【正文】 ?????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????29第五章 相關(guān)技術(shù)介紹 ????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????32第一章 前言互聯(lián)網(wǎng)的高速發(fā)展，寬帶的出現(xiàn)，改變了我們的生活和思維的方式。是提供單位實(shí)力、推動(dòng)信息化的一條必經(jīng)之路。中國(guó)鐵通江西分公司，作為中國(guó)鐵通的授權(quán)經(jīng)營(yíng)機(jī)構(gòu)，網(wǎng)絡(luò)覆衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 4 頁 共 42 頁蓋全省主要經(jīng)濟(jì)區(qū)域，開展鐵通公眾電信業(yè)務(wù)及鐵路專用通信業(yè)務(wù)，面向社會(huì)提供本地電話業(yè)務(wù)；長(zhǎng)途電話業(yè)務(wù)；電話、傳真業(yè)務(wù)；互聯(lián)網(wǎng)接入服務(wù)業(yè)務(wù)；互聯(lián)網(wǎng)信息服務(wù)業(yè)務(wù)；無線尋呼業(yè)務(wù)；數(shù)據(jù)通信業(yè)務(wù)；網(wǎng)絡(luò)資源出租業(yè)務(wù)；綜合信息服務(wù)業(yè)務(wù)。 VPN 技術(shù)的提出恰恰解決了上述問題，使單位可以較少地關(guān)注網(wǎng)絡(luò)的運(yùn)行與維護(hù)，而更多地致力于單位的商業(yè)目標(biāo)的實(shí)現(xiàn)， VPN 的組網(wǎng)方式為單位提供了一種低成本的網(wǎng)絡(luò)基礎(chǔ)設(shè)施，并增加了單位網(wǎng)絡(luò)功能，擴(kuò)大了其專用網(wǎng)的范圍。中國(guó)鐵通的信息化快車 IP VPN 業(yè)務(wù)支持動(dòng)態(tài) IP，不限制用戶的接入方式和 ISP，可以利用任何一家 ISP 覆蓋的地區(qū)，價(jià)格低廉，安裝簡(jiǎn)單，維護(hù)簡(jiǎn)便。通過這條隧道將政府、企業(yè)的分支機(jī)構(gòu)和合作伙伴間連接起來，構(gòu)建一個(gè)邏輯上獨(dú)立的私有的安全網(wǎng)絡(luò)。不影響用戶的正常使用使用 VPN 后，由于 VPN 對(duì)用戶是透明的，所以用戶感覺不到加密隧道的存在。它提供所有在網(wǎng)絡(luò)層上的數(shù)據(jù)保護(hù)和透明的安全通信。支持基于分組的控制平臺(tái)、呼叫控制與承載相分離，以及各種上層應(yīng)用。? 支持 NAT 穿越(NATT)，確保城域網(wǎng)內(nèi)采用私網(wǎng) IP 地址時(shí)各用戶節(jié)點(diǎn)的互聯(lián)互通。當(dāng)用戶采用了IPSEC VPN后，無需更改用戶或服務(wù)器系統(tǒng)中的軟件設(shè)置。衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 13 頁 共 42 頁、SSL VPN 介紹SSL 的英文全稱是“Secure Sockets Layer”，中文名為“安全套接層協(xié)議層” ，它是網(wǎng)景（Netscape）公司提出的基于 WEB 應(yīng)用的安全協(xié)議。? 實(shí)現(xiàn)江西省衛(wèi)生系統(tǒng)的管理向無紙化辦公的轉(zhuǎn)變。通過協(xié)同管理系統(tǒng)的實(shí)施應(yīng)用，可以使使用者的辦公效率大大提高，人員溝通實(shí)時(shí)快捷，任務(wù)傳遞高效清晰，可以及時(shí)了解任務(wù)、工作的進(jìn)度。