【正文】 云宵縣檢察院計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)方案0B1 需求分析 建設(shè)目標(biāo)云宵縣檢察院信息化建設(shè)是是科技強(qiáng)檢的重要組成部分，也是檢察工作改革的重要內(nèi) 容。信息化建設(shè)是一項(xiàng)技術(shù)要求較高的系統(tǒng)工程，所以 云宵縣檢察院在信息化建設(shè)中要注重經(jīng) 實(shí)用、高效，高起點(diǎn)建設(shè)，高水平設(shè)計(jì)，高技術(shù)配置。對于信息化的建設(shè)基礎(chǔ)網(wǎng)絡(luò)起著 至關(guān)重要的作用，基礎(chǔ)網(wǎng)絡(luò)的設(shè)計(jì)規(guī)劃將決定著未來科技信息化的整體框架，所以基礎(chǔ) 網(wǎng)絡(luò)的高標(biāo)準(zhǔn)要求將至關(guān)重要。云宵縣檢察院在信息化建設(shè)要樹立“規(guī)范統(tǒng)一”的思想，在局域網(wǎng)建設(shè)、專線網(wǎng)建設(shè)上， 統(tǒng)一規(guī)劃、統(tǒng)一技術(shù)標(biāo)準(zhǔn)、統(tǒng)一規(guī)范、統(tǒng)一管理，做好協(xié)調(diào)、配合工作，力求建設(shè)規(guī)范 有序、高效率。不重復(fù)、不浪費(fèi)，運(yùn)轉(zhuǎn)良好、快速、保密。目前 云宵縣檢察院的機(jī)構(gòu)設(shè)置日趨完善，部門之間職責(zé)范圍的劃分更加科學(xué)、合理、規(guī)范， 基本適應(yīng)了社會(huì)發(fā)展和形勢任務(wù)的需要。近期我院將遷移至新址辦公，進(jìn)一步改善業(yè)務(wù) 處理能力和提高辦公效率，以貫徹“科技強(qiáng)院”的工作方針。為了按照“積極建設(shè)，重在應(yīng)用”的工作思路，我院將在新址大樓構(gòu)建一個(gè)新的高 效辦公信息化網(wǎng)絡(luò)平臺，以實(shí)現(xiàn)了對內(nèi)與職能管理相結(jié)合、對外與司法公信力建設(shè)相結(jié) 合。681B2 設(shè)計(jì)方案 設(shè)計(jì)思路和原則（1）網(wǎng)絡(luò)信息化建設(shè)總體原則市 云宵縣檢察院信息化建設(shè)的指導(dǎo)方針是：統(tǒng)籌規(guī)劃，規(guī)范標(biāo)準(zhǔn)，深化應(yīng)用，注重效益，安全 保障。網(wǎng)絡(luò)信息系統(tǒng)建設(shè)還要遵循以下基本原則：? 通盤考慮原則：站位要高，從業(yè)界發(fā)展的趨勢入手，按照科學(xué)的設(shè)計(jì)框架，兼 顧成熟性和先進(jìn)性，通盤考慮信息系統(tǒng)網(wǎng)絡(luò)的各級建設(shè)；? 投資保護(hù)原則：要充分考慮與現(xiàn)有資源整合，實(shí)現(xiàn)投資保護(hù)；? 安全性原則：在網(wǎng)絡(luò)設(shè)計(jì)中充分考慮安全因素，從各個(gè)層面充分考慮網(wǎng)絡(luò)安全、 系統(tǒng)安全、信息安全的規(guī)劃和設(shè)計(jì)。從而對 云宵縣檢察院提供一個(gè)相對安全的系統(tǒng)平臺。? 可擴(kuò)展性原則：網(wǎng)絡(luò)不僅要滿足近期的需要，還要前瞻性的考慮業(yè)務(wù)需求的增 長和業(yè)界發(fā)展的總體趨勢，在需要的時(shí)候可以平滑升級；能夠平滑支撐 IP 語音、視頻應(yīng)用的融合和部署。? 