郑州市国土资源局网络改造建议方案.doc

蒂蒀螆芃膂蚆蚂节芄蒈肀芁蒇螄羆芀蕿薇袂艿艿螂螈袆莁薅蚄袅蒃螀羃羄膃薃衿羃芅蝿螅羂莈薂蚁羁薀莄聿羁芀蚀羅羀莂蒃袁罿蒄蚈螇羈膄蒁蚃肇芆蚆羂肆莈葿袈肅蒁蚅袄肅芀蒈螀肄莃螃蚆肃蒅薆羅肂膅螁袁肁芇薄螇膀荿螀蚂腿蒂薂羁腿膁莅羇膈莄薁袃膇蒆蒄蝿膆膅虿蚅膅芈蒂羄膄莀蚇袀芃蒂蒀螆芃膂蚆蚂节芄蒈肀芁蒇螄羆芀蕿薇袂艿艿螂螈袆莁薅蚄袅蒃螀羃羄膃薃衿羃芅蝿螅羂莈薂蚁羁薀莄聿羁芀蚀羅羀莂蒃袁罿蒄蚈螇羈膄蒁蚃肇芆蚆羂肆莈葿袈肅蒁蚅袄肅芀蒈螀肄莃螃蚆肃蒅薆羅肂膅螁袁肁芇薄螇膀荿螀蚂腿蒂薂羁腿膁莅羇膈莄薁袃膇蒆蒄蝿膆膅虿蚅膅芈蒂羄膄莀蚇袀芃蒂蒀螆芃膂蚆蚂节芄蒈肀芁蒇螄羆芀蕿薇袂艿艿螂螈袆莁薅蚄袅蒃螀羃羄膃薃衿羃芅蝿螅羂莈薂蚁羁薀莄聿羁芀蚀羅羀莂蒃袁罿蒄蚈螇羈膄蒁蚃肇芆蚆羂肆莈葿袈肅蒁蚅袄肅芀蒈螀肄莃螃蚆肃蒅薆羅肂膅螁袁肁芇薄螇膀荿螀蚂腿蒂薂羁腿膁莅羇膈莄薁袃膇蒆蒄蝿膆膅虿蚅膅芈蒂羄膄莀蚇袀芃蒂蒀螆芃膂蚆蚂节芄蒈肀芁蒇螄羆芀蕿薇袂艿艿螂螈袆莁薅蚄袅蒃螀羃羄膃薃衿 郑州市国土资源局网络改造建议方案郑州市国土资源局2008年5月目录第一章，现状和目的31.1当前状况31.2整改目的和意义4第二章 设计方案52.1 方案设计概述52.2 系统示意图52.3 工作区子系统62.4 水平布线子系统62.5 管理区子系统62.6 子设备间系统72.7 垂直主干子系统82.8 中心子系统82.9 其它产品说明8第三章 布线说明93.1郑州国土资源局大厦PDS各子系统具体说明93.2 总方案说明93. 2.1工作区子系统93.2.2水平子系统93.2.3设备间子系统103.2.4建筑群子系统103.3综合布线管线设计建议103.3 PDS管线方案103.3施工组织计划113.3.1 施工组织113.3.2 施工质量、安装及降低成本的措施12第四章 逻辑结构、安全策略和网络管理154.1网络结构图154.2网络逻辑结构描述15第五章 网络设备参数205.1接入交换机-XXX品牌205.2核心交换机XXX品牌205.2.1 GBIC 模块225.3防火墙XXX品牌22第六章 系统的调试及验收236.1 调试阶段236.2验收阶段23第一章，现状和目的1.1当前状况郑州市国土资源局网络当前状况：1、 郑州市国土资源局网络是90年代的布线2、 由于当时技术和材料的限制，网络的传输速率为准100M3、 线路老化和长期多次维修造成大量赘线、废线导致网络配线无法分辨4、 网络结构采用当时的星型全集中的方式，造成数量众多线头过于集中5、 线路过长，导致信号衰减、干扰大等6、 原有两套布线系统分内网、外网7、 在8楼小机房内设有交换机连接6-12层的线路8、 有部分房间当时没有布设线路、部分楼层或部门因无线或线不够而增加了部门交换机或hub形成了层层集连的方式，给管理和性能带来负面影响9、 2号楼（后楼）在07年启用办公后，组织了布线，通过级连的方式与信息中心连接10、 新业务要求数据流量大、网络流畅、数据千兆传输，以上诸多因素导致需要对网络重新考虑原有结构图:2号楼（后楼）在07年组织了布线，采用内外网络隔离的全新布线，在物理线路上无需调整，只要在与信息中心的核心交换机的连接接入和VLAN划分上稍做改动根据用户需求和实地考察，国土资源局主办公楼共12层，单层需要信息点数为40个/层，可能根据实际需求有所增减，考虑到数量众多，大量的线缆集中配线会造成线路管理混乱和线缆在楼层间大量浪费，长距离的数据传输信号衰减等综合因素，在本设计方案里采用每5层线路集中配线，再通过主干集中到信息中心的菊花链（多星型）拓扑结构系统1.2整改目的和意义1) 根本上解决所有办公室的没有线或线路不够的基础问题；2) 针对新业务要求数据流量大，保证网络流畅、数据千兆传输；3) 在安全上保证局内的业务逻辑物理分组、安全访问应用服务器、严格杜绝任何工作站直接对数据库的访问，提高核心数据库的安全；4) 保证分局、县局、在业务上对应用服务器的安全、流畅访问；5) 保证省厅、市政府对相关业务指导、数据抽取的安全访问和控制；6) 对来自Internet 访问相关内容的安全控制；7) 财政局通过政府网络与财务处主机通信的安全控制。