铁路公安局网络设计方案.docx

铁路公安局网络设计方案1.项目概述1.1 项目概述1.1.1 项目背景XX铁路局管辖范围内公安信息网进行改造，合理规划网络结构、增大带宽资源等，以达到XX铁路公安信息网对其带宽的要求。1.1.2 项目范围改造地点包含XX公安处、XX公安处、XXX公安处、XX公安处（XX铁路局管内），以及刑侦处、技侦处、反恐办。其中XX铁路公安处管辖范围包含64个派出所和54个警务区；XX公安处管辖范围包含54个派出所和83个警务区；XXX公安处管辖范围包含56个派出所和102个警务区。此外，XX公安处管辖范围包含11个派出所，1个警务区。2 信息网现网情况说明12.1 现网网络结构2.1.1 铁路公安局核心网络XX铁路公安局网络系统目前由两台H3C R6608系列路由器作为核心路由器上联铁道部公安网络，下联通过155M POS或2M E1线路与XX公安处、XXX公安处、XX公安处互联；其他业务系统（如XX公安处、刑侦处、公安学校、网安专网）等同样使用E1或者GE端口与之互联。两台H3C S7503作为XX内网核心交换机，下挂楼层交换机。2.1.2 XX公安处目前-（XX公安处情况）2.1.3 xx公安处XX公安处情况-2.1.4 xxx公安处xxx公安处情况-2.2 存在的问题2.2.1 带宽不足带宽资源不足，无法满足目前公安信息网的需求。目前 xx铁路公安局至神华公安处为4M 连接，XX、XX、XXX公安处至所（队）端公安网为2M带宽连接，XX公安处之xx铁路公安局为4M带宽连接，公安信息网XX节点至XX公安处为2M带宽连接。随着公安信息化建设的不断深入以及目前日益严峻的反恐形势，铁路公安对信息网的要求越来越高。由于公安网网络带宽的限制，使得多套应用系统无法在xx铁路公安局正常安装和推广使用。譬如铁路公安局至所队端的高清视频会议系统无法开通至派出所级别，严重影响了指挥命令的下达和部署。2.2.2 网络结构不合理网络结构不合理。XX铁路局公安信息网于2008年投入使用，2011年至今，xx铁路局对公安信息网进行了部分网络结构的改造，但仍有部分派出所和所有警务区未联通公安信息网，目前的网络结构和现状已经严重制约了公安信息化建设的发展和日常工作的顺利开展。3 项目实施总体设计3.1 网络总体物理设计3.1.1 网络总体物理设计根据网络带宽和后续扩展性要求，本次项目采用核心层-汇聚层-接入层三层架构，采用该方式的有点：三层网络结构是采用层次化架构的三层网络。三层网络架构采用层次化模型设计，即将复杂的网络设计分成几个层次，每个层次着重于某些特定的功能，这样就能够使一个复杂的大问题变成许多简单的小问题。三层网络架构设计的网络有三个层次：核心层（网络的高速交换主干）、汇聚层（提供基于策略的连接）、接入层 （将工作站接入网络）。最终目标网络拓扑：此处拓扑为终极目标网络xx铁路公安核心节点既有2台核心路由器，无法满足本信息网数据带宽传输需求，本研究考虑新设的2台核心路由器，利用铁路通信传输通道接入铁路公安局。本期由于XX和XX不具备完全替换条件，故此次割接网络XX和XX公安处下行网络沿用原有网络，本期目标网络构架如下：3.1.2 核心-汇聚层网络设计在核心处分别连接到XX、XXX、XX公安处，分别在AREA 1、AREA2、AREA3分为三个区域，并XX与XX公安处下联沿用以前的区域3，XXX公安处全部忻建为区域2。3.1.3 XX汇聚-接入层网络设计本期由于XX不具备完全替换条件，故此次割接网络XX公安处下行网络沿用原有网络，将NE40E-X8接入原有网络中，NE40E-X8上联通过一条155M POS，一条622M POS与核心路由NE40E-X16相连，区域规划为进程1的AREA 1。下联沿用原R6608网络线路连接，区域规划为进程2的AREA 3。再进行双进程的相互引入，引入同时携带tag标记，防护路由环路产生。其中，在NE40E-X8-1上进程1引入进程2携带tag 100。进程2引入进程1携带tag101。在NE40E-X8-2上进程1引入进程2携带tag 102。进程2引入进程1携带tag103。