电子政务外网技术规范

电子政务外网技术规范范围本文件规定了电子政务外网（以下简称政务外网）网络建设的术语与定义、缩略语、网络技术架构要求、IP地址分配要求、自治域及路由要求、虚拟专用网要求、部门局域网接入要求、政务外网机房建设要求和运维体系建设要求。本文件适用于指导XX省行政范围内，省级、市级、县级政务外网网络的设计、建设和运维管理。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069—2010信息安全技术术语GB/T25647—2010电子政务术语GB/T32910.3—2016数据中心资源利用第3部分：电能能效要求和测量方法GB/T50174—2017数据中心设计规范GW0201国家电子政务外网IPsecVPN安全接入技术要求与实施指南GW0202国家电子政务外网安全接入平台技术规范GW0203国家电子政务外网安全监测体系技术规范与实施指南GW0204国家电子政务外网安全管理系统技术要求与接口规范GW0206接入政务外网的局域网安全技术规范GW0207国家电子政务外网IPv4地址地方分配部署指南GW0209国家电子政务外网IPv6地址规划（试行版）术语和定义GB/T25069—2010、GB/T25647—2010界定的以及下列术语和定义适用于本文件。

电子政务外网e-governmentnetwork电子政务外网是服务于各级党委、人大、政府、政协、法院和检察院等政务部门，满足其经济调节、市场监管、社会管理和公共服务等方面需要的政务公用网络。[来源：GB/T25069—2010，3.4.3，有修改]

广域网wideareanetwork用于纵向覆盖省、市、县各层级行政区域，由各级行政区域内广域骨干节点设备和节点设备之间的长途线路组成。

城域网metropolitanareanetwork用于实现本级行政区域内的政务部门的横向连接，包括中央、省、市、县四级城域网，各级城域网通过纵向广域网实现互联。缩略语以下缩略语适用于本文件。3G：第3代移动通信技术（3thGeneration）4G：第4代移动通信技术（4thGeneration）5G：第5代移动通信技术（5thGeneration）ARP：地址解析协议（AddressResolutionProtocol）AS：自治系统（AutonomousSystem）BGP：边界网关协议（BorderGatewayProtocol）EVPN：下一代虚拟专用网络（EthernetVirtualPrivateNetwork）FlexE：灵活以太网（FlexibleEthernet）GRE：通用路由封装协议（GenericRoutingEncapsulation）iFIT：随流检测（n-situFlowInformationTelemetry）ISIS：中间系统到中间系统（IntermediateSystemtoIntermediateSystem）IPSecVPN：互联网协议安全协议虚拟专用网络（InternetProtocolsecurityvirtualprivatenetwork）IPv6+：基于IPv6下一代互联网的升级（IPv6Plus）LACP：链路汇聚控制协议（LinkAggregationControlProtocol）LDP：标签分发协议（LabelDistributionProtocol）MPLS：多协议标记交换（Multi-ProtocolLabelSwitching）MSTP：多业务传送平台（Multi-ServiceTransportPlatform）NAT：网络地址转换（NetworkAddressTranslation）OSPF：开放式最短路径优先（OpenShortestPathFirst）OTN