第二章 设计方案2.1 方案设计概述 根据本楼的项目要求及上述有关标准，本方案为一个较典型的星型拓扑结构系统，现将设计方案概述如下：根据用户要求，大楼主设备间设于大楼二层综合布线机房，从主设备间引线缆经桥架和竖井到楼层子设备间，子设备间直接引至工作区。主干布线电缆均采用光纤连接，水平布线电缆均采用超五类或六类或6类4对UTP电缆，信息插座选用XXXX品牌公司特色产品超五类或六类系列插座。本方案分为五大子系统，分别为工作区子系统、水平子系统、干线子系统、设备间子系统以及管理间子系统，为二级星型拓扑结构。2.2 系统示意图 2.3 工作区子系统工作区子系统是指信息端口以外的空间，但通常习惯将电信插座列入工作区子系统。本系统设置720个信息点。（可能根据实际需求有所增减）工作区材料配置表序号产品名称规格数量1RI45双位插座面板3162RJ45插座模块6313RJ45 5m跳线6312.4 水平布线子系统水平布线子系统从楼层机房配线架直接架至各个办公室的通信引出端。本项目数据点采用超五类或六类四对UTP。 序号 产品名称规格 数量1网线超五类或六类4对UTP电缆79（此项为约数。具体数量视现场情况而定。）2.5 管理区子系统 国土局办公大楼共12层，8-12层的信息点集中在9层楼的管理区子系统、3-7层的信息点集中在5层楼的管理区子系统，管理区子系统是由配线架、跳线。具体的配料表如下：管理区子系统材料配置表序号产品名称 品牌 数量148口配线架13224口配线架131.6米配线柜订制加宽245RJ45 0.5m跳线6316理线架167标签189101112132.6 子设备间系统设备间子系统是由总配线架、跳线及相关有源设备（HUB、服务器及交换机等)等组成。设备间子系统是一空间概念，总配线架收集来自各水平子系统的线缆，并与相关有源设备通过跳线或对接实现系统的联网。本项目主设备间设在二层中心机房内，其布线设备主要为系统配线架和相关跳线等。按大楼结构化布线系统实施要求；我们将选用和配置普天相应产品。具体如下：子设备间设备配置表序号 产品名称 品牌 数量1交换机92342.7 垂直主干子系统垂直主干子系统采用6类线连接核心交换机和楼层自交换机序号 产品名称 品牌 数量18芯室内光纤200米2光纤熔接3套345672.8 中心子系统中心子系统通过垂直子系统连接到各楼层的管理子系统的交换设备，同时将1-2层的管理子系统和设备子系统放置在中心子系统的机柜里。序号产品名称 品牌 数量12米配线柜订制加宽12交换机模块光纤模块13452.9 其它产品说明本项目施工工具包括:1) 打线工具：主要用于主干线缆与配线架和压线模块的压接，亦为最基本工具之一。 2) 安装消耗品：施工辅材，包括扎带，胶带，油笔等。第三章 布线说明3.1郑州国土资源局大厦PDS各子系统具体说明以下将按照综合布线系统的各个子系统之顺序描述各个部分的设计。3.2 总方案说明3. 2.1工作区子系统 工作区子系统是各办公区组成，根据各自不同的功能，全部双孔信息插座构成，插座里采用的是拆装灵活的模块。通过插座既可以引出网线，也可以连接数据终端及其它弱电设备。 