3.1.4 XX汇聚-接入层网络设计本期由于XX不具备完全替换条件，故此次割接网络XX公安处下行网络沿用原有网络，将NE40E-X8接入原有网络中，NE40E-X8上联通过一条155M POS，一条622M POS与核心路由NE40E-X16相连，区域规划为进程1的AREA 3下联沿用原R6608网络线路连接，区域规划为进程2的AREA 3。再进行双进程的相互引入，引入同时携带tag标记，防护路由环路产生。其中，在NE40E-X8-1上进程1引入进程2携带tag 104。进程2引入进程1携带tag105。在NE40E-X8-2上进程1引入进程2携带tag 106。进程2引入进程1携带tag107。3.1.5 XXX汇聚-接入层网络设计本期XXX采用完全替换，故此次割接XXX公安处下行网络全部新建，由于部分2M业务还存在，所以保留一台R6608，将2M业务全部迁移到本台R6608上。将NE40E-X8接入原有网络中，NE40E-X8上联通过一条155M POS，一条622M POS与核心路由NE40E-X16相连，区域规划为进程1的AREA 2，下联采用新设备NE20E-S8使用155M POS进行双上联，区域规划为进程1的AREA 2。R6608下挂在其中一台NE40E-X8下，NE40E-X8此接口规划为进程2的area3，在该设备上进行双进程互相引入。为2M业务继续提供服务。3.2 技术建议3.2.1 OSPF协议本项目单播路由设计中，考虑到不同网络单元的架构和业务需求，路由规划采用动态路由相互引入模式，其中，在核心路由器节点上行互联及汇聚路由器互联之间采用动态OSPF路由协议。l OSPF路由设计原则：对于一个可适用于大型广域网络的复杂动态路由协议，在配置之前必须做好整个OSPF网络的规划工作。下面在设计、规划OSPF网络时必须要进行的工作：l 确定需运行OSPF协议的路由器在设计OSPF网络时，首先要确定的是哪些路由器/交换机要启用OSPF路由进程，这个相对来说比较好确定，因为通常来说，在一个自治系统内部各路由器/交换机上最好运行相同的路由协议，所以绝大多数情况下是自治系统内部的各个路由器上都要OSPF协议。l 合理地划分OSPF区域随着网络规模日益扩大，当一个大型网络中的路由器都运行OSPF协议时，LSDB（链路状态数据库）会占用大量的存储空间，并使得运行SPF（Shortest Path First，最短路径优先）算法的复杂度增加，导致CPU负担加重。同时，在网络规模增大之后，拓扑结构发生变化的概率也增大，网络会经常处于振荡之中，造成网络中会有大量的OSPF协议报文在传递，降低了网络的带宽利用率。更为严重的是，每一次变化都会导致网络中所有的路由器重新进行路由计算。OSPF协议通过将一个自治系统划分成不同的区域来解决上述问题。区域是从逻辑上将路由器划分为不同的组，每个组用区域号来标识。按一般经验，在一个区域内路由器的数量最好不要超过70台，且当网络中的路由器的台数少于20台的时候，也可以只划分一个区域。另外，根据OSPF协议规定，所有的其他区域均必须与骨干区域连接，所以在规划区域时候应该合理的选择骨干区域的位置。通常是将骨干区域置于网络的中央，这样可以使更多的其他区域与骨干区域直接连接。同时，由于骨干区域中的路由器要负责整个OSPF网络各个区域的路由信息传输，负荷比较大，所以骨干区域中的路由器应该选择性能好，处理能力强的高端路由器来承担。l 参数规划：l OSPF进程标识（Process ID）OSPF 进程号是用来标识路由器内一个或者多个OSPF 进程，该标识只在本路由器有效，路由器间建立OSPF邻居关系时，可以各自不同的进程号。在本项目中，我们设计所有路由器OSPF 进程号为：1 l OSPF路由器标识（Router ID）在每个OSPF 进程中，路由器都需要有唯一的Router ID 来标识自己。在缺省情形下，路由器指定最高的Loopback IP 地址做为自己的Router ID。为保证OSPF Router ID相对稳定，在OSPF进程的配置中，指定Loopback 0接口的IP地址为Router ID。