【正文】 維護(hù)，便于擴(kuò)充，故障容易隔離。196。166。227。202。在這個(gè)方案中，骨干層提供省中心到各地市中心之間的數(shù)據(jù)遠(yuǎn)程傳送服務(wù)；支干層提供各地市下屬的各個(gè)部門以及以后將建立的營業(yè)廳與地市中心之間的網(wǎng)絡(luò)連接策略及服務(wù)；訪問層則為本地或遠(yuǎn)程計(jì)算機(jī)用戶（組）提供上網(wǎng)連接服務(wù)接口，多為局域的連接。? 使用集中的路由功能實(shí)現(xiàn)虛擬網(wǎng)之間的數(shù)據(jù)交換這種網(wǎng)絡(luò)中存在著許多的虛擬網(wǎng)，虛擬網(wǎng)之間的數(shù)據(jù)通信通過某臺功能較強(qiáng)的路由器或第三層交換功能來實(shí)現(xiàn)。5. 能夠配合跨主干虛擬網(wǎng)技術(shù)。這種網(wǎng)絡(luò)的優(yōu)點(diǎn)是：1. 具有集中式路由網(wǎng)絡(luò)的大部分優(yōu)點(diǎn)；2. 整個(gè)網(wǎng)絡(luò)中沒有瓶頸；3. 整個(gè)網(wǎng)絡(luò)具有很強(qiáng)的擴(kuò)充能力，網(wǎng)絡(luò)的性能不會因?yàn)榫W(wǎng)絡(luò)上主機(jī)的增多而下降；4. 支持廣域上網(wǎng)絡(luò)資源的備份和數(shù)據(jù)分流。云南網(wǎng)通運(yùn)營支撐中心網(wǎng)絡(luò)構(gòu)架如下圖所示。從上圖中，在運(yùn)營支撐中心是以兩臺高性能的千兆局域網(wǎng)交換機(jī)為核心構(gòu)架的，這種方法是很節(jié)約而且高效的。局域關(guān)鍵設(shè)備，如服務(wù)器，都與兩臺交換機(jī)實(shí)現(xiàn)冗余配置。虛擬網(wǎng)之間的路由通過其本身的路由功能實(shí)現(xiàn)。與外單位的連接也采用了防火墻技術(shù)，接口服務(wù)器就放置在DMZ中。. 與合作單位的網(wǎng)絡(luò)接口由于采用集中的模式，所以如話費(fèi)代收及銀行、郵儲、公安之類的接口都可在中心完成，由于這些連接相對而言安全性要弱，所以要采用如防火墻等安全機(jī)制保證網(wǎng)絡(luò)的互相獨(dú)立性。此部分設(shè)計(jì)基于我們以往工程經(jīng)驗(yàn)，作為建議，謹(jǐn)作參考。16 / 46運(yùn) 營 支 撐 中 心交交交交交Catalyst 406…服 務(wù) 器 族Catalyst 406Cisco 362Cisco 362PIX 525PIX 525省 會 本 地Catalyst 406Catalyst 406Cisco 260營 業(yè) 廳重 慶中 國 網(wǎng) 通 云 南 通 信 公 司 運(yùn) 營 支 撐 系 統(tǒng) 廣 域 網(wǎng) 絡(luò) 拓 樸 圖DCN中 心100MCatalyst 2950Cisco 260營 業(yè) 廳Catalyst 2950DNDN17 / 46從結(jié)構(gòu)上看，此廣域網(wǎng)是一個(gè)星形網(wǎng)絡(luò)拓樸結(jié)構(gòu)，它以省運(yùn)營支撐中心作為云南省通信公司業(yè)務(wù)運(yùn)營支撐系統(tǒng)的中心，接入到DCN中心的交換機(jī)上，各營業(yè)廳利用廣域網(wǎng)絡(luò)通過一條或兩條DDN專線連接到運(yùn)營支撐中心，這種結(jié)構(gòu)從總體上符合目前網(wǎng)絡(luò)上的數(shù)據(jù)流向──從各營業(yè)廳到運(yùn)營支撐中心或相反方向，數(shù)據(jù)傳輸路徑得到優(yōu)化。各營業(yè)廳分別配置一臺Cisco 2600系列路由器。. 與其它系統(tǒng)連接我們在設(shè)計(jì)中計(jì)劃將運(yùn)營支撐中心置于云南網(wǎng)通，那么就與其它系統(tǒng)處于一幢樓內(nèi)甚至同一個(gè)機(jī)房，可以通過樓內(nèi)的布線利用交換機(jī)的端口將運(yùn)營支撐中心其它系統(tǒng)連接起來。