【正文】 為保護(hù)客戶在現(xiàn)有設(shè)備上的投資，Cisco提供的技術(shù)升級(jí)計(jì)劃（TMP）可以作為一種非常有用的工具，為新設(shè)備的采購提供信用支持，減輕網(wǎng)絡(luò)升級(jí)的成本。 通過一個(gè)連接到控制臺(tái)/輔助接口的終端或調(diào)制解調(diào)器，可以實(shí)現(xiàn)對(duì)本地帶外管理的支持。每一端口上的嵌入式智能遠(yuǎn)程監(jiān)視（RMON）代理可以提供強(qiáng)大的通信流監(jiān)視和控制功能每端口能夠支持4個(gè)RMON群組，包括統(tǒng)計(jì)群組、歷史群組、事件群組和報(bào)警群組。 強(qiáng)大的管理 Catalyst 6000家族提供了一組全面的管理工具，可以提供所要求的網(wǎng)絡(luò)可視性和控制功能。 在使用了交換機(jī)網(wǎng)絡(luò)的Catalyst 6500系列系統(tǒng)中，可以提供多種級(jí)別的冗余。 傳統(tǒng)的數(shù)據(jù)端口也就是以太網(wǎng)端口也可以支持語音。此外還可以使用資源保留協(xié)議（RSVP）優(yōu)先級(jí)映射，以確保及時(shí)發(fā)送對(duì)時(shí)間敏感的內(nèi)部網(wǎng)應(yīng)用。 表1 Catalyst 6000家族的密度和容量體系結(jié)構(gòu)Catalyst 6000系列Catalyst 6500系列Catalyst 6500系列底板帶寬32Gbps32Gbps256Gbps千兆位以太網(wǎng)端口數(shù)量130194178100FX以太網(wǎng)端口數(shù)量19228826410/100以太網(wǎng)端口數(shù)量38457652810BASEFL端口數(shù)量192288ATM OC12端口數(shù)量812FlexWAN模塊數(shù)量812智能IP服務(wù) Catalyst 6000家族支持與Catalyst 4000和Catalyst 5000系列同樣的軟件體系結(jié)構(gòu)，提供基于Cisco IOS軟件的行業(yè)領(lǐng)先的服務(wù)。 13槽機(jī)箱是是最新加入到機(jī)箱系列之中的成員，非常適宜用于在網(wǎng)絡(luò)的各個(gè)組成部分實(shí)現(xiàn)高性能、高端口密度的快速以太網(wǎng)和千兆位以太網(wǎng)集中，包括訪問層、分發(fā)層、主干層以及服務(wù)器組和數(shù)據(jù)中心環(huán)境。 使用交叉交換網(wǎng)體系結(jié)構(gòu)的Cisco 6500系列可以將自己的交換帶寬提高到256Gbps。作為Cisco內(nèi)容組網(wǎng)體系結(jié)構(gòu)的一個(gè)關(guān)鍵組成部分，Catalyst 6000家族提供了前所未有的商業(yè)靈活性，使企業(yè)能夠快速部署新的Internet應(yīng)用并因而提高自己的收入和降低運(yùn)營成本。先進(jìn)的殺毒引擎確保查殺精確、迅速集中式管理，分布式查殺安全與隱密的協(xié)調(diào)統(tǒng)一 對(duì)登錄的客戶端實(shí)行版本智能查詢核對(duì)，自動(dòng)更新升級(jí)，保證全部節(jié)點(diǎn)版本一致，避免因版本差異導(dǎo)致殺毒能力差異，出現(xiàn)網(wǎng)絡(luò)防毒的薄弱環(huán)節(jié)。 升級(jí)程序下載后，自動(dòng)分發(fā)給局域網(wǎng)內(nèi)的各服務(wù)器與客戶端，全面升級(jí)。遠(yuǎn)程管理可能造成信息泄漏、文件丟失、機(jī)器死機(jī)等不安全因素。防火墻的每一分鐘停止運(yùn)行都意味著收入、機(jī)會(huì)或關(guān)鍵信息的損失。ASA可以跟蹤源和目的地址、傳輸控制協(xié)議（TCP）序列號(hào)、端口號(hào)和每個(gè)數(shù)據(jù)包的附加TCP標(biāo)志。這里配置的防火墻將使計(jì)算機(jī)網(wǎng)絡(luò)網(wǎng)通過廣域網(wǎng)與外部網(wǎng)絡(luò)相連，其安全性將影響到整個(gè)大廈局域網(wǎng)的安全，因此必須遵循以下原則，謹(jǐn)慎選擇：防火墻自身的安全性必須有保證，防火墻必須采用具備安全內(nèi)核的操作系統(tǒng)，必須能夠構(gòu)建安全的網(wǎng)絡(luò)拓?fù)?。