：光传送网（OpenShortestPathFirst）PPP：点对点协议（PointtoPointProtocol）QoS：服务质量（QualityofService）RSVP-TE：基于流量工程扩展的资源预留协议（ResourceReservationProtocol-TrafficEngineering）SDH：同步数字体系（SynchronousDigitalHierarchy）SDN：软件定义网络（SoftDefinedNetwork）SNMP：简单网络管理协议（SimpleNetworkManagementProtocol）SRv6：IPv6段路由（IPv6SegmentRouting）VLAN：虚拟局域网（VirtualLocalAreaNetwork）VPN：虚拟专用网络（VirtualPrivateNetwork）VRRP：虚拟路由冗余协议（VirtualRouterRedundancyProtocol）VRRPv3：虚拟路由冗余协议第三版（VRRPversion3）网络技术架构要求建设原则电子政务外网建设应具备高可用性、高可靠性、高安全性、高可管理性，并具备向IPv6单栈的演进能力，网络总体架构应采用扁平化架构，减少网络层级，并具备可扩展性、开放性和兼容性。网络总体架构XX省电子政务外网网络应按照省级网络、市级网络XX级网络三级建设，网络总体架构如图1所示。政务外网网络总体架构图省级政务外网建设要求网络架构省级政务外网应分为省级广域网和省级城域网，省级政务外网架构图如图2所示。省级政务外网架构图省级广域网省级广域网由省-市节点的设备组成，广域网核心节点应采用双设备冗余结构，省级广域网核心设备纵向上连中央广域网，下连市级广域网，横向连接省级城域网。省级城域网省级城域网扁平化部署，省城域网核心节点应采用冗余设备组网，主要包括但不限于以下业务区域：政务云接入区政务云接入区用于连接本级政务云数据中心、省级部门整合云数据中心；各数据中心宜通过专线，采用双设备双链路方式连接至政务云接入区汇聚设备。省级单位接入区省级城域网核心（汇聚）路由器直连到省级广域网核心路由器，应采用冗余设备组网；接入路由器作为用户侧机房的边界设备，应由政务外网管理单位统一提供和管理；接入设备应采用支持SRv6的路由器，满足政务外网向IPv6单栈演进；根据各省级接入单位业务类型和重要程度，可采用单线路或双线路接入。互联网安全接入区互联网安全接入区连接本地电信运营商，为不具备专线接入条件的接入单位和有移动接入需求的单位提供接入政务外网的服务；接入用户可通过互联网、移动通信网（3G/4G/5G）等基础网络连接到互联网安全接入区，经安全接入平台访问电子政务外网；安全接入平台建设应符合GW0202中规定的要求，安全设备应支持国产密码算法，满足自主可控要求。运维管理区运维管理区是集中建设的独立运维管理区域，应包括运维管理平台和安全管理平台，运维管理区与城域网核心设备相连；运维管理区流量与其他网络流量逻辑隔离，宜采用带外管理；部署运维管理平台，对各网络设备进行统一运维管理，实现对运维管理行为进行审计；部署安全管理平台，通过流量采集、日志采集、获取威胁情报等方式，实时监测政务外网安全运行状态，智能分析安全趋势，及时对网络安全事件告警，对网络安全风险进行预警。通信线路及带宽省级广域网省级广域网的通信线路及带宽建设应满足以下要求：省到市（州）广域网线路总带宽应不低于3Gbps；省级广域网核心路由器应采用两条及以上的不同运营商的物理线路下联各市（州）落地路由器；线路类型可选择MSTP、SDH或裸光纤等；每年应对带宽使用率进行评估，并根据需求适时对带宽进行扩容；省级城域网省级广域网的通信线路及带宽建设应满足以下要求：省级城域网核心路由器与省级广域网核心路由器之间的连接线路总带宽应不低于20Gbps；省级城域网核心路由器之间相互连接的线路总带宽应不低于40Gbps；省级接入单位接入到省级城域网核心路由器的单条物理线路带宽应不低于1Gbps；省级城域网核心路由器与政务云接入设备采用口字形互连，总带宽应不低于20Gbps；线路类型可选择MSTP、SDH或裸光纤等；每年应对带宽使用率进行评估，并根据需求适时对带宽进行扩容。