【正文】 MPLS上傳輸?shù)膶?zhuān)用數(shù)據(jù)的傳輸效率。它提供所有在網(wǎng)絡(luò)層上的數(shù)據(jù)保護(hù)和透明的安全通信 。? 支持動(dòng)態(tài) IP 地址和網(wǎng)狀的網(wǎng)絡(luò)連接，發(fā)展用戶不受城域網(wǎng)建網(wǎng)模式的限制。本網(wǎng)或他網(wǎng)的 ADSL/寬頻用戶，在鐵通注冊(cè) IP VPN 業(yè)務(wù)后，通過(guò)鐵通發(fā)放的私有 License，可以建立內(nèi)部安全的基于 IPSec 標(biāo)準(zhǔn)的 VPN 隧道，通過(guò)數(shù)據(jù)交換實(shí)現(xiàn)內(nèi)部 OA 軟件、內(nèi)部數(shù)據(jù)軟件系統(tǒng)、視頻會(huì)議等各行業(yè)的多種用途。它兼?zhèn)淞斯娋W(wǎng)的便捷和專(zhuān)用網(wǎng)的安全，是介于公眾網(wǎng)與專(zhuān)用網(wǎng)之間的一種網(wǎng)。十分靈活的管理方式由于虛擬專(zhuān)用網(wǎng)在公網(wǎng)建立的虛擬的連接，所以用戶可以靈活的控制與其它方建立和刪除 VPN 隧道。并有 IAB 和 IEFT標(biāo)準(zhǔn)化組織定義了一系列標(biāo)準(zhǔn)文檔（RFC24xx 系列文檔） 。以衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 6 頁(yè) 共 42 頁(yè)上解決方案，用戶投入都十分巨大，需要購(gòu)入大量的網(wǎng)絡(luò)設(shè)備，同時(shí)交納昂貴的租金。于是單位對(duì)于自身的網(wǎng)絡(luò)建設(shè)提出了更高的需求，主要表現(xiàn)在網(wǎng)絡(luò)的靈活性、安全性、經(jīng)濟(jì)性、擴(kuò)展性等方面。在中國(guó)，百年鐵路、百年通信，鐵路通信網(wǎng)與國(guó)家公眾通信網(wǎng)一直是相互獨(dú)立又相互聯(lián)系地平行發(fā)展，同是國(guó)家通信網(wǎng)的組成部分，支持著國(guó)民經(jīng)濟(jì)的發(fā)展。衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 3 頁(yè) 共 42 頁(yè) 如何提高單位的核心競(jìng)爭(zhēng)力？加強(qiáng)管理？網(wǎng)絡(luò)建設(shè)？推進(jìn)單位信息化？開(kāi)發(fā)協(xié)同辦公(OA)系統(tǒng)？完善供應(yīng)鏈系統(tǒng)？ ……所有這些應(yīng)用，都離不開(kāi)一個(gè)基本條件，就是內(nèi)部 Intra 的建設(shè)和管理。越來(lái)越多的單位都習(xí)慣使用 Inter 和客戶、合作伙伴溝通。第二章 中國(guó)鐵通集團(tuán)有限公司及江西分公司簡(jiǎn)介中國(guó)鐵通作為國(guó)內(nèi)一個(gè)新的全國(guó)性公眾電信運(yùn)營(yíng)商，目前總資產(chǎn) 523 億元。全視通業(yè)務(wù)；智能電話業(yè)務(wù)等多種電信綜合服務(wù)業(yè)務(wù)。但是傳統(tǒng) VPN 業(yè)務(wù)使單位及下屬單位、商業(yè)合作伙伴的接入太過(guò)于依賴(lài)同一個(gè)網(wǎng)絡(luò)運(yùn)營(yíng)商，不同廠家的網(wǎng)絡(luò)設(shè)備間兼容性不強(qiáng)，且需要固定 IP 地址，配置較為復(fù)雜，仍然需要專(zhuān)業(yè)網(wǎng)絡(luò)維護(hù)人員，對(duì)于外地出差的單位職員會(huì)造成不便。 IP VPN 業(yè)務(wù)介紹隨著現(xiàn)代經(jīng)濟(jì)和網(wǎng)絡(luò)的高速發(fā)展，政府、企業(yè)的網(wǎng)絡(luò)化和信息化建設(shè)已成為一條機(jī)構(gòu)發(fā)展的必由之路。