网络、网络安全、服务器和存储系统集成【系统集成方案】.doc

1、 网络设备、网络安全设备、服务器和存储系统集成 技术部分 XXXXXXXXXXXX 有限公司 目录 第一章 投标函 . 6 第二章 项目背景 . 7 2.1 项目名称 . 7 2.2 业主单位简介 错误 !未定义书签。 2.3 项目背景 . 7 2.4 太重信息化现状 错误 !未定义书签。 2.4.1 项目组织体制 错误 !未定义书签。 2.4.2 现有网络基础 . 7 2.5 太重组织机构图 错误 !未定义书签。 2.6 太重信息系统架构 . 7 第三章 项目需求分析 . 8 3.1 网络系统需求 . 9 3.2 服务器系统需求 . 10 3.2.1ERP 生产系统服务器 . 10 3.2.

2、2 ERP 开发 /测试、培训系统服务器 . 12 3.3 存储备份系统需求 . 14 3.4 网络安全系统需求 . 15 第四章 系统建设目标、原则 . 17 4.1 系统建设的目标 . 17 4.2 系统建设原则 . 17 4.3 系统建设的主要内容 . 18 第五章 系统整体设计 错误 !未定义书签。 5.1 网络系统、网络安全系统设计 错误 !未定义书签。 5.1.1 信息点分布情况 .错误 !未定义书签。 5.1.2 网络总体结构 20 5.1.3 传输信道设计 21 5.1.4 核心网络设计 22 5.1.5 互联网接入设计 24 5.1.6 网络管理、接入认证、日志审计系统设计

3、25 5.1.7IP 地址规划 30 5.1.8 路由协议 31 5.1.9VPN 系统规划 33 5.1.10 与原有系统互联 34 5.1.11 下一步的扩展 34 5.2 服务器系统设计 . 34 5.2.1 服务器整体结构 34 5.2.2 服务器功能分配 34 5.2.3 服务器选型 35 5.3 存储备份系统设计 . 35 5.3.1 存储系统整体要求 35 5.3.2 存储系统的体系结构 36 5.3.3 备份体系的选择 38 第六章 IBM 主机存储建设方案 43 6.1IBM 服务器建设方案 . 43 6.2IBM 存储建设方案 . 44 6.2.1 整体结构 44 6.2.

4、2 备份管理软件设计 46 6.2.2 备份策略 46 第七章 SUN 主机存储方案 52 7.1 整体结构 52 7.2 简 要描述 . 52 7.2.1 小型机系统 52 7.2.2PC 服务器 . 53 7.2.3 存储系统 54 7.2.4 备份策略 54 第八章 华为网络、网络安全、存储系统建设方案 . 60 8.1 网络及网络安全方案 . 60 8.1.1 核心层设计 60 8.1.2 汇聚层设计 61 8.1.3 数据中心设计 61 8.1.4 接入层设计 65 8.1.5Internet 接入设计 65 8.1.6 网络管理、接入控制、日志审计系统设计 66 8.2 存储备份建

5、设方案 . 76 第九章 Cisco 网络建设方案 . 79 9.1 核心层设计 . 79 9.2 汇聚层设计 . 79 9.3 数据中心设计 . 80 9.4 接入层设计 . 80 9.5Internet 接入设计 . 80 9.6 网络管理、接入认证、日志审计系统 . 81 第十章 项目建设建议 . 92 10.1 环形网络的建设 . 92 10.2 计费软件 . 94 10.3 IPV6 的迁移 96 第十一章 工程实施方案 . 99 11.1 总则 . 99 11.2 工程实施组织结构 . 99 11.3 工程实施流程 . 103 11.4 工程实施的管理与考核 . 103 11.5

6、实施准备工作 . 105 11.6 工作分配矩阵 . 108 11.7 设备及系统配置要点 . 121 11.7.1 检查与准备现场实施环境 121 11.7.2 设备到货验收 122 11.7.3 网络系统配置要点 122 11.7.4 服务器系统配置要点 124 11.7.5 存储系统配置要点 126 11.7.6 系统软件配置要点 129 11.7.7 系统联调 131 11.7.8 系统试运行 132 11.7.9 系统迁移 132 第十二章 文档提交和管理 . 133 12.1 文档的管理 . 133 12.2 各阶段提交的文档列表 . 133 12.2.1 工程准备期文档 133