网络设备省级电子政务外网核心网络设备应支持表1所述功能和要求。省级电子政务外网核心网络设备要求表项目技术要求业务板接口类型支持所选择的通信链路网络互连局域网协议以太网协议、基本VLAN链路层协议PPP、LACP网络协议IP服务ARP、IP包过滤、策略路由IP路由支持OSPF、OSPFv3、IS-IS、IS-ISv6、BGPv4、BGP4+等IPv6特性支持IPv6的IP服务和IP路由功能业务隧道SRv6支持SRv6-TEPolicy，SRv6BE协议和转发能力MPLS支持LDP、RSVP-TE等MPLS标签分发协议VPNGRE、IPsecVPN、BGP-VPN、BGP-EVPN、MPLSVPN设备可靠性冗余双主控、电源模块冗余其他特性支持VRRP、VRRPv3服务质量保障QoS支持层次化QoS（H-QoS）网络切片FlexE业务质量检测IFIT随流检测技术网络管理管理协议支持SDN、Telemetry、BGP-LS、SNMP市级政务外网建设要求网络架构市级政务外网整体分为市级广域网和市（州）城域网两部分，市级政务外网架构如图3所示。市级政务外网架构图市级广域网市级广域网核心路由器应采用双设备冗余结构，市级广域网核心路由器纵向上连省级广域网，下连县级广域网，横向连接市（州）城域网。市（州）城域网市（州）城域网扁平化部署，市（州）城域网核心汇聚节点应采用冗余设备组网，可建设如下业务区域：政务云接入区市（州）政务云接入区用于连接本级政务云数据中心，政务云数据中心宜通过专线，采用双设备双链路方式连接至政务云接入区汇聚设备。互联网安全接入区互联网安全接入区连接本地电信运营商，为不具备专线接入条件的接入单位和有移动接入需求的单位提供接入政务外网的服务；接入用户可通过互联网、移动通信网（3G/4G/5G）等基础网络连接到互联网安全接入区，经安全接入平台访问电子政务外网；安全接入平台建设应符合GW0202要求，安全设备应支持国产密码算法。统一互联网出口市（州）可根据本地实际建设统一互联网出口，为接入单位提供互联网访问服务；统一互联网出口应由两家及以上电信运营商提供互联网接入服务；统一互联网出口应配置防火墙、入侵防御、防病毒、行为审计等安全设备，应与政务外网实现逻辑隔离。运维管理区运维管理区是集中建设的独立运维管理区域，应包括运维管理平台和安全管理平台，运维管理区与城域网核心设备相连；运维管理区流量与其他网络流量逻辑隔离，条件允许的情况下，宜采用带外管理；部署运维管理平台，对各网络设备进行统一运维管理，实现对运维管理行为进行审计；部署安全管理平台，通过流量采集、日志采集、获取威胁情报等方式，实时监测政务外网安全运行状态，智能分析安全趋势，及时对网络安全事件告警，对网络安全风险进行预警。市（州）级单位接入区市（州）城域网核心汇聚路由器直连到市（州）级广域网核心路由器，应采用冗余设备组网；接入设备应采用支持SRv6的路由器，满足政务外网向IPv6单栈演进；根据各市（州）级接入单位业务类型和重要程度，可采用单线路或双线路接入。通信链路及带宽市（州）广域网市（州）广域网的通信链路及宽带应满足以下要求：市（州）到县（市、区）广域网线路总带宽宜不低于1Gbps；市（州）广域网核心路由器宜采用两条及以上不同运营商的物理线路下连各县（市、区）广域网核心路由器；线路类型可选择MSTP、SDH或裸光纤等；每年应对带宽使用率进行评估，并根据需求适时对带宽进行扩容。