重型机械公司公司信息化系统建设目标、原则

公司信息化系统建设目标、原则1系统建设的目标本次太重信息化建设的主要目标为：建设覆盖本次应用软件系统所涉及的所有单位和用户，利用千兆以太网技术构建高性能、高可靠性、安全、可管理的网络平台。建设满足应用运行的主机存储平台，实现应用的集中部署，实现数据的集中存储、集中备份和管理，实现快速的备份和恢复。建设网络安全管理系统，实现对设备、人员、网络行为、终端设备的安全管理。2系统建设原则本次系统建设应满足以下总体设计要求：1.高可靠性在系统整体设计中应选用高可靠性设备产品，设备充分考虑冗余、容错能力和备份，同时合理设计总体架构，制订可靠的QoS质量保证策略，最大限度保障系统正常运行。2.可扩展性根据未来业务的增长和变化，系统可平滑扩充和升级，避免在系统扩展时对网络架构的大幅度调整。3.可管理性支持集中监控、分权管理，以便统一分配网络资源。支持故障自动报警。高性能设计必须保障网络及设备的高吞吐能力，保证数据的高质量传输，预留出一定的流量增长的范围，保证在可预见的将来满足流量要求，避免网络瓶颈影响整体的系统应用。5.先进性和成熟性网络设备采用先进的技术和制造工艺，对于路由协议支持、数据流量分配，抵御网络攻击、高性能方面保持技术领先，网络结构和路由协议采用成熟的、普遍应用的并被证明是可靠的结构模型和技术。6.标准开放性支持国际上通用标准的网络协议、国际标准的应用与大型网络规模的动态路由协议等开放协议，保证与其它网络之间的平滑连接互通，保证与其它主流网络产品的兼容性，以及将来网络的扩展性。7.成功应用针对ERP系统这种关键业务应用，所选择的设备必须要经过长时间的成功应应用检验，具有非常高的市场占有率。3系统建设的主要内容建设内容主要网络建设、服务器建设和存储系统建设三个部分。网络建设的主要内容有；核心网络系统建设，通过双核心交换机实现核心的高性能和高可靠性。在数据中心采用一台数据中心交换机实现到服务器的连接。在重工、起重机公司、轮轴公司、油膜轮轴公司部署汇聚交换机，通过千兆光纤实现实现到两台核心交换机的冗余连接。在上述四个公司的配线间部署接入交换机，实现终端用户的接入。在Internet的出口处部署路由器，实现到Internet的连接。在核心区部署2台防火墙、2台入侵防御系统，分别作为冗余配置，保证核心区服务器和应用的安全。在Internet入口处部署防火墙（原有NS-25）、入侵防御系统，保证网络边界安全，构建DMZ区域，部署交换机（原有的华为S5000交换机）实现对外的信息发布。在核心区部署接入认证、网络管理、日记审计、防病毒（原有的）等应用软件系统，保证整个网络设备、人员、应用的安全。调整网络结构，由原来的多级代理改为直接连接，保证了C/S应用的访问。实现与原有网络设备的连接。服务器系统建设：1、生产系统建设：数据库、应用服务器系统建设2、开发、测试、培训环境建设3、实现与网络系统、存储系统互联。4、网络安全管理软件部署存储系统建设：1、存储系统建设。2、备份系统建设3、备份管理、数据管理软件的安装调试根据标书要求及其应用需求，鉴于太重各部门的特殊安全性要求，在总体建设上我们采用业务与网络分层构建、逐层保护的指导原则，利用标准IP+MPLSVPN技术，保证网络的互联互通性，并提供各部门、应用系统网络间的逻辑隔离(VPN)，保证互访的安全控制，同时通过QOS和基于MPLSVPN的流量工程（TE），保证关键业务在网络上传输的优先级。对于基于同一传输网络之上的多个不同部门、应用系统之间的业务和数据隔离，我们设计采用MPLSVPN技术实现网络横向业务部门的隔离和纵向应用系统的互通，所采用的传输及网络设备以及整体网络构架都具有良好性能、高可靠和可扩展性，充分保护用户投资。根据网络业务不断发展的需求，未来将在现有数据网络平台基础上增加语音、视频等业务功能，并将各种业务充分融合，统一实现，从而构建一个基于“三网合一”概念的企业信息化综合业务平台。