持措施55 第七章第七章 网络培训计划网络培训计划56 7.1 培训规划.57 7.2 培训目的.57 7.3 培训方式.57 7.4 培训对象.58 7.5 培训教师.58 7.6 培训课程.58 7.6.1课程列表.58 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 3 页 第八章第八章 维护和支持维护和支持.61 8.1 服务的级别61 8.2 硬件支持服务.62 第九章第九章 结束语结束语63 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 4 页 第一章第一章 总则总则 1.1 关于本方案建议书关于本方案建议书 然而“功欲善其事，必先利其器” ，a 集团深刻认识到业务要发展、必须提 高企业内部核心竞争力、而建立一个方便快捷安全的通信网络综合信息支撑 系统，已迫在眉睫，a 公司作为一个致力于企业信息化和系统集成的高科技 公司非常荣幸参与 a 集团综合网络信息系统的建设，希望能尽自己的全力来 施展我们的专长来实现 a 集团网络信息系统的建设。 1.2a 集团综合信息系统现状集团综合信息系统现状 目前，a 集团尚未在全公司建立统一的企业信息管理系统，主要是在总公 司及七大区域性公司之间通过远程异步数据传动方式（modem 对拔）进行数 据采集和邮件传递，共有二十余个基于 lotus domino/notes4.6 开发的数据模块 在应用。 a 集团拟建的企业信息系统将是覆盖整个 a 集团的专业化网络信息管理系 统。该系统将建立一个统一的企业办公、协同运作及管理支撑综合平台，提高 办公效率、提高信息综合利用和提高企业管理水平，从而提高企业经济效益。 a 集团信息系统的建设最终将达到以下目标： (1)以先进成熟的计算机技术和建筑技术为主要手段，把 a 集团信息系统建 成一个覆盖全集团的包括综合办公和各专业管理系统在内的支撑建筑行业的辅 助管理系统，建立一个统一的企业办公及运作支撑综合平台，以提高办公效率 和企业管理水平，提高信息分析处理能力，从而提高企业经济效益。 (2)为 a 集团员工、客户、合作伙伴提供各种方便快捷的交流形式，提高服 务质量，增强 a 集团竞争力。 (3)加强知识管理，建立企业自身的知识库。 1.3a 集团综合信息系统建设目标集团综合信息系统建设目标 a集团信息系统主要提供电子邮件服务、日常办公管理、财务管理、行业 业务流程处理和知识管理功能。根据a集团目前发展状况，预计到2005 年底共 有上网员工约为1000名，2008年底约为2000名。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 5 页 a 集团综合信息系统建设，本着“实用、先进、升级简便、扩充性好、开放性 好”的五项基本原则进行。 根据公司的实际情况和具体的应用需求及行业的 特点，采用分期分阶段的实施。 在项目实施过程中，以少花钱多办事为原则， 每期的投资都应有继承性。 本期项目的目标是建立如下系统： （1）建立连通 a 集团内部各组织机构的网络平台； （2）建立一个安全、稳定、高效的网络运行空间； （3）建立通用办公系统及邮件系统； （4）建立财务管理系统； （5）内部网站、网络视频会议、bbs 交流协作环境的建设； （6）建立适合建筑行业的综合业务管理系统； （7）加强知识管理，建立企业自身的知识库； 本系统的建设能满足未来 5 年内的业务需求的升级， 第二章第二章 建设原则建设原则 多业务网络系统方案以实现以上功能为基本要求，在设计上力求做到既 要采用国际上先进的技术，又要保证系统的安全可靠性和实用性。具体来讲， 其设计遵循以下原则： 2.1 先进性先进性 系统的主机系统、网络平台、数据库系统、应用软件均应使用目前国际上 较先进、较成熟的技术，符合国际标准和规范； 2.2 标准性标准性 所采用技术的标准化，可以保证网络发展的一致性，增强网络的兼容性， 以达到网络的互连与开放。为确保将来不同厂家设备、不同应用、不同协议连 接，整个网络从设计、技术和设备的选择，必须支持国际标准的网络接口和协 议，以提供高度的开放性。 全面支持 ieee 工业标准： 802.1d，802.1p，802.1q，802.1x，802.3，802.3u，802.3z；支持路由协议：ip 的 rip v1/2，ospf，bgp-4；信令标准：h.323,rtp/crtp. 支持：ipsec、l2tp、gre、mpls-vpn 规范。 支持多址广播协议：igmp，dvmrp，pim-dm，pim-sm； 网络管理协议：snmp，rmon，rmon2； a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 6 页 2.3 兼容性兼容性 跟踪世界科技发展动态，网络规划与现有光纤传输网及将要改造的分配 网有良好的兼容，在采用先进技术的前提下，最大可能地保护已有投资，并能 在已有的网络上扩展多种业务。 