7、12.2.2 工程实施期文档 134 12.2.3 工程验收期文档 134 12.2.4 系统维护期文档 134 第十三章 培训 . 136 13.1 培训目的 . 136 13.2 技术培 训人员和时间安排 . 136 13.3 培训方式 . 137 13.4 培训计划 . 137 13.5 培训内容 . 138 13.5.1 局域网基础 138 13.5.2 网管软件使用与配置 139 13.5.3IPS ,防火墙，接入控制、日志审计 . 140 13.5.4 备份和存储管理 141 13.5.5 服务器故障排除 141 13.6 培训师资力量 . 142 13.7 厂商的培训 . 142

8、 13.7.1IBM 认证培训 142 13.7.2 华为认证培训 145 第十四章 项目验收 . 161 14.1 设备到货验收 . 161 14.2 系统预验收 . 161 14.3 系统终验 . 167 14.4 验收测试的标准和内容 . 168 第十五章 项目计划 . 176 15.1 项目进度与阶段性成果 . 176 15.2 项目参加人员计划 . 182 15.2.1 工程总协调小组（ 2 人） . 182 15.2.2 项目经理（ 1 人） . 182 15.2.3 商务运作小组 （ 3 人） . 182 15.2.4 实施小组（ 1 名小组负责人， 5 名实施工程师） 182

9、15.2.5 培训小组（ 4 人） . 183 15.2.6 项目管理小组（ 3 人） . 183 15.2.7 质量监督小组（ 2 人） . 183 15.2.8 机动小组成员（ 4 人） . 184 15.2.9 服务小组成员（ 4 人） . 184 15.3 知识传输计划 184 15.3.1 用户集中技术培训及现场培训 184 15.3.2 文档移交 184 15.3.3 项目验收 184 15.3.4 技术移交 185 15.3.5 技术支持 185 第十六章 技术支持与售后服务 . 186 16.1 技术支持和售后服务承诺 . 186 16.2 组织机构与人员安排 . 186 16

10、.2.1 组织结构图 186 16.2.2 服务体系 187 16.2.3 服务人员配备和简历 190 16.3 维护支持实施方案 . 193 16.3.1 服务策略 193 16.3.2 双方职责界面分工 195 16.3.3 五星级服务故障等级和处理时限 196 16.3.4 系统应急方案 198 16.4 维护支持范围 . 201 16.4.1 支持范围 201 16.4.2 产品质量保证和服务承诺 201 16.5 维护支持流程 202 16.6 维护响应时间 203 16.7 变更请求的处理流程 204 第十七章 技术应答 . 208 17.1 服务器技术应答 . 208 17.1.

11、1 数据库、应用服务器应答 208 17.1.2 测试、开发、培训服务器应答 211 17.1.3PC 服务器 . 214 17. 2 存储和备份系统应答 215 17.2.1 配置一 215 17.2.2 配置二 222 17.3 网络设备应答 . 226 17.3.1 华为设备应答 226 17.3.2Cisco 设备应答 . 240 第十八章 设备配置清单 . 255 18.1 主推方案 . 255 18.1.1 网络系统配置清单 255 18.1.2 服务器存储报价清单 257 18.2 备选方案 . 268 18.2.1 网络系统报价清单 268 18.2.2 服务器存储报价 271

12、 第一章 投标函 致： XXXXXXX 公司 XX公司 (投标单位全称 )授权 XX (全权代表姓名 )XXX (职务、职称 )为全权代表，参加贵方组织的 XX (招标编号、招标项目名称 )招标的有关活动，并对 网络设备、网络安全设备、服务器和存储 设备 货物进行投标。为此： 1.提供投标须知规定的全部投标文件： a 投标书技术方案文件正本 1份，副本 6份； b 商务文件正本 1份，副本 6份； c 投标书资格证明文件正本 1份，副本 6份 2.投标货物的总投标价为 (大写 )： XX 元人民币。 3.保证遵守招标文件中的有关规定和收费标准。 4.保证忠实地执行买卖双方所签的经济合同，并承担

13、合同规定的责任义务。 5.愿意向贵方提供任何与该项投标有关的数据、情况和技术资料等。 6.本投标自开标之日起 XX天内有效。 7.与本投标有关的一切往来通讯请 寄： 投标单位名称： XX 地址： XX 邮编： XX 电话： XX 传真： XX 全权代表姓名：（签字） 职务： XX 第二章 项目背景 2.1 项目名称 2.3 项目背景 2.4.2 现有网络基础 目前， X 部局域网除太重铸锻各分厂外，已基本建成和连通。网络主干带宽为100M，铺设的光纤以单膜 4芯为主，主交换设备 Cisco3550EM，各单位使 用的交换机以二层交换机为主，大多数交换机不支持标准网管，给网管人员带来很大的不便，

