CISCO产品组网实例.doc

附件一、 CISCO产品组网实例1.1 上海农联社区域连网概述 上海市农村合作信用社实现总行、分行和全市网点连网，为实现全行业务的电脑处理提供了可靠、高效、安全的、扩展性好的网络系统平台。该项目首先是建立市总行和分行电脑中心的局域网，再通过公用通信网络（如X.25/DDN/PSTN等）将辖区内各网点与电脑中心LAN连接,最后将总行和分行的局域网络互连。上海市农村合作信用社业务系统应采用数据集中式/分布式管理的混合模式，组成客户机/服务器型的开放式体系结构。市区分行不设业务主机，所辖网点直接与总行的主机连接，网络逻辑结构可以简化为总行、储蓄网点两级，两级间主要通过DDN、X.25或PSTN连接。而郊县分行配置本地业务主机，所辖网点直接与分行的主机连接，网络逻辑结构为总行、分行、储蓄网点三级结构，前两级间主要通过DDN网和PSTN连接，后两级间主要通过X.25网和PSTN连接。网络设计 由两台Cisco的Catalyst 5000模块化快速以太网交换机构成总行信息中心局域网的主干，其交换快速以太网模块提供12个自适应的10/100以太网端口，用以连接RS6000主机和其它网络设备。 网络中心的Cisco 7507路由器提供了总行与分行和市区网点的广域网通讯功能。此外，Cisco 7507还起到总行局域网的虚拟网路由的功能：用户可以利用Cisco交换机强大的虚拟网功能来建立总行内各部门的虚拟网划分，以实现减少网上流量、提高安全性和方便使用等功能；而各虚拟网间的通讯则由路由器7507来完成（网络模型中第三层的交换）。 另外在总行网络中心配置了一台Cisco 2511访问服务器，它可以提供16个异步串口连接16条电话线，实现对广域网的拨号备份功能，也可以让没有广域网线路的网点联入总行。 总行大楼的业务部室和营业大厅的工作站以及各行政处室的计算机通过3Com（或Cisco）以太网集线器联接到主干网上，它们可以分别属于不同的虚拟网络（在Catalyst 5000上设置），构成总行的银行业务环境和办公自动化环境。3Com以太网集线器带有16个RJ45口，使网络规模（本地用户数）可以按用户的要求进行扩展。在各郊县分行配置两台CATALYST 3200交换机和两台CISCO 4700M路由器以及两台IBM RISC 6000主机。两台交换机之间通过100M快速以太网连接，每台路由器和主机各配两块100M快速以太网模块，分别与两台交换机连接。其他工作站以及各行政处室的计算机通过3Com（或Cisco）以太网集线器联接到主干网上。从费用及效率方面考虑，各小型网点建议采用一台高档PC机，安装UNIX操作系统作为网点主机，连接多台终端用于信用社业务处理。为了节省投资，一般做法是，网点的PC/UNIX机由HUB连接路由器，通过DDN/X.25网络与总部中心路由器相连。各网点办公机器与PC机通过HUB相连构成局域网。郊县网点的PC/UNIX机也可以安装智能多用户卡，用以连接本地终端和远程终端。郊县小储蓄点的业务量一般不大，其终端可以直接拨号到就近的PC/UNIX主机，然后再到总行或郊县分行，这样一方面减少了设备及线路投资，另一方面大大方便了管理和维护。网络管理上海市农村合作信用社网络管理采用Cisco Works for AIX，运行于IBM NETVIEW/TME10网络管理平台, 在总行信息中心设立集中网管中心，以集中方式管理分布在网上的所有网络设备，对全网实行管理。1.2 深圳农村信用联社网络系统介绍 深圳农村信用联社网络结构逻辑上分为总部、信用社、网点三级结构，接入网以公众数据网E1/DDN为主体。较大的储蓄对公营业网点通过路由器/公众数据网和总部相连，对于小型网点或远程网点，暂时采用PSTN连接到总部。完整的系统平台包括网络、主机服务器和数据库系统三部分，只有合适的网络、主机服务器和数据库充分配合，才能形成总体最佳的系统平台方案。根据深圳信用合作联社自身的实际情况和特色需求，考虑到对中心社和分社现有资源的合理利用。我们在平台的设计上充分考虑了多种不定因素，理顺管理层次、明确技术职责、规范业务制度，认真准备、充分讨论、反复校订，从而使得网络系统性能完全达到设计指标（系统响应时间一般不超过3秒，复杂事务操作不超过10秒）。网络系统特性网络系统是深圳农村信用合作联社内部信息管理活动的重要组成部分和神经血脉，是联社经营和管理信息流的高速公路，网络技术和拓扑结构的选择合适与否对今后整个联社业务系统能否运行，以及今后整个联社信息管理及计算机化的发展产生深远影响。同时组建计算机信息网络也是一项较大的工程，这项投资不仅要达到预期目标，还应能满足不断发展的需要，必须能作为今后实现全面大范围计算机化管理的基础，在网络系统设计上，着重考虑以下几个方面：可扩展性：易于增加新网点、新设备，易于和各类公用网、专用网联接，且能够不断延伸和扩充。高可靠性：容错容灾，具有抵御外界环境和人为操作失误的能力，广域网应具有可靠的自我恢复能力。标准化：通讯协议和接口应符合国际标准，并符合今后的发展方向。 