信息中心劃分成服?wù)器子網(wǎng)和辦公子網(wǎng)。 安全網(wǎng)絡(luò)拓?fù)錇榱吮ＷC大廈局域網(wǎng)絡(luò)的安全，需要在設(shè)計(jì)安全的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)時(shí)，采用非軍事化區(qū)結(jié)構(gòu)，即通過配置防火墻，劃分出一個(gè)非軍事化區(qū)（DMZ），以隔離內(nèi)部資源和外部資源。防止對(duì)象重引用，并保證系統(tǒng)安全性監(jiān)視器的效力。我們可以利用虛擬網(wǎng)技術(shù)的這些特點(diǎn)將不同的部門或不同的應(yīng)用系統(tǒng)分配于不同的VLAN之中，實(shí)現(xiàn)不同部門或不同應(yīng)用系統(tǒng)的邏輯隔離，通過Cisco Catalyst交換機(jī)上VLAN功能，可分離網(wǎng)絡(luò)系統(tǒng)中不同部門的不同應(yīng)用，保證網(wǎng)絡(luò)管理信息系統(tǒng)的內(nèi)部訪問安全性。交換機(jī)“端口MAC地址限制”是指在交換機(jī)上指定（可以是自動(dòng)學(xué)習(xí)，也可以是手工指定）能訪問該端口的MAC地址，可以是一個(gè)或多個(gè)地址，而在指定的MAC地址范圍之外的網(wǎng)卡就不能通過該端口上網(wǎng)。因此制訂安全管理策略和措施，采用“遠(yuǎn)程控制、集中管理”的方式對(duì)網(wǎng)絡(luò)中的安全設(shè)備和系統(tǒng)進(jìn)行管理，以確保安全策略的一致性。加強(qiáng)對(duì)用戶從網(wǎng)上卸下的軟件進(jìn)行病毒檢查；定時(shí)備份系統(tǒng)，防止系統(tǒng)崩潰。網(wǎng)絡(luò)系統(tǒng)的安全策略強(qiáng)調(diào)重點(diǎn)保護(hù)、規(guī)范管理和提高效率。不管是獨(dú)立配置還是在園區(qū)網(wǎng)內(nèi)，CiscoView 均可用圖像顯示所選設(shè)備，包括已安裝的模塊、配置狀況，同時(shí)提供：設(shè)備及端口狀態(tài)的彩色編碼圖示；Cisco路由器、交換機(jī)及所配置模塊的圖像顯示；設(shè)備端口或接口狀態(tài)及RMON數(shù)據(jù)的實(shí)時(shí)狀態(tài)輪詢；實(shí)現(xiàn)簡易配置或狀態(tài)識(shí)別的可拆卸式配置菜單。軟件版本管理器Software Image Manager 簡化并加速軟件版本的規(guī)劃和采用。CiscoWorks2000LMS包括入下功能模塊：RME(Resource Manager Essentials)－資源管理模塊；CM園區(qū)網(wǎng)管理模塊；CiscoView；網(wǎng)絡(luò)內(nèi)容流的管理；網(wǎng)絡(luò)流量管理；插入式模塊管理。失效管理配合網(wǎng)管軟件的失效管理功能，建立失效檔案管理，提供聯(lián)機(jī)工作手冊(cè)和規(guī)范的失效處理操作程序（包括書面報(bào)告、電話報(bào)告、Email報(bào)告、處理程序、處置意見等的要求）。因此計(jì)算機(jī)網(wǎng)絡(luò)的網(wǎng)絡(luò)管理是網(wǎng)絡(luò)建設(shè)的重要內(nèi)容，是保證計(jì)算機(jī)網(wǎng)絡(luò)正常運(yùn)行的前提。在備份策略上，可以根據(jù)政府辦公系統(tǒng)的特點(diǎn)，設(shè)置好備份策略。如此既可以減輕系統(tǒng)管理者工作量也可以避免人工備份造成的差錯(cuò)性；并行數(shù)據(jù)流：可以在多臺(tái)設(shè)備之間進(jìn)行備份、復(fù)原或數(shù)據(jù)復(fù)制，從而提高系統(tǒng)的性能；本系統(tǒng)建議采用DataWare系統(tǒng)作為備份系統(tǒng)，利用自動(dòng)備份、災(zāi)難恢復(fù)等功能保障中心數(shù)據(jù)庫的穩(wěn)定運(yùn)行。歷史證明磁帶技術(shù)是相當(dāng)穩(wěn)定可靠的。磁盤陣列柜采用RAID5方式，也保證了如果陣列柜中1塊數(shù)據(jù)盤出現(xiàn)問題時(shí)，系統(tǒng)仍可以正常運(yùn)行，在更換出錯(cuò)硬盤時(shí)也不影響系統(tǒng)的運(yùn)行。