【正文】 方式及其技術(shù)特點 國家教育部網(wǎng)絡(luò)系統(tǒng)是整個教育網(wǎng)絡(luò)體系的中心，它通過 DDN 專線與各個州教育系統(tǒng)連接，完成日常的工作信息交換。因此，通信線路必須有備份線路，用以保護數(shù)據(jù)及重要業(yè)務(wù)，保證業(yè)務(wù)能連續(xù)、正常地運轉(zhuǎn)。分組交換可以實現(xiàn)不同類型、不同速率和不同規(guī)程計算機之間的聯(lián)網(wǎng)通信，進行信息檢索、資源共享。 DDN作為數(shù)據(jù)通信的支撐網(wǎng)絡(luò)，其主要作用是為用戶提供高速、優(yōu)質(zhì)的數(shù)據(jù)傳輸通道，為用戶網(wǎng)絡(luò)的互連提供橋梁。對于同步接口，規(guī)程特性中最重要的是時鐘線，時鐘線指的是11 114 和 115 電路。具體地說，它建立在現(xiàn)有公共交換電話網(wǎng)（ PSTN）基礎(chǔ)之上，網(wǎng)絡(luò)改造費用低 ； 大大提高了現(xiàn)有電話線路的通信帶寬 ,通信建立時間短，可靠性高 ； 基本速率（ 2B+D 144Kbps）和基群速率 (30B+D 2Mbps)提供的帶寬可用于主干網(wǎng)傳輸，并可實現(xiàn)按需分配帶寬，有效利用資源，降低通信費用。即使是如今時髦的多媒體會議電視， ISDN 同樣可以最大限度給以滿足。而采用 ISDN 方式，由于用戶線路實現(xiàn)了數(shù)字化，因而傳輸質(zhì)量自然得到很大提高。在 2B＋ D 模式中，用戶可以在一條電話線上（一個用戶號碼）實現(xiàn)兩路不同方式的同時傳輸。它的一條 B 信道速率就可達到 64Kbps，其接入速率至少是普通 PSTN＋ 45Kbps 速率（必須是 56K Modem 開足馬力）所能達到的 倍。從測試來看，正常情況下使用一個 B 信道 Data Download（數(shù)據(jù)下載）速率為 6K/s 左右，如果兩個信道合并使用可以達到 12K14K，這還只是平均下載速度。由于使用 ISDN 網(wǎng)作為 DDN 的備份線路，在原有網(wǎng)絡(luò)的基礎(chǔ)上，最大限度地利用了用戶原有的資源，節(jié)省了投入資金，同時緩解了主用線路的壓力。 目前，進行熱備冗余設(shè)計和調(diào)試是使用 HSRP 熱備路由協(xié)議。 通過在設(shè)置了 HSRP 協(xié)議的路由器之間廣播 HSRP 優(yōu)先級， HSRP 協(xié)議選出當(dāng)前的主動路由器。 配置了 HSRP 協(xié)議的路由器交換以下三種多點廣播消息： Hello──hello 消息通知其他路由器，發(fā)送路由器的 HSRP 優(yōu)先級和狀態(tài)信息， HSRP 路由器默認為每 3秒鐘發(fā)送一個 hello 消息； Coup── 當(dāng)一個備用路由器變?yōu)橐粋€主動路由器時發(fā)送一個 coup消息； Resign── 當(dāng)主動路由器要宕機或者 當(dāng)有優(yōu)先級更高的路由器發(fā)送hello 消息時，主動路由器發(fā)送一個 resign 消息。因此，在進行網(wǎng)絡(luò)規(guī)劃時，我們需要全盤考慮網(wǎng)絡(luò) 11 安全的問題，同時依據(jù)這個網(wǎng)絡(luò)的特點進行相關(guān)的網(wǎng)絡(luò)安全設(shè)計。 授權(quán) —— 提供了進行遠程訪問控制的方法，包括一次性身份驗證或針對每種服務(wù)的身份驗證；用戶帳戶列表和配置文件；用戶組支持；對 IP 、 IPX、 ARA和 Tel 的支持。 TACACS+—— 一種安全應(yīng)用程序，通過 AAA 來實現(xiàn)，對用戶試圖訪問路由器或網(wǎng)絡(luò)訪問服務(wù)器的舉動進行集中驗證。出于安全和統(tǒng)計的用途， TACACS 對用戶行為進行口令檢查、身份認證和通知。 Kerberos 基于這樣一種概念，即由可信的第三方對用戶和服務(wù)實施安全驗證。 （ 3）數(shù)據(jù)流過濾 我們通過訪問控制列表來實現(xiàn)數(shù)據(jù)流過濾。路由器檢查每一個分組，并根據(jù)訪問列表指定的準則來確定轉(zhuǎn)發(fā)還是丟棄該分組。