江苏省环保厅移动办公解决方案20160420

中国电信股份有限公司江苏分公司中国电信股份有限公司江苏分公司江苏省环境保护厅移动办公解决方案中国电信股份有限公司江苏分公司TIME\@"yyyy年M月"2016年4月目录1项目背景 32需求分析 33方案设计 43.1设计原则 43.1.1安全性 43.1.2易操作性 43.1.3可扩充性 43.2总体设计 43.2.1网络结构图 53.2.2组网说明 54无线VPDN方案 64.14GVPDN业务特征 64.24GVPDN业务实现原理 84.3省环保厅4GVPDN组网方式 95智能手机配置 106配套增值服务 126.1定向流量 126.2后向流量 126.3点击拨号 126.44GQOS保障 137成功案例 13

项目背景2015年，国家提出“互联网+”行动计划，并上升为国家战略。李克强总理提出在政府公共服务领域，通过信息化引领政府服务模式转型，对内提高办公效率，对外提高服务效率。十三五期间，江苏省环保厅（以下简称“省环保厅”）响应国家和省政府要求，着力打造“智慧环保”，推进全省环境监测和保护工作向信息化、智能化方向发展。当前，协同办公系统已在省环保厅内部编织起一套高效、畅通的信息互联体系，但传统的应用系统由于受限于办公地点，办公人员只能通过电脑进行访问，处理日常事物都必须在电脑的面前，这种局限性使得办公人员离开了办公室，就处于一种“信息孤岛”状态。随着4G时代的到来，智能终端的普及，信息化摆脱了对固定的办公场所、固定的办公配套设备、固定工作时间的依赖，打破这些时空上的信息束缚限制，跳出固化的信息化建设窠臼，将信息化无缝延展到每个人手中。省环保厅拟使用移动终端进行移动办公，解决内部人员出差、休假、外出或其他特殊情况时不能及时处理重要办公事宜的问题，使得单位人员能够随时随地、及时有效的进行移动化信息处理，提高生产运作和管理的效率。需求分析1、搭建移动办公平台，将最新行业动态、业务信息、通知邮件、内部资料等从固定办公平台平移至移动办公平台。2、局内工作人员在外出、休假时，可即时查看和处理内部的公文、邮件等信息。3、根据政府安全保密要求，移动办公系统的网络需要具备安全、稳定的环境，避免在公网泄密的风险。方案设计设计原则安全性移动办公系统应能提供有效的安全保障，具备完善的身份认证、访问控制、日志管理、系统审计、数据加密等安全保密机制，保证网络系统、主机系统和应用系统的安全，为省环保厅工作人员进行移动办公时提供全面的安全保密防护。易操作性移动办公系统应保证在功能和人机交互界面上贴近使用人员的日常办公习惯，功能模块和功能按钮的说明应定义清晰、命名直观，达到简单易用、提高工作效率的目的。可扩充性移动办公系统采用符合国际标准和适应国际发展潮流的移动化信息系统技术、可平滑扩展的系统硬件体系结构、开放式的系统软件平台、模块化的应用软件结构，确保系统在处理能力和业务功能方面可灵活扩充，并可与其它系统进行无缝集成。总体设计中国电信提供一整套基于3G/4G网络的移动办公解决方案。移动办公系统部署在省环保厅的内网。对内与现有的的OA办公系统进行对接；对外，以专线方式连接至中国电信CN2网络，并通过电信4GVPDN专用通道实现与手机端的信息交互，完成省环保厅OA系统的移动化办公需求。网络结构图组网说明移动办公系统由四部分组成：省环保厅移动办公平台、专用通信网络、智能终端、APP应用。省环保厅移动办公平台包括移动OA服务器、防火墙、数据库等，提供资料解析、数据撷取、文档压缩解析等功能。考虑到移动办公平台已有第三方负责实施，本方案不再赘述。专用通信网络可采用互联网、专线两种方式。基于政府安全保密的要求，我们建议采用电信无线VPDN电路提供专业、安全的服务保障。本方案将详细说明无线VPDN的组网方式。智能终端为当前主流4GLTE手机和PAD。考虑到安全保密要求，建议不使用IOS终端。APP应用为智能手机装载的移动办公应用，由第三方负责开发，本方案不再赘述。无线VPDN方案中国电信无线VPDN技术是基于CDMA1X/EVDO、LTE/eHRPD高速分组数据网络，利用L2TP技术为客户构建与公众互联网隔离的虚拟专用网络。4GVPDN业务特征1.可移动、覆盖广用户可以在移动环境下进行无线数据传输，用户在高速移动中也能确保持续连接，真正地满足用户移动办公的需求。只要有中国电信CDMA1X/EVDO、LTE/eHRPD信号覆盖的地方，用户就能使用无线VPDN业务。2.高安全性针对4GVPDN组网的各环节，中国电信提供了5级业务安全保障，从而充分保证网络中数据的安全。第一级安全保障：4G网络本身的安全性4G本来就是起源军事保密技术，在战争期间广泛应用于军事领域，具有抗干扰、安全通信、保密性好的特性。移动手机信号的窃听一般使用以下三种方法。首先，需要捕捉到通信信号。在空间中充满了各种各样的无线电波，用户手机信号就混杂在其中。由于4G系统采用扩频技术，经过扩频以后的有用信号的频谱被大大地展宽了，用户信号隐蔽在互不相关的信号中，要想捕捉到这一有用信号非常困难。