14、且使用品牌较杂，主要有华为、神码、 D-Link等。 现有网络设备性能过低，基本不具备安全控制功能，无法满足企业大规模 ERP 的部署和企业未来几年信息化对网络平台的要求。 2.6 太重信息系统架构 第三章 项目需求分析 本次项目就是为了满足信息化建设需求，建设太重信息化应用的支撑平台，内容包括： 平台的整体架构设计；数据中心机房建设；服务器、存储系统、网络、安全等设备的选型和采购；系统的集成；网管体系、安全体系、运维体系的建立。 针对标段二中的设备和软件，系统地具体需求为： 针对本次项目建设的特点，系统需要保证业务 7*24小时的连续性，可用性。 因此本次系统建设的总体需求有： 1、 可管理

15、性 实现设备的自动化远程管理控制。 实现人员上网的自动化管理控制 2、 无单一故障点 从主机硬件配置、网络设备、网络线路、网络协议、路由协议等方面都要考虑到系统的可靠性、可用性，保证系统的整体冗余；建立先进的数据存储和备份管理系统，保证数据的完整性、可用性、可恢复性。 主机配置：内存容错、硬盘 RAID技术、网卡（ HBA卡）冗余、冗余风扇电源 网络设备：背板 冗余、电源冗余、 VRRP实现交换机之间冗余 网络线路：多条线路之间的负载均衡、故障切换 网络协议、路由协议：采用主流技术，实现故障自动切换。 存储系统：采用 SAN 冗余结构，配置冗余控制器，数据管理控制软件。 容灾系统：建议目前采用

16、数据级的容灾，实现数据的高可靠性。 3、 高性能 由于业务的特点，应用处理再特定时段会出现处理高峰，这就对数据传输带宽、服务器、存储系统提出了很高的要求。 4、备份及容灾实现 为保证数据的完整需要进行数据的安全保存和快速恢复，在业务高峰时，需要同时兼顾业务处理和数据备份，对存储设备和备 份系统提出较高的要求。 3.1 网络系统需求 目前， X局域网除太重铸锻各分厂外，已基本建成和连通。网络主干带宽为 100M，铺设的光纤以单膜 4 芯为主，主交换设备 Cisco3550EM，各单位使用的交换机以二层交换机为主，大多数交换机不支持标准网管，给网管人员带来很大的不便，且使用品牌较杂，主要有华为、神

17、码、 D-Link 等。 现有网络设备性能过低，基本不具备安全控制功能，无法满足企业大规模 ERP的部署和企业未来几年信息化对网络平台的要求。 网络现有结构和拓扑如下图： 针对目前网络的现状主要存在以下问题： 1、 随着网络规模的扩大，对网络核心的处理能力提出了很高的要求，需要提供高达数百 G的交换容量和数百 M的转发速率。 2、 ERP 应用有大量的数据在网络进行传输，并且在特定的阶段有传输高峰的出现，对网络带宽提出了很高的要求。 3、 ERP 系统需要大量的主机运行平台，为了实现用户对服务器的快速访问，需要建立一个服务器区，实现服务器的集中访问和管理。 4、为了保证网络的运维管理，所有网络

18、设备必须支持网络管理，并且支持 VLAN划分以及 802.1X认证，实现对端口级别的管理和控制。 5、利用原有的部分交换机，实现与老系统的互联和 统一管理。 3.2 服务器系统需求 ERP 服务器设计的范围包括太重集团 ERP 项目的所有模块，即 Oracle e-Business Suite R11i V11.5.10。在试点项目实施 的 模块为 Oracle EBS R11i 的财务管理、生产管理、销售管理、采购和供应管理、库存管理、人力资源管理及商务智能。 ERP 系统对于主机运行平台 的需求： 1、 ERP项目牵涉到的单位多，访问用户量大，访问频繁。 2、软件采用集中模式，对核心的生产

19、服务器的性能有很高的要求。 3、为了保证生产系统的稳定，所有的软件必须要在测试环 境中经过验证后，才可以上线运行，需要准备一套开发测试以及内部培训的环境。 4、由于系统需要 7*24 小时的不间断运行，对服务器的可靠性要求很高。 5、所有服务器都要具有很好的扩展能力，保证未来的 3-5年内的性能扩展。 6、实现与网络系统和存储备份系统的连接。 3.2.1ERP 生产系统服务器 数据库服务器负责进行数据的处理，而应用服务器负责与前端客户机的联系，接受处理请求并进行相应处理。 ERP 数据库服务器、应用服务器支持最大扩充至 16路 CPU， 256G 内存来增加系统性能，数据库服务器与应用服务器互

