XX市档案局方案建议书

1、档案馆档案信息息化系统统建设设计方案20133年7月目录TOC o 1-2 h z u HYPERLINK l _Toc361523969 第 一 章 档档案局建建设需求求分析 PAGEREF _Toc361523969 h 44 HYPERLINK l _Toc361523970 1.1 档案局局信息化化建设现现状 PAGEREF _Toc361523970 h 4 HYPERLINK l _Toc361523971 1.2 建设目目标 PAGEREF _Toc361523971 h 4 HYPERLINK l _Toc361523972 1.3 业务及及需求分分析 PAGEREF _Toc

2、361523972 h 5 HYPERLINK l _Toc361523973 1.4 系统设设计原则则 PAGEREF _Toc361523973 h 7 HYPERLINK l _Toc361523974 第 二 章 网网络平台台建设 PAGEREF _Toc361523974 h 111 HYPERLINK l _Toc361523975 2.1 网络建建设原则则 PAGEREF _Toc361523975 h 11 HYPERLINK l _Toc361523976 第 三 章 总总体网络络建设方方案 PAGEREF _Toc361523976 h 133 HYPERLINK l _T

3、oc361523977 3.1 方案设设计思路路 PAGEREF _Toc361523977 h 13 HYPERLINK l _Toc361523978 3.2 网络结结构拓扑扑设计 PAGEREF _Toc361523978 h 224 HYPERLINK l _Toc361523979 3.3 网络管管理设计计 PAGEREF _Toc361523979 h 28 HYPERLINK l _Toc361523980 3.4 网络安安全设计计 PAGEREF _Toc361523980 h 40 HYPERLINK l _Toc361523981 第 四 章 云云计算中中心建设设PAGER

4、EF _Toc361523981 h 49 HYPERLINK l _Toc361523982 4.1 建设云云计算平平台的重重要意义义 PAGEREF _Toc361523982 h 49 HYPERLINK l _Toc361523983 第 五 章 中中心机房房建设方方案 PAGEREF _Toc361523983 h 588 HYPERLINK l _Toc361523984 5.1 机房装装饰工程程 PAGEREF _Toc361523984 h 58 HYPERLINK l _Toc361523985 5.2 机房供供、配电电系统 PAGEREF _Toc361523985 h 6

5、63 HYPERLINK l _Toc361523986 5.3 防雷接接地系统统 PAGEREF _Toc361523986 h 67 HYPERLINK l _Toc361523987 5.4 机房消消防系统统 PAGEREF _Toc361523987 h 70 HYPERLINK l _Toc361523988 5.5 机房门门禁系统统 PAGEREF _Toc361523988 h 72 HYPERLINK l _Toc361523989 5.6 机房通通风系统统 PAGEREF _Toc361523989 h 74 HYPERLINK l _Toc361523990 5.7 机柜系

6、系统 PAGEREF _Toc361523990 h 788 HYPERLINK l _Toc361523991 5.8 UPSS及环境境监控设设计 PAGEREF _Toc361523991 h 799 HYPERLINK l _Toc361523992 5.9 用户需需求及应应用状况况 PAGEREF _Toc361523992 h 82 HYPERLINK l _Toc361523993 5.100 实际际方案介介绍 PAGEREF _Toc361523993 h 822 HYPERLINK l _Toc361523994 5.111 单机机配电原原理图 PAGEREF _Toc3615

7、23994 h 882 HYPERLINK l _Toc361523995 5.122 输入入/输出配配电要求求 PAGEREF _Toc361523995 h 83 HYPERLINK l _Toc361523996 5.133 设备备尺寸、重量及及放置要要求 PAGEREF _Toc361523996 h 844 HYPERLINK l _Toc361523997 5.144 系统统优化建建议方案案 PAGEREF _Toc361523997 h 85 HYPERLINK l _Toc361523998 5.155 产品品介绍 PAGEREF _Toc361523998 h 886 HYP

8、ERLINK l _Toc361523999 5.166 科士士达蓄电电池 PAGEREF _Toc361523999 h 900 HYPERLINK l _Toc361524000 5.177 服务务器机柜柜产品资资料 PAGEREF _Toc361524000 h 933 HYPERLINK l _Toc361524001 5.188 环境境监控系系统 PAGEREF _Toc361524001 h 1000档案局建建设需求求分析档案局信信息化建建设现状状信息化是是当今世世界科技技、经济济与社会会发展的的大趋势势，是推推进现代代化建设设的重大大战略举举措，也也是衡量量一个地地区、一一个城市

9、市现代化化程度和和综合竞竞争力的的重要标标志。根根据国家家、省上上、市上上关于信信息化建建设的总总体要求求，XXX市档案局局政府信信息化建建设紧紧紧围绕国国民经济济和社会会发展目目标，从从全面建建设小康康社会、加快推推进XXX市档案局局现代化化建设的的要求出出发，采采取切实实有效的的措施，加加快信息息化建设设步伐，努努力促进进XX市档案局局“国际化化、市场场化、人人文化、生态化化”建设的的发展目目标，推推动经济济社会全全面协调调可持续续发展。建设目标标XX市档档案局网网络主要要承载政政务园区区的政务务应用，专专用于政政务园区区政府网网络信息息平台，实实现政务务园区各各入驻部部门的网网络互联联，