信息插座可安装在墙上、柱子上，部分可安装于地板上。安装于墙、柱上的插座之底边和地板之距离为20CM。安装于地板上的信息插座需防水、防尘以使得无论在有无地毯的地板上，插座(电源、信息插座)都能和地板、地毯面成水平。 工作区信息插座位置的确定：对于办公室而言，信息点可安装于办公桌靠墙墙面上。办公区亦可根据每个办公室的实际使用情况配置。3.2.2水平子系统 水平线缆将干线线缆延伸到用户工作区。采用的是超五类或六类4对非屏蔽双绞线。这种线缆均在100米范围内保证155Mbps,622.5Mbps以及千兆以太网的传输速率，能够满足各种带宽信号的传输。3.2.3设备间子系统 设备间子系统(主配线间)由设备间中的电缆、联结器和相关支撑硬件组成，它把公共系统设备的各种不同设备互联起来。该子系统将中继线交叉处和布线交叉处与公共系统设备(如：PBX)联接起来。 根据郑州国土资源局大厦的实际情况，主配线室设在五层中心机房内。 在大楼的弱电井中使用一个竖直桥架，以方便缆线的管理。3.2.4建筑群子系统根据大厦实际情况，楼内计算机网络与外界的网络，如政府机关、银行、各公司之间等的互联，可以通过公共数字业务网或远程LAN等相连。3.3综合布线管线设计建议3.3 PDS管线方案 （1） 水平线子系统的布线方案 水平线子系统完成由接线间到工作区信息出口线路连接的功能。有两种走线方式。 (a)墙上型信息出口 采用走吊顶的轻型装配式槽形电缆桥架的方案。这种方式适用于大型建筑物，为水平线系统提供机械保护和支持。装配槽形电缆桥架是一种闭合式的塑料桥架，安装在吊顶内，从弱电井引向各种设有信息点的房间。 PDS系统的布线是放射型的，线缆量较大，所以线槽容量的计算很重要。按照标准的线槽设计方法，应根据水平线的外径来确定线槽的容量即：线槽的横截面积=水平线截面积之和3 为保证线缆的转弯半径，线槽须配以相应规格的分支辅件，以提供线路路由的弯转自如。 (b)地面型信息出口采用墙面线槽走线方式。 （2） 垂直干线子系统的走线设计 垂直干线子系统，弱电井内安装金属桥架由一连串通过地板孔垂直对准的接线间组成的。用于PDS系统的典型接线间，其可以走进入的最小安全尺寸是300100cm垂直干线的走线设计分为两部分 (a)干线的垂直部分垂直部分的作用是提供弱电井内垂直干缆的通道。电缆井的位置设在靠近支持电缆的墙壁附近。附近有电梯等大型电磁干扰源，则应使用封闭的金属线槽为垂直干缆提供屏蔽保护。预留的电缆井的大小，按标准的算法，应至少是要通过的电缆的外径之和的3倍。此外，还必须保留一定的空间余量，以确保在今后系统扩充时不致需要安装新管线。 (b)干线的水平通道部分 水平通道部分的作用是，提供垂直干线从主设备间到其所在楼层的弱电井的通路。这部分也应采用走吊顶的轻型装配式槽形电缆桥架的方案。所用的线槽由塑料材料构成，用来安放和引导电缆，可以对电缆起到机械保护的作用，同时还提供了一个防火、密封、坚固的空间使线缆可以安全地延伸到目的地。其选材算法与水平子系统设计部分的线槽算法一致。 与垂直部分一样，水平通道部分也必须保留一定的空间余量，以确保在今后系统扩充时不致需要安装新的管线。 （3） 设备电源管线方案 所有的机房设备的电源全部有UPS来集中供电。3.3施工组织计划 3.3.1 施工组织（1） 施工准备阶段 包括施工图编制与审核；施工预算；编制施工组织设计及施工方案的编写设备/材料的采购与定做；工程施工工具与设施的准备以及施工队伍的组织准备等。（2） 施工阶段 包括配合土建和装修施工，预埋管线管路；固定与土建施工有关的支持固定件；固定配线箱及配电柜等；随土建工程的进度逐步进行各子系统设备安装与线路敷设；各子系统检验测试等。 （3）竣工验收阶段 包括系统调试及投入正常运行；完成全部测试报告及竣工文件；汇集建设单位、施工单位及质量监督部门审查；现场验收；针对有行业管理的转项系统完成行业主管部门的验收。 总之，无论工程大小，系统难易，都必须在施工中有条不紊，按一定顺序衔接进行；同时，在积累经验、掌握技艺的基础上，还必须遵循一定的工程程序，包括图纸会审、技术交底、工程变更、施工预算、施工配合、竣工验收等，才能有效地提高功效，确保工程质量。 3.3.2 施工质量、安装及降低成本的措施 （1）施工质量保证的基本措施 为了确保系统工程施工的质量，使工程达到设计要求，必须加强工程施工技术管理工作，根据我公司管理的经验，每一项工程从施工准备阶段开始，到工程施工与组织管理及竣工验收阶段都必须按照一定的程序和要求。由有关的技术人员和管理人员，以文字、图表等形式，记载影响工程质量的有关规定，要求所有文件材料的形成与积累必须做到及时、准确、系统与科学。及时 就是在施工过程中，对各种要求的数据、现象及时进行记录，做到分阶段，按专业积累、整理，编制好施工文件材料。竣工验收时及时做好工程文件材料的整理、归档及向建设单位的移交工作。 准确 既是要求施工过程中形成的技术文件材料应如实地反映工程施工的客观情况，严格按施工图和现行材料质量标准、质量检验标准、施工及验收规范施工，做到变更有手续、有根据，施工各单位有记录。严禁出现擅自修改、伪造和事后补做等情况。 系统 即是按照施工程序，对形成的技术文件材料进行系统的整理，系统地反映施工的全过程。 科学 就是以科学的态度来对待施工中的每一个数据，应做到施工有依据，检查有结论，现场有记录，测试验收有报告，修改图纸有手续，工程竣工有总结。 （2）安全施工管理措施 在弱电系统工程实施中，安全是我们遵循的首要原则，安全包括人身安全和设备的安全，为此，在施工过程中我们采取相应的安全管理措施，以消除一切事故隐患，避免事故伤害，确保系统安装和运行安全。a. 建立、完善以项目经理为首的安全生产领导组织，有组织、有领导的开展安全管理活动。 b. 建立各级人员安全责任制度，明确人员的安全责任，定期检查安全责任落实制度，惩罚分明。 c. 施工人员严格遵守各项安全操作规程，严格按照施工图、施工规范施工。 d. 对施工人员进行安全教育与训练，增强安全意识，提高安全施工知识，防止人为的不安全行为，减少人为的失误。 （3）节约措施布线系统除具有众多优越性外，其突出的优势在于系统综合设计后达到节省人力、物力、财力的目标，而在施工中采取有效的节约措施，则将系统的完善设计得以充分体现。 a. 工程实施中采取设备用料核算，做好施工准备，以利于安装过程中材料充分有限地使用。 b. 协调管理各工序的工程，实施各子系统工程严格服从工程现场总指挥的管理，避免因工序交叉造成的二次装修带来的损失。 c. 严格按施工规范安装操作，注意保护其他专业产品，尽量不损坏建筑物表面及已安装设备，确保楼宇自控设备整体的协调、对称和美观。 d. 施工中，在满足设计要求的前提下，保证系统安全可靠运行的基础上，推广使用新科技、新机具新工艺，提高安装质量，提高效率，以达到再创新的升值效果。 e. 严格按施工管理程序完成施工中及竣工资料、文件的收集、整理，减少管理费用的支付，为今后系统维护维修创造条件。 f. 在施工过程中遇到施工图纸与实际现场不符或存在不完善的地方，工程指挥部将配合现场情况，以最快的速度、最短的时间将问题呈报给建设方和设计师，把图纸尽快完善，使施工顺利进行。