對(duì)于使用者來(lái)說(shuō)數(shù)據(jù)的加密都衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 7 頁(yè) 共 42 頁(yè)是透明的，用戶感覺(jué)不到有什么不同。廣泛的通用性目前，比較廣泛采用的 VPN 技術(shù)包括IPSEC、PPTP 、L2TP、MPLS VPN 等。IPSec 協(xié)議可以設(shè)置成在兩種模式下運(yùn)行：一種是隧道模式，一種是傳輸模式。(2).采用專(zhuān)用的 IPSec VPN 客戶接入網(wǎng)關(guān)設(shè)備，管理方便、價(jià)格低廉，便于對(duì)中小型單位和價(jià)格敏感型用戶的普及和推廣。(4).公專(zhuān)網(wǎng)兼顧通過(guò)用戶終端可自由設(shè)置用戶訪問(wèn)權(quán)限，根據(jù)客戶具體需求既可以?xún)H能訪問(wèn)單位內(nèi)部專(zhuān)網(wǎng)，也可以同時(shí)開(kāi)通 INTERNET 公眾信息網(wǎng)的訪問(wèn)。例如：應(yīng)用程序這樣的上層軟件不會(huì)受到影響，IPSEC對(duì)終端用戶來(lái)說(shuō)是透明的，因此不必對(duì)用戶進(jìn)行安全機(jī)制的培訓(xùn)。SSL 協(xié)議指定了一種在應(yīng)用程序協(xié)議（如Http、Tele、NMTP 和 FTP 等）和 TCP/IP 協(xié)議之間提供數(shù)據(jù)安全性分層的機(jī)制，它為 TCP/IP 連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)證、消息完整性以及可選的客戶機(jī)認(rèn)證、具體實(shí)施方案 升級(jí)需要 SSL 接入節(jié)點(diǎn)的 IPsec VPN 設(shè)備，使其具有 SSL VPN 接入功能； 客戶端使用 IBC Key 進(jìn)行身份認(rèn)證和 SSL 連接； 在終端上開(kāi)啟 IE 瀏覽器直接連接使用、SSL VPN 方案特點(diǎn)A、 SSL 用戶登錄采用 IBC 密碼體系（商密 9：具體信息參看衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 14 頁(yè) 共 42 頁(yè)IBC 體系說(shuō)明）進(jìn)行數(shù)字簽名和身份認(rèn)證；B、 采用 IPsec SSL 二合一功能設(shè)備，無(wú)需更新設(shè)備；C、適合 PDA 和智能手機(jī)操作系統(tǒng)，終端更靈活；SSL 接入證書(shū)機(jī)制，防止釣魚(yú)程序，進(jìn)一步保證接入安全性；IBC 認(rèn)證流程： IP VPN 業(yè)務(wù)應(yīng)用協(xié)同辦公(OA)系統(tǒng)應(yīng)用作為衛(wèi)生系統(tǒng)信息化的重要組成部分，協(xié)同辦公(OA)系統(tǒng)一直都是必須的一項(xiàng)業(yè)務(wù)。通過(guò)協(xié)同管理系統(tǒng)為省衛(wèi)生系統(tǒng)內(nèi)部的信息傳遞建立聯(lián)系，便于省衛(wèi)生系統(tǒng)內(nèi)部協(xié)同工作。節(jié)約公司在衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 16 頁(yè) 共 42 頁(yè)日常辦公中的紙張、消耗品、通訊等費(fèi)用，達(dá)到開(kāi)源節(jié)支，增產(chǎn)增效的目的。月租費(fèi)按鐵通資費(fèi)標(biāo)準(zhǔn)收取，鐵通收取的辦公電話月租費(fèi)按照雙方商洽比例，以資產(chǎn)代維代管和補(bǔ)償?shù)姆绞椒颠€衛(wèi)生系統(tǒng)。 地市層面鐵通江西分公司在全省范圍內(nèi)有充足的光路、傳輸資源，并可通過(guò)鐵通各地市公司的大客戶業(yè)務(wù)匯聚點(diǎn)設(shè)備，將各遠(yuǎn)程接入點(diǎn)的衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 22 頁(yè) 共 42 頁(yè)數(shù)據(jù)信息進(jìn)行一級(jí)匯聚。