系统工程公司智能化建设设计方案

目录第一章、 智能建筑弱电系统工程建设概述 3一、 智能建筑的产生 3二、 智能建筑系统建设的必要性 4三、 智能化系统的建设目的 4四、 智能化系统设计原则、理念 5五、 智能化弱电系统设计依据 6第二章、 中国电子进出口总公司办公楼智能化系统工程总述 7一、 项目简介 7二、 设计思绪 8(一)、 信息网络系统 8(二)、 综合布线系统 8(三)、 会议系统 9(四)、 信息发布系统 9(五)、 时钟系统 9(六)、 安全防范系统 10(七)、 机房工程 10(八)、 智能化集成管理系统 10第三章、 信息网络系统 11一、 系统概述 11二、 网络安全 11(一)、 设计原则 11(二)、 需求分析 12(三)、 重要任务 20(四)、 网络安全方案设计 22三、 互换网络 26(一)、 需求分析 26(二)、 设计思想 28(三)、 网络厂商选择 30(四)、 设计方案 32第四章、 综合布线系统 49一、 系统概述 49二、 综合布线系统设计目的 49三、 综合布线系统设计原则 50四、 系统设计 50第五章、 会议系统 56一、 系统概述 56二、 系统分析设计 60第六章、 信息发布系统 64一、 系统概述 64二、 系统设计 64第七章、 时钟系统 66一、 系统概述 66二、 系统构成 66三、 系统设计 66第八章、 安全防范系统 67一、 系统概述 67二、 系统功能分析 67三、 系统组成 67(一)、 视频安防监控系统 68(二)、 出入口控制子系统 71第九章、 机房工程 73一、 系统介绍及功能 73二、 总体技术规定 73三、 机房布局 75四、 机房设计 75(一)、 装饰工程 76(二)、 机房供配电 78(三)、 防雷接地系统 81(四)、 综合布线系统 83(五)、 精密空调系统 83(六)、 新风、排风、排烟系统 84(七)、 集中监控系统 85(八)、 KVM 90(九)、 其它 91第十章、 智能化集成管理系统 92第十一章、 工程估算 93智能建筑弱电系统工程建设概述智能建筑的产生随着经济的发展、高新科学技术的出现，人们对工作和生活环境的规定越来越高。全面发展和应用现代建筑技术、控制技术、通信技术及信息服务，提高工作效率和管理水平，提高生活质量，是当代建筑的重要特性。“智能建筑”这一建筑学的新名词、新概念由此应运而生。智能建筑是信息时代、高科技时代的产物，是多学科和多技术综合应用的结果。将建筑科学、管理科学、环境科学、人文科学与电气技术、空调技术、4C技术（即Computer计算机技术、Control控制技术、Communication通信技术、CRT图形显示技术）综合应用于建筑物之中，与建筑艺术有机结合，使建筑物具有安全、舒适、灵活、高效、环保、节能等特点。智能建筑是一个发展中的概念，建筑物智能化限度随科学技术的发展及人们对其功能规定的变化而不断更新、逐步提高。美国智能建筑学会（AIBI）“智能建筑”的定义是将结构、系统、服务和管理等四项基本规定，以及它们之间的内在关系，进行优化组合，来提供一个投资合理的具有高效、节能、舒适、便利的环境的建筑物；我国智能建筑权威机构--中国智能建筑专业委员会将“智能建筑”定义为：智能建筑系运用系统集成方法,将智能型计算机、通信技术、信息技术与建筑艺术有机结合,通过对设备的自动监控,对信息资源的管理和对使用者的信息服务及其与建筑的优化组合,所获得的投资合理、适合信息社会需要并且安全、高效、舒适、便利和灵活特点的建筑物。智能建筑系统建设的必要性建筑作为人工环境，是满足人类物质和精神生活需要的重要组成部分。然而，人类对感官享受的过度追求，以及不加节制的开发与建设，使现代建筑不仅疏离了人与自然的联系和交流，也给环境和资源带来了沉重的承担。据记录，人类从自然界所获得的50%以上的物质原料用来建造各类建筑及其附属设施，这些建筑在建造与使用过程中又消耗了全球能源的50%左右；在环境的总体污染中，与建筑有关的空气污染、光污染、电磁污染就占了34%；建筑垃圾则占人类活动产出垃圾总量的40%；在发展中国家剧增的建筑量还导致侵占土地、破坏生态环境等现象的日益严重。智能建筑的诞生大大改善了这一现状，不仅能延长建筑物的使用寿命，减少设备的能耗，提高楼宇管理工作的效率，节省人工费用，并且更重要的是，其优美完善的环境与设施能大大提高建筑物使用人员的工作效率与生活舒适感、安全感和便利感，是建造者与使用者都获得很高的经济效益。仅就节能降耗这一项来讲，在智能建筑上很小的投入就能带来可观的回报。有记录数据证明，达成节能20-30%标准的建筑，只是在本来建筑的造价基础上再增长5-7个百分点，所增长的造价预计在五到八年的时间内就可以收回。但是，它给人们提供的室内环境是完全不同样的，它对外部环境的影响也是大不同样的。智能化系统的建设目的随着时代的发展，现代高科技已有能力为用户提供前人所不能想象的各种功能。而智能化弱电系统正是现代科技发展的最具代表性的产物，是时代发展的总趋势。智能化弱电系统的设计也随着技术的进步在发展变化，二十一世纪建筑智能化设计所追求的是以人为本和可连续发展。总之，就此项目我们智能化系统的建设目的是：提供高度安全、优雅舒适、方便快捷、以人为本的优质服务国海广场A座是集办公、会议、服务、等多功能于一体的高档、大型综合建筑，向公众提供优质的服务是智能建筑先进科学管理的最终体现，也是智能建筑追求的最终目的。我们把服务的功能分为三方面，即保证大楼内人员和财产的高度安全以及对灾害和突发事件的防御能力；提供舒适的室内环境；建立信息和通信的高速快捷的服务，做到以人为本。建立先进科学的综合管理机制要实现管理的智能化，就必须系统的智能化，即使有前期的优化设计、先进可靠的系统产品、高质量的工程实行，假如没有完善、科学的综合管理机制，这样的智能建筑建设也是不成功的，甚至是完全失败的。因此在国海广场A座智能化弱电系统工程中，使系统能适应和满足大楼内管理体制的需求，同时，管理要在系统软件、硬件的支持下得以完善和提高。节省能源和保护环境，减少人工成本通过管理的科学化、智能化，以最低的费用去保证大楼内的各类机电设备的妥善维护、运营、更新，强调设备的可操作性和可维护性。智能化管理系统的效益就体现在通过集中监控和管理，可以极大的精简设备维护人员和操作管理人员，大大的节约了人力资源。建设高品位的人文环境；高新技术的充足运用；建筑空间的有效和灵活运用；智能化系统设施和建筑过程、结构的和谐共存；以上六条原则是我们工程实行的切入点，也是智能化弱电系统的建设目的。智能化系统设计原则、理念先进性：采用国际或国内通行的先进技术；成熟性：以合用为原则，采用成熟的或通过工程检查的高科技产品；开放性：采用开放的技术标准，避免系统互联或扩展出现障碍；按需集成：根据本项目特点，按照需要分层次、分阶段实现集成；标准化：采用标准化的设计和标准化的产品；安全性：涉及系统自身的物理上的安全和信息传递的安全；服务意识：强调以人为本的设计思想，为大楼的用户提供安全、舒适、方便、快捷、高效、环保的生活、工作环境。智能化弱电系统设计依据本系统方案依据下列资料设计制作：中国电子进出口总公司办公楼平面方案图纸中国电子进出口总公司新大楼智能化功能需求说明书《智能建筑设计标准》GB/T50314-2023《综合布线系统工程验收规范》GB50312—2023《综合布线系统工程设计规范》GB50311-2023《民用建筑电气设计规范》JGJ16-2023《低压配电设计规范》GB50054-95《安全防范工程程序与规定》GA/T75-94《民用闭路电视系统工程技术规范》GB50198-94《视频安防监控系统技术规定》GA/T367-2023《出入口控制系统技术规定》GA/T394-2023《安全防范工程技术规范》GB50348-2023《安全防范系统验收规范》GA/T308-2023《会议系统电视及音频的性能规定》GB/T15381-94《商用建筑电信布线标准》EIA/TIA-568《城市住宅区和办公楼电话通讯设施设计标准》YD/T2023-93《厅堂扩声系统特性指标》GYJ25-86《视听、视频和电视系统中设备互连的优选配接值》GB/T15859-1995；《电子信息系统机房设计规范》（GB50174-2023）《电子信息系统机房施工及验收规范》（GB50174-2023）其他设计规范、标准及相关资料。