2.4 可升级和可扩展性可升级和可扩展性 随着技术不断发展，新的标准和功能不断增加，网络设备必须可以通过网 络进行升级，以提供更先进、更多的功能。在网络建成后，随着应用和用户的 增加，核心骨干网络设备的交换能力和容量必须能作出线性的增长。设备应能 提供高端口密度、模块化的设计以及多种类接口、技术的选择，以方便未来更 灵活的扩展。 2.5 安全性安全性 由于系统和其它系统连接，因此，考虑系统的安全性是一个非常重要的方 面。应采用设有安全控制的网关设备相连，使用 vpn 技术和防火墙等。 2.6 可靠性可靠性 本系统是 7x24 小时连续运行系统，从硬件和软件两方面来保证系统的高 可靠性。 硬件可靠性 系统的主要部件采用冗余结构，如：传输方式的备份，提供备份组网结构； 主要的计算机设备（如数据库服务器） ，采用 cluster 技术,支持双机或多机 高可用结构；配备不间断电源等。 软件可靠性 充分考虑异常情况的处理，具有强的容错能力、错误恢复能力、错误记录 及预警能力并给用户以提示；并具有进程监控管理功能，保证各进程的可靠运 行数据库系统应。 网络结构稳定性 当增加/扩充应用子系统时，不影响网络的整体结构以及整体性能，对关 键的网络连接采用主备方式，已保证数据的传输的可靠性。 本系统应具有较强的容灾容错能力，具有完善的系统恢复和安全机制； 2.7 易操作性易操作性 提供中文方式的图形用户界面，简单易学，方便实用。 优良的性能价格比。 系统应着重考虑和满足以上的设计要求。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 7 页 第三章第三章 网络系统方案网络系统方案 该系统包括：36 个网络节点互连方案、线路备份、内部局域网的建设。 3.1 广域网设计广域网设计 目前 a 集团在全国有 36 处公司极其分支机构，可以分为 3 类：1 公司总 部（数量 1） 、2 区域性公司及本部（数量 7） 、3 分公司及事业部（数量 28） 。 3.1.1 需求分析需求分析 如下表在全国 a 集团有 36 个节点，其分布如下： 公司名称公司名称所属类别所属类别所在地所在地用户数用户数备注备注 集团总部总公司杭州100总部 a 一建区域性公司东阳50区域性公司 a 二建区域性公司杭州100区域性公司 a 三建区域性公司上海100区域性公司 a 四建区域性公司北京50区域性公司 a 五建区域性公司西安100区域性公司 a 六建区域性公司武汉50区域性公司 a 七建区域性公司广州50区域性公司 集团本部总公司东阳50同 a 一建共 金华分公司分公司金华隶属 a 一建 义东分公司分公司义乌隶属 a 一建 温州分公司分公司温州隶属 a 一建 衢州分公司分公司衢州隶属 a 一建 宁波分公司分公司宁波隶属 a 二建 嘉兴分公司分公司嘉兴隶属 a 二建 南京分公司分公司南京隶属 a 三建 合肥分公司分公司合肥隶属 a 三建 天津分公司分公司天津隶属 a 四建 内蒙分公司分公司呼和浩特隶属 a 四建 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 8 页 青海分公司分公司西宁隶属 a 五建 甘肃分公司分公司酒泉隶属 a 五建 湖南分公司分公司长沙隶属 a 六建 江西分公司分公司南昌隶属 a 六建 a 高级中学子公司东阳子公司 杭州天翔房产公 司 子公司杭州子公司 a 房产开发公司子公司东阳子公司 西安亚东房产公 司 子公司西安子公司 湖南天翔房产公 司 子公司长沙子公司 上海亚东房产公 司 子公司上海子公司 华天装饰有限公 司 子公司杭州子公司 安装工程有限公 司 子公司杭州子公司 海外工程事业部事业部北京隶属总公司 装饰事业部事业部杭州隶属总公司 房地产投资事业 部 事业部上海隶属总公司 交通工程事业部事业部杭州隶属总公司 项目部项目部分布各地在建项目约 500 个 3.1.2 广域网规划广域网规划 根据前面的需求分析,考虑到网络的收敛性,经济与安全等因素,我们建议采用 星型结构的拓扑,这样可以充分利用带宽资源,整个网络采用 3 级结构：一级节 点为：集团总部共 1 个，二级节点为：区域性公司及本部共 7 个，三级节点为 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 9 页 其他分公司及事业部共 28 个，广域网规划如下： 在相应的一级节点和二级节点相应的局域网内部署入侵检测和防火墙，来保证 系统的安全。 3.1.3 网络互连设计网络互连设计 根据网络互连的需求分析，以及广域网规划，我们建议从以下几个方面来 考虑网络的设计：带宽分配、qos 设计、路由设计、ip 地址分配、网络部署 等。 