【正文】 衛(wèi)生廳與分布全省的下屬 11 個(gè)地市、99 個(gè)縣衛(wèi)生局形成全省衛(wèi)生系統(tǒng)較為分散，傳統(tǒng)的專線接入業(yè)務(wù)或傳統(tǒng) VPN 業(yè)務(wù)無法適應(yīng)上述綜合信息網(wǎng)絡(luò)的技術(shù)需求，中國鐵通江西分公司信息化快車 IP VPN 業(yè)務(wù)簡單可靠、安全便捷，適用于該網(wǎng)絡(luò)的搭建。二、承建省衛(wèi)生廳門戶網(wǎng)站，建立與國家衛(wèi)生部、省衛(wèi)生廳下屬 11 家機(jī)構(gòu)、省內(nèi) 99 家監(jiān)管單位網(wǎng)站、信息中心的鏈接，完成貴單位系統(tǒng)數(shù)據(jù)快報(bào)，完善省衛(wèi)生廳信息中心平臺的信息傳播、單位動態(tài)、單位熱點(diǎn)、社會經(jīng)濟(jì)生活等各方面的新聞信息。方案一：省衛(wèi)生廳下屬 11 家地市級機(jī)構(gòu)及省內(nèi) 99 家縣級監(jiān)管單位全部采用 2M 專線，專線電路的建設(shè)全部由鐵通公司承擔(dān)，鐵通公司提供的專線電路按月收取月租費(fèi)（月租費(fèi)雙方可進(jìn)行商確） ，鄉(xiāng)鎮(zhèn)監(jiān)管單位采用 VPN 接入方案；方案二：前期僅對省衛(wèi)生廳下屬 11 家地市級機(jī)構(gòu)采用 2M專線組網(wǎng)，省內(nèi) 99 家縣級監(jiān)管單位及鄉(xiāng)鎮(zhèn)監(jiān)管單位均采用 VPN 接入方案；方案三：省衛(wèi)生廳下屬 11 家地市級機(jī)構(gòu)，省內(nèi) 99 家縣級監(jiān)管單位及鄉(xiāng)鎮(zhèn)監(jiān)管單位均采用 VPN 接入方案；上述組網(wǎng)方案的核心設(shè)備（指 VPN）及傳輸、客戶端 VPN衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 29 頁 共 42 頁接入設(shè)備均由鐵通公司承擔(dān)并負(fù)責(zé)售后服務(wù)。鐵通網(wǎng)絡(luò)無法接入的少數(shù)單位只要能連接互聯(lián)網(wǎng)，也能以中國鐵通信息化快車 IP VPN 信息化快車技術(shù)接入省衛(wèi)生廳單位專網(wǎng)。? 強(qiáng)化對內(nèi)部用戶的訪問控制，對不同安全級別的主機(jī)分別配制不同的網(wǎng)絡(luò)權(quán)限。? 對終端用戶的變化，文件訪問、上網(wǎng)行為、程序使用、網(wǎng)絡(luò)共享、打印等行為進(jìn)行審計(jì)與管理，可進(jìn)行屏幕抓取。? 終端操作系統(tǒng)、病毒系統(tǒng)補(bǔ)丁管理更新。? 為用戶精簡預(yù)算提供幫助，包括提高營業(yè)額、加快投資回報(bào)、降低總擁有成本、迅速作出適當(dāng)?shù)耐顿Y決定、改進(jìn)服務(wù)性能、降低維護(hù)費(fèi)用。第五章 相關(guān)技術(shù)介紹MPLS 在轉(zhuǎn)發(fā)業(yè)務(wù)之前建立 LSP，通過對 LSP 指定不同的特性，解決了 IP 網(wǎng)絡(luò)中的許多問題，同時(shí)也為支持網(wǎng)絡(luò)的演進(jìn)和發(fā)展提供了切實(shí)可行的途徑。VPN 通過公用網(wǎng)絡(luò)實(shí)現(xiàn)一個(gè)單位衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 33 頁 共 42 頁內(nèi)部的網(wǎng)絡(luò)。保證安全性，而不需要實(shí)現(xiàn)復(fù)雜的加密算法。 5）支持多播功能，對節(jié)省骨干網(wǎng)絡(luò)的帶寬和視頻廣播業(yè)務(wù)的開展提供支持； 6）支持話音業(yè)務(wù)的開展； 7）MPLS 已經(jīng)被擴(kuò)展，用于光網(wǎng)絡(luò)的控制。