全网分为两部分：骨干网络和网络中心。骨干网络采用核心层、汇聚层、接入层的部署思路，各部分描述如下：核心层：数据网主干网络设备采用交换机进行组网，配置两台高性能核心三层交换机，完成各汇聚节点与核心节点以及各汇聚节点之间的数据高速路由转发以及各节点园区网的业务汇聚，并在整个骨干网上启用MPLSVPN，进行业务隔离。核心层为下两层提供优化的数据传输功能，它是一个高速的路由交换骨干，其作用是尽可能快地交换数据包，满足汇聚节点与核心节点之间高速通信的需要。为保证本项目未来规模庞大，业务众多的特点，核心交换机应具备尽可能强大的性能、业务支持和端口接入的扩展能力。汇聚层：每个汇聚节点的汇聚交换机通过2个1000M光口与集团公司数据中心的2台核心交换机相联，构成双核心，双归属的骨干网络。汇聚层提供基于统一策略的互连性，它是核心层和接入层的分界点，定义了网络的边界，对数据包进行复杂的运算。在整个网络环境中，汇聚层主要提供如下功能：部门和工作组的接入和汇聚，VLAN的路由，MPLSVPN的封装，实现MPLSVPN对多种业务的安全隔离和带宽保障，安全控制等。接入层：接入层节点采用百兆三层接入交换机，千兆光/电接口上联汇聚交换机，支持802.1x接入，做到面向端点的安全控制能力。总体结构图：采用现有光缆资源，以网络中心辐射至各汇聚点。现有各条光缆主要为4芯单模，可满足本次项目“双核心”的部署方式。各汇聚点至接入层交换机，可根据各汇聚区域的具体情况和实际距离，通过千兆光/电接口灵活连接。网络中心内部各设备均采用千兆以太网电缆互联。根据招标文件结合用户实际需求，本次采用“双核心”、“双归属”的方式，构建核心-汇聚骨干网络，汇聚-接入千兆连接。根据总体结构图，核心交换机至各个业务区域和汇聚节点均采用双千兆单模光纤，保证链路的可靠性；汇聚交换机至各接入交换机采用千兆单模光纤。核心交换机：作为全网数据和业务的核心，网络上所有业务的数据流都要经过核心交换机进行交换，因此它的安全性、可靠性和高性能对于全网数据和业务应用的正常开展至关重要。建议采用模块化万兆核心路由交换机。1、引擎、电源等关键部件全部采用冗余设计，支持多操作系统、多配置文件，保证可靠性；2、全面支持分布式IP/MPLSVPN业务转发，保证高性能；3、内置的802.1xSERVER可以作为接入认证服务器的备份系统；4、硬件支持IPv6，支持10GRPR高速环网数据接口，满足未来构建企业大型核心环网要求；汇聚交换机：汇聚层在骨干网络中起到承上启下的作用，应具备可靠性、高性能和多业务兼顾的特点。采用万兆核心路由交换机，在本项目中具备如下特色：1、引擎、电源等关键部件全部采用冗余设计，支持多操作系统、多配置文件，保证可靠性；2、全面支持分布式IP/MPLSVPN业务转发，保证高性能；3、完善的ACL、流量监管、多元组绑定等安全机制；4、硬件支持IPv6，支持10GRPR高速环网数据接口，满足未来构建企业大型核心环网要求；接入交换机：在一个大型园区网络里，接入交换机具有数量多，部署分散的特点，且直接负责终端的接入，应具备可管理性强、端口控制能力强、性价比高的特点。建议选用的三层接入交换机，具备如下优势：1、支持堆叠，至此对堆叠组虚拟管理，完全可看作一个设备，使可管理性大幅度提高。2、具有良好的端点控制能力，支持丰富的MAC、IP、端口的灵活绑定。3、支持802.1X认证功能，可通过此功能实现对终端接入的控制。4、VLAN能力强，支持最高的4096个VLAN；网络安全系统设计：数据中心是本网络最重要的部位，是信息化的神经中枢，数据中心的设计应具备最高的安全性，同时应保证流畅的带宽和一定的可靠性。作为一个单独的区域来建设，结合招标文件，我们采用“防火墙+IPS+服务器交换机”的建设思路，全部采用双千兆设备，全千兆连接的方式，保证给数据中心最强大的安全保障能力和数据吞吐量。