l OSPF路由计算在Area之间，OSPF采用Distance-Vector算法进行路由计算。在Area 内部，OSPF 采用Dijkstras SPF 算法计算最短路径树（SPT）。SPF算法会发现整个Area的拓扑，计算最短路径树。l OSPF LSA 和Area本项目涉及到的Area为Area 0和Normal Area。子网名称OSPF-AREA 编号核心路由器0汇聚下行113l OSPF网络选路在复杂网络环境，通过调整OSPF的功能参数来达到灵活组网、优化网络负载分担，使得网络以满足复杂环境中的需要。OSPF既可以根据接口的带宽自动计算其链路开销值，也可以通过命令配置。如果没有通过ospf cost命令配置OSPF接口的开销值，OSPF会根据该接口的带宽自动计算其开销值。计算公式为：接口开销=带宽参考值/接口带宽，取计算结果的整数部分作为接口开销值（当结果小于1时取1）。通过改变带宽参考值可以间接改变接口的开销值。本项目使用通过命令行配置的方式设置cost值和bandwidth-reference。bandwidth-reference：100，000（单位是Mbit/s）cost值：cost值参数规则链路类型COST值主用10GE10主用GE100l OSPF路由发布此OSPF网络通过network方式发布接口路由。3.2.2 SNMP网管协议访问通过SNMP(Simple Network Management Protocol)网管协议能够收集设备运行状态数据，并且对数据进行处理，将数据图形化，分析数据以便进行流量调整，是全网网管系统必须依靠的协议。根据网络安全要求。全网网络设备启用SNMP版本3，为网管设备提供丰富的管理信息。使用SNMP的只读模式（如果计划使用SNMP用于读写模式，需要考虑使用此模式的风险，在这种模式下，错误的配置可能使路由器具有很大的安全隐患）；另外，利用访问控制列表限制对设备SNMP的访问，明确哪些网段可以通过指定Community值访问本机的SNMP，防止网络外的非法用户通过SNMP对网络进行探测。3.2.3 设备的访问控制对防火墙和交换机的管理，主要通过设备本身的Console/Meth控制端口、网络远端 VTY虚拟终端或网管SNMP协议。通常Console/Meth控制端口连接访问服务器作为带外网络管理，VTY虚拟终端远程访问是访问设备的最常用的方法。华为设备支持的访问协议可以是 Telnet或SSH。通过配置访问控制，做到只有特定的管理员可以配置设备，而其他的管理员只有查看相关配置的权限。3.2.4 Console/Meth控制端口加强机房安全控制，避免非法人员接触设备Console/Meth 控制端口，并适当降低Console/Meth控制端口的非活动超时时间，降低被盗用的风险。同时，在Console/Meth口上配置AAA，做到只有特定的知晓用户名/密码的网络管理员才可以调试设备，提高设备安全性。3.2.5 密码设置任何情况下不要使用单词、生日数字、专有名词等类似简单密码作为设备的登陆密码，要使用字母数字混合的密码，且务必控制密码知晓范围；默认情况下配置中所有的密码和其他的认证字符序列都使用MD5哈希算法不可逆的机制进行加密，很难使用软件反向推算出原始密码，具有较大安全性，建议所有网络设备开启密码加密设置。3.3 设备命名设备命名规则按照现网业务要求，使用设备型号+设备位置+序号的方式来命名设备。设备型号是NE40E-X16、核心层-CORE、汇聚层-AGG。地区-。具体设备命名如下：设备型号设备序号设备命名核心层NE40E-X161NE40E-X162汇聚NE40E-X81NE40E-X82NE40E-X83NE40E-X84NE40E-X85NE40E-X86高端接入3.4 IP地址总体规划3.4.1 IP地址规划基本原则IP地址规划原则需要考虑规范性、标准性、可扩展性、连续性和灵活性，在进行IP地址规划设计时，必须考虑如下基本原则：l 规范性：网络地址空间划分和分配是基于对全局的应用部署、数据流向和用户访问的全面理解，结合业界最佳实践对全局规划、分配、使用IP地址具有指导和强制作用；l 标准性：IP地址的分配空间需要符合RFC1918的标准规定；l 可扩展性：网络地址在功能、容量、覆盖能力等各方面具有易扩展能力，以适应快速的业务发展对基础架构的要求；l 连续性：在网络规模扩展时能保证地址汇总所需的连续性。