3.1.2.1 带宽分配带宽分配 为了支持 a 集团多业务系统的可持续发展，考虑的经济组网的原则，我们 来分析该集团目前和将来的业务属性、和业务逻辑等因素对网络链路的需求， 同时也是设备选型的一个依据。 a 集团目前有或将要有的业务有全公司的上网需求、财务系统、视频会议、 公司的办公自动化系统、建筑行业的综合业务管理系统、邮件系统、知识库系 统的建设等的建设。以上数据涉及到保密、实时流媒体等数据传输要求，我们 从链路选型、带宽计算两方面来确定所需的带宽。 链路选型： 目前比较常使用的数据链路业务可以是：ddn、fr、isdn： ddn 专线接入向用户提供的是永久性的数字连接，沿途不进行复杂的软件 处理，因此延时较短，避免了传统的分组网中传输协议复杂、传输时延长且不 固定的缺点；ddn 专线接入采用交叉连接装置，可根据用户需要，在约定的时 间内接通所需带宽的线路，信道容量的分配和接续均在计算机控制下进行，具 有极大的灵活性和可靠性，使用户可以开通各种信息业务，传输任何合适的信 息，因此，ddn 专线接入在多种接入方式中深受用户的青睐。 ddn 专线接入的主要优点： 能提供高性能的点到点通信。通信保密性强，特别适合金融、保险等保密性要 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 10 页 求高的客户需要； 传输质量高，网络时延小，通信速率可根据用户需要按 n64kbps 选择 ；信道固定分配，充分保证了通信的可靠性，保证用户的带宽不会受其他用户 的影响 ；用户通过这条高速的国际互联网通道，可构筑自己的 internet、e- mail 等应用系统 ；用户网络的整体接入使局域网内的 pc 均可共享互联网资 源； 用户可免费得到多个 internet 合法 ip 地址及域名 ；用户可实现每天 24 小时全天候的信息发布，即用户可建立自己的 web 站点，向国际互联网发布 自己的信息或提供信息服务 ；用户可通过防火墙等技术保护内部网络免受不 良侵害 。 本期 a 集团要实现的业务当中，有数据业务（邮件、公文流转、互联网、 内部系统、数据查询）和流媒体业务（视频会议等） 。 由于整个网络环境为 tcp/ip 框架下，对于数据业务这类非实时业务来讲， 网络自身可以实现数据重传恢复机制，对带宽的需求不是很大，而流媒体业务 这类实时业务来讲，必须具备两个因素才可以在 ip 环境下实现的比较好： （1）具备一定的带宽，达到理想的传输环境，理论上传输一路 mpeg 视频为 384k，如果采用双向视频会议必须具备大于 2*384=768k 的带宽。 （2）网络具 备一定的 qos 机制（关于 qos 在 qos 设计里详细介绍） 。 从一级节点到二级节点带宽一级节点到二级节点带宽计算如下（按两路视频会议和 2000 人上网计 算）： 二级节点平均分配的人数为：2000/7=286 人； 根据 gartner 统计数据分析，一个企业一般只有 10%-20%的人并发上网或 发邮件，我们按 15%计算，即： 二级节点并发上传或下载数据的人数为：286*15%=43 人； 一般 24k/秒的速度数据能确保 2 秒钟正常打开网页，即： 二级节点需要广域网链路基本带宽为：43*24k=1028k。 由于视频会议不是经常开，当视频会议必要是可以通过 qos 优先级别抢 占 1028k 带宽中的 768k。我们建议采用 1024k 带宽为一级节点到二级的节点 带宽，可以满足到未来 2008 年的需求。如果需要额外的视频带宽可以即使方 便的向电信申请，而不必更换网络设备的模块。 从一级节点到互联网带宽计算一级节点到互联网带宽计算如下：（2000 人上网计算）： 到 2008 年，上网人数将达到 2000 人，根据 gartner 统计数据分析，一个 企业一般只有 10%-20%的人并发上网或发邮件，我们按 15%计算，即： 二级节点并发上传或下载数据的人数为：2000*15%=300 人； 一般 24k/秒的速度数据能确保 2 秒钟正常打开网页，即： 二级节点需要广域网链路基本带宽为：300*24k=7200k。在 2008 年左右 可以申请 10m 电路，而不会添加用户端设备，完全满足需求，目前我们可以 考虑 2m 电路就可以满足了。 3.1.2.2 qos 设计设计 由于考虑到整个综合业务网络信息系统的可靠性和可用性，那么一个质量 保证的体系结构是必须具备的，这也是一个设备选型的必须考虑的地方， a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 11 页 要实现网络的稳定质量，最先考虑的就是什么业务对整个网络系统的服务 质量最关心，在这里最关键的就是视频会议和数据语音，这两种业务才是最关 心服务质量的，视频会议系统一般全面支持 h.323 和 t.120 标准来完成视频、 音频、数据的集中和转发。