10、满足足各种业业务系统统的需要要。规划建设设的主要要目标是是：根据据全省、全市档档案馆网网络统一一规划，多业务承载网络，具备多业务融合承载能力，即在统一的网络系统平台上，利用IP网络承载电子政务业务数据、流媒体等信息；高可靠、高带宽，保证现有电子政务各项业务应用需求，兼顾将来发展，提供一个高带宽、可根据需求灵活进行服务级别管理的网络系统平台；故障冗余能力，由于电子政务应用的特殊性，网络系统平台应具备良好的可用性，要求网络规划具有完善的故障自愈能力和故障冗余能力。业务智能化能力，电子政务平台必须至少要在3到5年满足党政机关办公需求，因此XX市档案局基础架构需要能够智能适应党政办公的需求。基础网络架

11、构能够智能适应党政机关业务能力的发展。业务及需需求分析析对整个新新档案馆馆的信息息化建设设及档案案专用设设施设计计要求如如下：（1）按按新档案案馆建设设标准和和规范设设计；（2）所所有硬件件设施和和软件设设施必需需满足现现代档案案馆可持持续发展展的需要要；（3）档档案馆的的信息化化系统的的设计按按三网一一库的要要求设计计： 档案案馆的三三网要物物理隔离离开来； 三网网一库是是内部局局域网（专专网）、电子政政务网（党党政网）、Internet网（外网），一库是数字档案基础数据库； 服务务器机房房的设备备的安全全保护，如如：UPPS电源源系统、防雷系系统、门门禁系统统；服务务器机房房的数据据安全保

12、保护，如如：防火火墙、病病毒入侵侵检测等等；（4）综综合智能能控制系系统采用用自动检检测和智智能控制制，实现现无人管管理： 库房房温湿度度系统完完全自动动检测温温度和湿湿度控制制有效范范围之内内，出现现超出值值自动报报警，控控制值在在有效范范围内除除湿机、空调都都停止工工作，达达到节能能； 视频频监控系系统在整整个档案案馆重点点部位全全方位监监控，使使整个档档案馆都都监控范范围，图图像的保保存不少少于半个个月，并并实现移移动检测测报警同同时有语语音提示示和图像像联动报报警； 综合合智能控控制系统统有电子子地图、温湿度度曲线图图、视频频联动报报警、设设备故障障检测、语音提提示、手手机短信信、屏幕

13、幕报警、相互联联动等功功能；（5）档档案查询询要采用用多种查查询手段段来满足足公众信信息的查查询； 局馆馆介绍、查询指指南、局局务公开开、目录录查询、相关视视频资料料（根据据实际情情况定点点开发）；（6）报报告厅要要采用数数字多媒媒体会议议系统；（7）档档案专用用设施设设备的配配置，如如:低温温冷冻消消毒杀虫虫柜、智智能光盘盘柜、扫扫描仪等等；（8）档档案系统统专业软软件必需需满足档档案馆的的数字加加工、电电子档案案管理，档档案利用用、查询询等要求求；信息化平平台建设设需要考考虑的问问题：多业务虚虚拟化逻逻辑隔离离 为为多部门门提供灵灵活的虚虚拟专用用网，实实现不同同职能部部门之间间灵活的的业

14、务访访问控制制和隔离离多业务统统一承载载 利利用同一一张物理理承载网网，实现现数据、语音、视频、监控等等不同业业务数据据的高效效传输，实实时保障障不同业业务的业业务质量量安全性 保保证政府府政务信信息系统统免受外外来和内内部不安安全系统统所带来来的安全全威胁，实实现政务务信息的的高可靠靠性数据管理理 档档案馆是是政府电电子化办办公的核核心资产产，要能能有效管管理和保保护这些些业务数数据维护管理理 路路由器、交换机机、防火火墙、入入侵防御御系统等等各种网网络安全全设备众众多，用用户终端端资产，网网络业务务多样化化等等，要要能实现现设备、用户终终端、网网络业务务等多方方面的高高效管理理网络可持持续

15、发展展、扩展展 随随着网络络信息化化技术的的高速发发展步伐伐，当前前建设的的网络平平台要能能有效满满足今后后5年的的网络使使用需求求，现有有的网络络平台是是能够进进行低成成本的平平滑升级级。系统设计计原则系统建设设的目的的在于应应用。根根据政府府系统计计算机工工作的各各种规范范及各种种业务的的需求，结结合政府府部门的的应用经经验和发发展要求求，在系系统设计计时，主主要应遵遵循以下下原则：系统可靠靠性原则则使用技术术成熟的的网络设设备和通通信技术术，选择择支持网网络管理理功能的的网络产产品及其其相关的的网络管管理软件件，为网网络管理理和维护护人员提提供方便便条件，系系统建设设应保证证一定的的冗余

16、性性。系统实用用性与可管管理性的的原则网络建设设要有一一定的前前瞻性。在网络络建成的的五年之之内，业业务量的的增加不不应导致致对网络络结构及及主干设设备的重重大调整整。同时时考虑实实际的应应用水平平，避免免技术环环境过于于超前造造成投资资浪费。严格按国国家安全全保密标标准及相相关文件件要求，采采用多级级安全保保密措施施。设备备应有效效防止信信息的泄泄密、病病毒的入入侵、以以及抵制制外界对对其的非非法侵入入。但网网络安全全措施不不应严重重影响网网络的易易用性。网络应应有良好好的用户户界面、管理界界面和开开发界面面。 系统可扩扩展性和和开放性性原则网络应采采用开放放式体系系结构，易易于扩充充，使相