20、为双机热备 。因此，作为数据库服务器的机型应具备较高的可扩充性，单机性能至少应能满足 3年内的扩展要求。 配置前提条件： 预计有 500用户使用 Oracle EBS应用系统 此系统配置采用集中模式，即包括集团公司，下属子公司 /分公司的用户 安装一套数据库和应用软件，即生产环境。数据库服务器和应用服务器分开配置，提高性能。 数据库服务器软件配置： Oracle Application 11.5.10 Oracle 9I (9.2.0.5) Enterprise Edition Workflow 2.6 应用服务器软件配置： Developer 6i (Forms Server, Report

21、s Server, Graphics 6i) Apache Server 1.3.9 Oracle JRE 1.1.8 JDK 1.3.1 Discoverer Server (Optional) Oracle 8.0.6 / 8.1.6 数据库服务器、应用服务器基本配置要求： 用途：核心数据库服务器，应用服务器 选型：小型机，支持 SMP 数量： 2台 工作方式：数据库服务器节点，应用服务器节点 每台服务器主要配置要求及对应数量如下： 项目 当前配置要求 可扩充性 CPU 4 Core 64位 CPU（主频 1.5GHz） 至少可扩充到 16个 Core CPU L2高速缓存 需标明实际值

22、L3高速缓存 需标明实际值 内存 8GB 200GB 微分区 支持 扩展插槽 (I/O) 6 6个 内存、 PCI 插槽动态再分配功能 支持 内部磁盘容量 146GB(10k Ultra320 SCSI) 2（镜象） 1.8TB 以太网口 2 1000BaseT或 2 1000Base-SX 64位（光口） HBA适配器 2 Fiber Channel Adapter （ 4G）或其它连接方式 DVD-ROM 1内置式 软件 提供 Unix 操作系统 （支持无限用户数、简体中文） 及相关系统管理支持软件 TPC-C（当前配置） 150,000tpmc 600,000tpmc 处理器到内存带宽

23、18GBps 三级（ L3）高速缓存 需标明实际值 RAID 支持 RAID 1 机柜 安装 2台主机 显示器、键盘、鼠标 原厂商机柜式显示器、键盘、鼠标，切换器（支持 16套系统以上） 1套及相关线缆 电源 2 交流 220V双电源（支持负载均衡和互为备份） 售后服务 免费 3年（ 7X24）保修服务 ERP 系统作为关键应用系统，必须考虑对高可用性的支持，要求服务器以后可扩展为服务器集群。 随着 ERP系统的上线运行，太重的主要业务完全依赖该系统，必须保证系统 7*24小时连续运行。 3.2.2 ERP 开发 /测试、培训系统服务器 Oracle e-Business Suite R11i

24、 V11.5.10 系统的配置为三套系统，即生产系统、开发 /测试系统、培训系统；客户化工作在开发 /测试系统上进行，并进行综合功能测试，通 过测试，则移交到生产系统。而开发 /测试系统和培训系统的配置以满足需求，经济实用为原则，本次需配置 2 台相同机型的开发 /测试系统和培训系统服务器，最大用户数为 50人，使用模块与生产系统相同。 开发测试服务器基本配置要求 用途：开发测试服务器及培训服务器 选型：小型机，支持 SMP 数量： 2台 工作方式：单独运行 每台服务器主要配置要求及对应数量如下： 项目 当前配置要求 可扩充性 CPU 64位 2 Core CPU（主频 1.5GHz） 内存

25、4GB L2高速缓存 需标明实际值 L3高速缓存 需标明实际值 微分区 支持 扩展插槽 (I/O) 3 内存、 PCI 插槽动态再分配功能 支持 内部磁盘容量 146GB(10k Ultra320 SCSI) 2（镜象） 2.4TB 以太网口 2 1000BaseT或 2 1000Base-SX 64位（光口） HBA适配器 2 Fiber Channel Adapter （ 4G）或其它连接方式 DVD-ROM 1内置式 软件 提供 Unix 操作系统 （支持无限用户数、简体中文） 及相关系统管理支持软件 TPC-C（当前配置） 90,000tpmc 处理器到内存带宽 需标明实际值 三级（

26、L3）高速缓存 需标明实际值 RAID 支持 RAID 1 电源 2交流 220V双电源（支持负载均衡和互为备份） 售后服务 免费 3年（ 7X24）保修服务 3.3 存储备份系统需求 从以下三个方面来分析太重对存储系统的需求： 一、 ERP 系统实施对数据存储平台的要求 1、基础数据涉及面广，获取难度大，收集过程需要不断的抽取、添加、修改和整合，要求数据存储平台能够提供一个稳定、可靠和适应性强的环境，既保证数据存储的安全、可用， 又能适应数据的不断增长进行容量、性能和功能等多方面的扩展，更为重要的是，具备一套可随时回退的安全保护弹性机制，满足 ERP 项目实施对数据安全和使用的特殊要求； 2