其次，窃听器必须锁定手机用户通信的信号，继而才能分析和破解信息。而4G采用快速切换功率控制技术，即便是窃听设备捕捉到了用户手机信号，也不能锁定快速功率切换下的有用信号。第三，需要破解用户信息编码。而4G采用伪随机码技术，用长达42位的伪随机码来标识区分用户，每次通话都有4.4万亿种可能的排列，窃听器很难破译出4G的编码。所以4G技术本身就很安全。第二级安全保障：4G网络侧的AAA认证4G网络侧的AAA认证过程是对用户的域名进行鉴权认证，网中数据网的用户（VPDN成员）是以username@xxx.vpdn.js形式登录的,与互联网是完全隔离的。4G网络侧的AAA服务器对登录用户的域名和该用户的UIM卡进行绑定审核验证。验证通过后，方可接入电信运营商4G网络。第三级安全保障：4G网络和用户网络之间的VPN链接4G网络和用户网络之间可以采用专线链接，并将L2TP和IPSec结合起来用：用L2TP作为隧道协议，用户可以选择端到端的IPSec协议来进一步保护数据，安全性更高。第四级安全保障：用户网络侧的安全防火墙（FW）防火墙技术是目前用来实现网络安全措施的一种主要手段，主要是用来拒绝非法用户的访问，阻止非法用户存取敏感数据，同时允许合法用户顺利访问网络资源。用户网络可以选用适合于本单位的防火墙产品来保证自己网络数据的安全。第五级安全保障：用户网络侧的AAA鉴权认证用户网络侧的AAA鉴权认证可以实现对VPDN成员的身份认证。与第二级的安全保障不同，本级的AAA服务器将鉴别VPDN成员的用户名和密码的正确性。目前中国电信为节约用户投资，可以提供具有运营商基本的二次认证AAA服务，用户可以租用中国电信二次认证AAA在实施对VPDN成员的身份认证，可以实现基于账号，用户UIM标识的严格控制，以及绑定固定IP地址的能力；3.高速率CDMA1X/EVDO、LET/eHRPD无线数据网络能够为移动用户提供高速的数据业务，LTE网络数据传输速率最快可达到150Mbit/s。4.适用范围广终端用户通过无线VPDN业务接入到客户网络，对各类应用均可透明传送。无线VPDN业务使用任何支持CDMA1X/EVDO、LET/eHRPD无线上网功能，可手工配置或安装专用客户端的终端，包括智能终端、具备CDMA1X/EVDO、LET/eHRPD接入功能的网络设备和工控设备等。4GVPDN业务实现原理4GVPDN业务是基于4G网络的VPDN业务网络架构如图所示：终端用户在进行VPDN拨号时，由电信设备进行第一次接入认证，认证终端号码访问VPDN的权限，VPDN鉴权服务器对用户携带的用户名、密码等信息进行透传，LNSAAA负责VPDN用户认证（也称为二次认证）。LNSAAA既可使用专用的服务器，也可由LNS设备兼任。拨号流程图如下所示：省环保厅4GVPDN组网方式省环保厅移动办公系统无线VPDN通道示意图如下：需要增加的配置清单：省环保厅数据机房侧需要增加一台LNS路由器，由于和专线电路互联。认证服务器可有省环保厅自备，也可委托电信提供。需要开通一条2MCN2专线，从LNS路由器连接至电信机房。省环保厅前期已开通过一条CN2专线，可利旧。需要分配一段私网IP地址，作为智能手机通过专用通道连接移动办公系统后获取私网地址。智能手机配置由于采用了加密的专用通道进行数据传输，智能手机在首次使用移动办公APP时，需进行APN设置，设置步骤如下（以华为MATE7为例）：注意事项：在使用移动办公APP时，需要将接入点切换至上述设置的APN上。正常通过手机上公网，需将接入点切换回ctlte（大部分终端桌面有快捷键进行快速切换）。考虑到安全性，使用移动办公APP时，不可通过WIFI方式。配套增值服务定向流量有了移动办公，手机流量不够用？针对这种担忧，中国电信推出了定向流量包业务，可为手机访问某个固定IP、固定内容等提供专享套餐，提供更为低廉的流量资费政策。如环保厅办公人员在外使用移动办公APP，固定访问数据中心某个或某几个固定IP地址的应用，产生的流量将标识为定向流量，按照定向流量资费进行结算。后向流量省环保厅可为所有办公人员在使用移动办公APP时产生的流量统一付费，不再需要各人支付移动办公APP的流量费用。目前电信可提供此类后向流量的统计、查询和套餐服务。点击拨号移动办公APP的主要应用之一为通信录，当需要和通信录中成员发起通话时，传统模式为查询到电话号码，手工进行拨号操作，某些手机具备调用手机拨号盘代为拨号功能。该类方式操作比较繁琐，话费由主叫方支付（有时办公人员为节省话费使用固定电话进行拨号）。目前电信可提供点击拨号业务，主要功能如下：1、一键拨号：使用人员只要点击一键拨号图标，由电信平台分别向主叫方、被叫方进行呼叫，并自动建立连接，不再需要使用人员拨号。2、话费集中计算：凡是通过点击拨号功能发起的呼叫，话费可统一由环保厅集中支付。该功能也可在PC的办公系统中使用。4GQOS保障在信号忙时（如大型会议、演唱会等人群密集区域）