用戶在省轄區(qū)內(nèi)的各分支機(jī)構(gòu)，可以通過(guò) VPN 的劃分實(shí)現(xiàn)安全隔離和互通管理。 ISIS（中間系統(tǒng)中間系統(tǒng)路由協(xié)議）ISIS 也是基于鏈路狀態(tài)計(jì)算的最短路徑路由協(xié)議、采用同一種最短路徑算法 (Dijkstra )。路由分級(jí)——使用四類(lèi)不同等級(jí)的路由，按優(yōu)先順序來(lái)說(shuō)分別是：區(qū)域內(nèi)路由、區(qū)域間路由、第一類(lèi)外部路由、第二類(lèi)外部路由。由于所有區(qū)域都必須在邏輯上與骨干區(qū)域保持連接，特別引入了虛連接的概念，使那些物理上分割的區(qū)域仍可保持邏輯上的連通性。經(jīng)過(guò)上述比較，并結(jié)合 XX 單位網(wǎng)絡(luò)的實(shí)際情況，該網(wǎng)絡(luò)網(wǎng)關(guān)路由協(xié)議建議采用 OSPF 結(jié)合靜態(tài)策略路由的方式。由鐵通公司出資建設(shè)省衛(wèi)生廳辦公專(zhuān)用電話虛擬網(wǎng)（在條件允許的情況下采用地區(qū)電纜解決，也可利用鐵通軟交換技術(shù) NGN解決） ，長(zhǎng)途呼叫實(shí)現(xiàn) 元/每分鐘，免月租費(fèi)，為降低省衛(wèi)生廳辦公通信費(fèi)用支出成本，并享受鐵通大客戶待遇。中國(guó)鐵通公眾數(shù)據(jù)網(wǎng)能夠覆蓋絕大多數(shù)省衛(wèi)生廳監(jiān)管單位，根據(jù)單位需求及業(yè)務(wù)應(yīng)用，以最優(yōu)惠的價(jià)格，為監(jiān)管單位提供FTTX、LAN 、ADSL 、2M 專(zhuān)線等接入業(yè)務(wù)，提供 512K—100M 不等的接入帶寬?！? 終端管理系統(tǒng)可以解決的問(wèn)題：? 查看終端用戶賬號(hào)及權(quán)限，檢測(cè)終端安裝的軟件。? 為整個(gè)業(yè)務(wù)環(huán)境提供統(tǒng)一的視圖，及針對(duì)該視圖的實(shí)時(shí)可見(jiàn)性，同時(shí)分析被監(jiān)控對(duì)象在不同時(shí)間段內(nèi)的變化趨勢(shì)，提供有效和可操控的報(bào)表和圖表，助于投資決定和趨勢(shì)分析。MPLS 技術(shù)經(jīng)過(guò)多年的發(fā)展，已經(jīng)成為最為重要的網(wǎng)絡(luò)技術(shù)之一。MPLS 由于 LSP 的封裝性，可以實(shí)現(xiàn)專(zhuān)線特性。從目前應(yīng)用情況和技術(shù)的發(fā)展看，分 L3 VPN 和 L2 VPN。對(duì)有關(guān) L2 VPN，路由器支持 VPLS 和 VPWS 應(yīng)用。P O SM P L SE t h e r n e tA T ME 1A T ME t h e r n e t大 客 戶I PD S L A MA T MD S L A MA T M 交換機(jī)大客戶大客戶1）PVC 接入用 戶 1用 戶 2用 戶 3核 心 網(wǎng)P V CV L A N用 戶 1用 戶 2用 戶 3M P L SS u b p v cV F I 與 S u p e r p v c綁 定現(xiàn)在城域網(wǎng)中有一些用戶（如政務(wù)網(wǎng)用戶）通過(guò) PVC 的方式接入到邊緣路由器上，在邊緣路由器上作為二層 VPN 用戶進(jìn)行互通，并在匯聚路由器上共用一個(gè)網(wǎng)段和網(wǎng)關(guān)作為三層 VPN 用戶與其他三層 VPN 用戶進(jìn)行通信。