先进性：具有大容量、高速率、高性能价格比。开放性：能容纳不同厂家设备和不同网络平台。安全性：具有保证信息不丢失、不被窃的机制。使用性：合适的性能价格比，拓扑结构和技术须符合联社系统覆盖面大、网点多、实时处理要求高的特点。根据深圳信用合作联社业务特点及需求，考虑联社系统在安全上的特殊要求，兼顾投资的高效性，建议系统采用数据集中管理的方式，这是一种客户机/服务器的开放的体系结构，网点采用PC/UNIX环境。网络逻辑结构比较简单，分为总部、信用社、网点三级结构，主要通过E1/DDN（主通讯线路）网和PSTN（备份线路）连接。接入网结构特性接入网的网络结构主要基于以下几点：保证各网点与总部之间有可靠和稳定的通路提高网络的稳定和自我恢复能力接入网速率应有升高的余地每个网点应有备份路由，以保证网点与中心的连接的高可用性接入网应有方便和可靠的节点扩充能力，以满足以后网点数增加的需要接入网使用的通信协议必须采用标准协议，避免采用厂家独有标准 深圳信用合作联社计算机网接入网以公共数据网E1/DDN为主体。总部与较大上午储蓄对公营业网点构成通过路由器与中心网相连接入网；对于小型网点或远程网点，暂时采用PSDN连接到总部。网络结构说明在深圳农村信用合作联社的网络设备中，路由器选用Cisco公司的产品，而中心服务器选用IBM小型机产品。通过结合使用IBM公司与Cisco公司的优势产品，可使网络硬件系统结构达到最优。整个系统在结构上分为3层：即电脑部、信用社、网点。采用有路由器和光纤组成的全星型网络结构，使用交换技术和先进的网管技术建成专用、高速的数据网络。为了使网络具有较高的性能，使数据安全、可靠、及时的传输，主干通讯网络采用DDN/E1网。在总部与中心社之间采用DDN通讯线路，并以PSTN 作为备份线路；对于小型网点，采用中低速DDN通讯线路或PSTN为主要通讯网络。这样能够合理地分配数据流量、减少瓶颈和节省费用。系统主机采用IBM AS/400 530系列的高档小型机，连接在Cisco 3000中心交换机上，交换机下连路由器或HUB，并连接一台IBM 43P网管工作站。中心交换机可以采用两台Cisco 3000进行备份连接。此种系统结构有如下优点：主干网采用了全双工交换以太网，保证了联社中心数据库访问信息流量大的需要。使用星型结构，并使用网络交换技术，提高了网络节点间的可用传输带宽。网点通过路由器和DDN/E1网接入主干网，充分利用已建的公众广域数据网资源，既可提高网络可靠程度，又节省投资。星型结构为今后增加新的中心节点和下级节点提供了良好的扩展条件，为实现今后的网状网打下了基础。小型/远程营业网点从费用及效率方面考虑，各小型网点采用一台高档PC机（配置为586/133以上、32MB内存），安装UNIX操作系统作为网点主机，连接多台终端用于联社业务处理。为了节省投资，网点PC/UNIX机由HUB连接路由器，通过E1/DDN网络与总部中心路由器相连。各网点办公机器与PC/UNIX通过HUB相连构成子网，网点的PC/UNIX机安装智能多用户卡，用以连接本地终端和远程终端。个别小储蓄点的业务量一般不大，其终端可以直接拨号到就近的PX/UNIX主机，然后再到总部，这样一方面减少了设备及线路投资，另一方面大大方便了管理和维护。网络设备根据上述网络设计原则和配置要求，网络应包括以下设备：主干网的交换机：CISCO 3000中心路由器：CISCO 7507；路由器应具有支持V。35、E1、X。21等广域网连接的端口；支网路由器：CISCO 2501局域网的以太网交换集线器：CISCO 3000网络管理随着网点的增多，从网络管理的角度来说，在总部一级能进行网络的动态监控和管理，是至关重要的，而网管的主要目的是：保持网络正常运行动态进行资源调配，使得网络高效运转降低网络的维护费用采用IBM RS/6000 C20和IBM的TME 10 NetView网络管理软件，提供了丰富的网络管理功能，协助管理任务关键的客户/服务器应用程序。利用TME 10 NetView，不论分布式网络有多复杂，都能够更容易、更全面地进行管理。它可让用户定义一个NetView备份，以便万一管理平台出现故障或预定关机时能够承担起管理重任。它可管理所有的IP可寻址SNMP设备，因此它能够监控工作站、连接的微机、大型机、路由器、网桥、集线器以及许多SNMP设备。NetView的另一强大的功能是，可以利用IBM的Systems Monitor for AIX将某些轮询和监控任务分布到网络上受管的RISC System/6000节点上。Cisco Works是基于SNMP的网管软件，其应用集成在几种目前流行的网络管理平台上，这些平台包括IBM NetView、SunNet Manager、HP Openview、MicrosoftWindows及CiscoWorks基于工业标准平台，提供了设备监视、简易的配置维护、故障排除等应用。配备Cisco的网管软件CiscoWorks，可以对Cisco产品进行良好的管理，该软件可作为一个模块，加进IBM NetView网管软件内。