网络地址空间划分采用分层、分级结构化方法，按职能划分连续地址，易于进行路由汇总；l 灵活性：地址分配应具有灵活性，借助可变长子网掩码技术，支持多种路由策略的优化和充分利用地址空间从国际IP地址规划标准(IEEE RFC1918)来看，国际标准私有网络地址分配的规划如下：10.0.0.0 - 10.255.255.255172.16.0.0 - 172.31.255.255192.168.0.0 -192.168.255.2553.4.2 IP地址整体规划考虑到业务平滑切换的要求，在割接方式上会采用新设备与老设备同时在网运行后，然后将业务逐步切到新设备上。这就要求新上线设备需要使用新建网段来承载业务。目前在网使用的网段信息如下：IP地址网段设备管理地址设备互联网段服务器网段故根据上述已经使用地址段，结合国际标准(RFC1918)的私有地址段，规划使用172.X.0.0/24为原子路由做规划，核心互联使用10.X.X.0/24来作为设备互联网段。具体地址空间规划内容见附件：铁路ip地址规划4 实施总体说明4.1 实施过程总体概述为保障业务的平滑切换，对业务造成影响降到最低，本项目采用先替换后新建网络，不与旧网络并行运行，汇聚AGG路由器则直接接入，然后按照业务进行逐步割接的方法。之前在规划IP地址的时候已经规划IP地址与现网地址不能冲突。在确认IP地址无冲突和线缆数量保证的情况，可按照如下步骤进行项目实施：基础业务确认、设备安装和线缆。业务模型细节核实：该系统携带服务器、楼层接入等业务，但是具体的业务还需要梳理，以便更好的确认实施细节。在确认设备安装地点后，完成设备间（核心-汇聚）线缆布放：确认设备安装具体站点后，根据站点距离、竖井未知、ODF的条件，完成设备之间（核心-上行、核心-汇聚）线缆选择并安装布放。由于服务器业务复杂，所以服务器区线缆布放要等到业务核实完毕后再确认具体方案。第一步：设备替换。将原核心直接替换，配置不变，将原2M线路不在接入原网络中，神华处采用临时带有2M线路接口路由器接入核心，core-1上联接入公安部，core-2上联采用155M接入铁道部公安部。2台核心路由器采用原位替换方案故无法提前安装。第二步：新建设备上架安装。根据整体实施步骤，XX、XX、XXX处汇聚路由器NE40E-X8设备可提前安装并上线，所以先安装6台新建设备，并完成基础配置。将新建622M线路接入设备，并保证线路连通。第三步：XX、XX各公安处设备接入网络。并将XX、XX处原R6608设备上联配合进行更改。查看邻居关系是否正常建立，并查看路由是否正常。第四步：XXX处各派出所设备替换。 第五步：整体业务测试。4.2 实施前准备4.2.1 实施时间实施时间确定为2016年x月x日 xx时-2016年x月x日 xx时。4.2.2 实施人员组成及职责国网华北分部实施小组名单姓名责任电话总指挥实施责任人实施责任人现场实施小组名单：姓名责任电话总指挥实施责任人实施责任人后方支援保障小组名单：姓名 责任电话技术专家、支援总协调各产品支持接口人实施风险及应对措施序号风险描述发生可能性（高、中、低）影响程度（高、中、低）应对措施1数据备份低低2业务中断中中34实施前检查工作序号实施前确认配合工作责任人完成时间1失败倒回方案（不涉及）2测试方案（不涉及）3确认实施的风险和应急措施4实施测试人员到位5协调周边侧设备维护人员到位6后方保障支援小组到位4.3 具体实施步骤4.3.1 第一阶段-核心路由器直接替换总体说明核心设备承载XX、XX、XXX各处核心业务，下行汇聚路由器均是双上行到两台核心路由器，形成路由和链路备份。为保证业务尽量少中断的要求，先将CORE-1上行OSPF路由COST值改大，这样下挂接入设备的业务就会从源核心6608-2出去，此时使用NE40E-X16原位替换6608-1。