17、相对独立立的分系系统易于于进行组组合和调调整。选选用的通通信协议议要符合合国际标标准或工工业标准准，网络络的硬件件环境，通通信环境境，软件件环境相相互独立立，自成成平台，使使相互间间依赖减减至最小小，同时时，要保保证网络络的互联联。随着应用用水平的的提高，对对网络的的要求也也会不断断提高，网网络结构构应具有有良好的的可扩充充与可延延展性。预先作作好硬件件、软件件和管理理接口，使使网络能能扩充新新的节点点和新的的分支，其其次网络络必须具具有扩充充升级能能力，能能够适应应网络科科技发展展的要求求。系统统具有最最高性能能、最好好的升级级途径、充分的的带宽、苛刻环环境中不不存在单单点故障障，再出出现问

18、题题后提供供快速恢恢复能力力。保护用户户投资及及效益性性在XXX市档案局局网络架架构设计计中，首首先必须须确保与与全省、全市电电子政务务网络技技术架构构的一致致性，全全省、全全市电子子政务网网络是架架构在MMPLSS-VPPN基础础上的可可以承载载多业务务的先进进网络，因因此，XXX市档案局局的网络络也必须须充分支支持MPPLS-VPNN技术。设计依据据主要依据据的有关关国标及及文件如如下：中共中中央保密密委员会会关于加加强计算算机信息息网络保保密管理理的通知知国家信信息化领领导小组组关于我我国电子子政务建建设指导导意见中办发发(20002)17号号20006-220100年国家家信息化化发展

19、战战略中中办发20006111号国家电电子政务务总体框框架国国信2200662号号中华人人民共和和国政府府信息公公开条例例国务务院令200074492号号GB 5501773-992电气装装置安装装工程 35kkV及以以下架空空电力线线路施工工及验收收规范GB 5501668-992电气装装置安装装工程 电缆线线路施工工及验收收规范GB 5501669-992电气装装置安装装工程 接地装装置施工工及验收收规范GB 5502554-996电气装装置安装装工程低低压电器器施工及及验收规规范GBJ 1499-900电气装装置安装装工程母母线装置置施工及及验收规规范GB 5501771-992电气装装

20、置安装装工程盘盘、柜及及二次回回路结线线施工及及验收规规范GB 5502554-996 GGB 5502555-996GBB 5002566-966 GBB 5002577-966GB 502258-96 GB 502259-96电电气装置置安装工工程施工工及验收收规范（其其中：GGB 5502558-996 、GB 502259-96应应执行修修订后的的国标GGB 5503003-220022）GB/TT 52271.4-220000信息技技术 词汇 第第4部分分：数据据的组织织GB/TT 52271.6-220000信息技技术 词汇 第第6部分分：数据据的准备备与处理理GB/TT 5227

21、1.8-220011信息技技术 词汇 第第8部分分：安全全GB/TT 52271.9-220011信息技技术 词汇 第第9部分分：数据据通信GB/TT52771.220-119944信息技技术 词汇 第第20部部分：系系统开发发GB/TT52771.225-220000信息技技术 词汇 第第25部部分：局局域网GB/TT52771.227-220011信息技技术 词汇 第第27部部分：办办公自动动化GB/TT52771.228-220011信息技技术 词汇 第第28部部分：人人工智能能 基基本概念念与专家家系统GB/TT 1440855-19993信息处处理系统统 计计算机系系统配置置图符号号

22、及约定定GB/ZZ 1887299-20002基于网网络的企企业信息息集成规规范YD/TT 11170-20001IP网网络技术术要求网络总总体YD/TT 11171-20001IP网网络技术术要求网络性性能参数数与指标标GB 1178559-119999计算机机信息系系统 安全保保护等级级划分准准则GB/TT 1779655-20000信息技技术 开放系系统互连连 高高层安全全模型GB/TT 1779633-20000信息技技术 开放系系统互连连 网网络层安安全协议议GB/TT.1666811-19996（220033版）信息技技术 开放系系统中文文界面规规范GB/TT183336.1-22

23、0011信息技技术 安安全技术术 信息息技术安安全性评评估准则则 第11部分GB/TT183336.2-220011信息技技术 安安全技术术 信息息技术安安全性评评估准则则 第22部分GB/TT183336.3-220011信息技技术 安安全技术术 信息息技术安安全性评评估准则则 第33部分GB/TT 1882311-20000信息技技术 低低层安全全模型GB/TT 1884922-20001信息技技术 系系统及软软件完整整性级别别GB 449433-20001信息技技术设备备的安全全GB 992544-19998信息技技术设备备的无线线电骚扰扰限值和和测量方方法YD 550599-19998

24、通信设设备安装装抗震设设计规范范YD 550600-19998通信设设备安装装抗震设设计图集集GB/TT 1994866-20004电子政政务主题题词表编编制规则则GB/TT 1994877-20004电子政政务业务务流程设设计方法法 通通用规范范GB/TT 1994888.1-20004电子政政务数据据元 第1部部分：设设计和管管理规范范YD 550599-19998通信设设备安装装抗震设设计规范范YD 550600-19998通信设设备安装装抗震设设计图集集EIATIAA-5668A、EIAATIIA-5568BB 商商用建筑筑线缆标标准GB/TT 1882333-20000信息技技术 用

25、用户建筑筑群的通通用布缆缆GA 3308-20001安全防防范系统统验收规规范GA/TT 755-19995安全防防范工程程程序与与要求GA/TT 744-19994安全防防范系统统通用图图形符号号GB/TT 28887-20000电子计计算机场场地通用用规范GB 5501774-993电子计计算机机机房设计计规范GB 993611-888计算站站场地安安全要求求YD/TT 7554-119955通信机机房静电电防护通通则GB/TT 1447155-933信息技技术设备备用不间间断电源源系统通通用技术术条件国家标准准电子子计算机机机房设设计规范范（GGB5001744-933）国家标准准计算算