主要管理功能包括：网络监控：通过网络的拓扑结构来监控所有网络节点的工作状态，实时显示工作性能，并进行统计分析。故障报警和排除：在监控网络设备和主机的同时，可以设置相应参数的阈值，当超过其值或发生故障时向网络管理员报警，以便及时排除故障，解决问题。设备配置设定：可时实地修改局域网或广域网上网络设备的配置，实现动态分配网络资源，有利于网络正常高效地运行。网络资料统计分析：实时收集网络上设备的数据，存储于文件或数据库中，统计分析这些数据，便于了解当前网络的状况，及时调整网络资源分配。管理网上路由器：由于广域网上路由器起着网络互联的重要作用，所以用其中IBM Manage for AIX可对网上的路由器进行设置、监控，从而可及时了解、预测和解决出现的问题，而且还可以管理非IBM的网络产品。网络软件发布：通过网络向网络上节点传送文件，数据及消息。网络系统的安全可靠运行策略电脑中心网络结构 Cisco7507路由器双链路连接到两台Catalyst 3000交换机的容错、可靠结构，这种结构可以防止因其中一台交换机出现故障而造成整个网络瘫痪的现象。用于电话银行的Cisco 2511访问服务器和电话银行前置机静止连接到两台交换机上，其目的是防止电话或网络银行用户非闯入AS/400主机系统，从结构和饿昂落协议上隔离了非法用户入侵，确保系统安全性。但是为了保证电话联社前置机与RS/6000服务器的通信。故应将RS/6000上的另一片网卡端口，与用于电话联社的Cisco 2511访问服务器和前置机接到一单独Hub上，构成单独网段，能有效隔离电话联社用户闯入后台AS/400的可能性。网络银行拨号网安全策略：为了防止非法用户通过电话联社拨号网侵入后台主机系统，在路由器上可以安全控制和过滤非法用户想上网的一切TCP/IP连接工具：Cisco访问服务器可实现以下安全性技术功能：所有非法拨号连接，想通过Cisco访问服务器通讯口进入主机是绝不可能的。因为Cisco访问服务器具有一定“防火墙”功能。它可以过滤telnet、ftp等TCP/IP应用程序、通讯进程，Cisco路由器可通过专门设置，完全控制主叫方式（主叫用户名、口令），由中心路由器进行合法性效验，只有授权拨入的用户才能与中心路由器备份端口建立链接，使非法用户根本无法进入后台主机系统，在路由器就被制止。且主机系统、应用程序各有自己的一套安全机制。拨号备份安全策略： 拨号备份功能是，当DDN线路出现故障时，电话备份线路将自动拨号建立链接，保证链路的畅通时和应用正常进行。因为电话拨号备份网是公用电话网，若没有一套安全机制，可能会给非法用户可乘之机。为此我们采用多种措施过滤、防止非法用户利用telnet、ftp等TCP/IP应用程序闯入主机系统。另外，还可设置允许某网段能通过、某些不能通过，或全部否定某些协议不能通过路由器，安全控制不同网段之间的通信。因为路由器是IP层设备，故只能针对IP层和TCP/IP协议端口来提供网络安全性控制。由于用户端设备来进行安全控制。而通信子网是由第三方电信局提供，因此在一定程序上给非法用户创造机会。他们可能通网络分析设备，窃取通讯线路上数据包，对数据包进行分析，如果他们能够破译数据包，那就不存在网络安全性可言了。而软件上已对数据包进行了加密，所以非法用户想窃取通信线路数据包破译是不可能的。（请参阅软件安全策略）为了防止非法用户通过任意电话线路拨通路由器备份端口，建立非法链接。在Cisco路由器上已考虑到了这已危险情况：Cisco路由器可通过专门设置，完全制主叫方式（主叫用户名、口令），由中心路由器进行合法性检验，只有授权拨入的用户才能与中心路由器备份端口建立链接。应用优先级策略：在CISCO路由器可对不同协议不同网段优先级队列组优先级高的协议数据优先通过，优化网络性能。就TCP/IP协议而言，可根据不同网络的不同端口排队根据优先级通讯，优化了网络传输性能，大大提高网络效率。网络系统的安全政策综述：联社整个网络系统可能存在的威胁主要是：非法链接（通过电话网），非法授权访问，信息泄漏，业务流分析（入侵者观察协议控制信息，或对传递中的信息的长度，频率，源和目的进行分析）。威胁源可能来自几个方面：物理上：风暴，雷电等造成通信线路或系统设备的损坏。人事管理上：因为系统管理员，维护人员，用户的有意或无意造成的网络系统中信息的泄漏，篡改，破坏等。安全政策上：为了保证网络系统的安全，需建立一套合理的，完善的操作规程和安全政策。通信上：通信系统采用DDN和PSTN等信道传输，可能出现主动搭线攻击等。对拨号网络，采取的策略是，证实合法电话线路和过渡不必要的通信进程。如telnet和ftp等，保证网络安全。深圳发展银行广域网工程网络功能介绍 深圳发展银行广域网结构以树形结构为基础，分为总行到总行直接管辖分行或异地直属支行；分行辖内广域网（指分行本部到其辖内异地分支行）；同城网（含深圳地区）三个基本层次。 各分行（总行集中处理的）到总行通讯有一条DDN线路，一条卫星线路，并用一条拨号线进行备份。采用Router或Switch设备，复用数据、图像和语音。