第四章 逻辑结构、安全策略和网络管理4.1网络结构图4.2网络逻辑结构描述在本方案里，网络大体分为：接入层、核心交换层、安全防护层、应用和数据层、专网接入层、公众查询服务接入层（二期工程）六个部分构成4.2.1接入层接入层分别放置在办公楼的9层和5层子机房的接入交换设备，选用的是HP17-242层可网管的1000M交换机，实现千兆到桌面的接入速率，可对接入的终端设备的MAC地址锁定，防止非授权接入，同时具备内置的图形化的网管功能，在网管工作站进行统一管理4.2.2核心交换层核心交换层是使用原有的HP4104GL3层网络交换机增加千兆光纤网络模块，4104GL交换背板容量大，3层网络交换，可路由、可网管的智能交换机，能对端口做VLAN，根据各楼层、或部门划分不同的VLAN各楼层接入交换机通过光纤接入核心交换机进行汇聚4.2.3安全防护层在安全防护层的部分设计使用1台4网络接口的CISCO PIX防火墙，在防火墙的4个网络接口分别配置为：内部接入口 与核心交换机连接 配置接入层用户（内部办公）特定协议端口连接到应用服务器 配置财务处主机通过内部接入口通过专网接入口到达财政专网的安全连接 局办公室与政府文件接收、发送的安全通道 配置接入层用户（内部办公）访问政府专网应用接入口 配置接入层用户（内部办公）特定协议端口连接到应用服务器 配置专网用户（分县局、省厅、政府）特定协议端口连接到应用服务器 配置前置机特定协议端口连接到应用服务器获取数据（二期配置）专网接入口 配置专网用户（分县局、省厅、政府）特定协议端口连接到应用服务器 配置接入层用户（内部办公）访问政府专网 配置财务处主机通过内部接入口通过专网接入口到达财政专网的安全连接 局办公室与政府文件接收、发送的安全通道公众接入口 配置前置机特定协议端口连接到应用服务器获取数据（二期配置）4.2.4应用和数据层应用和数据层在防火墙的安全保护层以内，独立网段，来自任何对该层面的访问必须通过防火墙的认证和转发，所访问应用服务器的IP地址是虚拟IP映射政府网IP的方式。在防火墙的应用接入口的配置仅通过应用服务器的应用程序所使用的IP端口4.2.5专网接入层来自专网的任何业务访问都通过VPN认证方式连接，所访问应用服务器的IP地址是虚拟IP映射政府网IP的方式4.2.6公众查询服务接入层（二期工程）在二期工程里会向公众提供某些信息查询，在方案里构思为，在InterNet网上放置Web查询服务器，通过网闸与前置机进行非适时数据交换，前置机通过防火墙的安全认证后与应用服务器获取数据第五章 网络设备参数5.1接入交换机-XXX品牌接入交换机XXX品牌是2层交换，具备长期工作的高可用性IIEEE 802.3ad 链路汇聚控制协议(LACP)：提供链路级冗余；XXX品牌 上支持12条链路汇聚，每条链路汇聚上支持7个链路（端口） 端口镜像功能：使端口上的流量可以同时发送到网络分析器，以便进行监控 VLAN 支持和标记：支持高达64个基于端口的 VLAN 和 IEEE 802.1Q VLAN 动态控制标记，在工作组间提供安全性 管理密码：提供的安全性可阻止对Web浏览器界面的非授权访问安全性服务质量(QoS) IEEE 802.1p 优先级划分：根据流量的优先级和类型为设备提供数据 广播控制：为降低网络上不必要的广播流量而对其加以限制 非常简易管理：直观的Web界面：通过简单易用的 Web 浏览器界面简化交换机的配置、监测和管理流程与 ProCurve Manager 集成：可通过 ProCurve Manager 进行发现和映射；可从 Web 上免费下载 IEEE 802.1AB 链路层发现协议 (LLDP)：自动设备发现协议，便于映射网络管理应用 使用简单无风扇设计：可静音运行，适合部署在开放空间 带端口指示器的综合性LED显示屏：可以一目了然地查看状态、活动、速度和全双工运行情况 