應(yīng)該在防火墻和路由器上使用訪問列表，防火墻通常 位于內(nèi)部網(wǎng)與外部網(wǎng)之間，也可以在網(wǎng)絡(luò)兩部分之間的路由器上使用訪問列表，以便控制進入或流出內(nèi)部網(wǎng)絡(luò)特定部分的數(shù)據(jù)流。 （ 4）網(wǎng)絡(luò)數(shù)據(jù)加密 在不可靠的網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)無法防范任何攻擊。 13 建立加密會話期間，參與會話的兩個對等路由器都將試圖驗證對方的身份。從安全網(wǎng)絡(luò)端進入對等路由器的明文信息被加密，并通過不可靠的 網(wǎng)絡(luò)進行轉(zhuǎn)發(fā)。 DSS 用于對等路由器身份驗證。其中主要包括保護對特權(quán) EXEC 命令的訪問；加密口令；配置多重權(quán)限級別；恢復(fù)丟失的有效口令；恢復(fù)丟失的線路口令；配置標識支持。能夠支持在目前大多數(shù)硬件產(chǎn)品上使用，對于通用的硬件如網(wǎng)卡、光纖通道卡、 SCSI 卡和 RAID 卡之類也都有內(nèi)置的品牌庫可供識別。一般來說，標準網(wǎng)絡(luò)版本可支持 25 用戶同時使用，如果需要支持更多用戶使用，只需在原有標準版本的基礎(chǔ)上購買增加用戶的 Licence 即可。 下面簡單介紹一下三種數(shù)據(jù)庫各自的功能特點： （ 1） Informix 數(shù)據(jù)庫 informix 關(guān)系數(shù)據(jù)庫系統(tǒng)是美國 informix Software ，具有很好的兼容性和可移植性，可聯(lián)接性好，功能強大，便于維護，安全性好等特點，經(jīng)過幾十年的發(fā)展，已成為功能最齊全、最受歡迎的關(guān)系數(shù)據(jù)庫管理系統(tǒng)之一。 數(shù)據(jù)庫服務(wù)器有兩種，作用都是提供數(shù)據(jù)操作和管理： SE：完全基于 UNIX 操作系統(tǒng)，主要針對非多媒體的較少用戶數(shù)的應(yīng)用 ONLINE：針對大量用戶的聯(lián)機事務(wù)處理和多媒體應(yīng)用環(huán)境 應(yīng)用開發(fā)工具是用以開發(fā)應(yīng)用程序必要的環(huán)境和工具，主要也有兩個系列： 4GL： INFORMIX 傳統(tǒng)的基于字符界面的開發(fā)工具，該系列的主要產(chǎn)品有五個，他們是 ISQL、 4GL RDS、 4GL C COMPILER、 4GL ID和 ESQL/C。每個虛擬處理器，屬于專門處理某一任務(wù)的虛擬處理器組。允許對內(nèi)存、 CPU和磁盤進行配置， 可以指定缺省的共享內(nèi)存大小，及需要時必須增加的大??；也可以在運行時分配或收回共享內(nèi)存。 （ 2） Oracle 數(shù)據(jù)庫 ORACLE 是以高級結(jié)構(gòu)化查詢語言 (SQL)為基礎(chǔ)的大型關(guān)系數(shù)據(jù)庫，通俗地講它是用方便邏輯管理的語言操縱大量有規(guī)律數(shù)據(jù)的集合。 分布式數(shù)據(jù)庫管理 —— 物理上存放于網(wǎng)絡(luò)的多個 ORACLE 數(shù)據(jù)庫，邏輯上可以看成一個單個的大數(shù)據(jù) 庫。數(shù)據(jù)庫復(fù)制技術(shù)包括：實時復(fù)制、定時復(fù)制、儲存轉(zhuǎn)發(fā)復(fù)制。主要分為系統(tǒng)表空間和非系統(tǒng) 表空間。這減少了 ORACLE的資源占用，并增強了 ORACLE 的能力，使之在低檔軟硬件平臺上用較少的資源就可以支持更多的用戶，而在高檔平臺上可以支持成百上千個用戶。 提供了與第三代高級語言的接口軟件 PRO*系列，能在 C,C++等主語言中嵌入SQL 語句及過程化 (PL/SQL)語句，對數(shù)據(jù)庫中的 數(shù)據(jù)進行操縱。 （ 3） Sybase 數(shù)據(jù)庫 Sybase 開放體系的企業(yè)基礎(chǔ)架構(gòu)軟件問世已有十九年。 使用 Adaptive Server Anywhere 為各級部門建設(shè)信息化系統(tǒng) —— 數(shù)據(jù)庫是信息系統(tǒng)的核心。 