【正文】 因此，ARP攻擊、地址仿冒、MAC地址攻擊、DHCP攻擊等問題不僅令網(wǎng)絡(luò)中心的老師頭痛不已，也對網(wǎng)絡(luò)的接入安全提出了新的挑戰(zhàn)。Private VLAN解決這個問題的方法之一是在桌面交換機上啟用Private VLAN的功能。216。通省廳核心交換機、地市局核心交換機及地市城域網(wǎng)交換機節(jié)點配置部署交換機入侵防御插卡（Secblade IPS），為整網(wǎng)部分提供以下安全防護：216。面對這些問題，傳統(tǒng)解決方案最大的問題是，防火墻工作在TCP/IP 3～4層上，根本就”看”不到這些威脅的存在，而IDS作為一個旁路設(shè)備，對這些威脅又”看而不阻”，因此我們需要一個全新的安全解決方案。而且所有插卡均支持熱插拔，在進行擴展時無需停機中斷現(xiàn)有的業(yè)務(wù)。u 減少單點故障。隨著網(wǎng)絡(luò)部署的安全設(shè)備的種類和數(shù)量也越來越多，這將導致網(wǎng)絡(luò)中心機房布線、空間、能耗、運維管理等成本越來越高。廣泛的產(chǎn)品支持。高可靠性。智能彈型技術(shù)的這一特性是常見的集群技術(shù)所不具備的，后者僅僅能完成設(shè)備管理上的統(tǒng)一，而集群中的設(shè)備在網(wǎng)絡(luò)中仍然分別作為獨立節(jié)點運行。而這些全新技術(shù)的不成熟，會直接影響產(chǎn)品的性能以至運行的可靠。功能支持與其它產(chǎn)品有差異。將它們進行比較，我們會發(fā)現(xiàn)：盒式設(shè)備成本低廉，但是沒有高可用性支持，缺乏不中斷的業(yè)務(wù)保護，無法應(yīng)用于重要的場合（例如核心層、匯聚層、生產(chǎn)網(wǎng)絡(luò)、數(shù)據(jù)中心等）；在復雜的組網(wǎng)環(huán)境中，盒式設(shè)備擴展性差的缺點表現(xiàn)的非常明顯，用戶不得不維護更多的網(wǎng)絡(luò)設(shè)備，并且為了增加這些設(shè)備還不得不修改早期的組網(wǎng)結(jié)構(gòu)；框式分布式設(shè)備具有高可用性、高性能、高端口密度的優(yōu)點，因此經(jīng)常被應(yīng)用于一些重要場合（例如核心層、匯聚層、數(shù)據(jù)中心等）。在保護消息或拓撲消息報文中包含拓撲信息，這些拓撲信息在環(huán)網(wǎng)上廣播。對于環(huán)上正在傳送的數(shù)據(jù)流量，存在兩種保護方式：繞回(wrap)保護方式和抄近(steering,也有稱為源路由的)保護方式。同時B節(jié)點繼續(xù)向上游A節(jié)點傳送公平算法控制報文。RPR公平算法只適用于對帶寬需要進行爭用的的業(yè)務(wù)，即對EIR業(yè)務(wù)和盡力傳送業(yè)務(wù)起作用。RPR方案對IP話音、IP視頻、流媒體等各種業(yè)務(wù)提供高品質(zhì)的保證，是運營商級別的RPR技術(shù)，適用于各種運營商網(wǎng)絡(luò)、大型教育網(wǎng)/網(wǎng)絡(luò)、大型政務(wù)網(wǎng)以及各種專網(wǎng)。過環(huán)隊列類似城市環(huán)型公路的車道：單隊列即為單車道，所有車輛都在單車道中行進；雙隊列好比雙車道，轎車走快車道，卡車走慢車道。RPR把要上載的流量分為三個等級：級別A、級別B和級別C。在正常情況下，對于同一個數(shù)據(jù)流，各節(jié)點都啟用相同的數(shù)據(jù)通道來進行連接，要么都采用0環(huán)數(shù)據(jù)通道，要么都采用1環(huán)數(shù)據(jù)通道，這樣能夠更好地保證業(yè)務(wù)連貫性。此外，這三個層面都有管理接口與MAC管理層進行配合。其他方式還包括0環(huán)廣播、雙環(huán)循環(huán)廣播等。