中国电子进出口总公司办公楼智能化系统工程总述项目简介中国电子进出口总公司办公大楼位于长安街,西三环，是一座集5A级智能化写字楼、大型商业及多功能商务会所于一体的城市综合体，是北京西部的标志性建筑之一。中国电子进出口总公司办公大楼功能划分：23层为领导办公区域。18、20～22层为普通办公区域。19层为会议区7～17层为出租层6层为会议、展厅区域3～5层为商业区域2层为出租层大堂为公共区域设计思绪本次设计方案共涉及10个子系统，除了机房工程为专门设计，卫星和有线电视系统与时钟系统采用专用网络，其他个子系统均采用全数字结构，搭建专用的智能TCP/IP网络，整体考虑整体设计，无需单独再为各个系统额外架设专用网络。信息网络系统为真正实现进出口公司新办公楼本次网络项目的最终目的，满足进出口公司新办公楼正常的业务数据传输需求，建立具有国内领先、国际先进的网络平台系统。我司制定出一套完整的、先进的、易用的、具有前瞻性的网络设计方案。1、网络拓扑结构的规范化。建立规范层次化拓扑结构,分布接入层互换机汇集网络节点信息，通过核心互换机分析解决后进行分发，充足运用了核心层先进互换机的高速互换解决性能。2、核心设备双机容错，主干网络(核心层)传输速度达成万兆，接入层达成千兆，可以满足信息化发展的规定及解决网络核心设备出现单点故障。3、增强网络管理控制能力，提高数据传输质量。通过VLAN技术的应用，分割每个局域网络为多个广播子域，杜绝VLAN之间广播信息的传递，扩大了可用带宽。4、网络实现安全管理和控制。综合布线系统出租部分计算机网络和语音部分垂直干线分到各层竖井，以提供干线入口。其余各系统因采用全数字结构，根据公司需求，此后如需建设可以通过网络系统方便的扩展到位。国海广场A座暂按每个工位两个信息点，一个语音点；领导办公室2个语音点，两个数据点和一个光纤接口；小会议室两个语音点，两个数据点；中型会议室两个语音点，两个数据点，两个光纤接口；大型会议室两个语音点，两个数据点，两个光纤接口。综合考虑了工程的实际情况和未来也许的扩展需求，综合布线系统的水平子系统采用六类标准，方便实现语音与数据的互换；垂直子系统中数据部分采用多模光纤传输并按1：1比例冗余、语音部分采用三类大对数电缆传输且按一定数量冗余。各楼层配线间与中心机房经弱电井内的垂直通道相连接。会议系统国海广场A座会议重要包具有：来宾接待会议室、远程视频会议系统，谈判间，普通会议室和展厅。各会议室的功能设立如下：1、来宾接待会议室：视频系统。2、视频会议系统：音频系统、视频系统、远程视频会议系统、同声传译系统、集中控制系统。3、谈判间：音频系统、视频系统4、普通会议室：音频系统（根据会议室大小取决）、视频系统。5、展厅：视频系统、电子展示台、音频系统。信息发布系统在大楼一层设立两个室内LED大屏幕电子显示屏，用于播放公司视频、新闻信息、显示重要来宾的欢迎辞以及为租户服务等。十九层位于楼层入口设立大屏幕液晶电视，功能：发布会议内容、日程安排、告知、对外宣传等。同时在会议层每个会议室门口设立17寸液晶显示屏，用于显示本会议室的会议情况。每块显示屏均纳入信息发布系统管理，采用集中控制、统一管理的方式通过TCP/IP网络将视音频信号、图片和滚动字幕等多媒体信息通过网络平台传输到显示终端。时钟系统在大楼一层南门和东门大厅设立时钟系统，母钟设立在东门大厅，子钟设立在南门大厅。由一台母钟和多台子钟组成的时钟系统被称为子母时钟系统。子母时钟系统具有走时精确、操控方便、同步运营等特点。本子母时钟系统采用智能模块化设计，与同类产品相比，更突出了操作简朴，安装方便，运营可靠，使用寿命长，性价比高等特点，带有GPS校时功能。安全防范系统整个安防系统由视频安防监控子系统、出入口控制子系统组成。以中心控制室为中枢，以视频安防监控系统为核心，与出入口控制相结合为基础组成部分。通过集成管理，将各系统融为一有机整体。构成一个具有数字化、自动化、智能化、功能设施完善、综合防范能力强的现代化的安全防范系统。机房工程本机房工程位于大楼22层（大楼共23层），机房整体实用面积约88平米。机房是新大楼智能化系统的中枢，是各类信息数据的互换和解决中心。机房工程必须保障机房的环境满足机房各种设备的正常、安全运营规定。具有安全可靠、舒适实用、节能高效和具有可扩充性的高质量的机房。防雷接地、温适度控制、双路供电、UPS电源、安防监控、承重、防水、防震、防火、屏蔽、防泄漏。智能化集成管理系统本工程的智能化集成管理系统以网络系统作为集成管理系统的通讯平台，应用先进成熟的系统集成管理软件作为集成系统的运营平台，将安全防范系统、会议管理系统等集成起来，以便可以实时监控大厦的整个智能化系统的运营状态、及时发现异常情况，并对部分系统的设备进行必要的控制管理，满足资源共享、信息集成、集中管理的需要，从而提供一个舒适、安全的生活和工作环境，并通过优化控制提高管理水平，达成节约能源和减少运营成本的目的，进而为实现物业管理自动化发明有利条件。信息网络系统系统概述进出口公司新办公楼将建设成为智能型系统，因此，本项目将按照技术先进，产品可靠，配置合理等原则，在建立高速数据传输网络平台的基础上，更应设计出安全的网络防范体系，保证内部数据的安全，同时应配置网络管理服务器，对全网进行实时监控和维护，在IP地址规划，路由协议选择上应采用合理成熟的方案，保证整个网络在未来几年内都能满足规模的扩展的性能需求。为真正实现进出口公司新办公楼本次网络项目的最终目的，满足进出口公司新办公楼正常的业务数据传输需求，建立具有国内领先、国际先进的网络平台系统。我司将切合实际制定出一套完整的、先进的、易用的、具有前瞻性的网络设计方案。本方案中将对整个信息网络系统分为两部分进行设计描述，分别是信息网络的互换系统和网络安全管理系统。网络安全本文档中各[区域]定义的解释如下：[互联网链路接入区域]，指运营商之间的互联网链路接入。[办公区域]，指内部网络OA服务区域。[内网区域]，指完毕独立关键业务的物理隔离系统区域。[办公业务系统区域]，指办公区域中办公系统区域，涉及电子邮件系统、公文、互联网访问系统等。[管理区域]，指提供网络及系统管理、监控等功能的区域。[基础服务区域]，指承载内部网络基础服务功能的区域，涉及DNS系统、认证系统、安全服务系统等。设计原则符合性原则遵循国内外监管机构法律法规规定，参照国家标准、国际标准、行业标准及相关安全指南，实现法规遵从。合用性原则借鉴国内外同业成功经验，充足考虑用户业务模式，具有高度的适应性和可操作性。平衡性原则认清安全和可用的关系，实现最合理的安全防御；充足结识安全运维的压力，避免建设与运营节奏失调。安全性原则充足考虑各环节安全措施，特别是安全设备或系统自身安全。可用性原则各安全组件(或安全功能实现)要具有高可用性和可靠性，以满足业务连续性运营规定。可扩展性原则充足分析业务发展趋势，有效指导技术和产品选型，避免投资浪费，满足3-5年的需求。有序性原则要统一规划，分布部署。制定合理的安全计划，充足考虑到业务发展状况，合理选择技术，合理分派资金投入。需求分析项目背景根据用户网络改造建设的需求，需要在新建网络中考虑网络安全的问题，保证用户正常业务的安全，符合国家相关的网络安全规定，提高用户整体网络安全水平。用户项目建设需要根据目前重要的网络安全威胁进行分析，并进行针对性的设计。