可靠性原則：鑒于 云宵縣檢察院的重要職能和對信息及時(shí)性的較高要求，信息網(wǎng)作為 支撐整個(gè)系統(tǒng)運(yùn)行的基礎(chǔ)實(shí)施必須非?？煽浚凰捎玫漠a(chǎn)品和技術(shù)必須具有一 定程度上成熟可靠性。網(wǎng)絡(luò)必須具備高安全性和高穩(wěn)定性。整個(gè)網(wǎng)絡(luò)應(yīng)有足夠的冗余備份設(shè)計(jì)，包括鏈路冗余、設(shè)備冗余、模塊冗余和數(shù)據(jù)冗余備份等，提高網(wǎng)絡(luò)的容錯(cuò)能力，減少單點(diǎn)故障。? 經(jīng)濟(jì)性原則：在完成預(yù)定功能的情況下，結(jié)合實(shí)際信息化程度采用最為經(jīng)濟(jì)有 效的方案，盡量節(jié)約項(xiàng)目投資；? 創(chuàng)新性原則：在設(shè)計(jì)和建設(shè)過程中積極開拓思路，不墨守成規(guī)，創(chuàng)造性地解決 問題；系統(tǒng)結(jié)構(gòu)設(shè)計(jì)、系統(tǒng)配置、系統(tǒng)管理方式等方面采用國際上先進(jìn)同時(shí)又是成熟、實(shí)用的技術(shù)。? 共同建設(shè)原則：為保證項(xiàng)目的成功，需要處理好與省 云宵縣檢察院專網(wǎng)和下屬單位互 聯(lián)網(wǎng)絡(luò)的關(guān)系。云宵縣檢察院新網(wǎng)絡(luò)建設(shè)后要能夠?yàn)樵汗ぷ鞯闹悄芑?、自?dòng)化提供一個(gè)高可靠、高性能的信息 平臺，徹底改善辦公、辦案條件，為完成日益繁重的工作任務(wù)提供了強(qiáng)有力的物質(zhì)保障。（2）網(wǎng)絡(luò)信息化建設(shè)總體思路市 云宵縣檢察院新網(wǎng)絡(luò)共分為內(nèi)網(wǎng)和外網(wǎng)兩套物理隔離網(wǎng)絡(luò)，專網(wǎng)用于 云宵縣檢察院 OA 辦公應(yīng)用和上下級單位業(yè)務(wù)專網(wǎng)互聯(lián)，外網(wǎng)用于日常互聯(lián)網(wǎng)訪問等業(yè)務(wù)。內(nèi)部網(wǎng)絡(luò)平臺是承載整個(gè)公檢法 網(wǎng)絡(luò)信息系統(tǒng)運(yùn)行的硬件平臺，承載業(yè)務(wù)較多，QoS 服務(wù)質(zhì)量和網(wǎng)絡(luò)安全要求很高。網(wǎng)絡(luò)規(guī) 劃設(shè)計(jì)要保證能與現(xiàn)有網(wǎng)絡(luò)兼容并對接，確保網(wǎng)絡(luò)功能有效實(shí)施。同時(shí) 云宵縣檢察院內(nèi)網(wǎng)需要與上 下級 云宵縣檢察院內(nèi)網(wǎng)互連，與外部網(wǎng)絡(luò)實(shí)行物理隔離，要求能夠滿足整個(gè)大樓各個(gè)辦公室之間高 速、安全、保密的信息交互與內(nèi)部信息發(fā)布和數(shù)據(jù)共享，能夠滿足現(xiàn)有和未來發(fā)展的政法信 息服務(wù)和內(nèi)部辦公自動(dòng)化的要求，形成一個(gè)智能化綜合信息平臺，可整合廣播、數(shù)據(jù)、視頻、 監(jiān)控等應(yīng)用，實(shí)現(xiàn)多網(wǎng)合一的高效辦公網(wǎng)。網(wǎng)絡(luò)區(qū)域?qū)I(yè)務(wù)區(qū)域進(jìn)行的合理劃分、管理、 安全以及與廣域網(wǎng)網(wǎng)絡(luò)的鏈接規(guī)劃，同時(shí)也設(shè)計(jì)對部分區(qū)域的無線訪問解決方案。