市（州）城域网市（州）城域网的通信链路及宽带应满足以下要求：市（州）城域网核心汇聚路由器与本级广域网核心路由器之间的连接线路总带宽应不低于10Gbps；城域网核心汇聚路由器之间相互连接的线路总带宽应不低于20Gbps；市级接入单位与城域网核心汇聚路由器之间的线路总带宽应不低于100Mbps，宜达到1Gbps；线路类型可选择MSTP、SDH或裸光纤等；每年应对带宽使用率进行评估，并根据需求适时对带宽进行扩容。网络设备市级政务外网核心网络设备应支持表2所述功能和要求。市级政务外网核心网络设备要求表项目技术要求业务板接口类型支持所选择的通信链路网络互连局域网协议以太网协议、基本VLAN链路层协议PPP、LACP网络协议IP服务ARP、IP包过滤、策略路由IP路由支持OSPF、OSPFv3、IS-IS、IS-ISv6、BGPv4、BGP4+等IPv6特性支持IPv6的IP服务和IP路由功能业务隧道SRv6支持SRv6-TEPolicy，SRv6BE协议和转发能力MPLS支持LDP、RSVP-TE等MPLS标签分发协议VPNGRE、IPsecVPN、BGP-VPN、BGP-EVPN、MPLSVPN设备可靠性冗余双主控、电源模块冗余其他特性支持VRRP、VRRPv3服务质量保障QoS支持层次化QoS（H-QoS）网络切片FlexE业务质量检测IFIT随流检测技术网络管理管理协议支持SDN、Telemetry、BGP-LS、SNMP县级政务外网建设要求网络架构县级政务外网由县（市、区）广域网核心路由器XX（市、区）城域网组成，示意图如图4所示。县（市、区）级政务外网架构图县级广域网县级广域网核心路由器应采用双设备冗余结构，县（市、区）广域网核心路由器纵向上连市级广域网，横向连接县（市、区）城域网。县（市、区）城域网县（市、区）城域网扁平化部署，县（市、区）城域网核心汇聚节点应采用双设备冗余组网，县（市、区）城域网可根据实际情况建设以下业务区域：互联网安全接入区互联网安全接入区连接本地电信运营商，为不具备专线接入条件的接入单位、不具备专线接入条件的乡镇（街道）和村组（社区）以及有移动接入需求的单位提供接入政务外网的服务；接入用户可通过互联网、移动通信网（3G/4G/5G）等基础网络连接到互联网安全接入区，经安全接入平台访问电子政务外网；安全接入平台建设应符合GW0202要求，安全设备应支持国产密码算法。统一互联网出口县（市、区）根据本地实际可建设统一互联网出口，为接入单位、乡镇（街道）和村组（社区）提供互联网访问服务；统一互联网出口应由两家及以上电信运营商提供互联网接入服务；统一互联网出口应配置防火墙、入侵防御、防病毒、行为审计等安全设备，应与政务外网实现逻辑隔离。运维管理区运维管理区是集中建设的独立运维管理区域，应包括运维管理系统和必要的安全设备，运维管理区与城域网核心设备相连；运维管理区流量与其他网络流量逻辑隔离，条件允许的情况下，宜采用带外管理；部署运维管理平台，对各网络设备进行统一运维管理，实现对运维管理行为进行审计；，有条件的县（市、区）可部署安全管理平台，通过流量采集、日志采集、获取威胁情报等方式，实时监测政务外网安全运行状态，智能分析安全趋势，及时对网络安全事件告警，对网络安全风险进行预警。县（市、区）级单位、乡镇（街道）和村组（社区）接入根据各县（市、区）级接入单位业务类型和重要程度，可采用单线路或双线路直接接入城域网核心汇聚路由器；接入设备应采用支持SRv6的路由器，满足政务外网向IPv6单栈演进；乡镇（街道）和村组（社区）统一接入县级城域网，可根据基础电信设施情况，结合业务需求，采用专线或VPN方式接入；对于采用专线接入的乡镇（街道）、村组（社区），可根据接入数量采用直接接入城域网核心汇聚路由器或先统一汇聚后再接入城域网核心汇聚路由器；对于采用VPN方式接入的乡镇（街道）、村组（社区），统一接入到互联网安全接入区。