語音業(yè)務(wù)解決方案1）方案一：江西省衛(wèi)生系統(tǒng)辦公電話由鐵通投資敷設(shè)地區(qū)電纜組建虛擬網(wǎng)，虛擬網(wǎng)電話號(hào)碼全部采用公網(wǎng) 7 位編號(hào)（也可采用短衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 18 頁 共 42 頁號(hào)碼） ，虛擬網(wǎng)內(nèi)用戶之間通話免費(fèi)，鐵通公司根據(jù)貴方要求設(shè)置各辦公室電話撥打權(quán)限。 省分層面用戶的地市分支機(jī)構(gòu)通過中國(guó)鐵通網(wǎng)絡(luò)接入進(jìn)省核心路由器，省核心路由器同樣開啟 VPN，作為 P 設(shè)備。當(dāng)前主要的動(dòng)態(tài)路由協(xié)議有 OSPF、ISIS 、RIP 等ISIS 采用較小的協(xié)議數(shù)據(jù)包承載路由信息，這使得路由信息繁衍速度更快。等值路由——支持到同一目的地址的多條等值路由。所有區(qū)域邊界路由器和位于它們之間的路由器構(gòu)成骨干區(qū)域（Backbone Area） ，該區(qū)域以 標(biāo)識(shí)。這樣能明顯地減少路由選擇協(xié)議流量。MPLS 草案認(rèn)為在 OSPF 環(huán)境下運(yùn)行 MPLS 更為合適，但在采用 MPLS TE（流量工程）時(shí)，采用擴(kuò)展 SPF 算法，由于 ISIS 保留類型比 OSPF 的多，它可以比 OSPF 定義更多類型的擴(kuò)展參數(shù)。2 項(xiàng)目目的與步驟一、首先解決省衛(wèi)生廳目前機(jī)關(guān)辦公局域網(wǎng)的建設(shè)并接入互聯(lián)網(wǎng)（可以考慮由鐵通公司提供數(shù)據(jù)交換設(shè)備，來解決目前的部分省衛(wèi)生廳領(lǐng)導(dǎo)上網(wǎng)需求） ，完成省衛(wèi)生廳機(jī)關(guān)辦公急需及省監(jiān)管單位數(shù)衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 28 頁 共 42 頁據(jù)快報(bào)。 方案介紹省衛(wèi)生廳及下屬監(jiān)管單位互聯(lián)網(wǎng)業(yè)務(wù)的接入單位內(nèi)聯(lián)網(wǎng)的構(gòu)建要求各節(jié)點(diǎn)必須接入 INTERNET。? 流經(jīng)數(shù)據(jù)的病毒掃描。? 快速定位問題所在，為管理員提供應(yīng)用系統(tǒng)的故障點(diǎn)。 MPLS 概述MPLS（多協(xié)議標(biāo)記交換）是 90 年代中后期 ATM 上支持 IP 業(yè)務(wù)以及 IP 交換的一種方法。在 IP 網(wǎng)絡(luò)十分普及的情況下，通過在網(wǎng)絡(luò)設(shè)備直接支持 VPN 實(shí)現(xiàn)。 MPLS VPN 接入MPLS VPN 是 IP 網(wǎng)絡(luò)的一個(gè)重要的網(wǎng)絡(luò)業(yè)務(wù)。當(dāng)隨著網(wǎng)絡(luò)流量增加時(shí)，通過獨(dú)立設(shè)置 ASBR 來實(shí)現(xiàn)。路由器的 L2 VPN 解決方案可以方便的將這些衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 36 頁 共 42 頁客戶接入城域網(wǎng)絡(luò)中。M P L S用 戶V L A N 終 結(jié)用 戶網(wǎng)吧用戶的 VLAN 接入采用 Super VLAN 技術(shù)接入，可以實(shí)現(xiàn)每用戶對(duì)應(yīng)一個(gè) Sub VLAN，通過 EPON 匯聚各個(gè)網(wǎng)吧業(yè)務(wù)后，通過上行的兩個(gè) GE 端口匯聚到路由器。M P L S大 客 戶個(gè) 人 用 戶Q i n Q 識(shí) 別與 終 結(jié)充 分 利 用 小 區(qū)的 D S L A M 資 源3）E1/CP3 接入對(duì)于大客戶的 E1 接入，ZXR10 路由器提供大容量 E1 接口，支持信道化/非信道化 E1，支持多個(gè) E1 捆綁，這多個(gè) E1 可以起到負(fù)載均衡的作用；提供 CPOS 接口和傳輸設(shè)備配合，實(shí)現(xiàn)多個(gè) E1到 POS 155 轉(zhuǎn)換。