外網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)本著經(jīng)濟(jì)、簡單、安全、邏輯性、擴(kuò)展性強(qiáng)的原則進(jìn)行設(shè)計(jì)。網(wǎng)絡(luò)核心交 換機(jī)采用單臺設(shè)計(jì)，要求具有較好的擴(kuò)展性以及高穩(wěn)定性、高性能特點(diǎn)?？紤]到外網(wǎng)數(shù)據(jù)流 量模型主要用于桌面終端到互聯(lián)網(wǎng)的訪問特點(diǎn)，整體網(wǎng)絡(luò)采用千兆光纖骨干(接入－核心)， 百兆桌面接入的方式，考慮到外網(wǎng)每個(gè)配線間信息點(diǎn)較少，接入交換機(jī)可采用級聯(lián)方式連接 中心機(jī)房。公網(wǎng)出口能夠提供獨(dú)立的安全防護(hù)邊界，除了提供外網(wǎng)安全防火墻功能外還可對 外提供 IPSEC VPN 和 SSLVPN 訪問功能。要將網(wǎng)絡(luò)可能存在的風(fēng)險(xiǎn)隔離到最小的區(qū)域。對外 的網(wǎng)絡(luò)出入口需要有足夠的網(wǎng)絡(luò)安全手段，例如防止病毒、垃圾郵件攻擊等。根據(jù)院建筑設(shè)計(jì)結(jié)構(gòu)圖（A、B 兩個(gè)樓體中間通過聯(lián)體相連），結(jié)合先進(jìn)的以太網(wǎng)技術(shù)特 點(diǎn)以及辦公應(yīng)用在數(shù)據(jù)訪問流量方面的特點(diǎn)，內(nèi)網(wǎng)總體網(wǎng)絡(luò)結(jié)構(gòu)采用扁平化層次化結(jié)構(gòu)，通 過接入層設(shè)備直接連接核心的兩層架構(gòu)，保證網(wǎng)絡(luò)的最優(yōu)化設(shè)計(jì)，提供最小的數(shù)據(jù)交換延時(shí) 和最高的吞吐帶寬。核心采用冗余設(shè)計(jì)，考慮統(tǒng)一集成安全方案，實(shí)現(xiàn)對內(nèi)網(wǎng)重要區(qū)域和應(yīng) 用系統(tǒng)的隔離和防護(hù)，對網(wǎng)絡(luò)流量能夠提供硬件智能檢測分析，圖形化管理。樓內(nèi)內(nèi)網(wǎng)主干 網(wǎng)絡(luò)采用萬兆光纖以太網(wǎng)技術(shù)，核心和接入通過多模萬兆光纖介質(zhì)互連。按照信息點(diǎn)密度的 不同將每 2/3 層信息點(diǎn)集中在一個(gè)樓層內(nèi)形成樓層配線間，每個(gè)配線間設(shè)備直接雙連接到骨 干核心交換。內(nèi)網(wǎng)網(wǎng)絡(luò)終端采用千兆以太網(wǎng)技術(shù)，提供至少 1000M 交換到桌面的接入方式。 各配線間接入層設(shè)備為了減少單點(diǎn)故障和鏈路性能瓶頸的因素，建議萬兆直連到核心。 內(nèi)網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)市 云宵縣檢察院內(nèi)網(wǎng)基礎(chǔ)網(wǎng)絡(luò)架構(gòu)如下圖所示：對于核心交換層和接入層的網(wǎng)絡(luò)設(shè)備功能描述如下：1. 核心層：提供高速的三層交換骨干－思科 6509E 旗艦級萬兆多業(yè)務(wù)智能路由交換平臺190。 核心層不實(shí)施影響高速交換性能的 ACL 等功能。190。 核心層能夠提供很好的多業(yè)務(wù)并發(fā)處理能力。190。 