对数据中心做如下部署：核心防火墙：防火墙可以部署在网络内部数据中心的前面，实现对所有访问数据中心服务器的网络流量进行身份控制，提供对数据中心服务器的保护。除了完善的隔离控制能力和安全防范能力，数据中心防火墙的部署我们同时考虑两个关键特性：高性能：数据中心部署大量的服务器，是整个网络的数据流量的汇集点，因此要求防火墙必须具备非常高的性能，保证部署防火墙后不会影响这些大流量的数据传输，不能成为性能的瓶颈；可靠性：所有数据服务器都部署在数据中心，这些服务器是企业运行的关键支撑，必须要严格的保证这些服务器可靠性与可用性，因此，部署防火墙以后，不对网络传输的可靠性造成影响，不能形成单点故障。 基于上述两个的关键特性，我们进行以下设备部署模式和配置策略：设备部署模式：我们在两台核心交换机上部署两台千兆防火墙，以双链路方式和1G的吞吐量保证可靠性和高性能。安全控制策略：防火墙设置为默认拒绝工作方式，保证所有的数据包，如果没有明确的规则允许通过，全部拒绝以保证安全；在两台防火墙上设定严格的访问控制规则，配置只有规则允许用户能够访问数据中心中的指定的资源，严格限制网络用户对数据中心服务器的资源，以避免网络用户可能会对数据中心的攻击、非授权访问以及病毒的传播，保护数据中心的核心数据信息资产；配置防火墙全面攻击防范能力，包括ARP欺骗攻击的防范，提供ARP主动反向查询、TCP报文标志位不合法攻击防范、超大ICMP报文攻击防范、地址/端口扫描的防范、ICMP重定向或不可达报文控制功能、Tracert报文控制功能、带路由记录选项IP报文控制功能等，全面防范各种网络层的攻击行为；根据需要，配置IP/MAC绑定功能，对能够识别MAC地址的主机进行链路层控制，实现只有IP/MAC匹配的用户才能访问数据中心的服务器；核心入侵防御系统：在服务器交换机和核心防火墙之间，部署两台入侵防御系统，和服务器交换机、防火墙设备采用双链路连接，以阻挡防火墙设备不能抵御的系统漏洞攻击、蠕虫病毒、木马程序、间谍软件、DOS/DDOS攻击等。同时入侵防御性能达1.2Gbps，完全满足1G以上的设备要求，无任何瓶颈。服务器交换机：服务器交换机负责众多数据库和应用服务器的接入，在此我们采用一台服务器交换机，其设备在本项目中有如下优势：1、以高密度千兆接口的全面满足服务器接入的要求2、支持高的交换交换带宽和转发性能，为服务器的双上行接入提供了更高的带宽和可靠性3、支持万兆接口，为未来的系统全面升级提前做好了准备4、配置冗余电源系统，进一步提高设备可靠性。对外访问区负责全网对INTERNET的访问，同时承载太重门户网站的对外发布和EMAIL系统。虽然现在网络上80%的安全隐患都在内网，但互联网出口的安全问题仍然是对企业网络最具威胁的区域，黑客入侵、企业机密数据外泄、新病毒的导入都几乎全部发生在这里，所以互联网接入设计中，安全设计仍然放在首位。我们采用路由器+防火墙+入侵防御系统（IPS）的方式来构建对外访问区。路由器：路由器是连接内外网的纽带，路由器的性能直接影响对于宝贵带宽的使用率，此外对于大型园区网出口，由于内部网络用户数量庞大，路由器应该具备高性能的NAT转发能力。1、高性能：具备5Mpps的包转发性能，满足未来千兆线路的全线速转发。2、强大的NAT能力：具备50万并发NAT连接的能力，且支持丰富的NAT特性，提供NAT日志的输出，可配合日志审计系统，做到对于对外访问的纪录和跟踪。3、支持RIP、OSPF、BGP、IS-IS等多种路由协议4、支持多种网络接口5、支持IPV6防火墙：使用原有Juniper防火墙，划分DMZ区域，通过原有华为5000千兆交换机，连接门户服务器及EMAIL服务器等。配置策略偏重安全区划分，安全抵御由入侵防御系统着重完成。入侵防御系统：配置入侵防御系统，提供4个100M端口，具备1G吞吐量，满足当前接入带宽。重点配置对于黑客入侵、蠕虫病毒、木马程序的防范。 