PROXY通過CACHE技術(shù)，也降低了出口流量，提高了用戶訪問速度。 域名服務(wù)器DNS Server是通信的關(guān)鍵環(huán)節(jié)，不但域名解析速度要快，而且必須支持域名解析的備份。NOC的各工作站連接在交換機(jī)上，NOC交換機(jī)連接到網(wǎng)絡(luò)中心子網(wǎng)交換模塊上。本方案中為朝林公司選配1臺(tái)CISCO的PIX515URBUN防火墻，它所提供的能力可以處理10萬余個(gè)同時(shí)連接，吞吐量高達(dá)170Mbps。利用Cisco路由器的訪問列表（Access List）控制合法用戶對(duì)Internet的訪問。網(wǎng)絡(luò)具體配置如下： 骨干層配置在中心機(jī)房選用1臺(tái)CiscoCat4006S3交換機(jī)作為中心交換設(shè)備。如果使用寬帶IP接入，則應(yīng)該根據(jù)電信提供接入速率，選用不同模塊例如NM1AOC3MM等，則可以實(shí)現(xiàn)高達(dá)155Mbps的接入速率。千兆端口通過光纖與中心交換機(jī)相連，在管理數(shù)據(jù)點(diǎn)比較多的配線間，采用二級(jí)交換機(jī)堆疊卡WSX3500XL堆疊的方式互聯(lián)，以提供足夠多的10/100M端口。它本身自帶2個(gè)10/100M的RJ45標(biāo)準(zhǔn)接口方便用戶連接被保護(hù)的設(shè)備，并且支持DMZ功能。配置遠(yuǎn)程訪問模塊來提供遠(yuǎn)程訪問服務(wù)，滿足用戶今后擴(kuò)展的需求；同時(shí)CISCO 7206還能支持基于Extranet/VPN的遠(yuǎn)程訪問服務(wù)，滿足用戶今后增值服務(wù)的需求。有條件的部門、單位可采用光纖、雙絞線等傳輸介質(zhì)，利用ATM、以太網(wǎng)、快速以太網(wǎng)等局域網(wǎng)技術(shù)就近接入省黨政信息網(wǎng)或具有Internet出口的市地級(jí)城域網(wǎng)，從而獲得較高的接入速度和性能。該方式類似于電話撥號(hào)方式。 專線方式（如DDN、FR等）。（注：冗余設(shè)置亦可選用兩臺(tái)交換機(jī)考慮，本方案中暫以一臺(tái)加選配相應(yīng)冗余模塊實(shí)現(xiàn)）在各樓層配線間（共有19個(gè)樓層配線間）選配Cisco Cat2950G48交換機(jī)作為二級(jí)交換機(jī)。Cisco Catalyst 6000系列為Cisco公司重點(diǎn)推薦的多層交換產(chǎn)品,提供卓越的可擴(kuò)展性和性能價(jià)格比，支持高接口密度、高性能、高可用性等特性。第三，保護(hù)投資，為博達(dá)國際公共服務(wù)大廈的發(fā)展提供充分保障，以便將來有足夠的帶寬為用戶在網(wǎng)上提供多種增值服務(wù)，如多媒體信息服務(wù)、即時(shí)視頻新聞服務(wù)等。最初的以太網(wǎng)規(guī)范由幀格式定義，且支持CSMA/CD協(xié)議、全雙工、千兆以太網(wǎng)將使用所有這些規(guī)范。惠普已經(jīng)用其NetServer系列證明了惠普在質(zhì)量上的優(yōu)秀品質(zhì)，并且還將會(huì)持續(xù)提供有著牢靠的可靠性的方便的解決方案。14) 差錯(cuò)的檢測(cè)與隔離能力，這是網(wǎng)絡(luò)可靠性的重要保證。6) 設(shè)備的技術(shù)性能指標(biāo)。 合理性：網(wǎng)絡(luò)建設(shè)必須考慮技術(shù)與經(jīng)濟(jì)上的合理性，應(yīng)具有較高的性能價(jià)格比。實(shí)用性：計(jì)算機(jī)網(wǎng)絡(luò)建設(shè)強(qiáng)調(diào)網(wǎng)絡(luò)系統(tǒng)與網(wǎng)絡(luò)應(yīng)用并重，先進(jìn)實(shí)用，具有較強(qiáng)的可操作性；易于管理維護(hù)、便于擴(kuò)充發(fā)展。 ITUT國際電聯(lián)聯(lián)盟 – 電信標(biāo)準(zhǔn)委員會(huì)216。 中華人民共和國建設(shè)部《智能建筑設(shè)計(jì)標(biāo)準(zhǔn)》216。