同样，在我们国家，像联通等语音电话采用的是 h.323 协议，当然也有像北电的基于软交换功能的语音系统，但是都是要求对 时间比较敏感的协议，如 udp，rtp，crtp 等，所以 qos 是一定要保证的， 除了数字线路的服务质量以外，就是要考虑接入服务器的 qos 功能了。 1先进先出（fifo） 先进先出提供了基本的存贮转发功能，也是目前 internet 使用最广泛的一种 方式，它在网络拥塞时存贮分组，在拥塞解除时按分组到达顺序转发分组。是 默认的排队方法，因此不需要配置。缺点是不提供 qos 功能，对突发数据流在 传输时间要求严格时，应用程序会引起过多的延迟，并对突发性的存在包丢失 的连接公平性较差，对上层的 tcp 快速恢复的效率也较低。 2优先级排队算法（priorityqueuing，pq） 优先级排队算法是禁止其它流量的前提下，授权一种类型的流量通过，使 用优先级排队给路由接口上传输的数据分配优先级，当有空闲路由时，路由就 来回扫描所有队列，将高优先队列数据发出，只有当高优先级队列空了以后， 才能为低优先级服务，如果优先级队列满，则扔掉数据包，路由器不处理，优 先级排队适用于网络链路不断阻塞的情况。 pq 的带宽分配独立于数据包大小。因此它在没有牺牲统计利用的情况下 提供另外的公平性，与端到端的拥塞控制机制可以较好的协同，它的缺点在于 实现起来很复杂，需要每个数据流的排队处理，每个流状态统计，数据包的分 类以及包调度的额外开销等。 3定制排队 定制排队是为允许具有不同最低带宽和延迟要求的应用程序共享网络而设 计的。定制排队为不同的协议分配不同的队列空间，并以循环方式处理队列。 为特定的协议分配较大的队列空间可以提高其优先级。定制排队比优先级更为 “公平”。在可能发生拥塞的地方使用定制排队可以提供保证的带宽。定制排 队可以保证为每一个特定的通信类型得到固定部分的可用带宽，同时在链路紧 张的情况下，避免数据包企图占用超出预分配量限制的可能。 4加权公平排队（weight fair queuing，wfq） 加权公平排队用于减少延迟变化，为数据流提供可预测的吞吐量和响 应时间。目标是为轻载网络用户和重载网络用户提供公平一致的服务。保证低 权值的响应时间与高权值的响应时间一致。 加权公平排队是一种基于数据流的排队算法，它能识别交互式应用的数据 流，并将应用的数据流调度到队列前部，以减少响应时间。wfq 与定制排队和 优先排队不同。能自动适应不断变化的网络通信环境，几乎不需要配置。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 12 页 5随机先期检测（random early detection，red） 前面介绍的排队机制是基本的拥塞控制策略。尽管这些技术对控制拥塞 是必须的。但它们对避免拥塞现象的发生都显得无能为力。 随机先期检测监 视网上各点的通信负载，如果拥塞增多，就随机丢弃一些分组，当源分布点检 测到通信丢失，降低传输速率。red 可以在各连接之间获得较好的公平性，对 突出业务适应性较强。 6加权随机先期检测（weightedrandom early detection，wred） 加权随机先期检测是将 red 与优先级排队结合起来，这种结合为高优先 级分组提供了优先通信处理能力，当某个接口开始出现拥塞时，它有选择地丢 弃较低优先级的通信，而不是简单地随机丢弃分组。 总之，在传统 tcp 拥塞控制中，结合 ip 层拥塞控制算法，将是完善 internet 拥塞控制最有效的途径。 3.1.2.3 网络设备选型网络设备选型 设备的选型对整个网络系统的质量十分重要，a 公司做为一个成熟的系 统集成商，有一套科学而有效的质量管理体系，首先，要考虑用户的需求、售 后服务、关键应用、特殊应用、质量保证、网络属性、目前系统系统结构等几 个方面来考虑。 现在国内的著名网络设备的供应商主要有三家 cisco,3com 和华为。其中 3com 的路由器设备在中国使用不是十分广泛，同时网络产品以交换机为主要 产品，在其他网络产品方面力量相对其他两家厂商稍弱。华为作为中国重要的 网络产品供应商，产品线齐全，种类多档次较齐全在，中国市场有一定的占有 率，价格比较便宜，主要是通常的网络应用环境，在 vpn、voip 和其他复杂 应用中比较少。cisco 做为全球最大的网络设备供应商，在路由器和交换机领 域的成果有目共睹，它的产品应用在世界各个角落，在中国也广为使用。 cisco 产品线齐全，从小型的 soho 用路由器和交换机到大型骨干路由器、交 换机一应俱全。同时产品端口密度高，同一产品具有多种不同配置方案有利于 产品的多功能化如 voip、vpn 等。它拥有许多独创的技术如 isl、netflow、fast etherchannel 等，对系统今后的演进和发展有很大好处， 而在 ip 广域互连上，cisco 具有最大的优势，同时由于 cisco 完整的产品线 为用户提供了丰富的选择余地，cisco 网络设备的优秀兼容性也为和其他公司 产品互连提供了可靠的保证。