在确保路由学习正常替换成功后，将NE40E-X16-1的OSPF路由COST更改为之前配置，此时检查下挂设备等价路由是否正常，确认后将R6608-2的OSPF路由COST值改大，使业务均走NE40E-X16-1，此时使用NE40E-X16-2原位替换6608-2。在确认替换设备路由学习正常替换成功后，将OSPF路由COST更改为之前配置。这样确保实施过程中，对业务影响量最小。实施中网络拓扑如下：实施准备硬件准备：设备光模块线缆说明NE40E-X16数量软件准备：-配置准备：路由协议：OSPF供电准备：每台设备4路交流输入：110V AC/220V AC，50Hz/60Hz，每路最大输入16A。线缆准备：线缆利旧，如果是新布线缆的话，则需要提前布放。人员准备：涉及原设备下架，新设备上线，预计需要6人天。实施责任人：XXX实施配合人：XXX实施验证人：XXX序号实施项目实施内容实施人员电话1机柜准备原有设备替换，使用之前设备位置XXX2设备安装NE40E-X16整机上架安装，加电（需4人以上）XXX3线缆布放利旧XXX4光模块 XXX5设备软调设备配置，XXX实施步骤实施进度表步骤序号步骤名称实施时间实施负责人员实施配合人员情况验证人员1环境检查，工具跳线准备15分钟26608-1的OSPF路由COST调整及验证5分钟36608-1设备下架30分钟4NE40E-X16-1设备上架，连接相应线缆30分钟5设备软调、路由验证5分钟6OSPF路由COST值恢复，并验证5分钟76608-2的OSPF路由COST调整及验证5分钟86608-2设备下架30分钟9NE40E-X16-2设备上架，连接相应线缆30分钟10设备软调、路由验证5分钟11OSPF路由COST值恢复，并验证5分钟12验证动态路由运行正常10分钟1、 6608-1的OSPF路由COST调整及验证将6608-1的上行OSPF路由COST和核心设备下行的COST均改大，确保业务报文会从6608-2走，达到路由切换的目的。2、 6608-1设备下架、NE40E-X16-1设备上架NE40E-X16-1上架安装、上电、验证硬件正常，并进行线缆链接、软调。3、 OSPF路由COST值恢复，并验证将NE40E-X8-1和NE40E-X16-1的OSPF路由打通，并验证路由学习。然后将OSPF路由COST值更改为之前配置，达到与6608-2等价路由的目的。4、 6608-2的OSPF路由COST调整及验证将6608-2的上行OSPF路由COST和核心设备下行的COST均改大，确保业务报文会从NE40E-X16-1走，达到路由切换的目的。5、 6608-2设备下架、NE40E-X16-2设备上架NE40E-X16-2上架安装、上电、验证硬件正常，并进行线缆链接、软调。6、 OSPF路由COST值恢复，并验证将NE40E-X8-2和NE40E-X16-2的OSPF路由打通，并验证路由学习。然后将OSPF路由COST值更改为之前配置，达到与NE40E-X16-1等价路由的目的。业务验证使用display ip routing-table，display ospf peer等命令检查ospf路由是否工作，是否收敛。风险及影响实施中可能会出现该设备下挂业务中断，在尽可能短的时间内完成该设备割接。回退方案由于使用的是分步替换，所以在实施过程中，如果出现替换不成功的情况，则可以直接将原设备安装到原位置，线缆恢复。4.3.2 第二阶段-基础业务确认和设备安装总体说明该网络接入涉及XXX处各地派出所，业务比较复杂，所以首先完成详细网络业务情况，包括端口互联、VLAN、IP地址等业务详情，为确认后续实施的具体细节。此次可以提前上架6台NE40E-X8，该6台设备为：NE40E-X8-AGG-XX-1、NE40E-X8-AGG-XX-2、NE40E-X8-AGG-XX-1、NE40E-X8-AGG-XX-2、NE40E-X8-AGG-XXX-1、NE40E-X8-AGG-XXX-2，并将新建622M线路接入到NE40E-X8上，并连通。提前进行设备预配。 在确认目标网络拓扑后，需要提前完成中间线路完成情况。