異構(gòu)的兩種模型：? ExtendedAC L2VPN Interworking Model － 對(duì)于此模型，PW 類型和 AC 是一樣的（AC2oPW） ，IWF 只存在于 PE1 上，PE2 上不需要 IWF，僅僅是對(duì) AC2 來的幀的處理。 層次化 VPLS在 VPLS 模型中，需要在所有參與 VPLS 業(yè)務(wù)的 PE 設(shè)備間建立全網(wǎng)狀的虛擬電路，也就是說一共必須建立 n（n1）/2 條VC，這樣的信令開銷就比較大。 TLDP 反射器通過在 VPLS 網(wǎng)絡(luò)中設(shè)置 TLDP 反射器，同樣可以解決全網(wǎng)狀VC 的問題，同時(shí)可以提供 VPLS 的跨域方式。這種層次化的（ MTUPE）VC 的接入方式，只需在有限數(shù)量的 PE 之間建立全網(wǎng)狀的 Hub VC，減少了信令的開銷和復(fù)制的工作量，從而大大地增強(qiáng)了 VPLS 的可擴(kuò)展性。對(duì)于接口或 VC 的配置，僅僅在支持此接口的PE 上。由于 ATM、FR 的廣泛存在，所以在 MPLS 上提供ATM、FR 之間的互通顯得非常必要。與傳統(tǒng)的 QinQ 不同的是，這種 QinQ 接入方式中內(nèi)、外兩層VLAN 組合表示一個(gè)用戶。普通用戶 VLAN 的接入主要是 VALN 用戶使用交換機(jī)接入CE，在路由器上配置子接口終結(jié) VLAN，并將子接口綁定到相應(yīng)的VPLS 實(shí)例中。VPLS 使客戶保持了對(duì)路由的完全控制，簡(jiǎn)化了運(yùn)營(yíng)商的工作，使衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 35 頁 共 42 頁運(yùn)營(yíng)商能夠從降低 L2 VPN 服務(wù)管理的復(fù)雜性中獲益。有關(guān) PE 的客戶接入，可以通過 IP 城域網(wǎng)，或者 FR/ATM/DDN來實(shí)現(xiàn)接入，可以提供豐富的接入方式，以滿足用戶接入的廣泛需求。 5）支持多播功能，對(duì)節(jié)省骨干網(wǎng)絡(luò)的帶寬和視頻廣播業(yè)務(wù)的開展提供支持； 6）支持話音業(yè)務(wù)的開展； 7）MPLS 已經(jīng)被擴(kuò)展，用于光網(wǎng)絡(luò)的控制。VPN 通過公用網(wǎng)絡(luò)實(shí)現(xiàn)一個(gè)單位衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 33 頁 共 42 頁內(nèi)部的網(wǎng)絡(luò)。第五章 相關(guān)技術(shù)介紹? 終端操作系統(tǒng)、病毒系統(tǒng)補(bǔ)丁管理更新。? 強(qiáng)化對(duì)內(nèi)部用戶的訪問控制，對(duì)不同安全級(jí)別的主機(jī)分別配制不同的網(wǎng)絡(luò)權(quán)限。方案一：省衛(wèi)生廳下屬 11 家地市級(jí)機(jī)構(gòu)及省內(nèi) 99 家縣級(jí)監(jiān)管單位全部采用 2M 專線，專線電路的建設(shè)全部由鐵通公司承擔(dān)，鐵通公司提供的專線電路按月收取月租費(fèi)（月租費(fèi)雙方可進(jìn)行商確） ，鄉(xiāng)鎮(zhèn)監(jiān)管單位采用 VPN 接入方案；方案二：前期僅對(duì)省衛(wèi)生廳下屬 11 家地市級(jí)機(jī)構(gòu)采用 2M專線組網(wǎng)，省內(nèi) 99 家縣級(jí)監(jiān)管單位及鄉(xiāng)鎮(zhèn)監(jiān)管單位均采用 VPN 接入方案；方案三：省衛(wèi)生廳下屬 11 家地市級(jí)機(jī)構(gòu)，省內(nèi) 99 家縣級(jí)監(jiān)管單位及鄉(xiāng)鎮(zhèn)監(jiān)管單位均采用 VPN 接入方案；上述組網(wǎng)方案的核心設(shè)備（指 VPN）及傳輸、客戶端 VPN衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 29 頁 共 42 頁接入設(shè)備均由鐵通公司承擔(dān)并負(fù)責(zé)售后服務(wù)。 