在售后方面，cisco 也做的很好，在 a 集团综 合网络信息系统中原有设备大部分为 cisco 产品，考虑到网络的平滑性，和 维护方便等各个原因，特别是特殊应用 qos 的保证方面，vpn 特性方面、安 全方面等，比其他两个厂家都要成熟和更多的案例，针对本次项目我们推荐 cisco 高可用的产品在实现系统的网络支撑平台。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 13 页 3.1.2.4 网络部署网络部署 杭州 a 集团总部一级节点,作为核心节点,具备如下功能:汇接二级 7 个节点 的数据,终结 vpn 隧道,我们建议采用 cisco 最新高性能路由器 cisco374- vpn/k9 作为核心路由器, 模块化 cisco 3700 系列应用服务路由器充分利用了 cisco 1700、2600 和 3600 系列路由器针对 wan 访问、语音网关和拨号应用 等而配备的可选的网络模块(nm)、wan 接口卡(wig)和高级集成模块(aim)。 此外，cisco 3725 和 cisco 3745 这两个 cisco 3700 平台引进一种新的、可提 供更广泛接口的高密度服务模块 (hdsm)。配备四个 nm 插槽的 cisco 3745 路由器取消了在每一对相邻 nm 插槽之间的中心导轨，因此可以采用两个 hdsm ，而不是四个 nm。配备两个 nm 插槽的 cisco 3725 路由器可在它 所配备的两个 nm 插槽之一中采用一个 hdsm ，并仍可在剩余的 nm 插槽 内采用一个 nm 。采用新的 hdsm 之后，cisco 3700 系列路由器就能够集 成更高端口密度和新的高性能服务了。支持 vpn,提供 7 个广域网接口,和一个 internet 广域网口,通过高级集成模块 aim-vpn-hp 来实现 vpn 加密隧道的发 起与终结,cisco3745 本身集成了 3 个 wic 卡，我们可以通过提供 2 个 nm- 2w 模块，配置 2 个 wic-2t，和 1 个 wic-1t，共 8 个，其中 7 个接入二级节 点，另外一个可以作为 internet 接驳，internet 接驳速率暂时定为 2m，将来可 以通过升级到 10m。如图所示： 在本次项目中，cisco3745-vpn/k9 最大可以同时支持 2000 个 tunnels，即便 是 2008 年全体上网人数同时与总部通信，都没有任何问题；局域网采用天融 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 14 页 信防火墙 ngfw4000-s 来实现阻隔某些端口的入侵和非法探测，提供详细的 日志与审计功能，该防火墙也可以跟入侵检测系统天阗 500 联动，动态检测黑 客的入侵并禁用相应端口，在防火墙的 dmz 部署 web 服务器供外部访问， 详细描述见网络安全设计。 对于三级节点的 vpn 接入就可以支持多种方式了，最经济的方式就是采用 site to client 方式，由 cisco 自带的 vpn client（支持多种操作系统）通过 拨号或通过专线、isdn、fr 等方式访问 vpn，由对端的 vpn 网关提供认证， 具体方式见下面章节：vpn 设计。整体拓扑如下所示： 3.1.2.5vpn 设计设计 vpn（虚拟专网）是利用公共网络资源(如公用电信网)为客户组建专用网 的一种技术，它通过对网络数据进行封包和加密传输，在公网上传输私有数据， 达到私有网络的安全级别，从而利用公网构筑专网（即 vpn） 。它是一种逻辑 上的专用网络，向用户提供专用网络所具有的功能，但本身却不是一个独立的 物理网络。 本次项目中根据前面规划： 在一级节点与二级节点之间部署端到到端 vpn：site to site，结构为星型 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 15 页 结构：hub-spoke。 在二级节点与三级节点部署端到点方式 vpn：site to clint。 在本次项目应用中考虑到传输的有视频、语音、数据 3 类信息，各类信息 对网络环境都有一定的要求，特别是 vpn 环境下的实现更是比较复杂，我们 采用 cisco3745、2621xm vpn 多应用服务器可以支持 v3pn，即能在 ipsec 隧道上实现视频、语音、数据 3 类信息的封装，而保证 ip 中的 qos 特性不改 变，从而保证数据的 ip 连贯应用。这个过程多用户来讲是透明的。 在 cisco3745、2621xm 中，提供 12.2(13) t 或以上版本的 ios，支持 ipsec 提供 des 和 3des 的 advanced encryption standard (aes)，新型的 aes 支持 128-bit key (default), 和 192-bit key, 或 256-bit key.