對于單播、組播、廣播流量，各節(jié)點分別采用這些基本數(shù)據(jù)操作及其組合來予以實現(xiàn)。MAC實體包含一個MAC控制實體和2個MAC業(yè)務(wù)鏈路實體，并稱之為接入點，每個接入點與每個環(huán)路相關(guān)聯(lián)。由于節(jié)點內(nèi)部的背板總線或交換網(wǎng)板需要對所有接口進行統(tǒng)一的處理，因此需要用到大量隊列?？梢赃@樣說，RPR是IP技術(shù)與光網(wǎng)絡(luò)技術(shù)直接融合的產(chǎn)物，它源于客戶對IP業(yè)務(wù)發(fā)展的需求，順應(yīng)最新的技術(shù)潮流，為IP城域網(wǎng)的建設(shè)帶來了一套低成本、高品質(zhì)的解決方案。熱插拔特性：核心網(wǎng)絡(luò)設(shè)備任意單板均支持熱插拔特性，保證系統(tǒng)出現(xiàn)故障需要維護，或系統(tǒng)需要升級擴展時，不需要停機處理，保證網(wǎng)絡(luò)的724小時不間斷運行。相比來說，備份的前景比較好，一方面它的機制簡單，可以使用熱備份特性支持，簡化了實現(xiàn)的難度；另一方面它能夠做到本地備份，不需要與鄰接設(shè)備間的大量路由數(shù)據(jù)的通信，因而可以在關(guān)鍵設(shè)備上獨立支持這個特性。應(yīng)用不間斷路由技術(shù)后，設(shè)備的路由控制器發(fā)生問題后，設(shè)備中的備用控制器自然切換為主用，替代執(zhí)行路由的處理，而這個過程對路由器的轉(zhuǎn)發(fā)平面是透明的，轉(zhuǎn)發(fā)平面可以繼續(xù)轉(zhuǎn)發(fā)報文，做到不中斷轉(zhuǎn)發(fā)。熱備份保證主備系統(tǒng)板之間的數(shù)據(jù)和狀態(tài)始終一致，因而，業(yè)務(wù)板也感覺不到系統(tǒng)板發(fā)生倒換，再加上協(xié)議狀態(tài)的一致，因此可以保證業(yè)務(wù)不會丟失?？赡軙е聵I(yè)務(wù)板的重新啟動，需要花費一定的時間。既要對硬件部件(如電源，主控板、交換網(wǎng)及存儲設(shè)備等)的備份，也需要對數(shù)據(jù)和系統(tǒng)的中間狀態(tài)信息備份。 網(wǎng)絡(luò)關(guān)鍵設(shè)備必須具有電信級可靠性網(wǎng)絡(luò)中的關(guān)鍵設(shè)備，如核心交換機等，應(yīng)該具備電信級可靠性：l %。 設(shè)備整機性能交換容量=3Tbps，包轉(zhuǎn)發(fā)率=1900Mpps； 基于100G平臺，支持未來40GE和100GE以太網(wǎng)標準，滿足未來網(wǎng)絡(luò)發(fā)展需求 設(shè)備能支持引擎、交換網(wǎng)板、電源、風扇等主健部分冗余及主控交換卡、電源、接口模塊等關(guān)鍵部件可熱插拔高可靠特性 具備良好擴展能力：交換網(wǎng)板槽位=4，業(yè)務(wù)槽位=6；可配置多業(yè)務(wù)板卡，如防火墻、入侵防御、流量負載均衡、網(wǎng)絡(luò)流量分析等業(yè)務(wù)板卡，以滿足未來網(wǎng)絡(luò)的發(fā)展需求 支持2臺至4臺內(nèi)的虛擬化架構(gòu)組網(wǎng)，能提供統(tǒng)一的控制平面與轉(zhuǎn)發(fā)平面、跨機柜的鏈路聚合 支持完善的、基于IPv4/IPv6的靜態(tài)路由協(xié)議與動態(tài)路由協(xié)議 設(shè)備成熟穩(wěn)定，產(chǎn)品在工信部登記入網(wǎng)時間2年以上，并在貴州省市場內(nèi)有5份以上用戶使用案例 區(qū)縣局核心交換機選型 區(qū)縣局節(jié)點交換機作為全省公安視頻監(jiān)控系統(tǒng)三級骨干網(wǎng)的末端，主要負責接入本區(qū)縣視頻監(jiān)控資源，實現(xiàn)并區(qū)縣視頻監(jiān)控的管理、調(diào)度，同時需要將重要的視頻監(jiān)控信息向上傳遞至地市局或省廳。