根據(jù)網(wǎng)絡(luò)的總體規(guī)劃和路由器的功能情況，業(yè)務(wù)路由器支持 L3 和 L2 VPN 業(yè)務(wù)。有關(guān) PE 的客戶接入，可以通過 IP 城域網(wǎng)，或者 FR/ATM/DDN來實(shí)現(xiàn)接入，可以提供豐富的接入方式，以滿足用戶接入的廣泛需求?？梢院?L3 VPN 同時(shí)啟用。VPLS 使客戶保持了對路由的完全控制，簡化了運(yùn)營商的工作，使衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 35 頁 共 42 頁運(yùn)營商能夠從降低 L2 VPN 服務(wù)管理的復(fù)雜性中獲益。如果要求 PVC 和 VLAN 捆綁，這種方式同樣存在著 VLAN 資源不夠，IP 地址浪費(fèi)的問題。普通用戶 VLAN 的接入主要是 VALN 用戶使用交換機(jī)接入CE，在路由器上配置子接口終結(jié) VLAN，并將子接口綁定到相應(yīng)的VPLS 實(shí)例中。 另外對于一些在地域內(nèi)分布廣但數(shù)量較少的小分支機(jī)構(gòu)（大客戶用戶） ，采用傳統(tǒng)的交換機(jī)接入的方式浪費(fèi)交換機(jī)及線路等資源。與傳統(tǒng)的 QinQ 不同的是，這種 QinQ 接入方式中內(nèi)、外兩層VLAN 組合表示一個(gè)用戶。對于沒有 標(biāo)記的數(shù)據(jù)包，采用基于源、目的 MAC 對流量的分類、標(biāo)記、CAR 。由于 ATM、FR 的廣泛存在，所以在 MPLS 上提供ATM、FR 之間的互通顯得非常必要。此模型的優(yōu)點(diǎn)是可以使用已經(jīng)存在的 PW 來進(jìn)行幀的傳輸，減少了PE 的處理。對于接口或 VC 的配置，僅僅在支持此接口的PE 上。在大型網(wǎng)絡(luò)中，PE 數(shù)量較多的時(shí)候，這種基本的 VPLS 模型就會帶來擴(kuò)展性的問題，影響業(yè)務(wù)的部署。這種層次化的（ MTUPE）VC 的接入方式，只需在有限數(shù)量的 PE 之間建立全網(wǎng)狀的 Hub VC，減少了信令的開銷和復(fù)制的工作量，從而大大地增強(qiáng)了 VPLS 的可擴(kuò)展性。在可伸縮的 VPWS 網(wǎng)絡(luò)中，PWE3 PE可以分別與反射器建立信令會話連接，可以通過分段 PWE3 提供跨域的偽線服務(wù)。 TLDP 反射器通過在 VPLS 網(wǎng)絡(luò)中設(shè)置 TLDP 反射器，同樣可以解決全網(wǎng)狀VC 的問題，同時(shí)可以提供 VPLS 的跨域方式。為了解決這兩個(gè)問題，路由器提供了層次化VPLS 組網(wǎng)模型和 TLDP 反射器的功能。 層次化 VPLS在 VPLS 模型中，需要在所有參與 VPLS 業(yè)務(wù)的 PE 設(shè)備間建立全網(wǎng)狀的虛擬電路，也就是說一共必須建立 n（n1）/2 條VC，這樣的信令開銷就比較大。此模型的優(yōu)點(diǎn)是：對于 PE，只要根據(jù)它的接口衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 41 頁 共 42 頁可以確定所支持的互操作功能；如它有 ATM 接口，則此接口只需要支持[RFC2684]。異構(gòu)的兩種模型：? ExtendedAC L2VPN Interworking Model － 對于此模型，PW 類型和 AC 是一樣的（AC2oPW） ，IWF 只存在于 PE1 上，PE2 上不需要 IWF，僅僅是對 AC2 來的幀的處理。在網(wǎng)絡(luò)的匯聚核心層利用 MPLS 的 QoS 能力（如利用 TE 技術(shù)完成 VPN 的 QoS 保證）完成 QoS 保證。