提供更加复杂更 加安全的应用。如图所示： 通过以上设计可以保证原来的 qos 机制在网络中一直启用，保证网络的 平滑。 考虑到网络规模的变大，如将来可能需要建立新的办事处或地域性分公司， 这样添加的路由器可能会对基于传统 ipsec 方式的 vpn 造成一定的影响，我们 可以采用 ipsec+gre（通用路由封装）技术来实现基于 ip 路由收敛的 vpn 技 术，这样，路由的更新可以完全透过 2 层 vpn 来实现，这对用户来讲是完全 透明的，一旦 a 集团的规模发生巨大的变化，网络拓扑方式要变化如构成 mesh 方式或节点数大大增加，我们可以完全在不更改设备的情况下建立基于 mpls vpn，cisco3745 完全可以设置 pe 路由器，而 cisco2621 可以相应地 设置为 ce 路由器，这样整个核心 vpn 网络就从 2 层 vpn 直接升级到 3 层 ip vpn 构架来了。 在二级节点与三级节点采用端到点方式 vpn：site to client。 对于 3 级节点加入到集团 vpn 当中来，就非常方便了，我们购买的 cisco3745 和 cisco2621 vpn 路由器，随机附带了一份 cd，包含了 client 端 ipsec 程序，该程序非常简单大部分的设置都是预定义的，vpn 访问策略和 配置可以直接从相应所属的二级或一级 vpn gateway（这里是 3745 或 2621 路 由器）直接下载，目前 vpn client 可以支持如下系统 windows 95(osr2+), 98, me, nt 4.0, 2000, xp, linux (intel), solaris (ultrasparc-32 每个 7311-d20 可增加 7 个适配器插槽。因此 pseries 650 的插槽总数最多可达 63 个， i/o 带宽最高可达 16gb/秒。所有插槽均可热插；pseries 650 和 7311-d10 插槽 也可以随意交换，因此在客户添加或拆下适配器时，不必将 i/o 机箱移到维修 位置-也不会因此中断系统操作。pseries 650 还配置有可恢复 pci 总线，以保 证奇偶错误不导致系统故障。 pseries 650 服务器提供了 4 个可安装 36.4gb、73.4gb 或 146.8gb 驱动器 的热插拔内置磁盘槽，使总磁盘存储容量高达 587.2gb。连接 7311-d20 可增 加 12 个附加磁盘槽，使存储容量达 1.7tb。一个满配的 pseries 650 加上 8 个 7311-d20 可有 14.6tb 的联机磁盘存储容量。外置磁盘存储器也可装如机柜中， 例如 ibm 2104 expandable storage plus (ultra scsi) 和 ibm 2105 enterprise storage server 均是可提供高可靠性、高性能、可热插拔的 tb 级磁盘存储器。 装入机柜的 pseries 650 系统和 i/o 机箱数量极其灵活，使每平方英尺占地面积 内的计算和 i/o 能力大大提高。在最高配置中，一台 pseries 650 服务器的系统 机箱由 8 个 1.45 ghz power4+处理器和 8 个 7311-d20 i/o 抽屉组成，共占 40 个 eia 单位(40u)机柜空间（系统机箱占 8u，每个 i/o 机箱占 4u） 。这种配 置可拥有 63 个适配器槽和 100 个磁盘槽。根据连接的 i/o 抽屉数，一个 t00 机柜最多可装 4 台 pseries 650 系统，t42 机柜最多可装 5 台 p 系列 650 系统。 保证业务持续运作 许多源于 ibm 自主运算的创新-为自主运算勾画的蓝图-使 pseries 的可靠 性、可管理性和可维护性得以实现。旨在创建一个能够响应意外容量要求或系 统故障，同时缓解关键技能、软件和服务/支持费用压力的智能化 it 基础架构。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 41 页 为增强可用性，每台 pseries 650 服务器都有一个集成服务处理器，用于持 续监视系统的运行状况。此功能通常可以在故障呈现给用户之前检测硬件内部 的错误状态，自动拨接到 ibm 服务中心。然后，如果需要维修，服务器则自 动开始动态再分配以排除故障。因此，自动监视功能可以帮助企业减少代价昂 贵的宕机，减少管理开支和服务支持成本。 第一次故障数据获取(ffdc)识别并记录系统故障的来源和根本原因，防止 再发生诊断时无法再现的间发性故障。ffdc 旨在通过实时识别故障部件防止 宕机和缩短维修时间，同时也有利于增强 pseries 卓越的系统可用性。 