27、、软件的大量修改测试和数据的反复使用回退，要求数据存储平台能够具备高效、快速的回退能力，可以在大量软件和数据的不同版本中自由的切换，大幅缩短系统开发的过程，加快实施进度。 3、实施工作组在系统开发、测试的过程中，必然涉及大量的文件、数据、软件、资料等信息共享和传播的过程，要求数据存储平台能够提供一个资料信息集中共享的场所，并能够为不同的角色定义不同的 控制权限，一方面提高实施效率，另一方面也保证资料数据的安全。 二、 ERP 系统上线后对数据存储平台的要求 大量的企业 ERP项目的实施经验表明， ERP 项目上线后常常存在以下问题： 软件本身的 BUG 等问题，导致 ERP系统运行的不稳定，甚

28、至数据的丢失； 系统流程不规范，需要进行修改、改进 ERP系统与其它信息系统（如 PDM、 CAPP 等）的兼容性问题 显然， ERP 项目的实际应用必定会给整个企业带来一个阵痛期，如何保护企业在此阵痛期的业务开展和稳定运作，以及最大程度缩短阵痛期的时间？ 一个有效的解决办法：利用数据存储平 台可回退到任一时间点的特性，使软件、数据可迅速恢复到故障发生之前的时刻，避开不稳定的因素，保持继续运行，同时快速调配相关资源进行攻关，解决系统隐患。 另外，为最大程度的保护应用系统数据，并有效降低对系统资源的占用，要求数据存储平台可灵活的制定针对不同性质应用系统的保护策略，如产品业务数据每隔 1 小时备份

29、一次数据， OA 系统每隔 3 小时备份一次数据，公众服务每隔一天备份一次数据等。从而充分避免了硬件故障、软件错误、人为误操作、病毒侵袭、恶意攻击等对信息系统的危害，保护企业稳定运作。 三、业务发展对数据存储平台的要求 稳健发展、技术创新和效益的不断提高，必然对信息化建设的要求更高更严格，可以预见，在不久的未来，仍将有更多的应用系统投入运行，更多的数据信息被处理。因而，对作为企业信息化建设支撑平台的数据存储系统，提出了以下的要求： 容量可在线的扩展，能够适应未来数据快速膨胀的需求； 性能可同步的增加，能够支持更多的应用系统对更多的数据进行处理； 功能可灵活的升级，包括未来对企业园区里多个信息中

30、心建设的支持、数据的园区网内充分共享、重要数据的异地容灾系统建设 总而言之，从太重集团的实际业务和信息系统建设情况出发，太重集 团对数据存储系统有以下要求： 1、稳定、可靠，无单点故障； 2、具备快速回退和切换能力； 3、提供测试数据的实时抽取界面； 4、容量、性能和功能可按需扩充； 5、灵活的数据保护策略。 3.4 网络安全系统需求 信息化网络建设，涉及与 Internet的连接，涉及到与多个下属部分单位的连接。 ERP应用、 OA应用、 WWW应用、 FTP应用等等需要针对不同的部门、不同的人员服务，对网络的安全提出了以下的需求： 1、 采用安全控制措施，实现人员的集中管理和控制。 2、

31、采用安全措施，加强对核心服务器系统的保护。 3、 采用安全措施，实现 与 Internet的安全连接，同时对外提供服务。 4、 采取安全措施，实现网上行为的审计，进行事中、事后分析。 5、 实现集中统一的全网安全管理，减轻管理的负担。 第四章 系统建设目标、原则 4.1 系统建设的目标 本次太重信息化建设的主要目标为： 1、 建设覆盖本次应用软件系统所涉及的所有单位和用户，利用千兆以太网技术构建高性能、高可靠性、安全、可管理的网络平台。 2、 建设满足应用运行的主机存储平台，实现应用的集中部署，实现数据的集中存储、集中备份和管理，实现快速的备份和恢复。 3、 建设网络安全管理系统，实现对设备、

32、人员、网络行 为、终端设备的安全管理。 4.2 系统建设原则 本次系统建设应满足以下总体设计要求： 1.高可靠性 在系统整体设计中应选用高可靠性设备产品，设备充分考虑冗余、容错能力和备份，同时合理设计总体架构，制订可靠的 QoS 质量保证策略，最大限度保障系统正常运行。 2.可扩展性 根据未来业务的增长和变化，系统可平滑扩充和升级，避免在系统扩展时对网络架构的大幅度调整。 3.可管理性 支持集中监控、分权管理，以便统一分配网络资源。支持故障自动报警。 4.高性能 设计必须保障网络及设备的高吞吐能力，保证数据的高质量传输，预留 出一定的流量增长的范围，保证在可预见的将来满足流量要求，避免网络瓶颈