通信链路及带宽县级政务外网通信链路及宽带应满足以下要求：县（市、区）城域网核心路由器与本级广域网核心路由器之间的连接线路总带宽应不低于10Gbps；县（市、区）级城域网核心设备之间相互连接的线路总带宽应不低于10Gbps；城域网接入层设备与核心层设备之间的线路总带宽应不低于100Mbps；线路类型可选择MSTP、SDH或裸光纤等；每年应对带宽使用率进行评估，并根据需求适时对带宽进行扩容。网络设备县级政务外网核心网络设备应支持表3所述功能。县级政务外网核心网络设备要求表项目技术要求业务板接口类型支持所选择的通信链路网络互连局域网协议以太网协议、基本VLAN链路层协议PPP、LACP网络协议IP服务ARP、IP包过滤、策略路由IP路由支持OSPF、OSPFv3、IS-IS、IS-ISv6、BGPv4、BGP4+等IPv6特性支持IPv6的IP服务和IP路由功能业务隧道SRv6支持SRv6-TEPolicy，SRv6BE协议和转发能力MPLS支持LDP、RSVP-TE等MPLS标签分发协议VPNGRE、IPsecVPN、BGP-VPN、BGP-EVPN、MPLSVPN设备可靠性冗余双主控、电源模块冗余其他特性支持VRRP、VRRPv3服务质量保障QoS支持层次化QoS（H-QoS）网络切片FlexE业务质量检测IFIT随流检测技术网络管理管理协议支持SDN、Telemetry、BGP-LS、SNMPIP地址分配要求地址管理IP地址的总体规划应由省级政务外网管理单位负责，并满足以下要求：省级政务外网管理单位负责全省政务外网IP地址分配工作；市（州）政务外网管理单位负责本级及以下网络IP地址资源的二次分配和管理工作；各级接入单位接入政务外网使用的IP地址原则上向本级政务外网管理单位申请；IP地址规划和分配要求按照GW0207和GW0209的规定执行。分配原则政务外网IP地址分配应遵循如下原则：政务外网IP地址的分配应以省、市（州）、县（市、区）为基本单元，市（州）及其下辖县（市、区）分配使用的地址段应连续；分配给同一接入单位的地址段应连续，应符合IP地址VLSM（变XX网掩码）原则，确有特殊需求的，由接入单位提出申请。IPv4地址要求地址类型政务外网IPv4地址应分为全局业务地址、设备管理地址和省内地址三大类：全局业务地址是用于部署供全网访问的应用系统及广义服务设备（包括IP存储、MCU、视频终端等）的IP地址，包括国家各部委要求部署的国家到省、市、县特殊纵向业务（如视频会议系统），各级节点对省、国家发布的公共业务，各级政务云相关应用系统，接入单位出口NAT资源池等；设备管理地址作为网络设备全局管理地址，主要用于网络设备的互联和管理；省内地址主要用于访问省内政务外网节点，不能直接访问省外政务外网，跨省访问需使用NAT技术将10段地址转换为59段地址。地址范围XX省电子政务外网IPv4地址规划见表4。XX省电子政务外网IP地址范围表地址类型IP地址范围全局业务地址59.213.0.0/1616设备管理地址100.85.0.0/16省内地址10地址转换政务外网地址转换应遵循如下原则：宜在用户接入端网络边界设备做地址转换，在分配给用户的地址段中取1个59段地址作为转换地址池，用于单个用户单位访问政务外网。如市级或县级政务外网统一做地址转换，可在边界设备或核心设备上实现地址转换，在本级59段地址范围内选择若干各连续IP地址作为转换地址池，用于城域网内各接入单位访问政务外网；地址转换设备的地址转换记录日志应保存180天以上，宜设立专用的日志服务器进行存储。虚拟专网地址虚拟专网区内的IP地址由业务应用部门负责规划，原则上不得采用59地址段、100地址段和10地址段。