语音实现总行与分行程控交换机之间的语音通讯。总行、分行的广域网设备与其本部办公楼内的局域网交换机无缝联接。在深圳、上海、广州、北京（待建）等主节点建立骨干网（Backbone），实现迂回路由。各行到深圳的线路和迂回线路，租用不同公司的线路或同一公司的不同局端。 各分行辖内的各异地分支行，到分行本部有一条DDN线路，并以拨号线进行备份（超过一定业务量时设一条迂回路由）。采用Router或Switch设备，复用数据、图像和语音。实现分、支行程控交换机之间的语音通讯。（超过一定业务量时开通卫星电路）。 同城网采用星形结构，各分支机构一般直接与本部相联，除非必要，一般不再增加层次。同城各分支机构内部构成局域网，配备Router设备及HUB，各应用系统所需主要设备联到局域网上，经DDN或Frame Relay与本部直接相联，拨号线备份。在新一代应用系统未投产前兼容原有系统。 与分支机构相邻的自助银行，所有设备联接到该机构局域网上；独立的自助银行建立局域网，配备Router设备，经DDN或Frame Relay与本部直接相联，拨号线备份。未放置在分支机构内的ATM、POS等银行专用设备，通过X. 25网与本部相联。 总行备份中心由高速DDN通讯线路与生产中心相联，生产主机与备份机另有光纤链路连接。备份中心楼内采用综合布线、配备局域网交换机，形成局域网。通过Router或Switch设备，与生产中心、各分支机构相联。特色在同一网络上支持SNA、TCP/IP、Frame Relay、X.25、ATM、ISDN等各种网络协议，并能方便地在同一设备上进行裁减、增加网络协议。将深圳发展银行各类主机、终端及其它需要联网的各类设备无缝地联在一起，不但保证了主机与各分支机构之间SNA协议数据的可靠、高效传输，还实现了实时金融交易信息的优先传输。在网络安全的关键环节-接入子网的安全设计上采用路由器、Proxy Server和Email Gateway、PIX 防火墙三层保护。网络管理采用CISCO公司基于SNMP协议的网络管理软件产品CiscoWorks。1.3 全国海关ATM/帧中继多业务网（神州数码集成本部） 随着我国经济建设的高速发展，进出口贸易逐年激增，海关信息化系统的建设与完善迫在眉睫。本项目是海关对已有连网业务系统本世纪最大规模的一次改造，对预期系统提出了较高要求，除了对电子报关、联网稽查等业务系统开辟更为高速可靠的信息通道外，还要求对广泛分布于全国的多达四十多个直属海关一次性实现多业务接入和交换，包括高质量视频会议，海关的音频和话务以及传统的IP业务，并对每种业务提出的较高的服务质量指标（QoS要求）。我们推荐并最终选择了在全国范围的多业务ATM网络平台上组建海关网。 我们在国内刚刚建设的ATM宽带多媒体公网上设计、建设和安装了国家海关专用网络，这不仅是我国第一个跨越公共ATM网的ATM专用网，同时也使海关成为我国ATM宽带公用网上的第一个真正用户，开创了在ATM广域网上提供集成和服务的先河。在该专用网上还实现了先进的VPN、MVR和话音网络技术，将采用话音、IP和图像等多媒体业务综合到一条ATM PVC上，圆满的实现了用户的复杂业务需求。 新建设的中国海关网分为三级，海关总署的ATM多业务广域网主干交换机位于网络的第一级，通过STM-1（155Mbps）接入公用ATM网。各直属海关及直属院校构成网络的第二级，由45个中型多业务ATM交换机组成，通过E1/8XE1电路连到公用ATM网上。各分关构成网络的第三级，由小型多业务集中器组成，通过邮电帧中继网和DDN网与第二级直属海关相连。全网呈树状结构，数据流从各分关汇到各直属海关，再经各直属海关汇接到中国海关总署。全网拓扑示意图如下所示。 该项目最大的技术特点是不同业务的网络汇接入单一的ATM网络，实现在一条PVC上同时承载IP、话音和视频多种业务，并能互不相干稳定高效的传输。在Passport系统上，我们采用快速以太网、V.35接口实现传统IP网（以太网、帧中继、DDN等）的接入；采用定义了BTDS业务（比特透明传送业务）的V.35板接入CODEC及MCU等视频会议设备；采用MVP话音功能板连接各海关已有的PBX，实现传统话务接入；采用虚拟路由器技术实现IP网络层的路由和防火墙服务等等；最后都通过STM或E1的ATM模块接入公用ATM网络，实现多网络服务、多业务功能的整合。海关总署与第二级各直属海关、院校采用直接的ATM PVC连接，在这一条PVC上系统提供了独特的业务多优先级机制（MPS），为不同的业务种类提供独立的信元接续，有效保证了各种业务的高质量QoS服务。 除对全国海关网进行全面设计以外，北方所有25个节点全部由我公司负责集成以及现场安装和调试。4名工程师13天内完成所有设备安装和初验。1.4 邮电部全国智能化办公信息网（神州数码集成本部）工程概要 邮电部智能化办公信息集成系统（以下称之为邮电部办公系统）是邮电部全国范围内的行政管理网络，基于TCP/IP网络协议和WEB技术，是部机关内部、部机关与其它二级单位之间的信息通信与处理的专用网络。其业务种类包括一般的数据通信和基于桌面的视频业务。 