26、站场地地技术要要求（GB/T2887-2000）国家公共共安全和和保密标标准GGGBB11-19999信信息设备备电磁泄泄漏发射射限值GB1778599：计计算机信信息系统统安全保保护等级级划分准准则ISO1177999/BBS77799：信息息安全管管理惯例例网络平台台建设网络建设设原则高可靠性性网络架构构和设备备均支持持业务系系统对服服务级别别高可靠靠性的要要求，在在网络分分层部署署的架构构和设备备体系选选择以及及相关配配置上均均充分按按照高可可用的系系统设计计；整个个网络系系统应具具有很高高的安全全可靠性性，必须须满足77243655 小时时连续运运行的要要求。在在通信故故障发生生时，网

27、网络设备备可以快快速自动动地切换换到备份份链路或或设备上上；高安全性性按照严格格的安全全体系进进行设计计，分布布式部署署，使网网络具有有统一的的安全防防护能力力，支持持全网的的安全联联动；网网络安全全建设能能有效防防止网络络的非法法访问，保保护关键键数据不不被非法法窃取、篡改或或泄漏，使使数据具具有极高高的安全全性；可扩展性性作为承载载业务数数据通信信的网络络平台要要具有面面向未来来的良好好的伸缩缩性能，既既能满足足当前的的需求，又又能支持持未来业业务网点点、业务务量、业业务种类类的扩展展和与其其它机构构或部门门的连接接等对网网络的扩扩充性要要求，能能够满足足不断变变化的应应用需求求。可管理性

28、性整个网络络系统需需要能够够进行高高效的管管理和维维护，有有使用方方便、部部署简单单的网络络管理系系统，这这将直接接影响业业务系统统的运作作。开放性网络建设设全面遵遵循业界界标准，所所推荐采采用的设设备、技技术在互互通性和和互操作作性上，可可以支持持本网络络系统的的快速布布署。效益性网络的投投资应随随着网络络的伸缩缩能够持持续发挥挥作用，保保护现有有网络的的投资，充充分发挥挥网络投投资的最最大效益益。完整性网络系统统应实现现端到端端的、能能整合数数据、语语音和图图像的多多业务应应用，满满足全网网范围统统一的实实施安全全策略、QoSS 策略略、流量量管理策策略和系系统管理理策略的的完整的的一体化

29、化网络。总体网络络建设方方案根据国家家档案馆馆的规范范要求，本本次档案案馆分为为电子政政务外网网、档案案馆内网网、Innterrnett网之间间物理隔隔离，IInt网网络主要要以无线线有线一一体化方方便到访访查阅人人员上网网，提高高舒适度度，实施施立上网网行为管管理，其他网网络不涉涉及无线线网络。二楼为多多媒体查查阅利用用阅览室室和办公公室，多多媒体查查阅利用用阅览室室要求无无线覆盖盖。三楼为主主要办公公室，包包含主要要领导办公公室，四楼五楼楼主要为为办公区区，每层楼楼设7个个办公室室，每个个办公室室占时只只有三个个点，要要求三套套网络接接入。也也就是现现在每套套网络每每层楼都都要。设一台22

30、4口交交换机，未未来办公公区可能能会扩展展，每套套网络在在将来至至少承载载3000个点。现有以及及安装的的监控点点位522个将来来要接到到电子政政务外网网中，需需配置PPOE供供电交换换机。方案设计计思路方案设计计思路概概述总体思路路千兆兆双绞线线到桌面面、千兆兆光纤骨骨干为了实现现档案局局网络平平台承载载网高速速的接入入和高效效、稳定定的核心心，网络络建设的的总体思思路采用用“千兆双绞绞线到桌桌面、千千兆光纤纤到核心心骨干”核心层采采用虚拟拟虚拟化化技术-高效稳稳定网络络分别把两两台物理理核心交交换机，通通过技术术，虚拟拟化成一一台逻辑辑的设备备，主要要基于以以下几个个方面的的考虑：性能翻番

31、番使用虚拟拟化技术术后，核核心设备备是负载载分担的的方式,两台设设备当两两台用,使用虚虚拟化技技术后，汇汇聚到核核心的双双链路上上行都是是负载分分担方式式,两条条链路当当两条用用可靠性高高：链路/节节点故障障2000ms的的故障自自愈时间间，MSSTP+VRRRP的方方式为秒秒级收敛敛时间； 网络更简简单使用虚拟拟化技术术后，二二层不需需要生成成树；三三层不需需要VRRRP；多台设设备只需需配置一一次，让让网络更更简单安全渗透透网络用防火墙墙隔离各各安全区区域防火墙作作为不同同网络或或网络安安全域之之间信息息的出入入口，能能根据安安全策略略控制出出入网络络的信息息流，且且本身具具有较强强的抗攻

32、攻击能力力。它是是提供信信息安全全服务，实实现网络络和信息息安全的的基础设设施。在在逻辑上上，防火火墙是一一个分离离器、限限制器和和分析器器，可以以有效监监不同安安全网络络之间的的任何活活动。防防火墙在在网络间间实现访访问控制制，比如如一个是是用户的的安全网网络，称称之为被信任任应受保保护的网网络，另外外一个是是其它的的非安全全网络称称为某个不不被信任任并且不不需要保保护的网网络。防火火墙就位位于一个个受信任任的网络络和一个个不受信信任的网网络之间间，通过过一系列列的安全全手段来来保护受受信任网网络上的的信息。对关键路路径进行行深入检检测防护护虽然，网网络中已已部署了了防火墙墙等基础础网络安安