隨著節(jié)點數(shù)的增加、視頻源的增多，及網(wǎng)絡(luò)業(yè)務(wù)的擴展。關(guān)鍵部件冗余采用分布式體系下，對設(shè)備的關(guān)鍵部件，如主控管理單元、交換轉(zhuǎn)發(fā)單元等，進行冗余構(gòu)造配置，保證系統(tǒng)在工作中不會全部失效。 設(shè)備高可靠性采用分布式體系結(jié)構(gòu)分布式體系結(jié)構(gòu)是提高可靠性的基礎(chǔ)，與集中式體系設(shè)備相比較，分布式體系設(shè)備除性能可以通過插入更多的接口處理板提高整體性能外，更為關(guān)鍵的是將管理、路由轉(zhuǎn)發(fā)、接口處理等功能分配在不同的部件上，協(xié)同工作，分布式體系可以分散故障風險、隔離故障、提供冗余配置，提高系統(tǒng)的自動恢復能力；如管理部件故障，只需要更換這部分板件，不影響其他功能。我們結(jié)合各大監(jiān)控系統(tǒng)廠商產(chǎn)品標準按以下方法進行帶寬測算：高清監(jiān)控存儲流（iSCSI/TCP）：每路存儲流所占帶寬按4M計算高清監(jiān)控實時監(jiān)控流（UDP）：每路帶寬按8M計算。我們在考慮貴州省公安視頻監(jiān)控系統(tǒng)的流量特征，明白監(jiān)控業(yè)務(wù)對IP承載網(wǎng)的壓力所在，并通過合理的網(wǎng)絡(luò)規(guī)劃、系統(tǒng)設(shè)計來減小網(wǎng)絡(luò)的負載，讓承載網(wǎng)絡(luò)更好的保障其承載的多媒體業(yè)務(wù)正常運行。 設(shè)備部署每個地市域網(wǎng)節(jié)點部署2臺核心交換機。網(wǎng)管平臺能實現(xiàn)對網(wǎng)絡(luò)拓撲管理、設(shè)備配置管理、設(shè)備軟件管理、故障告警管理、性能監(jiān)控管理、網(wǎng)絡(luò)流量分析管理、重要的應(yīng)用服務(wù)（包括操作系統(tǒng)、中間件、數(shù)據(jù)庫、WEB、郵件服務(wù)）進行監(jiān)控，同時能根據(jù)管理員的不同關(guān)注點定制成生豐富的統(tǒng)計報表。要求省廳與地市局核心交換網(wǎng)絡(luò)設(shè)備采用CLOS多級多平面架構(gòu)，交換與控制物理分離，能支持獨立的控制引擎、獨立的交換網(wǎng)板及獨立的業(yè)務(wù)板，能提供持續(xù)的帶寬升級能力。 （4）QOS特性強： 支持嚴格的預(yù)留帶寬，實現(xiàn)專線效果的語音和視頻業(yè)務(wù)服務(wù)質(zhì)量保障；提供公平性算法，保障各節(jié)點合理分配總帶寬。（2）可靠性高可以保證在任何一個鏈路出現(xiàn)故障時，都不會中斷全局通信，因此，網(wǎng)絡(luò)具有很高的可靠性。整個網(wǎng)絡(luò)分為三級結(jié)構(gòu)，省廳223。 網(wǎng)絡(luò)標準與規(guī)范l RFC 1661： The PointtoPoint Protocol (PPP)l RFC 1990： The PPP Multilink Protocol (MP)l RFC 1994： PPP Challenge Handshake Authentication Protocol (CHAP)l RFC791： Internet Protocol. (IP)l RFC792： Internet Control Message Protocol (ICMP)l RFC793： TRANSMISSION CONTROL PROTOCOL (TCP)l RFC768： User Datagram Protocol (UDP)l RFC 826： An Ethernet Address Resolution Protocol (ARP)l RFC2328： OSPF Version 2l RFC1793： Extending OSPF to Support Demand Circuitsl RFC1771： A Border Gateway Protocol 4(BGP4)l RFC1965： Autonomous System Confederations for BGPl RFC1966： BGP Route Reflection l RFC1997： BGP Community Attributel RFC2439： BGP Route Flap Dampingl RFC2138： Remote Authentication Dial In User Service (RADIUS)l RFC2139： RADIUS Accountingl RFC2784： Generic Roouting Encapsulation l RFC2401： Security Architechure for the Internet Protocoll RFC1157： Simple Network Management Protocol (SNMP)l RFC2474： DS Field in the IPv4 and IPv6 Headersl RFC2475： An Architecture for Differentiated Servicel RFC2615： POSl RFC2547： MPLS VPNl IEEE ： 100Base規(guī)范l IEEE ： 1000BaseX(GBIC)規(guī)范l IEEE ： 10G 規(guī)范l IEEE ： Virtual Bridged Local Area Networksl IEEE ： Link Aggregationl IEEE ： RPR 國家安全標準與參考規(guī)范l GB/T183362001l GB/T180191999l GB/T180201999l UL 1950l EN 41003l AS/NZS 3260l AS/NZS 3548 Class Al CSA Class Al FCC Class Al EN 605552l VCCI (Class )l 抗干擾性l IEC 1000 4 2 (ESO )l IEC 1000 4 3 (輻射敏感性)l IEC 1000 4 4 (電快速瞬變)l IEC 1000 4 5 (電源)l IEC 1000 3 2 (諧波)第二章 網(wǎng)絡(luò)方案總體設(shè)計貴州省公安視頻監(jiān)控承載網(wǎng)建設(shè)項目總體設(shè)計包含骨干網(wǎng)設(shè)計、網(wǎng)絡(luò)可靠冗余性設(shè)計、安全設(shè)計、網(wǎng)絡(luò)管理系統(tǒng)設(shè)計、IP地址規(guī)劃設(shè)計、路由規(guī)則設(shè)計、QOS設(shè)計、組播設(shè)計等部分。網(wǎng)絡(luò)系統(tǒng)具有強大的容錯功能以確保各種應(yīng)用的正常運行，在網(wǎng)絡(luò)設(shè)計上采用網(wǎng)絡(luò)級備份或線路及設(shè)備的冗余配置。1）利用設(shè)備、網(wǎng)絡(luò)可靠冗余性設(shè)計，路由協(xié)議、RPR、BFD、GR、快速重路由、虛擬化等協(xié)議冗余性設(shè)計部署，實現(xiàn)網(wǎng)絡(luò)平臺的高可靠性；2）利用設(shè)備自身安全設(shè)置、分層分區(qū)訪問控制，與安全設(shè)備配合實現(xiàn)網(wǎng)絡(luò)平臺的高安全性；3）利用寬帶IP技術(shù)，實現(xiàn)網(wǎng)絡(luò)對數(shù)據(jù)及語音、視頻會議、監(jiān)控等多媒體業(yè)務(wù)的良好支持。