网络安全威胁分析根据生产网络部署的特点和目前安全威胁的多样化性质，本风险分析从以下几个方面进行全面的分析：网络层系统层用户应用层病毒威胁策略和管理层下面将分别进行具体的阐述。A）网络层安全分析网络层为生产网络提供连接通路和网络数据互换的连接，同时也是网络入侵者进攻网络系统的渠道和通路。由于大型网络系统内运营的TCP/IP协议并非专为安全通讯而设计，所以网络系统存在大量安全隐患和威胁。整个网络受到来自网络外部和内部的双重威胁。B）外网安全威胁在外网Internet中存在着大量的黑客袭击，他们经常针对Web服务器和邮件服务器作为突破口，进行网络袭击和渗透。常见得一些手法如下：IP欺骗、重放或重演、拒绝服务袭击（SYNFLOOD，PINGFLOOD等）、分布式拒绝服务袭击、篡改、堆栈溢出等。黑客可以容易的在生产网各节点出口进出，对系统进行袭击或非法访问。假如加上安全管理上的不够完善等因素，或者在已有的服务器与单机中存在着后门程序（木马程序）话，袭击者就可以很容易地取得网络管理员权限，从而进一步控制计算机系统，网络中大量的数据就会被窃取和破坏。C）内网安全威胁随着移动设备的普及，袭击和威胁可以同时从外网和内网发起袭击。不管如何试图保持移动用户的安全，当他们外出离开公司网络总是会碰到更大的风险。移动用户承受更大安全风险的因素如下：移动设备无法受到与公司网络相同的安全技术的保护。大多数公司仅仅使用基于主机的防病毒软件来保护移动设备，单机防火墙和IDS在移动设备上安装的比例很低。保持基于主机的安全应用不断升级、与公司安全策略同步是很难做到的。用户会故意无意的关闭或修改基于主机的安全系统。员工将与其它网络连接来开展业务，而这些外来网络的安全级别完全未知。员工也许会让公司以外的人使用他们的移动设备。移动用户往往对他们的设备具有管理员权限，这就意味着他们可以安装各种未经批准的软件。这些软件经常属于免费软件，可以从Internet上自由下载，很也许带有木马或者间谍软件。移动设备包具有公司信息，但也许没有备份，增长了丢失公司有价值财产的风险。移动设备被盗的概率也要高出许多。当移动设备离开办公室时，它们更容易感染病毒、木马和蠕虫。当移动用户回来连接到公司网络时，驻留在移动设备里的感染和袭击就会扩散至公司网络，感染其它曾被公司安全防御正常保护的系统。根据CSO对袭击来源的调查记录，超过64%的安全威胁来自于公司内部可信任用户或合作伙伴（如下图）。因此对于来自外网和内网的袭击防御同样重要。网络中只要一个地方出现了安全问题，那么整个网络都是不安全的。因此，在生产网各节点网络出口处应配置具有多层次防御能力的防火墙来加强访问控制，并部署入侵防御系统等高级安全设备，杜绝也许存在的安全隐患，来保证网络安全可靠的正常运营。D）系统层安全分析网络服务器和PC运营着不同的操作系统，如：Windows、UNIX、Linux等等；网络设备也都有着自己的操作系统。所有这些操作系统也许存在各种各样的漏洞。据IDC记录，1000个以上的商用操作系统存在安全漏洞，假如这些操作系统没有进行系统的加固和对的的安全配置，而只是按照本来系统的默认安装配置，这样的主机系统是极其不安全的。黑客可以针对操作系统的漏洞发起入侵，试图获取管理员的权限。此外，在网络中，一些黑客运用系统管理员的疏忽用缺省用户的权限和密码口令就可以轻松地进入系统修改权限，从而控制主机。现在许多黑客正监视着软件提供商的补丁公告，并对补丁进行简朴的逆向工程，由此来发现漏洞。下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被运用之间的天数。需要注意的是，对于最近的一些袭击，这一时间已经大大缩短了。IT和安全人员不仅需要紧张已知安全威胁，他们还不得不集中精力来防止各种被称之为“零小时”（zero-hour）或“零日”（zero-day）的新的未知的威胁。同时，黑客的动机正在从引起别人注意向着获取经济利益转移，我们可以看到一些更加狡猾的袭击方式正被不断开发出来，以绕过传统的安全设备，而社会工程（socialengineering）陷阱也成为新型袭击的一大重点。E）应用层安全分析生产网网络平台，进行着涉及Web、FTP、Email、DNS等Internet应用，随着网络技术的不断发展，当前的网络应用越来越丰富多彩，P2P、IM、VoIP、网络视频等新型应用也越来越广泛。应用系统的安全性重要应考虑一下几方面：针相应用服务和协议漏洞的袭击黑客往往抓住一些应用服务和协议的缺陷和弱点来对其进行袭击，比如针对错误的Web目录结构、CGI脚本缺陷、Email服务器应用程序缺陷、IM/P2P文献传输安全性漏洞等，运用种植木马等方式获取主机管理权限，然后进行窃取、篡改、破坏等操作。不良Web内容应用层的安全威胁还涉及对各种不良网络内容的访问，比如内网用户访问非法（如发布反动言论、宣扬法轮功等）或不良（色情、迷信）网站等。有的Internet站点上还包具有害的JavaApplet或ActiveX小程序，假如不慎访问将有也许带入病毒和木马程序，甚至有的网页可以通过一段简朴的代码直接破坏访问者计算机的数据和系统，对网络安全和效率都将导致极大破坏。社会工程学袭击带有社会工程陷阱元素的袭击涉及间谍软件、网络欺诈、基于邮件的袭击和恶意Web站点等。这些袭击设计为欺骗用户暴露敏感信息，下载和安装恶意程序、跟踪软件或运营恶意代码。很多这类袭击设计为使用传统的浏览器或Email技术（如ActiveX、XML、SMTP等），并伪装为合法应用，因此传统的安全设备很难加以阻挡。现在比以往任何时候都更需要先进的检测和安全技术。现在针对新漏洞的袭击产生速度比以前要快得多。在最新一代袭击中使用的社会工程陷阱的数量也明显的增长。袭击者们伪造合法的应用程序和邮件信息来欺骗用户去运营它们。网络欺诈袭击往往声称自己为某个合法组织，诱骗成千上万的无辜受害者给出他们的财务和私人信息。广告软件、恶意Web站点、Web重定向和其它形式的间谍软件在用户不知情的情况下秘密的向他们的机器上安装跟踪软件、键盘记录工具、文献清除工具和其它恶意软件。通过垃圾邮件传播袭击是当前最流行的方法之一。病毒被设计为运用Email客户端软件的地址簿进行广泛传播已经成为新型袭击的标准手段，MSN、QQ、ICQ、Yahoo等IM（即时通信）软件也成为社会工程学袭击的重要途径。P2P软件控制随着大量P2P软件的应用，网络数据传输方式发生了很大改变，PC客户端的带宽运用能力被无限增强，但同时也带来了大量的问题：大量占用网络带宽，关键业务无法正常运营；管理员无法控制下载及上传行为，也许导致内网安全威胁或泄密；P2P数据传输的目的地址及端口都是随机的，很难通过传统防火墙的IP地址及端口过滤进行阻挡。混合型威胁随着病毒、蠕虫、木马、后门和混合威胁的泛滥，内容层和网络层的安全威胁正变得司空见惯。混合型袭击通过多种感染和袭击方法来运用操作系统和应用程序中发现的漏洞，如WindowsXP、IE和MSSQLServer等。为了使自身更难被发现和阻挡，混合型袭击使用多种技术的混合——如病毒、蠕虫、木马和后门袭击等，这些袭击往往通过垃圾邮件和被感染的Web网页发出。随着每一次成功的袭击，知识不久的传递到下一代袭击或袭击的变种，使得对于已知或未知的袭击更难被阻挡。这种混合型袭击的例子有Nimda、CodeRed和Bugbear、Blaseter、熊猫烧香等。由于应用服务和协议的多种多样，应用层威胁的种类也各不相同，还衍生出大量的具有多种威胁特性的混合型袭击，因此生产网需要采用多种安全手段，涉及网络防病毒、防恶意软件/木马、入侵防御系统、Web内容过滤、反垃圾邮件、IM控制、P2P控制等相应用层威胁和混合型威胁进行防御。F）病毒威胁分析计算机病毒一直是计算机安全的重要威胁。