33、影响整体的系统应用。 5.先进性和成熟性 网络设备采用先进的技术和制造工艺，对于路由协议支持、数据流量分配，抵御网络攻击、高性能方面保持技术领先，网络结构和路由协议采用成熟的、普遍应用的并被证明是可靠的结构模型和技术。 6.标准开放性 支持国际上通用标准的网络协议、国际标准的应用与大型网络规模的动态路由协议等开放协议，保证与其它网络之间的平滑连接互通，保证与其它主流网络产品的兼容性，以及将来网络的扩展性。 7.成功应用 针对 ERP 系统这种关 键业务应用，所选择的设备必须要经过长时间的成功应应用检验，具有非常高的市场占有率 。 4.3 系统建设的主要内容 建设内容主要网络建设、服务器建设和存

34、储系统建设三个部分。 网络建设的主要内容有； 1、 核心网络系统建设，通过双核心交换机实现核心的高性能和高可靠性。 2、 在数据中心采用一台数据中心交换机实现到服务器的连接。 3、 在重工、起重机公司、轮轴公司、油膜轮轴公司部署汇聚交换机，通过千兆光纤实现实现到两台核心交换机的冗余连接。 4、 在上述四个公司的配线间部署接入交换机，实现终端用户的接入。 5、 在 Internet的出口处部署路 由器，实现到 Internet的连接。 6、 在核心区部署 2 台防火墙、 2台入侵防御系统，分别作为冗余配置，保证核心区服务器和应用的安全。 7、 在 Internet入口处部署防火墙（原有 NS-2

35、5）、入侵防御系统，保证网络边界安全，构建 DMZ 区域，部署交换机（原有的华为 S5000交换机）实现对外的信息发布。 8、 在核心区部署接入认证、网络管理、日记审计、防病毒（原有的）等应用软件系统，保证整个网络设备、人员、应用的安全。 9、 调整网络结构，由原来的多级代理改为直接连接，保证了 C/S应用的访问。 10、 实现与原有网络设备的连接。 服务器系 统建设： 1、生产系统建设：数据库、应用服务器系统建设 2、开发、测试、培训环境建设 3、实现与网络系统、存储系统互联。 4、网络安全管理软件部署 存储系统建设： 1、存储系统建设。 2、备份系统建设 3、备份管理、数据管理软件的安装调

36、试 5.1.2 网络总体结构 根据标书要求及其应用需求，鉴于太重各部门的特殊安全性要求，在总体建设上我们采用业务与网络分层构建、逐层保护的指导原则，利用标准 IP+MPLS VPN 技术，保证网络的互联互通性，并提供各部门、应用系统网络间的逻辑隔离 (VPN)，保证互访的安全 控制，同时通过 QOS 和基于 MPLS VPN 的流量工程（ TE），保证关键业务在网络上传输的优先级。 对于基于同一传输网络之上的多个不同部门、应用系统之间的业务和数据隔离，我们设计采用 MPLS VPN 技术实现网络横向业务部门的隔离和纵向应用系统的互通，所采用的传输及网络设备以及整体网络构架都具有良好性能、高可靠

37、和可扩展性，充分保护用户投资。 根据网络业务不断发展的需求，未来将在现有数据网络平台基础上增加语音、视频等业务功能，并将各种业务充分融合，统一实现，从而构建一个基于“三网合一” 概念的企业信息化综合业务平 台。 全网分为两部分：骨干网络和网络中心。 骨干网络采用核心层、汇聚层、接入层的部署思路，各部分描述如下： 核心层： 数据网主干网络设备采用交换机进行组网，配置两台高性能核心三层交换机，完成各汇聚节点与核心节点以及各汇聚节点之间的数据高速路由转发以及各节点园区网的业务汇聚，并在整个骨干网上启用 MPLS VPN，进行业务隔离。 核心层为下两层提供优化的数据传输功能，它是一个高速的路由交换骨干

38、，其作用是尽可能快地交换数据包，满足汇聚节点与核心节点之间高速通信的需要。为保证本项目未来规模庞大，业务众多的特点，核心交 换机应具备尽可能强大的性能、业务支持和端口接入的扩展能力。 汇聚层： 每个汇聚节点的汇聚交换机通过 2 个 1000M 光口与集团公司数据中心的 2台核心交换机相联，构成双核心，双归属的骨干网络。 汇聚层提供基于统一策略的互连性，它是核心层和接入层的分界点，定义了网络的边界，对数据包进行复杂的运算。在整个网络环境中，汇聚层主要提供如下功能：部门和工作组的接入和汇聚， VLAN 的路由， MPLS VPN 的封装，实现 MPLS VPN对多种业务的安全隔离和带宽保障，安全控