针对太重这种大型的网络系统，网络的运维管理变得非常重要，需要采用必要的手段进行能够网络的集中监控和管理，实现不同厂商产品的统一监控和管理，需要采用一个网络管理平台；同时为了更好的控制网络资源访问权限，监控网上行为，记录外网访问记录、作为事后审计依据，需要增加以下几个部分：网络管理软件系统接入审计系统日志审计系统网络管理系统应该包括以下功能：网络管理系统应采用分布式、组件化、跨平台的开放体系结构，用户通过选择安装不同的业务组件，可以实现设备管理、拓扑管理、告警管理、性能管理、配置管理等多种管理功能。产品不仅能够独立提供完整的网络管理平台，还能够与OpenView、SNMPc多种主流通用网管平台灵活集成；不仅能够管理配置的网络设备，还能够通过标准MIB管理各主流厂商的网络设备。网络拓扑管理网络管理软件可以通过拓扑发现功能，帮助客户迅速发现网络资源。能够实时监视所有设备的运行状况，通过可视化的网络拓扑界面帮助用户及时了解网络的变化。自动发现网络拓扑结构；支持全网设备的统一拓扑视图；可以灵活裁减拓扑视图，聚焦网络的关键区域；可以灵活选择设备、背景图标，构建逼近真实网络的拓扑可以直接点击拓扑视图节点，快速查看设备面板；拓扑节点颜色能够直观反映网络、设备状态；可以灵活定制对设备状态的轮询间隔；故障管理网络故障管理功能为用户及时发现问题、深入分析问题、快速解决问题提供了全流程的支持。支持告警快速定位到网络拓扑；支持多种告警通知方式，包括：告警声光提示、告警转Email和手机短信；支持告警相关性分析，包括屏蔽重复告警、自动确认相关告警等。支持告警过滤，用户能够按照告警级别、告警源、关键词等过滤条件迅速聚焦到“真正有价值的告警”；可以灵活定义告警级别，以符合客户网络的实际状况；提供常见问题的修复建议。同时用户可以根据实际的维护经验，不断完善丰富维护经验库。网络监视网管系统提供了丰富的性能管理功能，帮助用户主动监视网络的状况，及时发现网络潜在的隐患。同时，丰富的历史性能统计数据为用户升级扩容网络提供了客观准确的参考。配置管理60%的设备故障是因为网络误配置造成的。网络管理员需要定期备份配置文件，跟踪设备配置变化，以保证一旦发生网络故障时，能够利用历史配置备份将网络立刻恢复正常。设备管理提供设备管理功能，通过面板图片，直观地反映了设备运行情况。通过面板图标直观地反映设备的模块、风扇、CPU、端口等关键部件的运行状态；能够查看、设置设备端口状态；能够查看路由、VLAN等配置信息；能够查看端口流量、丢包率、错包率等关键统计数据；支持对堆叠的管理；支持多厂商设备的统一管理可管理所有支持标准SNMP网管协议的网络设备，为多厂商设备共存的网络提供了统一的管理方式。自动发现多厂商设备，展示多厂商设备组成的网络拓扑；监视设备性能，包括接口的流量、错包率、丢包率等指标；接收和解析设备告警，提供告警分析和查询功能；接入认证系统设计认证系统应采用分布式、模块化、跨平台的开放体系结构和基于TCP/IP的通信机制，可以平滑扩容、灵活扩展、按需定制。提供了一种低价格、高可靠、高性能的网络安全和用户管理解决方案，能够满足各种规模网络的用户管理、身份认证、权限控制的要求。接入认证系统的功能：强大的用户身份认证支持802.1x、PPPoE、Portal、VPN接入、无线接入等多种认证接入方式。支持PAP、CHAP、EAP-MD5、EAP-TLS、PEAP等多种身份验证方式，适应不同安全要求的应用场景。支持用户与设备IP地址、接入端口、VLAN、用户IP地址和MAC地址等硬件信息的绑定认证，增强用户认证的安全性，防止账号盗用和非法接入。支持与Windows域管理器、第三方邮件系统（必须支持LDAP协议）的统一认证，避免用户记忆多个用户名和密码。支持多区域用户漫游。严格的用户权限控制基于用户的权限控制策略，可以为不同用户定制不同网络访问权限。