而随着网络的不断发展，网络速度越来越快，网络应用也越来越丰富多彩，使得病毒传播的风险也越来越大，导致的破坏也越来越强。据ICSA（国际计算机安全协会）的记录，目前已有超过90%的病毒是通过网络进行传播的，病毒通过光盘、软盘、U盘等传统介质传播的比例已经越来越低。生产网全国各地分公司内网用户访问Internet时，无论是收发E-mail、浏览Web页面，还是通过Web、FTP等方式下载文献，都也许将Internet上的病毒带入网内，甚至通过MSN等IM软件传播病毒的现象也时有发生。而近几年泛滥成灾的网络蠕虫病毒（如红色代码、尼姆达、冲击波、振荡波、熊猫烧香等）都是上文提到的混合型威胁的一种，它们自身是病毒与黑客工具的结合体，当网络当中一台计算机感染蠕虫病毒后，它会自动的以极快的速度（每秒几百个甚至上千个线程）扫描网络当中其他计算机的安全漏洞，并积极的将病毒传播到那些存在安全漏洞的计算机上，只要相关的安全漏洞没有通过安装补丁的方式加以填补，蠕虫病毒就会这样以几何级数的增长速度在网络当中传播。蠕虫病毒的传播还会大量占用网络带宽，导致网络拥堵，形成拒绝服务式袭击（DoS）。由于基于主机的防病毒软件存在以下缺陷，所以很难实现对新型蠕虫病毒的有效防御：需要安装、维护和保持病毒特性库更新，这就导致了大量的维护开销。很多用户并没有打开防病毒软件的自动更新功能，也没有经常的手动更新他们的病毒库，这就导致防病毒软件对最新的威胁或袭击无用。用户有时也许会故意或无意的关闭他们的防病毒软件。最新的复杂的木马程序能对流行的基于主机的防病毒软件进行扫描，并在它们加载以前就将它们关闭–这就导致即使有了最新的病毒特性码，事实上它们还是不能被检测出来。蠕虫病毒属于混合型袭击，除具有病毒特性外，还可运用系统漏洞，采用黑客入侵的方式进行传播，而主机防病毒软件往往不具有入侵防御功能，只能被动的查杀已感染的病毒，积极防御能力较弱。单纯依靠给予主机的防病毒软件和给操作系统和应用程序打补丁的方法会使它们的内部系统面临很高的安全风险。随着业务中使用了越来越多的面向全球且需要连续运营的关键应用，停机来更新操作系统补丁、病毒特性码和应用升级变得越来越困难。而公司的Web、Email、电子商务、数据库、应用等服务器由于长时间不打补丁会很容易在新的袭击方式下暴露出它们的漏洞。仅仅依靠基于主机的防病毒软件的另一个缺陷是，事实上有害代码在被每一个主机的安全软件检测和阻挡之前就已经进入了公司的网络，这就大大威胁了公司关键业务系统和网络应用。假如计算机病毒从任意节点进入生产网内网，便会通过专线或InternetVPN，迅速在生产网内网各节点之间进行传播，导致总部与各分公司节点之间的堵塞，影响业务的正常进行。对于新型的网络蠕虫病毒，必须在网关处进行过滤，防止病毒进入内网。网关防病毒已经成为未来防病毒体系中的重中之重，需要引起特别重视。只有通过网关防病毒和主机防病毒的结合，并结合入侵防御、反垃圾邮件、内容过滤等多种方式，才干达成最佳效果。G）用户行为风险分析传统的网络安全设备可以有效地阻挡来自银行外部的袭击，但对于内部因素，特别是由于员工上网行为不妥引起的安全问题却无能为力。据调查，大部分银行安全问题是由于内部监控和风险管理欠缺引起的。许多银行也许认为员工是最不需要进行安全管理的一部分，但是，内部员工故意或无意的不妥上网行为往往对银行的信息安全导致更大的损害。这些行为表现为：敏感信息泄漏电子邮件、即时聊天以及论坛发帖等网络应用，为人们沟通信息提供了极大的便利，但也也许成为员工泄密的工具。银行员工掌握着大量敏感数据，假如不对员工的外发信息进行严格控制与监控审计，这些重要信息可“容易而快速”地传递到外部，给银行导致重大损失。安全事件频发四通八达的网络，方便的不仅仅是正常业务的传输，恶意代码、病毒、蠕虫、间谍软件等等，也会搭乘便车，籍由貌似“善良”的网页、Email、聊天工具、下载工具等方式，悄悄侵入到网络的各个角落。由于防火墙不能分析应用层的内容，无法阻挡这些网页的下载，而桌面防病毒软件尽管可以辨认并阻止病毒的入侵，但也许由于软件的版本落后或者病毒更新的速度更快，导致防范实效。由于内部员工不安全的互联网访问而导致的病毒传播与黑客入侵，成为网络安全的最大黑洞。工作效率减少为了在日益剧烈的竞争中获得优势，银行必须不断增长业务品种，改善服务质量，提高工作效率，减少运营成本。但未加管理的互联网应用也许会大大减少员工的工作效率。据一项调查显示，普通公司员工天天的互联网访问活动中40％与工作无关，在线聊天、浏览新闻娱乐、网络视频、网络游戏、炒股、博客等无时无刻不在占用正常的工作时间，敲击键盘和点击鼠标的“忙碌”表象背后却是低下的工作效率。在高度网络化的现代办公环境里，办公室也许成为“舒适的网吧”。人力资源在无形中浪费巨大，公司运营效率也因此大大减少。带宽资源浪费银行业是信息化建设最先进的行业之一，公司为了业务发展进行了大量的IT设备与带宽资源投资。登记表白，在互联网活动未加管理的公司中，宝贵的带宽资源超过70％被音乐、视频下载等占用，尽管带宽一扩再扩，却总是被BT、电驴、迅雷等P2P应用挤占。这不仅导致带宽资源被大量浪费，还使得公司正常业务得不到应有的带宽保证。导致法律风险互联网充斥着各种良莠不齐的信息，公司员工在获取有用信息的同时，也易被不良内容侵蚀。为了加强对互联网的控制和管理，国务院、人大常委会、公安部、信息产业部皆相继出台法律法规明文规定，接入互联网的单位和公司要采用相应的技术手段对互联网的使用做出控制和管理。对于互联网资源的非法访问，比如访问色情、赌博、犯罪网站、发表反动言论、泄露重大机密等，都会触犯相关法律，给银行带来法律风险。重要任务网络安全是一个连续的过程，可遵循PDCA（计划、执行、检查、改善）思想，保持动态安全。可以广泛吸取同业成功经验，采用先进的技术和管理思想，奠定良好的基础，具有较高的起点。规划网络结构网络是业务运营的基础，网络结构设计至关重要，重要包含以下几方面：网络地址规划；关键网络隔离，业务内网与办公网络隔离；网络功能区域划分；网络管理模式；重点区域防御针对重点区域重点防御，重点区域重要涉及互联网出口区域和用户内部网络。用户行为控制和审计根据以上分析，由于员工的积极网络行为引发的问题无法通过传统的网络安全保护手段实现，必须通过专业的上网行为管理产品解决。何为上网行为管理？简朴地讲，就是对员工主体的基于内容的网络访问行为进行管理，包含如下几个要素：第一、上网的人是谁（Who：哪个部门哪个员工）；第二、上网的时间（When：工作日/周末，上班时间/午间休息/夜间，上午/下午）；第三、上网做了什么事（How：浏览网页、下载文献、聊天、游戏、等等）；第四、具体内容是什么（What：网页的内容、聊天的内容、邮件的内容）；第五、占用的带宽和流量是多大（Howmuch），等等。与传统的安全防护方式不同，上网行为管理产品基于用户、时间、网络应用、带宽等元素对员工的上网行为进行灵活的策略设立，把网络风险管理从“被动式响应管理”提高为“积极式预警管理”，从“防范管理”提高为“控制管理”。为了实现真正安全的网络环境，银行需要“内外兼修”，除了阻挡外部袭击外，还应当转换视角，大力加强对内的管理，对员工的上网行为进行规范管理是十分必要的。终端风险控制由于终端计算机数量众多，计算环境越来越复杂，应用越来越多样化，由终端导致的网络袭击、病毒感染、数据丢失等事件比例越来越高，针对其的安全维护工作量占了科技人员运维工作的大部分。解决好桌面计算机安全问题，对提高运维质量，减少安全事件发生至关重要。强化运营保障和安全服务由于技术和应用较为成熟，建设工作相对简朴，保证业务连续性运营需要高质量的运维保障，除具有基础的管理、监控和预警等系统，良好的运维流程更加重要，实现人、技术和流程的有效整合。网络安全建设是一个渐进过程，为了保证用户网络安全，需要用户与专业的安全服务商建立长期的合作，通过安全服务商提供长期的安全应急响应服务，保证网络安全。