南京聯(lián)創(chuàng)幾年來在全國承接了多個(gè)大型網(wǎng)絡(luò)，在網(wǎng)絡(luò)規(guī)劃方面積累了豐富的經(jīng)驗(yàn)。根據(jù)我們以往在如DCN這樣的大型計(jì)算機(jī)網(wǎng)絡(luò)的建設(shè)中積累的經(jīng)驗(yàn)，建議采用OSPF協(xié)議作為廣域路由協(xié)議。這種劃分與行政區(qū)劃保持一致，便于理解和管理。解決問題的方法是采用標(biāo)準(zhǔn)的VRRP 或CISCO 的HSRP協(xié)議。下面我們稱基于IP協(xié)議的網(wǎng)絡(luò)層編址為IP 地址或網(wǎng)間網(wǎng)地址，在不引起二義性的情況下簡稱為網(wǎng)絡(luò)地址或地址。? 唯一性在同一個(gè)互聯(lián)網(wǎng)絡(luò)內(nèi)網(wǎng)絡(luò)地址應(yīng)該保持其唯一性? 簡單性地址的分配應(yīng)該簡單易管理，避免在主干上采用復(fù)雜的掩碼方式。所以，地址合理分配將使得系統(tǒng)建設(shè)運(yùn)行更加富有效率，反之，如果地址分配不夠完備，則會在系統(tǒng)建設(shè)中遇上很多的麻煩，甚至影響到系統(tǒng)的正常運(yùn)行。. 網(wǎng)絡(luò)時(shí)間的同步網(wǎng)絡(luò)時(shí)間的同步分成兩個(gè)層次，一是在數(shù)據(jù)鏈路層，一是在網(wǎng)絡(luò)層。采用 DDN 傳輸時(shí)，由于要使用模擬專線，通過 MODEM，因此時(shí)鐘同步由 MODEM 通過 接口提供。目前，已經(jīng)出現(xiàn)的隊(duì)列管理機(jī)制有：PPD(PartialPacketDiscard)、EPD(EarlyPacketDiscard)、RED(RandomEarlyDiscard)、FRED(FlowRED)、RIO(REDwithInandOut)、 BLUE等算法。BLUE算法是IBM公司的研究人員最近才提出的另一種較新的隊(duì)列管理機(jī)制，與其他算法不同的是：BLUE算法以 “分組丟失率” 和“ 鏈路有效利用率”作為判別擁塞是否發(fā)生的標(biāo)準(zhǔn)，而之前的算法都是以路由器中的“平均分組長度” 作為擁塞是否發(fā)生的判別標(biāo)準(zhǔn)。目前已出現(xiàn)的隊(duì)列調(diào)度算法主要有：基于循環(huán)調(diào)度的算法、基于GPS(GeneralizedProcessorSharing)的算法兩大類?；诩s束的路由(ConstrainedBasedRouting)基于約束的路由(CBR)源自QoSRouting ，只是對QoS 的限制參數(shù)進(jìn)行了一定的擴(kuò)充。CBR 的有效實(shí)現(xiàn)還有待進(jìn)一步的研究。業(yè)務(wù)量工程的目的就在于：如何有效地引導(dǎo)業(yè)務(wù)流通過網(wǎng)絡(luò)以便消除由于業(yè)務(wù)量不均勻分布而造成的網(wǎng)絡(luò)擁塞。. 網(wǎng)絡(luò)安全問題概述在我們所設(shè)計(jì)的系統(tǒng)中，涉及了三種安全控制，即：網(wǎng)絡(luò)安全性、處理機(jī)安全性和用戶安全性。識別：如何識別進(jìn)入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的用戶是不是合法的呢？因此系統(tǒng)要有身份識別的功能。惡意程序的攻擊：除了上述用戶之間通信中的信息安全問題之外，網(wǎng)絡(luò)本身也容易遭受到一些惡意程序（rogue program）的攻擊，如puter virus, puter worm, Trojan horse, logic bomb 等。要驗(yàn)證這些假設(shè)的可靠程度。當(dāng)網(wǎng)絡(luò)所有者的領(lǐng)導(dǎo)層作出變動時(shí)，應(yīng)盡快地更換口令。由于網(wǎng)絡(luò)是一個(gè)非常復(fù)雜的系統(tǒng)，其訪問控制機(jī)制比操作系統(tǒng)的訪問控制更為復(fù)雜，尤其是在高安全性級別的多級安全性（multilevel security）的情況之下更是如此。