邮电部机关LAN采用二级结构骨干层和接入层，骨干层由当时的大容量ATM交换机Cisco LS1010组成，接入层由以太网交换机组成整个网络，根据使用情况可划分为数十个虚网。技术要点1广域网部分： 邮电部机关局域网通过路由器以帧中继（Frame Relay 或DDN作为传输平台与各二级单位（各省（市、区）及部直属局级单位）的路由器相连，提供整个行政管理网络的广域连网。广域网传输平台本期采用DDN、其传输带宽512Kbps，二期工程将采用基于ATM的帧中继网，约定速率（CIR）为384Kbps。 方案中采用行业界最为高档的CISCO7500系列路由器作为部中心的广域连接，57个二级单位采用的是CISCO3640。CISCO 在中心路由器提供16个Channelized E1,可满足512Kpbs和384Kbps带宽的需求，将来向广域网ATM过渡，既可以采用ATM UNI方式连接，也可以采用路由器ATM接口方式。 邮电部机关局域网络与二级单位的局域网之间的连接采用星形连接。在此基础上，考虑了自动备份路由，利用路由器上的两个同步串口，一个通过DDN至部中心作为主要传输，另一个通过FR或X.25至部中心做自动备份，以提高网络的安全性。2局域网部分 部中心局域网由骨干网和接入层两层组成。采用三台CISCO LightStream1010作为ATM主干交换机。骨干层采用622MOC-12连接，既可发扩大了骨干传输容量，也可支持多媒体应用及以后网络的扩展打下了基础。骨干层到接入层采用全双工155M ATM 连接。 邮电部机关局域网根据应用或按部门划分成若干个虚网。方案中采用Catalyst5000及Catalyst 3000 Series，均支持VLAN功能。 Catalyst 5000 支持1000个VLAN，其ATM LAN EMULATION模块支持255个ELAN，Catalyst 3000Series支持64个VLAN。Catalyst 3000Series 支持ISL，IEEE802。10，ATM LANE等VLAN中继协议，即支持跨100M快速以太网，FDDI，ATM等骨干网组建VLAN。CISCO路由器的高速端口也支持ISL，ATM LAN Emulation，802.10 等VLAN Tag协议，再利用路由器端口的逻辑子接口技术，可通过路由器的一个高速端口最支持多达255个VLAN的路由。1.5 内蒙邮电97工程全省多厂商网络产品互联（神州数码集成本部）内蒙古电信“九七”工程的目标是建设一个包括12个盟市的中心局及其分局、支局、旗县局在内的电信业务计算机综合管理系统。该系统的基础网络平台是一个较大型的广域网系统，由各盟市网和全区纵向网组成。由于内蒙幅员辽阔，各盟市情况差异较大，因此在网络技术及网络产品的选型上存在多样性。在网络技术的选择上，根据各盟市的业务量大小等不同情况，盟市网的主干分别采用了快速以太网技术、FDDI技术或ATM技术，省市之间及市县之间的广域连接使用了2M E1专线、DDN专线、X.25、异步专线及拨号线路等；在网络产品的选型上，选用了CISCO、3COM、BAY等多产商的网络设备。联想公司基于对各种网络技术和各网络厂家网络产品的的深刻理解和掌握，圆满地实现了这样一个多平台的大型网络系统。1.6 水利部信息中心模拟与ISDN混合远程访问服务网（神州数码集成本部） 本项目几乎涵概了所有模拟和数字的远程拨号访问服务和语音程控交换机信令系统的工程技术，具有相当的技术难度。为了提供移动用户通过ISDN/PSTN拨号入网功能，在水利部信息中心配置了一台Cisco公司企业级访问服务器AS5300。AS5300可以配置4个CE1/ISDN PRI端口，及120路数字Modem，最多提供120路ISDN或PSTN拨号。水利部目前使用2条ISDN PRI 与其程控机房的西门子ISDN交换机相连，提供60路ISDN拨入。技术上要求能够自动识别信令，通过在AS5300中配置检测ISDN D信道中的呼叫信令，进行ISDN接续还是实现内置数字Modem的普通PSTN接续。此项目已验收并投入使用。CISCO产品在国内市场的占有率 根据2002年IDC的统计数据，CISCO产品的国内市占率为神州数码网络产品组网实例1.7 广东韶关电子政务网络案例名称韶关电子政务网络（广东韶关）所属行业政府用户名称韶关市信息中心用户联系人姓名欧阳立新电成商韶关华域电子政务投资有限公司联系方式刘镪 用户需求分析韶关市电子政务网要求完全建成以后能实现除现在网络上的一般功能：如E-mail、FTP、网络论坛、网络图书馆、搜索引擎、网上聊天、管理数据的传输、处理与查询外，还应包括视频点播（VOD）、实时远程决策、网络政府、电视会议、网络电话（IP电话）等功能，是一个高速多媒体互联网，实现整个政务系统的资源共享。