網(wǎng) 吧 1網(wǎng) 吧 2網(wǎng) 吧 3核 心 網(wǎng)用 P V L A N 將 各 端 口 分 離并 根 據(jù) 資 費(fèi) 進(jìn) 行 端 口 限 速網(wǎng) 吧 1網(wǎng) 吧 2M P L SS u b v l a nS u p e r v l a nE P O N限 速地 址 綁 定網(wǎng) 吧 3采用這種接入方式的優(yōu)點(diǎn)主要有：1）負(fù)荷分擔(dān)：通過(guò)在路由器上啟用的 SmartGroup 功能捆綁 EPON衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 38 頁(yè) 共 42 頁(yè)上行的兩個(gè) GE 鏈路，完成線路的冗余備份，以及鏈路的負(fù)荷分擔(dān)； 2）避免地址浪費(fèi)：路由器上對(duì)屬于同一 Super VLAN 的 Sub VLAN分配相同的網(wǎng)段和網(wǎng)關(guān)；3）三層 VPN 接入：在路由器上完成 Super VLAN 到三層 VPN 的接入；4）用戶隔離：對(duì)應(yīng)于每個(gè)網(wǎng)吧的每個(gè) Sub VLAN，利用 Sub VLAN的隔離功能，完成用戶之間的隔離，提供與原網(wǎng)絡(luò)中 PVLAN 相同的隔離效果；5）用戶限速：通過(guò)在路由器啟用 CAR，完成對(duì) Super VLAN 內(nèi)各個(gè)VLAN 用戶上行、下行速率的限制；6）用戶綁定：通過(guò)路由器啟用 Super VLAN 用戶 IP 地址的綁定功能，這里可以根據(jù)網(wǎng)吧的地址需求，配置每個(gè)用戶 VLAN 綁定一個(gè)或多個(gè)地址；7）其他安全功能：根據(jù)需要，可以在路由器上啟用 Super VLAN 接口上的 ACL 等安全功能。E 1 * N大 客 戶 1E 1 * N C P 3M P L SM S T P大 客 戶 2 L2 VPN 網(wǎng)絡(luò)的 QoS 保證對(duì)于接入 VPLS 的業(yè)務(wù)，對(duì)于 的數(shù)據(jù)包采用 到MPLS EXP 的映射。對(duì)于ATMFR，我們使用此模型，因?yàn)?ATMFR 需要完全的ServiceInterworking，同時(shí) 又定義了此功能。而且在學(xué)習(xí) MAC 地址階段和轉(zhuǎn)發(fā)組播或廣播包時(shí)，流量必須被復(fù)制 N1 份，發(fā)向其余的 PE。在 draftztepwe3controlprotocolext 中，利用 LDP 反射器組建 VPWS 網(wǎng)絡(luò)的網(wǎng)絡(luò)模型以解決網(wǎng)絡(luò)的伸縮性問(wèn)題。SiSiSiBACKBONE NETWORKCE1 PE1 PE2 CE2CE3PE3MTUs/(PEr)SiCE11層次化 VPLS 技術(shù)在基本的 VPLS 模型的基礎(chǔ)上增加了一個(gè)MTU（MultiTenant Unit ）層，所謂 MTU 是指運(yùn)營(yíng)商放置在寫(xiě)字樓、商業(yè)區(qū)等企業(yè)用戶聚集地的小型邊緣設(shè)備，MTU 負(fù)責(zé)接入企業(yè)客戶，并將需要使用 VPLS 業(yè)務(wù)的用戶通過(guò)虛擬電路匯聚到 PE 上，這種MTU 和 PE 之間的虛擬電路被稱(chēng)為 Spoke VC，而 PE 之間的虛擬電衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 42 頁(yè) 共 42 頁(yè)路被稱(chēng)為 Hub VC。對(duì)于 PE，只需要支持一種公共的PW 就可以了。 L2 VPN 網(wǎng)絡(luò)的可擴(kuò)展性部署L2 VPN 的三種基本的拓?fù)浣Y(jié)構(gòu)如下：衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 40 頁(yè) 共 42 頁(yè)? Full mesh? Hub and spoke? Partial mesh 異構(gòu)實(shí)現(xiàn)考慮到現(xiàn)有點(diǎn)對(duì)點(diǎn)專(zhuān)線業(yè)務(wù)目前還有很大的市場(chǎng)分額，需要在MPLS/IP 核心傳輸網(wǎng)絡(luò)中提供對(duì)這些傳統(tǒng)業(yè)務(wù)（ATM 、FR 以