ProCurve/IEEE Auto-MDIX：自动适应所有RJ-45端口上的直连或交叉电缆5.2核心交换机XXX品牌4 个可用的模块插槽 最多支持 96 个 10/100 端口或 80 个千兆端口和 8 个微型 GBIC 端口基本 IP 路由：最多可在 IP 网络中自动路由 16 条外部路由，其中包括 1 条缺省路由 流量优先级划分 (802.1p)：允许实时地将流量分为 8 个优先级，映射到 4 个队列 Fast Path 技术：模块内流量的线速交换，吞吐率可达 71.4 mpps 快速交换机结构：高性能交换机结构（高达 36.6 Gbps） 双闪存映像：提供升级时用于备份的独立主、辅操作系统文件 VLAN 支持和标记：同时全面支持 802.1Q（4,096 个 VLAN ID）和 30 个 VLAN 组 VLAN 注册协议 (GVRP)：支持自动学习与 VLAN 动态指定 802.1w 快速融合生成树协议：通过快速恢复来提高网络的正常运行时间 802.3ad 链路聚合控制协议 (LACP) 和 HP trunking：支持多达 6 组中继线，每组中继线最多可支持 4 个 链路（端口）；支持跨模块中继 端口安全性：使用 MAC 地址锁定来防止未经授权的访问 TACACS+：通过使用密码验证服务器，简化交换机安全性管理工作 Secure Shell (SSHv2)：加密所有的传输数据，以确保通过 IP 网络进行 CLI 远程访问的安全性 加密套接字协议层 (SSL)：对所有 HTTP 通信进行加密，以确保安全访问交换机中基于浏览器的管理 GUI 安全访问，以管理 XXX品牌 系列：所有访问方式 CLI、GUI 或 MIB 均通过 SSHv2、SSL 和/或 SNMPv3 进行安全加密 可选冗余电源：提供不间断电源 热插拔模块：允许在不中断网络的情况下添加或更换模块和微型 GBIC 易用的端口命名：允许为端口指定描述性名称 RMON：提供面向统计、历史、警报和事件的高级监测和报告功能 HP/IEEE Auto-MDIX：可自动适应所有 10/100/1000 端口上的直连或交叉电缆 堆叠容量：支持多达 16 个交换机虚拟堆叠的单一 IP 地址管理，其中包括 2500 系列、2600 系列、2800 系列、3400cl系列 、6108、和 4100gl 系列 5.2.1 GBIC 模块XXX品牌 微型 GBIC 模块 () 具有6个可用的微型 GBIC 插槽端口 6 个可用的微型 GBIC 插槽 物理特征 尺寸：22.8 x 20.3 x 4.45 cm. (8.97 x 8.0 x 1.75 in) 重量：0.431 kg. (0.95 lb)5.3防火墙XXX品牌330 Mbps 网络吞吐量，安全过滤带宽(135Mbps) 无用户数限制DoS、IDS入侵检测企业级防火墙处理器：600MHz Intel Pentium III；随机读写内存：高达256 MB；闪存：16 MB280000个并发连接数, 支持VPN，防火墙,网络地址转,拒绝服务攻击,支持多媒体应用,URL过滤,邮件保护UL, C-UL, TUV, IEC 950,UL-1950标准：第三版,TUV EN 60950：第二版，支持Am. 1-4,IEC-950/VDE-0805 EN-60-950标准： RJ-45控制端口CSPM、PDM管理第六章 系统的调试及验收 综合布线在计算机网络中是最基础也是最重要的组成部分，它是连接每个服务器和工作站的纽带，起着信息通路的关键作用，作为传输高速数据的物理链路，链路产生的故障严重时会导致整个网络系统的瘫痪。 6