MobiLink—— 多平臺同步：在遠程設(shè)備和企業(yè)系統(tǒng)之間 (包括 Adaptive Server Anywhere、 Sybase Adaptive Server Enterprise、 Oracle、 Microsoft SQL Server、 IBM DB2)可靠的、雙向的同步 。支持水平和垂直的數(shù)據(jù)子集。 如果兩個部門分別使用 Sybase ASE、 Oracle、 DB2 或 SQL Server 建立了自己的信息系統(tǒng)，而這兩個系統(tǒng)之間需要進行數(shù)據(jù)交換。對于本次國家教育系統(tǒng)網(wǎng)絡(luò)建設(shè)，我們考慮在國家教育部的信息中心使用在線式電 18 力支持，這種方式能持續(xù)的為整個信息中心提供恒定電壓和穩(wěn)定電流，最大限度的保證了設(shè)備的使用壽命。主要體現(xiàn)在硬件選型、通信線路、網(wǎng)絡(luò)應(yīng)用方面。隨用隨買，充分保護了我們的投資延續(xù)性和使用靈活性。相應(yīng)的，選擇某種通信線路就在當(dāng)?shù)厥褂玫穆酚善魃线x配某種模塊即可。 其他方面，硬件設(shè)備的電池冗余，風(fēng)扇冗余，網(wǎng)絡(luò)存儲的數(shù)據(jù)數(shù)據(jù)備份等都體現(xiàn)了良好的可擴 展性。 在防火墻的設(shè)計方面，同樣采用了 Failover 的技術(shù)，同時，將服務(wù)器群設(shè)置在 防火墻的防火區(qū)，將服務(wù)器群和數(shù)據(jù)庫作為一個單獨的區(qū)域。我們建議使用支持三層路由功能的交換機。主要功能如下： Mail 服務(wù)器 —— 完成國家教育部內(nèi)網(wǎng) Email 功能，為實現(xiàn)無紙化辦公打下堅實的基礎(chǔ)。 磁盤陣列 —— 整個國家教育網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)存儲設(shè)備，需要提供較大的存儲容量，并能支持各種存儲方式，數(shù)據(jù)寫入磁盤的同時進行備份。 三、網(wǎng)絡(luò)設(shè)備特點 路由器 教育部信息中心路由器需要連接 14條 DDN 專線和 14 條 ISDN 線路，我們建議采用港灣 NetHammer G708 骨干路由器 。 NetHammer G708 骨干路由器是新型 NP 結(jié)構(gòu)的骨干路由器，在設(shè)計上作了多項優(yōu)化以提高處理能力和對新業(yè)務(wù)的適應(yīng)能力，具備業(yè)界卓越的處理性能和處理指數(shù)級增長的混合業(yè)務(wù)的高效能力。 NetHammerG708 骨干路由器 NAT功能提供應(yīng)用層協(xié)議標識和處理，支持 VoIP、 Netmeeting 等業(yè)務(wù)的透傳。全網(wǎng) QoS 策略智能配置； Email、手機短信等多種告警方式；分級分權(quán)管理。除了提供強大的多級過濾功能外， DCFW1800 還具備時間段控制訪問、應(yīng)用代理、地址轉(zhuǎn)換、地址映射、 MAC 地址綁定、入侵檢測、完整的日志審計、雙機熱備份、流量控制、帶寬管理等完備 的功能，真正的透明接入方式可以在不更改現(xiàn)有網(wǎng)絡(luò)配置的情況下安裝或卸載防火墻，并可使防火墻免遭黑客攻擊；支持與第三方 IDS 產(chǎn)品互動，可以有效防止各種網(wǎng)絡(luò)攻擊行為。其中工作在第二、三層之間的動態(tài)包過濾對于應(yīng)用程序是完全透明的，能夠使防火墻高效率地工作；應(yīng)用程序內(nèi)容過濾則可對 23 HTTP、 SMTP、 FTP 等應(yīng)用進行細致地限制，使防火墻具備更高的安全性。透明接入使得網(wǎng)管人員可以在不更改現(xiàn)有網(wǎng)絡(luò)配置的情況下安裝或卸載防火墻，而且客戶端也不需要做任何額外設(shè)置，即可直接使用代理服務(wù)，從而給網(wǎng)絡(luò)的使用和維護帶來極大的方便。另外，合法 IP 地址非常緊張，任何企業(yè)網(wǎng)都不可能為每位用戶提供單獨的合法 IP地址， NAT 使得內(nèi)部網(wǎng)用戶可以共享一個合法 IP 地址接入互聯(lián)網(wǎng)，達到節(jié)省 IP地址的目的。 