1实现信息资源和软硬件资源共享，提供丰富的网络信息服务，以推动政府、科研、管理等部门管理方式的信息化；2实现政府各部门无纸化办公；3满足视频、音频会议以及其他相关的多媒体应用；4实现与INTERNET、广东省政府信息网、下属委办局同区政府信息网的连接；5实用、经济、高速、安全、可扩容2、方案描述结合韶关市对建设电子政务网的具体需求，我们在和网络中心相关人员深入沟通的基础上，考虑整个系统的技术先进性、高度的安全可靠性、良好的开放性、可扩展性，同时本着为用户着想，使整个系统经济可行的原则，神州数码建议采用业界性能卓越的DCRS 7500系列数据交换机作为本次政务网建设的核心网络设备。整个网络采用三层架构，即核心层+会聚层+接入层，所有接入层交换机全部通过千兆链路上连到汇聚层交换机再到核心层交换机，所有的数据交换和路由都通过核心交换机实现。通过和韶关市的相关人员进行沟通，我们了解到韶关市政府在构建政务网方面要求达到“千兆交换为主干，百兆交换到桌面”，同时考虑到核心层的主要功能是实现骨干网络的优化传输，所以设计的重点通常是高速、可靠。综合上面两方面的因素，神州数码建议在核心选择神州数码DCRS-7500系列交换机（可以根据需要选择DCRS-7508）。3、设计原则市府大院园区网以韶关市政府信息中心为政务网中心，此中心既承担县区及院外市直单位广域网的接入，又负责本地市直单位的局域网接入，同时还作为整个韶关市党政信息网的出口与省党政网进行连接。所以必须选择一种高性能的骨干交换设备同时实现上述的多种接入。由于信息流量大，所以本方案采用神州数码的DCRS-7508为中心交换机，DCRS-7508有256Gbps交换能力，96Mpps多层全线速转发，且拥有非常强的扩展能力。在汇聚层的选择上，选用了神州数码的DCRS-7504或DCRS-6512。DCRS-7504拥有4个扩展插槽，128Gbps交换能力，48Mpps多层全线速转发。DCRS-6512拥有12个扩展插槽，48 Gbps交换能力，32 Mpps多层全线速转发，完全满足大流量数据的应用。该系列产品可为企业和服务提供网络提供最先进的性能和能力。专为发挥千兆以太网潜在的巨大交换能力而设计，它的优势在于通过超大的交换背板，来保证任何时候任意一个端口全带宽交换的能力。此系列交换机不论是什么样的通信量和网络负载都提供始终性能一致的第二层和第三层线速交换。针对于城域网、数据中心、智能大厦、企业网络，可作为理想的网络骨干核心交换机。千兆通 DCRS-7515有15个插槽，千兆通 DCRS-7508有8个插槽，千兆通 DCRS-7504有4个插槽，该系列交换机都使用可互换的交换机模块、管理模块，同时提供了电信级别的可靠性及冗余性。可靠冗余DCRS-7500系列交换机支持多个均衡负载的电源以及完全的冗余电源配置。管理员可在机架内同时配置上AC和DC电源，另外所有使用的模块均可以实现热插拔。同时支持冗余管理模块配置，实现自动故障探测和自动切换，无须中断网络。网络安全DCRS-7500系列交换机提供了IP过滤功能，网络管理员可以根据信息流的源和目的IP地址使用允许或拒绝过滤器，更精确的控制带宽，并确保IP网络免遭网络侵入。支持Secure Shell及Secure copy ,确保管理人员远程登陆修改配置的安全性。同时可保护网络免遭如TCP SYN或Smurf等导致网络拒绝服务（DOS）的攻击。强大的QoS技术DCRS-7500系列交换机提供了基于策略的QoS技术可在以太网上提供前所未有的服务质量保证。可对通过交换机的数据包的特征(如端口、VLAN成员、TOS、MAC地址、IP地址或子网、TCP带宽等)对其分类，并根据流量的不同类别采取不同的传输策略。每个端口提供8个QOS级别，可加权赋值的WFQ确保了8级QOS优先级别都至少能分配到最小的带宽。组播功能DCRS-7500系列交换机支持基于硬件的组播，网络管理员可以有效地部署如VOD等视频应用。IGMP可在网络中只传送一个拷贝给请求的端口，节省带宽并提高性能。同时可利用不同的组播协议：DVMRP、MSDP、MBGP、PIM等轻松的创建一个能够持续智能地在整个网络中传输组播信息流网络。速率限制DCRS-7500系列交换机可实现固定速率限制功能，该功能将输入或输出带宽限制在用户定义的参数内，参数小至256Kbps，以8Kbps为步进增量，可一直增至1Gbps。这样供应商就可灵活地提供服务，超出速率限制的信息包可以被丢弃、转发，或者以另一种QOS特性转发。总之，网络主干较现有的网络主干，无论在性能、冗余可靠性、还是网络的安全性都有很大的提高，保证了整个网络性能的提升。4、设计思路方案采用了成熟的千兆以太网解决方案，在现有市政府大楼的中心交换机采用神州数码网络公司的7508多层交换机，再连接汇聚层交换机，这些汇聚交换机和中心交换机一起构成网络的主干。整个方案网络设计的主要基于以下原则：中心交换机为整个网络的核心，它对整个网络的性能，可靠性起决定性作用，它连接各个物理子网，管理网络内信息交换(包括多媒体信息)，控制VLAN间访问，保证信息安全。因此，我们选用的中心交换机除了提供高速的网络连接之外，还具有多种信息的管理和控制能力。全部的网络设备均支持高效的Intranet多媒体和多点广播技术等，为多媒体和多点广播应用如IPTV等提供端到端的带宽保证。