可靠性、穩(wěn)定性：計(jì)算機(jī)網(wǎng)絡(luò)作為辦公樓的基礎(chǔ)設(shè)施，穩(wěn)定性和可靠性是網(wǎng)絡(luò)建設(shè)的非常重要的指標(biāo)。網(wǎng)絡(luò)設(shè)備應(yīng)盡量集中存放，以滿足管理及外界條件的要求。3) 公司的經(jīng)濟(jì)、技術(shù)實(shí)力和市場(chǎng)占有率，這一定程度上反映了該設(shè)備的信譽(yù)。11) 是否對(duì)行業(yè)有長期穩(wěn)定的優(yōu)惠政策。Uplink Fast功能是Cisco對(duì)Spanningtree標(biāo)準(zhǔn)的加強(qiáng)，可實(shí)現(xiàn)冗余鏈路的迅速恢復(fù)，恢復(fù)過程只有1秒鐘，達(dá)到只丟一個(gè)ping包的優(yōu)異性能；在交換機(jī)上采用Cisco的MAC地址限制功能實(shí)現(xiàn)網(wǎng)絡(luò)用戶接入的安全保障，不良動(dòng)機(jī)的用戶不能連入網(wǎng)內(nèi)。由此，產(chǎn)生了多種先進(jìn)的網(wǎng)絡(luò)技術(shù)，基本上是按兩種方向發(fā)展，即以“改良”方式出現(xiàn)的，以交換以太網(wǎng)、快速以太網(wǎng)、FDDI和千兆以太網(wǎng)方式為代表；或以“改革”方式徹底改變網(wǎng)絡(luò)方式，如ATM技術(shù)。某些較大規(guī)模的系統(tǒng)目前已發(fā)展到500個(gè)信息點(diǎn)以上，一些大型系統(tǒng)已建成1000信息點(diǎn)的網(wǎng)絡(luò)，這時(shí)，舊時(shí)的百兆網(wǎng)絡(luò)骨干已完全不堪重負(fù)。因此針對(duì)不同網(wǎng)絡(luò)進(jìn)行獨(dú)立布線，均采用二級(jí)星型拓?fù)浣Y(jié)構(gòu)，滿足主干帶寬千兆、桌面接入達(dá)到百兆的要求，這種拓?fù)浣Y(jié)構(gòu)的優(yōu)點(diǎn)在于：網(wǎng)絡(luò)結(jié)構(gòu)更為簡明可靠，將數(shù)據(jù)所流經(jīng)的網(wǎng)絡(luò)環(huán)節(jié)降至最低，提高網(wǎng)絡(luò)的訪問速度和可靠性。本方案中為中心交換機(jī)配置了2個(gè)Cisco WSX6KS2MSFC2引擎，其中1個(gè)作為冗余備份留用。 接入政務(wù)專網(wǎng)與遠(yuǎn)程訪問局域網(wǎng)通過統(tǒng)一的出口接入政務(wù)專網(wǎng)。其一個(gè)關(guān)鍵優(yōu)點(diǎn)是其模塊性。 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)Catalyst 6509Cisco 7206網(wǎng)管工作站應(yīng)用數(shù)據(jù)庫 / Mail / Web服務(wù)器政務(wù)專網(wǎng)FEGECatalyst 2950G12/24/48PIX525URBUNCatalyst 2950G24/48Catalyst 2950G48/12代理/備份服務(wù)器等下級(jí)單位訪問 網(wǎng)絡(luò)安全與管理防火墻是在兩個(gè)網(wǎng)絡(luò)通訊時(shí)執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息。還剩4個(gè)擴(kuò)展插槽使用戶可以方便的進(jìn)行網(wǎng)絡(luò)的擴(kuò)展和升級(jí)。利用Cisco路由器的訪問列表（Access List）控制合法用戶對(duì)Internet的訪問。在中心機(jī)房配置一臺(tái)網(wǎng)管系統(tǒng)，使用CiscoWorks2000LMS網(wǎng)管軟件（詳見后面介紹）；可根據(jù)具體情況選用一臺(tái)網(wǎng)絡(luò)計(jì)費(fèi)系統(tǒng)，推薦使用清華同方網(wǎng)絡(luò)監(jiān)控與計(jì)費(fèi)系統(tǒng)軟件。通過采用二級(jí)交換機(jī)堆疊卡WSX3500XL堆疊的方式互聯(lián)，以提供足夠多的10/100M端口。對(duì)于遠(yuǎn)程用戶和LAN的通訊訪問，則可選用相應(yīng)數(shù)量端口異步串行模塊以滿足撥號(hào)用戶的連接。 