M P L S大 客 戶個(gè) 人 用 戶Q i n Q 識 別與 終 結(jié)充 分 利 用 小 區(qū)的 D S L A M 資 源3）E1/CP3 接入對于大客戶的 E1 接入，ZXR10 路由器提供大容量 E1 接口，支持信道化/非信道化 E1，支持多個(gè) E1 捆綁，這多個(gè) E1 可以起到負(fù)載均衡的作用；提供 CPOS 接口和傳輸設(shè)備配合，實(shí)現(xiàn)多個(gè) E1到 POS 155 轉(zhuǎn)換。這些大客戶通過 IP DSLAM 接入到匯聚交換機(jī)后，由于該部分用戶不需要進(jìn)行用戶驗(yàn)證，直接接入到業(yè)務(wù)路由器上，進(jìn)行相關(guān)業(yè)務(wù)處理。M P L S用 戶V L A N 終 結(jié)用 戶網(wǎng)吧用戶的 VLAN 接入采用 Super VLAN 技術(shù)接入，可以實(shí)現(xiàn)每用戶對應(yīng)一個(gè) Sub VLAN，通過 EPON 匯聚各個(gè)網(wǎng)吧業(yè)務(wù)后，通過上行的兩個(gè) GE 端口匯聚到路由器。 Super PVC 可以使屬于同一 VPN 用戶的多個(gè) PVC 共用相同的地址網(wǎng)段和網(wǎng)關(guān)；可以提供 Super PVC 內(nèi) PVC 用戶之間的互通；可以提供 PVC 用戶上行、下行速率限制；同時(shí)可以提供 Super PVC衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 37 頁 共 42 頁中 PVC 用戶 IP 地址的綁定。路由器的 L2 VPN 解決方案可以方便的將這些衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 36 頁 共 42 頁客戶接入城域網(wǎng)絡(luò)中。 L2 VPN 作為一種新型多點(diǎn)以太網(wǎng) VPN 技術(shù)有很多應(yīng)用優(yōu)勢。當(dāng)隨著網(wǎng)絡(luò)流量增加時(shí)，通過獨(dú)立設(shè)置 ASBR 來實(shí)現(xiàn)。根據(jù) VRF 的不同設(shè)置，可以實(shí)現(xiàn)MPLS VPN 的接入。 MPLS VPN 接入MPLS VPN 是 IP 網(wǎng)絡(luò)的一個(gè)重要的網(wǎng)絡(luò)業(yè)務(wù)。在 LSP 上的節(jié)點(diǎn)或鏈路出現(xiàn)故障時(shí)，自動迂回或切換到新的 LSP 上，保證網(wǎng)絡(luò)業(yè)務(wù)的不中斷； 4）實(shí)現(xiàn) IP QoS。在 IP 網(wǎng)絡(luò)十分普及的情況下，通過在網(wǎng)絡(luò)設(shè)備直接支持 VPN 實(shí)現(xiàn)。 1）實(shí)現(xiàn)流量工程（TE） ，通過 CRLDP/RSVPTE 協(xié)議，通過對網(wǎng)絡(luò)流量的檢測以及有關(guān)規(guī)則，決定網(wǎng)絡(luò)流量的分流。 MPLS 概述MPLS（多協(xié)議標(biāo)記交換）是 90 年代中后期 ATM 上支持 IP 業(yè)務(wù)以及 IP 交換的一種方法。服務(wù)及故障處理鐵通公司承諾：可為衛(wèi)生系統(tǒng)內(nèi)部局域網(wǎng)絡(luò)的建設(shè)提供技術(shù)支持，為衛(wèi)生系統(tǒng)辦公自動化、視頻會議等系統(tǒng)的建設(shè)提供解決方案，并提供建設(shè)網(wǎng)站、域名申請、虛擬主機(jī)、單位郵箱等業(yè)務(wù)，或在江西鐵通門戶網(wǎng)站提供廣告鏈接等服務(wù)。? 快速定位問題所在，為管理員提供應(yīng)用系統(tǒng)的故障點(diǎn)。? 檢測與管理終端設(shè)備的非法外聯(lián)接入。? 流經(jīng)數(shù)據(jù)的病毒掃描。全省衛(wèi)生系統(tǒng)內(nèi)聯(lián)網(wǎng)的安全構(gòu)建根據(jù)江西省衛(wèi)生廳的安全需求，總結(jié)和整理出當(dāng)前最主要的技術(shù)需求：⊕防火墻系統(tǒng) ⊕入侵防御系統(tǒng)⊕終端管理系統(tǒng)⊕應(yīng)用安全管理系統(tǒng)★ 防火墻系統(tǒng)可以解決的問題：? 