核心層應(yīng)提供對網(wǎng)絡(luò)的感知和自愈能力，如能夠根據(jù)設(shè)備狀態(tài)或鏈路質(zhì)量進(jìn)行自愈(IP SLA).190。 核心層做為數(shù)據(jù)交換中心，除了提供高性能高可靠的平臺外，還提供集成安全、應(yīng)用加速、語音視頻優(yōu)化等多業(yè)務(wù)處理。2. 接入層：提供 Layer 3 的網(wǎng)絡(luò)接入，－思科 3560E 萬兆全三層智能路由交換機(jī)190。 接入層設(shè)備能根據(jù)實(shí)際使用情況具有邏輯隔離功能，具有相對獨(dú)立性和擴(kuò)展性；190。 接入層能夠?qū)崿F(xiàn)對各種終端的智能識別；190。 接入層設(shè)備能夠很好的隔離二、三層攻擊190。 接入層設(shè)備能夠支持 QoS、組播、限速等業(yè)務(wù)處理能力。190。 本功能區(qū) VLAN 間的路由.190。 各功能分區(qū) IP 地址或路由區(qū)域的匯聚.190。 部署功能區(qū)內(nèi)、功能區(qū)之間的安全訪問策略 如 ACL 等。190。 能夠隔離來自接入終端的不安全隱患，如 ARP 攻擊、地址盜用等。3. 核心路由：作為廣域網(wǎng)匯聚 －思科 7600 萬兆智能路由平臺190。 提供各種廣域網(wǎng)接口類型，支持萬兆平臺190。 高密度端口接入能力，匯聚各地市單位上聯(lián)鏈路。190。 集成多種硬件服務(wù)功能，并發(fā)處理各種網(wǎng)絡(luò)服務(wù)。190。 具有極高的可靠性和應(yīng)用廣泛性。190。 能夠?qū)崿F(xiàn)對鏈路狀態(tài)智能識別，能夠完成自愈管理。190。 支持各種路由協(xié)議，設(shè)備可靈活擴(kuò)展和升級。 設(shè)備選型依據(jù)網(wǎng)絡(luò)系統(tǒng)是日常業(yè)務(wù)和各種應(yīng)用系統(tǒng)的基礎(chǔ)設(shè)施，應(yīng)保證工作日和重點(diǎn)時(shí)期不間斷運(yùn) 行。整個(gè)網(wǎng)絡(luò)應(yīng)有足夠的冗余，設(shè)備在發(fā)生故障時(shí)能以熱插拔的方式在最短時(shí)間內(nèi)加以修復(fù)。 可靠性還應(yīng)充分考慮網(wǎng)絡(luò)系統(tǒng)的性價(jià)比，使整個(gè)網(wǎng)絡(luò)具有一定的容錯(cuò)能力，減少單點(diǎn)故障。關(guān)鍵設(shè)備如核心和匯聚應(yīng)該具有智能網(wǎng)絡(luò)分析和自愈能力，能夠在自身或網(wǎng)絡(luò)發(fā)生問題 的時(shí)實(shí)現(xiàn)自動(dòng)修復(fù)和保護(hù)能力。網(wǎng)絡(luò)設(shè)備應(yīng)該選用國際知名廠商，同時(shí)要求產(chǎn)品廠家具備短期響應(yīng)的能力，能夠提供專 業(yè)的售后支持服務(wù)，以保證在設(shè)備發(fā)生故障的情況下能夠在最短的時(shí)間內(nèi)為用戶解決問題。 產(chǎn)品的備板、備件也要較為充足，以保證在用戶硬件出現(xiàn)問題時(shí)能夠及時(shí)更換，保護(hù)用戶原 有投資。結(jié)合 云宵縣檢察院信息化平臺的建設(shè)思路，網(wǎng)絡(luò)設(shè)備的選擇需要考慮整體方案的完整性和擴(kuò)展 性，思科做為全球網(wǎng)絡(luò)方案的提供商，其產(chǎn)品和解決方案都是業(yè)界最完善和優(yōu)質(zhì)的，其有線 網(wǎng)絡(luò)、無線網(wǎng)絡(luò)、IP 語音通訊、IP 視頻通訊的統(tǒng)一解決方案處于業(yè)界絕對領(lǐng)先水平，其產(chǎn)品 品質(zhì)、品牌信譽(yù)和產(chǎn)品生命力都是毋庸置疑的。 