DCFW1800 可以防止 PingofDeath、 Win nuke、 Tear drop 、 Syn flooding 等多種常見的DOS（ Denial of Service）攻擊。 雙機熱備 —— DCFW1800 防火墻支持雙機熱備功能，即在網(wǎng)絡(luò)中部署兩臺防火墻，當(dāng)其中一臺不能正常工作時，另一臺防火墻可以檢測到，并立即接替原防火墻的工作，確保對網(wǎng)絡(luò) 實施不間斷的保護。 Hammer 系列產(chǎn)品均采用港灣網(wǎng)絡(luò)的 HammerOS 網(wǎng)絡(luò)操作系。 智能多層交換 —— 基于硬件 ASIC 的三層交換技術(shù)大大提升了網(wǎng)絡(luò)路由數(shù)據(jù)包的轉(zhuǎn)發(fā)能力，保證應(yīng)用層服務(wù)質(zhì)量 ；支持第四層交換功能，可對應(yīng)用流進行區(qū)分、檢測、管理和控制。并可透傳 PPPoE 信息，保證原有認證方式業(yè)務(wù)的開展；支持基于端口、MAC 地址的 VLAN 劃分；可通過 VLANIPMAC 的捆綁精確識別合法業(yè)務(wù)終端；支持服務(wù)等級 /服務(wù)質(zhì)量 /多層業(yè)務(wù)流分類；提供 2/3/4 層 的訪問列表控制策略，達到用戶業(yè)務(wù)的隔離；支持 SuperVLAN，提高合法 IP地址和 VLAN ID利用率。在工作中的協(xié)調(diào)和配合不再依靠單一的電話、文件和會議的方式，通過電子郵件，在世界的任何一個角落，只要你與 Inter 相連，你就可以和你的公司，你的同事取的溝通；你可以隨時隨地得到你想了解的數(shù)據(jù)、合同、業(yè)務(wù)進展和會談結(jié)果；你可以通過 Mail 制定你的工作計劃、商務(wù)行程、會議安排、批閱文件和下達指令。 27 在這次國家教育系統(tǒng)網(wǎng)絡(luò)建設(shè)中，由于我們的服務(wù)器和工作站的操 作系統(tǒng)大都采用微軟公司的產(chǎn)品，因此我們建議使用微軟公司的網(wǎng)絡(luò)郵件系統(tǒng) Exchange 20xx Server 系統(tǒng)。 Exchange 20xx Server 能夠 與 Microsoft Windows 20xx 操作系統(tǒng)無縫集成 ，并提供一個全面的文件處理方式。 Windows 20xx 安全 —— 與 Windows 20xx 安全的集成意味著 Windows 20xx和 Exchange 20xx 將共用同一安全模型。 Web 應(yīng)用的平臺 —— Exchange 20xx 現(xiàn)在可容留網(wǎng)站和工作流應(yīng)用，因而可提供更高性能的 Web 應(yīng)用。 會議的多客戶端支持 —— Exchange 20xx 支持 Microsoft NetMeeting及各種平臺上的 客戶端，包括 Unix 和 Macintosh 平臺。 NP350 適用于各行業(yè)的中等規(guī)模網(wǎng)絡(luò)應(yīng)用，可作為 File/Print、 Email、 WEB、中小型數(shù)據(jù)庫應(yīng)用服務(wù)器等，是企業(yè)信息化建設(shè)、電子政務(wù)、教育信息化等方面應(yīng)用的最佳選擇。 目前國際上以有很多成熟的網(wǎng)絡(luò)防病毒系統(tǒng)，如 Mcafee、 Symantec、 CA 等都是目前占據(jù)市場分額相對較大的產(chǎn)品，且都有成熟的英文版本。 Symantec防病毒技術(shù)可以用來檢測并防護所有主要文件類型 （ 包括移動代碼和壓縮文件格式）中的病毒、蠕蟲和特洛伊木馬。所有工作站和網(wǎng)絡(luò)服務(wù)器設(shè)置都可以鎖定，使用戶無法對其進行更改。 30 通過賽門鐵克系統(tǒng)中心 （ Symantec System Center） 管理控制臺，可以為多平臺的工作站和網(wǎng) 絡(luò)服務(wù)器集中部署病毒定義和產(chǎn)品更新，從而降低了在企業(yè)內(nèi)部署更新的成本。安裝過程能夠智能地預(yù)測可能遇到的問題，從而極大地減少了安裝失敗的可能性及其可能導(dǎo)致的網(wǎng)絡(luò)問題。 在服務(wù)器的硬件方面，我們建議采用浪潮 英信 NP350 服