可以控制用户的上网带宽（QoS；802.1x认证支持）、限制用户的同时在线数、禁止用户设置和使用代理服务器，有效防止个别用户对网络资源的过度占用。可以实现对用户ACL、VLAN的控制，限制用户对内部敏感服务器和外部非法网站的访问（802.1x认证支持）。可以限制用户IP地址分配策略，防止IP地址盗用和冲突。可以限制用户的接入时段和接入区域，用户只能在允许的时间和地点上网。可以限制终端用户使用多网卡和拨号网络，防止内部信息泄露。可以限制用户必须使用专用安全客户端，并强制自动升级，确保认证客户端的安全性。详尽的用户行为监控提供“黑名单”管理策略，可以将恶意猜测密码的用户加入黑名单，并可按MAC、IP地址跟踪非法行为的来源。管理员可以实时监控在线用户，强制非法用户下线。支持消息下发，管理员可以通过向上网用户发布通知消息，如“系统升级，网络将在10分中后切断”、“您的密码遭恶意试探，请注意保护密码安全”等。记录认证失败日志、并可以全面跟踪用户上网流程，方便定位与解决用户无法接入、异常断线等问题。日志审计系统软件设计日志审计软件主要功能包括两大部分：1、安全事件管理2、用户行为审计在本次项目中我们采用的用户行为审计模块，具有如下功能：1)全面的日志采集用户行为审计系统可支持多种网络日志的采集（包括NAT1.0、FlOW1.0、NetStreamV5），对于不支持上述日志的设备，可以通过设备的镜像端口或TAP分流器采集网络流量生成DIG1.0格式的日志。同时用户行为审计系统采用分布式的体系结构，支持多点采集，可以同时采集多个设备的日志信息，为网络管理员监控网络提供了灵活有效的支持。2)强大的日志审计功能用户行为审计系统可根据用户需要，通过各种条件的组合对网络日志进行快速分析。针对不同的日志类型，管理员可以获得不同的用户行为审计信息：NAT1.0日志：包括经过NAT转换前的源IP地址、源端口，经过NAT转换后的源IP地址、源端口，所访问的目的IP、目的端口、协议号、开始时间、结束时间等关键信息。FLOW1.0日志：包括源IP、目的IP、源端口、目的端口、流起始时间、结束时间等关键信息。DIG1.0日志：探针型采集器直接从交换机的镜像端口采集用户的上网信息，对用户访问外部网络的流进行分类统计，并生成探针（DIG）日志记录。DIG1.0日志包含两种格式日志，DIGFLOW1.0和DIGEST1.0。DIGFLOW1.0日志内容为IP层数据报文信息，其中包含数据报文的流量信息和协议类型信息，而DIGEST1.0日志内容为应用层协议数据报文信息，包含数据报文的摘要信息。两种格式的DIG1.0日志在采集器进行日志采集时同时生成。利用DIG1.0日志的记录信息，可以实现对用户网络行为的监控，审查用户的Email信息、访问信息、使用的应用信息等，全面审查用户的网络使用行为。DIGFLOW1.0日志记录包含以下内容：开始时间、结束时间、源IP地址、目的IP地址、源端口号、目的端口号、协议类型（目前区分TCP、UDP和ICMP三种协议）、输入包个数、输出包个数、输入字节数、输出字节数；DIGEST1.0日志记录包含以下内容：开始时间、结束时间、源IP地址、目的IP地址、目的端口号、摘要信息（目前支持HTTP协议、FTP协议、SMTP协议报文）。NetStreamV5日志：包括日志的开始时间、结束时间、协议类型、源IP地址、目的IP地址、服务类型、入接口、出接口、报文数、字节数、流数、总激活时间、操作字、日志类型等信息。通过NetStream日志的分析，可以使网络管理员深入地了解当前数据网络中的报文所包含的各种有价值的信息，可以实现网络监控、应用监控、用户监控等功能，并为网络规划提供重要参考。通过用户行为审计系统网络管理员可以从海量的网络日志中精确审计终端用户的上网行为。终端用户何时访问了某网站、何时访问了某网页、发送了哪些Email、向外发送了哪些文件等信息均可通过日志审计得出结果。