通過防火墻，我們可以給不同的用戶提供26 / 46有區(qū)別的訪問權(quán)限，我們也可以把網(wǎng)絡(luò)中的些重要資源保護(hù)起來而開放其它所有的資源。194。206。206。 (NAS) 214。247。194。198。203。202。201。212。167。237。205。222。186。182。187。201。186。207。208。168。其次是安全性的功能受到限制，因?yàn)槁酚善骱蛽芴栐L問服務(wù)器畢竟不是專門為安全性設(shè)計(jì)的設(shè)備，上面也不可能有安全性功能很強(qiáng)的軟件。240。168。173。248。195。254。247。194。198。203。202。201。182。206。211。TACS+ 208。177。181。200。206。在這種情況下，往往需要有一臺專門用于保證安全性的服務(wù)器，連接在這個(gè)網(wǎng)絡(luò)的所有用戶，不管它需要以什么樣的方式訪問網(wǎng)絡(luò)設(shè)備，都必須通過服務(wù)器的安全性監(jiān)測。當(dāng)網(wǎng)絡(luò)的管理者覺得需要對數(shù)據(jù)庫的數(shù)據(jù)作修改時(shí)，可以隨時(shí)進(jìn)行，而且這種修改的過程很簡單。1. 對網(wǎng)絡(luò)通信數(shù)據(jù)進(jìn)行監(jiān)測，當(dāng)某些 TCP 和 UDP 包的 socket 與設(shè)定值一樣時(shí)，禁止傳送該數(shù)據(jù)包。7. 與非信任型網(wǎng)絡(luò)連接，比如公眾信息網(wǎng)、外連網(wǎng)等，采用防火墻隔離。10. 采用 IDS 實(shí)時(shí)監(jiān)控，防止非法和惡意侵入。29 / 46. 拔號的安全在有些地方我們可能要用到拔號，也提到了拔號在安全上的隱患，所以我們考慮采用回拔和訪問控制來解決這個(gè)問題。對于拔號用戶，可以分為兩類，一是營業(yè)廳，二是代理點(diǎn)。安全沒有絕對的，但根據(jù)我公司多年的實(shí)踐經(jīng)驗(yàn)，我們認(rèn)為這些方法的實(shí)施后，網(wǎng)絡(luò)系統(tǒng)的安全是基本上可以保證的。. 聯(lián)創(chuàng)對網(wǎng)絡(luò)管理的理解和建議 進(jìn)入 90 年代， “網(wǎng)絡(luò)就是計(jì)算機(jī)”已不再是一個(gè)計(jì)算機(jī)技術(shù)發(fā)展的口號，而是成為活生生的現(xiàn)實(shí)。各行各業(yè)要想與信息時(shí)代的步伐合拍，也實(shí)實(shí)在在離不開計(jì)算機(jī)網(wǎng)絡(luò)。網(wǎng)絡(luò)管理技術(shù)也成為業(yè)界各大專業(yè)公司重點(diǎn)發(fā)展的關(guān)鍵技術(shù)之一。那么，有效地應(yīng)用網(wǎng)絡(luò)的保障是什么？回答很簡單：“現(xiàn)代管理” 。對于具有一定規(guī)模的企業(yè)網(wǎng)絡(luò)而言，它已是企業(yè)的神經(jīng)系統(tǒng)。這主要基于如下幾點(diǎn)考慮：1. 分布式客戶/服務(wù)器結(jié)構(gòu)已為廣大用戶普遍采用。3. 可以減少對企業(yè)網(wǎng)絡(luò)中遠(yuǎn)程節(jié)點(diǎn)的訪問次數(shù)，即將管理工作授權(quán)給一個(gè)或多個(gè)本地的網(wǎng)管工作站，通過它們?nèi)ザ〞r(shí)輪詢本地的網(wǎng)絡(luò)設(shè)備。同時(shí)，也是該軟件對用戶投資保護(hù)能力的一種體現(xiàn)。即容許多個(gè)網(wǎng)絡(luò)系統(tǒng)操作員能方便地從客戶端獲取多個(gè)服務(wù)器的信息，其中包括不同邏輯域的管理服務(wù)器。這是其智能化水平高低最重要的標(biāo)志。智能化監(jiān)視功能的強(qiáng)大與否，與其所采用的技術(shù)直接相關(guān)。