目前核心-汇聚之间为一条155M、一条622M，为后续设备互联做好准备。业务模型细节核实由于下挂服务器业务比较复杂，所以提前摸清业务模型很有必要。业务模型核实需要涉及业务类型、端口数量、VLAN信息、IP地址等要素，为后续实施做好准备。下表为参考模板，也可根据现网业务自定义模板。此工作需要与公安各处人员共同完成，预计10人天左右。设备型号下挂业务类型端口数量VLAN信息IP地址其他要素6台设备安装上线NE40E-X8-AGG-XX-1、NE40E-X8-AGG-XX-2、NE40E-X8-AGG-XX-1、NE40E-X8-AGG-XX-2、NE40E-X8-AGG-XXX-1、NE40E-X8-AGG-XXX-2，这6台设备可以提前上线，在完成线缆布放后，按照如下步骤实施即可。实施准备硬件准备： 机柜设备说明标准机柜NE40E-X8600*1100*2200CE1280818U数量361266注：安装工具必备。软件准备：-配置准备：路由协议：OSPF链路协议：ETH-TRUNK供电准备：每台设备4路交流输入：110V AC/220V AC，50Hz/60Hz，每路最大输入16A。人员准备：新设备安装对现网业务无影响可在工作日操作，预计20人天完成。实施责任人：XXX实施配合人：XXX实施验证人：XXX序号实施项目实施内容实施人员电话1机柜准备提前准备空闲600*1100*2200机柜3个，XXX2设备安装NE40E-X8整机上架安装，加电（需4人以上）XXX3设备软调设备配置，XXX实施步骤实施进度表：步骤序号步骤名称实施时间实施负责人员实施配合人员情况验证人员1环境检查，工具跳线准备15分钟2新设备上架，上电 6*60分钟3设备检查30分钟4线缆对接20分钟5业务配置10分钟6验证动态路由运行正常30分钟1、 安装设备检查现场环境和机柜满足要求后，对NE40E-X8设备进行安装，安装步骤严格按照设备安装文档进行，同时确认单板插入槽位准确。上下两台NE40E-X8要求间距大于2U。2、 设备上电每台设备4块电源输入，使用设备要求电源线接机柜电源。完成上电。3、 设备检查登录设备确认单板、电源等均正常运行，无硬件告警。4、 线缆对接链路调通。端口运行正常，无错误包。（等待核心替换后再行接入）5、 设备配置根据之前的IP地址规划，配置与广域网路由器IP地址互通。配置OSPF协议和ETH-TRUNK协议，确保OSPF协议邻居建立正常，ETH-TRUNK运行正常。6、 业务验证设备单板、电源无硬件告警，软件版本满足要求；OSPF邻居正常建立，ETH-TRUNK运行正常。业务测试使用display ip routing-table，display ospf peer等命令检查ospf路由是否工作，是否收敛。风险及影响 此阶段为新建网络，对现网业务无影响，无风险。回退方案此阶段为新建网络，无需回退。4.3.3 第三阶段-XX、XX设备接入总体说明本期由于XX、XX不具备完全替换条件，故此次割接网络XX、XX公安处下行网络沿用原有网络，将NE40E-X8接入原有网络中，NE40E-X8上联通过一条155M POS，一条622M POS与核心路由NE40E-X16相连，区域规划为进程1的AREA 1。下联沿用原R6608网络线路连接，区域规划为进程2的AREA 3。再进行双进程的相互引入，引入同时携带tag标记，防护路由环路产生。其中，进程1引入进程2携带tag 100。进程2引入进程1携带tag101。割接时，将原连接R6608的155M线路接入到新上设备NE40E-X8上，并将另一条155M线路关闭。将NE40E-X8接入现网中。此阶段主要工作是：线路调通、三层互通、OSPF路由打通。设备接入后验证业务。实施准备硬件准备： 设备安装完成，线路布放完成。配置准备：路由协议：OSPF人员准备：本操作为设备接入，并打通路由，预计2人天完成。实施责任人：XXX实施配合人：XXX实施验证人：XXX序号实施项目实施内容实施人员电话1设备接入接入设备，光纤互联，调通链路XXX2设备软调OSPF配置，并验证XXX3设备软调路由验证XXX实