网络安全方案设计互联网访问安全根据用户目前的网络规划，用户互联网访问采用两个运营商接入，在用户互联网总出口部署一台飞塔防火墙设备，完毕内部用户上网的访问控制，防止外部非法用户的连接，同时实现两条用户ISP接入链路的负载均衡，并运用飞塔防火墙的防病毒功能，对内部用户的互联网访问进行过滤，保证用户网络安全。图1网络安所有署拓扑图系统部署：如图1所示“”，在用户互联网出口最外层部署一台防火墙，完毕用户网络和互联网网的隔离，并完毕两条互联网ISP运营商接入。用户上网行为管理用户行为审计系统支持提供WEB高速缓存，提供灵活的用户管理，WEB策略，应用管理，带宽管理功能模块，通过灵活的组合可实现用户的上网行为控管功能。该系统在应用层上深度分析用户在网络上的各种应用，灵活调控用户使用各种应用的流量。从流量、内容、用户行为目的等角度实现相应用协议的结构化管理，通过监控、记录、控制等技术手段引导网络用户的上网行为，并为网络管理提供依据，使有限的网络资源最大限度的有效运用，减少由于内部因素导致的网络出口故障和非法内容传播风险，从而保障网络的高效、健康、稳定的运营。系统部署如图1所示“”，在用户互联网出口防火墙后透明串联用户上网行为管理系统，完毕用户上网行为的管理。终端安全根据用户终端系统的现状和系统防毒安全和终端管理的需要，我们考虑系统设计遵循以下几条原则：采用网络版病毒防护和终端桌面安全管理系统，提高用户桌面终端系统的整体安全，并通过统一管理减少系统管理员的维护压力。必须是积极式的，而不是在病毒发生爆发后再做出反映。针对混合型病毒提供积极保护重要处在以下几个因素，重要是混合病毒传播的速度和它们的破坏限度；停机时间导致巨大的成本，需要大量的IT资源来清理病毒。对于混合型病毒必须要提供积极式的防御。扩展性和可升级性。

可升级能力是衡量防病毒系统是否具有生命力的重要指标。防病毒软件必须不断及时地升级病毒样本文献和引擎，在功能、性能上都在不断采用新的技术，保证系统的向前发展。向用户提供多种病毒特性文献和病毒引擎的方便的升级方式，保证组织机构的防病毒系统在第一时间内得到升级。可管理性。要管理防病毒和终端防护软件的分发、升级、配置和支持是一个非常难的事，这就规定提供一个方便管理的平台。系统必须提供简化管理的工具，可以在几个集中的点上对整个网络中的客户端和服务器进行管理，涉及对病毒特性文献和防病毒引擎的分发升级、报警管理和日记分析整理以及病毒解决方式配置等。易用性。组织机构中，大部分的使用人员并非计算机专业人员，并且由于业务繁忙，不也许系统学习每一个工具软件。这就规定客户端的防病毒软件必须简朴易用，自动化限度高，最佳无须用户干预。长期以来，应对混合型威胁（混合型病毒）的传统做法是，一旦混合型病毒爆发，尽快捕获样本，再尽快写出病毒特性，并尽快去部署该病毒特性，然后寄希望于它可以迅速清除病毒并阻截该威胁的蔓延。这种方式曾一度相称有效，但近年来――特别是近几年多次影响的冲击波、Slammer、Netsky等病毒，已经体现这种基于特性的被动式病毒响应方式效果不佳了。这一方面由于病毒的快速发展，另一方面更由于传统防病毒技术采用被动跟踪的方式来进行病毒防护。借鉴最新的安全思想，从“积极防御、积极反映”这一观点出发，协助中国石化建立一个覆盖全网的、可伸缩、抗打击的防病毒网络。积极式反映重要体现在以下几个方面：全面采用积极式反映技术相对于被动式病毒响应技术而言，积极式反映技术可在最新的混合型病毒没有出现之前就形成防御墙，待威胁的到来而能避免威胁带来的损失。行为阻截技术行为阻截的思想就是：在系统中实时监控各种程序行为，一旦出现与预定的恶意行为相同的行为就立即进行阻截。以电子邮件的行为阻截技术应用为例进行说明。一方面，我们知道基于电子邮件的蠕虫的典型操作：典型的电子邮件计算机蠕虫的工作原理是，新建一封电子邮件，附加上其（蠕虫）自身的副本，然后将该消息发送到电子邮件服务器，以便转发到其他的目的计算机。那么，当使用了带行为阻截技术的防病毒软件之后，防病毒软件将监视计算机上的所有外发电子邮件。每当发送电子邮件时，防病毒软件都要检查该邮件是否邮件有附件。假如该电子邮件有附件，则将对附件进行解码，并将其代码与计算机中启动本次电子邮件传输的应用程序相比较。常见的电子邮件程序，如Outlook，可以发送文献附件，但绝不会在邮件中附加一份自身程序的可执行文献副本！只有蠕虫才会在电子邮件中发送自己的副本。因此，假如检测到电子邮件附件与计算机上的发送程序非常相似时，防病毒软件将终止本次传输，从而中断蠕虫的生命周期。此项技术非常有效，主线无需捕获蠕虫样本然后再匆忙响应，带此项技术的防病毒软件已经成功的在零时间阻截了数十种快速传播的计算机蠕虫，涉及最近的Sobig、Novarg和MyDoom。智能型防病毒系统架构，提高全网协同防护和作战能力智能型防病毒系统架构重要表现在：具有在任何地点、任何时间对全网进行统一管理、统一监控的能力具有全网病毒事件收集、分析、报告和响应能力具有客户端、服务器系统补丁分发管理能力具有突发病毒事件的快速响应能力。具有大规模扩展和新技术兼容能力（如能在防病毒系统中兼容入侵检测系统）终端安全防护，提高全网终端安全控制能力使用终端防火墙、IDS等控制机制，保证终端系统安全。终端病毒库自动升级能力系统部署如图1所示“”，每一台用户终端桌面主机部署SymantecSEP客户端软件，完毕用户终端的安全防护。系统采用网络版架构，需要在管理区域部署SEP管理服务器（图1中）。用户隔离内网区域的主机，也必须部署终端安全软件，由于网络物理隔离，需要手动升级相关病毒库。用户内部网络安全监控考虑到用户网络实时监控的需求，需要在网络中部署IDS入侵检测系统，监控内网的异常流量。同时使用IDS的多个监控探针完毕对独立内部网络的监控，保证隔离内网的安全。系统部署如图1所示“”，在用户内网关键服务区和隔离内网部署入侵检测系统和管理服务器，完毕用户内网监控。管理区域安全管理服务区域：涉及网络相关管理系统和安全相关管理系统组成，提供系统内的网络、系统和安全设备的统一管理服务。此后根据用户的应用需求，可以根据需要部署其他应用服务器。考虑管理区域系统的重要性，需要部署防火墙，对管理区域进行必要的安全防护。系统部署如图1所示“”，在用户内网管理服务器区域前部署一台飞塔防火墙，完毕对管理区域服务器的安全防护。设计方案的优势本系统安全设计方案从当前网络安全风险分析出发，全面分析用户的网络安全现状，系统设计全面，同时考虑保障用户的运维管理和投资。互换网络需求分析大楼建筑网络系统涉及面广，对采用的网络设备，网络技术有非常高的规定，针对计算机网络系统的需求如下：使用以高速背板带宽互换技术为主干的网络技术提供标准化、高速度的局域网连接，可以在同一个网络中支持多种服务质量(QOS)，以支持目前和未来展览中心建筑群信息应用和服务的需求。允许网络集成，使用二层互换来代替三层路由，并提供了良好的局域网应用支持能力。所选用的设备和技术符合国际标准网络中使用的设备和协议应完全符合国际通用的技术标准，兼容大多数的网络环境，提供很好的互联性和兼容性；网络提供足够的带宽和丰富的接口形式针对大楼的情况，满足应用和带宽的基本需要，并保存一定的余量供扩展使用，最大也许地减少网络传输的延迟；网络有很高的安全可靠性、稳定性采用有效的网络安全技术阻止内部非授权的访问和病毒的感染，保护大楼的数据和系统安全；网络有良好的可扩充性对未来的应用和技术有一定的前瞻性，随着网络的规模及其运营的应用在不断发展，系统应是成熟的，提供足够的扩充能力，并且适应大楼未来业务发展的需要；网络易于安装、操作和维护在网络中使用单一的网络管理软件来管理所有网络设备，对网络设备及VLAN等进行直观、灵活的配置，提供完整的网络拓扑图，可以根据网络的流量情况作出分析和建议。