各層次設(shè)計(jì) 核心交換層設(shè)計(jì)核心層不僅擔(dān)負(fù)著院內(nèi)部各系統(tǒng)之間的高速數(shù)據(jù)交換，同時(shí)也是整個(gè) 云宵縣檢察院業(yè)務(wù)服務(wù)的 數(shù)據(jù)核心，在進(jìn)行核心層設(shè)計(jì)時(shí)必須強(qiáng)調(diào)大容量的交換性能和高可靠性，同時(shí)也要考慮到數(shù)據(jù)中心的功能要求和業(yè)務(wù)擴(kuò)展能力。因此我們采用雙核心結(jié)構(gòu)構(gòu)建設(shè)市 云宵縣檢察院網(wǎng)絡(luò)核心層。我們在核心層設(shè)計(jì)時(shí)，充分考慮了系統(tǒng)的擴(kuò)展性和成本投入高效性，故我們提出兩種核心架 構(gòu)的解決方案。我們推薦核心交換機(jī)采用兩臺思科旗艦型高性能交換機(jī) Catalyst 6509，通過萬兆鏈路相 連，組成整個(gè) 云宵縣檢察院內(nèi)網(wǎng)的核心，核心層與匯聚層之間采用雙千兆光纖鏈路，構(gòu)成具有高轉(zhuǎn) 發(fā)能力和高可靠性的網(wǎng)絡(luò)骨干。在核心層選擇思科旗艦型交換產(chǎn)品 6509 除了其高性能和高穩(wěn)定性之外，我們主要是考 慮到部署 6509 交換機(jī)可以將整個(gè)內(nèi)網(wǎng)核心設(shè)計(jì)成一個(gè)統(tǒng)一、高效、智能的業(yè)務(wù)綜合服務(wù)平 臺和數(shù)據(jù)中心。思科的 6509 交換機(jī)可以提供：1. 高密度線速萬兆端口－為數(shù)據(jù)中心提供高性能平臺2. 高可用性 －軟件系統(tǒng)模塊化、業(yè)務(wù)系統(tǒng)智能感知、自我診斷和自我修復(fù)3. 多業(yè)務(wù)處理平臺－可集安全防御、負(fù)載均衡、應(yīng)用加速、業(yè)務(wù)虛擬化等高性能處理模塊為一體，簡化網(wǎng)絡(luò)結(jié)構(gòu)提高運(yùn)維效率。4. 系統(tǒng)虛擬化－核心完全虛擬化成單一邏輯中心，減少由于網(wǎng)絡(luò)設(shè)備變化、配置變化等導(dǎo)致的網(wǎng)絡(luò)恢復(fù)和管理時(shí)間，進(jìn)一步提高系統(tǒng)性能和穩(wěn)定性。核心交換機(jī)對于整個(gè)網(wǎng)絡(luò)來書是非常重要的，我們利用思科公司的旗艦型核心交換機(jī)領(lǐng) 先的技術(shù)特性－VSS (虛擬交換系統(tǒng))技術(shù)，將核心建造成一個(gè)虛擬化高效的平臺。核心兩臺 6509 通過 VSS 技術(shù) 形成一個(gè)萬兆核心，對于用戶管理和接入層設(shè)備完全是一個(gè)邏輯單元，具有一個(gè) IP 管理和 MAC 地址的特點(diǎn)?？梢蕴岣哒w性能和可用性，如可以 減少由于部署二層網(wǎng)關(guān)協(xié)議 VRRP 或 HSRP 進(jìn)行主備切換是的網(wǎng)絡(luò)終端問題等。 服務(wù)器區(qū)設(shè)計(jì)關(guān)鍵業(yè)務(wù)服務(wù)器直接通過兩條千兆鏈路連接兩臺核心交換機(jī)，這兩條鏈路捆綁，這樣不 但可以充分利用 VSS 的功能，兩條鏈路捆綁，性能加倍且可靠性高，無需服務(wù)器和系統(tǒng)的額外協(xié)議支持。