網(wǎng)絡(luò)中心建設(shè)計(jì)算機(jī)系統(tǒng)網(wǎng)絡(luò)中心分成NOC、NIC兩個(gè)部分。由于交換機(jī)支持虛擬網(wǎng)（VLAN），NOC網(wǎng)段內(nèi)部通過VLAN能夠?qū)崿F(xiàn)進(jìn)一步的隔離。 Web服務(wù)器超文本信息查詢和Browser/Web Server模式的應(yīng)用服務(wù)，是博達(dá)國際公共服務(wù)大廈計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)提供的主要信息服務(wù)方式?？紤]到北京經(jīng)濟(jì)技術(shù)開發(fā)區(qū)管委會(huì)需要保存和應(yīng)用的數(shù)據(jù)相對(duì)重要，切實(shí)需要完善的數(shù)據(jù)庫備份系統(tǒng)，因此以下備份方案主要適用于東樓網(wǎng)絡(luò)。但可以看到，原來那種簡單的備份方式已經(jīng)不適應(yīng)于網(wǎng)絡(luò)技術(shù)的發(fā)展，新的技術(shù)要求有新的備份設(shè)備。在購買了磁帶機(jī)或安裝操作系統(tǒng)時(shí)，一般都有對(duì)磁帶機(jī)備份的軟件支持。關(guān)系數(shù)據(jù)庫的備份代理，通過Oracle Backup Agent，對(duì)于那些聯(lián)機(jī)數(shù)據(jù)庫和信息系統(tǒng)提供了數(shù)據(jù)庫表一級(jí)的追加式備份。Class from IP address to IP addressA B C 在建設(shè)Intranet時(shí)應(yīng)采用IANA為私用網(wǎng)預(yù)留的IP地址空間，如果內(nèi)部網(wǎng)絡(luò)的非法IP地址與外部主機(jī)的IP地址相同，則在這兩臺(tái)主機(jī)間就無法進(jìn)行通訊，因?yàn)榈刂贩g是在網(wǎng)關(guān)的外部接口中進(jìn)行的，故發(fā)送主機(jī)本身會(huì)直接把數(shù)據(jù)包返回給源主機(jī)，數(shù)據(jù)包根本到達(dá)不了防火墻網(wǎng)關(guān)。所有的網(wǎng)絡(luò)信息和管理數(shù)據(jù)，包括系統(tǒng)配置、失效記錄、安全記錄、性能記錄，使用情況等都保存在數(shù)據(jù)庫中，這些信息和數(shù)據(jù)可以方便地進(jìn)行查詢、統(tǒng)計(jì)、分析和形成報(bào)表。計(jì)費(fèi)管理：采用多種計(jì)費(fèi)方式，包括基于流量、時(shí)間、應(yīng)用等的計(jì)費(fèi)機(jī)制，實(shí)現(xiàn)流量控制及運(yùn)行費(fèi)用管理。設(shè)備配置管理器Device Configuration Manager 進(jìn)行路由器和交換機(jī)配置的及時(shí)歸檔。CM園區(qū)網(wǎng)是一種管理Cisco Catalyst和LightStream交換機(jī)的綜合管理解決方案，它在單個(gè)設(shè)備和整個(gè)網(wǎng)絡(luò)范圍的基礎(chǔ)上提供廣泛的網(wǎng)絡(luò)搜索和顯示、配置、LAN/WAN業(yè)務(wù)及性能管理功能。 網(wǎng)絡(luò)安全性博達(dá)國際公共服務(wù)大廈計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全管理的內(nèi)容包括：符合國家有關(guān)政府上網(wǎng)的保密、安全原則，保護(hù)網(wǎng)絡(luò)資源不受內(nèi)部或外部的惡意攻擊和破壞，保護(hù)網(wǎng)絡(luò)的配置不受非法的修改；阻止反動(dòng)的、黃色的信息在網(wǎng)上流動(dòng)和傳播等等。完善認(rèn)證/授權(quán)的技術(shù)控制手段。據(jù)調(diào)查統(tǒng)計(jì)，已發(fā)生的網(wǎng)絡(luò)安全事件中，70%的攻擊是來自內(nèi)部。但是，如果有非法用戶使用自帶的筆記本電腦連入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)，并使用網(wǎng)絡(luò)系統(tǒng)所給的合法帳號(hào)上網(wǎng)，那么他就能竊取服務(wù)