將江西省衛(wèi)生廳信息網(wǎng)內(nèi)部與 Inter 網(wǎng)絡(luò)隔離，拒絕非法訪問，惡意攻擊，保護(hù)網(wǎng)絡(luò)邊界的安全。 方案介紹省衛(wèi)生廳及下屬監(jiān)管單位互聯(lián)網(wǎng)業(yè)務(wù)的接入單位內(nèi)聯(lián)網(wǎng)的構(gòu)建要求各節(jié)點(diǎn)必須接入 INTERNET。2 項(xiàng)目目的與步驟一、首先解決省衛(wèi)生廳目前機(jī)關(guān)辦公局域網(wǎng)的建設(shè)并接入互聯(lián)網(wǎng)（可以考慮由鐵通公司提供數(shù)據(jù)交換設(shè)備，來解決目前的部分省衛(wèi)生廳領(lǐng)導(dǎo)上網(wǎng)需求） ，完成省衛(wèi)生廳機(jī)關(guān)辦公急需及省監(jiān)管單位數(shù)衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 28 頁 共 42 頁據(jù)快報(bào)。第四章 江西省衛(wèi)生廳下屬單位專網(wǎng)互聯(lián)解決方案1 項(xiàng)目概述江西省衛(wèi)生廳，為省人民政府直屬正廳級特設(shè)機(jī)構(gòu)。MPLS 草案認(rèn)為在 OSPF 環(huán)境下運(yùn)行 MPLS 更為合適，但在采用 MPLS TE（流量工程）時(shí)，采用擴(kuò)展 SPF 算法，由于 ISIS 保留類型比 OSPF 的多，它可以比 OSPF 定義更多類型的擴(kuò)展參數(shù)。ISIS 支持的最大限制默認(rèn)跳數(shù)為 1024 個(gè)路由器，而 OSPF 只有 200 個(gè)。這樣能明顯地減少路由選擇協(xié)議流量。OSPF 區(qū)域規(guī)劃：OSPF 里最重要的概念之一是存在層次和區(qū)域。所有區(qū)域邊界路由器和位于它們之間的路由器構(gòu)成骨干區(qū)域（Backbone Area） ，該區(qū)域以 標(biāo)識。衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 25 頁 共 42 頁整個(gè)網(wǎng)絡(luò)可看成由多個(gè)自治系統(tǒng) AS（Autonomous System）組成，通過收集和傳遞自治系統(tǒng)鏈路狀態(tài)來動態(tài)地發(fā)現(xiàn)并傳播路由達(dá)到自治系統(tǒng)的信息同步。等值路由——支持到同一目的地址的多條等值路由。OSPF 的主要特性如下：適應(yīng)范圍——支持各種規(guī)模的網(wǎng)絡(luò)，最多可支持幾千臺路由器。ISIS 采用較小的協(xié)議數(shù)據(jù)包承載路由信息，這使得路由信息繁衍速度更快。ISIS 路由協(xié)議標(biāo)準(zhǔn)化好，目前，Tier1 ISP（如 ChinaNet 全國骨干網(wǎng)）大多數(shù)的 IGP 路由協(xié)議均采用 ISIS。當(dāng)前主要的動態(tài)路由協(xié)議有 OSPF、ISIS 、RIP 等 國干層面中國鐵通利用充足的骨干網(wǎng)資源，實(shí)現(xiàn)用戶跨省之間的數(shù)據(jù)互通；并可為集團(tuán)用戶總公司提供專線服務(wù)，將集團(tuán)公司監(jiān)控管理網(wǎng)絡(luò)接入 VPN 中，實(shí)現(xiàn)用戶對所有分支機(jī)構(gòu)的總體監(jiān)控和管理。 省分層面用戶的地市分支機(jī)構(gòu)通過中國鐵通網(wǎng)絡(luò)接入進(jìn)省核心路由器，省核心路由器同樣開啟 VPN，作為 P 設(shè)備。所有設(shè)備對用戶數(shù)據(jù)啟用 MPLS VPN 封裝。江西省衛(wèi)生