网络采用分层结构，不仅逻辑结构清晰，管理方便；更重要的是大多数的数据流量交换在第二的分布交换机上直接处理，不经中心设备，节省主干带宽，提高利用率。DCRS-7508系列交换机提供了IP过滤功能，网络管理员可以根据信息流的源和目的IP地址使用允许或拒绝过滤器，更精确的控制带宽，并确保IP网络免遭网络侵入。支持Secure Shell及Secure copy ,确保管理人员远程登陆修改配置的安全性。同时可保护网络免遭如TCP SYN或Smurf等导致网络拒绝服务（DOS）的攻击。DCRS-7508系列交换机提供了基于策略的QoS技术可在以太网上提供前所未有的服务质量保证。可对通过交换机的数据包的特征(如端口、VLAN成员、TOS、MAC地址、IP地址或子网、TCP带宽等)对其分类，并根据流量的不同类别采取不同的传输策略。每个端口提供8个QOS级别，可加权赋值的WFQ确保了8级QOS优先级别都至少能分配到最小的带宽。有一定的前瞻性，不仅满足当前网上应用，也为向将来更高性能的升级作好了准备：网络具有良好的伸缩性，升级和扩展主要只集中在网络中心，添加新的接口模块，即可实现用户和信息点的扩充；增加光纤连接即可大量提高主干带宽；中心交换机，支持10G的以太网技术，为以后网络升级提供准备。热备份路由协议和热备份双服务器主机系统，在整个系统内消除单点故障，提供系统的高可用性的应用服务系统。5、方案特点根据韶关电子政务应用的特点与要求，我们按照“统一规划、分步实施、讲究实效、安全可靠”的原则，进行韶关电子政务综合系统设计，以满足计算机系统的需要。电子政务网络不同于目前我国一般的企业网络，相比之下有以下几个特点：网络负荷较大：由于要实现视频会议、实现媒体网络教学，将使多媒体信息量大大增加，对网络的带宽要求很高。网络管理及维护工作量大：网络建成后，多媒体、办公数据、管理数据等关键数据传输量大，计算机使用率高，所以管理和维护任务将比较艰巨。利用率高：因为计算机将被应用到日常工作中去，所以网络设备及PC的利用率很高 。数据类型分析：信息管理数据：数据通信量大，复合性强，并且随时间增长幅度很高，要求一定的响应速度。OA及网上信息：数据通信量大，并且随时间推移增长幅度较高，要求一定的响应速度；桌面视频信息：通信时间预定，对传输延时和延时抖动非常敏感，要求网络提供很高的服务质量保证。6、设备清单产品型号产品描述数量中心设备DCRS-75088插槽核心路由交换机机箱（带1个MRS-7500-AC交流电源）2MRS-7500-AC220V交流电源模块（适用于DCRS-7504/7508）2MRS-7500-M4GLDCRS-7500标准系列三层管理模块，含2口1000Base-SX千兆光纤接口（SC接口）2MRS-7500-8GSDCRS-7500标准系列8口1000Base-SX千兆光纤模块（SC接口）4LIC-7508-L3FDCRS-7508标准型三层升级许可，支持RIP、OSPF、PIM、DVMRP2汇聚设备DCRS-75044插槽核心路由交换机机箱（带1个MRS-7500-AC交流电源）2MRS-7500-AC220V交流电源模块（适用于DCRS-7504/7508）2MRS-7500-M2GSDCRS-7500标准系列三层管理模块，含2口1000Base-SX千兆光纤接口（SC接口）2LIC-7504-L3FDCRS-7504增强型三层升级许可，支持RIP、OSPF、PIM、DVMRP2MRS-7500-8GSDCRS-7500标准系列8口1000Base-SX千兆光纤模块（SC接口）3MRS-7500-24TXDCRS-7500标准系列24口10/100 Base-TX模块2DCRS-651212槽机箱式三层交换机机箱（含1个管理模块，2个风扇，1个AC电源）3MRS-6512-MDCRS-6512管理模块3MRS-6512-2GB2口GBIC千兆模块7GBIC-SX1000Base-SX GBIC接口卡模块10GBIC-LX1000Base-LX GBIC接口卡模块41.8 上海长宁区公务网建设案例名称 上海市长宁区公务网建设所属行业 政府用户名称 上海市长宁区信息中心用户联系人姓名 姜鸿宝电话 62513499*22411、用户需求分析长宁区政府业务网系统是长宁市政府新世纪的重点项目，是上海市电子政务系统的一个重要部分；同时，根据办公的需求，还会建立WEB、E-MAIL、FTP、视频会议、VOD等等应用。因此，网络的建设必须严格遵循有关的网络设计标准、网络互联标准，选用合理的网络互联技术以及网络产品（如交换机、路由器及接入设备），还应运行稳定，安全可靠，高效实用，扩展灵活。依托公共通讯网络可以提供的通信环境，构筑一个结构合理、性能卓越、安全可靠的网络系统，可以和广域网、其他特殊楼宇连接，并在其基础上可以实现高质量的话音、数据和图像、视频等网络服务。