33、全产品品，但是是，在网网络的运运行维护护中，IIT部门门仍然发发现网络络的带宽宽利用率率居高不不下、而而应用系系统的响响应速度度越来越越慢。产产生这个个问题的的原因并并不是当当初网络络设计不不周，而而是自220033年以来来，蠕虫虫、点到到点，入入侵技术术日益滋滋长并演演变到应应用层面面（L77）的结结果，而而这些有有害代码码总是伪伪装成客客户正常常业务进进行传播播，目前前部署的的防火墙墙等安全全产品其其软硬件件设计当当初仅按按照其工工作在LL2-LL4时的的情况考考虑，不不具有对对数据流流进行综综合、深深度监测测的能力力，自然然就无法法有效识识别伪装装成正常常业务的的非法流流量，结结果蠕虫虫

34、、攻击击、间谍谍软件、点到点点应用等等非法流流量轻而而易举地地通过防防火墙开开放的端端口进出出网络。因此在关关键路径径上部署署独立的的具有深深度检测测防御的的IPSS（入侵侵防御系系统）就就显得非非常重要要。深度度检测防防御是为为了检测测计算机机网络中中违反安安全策略略行为。一般认认为违反反安全策策略的行行为有： 入侵非法法用户的的违规行行为； 滥用用户户的违规规行为；深度检测测防御识识别出任任何不希希望有的的活动，从从而限制制这些活活动，以以保护系系统的安安全。深深度检测测防御的的应用目目的是在在入侵攻攻击对系系统发生生危害前前，检测测到入侵侵攻击，并并利用报报警与防防护系统统驱逐入入侵攻击

35、击。在入入侵攻击击过程中中，能减减少入侵侵攻击所所造成的的损失。对用户非非法上网网行为进进行识别别和控制制目前网络络各种应应用越来来越丰富富，但是是对于一一个网络络的管理理员而言言，非法法的、未未受控的的应用，会会挤占合合法应用用带宽，同同时影响响职员的的整体生生产率，这这些应用用必须被被识别并并加以控控制。比比如在电电子政务务网中，PP2P下下载、娱娱乐类应应用占用用了大量量的带宽宽，对这这些机构构正常的的业务影影响极大大；另一一方面，政政府职员员，把工工作或学学习时间间消耗在在一些不不必要甚甚至非法法的网络络活动上上，大大大影响了了工作效效率。通通过应用用识别技技术，可可把各种种应用及及其

36、行为为置于明明确的可可管理的的前提下下，并通通过阻断断、限流流等手段段实现应应用控制制。对全网设设备进行行统一安安全管理理并进行行用户行行为审计计日益严峻峻的安全全威胁迫迫，不得得不加强强对网络络系统的的安全防防护，不不断追求求多层次次、立体体化的安安全防御御体系，逐逐步引入入了防病病毒、防防火墙、IPSS/IDDS、VVPN等等大量异异构的单单点安全全防御技技术，再再加上交交换机、路由器器等网络络设备，网网络结构构日益复复杂。然然而，现现有网络络安全防防御体系系还是以以孤立的的单点防防御为主主，彼此此间缺乏乏有效的的协作，不不同的设设备之间间的信息息也无法法共享，从从而形成成了一个个个安全全

37、的“信息孤孤岛”。通过过统一安安全管理理平台安安全管理理中心，可可以对网网络中的的网络设设备、安安全设备备、服务务器等进进行统一一管理，收收集相关关信息，进进行关联联分析，形形成安全全事件报报表输出出，并且且针对用用户行为为输出审审计报告告，有效效的帮助助管理员员了解网网络中的的安全现现状与风风险，提提供相关关解决办办法和建建议。终端准入入安全控控制在网络中中，任何何一台终终端的安安全状态态，都将将直接影影响到整整个网络络的安全全。非法法用户的的侵入，肆肆意破坏坏和盗取取内部资资源信息息；不符符合安全全策略的的终端（如如防病毒毒库版本本低，补补丁未升升级），容容易遭受受攻击、感染病病毒，如如果

38、某台台终端感感染了病病毒，它它将不断断在网络络中试图图寻找下下一个受受害者，并并使其感感染；在在一个没没有安全全防护的的网络中中，最终终的结果果可能是是全网瘫瘫痪，所所有终端端都无法法正常工工作。对终端准准入安全全我们需需要关注注的问题题是：病毒提前前预防用户权限限细分 2. 告警警自动响响应 33. 安全统统一管理理 终端端准入安安全解决决方案考考虑到终终端网络络安全的的方方面面面，针针对上述述主要问问题都提提出了具具有针对对性的方方法，这这些方法法相互关关联、相相互配合合，形成成完善的的终端网网络安全全解决方方案病毒预防防通过终终端软件件对终端端的补丁丁、病毒毒库升级级状态进进行检查查，确

39、保保每一个个终端健健康接入入，预防防病毒感感染；防防火墙进进行安全全域分割割，最小小化可能能的病毒毒扩散范范围；防防火墙/IPSS对党政政网数据据流进行行监控，根根据特征征识别病病毒，并并且通过过与网络络设备和和终端软软件的联联动，直直接控制制病毒爆爆发点。接入控制制建设用户接接入控制制：1. 终端端软件进进行身份份认证，杜杜绝非法法用户接接入。 2. 终端软软件收集集终端用用户的安安全状态态，上报报给安全全管理平平台，对对用户终终端安全全状态进进行检查查，拒绝绝不符合合安全策策略的用用户登陆陆。 33. 防防火墙、IPSS对数据据流进行行监控，及及时阻断断攻击的的同时，将将安全事事件上报报安