由于省衛(wèi)生廳與分布全省的下屬 11 個(gè)地市、99 個(gè)縣衛(wèi)生局形成全省衛(wèi)生系統(tǒng)較為分散，傳統(tǒng)的專線接入業(yè)務(wù)或傳統(tǒng) VPN 業(yè)務(wù)無法適應(yīng)上述綜合信息網(wǎng)絡(luò)的技術(shù)需求，中國(guó)鐵通江西分公司信息化快車 IP VPN 業(yè)務(wù)簡(jiǎn)單可靠、安全便捷，適用于該網(wǎng)絡(luò)的搭建。ISIS 采用更小的協(xié)議數(shù)據(jù)包承載路由信息，使得路由信息繁衍速度更快。只有同一區(qū)域里的路由器要有相同的數(shù)據(jù)庫。如果一個(gè)路由器端口被分配到多個(gè)區(qū)域內(nèi)中，這個(gè)路由器就被稱為區(qū)域邊界路由器 ABR（Area Border Router） ，它是指那些處在區(qū)域邊緣的連接多個(gè)區(qū)域的路由器。無自環(huán)——OSPF 根據(jù)收集到的鏈路狀態(tài)用最短路徑樹算法計(jì)算路由，從算法上本身保證了不會(huì)生成自環(huán)路由。OSPF 是單一的 Backbone Area，ISIS 可以有多個(gè) Level2 Area；這可以使骨干擴(kuò)充更為容易。 路由與 VPN 設(shè)計(jì)業(yè)務(wù)匯聚點(diǎn)對(duì)下可采用標(biāo)準(zhǔn)的路由協(xié)議，如 OSPF 或 ISIS，匯聚各分支機(jī)構(gòu)上傳信息。鐵通江西公司能為用戶提供專線服務(wù)，將用戶各級(jí)機(jī)構(gòu)的局域網(wǎng)通過 VPN 網(wǎng)絡(luò)進(jìn)行互連。、 鐵通數(shù)據(jù)承載網(wǎng)絡(luò)路由與 VPN 部署示意衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 21 頁 共 42 頁網(wǎng)絡(luò)設(shè)計(jì)總體上按照“層次化組網(wǎng)、專網(wǎng)級(jí)保護(hù)、區(qū)分化管理”的設(shè)計(jì)思路。衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 17 頁 共 42 頁江西省衛(wèi)生廳視頻會(huì)議拓?fù)鋯挝唤ㄕ?、電子政?wù)/商務(wù)、電子傳真等其它增值服務(wù)基于應(yīng)用 IP VPN 業(yè)務(wù)平臺(tái)的單位用戶，可提供中國(guó)鐵通江西分公司寬帶業(yè)務(wù)所包括的一攬子解決方案，如：省衛(wèi)生廳建站、域名注冊(cè)、域名解析、服務(wù)器托管、虛擬主機(jī)、單位郵箱、廣告鏈接等，為業(yè)主提供更豐富的內(nèi)容應(yīng)用服務(wù)及形象包裝宣傳服務(wù)。實(shí)現(xiàn)管理規(guī)范化，流程制度化。協(xié)同管理系統(tǒng)的總體目標(biāo)是：以先進(jìn)的計(jì)算機(jī)和通信技術(shù)為主要手段，以實(shí)現(xiàn)政府單位關(guān)鍵辦公應(yīng)用為導(dǎo)向，搭建一個(gè)覆蓋全單位的自動(dòng)化辦公信息平臺(tái)。線路備份和分流：在MPLS 覆蓋的節(jié)點(diǎn)如果有一條上網(wǎng)線路提供客戶上網(wǎng)，那么可以通過IPSec VPN多功能網(wǎng)關(guān)代理客戶上網(wǎng)的同時(shí)，與相應(yīng)的節(jié)點(diǎn)組建VPN隧道，可以實(shí)現(xiàn)對(duì) MPLS VPN鏈路的備份，同時(shí)，針對(duì)不同的應(yīng)用可以考慮采用IPSEC VPN進(jìn)行數(shù)據(jù)的分流，保證