为防止主存储器和 l2/l3 缓存错误导致系统关闭，检错与纠错（ecc）内 存既检测单位错误，也检测双位错误，并能动态纠正所有单位错误-作为 chipkill 内存的补充，提高可靠性。此外，pseries 650 还包括备用主存储器芯 片。通过一形称为位导航指令的技术，当多位存储错误超过临界值时，备用芯 片可被动态激活，取代有故障的存储器芯片。 ibm chipkill 存储技术可检查和纠正大多数多位错误。它可以防止内存出 现故障，有助于防止代价昂贵的系统存储器故障，提高 pseries 可靠性。事实 上，ibm 研究表明，具有 chipkill 内存的系统因内存故障导致宕机的可能性比 没有使用此类技术的系统低 100 倍。 pseries 650 服务器还有对系统关键资源进行动态重分配的功能，包括处理 器和 pci-x 总线槽等。在其中某一部件发生故障或故障即将发生时，该功能能 够使故障部件动态脱机。该部件负载的工作量自动重新分配到其它处理器，避 免操作中断。如果系统必须重新启动，则启动时不再包括已解除分配的部件， 从而避免故障重复出现。故障部件的更换可以安排在正常的系统维护时进行， 以减少系统和应用宕机时间。 pseries 650 系统机箱和 i/o 抽屉、冗余热插电源和冷却风扇也同样具有可 靠性和可用性特点，更换十分容易，而且不影响系统操作。环境监测功能-如 可在超过正常温度时能提高风扇转速的温度监测功能-通过保持系统稳定运行 所需的环境提高系统可靠性。 为达到近乎持续的可用性，可用 ibm 的 high availability cluster multiprocessing (hacmp)软件将 2 到 32 台 pseries 650 服务器群集在一起。 hacmp 有助于降低系统和应用程序宕机时间，从而为高可用性奠定良好基础- 高可用性是关键业务环境的基本要素。 通过群集实现随需应变的可用性 集群是为提高性能、可扩展性和可用性而设计的一种先进的计算技术，可使多 台服务器互连成为一个计算资源。ibm cluster 1600 是为提高随需应变环境中 的可用性、可扩展性和性能而设计的，具有可管理性，能连续存取关键商务数 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 42 页 据和应用程序，通过使新旧技术共存等措施保护投资。 特别适于需共享数据 和提高作业处理能力的不同工程和科学工作负荷，解决大型、复杂的高性能运 算问题，托管极其庞大而又不断增长的公司数据库。 开放的电子商务标准 pseries 650 服务器采用了 ibm 先进、开放和可扩展的 unix 操作系统 aix 5l。aix 5l 在可靠性、可用性和安全性等方面具有现实价值，适合电子商务 应用性能，被人们普遍认为是系统和网络管理领域最先进的技术。 aix 5l 提供的 java 技术、网络功能和增强的可扩展性，既适用于管理单 个服务器，又适用于管理大型、复杂的电子商务设备。基于万维网的远程管理 工具控制和监视关键资源，如适配器和网络可用性、文件系统状态和处理器工 作负荷。aix 5l 还包括 workload manager，是系统即使在高峰负荷期间，也 能确保关键应用程序的响应速度。 pseries 650 展示了 ibm 通过开放标准提供应用灵活性的承诺。除增强 java 的可扩展性和性能外，aix 5l 还提供了应用编程接口（apis） ，使流行的 linux 开放源代码应用程序通过简单的重新编译便可在 aix 5l 上运行。aix toolbox for linux applications，为重新编译提供了实用工具、编辑器、调试程 序及其它应用开发工具。 应用选择更加广泛 ibm eserver 产品线，为想在随需应变的世界中取得成功的企业提供了从 选择、创建到实施应用所需的卓越的灵活性。为此，ibm 提供了业内应用范围 最广的平台和操作系统。ibm 致力于工业标准、跨平台技术-这些技术都是灵 活的电子商务基础架构的核心。 对与中间件-包括 db2，universal database, websphere application server 和 mqseries 的支持-意味着随着业务的不断发展企业无需再固守在一个单一 的平台上。 企业通过接受开放标准，可以低成本、灵活地部署应用。 管理随需应变业务 ibm 产品线拥有一套综合产品和资源的支持，它们在 it 实施的每个阶段 都能产生价值。除应用了基于芯片技术、集群和多平台设计等 ibm 创新外， pseries 650 还利用了灵活的随需应变容量需分配功能，是当今最具扩展性和快 速适应性的服务器之一。在随需应变领域为解决电子商务的复杂性和迅速增长 提供一种比较容易的方法。 购买 pseries 650 1.45 ghz 系统时可订购随需应变容量升级（cuod）功能， 从而可在需要时激活附加处理器及内存。