选择配套的管理软件根据目前应用的规定，选择型号规格符合办公规定的网络管理软件。设计思想采用标准、开放的网络技术整个中国电子进出口总公司大楼的网络系统在结构上实现真正开放，所有采用或符合有关国际和国家标准，使网络具有良好的开放性和兼容性。开放的系统可以使用户自由地选择不同的计算机、服务器及操作系统，构成真正的跨软硬件平台的系统。网络的设计基于国际和国家标准，网络设备采用标准的接口和规范的协议，满足用户的不同需求并充足运用软硬件资源，有效地体现出用户投资的长期效益。在结构上实现真正开放，基于国际开放式标准，开放的网络使用户可以自由地选择不同厂家的产品，不会受到某些厂家专有技术的限制，最大限度地保护用户的利益。保证技术具有先进性、合用性设计网络所选用的是先进的、主流技术，能保证系统在较长的一段时间内不会由于技术进步而淘汰，同时又保证先进的技术是稳定的、成熟的，支持现有的多种网络协议。在局域网中使用目前世界比较先进的成熟的千兆以太网和第三层互换技术。骨干网提供标准化的高速度连接，以支持大量的用户和多种的应用。网络的可扩充性设计的网络方案要保证随着用户应用规模的不断扩大，网络可以方便地进行扩充容量以支持更多的用户和应用；随着网络技术的不断发展，网络必须可以平稳地过渡到新的技术和设备。为了保护用户的投资，本方案中的网络设备在将来网络升级或再投资的情况下，可以随时通过增长网络设备或模块来对现有设备进行升级和扩充，并能把替换下来的设备应用到下一层或边沿网络上。本方案充足考虑到未来网络升级的平稳衔接，保证网络通讯介质、网络设计核心的向后兼容性。网络的可管理性良好的组织和管理对网络的正常运转和高效使用有很大帮助，网络应当可以提供方便、灵活、有力的工具对网络进行集中式的有效管理和控制。方便的监控、良好的管理界面、完备的系统记录都能使管理员在不改变系统运营的情况下对网络系统进行检测、修改及故障恢复等管理维护工作。对于网络主机及网络设备，无论是互换机还是路由器，都应集中在统一的网络管理框架下，实现对网络的控制、管理、设立和调整，提供对网络的配置、流量监测、故障报警、网络安全和网络计费等多种管理功能。网络管理软件提供了网络管理的有力工具，可以随时随地的观测网络的运营，查看设备状态，对设备进行设立、修改、监测等等。网络的安全性保证网络系统的安全运营是网络设计的一个重要环节，网络安全是保证系统安全运营的重要基础，因此，在本方案中内部网与外部网之间建立安全控制机制。为了保护网络上数据的安全性，必须提供多种方式和层次的访问控制、通过使用网络用户身份辨认、VLAN、包过滤、入侵检测及防火墙等技术来保证网络系统的安全性。网络系统的稳定、安全对于新办公楼非常重要，必须保证建筑的信息安全。网络的高可靠性网络系统一旦投入运营就会成为各项平常应用的基础，并随着应用的进一步普及，其基础作用将越来越大。在网络系统成为实时系统后，网络的高可靠性将成为网络的基本规定之一。骨干网络的故障会导致巨大影响。因此，整个网络系统必须有良好的可靠性及一定限度的冗余。高可靠性体现在：物理线路的可靠性，网络设备特别是核心设备的可靠性和冗余，系统及应用软件的可靠性。网络的高性能为了及时、迅速地解决网络上传送的数据，网络设备必须具有高速解决能力，提供高速数据链路，保证网络高吞吐能力，满足各种应用对网络带宽的需求。对所选的网络主机、网络设备等应具有较高的网络吞吐性能，网络主干系统规定具有较高的数据通信能力和较大的带宽；并在主干网上提供较强的可扩展性。在各部门的工作组中采用互换技术，以保证在工作组中网络的快速响应速度，用于提高工作效率；在整个网络中使用虚拟网技术，以提高网络的安全性和灵活性。方案所提供的网络设备（特别是核心互换机）为目前功能强大、具有高度扩展性的产品；具有足够的背板带宽供将来网络的扩展，支持现有和以后对多媒体应用的需求，同时满足将来展览中心广域网上多媒体应用（话音、视频）需求等。服务器适当集中业务系统的发展规定将数据存储集中管理，努力实现平常自动化业务解决的集中配置，各业务部门针对不同的数据在统一的数据解决平台上进行解决应用，与集中设立的办公用服务器一起构成统一的数据中心。关键系统的备份安全为满足系统的可用性，数据系统应双备运营，同时规划重要数据及系统的备份方案。数据及操作系统的备份安全及维护，是整个通讯网络和数据系统维护的核心。网络设施投资保护考虑到网络技术的日新月异，现在选择的技术或者设备在一段时间后就会过时甚至被淘汰，导致新一轮的大规模投资，因此在选择网络设备时要有前瞻性，要可以支持未来的标准技术，如IPv6等。网络厂商选择品牌知名度思科是全球最大的网络公司，可以和客户建立最长期的、最稳定的、具有最佳投资保护的合作关系。可以说，没有思科，也许就不会有今天的互联网，也就不会有着那充满创意、幻想与财富的世界。目前，全球所有的网络——国际互联网、电话网、银行网、电视网等的骨干部分，几乎都采用了思科的产品和技术。完整的产品线和产品体系结构CISCO拥有路由器、互换机完整的体系结构，和产品线，真正为用户提供端对端的解决方案。此外，CISCO的路由器互换机平台还可以给用户带来一些增值功能，例如VOIP业务、IP电话、无线局域网、CDN等等。强大的资金实力和研发实力2023财年的营业额超过220亿美元。2023年销售额近300亿美元，并将很多资金投入到新产品和解决方案的研发上。技术先进IETF是Internet标准规范制定的最重要的组织。对于虚拟网络世界的形成，IETF起到了无以伦比的作用。除TCP/IP外，所有互联网的基本技术都是由IETF开发或改善的。IETF工作组创建了网络路由、管理、传输标准，这些正是互联网赖以生存的基础。IETF工作组定义了有助于保卫互联网安全的安全标准，使互联网成为更为稳定环境的服务质量标准以及下一代互联网协议自身的标准。然而，很多标准的制定都是以思科为主导的，很多技术委员会的主席来自思科，多数成员来自思科公司。像VRRP等公开协议都是以思科的私有协议为范本进行开发的。产品成熟度高思科的产品在量产前，都需要在内部的网络中和欧美的运营商网络中进行测试和改善，待产品的各项功能和稳定性、可靠性可以满足发展的需要时，才推向市场。思科拥有世界上最完整的产品线，是最全面的解决方案提供商。人们在网上获得的信息，80%的流量通过思科设备传输。强大的生命力（品牌延续性）当北电网络、朗讯科技等曾经叱诧一时的电信巨头开始一轮又一轮裁人、变卖业务套现的时候，有大笔钞票在手的思科公司却一直安然无恙。思科发明了世界上第一台路由器，连接的世界。并一直开拓创新，带领行业的发展。设计方案整个中国电子进出口总公司大楼内部网络是公司平常工作学习的重要基础设施，也是不可缺少的支撑环境。大楼网络是一个高起点的先进网络，对于宽带数据业务的需求非常丰富，大量的多媒体信息将对网络带宽、数据传输高效性、准确性、以及安全性和网络安全性提出了严格的规定。结合中国电子进出口总公司大楼实际情况，内部综合布线采用分区方式，将公司自用部分8层，共设立924个信息点，每层楼内有1个弱电竖井，1个设备配线间。在地下一层设有骨干互换机机房，采用光纤对外连接电信运营商的宽带数据网络，对内核心互换机连接各个分派线间机房的接入互换机，考虑到有大量多媒体信息流的传递，核心互换机和接入互换机采用GE互连，接入互换机提供10/1000M自适应端口给用户。网络接入分公司内、外网，内网、外网互相物理隔离，互不访问。在IP地址规划方面，全网考虑采用私网IP地址，由骨干互换机提供NAT功能，作为私网地址的转换。公司内、外网的网络中心将配置网管服务器，网管服务器通过千兆速率接入核心主干互换机，并安装先进、可靠、成熟、高性能的网管软件，实现对整个网络的全面管理。根据对中国电子进出口总公司信息化建设需求的理解和长期积累的集成经验，以及从经济、实用、可扩展性等多方面考虑。我们认为用主干采用千兆以太网技术是一种高效、可行的方案。