該網(wǎng)絡(luò)劃涉及到貴州省廳1個節(jié)點、9個地市局節(jié)點、88 個縣（區(qū)）局點，根據(jù)貴州省公安行政劃分隸屬關(guān)系，網(wǎng)絡(luò)設(shè)置為二級網(wǎng)和三級網(wǎng)兩層架構(gòu)：省廳業(yè)務(wù)單位和市局之間聯(lián)網(wǎng)為二級網(wǎng)；市局業(yè)務(wù)單位和分縣局之間聯(lián)網(wǎng)為三級網(wǎng)。l 成熟和先進性原則：貴州省公安視頻監(jiān)控承載網(wǎng)網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)設(shè)計、系統(tǒng)配置、系統(tǒng)管理方式等方面應(yīng)采用國際上先進的同時又是成熟、實用的技術(shù)。保證建設(shè)完成后的系統(tǒng)在向新的技術(shù)升級時，能保護現(xiàn)有的投資。224。采用層次化星型網(wǎng)絡(luò)拓撲結(jié)構(gòu)建設(shè)貴州省公安視頻監(jiān)控骨干網(wǎng)絡(luò)具有以下特點：（1）符合大網(wǎng)建設(shè)的要求分層的模塊化設(shè)計使得網(wǎng)絡(luò)成長更加方便。（2）帶寬高10G RPR最大單向帶寬20G，比10G以太網(wǎng)互連高一倍， RPR和GE RPR都可以實現(xiàn)兩倍的帶寬。同時，選擇2個節(jié)點的一臺交換機作為RPR環(huán)網(wǎng)上行設(shè)備，通過千兆廣域網(wǎng)鏈路連向地市局核心交換機。其中，省廳向下帶寬建議為2條1000M鏈路，地市向上帶寬建議為2條100M鏈路。同樣要求地市城域節(jié)點核心交換網(wǎng)絡(luò)設(shè)備具有高緩存能力，減少數(shù)據(jù)的擁塞、保證數(shù)據(jù)的順暢轉(zhuǎn)發(fā)； 結(jié)構(gòu)設(shè)計地市城域節(jié)點單位采用高速 RPR環(huán)網(wǎng)組網(wǎng)。 結(jié)構(gòu)設(shè)計地市局到區(qū)縣局三層網(wǎng)絡(luò)同樣采用雙星型架構(gòu)設(shè)計，地市局的2臺核心交換機采用2條1000M廣域網(wǎng)鏈路連接下屬各區(qū)縣局交換機?？紤]其他網(wǎng)絡(luò)服務(wù)水平指標，包括丟包率、抖動、時延、亂序等。因此，地市局建議采用2條100M廣域網(wǎng)鏈路作上行出口，可滿足向省廳上傳25路（200M/8M）攝像頭并發(fā)上墻或50路（200M/4M）實況存儲，當然也可能根據(jù)實際上墻數(shù)量及實況存儲數(shù)量進合理搭配；建議采用2條1000M廣域網(wǎng)鏈路作下行出口，可滿足匯聚各區(qū)縣250路（2000M/8M）攝像頭并發(fā)上墻或500（2000M/4M）路實況存儲，當然也可能根據(jù)實際上墻數(shù)量及實況存儲數(shù)量進合理搭配。此時接口板、交換網(wǎng)板和主控板通常通過中置背板進行互聯(lián)（網(wǎng)板位于背板后部，接口板和主控板位于背板前部）。 網(wǎng)絡(luò)設(shè)備處理性能為實現(xiàn)整網(wǎng)視頻監(jiān)控業(yè)務(wù)的線速轉(zhuǎn)發(fā)，要求組網(wǎng)設(shè)備能提供高速的交換容量與包轉(zhuǎn)發(fā)率從而保證設(shè)備能實現(xiàn)全線速端口轉(zhuǎn)發(fā)。其主要包括以下幾個方面：數(shù)據(jù)傳送層面的安全能力