如：對不同的用戶或用戶群設(shè)置不同的訪問級別，用戶只能訪問網(wǎng)絡(luò)管理者為其設(shè)定的那一部分網(wǎng)絡(luò)資源。? 多協(xié)議支持當(dāng)今不同企業(yè)的網(wǎng)絡(luò)包括了多種多樣的網(wǎng)絡(luò)設(shè)備，而且它們運(yùn)行不同標(biāo)準(zhǔn)和不同性質(zhì)的管理協(xié)議。? 與第三方網(wǎng)絡(luò)管理軟件以及其它管理系統(tǒng)的連接能力由于種種原因，用戶可能需要使用不同廠家的網(wǎng)絡(luò)管理軟件或是其它的管理系統(tǒng)（包括數(shù)據(jù)庫系統(tǒng)） 。其圖形用戶界面的設(shè)計(jì)應(yīng)趨于人性化；可以允許用戶方便地剪裁自己的應(yīng)用環(huán)境，以及創(chuàng)建、修改和刪除被管理的節(jié)點(diǎn)上的模型；對各種圖表和不同層次的視窗有一整套的簡便管理手段等等。隨著技術(shù)的發(fā)展，計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的管理越來越相互滲透與融合。從長遠(yuǎn)的觀點(diǎn)看問題，凡具有一定規(guī)模的網(wǎng)絡(luò)投資，均應(yīng)將網(wǎng)絡(luò)管理軟件擺在重要的地位給予考慮。35 / 466. 設(shè)備選型. 設(shè)備選型說明設(shè)備配置應(yīng)基于當(dāng)前的需求，并留有一定的富裕量，同時(shí)應(yīng)考慮今后逐步向多業(yè)務(wù)平臺的遷移。另外，主板上的 2 個(gè)高級集成模塊（AIM）插槽能夠支持更強(qiáng)的處理能力。 Cisco 3660 系列產(chǎn)品模塊化機(jī)箱的設(shè)計(jì)充分考慮到了高可用性和可服務(wù)性，使其成為網(wǎng)絡(luò)中一個(gè)非常堅(jiān)實(shí)又高效經(jīng)濟(jì)的單元，關(guān)鍵任務(wù)應(yīng)用可以放心地配置在這樣的網(wǎng)絡(luò)中。后部接入分布線使連接更為容易，模塊化設(shè)計(jì)使現(xiàn)場可更換單元（FRU）的維修更加方便。安裝使用 Cisco 3660 的客戶馬上可以擁有 Cisco IOS 的豐富功能，它支持大量的應(yīng)用程序，可以滿足37 / 46客戶日益增長的業(yè)務(wù)需要。此外，同類網(wǎng)絡(luò)模塊（NM）的熱交換和電源供應(yīng)使高可用性環(huán)境的正常工作時(shí)間更長。 ? 保護(hù)投資－－Cisco 3660 系列產(chǎn)品可以與 Cisco 1600，1700，2600 和 3600系列平臺共享模塊接口，這樣簡化了對網(wǎng)絡(luò)支持的要求，促進(jìn)了規(guī)模經(jīng)濟(jì)，最大程度地降低了培訓(xùn)成本，為滿足現(xiàn)在和將來小型、中型和大型分支機(jī)構(gòu)的需要提供了用戶特定的各種選項(xiàng)。Catalyst 4000 系列提供第二層的多千兆位交換體系結(jié)構(gòu)支持 10/100/1000M 的交換。模塊化機(jī)架Catalyst 4000 系列以太網(wǎng)交換機(jī)提供了廣泛的從 10/100M 到千兆位的端口密度，它提供了：一個(gè)六槽的模塊化機(jī)架，其中一個(gè)槽口用于管理引擎，另外五個(gè)槽口用于交換模塊。Catalyst4006 最大支持一個(gè)管理模塊和五個(gè)交換模塊，支持從配線室（240個(gè) 10/100M 以太口）到數(shù)據(jù)中心服務(wù)器陣列（36 個(gè)千兆位服務(wù)器連接） 。冗余能力為了保證可靠性，容錯(cuò)的網(wǎng)絡(luò)運(yùn)作，Catalyst 4000 支持冗余負(fù)載均衡的電源供應(yīng)。Catalyst4000 系列用來滿足客戶從一定帶寬到多千兆性能（采用GEC，每個(gè) GEC 邏輯鏈路可達(dá) 8Gbps）的需求。一個(gè)熱交換的風(fēng)扇槽口單一 IP 地址管理端口，電源和鏈路冗余。