并且完全可以满足展览中心局域网此后视频点播、图象传输等综合业务传输的应用。信息网络此后的发展趋势将越来越指向VOICEOVERIP与VIDEOOVERIP的方向。同时千兆以太网的应用，推动了IP业务的发展趋势。为避免用户的反复投资建设，提高线路的运用率，为此后的网络发展提供必要的扩充性。大力的发展IP业务的应用将是一个良好的解决方案。整个中国电子进出口总公司大楼网络设计要避免网络瓶颈，依据信息化建设和发展的需要，全面规划设计整个中国电子进出口总公司大楼网络，构建双机热备为主干节点的主干网结构，主干所有采用光纤敷设，方便以后的升级规定。主干网结构采用冗余结构保证网络的安全，设计完善网络安全系统、网络管理系统以及主干网与广域网之间的可靠性。以信息化所涉及到的各方面因素为切入点，合理规划网络安全体系并完善和建立主干网与其他网络之间的接口等。在网络总体规划设计中应考虑网络的系统结构、主干核心的升级、支干线路介质的升级、完善的安全体系。使其网络的系统结构应在统一的规划和设计的基础之上考虑应解决的问题、需预留的系统接口、充足运用网络资源对网络建设和维护归口实行集中一贯式的管理，以满足信息化发展的需要。主干的核心设备应具有高性能可扩展性，具有成熟完善的容错与热备功能。针对线路的改造应为将来信息化对数据量访问的增长的打下良好的基础。同时在主干网升级改造中应考虑采用先进的安全架构，建议全面规划安全系统，涉及接入防火墙系统、客户端安装最新防病毒系统、等以保证网络及数据安全畅通的传输，移动用户的接入应对主干网远程接入也要保证其高效与安全。与各系统相关的主机系统与网络设备应提供专门的机房来安顿，以保证设备的运营环境达标。在这里我们具体讨论骨干选用万兆骨干结构。根据规定，整体网络分为三层结构，核心层、汇聚层和接入层。这里指的“万兆骨干”是对于核心层之间的光纤连接采用万兆以太网技术，根据目前的实际需求情况,核心层之间的光纤连接采用10G万在核心互换机上加双电源，以提供尽也许最佳的系统级冗余性。从维护和运营的角度说，冗余拓扑结构可实现绝好的收敛性和可用性，因此是首选项。我们推荐了的互换机配置，如拓扑图所示，核心层设备采用双机冗余结构，每台设备电源也采用了冗余规定，是相称可靠稳定的。在核心层选择目前高端的路由互换机，组建整体网络的核心区域，从主线上保证中心网络的稳固、可靠、安全、可扩展。采用配备冗余互换管理引擎的设计，思科公司可提供状态化切换（StatefulSwitch-overSSO)和不间断转发（Non-StopForwardingNSF)功能，可为互换机提供设备级永续性。SSO可实现生成树信息、MAC地址表乃至硬件转发项目和ACL等第二层信息在多个互换管理引擎之间的同步。而NSF则在第3层路由协议上实现类似结果和使用IETF标准路由协议的扩展。这些协议一起工作时可保证在多个互换管理引擎之间的快速故障切换以及对流量的不间断转发。核心互换机采用分布式互换技术，支持高密度模块、10/100/1000M自适应高密度模块、万兆以太网模块、千兆GBIC/SFP/TX以太网高密度模块、WAN模块、IP语音模块、安全防火墙模块、内容互换模块、网络分析模块等多种网络接口和服务模块，基于硬件的实现多项高负载智能服务。核心互换机是专门针对核心网络高性能、多业务等关键需求而设计的骨干互换设备，不仅可以承担高速的互换业务，同时可以满足当今网络应用的多种服务，实现了核心互换网络的最佳性能，具有良好的扩展延伸能力。整体网络分为三层结构：核心层，汇聚层与接入层。网络拓扑结构图如下：接入互换机配置表如下：楼层管理间数据点数48口接入互换机48口汇聚互换机内网1层IDF1716层IDF210118层IDF3731119层IDF431120层IDF51082121层IDF61062122层IDF7912123层IDF8371外网1层IDF1716层IDF210118层IDF3731119层IDF431120层IDF51082121层IDF61062122层IDF7912123层IDF8371总计9241416网络核心层核心互换机配置在局域网网络中心节点，根据目前对各楼层互换机等设备的接入规定，我们选用了2台CISCO的Catalyst4506核心互换机：万兆以太网高端路由互换机作为主干互换机，互为备份，电源、互换引擎、互换矩阵和集成网络服务冗余性，提供1～3秒的状态化故障切换，提供应用和服务连续性统一在一起的融合网络环境，减少关键业务数据和服务的中断。该互换机可认为无阻碍的第2/3/4层互换提供集成式弹性，因而能进一步加强对融合网络的控制。可用性高的融合语音/视频/数据网络可认为展览中心提供业务弹性。它拥有720GBps的互换背板，380Mpps的第二、三层互换容量，具有高达7个可用的I/O槽，其无阻塞的路由互换特性可以在各以太网端口达成线速的数据转发功能，可以充足满足展览中心网络中心繁重的IP数据流集散。该互换硬件支持IPv6，IPv6的吞吐量>=200Mpps,路由表大小为对IPv4的支持>=1,000,000条对IPv6的支持>=500,000条,路由协议方面支持静态路由、RIPV1/V2、IGRP、EIGRP、OSPF、BGPv4及PBR等高级路由协议，支持等价路由及PIM等组播路由，二层链路层支持生成树协议、IEEE802.1s、IEEE802.1w和EtherChannelIEEE802.3ad链路汇聚协议和热备份路由器协议/虚拟路由器冗余协议（HSRP/VRRP）用以提高网络可靠性。同时具有强大的互操作性，所有端口支持802.1Q及ISLvlan封装，支持多厂商专用VLAN标记,优先级标记。支持（NBAR）等软件特性用以提供增强网络管理和带宽使用控制机制，并且，该互换机支持2个负载均衡的冗余电源和互换引擎，并且支持所有模块热插拔，具有极高的设备可靠性。该互换同时可以将安全、无线局域网服务和内容等高级服务与融合网络集成在一起，提供从10/100和10/100/1000以太网到万兆以太网，从DS0到OC-48的各种接口和密度，并可以在任何部署项目中端到端地执行，可认为公共电话网（PSTN）接入、传统电话、传真和PBX连接提供高密度的T1/E1和FXS的VoIP语音网关提供接口，所支持的均是国际标准的协议和标准，可以支持基于标准的所有应用。网络汇聚层汇聚层互换层是多台接入层互换机的汇聚点，汇聚层选用Catalyst3560互换机作为的汇聚点，它必须可以解决来自接入层设备的所有通信量，并提供到核心层的上行链路，因此汇聚层互换机与接入层互换机比较，需要更高的性能，更少的接口和更高的互换速率。汇聚互换机担当接入终端网关的功能及负责接入层与核心层进行数据互换与转发，所以汇聚互换机要具有高背板高转发及多种接口类型等特点，其背板带宽要大于或等于32Gbps，包转发率大于16Mpps，支持ISL协议的vlan封装，支持StackWise堆叠技术堆叠数量≥9，支持的MAC地址≥12k，支持链路聚合802.3ad协议及链路聚合控制协议（LACP/PAgP），支持DHCPsnooping及IP源防护技术，支持静态路由协议，支持IGRP、EIGRP、BGPv4、OSPF等动态路由及策略路由PBR，支持冗余热备（HSRP）路由协议支持，支持IGMP及IGMPsnooping，可以跨堆叠进行路由，支持IEEE802.1x可以实现动态的、基于端口的安全，提供用户身份认证功能，具有ACL的IEEE802.1x允许实行基于特定身份的安全策略，支持动态ARP检测，通过DHCPsnooping动态绑定ARP列表用以防止ARP泛洪。随着数以百万计的新型设备都开始采用IP技术，人们需要可以支持IPv6协议的网络产品，所以汇聚互换要为IPv6提供了硬件支持，可以通过未来的软件升级支持该协议。汇聚互换同时要支持SNMPv1/v2/v3,支持CLI，支持telnet、ssh及web的管理配置。