而且直接連接核心交換機(jī)，服務(wù)器可以更高效率和性能的提供服務(wù)，因?yàn)榉?wù)器交換機(jī)的上聯(lián)只有 2 個(gè)或者 4 個(gè)千兆，而這樣，單臺服務(wù)器就可以有 2 個(gè)千兆的上聯(lián)性能。 在服務(wù)器區(qū)域分為多個(gè)子網(wǎng)，子網(wǎng)的劃分可初步按照業(yè)務(wù)應(yīng)用情況和數(shù)據(jù)庫與其他應(yīng)用服務(wù)器分開相結(jié)合的設(shè)計(jì)來考慮服務(wù)器區(qū)域子網(wǎng)的劃分，劃分子網(wǎng)可以減少廣播風(fēng)暴而且還 可以利用訪問控制列表 ACL 部署相應(yīng)的策略提高服務(wù)器區(qū)域的安全性。 接入層設(shè)計(jì)接入層是網(wǎng)絡(luò)的接入邊界，負(fù)責(zé)將各種終端連接到網(wǎng)絡(luò)中去，同時(shí)需要高速向上連接核 心交換設(shè)備。接入層需要規(guī)范網(wǎng)絡(luò)訪問行為，在網(wǎng)絡(luò)的訪問功能和管理功能中具有重要的作用。 接入交換機(jī)采用思科高性能 3560E 萬兆三層路由交換機(jī)，提供全千兆多層交換接入萬兆上聯(lián)能力的交換機(jī)，支持硬件組播處理，單機(jī)能處理多達(dá) 1000 多個(gè)組播項(xiàng)，對于未來開展 組播業(yè)務(wù)提供非常高效可靠的平臺。另外思科 3560E 還完全支持硬件 Ipv6 和 MPLS 的處理 能力，對未來業(yè)務(wù)增值服務(wù)提供有效保障。通過 3560E 的端口高性能 ASIC 芯片可以將入口 速率限速精度提高到 8kbps，為 QoS 和病毒防治提供了很好的硬件處理能力。做為接入層設(shè)備除了能夠承上啟下提供高性能鏈路樞紐之外，還能夠提供各種業(yè)務(wù)處理 和安全管理功能：高級安全特性：接入交換機(jī)支持 、訪問控制列表(ACL)、Secure Shell(SSH)協(xié)議、動(dòng)態(tài) ARP 檢測(DAI)、源 IP 防護(hù)和專用虛擬 LAN(PVLAN)等安全特性，可增強(qiáng)網(wǎng)絡(luò)中的控制能力和靈活性。通過有選擇地或全部實(shí)施上述特性，網(wǎng)絡(luò)管理員可防止對于服務(wù)器或應(yīng)用的未 授權(quán)訪問，允許不同的人能以不同的許可權(quán)來使用同一 PC?；谟布慕M播：支持 PIM（密集和疏松模式）、IGMP。高級 QoS：集成的基于第二到四層的 QoS 和流量管理功能，在 32000 個(gè) QoS 策略條 目的基礎(chǔ)上，對關(guān)鍵任務(wù)和時(shí)間敏感型流量進(jìn)行了分類和優(yōu)先排序。匯聚層交換機(jī)可以利用 基于主機(jī)、網(wǎng)絡(luò)和應(yīng)用信息的入口和出口策略控制器機(jī)制，對高帶寬流量進(jìn)行整形和速率限制。全面的管理：交換機(jī)為所有端口的配置和控制提供了基于 Web 的管理功能，因而可以集中管理重要網(wǎng)絡(luò)特性，如可用性和響應(yīng)能力等。接入層集成安全特性：在接入層完全杜絕第二層安全問題 由于任何用戶都可以訪問任何以太網(wǎng)端口，而且可能成為潛在的黑客，因此，開放園區(qū)網(wǎng)不能保證網(wǎng)絡(luò)安全性。因?yàn)?OSI 模型允許不同通信層次在相互不了解的情況下配合工作， 所以第二層安全性至關(guān)重要。即使某個(gè)層次遭到攻擊, 網(wǎng)絡(luò)安全特性遭到襲擊，其它