39、制等。 接入层： 接入层节点采用百兆三层接入交换机，千兆光 /电接口上联汇聚交换机，支持 802.1x接入，做到面向端点的安全控制能力。 总体结构图： 5.1.3 传输信道设计 采用现有光缆资源，以网络中心辐射至各汇聚点。 现有各条光缆主要为 4 芯单模，可满足本次项目“双核心”的部署方式。各汇聚点至接入层交换机，可根据各汇聚区域的具体情况和实际距离，通过千兆光 /电接口灵活连接。 网络中心内部各设备均采用千兆以太网电缆互联。 5.1.4 核心网络设计 根据招标文件结合用户实际需求，本次采用“双核心”、“双归属”的方式，构建核心 -汇聚骨干网络，汇聚 -接入千兆连接。 根据 总体结构图，核心交

40、换机至各个业务区域和汇聚节点均采用双千兆单模光纤，保证链路的可靠性；汇聚交换机至各接入交换机采用千兆单模光纤。 核心交换机 ：作为全网数据和业务的核心，网络上所有业务的数据流都要经过核心交换机进行交换，因此它的安全性、可靠性和高性能对于全网数据和业务应用的正常开展至关重要。建议采用模块化万兆核心路由交换机。 1、引擎、电源等关键部件全部采用冗余设计，支持多操作系统、多配置文件，保证可靠性； 2、全面支持分布式 IP/MPLS VPN 业务转发，保证高性能； 3、内置的 802.1x SERVER 可 以作为接入认证服务器的备份系统； 4、硬件支持 IPv6，支持 10G RPR 高速环网数据接

41、口，满足未来构建企业大型核心环网要求； 汇聚交换机 ：汇聚层在骨干网络中起到承上启下的作用，应具备可靠性、高性能和多业务兼顾的特点。采用万兆核心路由交换机，在本项目中具备如下特色： 1、引擎、电源等关键部件全部采用冗余设计，支持多操作系统、多配置文件，保证可靠性； 2、全面支持分布式 IP/MPLS VPN 业务转发，保证高性能； 3、完善的 ACL、流量监管、多元组绑定等安全机制； 4、硬件支持 IPv6，支持 10G RPR 高速 环网数据接口，满足未来构建企业大型核心环网要求； 接入交换机： 在一个大型园区网络里，接入交换机具有数量多，部署分散的特点，且直接负责终端的接入，应具备可管理性

42、强、端口控制能力强、性价比高的特点。建议选用的三层接入交换机，具备如下优势： 1、支持堆叠，至此对堆叠组虚拟管理，完全可看作一个设备，使可管理性大幅度提高。 2、具有良好的端点控制能力，支持丰富的 MAC、 IP、端口的灵活绑定。 3、支持 802.1X 认证功能，可通过此功能实现对终端接入的控制。 4、 VLAN 能力强，支持最高的 4096 个 VLAN； 网络安全 系统设计： 数据中心是本网络最重要的部位，是信息化的神经中枢，数据中心的设计应具备最高的安全性，同时应保证流畅的带宽和一定的可靠性。 作为一个单独的区域来建设，结合招标文件，我们采用“防火墙 +IPS+服务器交换机”的建设思路

43、，全部采用双千兆设备，全千兆连接的方式，保证给数据中心最强大的安全保障能力和数据吞吐量。 对数据中心做如下部署： 核心防火墙： 防火墙可以部署在网络内部数据中心的前面，实现对所有访问数据中心服务器的网络流量进行身份控制，提供对数据中心服务器的保护。除了完善的隔离控制能力和安全防范能力，数据 中心防火墙的部署我们同时考虑两个关键特性： 高性能： 数据中心部署大量的服务器，是整个网络的数据流量的汇集点，因此要求防火墙必须具备非常高的性能，保证部署防火墙后不会影响这些大流量的数据传输，不能成为性能的瓶颈； 可靠性： 所有数据服务器都部署在数据中心，这些服务器是企业运行的关键支撑，必须要严格的保证这些