通过和长宁区政府相关技术人员沟通，我们了解到，长宁区业务网建成以后主要要求满足下述功能：1实现信息资源和软硬件资源共享，提供丰富的网络信息服务，以推动政府、科研、管理等部门管理方式的信息化；2实现政府各部门无纸化办公；3满足视频、音频会议以及其他相关的多媒体应用；4实现与INTERNET、上海市政府信息网、下属委办局同区政府信息网的连接；5实用、经济、高速、安全、可扩容2、方案描述总体设计结合本次长宁区业务网建设的需求，我们认为，核心采用三台神州数码核心交换机DCRS-7500系列，其中对于区机关，由于流量较大，并且所有流量最终都集中于此，所以神州数码建议在此放置一台DCRS-7515核心交换机，其可以提供15个扩展槽，480GBPS的背板交换容量，180MPPS的L2/L3/4包转发速率；对于公安和城监，由于其担负汇聚周边委办局的流量，所以建议采用DCRS-7504核心交换机，其可以提供4个扩展槽，128GBPS的背板交换容量，48MPPS的L2/L3/4包转发速率；三个核心交换机通过DWDM光传输设备连接，最终将形成一个环状，在物理层可以提供冗余，另外，在网络层也可以通过OSPF协议有效实现负载的均衡。对于下面的委办局，分别提供一台DCS-3426，通过1000BASE-LX千兆上连到就近的核心交换机DCRS-7400系列，具体参见下面的网络拓扑图。从图中我们可以看到，长宁区政府至区公安、区公安至城监、城监至长宁区政府构成光缆环路。下级34个接入单位分别通过敷设6芯单模光缆接入上级三个核心节点，另有3个接入单位通过极连方式接入，即：610办从政法委接入，通过千兆铜缆；新闻中心从文化局接入，通过千兆光纤；检察院从房地局接入，通过千兆光纤路由设计路由协议路由协议包括两部分：域间路由协议，域内路由协议。域间路由协议：一般采用BGP-4。分域的目的是为了减少每个域内路由条目的数量，便于维护和管理。域内路由协议：域内路由协议可以采用动态路由协议OSPF作为此次两个校区业务网骨干的域内路由协议。常用的路由协议有RIP、RIP V2、和OSPF。RIP不支持变长子网，网络收敛速度较慢，设备间转发的路由信息比较多，每次交换路由信息都会把整个路由表广播出去，严重浪费带宽；RIP V2虽然支持变长子网，但依然有收敛速度慢，交换内容多等弊端，不适合作为一个运行商内部的网络路由协议。OSPF具有收敛速度宽，占用带宽资源少等特点。路由组织建议在三台核心交换机DCRS-7500上采用OSPF动态路由协议，并且通过动态路由和静态路由相结合以便减少路由信息交换的频度和数量。路由策略采用动态路由协议如OSPF后，不仅可以利用多达8跳并行链路均匀地传输数据，更可利用OPSF收敛块的特点，选择最佳路由，实现路由热备份。为防止常用的缺省网关失效，尽可能采用IETF标准的VRRP协议进行缺省网关备份。采用策略路由是实现网内流量流向分担的常用办法。根据一系列策略，选择不同的路由，可以实现对流量的有效控制。普通情况下，OSPF会根据链路速率自动计算所需的METRIC，不需要人为干预。带宽越高，METRIC越小，路径也越好。对于某些地点，需要根据设备的性能人为设置METRIC。根据地理位置合理地划分OSPF域，减少路由收敛时间。采用策略路由技术，决定数据包的转发路径，可以人为地干预数据的转发。在选择OSPF路由协议作为内部路由协议，应注意每个区（Area）的路由交换机不超过50个，一个区边界路由器（ABR）连接不超过5个Area。3、设计原则高带宽、高性能通过和长宁区政府的相关人员交流我们了解到，为了其业务网大负荷通信能力，应能够根据需要大幅度提高网络互联带宽、路由交换机背板交换能力及路由交换机交换性能，实现从边缘至核心交换机各级网络设备全方位地消除网络瓶颈，尽量避免拥塞，显著改善响应时间，还应提供对服务质量的保障机制。基于应用层的QoS保证长宁区业务网的IP网络负担着网络中所有类型的通信，当然，就目前而言，信息流量比较大的应用可能主要集中在一些有限的应用，但是我们不能排除其今后的应用类型上会增加很多其它通信类型，如数据备份、FTP、用户网页浏览、用户数据库查询、远程控制信息、应用系统的数据主备切换等等应用类型。所有这些通信方式和对传输网络的要求各不相同，所以网络必须能够提供基于硬件的面向应用的QoS，才能为所有这些应用提供具有服务质量保证提供网络传输。面向应用的带宽管理可以实现经济高效的Internet通信，通过为带宽敏感的应用，如视频应用，分配高优先级和QoS来确保关键应用可以获得所需的带宽和资源。 高可靠性、高稳定性在考虑现有网络的基础上，整个业务网网络结构的拓扑结构尽量采用稳定可靠的结构形式，以保证整个网络的高可靠性。网络设备和整个网络系统必须具备高可靠性特征。主要网络设备必须具有热插拔功能，可带电修复故障而不影响网络系统的总体工作，并支持电信级的网络设备可靠性。安全性对于长宁区政府，保密性一定不能忽视。一般来讲，网络的安全性会直接影响到整个系统的安全性，如何提供安全的运行环境至关重要，网络设备必须能够提供统一的基于策略的安全访问控制，神州数码的网络系统完全可以提供设备级的安全访问控制。 先进性在技术上要到达当前的国际先进水平。要采用最先进网络技术，以适应