IP地址是网络互联的基础，合理的IP地址规划将大大方便网络的维护和管理。IP地址规划的原则唯一性：保持整个网络中IP地址的唯一性简单性：尽量避免采用复杂的掩码方式连续性：为同一网络区域分配连续的网络地址，便于缩减路由表项，提高路由器的处理效率可扩充性：为一个网络区域分配的网络地址应该具有一定的容量，便于主机节点增加时仍然能够保持地址的连续性可管理性：地址的分配应该有层次性，某个局部的变动不影响网络的其他部分地域性：尽量考虑IP的地域特性，以便于统一管理和规划全面性：统一规划局域网和广域网IP地址，保证网络有效连通和管理IP地址规划策略对太重信息化系统IP地址规划可以采用以下两种方式：采用Internet网合法地址由于要实现与Internet的连接，对外发布信息；在DMZ区中的服务器建议采用合法的由电信服务商分配的地址。本系统自行规划IP地址在内部网络中整体统一采用结构化地址规划和分配原则进行IP地址设计，可以大大提高网络的可管理性，同时通过NAT实现与外部网络地址的映射，对外部网络隐藏了被网的网络结构，提高了网络的安全性。IP地址规划IP地址的规划应在遵循方便管理、易于扩展的原则下，统一规划、统一分配。省/市地址空间网段数据中心1个C服务器区1个C网络设备区1个C重工8个C起重机公司8个C轮轴公司8个C油膜轮轴公司8个C在设计大中型网络时，由于静态路由协议设置麻烦、对网络的变化适应性差，一般不予采用，而今作为路由设计的补充。现在，常用的动态路由协议有以下四种：RIPRIP是一种DistanceVector路由协议，有以下特点：简单，广泛使用，技术成熟，信息源与目的地间限制在15个hops（或路由器）之内，超过15hops将认为不可及。RIPv1不支持VLSM（VariableLengthSubnetMask），不可能有效地利用IP地址。每30秒传送路由信息将耗费大量的带宽，在大型网络及低速链路中更明显。路由收敛较慢，此算法将经历Hold-down(180S)的周期。RIP在计算路径时，只考虑hopcount，不考虑网络链路的延迟和cost。RIP网络适用于平面结构的网络。RIP适用于中、小型网络。一般网络的路由器数目少于20个。OSPFOSPF是LinkState，层次化拓扑的路由协议。有以下特点：仅用于IP网络，无hopcount的限制，适于大型网络，支持VLSM，用hello通知其他路由器本路由器工作正常。通过IPmulticast发送链路更新的信息，并且仅在路由发生变化是进行更新，由此优化路由器的资源和带宽。路由收敛较快，在路径的选择中，metric主要考虑链路的延迟，支持相同cost的多条链路路由，较好地实现负载均衡。cost=100,000,000/bandwidthinbps。通过划分区域更好的规划网络，减少路由更新信息。在网络设计中推荐每个AS区域中路由器少于50个。IGRPIGRP是DistanceVector路由协议，由CISCO开发，用于大型IP及OSI网络，有以下特点：不支持VLSM（VariableLengthSubnetMask)，不可能有效地利用IP地址。每90秒传送路由信息将耗费部分的带宽。在路径的选择上采用组合的metrics包括：延迟、带宽、可靠性、MTU和负载。支持多条路径路由。EIGRPEIGRP是intra-domain，先进的DistanceVector路由协议，由CISCO开发和支持：结合了距离向量(DV)协议和连接状态(LS)协议的优点，采用了DUAL算法达到网络的快速收敛。支持层次化和平面网络结构，支持VLSM网络地址分配，可在任意位边界对直接相连的网络进行路径叠合，只有在网络变化时EIGRP才发送路由表更新信息，而且只发给相关路由器，因此广域网带宽浪费很少，DUAL算法使其具有最好的收敛性。采用五维参数来决定最佳路径：带宽、时延、可靠性、线路负载和最大数据包尺寸。EIGR