44、服务器可靠性与可用性，因此，部署防火墙以后，不对网络传输的可靠性造成影响，不能形成单点故障。 基于上述两个的关键特性，我们进行以下设备部署模式和配置策略： 设备部署模式： 我们在两台核心交换机上部署两台千兆 防火墙，以双链路方式和 1G的吞吐量保证可靠性和高性能。 安全控制策略： 防火墙设置为默认拒绝工作方式，保证所有的数据包，如果没有明确的规则允许通过，全部拒绝以保证安全； 在两台防火墙上设定严格的访问控制规则，配置只有规则允许用户能够访问数据中心中的指定的资源，严格限制网络用户对数据中心服务器的资源，以避免网络用户可能会对数据中心的攻击、非授权访问以及病毒的传播，保护数据中心的核心数据信息

45、资产； 配置防火墙全面攻击防范能力，包括 ARP欺骗攻击的防范，提供 ARP主动反向查询、 TCP报文标志位不合法攻击防范、超大 ICMP报文攻击防范、地址 /端口扫描的防范、 ICMP重定向或不可达报文控制功能、 Tracert报文控制功能、带路由记录选项 IP报文控制功能等，全面防范各种网络层的攻击行为； 根据需要，配置 IP/MAC绑定功能，对能够识别 MAC地址的主机进行链路层控制，实现只有 IP/MAC匹配的用户才能访问数据中心的服务器； 核心入侵防御系统： 在服务器交换机和核心防火墙之间，部署两台入侵防御系统，和服务器交换机、防火墙设备采用双链路连接，以阻挡防火墙设备不能抵御的系统

46、漏洞攻击、蠕虫病毒、木马程序、间谍软件、 DOS/DDOS 攻击等。同时入侵防御性能达 1.2Gbps，完全满足 1G 以上的设备要求，无任何瓶颈。 服务器交换机： 服务器交换机负责众多数据库和应用服务器的接入，在此我们采用一台服务器交换机，其设备在本项目中有如下优势： 1、以高密度千兆接口的全面满足服务器接入的要求 2、支持高的交换交换带宽和转发性能，为服务器的双上行接入提供了更高的带宽和可靠性 3、支持万兆接口，为未来的系统全面升级提前做好了准备 4、配置冗余电源系统，进一步提高设备可靠性。 5.1.5 互联网接入设计 对外访问区负责全网对 INTERNET的访问，同时 承载太重门户网站的

47、对外发布和EMAIL系统。 虽然现在网络上 80%的安全隐患都在内网，但互联网出口的安全问题仍然是对企业网络最具威胁的区域，黑客入侵、企业机密数据外泄、新病毒的导入都几乎全部发生在这里，所以互联网接入设计中，安全设计仍然放在首位。 我们采用路由器 +防火墙 +入侵防御系统（ IPS）的方式来构建对外访问区。 路由器： 路由器是连接内外网的纽带，路由器的性能直接影响对于宝贵带宽的使用率，此外对于大型园区网出口，由于内部网络用户数量庞大，路由器应该具备高性能的 NAT转发能力。 1、高性能：具备 4.5Mpps的包转发性能，满足未来千兆线路的全线速转发。 2、强大的 NAT能力：具备 50万并发

48、NAT连接的能力，且支持丰富的 NAT特性，提供 NAT日志的输出，可配合日志审计系统，做到对于对外访问的纪录和跟踪。 3、支持 RIP、 OSPF、 BGP、 IS-IS等多种路由协议 4、支持多种网络接口 5、支持 IPV6 防火墙： 使用原有 Juniper防火墙，划分 DMZ 区域，通过原有华为 5000千兆交换机，连接门户服务器及 EMAIL 服务器等。配置策略偏重安全区划分，安全抵御由入侵防御系统着重完成。 入侵防御系统： 配置入侵防御系统 ，提供 4 个 100M 端口，具备 1G 吞吐量，满足当前接入带宽。重点配置对于黑客入侵、蠕虫病毒、木马程序的防范。 5.1.6 网络管理、

49、接入认证、日志审计系统设计 针对太重这种大型的网络系统，网络的运维管理变得非常重要，需要采用必要的手段进行能够网络的集中监控和管理，实现不同厂商产品的统一监控和管理，需要采用一个网络管理平台；同时为了更好的控制网络资源访问权限，监控网上行为，记录外网访问记录、作为事后审计依据，需要增加以下几个部分： 1、 网络管理软件系统 2、 接入审计系统 3、 日志审计系统 网络管理系统应该包括以下功能： 网 络管理系统应采用 分布式 、组件 化 、跨平台 的 开放 体系结构 ，用户通过选择安装不同的业务组件，可以实现设备管理、拓扑管理、告警管理、性能管理、配置管理等多种管理功能。产品不仅能够独立提供完整的网络管理平台，还能够与OpenView、 SNMPc多种主流通用网管平台灵活集成；不仅能够管理配置的网络设备，还能够通过标准 MIB管理各