IPv6地址要求政务外网网络及安全设备应支持IPv6协议，IPv6地址编址参照GW0209。自治域及路由要求自治域政务外网组建独立自治系统，采用全局AS号，自治域号码范围为64905—64934，自治域号码分配原则如下：各市（州）政务外网自治域号码由省级政务外网管理单位在国家规划的基础上进行统一管理和二次分配；政务外网内部自治域号码不应重复。路由路由设计应反映整个网络的层次结构，并与自治域、各地子网的IP地址分配相契合，具体要求如下：政务外网域内路由协议应采用OSPF或者ISIS，域间路由协议应采用BGP或EBGP；路由应支持向IPv6单栈演进，可采用IPv6+方案，基于SRv6技术同时承载IPv4、IPv6业务，宜采用支持SDN的网络架构。虚拟专用网要求总体要求虚拟专用网是政务外网内部采用MPLSVPN、SRv6VPN、IPsecVPN或网络切片等技术将各业务隔离构建的虚拟网络，为有特殊需求的纵向或横向业务系统提供专网服务，政务外网应支持跨域对接，具备支撑省、市、县三级纵向虚拟专用网的能力。MPLS或SRv6VPN技术要求为满足不同接入单位的业务承载需求，可在政务外网基础网络之上构建不同的业务虚拟专用网，具体要求如下：省、市、县三级纵向虚拟专用网的规划部署由省级政务外网管理单位统一负责；省、市、县级路由器的管理、配置和维护由本级政务外网管理单位负责；虚拟专网业务跨域对接宜采用OptionA方式。部门自建IPsecVPN技术要求政务部门可根据自身需求，依托政务外网建设自有IPsecVPN隧道，并满足以下要求：IPsecVPN业务由用户部门自行建设和维护；政务外网应支持承载IPsecVPN业务；建设技术规范应按照GW0201的规定执行。网络切片技术要求对政务外网中敏感数据和SLA要求高的业务，可采用网络切片技术，将网络划分为多个独立的逻辑业务平面进行硬隔离，每个逻辑业务平面应拥有独立的带宽资源，形成虚拟专用网，可根据业务类型、保障级别定义网络切片模型，宜采用基于业务类型的分类。基于业务类型分类根据业务类型分为四类切片，即政务服务、视频监控、视频会议、办公服务，见表5。基于业务类型的网络切片切片类型业务描述政务服务各政务单位对外服务，如社保、公积金、车管等各类服务视频监控各级部门视频监控业务的接入和调阅服务视频会议各级政务部门内、部门之间高品质视频会议通讯服务办公服务各级政务部门办公、具有统一互联网出口的政务外网为用户提供互联网访问服务基于保障级别分类网络保保障级别应分为特殊级别、关键级别、普通级别，每类保障要求见表6，每单位每业务都可以按照三类级别进行保障，按需基于硬切片进行保障。基于保障级别的网络切片保障等级保障要求普通级别共享带宽，网络时延<30ms，丢包率<10-3，抖动<20ms关键级别保障带宽，网络时延<10ms，丢包率<10-4，抖动<10ms特殊级别独享带宽，网络时延<5ms，丢包率<10-5，抖动<5ms部门局域网接入要求局域网络接入架构接入单位接入政务外网，应采用防火墙等安全设备做到安全隔离与防护，结构见图5。接入模型图局域网络接入架构描述接入政务外网的局域网应满足以下要求：防火墙由接入单位提供，主要有两个用途：逻辑隔离：配置安全访问策略，将接入单位局域网与政务外网进行安全隔离；地址转换：将接入单位局域网内部地址转换成政务外网IP地址。互联网隔离要求：如接入单位有独立互联网出口，则互联网和电子政务外网之间应通过安全设备做到逻辑隔离和安全防护。终端接入要求终端接入应满足以下要求：省、市（州）、县（市、区）应采用安全技术手段，阻止非法用户接入政务外网；终端管理由各接入单位负责；移动智能终端接入政务外网应遵循GW0206标准要求；政务外网安全管理由本级电子政务外网管理单位负责。政务外网机房建设