新的高性能體系結(jié)構(gòu)滿足現(xiàn)在和未來的發(fā)展96 個(gè) 10/100M 以太端口或 36 個(gè)千兆位端口集于一個(gè)管理單元，吞吐量可以達(dá)到 18Mpps，交換背板帶寬為 24Gbps。 ? 降低擁有成本－－通過將內(nèi)置數(shù)據(jù)服務(wù)設(shè)備/信道服務(wù)設(shè)備（ CSU/DSU） 、綜合業(yè)務(wù)數(shù)字網(wǎng)（ISDN）終端（NT1）設(shè)備、以及分支機(jī)構(gòu)布線室內(nèi)其它設(shè)備的功能集成在一起，Cisco 3660 系列產(chǎn)品提供了一個(gè)節(jié)省空間和成本的解決方案，并且該解決方案還可以使用 Cisco Works 和 Cisco View 這樣的網(wǎng)絡(luò)管理軟件進(jìn)行遠(yuǎn)程管理。單一平臺上用程序的集合通過簡化分支機(jī)構(gòu)網(wǎng)絡(luò)環(huán)境的配置、備份、支持、管理，提高了系統(tǒng)運(yùn)營效率，降低了網(wǎng)絡(luò)成本。Cisco 3660 系列產(chǎn)品增加了 70％以上的處理能力，并且在很多配置中，在更加緊湊的機(jī)箱中，配置密度比 Cisco 3640提高了一倍。上述這些應(yīng)用程序早已被用于管理現(xiàn)有網(wǎng)絡(luò)系統(tǒng)中安裝的大量 Cisco 產(chǎn)品，因此，這為網(wǎng)絡(luò)技術(shù)支持人員提供了較為熟悉的網(wǎng)絡(luò)管理環(huán)境。 Cisco 3660 系列產(chǎn)品可按照一些不同的配置訂購。 Cisco 3660 系列產(chǎn)品到目前為止已有 70 多個(gè)不同的接口可供使用，為客戶36 / 46特定應(yīng)用提供了大量的配置選項(xiàng)，從而具備了空前的通用性、無可匹敵的性能和廣泛的靈活性。Cisco 3600 的通用性保證了它遠(yuǎn)全滿足目前分支機(jī)構(gòu)和企業(yè)對數(shù)據(jù)、話音、視頻和混合撥號訪問應(yīng)用的需求，為多服務(wù)應(yīng)用不斷增長的帶寬需求提供了必要的高速連接。 成功的系統(tǒng)管理必須廠商、集成商、用戶一起，進(jìn)行客戶化的工作。價(jià)格是每個(gè)用戶都十分重視的問題，任何時(shí)候用戶均應(yīng)在有保障的技術(shù)服務(wù)的前提下，拿到產(chǎn)品合理的優(yōu)惠價(jià)格。網(wǎng)絡(luò)管理軟件必須備有簡單、無需編程的開發(fā)工具。當(dāng)網(wǎng)絡(luò)存在成千個(gè)不同模型之間的連接時(shí)，網(wǎng)絡(luò)的拓?fù)鋱D形會變得十分復(fù)雜以致人們難以理解。? 支持開放系統(tǒng)和流行操作系統(tǒng)的能力網(wǎng)絡(luò)管理軟件是否具有生命力，其中非常重要的一點(diǎn)就是要看它是否支持開放系統(tǒng)（如 Unix 操作系統(tǒng)）和流行操作系統(tǒng)（如 Windows NT） 。在設(shè)置合理的情況下，可以建立網(wǎng)絡(luò)的多級安全保護(hù)體系。33 / 46對于網(wǎng)絡(luò)管理人員而言，根據(jù)實(shí)際需要通過網(wǎng)絡(luò)管理軟件靈活地實(shí)現(xiàn)自己的管理策略，這是網(wǎng)絡(luò)系統(tǒng)安全可靠地運(yùn)行的重要保障。? 自動分析并報(bào)告網(wǎng)絡(luò)事件成因的能力當(dāng)網(wǎng)絡(luò)出現(xiàn)問題時(shí)，網(wǎng)絡(luò)管理軟件應(yīng)能自動對事件狀態(tài)信息進(jìn)行分析并得出事件的成因，從而精確定位出錯(cuò)設(shè)備，抑制不必要的偽警報(bào)。? 應(yīng)具有了解網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)絡(luò)設(shè)備之間相互關(guān)系的能力現(xiàn)在，網(wǎng)絡(luò)管理軟件已經(jīng)普遍向用戶提供自動發(fā)現(xiàn)