40、全管管理平台台。 44. 安安全管理理中心收收集、分分析后，通通知网络络管理系系统。 5. 网络管管理系统统向网络络、安全全设备和和终端软软件统一一下发安安全管理理策略，精精确控制制攻击源源头。威胁追根根溯源安安全管理理中心采采集网络络设备、安全设设备和服服务器的的安全日日志，结结合终端端安全防防护客户户端上报报的用户户上网过过程、安安全状态态、病毒毒查杀事事件，进进行统一一分析，实实时输出出审计报报告。当当发生安安全事故故后，可可以根据据记录的的信息对对用户既既往行为为进行分分析和追追根朔源源。同时时，安全全管理员员可以按按照法律律法规（如如SOXX法案）和和标准中中的规定定，定制制相应的的

41、审计报报告。安全全面面掌控基基于先进进的深度度挖掘及及分析技技术，管管理中心心能对上上百个厂厂商的各各种产品品进行管管理，通通过对海海量信息息的采集集、分析析、关联联、汇聚聚和统一一处理，协协助管理理员实时时监控网网络安全全状况，及及时发现现安全隐隐患。可靠性组组网技术术推荐可靠性概概述网络的可可靠性是是一个从从端到端端的全程程概念，单单纯提高高某一层层面的可可靠性并并不能对对网络整整体的可可靠性有有很大改改善。网络的可可靠性最最终要从从设备级级、链路路级、网网络级、业务级级等各层层次保证证。本次次档案局局电子政政务网络络平台档档案局电电子政务务网络平平台网络络建设需需要从这这几个方方面全面面

42、考虑网网络的可可靠性，以以构建高高稳定可可靠的网网络平台台。设备级的的可靠性性：包括括设备本本身的健健壮性及及对周围围环境的的适应能能力，可可靠的设设备应该该对关键键部件（如如主控板板，交换换网板，电电源等）进进行冗余余备份，并并且可以以在恶劣劣的环境境下长时时间稳定定运行。设备级级可靠性性的另外外一个重重要方面面就是设设备在线线升级能能力及容容错能力力，容错错能力体体现在如如设备发发生故障障时，可可自动平平滑的启启动备份份部件，不不对业务务造成影影响。链路级的的可靠性性：包括括链路本本身的可可靠性，包包括良好好的线路路质量，及及链路的的备份技技术，如如采用一一些物理理线路捆捆绑技术术提供线线

43、路的可可靠性，也也可以采采用其它它链路/线路保保护技术术，如环环网技术术、虚拟拟化技术术网络级的的可靠性性：设计计合适的的拓扑，如如避免采采用单星星型结构构以避免免单点故故障；网网络设计计模块化化，各功功能区域域相独立立，任一一区域的的故障不不会扩散散到其它它区域；设备间间的备份份，如采采用进行行备份，当当主用设设备发生生故障时时，流量量自动切切换到备备份设备备上，该该过程对对业务透透明；路路由可靠靠性：首首先根据据网络特特点选择择合理的的路由协协议，避避免路由由环路，减减少路由由振荡，并并且保护护某个网网络节点点失效后后网络快快速自愈愈。业务的可可靠性：网络只只是业务务的承载载平台，设设备，

44、链链路及网网络的可可靠性设设计归根根到底都都是为了了保证业业务的可可靠性，从从网络角角度考虑虑业务可可靠性，主主要是通通过各种种网络技技术时业业务数据据流满足足业务的的要去，如如流量分分布是不不均衡的的，特别别是突发发流量会会引起网网络的拥拥塞，导导致业务务的中断断，需流流量管理理的引入入能够使使网络流流量均衡衡，提高高网络的的利用率率，进而而对控制制网络拥拥塞情况况的发生生。网络的可可靠性设设计并不不是一个个孤立的的问题，受受到网络络的地理理分布，规规模，可可用线路路等多方方面原因因限制，但但作为核核心承载载基础平平台，应应具备以以下可靠靠性设计计特点：业务网络络与后台台管理层层网络的的分离

45、网络关键键设备之之间互相相备份网络关键键设备重重要部件件备份业务网络络的关键键层次设设备之间间的冗余余连接后台管理理层的双双平面网网络设计计网络结构构模块化化优化后的的动态路路由保护护防火墙的的冗余设设计二层流量量范围的的控制设备级可可靠性设设计本次档案案局电子子政务网网络平台台网络的的设备级级可靠性性主要从从设备自自身可靠靠性，设设备间热热备份两两个方面面考虑。作为网网络核心心、分布布层、高高密度与与关键业业务接入入层的关关键设备备必须具具有电信信级可靠靠性：可靠性指指标必须须达到999.9999%；所有关键键器件，如如设备、电源等等都采用用冗余设设计，业业务模块块支持热热插拔；网络核心心设

46、备支支持不间间断转发发，主控控板热备备份。主主备倒换换过程不不影响业业务转发发，不丢丢包。网络核心心设备支支持软件件在线升升级，升升级过程程中业务务不中断断。网络核心心设备支支持软件件热补丁丁，打补补丁过程程中主控控板和接接口板都都不需要要重启动动，业务务不中断断。引擎对高可靠靠性的支支持必须须是完备备的，系系统的。既要对对硬件部部件的备备份，也也需要对对数据和和系统的的中间状状态信息息备份。硬件的备备份技术术是由硬硬件逻辑辑或者底底层软件件控制的的，系统统需要实实时检测测硬件的的状态，如如果发现现异常，则则启动倒倒换过程程，将备备用硬件件升级为为主用，而而原主用用部件相相应的转转换为备备用，