至于费用，cuod 允许客户在购买服 务器时预装附加容量并根据需要逐渐激活这些附加资源，来满足业务增长和工 作负荷的需求。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 43 页 pseries 650 最多可安装 6 个 cuod 1.45 ghz 处理器，以后每次可以激活 2 个处理器。最多可安装 56gb cuod 内存，以后每次激活 4gb。动态逻辑分区 可以实现无缝激活。通过根据需求的增长添加容量，客户可以十分方便和经济 地实现扩展，来满足市场需求。 启用/关闭 pseries 650 1.45 ghz 处理器的随需应变容量的功能，还为企业 提供了应对业务高峰的能力。该功能类似于借计卡，可成对暂时激活储备处理 器。用户仅为需要时所需的处理能力付费，这样就使 pseries 650 服务器在支持 意外高峰工作负荷的方面性能超群。 在 cuod 和 aix 5l v5.2 环境中，一种称为 dynamic processor sparing 的 可用性功能，可使待用处理器处于“动态备用“状态。当故障处理器达到错误临 界值时，可以激活待用处理器，以保持性能和增强系统可用性。当故障处理器 能够恢复使用时，备用处理器回到待用 cuod 资源池。 ibm global financing 为随需应变的电子商务提供了广泛的贷款销售业务, 以帮助企业节省开支, 满足多变的业务需求。 此外，ibm global services 专家可以提供商务和 it 咨询、商业转型和总体 系统管理服务及定制电子商务解决方案。 ibm 的支持 ibm 为 pseries 650 系统提供全球性服务和支持。1 年基本保修期为端对端 服务，包括 aix 5l 操作系统支持、硬件维修、人工电话硬件支持和电话跟踪。 在基本硬件保修期内，提供 5x8 的专业现场服务，上述保修可以升级为 24x7x365 的服务模式。 5.3 双机热备双机热备 近几年计算机技术及互联网发展迅速，越来越多的传统应用被转移至计算 机和互联网上，信息化进程正逐步地改变着人们的生活，电子商务与我们的联 系越来越紧密，用户对系统的持续运行能力的要求越来越高。在我们继续进行 信息化建设的同时如何保障用户系统的高可用性维持用户的商务活动不间断成 为我们必须面对的问题。 高可用性是指系统无论是硬件或是软件失效，保证客户应用服务不间断的 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 44 页 能力。高可用性软件简单的说是两种功能的综合：监控功能、切换功能，其基 本工作原理是服务器间通过软件监控服务器，当某服务器硬件或是软件失效， 软件的切换功能发生作用将中断服务器的工作在指定服务器上启动起来使服务 器的工作得以继续。高可用性软件从功能上分可以分为热备、容错两种，细分 为双机热备、双机容错、集群热备、集群容错。热备与容错的区别在于容错软 件是应用级的监控，而热备是主机级的监控。容错软件有着比热备软件更高的 不间断性。 5.3.1 系统故障分析系统故障分析 件 件件 件件 件件 件件 件件 件件 件 (件 件件 件件 件件 件件 件件 件件 件件 件) 件件件件件件件件 件件件件件件件件(e.g., (e.g., 件件件件件件件件件件件件 ) ) 件件件件件件件件件件件件/ /件件件件件件件件件件件件 件件件件件件件件件件 件件件件件件件件件件件件 件件件件件件件件 件件 件件 / /件件 件件 upsups source: gartnergroup, strategic analysis report “strategies to increase lan availability” 1996 停顿原因大致可分为 7 类（见上表）：按计划的硬件、操作系统的维护， 如增加硬盘、操作系统补丁等；应用失效，如数据库出错等；操作员出错， 如误操作等人为错误；操作系统故障，如操作系统死机等；硬件故障，如 硬盘、网卡损坏等；断电（没有 ups） ；自然灾害，如火灾、地震、洪水等。 从上面的说明我们可以看出，在停顿原因中软件的因素占到了绝大多数，而硬 件原因只占其中的以小部分原因，而按计划的硬件、操作系统的维护是系统停 机的最大原因。 a 集团综合网络信息系统技术方案建议书集团综合网络信息系统技术方案建议书(硬件集成部分硬件集成部分) 第 45 页 5.3.2 hacmp 功能及双机原理功能及双机原理 用于 aix 的高可用性群集多处理（hacmp for aix）是一种控制应用程序， 它在使用高效群集内置的增强扩展性（es）特征是可以链接多达 32 个 rs/6000 服务器或 sp 节点。群集服务器或节点允许对数据进行并行访问，可以提供关 键商业应用所要求的冗余性和容错性。hacmp 提供了图形用户界面工具来帮助 用户高效的安装、配置和管理群集。更重要的是，hacmp