网络接入层对于接入层互换机（楼层互换机），选用Catalys2960，根据布线系统对弱电间的规划情况和弱电间分布情况在各个弱电间设立楼层桌面互换中心，楼层互换中心负责楼内924个数据点的互换与接入。楼层接入互换机根据每个弱电管理间信息点的数量有针对性，所设计的互换机具有极高的性能，其转发背板带宽为32Gbps,每秒分组数为11Mpps，VLAN中支持802.1Q封装及ISL封装，支持多种基于用户、端口和MAC地址的验证方法、数据加密技术和NAC，从而提供网络安全性，支持生成树协议及基于802.1S/W标准的容错、负载均衡和迅速恢复，互换机的Flexlink技术能实现在100ms内实现收敛，互换机采用ASIC芯片的分布式并行解决技术，完全保证每个互换端口真正达成线速，具有10/100/1000M电口，并且配备光纤通道的上联和下联接口。楼内的所有普通终端所有采用10/100/1000MB自适应以太网技术接入，完全可以满足桌面用户此后多媒体的应用。考虑到网络应用的稳定性，当前互换机端口考虑了数据信息点的115％以上。网络管理系统配置专门的网管软件用于管理网络设备产品，可以图形化地显示设备的前后视图，直观地进行IP、IPX和APPLETALK的协议的配置、路由协议的配置、VLAN的配置和显示、服务质量方面的的配置、问控制列表的配置、设备安全性方面的配置等，同时可直观显示设备的运营状态，每个端口的流量情况等，设备运营软件和配置和保存等。对于网络主机及网络设备，无论是集线器、互换机还是路由器，都应集中在统一的网络管理框架下，实现对网络的控制、管理、设立和调整，提供对网络的配置、流量监测、故障报警、网络安全和网络计费等多种管理功能。IP地址规划建议在设计IP地址方案之前，应考虑以下几个问题:1）.是否将网络用真实地址连入Internet。2）.是否将网络划分为若干子网以方便网络管理。3）.是采用静态IP地址分派还是动态IP地址分派。4）.每个子网现在规划多少个信息点。5）.每个子网将来会增长多少个信息点。通过Proxy或NAT方式使私有地址可以访问公网资源，是公网地址与私网地址结合的方式。但是有时分派了私网地址的客户端也要访问Internet。针对这种情况，可以采用不同的技术使私有地址可以访问公网资源。通常可以运用代理服务(Proxy)和网络地址转换(NAT)这两项技术。分派IP地址方案，一个有效的IP地址规划或IP地址方案就是在地址资源的效率性和管理的方便性之间找到最佳的平衡点。按行政从属划分是指按信息节点的行政从属关系将用户按各部门进行IP地址分派规划。由于各部门在位置上并不一定集中，但在业务上规定内部通信流量比较大，且需要统一管理，因此我们建议采用行政从属的方式划分IP地址段。按部门规划在传统的网络平台上很难实现。重要是由于传统的网络平台局限于设备的地理位置，无法跨地区进行灵活规划。但现今的网络平台都支持虚拟网络—VLAN技术。该技术避开了物理位置的缺陷，可以在逻辑上灵活组网。因此，IP网段规划可以与VLAN的划分相一致。规划每个网段中的信息点数时，既要考虑到当前IP地址资源的充足运用性，又要预留出适当的扩展余地，根据具体的部门情况再分为具体的子网。从经验角度，通常一个IP网段也是一个独立的VLAN，也就是一个独立的广播域。一个网段内的信息节点数在40-200个时，性能和地址资源的最佳运用性较抱负，并且将来可扩充到254个。宽带接入用户接入宽带IP网的方式可以有多种形式：一方面，用户运用固定IP地址接入，则无需其它的认证过程，只需将用户所连的互换机端口划入某一特定VLAN即可；另一方面用户通过PPP方式接入，即虚拟拨号方式，则需要一个专用的PPP终结设备终结PPP进程，通过对PPP进程的认证，可以确认用户身份；用户还可以运用DHCP获得IP地址。此外互换机可以实现专用VLAN技术，可以通过配置选择实现在同一VLAN内用户是否可以互通，进行数据互换。IP地址的分派应遵循以下几个原则：唯一性：一个IP网络中不能有两个主机采用相同的IP地址简朴性：地址分派应简朴易于管理，减少网络扩展的复杂性，简化路由表的款项连续性：连续地址在层次结构网络中易于进行路由总结(RouteSummarization)，大大缩减路由表，提高路由算法的效率可扩展性：地址分派在每一层次上都要留有余量，在网络规模扩展时能保证地址叠合所需的连续性灵活性：地址分派应具有灵活性，可借助可变长子网掩码技术(VLSMVariable-LengthSubnetMask)，以满足多种路由策略的优化，充足运用地址空间为了灵活地在不同规模的子网中分派不同数量的IP地址，我们需要采用VLSM技术，它可根据需要在任意位划分子网边界，对一个主网络号，可分出最小只有2个主机号的子网，亦可划分出一个较大的子网，因此它很灵活，特别是在广域网中，两台互联互换机接口只需2个主机号地址，VLSM非常有用，大大节约了地址空间，又保证了网络设计的灵活性。在进行地址分派时，一般先用一个定长的子网掩码将地址空间提成若干个相同规模的子网，再在每个子网中根据所需的子网数量和规模采用VLSM进行子网的细分。采用VLSM时应注意：事先要有规划，避免子网重叠分派也许会导致对已有网络地址的重新设立新的网络必须仔细规划地址分派，有效运用IP地址和保证网络的扩展性为缩减路由表的款项，提高路由的效率，路由总结(RouteSummarization或RouteAggregation)是一个非常重要而有效的手段。分子网是将网络号向主机号部分扩展、即网络边界向右移的过程，而路由总结则是划分子网的逆过程，通过将子网的边界向左移的过程，可用一个较大的子网号来代表一组连续的子网，如下所示：这一叠合途径可代表16个连续的子网。子网边界xxxxxxxx.xxxxxxxx.xxxxxxxx.xxxxxxxx主网络号路由总结边界因此，路由总结又称为子网的集结或超级子网，它可得到缩小路由表，减少互换机内存的使用，并减少路由协议产生的网络数据流量。网络地址转换（NAT）:IP地址设计经常用到的一项技术为了填补IP地址的局限性，大多数网络的IP地址分为两部分：一是具有全球连通性的IP地址公网地址；二是只能在内部用的IP地址--私有地址。具有公网IP地址主机或互换机可以和INTERNET网上的任何节点相连。其地址是全球唯一的。具有私有地址的主机和互换机只能在公司内部通信，其地址仅在公司内部是唯一的。用这种地址是不可以访问INTERNET的。提出了一种技术，可以从私有地址迁移到全球地址空间，这种技术就是网络地址的转换(NAT)。NAT功能作为其操作系统的一部分，安装在互换机上，同时，内容互换机也具有线性NAT功能。NAT技术使专用网络可以连接到INTERNET网上。NAT互换机或内容互换机放置在域的边界上，在向INTERENT网上发送数据包之前，它把私有地址转换为INTERNET上的公网地址。如下图所示，公司内部有一主机，其IP地址为，该主机要访问INTERNET上的节点0，当IP数据包到达边界互换机时，互换机将IP地址转为公网的，然后再送往目的地。VLAN规划6.1VLAN技术在VLAN技术出现以前，以太网互换技术属于网络的第二层，所有的端口都属于同一个广播域，也就是每个端口都可以收到广播信息，不管它愿不乐意。在大型的网络环境中，广播包不可避免地会引起带宽的浪费，而在TCP/IP，IPX，WINDOWS环境下，广播包的使用更是不可或缺。为了解决这个问题，VLAN技术应运而生。VLAN把一部分端口模拟成为一个虚拟的广播域，VLAN的所有广播都只会在本域内发送，不会超过广播域，进一步来说，VLAN内的所有数据都只能被同一VLAN的成员接受，而不会被非本VLAN成员接受。不同的VLAN之间不能互相通信，必须通过路由设备进行转发。针对公司应用的情况，我们设计运用VLAN技术来