47、同同时尝试试对硬件件部件复复位，并并给系统统发出告告警。为了将网网络中断断时间减减少至最最短时间间，甚至至做到业业务不中中断，要要求系统统运行时时的动态态数据或或进程状状态进行行热备份份，这时时备用板板处于一一个特殊殊的运行行态，只只接收和和储存由由主用板板发送来来的数据据和状态态，当主主用板发发生故障障时，系系统平滑滑的切换换到备用用板，切切换过程程对网络络用户透透明，业业务不会会因为网网络的切切换而中中断。当系统的的备用板板启动之之后，主主用板和和备用板板之间的的状态差差异可以以非常大大，这时时需要将将主用系系统的数数据批量量的备份份到备用用板上，这这个过程程就是批批量备份份。当批批量备份

48、份结束后后，随着着系统的的运行，主主用系统统的数据据会发生生变化，这这些变化化需要定定时的备备份到备备用系统统中。一一旦主用用系统出出现故障障，备用用系统和和主用系系统的角角色需要要交换，将将备用系系统升格格为主用用系统。备用系系统升级级为主用用系统后后，一些些状态信信息没有有从原主主用系统统得到，或或数据失失效，新新的主用用系统需需要与接接口板对对硬件状状态、链链路层状状态和配配置数据据上确认认这些数数据。热备份保保证主备备系统板板之间的的数据和和状态始始终一致致，因而而，业务务板也感感觉不到到系统板板发生倒倒换，再再加上协协议状态态的一致致，因此此可以保保证业务务不会丢丢失。主主备倒换换发

49、生时时，业务务板不发发生变化化，允许许保文继继续转发发，从而而保证业业务不损损失。本次项目目建设中中，要求求网络的的核心层层、汇聚聚层等中中高端机机框式网网络设备备都采用用冗余引引擎。每每台核心心层设备备均采用用HA特特性实现现系统的的高可靠靠性，可可以在主主控板发发生故障障时，快快速、准准确恢复复系统的的正常运运行，从从而增强强系统的的MTBBF（MMeann Tiime Bettweeen FFailluree），即即平均故故障间隔隔时间。电源电源是电电子设备备正常运运行的动动力所在在，为了了有效增增加网络络设备运运行的电电源可靠靠性，要要求本次次档案局局电子政政务网络络平台网网络建设设使

50、用的的核心网网络设备备必需支支持冗余余电源。以实现现了电源源模块的的1+11冗余备备份。模块和端端口模块和端端口设计计通用原原则如下下：区分上连连、互连连和下连连链路，尽尽量保证证彼此模模块相对对独立；同一机箱箱优先使使用高编编号槽位位；同一模块块优先使使用高编编号端口口；系统软件件考虑到所所有的软软件系统统均无尽尽善尽美美，那么么软件的的补丁技技术可靠靠性也是是本次网网络建设设设备级级可靠性性设计考考虑的重重要环节节。补丁丁技术主主要目的的是修正正已经发发现并解解决的BBUG，防防止相同同的问题题在不同同的网络络上发生生。冷补丁技技术的主主要是使使用更新新的软件件版本替替换有问问题的版版本，

51、在在这个过过程中，如如果是在在无备份份的机制制下，会会中断转转发业务务；在有有备份板板的情况况下，打打补丁操操作需要要在备板板中进行行，通过过手动倒倒换操作作，能实实现无业业务损失失的升级级工作，但但在接口口处理板板上的补补丁操作作会影响响业务的的正常运运行。冷冷补丁的的软件升升级技术术是传统统数据通通信产品品的主要要方式，冷冷补丁技技术能够够不中断断业务的的转发，但但对设备备的正常常运行有有一定影影响。热补丁技技术需要要有操作作系统和和相应的的编译工工具的支支持，它它的是将将所需要要升级的的那部分分代码编编译后形形成一个个补丁文文件，在在打补丁丁过程中中，将这这个补丁丁文件加加载到系系统的补

52、补丁区域域，并修修改原有有软件的的Bugg 区域域，将新新的特性性跳转到到补丁区区域执行行，整个个过程不不需要中中断业务务，可以以在主用用板执行行，因此此业务没没有丝毫毫损失。另外热热补丁技技术并没没有修改改原有软软件，因因此在需需要时可可以回退退，这也也为补丁丁的更新新提供了了更便利利的条件件。热补补丁技术术则是现现有电信信网络设设备的常常用方式式，在执执行过程程中业务务处理流流程可以以正常进进行，对对设备没没有任何何影响。本次网络络建设要要求所使使用的高高端网络络设备需需要支持持两种补补丁方式式。链路级可可靠性设设计链路级可可靠性设设计主要要考虑在在网络的的关键处处采用链链路冗余余备份设设

53、计，可可适当采采用交叉叉连接方方式、跨跨设备链链路捆绑绑技术等等。档案局网网络平台台的网络络核心、汇聚层层之间都都需要有有冗余连连接；而而重要服服务器的的接入建建议采用用AFTT模式。这种模模式提供供服务器器冗余备备份的功功能。网网卡组中中的所有有网卡使使用相同同的IPP和MAAC地址址，整个个网卡组组在外界界看来作作为一块块虚拟网网卡存在在。备份份组中的的网卡有有运行和和备份两两种状态态。处于于运行态态的网卡卡（只有有一块）负负责报文文的收发发。当运运行态的的网卡出出现故障障后，处处于备份份状态的的一块网网卡会自自动切换换到运行行态接管管所有业业务。一一般来说说，一个个网卡组组可以通通过如下

54、下方式来来检测运运行态的的网卡的的当前状状况，用用以决策策是否需需要切换换：处于运行行态的网网卡的链链路状况况处于运行行态的网网卡是否否发生硬硬件故障障软件检测测机制这种模式式其功能能完全不不依赖交交换机提提供支持持，其稳稳定性是是相对最最高的。这种模模式比较较适合在在对可靠靠性要求求很高的的场合中中使用。网络可靠靠性设计合适适的拓扑扑，如避避免采用用星型结结构以避避免单点点故障；网络设设计模块块化，各各功能区区域相独独立，任任一区域域的故障障不会扩扩散到其其它区域域；设备备间的备备份，如如采用虚虚拟化进进行备份份，当主主用设备备发生故故障时，流流量毫秒秒级自动动切换到到备份设设备上，该该过程

55、对对业务透透明；路由可靠靠性：首首先根据据网络特特点选择择合理的的路由协协议，避避免路由由环路，减减少路由由振荡，并并且保护护某个网网络节点点失效后后网络快快速自愈愈。业务可靠靠性网络只是是业务的的承载平平台，设设备，链链路及网网络的可可靠性设设计归根根到底都都是为了了保证业业务的可可靠性，从从网络角角度考虑虑业务可可靠性，主主要是通通过各种种网络技技术时业业务数据据流满足足业务的的要去，如如流量分分布是不不均衡的的，特别别是突发发流量会会引起网网络的拥拥塞，导导致业务务的中断断，需流流量管理理的引入入能够使使网络流流量均衡衡，提高高网络的的利用率率，进而而对控制制网络拥拥塞情况况的发生生；本

56、次次网络平平台的建建设完成成后，将将传输多多种业务务、多种种应用，这这些业务务对可靠靠性、时时延、时时延抖动动等服务务质量有有不同需需求。为为了保证证档案局局电子政政务网络络平台的的关键业业务能高高效应用用，需要要在网络络中实施施QOSS技术以以保证关关键业务务在网络络上传输输的带宽宽和时延延。IRF22虚拟化化本次设计计方案网网络核心心采用两两台755E系列列交换机机，两台台交换机机通过万万兆端口口互联，利利用IRRF2技技术，将将两台物物理设备备虚拟成成一台，实实现性能能翻倍、单一管管理等特特性。IRF22虚拟化化功能模模拟出虚虚拟的设设备，设设备管理理同时管管理IRRF2的的虚拟设设备与

57、真真实的物物理设备备，屏蔽蔽其差异异。而对对于运行行在此系系统上的的上层应应用软件件来说，通通过设备备管理层层的屏蔽蔽，已经经消除了了IRFF2系统统中不同同设备物物理上的的差异，因因此，对对于单一一运行的的物理设设备或IIRF22虚拟出出来的设设备，上上层软件件都不需需要做任任何的修修改，并并且对于于上层软软件系统统新增的的功能，可可同步应应用于所所有硬件件设备。IRF22虚拟化化模块：自动进进行IRRF2系系统的拓拓扑收集集、角色色选举，并并将设备备组虚拟拟成单一一的逻辑辑设备，上上层软件件所见只只是一台台设备；硬件系统统：IRRF2组组内的硬硬件设备备及组件件；设备管理理层：提提供对线线

58、卡、接接口等各各种设备备资源的的管理。这里的的设备包包括对硬硬件的抽抽象，也也包括通通过IRRF2虚虚拟化发发现的逻逻辑设备备；系统管理理与上层层应用模模块：运运行在IIRF22系统上上的所有有管理、控制程程序，包包括各种种路由协协议模块块、链路路层协议议模块等等。网络结构构拓扑设设计电子政务务外网和和互联网网图2拓扑扑图方案具体体说明网络采用用分层次次，分区区域设计计，采用用扁平化化二层组组网，分分为核心心层、接接入层，“千兆光纤骨干，千兆双绞线到桌面”由于核心交换机充当着网络枢纽节点，建议核心交换机均采用数据中心级交换机产品,核心交换机建议采用基于采用垂直竖插槽高端多业务路由交换机，前后通

59、风，有利于设备散热，提高设备和网络的稳定性和可靠性。为保证高可靠性，推荐核心交换机采用虚拟化技术，把两台物理的交换机设备虚拟成一台逻辑设备，达到性能翻翻，管理方便，易于扩展，统一路由表转发表，以满足行政集中办公区网络高稳定、高带宽、高并发、易管理、毫秒级故障恢复时间等需求。详细设计计思路总体思路路千兆兆双绞线线到桌面面、千兆兆光纤骨骨干为了实现现档案局局电子政政务网络络平台承承载网高高速的接接入和高高效、稳稳定的核核心，网网络建设设的总体体思路采采用“千兆到到桌面、万兆核核心骨干干”。核心层采采用虚拟拟虚拟化化技术-高效稳稳定网络络分别把两两台物理理核心交交换机，通通过技术术，虚拟拟化成一一台

60、逻辑辑的设备备，主要要基于以以下几个个方面的的考虑：性能翻番番使用虚拟拟化技术术后，核核心设备备是负载载分担的的方式,两台设设备当两两台用,使用虚虚拟化技技术后，汇汇聚到核核心的双双链路上上行都是是负载分分担方式式,两条条链路当当两条用用可靠性高高：链路/节节点故障障2000ms的的故障自自愈时间间，MSSTP+VRRRP的方方式为秒秒级收敛敛时间； 网络更简简单使用虚拟拟化技术术后，二二层不需需要生成成树；三三层不需需要VRRRP；多台设设备只需需配置一一次，让让网络更更简单支持网络络安全一一体化可靠性高高支持把安安全板卡卡整合在在核心交交换机上上，即插插即用，热热插拔，当当一个模模块出故故